RADIUSサーバとしてISEを使用したSWA外部認証の設定

ダウンロード オプション

  • PDF     (2.7 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (2.6 MB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (2.1 MB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2026 年 10 月 22 日
Document ID:221602

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

概要

このドキュメントでは、RADIUSサーバとしてCisco ISE®を使用して、Secure Web Access(SWA)上の外部認証を設定する手順について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

  • RADIUS の基礎知識
  • Cisco SWAに関する基礎知識
  • Cisco Identity Services Engine®(ISE)の認証および許可設定ポリシーに関する知識

また、次の情報も推奨されます。

  • 互換性のあるSWAおよびISEバージョン
  • SWAおよびISE管理アクセス

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

  • ISE 3.0.0
  • SWA 14.0.2-012

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

SWAの管理ユーザの外部認証を有効にすると、デバイスは外部認証設定で指定されているLightweight Directory Access Protocol(LDAP)またはRADIUSサーバを使用してユーザクレデンシャルを確認します。

ネットワーク トポロジ

Network Topology Diagramネットワークトポロジ図

管理ユーザはクレデンシャルを使用してポート443でSWAにアクセスし、SWAはクレデンシャルをRADIUSサーバで確認します。

設定

ISE の設定

1. 新しいネットワークデバイスを追加し、Administration > Network Resources > Network Devices > +Addの順に選択します。

Add SWA as Network Device in ISEISEのネットワークデバイスとしてのSWAの追加

2. ネットワークデバイスオブジェクトに名前を割り当て、SWAのIPアドレスを挿入します。

2.1. RADIUSのチェックボックスをオンにして、共有秘密を定義します。

note-icon

注：後でSWAにRADIUSサーバを設定するときにも、同じキーを使用する必要があります。

Configure SWA Network Device Shared KeySWAネットワークデバイスの共有キーの設定

2.2. Submitをクリックします。

Submit Network Device Configurationネットワークデバイス設定の送信

3. 必要なユーザーIDグループを作成し、Administration > Identity Management > Groups > User Identity Groups > +Addの順に移動します。

note-icon

注：異なるユーザタイプに一致するように、異なるユーザグループを設定する必要があります。

Add User Identity GroupユーザIDグループの追加

4. グループ名、説明（オプション）を入力し、送信します。グループごとにこれらの手順を繰り返します。この例では、管理者ユーザ用のグループと、読み取り専用ユーザ用のグループを作成します。

Add User Identity Group for SWA Admin UsersユーザIDグループの追加Add User Identity Group for SWA ReadOnly UsersSWA読み取り専用ユーザのユーザIDグループの追加

5. SWAで設定されたユーザ名と一致するネットワークアクセスユーザを作成する必要があります。

5.1. ネットワークアクセスユーザを作成し、対応するグループに追加する。Administration > Identity Management > Identities > +Addの順に移動します。

Add Local Users in ISEISEでのローカルユーザの追加

5.2.管理者権限を持つネットワークアクセスユーザを作成し、名前とパスワードを割り当てる必要があります。

Add Admin User管理者ユーザの追加

5.3. User GroupsセクションでSWA Adminを選択します。

Assign Admin Group to the Admin User管理グループの管理ユーザへの割り当て

5.4.読み取り専用権限を持つユーザを作成し、名前とパスワードを割り当てます。

Add ReadOnly User読み取り専用ユーザの追加

5.5. User GroupsセクションでSWA ReadOnlyを選択します。

Assign ReadOnly User group to the ReadOnly User読み取り専用ユーザグループを読み取り専用ユーザに割り当てる

6. 管理者ユーザの許可プロファイルを作成します。

6.1. Policy > Policy Elements > Results > Authorization > Authorization Profiles > +Addの順に移動します。

6.2.認可プロファイルの名前を定義し、アクセスタイプがACCESS_ACCEPTに設定されていることを確認する。

Add Authorization Profile for Admin Users管理者ユーザの許可プロファイルの追加

6.3. Advanced Attributes Settingsで、Radius > Class—[25]に移動し、値Administrator を入力して、Submitをクリックします。

Add Authorization Profile for Admin Users管理者ユーザの許可プロファイルの追加

7.ステップ6を繰り返して、読み取り専用ユーザの認可プロファイルを作成します。

Add Authorization Profile for ReadOnly Users読み取り専用ユーザの許可プロファイルの追加

7.1.今回は、AdministratorではなくReadUser値を使用してRadius:Classを作成します。

Add Authorization Profile for ReadOnly Users読み取り専用ユーザの許可プロファイルの追加

8. SWAのIPアドレスに一致するポリシーセットを作成します。これは、これらのユーザクレデンシャルを持つ他のデバイスへのアクセスを防止するためです。

8.1. Policy > Policy Setsの順に移動し、左上隅にある+アイコンをクリックします。

Add Policy Set in ISEISEでのポリシーセットの追加

8.2.新しい品目がポリシーセットの一番上に配置されます。

8.3.新しいポリシーの名前を入力し、SWAのIPアドレスに一致するRADIUS NAS-IP-Address属性に条件を追加する。

8.4. Useをクリックし、変更を保存してエディタを終了します。

Add Policy to Map SWA Network DeviceSWAネットワークデバイスをマッピングするためのポリシーの追加

8.5. Saveをクリックします。

Policy Saveポリシーの保存

tip-icon

ヒント：この記事では、デフォルトのネットワークアクセスプロトコルリストが許可されています。新しいリストを作成し、必要に応じて絞り込むことができます。

9. 新しいポリシーセットを表示するには、表示列の>アイコンをクリックします。Authorization Policyメニューを展開し、+ アイコンをクリックして、管理者権限を持つユーザにアクセスを許可する新しいルールを追加します。

9.1.名前を入力する

9.2.管理ユーザグループに一致する条件を作成するには、+アイコンをクリックします。

Add Authorization Policy Condition許可ポリシー条件の追加

9.3.条件を、Dictionary Identity Group with Attribute Name Equals User Identity Groups: SWA Adminと一致するように設定します。

Select Identity Group as Condition条件としてアイデンティティグループを選択

9.4.スクロールダウンして、User Identity Groups: SWA Adminを選択します。

Scroll Down and Select Identity Group Name下にスクロールしてIDグループ名を選択

9.5. Useをクリックします。

Select Authorization Policy for SWA Admin User GroupSWA管理ユーザグループの許可ポリシーの選択

10. +アイコンをクリックして、読み取り専用権限を持つユーザにアクセスを許可する2番目のルールを追加します。

10.1.名前を入力します。

10.2. Dictionary Identity Group with Attribute Name Equals User Identity Groups: SWA ReadOnlyに一致する条件を設定し、Useをクリックします。

Select Authorization Policy for ReadOnly User Group読み取り専用ユーザグループの許可ポリシーの選択

11. ルールごとに許可プロファイルを設定し、Saveをクリックします。

Select Authorization Profile許可プロファイルの選択

SWAの設定

1. SWA GUIで、System Administration を選択し、Usersを選択します。 

2. External AuthenticationでEnableをクリックします。

Enable External Authentication in SWASWAでの外部認証の有効化

3. RADIUS Server HostnameフィールドにISEのIPアドレスまたは完全修飾ドメイン名(FQDN)を入力し、ステップ2のISE設定で設定したものと同じ共有秘密を入力します。

4. Map externally authenticated users to multiple local roles in Group Mappingを選択します。

4.1. RADIUS CLASS AttributeフィールドにAdministratorと入力し、Role Administratorを選択します。

4.2. RADIUS CLASS AttributeフィールドにReadUserと入力し、Role Read-Only Operatorを選択します。 

External Authentication Configuration for RADIUS ServerRADIUSサーバの外部認証設定

5. SWAでユーザを設定するには、Add Userをクリックします。ユーザ名を入力し、目的のロールに必要なユーザタイプを選択します。アプライアンスが外部RADIUSサーバに接続できない場合は、パスフレーズを入力して、GUIアクセスに必要なパスフレーズを再入力します。

note-icon

注：アプライアンスが外部サーバに接続できない場合、アプライアンスはセキュアWebアプライアンスで定義されたローカルユーザとしてユーザの認証を試みます。

User Configuration in SWASWAでのユーザ設定

6. Submitをクリックし、Commit Changesをクリックします。

確認

設定されたユーザクレデンシャルでSWA GUIにアクセスし、ISEのライブログを確認します。ISEのライブログを確認するには、Operations > Live Logsの順に移動します。

Verify User Login ISEユーザログインISEの確認

関連コンテンツ

更新履歴

改定 発行日 コメント
2.0
22-Oct-2026
概要、スペル、文法、間隔、読みやすさを考慮したセクションへの水平線の挿入、代替テキスト、修正済みCCWアラートを更新。
1.0
05-Feb-2024
初版
TAC Authored

シスコ エンジニア提供

  • アニル・ラジャン
    Cisco TACエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています