グローバル クレデンシャルはネットワークのデバイスに共通の既存のクレデンシャルとして定義されます。グローバル クレデンシャル（CLI および SNMP）は GUI（[Discovery] ウィンドウまたは [Discovery Credentials] ウィンドウ）を使用してデバイスで設定され、これによりデバイスへの正常なログインが可能になります。グローバル クレデンシャルは、Cisco APIC-EM がネットワーク ディスカバリを実行する際に、ネットワーク内でそのデバイス クレデンシャルを共有しているデバイスの認証とアクセスに使用されます。

グローバル CLI クレデンシャルは [CLI Credentials] ウィンドウで設定できます。このウィンドウにアクセスするには、画面右上のメニュー バーで [admin] または [Settings] アイコン（歯車）をクリックします。ドロップダウン メニューの [Settings] リンクをクリックし、[Setting Navigation] ペインの [CLI Credentials] をクリックします。また、[Discovery] ウィンドウの [Credentials] フィールドでもグローバル CLI クレデンシャルを設定できます。[Discovery] ウィンドウでグローバル CLI クレデンシャルを設定する手順については、『Cisco Application Policy Infrastructure Controller Enterprise Module Configuration Guide』を参照してください。

グローバル SNMP クレデンシャルは [SNMPv2c] または [SNMPv3] ウィンドウで設定します。それぞれのウィンドウにアクセスするには、画面右上のメニュー バーで [admin] または [Settings] アイコン（歯車）をクリックします。ドロップダウン メニューの [Settings] リンクをクリックし、[Setting Navigation] ペインでいずれかの SNMP のウィンドウ リンクをクリックします。また、[Discovery] ウィンドウの [Credentials] フィールドでもグローバル SNMP クレデンシャルを設定できます。[Discovery] ウィンドウでグローバル SNMP クレデンシャルを設定する手順については、『Cisco Application Policy Infrastructure Controller Enterprise Module Configuration Guide』を参照してください。

（注）	[CLI Credentials] ウィンドウで複数のクレデンシャルを設定できます。

ジョブ固有のクレデンシャル（要求固有のクレデンシャル）は、グローバル クレデンシャルを共有していない特定のネットワーク デバイスまたはデバイス セットに対する既存のデバイス クレデンシャルとして定義されます。

そのネットワーク デバイス セット限定の検出を実行する前に、[Discovery] ウィンドウでジョブ固有のクレデンシャルを設定します。このウィンドウにアクセスするには、[Navigation] ペインの [Discovery] をクリックします。

たとえば、CDP ネイバーシップ（Cisco Discovery Protocol（CDP）を使用して検出された隣接デバイス）を形成している 200 台のデバイスのネットワークがあるとします。このネットワークでは、190 台のデバイスが グローバル クレデンシャル（クレデンシャル 0）を共有し、残りの 10 台のデバイスは、それぞれが独自のクレデンシャルまたはジョブ固有のクレデンシャル（クレデンシャル 1 ～ 5）を持っています。

Cisco APIC-EM によりこのネットワークのデバイスを適切に認証およびアクセスするには、次のタスクを実行します。

1. コントローラのクレデンシャル 0 として CLI グローバル クレデンシャルを設定します。

   グローバル クレデンシャルは [CLI Credentials] ウィンドウで設定できます。画面の右上のメニュー バーで [admin] または [Settings] アイコン（歯車）をクリックして、このウィンドウにアクセスします。ドロップダウン メニューから [Settings] リンクをクリックし、[Setting Navigation] ペインで [CLI Credentials] をクリックします。

2. SNMP（v2c または v3）グローバル クレデンシャルを設定します。

   これらのグローバル クレデンシャルは 2 つの SNMP ウィンドウで設定できます。右上の [Settings] ボタンをクリックして GUI ウィンドウにアクセスしてから、[Setting Navigation] ペインの [SNMPv2c] または [SNMPv3] をクリックします。

3. 190 デバイスの IP アドレス（グローバル クレデンシャルを共有する 190 デバイス）のいずれかを使用し、GUI でグローバル クレデンシャルを選択して、[CDP] ディスカバリを実行します。[Discovery] ウィンドウで CDP ディスカバリを実行します。[Navigation] ペインで [Discovery] をクリックして、このウィンドウにアクセスします。

4. 適切なジョブ固有のクレデンシャルと SNMP 値を使用して（クレデンシャル 1、クレデンシャル 2 ～ 5 など）、残りの 10 台のデバイスそれぞれに個別の Range ディスカバリを10 回実行します。

   [Discovery] ウィンドウで、ジョブ固有のクレデンシャルを設定します。[Navigation] ペインで [Discovery] をクリックして、このウィンドウにアクセスします。

5. [Device Inventory] ウィンドウの [Device Inventory] テーブルを参照して、検出結果を確認します。

ディスカバリ クレデンシャル（グローバルおよびジョブ固有）は、以下の箇条書きリストおよび表に記載されているルールに基づいて機能します。

ジョブ固有のクレデンシャル ルール

• 新しいネットワーク ディスカバリの作成時にジョブ固有のクレデンシャルを提供することができますが、1 回のネットワーク ディスカバリで使用できるジョブ固有クレデンシャルは 1 セットのみです。

• ジョブ固有のクレデンシャルは、他に設定されているグローバル クレデンシャルよりも優先されます。

• ネットワーク ディスカバリの一部として提供されているジョブ固有のクレデンシャルで認証エラーが発生すると、その後、設定されているグローバル クレデンシャルを使って 2 回目の検出が試みられます（コントローラの GUI の [Discovery] ウィンドウで明示的に選択されている場合）。ディスカバリがグローバル クレデンシャルで失敗した場合、デバイス検出のステータスは認証エラーになります。

• ネットワーク ディスカバリに Cisco APIC-EM API を使用しており、ジョブ固有のクレデンシャル（CLI と SNMP の両方）がネットワーク ディスカバリの一部ではない場合には、グローバル クレデンシャル（ユーザによって提供される CLI と SNMP の両方）を使用してデバイスの認証が行われます。

グローバル クレデンシャル ルール

Cisco APIC-EM のディスカバリ クレデンシャルに関する注意事項は、次のとおりです。

• デバイスに対する Cisco APIC-EM ディスカバリが完了した後で、そのデバイス クレデンシャルがネットワーク デバイスで変更されると、そのデバイスに対する後続のポーリング サイクルは失敗します。管理者がこの問題を修正する方法は、次のとおりです。

  • 新しいデバイス クレデンシャルに一致する、変更済みのジョブ固有クレデンシャルを使って、新しい検出スキャンを開始します。

  • グローバル クレデンシャルの更新または変更によって既存の検出を編集してから、検出スキャンを再実行します。

• デバイス認証エラーが原因で（提供されたディスカバリ クレデンシャルが現在のディスカバリで検出されたデバイスに対して無効であるなど）実行中のディスカバリが失敗した場合、管理者には次のオプションが用意されています。

  • 現在のディスカバリを停止または削除します。デバイス クレデンシャルに一致するジョブ固有のクレデンシャルを使用して、1 つ以上の新しいネットワーク ディスカバリ ジョブ（CDP または Range ディスカバリ タイプ）を作成します。

  • 新しいグローバル クレデンシャルを作成し、正しいグローバル クレデンシャルを選択する検出を新たに実行します。

  • 既存のグローバルのクレデンシャルを編集し、検出を再実行します。

• グローバル クレデンシャルを削除しても、すでに検出されたデバイスには影響しません。これらの検出されたデバイスでは認証エラーは報告されません。

• Cisco APIC-EM により、Cisco APIC-EM インベントリ内のマネージド ネットワーク デバイスのリストを検索できる REST API が提供されます。この API の目的は、外部のアプリケーションが、自身の管理対象デバイスのインベントリと、Cisco APIC-EM によって検出されたデバイスを同期できるようにすることです。たとえば Cisco IWAN シナリオでは、Prime Infrastructure が IWAN ソリューションをモニタするために、この API を利用して Cisco APIC-EM インベントリに含まれている IWAN デバイスを自身のインベントリに追加します。

  （注）	ユーザ名のみクリア テキストで提供されます。SNMP コミュニティ ストリングとパスワードは、セキュリティ上の理由からクリアテキストでは提供されません。

Cisco APIC-EM GUI の [SNMPv2c] ウィンドウで、デバイス検出の SNMPv2c を設定します。コントローラで SNMPv2c 用に設定する SNMP 値は、ネットワーク デバイスに設定された SNMPv2c 値と一致する必要があります。

（注）	最大 5 つの read コミュニティ ストリングと 5 つの write コミュニティ ストリングを設定できます。

図 2. SNMPv2c の設定

SNMP は、アプリケーション層プロトコルであり、SNMP マネージャと SNMP エージェントとの通信に使用されるメッセージ フォーマットを提供します。SNMP では、ネットワーク内のデバイスのモニタリングと管理に使用する標準フレームワークと共通言語が提供されます。SNMP のバージョンは、SNMPv1、SNMPv2、SNMPv2c、および SNMPv3 です。

SNMPv2c は SNMPv2 に代わるコミュニティ ストリング ベースの管理フレームワークです。コミュニティ ストリングは一種のパスワードであり、クリア テキスト形式で送信されます。SNMPv2c では、認証および暗号化が行われません（noAuthNoPriv セキュリティ レベル）。

（注）	コントローラでデバイス検出の SNMPv2c を設定することに加えて、「ベスト エフォート型」の Cisco APIC-EM ディスカバリが用意されています。つまり、SNMP の read-only（RO）コミュニティ ストリングが「public」に設定されたデバイスは、設定された SNMP read/write コミュニティ ストリングに関係なく、常に検出されます。

SNMP 設定の必要に応じて、GUI を使用した [SNMPv3] または [SNMP Properties] の設定に進みます。

Cisco APIC-EM GUI の [SNMPv3] ウィンドウで、デバイス検出の SNMPv3 を設定します。コントローラで SNMPv3 用に設定する SNMP 値は、ネットワーク デバイスに設定される SNMPv3 値と一致する必要があります。最大 5 つの SNMPv3 設定を構成できます。

図 3. SNMPv3 の設定

SNMP は、アプリケーション層プロトコルであり、SNMP マネージャと SNMP エージェントとの通信に使用されるメッセージ フォーマットを提供します。SNMP では、ネットワーク内のデバイスのモニタリングと管理に使用する標準フレームワークと共通言語が提供されます。SNMP のバージョンは、SNMPv1、SNMPv2、SNMPv2c、および SNMPv3 です。

SNMPv3 は、ネットワーク経由のフレームの認証と暗号化を組み合わせることによって、デバイスへのセキュア アクセスを実現します。サポートされる SNMPv3 セキュリティ モデルは次のとおりです。

• メッセージの完全性：パケットが伝送中に改ざんされていないことを保証します。

• 認証：メッセージが有効な送信元からのものかどうかを判別します。

• 暗号化：パケット コンテンツのスクランブルによって、不正な送信元が認識できないようにします。

SNMPv3 では、セキュリティ モデルとセキュリティ レベルの両方が提供されています。セキュリティ モデルは、ユーザおよびユーザが属するロールを設定する認証方式です。セキュリティ レベルとは、セキュリティ モデル内で許可されるセキュリティのレベルです。セキュリティ モデルとセキュリティ レベルの組み合わせにより、SNMP パケット処理中に採用されるセキュリティ メカニズムが決まります。

セキュリティ レベルは、SNMP メッセージを開示から保護する必要があるかどうか、およびメッセージを認証するかどうか判断します。セキュリティ モデル内のさまざまなセキュリティ レベルは、次のとおりです。

• noAuthNoPriv：認証または暗号化を実行しないセキュリティ レベル

• AuthNoPriv：認証は実行するが、暗号化を実行しないセキュリティ レベル

• AuthPriv：認証と暗号化両方を実行するセキュリティ レベル

次の表で、セキュリティ モデルとレベルの組み合わせについて説明します。

表 2 SNMP セキュリティ モデルおよびセキュリティ レベル

モデル	レベル	認証	暗号化	結果
v2c	noAuthNoPriv	Community String	いいえ	コミュニティ ストリングの照合を使用して認証します。
v3	noAuthNoPriv	ユーザ名	いいえ	ユーザ名の照合を使用して認証します。
v3	AuthNoPriv	次のいずれかを行います。 HMAC-MD5 HMAC-SHA	No	Hash-Based Message Authentication Code（HMAC）Message Digest 5（MD5）アルゴリズムまたは HMAC セキュア ハッシュ アルゴリズム（SHA）に基づいて認証します。
v3	AuthPriv	次のいずれかを行います。 HMAC-MD5 HMAC-SHA	次のいずれかを行います。 CBC-DES CBC-AES-128	HMAC-MD5 アルゴリズムまたは HMAC-SHA アルゴリズムに基づいて認証します。 暗号ブロック連鎖（CBC）DES（DES-56）標準または CBC モードの AES 暗号化に基づいた認証に加え、データ暗号規格（DES）の 56 ビット暗号化を提供します。

はじめる前に

Cisco APIC-EM が正常に導入され、動作している必要があります。

この設定手順では、ネットワークの SNMP 情報が必要です。

管理者（ROLE_ADMIN）権限と、すべてのリソースへのアクセス権（[RBAC Scope] を [ALL] に設定）またはグループ化したいすべてのリソースが含まれている RBAC 範囲が必要です。たとえば、特定の複数のリソースを含むグループを作成するには、それらのリソースへのアクセス権が必要です（グループ化したいすべてのリソースに、カスタム RBAC 範囲が設定されている）。

Cisco APIC-EM を使用してタスクを実行するために必要なユーザ権限と RBAC 範囲については、「Configuring the Cisco APIC-EM Settings」の章の「User Settings」を参照してください。

（注）	SNMPv3 では、パスワード（またはパスフレーズ）の長さは（最小）8 文字以上である必要があります。また、いくつかのシスコ ワイヤレス LAN コントローラでは、パスワード（またはパスフレーズ）の長さが（最小）12 文字以上である必要があります。パスワードにこのような必要最小限の文字数が確保されていないと、デバイスがコントローラによって検出、モニタリング、管理されなくなります。

SNMP 設定の必要に応じて、GUI を使用した [SNMPv2c] または [SNMP Properties] の設定に進みます。

Cisco APIC-EM GUI の [SNMP Properties] ウィンドウで、デバイス検出の SNMP プロパティを設定します。

図 4. SNMP プロパティの設定

SNMP 設定の必要に応じて、GUI を使用した [SNMPv2c] または [SNMPv3] の設定に進みます。