コンプライアンスは、元のコンテンツに影響を与えることなく注入または再設定される可能性があるネットワークのインテント逸脱やアウトオブバンドの変更を特定するのに役立ちます。

ネットワーク管理者は、Cisco DNA Center でソフトウェアイメージ、PSIRT、ネットワークプロファイルなどコンプライアンスのさまざまな側面のコンプライアンス要件を満たさないデバイスを簡単に特定できます。

コンプライアンスチェックは、自動化することも、オンデマンドで実行することもできます。

• 自動コンプライアンスチェック：Cisco DNA Center でデバイスから収集された最新のデータを使用します。このコンプライアンスチェックは、インベントリや SWIM などさまざまなサービスからのトラップと通知をリッスンして、データを評価します。

• 手動コンプライアンスチェック：Cisco DNA Center でユーザーが手動でコンプライアンスをトリガーできます。

• スケジュールされたコンプライアンスチェック：スケジュールされたコンプライアンスジョブは毎日午後 11:00 に実行され、過去 7 日間コンプライアンスチェックが実行されなかったデバイスのコンプライアンスチェックをトリガーします。

Cisco DNA Center では、個々のネットワークデバイスのコンプライアンスステータスを示す統合されたコンプライアンス監査レポートを取得できます。このレポートを使用すると、ネットワークを完全に可視化できます。

詳細については、『Cisco DNA Center プラットフォーム ユーザガイド』の「Run a Compliance Report」[英語] を参照してください。

• デバイスのアップグレードが正常に完了すると、該当するすべてのデバイス（システムでコンプライアンスが実行されたことがないデバイス）のコンプライアンスチェックがトリガーされます。

• コンプライアンスは、[Startup vs Running] タイプを除き、インベントリに含まれるデバイスのステータスを計算して表示します。

• アップグレード後、[Startup vs Running] タイルに [NA] が「Configuration data is not available」というテキストとともに表示されます。

• アップグレードが正常に完了してから 1 日後に、1 回限りのスケジューラが実行され、デバイスで構成データを使用できるようになります。[Startup vs Running] タイルに、正しいステータス（[Compliant]/[Non-Compliant]）と詳細データが表示され始めます。

• トラップを受信すると、設定アーカイブサービスが構成データを収集し、コンプライアンスチェックが再度実行されます。

（注）	アップグレードセットアップでは、[Flex Profile] インターフェイスのコンプライアンスの不一致は無視してください。インターフェイス名の場合、[1] が [management] にマッピングされます。

Cisco DNA Center では、CLI テンプレートをデバイスの実行コンフィギュレーションと比較して、意図との不一致を識別することができます。次のコンパレータエンジンの制限事項に注意してください。

• CLI テンプレートコンパレータは、変数と値の大文字の使用をサポートしています。

• コマンドキーワードに大文字を使用しないでください。

• CLI テンプレートコンパレータは、エイリアスの使用をサポートしています。

• 非準拠としてフラグが設定されている省略または短縮コマンドの使用は避けてください。

• コマンドが欠落していて、それがセクションレベルにある場合、欠落しているコマンドに続くセクションレベルのコマンドにもフラグが付けられます。この問題を回避するには、インデントを使用します。

  たとえば、次の CLI テンプレートコンパレータ出力は、インデントのないコマンドを示しています。

  実現されたテンプレート	実行コンフィギュレーション	出力
  #interface Vlan111 #description SVI interface kan-111 #ip address 111.2.3.4 255.255.255.0 #ip helper-address 7.7.7.8 #no mop enabled #no mop sysid #!	#interface Vlan111 # description SVI interface kan-111 # ip address 111.2.3.4 255.255.255.0 # ip helper-address 7.7.7.7 # ip helper-address 7.7.7.8 # no mop enabled # no mop sysid #!	次のコマンドが欠落としてマークされています。 # ip helper-address 7.7.7.7 # ip helper-address 7.7.7.8 # no mop enabled # no mop sysid

  次の CLI テンプレートコンパレータ出力は、インデントを含むコマンドを示しています。

  実現されたテンプレート	実行コンフィギュレーション	出力
  #interface Vlan111 # description SVI interface kan-111 # ip address 111.2.3.4 255.255.255.0 # ip helper-address 7.7.7.8 # no mop enabled # no mop sysid #!	#interface Vlan111 # description SVI interface kan-111 # ip address 111.2.3.4 255.255.255.0 # ip helper-address 7.7.7.7 # ip helper-address 7.7.7.8 # no mop enabled # no mop sysid #!	コンパレーターは、欠落しているコマンドのみにフラグを立てます。 #ip helper-address 7.7.7.7

• 対話型およびイネーブルモードのコマンドは、コンプライアンスのために比較されません。コマンドですべてのオプションと値を指定することにより、対話型コマンドの代替形式を使用できます。

  たとえば、テンプレートコードが以下のように #ENABLE と #INTERACTIVE モードのコマンドを一緒に指定した場合、コマンドの比較は行われません。

  #MODE_ENABLE
   #INTERACTIVE
      mkdir <IQ>Create directory<R>xyz
   #ENDS_INTERACTIVE
   #MODE_END_ENABLE
  #end

• コンパレータによってフラグが設定されているコマンドでは範囲を使用しないでください。範囲は拡張形式で使用する必要があります。

• 同じテンプレート内のオーバーライドしているコマンドにフラグが付けられます。次の例に示すように、ignore-compliance シンタックスでコマンドを囲むことで、不一致を回避できます。

  実現されたテンプレート	実行コンフィギュレーション	出力
  #no banner motd #Welcome to Cisco .:|:.# #banner motd #Welcome to Cisco .:|:.#	#banner motd ^CWelcome to Cisco .:|:.^C	次のコマンドは、欠落としてフラグが付けられています。 no banner motd #Welcome to Cisco .:|:.# 実行中のコマンドはすでに前記のコマンドと比較されているため、次のコマンドも欠落としてマークされています。 banner motd #Welcome to Cisco .:|:.#

  不一致を回避するには、次の操作を行います。

  実現されたテンプレート	実行コンフィギュレーション	出力
  #! @start-ignore-compliance #no banner motd #Welcome to Cisco .:|:# #! @end-ignore-compliance #banner motd #Welcome to Cisco .:|:.#	#banner motd ^CWelcome to Cisco .:|:.^C	シンタックスで囲まれたコマンドは比較されないため、不一致はありません。

• Cisco IOS XE の以降のリリースでは、一部のデフォルトコマンドは、show run コマンドではなく、show run all コマンドが発行された場合にのみ表示されます。したがって、これらのコマンドは実行コンフィギュレーションに表示されず、非準拠としてフラグが設定されます。

• パスワードを含むコマンドは、デバイスに暗号化された形式で保存されるため、コンパレータによってフラグが設定されます。

（注）	次の構文でコマンドを囲むことで、パスワードを含むコマンドと一部のデフォルトコマンドの不一致を回避できます。 ! @start-ignore-compliance ! @end-ignore-compliance 次に、変更が表示されるようにテンプレートを再プロビジョニングします。

CLI テンプレートとデバイスの実行コンフィギュレーションとの不一致を避けるために、実行コンフィギュレーションと同様のコマンドを使用することをお勧めします。