Linux CLI ルート ユーザとしてログインするには、次の手順を実行します。

1. Cisco EPN Manager サーバで SSH セッションを開始して、Cisco EPN Manager CLI 管理者ユーザとしてログインします。

2. Cisco EPN Manager CLI 管理者ユーザが Linux CLI 管理者ユーザとしてログインします。

   shell
   Enter shell access password:  password
   
   

3. Linux CLI ルート ユーザとしてログインします。

   sudo -i
   
   

   デフォルトでは、Linux CLI のシェル プロンプトは Linux CLI 管理者およびルート ユーザに対するものと同じです。whoami コマンドを使用して、現在のユーザを確認できます。

終了するには、次の手順を実行します。

1. Linux CLI ルート ユーザとしてログアウトします。

   exit
   
   

2. Linux CLI 管理者ユーザとしてログアウトします。

   exit
   
   

   これで Cisco EPN Manager CLI 管理者ユーザとしてログインしていることになります。

Cisco EPN Manager で、次の手順を実行します。

1. [管理（Administration）] > [ユーザ（Users）] > [ユーザ グループ（User Groups）] を選択します。

2. [ユーザグループ（User Groups）] テーブルで、ユーザ グループ行の末尾にある [タスクリスト（Task List）] ハイパーリンクをクリックして、各ユーザ グループのロールをコピーします。

   • RADIUS を使用している場合は、[RADIUSカスタム属性（RADIUS Custom Attributes）] フィールドの role0 行を右クリックして、[コピー（Copy）] を選択します。
   • TACACS+ を使用している場合は、[TACACS+カスタム属性（TACACS+ Custom Attributes）] フィールドの role0 行を右クリックして、[コピー（Copy）] を選択します。

Cisco ACS または Cisco ISE サーバに情報を貼り付けます。次の手順は、Cisco ACS の既存のユーザ グループに情報を追加する方法を示しています。この情報をまだ Cisco ACS または Cisco ISE に追加していない場合は、次を参照してください。

1. [ユーザ設定（User Setup）] または [グループ設定（Group Setup）] に移動します。

2. 該当するユーザまたはグループの [設定の編集（Edit Settings）] をクリックします。

3. 該当するテキスト ボックスに属性一覧を貼り付けます。

4. これらの属性を有効にするチェックボックスをオンにしてから、[送信して再起動（Submit + Restart）] をクリックします。

[管理（Administration）] > [ユーザ（Users）] > [仮想ドメイン（Virtual Domains）] の順に選択します。

[仮想ドメイン（Virtual Domains）] サイドバー メニューで [+] アイコン（[新規ドメインの追加（Add New Domain）]）をクリックします。

[名前（Name）] テキスト ボックスに名前を入力します。これは必須です。

（オプション）新しいドメインのタイム ゾーン、電子メール アドレス、および説明を入力します。

[送信（Submit）] をクリックして、新しく作成された仮想ドメインの概要を表示します。

[管理（Administration）] > [ユーザ（Users）] > [仮想ドメイン（Virtual Domains）] を選択します。

[仮想ドメイン（Virtual Domains）] サイドバー メニューで、次の手順を実行します。

1. その下に新しい子ドメインを作成するドメインを見つけます。（これは親ドメインと呼ばれます。）この例では、親ドメインは California です。

2. ドメイン名の隣にある情報（[i]）アイコンをクリックします。データ ポップアップ ウィンドウが開きます。

3. ポップアップ ウィンドウで、[サブドメインの作成（Create Sub Domain）] をクリックします。ナビゲーション ペインがリスト ビューに切り替わり、親ドメイン [California] が [無題（Untitled）] の上に表示されます。

[名前（Name）] テキスト ボックスに名前を入力します。これは必須です。この例では、新しい子ドメインに Los Angeles という名前を付けます。（ナビゲーション ペインに表示される名前は、新しい子ドメインを保存するまでは、[無題（Untitled）] から [Los Angeles] に変更されません。）

（オプション）新しいドメインのタイム ゾーン、電子メール アドレス、および説明を入力します。

[送信（Submit）] をクリックし、新しい子ドメインを作成することを確認します。階層ビューに戻るには、ナビゲーション ペイにの上部にある表示トグル ボタンをクリックします。

Cisco EPN Manager で、次の手順を実行します。

1. [管理（Administration）] > [ユーザ（Users）] > [仮想ドメイン（Virtual Domains）] の順に選択します。

2. ウィンドウ右上の [カスタム属性のエクスポート（Export Custom Attributes）] をクリックします。これにより、[仮想ドメイン カスタム属性（Virtual Domains Custom Attributes）] ダイアログが表示されます。

3. 属性リストをコピーします。

   • RADIUS を使用する場合は、[RADIUS カスタム属性（RADIUS Custom Attributes）] フィールドのすべてのテキストを選択して右クリックし、[コピー（Copy）] を選択します。
   • TACACS+ を使用している場合は、[TACACS+ カスタム属性（TACACS+ Custom Attributes）] フィールドですべてのテキストを右クリックして、[コピー（Copy）] を選択します。

Cisco ACS または Cisco ISE サーバに情報を貼り付けます。次の手順は、Cisco ACS の既存のユーザ グループに情報を追加する方法を示しています。この情報をまだ Cisco ACS または Cisco ISE に追加していない場合は、次を参照してください。

1. [ユーザ設定（User Setup）] または [グループ設定（Group Setup）] に移動します。

   ユーザ ベースで仮想ドメインを指定する場合、（たとえば、タスク、ロール、仮想ドメインなど）すべてのカスタム属性情報を [User] カスタム属性ページに追加していることを確認する必要があります。

1. 該当するユーザまたはグループの [設定の編集（Edit Settings）] をクリックします。

2. 該当するテキスト ボックスに属性一覧を貼り付けます。

3. これらの属性を有効にするチェックボックスをオンにしてから、[送信して再起動（Submit + Restart）] をクリックします。

[管理（Administration）] > [ユーザ（Users）] > [ユーザ、ロール、および AAA（Users, Roles & AAA）] の順に選択し、[RADIUS サーバ（RADIUS Servers）] を選択します。

追加するサーバのタイプを選択します。

• RADIUS の場合は、[RADIUS サーバ（RADIUS Servers）] を選択します。[コマンドの選択（Select a command）] ドロップダウン リストから、[RADIUS サーバの追加（Add RADIUS Server）] を選択し、[実行（Go）] をクリックします。
• TACACS+ の場合は、[TACACS+ サーバ（TACACS+ Servers）] を選択します。[コマンドの選択（Select a command）] ドロップダウン リストから、[TACACS+ サーバの追加（Add TACACS+ Server）] を選択し、[実行（Go）] をクリックします。

  （注）	[上へ移動（Move Up）] および [下へ移動（Move Down）] 矢印を使用して、使用可能な IP アドレスの順序を並べ替えることができます。

必要な情報（IP アドレス、DNS 名など）を入力します。Cisco EPN Manager が外部認証サーバと通信するためには、このページで入力する共有秘密が RADIUS また TACACS+ サーバに設定された共有秘密と一致している必要があります。サード パーティ製の TACACS+ または RADIUS サーバ用の共有秘密キーを入力するときに、'（一重引用符）と "（二重引用符）を除く、アルファベット、数字、および特殊文字を使用できます。

認証タイプを選択します。

• PAP：パスワード ベースの認証は、2 つのエンティティが 1 つのパスワードを事前に共有し、そのパスワードを認証の基準に使用するプロトコルです。
• CHAP：チャレンジ ハンドシェイク認証プロトコルでは、クライアントとサーバの両方がプレーンテキストの秘密キーを認識しており、その秘密キーは絶対にネットワーク上に送信されないことが必要になります。CHAP は、パスワード認証プロトコル（PAP）より優れたセキュリティを提供します。

高可用性機能を有効にして、[ローカル インターフェイス IP（Local Interface IP）] に仮想 IP アドレスを設定した場合、プライマリ サーバの仮想 IP アドレスまたは物理 IP アドレスのいずれかを選択します。（セカンダリ サーバでの高可用性の設定とインストールについては、『Cisco Evolved Programmable Network Manager Installation Guide』を参照してください）。

[保存（Save）] をクリックします。

[管理（Administration）] > [ユーザ（Users）] > [ユーザ、ロール、および AAA（Users, Roles & AAA）] を選択してから、[AAA モード（AAA Mode）] を選択します。

[TACACS+] または [RADIUS] を選択します。

[ローカルへのフォールバックを有効にする（Enable Fallback to Local）] チェックボックスをオンにすると、外部 AAA サーバがダウンした場合にローカル データベースの使用が有効になります。

外部 RADIUS または TACACS+ サーバがダウンした場合にローカル認証に戻すには、次の手順を実行します。

1. [ローカルへのフォールバックを有効にする（Enable Fallback to Local）] を選択します。

2. フォールバック条件（[サーバが応答しないときのみ（ONLY on no server response）] または [認証に失敗したかサーバが応答しないとき（on authentication failure or no server response）]）を指定します。

[保存（Save）] をクリックします。

admin ユーザとして Cisco ISE にログインします。

[管理（Administration）] > [ネットワーク リソース（Network Resources）] > [ネットワーク デバイス（Network Devices）] の順に選択します。

[ネットワーク デバイス（Network Devices）] ページで [追加（Add）] をクリックします。

Cisco EPN Manager サーバのデバイス名と IP アドレスを入力します。

[認証設定（Authentication Settings）] チェックボックスをオンにして、共有秘密を入力します。

[送信（Submit）] をクリックします。

管理ユーザとして Cisco ISE にログインします。

[管理（Administration）] > [ID管理（Identity Management）] > [グループ（Groups）] を選択します。

[ユーザ アイデンティティ グループ（User Identity Groups）] ページで、[追加（Add）] をクリックします。

[アイデンティティ グループ（Identity Group）] ページで、ユーザ グループの名前と説明を入力します。

[送信（Submit）] をクリックします。

管理ユーザとして Cisco ISE にログインします。

[管理（Administration）] > [ID管理（Identity Management）] > [ID（Identities）] を選択します。

[ネットワーク アクセス ユーザ（Network Access Users）] ページで [追加（Add）] をクリックします。

[項目の選択（Select an item）] ドロップダウン リストから、ユーザを割り当てるユーザ グループを選択します。

[送信（Submit）] をクリックします。

admin ユーザとして Cisco ISE にログインします。

[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] を選択します。

左側のサイドバーのメニューから [認証（Authorization）] > [認証プロファイル（Authorization Profiles）] の順に選択します。

[標準認証プロファイル（Standard Authorization Profiles）] ページで、[追加（Add）] をクリックします。

[認証プロファイル（Authorization Profile）] ページで、認証プロファイルの名前と説明を入力します。

[アクセス タイプ（Access Type）] ドロップダウンリストから、[ACCESS_ACCEPT] を選択します。

[詳細な属性設定（Advanced Attributes Settings）] エリアで、次のアイテムのずべての RADIUS カスタム属性のリストを貼り付けます。

[送信（Submit）] をクリックします。

管理ユーザとして Cisco ISE にログインします。

[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] を選択します。

左側のサイドバーのメニューから [認証（Authorization）] > [認証プロファイル（Authorization Profiles）] の順に選択します。

[標準認証プロファイル（Standard Authorization Profiles）] ページで、[追加（Add）] をクリックします。

[認証プロファイル（Authorization Profile）] ページで、認証プロファイルの名前と説明を入力します。

[アクセス タイプ（Access Type）] ドロップダウンリストから、[ACCESS_ACCEPT] を選択します。

[詳細な属性設定（Advanced Attributes Settings）] エリアで、次のアイテムのずべての TACACS+ カスタム属性のリストを貼り付けます。

[送信（Submit）] をクリックします。

管理者ユーザとして Cisco ISE にログインします。

[ポリシー（Policy）] > [許可（Authorization）] を選択します。

[標準（Standard）] 領域で、右端にある下矢印をクリックし、[新規ルールを上に挿入（Insert New Rule Above）] または [新規ルールを下に挿入（Insert New Rule Below）] のどちらかを選択します。

ルール名を入力して、認可ポリシーの ID グループ、条件、属性、および権限を選択します。

[完了（Done）] をクリックしてから、[保存（Save）] をクリックします。

上級管理ユーザまたはシステム管理ユーザとして Cisco ISE にログインします。

[ポリシー（Policy）] > [認証（Authentication）] の順に選択します。

必要な認証ポリシーを作成するために、[ポリシー タイプ（Policy Type）] として [シンプル（Simple）] または [ルールベース（Rule-Based）] を選択します。

選択したポリシー タイプに基づいて、必要な情報を入力します。

[保存（Save）] をクリックします。

admin ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[ネットワーク リソース（Network Resources）] > [ネットワーク デバイス（Network Devices）] > [ネットワーク デバイスおよび AAA クライアント（Network Devices and AAA Clients）] の順に選択します。

[ネットワーク デバイス（Network Devices）] ページで [作成（Create）] をクリックします。

Cisco EPN Manager サーバのデバイス名と IP アドレスを入力します。

認証オプションで [RADIUS] または [TACACS+] を選択し、共有秘密を入力します。

[送信（Submit）] をクリックします。

admin ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[ユーザと ID ストア（Users and Identity Stores）] > [アイデンティティ グループ（Identity Groups）] の順に選択します。

[アイデンティティグループ（Identity Groups）] ページで [作成（Create）] をクリックします。

グループの名前と説明を入力します。

ユーザ グループの親ネットワーク デバイス グループを選択します。

[送信（Submit）] をクリックします。

admin ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[ユーザとIDストア（Users and Identity Stores）] > [内部IDストア（Internal Identity Stores）] > [ユーザ（Users）] の順に選択します。

[内部ユーザ（Internal Users）] ページで [作成（Create）] をクリックします。

次の必須詳細情報を入力します。

[アイデンティティ グループ（Identity Group）] フィールドで [選択（Select）] を選択して、ユーザを割り当てるユーザ グループを選択します。

[送信（Submit）] をクリックします。

管理ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[ポリシー要素（Policy Elements）] > [認証と許可（Authorizations and Permissions）] > [ネットワーク アクセス（Network Access）] > [認証プロファイル（Authorization Profiles）] の順に選択します。

[作成（Create）] をクリックします。

[一般（General）] タブで、認証プロファイルの名前と説明を入力します。

[RADIUS 属性（RADIUS Attributes）] タブをクリックし、以下についての RADIUS カスタム属性の完全なリストを貼り付けます。

[送信（Submit）] をクリックします。

admin ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[ポリシー要素（Policy Elements）] > [認証と許可（Authorizations and Permissions）] > [デバイス管理（Device Administration）] > [シェル プロファイル（Shell Profiles）] の順に選択します。

[作成（Create）] をクリックします。

[一般（General）] タブで、認証プロファイルの名前と説明を入力します。

[カスタム属性（Custom Attributes）] タブをクリックし、次のアイテムのずべての TACACS+ カスタム属性のリストを貼り付けます。

[送信（Submit）] をクリックします。

管理ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[アクセス ポリシー（Access Policies）] > [アクセス サービス（ Access Services）] の順に選択します。

[作成（Create）] をクリックします。

アクセス サービスの名前と説明を入力します。

アクセス サービスのポリシー構造を定義するために、次のいずれかのオプションを選択します。

[次へ（Next）] をクリックします。

サービス アクセスに使用できる認証プロトコルを選択します。

[終了（Finish）] をクリックします。

admin ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[アクセスポリシー（Access Policies）] > [アクセスサービス（Access Services）] > [サービス（service）] > [認証（Authorization）] の順に選択します。

[作成（Create）] をクリックします。

ルール名を入力し、ルール ステータスを選択します。

ルールの必須条件を設定します。

ネットワーク アクセス（RADIUS）の認証ポリシー ルールを作成する場合は、認証ポリシー ルールにマッピングする必須認証プロファイルを選択します。

[OK] をクリックします。

admin ユーザとして Cisco ACS にログインします。

左側のサイドバーから、[アクセス ポリシー（Access Policies）] > [アクセス サービス（Access Services）] > [サービス セレクション ルール（Service Selection Rules）] の順に選択します。

単純なサービス セレクション ポリシーを設定するには、[単一結果の選択（Single result selection）] オプション ボタンをクリックし、すべての要求に適用するアクセス サービスを選択します。

ルール名を入力し、ルール ステータスを選択します。

サービス セレクション ポリシーのプロトコルとして [RADIUS] または [TACACS+] を選択します。

必要な複合条件を設定し、着信要求に適用するアクセス サービスを選択します。

[OK] をクリックし、[変更の保存（Save Changes）] をクリックします。

[管理（Administration）] > [ユーザ（Users）] > [ユーザ、ロール、および AAA（Users, Roles & AAA）] の順に選択し、[SSO サーバ（SSO Servers）] を選択します。

[コマンドの選択（Select a command）] ドロップダウン リストから、[SSO サーバの追加（Add SSO Server）] を選択し、[実行（Go）] をクリックします。

SSO 情報を入力します。SSO サーバ認証要求のサーバ再試行回数は最大 3 回です。

[保存（Save）] をクリックします。

[管理（Administration）] > [ユーザ（Users）] > [ユーザ、ロール、および AAA（Users, Roles & AAA）] を選択してから、[SSO サーバの設定（SSO Server Settings）] を選択します。

使用する SSO サーバ AAA モードを選択します。一度に 1 つのみ選択できます。

[OK] をクリックします。