Cisco EPN Manager で、次の手順を実行します。

1. [管理（Administration）] > [ユーザー（Users）] > [ユーザーグループ（User Groups）] を選択します。

2. [ユーザーグループ（User Groups）] テーブルで、ユーザー グループ行の末尾にある [タスクリスト（Task List）] ハイパーリンクをクリックして、各ユーザー グループのロールをコピーします。

   • RADIUS を使用している場合は、[RADIUSカスタム属性（RADIUS Custom Attributes）] フィールドの role0 行を右クリックして、[コピー（Copy）] を選択します。

   • TACACS+ を使用している場合は、[TACACS+カスタム属性（TACACS+ Custom Attributes）] フィールドの role0 行を右クリックして、[コピー（Copy）] を選択します。

Cisco ACS または Cisco ISE サーバーに情報を貼り付けます。次の手順は、Cisco ACS の既存のユーザー グループに情報を追加する方法を示しています。この情報をまだ Cisco ACS または Cisco ISE に追加していない場合は、次を参照してください。

1. [ユーザー設定（User Setup）] または [グループ設定（Group Setup）] に移動します。

2. 該当するユーザーまたはグループの [設定の編集（Edit Settings）] をクリックします。

3. 該当するテキスト ボックスに属性一覧を貼り付けます。

4. これらの属性を有効にするチェックボックスをオンにしてから、[送信して再起動（Submit + Restart）] をクリックします。

[管理（Administration）] > [ユーザー（Users）] > [仮想ドメイン（Virtual Domains）] の順に選択します。

[仮想ドメイン（Virtual Domains）] サイドバー メニューで [+] アイコン（[新規ドメインの追加（Add New Domain）]）をクリックします。

[名前（Name）] テキスト ボックスに名前を入力します。これは必須です。

（オプション）新しいドメインのタイム ゾーン、電子メール アドレス、および説明を入力します。

[送信（Submit）] をクリックして、新しく作成された仮想ドメインの概要を表示します。

[管理（Administration）] > [ユーザー（Users）] > [仮想ドメイン（Virtual Domains）] を選択します。

[仮想ドメイン（Virtual Domains）] サイドバー メニューで、次の手順を実行します。

1. その下に新しい子ドメインを作成するドメインを見つけます。（これは親ドメインと呼ばれます。）この例では、親ドメインは California です。

2. ドメイン名の隣にある情報（[i]）アイコンをクリックします。データ ポップアップ ウィンドウが開きます。

3. ポップアップ ウィンドウで、[サブドメインの作成（Create Sub Domain）] をクリックします。ナビゲーション ペインがリスト ビューに切り替わり、親ドメイン [California] が [無題（Untitled）] の上に表示されます。

[名前（Name）] テキスト ボックスに名前を入力します。これは必須です。この例では、新しい子ドメインに Los Angeles という名前を付けます。（ナビゲーション ペインに表示される名前は、新しい子ドメインを保存するまでは、[無題（Untitled）] から [Los Angeles] に変更されません。）

（オプション）新しいドメインのタイム ゾーン、電子メール アドレス、および説明を入力します。

[送信（Submit）] をクリックし、新しい子ドメインを作成することを確認します。階層ビューに戻るには、ナビゲーション ペイにの上部にある表示トグル ボタンをクリックします。

Cisco EPN Manager で、次の手順を実行します。

1. [管理（Administration）] > [ユーザー（Users）] > [仮想ドメイン（Virtual Domains）] の順に選択します。

2. ウィンドウ右上の [カスタム属性のエクスポート（Export Custom Attributes）] をクリックします。これにより、[仮想ドメイン カスタム属性（Virtual Domains Custom Attributes）] ダイアログが表示されます。

3. 属性リストをコピーします。

   • RADIUS を使用する場合は、[RADIUS カスタム属性（RADIUS Custom Attributes）] フィールドのすべてのテキストを選択して右クリックし、[コピー（Copy）] を選択します。

   • TACACS+ を使用する場合は、[TACACS+カスタム属性（TACACS+ Custom Attributes）] フィールドのすべてのテキストを選択して右クリックし、[コピー（Copy）] を選択します。

Cisco ACS または Cisco ISE サーバーに情報を貼り付けます。次の手順は、Cisco ACS の既存のユーザー グループに情報を追加する方法を示しています。この情報をまだ Cisco ACS または Cisco ISE に追加していない場合は、次を参照してください。

1. [ユーザー設定（User Setup）] または [グループ設定（Group Setup）] に移動します。

   ユーザーベースで仮想ドメインを指定する場合、すべてのカスタム属性情報（たとえば、タスク、ロール、仮想ドメインなど）を [ユーザー（User）] カスタム属性ページに追加していることを確認する必要があります。

1. 該当するユーザーまたはグループの [設定の編集（Edit Settings）] をクリックします。

2. 該当するテキスト ボックスに属性一覧を貼り付けます。

3. これらの属性を有効にするチェックボックスをオンにしてから、[送信して再起動（Submit + Restart）] をクリックします。

[管理（Administration）] > [ユーザー（Users）] > [ユーザー、ロール、および AAA（Users, Roles & AAA）] の順に選択し、[RADIUS サーバー（RADIUS Servers）] を選択します。

追加するサーバーのタイプを選択します。

• RADIUS の場合は、[RADIUS サーバー（RADIUS Servers）] を選択します。[コマンドの選択（Select a command）] ドロップダウン リストから、[RADIUS サーバーの追加（Add RADIUS Server）] を選択し、[実行（Go）] をクリックします。
• TACACS+ の場合は、[TACACS+ サーバー（TACACS+ Servers）] を選択します。[コマンドの選択（Select a command）] ドロップダウン リストから、[TACACS+ サーバーの追加（Add TACACS+ Server）] を選択し、[実行（Go）] をクリックします。

  （注）	[上へ移動（Move Up）] および [下へ移動（Move Down）] 矢印を使用して、使用可能な IP アドレスの順序を並べ替えることができます。

必要な情報（IP アドレス、DNS 名など）を入力します。Cisco EPN Manager が外部認証サーバーと通信するためには、このページで入力する共有秘密が RADIUS また TACACS+ サーバーに設定された共有秘密と一致している必要があります。サード パーティ製の TACACS+ または RADIUS サーバー用の共有秘密キーを入力するときに、'（一重引用符）と "（二重引用符）を除く、アルファベット、数字、および特殊文字を使用できます。再送信タイムアウトと再試行の回数を入力します。

認証タイプを選択します。

• PAP：パスワード ベースの認証は、2 つのエンティティが 1 つのパスワードを事前に共有し、そのパスワードを認証の基準に使用するプロトコルです。
• CHAP：チャレンジ ハンドシェイク認証プロトコルでは、クライアントとサーバーの両方がプレーンテキストの秘密キーを認識しており、その秘密キーは絶対にネットワーク上に送信されないことが必要になります。CHAP は、パスワード認証プロトコル（PAP）より優れたセキュリティを提供します。

高可用性機能を有効にして、[ローカルインターフェイス IP（Local Interface IP）] に仮想 IP アドレスを設定した場合、eth0 の仮想 IP アドレスを選択します。（セカンダリ サーバーでの高可用性の設定とインストールについては、『Cisco Evolved Programmable Network Manager Installation Guide』を参照してください）。

[保存（Save）] をクリックします。

[管理（Administration）] > [ユーザー（Users）] > [ユーザー、ロール、および AAA（Users, Roles & AAA）] を選択してから、[AAA モード（AAA Mode）] を選択します。

[TACACS+] または [RADIUS] を選択します。

[ローカルへのフォールバックを有効にする（Enable Fallback to Local）] チェックボックスをオンにすると、外部 AAA サーバーがダウンした場合にローカル データベースの使用が有効になります。

外部 RADIUS または TACACS+ サーバーがダウンした場合にローカル認証に戻すには、次の手順を実行します。

1. [ローカルへのフォールバックを有効にする（Enable Fallback to Local）] を選択します。

2. フォールバック条件（[サーバーが応答しないときのみ（ONLY on no server response）] または [認証に失敗したかサーバーが応答しないとき（on authentication failure or no server response）]）を指定します。

シングルサインアウトを有効にする場合は、[シングルサインアウトの有効化（Enable Single Sign-Out）] チェックボックスをオンにします。

ドロップダウンリストから [チケット認可チケットタイムアウト（Ticket Granting Ticket Timeout）] を選択します。

[保存（Save）] をクリックします。

admin ユーザーとして Cisco ISE にログインします。

[管理（Administration）] > [ネットワーク リソース（Network Resources）] > [ネットワーク デバイス（Network Devices）] の順に選択します。

[ネットワーク デバイス（Network Devices）] ページで [追加（Add）] をクリックします。

Cisco EPN Manager サーバーのデバイス名と IP アドレスを入力します。

[認証設定（Authentication Settings）] チェックボックスをオンにして、共有秘密を入力します。

[送信（Submit）] をクリックします。

管理ユーザーとして Cisco ISE にログインします。

[管理（Administration）] > [ID管理（Identity Management）] > [グループ（Groups）] を選択します。

[ユーザー アイデンティティ グループ（User Identity Groups）] ページで、[追加（Add）] をクリックします。

[アイデンティティ グループ（Identity Group）] ページで、ユーザー グループの名前と説明を入力します。

[送信（Submit）] をクリックします。

管理ユーザーとして Cisco ISE にログインします。

[管理（Administration）] > [ID管理（Identity Management）] > [ID（Identities）] を選択します。

[ネットワーク アクセス ユーザー（Network Access Users）] ページで [追加（Add）] をクリックします。

[項目の選択（Select an item）] ドロップダウン リストから、ユーザーを割り当てるユーザー グループを選択します。

[送信（Submit）] をクリックします。

管理ユーザーとして Cisco ISE にログインします。

[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] を選択します。

左側のサイドバーのメニューから [認証（Authorization）] > [認証プロファイル（Authorization Profiles）] の順に選択します。

[標準認証プロファイル（Standard Authorization Profiles）] ページで、[追加（Add）] をクリックします。

[認証プロファイル（Authorization Profile）] ページで、認証プロファイルの名前と説明を入力します。

[アクセス タイプ（Access Type）] ドロップダウンリストから、[ACCESS_ACCEPT] を選択します。

[詳細な属性設定（Advanced Attributes Settings）] エリアで、次のアイテムのずべての RADIUS カスタム属性のリストを貼り付けます。

[送信（Submit）] をクリックします。

管理ユーザーとして Cisco ISE にログインします。

[ワークセンター（Work Center）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] を選択します。

左側のサイドバーから、[結果（Results）] > [TACACS プロファイル（TACACS Profiles）] を選択します。

[TACACS プロファイル（TACACS Profiles）] ページで、[追加（Add）] をクリックします。

[アクセス タイプ（Access Type）] ドロップダウンリストから、[ACCESS_ACCEPT] を選択します。

[TACACS プロファイル（TACACS Profiles）] ページで、認証プロファイルの名前と説明を入力します。

[プロファイル属性の raw ビュー（Raw View Profile Attributes）] 領域に、次についての TACACS+ のカスタム属性の完全なリストを貼り付けます。

[送信（Submit）] をクリックします。

管理者ユーザーとして Cisco ISE にログインします。

[ポリシー（Policy）] > [許可（Authorization）] を選択します。

[標準（Standard）] 領域で、右端にある下矢印をクリックし、[新規ルールを上に挿入（Insert New Rule Above）] または [新規ルールを下に挿入（Insert New Rule Below）] のどちらかを選択します。

ルール名を入力して、認可ポリシーの ID グループ、条件、属性、および権限を選択します。

[完了（Done）] をクリックしてから、[保存（Save）] をクリックします。

上級管理ユーザーまたはシステム管理ユーザーとして Cisco ISE にログインします。

[ポリシー（Policy）] > [認証（Authentication）] の順に選択します。

必要な認証ポリシーを作成するために、[ポリシー タイプ（Policy Type）] として [シンプル（Simple）] または [ルールベース（Rule-Based）] を選択します。

選択したポリシー タイプに基づいて、必要な情報を入力します。

[保存（Save）] をクリックします。

admin ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[ネットワーク リソース（Network Resources）] > [ネットワーク デバイス（Network Devices）] > [ネットワーク デバイスおよび AAA クライアント（Network Devices and AAA Clients）] の順に選択します。

[ネットワーク デバイス（Network Devices）] ページで [作成（Create）] をクリックします。

Cisco EPN Manager サーバーのデバイス名と IP アドレスを入力します。

認証オプションで [RADIUS] または [TACACS+] を選択し、共有秘密を入力します。

[送信（Submit）] をクリックします。

admin ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[ユーザーと ID ストア（Users and Identity Stores）] > [アイデンティティ グループ（Identity Groups）] の順に選択します。

[アイデンティティグループ（Identity Groups）] ページで [作成（Create）] をクリックします。

グループの名前と説明を入力します。

ユーザー グループの親ネットワーク デバイス グループを選択します。

[送信（Submit）] をクリックします。

admin ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[ユーザーとIDストア（Users and Identity Stores）] > [内部IDストア（Internal Identity Stores）] > [ユーザー（Users）] の順に選択します。

[内部ユーザー（Internal Users）] ページで [作成（Create）] をクリックします。

次の必須詳細情報を入力します。

[アイデンティティ グループ（Identity Group）] フィールドで [選択（Select）] を選択して、ユーザーを割り当てるユーザー グループを選択します。

[送信（Submit）] をクリックします。

管理ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[ポリシー要素（Policy Elements）] > [認証と許可（Authorizations and Permissions）] > [ネットワーク アクセス（Network Access）] > [認証プロファイル（Authorization Profiles）] の順に選択します。

[作成（Create）] をクリックします。

[一般（General）] タブで、認証プロファイルの名前と説明を入力します。

[RADIUS 属性（RADIUS Attributes）] タブをクリックし、以下についての RADIUS カスタム属性の完全なリストを貼り付けます。

[送信（Submit）] をクリックします。

admin ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[ポリシー要素（Policy Elements）] > [認証と許可（Authorizations and Permissions）] > [デバイス管理（Device Administration）] > [シェル プロファイル（Shell Profiles）] の順に選択します。

[作成（Create）] をクリックします。

[一般（General）] タブで、認証プロファイルの名前と説明を入力します。

[カスタム属性（Custom Attributes）] タブをクリックし、次のアイテムのずべての TACACS+ カスタム属性のリストを貼り付けます。

[送信（Submit）] をクリックします。

管理ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[アクセス ポリシー（Access Policies）] > [アクセス サービス（ Access Services）] の順に選択します。

[作成（Create）] をクリックします。

アクセス サービスの名前と説明を入力します。

アクセス サービスのポリシー構造を定義するために、次のいずれかのオプションを選択します。

[次へ（Next）] をクリックします。

サービス アクセスに使用できる認証プロトコルを選択します。

[終了（Finish）] をクリックします。

admin ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[アクセスポリシー（Access Policies）] > [アクセスサービス（Access Services）] > [サービス（service）] > [認証（Authorization）] の順に選択します。

[作成（Create）] をクリックします。

ルール名を入力し、ルール ステータスを選択します。

ルールの必須条件を設定します。

ネットワーク アクセス（RADIUS）の認証ポリシー ルールを作成する場合は、認証ポリシー ルールにマッピングする必須認証プロファイルを選択します。

[OK] をクリックします。

admin ユーザーとして Cisco ACS にログインします。

左側のサイドバーから、[アクセス ポリシー（Access Policies）] > [アクセス サービス（Access Services）] > [サービス セレクション ルール（Service Selection Rules）] の順に選択します。

単純なサービス セレクション ポリシーを設定するには、[単一結果の選択（Single result selection）] オプション ボタンをクリックし、すべての要求に適用するアクセス サービスを選択します。

ルール名を入力し、ルール ステータスを選択します。

サービス セレクション ポリシーのプロトコルとして [RADIUS] または [TACACS+] を選択します。

必要な複合条件を設定し、着信要求に適用するアクセス サービスを選択します。

[OK] をクリックし、[変更の保存（Save Changes）] をクリックします。

[管理（Administration）] > [ユーザー（Users）] > [ユーザー、ロール、および AAA（Users, Roles & AAA）] を選択し、[SSO サーバー（SSO Servers）] を選択します。

[コマンドの選択（Select a command）] ドロップダウン リストから、[SSO サーバーの追加（Add SSO Server）] を選択し、[実行（Go）] をクリックします。

SSO 情報を入力します。SSO サーバー認証要求のサーバー再試行回数は最大 3 回です。

[保存（Save）] をクリックします。

[管理（Administration）] > [ユーザー（Users）] > [ユーザー、ロール、および AAA（Users, Roles & AAA）] を選択し、[SSO サーバー（SSO Servers）] を選択します。

削除するサーバーを選択します。

[コマンドの選択（Select a command）] ドロップダウンリストから、[SSO サーバーの削除（Delete SSO Server(s)）] を選択し、[実行（Go）] をクリックします。

[OK] をクリックして、サーバーの削除を確認します。

[管理（Administration）] > [ユーザー（Users）] > [ユーザー、ロール、および AAA（Users, Roles & AAA）] を選択してから、[SSO サーバーの設定（SSO Server Settings）] を選択します。

使用する SSO サーバー AAA モードを選択します。一度に 1 つのみ選択できます。

[OK] をクリックします。