Cisco Secure Access Control System 5.2 ユーザ ガイド

Policy type

ポリシーのタイプを定義します。

• Select one result：結果はすべての要求に適用されます。

• Rule-based result selection：設定規則により、要求に応じて異なる結果が適用されます。

Service Selection Policy

すべての要求に適用するアクセス サービス。デフォルトは [Deny Access] です。

Policy type

設定するポリシーのタイプを定義します。

• Select one result：結果はすべての要求に適用されます。

• Rule-based result selection：設定規則により、要求に応じて異なる結果が適用されます。

Status

サービス セレクションを実行する規則の現在のステータス。規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor Only：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則名。

Conditions

サービスの範囲を決定する条件。このカラムでは、現在のすべての条件がサブカラムに表示されます。

Results

規則の評価結果として実行されるサービス。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] をクリックします。

Default Rule

次の場合に、ACS によってデフォルト規則が適用されます。

• イネーブルな規則が一致しない。

• 他の規則が定義されていない。

デフォルト規則を編集するには、リンクをクリックします。デフォルト規則の結果だけを編集できます。デフォルト規則は削除、ディセーブル、または複製できません。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Name

規則の名前。規則を複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor Only：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

<condition(s)>

規則に対して設定できる条件。

デフォルトでは、複合条件が表示されます。表示された条件を変更するには、[Policy] ページで [Customize] をクリックします。

各条件のデフォルト値は、[ ANY ] です。条件の値を変更するには、条件チェックボックスをオンにし、値を指定します。

[Compound Condition] をオンにすると、条件フレームに式ビルダーが表示されます。詳細については、「複合条件の設定」を参照してください。

Service

規則の評価結果として実行されるアクセス サービスの名前。

Last time hit counts were reset for this policy

このポリシーで最後にヒット カウントがリセットされた日付と時刻を表示します。

Reset hit counts display for this policy

[Policy] ページのすべての規則について [Hit Count] 表示をゼロ（0）にリセットするには、[Reset] をクリックします。

Hit counts are collected every:

ヒット カウント収集の間隔を表示します。

Last time hit counts were collected for this policy:

このポリシーで最後にヒット カウントが更新された日付と時刻を表示します。

Refresh hit counts display for this policy

[Policy] ページのヒット カウント表示をすべての規則の更新されたヒット カウントで更新するには、[Refresh] をクリックします。前回のヒット カウントは削除されます。

TACACS+ 認証要求が成功すると、対応する ID ポリシー規則と認可ポリシー規則の両方のヒット カウントは 1 ずつ増えます。

Name

アクセス サービスの名前。

Description

アクセス サービスの説明。

Service Type

（表示のみ）サービスのタイプ。デバイス管理またはネットワーク アクセス。

Identity

アクセス サービスに ID ポリシーを含めて、ACS で認証およびアトリビュートの取得に使用する ID ストアを定義する場合にオンにします。

Group Mapping

アクセス サービスにグループ マッピング ポリシーを含めて、外部 ID ストアから取得したグループとアトリビュートを ACS の ID グループにマッピングする場合にオンにします。

Authorization

アクセス サービスに認可ポリシーを含めて、次を適用する場合にオンにします。

• ネットワーク アクセス サービスの認可プロファイル。

• デバイス管理サービスのシェル プロファイルおよびコマンド セット。

Name

アクセス サービスの名前。サービスを複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Description

アクセス サービスの説明。

Based on service template

定義済みのテンプレートに基づいたポリシーを含むアクセス サービスを作成します。このオプションは、サービスの作成だけに使用できます。

Based on existing service

既存のアクセス サービスに基づいたポリシーを含むアクセス サービスを作成します。新しいアクセス サービスには、既存のサービスのポリシー規則は含まれません。このオプションは、サービスの作成だけに使用できます。ポリシー規則を含めてサービスを複製するには、既存のアクセス サービスを複製します。

User selected service type

アクセス サービス タイプを選択するためのオプションがあります。使用できるオプションは、[Network Access]、[Device Administration]、および [RADIUS Proxy] です。設定できるポリシーのリストは、選択したアクセス サービス タイプによって異なります。

Identity

アクセス サービスに ID ポリシーを含めて、ACS で認証およびアトリビュートの取得に使用する ID ストアを定義する場合にオンにします。

Group Mapping

アクセス サービスにグループ マッピング ポリシーを含めて、外部 ID ストアから取得したグループとアトリビュートを ACS の ID グループにマッピングする場合にオンにします。

Authorization

アクセス サービスに認可ポリシーを含めて、次を適用する場合にオンにします。

• ネットワーク アクセス サービスの認可プロファイル。

• デバイス管理サービスのシェル プロファイルおよびコマンド セット。

Available External RADIUS Servers

使用できる外部 RADIUS サーバのリスト。プロキシに使用する外部 RADIUS サーバを選択し、[Selected External RADIUS Servers] リストに移動します。

Selected External RADIUS Servers

選択した外部 RADIUS サーバのリスト。

Remote Accounting

リモート アカウンティングをイネーブルにする場合にオンにします。

Local Accounting

ローカル アカウンティングをイネーブルにする場合にオンにします。

Strip start of subject name up to the last occurrence of the separator

プレフィックスからユーザ名を取り除く場合にオンにします。たとえば、サブジェクト名が acme¥smith、区切り文字が ¥ の場合、ユーザ名は smith になります。

Strip end of subject name from the first occurrence of the separator

サフィックスからユーザ名を取り除く場合にオンにします。たとえば、サブジェクト名が smith@acme.com、区切り文字が @ の場合、ユーザ名は smith になります。

Process Host Lookup

たとえば RADIUS Service-Type が 10 の場合に [Host Lookup] フィールドを処理し、RADIUS Calling-Station-ID アトリビュートの System UserName アトリビュートを使用するように ACS を設定する場合にオンにします。

ACS でホスト ルックアップ要求を無視し、認証と認可に system UserName アトリビュートの元の値を使用する場合はオフにします。オフにすると、メッセージ処理はプロトコル（たとえば PAP）に従って行われます。

Allow PAP/ASCII

PAP/ASCII をイネーブルにします。PAP は、平文パスワード（つまり暗号化されていないパスワード）を使用する最もセキュリティ レベルの低い認証プロトコルです。

[Allow PAP/ASCII] をオンにすると、[Detect PAP as Host Lookup] をオンにして、ネットワーク アクセス サービスでこのタイプの要求を PAP ではなくホスト ルックアップ要求として検出するように ACS を設定できます。

Allow CHAP

CHAP 認証をイネーブルにします。CHAP は、パスワードの暗号化とともにチャレンジ/レスポンス方式を使用します。CHAP は、Windows Active Directory では使用できません。

Allow MS-CHAPv1

MS-CHAPv1 をイネーブルにします。

Allow MSCHAPv2

MSCHAPv2 をイネーブルにします。

Allow EAP-MD5

EAP ベースの Message Digest 5 ハッシュ認証をイネーブルにします。

[Allow EAP-MD5] をオンにすると、[Detect EAP-MD5 as Host Lookup] をオンにして、ネットワーク アクセス サービスでこのタイプの要求を EAP-MD5 ではなくホスト ルックアップ要求として検出するように ACS を設定できます。

Allow EAP-TLS

EAP-TLS 認証プロトコルをイネーブルにし、EAP-TLS 設定を行います。エンドユーザ クライアントからの EAP Identity 応答で提示されたユーザ ID を ACS が確認する方法を指定できます。ユーザ ID は、エンドユーザ クライアントによって提示された証明書の情報に照らして確認されます。この比較は、ACS とエンドユーザ クライアントとの間に EAP-TLS トンネルが確立されたあとに行われます。

EAP-TLS は、証明書ベースの認証プロトコルです。EAP-TLS 認証が行われるのは、証明書の設定に必要な手順を完了した場合にかぎられます。詳細については、「ローカル サーバ証明書の設定」を参照してください。

Allow LEAP

LEAP 認証をイネーブルにします。

Allow PEAP

PEAP 認証プロトコルと PEAP 設定をイネーブルにします。デフォルトの内部方式は、MSCHAPv2 です。

[Allow PEAP] をオンにすると、次の PEAP 内部方式を設定できます。

• Allow EAP-MSCHAPv2：内部方式として EAP-MSCHAPv2 を使用する場合にオンにします。

– Allow Password Change：ACS でパスワード変更をサポートする場合にオンにします。

– Retry Attempts：ACS でログイン失敗を返す前にユーザ クレデンシャルを要求する回数を指定します。有効な値は 1 ～ 3 です。

• Allow EAP-GTC：内部方式として EAP-GTC を使用する場合にオンにします。

– Allow Password Change：ACS でパスワード変更をサポートする場合にオンにします。

– Retry Attempts：ACS でログイン失敗を返す前にユーザ クレデンシャルを要求する回数を指定します。有効な値は 1 ～ 3 です。

Allow EAP-FAST

EAP-FAST 認証プロトコルと EAP-FAST 設定をイネーブルにします。EAP-FAST プロトコルは、同じサーバ上の複数の内部プロトコルをサポートできます。デフォルトの内部方式は、MSCHAPv2 です。

[Allow EAP-FAST] をオンにすると、EAP-FAST 内部方式を設定できます。

• Allow EAP-MSCHAPv2

– Allow Password Change：ACS で EAP-FAST のフェーズ 0 とフェーズ 2 でのパスワード変更をサポートする場合にオンにします。

– Retry Attempts：ACS でログイン失敗を返す前にユーザ クレデンシャルを要求する回数を指定します。有効な値は 1 ～ 3 です。

• Allow EAP-GTC

– Allow Password Change：ACS で EAP-FAST のフェーズ 0 とフェーズ 2 でのパスワード変更をサポートする場合にオンにします。

– Retry Attempts：ACS でログイン失敗を返す前にユーザ クレデンシャルを要求する回数を指定します。有効な値は 1 ～ 3 です。

• [Allow TLS-Renegotiation]：ACS で TLS 再ネゴシエーションをサポートする場合にオンにします。このオプションでは、エンドユーザ クライアントと ACS の間で匿名の TLS ハンドシェイクが可能になります。EAP-MS-CHAP は、フェーズ 0 の内部方式としてのみ使用されます。

• Use PACs：EAP-FAST クライアントに認可 PAC をプロビジョニングするように ACS を設定する場合に選択します。追加のPAC オプションが表示されます。

• Don’t use PACs：トンネルまたはマシン PAC を発行したり受け入れたりしないで EAP-FAST を使用するように ACS を設定する場合に選択します。PAC のすべての要求は無視され、ACS は PAC を含まない Success-TLV で応答します。

このオプションを選択すると、マシン認証を実行するように ACS を設定できます。

Allow EAP-FAST（続き）

• Tunnel PAC Time To Live：存続可能時間（TTL）の値によって PAC のライフタイムが制限されます。ライフタイム値と単位を指定します。デフォルトは 1 日です。

• Proactive PAC Update When: < n% > of PAC TTL is Left：Update 値により、クライアントに有効な PAC が保持されます。ACS は、最初に認証が成功してから TTL によって設定された有効期限までに更新を開始します。Update 値は、TTL の残り時間のパーセンテージです（デフォルト：10%）。

• Allow Anonymous In-band PAC Provisioning：ACS でクライアントとのセキュアな匿名 TLS ハンドシェイクを確立し、クライアントにいわゆる PAC をプロビジョニングする場合にオンにします。その際、EAP-FAST のフェーズ 0 と EAP-MSCHAPv2 が使用されます。

• Allow Authenticated In-band PAC Provisioning：ACS は Secure Socket Layer（SSL）サーバ側の認証を使用して、EAP-FAST のフェーズ 0 中にクライアントに PAC をプロビジョニングします。このオプションは匿名プロビジョニングよりもセキュアですが、サーバ証明書および信頼できるルート CA が ACS にインストールされている必要があります。

このオプションをオンにすると、認証された PAC プロビジョニングの成功後に Access-Accept メッセージをクライアントに返すように ACS を設定できます。

• Allow Machine Authentication：ACS でエンドユーザ クライアントにマシン PAC をプロビジョニングし、（マシン クレデンシャルを持たないエンドユーザ クライアントに対して）マシン認証を実行する場合にオンにします。

マシン PAC は、要求（インバンド）によって、または管理者（アウトオブバンド）によって、クライアントにプロビジョニングできます。ACS がエンドユーザ クライアントから有効なマシン PAC を受信すると、その PAC からマシン ID の詳細が抽出され、ACS 外部 ID ストアで確認されます。その詳細が正しいことが確認されると、その後の認証は実行されません。

このオプションをオンにすると、マシン PAC を使用するために受け入れることができる期間の値を入力できます。ACS は、期限切れのマシン PAC を受け取ると、（エンドユーザ クライアントからの新規マシン PAC 要求を待たずに）エンドユーザ クライアントに新規マシン PAC を自動的に再プロビジョニングします。

• Enable Stateless Session Resume：ACS で EAP-FAST クライアントに認可 PAC をプロビジョニングし、常に EAP-FAST のフェーズ 2 を実行する場合にオンにします（デフォルトはオン）。

次の場合は、このオプションをオフにします。

– ACS が EAP-FAST クライアントに認可 PAC をプロビジョニングしないようにする場合

– EAP-FAST のフェーズ 2 を常に実行する場合

このオプションをオンにすると、ユーザ認可 PAC の認可期間を入力できます。この期間の終了後、PAC は期限切れになります。ACS は期限切れの認可 PAC を受信すると、EAP-FAST 認証のフェーズ 2 を実行します。

Preferred EAP protocol

使用可能な次のオプションから、優先させる EAP プロトコルを選択します。

• EAP-FAST

• PEAP

• LEAP

• EAP-TLS

• EAP-MD5

このオプションでは、特定のプロトコルが実装されていない場合に、No-Acknowledgement を送信する機能を持たない古いサプリカント（エンド デバイス）と連携するよう、ACS に柔軟性を持たせることができます。このオプションを使用して、デバイスとネゴシエーションしているプロトコルのリストの先頭に特定のプロトコルを配置し、ネゴシエーションを成功させることができます。

Device Admin - Simple

デバイス管理

PAP/ASCII

ID

なし - 単純

内部ユーザ

認可

Identity group、NDG:Location、NDG:Device Type、Time and Date

シェル プロファイル

Device Admin - Command Auth

デバイス管理

PAP/ASCII

ID

なし - 単純

内部ユーザ

認可

Identity group、NDG:Location、NDG: Time and Date

コマンド セット

Network Access - Simple

ネットワーク アクセス

PEAP、EAP-FAST

ID

なし - 単純

内部ユーザ

認可

NDG:Location、Time and date

認可プロファイル

Network Access - MAC Authentication Bypass

ネットワーク アクセス

Process Host Lookup、PAP/ASCII（Detect PAP as Host Lookup）、 EAP-MD5（Detect EAP-MD5 as Host Lookup）

ID

なし - 単純

内部ユーザ

認可

Use case

認可プロファイル

Policy type

設定するポリシーのタイプを定義します。

• Simple：結果がすべての要求に適用されることを指定します。

• Rule-based：要求に応じて異なる結果が適用されるように規則を設定します。

Identity Source

すべての要求に適用する ID ソース。デフォルトは [Deny Access] です。手順は次のとおりです。

• パスワードベースの認証の場合、単一の ID ストアまたは ID ストア順序を選択します。

• 証明書ベースの認証の場合、証明書認証プロファイルまたは ID ストア順序を選択します。

ID ストア順序は、認証に使用される順序およびアトリビュートを取得する任意の追加順序を定義します。「ID ストア順序の設定」を参照してください。

Advanced options

次のオプションについて、要求を拒否またはドロップするか、認証を続行するかを指定します。

• If authentication failed：デフォルトは拒否です。

• If user not found：デフォルトは拒否です。

• If process failed：デフォルトはドロップです。

基になるプロトコルの制限により、ACS では、[Continue] オプションが選択された場合でも処理を続行できない場合があります。PAP/ASCII、EAP-TLS、または Host Lookup の場合、認証に失敗しても ACS は処理を続行できます。

その他のすべての認証プロトコルの場合、[Continue] オプションを選択しても要求はドロップされます。

Policy type

設定するポリシーのタイプを定義します。

• Simple：結果がすべての要求に適用されることを指定します。

• Rule-based：要求に応じて異なる結果が適用されるように規則を設定します。

Status

規則の現在のステータス。規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則名。

Conditions

ポリシーの範囲を決定する条件。このカラムでは、現在のすべての条件がサブカラムに表示されます。

Results

規則の評価結果として認証に使用される ID ソース。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

Default Rule

次の場合に、ACS によってデフォルト規則が適用されます。

• イネーブルな規則が一致しない。

• 他の規則が定義されていない。

デフォルト規則を編集するには、リンクをクリックします。デフォルト規則の結果だけを編集できます。デフォルト規則は削除、ディセーブル、または複製できません。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Rule Name

規則の名前。規則を複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Rule Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

<condition(s)>

規則に対して設定できる条件。デフォルトでは、複合条件が表示されます。[Policy] ページで [Customize] ボタンを使用して、表示される条件を変更できます。

各条件のデフォルト値は、[ ANY ] です。条件の値を変更するには、条件チェックボックスをオンにし、値を指定します。

[Compound Condition] をオンにすると、条件フレームに式ビルダーが表示されます。詳細については、「複合条件の設定」を参照してください。

Identity Source

要求に適用する ID ソース。デフォルトは [Deny Access] です。手順は次のとおりです。

• パスワードベースの認証の場合、単一の ID ストアまたは ID ストア順序を選択します。

• 証明書ベースの認証の場合、証明書認証プロファイルまたは ID ストア順序を選択します。

ID ストア順序は、認証に使用される順序および追加アトリビュートを取得する任意の順序を定義します。「ID ストア順序の設定」を参照してください。

Advanced options

次のオプションについて、要求を拒否またはドロップするか、認証を続行するかを指定します。

• If authentication failed：デフォルトは拒否です。

• If user not found：デフォルトは拒否です。

• If process failed：デフォルトはドロップです。

基になるプロトコルの制限により、ACS では、[Continue] オプションが選択された場合でも処理を続行できない場合があります。PAP/ASCII、EAP-TLS、または Host Lookup の場合、認証に失敗しても ACS は処理を続行できます。

その他のすべての認証プロトコルの場合、[Continue] オプションを選択しても、要求はドロップされます。

Policy type

設定するポリシーのタイプを定義します。

• Simple：結果がすべての要求に適用されることを指定します。

• Rule-based：要求に応じて異なる結果が適用されるように規則を設定します。

Identity Group

すべての要求のアトリビュートとグループをマッピングする ID グループ。

Policy type

設定するポリシーのタイプを定義します。

• Simple：結果がすべての要求に適用されることを指定します。

• Rule-based：要求に応じて異なる結果が適用されるように規則を設定します。

Status

規則の現在のステータス。規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則名。

Conditions

ポリシーの範囲を決定する条件。このカラムでは、現在のすべての条件がサブカラムに表示されます。

Results

規則の評価結果として使用される ID グループ。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

Default Rule

次の場合に、ACS によってデフォルト規則が適用されます。

• イネーブルな規則が一致しない。

• 他の規則が定義されていない。

デフォルト規則を編集するには、リンクをクリックします。デフォルト規則の結果だけを編集できます。デフォルト規則は削除、ディセーブル、または複製できません。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Rule Name

規則の名前。規則を複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Rule Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

<condition(s)>

規則に対して設定できる条件。デフォルトでは、複合条件が表示されます。[Policy] ページで [Customize] ボタンを使用して、表示される条件を変更できます。

各条件のデフォルト値は、[ANY] です。条件の値を変更するには、条件チェックボックスをオンにし、値を指定します。

[Compound Condition] をオンにすると、条件フレームに式ビルダーが表示されます。詳細については、「複合条件の設定」を参照してください。

Identity Group

要求のアトリビュートとグループをマッピングする ID グループ。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則の名前。

Identity Group

マッチング対象の内部 ID グループの名前。

NDG: name

ネットワーク デバイス グループ。2 つの事前定義済みの NDG は、Location および Device Type です。

Condition Name

規則の範囲を定義する条件。規則で使用する条件のタイプを変更するには、[Customize] ボタンをクリックします。使用する条件をあらかじめ定義しておく必要があります。

Shell Profile

対応する規則が一致したときに適用される認可プロファイルを表示します。

TrustSec 機能をイネーブルにすると、規則の結果をカスタマイズできます。規則では、エンドポイントのアクセス権、そのエンドポイントのセキュリティ グループ、またはその両方を決定できます。表示されるカラムには、カスタマイゼーション設定が反映されます。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

Default Rule

次の場合に、ACS によってデフォルト規則が適用されます。

• イネーブルな規則が一致しない。

• 他の規則が定義されていない。

デフォルト規則を編集するには、リンクをクリックします。デフォルト規則の結果だけを編集できます。デフォルト規則は削除、ディセーブル、または複製できません。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。

TrustSec 機能をイネーブルにすると、規則の結果セットを選択することもできます。セッション認可プロファイルだけ、セキュリティ グループだけ、またはその両方です。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Name

規則の名前。規則を複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

<condition(s)>

規則に対して設定できる条件。デフォルトでは、複合条件が表示されます。[Policy] ページで [Customize] ボタンを使用して、表示される条件を変更できます。

各条件のデフォルト値は、[ANY] です。条件の値を変更するには、条件チェックボックスをオンにし、値を指定します。

[Compound Condition] をオンにすると、条件フレームに式ビルダーが表示されます。詳細については、「複合条件の設定」を参照してください。

Authorization Profiles

使用できるプロファイルと選択されたプロファイルのリスト。要求に適用する複数の認可ポリシーを選択できます。矛盾を解決する場合の認可ポリシー順序の重要性については、「複数の認可プロファイルを含む規則の処理」を参照してください。

Security Group

（TrustSec のみ）適用するセキュリティ グループ。

TrustSec をイネーブルにすると、結果のオプションをカスタマイズして、セッション認可プロファイルだけ、セキュリティ グループだけ、またはその両方を表示できます。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則の名前。

Conditions

規則の範囲を定義する条件。規則で使用する条件のタイプを変更するには、[Customize] ボタンをクリックします。使用する条件をあらかじめ定義しておく必要があります。

Results

対応する規則が一致したときに適用されるシェル プロファイルとコマンド セットを表示します。

規則の結果をカスタマイズできます。規則によって、シェル プロファイル、コマンド セット、またはその両方を適用できます。表示されるカラムには、カスタマイゼーション設定が反映されます。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

Default Rule

次の場合に、ACS によってデフォルト規則が適用されます。

• イネーブルな規則が一致しない。

• 他の規則が定義されていない。

デフォルト規則を編集するには、リンクをクリックします。デフォルト規則の結果だけを編集できます。デフォルト規則は削除、ディセーブル、または複製できません。

[Customize] ボタン

ポリシー規則で使用する条件および結果のタイプを選択する [Customize] ページを開きます。[Conditions] および [Results] カラムには、カスタマイゼーション設定が反映されます。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Name

規則の名前。規則を複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

<condition(s)>

規則に対して設定できる条件。デフォルトでは、複合条件が表示されます。[Policy] ページで [Customize] ボタンを使用して、表示される条件を変更できます。

各条件のデフォルト値は、[ANY] です。条件の値を変更するには、条件チェックボックスをオンにし、値を指定します。

[Compound Condition] をオンにすると、条件フレームに式ビルダーが表示されます。詳細については、「複合条件の設定」を参照してください。

Shell Profiles

規則で適用するシェル プロファイル。

Command Sets

使用できるコマンド セットと選択されたコマンド セットのリスト。適用する複数のコマンド セットを選択できます。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則の名前。

Identity Group

マッチング対象の内部 ID グループの名前。

NDG:< name >

ネットワーク デバイス グループ。2 つの事前定義済みの NDG は、Location および Device Type です。

Condition Name

規則の範囲を定義する条件。規則で使用する条件のタイプを変更するには、[Customize] ボタンをクリックします。使用する条件をあらかじめ定義しておく必要があります。

Results

対応する規則が一致したときに適用されるシェル プロファイルとコマンド セットを表示します。

規則の結果をカスタマイズできます。規則によって、シェル プロファイル、コマンド セット、またはその両方を決定できます。表示されるカラムには、カスタマイゼーション設定が反映されます。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。対応する認可ポリシーと同じ条件および結果のセットを使用する必要はありません。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則の名前。

Identity Group

マッチング対象の内部 ID グループの名前。

NDG:< name >

ネットワーク デバイス グループ。2 つの事前定義済みの NDG は、Location および Device Type です。

Condition Name

規則の範囲を定義する条件。規則で使用する条件のタイプを変更するには、[Customize] ボタンをクリックします。使用する条件をあらかじめ定義しておく必要があります。

Results

対応する規則が一致したときに適用される認可プロファイルを表示します。

TrustSec 機能をイネーブルにすると、規則の結果をカスタマイズできます。規則では、エンドポイントのアクセス権、そのエンドポイントのセキュリティ グループ、またはその両方を決定できます。表示されるカラムには、カスタマイゼーション設定が反映されます。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。対応する認可ポリシーと同じ条件のセットを使用する必要はありません。

TrustSec 機能をイネーブルにすると、規則の結果セットを選択することもできます。セッション認可プロファイルだけ、セキュリティ グループだけ、またはその両方です。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

このセクションでは、プライマリ条件を定義します。

Dictionary

オペランドを取得するディクショナリを指定します。使用できるオプションは、定義するポリシーによって異なります。たとえば、サービス セレクション ポリシーを定義する場合、ID ディクショナリは使用できません。

Attribute

条件のオペランドであるアトリビュートを指定します。使用できるアトリビュートは、選択したディクショナリによって異なります。

Operator

関係演算子の内容は、上記のオペランド フィールドの選択内容に従って動的に決定されます。

Value

条件の値。このフィールドのタイプは、条件またはアトリビュートのタイプによって異なります。

このセクションでは、条件の順序を整理し、バイナリ条件またはバイナリ条件の間に適用する論理演算子を指定します。

Condition list

複合条件の定義済みバイナリ条件および関連付けられている論理演算子のリストが表示されます。

Add

バイナリ条件の定義後、[Add] をクリックして条件を条件リストに追加します。

Edit

バイナリ条件を編集するには、条件リストで条件を選択し、[Edit] をクリックします。[Condition] フィールドに条件のプロパティが表示されます。条件を必要に応じて変更し、[Replace] をクリックします。

Replace

選択した条件を [Condition] フィールドで現在定義されている条件に置き換える場合にクリックします。

And

Or

選択した条件に適用する論理演算子、または選択した条件とその上の条件間に適用する論理演算子を指定します。適切な演算子をクリックし、[Insert] をクリックして演算子を別の行として追加します。または、演算子をクリックし、[Replace] をクリックして選択した行を置き換えます。

Delete

選択したバイナリ条件または演算子を条件リストから削除する場合にクリックします。

Preview

現在の式を対応するカッコ表現で表示する場合にクリックします。複合式の作成後、規則テーブルにカッコ表現が表示されます。

Destination Security Group

すべての宛先セキュリティ グループが表示されるカラムの見出し。

Source Security Group

すべての送信元セキュリティ グループが表示される行の見出し。

Cells

対応する送信元および宛先セキュリティ グループに適用する SGACL を含めます。

Edit

セルをクリックしてから [Edit] をクリックして、そのセルの [Edit] ダイアログボックスを開きます。「出力ポリシー マトリクスのセルの編集」を参照してください。

Default Policy

デフォルトの出力ポリシーを定義するためのダイアログボックスを開く場合にクリックします。「出力ポリシーのデフォルト ポリシーを定義するためのページ」を参照してください。

Set Matrix View

出力ポリシーのマトリクス表示を変更するには、オプションを選択し、[Go] をクリックします。

• All：出力ポリシー マトリクスのすべての行とカラムを消去します。

• Customize View：選択したセルに対応する送信元および宛先セキュリティ グループをカスタマイズできるウィンドウを開きます。

Configure Security Groups

表示のみ。 選択したセルの送信元および宛先セキュリティ グループ名が表示されます。

General

セルのポリシーの説明。

ACL

対応する送信元および宛先セキュリティ グループに適用する SGACL を、[Available] リストから [Selected] リストに移動します。SGACL のリストの順序を指定するには、上向き（^）および下向き（v）矢印を使用します。

ACL

対応する送信元および宛先セキュリティ グループに適用する SGACL を、[Available] リストから [Selected] リストに移動します。SGACL のリストの順序を指定するには、上向き（^）および下向き（v）矢印を使用します。

最終的な catch-all 規則として [Permit All] または [Deny All] を選択します。

Policy type

設定するポリシーのタイプを定義します。

• Simple：結果がすべての要求に適用されることを指定します。

• Rule-based：要求に応じて異なる結果が適用されるように規則を設定します。

ポリシー タイプを切り替えると、以前に保存したポリシー設定は失われます。

Security Group

デバイスに割り当てるセキュリティ グループを選択します。デフォルトは [Unknown] です。

Policy type

設定するポリシーのタイプを定義します。

• Simple：結果がすべての要求に適用されることを指定します。

• Rule-based：要求に応じて異なる結果が適用されるように規則を設定します。

ポリシー タイプを切り替えると、以前に保存したポリシー設定は失われます。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

Name

規則の名前。デフォルト規則は次の場合に条件に使用できます。

• イネーブルな規則が一致しない。

• 規則が定義されていない。

規則を編集または複製するには、リンクをクリックします。

デフォルト規則は編集できますが、削除、ディセーブル、または複製することはできません。

Conditions

ポリシー規則の定義に使用できる条件。規則の条件の表示を変更するには、[Customize] ボタンをクリックします。使用する条件をあらかじめ定義しておく必要があります。

Results

対応する条件に一致した場合にデバイスに割り当てられるセキュリティ グループが表示されます。

Hit Count

規則が一致した回数。このカラムを更新およびリセットするには、[Hit Count] ボタンをクリックします。

[Customize] ボタン

ポリシー規則で使用する条件のタイプを選択する [Customize] ページを開きます。追加する条件ごとに、[Policy] ページに新しい [Conditions] カラムが表示されます。対応する認可ポリシーと同じ条件のセットを使用する必要はありません。

[Hit Count] ボタン

[Policy] ページの [Hit Count] 表示をリセットおよび更新できるウィンドウが開きます。「ヒット カウントの表示」を参照してください。

Name

規則の名前。規則を複製する場合は、最小設定として固有の名前を入力する必要があります。その他のフィールドはすべて任意です。

Status

規則のステータスは、次のとおりです。

• Enabled：規則はアクティブです。

• Disabled：ACS によって規則の結果は適用されません。

• Monitor：規則はアクティブですが、ACS によって規則の結果は適用されません。ヒット カウントなどの結果はログに書き込まれます。ログ エントリには、規則がモニタだけであることを示す情報が含まれます。モニタ オプションは、新規の規則の結果を確認する場合に特に役立ちます。

<condition(s)>

規則に対して設定できる条件。各条件のデフォルト値は、[ANY] です。条件の値を変更するには、条件チェックボックスをオンにし、値を入力します。

複合式の条件が使用できる場合は、[Compound Expression] をオンにすると、式ビルダーが表示されます。詳細については、「複合条件の設定」を参照してください。

ポリシーの条件のリストを変更するには、「NDAC ポリシー ページ」の [Customize] ボタンをクリックします。

Security Group

対応する条件に一致した場合にデバイスに割り当てるセキュリティ グループを選択します。

Tunnel PAC Time To Live

PAC が期限切れになり置換する必要が生じるまでの PAC の存続可能時間（TTL）または期間。

Proactive PAC Update When % of PAC TTL is Left

PAC の更新が必要になる時点における PAC TTL の残り時間のパーセンテージ。