- はじめに
- ACS 5.2 の導入
- ACS 4.x から ACS 5.2 への移行
- ACS 5.x ポリシー モデル
- ACS を使用した一般的なシナリオ
- [My Workspace] の概要
- インストール後の設定タスク
- ネットワーク リソースの管理
- ユーザおよび ID ストアの管理
- ポリシー要素の管理
- アクセス ポリシーの管理
- ACS での監視とレポート
- アラームの管理
- レポートの管理
- Monitoring & Report Viewer を使用した ACS のトラブルシューティング
- Monitoring & Report Viewer でのシステム の動作と設定の管理
- システム管理者の管理
- システムの動作の設定
- システム管理設定の管理
- ロギングの概要
- AAA プロトコル
- ACS 5.2 での認証
- 用語集
- 索引
Cisco Secure Access Control System 5.2 ユーザ ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月6日
章のタイトル： ポリシー要素の管理
ポリシー要素の管理
ACS ネットワークにアクセスを試みるクライアントを認証および認可する処理は、ポリシーによって定義されます。ユーザ、ネットワーク デバイス、またはネットワーク デバイスに関連付けられているユーザがクライアントとなります。
ポリシーは、規則のセットです。規則にはポリシー要素が含まれています。ポリシー要素は、規則テーブルに編成された条件と結果のセットです。ポリシーの設計および ACS でのポリシーの実装方法の詳細については、「ACS 5.x ポリシー モデル」を参照してください。
ポリシー規則を設定する前に、ポリシー要素を作成する必要があります。ポリシー要素は、ポリシーで使用される条件および結果です。作成したポリシー要素は、ポリシー規則で使用できます。サービス、ポリシー、およびポリシー規則の管理の詳細については、「アクセス ポリシーの管理」を参照してください。
（注） Cisco TrustSec ライセンスがインストールされている場合は、あとで TrustSec 認可ポリシーで使用できる、セキュリティ グループおよび Security Group Access Control Lists（SGACL; セキュリティ グループ アクセス コントロール リスト）も設定できます。TrustSec 用のセキュリティ グループの設定については、「セキュリティ グループの作成」を参照してください。
ポリシー条件の管理
•
要求/プロトコル アトリビュート：これらのアトリビュートは、ACS によって、ユーザが発行した認証要求から取得されます。
• ID アトリビュート：これらのアトリビュートは、要求を実行するユーザの ID と関連しています。これらのアトリビュートは、内部 ID ストア内のユーザ定義、または外部リポジトリ（LDAP や AD など）に保存されているユーザ定義から取得できます。
• ID グループ：ACS では、すべてのタイプのユーザおよびホストに使用される単一の ID グループ階層が保持されます。内部ユーザまたはホストの各定義に、この階層内の単一の ID グループとの関連付けを含めることができます。
グループ マッピング ポリシーを使用して、ユーザおよびホストを ID グループにマッピングできます。グループ内のすべてのユーザに対する共通のポリシー条件を設定するために、ID グループを条件に含めることができます。ID グループの作成の詳細については、「ID アトリビュートの管理」を参照してください。
• ネットワーク デバイス グループ（NDG）：要求を発行するデバイスが、1 つ以上、最大 12 のデバイス階層に含まれています。ポリシー条件には階層の要素を含めることができます。NDG の作成の詳細については、「ネットワーク デバイス グループ」を参照してください。
• 日付と時刻の条件：複数の特定の曜日について特定の時間間隔を定義する、名前付き条件を作成できます。また、日付と時刻の条件に有効期限を関連付けることもできます。
日付と時刻の条件に現在の日付および時刻を指定すると、実質的に、条件が満たされているかどうかを示す true または false が返されます。日付と時刻の条件には、次の 2 つのコンポーネントがあります。
– 期間のイネーブル化：このオプションは、開始時刻、終了時刻、または両方を任意で指定して、条件をイネーブルにする期間を制限する場合に使用します。このコンポーネントを使用すると、期間が限定され、実質的に失効する規則を作成できます。
この条件がイネーブルでない場合は、日付と時刻の条件のこのコンポーネントによって false が返されます。
– 時間間隔：ACS Web インターフェイスには、曜日および各日の時間を示す、時間のグリッドが表示されます。グリッド内の各セルは、1 時間を表します。これらのセルを設定またはクリアできます。
要求が処理される日付および時刻が、対応する時間間隔が設定された時間内に収まる場合は、日付と時刻の条件のこのコンポーネントによって true が返されます。
要求が処理されるとき、日付と時刻の条件の両方のコンポーネントが考慮されます。日付と時刻の条件は、両方のコンポーネントによって true 値が返された場合にだけ評価されます。
• ネットワークの条件：ネットワークへのアクセスを制限するために、次のタイプのフィルタを作成できます。
– 端末フィルタ：接続を開始および終了する端末を対象とします。端末は、要求から取得される IP アドレス、MAC アドレス、発信番号識別（CLI）、または Dialed Number Identification Service（DNIS; 着信番号識別サービス）の各フィールドによって識別されます。
– ネットワーク デバイス フィルタ：要求を処理する AAA クライアントを対象とします。ネットワーク デバイスは、その IP アドレス、ネットワーク デバイス リポジトリで定義されているデバイス名、または NDG によって識別されます。
– デバイス ポート フィルタ：ネットワーク デバイス定義は、端末が関連付けられているデバイス ポートによって補完される場合があります。
各ネットワーク デバイス条件には、オブジェクトのリストを定義します。このリストは、あとでポリシー条件に含めることができ、これにより、要求で示される定義と照合される定義セットになります。
条件で使用する演算子は、 match （示されている値がネットワーク条件の少なくとも 1 つのエントリと一致する必要がある場合）、または no matches （フィルタに存在するオブジェクト セット内のいずれのエントリにも一致しない必要がある場合）のいずれかになります。
プロトコル アトリビュートおよび ID アトリビュートをカスタム条件または複合条件で定義して、これらのアトリビュートを条件に含めることができます。
複合条件は、ポリシー規則プロパティ ページで定義し、個別の名前付き条件としては定義しません。「複合条件の設定」を参照してください。
カスタム条件および日付と時刻の条件は、セッション条件と呼ばれます。
ポリシー規則で使用できる（ただし設定はできない）その他の条件については、「ACS 5.x ポリシー モデル」を参照してください。
日付と時刻の条件の作成、複製、および編集
日付と時刻の条件を作成して、時間間隔および期間を指定します。たとえば、特定の休日期間におけるシフトを定義できます。ACS で日付と時刻の条件を含む規則が処理されるとき、日付と時刻の条件は、要求を処理している ACS インスタンスの日付と時刻の情報と比較されます。この条件に関連付けられているクライアントは、セッションの継続中はこの条件の対象となります。
ポリシー決定を行うとき、ACS サーバでの時刻が使用されます。したがって、ACS サーバが属しているタイムゾーンに対応して、日付と時刻の条件を設定したことを確認してください。ユーザが使用しているタイムゾーンが ACS サーバのタイムゾーンとは異なる場合があります。
セッション条件を複製して、既存のセッション条件と同じか、または類似する新しいセッション条件を作成できます。複製の完了後、（元のまたは複製された）各セッション条件に個別にアクセスして、編集または削除します。
日付と時刻の条件を作成、複製、または編集するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Session Conditions] > [Date and Time] を選択します。
[Date and Time Conditions] ページが表示されます。
• 複製する条件の隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 変更する名前をクリックします。または、変更する条件の隣にあるチェックボックスをオンにして [Edit] をクリックします。
[Date and Time Properties] ページが表示されます。
ステップ 3 表 9-1 の説明に従って、必須フィールドに有効な設定データを入力します。
日付と時刻の条件をポリシーに追加するには、最初に規則テーブルをカスタマイズする必要があります。「ポリシーのカスタマイズ」を参照してください。
日付と時刻の条件が保存されます。[Date and Time Conditions] ページが表示され、作成または複製した新しい日付と時刻の条件が示されます。
カスタム セッション条件の作成、複製、および編集
プロトコルおよび ID ディクショナリには、多数のアトリビュートが含まれています。これらのアトリビュートのいずれかをポリシー規則の条件として使用するには、そのアトリビュートのカスタム条件を最初に作成する必要があります。カスタム条件により、ポリシー条件で使用する小さなアトリビュート サブセットを定義し、規則テーブル用の条件タイプの選択時に使用する焦点を絞った小さなリストを指定します。
複合条件にプロトコル アトリビュートおよび ID アトリビュートを含めることもできます。複合条件の詳細については、「複合条件の設定」を参照してください。
カスタム条件を作成するには、いずれかのディクショナリから特定のプロトコル（RADIUS や TACACS+）または ID アトリビュートを選択し、カスタム条件に名前を付ける必要があります。プロトコルおよび ID ディクショナリの詳細については、「グローバル システム オプションの設定」を参照してください。
ID アトリビュートまたは RADIUS アトリビュートを含むカスタム条件を作成する場合は、これらのアトリビュートの定義を含めることもできます。これにより、特定のアトリビュートに関連付けられている既存のカスタム条件を簡単に表示できます。
カスタム セッション条件を作成、複製、または編集するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Session Conditions] > [Custom] を選択します。
[Custom Conditions] ページが表示されます。
• 複製する条件の隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 変更する名前をクリックします。または、変更する条件の隣にあるチェックボックスをオンにして [Edit] をクリックします。
[Custom Condition Properties] ページが表示されます。
ステップ 3 表 9-2 に従い、必須フィールドに有効な設定データを入力します。
カスタム条件をポリシーに追加するには、最初に規則テーブルをカスタマイズする必要があります。「ポリシーのカスタマイズ」を参照してください。
新しいカスタム セッション条件が保存されます。[Custom Condition] ページが表示され、新しいカスタム セッション条件が示されます。この条件に関連付けられているクライアントは、セッションの継続中はこの条件の対象となります。
セッション条件の削除
ステップ 1 [Policy Elements] > [Session Conditions] > session condition を選択します。ここで、 session condition は、[Date and Time] または [Custom] です。
[Session Condition] ページが表示されます。
ステップ 2 削除するセッション条件の隣にあるチェックボックスを 1 つ以上オンにして、[Delete] をクリックします。
Are you sure you want to delete the selected item/items?
[Session Condition] ページが表示されます。このとき、削除したカスタム セッション条件は表示されません。
ネットワーク条件の管理
フィルタは、端末、ネットワーク デバイス、およびネットワーク デバイス ポート用に作成した再利用可能なネットワーク条件です。フィルタを使用すると、ACS 5.2 では次のことを実行できます。
• ユーザおよびデイバスにネットワーク アクセスを許可するか許可しないかを決定する。
• ポリシーで使用する ID ストア、サービスなどに関する決定を行う。
名前の付いたフィルタを作成すると、その名前を参照して、さまざまな規則およびポリシーでそのフィルタを何度でも再利用できます。
（注） ACS 5.2 でのフィルタは、ACS 4.x での NAR に似ています。ACS 4.x では、NAR はユーザまたはユーザ グループに基づいていました。5.2 でのフィルタは、さまざまな規則およびポリシーで再利用できる独立した条件です。
ACS では、次の 3 つのタイプのフィルタが用意されています。
• 端末フィルタ：端末（端末の IP アドレス、MAC アドレス、CLID 番号、または DNIS 番号に基づいて接続を開始するラップトップやプリンタなど）をフィルタリングします。
端末の ID は、端末を一意に識別する IP アドレス、MAC アドレス、またはその他の任意の文字列になります。これは、プロトコル認識アトリビュート タイプの文字列であり、端末 ID のコピーが含まれています。
– RADIUS 要求では、この ID はアトリビュート 31（Calling-Station-Id）で使用できます。
– TACACS 要求では、ACS によって、（すべてのフェーズの）開始要求のリモート アドレス フィールドからこの ID が取得されます。ACS では、スラッシュ（/）区切り文字が存在する場合は、その前のリモート アドレス値が取得され、それ以外の場合はリモート アドレス値全体が取得されます。
端末 IPv4 は、IPv4 バージョンの端末 ID です。端末 MAC は、端末 ID の標準化された MAC アドレスです。
• デバイス フィルタ：端末の Policy Enforcement Point（PEP）として機能するネットワーク デバイス（AAA クライアント）を、ネットワーク デバイスの IP アドレスや名前、または端末が属するネットワーク デバイス グループに基づいてフィルタリングします。
デバイス ID は、デバイスの IP アドレスや名前である場合、またはデバイスが属するネットワーク デバイス グループに基づく場合があります。
この IP アドレスは、IPv4 タイプのプロトコル認識アトリビュートであり、要求から取得したデバイス IP アドレスのコピーが含まれています。
– RADIUS 要求では、アトリビュート 4（NAS-IP-Address）が存在すると、ACS によってアトリビュート 4 から IP アドレスが取得されます。それ以外の場合は、アトリビュート 32（NAS-Identifier）が存在すると、ACS によってアトリビュート 32 から IP アドレスが取得されるか、または受信したパケットから IP アドレスが取得されます。
– TACACS 要求では、IP アドレスは ACS が受信したパケットから取得されます。
デバイス名は、ACS リポジトリから取得されるデバイス名のコピーを含む文字列タイプのアトリビュートです。
デバイス ディクショナリ（NDG ディクショナリ）には、Location、Device Type、NDG を表すその他の動的に作成されたアトリビュートなどのネットワーク デバイス グループ アトリビュートが含まれています。これらのアトリビュートには、現在のデバイスが関連付けられているグループが含まれています。
• デバイス ポート フィルタ：端末が接続しているデバイスの物理ポートをフィルタリングします。フィルタリングはデバイスの IP アドレス、名前、デバイスが属している NDG、およびポートに基づいて行われます。
デバイス ポート ID は、次のような文字列タイプのアトリビュートです。
– RADIUS 要求では、アトリビュート 5（NAS-Port）が要求に含まれていると、ACS によってアトリビュート 5 から値が取得され、アトリビュート 87（NAS-Port-Id）が要求に含まれていると、ACS によってアトリビュート 87 から要求が取得されます。
– TACACS 要求では、ACS によって、（すべてのフェーズの）開始要求のポート フィールドからこの ID が取得されます。
デバイス名は、ACS リポジトリから取得されるデバイス名のコピーを含む文字列タイプのアトリビュートです。
デバイス ディクショナリ（NDG ディクショナリ）には、Location、Device Type、NDG を表すその他の動的に作成されたアトリビュートなどのネットワーク デバイス グループ アトリビュートが含まれています。これらのアトリビュートには、現在のデバイスが関連付けられているグループが含まれています。
これらのフィルタを作成、複製、および編集できます。フィルタの内容を .csv ファイルから一括インポートしたり、ACS のフィルタを .csv ファイルにエクスポートしたりできます。ネットワーク条件の一括インポート方法の詳細については、「ネットワーク条件のインポート」を参照してください。
ネットワーク条件のインポート
一括インポート機能を使用して、次のネットワーク条件の内容をインポートできます。
一括インポートの場合は、ACS から .csv ファイル テンプレートをダウンロードし、.csv ファイルにインポートするレコードを追加し、そのファイルをハード ドライブに保存する必要があります。Download Template 機能を使用して、.csv ファイルが要件に準拠するようにします。
端末フィルタ、デバイス フィルタ、およびデバイス ポート フィルタの .csv テンプレートは、それぞれのタイプに固有のテンプレートです。たとえば、[End Station Filters] ページからアクセスしてダウンロードしたテンプレートは、デバイス フィルタまたはデバイス ポート フィルタのインポートには使用できません。.csv ファイルは次の要件に準拠している必要があります。
• 最初のレコード（.csv ファイルの最初の行）の内容は変更しないでください。
• 英語以外の言語では、.csv ファイルを utf-8 符号化で符号化するか、Unicode をサポートするフォントを使用して保存します。
インポート プロセスでは、ACS の既存のフィルタ リストにフィルタが追加されるのではなく、既存のリストが置き換えられます。.csv ファイルからレコードをインポートすると、ACS の既存のフィルタ設定が、.csv ファイルのフィルタ設定に置き換えられます。
ステップ 1 Web インターフェイスの [End Station Filter]、[Device Filter]、または [Device Port Filter] ページ上の [Replace from File] ボタンをクリックします。
[Replace from File] ダイアログボックスが表示されます。
ステップ 2 .csv ファイル テンプレートがない場合は、[Download Template] をクリックして、.csv ファイル テンプレートをダウンロードします。
ステップ 3 [Browse] をクリックして、.csv ファイルに移動します。
ステップ 4 [Start Replace] をクリックして、一括インポート プロセスを開始します。
インポートの進行状況が同じページに表示されます。一括インポートの進行状況を監視できます。.csv ファイルのレコードのデータ転送失敗が表示されます。
ステップ 5 [Import Progress] ウィンドウを閉じるには、[Close] をクリックします。
システムに一度に送信できる .csv ファイルは 1 つだけです。インポートが進行中である場合、追加のインポートは、最初のインポートが完了するまで成功しません。
ワンポイント アドバイス テンプレートをダウンロードしてインポート ファイルを作成する代わりに、特定のフィルタのエクスポート ファイルを使用して、そのファイル内の情報を更新し、保存し、それをインポート ファイルとして再利用できます。
ネットワーク条件のエクスポート
ACS 5.2 では、.csv ファイル形式でフィルタ設定データをエクスポートするための一括エクスポート機能を提供しています。次のフィルタ設定をエクスポートできます。
これらいずれかのフィルタの作成、編集、または複製のページで、[Export to File] をクリックして、フィルタ設定を .csv ファイルとしてローカル ハード ドライブに保存します。
端末フィルタの作成、複製、および編集
[End Station Filters] ページを使用して、端末フィルタを作成、複製、および編集します。次の内容を実行します。
ステップ 1 [Policy Elements] > [Session Conditions] > [Network Conditions] > [End Station Filters] を選択します。
[End Station Filters] ページが表示され、設定した端末フィルタのリストが示されます。
ステップ 2 [Create] をクリックします。次のことも実行できます。
• 複製する端末フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する端末フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
• [Export] をクリックして、端末フィルタのリストを .csv ファイルに保存します。詳細については、「ネットワーク条件のエクスポート」を参照してください。
• [Replace from File] をクリックして、.csv インポート ファイルから端末フィルタの一括インポートを実行します。詳細については、「ネットワーク条件のインポート」を参照してください。
ステップ 4 次の 1 つ以上のタブのフィールドを編集します。
• IP Address：このタブのフィールドについては、「IP アドレスベースの端末フィルタの定義」を参照してください。
• MAC Address：このタブのフィールドについては、「MAC アドレスベースの端末フィルタの定義」を参照してください。
• CLI/DNIS：このタブのフィールドについては、「CLI または DNIS ベースの端末フィルタの定義」を参照してください。
（注） フィルタを設定するには、最低限、3 つのタブの少なくとも 1 つにフィルタ基準を入力する必要があります。
ステップ 5 [Submit] をクリックして変更を保存します。
端末へのアクセスを許可または拒否する場合、その端末の IP アドレスを作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [IP Address] タブから、次のいずれかを実行します。
• 複製する IP ベースの端末フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する IP ベースの端末フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
• Single IP Address：このオプションを選択した場合、有効な IPv4 アドレスを x . x . x . x 形式で入力する必要があります。 x は 0 ～ 255 の任意の数字です。
• IP Range(s)：このオプションを選択した場合、有効な IPv4 アドレスおよびサブネット マスクを入力して、IP アドレスの範囲をフィルタリングする必要があります。デフォルトでは、サブネット マスクの値は 32 です。
• 「CLI または DNIS ベースの端末フィルタの定義」
端末または宛先へのアクセスを許可または拒否する場合、その端末または宛先の MAC アドレスを作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [MAC Address] タブから、次のいずれかを実行します。
• 複製する MAC アドレスベースの端末フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する MAC アドレスベースの端末フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
ステップ 2 [End Station MAC] チェックボックスをオンにして、端末の MAC アドレスを入力します。
任意で、このフィールドを ANY に設定して任意の MAC アドレスを参照できます。
ステップ 3 [Destination MAC] チェックボックスをオンにして、宛先マシンの MAC アドレスを入力します。
任意で、このフィールドを ANY に設定して任意の MAC アドレスを参照できます。
（注） MAC アドレスを xxxxxxxxxxxx、xx-xx-xx-xx-xx-xx、xx:xx:xx:xx:xx:xx、または xxxx.xxxx.xxxx のいずれかの形式で入力する必要があります。x は、0 ～ 9 または A ～ F の任意の数字です。MAC アドレスにワイルドカード文字は使用できません。
• 「CLI または DNIS ベースの端末フィルタの定義」
端末や宛先へのアクセスを許可または拒否する場合、その端末や宛先の CLI および DNIS 番号を作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [CLI/DNIS] タブから、次のいずれかを実行します。
• 複製する CLI または DNIS ベースの端末フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する CLI または DNIS ベースの端末フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
ステップ 2 [CLI] チェックボックスをオンにして、端末の CLI 番号を入力します。
任意で、このフィールドを ANY に設定して任意の CLI アドレスを参照できます。
ステップ 3 [DNIS] チェックボックスをオンにして、宛先マシンの DNIS 番号を入力します。
任意で、このフィールドを ANY に設定して任意の DNIS 番号を参照できます。
（注） ? 文字 およびワイルドカード文字（*）を使用して、任意の単一文字または 1 つ以上の連続する文字をそれぞれ参照できます。
デバイス フィルタの作成、複製、および編集
[Device Filters] ページを使用して、デバイス フィルタを作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [Policy Elements] > [Session Conditions] > [Network Conditions] > [Device Filters] を選択します。
[Device Filters] ページが表示され、設定したデバイス フィルタのリストが示されます。
ステップ 2 [Create] をクリックします。次のことも実行できます。
• 複製するデバイス フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集するデバイス フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
• [Export] をクリックして、デバイス フィルタのリストを .csv ファイルに保存します。詳細については、「ネットワーク条件のエクスポート」を参照してください。
• [Replace from File] をクリックして、.csv インポート ファイルからデバイス フィルタの一括インポートを実行します。詳細については、「ネットワーク条件のインポート」を参照してください。
ステップ 4 次のいずれかのタブまたはすべてのタブのフィールドを編集します。
• IP Address：このタブのフィールドについては、「IP アドレスベースのデバイス フィルタの定義」を参照してください。
• Device Name：このタブのフィールドについては、「名前ベースのデバイス フィルタの定義」を参照してください。
• Network Device Group：このタブのフィールドについては、「NDG ベースのデバイス フィルタの定義」を参照してください。
（注） フィルタを設定するには、最低限、3 つのタブの少なくとも 1 つにフィルタ基準を入力する必要があります。
ステップ 5 [Submit] をクリックして変更を保存します。
ネットワーク デバイスへのアクセスを許可または拒否する場合、そのネットワーク デバイスの IP アドレスを作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [IP Address] タブから、次のいずれかを実行します。
• 複製する IP ベースのデバイス フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する IP ベースのデバイス フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
• Single IP Address：このオプションを選択した場合、有効な IPv4 アドレスを x . x . x . x 形式で入力する必要があります。 x は 0 ～ 255 の任意の数字です。
• IP Range(s)：このオプションを選択した場合、有効な IPv4 アドレスおよびサブネット マスクを入力して、IP アドレスの範囲をフィルタリングする必要があります。デフォルトでは、サブネット マスクの値は 32 です。
ネットワーク デバイスへのアクセスを許可または拒否する場合、そのネットワーク デバイスの名前を作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [Device Name] タブから、次のいずれかを実行します。
• 複製する名前ベースのデバイス フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する名前ベースのデバイス フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
ステップ 2 [Select] をクリックして、フィルタリングするネットワーク デバイスを選択します。
ネットワーク デバイス グループ タイプへのアクセスを許可または拒否する場合、そのネットワーク デバイス グループ タイプを作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [Network Device Group] タブから、次のいずれかを実行します。
b. 複製する NDG ベースのデバイス フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
c. 編集する NDG ベースのデバイス フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
ステップ 2 [Select] をクリックして、フィルタリングするネットワーク デバイス グループ タイプを選択します。
ステップ 3 [Select] をクリックして、フィルタリングするネットワーク デバイス グループ値を選択します。
デバイス ポート フィルタの作成、複製、および編集
[Device Port Filters] ページを使用して、デバイス ポート フィルタを作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [Policy Elements] > [Session Conditions] > [Network Conditions] > [Device Port Filters] を選択します。
[Device Port Filters] ページが表示され、設定したデバイス ポート フィルタのリストが示されます。
ステップ 2 [Create] をクリックします。次のことも実行できます。
• 複製するデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集するデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
• [Export] をクリックして、デバイス ポート フィルタのリストを .csv ファイルに保存します。詳細については、「ネットワーク条件のエクスポート」を参照してください。
• [Replace from File] をクリックして、.csv インポート ファイルからデバイス ポート フィルタの一括インポートを実行します。詳細については、「ネットワーク条件のインポート」を参照してください。
• Description：デバイス ポート フィルタの説明。
ステップ 4 次のいずれかのタブまたはすべてのタブのフィールドを編集します。
• IP Address：このタブのフィールドについては、「IP アドレスベースのデバイス ポート フィルタの定義」を参照してください。
• Device Name：このタブのフィールドについては、「NDG ベースのデバイス ポート フィルタの定義」を参照してください。
• Network Device Group：このタブのフィールドについては、「NDG ベースのデバイス ポート フィルタの定義」を参照してください。
（注） フィルタを設定するには、最低限、3 つのタブの少なくとも 1 つにフィルタ基準を入力する必要があります。
ステップ 5 [Submit] をクリックして変更を保存します。
ネットワーク デバイス ポートへのアクセスを許可または拒否する場合、そのネットワーク デバイス ポートの IP アドレスを作成、複製、および編集できます。次の内容を実行します。
[IP Address] タブから、次のいずれかを実行します。
• 複製する IP ベースのデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する IP ベースのデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
• Single IP Address：このオプションを選択した場合、有効な IPv4 アドレスを x . x . x . x 形式で入力する必要があります。 x は 0 ～ 255 の任意の数字です。
• IP Range(s)：このオプションを選択した場合、有効な IPv4 アドレスおよびサブネット マスクを入力して、IP アドレスの範囲をフィルタリングする必要があります。デフォルトでは、サブネット マスクの値は 32 です。
ステップ 3 [Port] チェックボックスをオンにして、ポート番号を入力します。このフィールドは文字列タイプであり、数字または文字を含めることができます。次のワイルドカード文字を使用できます。
たとえば、文字列「p*1*」は、「p」の文字で始まり、数字の 1 を含むすべての単語と一致します（port1、port15 など）。
ネットワーク デバイスおよびポートへのアクセスを許可または拒否する場合、そのネットワーク デバイスおよびポートの名前を作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [Device Name] タブから、次のいずれかを実行します。
• 複製する名前ベースのデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する名前ベースのデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
ステップ 2 [Select] をクリックして、フィルタリングするネットワーク デバイスを選択します。
ステップ 3 [Port] チェックボックスをオンにして、ポート番号を入力します。
• 「IP アドレスベースのデバイス ポート フィルタの定義」
ネットワーク デバイス グループ タイプおよびポートへのアクセスを許可または拒否する場合、そのネットワーク デバイス グループ タイプおよびポートの名前を作成、複製、および編集できます。次の内容を実行します。
ステップ 1 [Network Device Group] タブから、次のいずれかを実行します。
• 複製する NDG ベースのデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 編集する NDG ベースのデバイス ポート フィルタの隣にあるチェックボックスをオンにし、[Edit] をクリックします。
ステップ 2 [Select] をクリックして、フィルタリングするネットワーク デバイス グループ タイプを選択します。
ステップ 3 [Select] をクリックして、フィルタリングするネットワーク デバイス グループ値を選択します。
ステップ 4 [Port] チェックボックスをオンにして、ポート番号を入力します。
認可および権限の管理
認可および権限を定義して、特定のポリシー規則に関連付けられている結果を決定できます。
• ネットワーク アクセス認可用の認可プロファイル（RADIUS 用）。
• TACACS+ シェル セッション用のシェル プロファイル、およびデバイス管理用のコマンド セット。
• Cisco TrustSec のセキュリティ グループおよびセキュリティ グループ ACL。これらのポリシー要素の設定については、「ACS および Cisco TrustSec」を参照してください。
• 「ネットワーク アクセス用の認可プロファイルの作成、複製、および編集」
• 「デバイス管理用のシェル プロファイルの作成、複製、および編集」
• 「管理デバイス用のコマンド セットの作成、複製、および編集」
• 「セキュリティ グループ アクセス コントロール リストの設定」
ネットワーク アクセス用の認可プロファイルの作成、複製、および編集
認可プロファイルを作成して、さまざまなタイプのユーザにネットワークへのアクセスを認可する方法を定義します。たとえば、VPN 接続を介してネットワークへのアクセスを試みるユーザには、有線接続を介してネットワークへのアクセスを試みるユーザよりも厳しく取り扱うことを定義できます。
認可プロファイルでは、Access-Accept 応答が返すアトリビュートと値のセットが定義されます。次を指定することができます。
• VLAN 情報、リダイレクト用の URL などの共通データ。この情報は、未加工の RADIUS パラメータ情報に自動的に変換されます。
• RADIUS 認可パラメータ：任意の RADIUS アトリビュートを選択し、返す対応値を指定できます。
認可プロファイルを複製して、既存の認可プロファイルと同じか、または類似する新しい認可プロファイルを作成できます。複製の完了後、（元のまたは複製された）各認可プロファイルに個別にアクセスして、編集または削除します。
作成した認可プロファイルは、ネットワーク アクセス セッションの認可ポリシーの結果として使用できます。
認可プロファイルを作成、複製、または編集するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Network Access] > [Authorization Profile] を選択します。
[Authorization Profiles] ページが表示され、 表 9-3 で説明されているフィールドが示されます。
|
|
|
|---|---|
• 複製する認可プロファイルの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 変更する名前をクリックします。または、変更する名前の隣にあるチェックボックスをオンにして [Edit] をクリックします。
[Authorization Profile Properties] ページが表示されます。
ステップ 3 各タブの必須フィールドに有効な設定データを入力します。次の章を参照してください。
• 「認可プロファイルでの RADIUS アトリビュートの指定」
認可プロファイルが保存されます。[Authorization Profiles] ページが表示され、作成または複製した認可プロファイルが示されます。
認可プロファイルの指定
認可プロファイルのタブを使用して、ネットワーク アクセス認可プロファイルの名前および説明を設定します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Network Access] > [Authorization Profiles] を選択し、次の項目をクリックします。
• 新しいネットワーク アクセス認可定義を作成するには、[Create]。
• ネットワーク アクセス認可定義を複製するには、[Duplicate]。
• ネットワーク アクセス認可定義を編集するには、[Edit]。
ステップ 2 表 9-4 に従い、[Authorization Profile: General] ページの必須フィールドに入力します。
|
|
|
|---|---|
• 変更を保存して [Authorization Profiles] ページに戻るには、[Submit]。
• 認可プロファイルの共通タスクを設定するには、[Common Tasks] タブ。「認可プロファイルでの共通アトリビュートの指定」を参照してください。
• 認可プロファイルの RADIUS アトリビュートを設定するには、[RADIUS Attributes] タブ。「認可プロファイルでの RADIUS アトリビュートの指定」を参照してください。
認可プロファイルでの共通アトリビュートの指定
認可プロファイルのタブを使用して、ネットワーク アクセス認可プロファイルに含める共通 RADIUS アトリビュートを指定します。ACS では、指定した値が必須の RADIUS アトリビュートと値のペアに変換され、[RADIUS Attributes] タブに表示されます。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Network Access] > [Authorization Profiles] を選択し、次の項目をクリックします。
• [Create] をクリックして新しいネットワーク アクセス認可定義を作成してから、[Common Tasks] タブをクリックします。
• [Duplicate] をクリックしてネットワーク アクセス認可定義を複製してから、[Common Tasks] タブをクリックします。
• [Edit] をクリックしてネットワーク アクセス認可定義を編集してから、[Common Tasks] タブをクリックします。
ステップ 2 表 9-5 に従い、[Authorization Profile: Common Tasks] ページの必須フィールドに入力します。
|
|
|
|---|---|
|
|
|
定義済みのダウンロード可能 ACL が含まれます。ダウンロード可能 ACL の定義については、「ダウンロード可能 ACL の作成、複製、および編集」を参照してください。 |
|
|
|
|
|
|
|
|
|
|
再認証の実行時に接続が確実に保持されるようにするには、[Yes] をクリックします。デフォルトでは、[Yes] が選択されています。このフィールドは、再認証タイマーを定義した場合にだけイネーブルになります。 |
|
|
|
|
|
|
|
[Static] を選択した場合は、802.1X-REV LinkSec セキュリティ ポリシーの値を選択する必要があります。有効なオプションは次のとおりです。 |
|
|
|
|
URL リダイレクト用のアクセス コントロール リスト（ACL）の名前が含まれます。URL リダイレクトを定義した場合は、その URL リダイレクション用の ACL も定義する必要があります。 |
|
認可プロファイルでの RADIUS アトリビュートの指定
認可プロファイルのタブを使用して、認可プロファイルの Access-Accept パケットに含める RADIUS アトリビュートを設定します。タブには、[Common Tasks] タブで選択した RADIUS アトリビュート パラメータも表示されます。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Network Access] > [Authorization Profiles] を選択し、次の項目をクリックします。
• [Create] をクリックして新しいネットワーク アクセス認可定義を作成してから、[RADIUS Attributes] タブをクリックします。
• 複製する認可プロファイルの隣にあるチェックボックスをオンにして、[Duplicate] をクリックし、次に、[RADIUS Attributes] タブをクリックします。
• 編集する認可プロファイルの隣にあるチェックボックスをオンにして、[Edit] をクリックし、次に、[RADIUS Attributes] タブをクリックします。
ステップ 2 表 9-6 に従い、[Authorization Profile: RADIUS Attributes] ページの必須フィールドに入力します。
• 認可プロファイルの基本情報。「認可プロファイルの指定」を参照してください。
• 認可プロファイルの共通タスク。「認可プロファイルでの共通アトリビュートの指定」を参照してください。
セキュリティ グループの作成および編集
セキュリティ グループのページを使用して、セキュリティ グループおよび Security Group Tag（SGT; セキュリティ グループ タグ）の名前および詳細を表示し、セキュリティ グループを作成、複製、および編集するためのページを開きます。
セキュリティ グループを作成すると、ACS によって固有の SGT が生成されます。ネットワーク デバイスは、ACS に SGT 情報を問い合せることができます。ネットワーク デバイスでは、この SGT 情報を使用して、入力時にパケットにタグ付けまたはペイントを行い、それらのパケットが出力時に出力ポリシーに従ってフィルタリングできるようにします。出力ポリシーの設定については、「[Egress Policy Matrix] ページ」を参照してください。
ステップ 1 [Policy Elements] > [Authorizations and Permissions] > [Network Access] > [Security Groups] を選択します。
表 9-7 で説明されている [Security Groups] ページが表示されます。
|
|
|
|---|---|
• 新しいセキュリティ グループを作成するには、[Create]。
• セキュリティ グループを複製するには、[Duplicate]。
ステップ 3 [Name] フィールドおよび [Description] フィールドに必須情報を入力し、[Submit] をクリックします。
デバイス管理用のシェル プロファイルの作成、複製、および編集
Cisco IOS シェル プロファイルおよびコマンド セットの認可を設定できます。シェル プロファイルとコマンド セットは、認可のために結合されています。シェル プロファイル認可によって、認可を要求しているユーザに次の機能を許可するかどうかが決定され、この決定は、そのユーザのセッションの間適用されます。
• デバイス管理やネットワーク アクセスなどの一般的な機能。
シェル プロファイル定義は、次の 2 つのコンポーネントに分けられています。
[Common Tasks] タブを使用すると、頻繁に使用されるプロファイル アトリビュートを選択および設定できます。このタブに含まれているアトリビュートは、TACACS プロトコルのドラフト規格で定義されているアトリビュートです。これらのアトリビュートは、特に、シェル サービスに関連しています。ただし、これらの値は、他のサービスからの要求の認可に使用される場合があります。
[Custom Attributes] タブを使用すると、追加のアトリビュートを設定できます。各定義は、アトリビュート名、アトリビュートが必須であるか任意であるかの指定、およびアトリビュートの値で構成されています。カスタム アトリビュートは、非シェル サービスに対して定義できます。
シェル プロファイルで指定するアトリビュートについては、使用する AAA クライアントで稼動している Cisco IOS ソフトウェア リリースの Cisco IOS マニュアルを参照してください。
作成したシェル プロファイルおよびコマンド セットは、規則テーブル内の認可および権限で使用できます。
既存のシェル プロファイルと同じか、または類似する新しいシェル プロファイルを作成する場合は、シェル プロファイルを複製できます。
複製の完了後、（元のまたは複製された）各シェル プロファイルに個別にアクセスして、編集または削除します。
シェル プロファイルを作成、複製、または編集するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Device Administration] > [Shell Profiles] を選択します。
• 複製するシェル プロファイルの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 変更する名前をクリックします。または、変更する名前の隣にあるチェックボックスをオンにして [Edit] をクリックします。
[Shell Profile Properties] ページの [General] タブが表示されます。
ステップ 3 各タブの必須フィールドに有効な設定データを入力します。最小設定としてシェル プロファイルの固有の名前を入力する必要があります。その他のフィールドはすべて任意です。次の章を参照してください。
シェル プロファイルが保存されます。[Shell Profiles] ページが表示され、作成または複製したシェル プロファイルが示されます。
• 「ネットワーク アクセス用の認可プロファイルの作成、複製、および編集」
シェル プロファイルの一般プロパティの定義
シェル プロファイルのページを使用して、シェル プロファイルの一般プロパティを定義します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Device Administration] > [Shell Profiles] を選択してから、次のいずれかを実行します。
• 複製するシェル プロファイルの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
• 変更する名前をクリックします。または、変更する名前の隣にあるチェックボックスをオンにして [Edit] をクリックします。
ステップ 2 表 9-8 で説明されている [Shell Profile: General] フィールドに入力します。
|
|
|
|---|---|
• 変更を保存して [Shell Profiles] ページに戻るには、[Submit]。
• 認可プロファイルの特権レベルを設定するには、[Common Tasks] タブ。「共通タスクの定義」を参照してください。
• 認可プロファイルの RADIUS アトリビュートを設定するには、[Custom Attributes] タブ。「カスタム アトリビュートの定義」を参照してください。
共通タスクの定義
共通タスクのページを使用して、シェル プロファイルの特権レベルおよびアトリビュートを定義します。これらのアトリビュートは、TACACS+ プロトコルによって定義されます。
これらのアトリビュートについては、使用する AAA クライアントで稼動している Cisco IOS ソフトウェア リリースの Cisco IOS マニュアルを参照してください。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Device Administration] > [Shell Profiles] を選択してから、次の項目をクリックします。
• [Create] をクリックして新しいシェル プロファイルを作成してから、[Common Tasks] をクリックします。
• [Duplicate] をクリックしてシェル プロファイルを複製してから、[Common Tasks] をクリックします。
• [Edit] をクリックしてシェル プロファイルを編集してから、[Common Tasks] をクリックします。
ステップ 2 表 9-9 の説明に従って、[Shell Profile: Common Tasks] ページに入力します。
• 変更を保存して [Shell Profiles] ページに戻るには、[Submit]。
• 認可プロファイルの名前および説明を設定するには、[General] タブ。「シェル プロファイルの一般プロパティの定義」を参照してください。
• 認可プロファイルのカスタム アトリビュートを設定するには、[Custom Attributes] タブ。「カスタム アトリビュートの定義」を参照してください。
カスタム アトリビュートの定義
カスタム アトリビュートのタブを使用して、シェル プロファイルのカスタム アトリビュートを定義します。このタブには、[Common Tasks] タブで選択した共通タスク アトリビュートも表示されます。
ステップ 1 表 9-10 の説明に従って、[Custom Attributes] タブのフィールドを編集します。
• 変更を保存して [Shell Profiles] ページに戻るには、[Submit]。
• 認可プロファイルの名前および説明を設定するには、[General] タブ。「シェル プロファイルの一般プロパティの定義」を参照してください。
• シェル プロファイルの特権レベルおよびアトリビュートを認可プロファイルに設定するには、[Common Tasks] タブ。「共通タスクの定義」を参照してください。
管理デバイス用のコマンド セットの作成、複製、および編集
コマンド セットによって、デバイス管理用に許可されたコマンドおよび引数が決まります。デバイス設定認可ポリシーの結果としてコマンド セットを指定できます。シェル プロファイルとコマンド セットは、認可のために統合されており、ユーザ セッションの間適用されます。
既存のコマンド セットと同じか、または類似する新しいコマンド セットを作成する場合は、コマンド セットを複製できます。複製の完了後、（元のまたは複製された）各コマンド セットに個別にアクセスして、編集または削除します。
作成したコマンド セットは、規則テーブル内の認可および権限で使用できます。規則に複数のコマンド セットが含まれている場合があります。 「デバイス管理用のシェル プロファイルの作成、複製、および編集」 を参照してください。
（注） コマンド セットでは、TACACS+ プロトコル アトリビュートだけがサポートされています。
新しいコマンド セットを作成、複製、または編集するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Device Administration] > [Command Sets] を選択します。
[Command Set Properties] ページが表示されます。
• 複製するコマンド セットの隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
[Command Set Properties] ページが表示されます。
• 変更する名前をクリックします。または、変更する名前の隣にあるチェックボックスをオンにして [Edit] をクリックします。
[Command Set Properties] ページが表示されます。
• [File Operations] をクリックして、次のいずれかの機能を実行します。
–Add：コマンド セットをインポート ファイルから ACS に追加するには、このオプションを選択します。
–Update：ACS でのコマンド セットのリストをインポート ファイル内のコマンド セットのリストに置き換えるには、このオプションを選択します。
–Delete：インポート ファイルでリストされているコマンド セットを ACS から削除するには、このオプションを選択します。
一括操作の詳細については、「ネットワーク リソースおよびユーザに関する一括操作の実行」を参照してください。
• ACS からコマンド セットをローカル ハードディスクにエクスポートするには、[Export] をクリックします。
ダイアログボックスが表示され、コマンド セットをセキュアにエクスポートするための暗号化パスワードを入力するよう要求するプロンプトが表示されます。
a. [Password] チェックボックスをオンにして、エクスポート プロセスでファイルを暗号化するためのパスワードを入力し、[Start Export] をクリックします。
b. 暗号化を使用しない場合は、[Start Export] をクリックして、コマンド セットをエクスポートします。
ステップ 3 必須フィールドに有効な設定データを入力します。
最小設定としてコマンド セットの固有の名前を入力する必要があります。その他のフィールドはすべて任意です。コマンドおよび引数を定義できます。他のコマンド セットのコマンドと引数を追加することもできます。
[Command Set Properties] ページのフィールドについては、 表 9-11 を参照してください。
コマンド セットが保存されます。[Command Sets] ページが表示され、作成または複製したコマンド セットが示されます。
• 「ネットワーク アクセス用の認可プロファイルの作成、複製、および編集」
ダウンロード可能 ACL の作成、複製、および編集
ダウンロード可能 ACL を定義して、Access-Accept メッセージを返すことができます。ACL を使用して、ネットワークに不要なトラフィックが発生することを防止します。ACL では、RADIUS プロトコルを使用して、送信元 IP アドレスと宛先 IP アドレス、トランスポート プロトコルなどをフィルタリングできます。
名前付き権限オブジェクトとして作成したダウンロード可能 ACL は、認可プロファイルに追加できます。その後、これらの認可プロファイルを認可ポリシーの結果として指定できます。
既存のダウンロード可能 ACL と同じか、または類似する新しいダウンロード可能 ACL を作成する場合は、ダウンロード可能 ACL を複製できます。
複製の完了後、（元のまたは複製された）各ダウンロード可能 ACL に個別にアクセスして、編集または削除します。
ダウンロード可能 ACL を作成、複製、または編集するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] > [Named Permission Objects] > [Downloadable ACLs] を選択します。
[Downloadable ACLs] ページが表示されます。
[Downloadable ACL Properties] ページが表示されます。
• 複製するダウンロード可能 ACL の隣にあるチェックボックスをオンにし、[Duplicate] をクリックします。
[Downloadable ACL Properties] ページが表示されます。
• 変更する名前をクリックします。または、変更する名前の隣にあるチェックボックスをオンにして [Edit] をクリックします。
[Downloadable ACL Properties] ページが表示されます。
• [File Operations] をクリックして、次のいずれかの機能を実行します。
–Add：インポート ファイルから ACL を ACS に追加するには、このオプションを選択します。
–Update：ACS での ACL のリストをインポート ファイル内の ACL のリストに置き換えるには、このオプションを選択します。
–Delete：インポート ファイルでリストされている ACL を ACS から削除するには、このオプションを選択します。
一括操作の詳細については、「ネットワーク リソースおよびユーザに関する一括操作の実行」を参照してください。
• ACS から DACL をローカル ハードディスクにエクスポートするには、[Export] をクリックします。
ダイアログボックスが表示され、DACL をセキュアにエクスポートするための暗号化パスワードを入力するよう要求するプロンプトが表示されます。
–[Password] チェックボックスをオンにして、エクスポート プロセスでファイルを暗号化するためのパスワードを入力し、[Start Export] をクリックします。
–暗号化を使用しない場合は、[Start Export] をクリックして、DACL をエクスポートします。
ステップ 3 表 9-12 に従い、有効な設定データを必須フィールドに入力し、標準 ACL 構文を使用して 1 つ以上の ACL を定義します。
|
|
|
|---|---|
| 標準 ACL コマンド構文と意味を使用します。ACL 定義は、1 つ以上の ACL コマンドで構成されています。各 ACL コマンドは、個別の行に挿入されています。 |
ダウンロード可能 ACL が保存されます。[Downloadable ACLs] ページが表示され、作成または複製したダウンロード可能 ACL が示されます。
• 「ネットワーク アクセス用の認可プロファイルの作成、複製、および編集」
認可および権限のポリシー要素の削除
認可および権限のポリシー要素を削除するには、次の手順を実行します。
ステップ 1 [Policy Elements] > [Authorization and Permissions] を選択してから、必要なオプションに移動します。
ステップ 2 削除する項目の隣にあるチェックボックスを 1 つ以上オンにして、[Delete] をクリックします。
Are you sure you want to delete the selected item/items?
ページが表示されます。このとき、削除されたオブジェクトは表示されません。
セキュリティ グループ アクセス コントロール リストの設定
セキュリティ グループ アクセス コントロール リスト（SGACL）が、送信元 SGT および宛先 SGT に基づいて、入力時に適用されます。このページは、SGACL を表示、作成、複製、および編集する場合に使用します。SGACL の名前またはコンテンツを変更すると、ACS ではその生成 ID が更新されます。SGACL の生成 ID が変更されると、関連する TrustSec ネットワーク デバイスによって SGACL のコンテンツがリロードされます。
また、SGACL は、Role-Based ACL（RBACL; ロールベースの ACL）とも呼ばれます。
ステップ 1 [Policy Elements] > [Authorizations and Permissions] > [Named Permissions Objects] > [Security Group ACLs] を選択します。
[Security Group Access Control Lists] ページが表示され、 表 9-13 で説明されているフィールドが示されます。
|
|
|
|---|---|
• 新しい SGACL を作成する場合は、[Create]。
ステップ 3 表 9-14 の説明に従って、[Security Group Access Control Lists Properties] ページのフィールドに入力します。
|
|
|
|---|---|
|
|
|
SGACL の名前。名前にはスペース、ハイフン（-）、疑問符（?）、または感嘆符（!）を使用できません。SGACL を作成すると、その生成 ID が表示されます。 |
|
フィードバック