Okta SSO を設定するには、Cisco vManage を使用して ID プロバイダーを有効にし、セキュリティ アサーション マークアップ言語（SAML）メタデータファイルを生成します。

1. Cisco vManage の左側のペインで、[Administration] > [Settings] を選択します。

2. [Identity Provider Settings] をクリックし、[Edit] をクリックします。

3. [Enabled] をクリックします。

4. [Click here to download the SAML metadata] をクリックし、内容をテキストファイルに保存します。このデータは Okta の設定に使用されます。

5. 表示されるメタデータから、Cisco vManage で Okta を設定するために必要な次の情報をメモします。

   • Entity ID

   • 署名付き証明書

   • 暗号化証明書

   • ログアウト URL

   • ログイン URL（Login URL）

Okta Webサイトで SSO を設定するには、次の手順に従います。

1. Okta Web サイトにログインします。

   （注）	各 IdP アプリケーションは、Okta Web サイトにログインするために、カスタマイズされた URL を Okta から取得します。

2. 電子メールアドレスを使用してユーザー名を作成します。

3. Cisco vManage を SSO アプリケーションとして追加するには、右上隅の [Admin] ボタンをクリックして次の画面に移動します。

4. 左上隅を確認して、Okta でクラシック UI ビューが表示されていることを確認します。

5. 開発者コンソールが表示されている場合は、下向きの三角形をクリックして [Classic UI] を選択します。

6. 右側の [Shortcuts] で [Add Application] をクリックして次の画面に移動し、ポップアップウィンドウで [Create New Application] をクリックします。

7. プラットフォームとして [Web] を選択し、[Sign on Method] として [SAML 2.0] を選択します。

8. [作成（Create）] をクリックします。

9. [Application name] にアプリケーション名として文字列を入力します。

10. （任意）：ロゴをアップロードし、[Next] をクリックします。

11. [SAML Settings for Single sign on URL] セクションで、値を、Cisco vManage の GUI からダウンロードしたメタデータの samlLoginResponse URL に設定します。

12. [Use this this for Recipient URL and Destination URL] チェックボックスをオンにします。

13. [entityID] の文字列をコピーし、[Audience URI (SP Entity ID)] フィールドに貼り付けます。

    この値は、IP アドレスまたは Cisco vManage サイトの名前です。

14. [Default RelayState] は空のままにします。

15. [Name ID format] で、[EmailAddress] を選択します。

16. [Application username] で、[Okta username] を選択します。

17. [Show Advanced Settings] で、フィールドに次のように入力します。

    表 2. [Show Advanced Settings] のフィールド

    コンポーネント	値	設定
    応答	署名済み	N/A
    アサーション署名	署名済み	N/A
    Signature Algorithm	RSA-SHA256	N/A
    Digest Algorithm	SHA256	N/A
    アサーションの暗号化	暗号化	N/A
    Encryption Algorithm	AES256-CBC	N/A
    Key Transport Algorithm	RSA-OAEP	N/A
    暗号化証明書	N/A	ダウンロードしたメタデータから暗号化証明書をコピーします。 www.samltool.com に移動し、[X.509 CERTS] をクリックして、そこに貼り付けます。[Format X.509 Certificate] をクリックします。 最後の空の行を削除し、出力（ヘッダー付きの X.509.cert）をテキストファイル encryption.cer に保存します。 ファイルをアップロードします。Mozilla Firefox では、アップロードできない場合があります。代わりに、Google Chrome を使用できます。Okta にアップロードすると、証明書情報が表示されます。
    シングルログアウトの有効化		これがオンになっていることを確認します。
    シングル ログアウト URL		メタデータから取得します。
    SP 発行者		メタデータの entityID を使用します。
    署名証明書		メタデータから取得します。www.samltool.com を使用し、説明に従って、署名証明書をフォーマットします。 signing.cer などのファイルに保存してアップロードします。
    Authentication context class	X.509 証明書	N/A
    オナー強制認証	対応	該当なし
    SAML issuer ID string	SAML 発行者 ID の文字列	N/A
    Attribute Statements	フィールド：[Name]	値：Username
    	フィールド：[Name format (optional)]	値：指定しない
    	フィールド：[Value]	値：user.login
    Group Attribute Statements	フィールド：[Name]	値：Groups
    	フィールド：[Name format (optional)]	値：指定しない
    	フィールド：[Matches regex]	値：.*

    （注）	上記のとおりに、Username と Groups という 2 つの文字列を使用する必要があります。それ以外の場合は、デフォルトグループの Basic でのログインになる可能性があります。

18. [Next] をクリックします。

19. [Application Type] で、[This is an internal app that we have created] をオンにします（任意）。

20. [Finish] をクリックします。これにより、Okta アプリケーションの画面が表示されます。

21. [View Setup Instructions] をクリックします。

22. IdP メタデータをコピーします。

23. Cisco vManage で、[Identity Provider Settings] > [Upload Identity Provider Metadata] に移動し、IdP メタデータを貼り付けて、[Save] をクリックします。

24. IdP メタデータが含まれたファイルの内容をコピーして貼り付けるだけでなく、[Select a file] オプションを使用してファイルを直接アップロードすることもできます。

Okta Web サイトでユーザーをアプリケーションに割り当てるには、次の手順に従います。

1. Okta アプリケーションの画面で、[Assignments] > [People] > [Assign] に移動します。

2. ドロップダウンリストから [Assign to people] を選択します。

3. 選択したユーザーの横にある [Assign] をクリックし、[Done] をクリックします。

4. ユーザーを追加するには、[Directory] > [Add Person] をクリックします。

5. [保存（Save）] をクリックします。

PingID を設定するには、次の手順に従います。

1. PingID 管理ポータルにログインします。

2. 電子メールアドレスを使用してユーザー名を作成します。

3. [アプリケーション（Applications）] タブをクリックします。

4. [Add Application] をクリックし、[New SAML Application] を選択します。

   [Application Details] セクションの [Application Name]、[Application Description]、および [Category] はすべて必須フィールドです。

   ロゴとアイコンについては、使用可能なグラフィック形式は PNG のみです。

5. [Continue to Next Step] をクリックします。

   [Application Configuration] セクションが表示されます。

6. [I have the SAML configuration] が選択されていることを確認します。

7. [You will need to download this SAML metadata to configure the application] セクションで、次のフィールドを設定します。

   1. [Signing Certificate] で、[PingOne Account Origination Certificate] ドロップダウンオプションを使用します。

   2. [SAML Metadata] の横にある [Download] をクリックして、PingOne IdP メタデータをファイルに保存します。

   3. SSO 設定を完了するには、後で、この PingOne IdP メタデータファイルを Cisco vManage にインポートする必要があります。

      1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します。

      2. [Identity Provider Settings] > [Upload Identity Provider Metadata] をクリックして、保存した PingOne IdP メタデータファイルを Cisco vManage にインポートします。

      3. [保存（Save）] をクリックします。

8. [Provide SAML details about the application you are connecting to] セクションで、次のフィールドを設定します。

   1. [Protocol Version] で、[SAMLv2.0] をクリックします。

   2. [Upload Metadata] で [Select File] をクリックして、保存した Cisco vManage SAML メタデータファイルを PingID にアップロードします。

      PingID は、メタデータファイルを復号化し、他のフィールドに入力できる必要があります。

   3. 次のフィールドと値が正しく入力されていることを確認します。

   フィールド	値
   Assertion Consumer Service（ACS）	<vManage_URL>/samlLoginResponse
   Entity ID	Cisco vManage の IP アドレス
   Single Logout Endpoint	<vManage_URL>/samlLogoutResponse
   Single Logout Binging Type	Redirect
   Primary Verification Certificate	証明書の名前
   Encrypt Assertion	（任意）アサーションを暗号化しないと、アサーション リプレイアタックなどの脆弱性が発生する可能性があります。
   Encryption Certification	証明書の名前
   Encryption Algorithm	（任意）AES_256
   Transport Algorithm	RSA_OAEP
   Signing Algorithm	RSA_SHA256
   Force Re-authentication	[はい（True）]

9. [Continue to Next Step] をクリックします。

10. [SSO Attribute Mapping] セクションで、次のフィールドを設定します。

    1. [Add new attribute] をクリックして次の属性を追加します。

       1. [Application Attribute] でアプリケーション属性を「Username」として追加します。

       2. [Identity Bridge Attribute or Literal Value Value] を [Email] に設定します。

       3. [Required] チェックボックスをオンにします。

       4. [Application Attribute] で別のアプリケーション属性を「Groups」として追加します。

       5. [Required] チェックボックスをオンにして、[Advanced] をクリックします。

       6. [IDP Attribute Name or Literal Value] セクションで [memberOf] をクリックし、[Function] で [GetLocalPartFromEmail] をクリックします。

    2. [保存（Save）] をクリックします。

11. [Continue to Next Step] をクリックして、グループアクセスを設定します。

12. [Continue to Next Step] をクリックします。

13. [Finish] をクリックする前に、設定がすべて正しいことを確認します。

強力なパスワードの使用を勧めします。強力なパスワードの使用を強制するには、Cisco vManage でパスワードポリシールールを有効にする必要があります。

1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します。

2. [Password Policy] で、[Edit] を選択します。

3. [Enabled] をクリックします。

   デフォルトでは、[Password Policy] は [Disabled] に設定されています。

4. [Password Expiration Time (Days)] フィールドで、パスワードが期限切れになるまでの日数を指定できます。

   デフォルトでは、パスワードの有効期限は 90 日です。

   パスワードの有効期限が切れる前に、有効期限の特定日数前にパスワードの変更を求めるバナーが表示されます。これは 30 日です。ただし、パスワードの有効期限フィールドが 60 日未満に設定されている場合は、指定した日数の半分が使用されます。パスワードを変更しないと、ログイン操作がブロックされます。ユーザーアカウントがロックされ、アカウントのロックを解除するには、管理者に連絡する必要があります。

   （注）	パスワード有効期限ポリシーは、admin ユーザーには適用されません。

Cisco vManage でクライアント セッション タイムアウトを設定できます。タイムアウトが設定されている場合（キーボードまたはキーストローク アクティビティがないときのタイムアウトなど）、クライアントはシステムから自動的にログアウトされます。

1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します。

2. [Client Session Timeout] をクリックします。

3. [Edit] をクリックします。

4. [Enabled] をクリックします。

5. タイムアウト値を分単位で指定します。

6. [保存（Save）] をクリックします。

セッションライフタイムを分単位で設定することにより、セッションをアクティブにしておく時間を指定できます。セッションライフタイムは、セッションをアクティブにしておくことができる時間を示します。

デフォルトのセッションライフタイムは 1440 分間（24 時間）です。

1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します

2. [Session Life Time] をクリックします。

3. [Edit] をクリックします。

4. [SessionLifeTime] フィールドで、セッションタイムアウト値（分単位）をドロップダウンリストから指定します。

5. [保存（Save）] をクリックします。

Cisco vManage でサーバー セッション タイムアウトを設定できます。サーバー セッション タイムアウトは、非アクティブが原因で期限切れになるまでにサーバーがセッションの動作を維持する必要がある時間を示します。デフォルトのサーバー セッション タイムアウトは 30 分です。

1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します

2. [Server Session Timeout] をクリックします。

3. [Edit] をクリックします。

4. [Timeout(minutes)] フィールドで、タイムアウト値を分単位で指定します。

5. [保存（Save）] をクリックします。

ユーザー名ごとに許可される同時 HTTP セッションの最大数を有効にすることができます。値として 2 を入力する場合、2 つの同時 HTTP セッションのみを開くことができます。同じユーザー名で 3 つ目の HTTP セッションを開こうとすると、3 つ目のセッションにアクセス権が付与され、最も古いセッションがログアウトされます。

1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します

2. [Max Sessions Per User] をクリックします。

3. [Edit] をクリックします。

4. [Enabled] をクリックします。

   デフォルトでは、[Max Sessions Per User] は [Disabled] に設定されています。

5. [Max Sessions Per User] フィールドで、ユーザーセッションの最大数の値を指定します。

6. [保存（Save）] をクリックします。

Cisco SD-WAN セルフサービスポータル（SSP）が Cisco SD-WAN オーバーレイネットワークを作成すると、そのオーバーレイネットワークの NTP サーバーが自動的に設定されます。設定されるサーバーは、米国国立標準技術研究所認証済み（NIST 認証済み）NTP サーバーです。ログを表示する場合、ログのタイムスタンプは、これらの NTP サーバーに対応します。

Cisco SD-WAN SSP は、次のように、オーバーレイネットワークに関して選択した場所に基づいて NTP サーバーを決定します。

• [US Gov West (California)]：コロラド州の NTP サーバー

• [US Gov East (Maryland)]：メリーランド州の NTP サーバー

すべての管理仮想プライベートクラウド（VPC）は、US Government Cloud West でホストされます。そのため、これらの VPC に対して設定される NTP サーバーは、コロラド州の NTP サーバーです。

任意で、次のセクションの説明に従って、NTP サーバーを設定できます。

Cisco vManage は、NLnet Labs が開発したオープンソースプロジェクトである Unbound を使用して DNSSEC 検証を実行します。Unbound は、簡単に使用および設定できるセキュアなドメインネームシステム（DNS）リゾルバです。

DNSSEC は、ドメイン名をインターネットアドレスに変換するために使用されるセキュリティのレイヤを DNS に追加します。

Unbound は、デーモン化されたローカル DNS サーバーとして Cisco vManage に統合されます。

Unbound は、次のタスクを実行します。

• DNS クエリをローカルアプリケーションから DNS サーバーに転送します。

• DNS サーバーからの応答を検証し、アプリケーションからのクエリに応答します。

• DNS サーバーの解決の結果をキャッシュします。

DNSSEC の応答を検証するために、DNSSEC サーバー（Cisco vManage で動作しているローカル Unbound サーバー）は、信頼するための特定のキーで設定されている必要があります。

DNS エントリは DNS サーバーによって秘密キーを使用して署名され、公開キーはそのサーバーによって DNSKEY リソースレコード（RR）として返されます。DNSKEY RR はハッシュ化され、親ゾーンの DNS サーバーが、そのハッシュを保存し、委任署名者 RR として公開します。

デフォルトでは、Unbound ドメインネームシステムを、ルート委任署名者と DNSKEY RR を自動的にダウンロードして信頼するように設定できます。また、auto-trust-anchor-file 設定オプションを使用すると、ルート委任署名者と DNSKEY RR を最新の状態に保つように設定することができます。

（注）	Cisco SD-WAN RESTful API を使用して DNSSEC 検証を設定します。

多くの官公庁機関は、Cisco vManage へのログインを試みるユーザーを認証するための独自の ID プロバイダー（IdP）またはシングルサインオン（SSO）メカニズムを保有しています。たとえば、社会保障のために sso.ssa.gov が使用されているとします。このドメイン名は、設定済みのプライベート DNS サーバー（DNSSEC にも対応）によって解決される必要があります。これにより、ネームサーバーリクエストのスプーフィングによる Cisco vManage の潜在的な DDoS 攻撃が防御されます。プライベート DNS サーバーが侵害されると、応答署名が一致しないため、転送は行われません。

DNSSEC 検証を有効にするには、request dnssec start CLI コマンドを使用します。DNSSEC 検証を無効にするには、request dnssec stop CLI コマンドを使用します。

次のように、restart コマンドまたは status コマンドを使用して、DNSSEC サーバーを再起動したり、そのステータスを確認することもできます。

vmanage# request dnssec ?
Description: Enable or disable DNSSEC server
Possible completions:
  restart   restart the unbound server
  start     start the unbound server
  status    show unbound server status information
  stop      stop the unbound server

（注）	すでに DNSSEC に対応している Amazon Web Services（AWS）などのクラウド環境では、DNSSEC を無効にする必要がある場合があります。

認証証明書を使用して Web ブラウザと Cisco vManage サーバーの間のセキュアな接続を確立するときは、証明書の有効期間を設定します（前のセクションの手順 8）。この期間が終了すると、証明書が期限切れになります。ウィンドウの [Web Server Certificate] バーに、有効期限の日時が表示されます。

証明書の有効期限が切れる 60 日前から、証明書の有効期限が近づいていることを示す通知が Cisco vManage ダッシュボードに表示されます。この通知は、有効期限の 30 日前、15 日前、および 7 日前に再表示され、その後は毎日表示されます。

署名付き証明書は、オーバーレイネットワーク内のデバイスの認証に使用されます。認証されたデバイスは、相互にセキュアなセッションを確立できます。

Cisco vManage を使用して、証明書署名要求（CSR）を生成し、署名付き証明書をインストールできます。証明書ルート CA には、次の 3 つのオプションがあります。

1. Cisco Root CA バンドル（ソフトウェアバージョン 19.2.3 以降を搭載のコントローラ、ソフトウェアバージョン 19.2.3 以降を搭載の Cisco SD-WAN デバイス、ソフトウェアバージョン 16.12.3+ または 16.10.4+ または 17.x+ 以降を搭載の Cisco IOS XE SD-WAN に提供済み）

2. Symantec/Digicert Root CA（すべてのコントローラ、Cisco SD-WAN デバイス、および Cisco IOS XE SD-WAN デバイスに提供済み）

3. お客様自身の Enterprise Root CA

（注）	証明書生成方式を 1 回だけ選択します。選択した方法は、オーバーレイネットワークにデバイスを追加するたびに自動的に適用されます。

コントローラ証明書を更新するには、展開タイプと証明書タイプに基づく適切なプロセスに従う必要があります。

• コントローラの認定許可設定は、すべてのコントローラデバイスの認証生成プロセスを設定します。詳細については、「Cisco SD-WAN コントローラ証明書」を参照してください。

• 証明書の更新にはコントロールプレーンのフラップ全体が含まれるため、シスコのプロビジョニング済みのクラウドホスト型コントローラの場合でも、上記の手順に従う必要があります。

• クラウド インフラストラクチャ チームは、お客様の証明書を自動的に更新しません。

• [Cisco vManage Settings] ページには、[Symantec Automated] または [Cisco Automated] のオプションがあります。このオプションの「自動」とは、CSR の自動送信と証明書の自動取得を指します。このオプションには、手動オプションと比較すると、プロセスの特定のステップの自動化が含まれます。ただし、各コントローラの CSR の生成をトリガーするステップは手動のままで、更新プロセスはお客様自身で開始します。

• Cisco vManage ダッシュボードには、証明書の有効期限が近づいているという警告が 6 ヵ月前に表示されます。

• 有効期限は、[Cisco vManage] > [Configuration] > [Certificates] > [Controllers] で、いつでも確認できます。

• シスコ クラウド インフラストラクチャ チームは、有効期限の 30 日、15 日、5 日前に、システム内オーバーレイの登録済み電子メールアドレスの連絡先に電子メール通知を送信します。

• お客様は、現在の登録済み電子メールアドレスのリクエストや変更のために、いつでもケースをオープンできます。すべての Cisco CloudOps 通知について、所有者の電子メールアドレスを常に最新の状態に保つことをお勧めします。アラート通知用のお客様の連絡先電子メールアドレスを更新することを強くお勧めします。できれば、個人のユーザーではなく、チームのメールアドレスを使用してください。

• また、コントローラ証明書の有効期限に注意し、失効日の少なくとも 1 ヵ月前に更新を計画することをお勧めします。

各コントローラデバイスで証明書を自動的に生成、署名、およびインストールするように Symantec 署名サーバーを設定するには、次の手順に従います。

1. Cisco vManage のホームページで、[Administration] > [Settings] 画面を選択します。

2. [Controller Certificate Authorization] バーの右側にある [Edit] をクリックします。

3. [Symantec Automated] をクリックします。これは、コントローラが署名した証明書の処理に推奨される方式です。

4. 証明書リクエスト送信者の姓と名を入力します。

5. 証明書リクエスト送信者の電子メールアドレスを入力します。このアドレスは、電子メールを使用して署名付き証明書と確認電子メールをリクエスト送信者に送信するために必要です。署名済み証明書と確認電子メールは、カスタマーポータルでも入手できます。

6. 証明書の有効期間を指定します。1 年、2 年、または 3 年を指定できます。

7. チャレンジフレーズを入力します。チャレンジフレーズは証明書のパスワードであり、証明書を更新するときや失効させるときに必要です。

   （注）

   チャレンジフレーズは、証明書の暗号化に使用されます。証明書を紛失した場合は、チャレンジフレーズを使用して Symantec の DigiCert ポータルからその特定の証明書を取得できます。Symantec の自動または手動方式で証明書を更新できます。 自動方式の場合は、Cisco vManage の [Administration] > [Settings] 画面で、名前、電子メールアドレス、およびチャレンジフレーズを入力します。CSR が生成されると、この情報を使用して自動的に、Symantec ポータルに登録され、承認済み証明書が Symantec から受信され、インストールされます。 手動方式の場合は、Symantec の DigiCert ポータルで、名前、電子メールアドレス、およびチャレンジフレーズを入力します。

8. チャレンジフレーズを確認します。

9. [Certificate Retrieve Interval] フィールドで、Symantec 署名サーバーが証明書を送信したかどうかを Cisco vManage サーバーが確認する頻度を指定します。

10. [保存（Save）] をクリックします。

Cisco vBond オーケストレーション、Cisco vManage、および Cisco vSmart コントローラ にエンタープライズルート証明書をインストールできます。

デフォルトでは、エンタープライズルート証明書には次のプロパティがあります。

• 国：United States

• 州：California

• 市：San Jose

• 組織単位：ENB

• 組織：CISCO

• ドメイン名：cisco.com

• 電子メール：cisco-cloudops-sdwan@cisco.com

この情報を表示するには、コントローラデバイスで show certificate signing-request decoded コマンドを使用し、Subject 行の出力を確認します。次に例を示します。

vSmart# show certificate signing-request decoded
.
.
.
Subject: C=US, ST=California, L=San Jose, OU=vIPtela Inc Regression, O=vIPtela Inc, CN=vsmart-uuid.viptela.com/emailAddress=support@viptela.com
.
.
.

エンタープライズルート証明書をインストールするには、次の手順に従います。

1. Cisco vManage のホームページで、[Administration] > [Settings] を選択します。

2. [Controller Certificate Authorization] バーの右側にある [Edit] をクリックします。

3. [Enterprise Root Certificate] をクリックします。

4. [Certificate] フィールドで、エンタープライズルート証明書を貼り付けるか、[Select a file] をクリックして証明書を含むファイルをアップロードします。

5. 1 つ以上のデフォルト CSR プロパティを変更するには、次の手順に従います。

   1. [Set CSR Properties] をクリックします。

   2. CSR に含めるドメイン名を入力します。このドメイン名は、証明書番号（CN）に付加されます。

   3. CSR に含める組織単位（OU）を入力します。

   4. CSR に含める組織（O）を入力します。

   5. CSR に含める市（L）、州（ST）、および 2 文字の国コード（C）を入力します。

   6. 証明書リクエスト送信者の電子メールアドレス（emailAddress）を入力します。

   7. 証明書の有効期間を指定します。1 年、2 年、または 3 年を指定できます。

6. [Import & Save] をクリックします。

（注）	シスコでは、現在、Cisco vManage の Web 証明書を発行していません。CSR を生成し、ドメインネームシステム（DNS）名の CA の署名を得ることをお勧めします。IP の DNS サーバーに A エントリを追加するか、Cisco vManage DNS 名に CNAME を追加する必要があります。