一般的な Security Cloud Control 設定に関する次のトピックを参照してください。

管理対象組織内の複数の管理対象デバイスとユーザーに影響する組織全体の設定を管理するには、[管理（Administration）] > [一般設定（General Settings）] を使用します。

（注）	管理対象組織に対して有効になっていない機能のトグルボタンは表示されません。.

Security Cloud Control ツールバーで、通知ボタン をクリックします。

テナントに関連付けられているすべてのユーザーには、これらのアラートが自動的に通知されます。また、これらのアラートの一部またはすべてを自分宛の電子メールに転送することができます。

（注）	これらの設定を変更するには、上位管理者のユーザーロールが必要です。詳細については、「ユーザーロール」を参照してください。

[ロギング設定（Logging Settings）] を使用して、テナントの現在のロギング使用状況を確認します。

このページには、以下が表示されます。

• 毎月のイベントロギングの制限。

• 制限がリセットされるまでの日数。

• 保存されたロギング使用状況は、Cisco Cloud が受信した圧縮されたイベントデータを表します。

過去 12 か月間にテナントで受信されたすべてのログを表示するには、[使用履歴の表示（View Historical Usage）] をクリックします。

このページには、追加のストレージをリクエストするために使用できるリンクも含まれています。

Security Cloud Control は、Cisco Secure Sign-On を SAML シングル サインオン アイデンティティ プロバイダー（IdP）として使用し、多要素認証（MFA）に Duo Security を使用します。これは、Security Cloud Control で推奨される認証方法です。

ただし、顧客が独自の SAML シングルサインオン IdP ソリューションと Security Cloud Control を統合したい場合、IdP が SAML 2.0 および ID プロバイダーが開始するワークフローをサポートしている限り、それも可能です。

独自またはサードパーティのアイデンティティ プロバイダー（IdP）を Cisco Security Cloud Sign On と統合するには、『Cisco Security Cloud Sign On Identity Provider Integration Guide』を参照してください。

独自の SAML ソリューションを Security Cloud Control と統合する必要がある場合は、サポートに連絡してケースを作成してください。

注目	ケースを開く場合は、[テクノロジーを手動で選択（Manually Select A Technology）] を選択し、リクエストが適切なチームに到達するように [SecureX - サインオンと管理（SecureX - Sign-on and Administration）] を選択していることを確認してください。

通常、ID プロバイダー（IdP）は SecureX SSO と統合されています。Cisco TAC ケースを開き、metadata.xml ファイルを提供します。詳細については、『Cisco SecureX Sign-On Third-Party Identity Provider Integration Guide』を参照してください。

注目	ケースを開く場合は、[テクノロジーを手動で選択（Manually Select A Technology）] を選択し、リクエストが適切なチームに到達するように [SecureX - サインオンと管理（SecureX - Sign-on and Administration）] を選択していることを確認してください。

（レガシーのみ）アイデンティティ プロバイダー（IdP）が Security Cloud Control と直接統合されている場合は、Security Cloud Control TAC でサポートチケットを開き、metadata.xml ファイルを提供します。

詳細については、「API トークン」を参照してください。

開発者は、Security Cloud Control REST API 呼び出しを行うときに Security Cloud Control API トークンを使用します。呼び出しを成功させるには、API トークンを REST API 認証ヘッダーに含める必要があります。API トークンは「長期」アクセストークンとして機能し、有効期限はありませんが、更新または取り消すことが可能です。

Security Cloud Controlで API トークンを生成するには、最初に API 専用ユーザーを作成する 必要があります（まだ存在しない場合）。このユーザーは、API トークンの生成と使用のために特別に指定されています。

API 専用ユーザーを作成すると、そのユーザー用に新しい API トークンを生成できます。トークンは生成された直後にのみ表示され、[General Settings] ページに移動している間は表示されたままになります。別のページを開いてから [General Settings] ページに戻ると、トークンが発行されたことはわかりますが、トークンは表示されなくなります。

（注）	API 専用ユーザーは API トークンを生成できます。個人ユーザーは自分自身または他のユーザー用に API トークンを作成できません。

Security Cloud Control にログインするには、SAML 2.0 準拠の ID プロバイダー（IdP）、多要素認証プロバイダー、および Security Cloud Control のユーザーレコードを持つアカウントが必要です。IdP アカウントにはユーザーのログイン情報が含まれており、IdP はそのログイン情報に基づいてユーザーを認証します。多要素認証では、アイデンティティ セキュリティの付加的なレイヤが提供されます。Security Cloud Control ユーザーレコードには、主にユーザー名、ユーザーが関連付けられる Security Cloud Control テナント、ユーザーのロールが含まれます。ユーザーがログインすると、Security Cloud Control は IdP のユーザー ID を Security Cloud Control のテナントの既存ユーザーレコードにマッピングします。Security Cloud Control が一致するレコードを見つけた場合に、該当するユーザーはそのテナントへのログインを許可されます。

お客様の企業に独自のシングルサインオン ID プロバイダーがない限り、ID プロバイダーは Cisco Security Cloud Sign On です。Cisco Security Cloud Sign On は、多要素認証に Duo を使用します。お客様は、必要に応じて自分の IdP を Security Cloud Control と統合できます。

Security Cloud Control の MSSP ポータルは、複数のテナント間でデバイスを効率的にモニターおよび管理するためのマネージド セキュリティ サービス プロバイダー（MSSP）向けのマルチテナントのクラウドベースの管理プラットフォームです。

このポータルでは、設定ステータス、接続状態、ソフトウェアバージョン、および全体的なネットワークの正常性などのリアルタイム情報が単一のインターフェイスに統合され、個々のテナント環境にアクセスすることなく、シームレスな概要が提供されます。

（注）	ネットワーク管理者権限を持つユーザーの場合、API エンドポイントを使用して次の操作を実行できます。 Security Cloud Control テナントの作成 既存の Security Cloud Control テナントのマルチテナントポータルへの追加

Cisco Success Network はユーザ対応のクラウドサービスです。Cisco Success Network を有効にすると、デバイスと Cisco Cloud 間にセキュアな接続が確立され、使用状況に関する情報と統計情報がストリーミングされます。テレメトリをストリーミングすることによって、デバイスからの対象のデータを選択してそれを構造化形式でリモートの管理ステーションに送信するメカニズムが提供されるため、次のメリットが得られます。

• ネットワーク内の製品の有効性を向上させるために、利用可能な未使用の機能について通知します。

• 製品に利用可能な、追加のテクニカル サポート サービスとモニタリングについて通知します。

• シスコ製品の改善に役立ちます。

デバイスは常にセキュアな接続を確立および維持し、Cisco Success Network に登録できるようにします。デバイスを登録した後で Cisco Success Network の設定を変更できます。

（注）	Firewall Threat Defense ハイアベイラビリティペアでは、アクティブデバイスを選択すると、スタンバイデバイスの Cisco Success Network 設定を上書きします。 Security Cloud Control は Cisco Success Network 設定を管理しません。設定の管理とテレメトリ情報の提供は、Firewall Device Manager ユーザーインターフェイスが行います。

テナントのネットワーク管理者の数を制限することを、ベストプラクティスとしてお勧めします。ネットワーク管理者権限を持つユーザーを決定し、[ユーザー管理（User Management）] を確認して、他のユーザーの役割を「管理者」に変更します。

ユーザー管理の一種として Active Directory グループマッピングを Security Cloud Control に追加するには、まず Security Cloud Sign On に統合済みの Active Directory が必要です。Active Directory ID プロバイダー（IdP）がまだ統合されていない場合は、「Identity provider integration guide」[英語] を参照して、カスタム Active Directory IdP 統合に次の情報を統合します。

• Security Cloud Control のテナント名とリージョン

• カスタムルーティングを定義するドメイン（例：@cisco.com、@myenterprise.com）

• XML 形式の証明書とフェデレーションメタデータ

Active Directory の統合が完了したら、Active Directory に次のカスタム SAML 要求を追加します。Active Directory の統合が完了した後に Security Cloud Control テナントにサインインするには、SAML 要求と属性が必要です。これらの値では大文字と小文字が区別されます。

• SamlADUserGroupIds：この属性は、ユーザーが Active Directory 上で持つすべてのグループの関連付けを記述します。たとえば、次のスクリーンショットに示すように、Azure で [+グループ要求の追加（+ Add groups claim）] を選択します。

  

• SamlSourceIdpIssuer：この属性は、Active Directory インスタンスを一意に識別します。たとえば、次のスクリーンショットに示すように、Azure で [+グループ要求の追加（+ Add a group claim）] を選択し、スクロールして Azure Active Directory 識別子を見つけます。

  

新規ユーザーは、割り当て先のテナント名を知らなくても、いつでも Cisco Security Cloud Sign On アカウントを作成できます。

読み取り専用ロールが割り当てられたユーザーには、すべてのページに次の青いバナーが表示されます。

「読み取り専用」ロールを持つユーザーは、次の操作を実行できます。

• Security Cloud Control の任意のページまたは設定を確認する。

• 任意のページのコンテンツを検索およびフィルタリングする。

• デバイス設定を比較し、変更ログを表示し、VPN マッピングを確認する。

• 任意のページの設定またはオブジェクトに関するすべての警告を表示する。

• 独自の API トークンを生成する、更新する、取り消す。読み取り専用ユーザーは、自分のトークンを取り消すと、再作成できないことに注意してください。

• インターフェイスからサポートに連絡し、変更ログをエクスポートする。

「読み取り専用」ロールを持つユーザーは、次の操作を実行できません。

• 任意のページで作成、更新、設定、または削除する。

• デバイスをオンボーディングする。

• オブジェクトやポリシーなどの作成に必要なタスクのステップスルーはできるが保存はできない。

• Security Cloud Control ユーザーレコードを作成する。

• ユーザーロールを変更する。

• アクセスルールをポリシーにアタッチまたはデタッチする。

編集専用ロールを持つユーザーは、次の操作を実行できます。

• オブジェクト、ポリシー、ルールセット、インターフェース、VPN などを含むがこれらに限定されないデバイス構成を編集および保存する。

• 構成の読み取りアクションによって行われた構成の変更を許可する。

• 変更リクエスト管理アクションを利用する。

編集専用ロールを持つユーザーは、次の操作を実行できません。

• 1 つまたは複数のデバイスに変更を展開する。

• 段階的な変更または OOB によって検出された変更を破棄する。

• AnyConnect パッケージをアップロードする、またはこれらの設定を構成する。

• デバイスのイメージアップグレードをスケジュールする、または手動で開始する。

• セキュリティデータベースのアップグレードをスケジュールする、または手動で開始する。

• Snort 2 と Snort 3 のバージョンを手動で切り替える。

• テンプレートを作成します。

• 既存の OOB 変更の設定を変更する。

• システム管理設定を編集する。

• デバイスをオンボーディングする。

• デバイスを削除する。

• VPN セッションまたはユーザーセッションを削除する。

• Security Cloud Control ユーザーレコードを作成する。

• ユーザーロールを変更する。

デプロイ専用ロールを持つユーザーは、次の操作を実行できます。

• 段階的な変更を単一のデバイスまたは複数のデバイスに展開する。

• ASA デバイスの設定変更を元に戻すか、復元する。

• デバイスのイメージアップグレードをスケジュールする、または手動で開始する。

• セキュリティデータベースのアップグレードをスケジュールする、または手動で開始する。

• 変更要求管理アクションを使用する。

「デプロイ専用」ロールを持つユーザーは、次の操作を実行できません。

• Snort 2 と Snort 3 のバージョンを手動で切り替える。

• テンプレートを作成します。

• 既存の OOB 変更の設定を変更する。

• システム管理設定を編集する。

• デバイスをオンボーディングする。

• デバイスを削除する。

• VPN セッションまたはユーザーセッションを削除する。

• 任意のページで作成、更新、設定、または削除する。

• デバイスをオンボーディングする。

• オブジェクトやポリシーなどの作成に必要なタスクのステップスルーはできるが保存はできない。

• Security Cloud Control ユーザーレコードを作成する。

• ユーザーロールを変更する。

• アクセスルールをポリシーにアタッチまたはデタッチする。

「VPN セッションマネージャ」ロールは、サイト間 VPN 接続ではなく、リモートアクセス VPN 接続を監視する管理者向けに設計されています。

VPN セッションマネージャロールを持つユーザーは、次のことができます。

• Security Cloud Control の任意のページまたは設定を確認する。

• 任意のページのコンテンツを検索およびフィルタリングする。

• デバイス設定を比較し、変更ログを表示し、RA VPN マッピングを確認する。

• 任意のページの設定またはオブジェクトに関するすべての警告を表示する。

• 独自の API トークンを生成する、更新する、取り消す。VPN セッションマネージャのユーザーは、自分のトークンを取り消すと、再作成できないことに注意してください。

• インターフェイスからサポートに連絡し、変更ログをエクスポートする。

• 既存の RA VPN セッションを終了する。

VPN セッションマネージャロールを持つユーザーは、次のことができません。

• 任意のページで作成、更新、設定、または削除する。

• デバイスをオンボーディングする。

• オブジェクトやポリシーなどの作成に必要なタスクのステップスルーはできるが保存はできない。

• Security Cloud Control ユーザーレコードを作成する。

• ユーザーロールを変更する。

• アクセスルールをポリシーにアタッチまたはデタッチする。

「管理者」ロールを持つユーザーには、Security Cloud Control Firewall Management のほとんどのエリアへの完全なアクセス権があります。

• Security Cloud Control Firewall Management の任意のオブジェクトを作成、読み取り、更新、削除し、設定を行う。

• デバイスをオンボーディングする。

• Security Cloud Control の任意のページまたは設定を確認する。

• 任意のページのコンテンツを検索およびフィルタリングする。

• デバイス設定を比較し、変更ログを表示し、VPN マッピングを確認する。

• 任意のページの設定またはオブジェクトに関するすべての警告を表示する。

• 独自の API トークンを生成する、更新する、取り消す。トークンが取り消された場合は、インターフェイスを介してサポートに連絡し、変更ログをエクスポートできます。

管理者ユーザーは次のことを実行できません。

• Security Cloud Control ユーザーレコードを作成する。

• ユーザーロールを変更する。

ネットワーク管理者ロールを持つユーザーは、Security Cloud Control Firewall Management のあらゆるエリアに完全にアクセスできます。

ネットワーク管理者ロールを持つユーザーは、以下を実行できます。

• ユーザーロールを変更する。

• ユーザーレコードを作成する。

（注）

スーパー管理者は Security Cloud Control ユーザーレコードを作成できますが、そのユーザーレコードだけではユーザーがテナントにログインするには不十分です。テナントが使用する ID プロバイダーのアカウントも必要になります。お客様の企業に独自のシングルサインオン ID プロバイダーがない限り、ID プロバイダーは Cisco Security Cloud Sign On です。ユーザーは Cisco Security Cloud Sign On アカウントに自己登録することができます。詳細については、新規 Security Cloud Control テナントへの初回ログインを参照してください。

• Security Cloud Control の任意のオブジェクトを作成、読み取り、更新、削除し、設定を行う。

• デバイスをオンボーディングする。

• Security Cloud Control の任意のページまたは設定を確認する。

• 任意のページのコンテンツを検索およびフィルタリングする。

• デバイス設定を比較し、変更ログを表示し、VPN マッピングを確認する。

• 任意のページの設定またはオブジェクトに関するすべての警告を表示する。

• 独自の API トークンを生成する、更新する、取り消す。トークンが取り消された場合は、次のことができます。

• インターフェイスからサポートに連絡し、変更ログをエクスポートする。

ユーザーレコードは、現在記録されているユーザーのロールです。テナントに関連付けられているユーザーを調べることにより、各ユーザーがどのロールを使用しているかをレコードによって判断できます。ユーザーロールを変更すると、ユーザーレコードが変更されます。ユーザーのロールは、ユーザー管理テーブルでのロールによって識別されます。詳細については、「ユーザーの管理」を参照してください。

ユーザーレコードを変更するには、ネットワーク管理者である必要があります。テナントにネットワーク管理者がいない場合は、Security Cloud Control サポートまでお問い合わせください。