基本設定を構成
ネットワーキング要件
- 内部インターフェイスからの FDM-Managed デバイスの管理
  - 内部インターフェイスからの FDM-Managed デバイスの管理
- 外部インターフェイスからの FDM-Managed デバイスの管理
  - FDM-Managed デバイスの外部インターフェイスを管理する
Security Cloud Control テナントの作成
Security Cloud Control Firewall Management ダッシュボード
Security Cloud Control のログイン要件
Cisco Security Cloud Sign On ID プロバイダーへの移行
- 移行後のログイン失敗のトラブルシューティング
Security Cloud Control テナントの起動
Security Cloud Control Firewall Management[Integration] ページ
ネットワーキング要件
- 内部インターフェイスからの FDM-Managed デバイスの管理
  - 内部インターフェイスからの FDM-Managed デバイスの管理
- 外部インターフェイスからの FDM-Managed デバイスの管理
  - FDM-Managed デバイスの外部インターフェイスを管理する
Security Cloud Control Firewall Management ライセンス
- Cloud-Delivered Firewall Management Center ライセンスと登録
Security Cloud Control Firewall Management プラットフォームのメンテナンススケジュール
Cloud-Delivered Firewall Management Center メンテナンススケジュール
オブジェクトの概要
ネットワークアドレス変換
NAT ルールの処理命令
ネットワークアドレス変換ウィザード
- NAT ウィザードを使用した NAT ルールの作成
NAT の一般的な使用例

基本設定を構成

Security Cloud Control は、明確で簡潔なインターフェイスを通じてポリシーを管理するための独自のビューを提供します。Security Cloud Control を初めて使用する場合の基本的な事柄について以下で取り上げます。

ネットワーキング要件

内部インターフェイスからの FDM-Managed デバイスの管理

専用の MGMT インターフェイスに組織内でルーティングできないアドレスが割り当てられている場合は、内部インターフェイスを使用して FDM-managed デバイスを管理することが望ましい場合があります。たとえば、データセンターまたはラボ内からしか到達できない場合などです。

リモートアクセス VPN の要件

Security Cloud Control で管理する FDM-managed デバイスがリモートアクセス VPN（RA VPN）接続を管理する場合、Security Cloud Control は内部インターフェイスを使用してデバイスを管理する必要があります。

次に行う作業：

FDM-managed デバイスを設定する手順については、内部インターフェイスからの FDM-Managed デバイスの管理に進んでください。

内部インターフェイスからの FDM-Managed デバイスの管理

設定方法は次のとおりです。

FDM-managed デバイスが Security Cloud Control にオンボードされていないことが前提です。
データインターフェイスを内部インターフェイスとして設定します。
MGMT トラフィック（HTTPS）を受信するように内部インターフェイスを設定します。
Cloud Connector のアドレスがデバイスの内部インターフェイスに到達できるようにします。

始める前に

この設定の前提条件を以下で確認してください。

手順

ステップ 1	Secure Firewall Device Manager にログインします。
ステップ 2	[システム設定（System Settings）] メニューで、[管理アクセス（Management Access）] をクリックします。
ステップ 3	[データインターフェース（Data Interfaces）] タブをクリックし、[データインターフェースの作成（Create Data Interface）] を選択します。 [インターフェース（Interface）] フィールドで、インターフェースのリストから「 inside 」という名前のインターフェースを選択します。 [プロトコル（pre-named）] フィールドがまだ選択されていない場合は、[HTTPS] を選択します。 [許可されたネットワーク（Allowed Networks）] フィールドで、組織内に配置され FDM-managed デバイスの内部アドレスへのアクセスが許可されているネットワークを示すネットワークオブジェクトを選択します。SDC または Cloud Connector の IP アドレスは、デバイスの内部アドレスへのアクセスが許可されているアドレス群の中にある必要があります。「インターフェイスアドレス」図の中では、SDC の IP アドレス 192.168.1.10 が 192.168.1.1 に到達可能である必要があります。
ステップ 4	変更を展開します。これで、内部インターフェイスを使用してデバイスを管理できるようになりました。

次のタスク

Cloud Connector を使用している場合

上記の手順に加えて、以下の手順を実行します。

外部インターフェイス（203.0.113.2）から内部インターフェイス（192.168.1.1）への「NAT」を実行するステップを追加します。「インターフェイスアドレス」を参照してください。
上記の手順のステップ 3c では、「許可されたネットワーク」は、クラウドコネクタのパブリック IP アドレスを含むネットワークグループオブジェクトです。
クラウドコネクタのパブリック IP アドレスから外部インターフェイス（203.0.113.2）へのアクセスを許可するアクセス制御ルールの作成ステップを追加します。さまざまな Security Cloud Control リージョンのクラウドコネクタ IP アドレスのリストについては、参照してください。

FDM-Managed デバイスの導入準備

Security Cloud Control への FDM-managed デバイスの導入準備をする際、登録トークンを使用した導入準備方法をお勧めします。Cloud Connector から FDM-managed デバイスへの管理アクセスを許可するように内部インターフェイスを設定した後に、ユーザー名とパスワードを使用して FDM-managed デバイスの導入準備をします。詳細については、「ユーザー名、パスワード、IP アドレスを使用した FDM-managed デバイスの導入準備」を参照してください。内部インターフェイスの IP アドレスを使用して接続します。上記シナリオでは、そのアドレスは 192.168.1.1 です。

外部インターフェイスからの FDM-Managed デバイスの管理

分散拠点に 1 つのパブリック IP アドレスが割り当てられていて、Security Cloud Control が別の場所にある Cloud Connector を使用して管理されている場合は、外部インターフェイスから Cloud-Delivered Firewall Management Center デバイスを管理することを推奨します。

この設定により、MGMT 物理インターフェイスがデバイスの管理インターフェイスでなくなるわけではありません。Cloud-Delivered Firewall Management Center デバイスの設置場所にいる場合は、MGMT インターフェイスのアドレスに接続して、デバイスを直接管理できます。

リモートアクセス VPN の要件

Cloud-Delivered Firewall Management Center を使用して管理するデバイスで、リモートアクセス VPN（RA VPN）接続を管理する場合、Cloud-Delivered Firewall Management Center は外部インターフェイスを使用して Cloud-Delivered Firewall Management Center デバイスを管理できません。代わりに、「内部インターフェイスからの FDM-Managed デバイスの管理」を参照してください。

次に行う作業：

Cloud-Delivered Firewall Management Center デバイスを設定する手順については、FDM-Managed デバイスの外部インターフェイスを管理するに進んでください。

FDM-Managed デバイスの外部インターフェイスを管理する

設定方法は次のとおりです。

FDM-managed デバイスが Security Cloud Control にオンボードされていないことが前提です。
データインターフェイスを外部インターフェイスとして設定します。
外部インターフェイスで管理アクセスを設定します。
Cloud Connector のパブリック IP アドレス（ファイアウォールによる NAT 処理済み）が外部インターフェイスに到達できるようにします。

始める前に

この設定の前提条件を以下で確認してください。

手順

ステップ 1	Secure Firewall Device Manager にログインします。
ステップ 2	[システム設定（System Settings）] メニューで、[管理アクセス（Management Access）] をクリックします。
ステップ 3	[データインターフェース（Data Interfaces）] タブをクリックし、[データインターフェースの作成（Create Data Interface）] を選択します。 [インターフェイス] フィールドで、インターフェイスのリストから「outside」という名前のインターフェイルを選択します。 [プロトコル（Protocols）] フィールドでまだ選択されていない場合は、[HTTPS] を選択します。Security Cloud Control には HTTPS アクセスのみが必要です。 [許可ネットワーク（Allowed Networks）] フィールドで、ファイアウォールによる NAT 処理済みの Cloud Connector のパブリック方向 IP アドレスを含むホストネットワークオブジェクトを作成します。「外部インターフェイスからのデバイス管理」のネットワーク図では、Cloud Connector の IP アドレス 10.10.10.55 が 203.0.113.2 に NAT 処理されています。許可ネットワークの場合は、203.0.113.2 という値を使用してホストネットワークオブジェクトを作成します。
ステップ 4	SDC または Cloud Connector のパブリック IP アドレスから FDM-managed デバイスの外部インターフェイスへの管理トラフィック（HTTPS）を許可するアクセスコントロールポリシーを、Secure Firewall Device Manager で作成します。このシナリオでは、送信元アドレスは 203.0.113.2 で、送信元プロトコルは HTTPS です。また、宛先アドレスは 209.165.202.129 で、宛先プロトコルは HTTPS です。
ステップ 5	変更を展開します。これで、外部インターフェイスを使用してデバイスを管理できるようになります。

次のタスク

Cloud Connector を使用している場合

プロセスは非常によく似ていますが、次の 2 つの点が異なります。

上記の手順のステップ 3c では、「許可されたネットワーク」は、クラウドコネクタのパブリック IP アドレスを含むネットワークグループオブジェクトです。さまざまな Security Cloud Control リージョンのクラウドコネクタ IP アドレスのリストについては、「Cloud Connector を介したデバイスの Security Cloud Control への接続」を参照してください。
上記の手順のステップ 4 では、Cloud Connector のパブリック IP アドレスから外部インターフェイスへのアクセスを許可するアクセス制御ルールを作成します。

FDM-managed デバイスの Security Cloud Control への導入準備を行う際は、「登録トークンの導入準備」のアプローチを推奨します。Cloud Connector からの管理アクセスを許可するように外部インターフェイスを設定した後に、FDM-managed デバイスの導入準備を行います。外部インターフェイスの IP アドレスを使用して接続します。このシナリオでは、該当するアドレスは 209.165.202.129 です。

Security Cloud Control テナントの作成

新しい Security Cloud Control テナントをプロビジョニングして、デバイスをオンボーディングおよび管理できます。On-Premises Firewall Management Center バージョン 7.2 以降を使用していて、Cisco Security Cloud と統合する場合は、統合ワークフローの一部として Security Cloud Control テナントを作成することもできます。

手順

https://security.cisco.comに進みます。
Security Cloud Control テナントをプロビジョニングするリージョンを選択して、[サインアップ（Sign Up）] をクリックします。
[Security Cloud Sign On] ページで、ログイン情報を入力します。

Security Cloud Sign On アカウントをお持ちでなく、作成する場合は、[今すぐサインアップ（Sign up now）] をクリックします。

アカウントを作成するための情報を入力します。

次にいくつかのヒントを示します。
- [電子メール（Email）]：Security Cloud Control へのログインに最終的に使用する電子メールアドレスを入力します。
- [パスワード（Password）]：強力なパスワードを入力します。
[サインイン（Sign up）] をクリックします。その後、登録したアドレスに確認メールが送信されます。
E メールを開き、E メールと [Security Cloudサインオン（Security Cloud Sign On）] ページの両方で [アカウントのアクティブ化（Activate account）] をクリックします。

任意のデバイスで Duo を使用して多要素認証を設定し、[Duo でログイン（Log in with Duo）] と [終了（Finish）] をクリックします。

（注）

Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。

テナントの名前を入力し、[新しいアカウントの作成（Create new account）] をクリックします。
選択したリージョンに新しい Security Cloud Control テナントが作成されます。また、作成中の Security Cloud Control テナントに関する詳細が記載された電子メールが届きます。すでに複数の Security Cloud Control テナントに関連付けられている場合は、[テナントの選択（Choose a tenant）] ページで、作成したテナントを選択してログインします。新しい Security Cloud Control テナントを初めて作成した場合は、そのテナントに直接ログインします。

初めて Security Cloud Control テナントにログオンする方法については、「新規 Security Cloud Control テナントへの初回ログイン」を参照してください。

Security Cloud Control テナントの管理とさまざまなテナント設定については、「テナント管理」を参照してください。

Security Cloud Control テナントの完全バージョンへのアップグレード

無料トライアルバージョンの Security Cloud Control を使用している場合は、[CDOの無料トライアル期間（You are in a free Trial of Security Cloud Control）] バナーが表示され、トライアル期間の残り日数が示されます。トライアル期間中はいつでも、Security Cloud Control テナントを完全バージョンにアップグレードできます。シスコのセールス担当者またはシスコセールス窓口に連絡してください。代理で発注し、SO 番号を取得します。

SO 番号を取得したら、バナーの [完全バージョンにアップグレード（Upgrade to full version）] をクリックし、注文番号を入力して完全バージョンの Security Cloud Control の使用を開始します。

Security Cloud Control のトライアル期間延長の要求

トライアルバージョンの使用を 30 日間継続する場合は、[延長の要求（Request for an extension）] をクリックします。

Security Cloud Control Firewall Management ダッシュボード

Security Cloud Control Firewall Management ダッシュボードは、さまざまなカテゴリにわたって組織レベルの詳細をモニタリングおよび管理するための中央ハブです。ログインすると、セキュリティと運用の効率を最適化するための重要なインサイトとアクションを提供するカスタマイズ可能なダッシュボードにアクセスできます。

ダッシュボードをカスタマイズする

表示されるウィジェットをカスタマイズして、特定のニーズに合わせてダッシュボードをカスタマイズします。

[Home] ページで、[Customize] をクリックします。
ダッシュボードウィジェットを選択または選択解除し、ドラッグアンドドロップして希望の順序に配置します。

上位情報

このセクションでは、さまざまなテナントレベルのメトリックに関する詳細なインサイトが提供されます。有効にすると、次のウィジェットが表示できます。

設定状態：デバイス上の設定と、Security Cloud Control によって維持されているデバイス上の設定との不一致を示します。この比較は、存在する可能性のある不整合や競合を特定するのに役立ちます。

詳細については、「デバイス管理」を参照してください。
変更ログ管理：変更ログを管理して、正確な運用管理を実現できます。ウィジェットには、完了済みの変更ログと保留中の変更ログが表示されます。

詳細については、「ログの変更」を参照してください。
RA VPN セッション：リモートアクセス VPN セッションをモニターするのに役立ちます。

詳細については、「RA VPN セッション」を参照してください。
全体のインベントリ：すべてのデバイスの正常性とステータスをモニターするのに役立ちます。ウィジェットには、[Issues]、[Pending Actions]、[Other]、[Online] に分類されたデバイス、およびハードウェアサポートの最終日に近づいているデバイス、またはすでにハードウェアサポートの最終日に達しているデバイスが表示されます。

詳細については、「すべてのデバイス」を参照してください。
サイト間 VPN：サイト間 VPN 接続を管理および評価するのに役立ちます。ウィジェットには、VPN トンネルの総数と、アクティブおよびアイドルの割合が表示されます。

詳細については、「サイト間 VPN」を参照してください。
アカウントとアセット：
- マルチクラウドアカウントとリソースを効果的に追跡および管理できます。ここから Multicloud Defense Controller を起動できます。
- [+Add Account] をクリックして、新しいアカウントを追加します。
詳細については、「Multicloud Defense コントローラ」を参照してください。
トップリスク接続先：アクセスが許可されている最も高リスクの接続先を特定してモニターするのに役立ちます。ウィジェットには、アプリケーションおよび URL カテゴリが一覧表示され、過去 90、60、または 30 日間のデータをフィルタ処理できます。許可されたトラフィック（デフォルト）とブロックされたトラフィックの間でフィルタ処理できます。
上位の侵入およびマルウェアイベント：上位の侵入およびマルウェアイベントをモニターして対処するのに役立ちます。ウィジェットには、侵入イベントとマルウェアイベントが表示され、過去 90 日間、60 日間、および 30 日間のデータをフィルタ処理できます。許可されたイベント（デフォルト）とブロックされたイベントの間でフィルタ処理できます。

アナウンスメント

[Announcements] アイコンをクリックすると、最新の Security Cloud Control 機能と更新を確認できます。リストされている項目のいずれかについて詳細が必要な場合は、関連ドキュメントへのリンクが提供されます。

Security Cloud Control のログイン要件

Security Cloud Control にログインするには、SAML 2.0 準拠のアイデンティティプロバイダー（IdP）、多要素認証プロバイダー、および Security Cloud Control のユーザーレコードを持つアカウントが必要です。

IdP アカウントにはユーザーのログイン情報が含まれており、IdP はそのログイン情報に基づいてユーザーを認証します。多要素認証では、アイデンティティセキュリティの付加的なレイヤが提供されます。Security Cloud Control ユーザーレコードには、主にユーザー名、ユーザーが関連付けられる Security Cloud Control テナント、ユーザーのロールが含まれます。ユーザーがログインすると、Security Cloud Control は IdP のユーザー ID を Security Cloud Control のテナントの既存ユーザーレコードにマッピングします。Security Cloud Control が一致するレコードを見つけた場合に、該当するユーザーはそのテナントへのログインを許可されます。

お客様の企業に独自のシングルサインオンアイデンティティプロバイダーがない限り、アイデンティティプロバイダーは Security Cloud Sign On です。Security Cloud Sign On は、多要素認証に Duo を使用します。

お客様は、必要に応じて自分の IdP を Security Cloud Control と統合できます。

Security Cloud Control にログインするには、まず Cisco Security Cloud Sign On でアカウントを作成し、Duo Security を使用して多要素認証（MFA）を設定し、テナントのネットワーク管理者に Security Cloud Control レコードの作成を依頼する必要があります。

2019 年 10 月 14 日、Security Cloud Control は、既存のすべてのテナントを、アイデンティティプロバイダーとして Cisco Security Cloud Sign On を使用し、MFA に Duo を使用するように変換しました。

（注）

独自のシングルサインオン ID プロバイダーを使用して Security Cloud Control にサインインする場合、この Cisco Security Cloud Sign On への移行は影響しません。独自のサインオンソリューションを引き続き使用できます。
Security Cloud Control の無料試用期間中であれば、この移行の影響はあります。

Security Cloud Control テナントが 2019 年 10 月 14 日以降に作成された場合は、新規 Security Cloud Control テナントへの初回ログインを参照してください。

2019 年 10 月 14 日より前に Security Cloud Control テナントが存在していた場合は、Cisco Security Cloud Sign On ID プロバイダーへの移行を参照してください。

新規 Security Cloud Control テナントへの初回ログイン

はじめる前に

Duo Security のインストール。Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。

時刻の同期。モバイルデバイスを使用してワンタイムパスワードを生成します。OTP は時間ベースであるため、デバイスのクロックがリアルタイムと同期していることが重要です。デバイスのクロックが自動的に、または手動で正しい時刻に設定されていることを確認します。

Security Cloud Control は、Cisco Security Cloud Sign On を ID プロバイダーとして使用し、Duo を多要素認証（MFA）に使用します。Cisco Security Cloud Sign On アカウントがない場合に新しい Security Cloud Control テナントを作成すると、プロビジョニングフローには、Security Cloud Sign On アカウントの作成や Duo を使用した MFA の設定など、さまざまな手順が必要になります。新しいテナントを作成するには、こちらをクリックしてください。

MFA は、ユーザーアイデンティティを保護するためのセキュリティを強化します。MFA の一種である二要素認証では、Security Cloud Control にログインするユーザーのアイデンティティを確認するために、2 つのコンポーネントまたは要素が必要です。最初の要素はユーザー名とパスワードで、2 番目の要素はオンデマンドで生成されるワンタイムパスワード（OTP）です。

重要	2019 年 10 月 14 日より前に Security Cloud Control テナントが存在していた場合は、この項目の代わりにCisco Security Cloud Sign On ID プロバイダーへの移行をログイン手順として使用してください。

次の手順

新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定に進みます。これは 4 段階のプロセスです。4 段階すべてを完了する必要があります。

リージョンごとの Security Cloud Control へのサインイン

こちらは、Security Cloud Control へのサインインに使用する AWS リージョンごとの URL です。

表 1. リージョンごとの Security Cloud Control URL
地域	Security Cloud Control URL
アジア太平洋および日本（APJ）	https://security.cisco.com
オーストラリア（AUS）	https://security.cisco.com
ヨーロッパ、中東、アフリカ（EMEA）	https://security.cisco.com
インド（IN）	https://security.cisco.com
アメリカ合衆国（US）	https://security.cisco.com

ログインの失敗のトラブルシューティング

正しくない Security Cloud Control リージョンに誤ってログインしているため、ログインに失敗する

適切な Security Cloud Control リージョンにログインしていることを確認してください。https://security.cisco.com にログインすると、アクセスするリージョンを選択できます。

サインインするリージョンについては、リージョンごとの Security Cloud Control へのサインインを参照してください。

Cisco Security Cloud Sign On ID プロバイダーへの移行

2019 年 10 月 14 日時点で、Security Cloud Control では、すべてのテナントがアイデンティティプロバイダーとして Cisco Security Cloud Sign On に変換されており、多要素認証（MFA）には Duo を使用しています。Security Cloud Control にログインするには、まず Cisco Secure Sign-On でアカウントをアクティブ化し、Duo を使用して MFA を設定する必要があります。

Security Cloud Control には MFA が必要です。MFA は、ユーザーアイデンティティを保護するためのセキュリティを強化します。MFA の一種である二要素認証では、Security Cloud Control にログインするユーザーの ID を確認するために、2 つのコンポーネントまたは要素が必要です。最初の要素はユーザー名とパスワードで、2 番目の要素はオンデマンドで生成されるワンタイムパスワード（OTP）です。

（注）

独自のシングルサインオン ID プロバイダーを使用して Security Cloud Control にサインインする場合、この Cisco Security Cloud Sign On および Duo への移行は影響しません。独自のサインオンソリューションを引き続き使用できます。
Security Cloud Control の無料トライアル期間中であれば、この移行が適用されます。
2019 年 10 月 14 日以降に Security Cloud Control テナントが作成されていた場合は、この項目の代わりに新規 Security Cloud Control テナントへの初回ログインをログイン手順として使用してください。

はじめる前に

移行する前に、次の手順を実行することを強くお勧めします。

Duo Security のインストール。Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。
時刻の同期。モバイルデバイスを使用してワンタイムパスワードを生成します。OTP は時間ベースであるため、デバイスのクロックがリアルタイムと同期していることが重要です。デバイスのクロックが自動的に、または手動で正しい時刻に設定されていることを確認します。
「新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定」。これは 4 段階のプロセスです。4 段階すべてを完了する必要があります。

移行後のログイン失敗のトラブルシューティング

ユーザー名またはパスワードが正しくないため、Security Cloud Control へのログインに失敗する

解決法 Security Cloud Control にログインしようとして、知っている正しいユーザー名とパスワードを使用しているにもかかわらずログインに失敗する場合、または「パスワードを忘れた場合」を試しても有効なパスワードを回復できない場合は、新しい Cisco Security Cloud Sign On アカウントを作成せずにログインを試みた可能性があります。新しい Cisco Security Cloud Sign On アカウントにサインアップする必要があります。

解決法 新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定を参照してください。

Cisco Security Cloud Sign On ダッシュボードへのログインは成功するが、Security Cloud Control を起動できない

解決法 Security Cloud Control テナントとは異なるユーザー名で Cisco Security Cloud Sign On アカウントを作成している可能性があります。Security Cloud Control と Cisco Secure Sign-On の間でユーザー情報を標準化するには、Cisco Technical Assistance Center（TAC）に連絡してください。

保存したブックマークを使用したログインに失敗する

解決法 ブラウザに保存された古いブックマークを使用してログインしようとしているかもしれません。ブックマークが https://cdo.onelogin.com を指している可能性があります。

解決法 https://security.cisco.com にログインします。

解決法 Cisco Secure Sign-On アカウントをまだ作成していない場合は、アカウントを作成します。
解決法 Cisco Secure Sign-On の新規アカウントを作成した場合は、テナントが作成されたリージョンに対応するダッシュボードの Security Cloud Control タイルをクリックします。
- 解決法 Security Cloud Control APJ
- 解決法 Security Cloud Control オーストラリア
- 解決法 Security Cloud Control EU
- 解決法 Security Cloud Control インド
- 解決法 Security Cloud Control 米国
解決法 https://security.cisco.com を指すようにブックマークを更新します。

Security Cloud Control テナントの起動

手順

ステップ 1

Cisco Security Cloud Sign On ダッシュボードで、該当するリージョンの Security Cloud Control ボタンをクリックします。

ステップ 2

両方のオーセンティケータを設定している場合は、オーセンティケータのロゴをクリックして [Duo Security] か [Google Authenticator] を選択します。

既存のテナントにすでにユーザーレコードがある場合は、そのテナントにログインします。
複数のポータルにすでにユーザーレコードがある場合は、接続するポータルを選択できます。
すでに複数のテナントにユーザーレコードがある場合は、接続先の Security Cloud Control テナントを選択できます。
既存のテナントにユーザーレコードがない場合は、Security Cloud Control の詳細を確認するか、またはトライアルテナントを要求できます。

[ポータル（Portals）] ビューは、複数のテナントから統合された情報を取得して表示します。

詳細については、MSSP ポータルを参照してください。

[テナント（Tenant）] ビューには、ユーザーレコードがある一部のテナントが表示されます。

Security Cloud Control Firewall Management[Integration] ページ

[Integration] ページでは、Security Cloud Control Firewall Management 内の管理対象インフラストラクチャの包括的なビューが表示されます。

[FMC] タブ：
- Security Cloud Control Firewall Management アカウントにリンクされている Cloud-Delivered Firewall Management Center を提供します。「Security Cloud Control テナントのクラウド提供型 Firewall Management Center のリクエスト」を参照してください。
- Security Cloud Control Firewall Management にオンボーディングされた on-premises Firewall Management Center を一覧表示します。これらの on-premises Firewall Management Center によって管理されるデバイスは、[Security Devices] にリストされています。「Security Cloud Control を使用したオンプレミス Firewall Management Center の管理」を参照してください。
- [Secure Connectors] の下に Secure Device Connector と Secure Event Connectorを表示します。「Secure Device Connector」および「Secure Event Connector」を参照してください。

Security Cloud Control ページ。[Integration] ページにもタブが含まれます。

[FMC] タブをクリックし、[Onboard FMC] アイコンをクリックして on-premises Firewall Management Center をオンボーディングし、右側のペインのオプションを使用してデバイスアクションを実行できます。「オンプレミス Firewall Management Center のオンボード」を参照してください。

また、バージョン、Management Center で管理されているデバイスの数、デバイスタイプ、デバイスの同期ステータスなどのデバイス情報を確認することもできます。管理対象デバイスのアイコンをクリックすると、[Security Devices] ページが表示され、選択した on-premises Firewall Management Center によって管理されているデバイスが自動的にフィルタリングされて表示されます。[Integration] ページでは、一度に複数の on-premises Firewall Management Center を選択して、Management Center のグループですべて一度にアクションを実行することもできます。Cloud-Delivered Firewall Management Center が選択されている間は、on-premises Firewall Management Center を選択できません。新しいセキュアコネクタを追加したり、既存のセキュアコネクタでアクションを実行したりするには、[セキュアコネクタ（Secure Connectors）] タブを選択してをクリックします。

左側のペインで Administration > Firewall Management Center をクリックします。

Cloud-Delivered Firewall Management Center の場合、[Integrations] ページには次の情報が表示されます。

テナントに Cloud-Delivered Firewall Management Center が展開されていない場合は、[クラウド提供型FMCの有効化（Enable Cloud-Delivered FMC）] をクリックします。詳細については、「Enable Cloud-Delivered Firewall Management Center on Your Security Cloud Control Tenant」[英語] を参照してください。
Cloud-Delivered Firewall Management Center に展開された Secure Firewall Threat Defense デバイスの数。
Security Cloud Control と Cloud-Delivered Firewall Management Center ページ間の接続のステータス。
Cloud-Delivered Firewall Management Center の最後のハートビート。これは、Cloud-Delivered Firewall Management Center 自体のステータスと管理するデバイスの数がこのページのテーブルと最後に同期された時刻を表します。
選択した Cloud-Delivered Firewall Management Center のホスト名。

[クラウド提供型FMC（Cloud-Delivered FMC）] を選択し、[アクション（Actions）]、[管理（Management）]、または [設定（Settings）] ペインのリンクを使用して Cloud-Delivered Firewall Management Center ユーザーインターフェイスを開き、クリックしたリンクに関連付けられている設定タスクを実行します。

[アクション（Actions）]：

[変更の確認（Check For Changes）]：テーブルのデバイス数とステータスの情報は、このページと Cloud-Delivered Firewall Management Center が最後に同期されたときに使用可能な情報で更新されます。同期は 10 分ごとに行われます。
[展開（Deployment）]：Cloud-Delivered Firewall Management Center のデバイス設定展開ページが表示されます。「設定変更の展開」を参照してください。
[ワークフロー（Workflows）]：デバイスと通信するときに Security Cloud Control が実行するすべてのプロセスをモニターするための、[ワークフロー（Workflows）] ページが表示されます。「[ワークフロー（Workflows）] ページ」を参照してください。https://docs.defenseorchestrator.com/#!c-workflows-page.html
[APIエクスプローラ（API Explorer）]：Cloud-Delivered Firewall Management Center の REST API が一覧表示されるページが表示されます。Secure Firewall Management Center REST API のガイドを参照してください。

[統合イベント（Unified Events）]：クラウド提供型 Firewall Management Center ポータルの [Unified Events] ページに移動します。このページでは、接続、侵入、ファイル、マルウェア、セキュリティ関連の接続イベントなど、さまざまなファイアウォールイベントが単一の画面に表示されます。詳細については、「統合イベント」を参照してください。

（注）

統合イベント（Unified Events）機能にはアクティベーションが必要です。この機能をまだアクティベートしていない場合は、Cisco の営業担当者に連絡して有効にしてください。

[管理（Management）]：

[デバイス（Devices）]：Cloud-Delivered Firewall Management Center ポータルの Firewall Threat Defense デバイス一覧表示ページが表示されます。「Configure Devices」を参照してください。
[ポリシー（Policies）]：システム付属のアクセスコントロールポリシーを編集したり、カスタムアクセスコントロールポリシーを作成したりするための、Cloud-Delivered Firewall Management Center ポータルのポリシーページが表示されます。「Manage Access Control Policies」を参照してください。
[オブジェクト（Objects）]：再利用可能オブジェクトを管理するための、Cloud-Delivered Firewall Management Center ポータルのポリシーページが表示されます。「Object Management」を参照してください。
[NAT]：Firewall Threat Defense デバイスでネットワークアドレス変換ポリシーを設定するための、Cloud-Delivered Firewall Management Center ポータルのポリシーページが表示されます。「Manage NAT policies」を参照してください。
[サイト間VPN（Site to Site VPN）]：2 つのサイト間のサイト間 VPN ポリシーを設定するための、Cloud-Delivered Firewall Management Center ポータルのサイト間 VPN ダッシュボードページが表示されます。「Site-to-Site VPNs」を参照してください。
[リモートアクセスVPN（Remote Access VPN）]：リモートアクセス VPN 設定を指定するための、Cloud-Delivered Firewall Management Center ポータルのリモートアクセス VPN ダッシュボードページが表示されます。「Remote Access VPN」を参照してください。
[プラットフォーム設定（Platform Settings）]：互いに関連しないさまざまな機能を設定し、いくつかのデバイス間でその値を共有するための、Cloud-Delivered Firewall Management Center ポータルのプラットフォーム設定ページが表示されます。「Platform Settings」を参照してください。

[システム（System）]：

[設定（Configuration）]：システム構成設定を指定するための、Cloud-Delivered Firewall Management Center ポータルのシステム設定ページが表示されます。「System Configuration」を参照してください。
[スマートライセンス（Smart Licenses）]：デバイスにライセンスを割り当てるための、Cloud-Delivered Firewall Management Center ポータルのスマートライセンスページが表示されます。「Assign Licenses to Devices」を参照してください。
[AMP管理（AMP Management）]：ネットワーク上のマルウェアを検出してブロックするためにシステムが使用するインテリジェンスを提供する、Cloud-Delivered Firewall Management Center ポータルの AMP 管理ページが表示されます。「Cloud Connections for Malware Protection」を参照してください。
[デバイスの正常性（Device Health）]：さまざまな正常性インジケータを追跡してシステムのハードウェアおよびソフトウェアの正常な動作を確保する、Cloud-Delivered Firewall Management Center ポータルのヘルスモニタリングページが表示されます。「About Health Monitoring」を参照してください。
[監査（Audit）]：Web インターフェイスとユーザーとの対話のそれぞれに対して生成される監査レコードを表示するための、Cloud-Delivered Firewall Management Center ポータルの監査ログページが表示されます。
[Cisco Cloudイベント（Cisco Cloud Events）]：イベントを SAL（SaaS）に直接送信するように Cloud-Delivered Firewall Management Center を設定するための、Security Cloud Control ポータルの Cisco Cloud イベント設定ページが表示されます。「Send Events to SAL (SaaS)」を参照してください。

Cloud-Delivered Firewall Management Center で、青い疑問符ボタンをクリックし、[ページレベルのヘルプ（Page-level Help）] を選択して、表示しているページの詳細と、さらに実行できるアクションを確認します。

異なるタブで Security Cloud Control と Cloud-Delivered Firewall Management Center アプリケーションを開く機能のサポート

Firewall Threat Defense デバイスまたはオブジェクトを Cloud-Delivered Firewall Management Center で設定するときに、追加のブラウザタブで適切な設定ページを開いて、ログオフせずに Security Cloud Control と Cloud-Delivered Firewall Management Center ポータルで同時に作業できます。

たとえば、Cloud-Delivered Firewall Management Center でオブジェクトを作成し、同時にセキュリティポリシーから生成されたイベントログを Security Cloud Control でモニターできます。

この機能は、Cloud-Delivered Firewall Management Center ポータルに移動するすべての Security Cloud Control リンクで使用できます。新しいタブで Cloud-Delivered Firewall Management Center ポータルを開くには、次の手順を実行します。

Security Cloud Control ポータルで、Ctrl（Windows）または Command（Mac）ボタンを押したまま、対応するリンクをクリックします。

（注）

1 回クリックすると、同じタブで Cloud-Delivered Firewall Management Center ページが開きます。

新しいタブで Cloud-Delivered Firewall Management Center ポータルページを開く例を次に示します。

[Administration] > [Firewall Management Center] を選択し、[Cloud-Delivered FMC] を選択します。右側のペインで、Ctrl（Windows）または Command（Mac）ボタンを押したまま、アクセスするページをクリックします。
[オブジェクト（Objects）] > [その他のFTDオブジェクト（Other FTD Objects）] を選択します。
Security Cloud Control ページの右上隅にある検索アイコンをクリックし、表示される検索フィールドに検索文字列を入力します。

検索結果から、Ctrl（Windows）または Command（Mac）ボタンを押したまま、矢印アイコンをクリックします。
[Dashboard]、[Quick Actions] の順に選択します。Ctrl（Windows）または Command（Mac）ボタンを押したまま、[Manage FTD Policies] または [Manage FTD Objects] をクリックします。

（注）

新しい Security Cloud Control テナントに切り替えると、新しいタブですでに開いている対応する Cloud-Delivered Firewall Management Center ポータルがログアウトします。

ネットワーキング要件

内部インターフェイスからの FDM-Managed デバイスの管理

リモートアクセス VPN の要件

次に行う作業：

FDM-managed デバイスを設定する手順については、内部インターフェイスからの FDM-Managed デバイスの管理に進んでください。

内部インターフェイスからの FDM-Managed デバイスの管理

設定方法は次のとおりです。

FDM-managed デバイスが Security Cloud Control にオンボードされていないことが前提です。
データインターフェイスを内部インターフェイスとして設定します。
MGMT トラフィック（HTTPS）を受信するように内部インターフェイスを設定します。
Cloud Connector のアドレスがデバイスの内部インターフェイスに到達できるようにします。

始める前に

この設定の前提条件を以下で確認してください。

手順

ステップ 1	Secure Firewall Device Manager にログインします。
ステップ 2	[システム設定（System Settings）] メニューで、[管理アクセス（Management Access）] をクリックします。
ステップ 3	[データインターフェース（Data Interfaces）] タブをクリックし、[データインターフェースの作成（Create Data Interface）] を選択します。 [インターフェース（Interface）] フィールドで、インターフェースのリストから「 inside 」という名前のインターフェースを選択します。 [プロトコル（pre-named）] フィールドがまだ選択されていない場合は、[HTTPS] を選択します。 [許可されたネットワーク（Allowed Networks）] フィールドで、組織内に配置され FDM-managed デバイスの内部アドレスへのアクセスが許可されているネットワークを示すネットワークオブジェクトを選択します。SDC または Cloud Connector の IP アドレスは、デバイスの内部アドレスへのアクセスが許可されているアドレス群の中にある必要があります。「インターフェイスアドレス」図の中では、SDC の IP アドレス 192.168.1.10 が 192.168.1.1 に到達可能である必要があります。
ステップ 4	変更を展開します。これで、内部インターフェイスを使用してデバイスを管理できるようになりました。

次のタスク

Cloud Connector を使用している場合

上記の手順に加えて、以下の手順を実行します。

外部インターフェイス（203.0.113.2）から内部インターフェイス（192.168.1.1）への「NAT」を実行するステップを追加します。「インターフェイスアドレス」を参照してください。
上記の手順のステップ 3c では、「許可されたネットワーク」は、クラウドコネクタのパブリック IP アドレスを含むネットワークグループオブジェクトです。
クラウドコネクタのパブリック IP アドレスから外部インターフェイス（203.0.113.2）へのアクセスを許可するアクセス制御ルールの作成ステップを追加します。さまざまな Security Cloud Control リージョンのクラウドコネクタ IP アドレスのリストについては、参照してください。

FDM-Managed デバイスの導入準備

外部インターフェイスからの FDM-Managed デバイスの管理

リモートアクセス VPN の要件

次に行う作業：

Cloud-Delivered Firewall Management Center デバイスを設定する手順については、FDM-Managed デバイスの外部インターフェイスを管理するに進んでください。

FDM-Managed デバイスの外部インターフェイスを管理する

設定方法は次のとおりです。

FDM-managed デバイスが Security Cloud Control にオンボードされていないことが前提です。
データインターフェイスを外部インターフェイスとして設定します。
外部インターフェイスで管理アクセスを設定します。
Cloud Connector のパブリック IP アドレス（ファイアウォールによる NAT 処理済み）が外部インターフェイスに到達できるようにします。

始める前に

この設定の前提条件を以下で確認してください。

手順

ステップ 1	Secure Firewall Device Manager にログインします。
ステップ 2	[システム設定（System Settings）] メニューで、[管理アクセス（Management Access）] をクリックします。
ステップ 3	[データインターフェース（Data Interfaces）] タブをクリックし、[データインターフェースの作成（Create Data Interface）] を選択します。 [インターフェイス] フィールドで、インターフェイスのリストから「outside」という名前のインターフェイルを選択します。 [プロトコル（Protocols）] フィールドでまだ選択されていない場合は、[HTTPS] を選択します。Security Cloud Control には HTTPS アクセスのみが必要です。 [許可ネットワーク（Allowed Networks）] フィールドで、ファイアウォールによる NAT 処理済みの Cloud Connector のパブリック方向 IP アドレスを含むホストネットワークオブジェクトを作成します。「外部インターフェイスからのデバイス管理」のネットワーク図では、Cloud Connector の IP アドレス 10.10.10.55 が 203.0.113.2 に NAT 処理されています。許可ネットワークの場合は、203.0.113.2 という値を使用してホストネットワークオブジェクトを作成します。
ステップ 4	SDC または Cloud Connector のパブリック IP アドレスから FDM-managed デバイスの外部インターフェイスへの管理トラフィック（HTTPS）を許可するアクセスコントロールポリシーを、Secure Firewall Device Manager で作成します。このシナリオでは、送信元アドレスは 203.0.113.2 で、送信元プロトコルは HTTPS です。また、宛先アドレスは 209.165.202.129 で、宛先プロトコルは HTTPS です。
ステップ 5	変更を展開します。これで、外部インターフェイスを使用してデバイスを管理できるようになります。

次のタスク

Cloud Connector を使用している場合

プロセスは非常によく似ていますが、次の 2 つの点が異なります。

上記の手順のステップ 3c では、「許可されたネットワーク」は、クラウドコネクタのパブリック IP アドレスを含むネットワークグループオブジェクトです。さまざまな Security Cloud Control リージョンのクラウドコネクタ IP アドレスのリストについては、「Cloud Connector を介したデバイスの Security Cloud Control への接続」を参照してください。
上記の手順のステップ 4 では、Cloud Connector のパブリック IP アドレスから外部インターフェイスへのアクセスを許可するアクセス制御ルールを作成します。

Security Cloud Control Firewall Management ライセンス

Security Cloud Control Firewall Management では、組織の資格の基本サブスクリプションと、デバイスを管理するためのデバイスライセンスが必要です。必要なテナント数に基づいて 1 つ以上の Security Cloud Control Firewall Management 基本サブスクリプションを購入し、デバイスモデル番号と数量に基づいてデバイスライセンスを購入できます。つまり、基本サブスクリプションを購入すると Security Cloud Control Firewall Management 組織が提供されます。Security Cloud Control Firewall Management を使用して管理することを選択したデバイスごとに、個別のデバイスライセンスが必要です。

展開を計画するために、各 Security Cloud Control Firewall Management テナントは Secure Device Connector（SDC）を介して約 500 台のデバイスを管理でき、Cloud Connector を使用して任意の数のデバイスを管理できることに注意してください。詳細については、「Secure Device Connector（SDC）」を参照してください。

Security Cloud Control Firewall Management からデバイスをオンボードして管理するには、管理するデバイスに基づいて、基本サブスクリプションとデバイス固有の期間ベースのサブスクリプションを購入する必要があります。

サブスクリプション

Security Cloud Control Firewall Management サブスクリプションは期間ベースです。

基本：1 年、3 年、および 5 年のサブスクリプションを提供して、Security Cloud Control Firewall Management テナントにアクセスし、適切にライセンスされたデバイスを搭載する資格を提供します。
デバイスライセンス：管理することを選択したサポート対象デバイスについて、1 年、3 年、および 5 年のサブスクリプションを提供します。たとえば、Cisco Firepower 1010 デバイスの 3 年のソフトウェアサブスクリプションを購入した場合、Security Cloud Control Firewall Management を使用して Cisco Firepower 1010 デバイスを 3 年間管理することを選択できます。

Security Cloud Control Firewall Management がサポートするシスコのセキュリティデバイスの詳細については、「Security Cloud Control Firewall Management でサポートされるソフトウェアとハードウェア」を参照してください。

ファイアウォールを Security Cloud Control Firewall Management で管理する場合、Security Analytics and Logging を Security Cloud Control Firewall Management サブスクリプションと組み合わせたり、Security Analytics and Logging ライセンスを別のサブスクリプションとして取得したりできます。Security Analytics and Logging サブスクリプションの詳細については、Security Analytics and Logging ライセンスを参照してください。

重要	Security Cloud Control Firewall Management の高可用性デバイスペアを管理するために、2 つの個別のデバイスライセンスは必要ありません。 Cisco Secure Firewall Threat Defense（FTD）の高可用性ペアがある場合、Security Cloud Control Firewall Management では高可用性デバイスのペアを 1 つのデバイスと見なすため、1 つの FTD デバイスライセンスを購入するだけで十分です。

（注）

Catalyst SD-WAN には Security Cloud Control Firewall Management と統合するために追加のライセンスは必要ありません。Cisco Digital Network Architecture（DNA）または WAN Essentials ライセンスを持つお客様は、他のライセンスは必要なく、これらの既存のライセンスを統合に使用できます。

（注）

Cisco Smart Licensing ポータルから Security Cloud Control Firewall Management ライセンスを管理することはできません。

ソフトウェアサブスクリプションのサポート

Security Cloud Control Firewall Management 基本サブスクリプションには、サブスクリプション期間中有効なソフトウェアサブスクリプションサポートが含まれており、ソフトウェアアップデート、メジャーアップグレード、および Cisco Technical Assistance Center（TAC）へのアクセスが追加料金なしで利用できます。ソフトウェアサポートがデフォルトで選択されていますが、要件に基づいて Security Cloud Control Firewall Management ソリューションサポートを活用することもできます。

Cloud-Delivered Firewall Management Center ライセンスと登録

Cloud-Delivered Firewall Management Center の場合と同じように、On-Premises Firewall Management Center を Cisco Smart Licensing に登録します。

概要

Cloud-Delivered Firewall Management Center は、Security Cloud Control Firewall Management の基本サブスクリプションおよびトライアルに含まれています。Cloud-Delivered Firewall Management Center のライセンスを個別に購入する必要はありません。基本サブスクリプションまたはトライアルは Cloud-Delivered Firewall Management Center をカバーしており、クラウドを介して Firewall Threat Defense のデバイスを管理できます。

Cloud-Delivered Firewall Management Center には 90 日間の評価ライセンスがプロビジョニングされています。

重要	RAVPN や SSL VPN などのエクスポート暗号化を必要とする機能を含むすべての機能にアクセスするには、展開後すぐに Cisco Smart Software Manager に Cloud-Delivered Firewall Management Center を登録することを強く推奨します。早期登録により、機能の制限や展開の中断が防止されます。

評価ライセンス

リモートアクセス VPN、SSL VPN、およびその他の暗号化依存オプションなど、エクスポート暗号化を必要とする機能は、Cloud-Delivered Firewall Management Center を Cisco Smart Software Manager（CSSM）に登録するまで無効のままです。
90 日間の評価期間が終了した後も、Firewall Threat Defense デバイスのオンボーディングを続行できますが、CSSM への登録が完了するまで、手動でトリガーされた展開またはスケジュールされた展開はブロックされます。
評価ライセンスの有効期限が近づいている場合、セキュリティクラウドコントロールはアラート通知を送信します。

Cisco Smart Software Manager（CSSM）

Cloud-Delivered Firewall Management Center と同じプロセスに従って、On-Premises Firewall Management Center をスマートライセンスアカウントに接続します。このセクションでは、手順の概要を示します。
Cloud-Delivered Firewall Management Center に対してライセンスを個別に購入する必要はありません。ライセンスは登録時に自動的に適用されます。
スマートライセンスに登録すると、暗号化エクスポート機能が有効になります。
登録すると、コンプライアンスが保証され、展開の問題が防止されます。

Security Cloud Control テナントでプロビジョニングされた Cloud-Delivered Firewall Management Center を取得する方法については、「Request a Cloud-Delivered Firewall Management Center for your Security Cloud Control Tenant」を参照してください。

Firewall Threat Defense デバイスのライセンス

Cloud-Delivered Firewall Management Center には、ライセンスを個別に購入する必要はありません。
Cloud-Delivered Firewall Management Center によって管理される Firewall Threat Defense デバイスにはそれぞれ個別のライセンスが必要です。
Cloud-Delivered Firewall Management Center を CSSM に登録すると、管理者はセキュリティデバイスに機能ライセンスを適用できます。

登録ステップバイステップ

手順の概要は次のとおりです。詳細は「スマートソフトウェアマネージャーで管理センターを登録する」を参照してください。

スマートアカウントの作成またはアクセス：

Cisco Smart Software Manager アカウントを持っていることを確認します。次がない場合は、Smart Software Manager で作成します。
登録トークンの生成または登録トークンの使用：

Smart Software Manager で、既存の有効な登録トークンを使用するか、Cloud-Delivered Firewall Management Center を登録する仮想アカウントの登録トークンを生成します。
1. [Inventory] > [New Token] の順に選択します。
2. 説明を入力し、有効期限を設定します（シスコでは 30 日を推奨）。
3. トークンを作成し、コピーします。
Cloud-Delivered Firewall Management Center をトークンに登録します。
1. Cloud-Delivered Firewall Management Center インターフェイスにログインします。
2. [System] > [Licenses] > [Smart Licenses] に移動します。
3. [Register] をクリックし、[Product Instance Registration Token] フィールドに登録トークンを貼り付けます。
4. トークンの前後に余分なスペースや空白行がないことを確認してください。
5. [変更を適用（Apply Changes）] をクリックします。
登録の確認

登録後、[System] > [Licenses] > [Smart Licenses] でライセンスステータスを確認し、登録が成功し、ライセンスが適用され、「輸出規制機能」が有効になっていることを確認します。

Security Cloud Control Firewall Management プラットフォームのメンテナンススケジュール

Security Cloud Control Firewall Management は、新機能と品質の改善により、プラットフォームを毎週更新します。更新は、このスケジュールに従って 3 時間以内に行われます。


Day of the week	時刻（24 時間表記、UTC）
Thursday	09:00 UTC - 12:00 UTC

このメンテナンス期間中は、Cloud-Delivered Firewall Management Center と同様に組織にアクセスできます。さらに、Security Cloud Control Firewall Management にオンボーディングしたデバイスは、引き続きセキュリティポリシーを適用します。

（注）

メンテナンス期間中は、管理対象のデバイスに構成の変更を展開するために Security Cloud Control Firewall Management を使用しないことをお勧めします。
Security Cloud Control Firewall Management の通信を停止する障害が発生した場合、その障害に対しては、メンテナンス期間外であっても、Cisco は影響を受けるすべてのテナントで可能な限り迅速に対処いたします。

Cloud-Delivered Firewall Management Center メンテナンススケジュール

テナントに Cloud-Delivered Firewall Management Center をデプロイしているお客様には、Security Cloud Control で Cloud-Delivered Firewall Management Center 環境が更新される約 1 週間前に通知されます。テナントのネットワーク管理者および管理者ユーザーには、電子メールで通知が届きます。また、Security Cloud Control のホームページにも、すべてのユーザーに今後の更新を通知するバナーが表示されます。

（注）

メンテナンス期間中は、管理対象のデバイスに構成の変更を展開するために Cloud-Delivered Firewall Management Center を使用しないことをお勧めします。
Security Cloud Control または Cloud-Delivered Firewall Management Center の通信を停止する障害が発生した場合、その障害に対しては、メンテナンス期間外であっても、影響を受けるすべてのテナントで可能な限り迅速に対処いたします。

オブジェクトの概要

オブジェクトは、1 つ以上のセキュリティポリシーで使用できる情報のコンテナです。オブジェクトを使用すると、ポリシーの一貫性を簡単に維持できます。単一のオブジェクトを作成し、異なるポリシーを使用して、オブジェクトを変更すると、その変更がオブジェクトを使用するすべてのポリシーに伝播されます。オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。

デバイスをオンボードすると、Security Cloud Control はそのデバイスで使用されるすべてのオブジェクトを認識して保存し、[オブジェクト（Objects）] ページにリストします。[オブジェクト（Objects）] ページから、既存のオブジェクトを編集したり、セキュリティポリシーで使用する新しいオブジェクトを作成したりできます。

Security Cloud Control は、複数のデバイスで使用されるオブジェクトを共有オブジェクトと呼び、[オブジェクト（Objects）] ページでこのバッジでそれらを識別します。

共有オブジェクトが何らかの「問題」を引き起こし、複数のポリシーまたはデバイス間で完全に共有されなくなる場合があります。

重複オブジェクトとは、同じデバイス上にある、名前は異なるが値は同じである 2 つ以上のオブジェクトです。通常、重複したオブジェクトは同じ目的を果たし、さまざまなポリシーによって使用されます。重複するオブジェクトは、この問題のアイコンで識別されます。
不整合オブジェクトとは、2 つ以上のデバイス上にある、名前は同じだが値は異なるオブジェクトです。ユーザーは、さまざまな設定の中で、同じ名前と内容のオブジェクトを作成することがあります。これらのオブジェクトの値が時間の経過につれて相互に異なる値になり、不整合が生じます。不整合オブジェクトは、この問題のアイコンで識別されます。
未使用オブジェクトは、デバイス構成に存在するものの、別のオブジェクト、アクセスリスト、NAT ルールによって参照されていないオブジェクトです。未使用オブジェクトは、この問題のアイコンで識別されます。

ルールやポリシーですぐに使用するためのオブジェクトを作成することもできます。ルールやポリシーに関連付けないオブジェクトを作成できます。関連付けられていないオブジェクトをルールまたはポリシーで使用すると、Security Cloud Control ではそのコピーが作成され、そのコピーが使用されます。

[オブジェクト（Objects）] メニューに移動するか、ネットワークポリシーの詳細でオブジェクトを表示することにより、Security Cloud Control によって管理されているオブジェクトを表示できます。

Security Cloud Control を使用すると、サポートされているデバイス全体のネットワークオブジェクトとサービスオブジェクトを 1 つの場所から管理できます。Security Cloud Control を使用すると、次の方法でオブジェクトを管理できます。

さまざまな基準に基づいて、します。https://securitydocs.cisco.com/api/v0/apps?appId=SccCdo&topic=cdo_object_filter
デバイス上の重複、未使用、および不整合のオブジェクトを見つけて、それらのオブジェクトの問題を統合、削除、または解決します。
関連付けられていないオブジェクトを見つけて、それらが未使用であれば削除します。
デバイス間で共通の共有オブジェクトを検出します。
変更をコミットする前に、オブジェクトへの変更が一連のポリシーとデバイスに与える影響を評価します。
一連のオブジェクトとそれらの関係を、さまざまなポリシーやデバイスで比較します。
デバイスが Security Cloud Control にオンボードされた後、デバイスによって使用されているオブジェクトをキャプチャします。

オンボードされたデバイスからのオブジェクトの作成、編集、または読み取りで問題が発生した場合は、『Cisco Security Cloud Control のトラブルシューティング』を参照してください。

オブジェクトタイプ

以下の表では、デバイス用に作成し、Security Cloud Control を使用して管理できるオブジェクトについて説明します。

表 2. FDM 管理対象デバイスのオブジェクトタイプ
オブジェクト	説明
アプリケーションフィルタ	アプリケーションフィルタオブジェクトは、IP 接続で使用されるアプリケーション、あるいはタイプ、カテゴリ、タグ、リスク、またはビジネスとの関連性によってアプリケーションを定義するフィルタを定義します。ポートの仕様を使用する代わりに、これらのオブジェクトをポリシーで使用し、トラフィックを制御できます。
AnyConnect クライアントプロファイル	AnyConnect クライアントプロファイルオブジェクトは、通常はリモートアクセス VPN ポリシーの構成で使用するファイルオブジェクトおよび表明ファイルです。このオブジェクトには、AnyConnect クライアントプロファイルと AnyConnect クライアントイメージファイルを含めることができます。
証明書フィルタ	デジタル証明書は、認証に使用されるデジタル ID を提供します。証明書は、SSL（セキュアソケットレイヤ）、TLS（Transport Layer Security）、および DTLS（データグラム TLS）接続（HTTPS や LDAPS など）に使用されます。
DNS Group	www.example.com などの完全修飾ドメイン名（FQDN）を IP アドレスに解決するのには、DNS サーバーが必要です。管理インターフェイスとデータインターフェイスに異なる DNS グループオブジェクトを構成できます。
位置情報（GeoLocation）	地理位置情報オブジェクトは、トラフィックの送信元または接続先であるデバイスをホストする国と大陸を定義します。IP アドレスを使用する代わりに、これらのオブジェクトをポリシーで使用してトラフィックを制御できます。
IKEv1ポリシー	IKEv1 ポリシーオブジェクトには、VPN 接続を定義する際に IKEv1 ポリシーに必要なパラメータが含まれています。
IKEv2 ポリシー	IKEv2 ポリシーオブジェクトには、VPN 接続を定義する際に IKEv2 ポリシーに必要なパラメータが含まれています。
IKEv1 IPSec プロポーザル	IPsec プロポーザルオブジェクトは、IKE フェーズ 1 ネゴシエーション時に使用される IPsec プロポーザルを設定します。IPsec プロポーザルでは、IPsec トンネル内のトラフィックを保護するためのセキュリティプロトコルとアルゴリズムの組み合わせを定義します。
IKEv2 IPSec プロポーザル	IPsec プロポーザルオブジェクトは、IKE フェーズ 2 ネゴシエーション時に使用される IPsec プロポーザルを設定します。IPsec プロポーザルでは、IPsec トンネル内のトラフィックを保護するためのセキュリティプロトコルとアルゴリズムの組み合わせを定義します。
ネットワーク（Network）	ホストまたはネットワークのアドレスを定義するネットワークグループおよびネットワークオブジェクト（総称してネットワークオブジェクトと呼ばれます）。
セキュリティゾーン	セキュリティゾーンとはインターフェイスのグループ分けです。ゾーンは、トラフィックの管理と分類に役立つようにネットワークをセグメントに分割します。
サービス	サービスオブジェクト、サービスグループ、ポートグループは、TCP/IP プロトコルスイートの一部が考慮されたプロトコルまたはポートを含む再利用可能なコンポーネントです。
SGT グループ	SGT ダイナミックオブジェクトは、ISE によって割り当てられた SGT に基づいて送信元または宛先アドレスを識別し、着信トラフィックと照合できます。
Syslog サーバー	syslog サーバーのオブジェクトはコネクション型メッセージまたは診断システムログ（syslog）メッセージを受信できるサーバーを指定します。
URL	URL オブジェクトとグループ（URL オブジェクトと総称する）を使用して、Web リクエストの URL または IP アドレスを定義します。これらのオブジェクトを使用して、アクセス制御ポリシーに手動の URL フィルタリング、またはセキュリティインテリジェンスポリシーにブロッキングを実装できます。

共有オブジェクト

Security Cloud Control では、複数のデバイス上の同じ名前と同じ内容のオブジェクトを「共有オブジェクト」と呼びます。共有オブジェクトはこのアイコンで識別されます。

これは、[オブジェクト（Objects）]ページに表示されます。共有オブジェクトを使用すると、1 ヵ所でオブジェクトを変更でき、その変更がそのオブジェクトを使用する他のすべてのポリシーに影響するため、ポリシーの維持が容易になります。共有オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。

共有オブジェクトを調査する場合、Security Cloud Control ではオブジェクトの内容がオブジェクトテーブルに表示されます。共有オブジェクトの内容はまったく同じです。Security Cloud Control では、オブジェクトの要素の結合された、つまり「フラット化された」ビューが詳細ペインに表示されます。詳細ペインでは、ネットワーク要素が単純なリストにフラット化されており、名前付きオブジェクトに直接関連付けられていないことに注意してください。

オブジェクトのオーバーライド

オブジェクトのオーバーライドを使用すると、特定のデバイス上の共有ネットワークオブジェクトの値をオーバーライドできます。Security Cloud Control は、オーバーライドの設定時に指定したデバイスに対応する値を使用します。これらのオブジェクトは、名前は同じで値が異なる複数のデバイス上にありますが、Security Cloud Control は、これらの値がオーバーライドとして追加されただけでは、それらを不整合オブジェクトとして識別しません。

ほとんどのデバイスに有効な定義を設定したオブジェクトを作成した後、異なる定義を必要とする少数のデバイスについて、オーバーライドを使用してオブジェクトに対する変更内容を指定できます。また、すべてのデバイスに対してオーバーライドする必要があるオブジェクトを作成し、そのオブジェクトを使用してすべてのデバイスに適用する単一のポリシーを作成することもできます。オブジェクトオーバーライドでは、デバイス全体で使用する共有ポリシーの小さなセットを作成し、個々のデバイスの必要に応じてポリシーを変更できます。

たとえば、各オフィスにプリンタサーバーがあり、プリンタサーバーオブジェクト print-server を作成しているシナリオを考えてみましょう。ACL には、プリンタサーバーのインターネットへのアクセスを拒否するルールを設定しています。プリンタサーバーオブジェクトには、オフィスごとに変更できるデフォルト値があります。これを行うには、オブジェクトのオーバーライドを使用し、すべての場所でルールと「printer-server」オブジェクトの一貫性を維持します（値は異なる場合があります）。

（注）

Security Cloud Control を使用すると、ルールセット内のルールに関連付けられたオブジェクトをオーバーライドできます。新しいオブジェクトをルールに追加する場合、デバイスをルールセットに接続して変更を保存しないと、オブジェクトを上書きできません。詳細については、「FTD のルールセットの設定」を参照してください。

（注）

一貫性のないオブジェクトがある場合は、オーバーライドを使用してそれらを 1 つの共有オブジェクトに結合できます。詳細については、不整合オブジェクトの問題を解決するを参照してください。

オブジェクトの比較

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで、[オブジェクト（Objects）] をクリックして、オプションを選択します。
ステップ 3	ページのオブジェクトをフィルタ処理して、比較するオブジェクトを見つけます。
ステップ 4	[比較（Compare）] ボタンをクリックします。
ステップ 5	比較するオブジェクトを最大 3 つまで選択します。
ステップ 6	画面の下部にオブジェクトを並べて表示します。 [オブジェクトの詳細（Object Details）] タイトルバーの上下の矢印をクリックして、表示するオブジェクト詳細を調整します。 [詳細（Details）] ボックスと [関係（Relationships）] ボックスを展開するか折りたたんで、表示する情報を調整します。
ステップ 7	（オプション）[関係（Relationships）] ボックスには、オブジェクトの使用方法が表示されます。オブジェクトはデバイスまたはポリシーに関連付けられている場合があります。オブジェクトがデバイスに関連付けられている場合は、デバイス名をクリックしてから [構成の表示（View Configuration）] をクリックして、デバイスの構成を表示できます。Security Cloud Control はデバイスの構成ファイルを表示し、そのオブジェクトのエントリをハイライトします。

フィルタ

[セキュリティデバイス（Security Devices）] ページと [オブジェクト（Objects）] ページのさまざまなフィルタを使用して、探しているデバイスやオブジェクトを検索できます。

フィルタ処理するには、[セキュリティデバイス（Security Devices）] タブ、[ポリシー（Policies）] タブ、および [オブジェクト（Objects）] タブの左側のペインでをクリックします。

セキュリティデバイスフィルタでは、デバイスタイプ、ハードウェアとソフトウェアのバージョン、Snort バージョン、設定ステータス、接続状態、競合検出、Secure Device Connector、およびラベルでフィルタ処理できます。フィルタを適用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。フィルタを使用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。

（注）

[FTD] タブを開くと、フィルタペインでフィルタを使用できます。これにより、Security Cloud Control からデバイスにアクセスするために使用されている管理アプリケーションに基づいて FDM-managed デバイスが表示されます。

FDM：FTD API または FDM を使用して管理されるデバイス。
FMC-FTD：Firepower Management Center を使用して管理されるデバイス。
FTD：FTD 管理を使用して管理されるデバイス。

オブジェクトフィルタを使用すると、デバイス、問題タイプ、共有オブジェクト、関連付けのないオブジェクト、およびオブジェクトタイプでフィルタ処理できます。結果にシステムオブジェクトを含めるかどうかを選択できます。検索フィールドを使用して、特定の名前、IP アドレス、またはポート番号を含むフィルタ結果内のオブジェクトを検索することもできます。

オブジェクトタイプフィルタを使用すると、ネットワークオブジェクト、ネットワークグループ、URL オブジェクト、URL グループ、サービスオブジェクト、サービスグループなどのタイプによってオブジェクトをフィルタ処理できます。共有オブジェクトフィルタを使用すると、デフォルト値またはオーバーライド値を持つオブジェクトをフィルタ処理できます。

デバイスとオブジェクトをフィルタ処理する場合、検索語を組み合わせて、関連する結果を見つけるためのいくつかの潜在的な検索戦略を作成することができます。

次の例では、「問題（使用されていない、または、不整合）、かつ、共有オブジェクト（デフォルト値、または、追加の値を持つ）かつ、関連付けられていないオブジェクト」を検索するフィルタが適用されます。

オブジェクトフィルタ

フィルタ処理するには、[オブジェクト（Object）] タブの左側のペインでをクリックします。

[デバイスごとのフィルタ（Filter by Device）]：特定のデバイスを選択して、選択したデバイスで見つかったオブジェクトを表示できます。
[問題（Issues）]：未使用のオブジェクト、重複するオブジェクト、および一貫性のないオブジェクトを選択して表示できます。
[無視された問題（Ignored Issues）]：不整合を無視したすべてのオブジェクトを表示できます。
[共有オブジェクト（Shared Objects）]：複数のデバイスで共有されていることが Security Cloud Control によって検出されたすべてのオブジェクトを表示できます。デフォルト値またはオーバーライド値のみ、あるいはその両方を持つ共有オブジェクトを表示することを選択できます。
[関連付けられていないオブジェクト（Unassociated Objects）]：ルールまたはポリシーに関連付けられていないすべてのオブジェクトを表示できます。
[オブジェクトタイプ（Object Type）]：オブジェクトタイプを選択して、ネットワークオブジェクト、ネットワークグループ、URL オブジェクト、URL グループ、サービスオブジェクト、サービスグループなど、選択したタイプのオブジェクトのみを表示できます。

サブフィルタ – 各メインフィルタ内には、選択をさらに絞り込むために適用できるサブフィルタがあります。これらのサブフィルタは、オブジェクトタイプ（ネットワーク、サービス、プロトコルなど）に基づいています。

このフィルタバーで選択されたフィルタは、以下の条件に一致するオブジェクトを返します。

* 2 つのデバイスのいずれかにあるオブジェクト（[デバイスでフィルタ処理（Filter by Device）] をクリックしてデバイスを指定します）。および

* 一貫性のないオブジェクト。および

* ネットワークオブジェクトまたはサービスオブジェクト。および

* オブジェクトの命名規則に「グループ」という単語が含まれているオブジェクト。

[システムオブジェクトの表示（Show System Objects）] がオンになっているため、結果にはシステムオブジェクトとユーザー定義オブジェクトの両方が含まれます。

[システム定義オブジェクトの表示（Show System-Defined Objects）] フィルタ

一部のデバイスには、一般的なサービス用に事前定義されたオブジェクトがあります。これらのシステムオブジェクトは既に作成されており、ルールやポリシーで使用できるので便利です。オブジェクトテーブルには多くのシステムオブジェクトが含まれる場合があります。システムオブジェクトは編集または削除できません。

[システム定義オブジェクトの表示（Show System-Defined Objects）] は、デフォルトではオフになっています。オブジェクトテーブルにシステムオブジェクトを表示するには、フィルタバーで [システム定義オブジェクトの表示（Show System-Defined Objects）] をオンにします。オブジェクトテーブルでシステムオブジェクトを非表示にするには、フィルタバーで [システムオブジェクトを表示（Show System Objects）] をオフのままにします。

システムオブジェクトを非表示にすると、それらは検索およびフィルタ処理の結果に含まれなくなります。システムオブジェクトを表示すると、それらはオブジェクトの検索とフィルタ処理の結果に含まれます。

オブジェクトフィルタを設定する

条件を必要な数だけ設定してフィルタリングできます。フィルタリングするカテゴリが多いほど、予想される結果は少なくなります。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで [オブジェクト（Objects）] をクリックします。
ステップ 3	ページ上部のフィルタアイコンをクリックして、フィルタパネルを開きます。オブジェクトが誤って除外されないように、チェック付きのフィルタのチェックを外します。さらに、検索フィールドを見て、検索フィールドに入力された可能性のあるテキストを削除します。
ステップ 4	結果を特定のデバイスで見つかったものに限定したい場合： [デバイスでフィルタ処理（Filter By Device）] をクリックします。すべてのデバイスを検索するか、デバイスタブをクリックして特定の種類のデバイスのみを検索します。フィルタ条件に含めるデバイスのチェックボックスをオンにします。 [OK] をクリックします。
ステップ 5	検索結果にシステムオブジェクトを含めるには、[システムオブジェクトを表示（Show System Objects）] をオンにします。検索結果でシステムオブジェクトを除外するには、[システムオブジェクトを表示（Show System Objects）] をオフにします。
ステップ 6	[問題（Issues）] で、フィルタリングするオブジェクトの問題のチェックボックスをオンにします。複数の問題をオンにすると、オンにしたいずれかのカテゴリのオブジェクトがフィルタ結果に含まれます。
ステップ 7	問題があったが管理者によって無視されたオブジェクトを表示する場合は、[無視（Ignored）] の問題をチェックします。
ステップ 8	2 つ以上のデバイス間で共有されるオブジェクトをフィルタリングする場合は、[共有オブジェクト（Shared Objects）] で必要なフィルタをオンにします。 [デフォルト値（Default Values）]：デフォルト値のみを持つオブジェクトをフィルタリングします。 [オーバーライド値（Override Values）]：オーバーライドされた値を持つオブジェクトをフィルタリングします。 [追加の値（Additional Values）]：追加の値を持つオブジェクトをフィルタリングします。
ステップ 9	ルールまたはポリシーの一部ではないオブジェクトをフィルタリングする場合は、[関連付けなし（Unassociated）] をオンにします。
ステップ 10	フィルタリングする [オブジェクトタイプ（Object Types）] をオンにします。
ステップ 11	オブジェクト名、IP アドレス、またはポート番号を [オブジェクト（Objects）] 検索フィールドに追加して、フィルタリングされた結果の中から検索条件に一致するオブジェクトを見つけることもできます。

フィルタ基準からデバイスを除外する場合

デバイスをフィルタリング基準に追加すると、結果にはデバイス上のオブジェクトは表示されますが、それらのオブジェクトと他のデバイスとの関係は表示されません。たとえば、ObjectA が ASA1 と ASA2 の間で共有されている場合、オブジェクトをフィルタリングして ASA1 上の共有オブジェクトを検索すると、ObjectA は見つかりますが、[関係（Relationships）] ペインには、オブジェクトが ASA1 にあることだけが表示されます。

オブジェクトが関連するすべてのデバイスを表示するには、検索条件でデバイスを指定しないでください。他の条件でフィルタリングし、必要に応じて検索条件を追加します。Security Cloud Control が識別するオブジェクトを選択し、[関係（Relationships）] ペインを調べます。そのオブジェクトに関連するすべてのデバイスとポリシーが表示されます。

オブジェクトの無視の解除

未使用、重複、不整合のオブジェクトを解決する方法の 1 つは、それらを無視することです。オブジェクトが未使用、重複、または不整合であっても、その状態には正当な理由があると判断し、オブジェクトの問題を未解決のままにすることを選択する場合もあります。将来のある時点で、これらの無視されたオブジェクトを解決することが必要になる場合があります。オブジェクトの問題を検索するときに Security Cloud Control は無視されたオブジェクトを表示しないため、無視されたオブジェクトのオブジェクトリストをフィルタリングし、結果に基づいて操作する必要があります。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで、[オブジェクト（Objects）] をクリックして、オプションを選択します。
ステップ 3	無視されたオブジェクトをフィルタリングして検索します。
ステップ 4	[オブジェクト（Object）] テーブルで、無視を解除するオブジェクトをすべて選択します。一度に 1 つのオブジェクトの無視を解除できます。
ステップ 5	詳細ペインで [無視の解除（Unignore）] をクリックします。
ステップ 6	要求を確認します。これで、オブジェクトを問題でフィルタリングすると、以前は無視されていたオブジェクトが見つかるはずです。

オブジェクトの削除

1 つのオブジェクトまたは複数のオブジェクトを削除できます。

1 つのオブジェクトの削除

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Changes you make to the ASA, FDM, and FTD network objects and groups are reflected in the corresponding Cloud-Delivered Firewall Management Center network object or group. In addition, an entry is created in the Devices with Pending Changes page for each on-premises Firewall Management Center with Discover & Manage Network Objects enabled, from which you can choose and deploy the changes to the on-premises Firewall Management Center on which you have these objects.

Deleting a network object or group from either page deletes the object or group from both pages.

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで [オブジェクト（Objects）] をクリックします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、削除するオブジェクトを見つけ、それを選択します。
ステップ 4	[関係（Relationships）] ペインを確認します。オブジェクトがポリシーまたはオブジェクトグループで使用されている場合は、そのポリシーまたはグループから削除するまでオブジェクトを削除できません。
ステップ 5	[アクション（Actions）] ペインで、[削除（Remove）] アイコンをクリックします。
ステップ 6	[OK] をクリックしてオブジェクトの削除を確認します。
ステップ 7	行った変更をレビューして展開するか、待機してから複数の変更を一度に展開します。

未使用オブジェクトのグループの削除

デバイスをオンボードしてオブジェクトの問題解決に取り組むと、多くの未使用のオブジェクトが見つかります。一度に最大 50 個の未使用オブジェクトを削除できます。

手順

ステップ 1	[問題（Issues）] フィルタを使用して、未使用のオブジェクトを見つけます。デバイスフィルタを使用する際に [デバイスなし（No Device）] を選択し、デバイスに関連付けられていないオブジェクトを検索することもできます。オブジェクトリストをフィルタリングすると、オブジェクトのチェックボックスが表示されます。
ステップ 2	オブジェクトテーブルヘッダーの [すべて選択（Select all）] チェックボックスをオンにして、フィルタによって検出されオブジェクトテーブルに表示されるすべてのオブジェクトを選択するか、削除する個々のオブジェクトの個々のチェックボックスをオンにします。
ステップ 3	[アクション（Actions）] ペインで、[削除（Remove）] アイコンをクリックします。
ステップ 4	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ネットワークオブジェクト

1 つのネットワークオブジェクトには、ホスト名、ネットワーク IP アドレス、IP アドレスの範囲、完全修飾ドメイン名（FQDN）または CIDR 表記のサブネットワークのいずれか 1 つを入れることができます。[ネットワークグループ（Network groups）] は、ネットワークオブジェクトと、グループに追加するその他の個々のアドレスまたはサブネットワークのコレクションです。ネットワークオブジェクトとネットワークグループは、アクセスルール、ネットワークポリシー、および NAT ルールで使用されます。Security Cloud Control を使用して、ネットワークオブジェクトとネットワークグループを作成、更新、および削除できます。

すべてのプラットフォームが Cisco Meraki や Multicloud Defense などのネットワークオブジェクトをサポートしているわけではないことに注意してください。ダイナミックオブジェクトを共有すると、Security Cloud Control は、発信元のプラットフォームまたはデバイスからの適切な情報を、Security Cloud Control が使用できる一連の使用可能な情報に自動的に変換します。

表 3. ネットワークオブジェクトで許可される値
デバイスタイプ（Device Type）	[IPv4 / IPv6]	シングルアドレス	アドレス範囲	完全修飾ドメイン名	CIDR 表記法によるサブネット
FTD	IPv4 と IPv6	対応	対応	対応	対応
Multicloud Defense	IPv4 と IPv6	対応	対応	対応	対応

表 4. ネットワークグループで許可されるコンテンツ
デバイスタイプ（Device Type）	IP 値	[ネットワークオブジェクト（Network Object）]	ネットワークグループ
FTD	非対応	対応	対応
Multicloud Defense	対応	対応	対応

製品間でのネットワークオブジェクトの再利用

Cloud-Delivered Firewall Management Center とテナントにオンボーディングされている 1 つ以上の on-premises Firewall Management Center を含む Security Cloud Control テナントがある場合は、次の手順を実行します。

Secure Firewall Threat Defense、FDM-managedFirewall Threat Defense、Cisco ASA、または Cisco Meraki ネットワークオブジェクトまたはグループを作成すると、そのオブジェクトのコピーが、Cloud-Delivered Firewall Management Center の設定時に使用する [オブジェクト（Objects）] ページのオブジェクトリストにも追加されます。その逆も同様です。
Secure Firewall Threat Defense、FDM-managedFirewall Threat Defense、または ASA ネットワークオブジェクトまたはグループを作成すると、[ネットワークオブジェクトの検出と管理（Discover & Manage Network Objects）] が有効になっている各On-Premises Firewall Management Center の [保留中の変更があるデバイス（Devices with Pending Changes）] ページにエントリが作成されます。このリストから、オブジェクトを選択して、そのオブジェクトを使用するon-premises Firewall Management Center に展開し、不要なオブジェクトを破棄できます。、[管理（Administration）] > [Firewall Management Center] に移動し on-premises Firewall Management Center を選択します。[オブジェクト（Objects）] をクリックし、On-Premises Firewall Management Center ユーザーインターフェイスでオブジェクトを確認して、ポリシーに割り当てます。

いずれかのページのネットワークオブジェクトやグループに加えた変更は、両方のページのオブジェクトまたはグループインスタンスに適用されます。1 つのページからオブジェクトを削除すると、そのオブジェクトの対応するコピーも他のページから削除されます。

例外：

同じ名前のネットワークオブジェクトがすでに Cloud-Delivered Firewall Management Center に存在する場合、新しい Secure Firewall Threat Defense、FDM-managed Firewall Threat Defense、Cisco ASA、または Cisco Meraki ネットワークオブジェクトは、Security Cloud Control の [オブジェクト（Objects）] ページには複製されません。
オンプレミスの Cisco Secure Firewall Management Center によって管理されるオンボード済み Firewall Threat Defense デバイスのネットワークオブジェクトおよびグループは複製されず、Cloud-Delivered Firewall Management Center で使用できません。

Cloud-Delivered Firewall Management Center に移行したオンプレミスの Cisco Secure Firewall Management Center インスタンスの場合、ネットワークオブジェクトとグループは、FTD デバイスに展開されたポリシーで使用されていれば、Security Cloud Control オブジェクトページに複製されることに注意してください。
Security Cloud Control と Cloud-Delivered Firewall Management Center の間のネットワークオブジェクトの共有は、新しいテナントでは自動的に有効になりますが、既存のテナントでは要求する必要があります。ネットワークオブジェクトが Cloud-Delivered Firewall Management Center と共有されていない場合は、TAC に連絡して、テナントで機能を有効にしてもらいます。
Security Cloud Control とOn-Premises Firewall Management Center の間のネットワークオブジェクトの共有は、Security Cloud Control に対して導入準備された新しいon-premises Firewall Management Center の Security Cloud Control では自動的に有効になりません。ネットワークオブジェクトがOn-Premises Firewall Management Center と共有されていない場合は、[設定（Settings）] でon-premises Firewall Management Center の [ネットワークオブジェクトの検出と管理（Discover & Manage Network Objects）] トグルボタンが有効になっていることを確認するか、TAC に連絡してテナントで機能を有効にしてもらいます。

ネットワークオブジェクトの表示

Security Cloud Control を使用して作成するネットワークオブジェクトと、オンボーディングしたデバイスの設定から Security Cloud Control が認識するネットワークオブジェクトは、[オブジェクト（Objects）] ページに表示されます。これらのネットワークオブジェクトには、それぞれのオブジェクトタイプのラベルが付けられています。これにより、オブジェクトタイプでフィルタリングして、探しているオブジェクトをすばやく見つけることができます。

[オブジェクト（Objects）] ページでネットワークオブジェクトを選択すると、オブジェクトの値が [詳細（Detail）] ペインに表示されます。[関係（Relationships）] ペインには、オブジェクトがポリシーで使用されているかどうか、およびオブジェクトが保存されているデバイスが表示されます。

ネットワークグループをクリックすると、そのグループの内容が表示されます。ネットワークグループは、ネットワークオブジェクトによってグループに与えられたすべての値の集合体です。

Firepower ネットワークオブジェクトまたはネットワークグループの作成または編集

Firepower ネットワークオブジェクトには、CIDR 表記で表現されたホスト名、IP アドレス、またはサブネットアドレスを含めることができます。ネットワークグループは、アクセスルール、ネットワークポリシー、および NAT ルールで使用されるネットワークオブジェクトとネットワークグループの集合体です。Security Cloud Control を使用して、ネットワークオブジェクトとネットワークグループを作成、読み取り、更新、および削除できます。

Firepower ネットワークオブジェクトおよびグループは、ASA、Firewall Threat Defense、FDM-managed、および Meraki デバイスで使用できます。「製品間でのネットワークオブジェクトの再利用」を参照してください。

（注）

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

When you create an FTD, FDM, or ASA network object or group on the Objects page, a copy of the object is automatically added to the Cloud-Delivered Firewall Management Center and vice-versa. In addition, an entry is created in the Devices with Pending Changes page for each on-premises Firewall Management Center with Discover & Manage Network Objects enabled, from which you can choose and deploy the objects to the on-premises Firewall Management Center on which you want these objects.

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Deleting a network object or group from either page deletes the object or group from both pages.

表 5. ネットワークオブジェクトに追加できる IP アドレス
デバイスタイプ（Device Type）	[IPv4 / IPv6]	シングルアドレス	アドレス範囲	部分修飾ドメイン名（PQDN）	CIDR 表記法によるサブネット
Firepower	[IPv4 / IPv6]	対応	対応	対応	対応

Firepower ネットワークオブジェクトの作成

（注）

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

青色のプラスボタンをクリックして、オブジェクトを作成します。

ステップ 4

[FTD] > [ネットワーク（Network）] をクリックします。

ステップ 5

[オブジェクト名（Object Name）] を入力します。

ステップ 6

[ネットワークオブジェクトの作成（Create a network object）] を選択します。

ステップ 7

[値（Value）] セクションで、次の手順を実行します。

[eq] を選択し、単一の IP アドレス、CIDR 表記で表されるサブネットアドレス、または部分修飾ドメイン名（PQDN）を入力します。
[範囲（range）] を選択し、IP アドレスの範囲を入力します。

（注）

ホストビット値を設定しないでください。0 以外のホストビット値を入力すると、オブジェクトの作成中に Security Cloud Control が設定を解除します。これは、Cloud-Delivered Firewall Management Center はホストビットが設定されていない IPv6 オブジェクトのみを受け入れるためです。

ステップ 8

[Add] をクリックします。

[Attention（注意）] ：新たに作成されたネットワークオブジェクトは、ルールやポリシーの一部ではないため、いずれの FDM-managed デバイスにも関連付けられていません。それらのオブジェクトを表示するには、オブジェクトフィルタで [関連付けなし（Unassociated）] オブジェクトカテゴリを選択します。詳細については、「オブジェクトフィルタ」を参照してください。デバイスのルールやポリシーに関連付けられていないオブジェクトを使用すると、そのオブジェクトはそのデバイスに関連付けられます。

Firepower ネットワークグループの作成

[ネットワークグループ（network group）] には、ネットワークオブジェクトとネットワークグループを含めることができます。新しいネットワークグループを作成するときに、名前、IP アドレス、IP アドレス範囲、または FQDN で既存のオブジェクトを検索し、[ネットワークグループ（network group）] に追加できます。オブジェクトが存在しない場合は、同じインターフェイスでそのオブジェクトをすぐに作成し、[ネットワークグループ（Network Group）] に追加できます。

（注）

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	青色のプラスボタンをクリックして、オブジェクトを作成します。
ステップ 4	[FTD] > [ネットワーク（Network）] をクリックします。
ステップ 5	[オブジェクト名（Object Name）] を入力します。
ステップ 6	[ネットワークグループの作成（Create a network group）] を選択します。
ステップ 7	[値（Values）] フィールドに、値または名前を入力します。入力を開始すると、入力に一致するオブジェクト名または値が Security Cloud Control によって表示されます。
ステップ 8	表示されている既存のオブジェクトの 1 つを選択するか、入力した名前または値に基づいて新しいオブジェクトを作成できます。
ステップ 9	Security Cloud Control で一致が検出された場合、既存のオブジェクトを選択するには、[追加（Add）] をクリックして、ネットワークオブジェクトまたはネットワークグループを新しいネットワークグループに追加します。
ステップ 10	存在しない値またはオブジェクトを入力した場合は、次のいずれかを実行できます。 [この名前の新しいオブジェクトとして追加（Add as New Object With This Name）] をクリックして、その名前の新しいオブジェクトを作成します。値を入力し、チェックマークをクリックして保存します。 [新しいオブジェクトの追加（Add as New Object）] をクリックして、新しいオブジェクトを作成します。オブジェクト名と値は同じです。名前を入力し、チェックマークをクリックして保存します。値がすでに存在していても、新しいオブジェクトは作成できます。それらのオブジェクトに変更を加えて保存できます。注：編集アイコンをクリックして、詳細を変更できます。削除ボタンをクリックしても、オブジェクト自体は削除されず、代わりに、ネットワークグループから削除されます。
ステップ 11	必要なオブジェクトを追加したら、[保存（Save）] をクリックして新しいネットワークグループを作成します。
ステップ 12	すべてのデバイスの設定変更をプレビューして展開します。

Firepower ネットワークオブジェクトの編集

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Deleting a network object or group from either page deletes the object or group from both pages.

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

オブジェクトフィルタと検索フィールドを使用して、編集するオブジェクトを見つけます。

ステップ 4

ネットワークオブジェクトを選択し、[アクション（Actions）] ペインで編集アイコンをクリックします。

ステップ 5

「Firepower ネットワークグループの作成」で作成したのと同じ方法で、ダイアログボックスの値を編集します。

（注）

ネットワークグループからオブジェクトを削除するには、横にある削除アイコンをクリックします。

ステップ 6

[保存（Save）] をクリックします。Security Cloud Control は、変更の影響を受けるデバイスを表示します。

ステップ 7

[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。

Firepower ネットワークグループの編集

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Deleting a network object or group from either page deletes the object or group from both pages.

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと [検索（Search）] フィールドを使用して、編集するネットワークグループを見つけます。
ステップ 4	ネットワークグループを選択し、[アクション（Actions）] ペインで編集アイコンをクリックします。
ステップ 5	オブジェクトの名前と説明を必要に応じて変更します。
ステップ 6	ネットワークグループにすでに追加されているオブジェクトまたはネットワークグループを変更する場合は、次の手順を実行します。オブジェクト名またはネットワークグループの横に表示される編集アイコンをクリックして、それらを変更します。チェックマークをクリックして変更内容を保存します。注：削除アイコンをクリックして、ネットワークグループから値を削除できます。
ステップ 7	ネットワークグループに新しいネットワークオブジェクトまたはネットワークグループを追加する場合は、次の手順を実行する必要があります。 [値（Values）] フィールドに、新しい値または既存のネットワークオブジェクトの名前を入力します。入力を開始すると、入力に一致するオブジェクト名または値が Security Cloud Control によって表示されます。表示されている既存のオブジェクトの 1 つを選択するか、入力した名前または値に基づいて新しいオブジェクトを作成できます。 Security Cloud Control で一致が検出された場合、既存のオブジェクトを選択するには、[追加（Add）] をクリックして、ネットワークオブジェクトまたはネットワークグループを新しいネットワークグループに追加します。存在しない値またはオブジェクトを入力した場合は、次のいずれかを実行できます。 [この名前の新しいオブジェクトとして追加（Add as New Object With This Name）] をクリックして、その名前の新しいオブジェクトを作成します。値を入力し、チェックマークをクリックして保存します。 [新しいオブジェクトの追加（Add as New Object）] をクリックして、新しいオブジェクトを作成します。オブジェクト名と値は同じです。名前を入力し、チェックマークをクリックして保存します。値がすでに存在していても、新しいオブジェクトは作成できます。それらのオブジェクトに変更を加えて保存できます。
ステップ 8	[保存（Save）] をクリックします。Security Cloud Control に変更の影響を受けるポリシーが表示されます。
ステップ 9	[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 10	すべてのデバイスの設定変更をプレビューして展開します。

オブジェクトオーバーライドの追加

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Deleting a network object or group from either page deletes the object or group from both pages.

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

オブジェクトフィルタと検索フィールドを使用して、オーバーライドを追加するオブジェクトを見つけます。

ステップ 4

ネットワークオブジェクトを選択し、[アクション（Actions）] ペインで編集アイコンをクリックします。

ステップ 5

[オーバーライド値（Override Values）] ダイアログボックスに値を入力し、[+ 値の追加（+ Add Value）] をクリックします。

重要	追加するオーバーライドは、オブジェクトに含まれる値と同じ型である必要があります。たとえば、ネットワークオブジェクトに対しては、ホスト値ではなくネットワーク値のみでオーバーライドを構成できます。

ステップ 6

値が追加されたことを確認したら、[オーバーライド値（Override Values）] の [デバイス（Devices）] 列でセルをクリックします。

ステップ 7

[デバイスの追加（Add Devices）] をクリックし、オーバーライドを追加するデバイスを選択します。選択するデバイスには、オーバーライドを追加するオブジェクトが含まれている必要があります。

ステップ 8

[保存（Save）] をクリックします。Security Cloud Control は、変更の影響を受けるデバイスを表示します。

ステップ 9

[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへのオーバーライドの追加を確定します。

（注）

1 つのオブジェクトに複数のオーバーライドを追加できます。ただし、オーバーライドを追加するたびに、オブジェクトを含む別のデバイスを選択する必要があります。

ステップ 10

オブジェクトオーバーライドの詳細については「オブジェクトのオーバーライド」を、既存のオーバーライドの編集については「オブジェクトオーバーライドの編集」を参照してください。

オブジェクトオーバーライドの編集

オブジェクトがデバイスに存在している間は、既存のオーバーライドの値を変更できます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	Objects にアクセスします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、編集対象のオーバーライドがあるオブジェクトを見つけます。
ステップ 4	オーバーライドがあるオブジェクトを選択し、[アクション（Actions）] ペインで編集アイコンをクリックします。
ステップ 5	オーバーライド値を変更します。値を変更するには、編集アイコンをクリックします。 [オーバーライド値（Override Values）] で [デバイス（Devices）] 列のセルをクリックして、新しいデバイスを割り当てます。すでに割り当てられているデバイスを選択し、[オーバーライドの削除（Remove Overrides）] をクリックすると、そのデバイスのオーバーライドを削除できます。 [オーバーライド値（Override Values）] の矢印をクリックすると、共有オブジェクトのデフォルト値にできます。削除するオーバーライドの横にある削除アイコンをクリックします。
ステップ 6	[保存（Save）] をクリックします。Security Cloud Control は、変更の影響を受けるデバイスを表示します。
ステップ 7	[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 8	すべてのデバイスの設定変更をプレビューして展開します。

共有ネットワークグループへの追加の値の追加

関連付けられているすべてのデバイスに存在する共有ネットワークグループの値は、「デフォルト値」と呼ばれます。Security Cloud Control を使用すると、共有ネットワークグループに「追加の値」を追加し、その共有ネットワークグループに関連付けられている一部のデバイスにそれらの値を割り当てることができます。Security Cloud Control がデバイスに変更を展開するときに、内容が決定され、「デフォルト値」が共有ネットワークグループに関連付けられているすべてのデバイスにプッシュされ、「追加の値」が指定されたデバイスにのみプッシュされます。

たとえば、本社に 4 つの AD メインサーバーがあり、すべての拠点からアクセスできる必要があるシナリオを考えてみます。この状況で、すべての拠点で使用する「Active-Directory」という名前のオブジェクトグループを作成しました。ここで、ブランチオフィスの 1 つにさらに 2 つの AD サーバーを追加します。これを行うには、オブジェクトグループ「Active-Directory」で、分散拠点に固有の追加値として詳細を追加します。これら 2 つのサーバーは、オブジェクト「Active-Directory」が一貫しているか、または共有されているかの判断には関与しません。したがって、4 つの AD メインサーバーはすべての拠点からアクセスできますが、ブランチオフィス（2 つの追加サーバーがある）は 2 つの AD サーバーと 4 つの AD メインサーバーにアクセスできます。

（注）

一貫性のない共有ネットワークグループがある場合は、追加の値を使用してそれらを 1 つの共有ネットワークグループに結合できます。詳細については、不整合オブジェクトの問題を解決するを参照してください。

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Deleting a network object or group from either page deletes the object or group from both pages.

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、編集する共有ネットワークグループを見つけます。
ステップ 4	[アクション（Actions）] ペインにある編集アイコンをクリックします。 [デバイス（Devices）] フィールドには、共有ネットワークグループが存在するデバイスが表示されます。 [使用（Usage）] フィールドには、共有ネットワークグループに関連付けられたルールセットが表示されます。 [デフォルト値] フィールドは、デフォルトのネットワークオブジェクトと、オブジェクトの作成時に指定された、共有ネットワークグループに関連付けられたオブジェクト値が示されます。このフィールドの横に、このデフォルト値を含むデバイスの数が表示され、クリックすると名前とデバイスタイプを表示できます。この値に関連付けられたルールセットも表示されます。
ステップ 5	[追加の値（Additional Values）] フィールドに、値または名前を入力します。入力を開始すると、入力に一致するオブジェクト名または値が Security Cloud Control によって表示されます。
ステップ 6	表示されている既存のオブジェクトの 1 つを選択するか、入力した名前または値に基づいて新しいオブジェクトを作成できます。
ステップ 7	Security Cloud Control で一致が検出された場合、既存のオブジェクトを選択するには、[追加（Add）] をクリックして、ネットワークオブジェクトまたはネットワークグループを新しいネットワークグループに追加します。
ステップ 8	存在しない値またはオブジェクトを入力した場合は、次のいずれかを実行できます。 [この名前の新しいオブジェクトとして追加（Add as New Object With This Name）] をクリックして、その名前の新しいオブジェクトを作成します。値を入力し、チェックマークをクリックして保存します。 [新しいオブジェクトの追加（Add as New Object）] をクリックして、新しいオブジェクトを作成します。オブジェクト名と値は同じです。名前を入力し、チェックマークをクリックして保存します。値がすでに存在していても、新しいオブジェクトは作成できます。それらのオブジェクトに変更を加えて保存できます。
ステップ 9	[デバイス（Devices）] 列で、新しく追加されたオブジェクトに関連付けられているセルをクリックし、[デバイスの追加（Add Devices）] をクリックします。
ステップ 10	必要なデバイスを選択し、[OK] をクリックします。
ステップ 11	[保存（Save）] をクリックします。Security Cloud Control は、変更の影響を受けるデバイスを表示します。
ステップ 12	[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 13	すべてのデバイスの設定変更をプレビューして展開します。

共有ネットワークグループの追加の値の編集

注意

If Cloud-Delivered Firewall Management Center is deployed on your tenant:

Deleting a network object or group from either page deletes the object or group from both pages.

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、編集対象のオーバーライドがあるオブジェクトを見つけます。
ステップ 4	[アクション（Actions）] ペインにある編集アイコンをクリックします。
ステップ 5	オーバーライド値を変更します。値を変更するには、編集アイコンをクリックします。 [デバイス（Devices）] 列のセルをクリックして、新しいデバイスを割り当てます。すでに割り当てられているデバイスを選択し、[オーバーライドの削除（Remove Overrides）] をクリックすると、そのデバイスのオーバーライドを削除できます。 [デフォルト値（Default Values）] の矢印をクリックすると、共有ネットワークグループの追加値にできます。共有ネットワークグループに関連付けられているすべてのデバイスが、自動的に割り当てられます。 [オーバーライド値（Override Values）] の矢印をクリックすると、共有ネットワークグループのデフォルト値にできます。ネットワークグループからオブジェクトを削除するには、横にある削除アイコンをクリックします。
ステップ 6	[保存（Save）] をクリックします。Security Cloud Control は、変更の影響を受けるデバイスを表示します。
ステップ 7	[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 8	すべてのデバイスの設定変更をプレビューして展開します。

Security Cloud Control のネットワークオブジェクトとグループの削除

Cloud-Delivered Firewall Management Center がテナントにデプロイされている場合：

Objects ページからネットワークオブジェクトまたはグループを削除すると、Cloud-Delivered Firewall Management Center の Objects ページから重複するネットワークオブジェクトまたはグループが削除されます。その逆も同様です。

URL オブジェクト

URL オブジェクトと URL グループは、Firepower デバイスによって使用されます。URL オブジェクトとグループ（URL オブジェクトと総称する）を使用して、Web リクエストの URL または IP アドレスを定義します。これらのオブジェクトを使用して、アクセス制御ポリシーに手動の URL フィルタリング、またはセキュリティインテリジェンスポリシーにブロッキングを実装できます。URL オブジェクトは単一の URL または IP アドレスを定義するのに対して、URL グループは複数の URL または IP アドレスを定義します。

はじめる前に

URL オブジェクトを作成する場合は、次の点に注意してください。

パスを含めない（つまり、URL に / の文字がない）場合、一致はサーバーのホスト名のみに基づきます。ホスト名は、:// 区切り記号の後、またはホスト名の任意ドットの後にある場合、一致しているとみなされます。たとえば、ign.com は ign.com および www.ign.com と一致しますが、verisign.com とは一致しません。
1つ以上の / 文字を含める場合、サーバー名、パス、およびクエリパラメータを含む部分文字列マッチングには URL 文字列全体が使用されます。ただし、サーバーは再構成でき、ページは新しいパスに移動できるため、個々の Web ページまたはサイトの一部をブロックまたは許可するために手動の URL フィルタリングは使用しないことをお勧めします。部分文字列マッチングも予期しない一致となる可能性があり、URL オブジェクトに含める文字列が、意図しないサーバー上のパスやクエリパラメータ内の文字列と一致することもあります。
システムでは、暗号化プロトコル（HTTP と HTTPS）は無視されます。つまり、ある Web サイトをブロックした場合、アプリケーション条件で特定のプロトコルを対象にしない限り、その Webサイトに向かう HTTP トラフィックと HTTPS トラフィックの両方がブロックされます。URL オブジェクトを作成する場合は、オブジェクトの作成時にプロトコルを指定する必要はありません。たとえば、http://example.com の代わりに example.com を使用します。

アクセスコントロールルールで URL オブジェクトを使用して HTTPS トラフィックを照合することを計画している場合は、トラフィックの暗号化に使用される公開キー証明書内でサブジェクトの共通名を使用するオブジェクトを作成します。なお、システムはサブジェクトの共通名に含まれるドメインを無視するため、サブドメイン情報は含めないでください。たとえば、www.example.com ではなく、example.com を使用します。

ただし、証明書のサブジェクト共通名が Web サイトのドメイン名とはまったく関係ない場合があることをご了承ください。たとえば、youtube.com の証明書のサブジェクト共通名は *.google.com です（当然、この名前は随時変更される可能性があります）。SSL 復号ポリシーを使用して HTTPS トラフィックを復号し、URL フィルタリングルールが復号されたトラフィックで動作するようにすると、より一貫性のある結果が得られます。

（注）

証明書情報を利用できなくなったためにブラウザが TLS セッションを再開した場合、URL オブジェクトは HTTPS トラフィックと一致しなくなります。このため、慎重に URL オブジェクトを設定した場合でも、HTTPS 接続では一貫性のない結果が得られることがあります。

FDM-Managed URL オブジェクトの作成または編集

URL オブジェクトは、URL または IP アドレスを指定する再利用可能なコンポーネントです。

URL オブジェクトを作成するには、次の手順を実行します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	> [FTD] > [URL] をクリックします。
ステップ 4	オブジェクト名と説明を入力します。
ステップ 5	[URLオブジェクトの作成（Create a URL object）] を選択します。
ステップ 6	オブジェクトに固有の URL または IP アドレスを入力します。
ステップ 7	[Add] をクリックします。

Firepower URL グループの作成

URL グループは、1 つ以上の URL または IP アドレスを表す 1 つ以上の URL オブジェクトで構成できます。Firepower Device Manager および Firepower Management Center では、これらのオブジェクトは「URL オブジェクト」とも呼ばれます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	> [FTD] > [URL] をクリックします。
ステップ 4	オブジェクト名と説明を入力します。
ステップ 5	[URL グループの作成（Create a URL group）] を選択します。
ステップ 6	[オブジェクトの追加（Add Object）] をクリックし、オブジェクトを選択して [選択（Select）] をクリックすることで既存のオブジェクトを追加します。このステップを繰り返してさらにオブジェクトを追加します。
ステップ 7	URL グループへの URL オブジェクトの追加が完了したら、[追加（Add）] をクリックします。

Firepower URL オブジェクトまたは URL グループの編集

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトをフィルタリングして編集するオブジェクトを見つけ、オブジェクトテーブルでオブジェクトを選択します。
ステップ 4	詳細ペインで、編集するをクリックします。
ステップ 5	前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	Security Cloud Control は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。

アプリケーションフィルタオブジェクト

アプリケーションフィルタオブジェクトは、Firepower デバイスによって使用されます。アプリケーションフィルタオブジェクトは、IP 接続で使用されるアプリケーション、あるいはタイプ、カテゴリ、タグ、リスク、またはビジネスとの関連性によってアプリケーションを定義するフィルタを定義します。ポートの仕様を使用する代わりに、これらのオブジェクトをポリシーで使用し、トラフィックを制御できます。

個々のアプリケーションを指定することはできますが、アプリケーションフィルタはポリシーの作成や管理を簡素化します。たとえば、リスクが高く、ビジネスとの関連性が低いアプリケーションをすべて認識してブロックするアクセスコントロールルールを作成できます。ユーザがそれらのアプリケーションの 1 つを使用しようとすると、セッションがブロックされます。

アプリケーションフィルタオブジェクトを使用せず、ポリシーのアプリケーションとアプリケーションフィルタを直接選択できます。ただし、同じアプリケーションまたはフィルタグループに対して複数のポリシーを作成する場合にはオブジェクトが便利です。システムには、事前に定義されたいくつかのアプリケーションフィルタが含まれていて、これらは編集または削除できません。

（注）

シスコは、システムおよび脆弱性データベース（VDB）の更新を通じて頻繁にアプリケーションディテクタを更新し追加しています。そのため、手動でルールを更新することなく、高リスクのアプリケーションをブロックするルールを新しいアプリケーションに自動的に適用できます。

（注）

FDM-managedデバイスが Security Cloud Control にオンボードされると、アクセスルールまたは SSL 復号で定義されたルールを変更することなく、アプリケーションフィルタがアプリケーションフィルタオブジェクトに変換されます。設定が変更されたため、デバイスの設定ステータスが [未同期（Not Synced）] に変更されるので、Security Cloud Control から設定を展開する必要があります。一般に、FDM は、フィルタを手動で保存するまで、アプリケーションフィルタをアプリケーションフィルタオブジェクトに変換しません。

Firepower アプリケーションフィルタオブジェクトの作成と編集

アプリケーションフィルタオブジェクトを使用すると、厳選されたアプリケーションまたはフィルタによって識別されるアプリケーションのグループを対象にできます。このアプリケーションフィルタオブジェクトは、ポリシーで使用できます。

Firepower アプリケーションフィルタオブジェクトの作成

アプリケーションフィルタオブジェクトを作成するには、次の手順を実行します。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

> [FTD] > [アプリケーションフィルタ（Application Filter）] をクリックします。

ステップ 4

そのオブジェクトのオブジェクト名を入力し、任意で説明を入力します。

ステップ 5

[フィルタの追加] をクリックし、オブジェクトに追加するアプリケーションとフィルタを選択します。

最初のリストには、継続的にスクロールするリストでアプリケーションが表示されます。[フィルタの詳細設定（Advanced Filter）] をクリックすると、フィルタオプションが表示され、アプリケーションを容易に選択できます。選択したら、[追加（Add）] をクリックします。このプロセスを繰り返して、アプリケーションやフィルタを追加できます。

（注）

1 つのフィルタ条件内での複数の選択は OR 関係にあります。たとえば、リスクが「高（High）」または（OR）「非常に高い（Very High）」となります。フィルタ間の関係は「論理積（AND）」であるため、リスクが「高（High）」または（OR）「非常に高い（Very High）」であり、かつ（AND）ビジネスとの関連性が「低（Low）」または（OR）「非常に低い（Very Low）」となります。フィルタを選択すると、ディスプレイに表示されるアプリケーションが更新され、条件を満たすものだけが表示されます。これらのフィルタを使用すると、個別に追加するアプリケーションを容易に見つけたり、ルールに追加する目的のフィルタを選択していることを確認したりできます。

[リスク]：アプリケーションが組織のセキュリティポリシーに反する可能性がある目的のために使用される確率（「非常に低い」から「非常に高い」まで）。

[ビジネスとの関連性]：アプリケーションが、娯楽としてではなく、組織の事業運営の文脈内で使用される確率（「非常に低い」から「非常に高い」まで）。

[タイプ]：アプリケーションのタイプ。

[アプリケーションプロトコル]：HTTP や SSH など、ホスト間の通信を表すアプリケーションプロトコル。
[クライアントプロトコル]：Web ブラウザや電子メールクライアントなどのホスト上で動作しているソフトウェアを表すクライアント。
[Webアプリケーション]：HTTP トラフィックの格納ファイルまたは要求された URL を表す MPEG ビデオや Facebook などの Web アプリケーション。

[カテゴリ]：アプリケーションの最も重要な機能を説明する一般的な分類。

[タグ]：カテゴリに似た、アプリケーションに関する追加情報。

暗号化されたトラフィックの場合、システムは [SSL Protocol] とタグ付けされたアプリケーションだけを使用して、トラフィックを識別およびフィルタリングできます。このタグがないアプリケーションは、暗号化されていないまたは復号化されたトラフィックでのみ検出できます。また、システムは、復号されたトラフィック（暗号化された、または暗号化されていないトラフィックではなく）のみで検出を行うことができるアプリケーションに [復号されたトラフィック（decrypted traffic）] タグを割り当てます。

[アプリケーションリスト]（画面下部）：上記のリストのオプションからフィルタを選択するとこのリストが更新されるため、現在のフィルタに一致するアプリケーションを確認できます。ルールにフィルタ条件を追加するときに、フィルタが目的のアプリケーションを対象としていることを確認するためにこのリストを使用します。特定のアプリケーションまたは複数のアプリケーションをオブジェクトに追加するには、フィルタ処理されたリストからそれらを選択します。アプリケーションを選択すると、フィルタは適用されなくなります。フィルタ自体をオブジェクトにする場合は、リストからアプリケーションを選択しないでください。次に、オブジェクトはフィルタによって識別されたすべてのアプリケーションを表します。

ステップ 6

[OK] をクリックして変更を保存します。

Firepower アプリケーションフィルタオブジェクトの編集

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、編集するオブジェクトを見つけます。
ステップ 4	編集するオブジェクトを選択します。
ステップ 5	詳細パネルの [アクション（Actions）] ペインにある編集アイコンをクリックします。
ステップ 6	前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。
ステップ 7	[保存（Save）] をクリックします。
ステップ 8	Security Cloud Control は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。

地理位置情報オブジェクト

地理位置情報オブジェクトは、トラフィックの送信元または接続先であるデバイスをホストする国と大陸を定義します。IP アドレスを使用する代わりに、これらのオブジェクトをポリシーで使用してトラフィックを制御できます。たとえば、地理的な場所を使用して、使用されている可能性のある IP アドレスすべてを把握する必要なしに、特定の国へのアクセスを簡単に制限できます。

通常は、地理位置情報オブジェクトを使用せずに、地理的な場所をポリシーで直接選択できます。とはいえ、同じ国や大陸のグループのために複数のポリシーを作成する場合、オブジェクトが便利です。

地理位置情報データベースの更新

常に最新の地理位置情報データを使用してトラフィックをフィルタ処理できるように、地理位置情報データベース（GeoDB）を定期的に更新することを強くお勧めします。現時点では、Security Cloud Control を使用して実行できるタスクではありません。GeoDB とその更新方法の詳細については、デバイスが実行しているバージョンの『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』の次のセクションを参照してください。

システムデータベースとフィードの更新
システムデータベースの更新

Firepower 地理位置情報フィルタオブジェクトの作成と編集

地理位置情報オブジェクトは、オブジェクトページで単独で作成するか、セキュリティポリシーの作成時に作成することができます。この手順では、オブジェクトページから地理位置情報オブジェクトを作成します。

地理位置情報オブジェクトを作成するには、次の手順を実行します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	> [FTD] > [地理位置情報（Geolocation）] をクリックします。
ステップ 4	そのオブジェクトのオブジェクト名を入力し、任意で説明を入力します。
ステップ 5	フィルタバーで、国または地域の名前の入力を開始すると、一致する可能性のあるもののリストが表示されます。
ステップ 6	オブジェクトに追加する 1 つまたは複数の国や地域のチェックボックスをオンにします。
ステップ 7	[Add] をクリックします。

オブジェクトを追加する方法：地理位置情報

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで、Objects を選択します。
ステップ 3	フィルタパネルと検索フィールドを使用して、オブジェクトを見つけます。
ステップ 4	[アクション（Actions）] ペインで、[編集（Edit）] をクリックします。
ステップ 5	オブジェクト名を変更したり、オブジェクトに国や地域を追加または削除したりできます。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	影響を受けるデバイスがある場合は通知されます。[確認（Confirm）] をクリックします。
ステップ 8	デバイスまたはポリシーが影響を受けた場合は、[セキュリティデバイス（Security Devices）] ページを開き、デバイスへの変更を [プレビューして展開（Preview and Deploy）] します。

DNS グループオブジェクト

ドメインネームシステム（DNS）グループは、DNS サーバーおよび関連付けられているいくつかの属性のリストを定義します。www.example.com などの完全修飾ドメイン名（FQDN）を IP アドレスに解決するのには、DNS サーバーが必要です。管理インターフェイスとデータインターフェイスに異なる DNS グループオブジェクトを構成できます。

新しい DNS グループオブジェクトを作成する前に、FDM-managed デバイスに DNS サーバーが構成されている必要があります。Security Cloud Control の Firepower Threat Defense デバイス設定に DNS サーバーを追加するか、Firewall Device Manager で DNS サーバーを作成してから、FDM-managed 構成を Security Cloud Control に同期することができます。Firewall Device Manager で DNS サーバー設定を作成または変更するには、『Cisco Firepower Device Manager Configuration Guide』バージョン 6.4 以降の「Configuring DNS for Data and Management Interfaces」を参照してください。

DNS グループオブジェクトの作成

Security Cloud Control で新しい DNS グループオブジェクトを作成するには、次の手順を使用します。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

> [FTD] > [DNS グループ（DNS Group）] をクリックします。

ステップ 4

[オブジェクト名（Object Name）] を入力します。

ステップ 5

（任意）説明を追加します。

ステップ 6

[DNSサーバー（DNS server）] の IPアドレスを入力します最大 6 台の DNS サーバーを追加できます。 [DNS サーバーの追加（Add DNS Server）] をクリックします。サーバーアドレスを削除する場合は、削除アイコンをクリックします。

（注）

リストは優先順です。リストの最初のサーバが常に使用されます。後続のサーバは、上位のサーバから応答が受信されない場合にのみ使用されます。最大 6 台のサーバーを追加できますが、リストされている最初の 3 台のサーバーのみが管理インターフェイスに使用されます。

ステップ 7

[ドメイン検索名（Domain Search Name）] を入力します。このドメインは、完全修飾されていないホスト名（たとえば、serverA.example.com ではなく serverA）に追加されます。

ステップ 8

再試行の回数を入力します。システムが応答を受信しない場合に DNS サーバーのリストを再試行する回数です（0 ～ 10）。デフォルトは 2 です。この設定は、データインターフェイスのみで使用される DNS グループに適用されます。

ステップ 9

[タイムアウト（Timeout）] の値を入力します。次の DNS サーバーを試行する前に待機する秒数です（1 ～ 30）。デフォルト値は 2 秒です。システムがサーバーのリストを再試行するたびに、このタイムアウトは 2 倍になります。この設定は、データインターフェイスのみで使用される DNS グループに適用されます。

ステップ 10

[Add] をクリックします。

DNS グループオブジェクトの編集

Security Cloud Control または Firewall Device Manager で作成された DNS グループオブジェクトを編集できます。次の手順を使用して、既存の DNS グループオブジェクトを編集します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側の Security Cloud Control ナビゲーションバーで、Objects をクリックします。
ステップ 3	オブジェクトフィルタと [検索（search）] フィールドを使用して、編集する DNS グループオブジェクトを見つけます。
ステップ 4	オブジェクトを選択し、[アクション（Actions）] ペインで編集アイコンをクリックします。
ステップ 5	次のエントリのいずれかを編集します。オブジェクト名。 [説明（Description）] DNS サーバー。このリストから DNS サーバーを編集、追加、または削除できます。ドメイン検索名。リトライ。タイムアウト。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	すべてのデバイスの設定変更をプレビューして展開します。

DNS グループオブジェクトの削除

Security Cloud Control から DNS グループオブジェクトを削除するには、次の手順を使用します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと [検索（search）] フィールドを使用して、編集する DNS グループオブジェクトを見つけます。
ステップ 4	オブジェクトを選択し、[削除（remove）] アイコンをクリックします。
ステップ 5	DNS グループオブジェクトを削除することを確認し、[Ok] をクリックします。
ステップ 6	すべてのデバイスの設定変更をプレビューして展開します。

DNS グループオブジェクトを FDM-Managed DNS サーバーとして追加

DNS グループオブジェクトは、データインターフェイスまたは管理インターフェイスの優先 DNS グループとして追加できます。

詳細については、「FDM 管理対象デバイスの設定」を参照してください。

証明書オブジェクト

デジタル証明書は、認証に使用されるデジタル ID を提供します。証明書は、SSL（セキュアソケットレイヤ）、TLS（Transport Layer Security）、および DTLS（データグラム TLS）接続（HTTPS や LDAPS など）に使用されます。

デバイスが実行しているバージョンについては、『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』の「Resuable Objects」の章にある「About Certificates」および「Configuring Certificates」以降のセクションを参照してください。

証明書について

デジタル証明書は、認証に使用されるデジタル ID を保持しています。デジタル証明書には、名前、シリアル番号、会社、部門、または IP アドレスなど、ユーザーまたはデバイスを識別する情報が含まれます。デジタル証明書には、ユーザまたはデバイスの公開キーのコピーも含まれています。証明書は、SSL（セキュアソケットレイヤ）、TLS（Transport Layer Security）、および DTLS（データグラム TLS）接続（HTTPS や LDAPS など）に使用されます。

次のタイプの証明書を作成できます。

内部証明書：内部 ID 証明書は、特定のシステムまたはホストの証明書です。これらは OpenSSL ツールキットを使用して自分で生成することも、認証局（CA）から取得することもできます。自己署名証明書を生成することもできます。

システムには、そのまま、または置き換えて使用できる事前定義された内部証明書（DefaultInternalCertificate および DefaultWebServerCertificate）が付属します。
内部認証局（CA）証明書：内部 CA 証明書は、他の証明書の署名にシステムが使用できる証明書です。これらの証明書は、基本制約拡張と CA フラグに関して内部アイデンティティ証明書と異なります。これらは CA 証明書では有効ですが、アイデンティティ証明書では無効です。これらは OpenSSL ツールキットを使用して自分で生成することも、認証局から取得することもできます。自己署名内部 CA 証明書を生成することもできます。自己署名内部 CA 証明書を設定する場合は、CA はデバイス自体で稼働します。

システムには、そのまま、または置き換えて使用できる事前定義された内部 CA 証明書（NGFW-Default-InternalCA）が付属します。
信頼できる認証局（CA）証明書：信頼できる CA 証明書は、他の証明書に署名するために使用されます。これは自己署名され、ルート証明書と呼ばれます。別の CA 証明書により発行される証明書は、下位証明書と呼ばれます。

認証局（CA）は、証明書に「署名」してその認証を確認することで、デバイスまたはユーザーのアイデンティティを保証する、信頼できる機関です。CA は、公開キーまたは秘密キーの暗号化を使用してセキュリティを保証する PKI コンテキストで、デジタル証明書を発行します。CA は、信頼できるサードパーティ（VeriSign など）の場合もあれば、組織内に設置したプライベート CA（インハウス CA）の場合もあります。CA は、証明書要求の管理とデジタル証明書の発行を行います。

システムには、第三者証明機関からの多数の信頼できる CA の証明書も含まれています。これらは再署名の復号アクションのために SSL 復号化ポリシーが使用します。

詳細については、デバイスが実行しているバージョンの Cisco Firepower Threat Defense コンフィギュレーションガイド（Firepower Device Manager 用）[英語] の「Reusable Objects」の章にある「Certificate Types Used by Feature」を参照してください。https://www.cisco.com/c/en/us/support/security/firepower-ngfw/products-installation-and-configuration-guides-list.html

各機能で使用される証明書タイプ

各機能に適したタイプの証明書を作成する必要があります。次の機能は、証明書が必要です。

アイデンティティポリシー（キャプティブポータル）：内部証明書

（オプション）キャプティブポータルはアイデンティティポリシーで使用されます。この証明書は、ユーザーが自身を証明し、自分のユーザー名に関連付けられた IP アドレスを取得することを目的として、デバイスへの認証の際に承認する必要があります。証明書を提示しないと、デバイスは自動生成された証明書を使用します。

SSL 復号ポリシー：内部、内部 CA、および信頼できる CA 証明書。

（必須）SSL 復号ポリシーは、以下の目的のため証明書を使用します。

内部証明書は既知のキー復号ルールに使用されます。
内部 CA 証明書は、クライアントと FDM-managed デバイス間にセッションを作成するときに、再署名の復号ルールに使用されます。
信頼できる CA 証明書
- この証明書は、FTD デバイスとサーバー間のセッションを作成するときに、再署名の復号ルールに間接的に使用されます。FDM-managedその他の証明書とは異なり、これらの証明書は SSL 復号ポリシーで直接設定しません。これらは単にシステムにアップロードする必要があります。システムには多数の信用できる CA 証明書が含まれるため、追加の証明書をアップロードする必要はないことがあります。
- Active Directory レルムオブジェクトを作成し、暗号化を使用するようにディレクトリサーバーを設定する場合。

証明書の設定

アイデンティティポリシーまたは SSL 復号化ポリシーで使用される証明書は、PEM または DER 形式の X509 証明書である必要があります。OpenSSL を使用して必要に応じて証明書を生成したり、信頼できる認証局から取得したり、または自己署名証明書を作成したりできます。

以下の手順を使用して、証明書オブジェクトを構成します。

内部および内部 CA 証明書のアップロード
信頼できる CA 証明書のアップロード
自己署名内部および内部 CA 証明書の生成
証明書を表示または編集するには、証明書の編集アイコンまたは表示アイコンをクリックします。
証明書を削除するには、その証明書のごみ箱アイコン（削除アイコン）をクリックします。「オブジェクトの削除」を参照してください。

内部および内部 CA 証明書のアップロード

内部 ID 証明書は、特定のシステムまたはホストの証明書です。これらは OpenSSL ツールキットを使用して自分で生成することも、認証局から取得することもできます。自己署名証明書を生成することもできます。

内部認証局（CA）証明書（内部 CA 証明書）は、他の証明書の署名にシステムが使用できる証明書です。これらの証明書は、基本制約拡張と CA フラグに関して内部アイデンティティ証明書と異なります。これらは CA 証明書では有効ですが、アイデンティティ証明書では無効です。これらは OpenSSL ツールキットを使用して自分で生成することも、認証局から取得することもできます。自己署名内部 CA 証明書を生成することもできます。自己署名内部 CA 証明書を設定する場合は、CA はデバイス自体で稼働します。

これらの証明書を使用する機能の詳細については、「Certificate Type Used by Feature」を参照してください。

手順

この手順では、証明書ファイルをアップロードするか、既存の証明書のテキストをテキストボックスに貼り付けて、内部証明書または内部 CA 証明書を作成します。自己署名証明書を生成する場合は、「自己署名内部および内部 CA 証明書の生成」を参照してください。

内部証明書または内部 CA 証明書オブジェクトを作成する場合、または新しい証明書オブジェクトをポリシーに追加する場合は、次の手順に従います。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	次のいずれかを実行します。 [オブジェクト（Objects）] ページで証明書オブジェクトを作成します。左側のペインで Objects をクリックします。プラスボタンをクリックして、[FTD] > [証明書（Certificate）] を選択しますポリシーに新しい証明書オブジェクトを追加するときに、[新しいオブジェクトの作成（Create New Object）] をクリックします。
ステップ 3	[Name] に証明書の名前を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。
ステップ 4	ステップ 1 で、[内部証明書（Internal Certificate）] または [内部CA（Internal CA）] を選択します。
ステップ 5	ステップ 2 で、[アップロード（Upload）] を選択して証明書ファイルをアップロードします。
ステップ 6	ステップ 3 で、[サーバー証明書（Server Certificate）] 領域で、証明書の内容をテキストボックスに貼り付けるか、ウィザードの説明に従って証明書ファイルをアップロードします。証明書をテキストボックスに貼り付ける場合、証明書に BEGIN CERTIFICATE と END CERTIFICATE の行を含める必要があります。次に例を示します。

-----BEGIN CERTIFICATE-----
 MIICMTCCAZoCCQDdUV3NGK/cUjANBgkqhkiG9w0BAQsFADBdMQswCQYDVQQGEwJV
UzETMBEGA1UECAwKU29tZS1TdGF0ZTEhMB8GA1UECgwYSW50ZXJuZXQgV2lkZ2l0
(...5 lines removed...)
shGJDReRYJQqilhHZrYTWZAYTrD7NQPHutK+ZiJng67cPgnNDuXEn55UwMOQoHBp
HMUwmhiGZlzJM8BpX2Js2yQ3ms30pr8rO+gPCPMCAwEAATANBgkqhkiG9w0BAQsF
AAOBgQCB02CebA6YjJCGr2CJZrQSeUwSveRBpmOuoqm98o2Z+5gJM5CkqgfxwCUn
RV7LRfQGFYd76V/5uor4Wx2ZCjqy6+zuQEm4ZxWNSZpA9UBixFXJCs9MBO4qkG5D
vlk3WYJfcgyJ10h4E4b0W2xiixBU+xoOTLRATnbKY36EWAG5cw==
-----END CERTIFICATE-----

ステップ 7

ステップ 3 で、[証明書キー（Certificate Key）] 領域で、キーの内容を [証明書キー（Certificate Key）] テキストボックスに貼り付けるか、ウィザードの説明に従ってキーファイルをアップロードします。キーをテキストボックスに貼り付ける場合、キーには BEGIN PRIVATE KEY または BEGIN RSA PRIVATE KEY、および END PRIVATE KEY または END PRIVATE KEY 行が含まれている必要があります。

（注）

キーは暗号化できません。

ステップ 8

[Add] をクリックします。

信頼できる CA 証明書のアップロード

信頼できる認証局（CA）の証明書は、他の証明書に署名するために使用されます。これは自己署名され、ルート証明書と呼ばれます。別の CA 証明書により発行される証明書は、下位証明書と呼ばれます。

これらの証明書を使用する機能の詳細については、「Certificate Type Used by Feature」を参照してください。

外部の認証局から信頼できる CA 証明書を取得するか、自身の内部 CA を使用して（OpenSSL ツールを使用するなど）CA 証明書を作成します。その後、次の手順を使用して証明書をアップロードします。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	次のいずれかを実行します。 [オブジェクト（Objects）] ページで証明書オブジェクトを作成します。左側のペインで Objects をクリックします。 > [FTD] > [証明書（Certificate）] をクリックします。ポリシーに新しい証明書オブジェクトを追加するときに、[新しいオブジェクトの作成（Create New Object）] をクリックします。
ステップ 3	[Name] に証明書の名前を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。
ステップ 4	手順 1 では、[外部CA証明書（External CA Certificate）] を選択し、[続行（Continue）] をクリックします。ウィザードの手順が 3 に進みます。
ステップ 5	手順 3 では、証明書の内容を [証明書の内容（Certificate Contents）] 領域にあるテキストボックスに貼り付けるか、ウィザードの説明に従って証明書ファイルをアップロードします。証明書は、次のガイドラインに準拠している必要があります。証明書内のサーバー名は、サーバーのホスト名または IP アドレスと一致している必要があります。たとえば、IP アドレスとして 10.10.10.250 を使用しているのに、証明書で ad.example.com を使用すると接続が失敗します。証明書は PEM または DER 形式の X509 証明書である必要があります。貼り付ける証明書は、BEGIN CERTIFICATE と END CERTIFICATE の行を含める必要があります。次に例を示します。 -----BEGIN CERTIFICATE----- MIIFgTCCA2mgAwIBAgIJANvdcLnabFGYMA0GCSqGSIb3DQEBCwUAMFcxCzAJBgNV BAYTAlVTMQswCQYDVQQIDAJUWDEPMA0GA1UEBwwGYXVzdGluMRQwEgYDVQQKDAsx OTIuMTY4LjEuMTEUMBIGA1UEAwwLMTkyLjE2OC4xLjEwHhcNMTYxMDI3MjIzNDE3 WhcNMTcxMDI3MjIzNDE3WjBXMQswCQYDVQQGEwJVUzELMAkGA1UECAwCVFgxDzAN BgNVBAcMBmF1c3RpbjEUMBIGA1UECgwLMTkyLjE2OC4xLjExFDASBgNVBAMMCzE5 Mi4xNjguMS4xMIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA5NceYwtP ES6Ve+S9z7WLKGX5JlF58AvH82GPkOQdrixn3FZeWLQapTpJZt/vgtAI2FZIK31h (...20 lines removed...) hbr6HOgKlOwXbRvOdksTzTEzVUqbgxt5Lwupg3b2ebQhWJz4BZvMsZX9etveEXDh PY184V3yeSeYjbSCF5rP71fObG9Iu6+u4EfHp/NQv9s9dN5PMffXKieqpuN20Ojv 2b1sfOydf4GMUKLBUMkhQnip6+3W -----END CERTIFICATE-----
ステップ 6	[Add] をクリックします。

自己署名内部および内部 CA 証明書の生成

また、これらの証明書は、OpenSSL を使用して作成することも、信頼できる CA から取得してアップロードすることもできます。詳細は「内部および内部 CA 証明書のアップロード」を参照してください。

これらの証明書を使用する機能の詳細については、Certificate Type Used by Featureを参照してください。

（注）

新しい自己署名証明書は 5 年の有効期間で生成されます。期限が切れる前に必ず証明書を交換してください。

警告	自己署名証明書を持つデバイスをアップグレードすると、問題が発生する可能性があります。詳細については、「新しい証明書の検出」を参照してください。

手順

この手順では、ウィザードに適切な証明書フィールド値を入力することにより、自己署名証明書を生成します。証明書ファイルをアップロードして内部または内部 CA 証明書を作成する場合は、「内部および内部 CA 証明書のアップロード」を参照してください。

自己署名証明書を生成するには、次の手順を実行します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	次のいずれかを実行します。 [オブジェクト（Objects）] ページで証明書オブジェクトを作成します。左側のペインで Objects をクリックします。 > [FTD] > [証明書（Certificate）] をクリックします。ポリシーに新しい証明書オブジェクトを追加するときに、[新しいオブジェクトの作成（Create New Object）] をクリックします。
ステップ 3	[Name] に証明書の名前を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。
ステップ 4	ステップ 1 で、[内部証明書（Internal Certificate）] または [内部CA（Internal CA）] を選択します。
ステップ 5	ステップ 2 で、[自己署名（Self-Signed）] を選択して、この手順で自己署名証明書を作成します。
ステップ 6	証明書の件名および発行者の情報については、次の少なくとも 1 つを設定します。 [国（C）（Country (C)）]：ドロップダウトリストから国コードを選択します。 [都道府県（ST）（State or Province (ST)）]：証明書に含める都道府県。 [地域または都市（L）（Locality or City (L)）]：都市の名前など、証明書に含める地域。 [組織（O）（Organization (O)）]：証明書に含める組織または会社の名前。 [組織単位（部門）（OU）（Organizational Unit (Department) ）]：証明書に含める組織単位の名前（部門名など）。 [共通名（CN）（Common Name (CN)）]：証明書に含める X.500 共通名。これは、デバイスの名前、Web サイト、または他の文字列にできます。この要素は、通常は正常な接続のために必要です。たとえば、リモートアクセス VPN で使用する内部証明書に CN を含める必要があります。
ステップ 7	[Add] をクリックします。

IPsec プロポーザルについて

IPsec は、VPN を設定する場合の最も安全な方法の 1 つです。IPsec では、IP パケットレベルでのデータ暗号化が提供され、標準規格に準拠した堅牢なセキュリティソリューションが提供されます。IPsec では、データはトンネルを介してパブリックネットワーク経由で送信されます。トンネルとは、2 つのピア間のセキュアで論理的な通信パスです。IPsec トンネルを通過するトラフィックは、トランスフォームセットと呼ばれるセキュリティプロトコルとアルゴリズムの組み合わせによって保護されます。IPsec Security Association（SA：セキュリティアソシエーション）のネゴシエーション中に、ピアでは、両方のピアに共通するトランスフォームセットが検索されます。

IKE バージョン（IKEv1 または IKEv2）に基づいて、別個の IPsec プロポーザルオブジェクトがあります。

IKEv1 IPsec プロポーザルを作成する場合、IPSec が動作するモードを選択し、必要な暗号化タイプおよび認証タイプを定義します。アルゴリズムには単一のオプションを選択できます。VPN で複数の組み合わせをサポートするには、複数の IKEv1 IPsec プロポーザルオブジェクトを作成して選択します。
IKEv2 IPsec プロポーザルを作成する際に、VPN で許可するすべての暗号化アルゴリズムとハッシュアルゴリズムを選択できます。システムは、設定をセキュア度が最も高いものから最も低いものに並べ替え、マッチが見つかるまでピアとのネゴシエーションを行います。これによって、IKEv1 と同様に、許可される各組み合わせを個別に送信することなく、許可されるすべての組み合わせを伝送するために単一のプロポーザルを送信できます。

カプセル化セキュリティプロトコル（ESP）は、IKEv1 と IKEv2 IPsec プロポーザルの両方に使用されます。これは認証、暗号化、およびアンチリプレイサービスを提供します。ESP は、IP プロトコルタイプ 50 です。

（注）

IPsec トンネルで暗号化と認証の両方を使用することを推奨します。

次に、各 IKE バージョンの IPsec プロポーザルの設定方法を説明します。

IKEv1 IPSec プロポーザルオブジェクトの作成および編集
IKEv2 IPSec プロポーザルオブジェクトの作成および編集

IPsec プロポーザルオブジェクトの管理

IPsec プロポーザルオブジェクトは、IKE フェーズ 2 ネゴシエーション時に使用される IPsec プロポーザルを設定します。IPsec プロポーザルでは、IPsec トンネル内のトラフィックを保護するためのセキュリティプロトコルとアルゴリズムの組み合わせを定義します。IKEv1 と IKEv2 に対して、異なるオブジェクトがあります。現在、Security Cloud Control は IKEv1 IPsec プロポーザルオブジェクトをサポートしています。

カプセル化セキュリティプロトコル（ESP）は、IKEv1 と IKEv2 IPsec プロポーザルの両方に使用されます。このプロトコルにより、認証、暗号化、およびアンチリプレイサービスが実現します。ESP は、IP プロトコルタイプ 50 です。

（注）

IPsec トンネルで暗号化と認証の両方を使用することを推奨します。

IKEv1 IPSec プロポーザルオブジェクトの作成または編集

定義済みの複数の IKEv1 IPsec プロポーザルがあります。その他のセキュリティ設定の組み合わせを実装する新しいプロポーザルを作成することもできます。システム定義オブジェクトは、編集または削除できません。

次の手順では、[Objects] ページから直接オブジェクトを作成および編集する方法について説明します。サイト間 VPN 接続の IKEv1 IPSec 設定を編集している間に、オブジェクトリストに表示される [新規IKEv1プロポーザルの作成（Create New IKEv1 Proposal）] リンクをクリックして、IKEv1 IPSec プロポーザルオブジェクトを作成することもできます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左のペインで [Objects] をクリックします。
ステップ 3	次のいずれかの操作を実行します。をクリックし、[FTD] > [IKEv1 IPsec Proposal] の順に選択して新しいオブジェクトを作成します。オブジェクトページで、編集する IPSec プロポーザルを選択し、右側の [Actions] ペインで [Edit] をクリックします。
ステップ 4	新しいオブジェクトのオブジェクト名を入力します。
ステップ 5	IKEv1 IPSec プロポーザルオブジェクトが動作するモードを選択します。トンネルモードでは IP パケット全体がカプセル化されます。IPSec ヘッダーが、元の IP ヘッダーと新しい IP ヘッダーとの間に追加されます。これがデフォルトです。トンネルモードは、ファイアウォールの背後にあるホストとの間で送受信されるトラフィックをファイアウォールが保護する場合に使用します。トンネルモードは、インターネットなどの非信頼ネットワークを介して接続されている 2 つのファイアウォール（またはその他のセキュリティゲートウェイ）間で通常の IPSec が実装される標準の方法です。トランスポートモードでは IP パケットの上位層プロトコルだけがカプセル化されます。IPSec ヘッダーは、IP ヘッダーと上位層プロトコルヘッダー（TCP など）との間に挿入されます。トランスポートモードでは、送信元ホストと宛先ホストの両方が IPSec をサポートしている必要があります。また、トランスポートモードは、トンネルの宛先ピアが IP パケットの最終宛先である場合にだけ使用されます。一般的に、トランスポートモードは、レイヤ 2 またはレイヤ 3 のトンネリングプロトコル（GRE、L2TP、DLSW など）を保護する場合にだけ使用されます。
ステップ 6	このプロポーザルの [ESP暗号化（ESP Encryption）]（カプセル化セキュリティプロトコル暗号化）アルゴリズムを選択します。オプションの説明については、使用する暗号化アルゴリズムの決定を参照してください。
ステップ 7	認証に使用する [ESPハッシュ（ESP Hash）] または整合性アルゴリズムを選択します。オプションの説明については、使用するハッシュアルゴリズムの決定を参照してください。
ステップ 8	[Add] をクリックします。

IKEv2 IPsec プロポーザルオブジェクトの管理

IPsec プロポーザルオブジェクトは、IKE フェーズ 2 ネゴシエーション時に使用される IPsec プロポーザルを設定します。IPsec プロポーザルでは、IPsec トンネル内のトラフィックを保護するためのセキュリティプロトコルとアルゴリズムの組み合わせを定義します。

IKEv2 IPsec プロポーザルを作成する際に、VPN で許可するすべての暗号化アルゴリズムとハッシュアルゴリズムを選択できます。システムは、設定をセキュア度が最も高いものから最も低いものに並べ替え、マッチが見つかるまでピアとのネゴシエーションを行います。これによって、IKEv1 と同様に、許可される各組み合わせを個別に送信することなく、許可されるすべての組み合わせを伝送するために単一のプロポーザルを送信できます。

IKEv2 IPSec プロポーザルオブジェクトの作成または編集

定義済みの複数の IKEv2 IPsec プロポーザルがあります。その他のセキュリティ設定の組み合わせを実装する新しいプロポーザルを作成することもできます。システム定義オブジェクトは、編集または削除できません。

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。VPN 接続の IKEv2 IPsec 設定を編集している間に、オブジェクトリストに表示される [新規IPsecプロポーザルの作成（Create New IPsec Proposal）] リンクをクリックして、IKEv2 IPsec プロポーザルオブジェクトを作成することもできます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	次のいずれかの操作を実行します。をクリックし、[FTD] > [IKEv2 IPSecプロポーザル（IKEv2 IPsec Proposal）] の順に選択して新しいオブジェクトを作成します。オブジェクトページで、編集する IPSec プロポーザルを選択し、右側の [アクション（Actions）] ペインで [編集（Edit）] をクリックします。
ステップ 4	新しいオブジェクトのオブジェクト名を入力します。
ステップ 5	IKEv2 IPsec プロポーザルオブジェクトの設定： [暗号化（Encryption）]：このプロポーザルのカプセル化セキュリティプロトコル（ESP）暗号化アルゴリズム。許可するすべてのアルゴリズムを選択します。システムは、最も強いアルゴリズムから始めて最も弱いアルゴリズムに至るまで、適合するものが確認できるまでピアとネゴシエートします。オプションの説明については、使用する暗号化アルゴリズムの決定を参照してください。 [整合性ハッシュ（Integrity Hash）]：認証に使用するハッシュまたは整合性アルゴリズム。許可するすべてのアルゴリズムを選択します。システムは、最も強いアルゴリズムから始めて最も弱いアルゴリズムに至るまで、適合するものが確認できるまでピアとネゴシエートします。オプションの説明については、使用するハッシュアルゴリズムの決定を参照してください。
ステップ 6	[Add] をクリックします。

グローバル IKE ポリシーについて

Internet Key Exchange（IKE、インターネットキーエクスチェンジ）は、IPsec ピアの認証、IPsec 暗号キーのネゴシエーションと配布、および IPsec Security Association（SA、セキュリティアソシエーション）の自動的な確立に使用されるキー管理プロトコルです。

IKE ネゴシエーションは 2 つのフェーズで構成されています。フェーズ 1 では、2 つの IKE ピア間のセキュリティアソシエーションをネゴシエートします。これにより、ピアはフェーズ 2 で安全に通信できるようになります。フェーズ 2 のネゴシエーションでは、IKE によって IPsec などの他のアプリケーション用の SA が確立されます。両方のフェーズで接続のネゴシエーション時にプロポーザルが使用されます。IKE プロポーザルは、2 つのピア間のネゴシエーションを保護するためにこれらのピアで使用されるアルゴリズムのセットです。IKE ネゴシエーションは、共通（共有）IKE ポリシーに合意している各ピアによって開始されます。このポリシーは、後続の IKE ネゴシエーションを保護するために使用されるセキュリティパラメータを示します。

IKE ポリシーオブジェクトはこれらのネゴシエーションに対して IKE プロポーザルを定義します。有効にするオブジェクトは、ピアが VPN 接続をネゴシエートするときに使用するものであり、接続ごとに異なる IKE ポリシーを指定することはできません。各オブジェクトの相対的な優先順位は、これらの中でどのポリシーを最初に試行するかを決定します。数が小さいほど、優先順位が高くなります。ネゴシエーションで両方のピアがサポートできるポリシーを見つけられなければ、接続は確立されません。

IKE グローバルポリシーを定義するには、各 IKE バージョンを有効にするオブジェクトを選択します。事前定義されたオブジェクトが要件を満たさない場合、セキュリティポリシーを適用する新しいポリシーを作成します。

次に、オブジェクトページでグローバルポリシーを設定する方法について説明します。VPN 接続を編集しているときに IKE ポリシー設定の [編集（Edit）] をクリックすることで、ポリシーの有効化、無効化および作成が行えます。

次に、各バージョンの IKE ポリシーの設定方法を説明します。

IKEv1 ポリシーの設定
IKEv2 ポリシーの設定

IKEv1 ポリシーの管理

IKEv1 ポリシーについて

インターネットキーエクスチェンジ（IKE）バージョン 1 ポリシーオブジェクトには、VPN 接続を定義する際に必要な IKEv1 ポリシーが含まれています。IKE は、IPsec ベースの通信の管理を簡易化するキー管理プロトコルです。IPsec ピアの認証、IPsec 暗号キーのネゴシエーションと配布、および IPsec セキュリティアソシエーション（SA）の自動確立に使用されます。

複数の事前定義された IKEv1 ポリシーが存在します。必要に適したポリシーがあれば、[状態（State）] トグルをクリックして有効にします。セキュリティ設定の他の組み合わせを実装する新しいポリシーも作成できます。システム定義オブジェクトは、編集または削除できません。

IKEv1 ポリシーの作成または編集

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。サイト間 VPN 接続での IKE 設定の編集時に、オブジェクトリストに表示される [新しいIKEv1 ポリシーの作成（Create New IKEv1 Policy）] リンクをクリックして、IKEv1 ポリシーを作成することもできます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	次のいずれかの操作を実行します。をクリックし、[FTD] > [IKEv1ポリシー（IKEv1 Policy）] の順に選択して、新しい IKEv1 ポリシーを作成します。オブジェクトのページで、編集する IKEv1 ポリシーを選択し、右側の [操作（Actions）] ウィンドウで [編集（Edit）] をクリックします。
ステップ 4	[オブジェクト名（Object Name）] を 128 文字以内で入力します。
ステップ 5	IKEv1 プロパティを設定します。 [優先順位（Priority）]：IKE ポリシーの相対的優先順位（1 ～ 65,535）。このプライオリティによって、共通のセキュリティアソシエーション（SA）の検出試行時に、ネゴシエーションする 2 つのピアを比較することで、IKE ポリシーの順序が決定します。リモート IPsec ピアが、最も高いプライオリティポリシーで選択されているパラメータをサポートしていない場合、次に低いプライオリティで定義されているパラメータの使用を試行します。値が小さいほど、プライオリティが高くなります。 [暗号化（Encryption）] ：フェーズ 2 ネゴシエーションを保護するためのフェーズ 1 セキュリティアソシエーション（SA）の確立に使用される暗号化アルゴリズム。オプションの説明については、「使用する暗号化アルゴリズムの決定」を参照してください。 [Diffie-Hellmanグループ（Diffie-Hellman Group）] ：2 つの IPsec ピア間の共有秘密キーを互いに送信することなく取得するために使用する Diffie-Hellman グループ。係数が大きいほどセキュリティが強化されますが、処理時間が長くなります。2 つのピアに、一致する係数グループが設定されている必要があります。オプションの説明については、「使用する Diffie-Hellman 係数グループの決定」を参照してください。 [ライフタイム（Lifetime）]：セキュリティアソシエーション（SA）のライフタイム（120 ～ 2147483647 までの秒数、または空白）。このライフタイムを超えると、SA の期限が切れ、2 つのピア間で再ネゴシエーションを行う必要があります。一般的に、一定の限度に達するまで、ライフタイムが短いほど、IKE ネゴシエーションがセキュアになります。ただし、ライフタイムが長いと、今後の IPsec セキュリティアソシエーションのセットアップが、短いライフタイムの場合よりも迅速に行われます。デフォルトは 86400 です。無期限のライフタイムを指定するには、値を入力しません（フィールドを空白のままにします）。 [認証（Authentication）] ：2 つのピア間で使用される認証方式。詳細については、使用する認証方式の決定を参照してください。 [事前共有キー（Preshared Key）]：各デバイスで定義されている事前共有キーを使用します。事前共有キーを使用すると、秘密鍵を 2 つのピア間で共有し、認証フェーズ中に IKE で使用できます。ピアに同じ事前共有キーが設定されていない場合は、IKE SA を確立できません。 [証明書（Certificate）]：ピアのデバイス ID 証明書を使用して相互に識別します。認証局に各ピアを登録することによって、これらの証明書を取得する必要があります。また、各ピアでアイデンティティ証明書の署名に使用された、信頼できる CA ルート証明書および中間 CA 証明書もアップロードする必要があります。ピアは、同じ CA または別の CA に登録できます。どちらのピアにも自己署名証明書を使用することはできません。 [ハッシュ（Hash）] ：メッセージの整合性の確保に使用されるメッセージダイジェストを作成するためのハッシュアルゴリズム。オプションの説明については、VPN で使用される暗号化アルゴリズムとハッシュアルゴリズムを参照してください。
ステップ 6	[Add] をクリックします。

IKEv2 ポリシーの管理

IKEv2 ポリシーについて

インターネットキーエクスチェンジ（IKE）バージョン 2 ポリシーオブジェクトには、VPN 接続を定義する際に必要な IKEv2 ポリシーが含まれています。IKE は、IPsec ベースの通信の管理を簡易化するキー管理プロトコルです。IPsec ピアの認証、IPsec 暗号キーのネゴシエーションと配布、および IPsec セキュリティアソシエーション（SA）の自動確立に使用されます。

複数の事前定義された IKEv2 ポリシーがあります。必要に適したポリシーがあれば、[状態（State）] トグルをクリックして有効にします。セキュリティ設定の他の組み合わせを実装する新しいポリシーも作成できます。システム定義オブジェクトは、編集または削除できません。

IKEv2 ポリシーの作成または編集

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。サイト間 VPN 接続での IKE 設定の編集時に、オブジェクトリストに表示される [新しいIKEv2ポリシーの作成（Create New IKEv2 Policy）] リンクをクリックして、IKEv2 ポリシーを作成することもできます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側の Security Cloud Control ナビゲーションバーで、Objects をクリックします。
ステップ 3	次のいずれかの操作を実行します。をクリックし、[FTD] > [IKEv2ポリシー（IKEv2 Policy）] の順に選択して、新しい IKEv2 ポリシーを作成します。オブジェクトページで、編集する IKEv2 ポリシーを選択し、右側の [アクション（Actions）] ペインで [編集（Edit）] をクリックします。
ステップ 4	[オブジェクト名（Object Name）] を 128 文字以内で入力します。
ステップ 5	IKEv2 プロパティを設定します。 [優先順位（Priority）]：IKE ポリシーの相対的優先順位（1 ～ 65,535）。このプライオリティによって、共通のセキュリティアソシエーション（SA）の検出試行時に、ネゴシエーションする 2 つのピアを比較することで、IKE ポリシーの順序が決定します。リモート IPsec ピアが、最も高いプライオリティポリシーで選択されているパラメータをサポートしていない場合、次に低いプライオリティで定義されているパラメータの使用を試行します。値が小さいほど、プライオリティが高くなります。 [状態（State）]：IKE ポリシーが有効か無効かを示します。トグルをクリックして状態を変更します。IKE ネゴシエーション中には、有効なポリシーのみが使用されます。 [暗号化（Encryption）] ：フェーズ 2 ネゴシエーションを保護するためのフェーズ 1 セキュリティアソシエーション（SA）の確立に使用される暗号化アルゴリズム。有効にするすべてのアルゴリズムを選択します。ただし、同じポリシーに混合モード（AES-GCM）と通常モードのオプションを含めることはできません（通常モードでは整合性ハッシュを選択する必要がありますが、混合モードでは個別の整合性ハッシュの選択は禁止されています）。システムは、最も強いアルゴリズムから始めて最も弱いアルゴリズムに至るまで、適合するものが確認できるまでピアとネゴシエートします。オプションの説明については、使用する暗号化アルゴリズムの決定を参照してください。 [Diffie-Hellmanグループ（Diffie-Hellman Group）] ：2 つの IPsec ピア間の共有秘密キーを互いに送信することなく取得するために使用する Diffie-Hellman グループ。係数が大きいほどセキュリティが強化されますが、処理時間が長くなります。2 つのピアに、一致する係数グループが設定されている必要があります。許可するすべてのアルゴリズムを選択します。システムは、最も強いグループから始めて最も弱いグループに至るまで、適合するものが確認できるまでピアとネゴシエートします。オプションの説明については、使用する Diffie-Hellman 係数グループの決定を参照してください。 [整合性ハッシュ（Integrity Hash）] ：メッセージの整合性の確保に使用されるメッセージダイジェストを作成するためのハッシュアルゴリズムの整合性部分。許可するすべてのアルゴリズムを選択します。システムは、最も強いアルゴリズムから始めて最も弱いアルゴリズムに至るまで、適合するものが確認できるまでピアとネゴシエートします。整合性ハッシュは、AES-GCM 暗号化オプションでは使用されません。オプションの説明については、VPN で使用される暗号化アルゴリズムとハッシュアルゴリズムを参照してください。 [擬似ランダム関数（PRF）ハッシュ（Pseudo-Random Function（PRF）Hash）] ：ハッシュアルゴリズムの疑似ランダム関数（PRF）部分。このアルゴリズムは IKEv2 トンネル暗号化に必要なキー関連情報とハッシュ操作を取得するために使用されます。IKEv1 では、整合性と PRF アルゴリズムは別ですが、IKEv2 では、これらの要素に異なるアルゴリズムを指定できます。許可するすべてのアルゴリズムを選択します。システムは、最も強いアルゴリズムから始めて最も弱いアルゴリズムに至るまで、適合するものが確認できるまでピアとネゴシエートします。オプションの説明については、VPN で使用される暗号化アルゴリズムとハッシュアルゴリズムを参照してください。 [ライフタイム（Lifetime）]：セキュリティアソシエーション（SA）のライフタイム（120 ～ 2147483647 までの秒数、または空白）。このライフタイムを超えると、SA の期限が切れ、2 つのピア間で再ネゴシエーションを行う必要があります。一般的に、一定の限度に達するまで、ライフタイムが短いほど、IKE ネゴシエーションがセキュアになります。ただし、ライフタイムが長いと、今後の IPsec セキュリティアソシエーションのセットアップが、短いライフタイムの場合よりも迅速に行われます。デフォルトは 86400 です。無期限のライフタイムを指定するには、値を入力しません（フィールドを空白のままにします）。
ステップ 6	[Add] をクリックします。

RA VPN オブジェクト

FDM-Managed デバイスのアイデンティティソースの設定

Microsoft AD レルムや RADIUS サーバーなどのアイデンティティソースは、組織内のユーザーのユーザーアカウントを定義する AAA サーバーおよびデータベースです。この情報は、IP アドレスに関連付けられているユーザー ID の提供や、Security Cloud Control へのリモートアクセス VPN 接続またはアクセスを認証するなど、さまざまな方法で利用できます。

Objects をクリックしたあとをクリックし、[> RA VPNオブジェクト（ASA＆FTD）（> RA VPN Objects（ASA & FTD））] > [IDソース（Identity Source）]を選択してソースを作成します。アイデンティティソースを必要とするサービスを設定するときに、次のオブジェクトを使用します。適切なフィルタを適用して既存のソースを検索し、それらを管理できます。

Active Directory レルム

Active Directory は、ユーザーアカウントおよび認証情報を提供します。AD レルムを含む設定を FDM-managed デバイスに展開すると、Security Cloud Control は AD サーバーからユーザーとグループを取得します。

このソースは、以下の目的で使用できます。

リモートアクセス VPN（プライマリアイデンティティソースとして）。AD は RADIUS サーバーと組み合わせて使用可能。
アイデンティティポリシー（アクティブ認証用、およびパッシブ認証で使用されるユーザーアイデンティティソースとして）。
ユーザーのアクティブ認証に向けたアイデンティティルール。

ユーザーアイデンティティを使用してアクセスコントロールルールを作成可能。詳細は、「アイデンティティポリシーの導入方法」を参照してください。

Security Cloud Control は、24 時間ごとに最新のユーザーグループのリストを要求します。1 つのルールに最大 50 のユーザーまたはグループを追加できるため、通常は、グループを選択する方が個々のユーザーを選択するより有意義です。たとえば、エンジニアリンググループに開発ネットワークへのアクセスを許可するルールを作成し、それに続くルールとして、そのネットワークへの他のすべてのアクセスを拒否するルールを作成できます。その後、ルールを新しいエンジニアに適用するには、エンジニアをディレクトリサーバーのエンジニアリンググループに追加するだけです。

Security Cloud Control の Active Directory レルム

AD アイデンティティオブジェクトを作成するときに、AD レルムを構成します。アイデンティティソースオブジェクトウィザードは、AD サーバーへの接続方法と、AD サーバーがネットワーク内のどこに配置されているかを判断するために役立ちます。

（注）

Security Cloud Control で AD レルムを作成すると、アフィリエイトアイデンティティソースオブジェクトを作成するとき、およびそれらのオブジェクトをアイデンティティルールに追加するときに、Security Cloud Control は AD パスワードを記憶します。

FDM の Active Directory レルム

Security Cloud Control オブジェクトウィザードから、FDM で作成された AD レルムオブジェクトを指定できます。Security Cloud Control は、FDM で作成された AD レルムオブジェクトの AD パスワードを読み取らないことに注意してください。Security Cloud Control に正しい AD パスワードを手動で入力する必要があります。

Firewall Device Manager で AD レルムを設定するには、デバイスが実行しているバージョンの『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』で、「Reusable Objects」の章の「Configuring AD Identity Realms」を参照してください。

サポートされるディレクトリサーバー

Windows サーバー 2008 および 2012 で AD を使用できます。

サーバーの設定に関して次の点に注意してください。

ユーザーグループまたはグループ内のユーザーに対してユーザー制御を実行する場合、ディレクトリサーバーでユーザーグループを設定する必要があります。サーバーが基本的なオブジェクト階層でユーザーを整理している場合、システムはユーザーグループ制御を実行できません。
ディレクトリサーバーは、次の表に示すフィールド名を使用して、システムがそのフィールドのサーバーからユーザーメタデータを取得できるようにする必要があります。


メタデータ（Metadata）	Active Directory フィールド
LDAP ユーザ名	samaccountname
名（First name）	givename
Last Name	sn
電子メールアドレス	mail userprincipalname（mail に値が設定されていない場合）
department	department distinguishedname（department に値が設定されていない場合）
電話番号	telephonenumber

ディレクトリベースの DN の決定

ディレクトリの各プロパティを設定する際、ユーザおよびグループに共通のベース識別名（DN）を指定する必要があります。ベースはディレクトリサーバー内で定義され、ネットワークごとに異なります。アイデンティティポリシーが正しく機能するには、適切なベースを入力する必要があります。ベースが誤っていると、ユーザー名またはグループ名が特定されず、アイデンティティに基づくポリシーが機能しなくなります。

（注）

正しいベースを取得するには、ディレクトリサーバーを担当する管理者に確認してください。

Active Directory の場合、ドメイン管理者として AD サーバにログインし、コマンドプロンプトで dsquery のコマンドを次のように使用することで、正しいベースを判別できます。

ユーザ検索ベース

dsquery user コマンドを入力し、ベース識別名を調べたい既知のユーザー名（一部または全体）を指定します。たとえば、次のコマンドでは、「John*」という部分名を使用して、「John」から始まるすべてのユーザーの情報を返します。

C:\Users\Administrator>dsquery user -name "John*"

"CN=John Doe,CN=Users,DC=csc-lab,DC=example,DC=com"

ベース DN は「DC=csc-lab,DC=example,DC=com」となります。

グループ検索ベース

既知のグループ名を使用して、dsquery group コマンドを入力し、ベース DN を判断します。たとえば次のコマンドでは、グループ名「Employees」を使用して識別名を返します。

C:\>dsquery group -name "Employees"

"CN=Employees,CN=Users,DC=csc-lab,DC=example,DC=com"

グループのベース DN は、「DC=csc-lab,DC=example,DC=com」となります。

ADSI Edit プログラムを使用して、AD 構造を参照することもできます（[スタート] > [ファイル名を指定して実行] > [adsiedit.msc]）。ADSI Edit で、組織単位（OU）、グループ、ユーザーなど任意のオブジェクトを右クリックし、[プロパティ（Properties）] を選択すると、識別名が表示されます。DC 値の文字列をベースとしてコピーできます。

ベースが正しいことを確認するには、次のように操作します。

手順

ステップ 1	ディレクトリプロパティの [テスト接続（Test Connection）] ボタンをクリックし、接続を確認します。問題を解決し、ディレクトリプロパティを保存します。
ステップ 2	変更をデバイスに適用します。
ステップ 3	アクセスルールを作成して、[ユーザー（Users）] タブを選択し、ディレクトリから既知のユーザーおよびグループ名の追加を試みます。ディレクトリを含むレルム内の一致ユーザー名およびグループ名を入力すると、入力中にオートコンプリートによる候補が表示されます。これらの候補がドロップダウンリストに表示された場合、システムがディレクトリを正常にクエリーできたことが分かります。候補が表示されず、入力した文字列は確実にユーザー名またはグループ名に含まれることが既知である場合には、対応する検索ベースを修正する必要があります。

次のタスク

詳細は「Firepower Threat Defense Active Directory レルムオブジェクトの作成と編集」を参照してください。

RADIUS サーバおよびグループ

RADIUS サーバーを使用して、管理ユーザーを認証および認可できます。

RADIUS サーバーを使用するように機能を設定する場合は、個別のサーバーではなく RADIUS グループを選択します。RADIUS グループは、相互にコピーである RADIUS サーバーの集合です。グループに複数のサーバーがある場合は、それらは、1 つのサーバーが使用できなくなった場合に冗長性を提供する一連のバックアップサーバーを形成します。ただし、サーバーが 1 つしかない場合でも、機能の RADIUS サポートを設定するには、メンバーが 1 つのグループを作成する必要があります。

このソースは、以下の目的で使用できます。

認証、および許可、アカウンティングのアイデンティティソースとしてのリモートアクセス VPN。AD は RADIUS サーバーと組み合わせて使用できます。
アイデンティティポリシー（リモートアクセス VPN ログインからユーザーアイデンティティを収集するためのパッシブアイデンティティソースとして）。

詳細については、「Firepower Threat Defense RADIUS サーバーオブジェクトまたはグループの作成と編集」を参照してください。

アクティブディレクトリレルムオブジェクトの作成または編集

Active Directory レルムオブジェクトについて

AD レルムオブジェクトなどの ID ソースオブジェクトを作成または編集すると、Security Cloud Control は SDC を介して FDM-managed デバイスに設定要求を送信します。次に FDM-managed デバイスは、設定された AD レルムと通信します。

Security Cloud Control は、Firewall Device Manager コンソールを介して設定された AD レルムのディレクトリパスワードを読み取らないことに注意してください。元々 Firewall Device Manager で作成された AD レルムオブジェクトを使用する場合は、ディレクトリパスワードを手動で入力する必要があります。

FTD アクティブディレクトリレルムオブジェクトの作成

次の手順を使用して、オブジェクトを作成します。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

をクリックしてから、[RA VPNオブジェクト（ASAおよびFTD）（RA VPN Objects (ASA & FTD)）] > [アイデンティティソース（Identity Source）]をクリックします。

ステップ 4

オブジェクトの [オブジェクト名（Object Name）] を入力します。

ステップ 5

[デバイスタイプ（Device Type）] として [FTD] を選択します。

ステップ 6

ウィザードの最初の部分で、[IDソースタイプ（Identity Source Type）]として [Active Directoryレルム（Active Directory Realm）] を選択します。[続行（Continue）] をクリックします。

ステップ 7

基本レルムのプロパティを設定します。

[ディレクトリユーザー名（Directory Username）]、[ディレクトリパスワード（Directory Password）]：取得するユーザー情報に対して適切な権限を持つユーザーの識別用ユーザー名とパスワード。AD では、昇格されたユーザー特権は必要ありません。ドメイン内の任意のユーザーを指定できます。ユーザー名は Administrator@example.com などの完全修飾名である必要があります（Administrator だけでなく）。

（注）

この情報から ldap-login-dn と ldap-login-password が生成されます。たとえば、Administrator@example.com は cn=administrator,cn=users,dc=example,dc=com に変換されます。cn=users は常にこの変換の一部であるため、ここで指定するユーザーは、共通名の「users」フォルダの下で設定する必要があります。

[ベース識別名（Base Distinguished Name）]：ユーザーおよびグループ情報、つまり、ユーザーとグループの共通の親を検索またはクエリするためのディレクトリツリー。例、cn=users,dc=example,dc=com。
[ADプライマリドメイン（AD Primary Domain）]：デバイスが参加する必要がある完全修飾 AD ドメイン名。例、example.com。

ステップ 8

ディレクトリサーバのプロパティを設定します。

[ホスト名またはIPアドレス（Hostname/IP Address）]：ディレクトリサーバーのホスト名または IP アドレス。サーバに対して暗号化された接続を使用する場合、IP アドレスではなく、完全修飾ドメイン名を入力する必要があります。
[ポート（Port）]：サーバーとの通信に使用するポート番号。デフォルトは 389 です。暗号化方式として LDAPS を選択する場合は、ポート 636 を使用します。
[暗号化（Encryption）]：ユーザーおよびグループの情報のダウンロードに暗号化された接続を使用するには、希望の方法（[STARTTLS] または [LDAPS]）を選択します。デフォルトでは [なし（None）] になっており、ユーザおよびグループの情報がクリアテキストでダウンロードされます。
- [STARTTLS] では、暗号化方式をネゴシエートし、ディレクトリサーバーでサポートされる最も強力な方式を使用します。ポート 389 を使用します。このオプションは、リモートアクセス VPN にレルムを使用する場合はサポートされません。
- [LDAPS] では、LDAP over SSL が必要です。ポート 636 を使用します。
[信頼できるCA証明書（Trusted CA Certificate）]：暗号化方式を選択する場合、認証局（CA）の証明書をアップロードして、システムとディレクトリサーバーの間で信頼できる接続を有効化します。認証に証明書を使用する場合、証明書のサーバー名は、サーバーの [ホスト名/IPアドレス（Hostname/IP Address）] と一致する必要があります。たとえば、IP アドレスとして 10.10.10.250 を使用しているのに、証明書で ad.example.com を使用すると接続が失敗します。

ステップ 9

（オプション）[テスト（Test）] ボタンを使用して、構成を検証します。

ステップ 10

（オプション）[別の構成を追加（Add another configuration）] をクリックして、複数の AD サーバーを AD レルムに追加します。AD サーバーは互いの複製である必要があり、同じ AD ドメインをサポートする必要があります。したがって、ディレクトリ名、ディレクトリパスワード、ベース識別名などの基本的なレルムプロパティは、その AD レルムに関連付けられたすべての AD サーバーで同じである必要があります。

ステップ 11

[追加（Add）] をクリックします。

ステップ 12

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

FTD アクティブディレクトリレルムオブジェクトの編集

アイデンティティソースオブジェクトの編集時にアイデンティティソースタイプを変更できないことに注意してください。正しいタイプの新しいオブジェクトを作成する必要があります。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、編集するオブジェクトを見つけます。
ステップ 4	編集するオブジェクトを選択します。
ステップ 5	詳細パネルの [アクション（Actions）] ペインにある編集アイコンをクリックします。
ステップ 6	ダイアログボックスの値を、上記の手順で作成したときと同じ方法で編集します。下に表示される設定バーを展開し、ホスト名/IP アドレスや暗号化情報を編集またはテストします。
ステップ 7	[保存（Save）] をクリックします。
ステップ 8	Security Cloud Control は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。
ステップ 9	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

RADIUS サーバーオブジェクトまたはグループの作成または編集

RADIUS サーバーオブジェクトまたはグループについて

RADIUS サーバーオブジェクトや RADIUS サーバーオブジェクトのグループなどの ID ソースオブジェクトを作成または編集すると、Security Cloud Control は SDC を介して設定要求を FDM-managed デバイスに送信します。次に FDM-managed デバイスは、設定された AD レルムと通信します。

RADIUS サーバーオブジェクトの作成

RADIUS サーバーは、AAA（認証、認可、アカウンティング）サービスを提供します。

次の手順を使用して、オブジェクトを作成します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	をクリックしてから、[RA VPNオブジェクト（ASAおよびFTD）（RA VPN Objects (ASA & FTD)）] > [アイデンティティソース（Identity Source）]をクリックします。
ステップ 4	オブジェクトの [オブジェクト名（Object name）] を入力します。
ステップ 5	[デバイスタイプ（Device Type）] として [FTD] を選択します。
ステップ 6	[アイデンティティソース（Identity Source）] タイプとして [RADIUSサーバー（RADIUS Server）] を選択します。[続行（Continue）] をクリックします。
ステップ 7	次のプロパティを使用して ID ソース設定を編集します。 [サーバー名または IP アドレス（Server Name or IP Address）]：サーバーの完全修飾ホスト名（FQDN）または IP アドレス。 [認証ポート（Authentication Port）]（オプション）：RADIUS 認証および承認が行われるポートです。デフォルトは 1812 です。 [タイムアウト（Timeout）]：次のサーバーに要求を送信する前にサーバーからの応答を待機する時間の長さ（1 ～ 300 秒）。デフォルトは 10 秒です。 [サーバー秘密キー（Server Secret Key）] の入力（オプション）：Firepower Threat Defense デバイスと RADIUS サーバー間でデータを暗号化するために使用される共有秘密。キーは、大文字と小文字が区別される最大 64 文字の英数字文字列です。スペースは使用できません。キーは、英数字または下線で開始する必要があります。特殊文字 $ & - _ . + @ を使用できます。文字列は、RADIUS サーバーで設定された文字列と一致している必要があります。秘密キーを設定していない場合、接続は暗号化されません。
ステップ 8	ネットワークで Cisco Identity Services Engine（ISE）をすでに設定してて、リモートアクセス VPN の認可変更設定のためにサーバーを使用している場合は、[RA VPNのみ（RA VPN Only）] リンクをクリックし、次の項目を設定します。 [ACLのリダイレクト（Redirect ACL）]：RA VPN リダイレクト ACL を使用する拡張アクセス制御リスト（ACL）を選択します。拡張 ACL がない場合は、FDM-managed デバイスコンソールの Smart CLI テンプレートから必要な拡張 ACL オブジェクトを作成する必要があります。デバイスが実行しているバージョンについては、『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』の「Advanced Configuration」の章の「Configuring Smart CLI Objects」セクションを参照してください。リダイレクト ACL の目的は、クライアントポスチャを評価するために、初期トラフィックを ISE に送信することです。ACL は、ISE に HTTPS トラフィックを送信しますが、ISE 宛てのトラフィックや、名前解決のために DNS サーバーに送信されるトラフィックは送信しません。デバイスが実行しているバージョンについては、『Cisco Firepower Threat Defense Configuration Guide for Firepower Device Manager』の「Virtual Private Networks (VPN)」の章の「Configure Change of Authorization」セクションを参照してください。 [診断インターフェース（Diagnostic Interface）]：このオプションを有効にすると、システムは常に「診断」インターフェースを使用してサーバーと通信できるようになります。このオプションを無効のままにすると、Security Cloud Control はデフォルトでルーティングテーブルを使用して、使用するインターフェイスを決定します。
ステップ 9	[追加（Add）] をクリックします。
ステップ 10	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

RADIUS サーバーグループの作成

RADIUS サーバーグループには、1 つまたは複数の RADIUS サーバーオブジェクトが含まれています。グループ内のサーバーは、相互にコピーされる必要があります。グループ内のサーバーでバックアップサーバーのチェーンが形成されるため、最初のサーバーが利用できなった場合、システムはリスト上の次のサーバーを試すことができます。

次の手順を使用して、オブジェクトグループを作成します。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

をクリックしてから、[FTD] > [アイデンティティソース（Identity Source）]をクリックします。

ステップ 4

オブジェクトの [オブジェクト名（Object name）] を入力します。

ステップ 5

[デバイスタイプ（Device Type）] として [FTD] を選択します。

ステップ 6

[IDソースタイプ（Identity Source Type）] として [RADIUSサーバーグループ（RADIUS Server Group）] を選択します。[続行（Continue）] をクリックします。

ステップ 7

次のプロパティを使用して ID ソース設定を編集します。

[デッドタイム（Dead Time）]：失敗したサーバーは、すべてのサーバーが失敗した後にのみ再アクティブ化されます。デッドタイムは、最後のサーバーが失敗した後にすべてのサーバーを再アクティブ化するまで待機する時間の長さです。
[最大失敗試行回数（Maximum Failed Attempts）]：次のサーバーを試行する前に、グループ内の RADIUS サーバーに送信されて失敗した要求の数（応答がなかった要求の数）。最大失敗試行回数を超えると、システムはそのサーバーを故障としてマークします。特定の機能について、ローカルデータベースを使用するフォールバック方式を設定していて、グループ内のすべてのサーバーが応答に失敗した場合、そのグループは非応答と見なされ、フォールバック方式が試行されます。サーバーグループはデッドタイムの間、非応答とマークされたままになるため、その期間内に追加の AAA 要求でサーバーグループへの接続は試行されず、フォールバック方式がすぐに使用されます。
（任意）[ダイナミック認証/ポート（Dynamic Authorization/Port）]：RADIUS サーバーグループ向けの RADIUS ダイナミック認証または認可変更（CoA）サービスを有効にすると、そのグループは CoA 通知用に登録され、Cisco Identity Services Engine（ISE）からの CoA ポリシー更新を指定したポートでリッスンします。このサーバーグループを ISE と併せてリモートアクセス VPN で使用する場合にのみ動的認可をイネーブルにします。

ステップ 8

ドロップダウンメニューから、RADIUS サーバーをサポートする AD レルムを選択します。AD レルムをまだ作成していない場合は、ドロップダウンメニューの [作成（Create）] をクリックします。

ステップ 9

[追加（Add）] ボタンをクリックして、既存の RADIUS サーバーオブジェクトを追加します。必要に応じて、このウィンドウから新しい RADIUS サーバーオブジェクトを作成できます。

（注）

リストの最初のサーバーは応答しなくなるまで使用されるため、作成したサーバーオブジェクトを優先して追加します。その後、FDM-managed デバイスはデフォルトでリスト内の次のサーバーに設定されます。

ステップ 10

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

RADIUS サーバーオブジェクトまたはグループの編集

RADIUS サーバーオブジェクトまたは RADIUS サーバーグループを編集するには、次の手順を使用します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトフィルタと検索フィールドを使用して、編集するオブジェクトを見つけます。
ステップ 4	編集するオブジェクトを選択します。
ステップ 5	詳細パネルの [アクション（Actions）] ペインにある編集アイコンをクリックします。
ステップ 6	前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。ホスト名/IP アドレスまたは暗号化情報を編集またはテストするには、設定バーを展開します。
ステップ 7	[保存（Save）] をクリックします。
ステップ 8	Security Cloud Control は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。
ステップ 9	行った変更を今すぐレビューして展開するか、待機してから複数の変更を同時に展開します。

セキュリティゾーンオブジェクト

セキュリティゾーンとはインターフェイスのグループ分けです。ゾーンは、トラフィックの管理と分類に役立つようにネットワークをセグメントに分割します。複数のゾーンを定義できますが、所与のインターフェイスは単一のゾーンの中にのみ存在できます。

Firepower システムでは、初期設定中に次のゾーンが作成され、Security Cloud Control のオブジェクトページに表示されます。ゾーンを編集してインターフェイスを追加または削除したり、使用しなくなったゾーンを削除したりできます。

inside_zone：内部インターフェイスが含まれます。このゾーンは、内部ネットワークを表します。
outside_zone：外部インターフェイスが含まれます。このゾーンは、インターネットなどの制御不可能な外部ネットワークを表すことを目的としています。

通常、ネットワーク内で果たす役割によって、インターフェイスをグループ化します。たとえば、インターフェイスに接続するインターフェイスを outside_zone セキュリティゾーンに配置し、内部ネットワークに接続するすべてのインターフェイスを inside_zone セキュリティゾーンに配置できます。次に、外部ゾーンから来て内部ゾーンへ向かうトラフィックにアクセスコントロールルールを適用できます。

ゾーンを作成する前に、ネットワークに適用するアクセスルールや他のポリシーを検討してください。たとえば、すべての内部インターフェイスを同じゾーンに配置する必要はありません。4 つの内部ネットワークがあり、1 つだけ他の 3 つとは異なる処理をしたい場合、1 つではなく 2 つのゾーンを作成できます。パブリック Web サーバーへの外部アクセスを許可するインターフェイスがある場合、そのインターフェイスに別のゾーンを使用できます。

Firepower セキュリティゾーンオブジェクトの作成または編集

セキュリティゾーンオブジェクトは、デバイスのルールで使用されない限り、そのデバイスに関連付けられません。

セキュリティゾーンオブジェクトの作成

セキュリティゾーンオブジェクトを作成するには、以下の手順に従ってください。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	> [FTD] > [セキュリティゾーン（Security Zone）] をクリックしてオブジェクトを作成します。
ステップ 4	オブジェクトに名前を付け、任意で説明を入力します。
ステップ 5	セキュリティゾーンに含めるインターフェイスを選択します。
ステップ 6	[追加（Add）] をクリックします。

セキュリティゾーンオブジェクトの編集

FDM-managed デバイスをオンボーディングすると、少なくとも 2 つのセキュリティゾーンがすでに存在することがわかります。1 つは inside_zone で、もう 1 つは outside_zone です。これらのゾーンは編集または削除できます。セキュリティゾーンオブジェクトを編集するには、次の手順に従います。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

編集するオブジェクトを見つけます。

オブジェクトの名前がわかっている場合は、[オブジェクト（Objects）] ページで検索できます。
- リストをセキュリティゾーンでフィルタリングします。
- オブジェクトの名前を検索フィールドに入力します。
- オブジェクトを選択します。
オブジェクトがデバイスに関連付けられていることがわかっている場合は、[セキュリティデバイス（Security Devices）] ページから検索を開始できます。
- 左側のペインで Security Devices をクリックします。
- [デバイス] タブをクリックします。
- 適切なタブをクリックします。
- デバイスフィルタと検索バーを使用して、デバイスを見つけます。
- デバイスを選択します。
- 右側の [管理（Management）] ペインで、 [オブジェクト（Objects）] をクリックします。
- オブジェクトフィルタと検索バーを使用して、探しているオブジェクトを見つけます。

（注）

作成したセキュリティゾーンオブジェクトがデバイスのポリシーに含まれるルールに関連付けられていない場合、そのオブジェクトは「関連付けられていない」と見なされ、デバイスの検索結果に表示されません。

ステップ 4

オブジェクトを選択します。

ステップ 5

右側の [操作（Actions）] ウィンドウで [編集（Edit）] アイコンをクリックします。

ステップ 6

オブジェクトの属性を編集した後、[保存（Save）] をクリックします。

ステップ 7

[保存（Save）] をクリックすると、加えた変更が他のデバイスにどのように影響するかを説明するメッセージが表示されます。[確認（Confirm）] をクリックして変更を保存するか、[キャンセル（Cancel）] をクリックして変更を取り消します。

サービスオブジェクト

Firepower サービスオブジェクト

FTD サービスオブジェクト、サービスグループ、およびポートグループは、IP プロトコルスイートの一部が考慮されたプロトコルまたはポートを含む再利用可能なコンポーネントです。

FTD サービスグループは、サービスオブジェクトのコレクションです。1 つのサービスグループには、1 つ以上のプロトコルのオブジェクトを含めることができます。その後、トラフィックの一致基準を定義するためのセキュリティポリシーでオブジェクトを使用して、たとえばアクセスルールを使用して特定の TCP ポートへのトラフィックを許可できます。システムには、一般的なサービス向けの複数の事前定義されたオブジェクトが含まれています。これらのオブジェクトはポリシーで使用できます。ただし、システムで定義されたオブジェクトは編集または削除ができません。

Firepower Device Manager および Firepower Management Center では、サービスオブジェクトをポートオブジェクトとして、およびサービスグループとポートグループとして参照します。

詳細については、「Firepower Threat Defense サービスオブジェクトの作成と編集」を参照してください。

プロトコルオブジェクト

プロトコルオブジェクトは、使用頻度の低いプロトコルやレガシープロトコルを含むサービスオブジェクトの一種です。プロトコルオブジェクトは、名前とプロトコル番号によって識別されます。Security Cloud Control は、ASA および Firepower（FDM-managed デバイス）設定でこれらのオブジェクトを認識し、これらに独自のフィルタ「プロトコル」を適用します。そのため、これらのオブジェクトを簡単に見つけることができます。

詳細については、「Firepower Threat Defense サービスオブジェクトの作成と編集」を参照してください。

ICMP オブジェクト

Internet Control Message Protocol（ICMP）オブジェクトは、ICMP および IPv6-ICMP メッセージ専用のサービスオブジェクトです。Security Cloud Control は、ASA および Firepower がオンボードされたときにデバイスの設定でこれらのオブジェクトを認識し、これらに Security Cloud Control が独自のフィルタ「ICMP」を適用します。そのため、これらのオブジェクトを簡単に見つけることができます。

Security Cloud Control を使用して、ASA 設定から ICMP オブジェクトの名前を変更したり、ICMP オブジェクトを削除したりできます。Security Cloud Control を使用して、Firepower 設定の ICMP および ICMPv6 オブジェクトを作成、更新、および削除できます。

（注）

ICMPv6 プロトコルの場合、AWS は特定の引数の選択をサポートしていません。すべての ICMPv6 メッセージを許可するルールのみがサポートされます。

詳細については、「Firepower Threat Defense サービスオブジェクトの作成と編集」を参照してください。

Firepower サービスオブジェクトの作成および編集

Firepower サービスオブジェクトを作成するには、次の手順を実行します。

Firewall Device Manager（FDM-managed）サービスオブジェクトは、TCP/IP プロトコルとポートを指定する再利用可能なコンポーネントです。Firewall Device Manager、On-Premises Firewall Management Center および Cloud-Delivered Firewall Management Center では、これらのオブジェクトを「ポートオブジェクト」と呼びます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	> [FTD] > [サービス（Service）] をクリックします。
ステップ 4	オブジェクト名と説明を入力します。
ステップ 5	[サービスオブジェクトの作成（Create a service object）] を選択します。
ステップ 6	[サービスタイプ（Service Type）] ボタンをクリックし、オブジェクトを作成するプロトコルを選択します。
ステップ 7	次の手順に従い、プロトコルを設定します。 TCP、UDP [eq] を選択し、ポート番号またはプロトコル名を入力します。たとえば、ポート番号として 80 を入力したり、プロトコル名として HTTP を入力したりできます。 [範囲（range）] を選択して、ポート番号の範囲を入力することもできます（例、1 65535 （すべてのポートをカバーする場合））。 ICMP、IPv6-ICMP：ICMP タイプを選択します。タイプをすべての ICMP メッセージに適用するには、[任意（Any）] を選択します。タイプとコードについての詳細は、次のページを参照してください。 [ICMP]：http://www.iana.org/assignments/icmp-parameters/icmp-parameters.xml [ICMPv6]：http://www.iana.org/assignments/icmpv6-parameters/icmpv6-parameters.xml [その他（Other）]：目的のプロトコルを選択します。
ステップ 8	[追加（Add）] をクリックします。
ステップ 9	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Firepower サービスグループの作成

サービスグループは、1 つ以上のプロトコルを表す 1 つ以上のサービスオブジェクトで構成できます。サービスオブジェクトは、グループに追加する前に作成する必要があります。Firepower Device Manager および Firepower Management Center では、それらのオブジェクトを「ポートオブジェクト」と呼びます。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	> [FTD] > [サービス（Service）] をクリックします。
ステップ 4	オブジェクト名と説明を入力します。
ステップ 5	[サービスグループの作成（Create a service group）] を選択します。
ステップ 6	[オブジェクトの追加（Add Object）] をクリックして、オブジェクトをグループに追加します。上記の「Firepower サービスオブジェクトの作成」で行ったように、[作成（Create）] をクリックして新しいオブジェクトを作成します。 [選択（Choose）] をクリックして、既存のサービスオブジェクトをグループに追加します。この手順を繰り返してさらにオブジェクトを追加します。
ステップ 7	サービスグループへのサービスオブジェクトの追加が完了したら、[追加（Add）] をクリックします。
ステップ 8	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Firepower サービスオブジェクトまたはサービスグループの編集

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	オブジェクトをフィルタリングして編集するオブジェクトを見つけ、オブジェクトテーブルでオブジェクトを選択します。
ステップ 4	[アクション（Actions）] ペインで、[編集（Edit）] をクリックします。
ステップ 5	前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	Security Cloud Control は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。
ステップ 8	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

セキュリティグループタググループ

セキュリティグループタグ

セキュリティグループタグについて

Cisco TrustSec ネットワークでトラフィックを分類するために Cisco Identity Services Engine（ISE）を使用してセキュリティグループタグ（SGT）を定義して使用する場合は、一致基準として SGT を使用するアクセス制御ルールを作成できます。これにより、IP アドレスではなく、セキュリティグループメンバーシップに基づいてアクセスをブロックまたは許可することができます。

ISE で SGT を作成し、各タグにホストまたはネットワークの IP アドレスを割り当てることができます。ユーザーアカウントに SGT を割り当てた場合、SGT はユーザーのトラフィックに割り当てられます。ISE サーバーに接続するように FDM-managed デバイスを構成して SGT を作成した後、Security Cloud Control で SGT グループを作成し、それらに関するアクセス制御ルールを構築できます。SGT を FDM-managed デバイスに関連付ける前に、ISE の SGT 交換プロトコル（SXP）マッピングを構成する必要があることに注意してください。詳細は、現在実行しているバージョンの『Cisco Identity Services Engine 管理者ガイド』の「セキュリティグループタグ交換プロトコル」を参照してください。

FDM-managed デバイスは、アクセス制御ルールのトラフィック一致基準として SGT を評価するときに、次の優先順位を使用します。

パケット内で定義されている送信元 SGT （存在する場合）。宛先の照合は、この手法では行われません。SGT がパケットに含まれるようにするには、ネットワーク内のスイッチとルータがそれらを追加するように設定されている必要があります。このメソッドの実装方法については、ISE のマニュアルを参照してください。
ISE セッションディレクトリからダウンロードされるユーザーセッションに割り当てられた SGT。この種の SGT 照合では、セッションディレクトリ情報をリッスンするオプションを有効にする必要がありますが、このオプションは最初に ISE アイデンティティソースを作成するときにデフォルトでオンになっています。SGT は、送信元または宛先と照合することができます。必須ではありませんが、通常は ISE アイデンティティソースを AD レルムとともに使用してパッシブ認証アイデンティティルールを設定し、ユーザ ID 情報を収集します。

SXP を使用してダウンロードされた SGT-to-IP アドレスマッピング。IP アドレスが SGT の範囲内にある場合、トラフィックは SGT を使用するアクセス制御ルールと一致します。SGT は、送信元または宛先と照合することができます。

（注）

ISE から取得した情報をアクセス制御ルールで直接使用することはできません。代わりに、ダウンロードした SGT 情報を参照する SGT グループを作成する必要があります。SGT グループは複数の SGT を参照できます。そのため、必要に応じて、関連するタグのコレクションに基づいてポリシーを適用できます。

バージョンサポート

Security Cloud Control は現在、バージョン 6.5 以降を実行している FDM-managed デバイスで SGT および SGT グループをサポートしています。FDM-managed デバイスでは、バージョン 6.5 以降で ISE サーバーを構成して接続できますが、バージョン 6.7 までは UI からの SGT 構成をサポートしていません。

FDM-managed UI から、これは、バージョン 6.5 以降を実行している FDM-managed デバイスは SGT の SXP マッピングをダウンロードできますが、オブジェクトまたはアクセス制御ルールに手動で追加できないことを意味します。バージョン 6.5 またはバージョン 6.6 を実行しているデバイスの SGT に変更を加えるには、ISE UI を使用する必要があります。ただし、バージョン 6.5 を実行しているデバイスが Security Cloud Control にオンボーディングされている場合は、デバイスに関連付けられている現在の SGT を表示し、SGT グループを作成できます。

Security Cloud Control の SGT

セキュリティグループタグ

SGT は、Security Cloud Control では読み取り専用です。Security Cloud Control で SGT を作成または編集することはできません。SGT を作成するには、現在実行しているバージョンの『Cisco Identity Services Engine 管理者ガイド』を参照してください。https://www.cisco.com/c/en/us/support/security/identity-services-engine/products-installation-guides-list.html

SGT グループ

（注）

FDM-managed デバイスでは、SGT のグループを SGT 動的オブジェクトと呼びます。Security Cloud Control では、これらのタグのリストは現在 SGT グループと呼ばれています。FDM-managed デバイスまたは ISE UI を参照せずに、Security Cloud Control で SGT グループを作成できます。

SGT グループを使用して、ISE によって割り当てられた SGT に基づいて送信元または宛先アドレスを識別します。その後、トラフィックの一致基準を定義するためにアクセス制御ルールでオブジェクトを使用できます。ISE から取得した情報をアクセス制御ルールで直接使用することはできません。代わりに、ダウンロードした SGT 情報を参照する SGT グループを作成する必要があります。

SGT グループは複数の SGT を参照できます。そのため、必要に応じて、関連するタグのコレクションに基づいてポリシーを適用できます。

Security Cloud Control で SGT グループを作成するには、少なくとも 1 つの構成済み SGT と、使用するデバイスの FDM-managed コンソール用に構成された ISE サーバーからの SGT マッピングが必要です。複数の FDM-managed デバイスが同じ ISE サーバーに関連付けられている場合、SGT または SGT グループを複数のデバイスに適用できます。デバイスが ISE サーバに関連付けられていない場合、アクセスコントロールルールに SGT オブジェクトを含めたり、そのデバイス構成に SGT グループを適用したりすることはできません。

ルール内の SGT グループ

SGT グループをアクセスコントロールルールに追加できます。それらは、送信元または宛先のネットワークオブジェクトとして表示されます。ネットワークがルールでどのように機能するかの詳細は、「FDM アクセスコントロールルールの送信元および宛先の条件」を参照してください。

[オブジェクト（Objects）] ページから SGT グループを作成できます。詳細については、「SGT グループの作成」を参照してください。

SGT グループの作成

アクセス制御ルールに使用できる SGT グループを作成するには、次の手順を実行します。

始める前に

セキュリティグループタグ（SGT）グループを作成する前に、次の構成または環境を設定しておく必要があります。

FDM-managed デバイスは、少なくともバージョン 6.5 を実行している必要があります。
SXP マッピングをサブスクライブして変更を展開するように ISE アイデンティティソースを設定する必要があります。SXP マッピングを管理するには、使用しているバージョン（バージョン 6.7 以降）用の Firepower Device Manager 設定ガイドの「ISE でのセキュリティグループと SXP パブリッシングの設定」を参照してください。
すべての SGT は ISE で作成する必要があります。SGT を作成するには、現在実行しているバージョンの『Cisco Identity Services Engine Configuration Guide』を参照してください。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

> [FTD] > [ネットワーク（Network）] をクリックします。

ステップ 4

[オブジェクト名（Object Name）] を入力します。

ステップ 5

（任意）説明を追加します。

ステップ 6

[SGT] をクリックし、ドロップダウンメニューを使用して、グループに含めるすべての SGT のチェックボックスをオンにします。SGT 名順にリストをソートできます。

ステップ 7

[保存（Save）] をクリックします。

（注）

Security Cloud Control で SGT を作成したり編集したりすることはできません。SGT グループへの追加やグループからの削除のみを実行できます。SGT を作成または編集するには、現在実行しているバージョンの『Cisco Identity Services Engine Configuration Guide』を参照してください。

SGT グループの編集

SGT グループを編集するには、次の手順を使用します。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

オブジェクトフィルタと検索フィールドを使用して、編集する SGT グループを見つけます。

ステップ 4

SGT グループを選択し、[操作（Actions）] ウィンドウで編集アイコンをクリックします。

ステップ 5

SGT グループを変更します。グループに関連付けられた名前、説明、または SGT を編集します。

ステップ 6

[保存（Save）] をクリックします。

（注）

SGT グループのアクセスコントロールルールへの追加

SGT グループをアクセス制御ルールに追加するには、次の手順を実行します。

手順

ステップ 1

左側のペインで Security Devices をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

[FTD] タブをクリックして、SGT グループを追加するデバイスを選択します。

ステップ 4

[管理（Management）] ペインで、 [ポリシー（Policy）] を選択します。

ステップ 5

接続元オブジェクトまたは接続先オブジェクトの青いプラスボタンをクリックし、[SGTグループ（SGT Groups）] を選択します。

ステップ 6

オブジェクトフィルタと検索フィールドを使用して、編集する SGT グループを見つけます。

ステップ 7

[保存（Save）] をクリックします。

ステップ 8

すべてのデバイスの設定変更をプレビューして展開します。

（注）

追加の SGT グループを作成する必要がある場合は、[Create New Object] をクリックします。「FTD SGT グループの作成」に記載されている必須情報を入力し、SGT グループをルールに追加します。

Syslog サーバーオブジェクト

FDM-managed デバイスではイベントを保存するための容量が制限されています。イベントのストレージを最大化するために、外部サーバーを構成できます。システムログ（syslog）サーバーのオブジェクトはコネクション型メッセージまたは診断 syslog メッセージを受信できるサーバーを指定します。syslog サーバーにログ収集と分析のための設定がある場合は、Security Cloud Control を使用してオブジェクトを作成してそれらを定義し、関連ポリシーでこのオブジェクトを使用します。

Syslog サーバーオブジェクトの作成および編集

新しい syslog サーバーオブジェクトを作成するには、次の手順を実行します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	新しいオブジェクトを作成するには、[オブジェクトの作成（Create Object）] ボタンをクリックします。
ステップ 4	FDM-managed デバイスオブジェクトタイプの下で [Syslog サーバ（Syslog Server）] を選択します。
ステップ 5	syslog サーバーオブジェクトのプロパティを設定します。 [IPアドレス（IP Address）]：syslog サーバーの IP アドレスを入力します。 [プロトコルタイプ（Protocol Type）]：syslog サーバーがメッセージの受信に使用するプロトコルを選択します。[TCP] を選択すると、システムは syslog サーバーが利用できない場合を認識して、サーバーが再度利用可能になるまでイベントの送信を停止できます。 [ポート番号（Port Number）]：syslog に使用する有効なポート番号を入力します。syslog サーバーがデフォルトのポートを使用している場合は、デフォルトの UDP ポートとして 514 を入力するか、デフォルトの TCP ポートとして 1470 を入力します。サーバーがデフォルトのポートを使用していない場合は、正しいポート番号を入力します。1025 ～ 65535 の範囲のポートを使用してください。 [インターフェイスの選択（Select an interface）]：診断 syslog メッセージの送信に使用するインターフェイスを選択します。接続および侵入イベントでは常に管理インターフェイスを使用します。インターフェイスの選択によって、syslog メッセージに関連付けられる IP アドレスが決まります。以下にリストされているオプションで選択できるのは 1 つだけです。両方を選択することはできません。次のオプションのいずれかを選択します。 [データインターフェイス（Data Interface）]：選択したデータインターフェイスを診断 syslog メッセージに使用します。生成されたリストからインターフェイスを選択します。サーバーがブリッジグループのメンバーインターフェイスを介してアクセスできる場合、ブリッジグループインターフェイス（BVI）を選択します。診断インターフェイス（物理的な管理インターフェイス）経由でアクセスできる場合は、このオプションではなく [管理インターフェイス（Management Interface）] を選択することを推奨します。パッシブインターフェイスを選択することはできません。データインターフェイスで通信する場合、接続および侵入の syslog メッセージでは、送信元 IP アドレスが管理インターフェイスかゲートウェイインターフェイスで使用されます。 [管理インターフェイス（Management Interface）]：すべてのタイプの syslog メッセージに仮想管理インターフェイスを使用します。データインターフェイスで通信する場合、送信元 IP アドレスが管理インターフェイスかゲートウェイインターフェイスで使用されます。
ステップ 6	[追加（Add）] をクリックします。
ステップ 7	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Syslog サーバーオブジェクトの編集

既存の syslog サーバーオブジェクトを編集するには、次の手順を実行します。

手順

ステップ 1	Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。
ステップ 2	左側のペインで Objects をクリックします。
ステップ 3	対象の syslog サーバーオブジェクトを見つけて選択します。オブジェクトリストは、syslog サーバーオブジェクトタイプでフィルタリングできます。
ステップ 4	[アクション（Actions）] ペインで、[編集（Edit）] をクリックします。
ステップ 5	必要な編集を行って、[保存（Save）] をクリックします。
ステップ 6	行った変更を確認します。
ステップ 7	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Secure Logging Analytics（SaaS）の Syslog サーバーオブジェクトの作成

イベントを送信する Secure Event Connector（SEC）の IP アドレス、TCP ポート、または UDP ポートを使用して、syslog サーバーオブジェクトを作成します。テナントにオンボーディングした SEC ごとに 1 つの syslog オブジェクトを作成しますが、1 つのルールから 1 つの SEC を表す 1 つの syslog オブジェクトのみにイベントを送信します。

前提条件

このタスクは、より大きなワークフローの一部です。開始する前に「FDM-Managed デバイスに安全なロギング分析（SaaS）を導入する」を参照してください。

手順

ステップ 1

Cisco Security Cloud Control ホームページから、[Products] > [Firewall] を選択します。

ステップ 2

左側のペインで Objects をクリックします。

ステップ 3

新しいオブジェクトを作成するには、[オブジェクトの作成（Create Object）] ボタンをクリックします。

ステップ 4

FDM-managed デバイスオブジェクトタイプの下で [Syslogサーバー（Syslog Server）] を選択します。

ステップ 5

syslog サーバーオブジェクトのプロパティを設定します。SEC のこれらのプロパティを見つけるには、左側のナビゲーションペインで、[ツールとサービス（Tools & Services）] > [セキュアコネクタ（Secure Connectors）]を選択します。次に、syslog オブジェクトを設定する Secure Event Connector を選択し、右側の [詳細（Details）] ペインを調べます。

[IP アドレス（IP Address）]：SEC の IP アドレスを入力します。
[プロトコルタイプ（Protocol Type）]：TCP または UDP を選択します。
[ポート番号（Port Number）]：TCP を選択した場合はポート 10125、UDP を選択した場合は 10025 を入力します。
[インターフェイスの選択（Select an interface）]：SEC に到達するように設定されたインターフェイスを選択します。

（注）

FDM-managed デバイスは IP アドレスごとに 1 つの syslog オブジェクトをサポートするため、TCP と UDP のどちらを使用するかを選択する必要があります。

ステップ 6

[追加（Add）] をクリックします。

次のタスク

セキュアロギング分析（SaaS）を導入し、Secure Event Connector を介して Cisco Cloud にイベントを送信するための既存の Security Cloud Control カスタマーワークフローのステップ 3 に進みます。

ネットワークアドレス変換

IP ネットワーク内の各コンピュータおよびデバイスには、ホストを識別する固有の IP アドレスが割り当てられています。パブリック IPv4 アドレスが不足しているため、これらの IP アドレスの大部分はプライベートであり、企業のプライベートネットワークの外部にルーティングできません。RFC 1918 では、アドバタイズされない、内部で使用できるプライベート IP アドレスが次のように定義されています。

10.0.0.0 ～ 10.255.255.255
172.16.0.0 ～ 172.31.255.255
192.168.0.0 ～ 192.168.255.255

ネットワークアドレス変換（NAT）の主な機能の 1 つは、プライベート IP ネットワークがインターネットに接続できるようにすることです。NAT は、プライベート IP アドレスをパブリック IP に置き換え、内部プライベートネットワーク内のプライベートアドレスをパブリックインターネットで使用可能な正式の、ルーティング可能なアドレスに変換します。このようにして、NAT はパブリックアドレスを節約します。これは、ネットワーク全体に対して 1 つのパブリックアドレスだけを外部に最小限にアドバタイズするように NAT を設定できるためです。

NAT の他の機能には、次のおりです。

セキュリティ：内部アドレスを隠蔽し、直接攻撃を防止します。
IP ルーティングソリューション：NAT を使用する際に、重複 IP アドレスが問題になりません。
柔軟性：外部で使用可能なパブリックアドレスに影響を与えずに、内部 IP アドレス方式を変更できます。たとえば、インターネットにアクセス可能なサーバーの場合、インターネット用に固定 IP アドレスを維持できますが、内部向けにサーバーのアドレスを変更することができます。
IPv4 と IPv6（ルーテッドモードのみ）の間の変換：IPv4 ネットワークに IPv6 ネットワークを接続する場合は、NAT を使用すると、2 つのタイプのアドレス間で変換を行うことができます。

Security Cloud Control を使用して、さまざまな使用例の NAT ルールを作成できます。NAT ルールウィザードまたは次のトピックを使用して、さまざまな NAT ルールを作成します。

NAT ルールの処理命令

ネットワークオブジェクトの NAT ルールおよび Twice NAT ルールは、3 つセクションに分割された 1 つのテーブルに格納されます。最初にセクション 1 のルール、次にセクション 2、最後にセクション 3 というように、一致が見つかるまで順番に適用されます。たとえば、セクション 1 で一致が見つかった場合、セクション 2 とセクション 3 は評価されません。次の表に、各セクション内のルールの順序を示します。

表 6. NAT ルールテーブル
テーブルのセクション	ルールタイプ	セクション内のルールの順序
セクション 1	Twice NAT（ASA）手動 NAT（FTD）	設定に登場する順に、最初の一致ベースで適用されます。最初の一致が適用されるため、一般的なルールの前に固有のルールが来るようにする必要があります。そうしない場合、固有のルールを期待どおりに適用できない可能性があります。デフォルトでは、Twice NAT ルールはセクション 1 に追加されます。
セクション 2	ネットワークオブジェクト NAT（ASA）自動 NAT（FTD）	セクション 1 で一致が見つからない場合、セクション 2 のルールが次の順序で適用されます。スタティックルールダイナミックルール各ルールタイプでは、次の順序ガイドラインが使用されます。実際の IP アドレスの数量：小から大の順。たとえば、アドレスが 1 個のオブジェクトは、アドレスが 10 個のオブジェクトよりも先に評価されます。数量が同じ場合には、IP アドレス番号（最小から最大まで）が使用されます。たとえば、10.1.1.0 は、11.1.1.0 よりも先に評価されます。同じ IP アドレスが使用される場合、ネットワークオブジェクトの名前がアルファベット順で使用されます。たとえば、オブジェクト「Arlington」はオブジェクト「Detroit」の前に評価されます。
セクション 3	Twice NAT（ASA）手動 NAT（FTD）	まだ一致が見つからない場合、セクション 3 のルールがコンフィギュレーションに登場する順に、最初の一致ベースで適用されます。このセクションには、最も一般的なルールを含める必要があります。このセクションにおいても、一般的なルールの前に固有のルールが来るようにする必要があります。そうしない場合、一般的なルールが適用されます。

たとえばセクション 2 のルールでは、ネットワークオブジェクト内に定義されている次の IP アドレスがあるとします。

192.168.1.0/24（スタティック）
192.168.1.0/24（ダイナミック）
10.1.1.0/24（スタティック）
192.168.1.1/32（スタティック）
172.16.1.0/24（ダイナミック）（オブジェクト Detroit）
172.16.1.0/24（ダイナミック）（オブジェクト Arlington）

この結果、使用される順序は次のとおりです。

192.168.1.1/32（スタティック）
10.1.1.0/24（スタティック）
192.168.1.0/24（スタティック）
172.16.1.0/24（ダイナミック）（オブジェクト Arlington）
172.16.1.0/24（ダイナミック）（オブジェクト Detroit）
192.168.1.0/24（ダイナミック）

ネットワークアドレス変換ウィザード

ネットワークアドレス変換（NAT）ウィザードは、次のタイプのアクセスに使用する NAT ルールをデバイスで作成する際に役立ちます。

内部ユーザーのインターネットアクセスを有効にする。この NAT ルールを使用して、内部ネットワーク上のユーザーがインターネットにアクセスできるようにすることができます。
内部サーバーをインターネットに公開する。この NAT ルールを使用して、ネットワーク外のユーザーが内部 Web サーバーまたは電子メールサーバーにアクセスできるようにすることができます。

「内部ユーザーのインターネットアクセスを有効にする」ための前提条件

NAT ルールを作成する前に、次の情報を収集します。

ユーザーに最も近いインターフェイス。通常これは「内部」インターフェイスと呼ばれます。
インターネット接続に最も近いインターフェイス。通常これは「外部」インターフェイスと呼ばれます。
特定のユーザーのみにインターネットへのアクセスを許可する場合は、それらのユーザーのサブネットアドレスが必要です。

「内部サーバーをインターネットに公開する」ための前提条件

NAT ルールを作成する前に、次の情報を収集します。

ユーザーに最も近いインターフェイス。通常これは「内部」インターフェイスと呼ばれます。
インターネット接続に最も近いインターフェイス。通常これは「外部」インターフェイスと呼ばれます。
インターネット側の IP アドレスに変換する、ネットワーク内のサーバーの IP アドレス。
サーバーが使用するパブリック IP アドレス。

次の作業

NAT ウィザードを使用した NAT ルールの作成を参照してください。

NAT ウィザードを使用した NAT ルールの作成

始める前に

NAT ウィザードを使用して NAT ルールを作成するために必要な前提条件については、ネットワークアドレス変換ウィザードを参照してください。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	[Filter]と[Search]フィールドを使用して、NAT ルールを作成するデバイスを見つけます。
ステップ 5	詳細パネルの [管理（Management）] 領域で、[NAT] をクリックします。
ステップ 6	> [NAT ウィザード（NAT Wizard）] をクリックします。
ステップ 7	NAT ウィザードの質問に回答し、画面の指示に従います。 NAT ウィザードはネットワークオブジェクトを使用してルールを作成します。ドロップダウンメニューから既存のオブジェクトを選択するか、作成ボタンで新しいオブジェクトを作成します。 NAT ルールを保存する前に、すべての IP アドレスをネットワークオブジェクトとして定義する必要があります。
ステップ 8	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

NAT の一般的な使用例

Twice NAT と手動 NAT

「自動 NAT」とも呼ばれる「ネットワークオブジェクト NAT」を使用して達成できるいくつかの一般的なタスクを次に示します。

内部ネットワーク上のサーバーがパブリック IP アドレスを使用してインターネットに到達できるようにする
内部ネットワーク上のユーザーが外部インターフェイスのパブリック IP アドレスを使用してインターネットにアクセスできるようにする
内部ネットワーク上のサーバーをパブリック IP アドレスの特定のポートで使用できるようにする
プライベート IP アドレス範囲のパブリック IP アドレス範囲への変換

ネットワークオブジェクト NAT と自動 NAT

「手動 NAT」とも呼ばれる「Twice NAT」を使用して達成できる一般的なタスクを次に示します。

外部インターフェイスを通過する際に IP アドレスの範囲が変換されるのを防ぐ

内部ネットワーク上のサーバーがパブリック IP アドレスを使用してインターネットに到達できるようにする

使用例

インターネットからアクセスする必要があるプライベート IP アドレスを持つサーバーがあり、1 つのパブリック IP アドレスからプライベート IP アドレスへの NAT に十分なパブリック IP アドレスがある場合は、この NAT 戦略を使用します。パブリック IP アドレスの数に限りがある場合は、「パブリック IP アドレスの特定のポートでユーザーが内部ネットワーク上のサーバーを使用できるようにする」を参照してください（このソリューションの方が適している可能性があります）。

方法

サーバーは静的なプライベート IP アドレスを持ち、そのサーバーにネットワークの外部のユーザーがアクセスできる必要があります。静的プライベート IP アドレスを静的パブリック IP アドレスに変換するネットワークオブジェクト NAT ルールを作成します。その後、そのパブリック IP アドレスからのトラフィックがプライベート IP アドレスに到達できるようにするアクセスポリシーを作成します。最後に、これらの変更をデバイスに展開します。

始める前に

まず始めに、2 つのネットワークオブジェクトを作成します。一方のオブジェクトを「servername_inside」と名前を付け、もう一方のオブジェクトに「servername_outside」という名前を付けます。servername_inside ネットワークオブジェクトには、サーバーのプライベート IP アドレスが含まれている必要があります。servername_outside ネットワークオブジェクトには、サーバーのパブリック IP アドレスが含まれている必要があります。

手順については、「ネットワークオブジェクトの作成」を参照してください。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	> [ネットワークオブジェクト NAT（Network Object NAT）] をクリックします。
ステップ 7	セクション 1 の [タイプ（Type）] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、次のアクションを実行します。 [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、servername_inside オブジェクトを選択します。 [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、servername_outside オブジェクトを選択します。
ステップ 10	セクション 4 の [詳細（Advanced）] はスキップしてください。
ステップ 11	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] で、NAT ルールに名前を付けます。
ステップ 12	[保存（Save）] をクリックします。
ステップ 13	ASA の場合はネットワークポリシー規則を展開し、FDM-managed デバイスの場合はアクセスコントロールポリシー規則を展開して、servername_inside から servername_outside へのトラフィックフローを可能にします。
ステップ 14	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

内部ネットワーク上のユーザーが外部インターフェイスのパブリック IP アドレスを使用してインターネットにアクセスできるようにする

使用例

外部インターフェイスのパブリックアドレスを共有することにより、プライベートネットワーク内のユーザーとコンピューターがインターネットに接続できるようにします。

方法

プライベートネットワーク上のすべてのユーザーがデバイスの外部インターフェイスのパブリック IP アドレスを共有できるようにするポートアドレス変換（PAT）ルールを作成します。

プライベートアドレスがパブリックアドレスとポート番号にマッピングされると、デバイスはそのマッピングを記録します。そのパブリック IP アドレスとポート宛の着信トラフィックを受信すると、デバイスはトラフィックを要求したプライベート IP アドレスにトラフィックを送り返します。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	[ネットワークオブジェクトNAT（Network Object NAT）] をクリックします。
ステップ 7	セクション 1 の [タイプ（Type）] で、[ダイナミック（Dynamic）] を選択します。[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [任意（any）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、次のアクションを実行します。 [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、ネットワーク構成に応じて [any-ipv4] オブジェクトまたは [any-ipv6] オブジェクトを選択します。 [変換済みアドレス（Translated Address）] メニューを展開し、利用可能なリストから [インターフェイス（interface）] を選択します。インターフェイスにより、外部インターフェイスのパブリックアドレスを使用することが示唆されています。
ステップ 10	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。
ステップ 11	[保存（Save）] をクリックします。
ステップ 12	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA の保存済み構成ファイルのエントリ

この手順を実行することで、ASA の保存済み構成ファイル内に次のエントリが作成および表示されます。

（注）

これは FDM-managed デバイスには適用されません。

この手順によって作成されるオブジェクト：

object network any_network
subnet 0.0.0.0 0.0.0.0

この手順によって作成される NAT ルール：

object network any_network
nat (any,outside) dynamic interface

内部ネットワーク上のサーバーをパブリック IP アドレスの特定のポートで使用できるようにする

使用例

パブリック IP アドレスが 1 つしかない場合、または数が非常に限られている場合は、静的 IP アドレスとポートにバインドされた受信トラフィックを内部アドレスに変換するネットワークオブジェクト NAT ルールを作成できます。特定のケースの手順を提供していますが、これらはサポートされている他のアプリケーションのモデルとして使用できます。

前提条件

まず始めに、FTP、HTTP、および SMTP サーバーのネットワークオブジェクトを 1 つずつ、合計 3 つの個別のオブジェクトを作成します。この手順のために、これらのオブジェクトを ftp-server-object、http-server-object、および smtp-server-object と呼びます。

手順については、「」「ネットワークオブジェクトの作成」を参照してください。

FTP サーバーへの NAT 着信 FTP トラフィック

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	> [ネットワークオブジェクト NAT（Network Object NAT）] をクリックします。
ステップ 7	セクション 1 の [タイプ（Type）] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、次のアクションを実行します。 [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、ftp-server-object を選択します。 [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、[インターフェイス（Inerface）] を選択します。 [ポート変換の使用（Use Port Translation）] にチェックを付けます。 [tcp]、[ftp]、[ftp] を選択します。
ステップ 10	セクション 4 の [詳細（Advanced）] はスキップしてください。
ステップ 11	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] で、NAT ルールに名前を付けます。
ステップ 12	[保存（Save）] をクリックします。NAT テーブルのセクション 2 に新しいルールが作成されます。
ステップ 13	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

HTTP サーバーへの NAT 着信 HTTP トラフィック

始める前に

まず始めに、HTTP サーバーのネットワークオブジェクトを作成します。この手順のために、オブジェクトを http-object と呼びます。

手順については、「」「ネットワークオブジェクトの作成Firepower ネットワークオブジェクトまたはネットワークグループの作成または編集」を参照してください。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	> [ネットワークオブジェクト NAT（Network Object NAT）] をクリックします。
ステップ 7	セクション 1 の [タイプ（Type）] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、次のアクションを実行します。 [オリジナルアドレス（Original Address）] メニューを展開し、[選択]（Choose）] をクリックして、http オブジェクトを選択します。 [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、[インターフェイス（Inerface）] を選択します。 [ポート変換の使用（Use Port Translation）] にチェックを付けます。 tcp、http、http を選択します。
ステップ 10	セクション 4 の [詳細（Advanced）] はスキップしてください。
ステップ 11	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] で、NAT ルールに名前を付けます。
ステップ 12	[保存（Save）] をクリックします。NAT テーブルのセクション 2 に新しいルールが作成されます。
ステップ 13	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

SMTP サーバーへの NAT 着信 SMTP トラフィック

始める前に

まず始めに、smtp サーバーのネットワークオブジェクトを作成します。この手順の説明では、オブジェクトを smtp-object と呼びます。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	> [ネットワークオブジェクト NAT（Network Object NAT）] をクリックします。
ステップ 7	セクション 1 の [タイプ（Type）] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、次のアクションを実行します。 [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、smtp-server-object を選択します。 [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、[インターフェイス（Inerface）] を選択します。 [ポート変換の使用（Use Port Translation）] にチェックを付けます。 tcp、smtp、smtp を選択します。
ステップ 10	セクション 4 の [詳細（Advanced）] はスキップしてください。
ステップ 11	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] で、NAT ルールに名前を付けます。
ステップ 12	[保存（Save）] をクリックします。NAT テーブルのセクション 2 に新しいルールが作成されます。
ステップ 13	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

プライベート IP アドレス範囲のパブリック IP アドレス範囲への変換

使用例

特定のデバイスタイプまたはユーザータイプのグループがあり、IP アドレスを特定の範囲に変換して、受信側デバイス（トランザクションの反対側のデバイス）がトラフィックを許可する必要がある場合は、このアプローチを使用します。

内部アドレスのプールを外部アドレスのプールに変換

始める前に

変換するプライベート IP アドレスプールのネットワークオブジェクトを作成し、それらのプライベート IP アドレスの変換先となるパブリックアドレスプールのネットワークオブジェクトも作成します。

（注）

ASA FTDの場合、「変換されたアドレス」のプールを定義するネットワークグループは、サブネットを定義するネットワークオブジェクトにすることはできません。

これらのアドレスプールを作成する場合は、と『Firepower ネットワークオブジェクトまたはネットワークグループの作成または編集』を参照してください。

以下の手順のために、プライベートアドレスプールをinside_pool、パブリックアドレスプールをoutside_pool と名付けました。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	> [ネットワークオブジェクト NAT（Network Object NAT）] をクリックします。
ステップ 7	セクション 1 の [タイプ（Type）] で [ダイナミック（Dynamic）] を選択し、[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスを [内部（inside）] に設定し、接続先インターフェイスを [外部（outside）] に設定します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、以下のタスクを実行します。 [元アドレス（Original Address）] で、[選択（Choose）] をクリックし、上記の前提条件セクションで作成した inside_pool ネットワークオブジェクト (またはネットワークグループ) を選択します。 [変換されたアドレス（Translated Address）] で、[選択（Choose）] をクリックし、上記の前提条件セクションで作成した outside_pool ネットワークオブジェクト (またはネットワークグループ) を選択します。
ステップ 10	セクション 4 の [詳細（Advanced）] はスキップしてください。
ステップ 11	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] で、NAT ルールに名前を付けます。
ステップ 12	[保存（Save）] をクリックします。
ステップ 13	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

外部インターフェイスを通過する際に IP アドレスの範囲が変換されるのを防ぐ

使用例

この Twice NAT ユースケースを使用して、サイト間 VPN を有効にします。

方法

IP アドレスのプールをそれ自体に変換して、ネットワークのある場所の IP アドレスが変更されずに別の場所に届くようにします。

Twice NATルールの作成

始める前に

それ自体に変換する IP アドレスのプールを定義するネットワークオブジェクトまたはネットワークグループを作成します。ASA の場合、アドレスの範囲は、IP アドレス範囲を使用するネットワークオブジェクト、サブネットを定義するネットワークオブジェクト、または範囲内のすべてのアドレスを含むネットワークグループオブジェクトによって定義できます。FTD の場合、アドレスの範囲は、サブネットを定義するネットワークオブジェクト、または範囲内のすべてのアドレスを含むネットワークグループオブジェクトによって定義できます。

ネットワークオブジェクトやネットワークグループを作成する場合は、『』と『Firepower ネットワークオブジェクトまたはネットワークグループの作成または編集』を参照してください。

次の手順では、ネットワークオブジェクトまたはネットワークグループを Site-to-Site-PC-Pool と呼びます。

手順

ステップ 1	左側のペインで Security Devices をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	NAT ルールを作成するデバイスを選択します。
ステップ 5	右側の [管理（Management）] ペインで [NAT] をクリックします。
ステップ 6	> [Twice NAT] をクリックします。.
ステップ 7	セクション 1 の [タイプ（Type）] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。
ステップ 8	セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。
ステップ 9	セクション 3 の [パケット（Packets）] で、次の変更を行います。 [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、前提条件セクションで作成した Site-to-Site-PC-Pool オブジェクトを選択します。 [変換済みアドレス（Translated Address）] メニューを展開し、[選択（Choose）] をクリックして、前提条件セクションで作成した Site-to-Site-PC-Pool オブジェクトを選択します。
ステップ 10	セクション 4 の [詳細（Advanced）] はスキップしてください。
ステップ 11	FDM 管理対象デバイスの場合、セクション 5 の [名前（Name）] で、NAT ルールに名前を付けます。
ステップ 12	[保存（Save）] をクリックします。
ステップ 13	ASA の場合、クリプトマップを作成します。クリプトマップの作成方法の詳細については、『CLI ブック 3：Cisco ASA シリーズ VPN CLI コンフィギュレーションガイド』の、「LAN-to-LAN IPsec VPN」の章を確認してください。
ステップ 14	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Cisco Security Cloud Controlを使用した FDM デバイスの管理

偏向のない言語

翻訳について

検索結果

章のタイトル： 基本設定を構成

基本設定を構成

ネットワーキング要件

内部インターフェイスからの FDM-Managed デバイスの管理

リモートアクセス VPN の要件

次に行う作業：

内部インターフェイスからの FDM-Managed デバイスの管理

始める前に

手順

次のタスク

外部インターフェイスからの FDM-Managed デバイスの管理

リモートアクセス VPN の要件

次に行う作業：

FDM-Managed デバイスの外部インターフェイスを管理する

始める前に

手順

次のタスク

Security Cloud Control テナントの作成

手順

Security Cloud Control テナントの完全バージョンへのアップグレード

Security Cloud Control のトライアル期間延長の要求

Security Cloud Control Firewall Management ダッシュボード

Security Cloud Control のログイン要件

新規 Security Cloud Control テナントへの初回ログイン

はじめる前に

次の手順

リージョンごとの Security Cloud Control へのサインイン

ログインの失敗のトラブルシューティング

Cisco Security Cloud Sign On ID プロバイダーへの移行

はじめる前に

移行後のログイン失敗のトラブルシューティング

Security Cloud Control テナントの起動

手順

Security Cloud Control Firewall Management[Integration] ページ

異なるタブで Security Cloud Control と Cloud-Delivered Firewall Management Center アプリケーションを開く機能のサポート

ネットワーキング要件

内部インターフェイスからの FDM-Managed デバイスの管理

リモートアクセス VPN の要件

次に行う作業：

内部インターフェイスからの FDM-Managed デバイスの管理

始める前に

手順

次のタスク

外部インターフェイスからの FDM-Managed デバイスの管理

リモートアクセス VPN の要件

次に行う作業：

FDM-Managed デバイスの外部インターフェイスを管理する

始める前に

手順

次のタスク

Security Cloud Control Firewall Management ライセンス

サブスクリプション

ソフトウェア サブスクリプションのサポート

Cloud-Delivered Firewall Management Center ライセンスと登録

概要

評価ライセンス

Cisco Smart Software Manager（CSSM）

Firewall Threat Defense デバイスのライセンス

登録ステップバイステップ

Security Cloud Control Firewall Management プラットフォームのメンテナンススケジュール

Cloud-Delivered Firewall Management Center メンテナンススケジュール

オブジェクトの概要

オブジェクト タイプ

共有オブジェクト

オブジェクトのオーバーライド

関連付けのないオブジェクト

オブジェクトの比較

手順

フィルタ

オブジェクトフィルタ

[システム定義オブジェクトの表示（Show System-Defined Objects）] フィルタ

オブジェクトフィルタを設定する

手順

フィルタ基準からデバイスを除外する場合

オブジェクトの無視の解除

手順

章のタイトル：基本設定を構成

ソフトウェアサブスクリプションのサポート

オブジェクトタイプ

ネットワークオブジェクト

アプリケーションフィルタオブジェクト

Firepower アプリケーションフィルタオブジェクトの作成と編集

Firepower アプリケーションフィルタオブジェクトの作成

Firepower アプリケーションフィルタオブジェクトの編集