ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	リストからオブジェクト タイプを選択します（再利用可能オブジェクトの概要を参照）。
ステップ 3	編集するオブジェクトの横にある編集アイコン（）をクリックします。 代わりに表示アイコン（）が表示される場合、オブジェクトは先祖ドメインに属しており、上書きを許可しないように設定されており、オブジェクトを変更する権限がありません。
ステップ 4	必要に応じてオブジェクト設定を変更します。
ステップ 5	変数セットを編集する場合は、セット内の変数を管理します（変数の管理を参照）。
ステップ 6	オーバーライドを許可するように設定できるオブジェクトの場合、次の操作をします。 このオブジェクトのオーバーライドを許可する場合は、[オーバーライドを許可（Allow Overrides）] チェックボックスをオンにします（オブジェクトのオーバーライドの許可 を参照）。現在のドメインに属しているオブジェクトに対してのみ、この設定を変更できます。 このオブジェクトにオーバーライド値を追加する場合は、[オーバーライド（Override）] セクションを展開し、[追加（Add）] をクリックします（オブジェクトのオーバーライドの追加 を参照）。
ステップ 7	[保存（Save）] をクリックします。
ステップ 8	変数セットを編集するときにそのセットがアクセス コントロール ポリシーで使用されている場合、[はい（Yes）] をクリックして変更の保存を確認します。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

オブジェクトをグループ化すると、複数のオブジェクトを 1 つの設定で参照できます。システムでは、Web インターフェイスでオブジェクトおよびオブジェクト グループを交互に使用することができます。たとえば、ポート オブジェクトを使用する場合はいつでも、ポート オブジェクト グループも使用できます。

ネットワーク、ポート、VLAN タグ、URL、および PKI オブジェクトをグループ化できます。

同じタイプのオブジェクトおよびオブジェクト グループには、同じ名前を付けることはできません。マルチドメイン展開では、オブジェクト グループの名前をドメイン階層内で一意にする必要があります。システムは、現在のドメインでは表示できないオブジェクトの名前との競合を特定することができます。

ポリシーで使用されるオブジェクト グループ（たとえば、アクセス コントロール ポリシーで使用されるネットワーク オブジェクト グループ）を編集する場合、変更を適用するためには、変更後の設定を再展開する必要があります。

グループを削除しても、グループ内のオブジェクトは削除されず、相互の関連性だけが削除されます。さらに、アクティブ ポリシーで使用中のグループは削除できません。たとえば、保存されたアクセス コントロール ポリシーの VLAN 条件で使用している VLAN タグのグループは削除できません。

オブジェクトをオーバーライドすることにより、オブジェクトの代替値を定義できます。指定したデバイスに対して、システムはこの代替値を使用します。

ほとんどのデバイスに有効な定義を設定したオブジェクトを作成した後、異なる定義を必要とする少数のデバイスについて、オーバーライドを使用してオブジェクトに対する変更内容を指定できます。また、すべてのデバイスに対してオーバーライドする必要があるオブジェクトを作成し、そのオブジェクトを使用してすべてのデバイスに適用する単一のポリシーを作成することもできます。オブジェクト オーバーライドでは、デバイス全体で使用する共有ポリシーの小さなセットを作成し、個々のデバイスの必要に応じてポリシーを変更できます。

たとえば、社内のさまざまな部門への ICMP トラフィックを拒否する場合があります。それぞれの部門は、異なるネットワークに接続されています。これを実行するには、Departmental Network という名前のネットワーク オブジェクトを含むルールを使用して、アクセス コントロール ポリシーを定義します。このオブジェクトのオーバーライドを許可することによって、関連する各デバイスで、デバイスが接続されている実際のネットワークを指定するオーバーライドを作成できます。

マルチドメイン展開では、先祖ドメインのオブジェクトのデフォルト値を定義して、子孫ドメインの管理者がそのオブジェクトのオーバーライド値を追加できるようにすることができます。たとえば、マネージド セキュリティ サービス プロバイダー（MSSP）では、単一の Firepower Management Center を使用して複数の顧客のネットワーク セキュリティを管理する場合があります。この場合、MSSP の管理者は、すべての顧客の導入で使用するオブジェクトをグローバル ドメインに定義できます。各顧客の管理者は子孫ドメインにログインして、それぞれの組織に応じてそのオブジェクトをオーバーライドできます。これらのローカル管理者が MSSP の他の顧客のオーバーライド値を表示したり、影響を与えたりすることはできません。

オブジェクト オーバーライドのターゲットを特定のドメインに絞ることもできます。その場合、ユーザがデバイス レベルで値をオーバーライドしない限り、システムはターゲット ドメインのすべてのデバイスにオブジェクト オーバーライド値を使用します。

オブジェクト マネージャで、オーバーライド可能なオブジェクトを選択し、そのオブジェクトに対するデバイスレベルまたはドメインレベルのオーバーライドのリストを定義できます。

オブジェクト オーバーライドを使用できるオブジェクト タイプは以下に限られます。

• ネットワーク

• [ポート（Port）]

• VLAN タグ

• URL

オブジェクト マネージャでは、オーバーライド可能なオブジェクトのオブジェクト タイプには [オーバーライド（Override）] 列が表示されます。この列の有効な値は以下のとおりです。

• 緑のチェックマーク：このオブジェクトにはオーバーライドを作成できます。オーバーライドはまだ追加されていません。

• 赤の X：このオブジェクトにはオーバーライドを作成できません。

• 数値：このオブジェクトに追加されているオーバーライドの数を表します（たとえば、「2」は 2 つのオーバーライドが追加されていることを意味します）。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

セキュリティ ゾーンは、ネットワークをセグメント化してトラフィック フローを制御し、分類しやすくします。セキュリティ ゾーンは単にインターフェイスをグループ化します。これらのグループは複数のデバイスにまたがることがあります。また、単一のデバイスに複数のゾーンを設定することもできます。

セキュリティ ゾーン 内のすべてのインターフェイスが同じタイプ（すべてインライン、パッシブ、スイッチド、ルーテッド、または ASA FirePOWER）である必要があります。セキュリティ ゾーン を作成した後、それに含まれるインターフェイスのタイプを変更することはできません。インターフェイスは 1 つのゾーンだけに属することができます。

オブジェクト マネージャのセキュリティ ゾーンのページでは、管理対象デバイスで設定されているゾーン の一覧が表示されます。また、このページには、各ゾーン のタイプも表示され、各ゾーン を展開すると、どのデバイスのどのインターフェイスが各ゾーン に属するかを表示できます。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

Firepower システムは、デフォルトではアクセス コントロール ポリシーで使用されるすべての侵入ポリシーにデフォルトの変数セットをリンクします。侵入ポリシーを使用するアクセス コントロール ポリシーを展開すると、その侵入ポリシー内で有効にした侵入ルールでは、リンクされた変数セットの変数値が使用されます。

アクセス コントロール ポリシー内の侵入ポリシーで使用されるカスタム変数セットを変更すると、システムの [アクセス コントロール ポリシー（Access Control Policy）] ページで、そのポリシーのステータスが「失効（out-of-date）」と表示されます。変数セットの変更内容を実装するには、アクセス コントロール ポリシーを再度展開する必要があります。デフォルト セットを変更すると、侵入ポリシーを使用するすべてのアクセス コントロール ポリシーのステータスが「失効（out-of-date）」と表示され、変更内容を実装するにはすべてのアクセス コントロール ポリシーを再度展開する必要があります。

変数は、次のカテゴリのいずれかに属します。

デフォルト変数

Firepower システムから提供される変数。デフォルト変数の名前変更または削除はできません。また、デフォルト値を変更することもできません。ただし、デフォルト変数のカスタマイズしたバージョンを作成できます。

カスタマイズされた変数

作成した変数。この変数には、次の変数があります。

• カスタマイズされたデフォルト変数

  デフォルト変数の値を編集すると、システムはその変数を [デフォルトの変数（Default Variables）] 領域から [カスタマイズされた変数（Customized Variables）] 領域に移動します。デフォルト セットの変数値によってカスタム セットの変数のデフォルト値が決まるため、デフォルト セットのデフォルト変数をカスタマイズすると、他のすべてのセットの変数のデフォルト値が変更されます。

• ユーザ定義変数

  独自の変数を追加および削除したり、異なる変数セット内の値をカスタマイズしたり、カスタマイズされた変数をそのデフォルト値にリセットしたりできます。ユーザ定義変数をリセットすると、それは [カスタマイズされた変数（Customized Variables）] 領域に残ります。

  ユーザ定義変数は、次のいずれかのタイプにできます。

  • ネットワーク変数は、ネットワーク トラフィックのホストの IP アドレスを指定します。

  • ポート 変数は、ネットワーク トラフィックの TCP または UDP ポートを指定するもので、いずれかのタイプを意味する値 any を指定することもできます。

たとえば、カスタム標準テキスト ルールを作成する場合、独自のユーザ定義変数を追加して、トラフィックをより正確に反映したり、ショートカットとしてルール作成プロセスを単純化したりすることもできます。また、「緩衝地帯」（つまり DMZ）でのみトラフィックを検査するルールを作成する場合、公開されているサーバの IP アドレスが値にリストされる $DMZ という変数を作成することもできます。こうして、この地帯で作成された任意のルールで $DMZ 変数を使用できます。

拡張変数

特定の条件下で Firepower システムから提供される変数。この変数が含まれる展開は非常に限定的です。

循環したネストにならない限り、変数をネストすることができます。否定形の変数をネストすることはできません。

ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	オブジェクト タイプのリストから [変数セット（Variable Set）] を選択します。
ステップ 3	編集する変数セットの横にある編集アイコン（）をクリックします。 代わりに表示アイコン（）が表示される場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。
ステップ 4	変数を管理します。 表示：変数の完全な値を表示するには、変数の横の [値（Value）] 列内の値にポインタを重ねます。 追加：変数を追加するには、[追加（Add）] をクリックします。変数の追加を参照してください。 削除：変数の横にある削除アイコン（）をクリックします。変数の追加後に変数セットを保存した場合は、[はい（Yes）] をクリックして、変数の削除を確認します。 次の変数は削除できません。 デフォルトの変数 侵入ルールや別の変数で使用されているユーザ定義変数 先祖ドメインに属している変数 編集：編集する変数の横にある編集アイコン（）をクリックします。変数の編集を参照してください。 リセット：変更した変数をデフォルト値にリセットするには、変更した変数の横にあるリセット アイコン（）をクリックします。リセット アイコンがグレー表示の場合は、次のいずれかが当てはまります。 現在の値がすでにデフォルト値になっている。 設定が先祖ドメインに属している。 ヒント    アクティブなリセット アイコンの上にポインタを移動して、デフォルト値を表示します。
ステップ 5	[保存（Save）] をクリックして、変数セットを保存します。その変数セットがアクセス コントロール ポリシーで使用されている場合は、[はい（Yes）] をクリックして変更を保存することを確認します。 デフォルト セットの現在の値によって他のすべてのセットのデフォルト値が決まるため、デフォルト セットの変数を変更またはリセットすると、デフォルト値がカスタマイズされていない他のセットの現在の値が変更されます。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

カスタムまたはサードパーティのセキュリティ インテリジェンス フィードを使用すると、インターネット上で定期的に更新される他の信頼できるホワイトリストおよびブラックリストによって、システムが提供するインテリジェンス フィードを拡張することができます。内部フィードをセットアップすることもできます。これは、1 つのソース リストを使用して導入環境で複数の Firepower Management Center を更新する場合に役立ちます。

（注）	セキュリティ インテリジェンス フィードでは、/0 ネットマスクを使ってアドレス ブロックをホワイトリスト登録またはブラックリスト登録することはできません。ポリシーですべてのトラフィックをモニタまたはブロックする場合は、[モニタ（Monitor）] または [ブロック（Block）] ルール アクションを含むアクセス コントロール ルールを使用し、デフォルト値 any を [送信元ネットワーク（Source Networks）] および [宛先ネットワーク（Destination Networks）] それぞれに設定します。

フィードを設定する場合は、URL を使用して場所を指定します。この URL は Punycode によりエンコードできません。デフォルトで、システムは設定した間隔でフィード ソース全体をダウンロードし、管理対象デバイスを自動更新します。

md5 チェックサムを使用して、更新フィードをダウンロードするかどうか判断するようにシステムを設定することもできます。システムが最後にフィードをダウンロードした後にチェックサムが変更されていない場合、再ダウンロードする必要はありません。特に内部フィードが大きい場合には、md5 チェックサムを使用することができます。md5 チェックサムは、チェックサムのみを含む単純なテキスト ファイルに保存する必要があります。コメントはサポートされていません。

手動でセキュリティ インテリジェンス フィードを更新すると、インテリジェンス フィードを含め、すべてのフィードが更新されます。

セキュリティ インテリジェンス リストは、IP アドレス、アドレス ブロック、URL、またはドメイン名の単純なスタティック リストで、ユーザがシステムに手動でアップロードします。カスタム リストは、単一の Firepower Management Center の管理対象デバイスで、フィードやグローバル リストの 1 つを増やしたり、微調整したりする場合に役立ちます。

たとえば、信頼できるフィードが重要なリソースへのアクセスを誤ってブロックしているものの、このフィードが全体的に部門にとって有用である場合、IP アドレス フィード オブジェクトをアクセス コントロール ポリシーのブラックリストから削除する代わりに、誤って分類された IP アドレスだけが含まれるカスタム ホワイトリストを作成できます。

（注）	セキュリティ インテリジェンス リストでは、/0 ネットマスクを使ってアドレス ブロックをホワイトリスト登録またはブラックリスト登録することはできません。ポリシーですべてのトラフィックをモニタまたはブロックする場合は、[モニタ（Monitor）] または [ブロック（Block）] ルール アクションを含むアクセス コントロール ルールを使用し、デフォルト値 any を [送信元ネットワーク（Source Networks）] および [宛先ネットワーク（Destination Networks）] それぞれに設定します。

リスト エントリのフォーマットについて、次の点に注意してください。

• アドレス ブロックのネットマスクは、IPv4 および IPv6 の場合、それぞれ 0 から 32、または 0 から 128 までの整数になります。

• ドメイン名に含まれる Unicode は Punycode 形式でエンコードされる必要があります。大文字と小文字は区別されません。

• ドメイン名の文字の大文字と小文字は区別されません。

• URL に含まれる Unicode はパーセントエンコーディング形式でエンコードする必要があります。

• URL サブディレクトリの文字の大文字と小文字は区別されます。

• シャープ記号（#）で始まるリスト エントリは、コメントと見なされます。

リスト エントリの照合について、次の点に注意してください。

• URL または DNS リストにより高位レベルのドメインが存在する場合、システムはそれより低いレベルのドメインを一致とします。たとえば、DNS リストに example.com を追加すると、システムは www.example.com と test.example.com の両方を一致とします。

• システムは DNS または URL リスト エントリに対して DNS ルックアップを（フォワード ルックアップ、リバース ルックアップともに）行いません。たとえば、URL リストに http://192.168.0.2 を追加し、これがルックアップすれば http://www.example.com であったとします。この場合、システムは http://192.168.0.2 のみ一致とし、http://www.example.com は一致となりません。

• URL リストに末尾がスラッシュ（/）記号で終わる URL を追加した場合、そのエントリに一致するのは完全に一致する URL のみとなります。

• URL または DNS リストに末尾にスラッシュ記号のない URL を追加した場合、そのエントリと同じプレフィックスを持つ URL は一致となります。たとえば、URL リストに www.example.com を追加すると、システムは www.example.com と www.example.com/example の両方を一致とします。

SHA-256 値のリストと説明を含むコンマ区切り値（CSV）ソース ファイルをアップロードすることによって、複数の SHA-256 値をファイル リストに追加できます。Firepower Management Center はその内容を検証し、有効な SHA-256 値をファイル リストに入れます。

ソース ファイルは、ファイル名拡張子 .csv の単純なテキスト ファイルである必要があります。見出しはポンド記号（#）で始まる必要があります。これはコメントとして処理され、アップロードされません。各エントリには、1 つの SHA-256 値の後に説明が含まれる必要があり、LF または CR+LF 改行文字で終わる必要があります。システムはエントリ内のこれ以外の情報をすべて無視します。

次の点に注意してください。

• ファイル リストからソース ファイルを削除すると、それに関連付けられているすべての SHA-256 ハッシュもファイル リストから削除されます。

• ソース ファイルのアップロードに成功した結果、10000 個を超える個別の SHA-256 値がファイル リストに含まれる場合は、複数のファイルをファイル リストにアップロードすることはできません。

• システムは、アップロード時に 256 文字を超える説明を最初の 256 文字で切り捨てます。説明にコンマを含める場合は、エスケープ文字（\）を使用する必要があります。説明が含まれていない場合、代わりにソース ファイル名が使用されます。

• 重複しないすべての SHA-256 値がこのファイル リストに追加されます。すでにファイル リストに存在する SHA-256 値を含むソース ファイルをアップロードした場合、新しくアップロードされた値によって既存の SHA‑-256 値が変更されることはありません。SHA-256 値に関連するキャプチャ済みファイル、ファイル イベント、またはマルウェア イベントを表示するとき、個々の SHA-256 値から脅威名または説明が得られます。

• システムはソース ファイル内の無効な SHA-256 値をアップロードしません。

• アップロードされた複数のソース ファイル内に同じ SHA‑-256 値に関するエントリが含まれる場合、システムは最も新しい値を使用します。

• 1 つのソース ファイル内に同じ SHA-256 値のエントリが複数含まれる場合、システムは最後のものを使用します。

• オブジェクト マネージャ内でソース ファイルを直接編集することはできません。変更を行うには、最初にソース ファイルを直接変更し、システム上のコピーを削除した後、変更済みソース ファイルをアップロードする必要があります。

• ソース ファイルに関連付けられたエントリ数とは、個別の SHA-256 値の数です。ファイル リストからソース ファイルを削除すると、ファイル リストに含まれる SHA-256 エントリの合計数は、ソース ファイル内の有効なエントリ数だけ減少します。

ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	オブジェクト タイプのリストから [ファイル リスト（File List）] を選択します。
ステップ 3	ファイルの追加場所となるクリーン リストまたはカスタム検出リストの横の編集アイコン（）をクリックします。 代わりに表示アイコン（）が表示される場合、オブジェクトは先祖ドメインに属しており、オブジェクトを変更する権限がありません。
ステップ 4	[追加元（Add by）] ドロップダウンリストから [SHA 値の入力（Enter SHA Value）] を選択します。
ステップ 5	[説明（Description）] フィールドにソース ファイルの説明を入力します。
ステップ 6	[SHA-256] フィールドにファイル全体の値を入力し、または貼り付けます。システムでは値の部分的な一致はサポートされません。
ステップ 7	[追加（Add）] をクリックします。
ステップ 8	[保存（Save）] をクリックします。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

（注）	設定の変更が展開されたら、システムはそのリストのファイルについて AMP クラウドに問い合わせなくなります。

ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	オブジェクト タイプのリストから [ファイル リスト（File List）] を選択します。
ステップ 3	ファイルの追加場所となるクリーン リストまたはカスタム検出リストの横の編集アイコン（）をクリックします。 代わりに表示アイコン（）が表示される場合、オブジェクトは先祖ドメインに属しており、オブジェクトを変更する権限がありません。
ステップ 4	[追加（Add by）] ドロップダウン リストから、[SHA の計算（Calculate SHA）] を選択します。
ステップ 5	オプションで、[説明（Description）] フィールドにファイルの説明を入力します。説明を入力しない場合、アップロード時にファイル名が説明として使用されます。
ステップ 6	[参照（Browse）] をクリックし、アップロードするファイルを選択します。
ステップ 7	[SHA の計算と追加（Calculate and Add SHA）] をクリックします。
ステップ 8	[保存（Save）] をクリックします。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

（注）	設定の変更を導入すると、その後システムはそのリストのファイルを AMP クラウドでクエリしなくなります。

ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	[ファイル リスト（File List）] をクリックします。
ステップ 3	ソース ファイルからの値の追加先となるファイル リストの横にある編集アイコン（）をクリックします。 代わりに表示アイコン（）が表示される場合、オブジェクトは先祖ドメインに属しており、オブジェクトを変更する権限がありません。
ステップ 4	[追加方法（Add by）] ドロップダウン リストで [SHA のリスト（List of SHAs）] を選択します。
ステップ 5	オプションで、[説明（Description）] フィールドにソース ファイルの説明を入力します。説明を入力しない場合、システムはファイル名を使用します。
ステップ 6	[参照（Browse）] をクリックしてソース ファイルを参照してから、[リストのアップロードと追加（Upload and Add List）] をクリックします。
ステップ 7	[保存（Save）] をクリックします。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

（注）	ポリシーを展開したら、システムはそのリストのファイルについて AMP クラウドに問い合わせなくなります。

ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	[ファイル リスト（File List）] をクリックします。
ステップ 3	ファイルの変更対象となるクリーン リストまたはカスタム検出リストの横の編集アイコン（）をクリックします。 代わりに表示アイコン（）が表示される場合、オブジェクトは先祖ドメインに属しており、オブジェクトを変更する権限がありません。
ステップ 4	次の操作を実行できます。 変更する SHA-256 値の横にある編集アイコン（）をクリックし、必要に応じて [SHA-256] または [説明（Description）] の値を変更します。 削除する SHA-256 値の横にある削除アイコン（）をクリックします。
ステップ 5	[保存（Save）] をクリックし、リストのファイル エントリを更新します。
ステップ 6	[保存（Save）] をクリックして、ファイル リストを保存します。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

（注）	設定の変更が展開されたら、システムはそのリストのファイルについて AMP クラウドに問い合わせなくなります。

ステップ 1	[オブジェクト（Objects）] > [オブジェクト管理（Object Management）]を選択します。
ステップ 2	オブジェクト タイプのリストから [暗号スイート リスト（Cipher Suite List）] を選択します。
ステップ 3	[暗号スイートの追加（Add Cipher Suites）] をクリックします。
ステップ 4	名前を入力します。 マルチドメイン展開では、オブジェクト名をドメイン階層内で一意にする必要があります。システムは、現在のドメインでは表示できないオブジェクトの名前との競合を特定することができます。
ステップ 5	[使用可能な暗号（Available Ciphers）] リストから、1 つ以上の暗号スイートを選択します。
ステップ 6	[追加（Add）] をクリックします。
ステップ 7	オプションで、[選択された暗号（Selected Ciphers）] リストで、削除する暗号スイートの隣にある削除アイコン（）をクリックします。
ステップ 8	[保存（Save）] をクリックします。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

• アクティブなポリシーがオブジェクトを参照する場合は、設定の変更を展開します（設定変更の導入 を参照）。

設定されたそれぞれの内部認証局（CA）オブジェクトは、組織で制御される CA の CA 公開鍵証明書を表します。このオブジェクトは、オブジェクト名、CA 証明書、およびペアになった秘密鍵からなります。SSL ルールで内部 CA オブジェクトとグループを使用すると、内部 CA によってサーバ証明書に再署名することにより、発信する暗号化トラフィックを復号できます。

（注）	[復号 - 再署名（Decrypt - Resign）] SSL ルールで内部 CA オブジェクトを参照する場合、ルールが暗号化セッションに一致すると、SSL ハンドシェイクのネゴシエート中は証明書を信頼できないという警告がユーザのブラウザに表示されることがあります。これを回避するには、信頼できるルート証明書のクライアントまたはドメイン リストに内部 CA オブジェクト証明書を追加します。

次の方法で内部 CA オブジェクトを作成できます。

• RSA ベースまたは楕円曲線ベースの既存の CA 証明書と秘密キーをインポートする

• 新しい RSA ベースの自己署名 CA 証明書と秘密キーを生成する

• RSA ベースの未署名の CA 証明書と秘密キーを生成する内部 CA オブジェクトを使用する前に、証明書に署名するために証明書署名要求（CSR）を別の CA に送信する必要があります。

署名付き証明書を含む内部 CA オブジェクトを作成した後で、CA 証明書と秘密鍵をダウンロードできるようになります。システムは、ダウンロードされた証明書と秘密キーをユーザ提供のパスワードで暗号化します。

システムで生成された場合でも、ユーザによって作成された場合でも、内部 CA オブジェクトの名前は変更できますが、他のオブジェクト プロパティは変更できません。

使用中の内部 CA オブジェクトは削除できません。さらに、SSL ポリシーで使用される内部 CA オブジェクトを編集すると、関連するアクセス コントロール ポリシーが失効します。変更を反映させるには、アクセス コントロール ポリシーを再度展開する必要があります。

設定した信頼できる認証局（CA）オブジェクトは、それぞれ信頼できる CA に属する CA 公開鍵証明書を表します。このオブジェクトは、オブジェクト名と CA 公開鍵証明書からなります。次のものに設定された外部 CA オブジェクトとグループを使用できます。

• 信頼できる CA、または信頼チェーン内のいずれかの CA によって署名された証明書で暗号化されたトラフィックを制御するための SSL ポリシー。

• LDAP または AD サーバへのセキュアな接続を確立するためのレルムの設定。

• ISE 接続。[pxGrid サーバ CA（pxGrid Server CA）] フィールドと [MNT サーバ CA（MNT Server CA）] フィールドで信頼できる認証局オブジェクトを選択します。

信頼できる CA オブジェクトを作成した後で、その名前を変更したり、証明書失効リスト（CRL）を追加したりすることはできますが、他のオブジェクト プロパティを変更することはできません。オブジェクトに追加できる CRL の数には制限がありません。オブジェクトにアップロード済みの CRL を変更するには、オブジェクトをいったん削除して再作成する必要があります。

（注）	オブジェクトに CRL を追加しても、ISE の統合設定でオブジェクト使用する際に影響はありません。

使用中の信頼できる CA オブジェクトを削除することはできません。また、使用中の信頼できる CA オブジェクトを編集すると、関連付けられているアクセス コントロール ポリシーが最新ではなくなります。変更を反映させるには、アクセス コントロール ポリシーを再度展開する必要があります。

設定済みのそれぞれの外部証明書オブジェクトは、組織に属さないサーバ公開鍵証明書を表します。このオブジェクトは、オブジェクト名と証明書からなります。SSL ルールで外部証明書オブジェクトとグループを使用すると、サーバ証明書で暗号化されたトラフィックを制御できます。たとえば、信頼できる自己署名サーバ証明書をアップロードできますが、信頼できる CA 証明書を使って検証することはできません。

X.509 v3 サーバ証明書をアップロードすることによって、外部証明書オブジェクトを設定できます。サポートされている次のいずれかの形式のファイルをアップロードできます。

適切なサーバ証明書情報を含んでいるファイルだけをアップロードできます。システムはオブジェクトを保存する前にファイルを検証します。証明書が PEM 形式でエンコードされている場合は、情報をコピーして貼り付けることもできます。

設定済みのそれぞれの内部証明書オブジェクトは、組織に属するサーバ公開鍵証明書を表します。このオブジェクトは、オブジェクト名、公開鍵証明書、およびペアになった秘密鍵からなります。内部証明書オブジェクトとグループは、以下で使用することができます。

• SSL ルール。既知の秘密キーを使用する組織のサーバの 1 つに着信するトラフィックを復号します。

• ISE 接続。[MC サーバ証明書（MC Server Certificate）] フィールド用の内部証明書オブジェクトを選択します。

• キャプティブ ポータル設定。ユーザの Web ブラウザに接続する際にキャプティブ ポータル デバイスのアイデンティティを認証するように設定します。[サーバ証明書（Server Certificate）] フィールド用の内部証明書オブジェクトを選択します。

X.509 v3 RSA ベースまたは楕円曲線ベースのサーバ証明書およびペアの秘密キーをアップロードすることにより、内部証明書オブジェクトを設定できます。サポートされている次のいずれかの形式のファイルをアップロードできます。

• 識別符号化規則（DER）

• プライバシー強化電子メール（PEM）

ファイルがパスワード保護されている場合は、復号パスワードを提供する必要があります。証明書とキーが PEM 形式でエンコードされている場合は、情報をコピーして貼り付けることもできます。

適切な証明書またはキーの情報を含んでいる、相互にペアになっているファイルのみをアップロードできます。システムはオブジェクトを保存する前にペアを検証します。

内部証明書オブジェクトを作成した後、その名前を変更することはできますが、他のオブジェクト プロパティを変更することはできません。

使用中の内部証明書オブジェクトは削除できません。さらに、使用中の内部証明書オブジェクトを編集すると、関連するアクセス コントロール ポリシーが失効します。変更を反映させるには、アクセス コントロール ポリシーを再度展開する必要があります。