[システム（System）] > [ユーザ（Users）]を選択します。

[ユーザの作成（Create User）] をクリックします。

[ユーザ名（User Name）] に入力します。

LDAP または RADIUS によりログインしたときに自動的に追加されたユーザに対しては、[外部認証方式の使用（Use External Authentication Method）] チェックボックスがオンになっています。外部ユーザを事前設定する必要はないので、このフィールドは無視できます。外部ユーザについては、このチェックボックスをオフにすることで、そのユーザを内部ユーザに戻すことができます。

[パスワード（Password）] および [パスワードの確認（Confirm Password）] フィールドに値を入力します。

[ログイン失敗の最大回数（Maximum Number of Failed Logins）] を設定します。

[パスワードの最小長（Minimum Password Length）] を設定します。

[パスワードの有効期限までの日数（Days Until Password Expiration）] を設定します。

[パスワードの有効期限を事前に警告する日数（Days Before Password Expiration Warning）] を設定します。

ユーザの [オプション（Options）] を設定します。

（7000 または 8000 シリーズ）CLI ユーザ ロールの説明に従い、適切なレベルの [コマンドラインインターフェイスアクセス（Command-Line Interface Access）] を割り当てます。

[ユーザロールの設定（User Role Configuration）] エリアで、ユーザ ロールを割り当てます。ユーザ ロールの詳細については、Web インターフェイス用のユーザ ロールのカスタマイズを参照してください。

[保存（Save）] をクリックします。

設定権限を持つアカウントを使用してデバイス CLI にログインします。

ユーザ アカウントを作成します。

> configure user add johncrichton config
Enter new password for user johncrichton: newpassword
Confirm new password for user johncrichton: newpassword
> show user
Login              UID   Auth Access  Enabled Reset    Exp Warn  Str Lock Max
admin             1000  Local Config  Enabled    No  Never  N/A  Dis   No N/A
johncrichton      1001  Local Config  Enabled    No  Never  N/A  Dis   No   5

（任意） セキュリティ要件を満たすようにアカウントの性質を調整します。

必要に応じてユーザ アカウントを管理します。

[システム（System）] > [ユーザ（Users）]を選択します。

[外部認証（External Authentication）] タブをクリックします。

[外部認証オブジェクトの追加（Add External Authentication Object）] をクリックします。

[認証方式（Authentication Method）] を [LDAP] に設定します。

（任意） CAC 認証および認可にこの認証オブジェクトを使用する予定の場合は、[CAC] チェックボックスをオンにします。

[名前（Name）] とオプションの [説明（Description）] を入力します。

ドロップダウン リストから [サーバタイプ（Server Type）] を選択します。

[プライマリサーバ（Primary Server）] の場合は、[ホスト名/IPアドレス（Host Name/IP Address）] を入力します。

（任意） [ポート（Port）] をデフォルトから変更します。

（任意） [バックアップサーバ（Backup Server）] パラメータを入力します。

[LDAP固有のパラメータ（LDAP-Specific Parameters）] を入力します。

1. ユーザがアクセスする LDAP ディレクトリの [ベースDN（Base DN）] を入力します。たとえば、Example 社のセキュリティ（Security）部門の名前を認証するには、ou=security,dc=example,dc=com と入力します。または、[DNの取得（Fetch DNs）] をクリックし、ドロップダウン リストから適切なベース識別名を選択します。

2. （任意） [基本フィルタ（Base Filter）] を入力します。たとえば、ディレクトリ ツリー内のユーザ オブジェクトに physicalDeliveryOfficeName 属性が設定されており、New York 支店のユーザに対しこの属性に値 NewYork が設定されている場合、New York 支店のユーザだけを取得するには、(physicalDeliveryOfficeName=NewYork) と入力します。

3. LDAP サーバを参照するために十分なクレデンシャルを持つユーザの [ユーザ名（User Name）] を入力します。たとえば、ユーザ オブジェクトに uid 属性が含まれている OpenLDAP サーバに接続し、Example 社のセキュリティ（Security）部門の管理者のオブジェクトの uid に値 NetworkAdmin が設定されている場合は、uid=NetworkAdmin,ou=security,dc=example,dc=com と入力します。

4. [パスワード（Password）] および [パスワードの確認（Confirm Password）] フィールドにユーザ パスワードを入力します。

5. （任意） [詳細オプションを表示（Show Advanced Options）] をクリックして、次の詳細オプションを設定します。

   • [暗号化（Encryption）]：[なし（None）]、[TLS]、 または[SSL] をクリックします。

     ポートを指定した後で暗号化方式を変更すると、ポートがその方式のデフォルト値にリセットされます。[なし（None）] または [TLS] の場合、ポートはデフォルト値の 389 にリセットされます。[SSL] 暗号化を選択した場合、ポートは 636 にリセットされます。

   • [SSL証明書アップロードパス（SSL Certificate Upload Path）]：SSL または TLS 暗号化の場合は、[ファイルの選択（Choose File）] をクリックして証明書を選択する必要があります。

     以前にアップロードした証明書を置き換えるには、新しい証明書をアップロードし、設定をデバイスに再展開して、新しい証明書を上書きコピーします。

   • [ユーザ名テンプレート（User Name Template）]：[UIアクセス属性（UI Access Attribute）] に対応するテンプレートを入力します。たとえば、UI アクセス属性が uid である OpenLDAP サーバに接続し、Example 社のセキュリティ（Security）部門で働くすべてのユーザを認証するには、[ユーザ名テンプレート（User Name Template）] フィールドに uid=%s,ou=security,dc=example,dc=com と入力します。Microsoft Active Directory Server の場合は %s@security.example.com と入力します。

     CAC 認証では、このフィールドは必須です。

   • [タイムアウト（Timeout）]：バックアップ接続にロールオーバーするまでの秒数を入力します。デフォルトは 30 です。

（任意） [属性照合（Attribute Matching）] を設定して、属性に基づいてユーザを取得します。

（任意） [グループ制御アクセスロール（Group Controlled Access Roles）] を設定します。

1. （任意） ユーザ ロールに対応するフィールドに、これらのロールに割り当てる必要があるユーザを含む LDAP グループの識別名を入力します。

   参照するグループはすべて LDAP サーバに存在している必要があります。スタティック LDAP グループまたはダイナミック LDAP グループを参照できます。スタティック LDAP グループとは、特定のユーザを指し示すグループ オブジェクト属性によってメンバーシップが決定されるグループであり、ダイナミック LDAP グループとは、ユーザ オブジェクト属性に基づいてグループ ユーザを取得する LDAP 検索を作成することでメンバーシップが決定されるグループです。ロールのグループ アクセス権は、グループのメンバーであるユーザにのみ影響します。

   ダイナミック グループを使用する場合、LDAP クエリは、LDAP サーバで設定されているとおりに使用されます。この理由から、検索構文エラーが原因で無限ループが発生することを防ぐため、FirePOWER デバイスでは検索の再帰回数が 4 回に制限されています。

   例:

   Example 社の情報テクノロジー（Information Technology）部門の名前を認証するには、[管理者（Administrator）] フィールドに次のように入力します。

   
   cn=itgroup,ou=groups, dc=example,dc=com
   
   

2. 指定したグループのいずれにも属していないユーザの [デフォルトユーザロール（Default User Role）] を選択します。

3. スタティック グループを使用する場合は、[グループ メンバー属性（Group Member Attribute）] を入力します。

   例:

   デフォルトの Security Analyst アクセスのためのスタティック グループのメンバーシップを示すために member 属性を使用する場合は、member と入力します。

4. ダイナミック グループを使用する場合は、[グループ メンバー URL 属性（Group Member URL Attribute）] を入力します。

   例:

   デフォルトの管理者アクセスに対して指定したダイナミック グループのメンバーを取得する LDAP 検索が memberURL 属性に含まれている場合は、memberURL と入力します。

（任意） CLI/シェル ユーザを許可するように [シェルアクセスフィルタ（Shell Access Filter）] を設定します。

（任意） LDAP サーバへの接続をテストするには、[テスト（Test）] をクリックします。

（任意） [追加のテストパラメータ（Additional Test Parameters）] を入力して、認証できるようにするユーザのユーザ クレデンシャルをテストすることもできます。[ユーザ名（User Name）] uid と [パスワード（Password）] を入力してから、[テスト（Test）] をクリックします。

[保存（Save）] をクリックします。

このサーバの使用を有効にします。

LDAP サーバで後からユーザを追加または削除する場合は、ユーザ リストを更新し、管理対象デバイスのプラットフォーム設定を再展開する必要があります。Firepower Management Center では、この手順は必要ありません。

1. 各 LDAP サーバの横にある更新アイコン（）をクリックします。

   ユーザ リストが変更された場合は、デバイスの設定変更を展開するように促すメッセージが表示されます。

2. 7000 および 8000 シリーズ デバイスの場合は、プラットフォーム設定を少し変更して、設定が古いとマークされるようにします。LDAP シェル ユーザ リストの更新のために、7000 および 8000 シリーズ のプラットフォーム設定が自動的に古いとマークされることはありません。

   Firepower Threat Defense のプラットフォーム設定は自動的に古いとマークされるため、この回避策を実行する必要はありません。

3. 設定変更を展開します。設定変更の展開を参照してください。

[システム（System）] > [ユーザ（Users）]を選択します。

[外部認証（External Authentication）] タブをクリックします。

[外部認証オブジェクトの追加（Add External Authentication Object）] をクリックします。

[認証方式（Authentication Method）] を [RADIUS] に設定します。

[名前（Name）] とオプションの [説明（Description）] を入力します。

[プライマリサーバ（Primary Server）] の場合は、[ホスト名/IPアドレス（Host Name/IP Address）] を入力します。

（任意） [ポート（Port）] をデフォルトから変更します。

[RADIUS秘密キー（RADIUS Secret Key）] を入力します。

（任意） [バックアップサーバ（Backup Server）] パラメータを入力します。

（任意） [RADIUS固有のパラメータ（RADIUS-Specific Parameters）] を入力します。

1. プライマリ サーバを再試行するまでの [タイムアウト（Timeout）] を秒単位で入力します。デフォルトは 30 です。

2. バックアップ サーバにロールオーバーするまでの [再試行（Retries）] を入力します。デフォルトは 3 です。

3. ユーザ ロールに対応するフィールドに、各ユーザの名前を入力するか、またはこれらのロールに割り当てる必要がある属性と値のペアを指定します。

   ユーザ名と属性と値のペアは、カンマで区切ります。

   例:

   セキュリティ アナリストとする必要があるすべてのユーザの User-Category 属性の値が Analyst である場合、これらのユーザにそのロールを付与するには、[セキュリティアナリスト（Security Analyst）] フィールドに User-Category=Analyst と入力します。

   例:

   ユーザ jsmith と jdoe に管理者ロールを付与する場合は、[管理者（Administrator）] フィールドに jsmith, jdoe と入力します。

   例:

   User-Category の値が Maintenance であるすべてのユーザにメンテナンス ユーザ ロールを付与するには、[メンテナンスユーザ（Maintenance User）] フィールドに User-Category=Maintenance と入力します。

4. 指定したグループのいずれにも属していないユーザの [デフォルトユーザロール（Default User Role）] を選択します。

（任意） [カスタムRADIUS属性を定義する（Define Custom RADIUS Attributes）]。

1. [属性名（Attribute Name）] を入力します。

   属性を定義する場合は、英数字からなる属性名を指定します。属性名の中の単語を区切るには、スペースではなくダッシュを使用することに注意してください。

2. [属性ID（Attribute ID）] を整数で入力します。

   属性 ID は整数にする必要があり、etc/radiusclient/dictionary ファイルの既存の属性 ID と競合していてはなりません。

3. ドロップダウン リストから [属性タイプ（Attribute Type）] を選択します。

   属性のタイプ（文字列、IP アドレス、整数、または日付）も指定します。

4. [追加（Add）] をクリックして、カスタム属性を追加します。

（任意） [シェルアクセスフィルタ（Shell Access Filter）] エリアの [管理者シェルアクセスユーザリスト（Administrator Shell Access User List）] フィールドに、シェル アクセスを付与する必要があるユーザ名をコンマで区切って入力します。

（任意） LDAP サーバへの接続をテストするには、[テスト（Test）] をクリックします。

（任意） [追加のテストパラメータ（Additional Test Parameters）] を入力して、認証できるようにするユーザのユーザ クレデンシャルをテストすることもできます。[ユーザ名（User Name）] と [パスワード（Password）] を入力してから、[テスト（Test）] をクリックします。

[保存（Save）] をクリックします。

このサーバの使用を有効にします。

[システム（System）] > [ユーザ（Users）]を選択します。

[外部認証（External Authentication）] タブをクリックします。

外部 Web インターフェイスのユーザにデフォルトのユーザ ロールを設定します。

1. [デフォルトのユーザ（Default User）] の値（デフォルトでは、[なし（None）]）をクリックします。

1. [デフォルトのユーザロール設定（Default User Role Configuration）] ダイアログ ボックスで、使用するロールをオンにします。

2. [保存（Save）] をクリックします。

使用する外部認証オブジェクトそれぞれの横にある スライダ（） をクリックします。複数のオブジェクトを有効にすると、ユーザは指定された順序でサーバと照合されます。サーバの順序を変更する場合は、次の手順を参照してください。

（任意） 認証要求が行われたときに認証サーバがアクセスされる順序を、サーバをドラッグ アンド ドロップして変更できます。

外部ユーザにシェル アクセスを許可する場合は、[シェル認証（Shell Authentication）] > [有効（Enabled）] を選択します。

[Save and Apply] をクリックします。

組織の指示に従い CAC を挿入します。

ブラウザで https://ipaddress_or_hostname/ に移動します。ここで、ipaddress または hostname は使用しているデバイスに対応します。

プロンプトが表示されたら、ステップ 1 で挿入した CAC に関連付けられた PIN を入力します。

プロンプトが表示されたら、ドロップダウン リストから該当する証明書を選択します。

ログイン ページで、[ユーザ名（Username）] フィールドと [パスワード（Password）] フィールドに、管理者権限を持つユーザとしてログインします。CAC クレデンシャルを使用してログインすることは、まだできません。

[システム（System）] > [ユーザ（Users）] > [外部認証（External Authentication）] を選択します。

LDAP 外部認証オブジェクトの追加の手順に従い、CAC 専用の LDAP 認証オブジェクトを作成します。次の設定を行う必要があります。

[保存（Save）] をクリックします。

従来型デバイスでの外部認証の有効化またはFirepower Management Center でのユーザの外部認証の有効化の説明に従って、外部認証と CAC 認証を有効にします。

[システム（System）] > [設定（Configuration）] を選択し、[HTTPS証明書（HTTPS Certificate）] をクリックします。

HTTPS サーバ証明書をインポートし、必要に応じて HTTPS サーバ証明書のインポート で説明する手順に従います。

[HTTPS ユーザ証明書設定（HTTPS User Certificate Settings）] の [ユーザ証明書を有効にする（Enable User Certificates）] を選択します。詳細については、有効な HTTPS クライアント証明書の強制を参照してください。

CAC クレデンシャルを使用した 7000 または 8000 シリーズ デバイスへのログインまたはCAC クレデンシャルを使用した Firepower Management Center へのログインに従い、デバイスにログインします。

[システム（System）] > [ユーザ（Users）]を選択します。

[ユーザロール（User Roles）] タブをクリックします。

次のいずれかの方法で新しいユーザ ロールを追加します。

新しいユーザ ロールの [名前（Name）] を入力します。ユーザ ロール名では、大文字と小文字が区別されます。

（任意） [説明（Description）] を追加します。

新しいロールの [メニューベースのアクセス許可（Menu-Based Permissions）] を選択します。

（任意） 新しいロールのデータベース アクセス権限を設定するには、[外部データベース アクセス（External Database Access）] チェックボックスをオンにします。

（任意） 新しいユーザ ロールのエスカレーション権限を設定するには、ユーザ ロール エスカレーションの有効化を参照してください。

[保存（Save）] をクリックします。

[システム（System）] > [ユーザ（Users）]を選択します。

[ユーザロール（User Roles）] タブをクリックします。

アクティブまたは非アクティブにするユーザ ロールの横にあるスライダをクリックします。

エスカレーション ターゲット ロールの設定.エスカレーション ターゲット ロールにすることができるユーザ ロールは一度に 1 つだけです。

エスカレーション用のカスタム ユーザ ロールの設定.

（ログイン後のユーザの場合）ユーザ ロールのエスカレーション