TS エージェントによるユーザーの制御

次のトピックでは、TS エージェントによりユーザー認識とユーザー制御を実行する方法について説明します。

ターミナル サービス（TS）エージェントのアイデンティティ ソース

TS エージェントはパッシブ認証方式で、Firepower システムでサポートされる権限のあるアイデンティティ ソースの 1 つです。Windows Terminal Server が認証を実行し、TS エージェントがスタンドアロンまたはハイ アベイラビリティの Firepower Management Center にその認証の実行を報告します。

TS エージェントは、Windows Terminal Server にインストールされると、個々のユーザーがモニター対象ネットワークにログインまたはログアウトする際にそのユーザーに固有のポート範囲を割り当てます。Firepower Management Center では、この固有のポートを使用して Firepower システムの個々のユーザーを識別します。1 つの TS エージェントを使用して、1 つの Windows Terminal Server 上のユーザ アクティビティをモニタし、暗号化データを Firepower Management Center に送信できます。

TS エージェントは失敗したログイン試行を報告しません。TS エージェントから取得されたデータは、ユーザー認識とユーザー制御に使用できます。

動画 TS エージェントのセットアップに関する YouTube 動画。

TS エージェントのガイドライン

TS エージェントには段階的な設定が必要で、次のものがあります。

  1. TS エージェントがインストールおよび設定された Windows Terminal Server。

  2. サーバがモニタするユーザを対象とする 1 つ以上のアイデンティティ レルム。

TS エージェントは、Microsoft Windows Terminal Server にインストールします。段階的な TS エージェントのインストールと設定、およびサーバと Firepower システムの要件の詳細については、『Cisco Terminal Services (TS) Agent Guide』を参照してください。

TS エージェントのデータは [ユーザー（Users）] テーブル、[ユーザー アクティビティ（User Activity）] テーブル、および [接続イベント（Connection Event）] テーブルに表示され、ユーザー認識とユーザー制御に使用できます。


（注）  

TS エージェントが別のパッシブ認証のアイデンティティソース（ユーザーエージェントまたは ISE/ISE-PIC）と同じユーザーをモニターする場合、Firepower Management Center では TS エージェントのデータを優先します。TS エージェントと別のパッシブのアイデンティティ ソースが同じ IP アドレスでアクティビティを報告した場合、TS エージェントのデータだけが Firepower Management Center に記録されます。

TS エージェントのユーザー制御の構成

TS エージェントをユーザ認識およびユーザ制御のアイデンティティ ソースとして使用するには、『Cisco Terminal Services (TS) Agent Guide』の説明に従って TS エージェント ソフトウェアをインストールして構成してください。

次に行う作業：

  • アイデンティティ ポリシーの作成の説明に従って、制御するユーザーおよび他のオプションを、アイデンティティ ポリシーを使って指定します。

  • アクセス制御への他のポリシーの関連付けの説明に従って、アイデンティティ ルールをアクセス コントロール ポリシーに関連付けます。このポリシーは、トラフィックをフィルタし、オプションで検査します。

  • 設定変更の展開の説明に従って、使用するアイデンティティ ポリシーとアクセス コントロール ポリシーを管理対象デバイスに展開します。

  • ワークフローの使用の説明に従って、ユーザー アクティビティをモニターします。

TS エージェント アイデンティティ ソースのトラブルシューティング

関連の他のトラブルシューティングについては、レルムとユーザーのダウンロードのトラブルシュートおよびユーザー制御のトラブルシューティングを参照してください。

TS エージェントと Firepower システムの統合に問題が起こった場合は、次のことを確認してください。

  • TS エージェントサーバーと Firepower Management Center の時計を同期させる必要があります。

  • TS エージェントが別のパッシブ認証のアイデンティティソース（ユーザーエージェントまたは ISE）と同じユーザーをモニターする場合、Firepower Management Center では TS エージェントのデータを優先します。TS エージェントとパッシブ ID ソースが同じ IP アドレスによるアクティビティを報告した場合は、TS エージェントのデータのみが Firepower Management Center に記録されます。

  • Active FTP sessions are displayed as the Unknown user in events. これは正常な処理です。アクティブ FTP では、（クライアントではない）サーバーが接続を開始し、FTP サーバーには関連付けられているユーザー名がないはずだからです。アクティブ FTP の詳細については、RFC 959 を参照してください。

トラブルシューティングのすべての情報は、『Cisco Terminal Services (TS) Agent Configuration Guide』を参照してください。

TS エージェントの履歴

機能

バージョン

詳細

ユーザ制御用の TS エージェント。

6.2.0

導入された機能。FirePOWER が、Citrix の仮想デスクトップ インフラストラクチャ（VDI）などの共有環境で個々のユーザをより正確に識別して、ファイアウォールにユーザ ベースのポリシー ルールを正確に適用できるようになりました。ユーザは使用されるポートによって識別されます。

TS エージェント ソフトウェアは、Firepower Management Center とは独立して更新されます。詳細については、以下を参照してください。