キャプティブ ポータル ユーザーの認証に Kerberos を使用している場合は、次の点に注意してください。

ホスト名の文字の制限

Kerberos 認証を使用している場合、管理対象デバイスのホスト名は 15 文字未満にする必要があります（Windows で設定されている NetBIOS の制限）。そのようにしないと、キャプティブポータル認証が失敗します。管理対象デバイスのホスト名は、デバイスのセットアップ時に設定します。詳細については、Microsoft のマニュアルサイト「Naming conventions in Active Directory for computers, domains, sites, and OUs」で、次のような記事を参照してください。

DNS 応答の文字の制限

DNS はホスト名に対して 512 バイト以下の応答を返す必要があります。それ以外の場合、AD 接続のテストは失敗します。この制限は両方向に適用され、RFC 6891 セクション 6.2.5 で説明されています。

次のフィールドを使用してレルムを設定します。

レルムの設定（Realm Configuration）フィールド

これらの設定は、レルム内のすべての Active Directory サーバまたはドメイン コントローラ（別名ディレクトリ）に適用されます。

[名前（Name）]

レルムの一意の名前。

• アイデンティティ ポリシーにレルムを使用する場合、英数字や特殊文字に対応しています。

• RA VPN 設定でレルムを使用する場合は、英数字、ハイフン（-）、下線（_）、プラス（+）に対応しています。

説明

（オプション）レルムの説明を入力します。

タイプ

レルムのタイプで、Microsoft Active Directory 用の AD またはその他のサポートされている LDAP リポジトリ用の LDAP、または Local です。サポートされている LDAP リポジトリの一覧については、レルムがサポートされているサーバーを参照してください。LDAP リポジトリを使用してキャプティブ ポータル ユーザーを認証できます。他はすべて Active Directory が必要です。

（注）	キャプティブ ポータルのみ、LDAP レルムをサポートします。

AD プライマリ ドメイン（AD Primary Domain）

Microsoft Active Directory レルム専用です。ユーザー認証が必要となる Active Directory サーバーのドメインです。

（注）

すべての Microsoft Active Directory（AD）レルムに固有の [ADプライマリドメイン（AD Primary Domain）] を指定する必要があります。異なる AD レルムに同じ [ADプライマリドメイン（AD Primary Domain）] を指定することはできますが、システムが適切に機能しなくなります。これは、システムにより各レルム内のすべてのユーザーとグループに 1 つの固有 ID が割り当てられるためです。そのため、システムは特定のユーザまたはグループを明確に識別することができません。ユーザーとグループが適切に識別されないため、同じ [ADプライマリドメイン（AD Primary Domain）] を使用して複数のレルムを指定することはできません。これは、システムが一意の ID を各レルムのすべてのユーザーとグループに割り当てるために発生します。そのため、システムは特定のユーザーまたはグループを明確に識別できません。

AD 参加ユーザー名（AD Join Username）、AD 参加パスワード（AD Join Password）

Kerberos キャプティブ ポータル アクティブ認証を目的とした Microsoft Active Directory レルムでは、Active Directory ドメインでドメイン コンピュータ アカウントを作成するための適切な権限を持つ Active Directory ユーザーの識別用のユーザー名とパスワード。

次の点を考慮してください。

• DNS は、ドメイン名を Active Directory ドメイン コントローラの IP アドレスに解決できる必要があります。

• 指定するユーザは、コンピュータを Active Directory ドメインに参加させることができる必要があります。

• ユーザー名は完全修飾名である必要があります（たとえば、administrator ではなく administrator@mydomain.com を使用します）。

アイデンティティ ルールの [認証プロトコル（Authentication Protocol）] に Kerberos を選択する場合（または Kerberos をオプションとして HTTP Negotiate を選択する場合）、Kerberos キャプティブ ポータル アクティブ認証を実行するには、[アクティブディレクトリ参加ユーザー名（AD Join Username）] と [アクティブディレクトリ参加パスワード（AD Join Password）] を使用して、選択した [レルム（Realm）] を設定する必要があります。

（注）	SHA-1 ハッシュアルゴリズムでは Active Directory サーバーにパスワードが保存されて安全ではないため、使用しないでください。詳細については、Open Web Application Security Project の Web サイトにある「Migrating your Certification Authority Hashing Algorithm from SHA1 to SHA2 on Microsoft TechNet」や「Password Storage Cheat Sheet」などの参考資料を参照してください。

[ディレクトリ ユーザー名（Directory Username）] と [ディレクトリ パスワード（Directory Password）]

取得するユーザ情報に適切なアクセス権を持っているユーザの識別用のユーザ名とパスワード。

次の点に注意してください。

• Microsoft Active Directory では、ユーザに昇格された特権は必要ありません。ドメイン内の任意のユーザーを指定できます。

• OpenLDAP では、ユーザーのアクセス権限は、OpenLDAP の仕様書のセクション 8 で説明されている <level> パラメータにより決定されます。ユーザーの <level> は、auth 以上にする必要があります。

• ユーザ名は完全修飾名である必要があります（たとえば、administrator ではなく administrator@mydomain.com を使用します）。

（注）	SHA-1 ハッシュアルゴリズムでは Active Directory サーバーにパスワードが保存されて安全ではないため、使用しないでください。詳細については、Open Web Application Security Project の Web サイトにある「Migrating your Certification Authority Hashing Algorithm from SHA1 to SHA2 on Microsoft TechNet」や「Password Storage Cheat Sheet」などの参考資料を参照してください。

ベース DN（Base DN）

Firepower Management Centerがユーザー データの検索を開始するサーバーのディレクトリ ツリー。ベース DN を指定しない場合、サーバーに接続できる場合、システムは最上位 DN を取得します。

通常、ベース識別名（DN）には企業ドメイン名および部門を示す基本構造があります。たとえば、Example 社のセキュリティ部門のベース DN は、ou=security,dc=example,dc=com となります。

グループ DN（Group DN）

Firepower Management Centerがグループ属性を持つユーザーを検索するサーバーのディレクトリ ツリー。サポートされているグループ属性の一覧については、サポートされているサーバー オブジェクト クラスと属性名を参照してください。グループ DN を指定しない場合、サーバーに接続できる場合、システムは最上位 DN を取得します。

（注）

次に、ディレクトリサーバーのユーザー、グループ、DN で Firepower システムがサポートする文字のリストを示します。次に示す文字以外を使用すると、Firepower システムがユーザーとグループをダウンロードできなくなる可能性があります。 エンティティ サポートされている文字 ユーザー名 a-z A-Z 0-9 ! # $ % ^ & ( ) _ - { } ' . ~ ` グループ名 a-z A-Z 0-9 ! # $ % ^ & ( ) _ - { } ' . ~ ` ベース DN とグループ DN a-z A-Z 0-9 ! @ $ % ^ & * ( ) _ - . ~ ` [ ]

グループ属性（Group Attribute）

（オプション）サーバーのグループ属性：メンバー、または一意のメンバー。

既存のレルムを編集する場合、次のフィールドを使用できます。

[ユーザー セッション タイムアウト（User Session Timeout）]

ユーザー セッションがタイムアウトするまでの分数を入力します。デフォルトは、ユーザのログイン イベントから 1440 分（24 時間）後です。このタイムアウトを過ぎると、ユーザのセッションは終了します。ユーザが再度ログインせずにネットワークにアクセスし続けている場合、ユーザは Firepower Management Center により不明として認識されます（[失敗したキャプティブポータルユーザ（Failed Captive Portal Users）] を除く）。

次のタイムアウト値を設定できます。

• [ユーザーエージェントおよびISE/ISE-PICユーザー（User Agent and ISE/ISE-PIC Users）]：パッシブ認証タイプであるユーザー エージェントまたは ISE/ISE-PIC によってトラッキングされるユーザーのタイムアウト。

  指定したタイムアウト値は、pxGrid SXP セッション トピック サブスクリプション（宛先 SGT マッピングなど）には適用されません。代わりに、ISE からの特定のマッピングの削除または更新メッセージがない限り、セッション トピック マッピングは保持されます。

  ISE/ISE-PIC の詳細については、ISE/ISE-PIC アイデンティティ ソースを参照してください。

• [TSエージェントユーザー（TS Agent Users）]：パッシブ認証タイプである TS エージェントによってトラッキングされるユーザーのタイムアウト。詳細については、ターミナル サービス（TS）エージェントのアイデンティティ ソースを参照してください。

• [キャプティブポータルユーザ（Captive Portal Users）]：アクティブ認証タイプであるキャプティブ ポータルを使用して正常にログインしたユーザのタイムアウト。詳細については、キャプティブ ポータルのアイデンティティ ソースを参照してください。

• [失敗したキャプティブポータルユーザ（Failed Captive Portal Users）]：キャプティブ ポータルを使用して正常にログインしていないユーザのタイムアウト。Firepower Management Center によってユーザが認証失敗ユーザとして認識されるまでの、[最大ログイン試行回数（Maximum login attempts）] を設定できます。アクセス コントロール ポリシーを使用して、認証失敗ユーザにネットワークへのアクセス権を付与することもできます。この場合は、そのユーザにこのタイムアウト値が適用されます。

  失敗したキャプティブ ポータル ログインの詳細については、キャプティブ ポータル フィールドを参照してください。

• [ゲストキャプティブポータルユーザ（Guest Captive Portal Users）]：キャプティブ ポータルにゲスト ユーザとしてログインしているユーザのタイムアウト。詳細については、キャプティブ ポータルのアイデンティティ ソースを参照してください。

レルムのディレクトリ フィールド（Realm Directory Fields）

これらの設定は、レルム内の個々のサーバー（Active Directory ドメイン コントローラなど）に適用されます。

ホスト名/IP アドレス（Hostname/IP Address）

Active Directory ドメインコントローラマシンの完全修飾ホスト名。完全修飾名を確認するには、Active Directory サーバーの名前の検索を参照してください。

ポート

Firepower Management Center コントローラ接続に使用するポート。

暗号化（Encryption）

（強く推奨）Firepower Management Center サーバー接続に使用する暗号化方式。

• STARTTLS：暗号化 LDAP 接続

• LDAPS：暗号化 LDAP 接続

• なし：非暗号化 LDAP 接続（保護されていないトラフィック）

Active Directory サーバーと安全に通信するには、Active Directory へのセキュアな接続を参照してください。

SSL 証明書

サーバーへの認証に使用する SSL 証明書。SSL 証明書を使用するにために、STARTTLS または LDAPS を [暗号化（Encryption）] タイプとして設定できます。

認証に証明書を使用する場合、証明書のサーバー名は、サーバーの [ホスト名/IP アドレス（Hostname/IP Address）] と一致する必要があります。たとえば、IP アドレスとして 10.10.10.250 を使用しているのに、証明書で computer1.example.com を使用している場合は、接続が失敗します。

ユーザーの [Download] フィールド

AD プライマリ ドメイン（AD Primary Domain）

Microsoft Active Directory レルム専用です。ユーザー認証が必要となる Active Directory サーバーのドメインです。

（注）

すべての Microsoft Active Directory（AD）レルムに固有の [ADプライマリドメイン（AD Primary Domain）] を指定する必要があります。異なる AD レルムに同じ [ADプライマリドメイン（AD Primary Domain）] を指定することはできますが、システムが適切に機能しなくなります。これは、システムにより各レルム内のすべてのユーザーとグループに 1 つの固有 ID が割り当てられるためです。そのため、システムは特定のユーザまたはグループを明確に識別することができません。ユーザーとグループが適切に識別されないため、同じ [ADプライマリドメイン（AD Primary Domain）] を使用して複数のレルムを指定することはできません。これは、システムが一意の ID を各レルムのすべてのユーザーとグループに割り当てるために発生します。そのため、システムは特定のユーザーまたはグループを明確に識別できません。

ユーザーおよびグループのダウンロード（ユーザーアクセス制御に必須）

ユーザー認識用およびユーザー制御用にユーザーとグループをダウンロードできるようになります。

自動ダウンロードの開始、繰り返し設定（Begin automatic download at, Repeat every）

自動ダウンロードの回数を指定します。

Download Now

クリックして、グループとユーザーを AD と同期します。

[使用可能なグループ（Available Groups）]、[含むに追加する（Add to Include）]、[除外するに追加する（Add to Exclude）]

ポリシーで使用できるグループを制限します。

• [使用可能なグループ（Available Groups）] フィールドに表示されているグループは、グループを [含むに追加する（Add to Include）] または [除外するに追加する（Add to Exclude）] フィールドに移動しないかぎり、ポリシーで利用できます。

• グループを [含むに追加する（Add to Include）] フィールドに移動させた場合は、それらのグループだけがダウンロードされ、ユーザーデータはユーザー認識やユーザー制御に利用できます。

• グループを [除外するに追加する（Add to Exclude）] フィールドに移動させた場合は、それらを除くすべてのグループがダウンロードされ、ユーザー認識やユーザー制御に利用できます。

• 含まれないグループのユーザーを含めるには、[含めるグループ（Groups to Include）] の下のフィールドにそのユーザー名を入力し、[追加（Add）] をクリックします。

• 除外されないグループのユーザーを除外するには、[除外するグループ（Groups to Exclude）] の下のフィールドにそのユーザー名を入力し、[追加（Add）] をクリックします。

  （注）	Firepower Management Center にダウンロードされるユーザーは、数式 R = I - (E+e) + i を使用して計算されます。 R はダウンロードしたユーザーのリストです。 I は含まれているグループです。 E は除外されているグループです。 e は除外されているユーザーです。 i は含まれているユーザーです。

自動ダウンロードの開始時間

AD からユーザーとグループをダウンロードする時間と時間間隔を入力します。