[システム（System）] > [ユーザ（Users）]を選択します。

[外部認証（External Authentication）] タブをクリックします。

[外部認証オブジェクトの追加（Add External Authentication Object）] をクリックします。

[認証方式（Authentication Method）] を [LDAP] に設定します。

（任意） CAC 認証および認可にこの認証オブジェクトを使用する予定の場合は、[CAC] チェックボックスをオンにします。

[名前（Name）] とオプションの [説明（Description）] を入力します。

ドロップダウン リストから [サーバタイプ（Server Type）] を選択します。

[プライマリサーバ（Primary Server）] の場合は、[ホスト名/IPアドレス（Host Name/IP Address）] を入力します。

（任意） [ポート（Port）] をデフォルトから変更します。

（任意） [バックアップサーバ（Backup Server）] パラメータを入力します。

[LDAP固有のパラメータ（LDAP-Specific Parameters）] を入力します。

1. ユーザがアクセスする LDAP ディレクトリの [ベースDN（Base DN）] を入力します。たとえば、Example 社のセキュリティ（Security）部門の名前を認証するには、ou=security,dc=example,dc=com と入力します。または、[DNの取得（Fetch DNs）] をクリックし、ドロップダウン リストから適切なベース識別名を選択します。

2. （任意） [基本フィルタ（Base Filter）] を入力します。たとえば、ディレクトリ ツリー内のユーザー オブジェクトに physicalDeliveryOfficeName 属性が設定されており、New York 支店のユーザーに対しこの属性に値 NewYork が設定されている場合、New York 支店のユーザーだけを取得するには、(physicalDeliveryOfficeName=NewYork) と入力します。

   CAC 認証を使用している場合、アクティブなユーザーアカウント（無効なユーザーアカウントを除く）のみをフィルタ処理するには、(!(userAccountControl:1.2.840.113556.1.4.803:=2)) と入力します。この条件は、ldpgrp グループに属し、userAccountControl 属性値が 2（無効）ではない AD 内のユーザーアカウントを取得します。

3. LDAP サーバを参照するために十分なクレデンシャルを持つユーザの [ユーザ名（User Name）] を入力します。たとえば、ユーザ オブジェクトに uid 属性が含まれている OpenLDAP サーバに接続し、Example 社のセキュリティ（Security）部門の管理者のオブジェクトの uid に値 NetworkAdmin が設定されている場合は、uid=NetworkAdmin,ou=security,dc=example,dc=com と入力します。

4. [パスワード（Password）] および [パスワードの確認（Confirm Password）] フィールドにユーザ パスワードを入力します。

5. （任意） [詳細オプションを表示（Show Advanced Options）] をクリックして、次の詳細オプションを設定します。

   • [暗号化（Encryption）]：[なし（None）]、[TLS]、または [SSL] をクリックします。

     ポートを指定した後で暗号化方式を変更すると、ポートがその方式のデフォルト値にリセットされます。[なし（None）] または [TLS] の場合、ポートはデフォルト値の 389 にリセットされます。[SSL] 暗号化を選択した場合、ポートは 636 にリセットされます。

   • [SSL証明書アップロードパス（SSL Certificate Upload Path）]：SSL または TLS 暗号化の場合は、[ファイルの選択（Choose File）] をクリックして証明書を選択する必要があります。

     以前にアップロードした証明書を置き換えるには、新しい証明書をアップロードし、設定をデバイスに再展開して、新しい証明書を上書きコピーします。

     （注）	TLS 暗号化には、すべてのプラットフォームで証明書が必要です。中間者攻撃を防ぐため、SSL 証明書を常にアップロードしておくことをお勧めします。

   • [ユーザー名テンプレート（User Name Template）]：[UIアクセス属性（UI Access Attribute）] に対応するテンプレートを入力します。たとえば、UI アクセス属性が uid である OpenLDAP サーバに接続し、Example 社のセキュリティ（Security）部門で働くすべてのユーザを認証するには、[ユーザ名テンプレート（User Name Template）] フィールドに uid=%s,ou=security,dc=example,dc=com と入力します。Microsoft Active Directory Server の場合は %s@security.example.com と入力します。

     CAC 認証では、このフィールドは必須です。

   • [タイムアウト（Timeout）]：バックアップ接続にロールオーバーするまでの秒数（1 〜 1024 秒）を入力します。デフォルトは 30 です。

     （注）	タイムアウト範囲は FTD と FMC で異なるため、オブジェクトを共有する場合は、FTD の小さめのタイムアウト範囲（1 〜 30 秒）を超えないようにしてください。タイムアウトを高めの値に設定すると、FTD LDAP 設定が機能しません。

（任意） [属性マッピング（Attribute Mapping）] を設定して、属性に基づいてユーザーを取得します。

（任意） [グループ制御アクセスロール（Group Controlled Access Roles）] を設定します。

1. （任意） ユーザ ロールに対応するフィールドに、これらのロールに割り当てる必要があるユーザを含む LDAP グループの識別名を入力します。

   参照するグループはすべて LDAP サーバーに存在している必要があります。スタティック LDAP グループまたはダイナミック LDAP グループを参照できます。スタティック LDAP グループとは、特定のユーザを指し示すグループ オブジェクト属性によってメンバーシップが決定されるグループであり、ダイナミック LDAP グループとは、ユーザ オブジェクト属性に基づいてグループ ユーザを取得する LDAP 検索を作成することでメンバーシップが決定されるグループです。ロールのグループ アクセス権は、グループのメンバーであるユーザにのみ影響します。

   ダイナミック グループを使用する場合、LDAP クエリは、LDAP サーバで設定されているとおりに使用されます。この理由から、検索構文エラーが原因で無限ループが発生することを防ぐため、FirePOWER デバイスでは検索の再帰回数が 4 回に制限されています。

   例:

   Example 社の情報テクノロジー（Information Technology）部門の名前を認証するには、[管理者（Administrator）] フィールドに次のように入力します。

   
   cn=itgroup,ou=groups, dc=example,dc=com
   
   

2. 指定したグループのいずれにも属していないユーザの [デフォルトユーザロール（Default User Role）] を選択します。

3. スタティック グループを使用する場合は、[グループ メンバー属性（Group Member Attribute）] を入力します。

   例:

   デフォルトの Security Analyst アクセスのためのスタティック グループのメンバーシップを示すために member 属性を使用する場合は、member と入力します。

4. ダイナミック グループを使用する場合は、[グループ メンバー URL 属性（Group Member URL Attribute）] を入力します。

   例:

   デフォルトの管理者アクセスに対して指定したダイナミック グループのメンバーを取得する LDAP 検索が memberURL 属性に含まれている場合は、memberURL と入力します。

（任意） [シェルアクセスフィルタ（Shell Access Filter）] を設定します。

（任意） LDAP サーバーへの接続をテストするには、[テスト（Test）] をクリックします。

（任意） [追加のテストパラメータ（Additional Test Parameters）] を入力して、認証できるようにするユーザのユーザ クレデンシャルをテストすることもできます。[ユーザ名（User Name）] uid と [パスワード（Password）] を入力してから、[テスト（Test）] をクリックします。

[保存（Save）] をクリックします。

このサーバーの使用を有効にします。FMC でのユーザーの外部認証の有効化 を参照してください。

[システム（System）] > [ユーザ（Users）] を選択します。

[外部認証（External Authentication）] をクリックします。

[外部認証オブジェクトの追加（Add External Authentication Object）] をクリックします。

[認証方式（Authentication Method）] を [RADIUS] に設定します。

[名前（Name）] とオプションの [説明（Description）] を入力します。

[プライマリサーバ（Primary Server）] の場合は、[ホスト名/IPアドレス（Host Name/IP Address）] を入力します。

（任意） [ポート（Port）] をデフォルトから変更します。

[RADIUS秘密キー（RADIUS Secret Key）] を入力します。

（任意） [バックアップサーバ（Backup Server）] パラメータを入力します。

（任意） [RADIUS固有のパラメータ（RADIUS-Specific Parameters）] を入力します。

1. プライマリサーバーを再試行するまでの [タイムアウト（Timeout）] を 1 ～ 1024 の秒単位で入力します。デフォルトは 30 です。

   （注）	タイムアウト範囲は FTD と FMC で異なるため、オブジェクトを共有する場合は、FTD の小さめのタイムアウト範囲（1 〜 300 秒）を超えないようにしてください。タイムアウトを高めの値に設定すると、FTD RADIUS 設定が機能しません。

2. バックアップ サーバーにロールオーバーするまでの [再試行（Retries）] を入力します。デフォルトは 3 です。

3. ユーザ ロールに対応するフィールドに、各ユーザの名前を入力するか、またはこれらのロールに割り当てる必要がある属性と値のペアを指定します。

   ユーザ名と属性と値のペアは、カンマで区切ります。

   例:

   セキュリティ アナリストとする必要があるすべてのユーザの User-Category 属性の値が Analyst である場合、これらのユーザにそのロールを付与するには、[セキュリティアナリスト（Security Analyst）] フィールドに User-Category=Analyst と入力します。

   例:

   ユーザ jsmith と jdoe に管理者ロールを付与する場合は、[管理者（Administrator）] フィールドに jsmith, jdoe と入力します。

   例:

   User-Category の値が Maintenance であるすべてのユーザにメンテナンス ユーザ ロールを付与するには、[メンテナンスユーザ（Maintenance User）] フィールドに User-Category=Maintenance と入力します。

4. 指定したグループのいずれにも属していないユーザの [デフォルトユーザロール（Default User Role）] を選択します。

（任意） [カスタムRADIUS属性を定義する（Define Custom RADIUS Attributes）]。

1. [属性名（Attribute Name）] を入力します。

   属性を定義する場合は、英数字からなる属性名を指定します。属性名の中の単語を区切るには、スペースではなくダッシュを使用することに注意してください。

2. [属性ID（Attribute ID）] を整数で入力します。

   属性 ID は整数にする必要があり、etc/radiusclient/dictionary ファイルの既存の属性 ID と競合していてはなりません。

3. ドロップダウン リストから [属性タイプ（Attribute Type）] を選択します。

   属性のタイプ（文字列、IP アドレス、整数、または日付）も指定します。

4. [追加（Add）] をクリックして、カスタム属性を追加します。

（任意） [シェルアクセスフィルタ（Shell Access Filter）] エリアの [管理者シェルアクセスユーザーリスト（Administrator Shell Access User List）] フィールドに、CLI アクセスが必要なユーザー名をカンマ区切りで入力します。

（任意） RADIUS サーバーへの FMC 接続をテストするには、[テスト（Test）] をクリックします。

（任意） [追加のテストパラメータ（Additional Test Parameters）] を入力して、認証できるようにするユーザのユーザ クレデンシャルをテストすることもできます。[ユーザ名（User Name）] と [パスワード（Password）] を入力してから、[テスト（Test）] をクリックします。

[保存（Save）] をクリックします。

このサーバの使用を有効にします。FMC でのユーザーの外部認証の有効化 を参照してください。

[システム（System）] > [ユーザ（Users）]を選択します。

[外部認証（External Authentication）] をクリックします。

外部 Web インターフェイスのユーザーにデフォルトのユーザー ロールを設定します。

1. [デフォルトのユーザー ロール（Default User Roles）] の値をクリックします（デフォルトでは何も選択されていません）。

1. [デフォルトのユーザーロール設定（Default User Role Configuration）] ダイアログ ボックスで、使用するロールをオンにします。

2. [保存（Save）] をクリックします。

使用する外部認証オブジェクトそれぞれの横にある 有効なスライダ（ ） をクリックします。複数のオブジェクトを有効にすると、ユーザは指定された順序でサーバと照合されます。サーバーの順序を変更する場合は、次の手順を参照してください。

（任意） 認証要求が行われたときに認証サーバーがアクセスされる順序を、サーバーをドラッグアンドドロップして変更できます。

外部ユーザーに CLI アクセスを許可する場合は、[シェル認証（Shell Authentication）] > [有効（Enabled）] を選択します。

[Save and Apply] をクリックします。

組織の指示に従い CAC を挿入します。

ブラウザで https://ipaddress_or_hostname/ に移動します。ここで、ipaddress または hostname は使用しているデバイスに対応します。

プロンプトが表示されたら、ステップ 1 で挿入した CAC に関連付けられた PIN を入力します。

プロンプトが表示されたら、ドロップダウン リストから該当する証明書を選択します。

ログイン ページで、[ユーザー名（Username）] フィールドと [パスワード（Password）] フィールドに、管理者権限を持つユーザーとしてログインします。CAC クレデンシャルを使用してログインすることは、まだできません。

[システム（System）] > [ユーザ（Users）] > [外部認証（External Authentication）] を選択します。

「FMC 用の LDAP 外部認証オブジェクトの追加」の手順に従い、CAC 専用の LDAP 認証オブジェクトを作成します。次の設定を行う必要があります。

[保存（Save）] をクリックします。

FMC でのユーザーの外部認証の有効化の説明に従って、外部認証と CAC 認証を有効にします。

[システム （System）] > [設定（Configuration）] を選択し、[HTTPS証明書（HTTPS Certificate）] をクリックします。

HTTPS サーバ証明書をインポートし、必要に応じてHTTPS サーバー証明書のインポートで説明する手順に従います。

[HTTPS ユーザー証明書設定（HTTPS User Certificate Settings）] の [ユーザー証明書を有効にする（Enable User Certificates）] を選択します。詳細については、有効な HTTPS クライアント証明書の強制を参照してください。

CAC クレデンシャルを使用した Firepower Management Center へのログインに従い、デバイスにログインします。

[システム（System）] > [ユーザ（Users）] を選択します。

[ユーザー ロール（User Roles）] をクリックします。

次のいずれかの方法で新しいユーザー ロールを追加します。

新しいユーザ ロールの [名前（Name）] を入力します。ユーザ ロール名では、大文字と小文字が区別されます。

（任意） [説明（Description）] を追加します。

新しいロールの [メニューベースのアクセス許可（Menu-Based Permissions）] を選択します。

（任意） 新しいロールのデータベースアクセス権限を設定するには、[外部データベースアクセス（External Database Access）] チェックボックスをオンにします。

（任意） 新しいユーザー ロールのエスカレーション権限を設定するには、「ユーザ ロール エスカレーションの有効化」を参照してください。

[保存（Save）] をクリックします。

[システム（System）] > [ユーザ（Users）]を選択します。

[ユーザー ロール（User Roles）] をクリックします。

アクティブまたは非アクティブにするユーザー ロールの横にあるスライダをクリックします。

エスカレーション ターゲット ロールの設定。エスカレーション ターゲット ロールにすることができるユーザ ロールは一度に 1 つだけです。

エスカレーション用のカスタム ユーザー ロールの設定。

（ログイン後のユーザーの場合）ユーザ ロールのエスカレーション