Cisco FXOS 2.2(2) CLI コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco FXOS 2.2(2) CLI コンフィギュレーション ガイド

Chapter Title

プラットフォームの設定

検索結果

Updated:
2017年12月21日

章のタイトル： プラットフォームの設定

プラットフォームの設定

日時の設定

日付と時刻を手動で設定したり、現在のシステム時刻を表示するには、下記で説明する の CLI コマンドを使用してシステムのネットワーク タイム プロトコル（NTP）を設定します。

NTP の設定は、Firepower 4100/9300 シャーシとシャーシにインストールされている論理デバイス間で自動的に同期されます。


（注）  

Firepower 4100/9300 シャーシに Firepower Threat Defense を導入すると、スマート ライセンスが正しく機能し、デバイス登録に適切なタイムスタンプを確保するように Firepower 4100/9300 シャーシに NTP を設定する必要があります。Firepower 4100/9300 シャーシと Firepower Management Center に同じ NTP サーバを使用する必要があります。

NTP を使用すると、[現在の時刻（Current Time）] タブの全体的な同期ステータスを表示できます。または、[時刻の同期（Time Synchronization）] タブの [NTP サーバ（NTP Server）] テーブルの [サーバのステータス（Server Status）] フィールドを見ると、設定済みの各 NTP サーバの同期ステータスを表示できます。システムが特定 NTP サーバと同期できない場合、[サーバのステータス（Server Status）] の横にある情報アイコンにカーソルを合わせると詳細を確認できます。

設定された日付と時刻の表示

手順
    ステップ 1   FXOS CLI に接続します（FXOS CLIへのアクセスを参照）。
    ステップ 2   設定されたタイム ゾーンを表示するには、次のコマンドを使用します。

    Firepower-chassis# showtimezone

    ステップ 3   設定された日付と時刻を表示するには、次のコマンドを使用します。

    Firepower-chassis# showclock

    次の例では、設定されたタイム ゾーンと現在のシステム日時を表示する方法を示しています。

    Firepower-chassis# show timezone
Timezone: America/Chicago
Firepower-chassis# show clock
Thu Jun  2 12:40:42 CDT 2016
Firepower-chassis#

    タイム ゾーンの設定

    手順
      ステップ 1   システム モードに入ります。

      Firepower-chassis# scopesystem

      ステップ 2   システム サービス モードに入ります。

      Firepower-chassis /system # scopeservices

      ステップ 3   タイム ゾーンを設定します。

      Firepower-chassis /system/services # settimezone

      この時点で、大陸、国、およびタイム ゾーン領域に対応する番号を入力するように求められます。プロンプトごとに適切な情報を入力します。

      ロケーション情報の指定を完了すると、プロンプトが表示され、正しいタイム ゾーン情報が設定されているか確認するよう求められます。確認する場合は 1（yes）を入力し、操作をキャンセルする場合は 2（no）を入力します。

      ステップ 4   設定されたタイム ゾーンを表示するには、次のコマンドを使用します。
      Firepower-chassis /system/services # top

      Firepower-chassis# show timezone

      次に、太平洋標準時領域にタイム ゾーンを設定し、トランザクションを確定し、設定したタイム ゾーンを表示する例を示します。

      Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # set timezone
Please identify a location so that time zone rules can be set correctly.
Please select a continent or ocean.
1) Africa            4) Arctic Ocean     7) Australia       10) Pacific Ocean
2) Americas          5) Asia             8) Europe
3) Antarctica        6) Atlantic Ocean   9) Indian Ocean
#? 2
Please select a country.
 1) Anguilla                 28) Haiti
 2) Antigua & Barbuda        29) Honduras
 3) Argentina                30) Jamaica
 4) Aruba                    31) Martinique
 5) Bahamas                  32) Mexico
 6) Barbados                 33) Montserrat
 7) Belize                   34) Nicaragua
 8) Bolivia                  35) Panama
 9) Brazil                   36) Paraguay
10) Canada                   37) Peru
11) Caribbean Netherlands    38) Puerto Rico
12) Cayman Islands           39) St Barthelemy
13) Chile                    40) St Kitts & Nevis
14) Colombia                 41) St Lucia
15) Costa Rica               42) St Maarten (Dutch part)
16) Cuba                     43) St Martin (French part)
17) Curacao                  44) St Pierre & Miquelon
18) Dominica                 45) St Vincent
19) Dominican Republic       46) Suriname
20) Ecuador                  47) Trinidad & Tobago
21) El Salvador              48) Turks & Caicos Is
22) French Guiana            49) United States
23) Greenland                50) Uruguay
24) Grenada                  51) Venezuela
25) Guadeloupe               52) Virgin Islands (UK)
26) Guatemala                53) Virgin Islands (US)
27) Guyana
#? 49
Please select one of the following time zone regions.
 1) Eastern Time
 2) Eastern Time - Michigan - most locations
 3) Eastern Time - Kentucky - Louisville area
 4) Eastern Time - Kentucky - Wayne County
 5) Eastern Time - Indiana - most locations
 6) Eastern Time - Indiana - Daviess, Dubois, Knox & Martin Counties
 7) Eastern Time - Indiana - Pulaski County
 8) Eastern Time - Indiana - Crawford County
 9) Eastern Time - Indiana - Pike County
10) Eastern Time - Indiana - Switzerland County
11) Central Time
12) Central Time - Indiana - Perry County
13) Central Time - Indiana - Starke County
14) Central Time - Michigan - Dickinson, Gogebic, Iron & Menominee Counties
15) Central Time - North Dakota - Oliver County
16) Central Time - North Dakota - Morton County (except Mandan area)
17) Central Time - North Dakota - Mercer County
18) Mountain Time
19) Mountain Time - south Idaho & east Oregon
20) Mountain Standard Time - Arizona (except Navajo)
21) Pacific Time
22) Pacific Standard Time - Annette Island, Alaska
23) Alaska Time
24) Alaska Time - Alaska panhandle
25) Alaska Time - southeast Alaska panhandle
26) Alaska Time - Alaska panhandle neck
27) Alaska Time - west Alaska
28) Aleutian Islands
29) Hawaii
#? 21

The following information has been given:

        United States
        Pacific Time

Therefore timezone 'America/Los_Angeles' will be set.
Local time is now:      Wed Jun 24 07:39:25 PDT 2015.
Universal Time is now:  Wed Jun 24 14:39:25 UTC 2015.
Is the above information OK?
1) Yes
2) No
#? 1
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services # top
Firepower-chassis# show timezone
Timezone: America/Los_Angeles (Pacific Time)
Firepower-chassis#

      NTP を使用した日付と時刻の設定

      NTP を使用して階層的なサーバ システムを実現し、ネットワーク システム間の時刻を正確に同期します。このような精度は、CRL の検証など正確なタイム スタンプを含む場合など、時刻が重要な操作で必要になります。最大 4 台の NTP サーバを設定できます。


      （注）  
      FXOS 2.2(2) 以降では NTP バージョン 3 を使用します。
      手順
        ステップ 1   システム モードに入ります。

        Firepower-chassis# scopesystem

        ステップ 2   システム サービス モードに入ります。

        Firepower-chassis /system # scopeservices

        ステップ 3   指定したホスト名、IPv4 または IPv6 アドレスで NTP サーバを使用するようシステムを設定します。

        Firepower-chassis /system/services # createntp-server {hostname | ip-addr | ip6-addr}

        ステップ 4   トランザクションをシステムの設定に対して確定します。

        Firepower-chassis /system/services # commit-buffer

        ステップ 5   すべての設定済み NTP サーバの同期ステータスを表示するには、次のようにします。

        Firepower-chassis /system/services # show ntp-server

        ステップ 6   特定の NTP サーバの同期ステータスを表示するには、次のようにします。
        Firepower-chassis /system/services # scopentp-server {hostname | ip-addr | ip6-addr}

        Firepower-chassis /system/services/ntp-server # show detail

        次に、IP アドレス 192.168.200.101 を持つ NTP サーバを設定し、トランザクションを確定する例を示します。

        Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # create ntp-server 192.168.200.101
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

        次に、IPv6 アドレス 4001::6 を持つ NTP サーバを設定し、トランザクションを確定する例を示します。

        Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # create ntp-server 4001::6
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

        NTP サーバの削除

        手順
          ステップ 1   システム モードに入ります。

          Firepower-chassis# scopesystem

          ステップ 2   システム サービス モードに入ります。

          Firepower-chassis /system # scopeservices

          ステップ 3   指定したホスト名、IPv4 または IPv6 アドレスの NTP サーバを削除します。

          Firepower-chassis /system/services # deletentp-server {hostname | ip-addr | ip6-addr}

          ステップ 4   トランザクションをシステムの設定に対して確定します。

          Firepower-chassis /system/services # commit-buffer

          次に、IP アドレス 192.168.200.101 を持つ NTP サーバを削除し、トランザクションを確定する例を示します。

          Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # delete ntp-server 192.168.200.101
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

          次に、IPv6 アドレス 4001::6 を持つ NTP サーバを削除し、トランザクションを確定する例を示します。

          Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # delete ntp-server 4001::6
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

          日付と時刻の手動での設定

          ここでは、Firepower シャーシで日付と時刻を手動で設定する方法ついて説明します。システム クロックの変更はただちに反映されます。


          （注）  

          システム クロックが NTP サーバと同期中である場合は、日付と時刻を手動で設定することはできません。

          手順
            ステップ 1   システム モードに入ります。

            Firepower-chassis# scopesystem

            ステップ 2   システム サービス モードに入ります。

            Firepower-chassis /system # scopeservices

            ステップ 3   システム クロックを設定します。

            Firepower-chassis /system/services # set clock month day year hour min sec

            month には、月の英名の最初の 3 文字を使用します。時間は 24 時間形式で入力する必要があります。午後 7 時は 19 になります。

            システム クロックの変更はただちに反映されます。バッファを確定する必要はありません。

            次に、システム クロックを設定する例を示します。

            Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # set clock jun 24 2015 15 27 00
Firepower-chassis /system/services #

            Configuring SSH

            次の手順では、Firepower シャーシへの SSH アクセスを有効または無効にする方法、および FXOS シャーシを SSH クライアントとして有効にする方法について説明します。SSH はデフォルトで有効になっています。

            手順
              ステップ 1   システム モードに入ります。

              Firepower-chassis #scope system

              ステップ 2   システム サービス モードに入ります。

              Firepower-chassis /system #scope services

              ステップ 3   Firepower シャーシへの SSH アクセスを設定するには、次のいずれかを実行します。

              • Firepower シャーシへの SSH アクセスを許可するには、次のコマンドを入力します。

                Firepower-chassis /system/services # enable ssh-server

              • Firepower シャーシへの SSH アクセスを拒否するには、次のコマンドを入力します。

                Firepower-chassis /system/services # disable ssh-server

              ステップ 4   トランザクションをシステムの設定に対して確定します。

              Firepower /system/services # commit-buffer

              次に、Firepower シャーシへの SSH アクセスを有効にし、トランザクションを確定する例を示します。

              Firepower# scope system
Firepower /system # scope services
Firepower /system/services # enable ssh-server
Firepower /system/services* # commit-buffer
Firepower /system/services #

              Telnet の設定

              次の手順は、Firepower シャーシへの Telnet アクセスを有効または無効にする方法を示しています。デフォルトでは、Telnet はディセーブルになっています。


              （注）  

              現在、Telnet は CLI を使用してのみ設定できます。

              手順
                ステップ 1   システム モードに入ります。

                Firepower-chassis #scope system

                ステップ 2   システム サービス モードに入ります。

                Firepower-chassis /system #scope services

                ステップ 3   Firepower シャーシへの Telnet アクセスを設定するには、次のいずれかを実行します。

                • Firepower シャーシへの Telnet アクセスを許可するには、次のコマンドを入力します。

                  Firepower-chassis /system/services # enable telnet-server

                • Firepower シャーシへの Telnet アクセスを拒否するには、次のコマンドを入力します。

                  Firepower-chassis /system/services # disable telnet-server

                ステップ 4   トランザクションをシステムの設定に対して確定します。

                Firepower /system/services # commit-buffer

                次に、Telnet を有効にし、トランザクションを確定する例を示します。

                Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /services # enable telnet-server
Firepower-chassis /services* # commit-buffer
Firepower-chassis /services #

                Configuring SNMP

                ここでは、Firepower シャーシでの Simple Network Management Protocol（SNMP）の設定方法について説明します。詳細については、次のトピックを参照してください。

                SNMP の概要

                簡易ネットワーク管理プロトコル（SNMP）は、SNMP マネージャとエージェント間の通信用メッセージ フォーマットを提供する、アプリケーションレイヤ プロトコルです。SNMP では、ネットワーク内のデバイスのモニタリングと管理に使用する標準フレームワークと共通言語が提供されます。

                SNMP フレームワークは 3 つの部分で構成されます。

                • SNMP マネージャ：SNMP を使用してネットワーク デバイスのアクティビティを制御し、モニタリングするシステム

                • SNMP エージェント：Firepower のデータを維持し、必要に応じてそのデータを SNMP マネージャに報告する Firepower シャーシ内のソフトウェア コンポーネント。Firepower シャーシには、エージェントと一連の MIB が含まれています。SNMP エージェントを有効にし、マネージャとエージェント間のリレーションシップを作成するには、Firepower Chassis Manager または FXOS CLI で SNMP を有効にし、設定します。

                • 管理情報ベース（MIB）：SNMP エージェント上の管理対象オブジェクトのコレクション。

                Firepower シャーシは、SNMPv1、SNMPv2c、および SNMPv3 をサポートします。SNMPv1 および SNMPv2c はどちらも、コミュニティベース形式のセキュリティを使用します。SNMP は次のように定義されています。

                SNMP 通知

                SNMP の重要な機能の 1 つは、SNMP エージェントから通知を生成できることです。これらの通知では、要求を SNMP マネージャから送信する必要はありません。通知は、不正なユーザ認証、再起動、接続の切断、隣接ルータとの接続の切断、その他の重要なイベントを表示します。

                Firepower シャーシは、トラップまたはインフォームとして SNMP 通知を生成します。SNMP マネージャはトラップ受信時に確認応答を送信せず、Firepower シャーシはトラップが受信されたかどうかを確認できないため、トラップの信頼性はインフォームよりも低くなります。インフォーム要求を受信する SNMP マネージャは、SNMP 応答プロトコル データ ユニット（PDU）でメッセージの受信を確認応答します。Firepower シャーシが PDU を受信しない場合、インフォーム要求を再送できます。

                SNMP セキュリティ レベルおよび権限

                SNMPv1、SNMPv2c、および SNMPv3 はそれぞれ別のセキュリティ モデルを表します。セキュリティ モデルと選択したセキュリティ レベルの組み合わせにより、SNMP メッセージの処理中に適用されるセキュリティ メカニズムが決まります。

                セキュリティ レベルは、SNMP トラップに関連付けられているメッセージを表示するために必要な特権を決定します。権限レベルは、メッセージが開示されないよう保護または認証の必要があるかどうかを決定します。サポートされるセキュリティ レベルは、セキュリティ モデルが設定されているかによって異なります。SNMP セキュリティ レベルは、次の権限の 1 つ以上をサポートします。

                • noAuthNoPriv：認証なし、暗号化なし

                • authNoPriv：認証あり、暗号化なし

                • authPriv：認証あり、暗号化あり

                SNMPv3 では、セキュリティ モデルとセキュリティ レベルの両方が提供されています。セキュリティ モデルは、ユーザおよびユーザが属するロールを設定する認証方式です。セキュリティ レベルとは、セキュリティ モデル内で許可されるセキュリティのレベルです。セキュリティ モデルとセキュリティ レベルの組み合わせにより、SNMP パケット処理中に採用されるセキュリティ メカニズムが決まります。

                SNMP セキュリティ モデルとレベルのサポートされている組み合わせ

                次の表に、セキュリティ モデルとレベルの組み合わせの意味を示します。

                表 1 SNMP セキュリティ モデルおよびセキュリティ レベル

                モデル

                水準器

                認証

                暗号化（Encryption）

                結果

                v1

                noAuthNoPriv

                コミュニティ ストリング（Community string）

                なし

                コミュニティ ストリングの照合を使用して認証します。

                v2c

                noAuthNoPriv

                コミュニティ ストリング（Community string）

                なし

                コミュニティ ストリングの照合を使用して認証します。

                v3

                noAuthNoPriv

                [ユーザ名（Username）]

                なし

                ユーザ名の照合を使用して認証します。

                v3

                authNoPriv

                HMAC-SHA

                なし

                HMAC Secure Hash Algorithm（SHA）に基づいて認証します。

                v3

                authPriv

                HMAC-SHA

                DES

                HMAC-SHA アルゴリズムに基づいて認証します。データ暗号規格（DES）の 56 ビット暗号化、および暗号ブロック連鎖（CBC）DES（DES-56）標準に基づいた認証を提供します。

                SNMPv3 セキュリティ機能

                SNMPv3 は、ネットワーク経由のフレームの認証と暗号化を組み合わせることによって、デバイスへのセキュア アクセスを実現します。SNMPv3 は、設定済みユーザによる管理動作のみを許可し、SNMP メッセージを暗号化します。SNMPv3 ユーザベース セキュリティ モデル（USM）は SNMP メッセージレベル セキュリティを参照し、次のサービスを提供します。

                • メッセージの完全性：メッセージが不正な方法で変更または破壊されていないことを保証します。また、データ シーケンスが、通常発生するものよりも高い頻度で変更されていないことを保証します。

                • メッセージ発信元の認証：受信データを発信したユーザのアイデンティティが確認されたことを保証します。

                • メッセージの機密性および暗号化：不正なユーザ、エンティティ、プロセスに対して情報を利用不可にしたり開示しないようにします。

                SNMP サポート

                Firepower シャーシは、SNMP に次のサポートを提供します。

                MIB のサポート

                Firepower シャーシは、MIB への読み取り専用アクセスをサポートします。

                SNMPv3 ユーザの認証プロトコル

                Firepower シャーシは、SNMPv3 ユーザの HMAC-SHA-96（SHA）認証プロトコルをサポートします。

                SNMPv3 ユーザの AES プライバシー プロトコル

                Firepower シャーシは、SNMPv3 メッセージ暗号化用プライバシー プロトコルの 1 つとして、Advanced Encryption Standard（AES）を使用し、RFC 3826 に準拠します。

                プライバシー パスワード（priv オプション）では、SNMP セキュリティ暗号化方式として DES または 128 ビット AES を選択できます。AES-128 の設定を有効にして、SNMPv3 ユーザ用のプライバシー パスワードを含めると、Firepower シャーシはそのプライバシー パスワードを使用して 128 ビット AES キーを生成します。AES priv パスワードは、8 文字以上にします。パスフレーズをクリア テキストで指定する場合、最大 64 文字を指定できます。

                SNMP の有効化および SNMP プロパティの設定

                手順
                  ステップ 1   モニタリング モードに入ります。

                  Firepower-chassis# scope monitoring

                  ステップ 2   SNMP を有効にします。

                  Firepower-chassis /monitoring # enable snmp

                  ステップ 3   snmp コミュニティ モードに入ります。

                  Firepower-chassis /monitoring # set snmp community

                  set snmp community コマンドを入力すると、SNMP コミュニティを入力するように求められます。

                  ステップ 4   SNMP コミュニティを指定します。パスワードとしてコミュニティ名を使用します。コミュニティ名は、最大 32 文字の英数字で指定できます。

                  Firepower-chassis /monitoring # Enter a snmp community: community-name

                  ステップ 5   SNMP のシステム担当者の連絡先を指定します。システム担当者の連絡先名（電子メール アドレスや、名前と電話番号など）は、最大 255 文字の英数字で指定できます。

                  Firepower-chassis /monitoring # set snmp syscontact system-contact-name

                  ステップ 6   SNMP エージェント（サーバ）が実行するホストの場所を指定します。システム ロケーション名は、最大 512 文字の英数字で指定できます。

                  Firepower-chassis /monitoring # set snmp syslocation system-location-name

                  ステップ 7   トランザクションをシステムの設定に対して確定します。

                  Firepower-chassis /monitoring # commit-buffer

                  次に、SNMP を有効にし、SnmpCommSystem2 という名前の SNMP コミュニティを設定し、contactperson という名前のシステム連絡先を設定し、systemlocation という名前の連絡先ロケーションを設定し、トランザクションをコミットする例を示します。

                  Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # enable snmp
Firepower-chassis /monitoring* # set snmp community
Enter a snmp community: SnmpCommSystem2
Firepower-chassis /monitoring* # set snmp syscontact contactperson1
Firepower-chassis /monitoring* # set snmp syslocation systemlocation
Firepower-chassis /monitoring* # commit-buffer
Firepower-chassis /monitoring #
                  次の作業

                  SNMP トラップおよびユーザを作成します。

                  SNMP トラップの作成

                  手順
                    ステップ 1   モニタリング モードに入ります。

                    Firepower-chassis# scope monitoring

                    ステップ 2   SNMP を有効にします。

                    Firepower-chassis /monitoring # enable snmp

                    ステップ 3   指定したホスト名、IPv4 アドレス、または IPv6 アドレスで SNMP トラップを作成します。

                    Firepower-chassis /monitoring # create snmp-trap {hostname | ip-addr | ip6-addr}

                    ステップ 4   SNMP トラップに使用する SNMP コミュニティ名を指定します。

                    Firepower-chassis /monitoring/snmp-trap # set community community-name

                    ステップ 5   SNMP トラップに使用するポートを指定します。

                    Firepower-chassis /monitoring/snmp-trap # set port port-num

                    ステップ 6   トラップに使用する SNMP バージョンおよびモデルを指定します。

                    Firepower-chassis /monitoring/snmp-trap # set version {v1 | v2c | v3}

                    ステップ 7   （任意）  送信するトラップのタイプを指定します。

                    Firepower-chassis /monitoring/snmp-trap # set notificationtype {traps | informs}

                    ここに表示される値は次のとおりです。

                    • バージョンに v2c または v3 を選択する場合は traps。

                    • バージョンに v2c を選択する場合は informs。

                      （注）     

                      バージョンに v2c を選択した場合のみ、インフォーム通知を送信できます。

                    ステップ 8   （任意）  バージョンとして v3 を選択した場合は、トラップに関連付ける権限を指定します。

                    Firepower-chassis /monitoring/snmp-trap # set v3privilege {auth | noauth | priv}

                    ここに表示される値は次のとおりです。

                    • [auth]：認証あり、暗号化なし

                    • [noauth]：認証なし、暗号化なし

                    • [priv]：認証あり、暗号化あり

                    ステップ 9   トランザクションをシステムの設定に対して確定します。

                    Firepower-chassis /monitoring/snmp-trap # commit-buffer

                    次の例は、SNMP を使用可能にし、IPv4 アドレスを使用して SNMP トラップを作成し、トラップがポート 2 で SnmpCommSystem2 コミュニティを使用するよう指定し、バージョンを v3 に設定し、通知タイプを traps に設定し、v3 権限を priv に設定し、トランザクションを確定します。

                    Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # enable snmp
Firepower-chassis /monitoring* # create snmp-trap 192.168.100.112
Firepower-chassis /monitoring/snmp-trap* # set community SnmpCommSystem2
Firepower-chassis /monitoring/snmp-trap* # set port 2
Firepower-chassis /monitoring/snmp-trap* # set version v3
Firepower-chassis /monitoring/snmp-trap* # set notificationtype traps
Firepower-chassis /monitoring/snmp-trap* # set v3privilege priv
Firepower-chassis /monitoring/snmp-trap* # commit-buffer
Firepower-chassis /monitoring/snmp-trap #

                    次の例は、SNMP を使用可能にし、IPv6 アドレスを使用して SNMP トラップを作成し、トラップがポート 2 で SnmpCommSystem3 コミュニティを使用するよう指定し、バージョンを v3 に設定し、通知タイプを traps に設定し、v3 権限を priv に設定し、トランザクションを確定します。

                    Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # enable snmp
Firepower-chassis /monitoring* # create snmp-trap 2001::1
Firepower-chassis /monitoring/snmp-trap* # set community SnmpCommSystem3
Firepower-chassis /monitoring/snmp-trap* # set port 2
Firepower-chassis /monitoring/snmp-trap* # set version v3
Firepower-chassis /monitoring/snmp-trap* # set notificationtype traps
Firepower-chassis /monitoring/snmp-trap* # set v3privilege priv
Firepower-chassis /monitoring/snmp-trap* # commit-buffer
Firepower-chassis /monitoring/snmp-trap #

                    SNMP トラップの削除

                    手順
                      ステップ 1   モニタリング モードに入ります。

                      Firepower-chassis# scope monitoring

                      ステップ 2   指定したホスト名または IP アドレスの SNMP トラップを削除します。

                      Firepower-chassis /monitoring # delete snmp-trap {hostname | ip-addr}

                      ステップ 3   トランザクションをシステムの設定に対して確定します。

                      Firepower-chassis /monitoring # commit-buffer

                      次に、IP アドレス 192.168.100.112 で SNMP トラップを削除し、トランザクションを確定する例を示します。

                      Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # delete snmp-trap 192.168.100.112
Firepower-chassis /monitoring* # commit-buffer
Firepower-chassis /monitoring #

                      SNMPv3 ユーザの作成

                      手順
                        ステップ 1   モニタリング モードに入ります。

                        Firepower-chassis# scope monitoring

                        ステップ 2   SNMP を有効にします。

                        Firepower-chassis /monitoring # enable snmp

                        ステップ 3   指定した SNMPv3 ユーザを作成します。

                        Firepower-chassis /monitoring # create snmp-user user-name

                        create snmp-user コマンドを入力すると、パスワードを入力するように求められます。

                        ステップ 4   AES-128 暗号化の使用を有効または無効にします。

                        Firepower-chassis /monitoring/snmp-user # set aes-128 {no | yes}

                        デフォルトでは、AES-128 暗号化は無効になっています。

                        ステップ 5   ユーザ プライバシー パスワードを指定します。

                        Firepower-chassis /monitoring/snmp-user # set priv-password

                        set priv-password コマンドを入力すると、プライバシー パスワードを入力し、確認するように求められます。

                        ステップ 6   トランザクションをシステムの設定に対して確定します。

                        Firepower-chassis /monitoring/snmp-user # commit-buffer

                        次の例では、SNMP を有効化し、snmp-user14 という名前の SNMPv3 ユーザを作成し、AES-128 暗号化を有効化し、パスワードおよびプライバシー パスワードを設定し、トランザクションをコミットします。

                        Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # enable snmp
Firepower-chassis /monitoring* # create snmp-user snmp-user14
Password:
Firepower-chassis /monitoring/snmp-user* # set aes-128 yes
Firepower-chassis /monitoring/snmp-user* # set priv-password
Enter a password:
Confirm the password: 
Firepower-chassis /monitoring/snmp-user* # commit-buffer
Firepower-chassis /monitoring/snmp-user #

                        SNMPv3 ユーザの削除

                        手順
                          ステップ 1   モニタリング モードに入ります。

                          Firepower-chassis# scope monitoring

                          ステップ 2   指定した SNMPv3 ユーザを削除します。

                          Firepower-chassis /monitoring # delete snmp-user user-name

                          ステップ 3   トランザクションをシステムの設定に対して確定します。

                          Firepower-chassis /monitoring # commit-buffer

                          次に、snmp-user14 という SNMPv3 ユーザを削除し、トランザクションを確定する例を示します。

                          Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # delete snmp-user snmp-user14
Firepower-chassis /monitoring* # commit-buffer
Firepower-chassis /monitoring #

                          HTTPS の設定

                          ここでは、Firepower 4100/9300 シャーシ で HTTPS を設定する方法を説明します。


                          （注）  

                          Firepower Chassis Manager または FXOS CLI を使用して HTTPS ポートを変更できます。他の HTTPS の設定はすべて、FXOS CLI を使用してのみ設定できます。

                          証明書、キー リング、トラスト ポイント

                          HTTPS は、公開キー インフラストラクチャ（PKI）を使用してクライアントのブラウザと Firepower 4100/9300 シャーシ などの 2 つのデバイス間でセキュアな通信を確立します。

                          暗号キーとキー リング

                          各 PKI デバイスは、内部キー リングに非対称の Rivest-Shamir-Adleman（RSA）暗号キーのペア（1 つはプライベート、もう 1 つはパブリック）を保持します。いずれかのキーで暗号化されたメッセージは、もう一方のキーで復号化できます。暗号化されたメッセージを送信する場合、送信者は受信者の公開キーで暗号化し、受信者は独自の秘密キーを使用してメッセージを復号化します。送信者は、独自の秘密キーで既知のメッセージを暗号化（「署名」とも呼ばれます）して公開キーの所有者を証明することもできます。受信者が該当する公開キーを使用してメッセージを正常に復号化できる場合は、送信者が対応する秘密キーを所有していることが証明されます。暗号キーの長さはさまざまであり、通常の長さは 512 ビット ～ 2048 ビットです。一般的に、短いキーよりも長いキーの方がセキュアになります。FXOS では、最初に 2048 ビットのキー ペアを含むデフォルトのキー リングが提供されます。そして、追加のキー リングを作成できます。

                          クラスタ名が変更されたり、証明書が期限切れになったりした場合は、デフォルトのキー リング証明書を手動で再生成する必要があります。

                          証明書（Certificates）

                          セキュアな通信を準備するには、まず 2 つのデバイスがそれぞれのデジタル証明書を交換します。証明書は、デバイスの ID に関する署名済み情報とともにデバイスの公開キーを含むファイルです。暗号化された通信をサポートするために、デバイスは独自のキー ペアと独自の自己署名証明書を生成できます。リモート ユーザが自己署名証明書を提示するデバイスに接続する場合、ユーザはデバイスの ID を簡単に検証することができず、ユーザのブラウザは最初に認証に関する警告を表示します。デフォルトでは、FXOS にはデフォルトのキー リングからの公開キーを含む組み込みの自己署名証明書が含まれます。

                          トラスト ポイント

                          FXOS に強力な認証を提供するために、デバイスの ID を証明する信頼できるソース（つまり、トラスト ポイント）からサードパーティ証明書を取得し、インストールできます。サードパーティ証明書は、発行元トラスト ポイント（ルート認証局（CA）、中間 CA、またはルート CA につながるトラスト チェーンの一部となるトラスト アンカーのいずれか）によって署名されます。新しい証明書を取得するには、FXOS で証明書要求を生成し、トラスト ポイントに要求を送信する必要があります。

                          重要:

                          証明書は、Base64 エンコード X.509（CER）フォーマットである必要があります。

                          キー リングの作成

                          FXOS は、デフォルト キー リングを含め、最大 8 個のキー リングをサポートします。

                          手順
                            ステップ 1   セキュリティ モードに入ります。

                            Firepower-chassis #scope security

                            ステップ 2   キー リングを作成し、名前を付けます。

                            Firepower-chassis # createkeyring keyring-name

                            ステップ 3   SSL キーのビット長を設定します。

                            Firepower-chassis # setmodulus {mod1024 | mod1536 | mod2048 | mod512}

                            ステップ 4   トランザクションを確定します。

                            Firepower-chassis # commit-buffer

                            次の例では、1024 ビットのキー サイズのキー リングを作成します。

                            Firepower-chassis# scope security
Firepower-chassis /security # create keyring kr220
Firepower-chassis /security/keyring* # set modulus mod1024
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring #
                            次の作業

                            このキー リングの証明書要求を作成します。

                            デフォルト キー リングの再生成

                            クラスタ名が変更されたり、証明書が期限切れになったりした場合は、デフォルトのキー リング証明書を手動で再生成する必要があります。

                            手順
                              ステップ 1   セキュリティ モードに入ります。

                              Firepower-chassis #scope security

                              ステップ 2   デフォルト キー リングでキー リング セキュリティ モードに入ります。

                              Firepower-chassis /security # scopekeyring default

                              ステップ 3   デフォルト キー リングを再生成します。

                              Firepower-chassis /security/keyring # setregenerate yes

                              ステップ 4   トランザクションを確定します。

                              Firepower-chassis # commit-buffer

                              次に、デフォルト キー リングを再生成する例を示します。

                              Firepower-chassis# scope security
Firepower-chassis /security # scope keyring default
Firepower-chassis /security/keyring* # set regenerate yes
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring #

                              キー リングの証明書要求の作成

                              基本オプション付きのキー リングの証明書要求の作成

                              手順
                                ステップ 1   セキュリティ モードに入ります。

                                Firepower-chassis #scope security

                                ステップ 2   キー リングのコンフィギュレーション モードに入ります。

                                Firepower-chassis /security # scope keyring keyring-name

                                ステップ 3   指定された IPv4 または IPv6 アドレス、またはファブリック インターコネクトの名前を使用して証明書要求を作成します。証明書要求のパスワードを入力するように求められます。

                                Firepower-chassis /security/keyring # create certreq {ip [ipv4-addr | ipv6-v6] |subject-name name}

                                ステップ 4   トランザクションを確定します。

                                Firepower-chassis /security/keyring/certreq # commit-buffer

                                ステップ 5   コピーしてトラスト アンカーまたは認証局に送信可能な証明書要求を表示します。

                                Firepower-chassis /security/keyring # show certreq

                                次の例では、基本オプション付きのキー リングについて IPv4 アドレスで証明書要求を作成して表示します。

                                Firepower-chassis# scope security
Firepower-chassis /security # scope keyring kr220
Firepower-chassis /security/keyring # create certreq ip 192.168.200.123 subject-name sjc04
Certificate request password: 
Confirm certificate request password:
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring # show certreq
Certificate request subject name: sjc04
Certificate request ip address: 192.168.200.123
Certificate request e-mail name: 
Certificate request country name: 
State, province or county (full name): 
Locality (eg, city): 
Organization name (eg, company): 
Organization Unit name (eg, section): 
Request:
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----

Firepower-chassis /security/keyring #
                                次の作業

                                • 証明書要求のテキストを BEGIN および END 行を含めてコピーし、ファイルに保存します。キー リングの証明書を取得するため、証明書要求を含むファイルをトラスト アンカーまたは認証局に送信します。

                                • トラスト ポイントを作成し、トラスト アンカーから受け取ったトラストの証明書の証明書チェーンを設定します。

                                詳細オプション付きのキー リングの証明書要求の作成

                                手順
                                  ステップ 1   セキュリティ モードに入ります。

                                  Firepower-chassis #scope security

                                  ステップ 2   キー リングのコンフィギュレーション モードに入ります。

                                  Firepower-chassis /security # scope keyring keyring-name

                                  ステップ 3   証明書要求を作成します。

                                  Firepower-chassis /security/keyring # createcertreq

                                  ステップ 4   会社が存在している国の国コードを指定します。

                                  Firepower-chassis /security/keyring/certreq* # set country country name

                                  ステップ 5   要求に関連付けられたドメイン ネーム サーバ（DNS）アドレスを指定します。

                                  Firepower-chassis /security/keyring/certreq* # set dns DNS Name

                                  ステップ 6   証明書要求に関連付けられた電子メール アドレスを指定します。

                                  Firepower-chassis /security/keyring/certreq* # set e-mail E-mail name

                                  ステップ 7   Firepower 4100/9300 シャーシの IP アドレスを指定します。

                                  Firepower-chassis /security/keyring/certreq* # set ip {certificate request ip-address|certificate request ip6-address }

                                  ステップ 8   証明書を要求している会社の本社が存在する市または町を指定します。

                                  Firepower-chassis /security/keyring/certreq* # set locality locality name (eg, city)

                                  ステップ 9   証明書を要求している組織を指定します。

                                  Firepower-chassis /security/keyring/certreq* # set org-name organization name

                                  ステップ 10   組織ユニットを指定します。

                                  Firepower-chassis /security/keyring/certreq* # set org-unit-name organizational unit name

                                  ステップ 11   証明書要求に関するオプションのパスワードを指定します。

                                  Firepower-chassis /security/keyring/certreq* # set password certificate request password

                                  ステップ 12   証明書を要求している会社の本社が存在する州または行政区分を指定します。

                                  Firepower-chassis /security/keyring/certreq* # set state state, province or county

                                  ステップ 13   Firepower 4100/9300 シャーシ の完全修飾ドメイン名を指定します。

                                  Firepower-chassis /security/keyring/certreq* # set subject-name certificate request name

                                  ステップ 14   トランザクションを確定します。

                                  Firepower-chassis /security/keyring/certreq # commit-buffer

                                  ステップ 15   コピーしてトラスト アンカーまたは認証局に送信可能な証明書要求を表示します。

                                  Firepower-chassis /security/keyring # show certreq

                                  次の例では、詳細オプション付きのキー リングについて IPv4 アドレスで証明書要求を作成して表示します。

                                  Firepower-chassis# scope security
Firepower-chassis /security # scope keyring kr220
Firepower-chassis /security/keyring # create certreq
Firepower-chassis /security/keyring/certreq* # set ip 192.168.200.123
Firepower-chassis /security/keyring/certreq* #  set subject-name sjc04
Firepower-chassis /security/keyring/certreq* # set country US
Firepower-chassis /security/keyring/certreq* # set dns bg1-samc-15A
Firepower-chassis /security/keyring/certreq* # set email test@cisco.com
Firepower-chassis /security/keyring/certreq* # set locality new york city
Firepower-chassis /security/keyring/certreq* # set org-name "Cisco Systems"
Firepower-chassis /security/keyring/certreq* # set org-unit-name Testing
Firepower-chassis /security/keyring/certreq* # set state new york
Firepower-chassis /security/keyring/certreq* # commit-buffer
Firepower-chassis /security/keyring/certreq # show certreq
Certificate request subject name: sjc04
Certificate request ip address: 192.168.200.123
Certificate request e-mail name: test@cisco.com
Certificate request country name: US
State, province or county (full name): New York
Locality name (eg, city): new york city
Organization name (eg, company): Cisco
Organization Unit name (eg, section): Testing
Request:
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----

Firepower-chassis /security/keyring/certreq #
                                  次の作業

                                  • 証明書要求のテキストを BEGIN および END 行を含めてコピーし、ファイルに保存します。キー リングの証明書を取得するため、証明書要求を含むファイルをトラスト アンカーまたは認証局に送信します。

                                  • トラスト ポイントを作成し、トラスト アンカーから受け取ったトラストの証明書の証明書チェーンを設定します。

                                  トラスト ポイントの作成

                                  手順
                                    ステップ 1   セキュリティ モードに入ります。

                                    Firepower-chassis #scope security

                                    ステップ 2   トラストポイントを作成します。

                                    Firepower-chassis /security # createtrustpoint name

                                    ステップ 3   このトラスト ポイントの証明書情報を指定します。

                                    Firepower-chassis /security/trustpoint # setcertchain certchain

                                    コマンドで証明書情報を指定しない場合、ルート認証局（CA）への認証パスを定義するトラスト ポイントのリストまたは証明書を入力するように求められます。入力内容の次の行に、ENDOFBUF と入力して終了します。

                                    重要:

                                    証明書は、Base64 エンコード X.509（CER）フォーマットである必要があります。

                                    ステップ 4   トランザクションを確定します。

                                    Firepower-chassis /security/trustpoint # commit-buffer

                                    次の例は、トラスト ポイントを作成し、トラスト ポイントに証明書を提供します。

                                    Firepower-chassis# scope security
Firepower-chassis /security # create trustpoint tPoint10
Firepower-chassis /security/trustpoint* # set certchain 
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
Trustpoint Certificate Chain:
> -----BEGIN CERTIFICATE-----
> MIIDMDCCApmgAwIBAgIBADANBgkqhkiG9w0BAQQFADB0MQswCQYDVQQGEwJVUzEL
> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT
> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG
> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU
> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl
> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq
> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD
> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU
> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6
> jtcEMyZ+f7+3yh421ido3nO4MIGeBgNVHSMEgZYwgZOAFLlNjtcEMyZ+f7+3yh42
> 1ido3nO4oXikdjB0MQswCQYDVQQGEwJVUzELMAkGA1UECBMCQ0ExFDASBgNVBAcT
> C1NhbnRhIENsYXJhMRswGQYDVQQKExJOdW92YSBTeXN0ZW1zIEluYy4xFDASBgNV
> BAsTC0VuZ2luZWVyaW5nMQ8wDQYDVQQDEwZ0ZXN0Q0GCAQAwDAYDVR0TBAUwAwEB
> /zANBgkqhkiG9w0BAQQFAAOBgQAhWaRwXNR6B4g6Lsnr+fptHv+WVhB5fKqGQqXc
> wR4pYiO4z42/j9Ijenh75tCKMhW51az8copP1EBmOcyuhf5C6vasrenn1ddkkYt4
> PR0vxGc40whuiozBolesmsmjBbedUCwQgdFDWhDIZJwK5+N3x/kfa2EHU6id1avt
> 4YL5Jg==
> -----END CERTIFICATE-----
> ENDOFBUF
Firepower-chassis /security/trustpoint* # commit-buffer
Firepower-chassis /security/trustpoint #
                                    次の作業

                                    トラスト アンカーまたは認証局からキー リング証明書を取得し、キー リングにインポートします。

                                    キー リングへの証明書のインポート

                                    はじめる前に

                                    • キー リング証明書の証明書チェーンを含むトラスト ポイントを設定します。

                                    • トラスト アンカーまたは認証局からキー リング証明書を取得します。

                                    手順
                                      ステップ 1   セキュリティ モードに入ります。

                                      Firepower-chassis #scope security

                                      ステップ 2   証明書を受け取るキー リングでコンフィギュレーション モードに入ります。

                                      Firepower-chassis /security # scopekeyring keyring-name

                                      ステップ 3   キー リング証明書の取得元のトラスト アンカーまたは認証局に対しトラスト ポイントを指定します。

                                      Firepower-chassis /security/keyring # settrustpoint name

                                      ステップ 4   キー リング証明書を入力してアップロードするためのダイアログを起動します。

                                      Firepower-chassis /security/keyring # setcert

                                      プロンプトで、トラスト アンカーまたは認証局から受け取った証明書のテキストを貼り付けます。証明書の後の行に ENDOFBUF と入力して、証明書の入力を完了します。

                                      重要:

                                      証明書は、Base64 エンコード X.509（CER）フォーマットである必要があります。

                                      ステップ 5   トランザクションを確定します。

                                      Firepower-chassis /security/keyring # commit-buffer

                                      次に、トラストポイントを指定し、証明書をキー リングにインポートする例を示します。

                                      Firepower-chassis# scope security
Firepower-chassis /security # scope keyring kr220
Firepower-chassis /security/keyring # set trustpoint tPoint10
Firepower-chassis /security/keyring* # set cert
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
Keyring certificate:
> -----BEGIN CERTIFICATE-----
> MIIB/zCCAWgCAQAwgZkxCzAJBgNVBAYTAlVTMQswCQYDVQQIEwJDQTEVMBMGA1UE
> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT
> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG
> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU
> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl
> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq
> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD
> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU
> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6
> mK3Ku+YiORnv6DhxrOoqau8r/hyI/L43l7IPN1HhOi3oha4=
> -----END CERTIFICATE-----
> ENDOFBUF
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring #
                                      次の作業

                                      キー リングを使用して HTTPS サービスを設定します。

                                      HTTPS の設定


                                      注意    

                                      HTTPS で使用するポートとキー リングの変更を含め、HTTPS の設定を完了した後、トランザクションを保存またはコミットするとすぐに、現在のすべての HTTP および HTTPS セッションは警告なく閉じられます。

                                      手順
                                        ステップ 1   システム モードに入ります。

                                        Firepower-chassis# scope system

                                        ステップ 2   システム サービス モードに入ります。

                                        Firepower-chassis /system # scope services

                                        ステップ 3   HTTPS サービスを有効にします。

                                        Firepower-chassis /system/services # enable https

                                        ステップ 4   （任意）  HTTPS 接続で使用されるポートを指定します。

                                        Firepower-chassis /system/services # set https port port-num

                                        ステップ 5   （任意）  HTTPS に対して作成したキー リングの名前を指定します。

                                        Firepower-chassis /system/services # set https keyring keyring-name

                                        ステップ 6   （任意）  ドメインで使用される暗号スイート セキュリティのレベルを指定します。

                                        Firepower-chassis /system/services # set https cipher-suite-mode cipher-suite-mode

                                        cipher-suite-mode には、以下のいずれかのキーワードを指定できます。

                                        • high-strength

                                        • medium-strength

                                        • low-strength

                                        • custom：ユーザ定義の暗号スイート仕様の文字列を指定できます。

                                        ステップ 7   （任意）  cipher-suite-mode が custom に設定されている場合は、ドメインに対してカスタム レベルの暗号スイート セキュリティを指定します。

                                        Firepower-chassis /system/services # set https cipher-suite cipher-suite-spec-string

                                        cipher-suite-spec-string は最大 256 文字で構成できます。これは OpenSSL 暗号スイート仕様に準拠する必要があります。次を除き、スペースや特殊文字は使用できません。!（感嘆符）、+（プラス記号）、-（ハイフン）、および :（コロン）。詳細については、http:/​/​httpd.apache.org/​docs/​2.0/​mod/​mod_​ssl.html#sslciphersuite を参照してください。

                                        たとえば、デフォルトとして FXOS が使用する中強度仕様の文字列は以下となります。ALL:!ADH:!EXPORT56:!LOW:RC4+RSA:+HIGH:+MEDIUM:+EXP:+eNULL

                                        （注）     

                                        このオプションは、cipher-suite-mode が [custom]custom以外に設定されている場合は無視されます。

                                        ステップ 8   （任意）  証明書失効リスト検査を、有効または無効にします。

                                        setrevoke-policy { relaxed | strict }

                                        ステップ 9   トランザクションをシステムの設定に対して確定します。

                                        Firepower-chassis /system/services # commit-buffer

                                        次の例では、HTTPS を有効にし、ポート番号を 443 に設定し、キー リング名を kring7984 に設定し、暗号スイートのセキュリティ レベルを高に設定し、トランザクションをコミットします。

                                        Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # enable https
Firepower-chassis /system/services* # set https port 443
Warning: When committed, this closes all the web sessions.
Firepower-chassis /system/services* # set https keyring kring7984
Firepower-chassis /system/services* # set https cipher-suite-mode high
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

                                        HTTPS ポートの変更

                                        デフォルトでは、HTTPS サービスはポート 443 で有効になっています。HTTPS を無効にすることはできませんが、HTTPS 接続に使用するポートは変更できます。

                                        手順
                                          ステップ 1   システム モードに入ります。

                                          Firepower-chassis #scope system

                                          ステップ 2   システム サービス モードに入ります。

                                          Firepower-chassis /system #scope services

                                          ステップ 3   HTTPS 接続に使用するポートを指定します。

                                          Firepower-chassis /system/services # sethttpsport port-number

                                          port-number には 1 ～ 65535 の整数を指定します。HTTPS は、デフォルトではポート 443 で有効になっています。

                                          ステップ 4   トランザクションをシステムの設定に対して確定します。

                                          Firepower /system/services # commit-buffer

                                          HTTPS ポートを変更した後に、現在のすべての HTTPS セッションが閉じられます。ユーザは、次のように新しいポートを使用して再度 Firepower Chassis Manager にログインする必要があります。

                                          https://<chassis_mgmt_ip_address>:<chassis_mgmt_port>

                                          ここで、<chassis_mgmt_ip_address> は初期設定時に入力した Firepower シャーシの IP アドレスまたはホスト名、<chassis_mgmt_port> は直前に設定した HTTPS ポートです。

                                          次に、HTTPS ポート番号を 443 に設定し、トランザクションを確定する例を示します。

                                          Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # set https port 444
Warning: When committed, this closes all the web sessions.
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

                                          キーリングの削除

                                          手順
                                            ステップ 1   セキュリティ モードに入ります。

                                            Firepower-chassis #scope security

                                            ステップ 2   名前付きのキー リングを削除します。

                                            Firepower-chassis /security # deletekeyring name

                                            ステップ 3   トランザクションをコミットします。

                                            Firepower-chassis /security # commit-buffer

                                            次の例では、キー リングを削除します。

                                            Firepower-chassis# scope security
Firepower-chassis /security # delete keyring key10
Firepower-chassis /security* # commit-buffer
Firepower-chassis /security #

                                            トラスト ポイントの削除

                                            はじめる前に

                                            トラスト ポイントがキー リングによって使用されていないことを確認してください。

                                            手順
                                              ステップ 1   セキュリティ モードに入ります。

                                              Firepower-chassis# scopesecurity

                                              ステップ 2   指定したトラスト ポイントを削除します。

                                              Firepower-chassis /security # deletetrustpoint name

                                              ステップ 3   トランザクションをコミットします。

                                              Firepower-chassis /security # commit-buffer

                                              次に、トラスト ポイントを削除する例を示します。

                                              Firepower-chassis# scope security
Firepower-chassis /security # delete trustpoint tPoint10
Firepower-chassis /security* # commit-buffer
Firepower-chassis /security #

                                              HTTPS の無効化

                                              手順
                                                ステップ 1   システム モードに入ります。

                                                Firepower-chassis# scope system

                                                ステップ 2   システム サービス モードに入ります。

                                                Firepower-chassis /system # scope services

                                                ステップ 3   HTTPS サービスを無効にします。

                                                Firepower-chassis /system/services # disable https

                                                ステップ 4   トランザクションをシステムの設定に対して確定します。

                                                Firepower-chassis /system/services # commit-buffer

                                                次に、HTTPS を無効にし、トランザクションをコミットする例を示します。

                                                Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # disable https
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

                                                AAA の設定

                                                ここでは、認証、許可、およびアカウンティングについて説明します。詳細については、次のトピックを参照してください。

                                                AAA について

                                                AAA は、コンピュータ リソースへのアクセスを制御するための一連のサービスで、ポリシーを適用し、使用状況を評価し、サービスの課金に必要な情報を提供します。これらのプロセスは、効果的なネットワーク管理およびセキュリティにとって重要と見なされています。

                                                認証

                                                認証はユーザを特定する方法です。アクセスが許可されるには、ユーザは通常、有効なユーザ名と有効なパスワードが必要です。AAA サーバは、ユーザのクレデンシャルとデータベースに保存されている他のユーザ クレデンシャルとを比較します。クレデンシャルが一致した場合は、ユーザはネットワークへのアクセスが許可されます。クレデンシャルが一致しない場合は、認証は失敗し、ネットワーク アクセスは拒否されます。

                                                シャーシへの管理接続を認証するように Firepower 4100/9300 シャーシ を設定できます。これには、次のセッションが含まれます。

                                                • HTTPS

                                                • SSH

                                                • シリアル コンソール

                                                許可

                                                許可はポリシーを適用するプロセスです。どのようなアクティビティ、リソース、サービスに対するアクセス許可をユーザが持っているのかを判断します。ユーザが認証されると、そのユーザはさまざまなタイプのアクセスやアクティビティを認可される可能性があります。

                                                アカウンティング（Accounting）

                                                アカウンティングは、アクセス時にユーザが消費したリソースを測定します。これには、システム時間またはセッション中にユーザが送受信したデータ量などが含まれます。アカウンティングは、許可制御、課金、トレンド分析、リソース使用率、キャパシティ プランニングのアクティビティに使用されるセッションの統計情報と使用状況情報のログを通じて行われます。

                                                認証、認可、アカウンティング間の相互作用

                                                認証だけで使用することも、認可およびアカウンティングとともに使用することもできます。認可では必ず、ユーザの認証が最初に済んでいる必要があります。アカウンティングだけで使用することも、認証および認可とともに使用することもできます。

                                                AAAサーバ

                                                AAA サーバは、アクセス制御に使用されるネットワーク サーバです。認証は、ユーザを識別します。認可は、認証されたユーザがアクセスする可能性があるリソースとサービスを決定するポリシーを実装します。アカウンティングは、課金と分析に使用される時間とデータのリソースを追跡します。

                                                ローカル データベースのサポート

                                                Firepower シャーシは、ユーザ プロファイルを取り込むことができるローカル データベースを管理します。AAA サーバの代わりにローカル データベースを使用して、ユーザ認証、認可、アカウンティングを提供することもできます。

                                                LDAP プロバイダーの設定

                                                LDAP プロバイダーのプロパティの設定

                                                このタスクで設定するプロパティが、このタイプのすべてのプロバイダー接続のデフォルト設定です。個々のプロバイダーにいずれかのプロパティの設定が含まれている場合、Firepower eXtensible Operating System でその設定が使用され、デフォルト設定は無視されます。

                                                Active Directory を LDAP サーバとして使用している場合は、Active Directory サーバで Firepower eXtensible Operating System にバインドするユーザ アカウントを作成します。このアカウントには、期限切れにならないパスワードを設定します。

                                                手順
                                                  ステップ 1   セキュリティ モードに入ります。

                                                  Firepower-chassis# scope security

                                                  ステップ 2   セキュリティ LDAP モードに入ります。

                                                  Firepower-chassis /security # scope ldap

                                                  ステップ 3   指定した属性を含むレコードにデータベース検索を限定します。

                                                  Firepower-chassis /security/ldap # set attribute attribute

                                                  ステップ 4   指定した識別名を含むレコードにデータベース検索を限定します。

                                                  Firepower-chassis /security/ldap # set basedn distinguished-name

                                                  ステップ 5   指定したフィルタを含むレコードにデータベース検索を限定します。

                                                  Firepower-chassis /security/ldap # set filter filter

                                                  ステップ 6   システムがサーバをダウン状態として通知する前に、LDAP サーバからの応答を待機する時間間隔を設定します。

                                                  Firepower-chassis /security/ldap # set timeout seconds

                                                  ステップ 7   トランザクションをシステムの設定に対して確定します。

                                                  Firepower-chassis /security/ldap # commit-buffer

                                                  次の例は、LDAP 属性を CiscoAvPair に、ベース識別名を「DC=cisco-firepower-aaa3,DC=qalab,DC=com」に、フィルタを sAMAccountName=$userid、タイムアウト間隔を 5 秒に設定し、トランザクションを確定します。

                                                  Firepower-chassis# scope security
Firepower-chassis /security # scope ldap
Firepower-chassis /security/ldap # set attribute CiscoAvPair
Firepower-chassis /security/ldap* # set basedn "DC=cisco-firepower-aaa3,DC=qalab,DC=com"
Firepower-chassis /security/ldap* # set filter sAMAccountName=$userid
Firepower-chassis /security/ldap* # set timeout 5
Firepower-chassis /security/ldap* # commit-buffer
Firepower-chassis /security/ldap #

                                                  （注）  

                                                  ユーザ ログインは LDAP ユーザの userdn が 255 文字を超えると失敗します。

                                                  次の作業

                                                  LDAP プロバイダーを作成します。

                                                  LDAP プロバイダーの作成

                                                  Firepower eXtensible Operating System では、最大 16 の LDAP プロバイダーをサポートします。

                                                  はじめる前に

                                                  Active Directory を LDAP サーバとして使用している場合は、Active Directory サーバで Firepower eXtensible Operating System にバインドするユーザ アカウントを作成します。このアカウントには、期限切れにならないパスワードを設定します。

                                                  手順
                                                    ステップ 1   セキュリティ モードに入ります。

                                                    Firepower-chassis# scope security

                                                    ステップ 2   セキュリティ LDAP モードに入ります。

                                                    Firepower-chassis /security # scope ldap

                                                    ステップ 3   LDAP サーバ インスタンスを作成し、セキュリティ LDAP サーバ モードに入ります。

                                                    Firepower-chassis /security/ldap # create server server-name

                                                    SSL が使用可能の場合、server-name は、通常 IP アドレスまたは FQDN となり、LDAP サーバのセキュリティ証明書内の共通名（CN）と正確に一致している必要があります。IP アドレスが指定されている場合を除き、DNS サーバを設定する必要があります。

                                                    ステップ 4   （任意）  ユーザ ロールとロケールの値を保存する LDAP 属性を設定します。

                                                    Firepower-chassis /security/ldap/server # set attribute attr-name

                                                    このプロパティは、常に、名前と値のペアで指定されます。システムは、ユーザ レコードで、この属性名と一致する値を検索します。

                                                    デフォルトの属性が LDAP プロバイダーに対して設定されていない場合は、この値が必要です。

                                                    ステップ 5   （任意）  リモート ユーザがログインし、システムがそのユーザ名に基づいてユーザの DN の取得を試みるときに、サーバが検索を開始する LDAP 階層内の特定の識別名を設定します。

                                                    Firepower-chassis /security/ldap/server # set basedn basedn-name

                                                    ベース DN の長さは、最大 255 文字から CN=username の長さを引いた長さに設定することができます。username により、LDAP 認証を使用して Firepower Chassis Manager または FXOS CLI にアクセスしようとするリモート ユーザが識別されます。

                                                    デフォルトのベース DN が LDAP プロバイダーに対して設定されていない場合は、この値が必要です。

                                                    ステップ 6   （任意）  ベース DN のすべてのオブジェクトに対する読み取り権限と検索権限を持つ、LDAP データベース アカウントの識別名（DN）を設定します。

                                                    Firepower-chassis /security/ldap/server # set binddn binddn-name

                                                    サポートされるストリングの最大長は 255 文字（ASCII）です。

                                                    ステップ 7   （任意）  LDAP 検索を、定義されたフィルタと一致するユーザ名に制限します。

                                                    Firepower-chassis /security/ldap/server # set filter filter-value

                                                    デフォルトのフィルタが LDAP プロバイダーに設定されていない場合は、この値が必要です。

                                                    ステップ 8   バインド DN に指定した LDAP データベース アカウントのパスワードを指定します。

                                                    Firepower-chassis /security/ldap/server # set password

                                                    標準 ASCII 文字を入力できます。ただし、「§」（セクション記号）、「?」（疑問符）、「=」（等号）は使用できません。

                                                    パスワードを設定するには、set password コマンドを入力し、プロンプトでキー値を入力してから Enter キーを押します。

                                                    ステップ 9   （任意）  Firepower eXtensible Operating System でこのプロバイダーをユーザの認証に使用する順序を指定します。

                                                    Firepower-chassis /security/ldap/server # set order order-num

                                                    ステップ 10   （任意）  LDAP サーバとの通信に使用するポートを指定します。標準ポート番号は 389 です。

                                                    Firepower-chassis /security/ldap/server # set port port-num

                                                    ステップ 11   LDAP サーバと通信するときの暗号化の使用を有効または無効にします。

                                                    Firepower-chassis /security/ldap/server # set ssl {yes|no}

                                                    オプションは次のとおりです。

                                                    • yes：暗号化が必要です。暗号化をネゴシエートできない場合は、接続に失敗します。

                                                    • no：暗号化は無効です。認証情報はクリア テキストとして送信されます。

                                                    LDAP では STARTTLS が使用されます。これにより、ポート 389 を使用した暗号化通信が可能になります。

                                                    ステップ 12   LDAP データベースへの問い合わせがタイム アウトするまでの秒数を指定します。

                                                    Firepower-chassis /security/ldap/server # set timeout timeout-num

                                                    1 ～ 60 秒の整数を入力するか、0（ゼロ）を入力して LDAP プロバイダーに対して指定したグローバル タイムアウト値を使用します。デフォルトは 30 秒です。

                                                    ステップ 13   LDAP プロバイダーまたはサーバの詳細を提供するベンダーを指定します。

                                                    Firepower-chassis /security/ldap/server # set vendor {ms-ad | openldap}

                                                    オプションは次のとおりです。

                                                    • ms-ad：LDAP プロバイダーは Microsoft Active Directory です。

                                                    • openldap：LDAP プロバイダーは Microsoft Active Directory ではありません。

                                                    ステップ 14   （任意）証明書失効リスト検査を有効にします。

                                                    Firepower-chassis /security/ldap/server # set revoke-policy {strict | relaxed}

                                                    （注）      この設定は、SSL 接続が使用可能である場合にのみ有効です。
                                                    ステップ 15   トランザクションをシステムの設定に対して確定します。

                                                    Firepower-chassis /security/ldap/server # commit-buffer

                                                    次の例では、10.193.169.246 という名前の LDAP サーバ インスタンスを作成し、バインド DN、パスワード、順序、ポート、SSL、ベンダー属性を設定し、トランザクションを確定します。

                                                    Firepower-chassis# scope security
Firepower-chassis /security # scope ldap
Firepower-chassis /security/ldap* # create server 10.193.169.246
Firepower-chassis /security/ldap/server* # set binddn "cn=Administrator,cn=Users,DC=cisco-firepower-aaa3,DC=qalab,DC=com"
Firepower-chassis /security/ldap/server* # set password
Enter the password:
Confirm the password:
Firepower-chassis /security/ldap/server* # set order 2
Firepower-chassis /security/ldap/server* # set port 389
Firepower-chassis /security/ldap/server* # set ssl yes
Firepower-chassis /security/ldap/server* # set timeout 30
Firepower-chassis /security/ldap/server* # set vendor ms-ad 
Firepower-chassis /security/ldap/server* # commit-buffer
Firepower-chassis /security/ldap/server #

                                                    次の例では、12:31:71:1231:45b1:0011:011:900 という名前の LDAP サーバ インスタンスを作成し、バインド DN、パスワード、順序、ポート、SSL、ベンダー属性を設定し、トランザクションを確定します。

                                                    Firepower-chassis# scope security
Firepower-chassis /security # scope ldap
Firepower-chassis /security/ldap* # create server 12:31:71:1231:45b1:0011:011:900
Firepower-chassis /security/ldap/server* # set binddn "cn=Administrator,cn=Users,DC=cisco-firepower-aaa3,DC=qalab,DC=com"
Firepower-chassis /security/ldap/server* # set password
Enter the password:
Confirm the password:
Firepower-chassis /security/ldap/server* # set order 1
Firepower-chassis /security/ldap/server* # set port 389
Firepower-chassis /security/ldap/server* # set ssl yes
Firepower-chassis /security/ldap/server* # set timeout 45
Firepower-chassis /security/ldap/server* # set vendor ms-ad 
Firepower-chassis /security/ldap/server* # commit-buffer
Firepower-chassis /security/ldap/server #

                                                    LDAP プロバイダーの削除

                                                    手順
                                                      ステップ 1   セキュリティ モードに入ります。

                                                      Firepower-chassis# scope security

                                                      ステップ 2   セキュリティ LDAP モードに入ります。

                                                      Firepower-chassis /security # scope ldap

                                                      ステップ 3   指定したサーバを削除します。

                                                      Firepower-chassis /security/ldap # delete server serv-name

                                                      ステップ 4   トランザクションをシステムの設定に対して確定します。

                                                      Firepower-chassis /security/ldap # commit-buffer

                                                      次に、ldap1 という LDAP サーバを削除し、トランザクションを確定する例を示します。

                                                      Firepower-chassis# scope security
Firepower-chassis /security # scope ldap
Firepower-chassis /security/ldap # delete server ldap1
Firepower-chassis /security/ldap* # commit-buffer
Firepower-chassis /security/ldap #

                                                      RADIUS プロバイダーの設定

                                                      RADIUS プロバイダーのプロパティの設定

                                                      このタスクで設定するプロパティが、このタイプのすべてのプロバイダー接続のデフォルト設定です。個々のプロバイダーにいずれかのプロパティの設定が含まれている場合、Firepower eXtensible Operating System でその設定が使用され、デフォルト設定は無視されます。

                                                      手順
                                                        ステップ 1   セキュリティ モードに入ります。

                                                        Firepower-chassis# scope security

                                                        ステップ 2   セキュリティ RADIUS モードに入ります。

                                                        Firepower-chassis /security # scope radius

                                                        ステップ 3   （任意）  サーバをダウン状態として通知する前に RADIUS サーバとの通信を再試行する回数を指定します。

                                                        Firepower-chassis /security/radius # set retries retry-num

                                                        ステップ 4   （任意）  システムがサーバをダウン状態として通知する前に、RADIUS サーバからの応答を待機する時間間隔を設定します。

                                                        Firepower-chassis /security/radius # set timeout seconds

                                                        ステップ 5   トランザクションをシステムの設定に対して確定します。

                                                        Firepower-chassis /security/radius # commit-buffer

                                                        次の例は、RADIUS の再試行回数を 4 に設定し、タイムアウト間隔を 30 秒に設定し、トランザクションを確定します。

                                                        Firepower-chassis# scope security
Firepower-chassis /security # scope radius
Firepower-chassis /security/radius # set retries 4
Firepower-chassis /security/radius* # set timeout 30
Firepower-chassis /security/radius* # commit-buffer
Firepower-chassis /security/radius #
                                                        次の作業

                                                        RADIUS プロバイダーを作成します。

                                                        RADIUS プロバイダーの作成

                                                        Firepower eXtensible Operating System では、最大 16 の RADIUS プロバイダーをサポートします。

                                                        手順
                                                          ステップ 1   セキュリティ モードに入ります。

                                                          Firepower-chassis# scope security

                                                          ステップ 2   セキュリティ RADIUS モードに入ります。

                                                          Firepower-chassis /security # scope radius

                                                          ステップ 3   RADIUS サーバ インスタンスを作成し、セキュリティ RADIUS サーバ モードに入ります。

                                                          Firepower-chassis /security/radius # create server server-name

                                                          ステップ 4   （任意）  RADIUS サーバとの通信に使用するポートを指定します。

                                                          Firepower-chassis /security/radius/server # set authport authport-num

                                                          ステップ 5   RADIUS サーバ キーを設定します。

                                                          Firepower-chassis /security/radius/server # set key

                                                          キー値を設定するには、set key コマンドを入力し、プロンプトでキー値を入力してから Enter キーを押します。

                                                          ステップ 6   （任意）  このサーバが試行される順序を指定します。

                                                          Firepower-chassis /security/radius/server # set order order-num

                                                          ステップ 7   （任意）  サーバをダウン状態として通知する前に RADIUS サーバとの通信を再試行する回数を設定します。

                                                          Firepower-chassis /security/radius/server # set retries retry-num

                                                          ステップ 8   システムがサーバをダウン状態として通知する前に、RADIUS サーバからの応答を待つ時間間隔を指定します。

                                                          Firepower-chassis /security/radius/server # set timeout seconds

                                                          ヒント   

                                                          RADIUS プロバイダーに二要素認証を選択する場合は、より高いタイムアウト値を設定することを推奨します。

                                                          ステップ 9   トランザクションをシステムの設定に対して確定します。

                                                          Firepower-chassis /security/radius/server # commit-buffer

                                                          次の例は、radiusserv7 という名前のサーバ インスタンスを作成し、認証ポートを 5858 に設定し、キーを radiuskey321 に設定し、順序を 2 に設定し、再試行回数を 4 回に設定し、タイムアウトを 30 に設定し、二要素認証を有効にし、トランザクションをコミットします。

                                                          Firepower-chassis# scope security
Firepower-chassis /security # scope radius
Firepower-chassis /security/radius # create server radiusserv7
Firepower-chassis /security/radius/server* # set authport 5858
Firepower-chassis /security/radius/server* # set key
Enter the key: radiuskey321
Confirm the key: radiuskey321
Firepower-chassis /security/radius/server* # set order 2
Firepower-chassis /security/radius/server* # set retries 4
Firepower-chassis /security/radius/server* # set timeout 30
Firepower-chassis /security/radius/server* # commit-buffer
Firepower-chassis /security/radius/server #

                                                          RADIUS プロバイダーの削除

                                                          手順
                                                            ステップ 1   セキュリティ モードに入ります。

                                                            Firepower-chassis# scope security

                                                            ステップ 2   セキュリティ RADIUS モードに入ります。

                                                            Firepower-chassis /security # scope RADIUS

                                                            ステップ 3   指定したサーバを削除します。

                                                            Firepower-chassis /security/radius # delete server serv-name

                                                            ステップ 4   トランザクションをシステムの設定に対して確定します。

                                                            Firepower-chassis /security/radius # commit-buffer

                                                            次に、radius1 という RADIUS サーバを削除し、トランザクションを確定する例を示します。

                                                            Firepower-chassis# scope security
Firepower-chassis /security # scope radius
Firepower-chassis /security/radius # delete server radius1
Firepower-chassis /security/radius* # commit-buffer
Firepower-chassis /security/radius #

                                                            TACACS+ プロバイダーの設定

                                                            TACACS+ プロバイダーのプロパティの設定

                                                            このタスクで設定するプロパティが、このタイプのすべてのプロバイダー接続のデフォルト設定です。個々のプロバイダーにいずれかのプロパティの設定が含まれている場合、Firepower eXtensible Operating System でその設定が使用され、デフォルト設定は無視されます。

                                                            手順
                                                              ステップ 1   セキュリティ モードに入ります。

                                                              Firepower-chassis# scope security

                                                              ステップ 2   セキュリティ TACACS+ モードに入ります。

                                                              Firepower-chassis /security # scope tacacs

                                                              ステップ 3   （任意）  システムがサーバをダウン状態として通知する前に、TACACS+ サーバからの応答を待機する時間間隔を設定します。

                                                              Firepower-chassis /security/tacacs # set timeout seconds

                                                              ステップ 4   トランザクションをシステムの設定に対して確定します。

                                                              Firepower-chassis /security/tacacs # commit-buffer

                                                              次に、TACACS+ タイムアウト間隔を 45 秒に設定し、トランザクションを確定する例を示します。

                                                              Firepower-chassis# scope security
Firepower-chassis /security # scope tacacs
Firepower-chassis /security/tacacs # set timeout 45
Firepower-chassis /security/tacacs* # commit-buffer
Firepower-chassis /security/tacacs #
                                                              次の作業

                                                              TACACS+ プロバイダーを作成します。

                                                              TACACS+ プロバイダーの作成

                                                              Firepower eXtensible Operating System では、最大 16 の TACACS+ プロバイダーをサポートします。

                                                              手順
                                                                ステップ 1   セキュリティ モードに入ります。

                                                                Firepower-chassis# scope security

                                                                ステップ 2   セキュリティ TACACS+ モードに入ります。

                                                                Firepower-chassis /security # scope tacacs

                                                                ステップ 3   TACACS+ サーバ インスタンスを作成し、セキュリティ TACACS+ サーバ モードに入ります。

                                                                Firepower-chassis /security/tacacs # create server server-name

                                                                ステップ 4   TACACS+ サーバ キーを指定します。

                                                                Firepower-chassis /security/tacacs/server # set key

                                                                キー値を設定するには、set key コマンドを入力し、プロンプトでキー値を入力してから Enter キーを押します。

                                                                ステップ 5   （任意）  このサーバが試行される順序を指定します。

                                                                Firepower-chassis /security/tacacs/server # set order order-num

                                                                ステップ 6   システムがサーバをダウン状態として通知する前に、TACACS+ サーバからの応答を待機する時間間隔を指定します。

                                                                Firepower-chassis /security/tacacs/server # set timeout seconds

                                                                ヒント   

                                                                TACACS+ プロバイダーに二要素認証を選択する場合は、より高いタイムアウト値を設定することを推奨します。

                                                                ステップ 7   （任意）  TACACS+ サーバとの通信に使用するポートを指定します。

                                                                Firepower-chassis /security/tacacs/server # set port port-num

                                                                ステップ 8   トランザクションをシステムの設定に対して確定します。

                                                                Firepower-chassis /security/tacacs/server # commit-buffer

                                                                次に、tacacsserv680 という名前のサーバ インスタンスを作成し、キーを tacacskey321 に設定し、順序を 4 に設定し、認証ポートを 5859 に設定し、トランザクションを確定する例を示します。

                                                                Firepower-chassis# scope security
Firepower-chassis /security # scope tacacs
Firepower-chassis /security/tacacs # create server tacacsserv680
Firepower-chassis /security/tacacs/server* # set key
Enter the key: tacacskey321
Confirm the key: tacacskey321
Firepower-chassis /security/tacacs/server* # set order 4
Firepower-chassis /security/tacacs/server* # set port 5859
Firepower-chassis /security/tacacs/server* # commit-buffer
Firepower-chassis /security/tacacs/server #

                                                                TACACS+ プロバイダーの削除

                                                                手順
                                                                  ステップ 1   セキュリティ モードに入ります。

                                                                  Firepower-chassis# scope security

                                                                  ステップ 2   セキュリティ TACACS+ モードに入ります。

                                                                  Firepower-chassis /security # scope tacacs

                                                                  ステップ 3   指定したサーバを削除します。

                                                                  Firepower-chassis /security/tacacs # delete server serv-name

                                                                  ステップ 4   トランザクションをシステムの設定に対して確定します。

                                                                  Firepower-chassis /security/tacacs # commit-buffer

                                                                  次に、tacacs1 という TACACS+ サーバを削除し、トランザクションを確定する例を示します。

                                                                  Firepower-chassis# scope security
Firepower-chassis /security # scope tacacs
Firepower-chassis /security/tacacs # delete server tacacs1
Firepower-chassis /security/tacacs* # commit-buffer
Firepower-chassis /security/tacacs #

                                                                  Syslog の設定

                                                                  システム ロギングは、デバイスから syslog デーモンを実行するサーバへのメッセージを収集する方法です。中央 syslog サーバへロギングは、ログおよびアラートの集約に役立ちます。syslog サービスは、簡単なコンフィギュレーション ファイルに従って、メッセージを受信してファイルに保存するか、出力します。この形式のロギングは、ログ用の保護された長期ストレージを提供します。ログは、ルーチンのトラブルシューティングおよびインシデント処理の両方で役立ちます。

                                                                  手順
                                                                    ステップ 1   モニタリング モードに入ります。

                                                                    Firepower-chassis# scope monitoring

                                                                    ステップ 2   コンソールへの syslog の送信を有効または無効にします。

                                                                    Firepower-chassis /monitoring # {enable | disable} syslog console

                                                                    ステップ 3   （任意）  表示するメッセージの最低レベルを選択します。syslog が使用可能である場合、システムはそのレベル以上のメッセージをコンソールに表示します。レベル オプションは緊急性の降順で一覧表示されます。デフォルトのレベルは [クリティカル（Critical）] です。

                                                                    Firepower-chassis /monitoring # set syslog console level {emergencies | alerts | critical}

                                                                    ステップ 4   オペレーティング システムによる syslog 情報のモニタリングを有効または無効にします。

                                                                    Firepower-chassis /monitoring # {enable | disable} syslog monitor

                                                                    ステップ 5   （任意）  表示するメッセージの最低レベルを選択します。モニタの状態が有効の場合、システムはそのレベル以上のメッセージを表示します。レベル オプションは緊急性の降順で一覧表示されます。デフォルトのレベルは [クリティカル（Critical）] です。

                                                                    Firepower-chassis /monitoring # set syslog monitor level {emergencies | alerts | critical | errors | warnings | notifications | information | debugging}

                                                                    （注）     

                                                                    [クリティカル（Critical）] より下のレベルのメッセージは、terminal monitor コマンドを入力した場合にのみ端末モニタに表示されます。

                                                                    ステップ 6   syslog ファイルへの syslog 情報の書き込みを有効または無効にします。

                                                                    Firepower-chassis /monitoring # {enable | disable} syslog file

                                                                    ステップ 7   メッセージが記録されるファイルの名前を指定します。ファイル名は 16 文字まで入力できます。

                                                                    Firepower-chassis /monitoring # set syslog file name filename

                                                                    ステップ 8   （任意）  ファイルに保存するメッセージの最低レベルを選択します。ファイルの状態が有効の場合、システムはそのレベル以上のメッセージを syslog ファイルに保存します。レベル オプションは緊急性の降順で一覧表示されます。デフォルトのレベルは [クリティカル（Critical）] です。

                                                                    Firepower-chassis /monitoring # set syslog file level {emergencies | alerts | critical | errors | warnings | notifications | information | debugging}

                                                                    ステップ 9   （任意）  最大ファイル サイズ（バイト単位）を指定します。このサイズを超えると、最も古いメッセージを最新のメッセージで上書きします。有効な範囲は 4096 ～ 4194304 バイトです。

                                                                    Firepower-chassis /monitoring # set syslog file size filesize

                                                                    ステップ 10   最大 3 台の外部 syslog サーバへの syslog メッセージの送信を設定します。
                                                                    1. 最大 3 台の外部 syslog サーバへの syslog メッセージの送信を有効または無効にします。

                                                                      Firepower-chassis /monitoring # {enable | disable} syslog remote-destination {server-1 | server-2 | server-3}

                                                                    2. 任意: 外部ログに保存するメッセージの最低レベルを選択します。リモート宛先が有効になっている場合、システムはそのレベル以上のメッセージを外部サーバに送信します。レベル オプションは緊急性の降順で一覧表示されます。デフォルトのレベルは [クリティカル（Critical）] です。

                                                                      Firepower-chassis /monitoring # set syslog remote-destination {server-1 | server-2 | server-3} level{emergencies | alerts | critical | errors | warnings | notifications | information | debugging}

                                                                    3. 指定したリモート syslog サーバのホスト名または IP アドレスを指定します。ホスト名は 256 文字まで入力できます。

                                                                      Firepower-chassis /monitoring # set syslog remote-destination {server-1 | server-2 | server-3} hostname hostname

                                                                    4. 任意: 指定したリモート syslog サーバに送信される syslog メッセージに含まれるファシリティ レベルを指定します。

                                                                      Firepower-chassis /monitoring # set syslog remote-destination {server-1 | server-2 | server-3} facility {local0 | local1 | local2 | local3 | local4 | local5 | local6 | local7}

                                                                    ステップ 11   ローカル送信元を設定します。有効または無効にするローカル ソースごとに次のコマンドを入力します。

                                                                    Firepower-chassis /monitoring # {enable | disable} syslog source {audits | events | faults}

                                                                    次のいずれかになります。

                                                                    • audits：すべての監査ログ イベントのロギングを有効または無効にします。

                                                                    • events：すべてのシステム イベントのロギングを有効または無効にします。

                                                                    • faults：すべてのシステム障害のロギングを有効または無効にします。

                                                                    ステップ 12   トランザクションを確定します。

                                                                    Firepower-chassis /monitoring # commit-buffer

                                                                    次の例は、ローカル ファイルの syslog メッセージのストレージを有効にし、トランザクションを確定します。

                                                                    Firepower-chassis# scope monitoring
Firepower-chassis /monitoring # disable syslog console
Firepower-chassis /monitoring* # disable syslog monitor
Firepower-chassis /monitoring* # enable syslog file
Firepower-chassis /monitoring* # set syslog file name SysMsgsFirepower
Firepower-chassis /monitoring* # set syslog file level notifications
Firepower-chassis /monitoring* # set syslog file size 4194304
Firepower-chassis /monitoring* # disable syslog remote-destination server-1
Firepower-chassis /monitoring* # disable syslog remote-destination server-2
Firepower-chassis /monitoring* # disable syslog remote-destination server-3
Firepower-chassis /monitoring* # commit-buffer
Firepower-chassis /monitoring #

                                                                    DNS サーバの設定

                                                                    システムでホスト名の IP アドレスへの解決が必要な場合は、DNS サーバを指定する必要があります。たとえば、DNS サーバを設定していない場合は、Firepower シャーシに関する設定を行うときに、www.cisco.com などの名前を使用できません。サーバの IP アドレスを使用する必要があります。これには、IPv4 または IPv6 アドレスのいずれかを使用できます。最大 4 台の DNS サーバを設定できます。


                                                                    （注）  

                                                                    複数の DNS サーバを設定する場合、システムによるサーバの検索順はランダムになります。ローカル管理コマンドが DNS サーバの検索を必要とする場合、3 台の DNS サーバのみをランダムに検索します。

                                                                    手順
                                                                      ステップ 1   システム モードに入ります。

                                                                      Firepower-chassis #scope system

                                                                      ステップ 2   システム サービス モードに入ります。

                                                                      Firepower-chassis /system #scope services

                                                                      ステップ 3   DNS サーバを作成または削除するには、次のように適切なコマンドを入力します。

                                                                      • 指定した IPv4 または IPv6 アドレスの DNS サーバを使用するようにシステムを設定するには、次のコマンドを使用します。

                                                                        Firepower-chassis /system/services # createdns {ip-addr | ip6-addr}

                                                                      • 指定した IPv4 または IPv6 アドレスの DNS サーバを削除するには、次のコマンドを使用します。

                                                                        Firepower-chassis /system/services # deletedns {ip-addr | ip6-addr}

                                                                      ステップ 4   トランザクションをシステムの設定に対して確定します。

                                                                      Firepower /system/services # commit-buffer

                                                                      次に、IPv4 アドレス 192.168.200.105 の DNS サーバを設定し、トランザクションを確定する例を示します。

                                                                      Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # create dns 192.168.200.105
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

                                                                      次に、IPv6 アドレス 2001:db8::22:F376:FF3B:AB3F の DNS サーバを設定し、トランザクションを確定する例を示します。 

                                                                      Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # create dns 2001:db8::22:F376:FF3B:AB3F
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

                                                                      次に、IP アドレス 192.168.200.105 の DNS サーバを削除し、トランザクションを確定する例を示します。 

                                                                      Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # delete dns 192.168.200.105
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

                                                                      このドキュメントは役に立ちましたか?

                                                                      Feedbackフィードバック

                                                                      シスコに問い合わせ