Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.3(1) コンフィギュレーション ガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.3(1) コンフィギュレーション ガイド

Chapter Title

ASA のライセンス管理

検索結果

Updated:
2019年1月1日

章のタイトル： ASA のライセンス管理

ASA のライセンス管理

シスコ スマート ソフトウェア ライセンスによって、ライセンスを購入し、ライセンスのプールを一元管理することができます。各ユニットのライセンス キーを管理しなくても、簡単にデバイスを導入したり導入を終了したりできます。スマート ソフトウェア ライセンスを利用すれば、ライセンスの使用状況と要件をひと目で確認することもできます。


（注）  

このセクションは、Firepower 4100/9300 シャーシ上の ASA 論理デバイスにのみ該当します。Firepower Threat Defense 論理デバイスのライセンスの詳細については、『Firepower Management Center Configuration Guide』を参照してください。

スマート ソフトウェア ライセンスについて

ここでは、スマート ソフトウェア ライセンスの仕組みについて説明します。


（注）  

このセクションは、Firepower 4100/9300 シャーシ上の ASA 論理デバイスにのみ該当します。Firepower Threat Defense 論理デバイスのライセンスの詳細については、『Firepower Management Center Configuration Guide』を参照してください。

ASA のススマート ソフトウェア ライセンシング

Firepower 4100/9300 シャーシ上の ASA アプリケーションの場合、スマート ソフトウェア ライセンス設定は Firepower 4100/9300 シャーシ スーパバイザとアプリケーションの間で分割されます。

  • Firepower 4100/9300 シャーシ：ライセンス認証局との通信を行うためのパラメータを含めて、スーパバイザにすべてのスマート ソフトウェア ライセンス インフラストラクチャを設定します。Firepower 4100/9300 シャーシ 自体の動作にライセンスは必要ありません。


    （注）  

    シャーシ間クラスタリングでは、クラスタ内の各シャーシで同じスマート ライセンス方式を有効にする必要があります。

  • ASA アプリケーション：アプリケーションのすべてのライセンスの権限付与を設定します。

Smart Software Manager とアカウント

デバイスの 1 つ以上のライセンスを購入する場合は、Cisco Smart Software Manager で管理します。

https://software.cisco.com/#module/SmartLicensing

Smart Software Manager では、組織のマスター アカウントを作成できます。


（注）  

まだアカウントをお持ちでない場合は、リンクをクリックして新しいアカウントを設定してください。Smart Software Manager では、組織のマスター アカウントを作成できます。

デフォルトで、ライセンスはマスター アカウントの下のデフォルト仮想アカウントに割り当てられます。アカウント管理者であれば、任意で追加の仮想アカウントを作成できます。たとえば、地域、部門、または子会社のアカウントを作成できます。複数の仮想アカウントを使用すると、大量のライセンスおよびデバイスをより簡単に管理できます。

オフライン管理

デバイスにインターネット アクセスがなく、License Authority に登録できない場合は、オフライン ライセンスを設定できます。

パーマネント ライセンスの予約

デバイスがセキュリティ上の理由でインターネットにアクセスできない場合、オプションで、各 ASA の永続ライセンスを要求できます。永続ライセンスでは、License Authority への定期的なアクセスは必要ありません。PAK ライセンスのように、ライセンスを購入し、ASA のライセンス キーをインストールします。PAK ライセンスとは異なり、ライセンスの取得と管理に Smart Software Manager を使用します。通常のスマート ライセンス モードと永続ライセンスの予約モード間で簡単に切り替えることができます。

すべての機能、すなわちモデルの正しい最大スループットを備えた標準ティアおよびキャリア ライセンスを有効にするライセンスを取得できます。ライセンスは Firepower 4100/9300 シャーシ上で管理されますが、それに加えて ASA の設定で権限付与を要求することにより、ASA でそれらを使用できるようにする必要があります。

サテライト サーバ

デバイスがセキュリティ上の理由でインターネットにアクセスができない場合、オプションで、仮想マシン（VM）としてローカル Smart Software Manager サテライト サーバをインストールできます。サテライト（衛星）は、Smart Software Manager 機能のサブセットを提供し、これによりすべてのローカル デバイスに重要なライセンス サービスが提供可能になります。ライセンス使用を同期するために、定期的に衛星だけが License Authority と同期する必要があります。スケジュールに沿って同期するか、または手動で同期できます。

サテライト アプリケーションをダウンロードして導入したら、インターネットを使用して Cisco SSM にデータを送信しなくても、以下の機能を実行できます。

  • ライセンスの有効化または登録

  • 企業ライセンスの表示

  • 会社のエンティティ間でのライセンス移動

詳細については、Smart Account Manager satelliteにあるスマート ソフトウェア マネージャ サテライトのインストール ガイドおよびコンフィギュレーション ガイドを参照してください。

仮想アカウントごとに管理されるライセンスとデバイス

ライセンスとデバイスは仮想アカウントごとに管理されます。アカウントに割り当てられたライセンスを使用できるのは、その仮想アカウントのデバイスのみです。追加のライセンスが必要な場合は、別の仮想アカウントから未使用のライセンスを転用できます。仮想アカウント間でデバイスを転送することもできます。

Firepower 4100/9300 シャーシのみがデバイスとして登録され、シャーシ内の ASA アプリケーションはそれぞれ固有のライセンスを要求します。たとえば、3 つのセキュリティ モジュールを搭載した Firepower 9300 シャーシでは、全シャーシが 1 つのデバイスとして登録されますが、各モジュールは合計 3 つのライセンスを別個に使用します。

評価ライセンス

Firepower 4100/9300 シャーシ は、次の 2 種類の評価ライセンスをサポートしています。

  • シャーシ レベル評価モード：Firepower 4100/9300 シャーシによる Licensing Authority への登録の前に、評価モードで 90 日間（合計使用期間）動作します。このモードでは、ASA は固有の権限付与を要求できません。デフォルトの権限のみが有効になります。この期間が終了すると、Firepower 4100/9300 シャーシ はコンプライアンス違反の状態になります。

  • 権限付与ベースの評価モード：Firepower 4100/9300 シャーシ が Licensing Authority に登録をした後、ASA に割り当て可能な時間ベースの評価ライセンスを取得できます。ASA で、通常どおりに権限付与を要求します。時間ベースのライセンスの期限が切れると、時間ベースのライセンスを更新するか、または永続ライセンスを取得する必要があります。


    （注）  

    高度暗号化（3DES/AES）の評価ライセンスは取得できません。永続ライセンスのみがこの権限をサポートします。

Smart Software Manager 通信

このセクションでは、デバイスの Smart Software Manager に対する通信方法について説明します。

デバイスの登録とトークン

各仮想アカウントに対し、登録トークンを作成できます。このトークンは、デフォルトで 30 日間有効です。各シャーシを導入するとき、または既存のシャーシを登録するときにこのトークン ID と権限付与レベルを入力します。既存のトークンの有効期限が切れている場合は、新しいトークンを作成できます。

導入した後、または既存のシャーシでこれらのパラメータを手動で設定した後、そのシャーシを起動するとシスコのライセンス認証局に登録されます。シャーシがトークンで登録されるとき、ライセンス認証局はシャーシとそのライセンス認証局との間で通信を行うために ID 証明書を発行します。この証明書の有効期間は 1 年ですが、6 か月ごとに更新されます。

License Authority との定期通信

デバイスは 30 日ごとに License Authority と通信します。Smart Software Manager に変更を行う場合、デバイスの認証を更新して変更をすぐに反映させることができます。またはスケジュール設定されたデバイスの通信を待つこともできます。

必要に応じて、HTTP プロキシを設定できます。

Firepower 4100/9300 シャーシでは、少なくとも 90 日おきに、直接接続または HTTP プロキシを介したインターネット アクセスが必要です。通常のライセンス通信が 30 日ごとに行われますが、猶予期間によって、デバイスは Call Home なしで最大 90 日間動作します。猶予期間後、Licensing Authority に連絡しない限り、特別なライセンスを必要とする機能の設定変更を行えませんが、動作には影響ありません。

非適合状態

デバイスは、次の状況においてコンプライアンス違反になる可能性があります。

  • 使用率超過：デバイスが使用不可のライセンスを使用している場合。

  • ライセンスの有効期限切れ：時間ベースのライセンスの有効期限が切れている場合。

  • 通信の欠落：デバイスが再許可を得るために Licensing Authority に到達できない場合。

アカウントのステータスがコンプライアンス違反状態なのか、違反状態に近づいているのかを確認するには、Firepower 4100/9300 シャーシで現在使用中の権限付与とスマート アカウントのものを比較する必要があります。

コンプライアンス違反の場合、特別なライセンスが必要な機能への設定変更はできなくなりますが、その他の動作には影響ありません。たとえば、標準のライセンス制限を超える既存のコンテキストは実行を継続でき、その構成を変更することもできますが、新しいコンテキストを追加することはできません。

Smart Call Home インフラストラクチャ

デフォルトで、Smart Call Home のプロファイルは、ライセンス認証局の URL を指定する FXOS 設定内にあります。このプロファイルは削除できません。ライセンス プロファイルの唯一の設定可能なオプションが License Authority の宛先アドレス URL であることに注意してください。Cisco TAC に指示されない限り、License Authority の URL は変更しないでください。

スマート ソフトウェア ライセンスの前提条件

  • この章は、Firepower 4100/9300 シャーシ上の ASA 論理デバイスにのみ該当します。Firepower Threat Defense 論理デバイスのライセンスの詳細については、『Firepower Management Center Configuration Guide』を参照してください。

  • Cisco Smart Software Manager でマスター アカウントを作成します。

    https://software.cisco.com/#module/SmartLicensing

    まだアカウントをお持ちでない場合は、このリンクをクリックして新しいアカウントをセットアップしてください。Smart Software Manager では、組織のマスター アカウントを作成できます。

  • Cisco Commerce Workspace から 1 つ以上のライセンスを購入します。ホーム ページの [Find Products and Solutions] フィールドで、該当するプラットフォームを検索します。一部のライセンスは無料ですが、スマート ソフトウェア ライセンス アカウントにそれらを追加する必要があります。

  • シャーシがライセンス機関と通信できるように、シャーシからのインターネット アクセスまたは HTTP プロキシ アクセスを確保します。

  • シャーシがライセンス機関の名前を解決できるように、DNS サーバを設定します。

  • シャーシのための時間を設定します。

  • ASA ライセンス資格を設定する前に、Firepower 4100/9300 シャーシでスマート ソフトウェア ライセンス インフラストラクチャを設定します。

スマート ソフトウェア ライセンスのガイドライン

フェイルオーバー クラスタリングのための ASA ガイドライン

各 Firepower 4100/9300 シャーシは、License Authority またはサテライト サーバに登録される必要があります。セカンダリ ユニットに追加費用はかかりません。 永続ライセンスを予約するには、シャーシごとに個別のライセンスを購入する必要があります。

スマート ソフトウェア ライセンスのデフォルト

Firepower 4100/9300 シャーシ のデフォルト設定には、ライセンス認証局の URL を指定する「SLProf」という Smart Call Home のプロファイルが含まれています。

通常スマート ソフトウェア ライセンシングの設定

Cisco License Authority と通信するため、必要に応じて HTTP プロキシを設定できます。License Authority に登録するには、スマート ソフトウェア ライセンス アカウントから取得した Firepower 4100/9300 シャーシ の登録トークン ID を入力する必要があります。

手順

ステップ 1

（任意）HTTP プロキシの設定。

ステップ 2

Firepower セキュリティ アプライアンスの License Authority への登録。

（任意）HTTP プロキシの設定

ネットワークでインターネット アクセスに HTTP プロキシを使用する場合、スマート ソフトウェア ライセンスのプロキシ アドレスを設定する必要があります。このプロキシは、一般に Smart Call Home にも使用されます。


（注）  

認証を使用する HTTP プロキシはサポートされません。

手順

ステップ 1

[System] > [Licensing] > [Call Home] を選択します。

[Call Home] ページには、License Authority の宛先アドレス URL を設定するフィールド、および HTTP プロキシを設定するフィールドが表示されます。

（注）   

Cisco TAC に指示されない限り、License Authority の URL は変更しないでください。

ステップ 2

[Server Enable] ドロップダウン リストで [on] を選択します。

ステップ 3

[Server URL] および [Server Port] フィールドにプロキシの IP アドレスとポートを入力します。たとえば、HTTPS サーバのポート 443 を入力します。

ステップ 4

[Save] をクリックします。

（任意）Call Home URL の削除

以前に設定された Call Home URL を削除するには、次の手順を実行します。

手順

ステップ 1

[System] > [Licensing] > [Call Home] を選択します。

ステップ 2

[Call home Configuration] 領域で、[Delete] を選択します。

Firepower セキュリティ アプライアンスの License Authority への登録

Firepower 4100/9300 シャーシ を登録すると、ライセンス認証局によって Firepower 4100/9300 シャーシ とライセンス認証局との間の通信に使用される ID 証明書が発行されます。また、Firepower 4100/9300 シャーシ が該当する仮想アカウントに割り当てられます。通常、この手順は 1 回で済みます。ただし、通信の問題などが原因で ID 証明書の期限が切れた場合は、Firepower 4100/9300 シャーシ の再登録が必要になります。

手順

ステップ 1

Smart Software Manager または Smart Software Manager Satellite で、このFirepower 4100/9300 シャーシの追加先となるバーチャル アカウントの登録トークンを要求してコピーします。

スマート ソフトウェア マネージャ サテライトを使用して登録トークンを要求する方法について詳しくは、『Cisco Smart Software Manager Satellite User Guide』（http://www.cisco.com/web/software/286285517/138897/Smart_Software_Manager_satellite_4.1.0_User_Guide.pdf）を参照してください。

ステップ 2

Firepower Chassis Manager で、[System] > [Licensing] > [Smart License] の順に選択します。

ステップ 3

[Enter Product Instance Registration Token] フィールドに登録トークンを入力します。

ステップ 4

[Register] をクリックします。

Firepower 4100/9300 シャーシがライセンス認証局への登録を試行します。

デバイスの登録を解除するには、[Unregister] をクリックします。

Firepower 4100/9300 シャーシ の登録を解除すると、アカウントからデバイスが削除されます。デバイスのすべてのライセンス資格と証明書が削除されます。登録を解除することで、ライセンスを新しい Firepower 4100/9300 シャーシ に利用することもできます。あるいは、Smart Software Manager からデバイスを削除できます。

Firepower 4100/9300 シャーシのスマート ライセンス サテライト サーバの設定

スマート ライセンス サテライト サーバを使用するように Firepower 4100/9300 シャーシを設定するには、次の手順に従います。

始める前に

手順

ステップ 1

[System] > [Licensing] > [Call Home] を選択します。

ステップ 2

[Call home Configuration] 領域で、[Address] フィールドのデフォルト URL を、サテライト URL https://ip_address/Transportgateway/services/DeviceRequestHandler に置き換えます。

ステップ 3

新しいトラスト ポイントを作成します。新しいトラスト ポイントを作成するには、FXOS CLI を使用する必要があります。

  1. セキュリティ モードを開始します。

    scope security

  2. トラスト ポイントを作成して名前を付けます。

    create trustpoint trustpoint_name

  3. トラスト ポイントの証明書情報を指定します。証明書は、Base64 エンコード X.509（CER）フォーマットである必要があることに注意してください。

    set certchain certchain

    certchain 変数には、この手順の証明書生成前提条件の中で取得された証明書チェーン情報を使用します。

    コマンドで証明書情報を指定しない場合、ルート認証局（CA）への認証パスを定義するトラスト ポイントのリストまたは証明書を入力するように求められます。入力内容の次の行に、ENDOFBUF と入力して終了します。

  4. 設定をコミットします。

    commit-buffer

例:

firepower-chassis# scope security
firepower-chassis /security # create trustpoint tPoint10
firepower-chassis /security/trustpoint* # set certchain 
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
Trustpoint Certificate Chain:
> -----BEGIN CERTIFICATE-----
> MIIDMDCCApmgAwIBAgIBADANBgkqhkiG9w0BAQQFADB0MQswCQYDVQQGEwJVUzEL
> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT
> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG
> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU
> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl
> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq
> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD
> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU
> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6
> jtcEMyZ+f7+3yh421ido3nO4MIGeBgNVHSMEgZYwgZOAFLlNjtcEMyZ+f7+3yh42
> 1ido3nO4oXikdjB0MQswCQYDVQQGEwJVUzELMAkGA1UECBMCQ0ExFDASBgNVBAcT
> C1NhbnRhIENsYXJhMRswGQYDVQQKExJOdW92YSBTeXN0ZW1zIEluYy4xFDASBgNV
> BAsTC0VuZ2luZWVyaW5nMQ8wDQYDVQQDEwZ0ZXN0Q0GCAQAwDAYDVR0TBAUwAwEB
> /zANBgkqhkiG9w0BAQQFAAOBgQAhWaRwXNR6B4g6Lsnr+fptHv+WVhB5fKqGQqXc
> wR4pYiO4z42/j9Ijenh75tCKMhW51az8copP1EBmOcyuhf5C6vasrenn1ddkkYt4
> PR0vxGc40whuiozBolesmsmjBbedUCwQgdFDWhDIZJwK5+N3x/kfa2EHU6id1avt
> 4YL5Jg==
> -----END CERTIFICATE-----
> ENDOFBUF
firepower-chassis /security/trustpoint* # commit-buffer
firepower-chassis /security/trustpoint #
ステップ 4

Firepower セキュリティ アプライアンスの License Authority への登録。スマート ライセンス マネージャ サテライトの登録トークンを要求し、コピーする必要があることに注意してください。

パーマネント ライセンス予約の設定

Firepower 4100/9300 シャーシにパーマネント ライセンスを割り当てることができます。このユニバーサル予約では、デバイスで無制限の数の使用権を使用できるようになります。


（注）  

Smart Software Manager で使用できるように、開始前にパーマネント ライセンスを購入する必要があります。すべてのアカウントがパーマネント ライセンスの予約について承認されているわけではありません。設定を開始する前にこの機能についてシスコの承認があることを確認します。

パーマネント ライセンスのインストール

以下の手順は、Firepower 4100/9300 シャーシにパーマネント（永続）ライセンスを割り当てる方法を示しています。

手順

ステップ 1

System > Licensing > Permanent License を選択します。

ステップ 2

Generate をクリックして、予約要求コードを生成します。予約要求コードをクリップボードにコピーします。

ステップ 3

Cisco Smart Software Manager ポータルの [Smart Software Manager] インベントリ画面に移動して、Licenses タブをクリックします。

https://software.cisco.com/#SmartLicensing-Inventory

Licenses タブにアカウントに関連するすべての既存のライセンスが、標準およびパーマネントの両方とも表示されます。

ステップ 4

License Reservation をクリックして、生成された予約リクエスト コードをボックスにペーストします。

ステップ 5

Reserve License をクリックします。

Smart Software Manager が承認コードを生成します。コードをダウンロードまたはクリップボードにコピーできます。この時点で、ライセンスは、Smart Software Manager に従って使用中です。

License Reservation ボタンが表示されない場合、お使いのアカウントにはパーマネント ライセンスの予約が許可されていません。この場合、パーマネント ライセンスの予約を無効にして標準のスマート ライセンス コマンドを再入力する必要があります。

ステップ 6

Firepower Chassis Managerで、生成された承認コードを Authorization Code テキスト ボックスに入力します。

ステップ 7

Install をクリックします。

Firepower 4100/9300 シャーシが PLR で完全にライセンス付与されたら、[Permanenet License] ページにライセンス ステータスが表示され、パーマネント ライセンスを返却するためのオプションが示されます。

ステップ 8

ASA 論理デバイスで機能のライセンス資格を有効にします。ライセンス資格を有効にするには、ASA ライセンスの章を参照してください。

（任意）パーマネント ライセンスの返却

パーマネント ライセンスが不要になった場合、この手順で Smart Software Manager に正式に返却する必要があります。すべてのステップに従わないと、ライセンスが使用状態のままになり、別の場所で使用できません。

手順

ステップ 1

System > Licensing > Permanent License を選択します。

ステップ 2

Return をクリックして、戻りコードを生成します。戻りコードをクリップボードにコピーします。

ただちに Firepower 4100/9300 シャーシ のライセンスがなくなり、評価状態に移行します。

ステップ 3

Smart Software Manager インベントリ画面に移動して、Product Instances タブをクリックします。

https://software.cisco.com/#SmartLicensing-Inventory
ステップ 4

ユニバーサル デバイス識別子（UDI）を使用して Firepower 4100/9300 シャーシを検索します。

ステップ 5

Actions > Remove の順に選択して、生成された戻りコードをボックスに貼り付けます。

ステップ 6

Remove Product Instance をクリックします。

パーマネント ライセンスが使用可能なライセンスのプールに戻されます。
ステップ 7

システムをリブートします。Firepower 4100/9300 シャーシの再起動の方法については、Firepower 4100/9300 シャーシ の再起動を参照してください。

スマート ソフトウェア ライセンスの履歴

機能名

プラットフォーム リリース

説明

Firepower 4100/9300 シャーシ 向けシスコ スマート ソフトウェア ライセンシング

1.1(1)

スマート ソフトウェア ライセンスによって、ライセンスを購入し、ライセンスのプールを管理することができます。スマート ライセンスは特定のシリアル番号に関連付けられません。各ユニットのライセンス キーを管理しなくても、簡単にデバイスを導入したり導入を終了したりできます。スマート ソフトウェア ライセンスを利用すれば、ライセンスの使用状況と要件をひと目で確認することもできます。スマート ソフトウェア ライセンスの設定は、Firepower 4100/9300 シャーシ スーパバイザとセキュリティ モジュール間で分割されます。

次の画面が導入されました。

[System] > [Licensing] > [Call Home]

[System] > [Licensing] > [Smart License]

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ