Platform Settings

NTP サーバ認証の有効化

NTP サーバ認証を有効にするには、Firepower 4100/9300 シャーシで次の手順を実行します。

（注）

有効にすると、NTP 認証機能は設定済みのすべてのサーバでグローバルに機能します。
NTP サーバ認証では SHA1 のみがサポートされます。
サーバを認証するには、キー ID とキー値が必要です。キー ID は、メッセージダイジェストのコンピューティング時に、使用するキー値をクライアントとサーバの両方に指示するために使用されます。キー値は、ntp-keygen を使用して導出される固定値です。

手順

ステップ 1	ntp 4.2.8p8 をダウンロードします。
ステップ 2	NTP サーバを、ntpd openssl を有効にしてインストールします。
ステップ 3	NTP キー ID とキー値を生成します。 ntp-keygen -M これらの生成されたキーは、次の手順に使用します。
ステップ 4	Firepower 4100/9300 シャーシに管理者ユーザとしてログインします。
ステップ 5	Platform Settings を選択して、[Platform Settings] ウィンドウを開きます。
ステップ 6	[Set Time Source] 領域で、Use NTP server ラジオボタンをクリックします。
ステップ 7	生成された SHA1 文字列とキーで NTP サーバを追加します。
ステップ 8	Save をクリックして、NTP サーバ設定を保存します。
ステップ 9	Enable ntp-authentication チェックボックスをオンにします。
ステップ 10	Save をクリックします。

日時の設定

日付と時刻を手動で設定したり、現在のシステム時刻を表示するには、下記で説明する [NTP] ページのシステムのネットワークタイムプロトコル（NTP）を設定します。

NTP の設定は、Firepower 4100/9300 シャーシとシャーシにインストールされている論理デバイス間で自動的に同期されます。

（注）

Firepower 4100/9300 シャーシに Firepower Threat Defense を導入すると、スマートライセンスが正しく機能し、デバイス登録に適切なタイムスタンプを確保するように Firepower 4100/9300 シャーシに NTP を設定する必要があります。Firepower 4100/9300 シャーシと Firepower Management Center に同じ NTP サーバを使用する必要があります。

NTP を使用すると、[Current Time] タブの全体的な同期ステータスを表示できます。または、[Time Synchronization] タブの [NTP Server] テーブルの [Server Status] フィールドを見ると、設定済みの各 NTP サーバの同期ステータスを表示できます。システムが特定の NTP サーバと同期できない場合、[Server Status] の横にある情報アイコンにカーソルを合わせると詳細を確認できます。

設定された日付と時刻の表示

手順

ステップ 1

[Platform Settings] > [NTP] を選択します。

ステップ 2

[Current Time] タブをクリックします。

システムは、デバイスに設定された日付、時刻、タイムゾーンを表示します。

NTP を使用している場合、[Current Time] タブに総合的な同期ステータスを表示することもできます。設定済みの各 NTP サーバの同期ステータスは、[Time Synchronization] タブにある NTP サーバテーブルの [Server Status] フィールドを見て確認できます。システムが特定の NTP サーバと同期できない場合、[Server Status] の横にある情報アイコンにカーソルを合わせると詳細を確認できます。

タイムゾーンの設定

手順

ステップ 1	[Platform Settings] > [NTP] を選択します。
ステップ 2	[Current Time] タブをクリックします。
ステップ 3	[Time Zone] ドロップダウンリストから、Firepower シャーシの適切なタイムゾーンを選択します。

NTP を使用した日付と時刻の設定

NTP を利用して階層的なサーバシステムを実現し、ネットワークシステム間の時刻を正確に同期します。このような精度は、CRL の検証など正確なタイムスタンプを含む場合など、時刻が重要な操作で必要になります。最大 4 台の NTP サーバを設定できます。

（注）

FXOS 2.2(2) 以降では NTP バージョン 3 を使用します。

手順

ステップ 1

[Platform Settings] > [NTP] を選択します。

ステップ 2

[Time Synchronization] タブをクリックします。

ステップ 3

[Set Time Source] で、[Use NTP Server] をクリックします。

ステップ 4

使用する NTP サーバ（最大 4 台）ごとに、それぞれの IP アドレスまたはホスト名を [NTP Server] フィールドに入力し、[Add] をクリックします。

ステップ 5

[Save] をクリックします。

Firepower シャーシが、指定した NTP サーバ情報で設定されます。

各サーバの同期ステータスは、NTP サーバテーブルの [Server Status] フィールドを見て確認できます。システムが特定の NTP サーバと同期できない場合、[Server Status] の横にある情報アイコンにカーソルを合わせると詳細を確認できます。

（注）

システム時刻の変更に 10 分以上かかると、自動的にログアウトされ、Firepower Chassis Manager への再ログインが必要になります。

NTP サーバの削除

手順

ステップ 1	[Platform Settings] > [NTP] を選択します。
ステップ 2	[Time Synchronization] タブをクリックします。
ステップ 3	削除する各 NTP サーバに対して、NTP サーバテーブルでそのサーバの [Delete] アイコンをクリックします。
ステップ 4	[Save] をクリックします。

手動での日付と時刻の設定

ここでは、Firepower シャーシで日付と時刻を手動で設定する方法について説明します。

手順

ステップ 1

[Platform Settings] > [NTP] を選択します。

ステップ 2

[Time Synchronization] タブをクリックします。

ステップ 3

[Set Time Source] で、[Set Time Manually] をクリックします。

ステップ 4

[Date] ドロップダウンリストをクリックしてカレンダーを表示し、カレンダーで使用できるコントロールを使って日付を設定します。

ステップ 5

時、分、および AM/PM のそれぞれのドロップダウンリストを使用して時間を指定します。

ヒント

[Get System Time] をクリックすると、Firepower Chassis Manager への接続に使用するシステムの設定に一致する日付と時刻を設定できます。

ステップ 6

[Save] をクリックします。

指定した日付と時刻が Firepower シャーシに設定されます。

（注）

システム時刻の変更に 10 分以上かかると、自動的にログアウトされ、Firepower Chassis Manager への再ログインが必要になります。

SSH の設定

次の手順では、Firepower シャーシへの SSH アクセスを有効または無効にする方法、および FXOS シャーシを SSH クライアントとして有効にする方法について説明します。SSH はデフォルトでイネーブルになります。

手順

ステップ 1

[Platform Settings] > [SSH] > [SSH Server] を選択します。

ステップ 2

Firepower シャーシへの SSH アクセスを有効化するには、[Enable SSH] チェックボックスをオンにします。SSH アクセスをディセーブルにするには、[Enable SSH] チェックボックスをオフにします。

ステップ 3

サーバの [Encryption Algorithm] について、許可される暗号化アルゴリズムごとにチェックボックスをオンにします。

（注）

コモンクライテリアでは 3des-cbc がサポートされていません。FXOS シャーシでコモンクライテリアモードが有効な場合、暗号化アルゴリズムとして 3des-cbc を使用することはできません。

ステップ 4

サーバの [Key Exchange Algorithm] として、許可される Diffie-Hellman（DH）キー交換ごとにチェックボックスをオンにします。DH キー交換は、いずれの当事者も単独では決定できない共有秘密を提供します。キー交換を署名およびホストキーと組み合わせることで、ホスト認証が実現します。このキー交換方式により、明示的なサーバ認証が可能となります。DH キー交換の使用方法の詳細については、RFC 4253 を参照してください。

ステップ 5

サーバの [Mac Algorithm] について、許可される整合性アルゴリズムごとにチェックボックスをオンにします。

ステップ 6

サーバの [Host Key] について、RSA キーペアのモジュラスサイズを入力します。

モジュラス値（ビット単位）は、1024 ～ 2048 の範囲内の 8 の倍数です。指定するキー係数のサイズが大きいほど、RSA キーペアの生成にかかる時間は長くなります。値は 2048 にすることをお勧めします。

ステップ 7

サーバの [Volume Rekey Limit] に、FXOS がセッションを切断するまでにその接続で許可されるトラフィックの量を KB 単位で設定します。

ステップ 8

サーバの [Time Rekey Limit] では、FXOS がセッションを切断する前に SSH セッションがアイドル状態を続けられる長さを分単位で設定します。

ステップ 9

[Save] をクリックします。

ステップ 10

[SSH Client] タブをクリックして、FXOS シャーシの SSH クライアントをカスタマイズします。

ステップ 11

[Strict Host Keycheck] について、[enable]、[disable]、または [prompt] を選択して、SSH ホストキーチェックを制御します。

enable：FXOS が認識するホストファイルにそのホストキーがまだ存在しない場合、接続は拒否されます。FXOS CLI でシステムスコープまたはサービススコープの enter ssh-host コマンドを使用して、手動でホストを追加する必要があります。
prompt：シャーシにまだ保存されていないホストキーを許可または拒否するように求められます。
disable：（デフォルト）シャーシは過去に保存されたことがないホストキーを自動的に許可します。

ステップ 12

クライアントの [Encryption Algorithm] について、許可される暗号化アルゴリズムごとにチェックボックスをオンにします。

（注）

ステップ 13

クライアントの [Key Exchange Algorithm] について、許可される Diffie-Hellman（DH）キー交換ごとにチェックボックスをオンにします。DH キー交換では、いずれの当事者も単独では決定できない共有秘密を使用します。キー交換を署名およびホストキーと組み合わせることで、ホスト認証が実現します。このキー交換方式により、明示的なサーバ認証が可能となります。DH キー交換の使用方法の詳細については、RFC 4253 を参照してください。

ステップ 14

クライアントの [Mac Algorithm] について、許可される整合性アルゴリズムごとにチェックボックスをオンにします。

ステップ 15

クライアントの [Volume Rekey Limit] に、FXOS がセッションを切断する前にその接続で許可されるトラフィックの量を KB 単位で設定します。

ステップ 16

クライアントの [Time Rekey Limit] について、FXOS がセッションを切断する前に SSH セッションがアイドルであることができる時間を分単位で設定します。

ステップ 17

[Save] をクリックします。

TLS の設定

Transport Layer Security（TLS）プロトコルは、互いに通信する 2 つのアプリケーションの間でプライバシーとデータの整合性を確保します。FXOS シャーシと外部デバイスとの通信で許容する最小 TLS バージョンは、FXOS CLI を使用して設定できます。新しいバージョンの TLS では通信のセキュリティを強化できる一方、古いバージョンの TLS では古いアプリケーションとの後方互換性を維持できます。

たとえば、FXOS シャーシで設定されている最小 TLS バージョンが v1.1 の場合、クライアントブラウザが v1.0 だけを実行するように設定されていると、クライアントは HTTPS を使用して FXOS Chassis Manager との接続を開くことができません。したがって、ピアアプリケーションと LDAP サーバを適切に設定する必要があります。

次の手順で、FXOS シャーシと外部デバイス間の通信で許容する最小 TSL バージョンを設定、表示する方法を説明します。

（注）

FXOS 2.3(1) リリースの時点では、FXOS シャーシのデフォルト最小 TLS バージョンは v1.1 です。

手順

ステップ 1	システムモードに入ります。 Firepower-chassis# scope system
ステップ 2	システムで使用できる TLS バージョンのオプションを表示します。 Firepower-chassis /system # set services tls-ver 例: `Firepower-chassis /system # Firepower-chassis /system # set services tls-ver v1_0 v1.0 v1_1 v1.1 v1_2 v1.2`
ステップ 3	最小 TLS バージョンを設定します。 Firepower-chassis /system # set services tls-ver `version` 例: `Firepower-chassis /system # Firepower-chassis /system # set services tls-ver v1_2`
ステップ 4	設定をコミットします。 Firepower-chassis /system # commit-buffer
ステップ 5	システムで設定されている最小 TLS バージョンを表示します。 Firepower-chassis /system # scope services Firepower-chassis /system/services # show 例: Firepower-chassis /system/services # show Name: ssh Admin State: Enabled Port: 22 Kex Algo: Diffie Hellman Group1 Sha1,Diffie Hellman Group14 Sha1 Mac Algo: Hmac Sha1,Hmac Sha1 96,Hmac Sha2 512,Hmac Sha2 256 Encrypt Algo: 3des Cbc,Aes256 Cbc,Aes128 Cbc,Aes192 Cbc,Aes256 Ctr,Aes128 Ctr,Ae s192 Ctr Auth Algo: Rsa Host Key Size: 2048 Volume: None Time: None Name: telnet Admin State: Disabled Port: 23 Name: https Admin State: Enabled Port: 443 Operational port: 443 Key Ring: default Cipher suite mode: Medium Strength Cipher suite: ALL:!ADH:!EXPORT40:!EXPORT56:!LOW:!RC4:!MD5:!IDEA:+HIGH:+MEDIU M:+EXP:+eNULL Https authentication type: Cert Auth Crl mode: Relaxed TLS: TLS version: v1.2

Telnet の設定

次の手順では、Firepower シャーシへの Telnet アクセスを有効化またはディセーブルにする方法について説明します。Telnet はデフォルトでディセーブルです。

（注）

現在は、CLI を使用した Telnet 設定のみ可能です。

手順

ステップ 1	システムモードに入ります。 Firepower-chassis # scope system
ステップ 2	システムサービスモードを開始します。 Firepower-chassis /system # scope services
ステップ 3	Firepower シャーシへの Telnet アクセスを設定するには、次のいずれかを実行します。 Firepower シャーシへの Telnet アクセスを許可するには、次のコマンドを入力します。 Firepower-chassis /system/services # enable telnet-server Firepower シャーシへの Telnet アクセスを禁止するには、次のコマンドを入力します。 Firepower-chassis /system/services # disable telnet-server
ステップ 4	トランザクションをシステム設定にコミットします。 Firepower /system/services # commit-buffer

例

次に、Telnet を有効にし、トランザクションをコミットする例を示します。

Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /services # enable telnet-server
Firepower-chassis /services* # commit-buffer
Firepower-chassis /services #

SNMP の設定

Firepower シャーシに簡易ネットワーク管理プロトコル（SNMP）を設定するには、[SNMP] ページを使用します。詳細については、次のトピックを参照してください。

SNMP の概要

簡易ネットワーク管理プロトコル（SNMP）は、SNMP マネージャとエージェント間の通信用メッセージフォーマットを提供する、アプリケーションレイヤプロトコルです。SNMP では、ネットワーク内のデバイスのモニタリングと管理に使用する標準フレームワークと共通言語が提供されます。

SNMP フレームワークは 3 つの部分で構成されます。

SNMP マネージャ：SNMP を使用してネットワークデバイスのアクティビティを制御し、モニタリングするシステム。
SNMP エージェント：Firepower シャーシ内のソフトウェアコンポーネントで、Firepower シャーシのデータを維持し、必要に応じてそのデータを SNMP マネージャに送信します。Firepower シャーシには、エージェントと一連の MIB が含まれています。SNMP エージェントを有効にし、マネージャとエージェント間のリレーションシップを作成するには、Firepower Chassis Manager または FXOS CLI で SNMP を有効にし、設定します。
管理情報ベース（MIB）：SNMP エージェント上の管理対象オブジェクトのコレクション。

Firepower シャーシは、SNMPv1、SNMPv2c、および SNMPv3 をサポートします。SNMPv1 および SNMPv2c はどちらも、コミュニティベース形式のセキュリティを使用します。SNMP は次のように定義されています。

RFC 3410（http://tools.ietf.org/html/rfc3410）
RFC 3411（http://tools.ietf.org/html/rfc3411）
RFC 3412（http://tools.ietf.org/html/rfc3412）
RFC 3413（http://tools.ietf.org/html/rfc3413）
RFC 3414（http://tools.ietf.org/html/rfc3414）
RFC 3415（http://tools.ietf.org/html/rfc3415）
RFC 3416（http://tools.ietf.org/html/rfc3416）
RFC 3417（http://tools.ietf.org/html/rfc3417）
RFC 3418（http://tools.ietf.org/html/rfc3418）
RFC 3584（http://tools.ietf.org/html/rfc3584）

SNMP 通知

SNMP の重要な機能の 1 つは、SNMP エージェントから通知を生成できることです。これらの通知では、要求を SNMP マネージャから送信する必要はありません。通知は、不正なユーザ認証、再起動、接続の切断、隣接ルータとの接続の切断、その他の重要なイベントを表示します。

Firepower シャーシは、トラップまたはインフォームとして SNMP 通知を生成します。SNMP マネージャはトラップ受信時に確認応答を送信せず、Firepower シャーシはトラップが受信されたかどうかを確認できないため、トラップの信頼性はインフォームよりも低くなります。インフォーム要求を受信する SNMP マネージャは、SNMP 応答プロトコルデータユニット（PDU）でメッセージの受信を確認応答します。Firepower シャーシが PDU を受信しない場合、インフォーム要求を再送できます。

SNMP セキュリティレベルおよび権限

SNMPv1、SNMPv2c、および SNMPv3 はそれぞれ別のセキュリティモデルを表します。セキュリティモデルは選択されたセキュリティレベルと組み合わされ、SNMP メッセージの処理中に適用されるセキュリティメカニズムを決定します。

セキュリティレベルは、SNMP トラップに関連付けられているメッセージを表示するために必要な特権を決定します。権限レベルは、開示されないようメッセージを保護する必要があるか、またはメッセージを認証する必要があるかどうかを決定します。サポートされるセキュリティレベルは、セキュリティモデルが設定されているかによって異なります。SNMP セキュリティレベルは、次の権限の 1 つ以上をサポートします。

[noAuthNoPriv]：認証なし、暗号化なし
[authNoPriv]：認証あり、暗号化なし
[authPriv]：認証あり、暗号化あり

SNMPv3 では、セキュリティモデルとセキュリティレベルの両方が提供されています。セキュリティモデルは、ユーザおよびユーザが属するロールを設定する認証方式です。セキュリティレベルとは、セキュリティモデル内で許可されるセキュリティのレベルです。セキュリティモデルとセキュリティレベルの組み合わせにより、SNMP パケット処理中に採用されるセキュリティメカニズムが決まります。

SNMP セキュリティモデルとレベルのサポートされている組み合わせ

次の表に、セキュリティモデルとレベルの組み合わせの意味を示します。

表 1. SNMP セキュリティモデルおよびセキュリティレベル
モデル	レベル	認証	暗号化	結果
v1	noAuthNoPriv	コミュニティストリング	未対応	コミュニティストリングの照合を使用して認証します。
v2c	noAuthNoPriv	コミュニティストリング	未対応	コミュニティストリングの照合を使用して認証します。
v3	noAuthNoPriv	ユーザ名	未対応	ユーザ名の照合を使用して認証します。
v3	authNoPriv	HMAC-SHA	なし	HMAC Secure Hash Algorithm（SHA）に基づいて認証します。
v3	authPriv	HMAC-SHA	DES	HMAC-SHA アルゴリズムに基づいて認証します。データ暗号規格（DES）の 56 ビット暗号化、および暗号ブロック連鎖（CBC）DES（DES-56）標準に基づいた認証を提供します。

SNMPv3 セキュリティ機能

SNMPv3 は、ネットワーク経由のフレームの認証と暗号化を組み合わせることによって、デバイスへのセキュアアクセスを実現します。SNMPv3 は、設定済みユーザによる管理動作のみを許可し、SNMP メッセージを暗号化します。SNMPv3 ユーザベースセキュリティモデル（USM）は SNMP メッセージレベルセキュリティを参照し、次のサービスを提供します。

メッセージの完全性：メッセージが不正な方法で変更または破壊されていないことを保証します。また、データシーケンスが、通常発生するものよりも高い頻度で変更されていないことを保証します。
メッセージ発信元の認証：受信データを発信したユーザのアイデンティティが確認されたことを保証します。
メッセージの機密性および暗号化：不正なユーザ、エンティティ、プロセスに対して情報を利用不可にしたり開示しないようにします。

SNMP サポート

Firepower シャーシは SNMP の次のサポートを提供します。

MIB のサポート

Firepower シャーシは MIB への読み取り専用アクセスをサポートします。

利用可能な特定の MIB の詳細とその入手場所については、『Cisco FXOS MIB Reference Guide』を参照してください。

SNMPv3 ユーザの認証プロトコル

Firepower シャーシは、SNMPv3 ユーザの HMAC-SHA-96（SHA）認証プロトコルをサポートします。

SNMPv3 ユーザの AES プライバシープロトコル

Firepower シャーシは、SNMPv3 メッセージ暗号化用のプライバシープロトコルの 1 つとして Advanced Encryption Standard（AES）を使用し、RFC 3826 に準拠しています。

プライバシーパスワード（priv オプション）では、SNMP セキュリティ暗号化方式として DES または 128 ビット AES を選択できます。AES-128 の設定を有効化して、SNMPv3 ユーザのプライバシーパスワードを含めると、Firepower シャーシはそのプライバシーパスワードを使用して 128 ビット AES キーを生成します。AES プライバシーパスワードは最小で 8 文字です。パスフレーズをクリアテキストで指定する場合、最大 64 文字を指定できます。

SNMP のイネーブル化および SNMP プロパティの設定

手順

ステップ 1

[Platform Settings] > [SNMP] を選択します。

ステップ 2

[SNMP] 領域で、次のフィールドに入力します。


名前	説明
[Admin State] チェックボックス	SNMP が有効化かディセーブルか。システムに SNMP サーバとの統合が含まれる場合にだけこのサービスをイネーブルにします。
[Port] フィールド	Firepower シャーシが SNMP ホストと通信するためのポート。デフォルトポートは変更できません。
[Community/Username] フィールド	SNMP v1 および v2 のポーリングに使用するコミュニティ文字列。このフィールドは SNMP v3 には適用されないことに注意してください。 1 ～ 32 文字の英数字文字列を入力します。@（アットマーク）、\（バックスラッシュ）、"（二重引用符）、?（疑問符）または空欄スペースは使用しないでください。デフォルトは `public` です。 [Community/Username] フィールドがすでに設定されている場合、空白フィールドの右側のテキストは [Set: Yes] を読み取ることに注意してください。[Community/Username] フィールドに値が入力されていない場合、空白フィールドの右側のテキストは [Set: No] を読み取ります。
[システム管理者名（System Administrator Name）] フィールド	SNMP 実装の担当者の連絡先。電子メールアドレス、名前、電話番号など、255 文字までの文字列を入力します。
[Location] フィールド	SNMP エージェント（サーバ）が実行するホストの場所。最大 510 文字の英数字を入力します。

ステップ 3

[Save] をクリックします。

次のタスク

SNMP トラップおよびユーザを作成します。

SNMP トラップの作成

手順

ステップ 1

[Platform Settings] > [SNMP] を選択します。

ステップ 2

[SNMP Traps] 領域で、[Add] をクリックします。

ステップ 3

[Add SNMP Trap] ダイアログボックスで、次のフィールドに値を入力します。


名前	説明
[Host Name] フィールド	Firepower シャーシからのトラップを受信する SNMP ホストのホスト名または IP アドレス。
[Community/Username] フィールド	Firepower シャーシが SNMP ホストに送信するトラップに含める SNMP v1 または v2 コミュニティ名あるいは SNMP v3 ユーザ名。これは、SNMP サービスに設定されたコミュニティまたはユーザ名と同じである必要があります。 1 ～ 32 文字の英数字文字列を入力します。@（アットマーク）、\（バックスラッシュ）、"（二重引用符）、?（疑問符）または空欄スペースは使用しないでください。
[Port] フィールド	Firepower シャーシが SNMP ホストとのトラップの通信に使用するポート。 1 ～ 65535 の整数を入力します。
[Version] フィールド	トラップに使用される SNMP バージョンおよびモデル。次のいずれかになります。 V1 V2 V3
[Type] フィールド	バージョンとして [V2] または [V3] を選択した場合に、送信するトラップのタイプ。次のいずれかになります。 Traps nforms
[v3 Privilege] フィールド	バージョンとして [V3] を選択した場合に、トラップに関連付ける権限。次のいずれかになります。 [Auth]：認証あり、暗号化なし [Noauth]：認証なし、暗号化なし [Priv]：認証あり、暗号化あり

ステップ 4

[OK] をクリックして、[Add SNMP Trap] ダイアログボックスを閉じます。

ステップ 5

[Save] をクリックします。

SNMP トラップの削除

手順

ステップ 1	[Platform Settings] > [SNMP] を選択します。
ステップ 2	[SNMP Traps] 領域で、削除するトラップに対応するテーブルの行の [Delete] アイコンをクリックします。

SNMPv3 ユーザの作成

手順

ステップ 1

[Platform Settings] > [SNMP] を選択します。

ステップ 2

[SNMP Users] 領域で、[Add] をクリックします。

ステップ 3

[Add SNMP User] ダイアログボックスで、次のフィールドに値を入力します。

名前

説明

[Name] フィールド

SNMP ユーザに割り当てられるユーザ名。

32 文字まで入力します。名前の先頭は文字である必要があります。有効な文字は、文字、数字、_（アンダースコア）です。.（ピリオド）、@（アットマーク）、-（ハイフン）も指定できます。

[Auth Type] フィールド

許可タイプ：SHA

[Use AES-128] チェックボックス

オンにすると、このユーザに AES-128 暗号化が使用されます。

[Password] フィールド

このユーザのパスワード。

Firepower eXtensible Operating System では、次の要件を満たさないパスワードは拒否されます。

8 ～ 80 文字を含む。
含められるのは、文字、数字、および次の文字のみです。

~`!@#%^&*()_-+{}[]|\:;"'<,>./
次の記号を含まない。$（ドル記号）、? （疑問符）、「=」（等号）。
5 つ以上の異なる文字を含める必要があります。

連続するインクリメントまたはデクリメントの数字または文字をたくさん含めないでください。たとえば、「12345」は 4 つ、「ZYXW」は 3 つ文字列が続いています。このような文字の合計数が特定の制限を超えると（通常は約 4 ～ 6 回発生）、簡素化チェックに失敗します。

（注）

連続するインクリメントまたはデクリメント文字列の間に連続しないインクリメントまたはデクリメント文字列が含まれても、文字数はリセットされません。たとえば、abcd&!21 はパスワードチェックに失敗しますが、abcd&!25 は失敗しません。

[Confirm Password] フィールド

確認のためのパスワードの再入力。

[Privacy Password] フィールド

このユーザのプライバシーパスワード。

Firepower eXtensible Operating System では、次の要件を満たさないパスワードは拒否されます。

8 ～ 80 文字を含む。
含められるのは、文字、数字、および次の文字のみです。

~`!@#%^&*()_-+{}[]|\:;"'<,>./
次の記号を含まない。$（ドル記号）、? （疑問符）、「=」（等号）。
5 つ以上の異なる文字を含める必要があります。

（注）

[Confirm Privacy Password] フィールド

確認のためのプライバシーパスワードの再入力。

ステップ 4

[OK] をクリックして、[Add SNMP User] ダイアログボックスを閉じます。

ステップ 5

[Save] をクリックします。

SNMPv3 ユーザの削除

手順

ステップ 1	[Platform Settings] > [SNMP] を選択します。
ステップ 2	[SNMP Users] 領域で、削除するユーザに対応するテーブルの行の [Delete] アイコンをクリックします。

HTTPS の設定

ここでは、Firepower 4100/9300 シャーシで HTTPS を設定する方法を説明します。

（注）

Firepower Chassis Manager または FXOS CLI を使用して HTTPS ポートを変更できます。他の HTTPS の設定はすべて、FXOS CLI を使用してのみ設定できます。

証明書、キーリング、トラストポイント

HTTPS は、公開キーインフラストラクチャ（PKI）を使用してクライアントのブラウザと Firepower 4100/9300 シャーシなどの 2 つのデバイス間でセキュアな通信を確立します。

暗号キーとキーリング

各 PKI デバイスは、内部キーリングに非対称の Rivest-Shamir-Adleman（RSA）暗号キーのペア（1 つはプライベート、もう 1 つはパブリック）を保持します。いずれかのキーで暗号化されたメッセージは、もう一方のキーで復号化できます。暗号化されたメッセージを送信する場合、送信者は受信者の公開キーで暗号化し、受信者は独自の秘密キーを使用してメッセージを復号化します。送信者は、独自の秘密キーで既知のメッセージを暗号化（「署名」とも呼ばれます）して公開キーの所有者を証明することもできます。受信者が該当する公開キーを使用してメッセージを正常に復号化できる場合は、送信者が対応する秘密キーを所有していることが証明されます。暗号キーの長さはさまざまであり、通常の長さは 512 ビット～ 2048 ビットです。通常、長いキーは短いキーよりもより安全です。FXOS では最初に 2048 ビットのキーペアを含むデフォルトのキーリングが提供されます。そして、追加のキーリングを作成できます。

クラスタ名が変更されたり、証明書が期限切れになったりした場合は、デフォルトのキーリング証明書を手動で再生成する必要があります。

証明書

セキュアな通信を準備するには、まず 2 つのデバイスがそれぞれのデジタル証明書を交換します。証明書は、デバイスの ID に関する署名済み情報とともにデバイスの公開キーを含むファイルです。暗号化された通信をサポートするために、デバイスは独自のキーペアと独自の自己署名証明書を生成できます。リモートユーザが自己署名証明書を提示するデバイスに接続する場合、ユーザはデバイスの ID を簡単に検証することができず、ユーザのブラウザは最初に認証に関する警告を表示します。デフォルトでは、FXOS にはデフォルトのキーリングからの公開キーを含む組み込みの自己署名証明書が含まれます。

トラストポイント

FXOS に強力な認証を提供するために、デバイスの ID を証明する信頼できるソース（つまり、トラストポイント）からサードパーティ証明書を取得し、インストールできます。サードパーティ証明書は、発行元トラストポイント（ルート認証局（CA）、中間 CA、またはルート CA につながるトラストチェーンの一部となるトラストアンカーのいずれか）によって署名されます。新しい証明書を取得するには、FXOS で証明書要求を生成し、トラストポイントに要求を送信する必要があります。

重要	証明書は、Base64 エンコード X.509（CER）フォーマットである必要があります。

キーリングの作成

FXOS は、デフォルトキーリングを含め、最大 8 個のキーリングをサポートします。

手順

ステップ 1	セキュリティモードを開始します。 Firepower-chassis # scope security
ステップ 2	キーリングを作成し、名前を付けます。 Firepower-chassis # create keyring `keyring-name`
ステップ 3	SSL キーのビット長を設定します。 Firepower-chassis # set modulus {mod1024 \| mod1536 \| mod2048 \| mod512 }
ステップ 4	トランザクションをコミットします。 Firepower-chassis # commit-buffer

例

次の例は、1024 ビットのキーサイズのキーリングを作成します。

Firepower-chassis# scope security
Firepower-chassis /security # create keyring kr220
Firepower-chassis /security/keyring* # set modulus mod1024
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring #

次のタスク

このキーリングの証明書要求を作成します。

デフォルトキーリングの再生成

クラスタ名が変更されたり、証明書が期限切れになったりした場合は、デフォルトのキーリング証明書を手動で再生成する必要があります。

手順

ステップ 1	セキュリティモードを開始します。 Firepower-chassis # scope security
ステップ 2	デフォルトキーリングでキーリングセキュリティモードに入ります。 Firepower-chassis /security # scope keyring default
ステップ 3	デフォルトキーリングを再生成します。 Firepower-chassis /security/keyring # set regenerate yes
ステップ 4	トランザクションをコミットします。 Firepower-chassis # commit-buffer

例

次に、デフォルトキーリングを再生成する例を示します。

Firepower-chassis# scope security
Firepower-chassis /security # scope keyring default
Firepower-chassis /security/keyring* # set regenerate yes
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring #

キーリングの証明書要求の作成

基本オプション付きのキーリングの証明書要求の作成

手順

ステップ 1	セキュリティモードを開始します。 Firepower-chassis # scope security
ステップ 2	キーリングのコンフィギュレーションモードに入ります。 Firepower-chassis /security # scope keyring `keyring-name`
ステップ 3	指定された IPv4 または IPv6 アドレス、またはファブリックインターコネクトの名前を使用して証明書要求を作成します。証明書要求のパスワードを入力するように求められます。 Firepower-chassis /security/keyring # create certreq {ip [`ipv4-addr` \| `ipv6-v6`] \| subject-name `name`}
ステップ 4	トランザクションをコミットします。 Firepower-chassis /security/keyring/certreq # commit-buffer
ステップ 5	コピーしてトラストアンカーまたは認証局に送信可能な証明書要求を表示します。 Firepower-chassis /security/keyring # show certreq

例

次の例では、基本オプション付きのキーリングについて IPv4 アドレスで証明書要求を作成して表示します。

Firepower-chassis# scope security
Firepower-chassis /security # scope keyring kr220
Firepower-chassis /security/keyring # create certreq ip 192.168.200.123 subject-name sjc04
Certificate request password: 
Confirm certificate request password:
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring # show certreq
Certificate request subject name: sjc04
Certificate request ip address: 192.168.200.123
Certificate request e-mail name: 
Certificate request country name: 
State, province or county (full name): 
Locality (eg, city): 
Organization name (eg, company): 
Organization Unit name (eg, section): 
Request:
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----

Firepower-chassis /security/keyring #

次のタスク

証明書要求のテキストを BEGIN および END 行を含めてコピーし、ファイルに保存します。キーリングの証明書を取得するため、証明書要求を含むファイルをトラストアンカーまたは認証局に送信します。
トラストポイントを作成し、トラストアンカーから受け取ったトラストの証明書の証明書チェーンを設定します。

詳細オプション付きのキーリングの証明書要求の作成

手順

ステップ 1	セキュリティモードを開始します。 Firepower-chassis # scope security
ステップ 2	キーリングのコンフィギュレーションモードに入ります。 Firepower-chassis /security # scope keyring `keyring-name`
ステップ 3	証明書要求を作成します。 Firepower-chassis /security/keyring # create certreq
ステップ 4	会社が存在している国の国コードを指定します。 Firepower-chassis /security/keyring/certreq* # set country `country name`
ステップ 5	要求に関連付けられたドメインネームサーバ（DNS）アドレスを指定します。 Firepower-chassis /security/keyring/certreq* # set dns `DNS Name`
ステップ 6	証明書要求に関連付けられた電子メールアドレスを指定します。 Firepower-chassis /security/keyring/certreq* # set e-mail `E-mail name`
ステップ 7	Firepower 4100/9300 シャーシの IP アドレスを指定します。 Firepower-chassis /security/keyring/certreq* # set ip {`certificate request ip-address\|certificate request ip6-address` }
ステップ 8	証明書を要求している会社の本社が存在する市または町を指定します。 Firepower-chassis /security/keyring/certreq* # set locality `locality name (eg, city)`
ステップ 9	証明書を要求している組織を指定します。 Firepower-chassis /security/keyring/certreq* # set org-name `organization name`
ステップ 10	組織ユニットを指定します。 Firepower-chassis /security/keyring/certreq* # set org-unit-name `organizational unit name`
ステップ 11	証明書要求に関するオプションのパスワードを指定します。 Firepower-chassis /security/keyring/certreq* # set password `certificate request password`
ステップ 12	証明書を要求している会社の本社が存在する州または行政区分を指定します。 Firepower-chassis /security/keyring/certreq* # set state `state, province or county`
ステップ 13	Firepower 4100/9300 シャーシの完全修飾ドメイン名を指定します。 Firepower-chassis /security/keyring/certreq* # set subject-name `certificate request name`
ステップ 14	トランザクションをコミットします。 Firepower-chassis /security/keyring/certreq # commit-buffer
ステップ 15	コピーしてトラストアンカーまたは認証局に送信可能な証明書要求を表示します。 Firepower-chassis /security/keyring # show certreq

例

次の例では、詳細オプション付きのキーリングについて IPv4 アドレスで証明書要求を作成して表示します。

Firepower-chassis# scope security
Firepower-chassis /security # scope keyring kr220
Firepower-chassis /security/keyring # create certreq
Firepower-chassis /security/keyring/certreq* # set ip 192.168.200.123
Firepower-chassis /security/keyring/certreq* #  set subject-name sjc04
Firepower-chassis /security/keyring/certreq* # set country US
Firepower-chassis /security/keyring/certreq* # set dns bg1-samc-15A
Firepower-chassis /security/keyring/certreq* # set email test@cisco.com
Firepower-chassis /security/keyring/certreq* # set locality new york city
Firepower-chassis /security/keyring/certreq* # set org-name "Cisco Systems"
Firepower-chassis /security/keyring/certreq* # set org-unit-name Testing
Firepower-chassis /security/keyring/certreq* # set state new york
Firepower-chassis /security/keyring/certreq* # commit-buffer
Firepower-chassis /security/keyring/certreq # show certreq
Certificate request subject name: sjc04
Certificate request ip address: 192.168.200.123
Certificate request e-mail name: test@cisco.com
Certificate request country name: US
State, province or county (full name): New York
Locality name (eg, city): new york city
Organization name (eg, company): Cisco
Organization Unit name (eg, section): Testing
Request:
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----

Firepower-chassis /security/keyring/certreq #

次のタスク

証明書要求のテキストを BEGIN および END 行を含めてコピーし、ファイルに保存します。キーリングの証明書を取得するため、証明書要求を含むファイルをトラストアンカーまたは認証局に送信します。
トラストポイントを作成し、トラストアンカーから受け取ったトラストの証明書の証明書チェーンを設定します。

トラストポイントの作成

手順

ステップ 1

セキュリティモードを開始します。

Firepower-chassis # scope security

ステップ 2

トラストポイントを作成します。

Firepower-chassis /security # create trustpoint name

ステップ 3

このトラストポイントの証明書情報を指定します。

Firepower-chassis /security/trustpoint # set certchain [certchain]

コマンドで証明書情報を指定しない場合、ルート認証局（CA）への認証パスを定義するトラストポイントのリストまたは証明書を入力するように求められます。入力内容の次の行に、ENDOFBUF と入力して終了します。

重要	証明書は、Base64 エンコード X.509（CER）フォーマットである必要があります。

ステップ 4

トランザクションをコミットします。

Firepower-chassis /security/trustpoint # commit-buffer

例

次の例は、トラストポイントを作成し、トラストポイントに証明書を提供します。

Firepower-chassis# scope security
Firepower-chassis /security # create trustpoint tPoint10
Firepower-chassis /security/trustpoint* # set certchain 
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
Trustpoint Certificate Chain:
> -----BEGIN CERTIFICATE-----
> MIIDMDCCApmgAwIBAgIBADANBgkqhkiG9w0BAQQFADB0MQswCQYDVQQGEwJVUzEL
> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT
> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG
> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU
> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl
> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq
> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD
> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU
> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6
> jtcEMyZ+f7+3yh421ido3nO4MIGeBgNVHSMEgZYwgZOAFLlNjtcEMyZ+f7+3yh42
> 1ido3nO4oXikdjB0MQswCQYDVQQGEwJVUzELMAkGA1UECBMCQ0ExFDASBgNVBAcT
> C1NhbnRhIENsYXJhMRswGQYDVQQKExJOdW92YSBTeXN0ZW1zIEluYy4xFDASBgNV
> BAsTC0VuZ2luZWVyaW5nMQ8wDQYDVQQDEwZ0ZXN0Q0GCAQAwDAYDVR0TBAUwAwEB
> /zANBgkqhkiG9w0BAQQFAAOBgQAhWaRwXNR6B4g6Lsnr+fptHv+WVhB5fKqGQqXc
> wR4pYiO4z42/j9Ijenh75tCKMhW51az8copP1EBmOcyuhf5C6vasrenn1ddkkYt4
> PR0vxGc40whuiozBolesmsmjBbedUCwQgdFDWhDIZJwK5+N3x/kfa2EHU6id1avt
> 4YL5Jg==
> -----END CERTIFICATE-----
> ENDOFBUF
Firepower-chassis /security/trustpoint* # commit-buffer
Firepower-chassis /security/trustpoint #

次のタスク

トラストアンカーまたは認証局からキーリング証明書を取得し、キーリングにインポートします。

キーリングへの証明書のインポート

始める前に

キーリング証明書の証明書チェーンを含むトラストポイントを設定します。
トラストアンカーまたは認証局からキーリング証明書を取得します。

手順

ステップ 1

セキュリティモードを開始します。

Firepower-chassis # scope security

ステップ 2

証明書を受け取るキーリングでコンフィギュレーションモードに入ります。

Firepower-chassis /security # scope keyring keyring-name

ステップ 3

キーリング証明書の取得元のトラストアンカーまたは認証局に対しトラストポイントを指定します。

Firepower-chassis /security/keyring # set trustpoint name

ステップ 4

キーリング証明書を入力してアップロードするためのダイアログを起動します。

Firepower-chassis /security/keyring # set cert

プロンプトで、トラストアンカーまたは認証局から受け取った証明書のテキストを貼り付けます。証明書の次の行に ENDOFBUF と入力して、証明書の入力を完了します。

重要	証明書は、Base64 エンコード X.509（CER）フォーマットである必要があります。

ステップ 5

トランザクションをコミットします。

Firepower-chassis /security/keyring # commit-buffer

例

次に、トラストポイントを指定し、証明書をキーリングにインポートする例を示します。

Firepower-chassis# scope security
Firepower-chassis /security # scope keyring kr220
Firepower-chassis /security/keyring # set trustpoint tPoint10
Firepower-chassis /security/keyring* # set cert
Enter lines one at a time. Enter ENDOFBUF to finish. Press ^C to abort.
Keyring certificate:
> -----BEGIN CERTIFICATE-----
> MIIB/zCCAWgCAQAwgZkxCzAJBgNVBAYTAlVTMQswCQYDVQQIEwJDQTEVMBMGA1UE
> BxMMU2FuIEpvc2UsIENBMRUwEwYDVQQKEwxFeGFtcGxlIEluYy4xEzARBgNVBAsT
> ClRlc3QgR3JvdXAxGTAXBgNVBAMTEHRlc3QuZXhhbXBsZS5jb20xHzAdBgkqhkiG
> 9w0BCQEWEHVzZXJAZXhhbXBsZS5jb20wgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
> AoGBAMZw4nTepNIDhVzb0j7Z2Je4xAG56zmSHRMQeOGHemdh66u2/XAoLx7YCcYU
> ZgAMivyCsKgb/6CjQtsofvtrmC/eAehuK3/SINv7wd6Vv2pBt6ZpXgD4VBNKONDl
> GMbkPayVlQjbG4MD2dx2+H8EH3LMtdZrgKvPxPTE+bF5wZVNAgMBAAGgJTAjBgkq
> hkiG9w0BCQcxFhMUQSBjaGFsbGVuZ2UgcGFzc3dvcmQwDQYJKoZIhvcNAQEFBQAD
> gYEAG61CaJoJaVMhzCl903O6Mg51zq1zXcz75+VFj2I6rH9asckCld3mkOVx5gJU
> Ptt5CVQpNgNLdvbDPSsXretysOhqHmp9+CLv8FDuy1CDYfuaLtvlWvfhevskV0j6
> mK3Ku+YiORnv6DhxrOoqau8r/hyI/L43l7IPN1HhOi3oha4=
> -----END CERTIFICATE-----
> ENDOFBUF
Firepower-chassis /security/keyring* # commit-buffer
Firepower-chassis /security/keyring #

次のタスク

キーリングを使用して HTTPS サービスを設定します。

HTTPS の設定

注意	HTTPS で使用するポートとキーリングの変更を含め、HTTPS の設定を完了した後、トランザクションを保存またはコミットするとすぐに、現在のすべての HTTP および HTTPS セッションは警告なく閉じられます。

手順

ステップ 1

システムモードに入ります。

Firepower-chassis# scope system

ステップ 2

システムサービスモードを開始します。

Firepower-chassis /system # scope services

ステップ 3

HTTPS サービスを有効にします。

Firepower-chassis /system/services # enable https

ステップ 4

（任意） HTTPS 接続で使用されるポートを指定します。

Firepower-chassis /system/services # set https port port-num

ステップ 5

（任意） HTTPS に対して作成したキーリングの名前を指定します。

Firepower-chassis /system/services # set https keyring keyring-name

ステップ 6

（任意）ドメインで使用される暗号スイートセキュリティのレベルを指定します。

Firepower-chassis /system/services # set https cipher-suite-mode cipher-suite-mode

cipher-suite-mode には、以下のいずれかのキーワードを指定できます。

high-strength
medium-strength
low-strength
custom ：ユーザ定義の暗号スイート仕様の文字列を指定できます。

ステップ 7

（任意） cipher-suite-mode が custom に設定されている場合は、ドメインに対してカスタムレベルの暗号スイートセキュリティを指定します。

Firepower-chassis /system/services # set https cipher-suite cipher-suite-spec-string

cipher-suite-spec-string は最大 256 文字で構成できます。これは OpenSSL 暗号スイート仕様に準拠する必要があります。次を除き、スペースや特殊文字は使用できません。!（感嘆符）、+（プラス記号）、-（ハイフン）、および :（コロン）。詳細については、http://httpd.apache.org/docs/2.0/mod/mod_ssl.html#sslciphersuite を参照してください。

たとえば、FXOS がデフォルトとして使用する中強度仕様の文字列は次のようになります。ALL:!ADH:!EXPORT56:!LOW:RC4+RSA:+HIGH:+MEDIUM:+EXP:+eNULL

（注）

cipher-suite-mode は custom 以外に設定されている場合、このオプションは無視されます。

ステップ 8

（任意）証明書失効リスト検査を、有効または無効にします。

set revoke-policy { relaxed | strict }

ステップ 9

トランザクションをシステム設定にコミットします。

Firepower-chassis /system/services # commit-buffer

例

次の例では、HTTPS をイネーブルにし、ポート番号を 443 に設定し、キーリング名を kring7984 に設定し、暗号スイートのセキュリティレベルを [high] に設定し、トランザクションをコミットします。

Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # enable https
Firepower-chassis /system/services* # set https port 443
Warning: When committed, this closes all the web sessions.
Firepower-chassis /system/services* # set https keyring kring7984
Firepower-chassis /system/services* # set https cipher-suite-mode high
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

HTTPS ポートの変更

HTTPS サービスは、デフォルトでポート 443 で有効化になります。HTTPS をディセーブルにすることはできませんが、HTTPS 接続に使用するポートは変更できます。

手順

ステップ 1

[Platform Settings] > [HTTPS] を選択します。

ステップ 2

HTTPS 接続に使用するポートを [Port] フィールドに入力します。1 ～ 65535 の整数を指定します。このサービスは、デフォルトでポート 443 でイネーブルになります。

ステップ 3

[Save] をクリックします。

指定した HTTPS ポートが Firepower シャーシに設定されます。

HTTPS ポートを変更すると、現在のすべての HTTPS セッションが閉じられます。ユーザは、次のように新しいポートを使用して再度 Firepower Chassis Manager にログインする必要があります。

https://<chassis_mgmt_ip_address>:<chassis_mgmt_port>

<chassis_mgmt_ip_address> は、初期設定時に入力した Firepower シャーシの IP アドレスまたはホスト名で、<chassis_mgmt_port> は設定が完了した HTTPS ポートです。

キーリングの削除

手順

ステップ 1

セキュリティモードを開始します。

Firepower-chassis # scope security

ステップ 2

名前付きのキーリングを削除します。

Firepower-chassis /security # delete keyring name

ステップ 3

トランザクションをコミットします。

Firepower-chassis /security # commit-buffer

例

次の例では、キーリングを削除します。

Firepower-chassis# scope security
Firepower-chassis /security # delete keyring key10
Firepower-chassis /security* # commit-buffer
Firepower-chassis /security #

トラストポイントの削除

始める前に

トラストポイントがキーリングによって使用されていないことを確認してください。

手順

ステップ 1

セキュリティモードに入ります。

Firepower-chassis# scope security

ステップ 2

指定したトラストポイントを削除します。

Firepower-chassis /security # delete trustpoint name

ステップ 3

トランザクションをコミットします。

Firepower-chassis /security # commit-buffer

例

次に、トラストポイントを削除する例を示します。

Firepower-chassis# scope security
Firepower-chassis /security # delete trustpoint tPoint10
Firepower-chassis /security* # commit-buffer
Firepower-chassis /security #

HTTPS の無効化

手順

ステップ 1	システムモードに入ります。 Firepower-chassis# scope system
ステップ 2	システムサービスモードを開始します。 Firepower-chassis /system # scope services
ステップ 3	HTTPS サービスを無効にします。 Firepower-chassis /system/services # disable https
ステップ 4	トランザクションをシステム設定にコミットします。 Firepower-chassis /system/services # commit-buffer

例

次に、HTTPS をディセーブルにし、トランザクションをコミットする例を示します。

Firepower-chassis# scope system
Firepower-chassis /system # scope services
Firepower-chassis /system/services # disable https
Firepower-chassis /system/services* # commit-buffer
Firepower-chassis /system/services #

AAA の設定

ここでは、認証、認可、アカウンティングについて説明します。詳細については、次のトピックを参照してください。

AAA について

AAA は、コンピュータリソースへのアクセスを制御し、ポリシーを使用し、使用率を評価することでサービス課金に必要な情報を提供する、一連のサービスです。これらの処理は、効果的なネットワーク管理およびセキュリティにとって重要です。

認証

認証はユーザを特定する方法です。アクセスが許可されるには、ユーザは通常、有効なユーザ名と有効なパスワードが必要です。AAA サーバは、データベースに保存されている他のユーザクレデンシャルとユーザの認証資格情報を比較します。クレデンシャルが一致する場合、ユーザはネットワークへのアクセスが許可されます。クレデンシャルが一致しない場合は、認証は失敗し、ネットワークアクセスは拒否されます。

シャーシへの管理接続を認証するように Firepower 4100/9300 シャーシを設定できます。これには、次のセッションが含まれます。

HTTPS
SSH
シリアルコンソール

認可

許可はポリシーを適用するプロセスです。どのようなアクティビティ、リソース、サービスに対するアクセス許可をユーザが持っているのかを判断します。ユーザが認証されると、そのユーザはさまざまなタイプのアクセスやアクティビティを認可される可能性があります。

アカウンティング

アカウンティングは、アクセス時にユーザが消費したリソースを測定します。これには、システム時間またはセッション中にユーザが送受信したデータ量などが含まれます。アカウンティングは、許可制御、課金、トレンド分析、リソース使用率、キャパシティプランニングのアクティビティに使用されるセッションの統計情報と使用状況情報のログを通じて行われます。

認証、認可、アカウンティング間の相互作用

認証だけで使用することも、認可およびアカウンティングとともに使用することもできます。認可では必ず、ユーザの認証が最初に済んでいる必要があります。アカウンティングだけで使用することも、認証および認可とともに使用することもできます。

AAA サーバ

AAA サーバは、アクセス制御に使用されるネットワークサーバです。認証は、ユーザを識別します。認可は、認証されたユーザがアクセスする可能性があるリソースとサービスを決定するポリシーを実行します。アカウンティングは、課金と分析に使用される時間とデータのリソースを追跡します。

ローカルデータベースのサポート

Firepower シャーシは、ユーザプロファイルを取り込むことができるローカルデータベースを維持します。AAA サーバの代わりにローカルデータベースを使用して、ユーザ認証、認可、アカウンティングを提供することもできます。

LDAP プロバイダーの設定

LDAP プロバイダーのプロパティの設定

このタスクで設定するプロパティが、このタイプのすべてのプロバイダー接続のデフォルト設定です。個々のプロバイダーにいずれかのプロパティの設定が含まれている場合、Firepower eXtensible Operating System でその設定が使用され、デフォルト設定は無視されます。

Active Directory を LDAP サーバとして使用している場合は、Active Directory サーバで Firepower eXtensible Operating System にバインドするユーザアカウントを作成します。このアカウントには、期限切れにならないパスワードを設定します。

手順

ステップ 1

[Platform Settings] > [AAA] を選択します。

ステップ 2

[LDAP] タブをクリックします。

ステップ 3

[Properties] 領域で、次のフィールドに値を入力します。


名前	説明
[Timeout] フィールド	LDAP データベースへの問い合わせがタイムアウトするまでの秒数。 1 ～ 60 秒の整数を入力します。デフォルト値は 30 秒です。このプロパティは必須です。
[Attribute] フィールド	ユーザロールとロケールの値を保管する LDAP 属性。このプロパティは、常に、名前と値のペアで指定されます。システムは、ユーザレコードで、この属性名と一致する値を検索します。
[Base DN] フィールド	リモートユーザがログインし、システムがそのユーザ名に基づいてユーザの DN の取得を試みるときに、サーバが検索を開始する LDAP 階層内の特定の識別名。ベース DN の長さは、最大 255 文字から CN=$userid の長さを引いた長さに設定することができます。$userid により、LDAP 認証を使用して Firepower シャーシにアクセスしようとするリモートユーザが識別されます。このプロパティは必須です。このタブでベース DN を指定しない場合、定義する LDAP プロバイダーごとに 1 つずつ指定する必要があります。
[Filter] フィールド	LDAP 検索は、定義したフィルタと一致するユーザ名に限定されます。このプロパティは必須です。このタブでフィルタを指定しない場合、定義する LDAP プロバイダーごとに 1 つずつ指定する必要があります。

ステップ 4

[Save] をクリックします。

次のタスク

LDAP プロバイダーを作成します。

LDAP プロバイダーの作成

Firepower eXtensible Operating System では、最大 16 の LDAP プロバイダーをサポートします。

始める前に

手順

ステップ 1

[Platform Settings] > [AAA] を選択します。

ステップ 2

[LDAP] タブをクリックします。

ステップ 3

追加する LDAP プロバイダーごとに、次の手順を実行します。

[LDAP Providers] 領域で、[Add] をクリックします。

[Add LDAP Provider] ダイアログボックスで、次のフィールドに値を入力します。


名前	説明
[Hostname/FDQN (or IP Address)] フィールド	LDAP プロバイダーのホスト名または IP アドレス。SSL がイネーブルの場合、このフィールドは、LDAP データベースのセキュリティ証明書内の通常名（CN）と正確に一致している必要があります。
[Order] フィールド	Firepower eXtensible Operating System でこのプロバイダーをユーザの認証に使用する順序。 1 ～ 16 の範囲の整数を入力します。または、Firepower Chassis Manager または FXOS CLI で定義されている他のプロバイダーに基づいて、次に使用できる順序を Firepower eXtensible Operating System で自動的に割り当てるには、`lowest-available` または `0`（ゼロ）を入力します。
[Bind DN] フィールド	ベース DN のすべてのオブジェクトに対する読み取り権限と検索権限を持つ、LDAP データベースアカウントの識別名（DN）。サポートされるストリングの最大長は 255 文字（ASCII）です。
[Base DN] フィールド	リモートユーザがログインし、システムがそのユーザ名に基づいてユーザの DN の取得を試みるときに、サーバが検索を開始する LDAP 階層内の特定の識別名。ベース DN の長さは、最大 255 文字 + CN=$userid の長さに設定することができます。$userid により、LDAP 認証を使用して Firepower Chassis Manager または FXOS CLI にアクセスしようとするリモートユーザが識別されます。デフォルトのベース DN が [LDAP] タブで設定されていない場合は、この値が必要です。
[Port] フィールド	Firepower Chassis Manager または FXOS CLI が LDAP データベースと通信するために使用されるポート。標準ポート番号は 389 です。
[Enable SSL] チェックボックス	このチェックボックスをオンにすると、LDAP データベースとの通信に暗号化が必要になります。このチェックボックスをオフにすると、認証情報はクリアテキストで送信されます。 LDAP では STARTTLS が使用されます。これにより、ポート 389 を使用した暗号化通信が可能になります。
[Filter] フィールド	LDAP 検索は、定義したフィルタと一致するユーザ名に制限されます。デフォルトのフィルタが [LDAP] タブで設定されていない場合は、この値が必要です。
[Attribute] フィールド	ユーザロールとロケールの値を保管する LDAP 属性。このプロパティは、常に、名前と値のペアで指定されます。システムは、ユーザレコードで、この属性名と一致する値を検索します。デフォルトの属性が [LDAP] タブで設定されていない場合は、この値が必要です。
[Key] フィールド	[Bind DN] フィールドで指定した LDAP データベースアカウントのパスワード。標準 ASCII 文字を入力できます。ただし、「§」（セクション記号）、「?」（疑問符）、「=」（等号）は除きます。
[Confirm Key] フィールド	確認のための LDAP データベースパスワードの再入力。
[Timeout] フィールド	LDAP データベースへの問い合わせがタイムアウトするまでの秒数。 1 ～ 60 秒の整数を入力するか、0（ゼロ）を入力して [LDAP] タブで指定したグローバルタイムアウト値を使用します。デフォルトは 30 秒です。
[Vendor] フィールド	この選択により、LDAP プロバイダーやサーバの詳細を提供するベンダーが識別されます。 LDAP プロバイダーが Microsoft Active Directory の場合は、[MS-AD] を選択します。 LDAP プロバイダーが Microsoft Active Directory でない場合は、[Open LDAP] を選択します。デフォルトは [Open LDAP] です。

[OK] をクリックして、[Add LDAP Provider] ダイアログボックスを閉じます。

ステップ 4

[Save] をクリックします。

ステップ 5

（任意）証明書失効リスト検査を有効にします。

Firepower-chassis /security/ldap/server # set revoke-policy {strict | relaxed}

（注）

この設定は、SSL 接続が使用可能である場合にのみ有効です。

LDAP プロバイダーの削除

手順

ステップ 1	[Platform Settings] > [AAA] を選択します。
ステップ 2	[LDAP] タブをクリックします。
ステップ 3	[LDAP Providers] 領域で、削除する LDAP プロバイダーに対応するテーブルの行の [Delete] アイコンをクリックします。

RADIUS プロバイダーの設定

RADIUS プロバイダーのプロパティの設定

手順

ステップ 1

[Platform Settings] > [AAA] を選択します。

ステップ 2

[RADIUS] タブをクリックします。

ステップ 3

[Properties] 領域で、次のフィールドに値を入力します。


名前	説明
[Timeout] フィールド	RADIUS データベースへの問い合わせがタイムアウトするまでの秒数。 1 ～ 60 秒の整数を入力します。デフォルト値は 5 秒です。このプロパティは必須です。
[Retries] フィールド	要求が失敗したと見なされるまでの接続の再試行の回数。

ステップ 4

[Save] をクリックします。

次のタスク

RADIUS プロバイダーを作成します。

RADIUS プロバイダーの作成

Firepower eXtensible Operating System では、最大 16 の RADIUS プロバイダーをサポートします。

手順

ステップ 1

[Platform Settings] > [AAA] を選択します。

ステップ 2

[RADIUS] タブをクリックします。

ステップ 3

追加する RADIUS プロバイダーごとに、次の手順を実行します。

[RADIUS Providers] 領域で、[Add] をクリックします。

[Add RADIUS Provider] ダイアログボックスで、次のフィールドに値を入力します。


名前	説明
[Hostname/FDQN (or IP Address)] フィールド	RADIUS プロバイダーが存在する場所のホスト名または IP アドレス。
[Order] フィールド	Firepower eXtensible Operating System でこのプロバイダーをユーザの認証に使用する順序。 1 ～ 16 の範囲の整数を入力します。または、Firepower Chassis Manager または FXOS CLI で定義されている他のプロバイダーに基づいて、次に使用できる順序を Firepower eXtensible Operating System で自動的に割り当てるには、`lowest-available` または `0`（ゼロ）を入力します。
[Key] フィールド	データベースの SSL 暗号キー。
[Confirm Key] フィールド	確認のための SSL 暗号キーの再入力。
[Authorization Port] フィールド	Firepower Chassis Manager または FXOS CLI が RADIUS データベースと通信するために使用されるポート。有効な範囲は 1 ～ 65535 です。標準ポート番号は 1700 です。
[Timeout] フィールド	RADIUS データベースへの問い合わせがタイムアウトするまでの秒数。 1 ～ 60 秒の整数を入力するか、0（ゼロ）を入力して [RADIUS] タブで指定したグローバルタイムアウト値を使用します。デフォルトは 5 秒です。
[Retries] フィールド	要求が失敗したと見なされるまでの接続の再試行の回数。必要に応じて、0 ～ 5 の整数を入力します。値を指定しない場合、Firepower Chassis Manager は [RADIUS] タブに指定した値を使用します。

[OK] をクリックして、[Add RADIUS Provider] ダイアログボックスを閉じます。

ステップ 4

[Save] をクリックします。

RADIUS プロバイダーの削除

手順

ステップ 1	[Platform Settings] > [AAA] を選択します。
ステップ 2	[RADIUS] タブをクリックします。
ステップ 3	[RADIUS Providers] 領域で、削除する RADIUS プロバイダーに対応するテーブルの行の [Delete] アイコンをクリックします。

TACACS+ プロバイダーの設定

TACACS+ プロバイダーのプロパティの設定

手順

ステップ 1

[Platform Settings] > [AAA] を選択します。

ステップ 2

[TACACS] タブをクリックします。

ステップ 3

[Properties] 領域で、次のフィールドに値を入力します。


名前	説明
[Timeout] フィールド	タイムアウトになるまで TACACS+ データベースとの接続が試みられる秒数。 1 ～ 60 秒の整数を入力します。デフォルト値は 5 秒です。このプロパティは必須です。

ステップ 4

[Save] をクリックします。

次のタスク

TACACS+ プロバイダーを作成します。

TACACS+ プロバイダーの作成

Firepower eXtensible Operating System では、最大 16 の TACACS+ プロバイダーをサポートします。

手順

ステップ 1

[Platform Settings] > [AAA] を選択します。

ステップ 2

[TACACS] タブをクリックします。

ステップ 3

追加する TACACS+ プロバイダーごとに、次の手順を実行します。

[TACACS Providers] 領域で、[Add] をクリックします。

[Add TACACS Provider] ダイアログボックスで、次のフィールドに値を入力します。


名前	説明
[Hostname/FDQN (or IP Address)] フィールド	TACACS+ プロバイダーが存在する場所のホスト名または IP アドレス。
[Order] フィールド	Firepower eXtensible Operating System でこのプロバイダーをユーザの認証に使用する順序。 1 ～ 16 の範囲の整数を入力します。または、Firepower Chassis Manager または FXOS CLI で定義されている他のプロバイダーに基づいて、次に使用できる順序を Firepower eXtensible Operating System で自動的に割り当てるには、`lowest-available` または `0`（ゼロ）を入力します。
[Key] フィールド	データベースの SSL 暗号キー。
[Confirm Key] フィールド	確認のための SSL 暗号キーの再入力。
[Port] フィールド	Firepower Chassis Manager または FXOS CLI が TACACS+ データベースと通信するために使用するポート。 1 ～ 65535 の整数を入力します。デフォルトポートは 49 です。
[Timeout] フィールド	タイムアウトになるまで TACACS+ データベースとの接続が試みられる秒数。 1 ～ 60 秒の整数を入力するか、0（ゼロ）を入力して [TACACS+] タブで指定したグローバルタイムアウト値を使用します。デフォルトは 5 秒です。

[OK] をクリックして、[Add TACACS Provider] ダイアログボックスを閉じます。

ステップ 4

[Save] をクリックします。

TACACS+ プロバイダーの削除

手順

ステップ 1	[Platform Settings] > [AAA] を選択します。
ステップ 2	[TACACS] タブをクリックします。
ステップ 3	[TACACS Providers] 領域で、削除する TACACS+ プロバイダーに対応するテーブルの行の [Delete] アイコンをクリックします。

Syslog の設定

システムロギングは、デバイスから syslog デーモンを実行するサーバへのメッセージを収集する方法です。中央の syslog サーバへロギングは、ログおよびアラートの集約に役立ちます。syslog サービスは、シンプルコンフィギュレーションファイルに従って、メッセージを受信してファイルに保存するか、出力します。この形式のロギングは、保護された長期的な保存場所をログに提供します。ログは、ルーチントラブルシューティングおよびインシデント処理の両方で役立ちます。

手順

ステップ 1

[Platform Settings] > [Syslog] を選択します。

ステップ 2

ローカル宛先を設定します。

[Local Destinations] タブをクリックします。

[Local Destinations] タブで、次のフィールドに値を入力します。


名前	説明
[Console] セクション
[Admin State] フィールド	Firepower シャーシでコンソールに syslog メッセージが表示されるかどうか。 syslog メッセージをログに追加するだけでなく、コンソールにも表示する場合は、[Enable] チェックボックスをオンにします。[Enable] チェックボックスをオフにすると、syslog メッセージはログに追加されますが、コンソールには表示されません。
[Level] フィールド	[Console - Admin State] の [Enable] チェックボックスをオンにした場合は、コンソールに表示するメッセージの最も低いレベルを選択します。Firepower シャーシのコンソールにはそのレベル以上のメッセージが表示されます。次のいずれかになります。 Emergencies Alerts Critical
[Monitor] セクション
[Admin State] フィールド	Firepower シャーシでモニタに syslog メッセージが表示されるかどうか。 syslog メッセージをログに追加するだけでなく、モニタにも表示する場合は、[Enable] チェックボックスをオンにします。[Enable] チェックボックスをオフにすると、syslog メッセージはログに追加されますが、モニタには表示されません。
[Level] ドロップダウンリスト	[Monitor - Admin State] の [Enable] チェックボックスをオンにした場合は、モニタに表示するメッセージの最も低いレベルを選択します。モニタにはそのレベル以上のメッセージが表示されます。次のいずれかになります。 Emergencies Alerts Critical Errors Warnings Notifications Information Debugging

[Save] をクリックします。

ステップ 3

リモート宛先を設定します。

[Remote Destinations] タブをクリックします。

[Remote Destinations] タブで、Firepower シャーシによって生成されたメッセージを保存できる最大 3 つの外部ログについて、次のフィールドに入力します。

syslog メッセージをリモート宛先に送信することで、外部 syslog サーバで利用可能なディスク領域に応じてメッセージをアーカイブし、保存後にロギングデータを操作できます。たとえば、特定タイプの syslog メッセージがログに記録されたり、ログからデータが抽出されてレポート用の別のファイルにその記録が保存されたり、あるいはサイト固有のスクリプトを使用して統計情報が追跡されたりした場合に、特別なアクションが実行されるように指定できます。

名前

説明

[Admin State] フィールド

syslog メッセージをリモートログファイルに保存する場合は、[Enable] チェックボックスをオンにします。

[Level] ドロップダウンリスト

システムに保存するメッセージの最も低いレベルを選択します。リモートファイルにそのレベル以上のメッセージが保存されます。次のいずれかになります。

Emergencies
Alerts
Critical
Errors
Warnings
Notifications
Information
Debugging

[Hostname/IP Address] フィールド

リモートログファイルが存在するホスト名または IP アドレス。

（注）

IP アドレスではなくホスト名を使用する場合は、DNS サーバを設定する必要があります。

[Facility] ドロップダウンリスト

ファイルメッセージのベースとして使用する syslog サーバのシステムログ機能を選択します。次のいずれかになります。

local0
local1
local2
local3
local4
local5
local6
Local7

[Save] をクリックします。

ステップ 4

ローカル送信元を設定します。

[Local Sources] タブをクリックします。

[Local Sources] タブで、次のフィールドに値を入力します。


名前	説明
[障害管理状態（Faults Admin State）] フィールド	システム障害ロギングを有効化するかどうか。[Enable] チェックボックスをオンにすると、Firepower シャーシはすべてのシステム障害をログに記録します。
[Audits Admin State] フィールド	監査ロギングを有効化するかどうか。[Enable] チェックボックスをオンにすると、Firepower シャーシはすべての監査ログイベントをログに記録します。
[Events Admin State] フィールド	システムイベントロギングを有効化するかどうか。[Enable] チェックボックスをオンにすると、Firepower シャーシはすべてのシステムイベントをログに記録します。

[Save] をクリックします。

DNS サーバの設定

システムでホスト名の IP アドレスへの解決が必要な場合は、DNS サーバを指定する必要があります。たとえば、DNS サーバを設定していないと、Firepower シャーシで設定を行うときに、www.cisco.com などの名前を使用できません。サーバの IP アドレスを使用する必要があり、IPv4 または IPv6 アドレスのいずれかを使用できます。最大 4 台の DNS サーバを設定できます。

（注）

複数の DNS サーバを設定する場合、システムによるサーバの検索順はランダムになります。ローカル管理コマンドが DNS サーバの検索を必要とする場合、3 台の DNS サーバのみをランダムに検索します。

手順

ステップ 1	[Platform Settings] > [DNS] を選択します。
ステップ 2	[Enable DNS Server] チェックボックスをオンにします。
ステップ 3	追加する DNS サーバ（最大 4 台）ごとに、それぞれの IP アドレスを [DNS Server] フィールドに入力し、[Add] をクリックします。
ステップ 4	[Save] をクリックします。

FIPS モードの有効化

Firepower 4100/9300 シャーシで FIPS モードを有効にするには、次の手順を実行します。

手順

ステップ 1	Firepower 4100/9300 シャーシに管理者ユーザとしてログインします。
ステップ 2	Platform Settings を選択して、[Platform Settings] ウィンドウを開きます。
ステップ 3	FIPS/CC mode を選択して、[FIPS and Common Criteria] ウィンドウを開きます。
ステップ 4	FIPS の Enable チェックボックスをオンにします。
ステップ 5	Save をクリックして、設定を保存します。
ステップ 6	プロンプトに従ってシステムをリブートします。

次のタスク

FXOS リリース 2.0.1 より以前は、デバイスの最初の設定時に作成した SSH ホストキーが 1024 ビットにハードコードされていました。FIPS およびコモンクライテリア認定要件に準拠するには、この古いホストキーを破棄し、SSH ホストキーの生成で詳細を説明する手順を使用して新しいホストキーを生成する必要があります。これらの追加手順を実行しないと、FIPS モードを有効にしてデバイスをリブートした後に、SSH を使用してスーパバイザに接続できなくなります。FXOS 2.0.1 以降を使用して初期設定を行った場合は、新しいホストキーを生成する必要はありません。

コモンクライテリアモードの有効化

Firepower 4100/9300 シャーシ上でコモンクライテリアモードを有効にするには、次の手順を実行します。

手順

ステップ 1	Firepower 4100/9300 シャーシに管理者ユーザとしてログインします。
ステップ 2	Platform Settings を選択して、[Platform Settings] ウィンドウを開きます。
ステップ 3	FIPS/CC mode を選択して、[FIPS and Common Criteria] ウィンドウを開きます。
ステップ 4	コモンクライテリアの Enable チェックボックスをオンにします。
ステップ 5	Save をクリックして、設定を保存します。
ステップ 6	プロンプトに従ってシステムをリブートします。

次のタスク

FXOS リリース 2.0.1 より以前は、デバイスの最初の設定時に作成した SSH ホストキーが 1024 ビットにハードコードされていました。FIPS およびコモンクライテリア認定要件に準拠するには、この古いホストキーを破棄し、SSH ホストキーの生成 で詳細を説明する手順を使用して新しいホストキーを生成する必要があります。これらの追加手順を実行しないと、コモンクライテリアモードを有効にしてデバイスをリブートした後に、SSH を使用してスーパバイザに接続できなくなります。FXOS 2.0.1 以降を使用して初期設定を行った場合は、新しいホストキーを生成する必要はありません。

IP アクセスリストの設定

デフォルトでは、Firepower 4100/9300 シャーシはローカル Web サーバへのすべてのアクセスを拒否します。IP アクセスリストを、各 IP ブロックの許可されるサービスのリストを使用して設定する必要があります。

IP アクセスリストは、次のプロトコルをサポートします。

HTTPS
SNMP
SSH

IP アドレス（v4 または v6）の各ブロックで、最大 25 個の異なるサブネットを各サービスに対して設定できます。サブネットを 0、プレフィックスを 0 と指定すると、サービスに無制限にアクセスできるようになります。

手順

ステップ 1	Firepower 4100/9300 シャーシに管理者ユーザとしてログインします。
ステップ 2	Platform Settings を選択し、[Platform Settings] ページを開きます。
ステップ 3	Access List を選択し、[Access List] 領域を開きます。
ステップ 4	この領域で、[IP Access List] にリストされている IPv4 および IPv6 アドレスを表示、追加、削除できます。 IPv4 ブロックを追加するには、有効な IPv4 IP アドレスとプレフィックスの長さ（0 ～ 32）を入力し、プロトコルを選択する必要があります。 IPv6 ブロックを追加するには、有効な IPv6 IP アドレスとプレフィックスの長さ（0 ～ 128）を入力し、プロトコルを選択する必要があります。

Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.3(1) コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： Platform Settings

Platform Settings

NTP サーバ認証の有効化

手順

日時の設定

設定された日付と時刻の表示

手順

タイム ゾーンの設定

手順

NTP を使用した日付と時刻の設定

手順

NTP サーバの削除

手順

手動での日付と時刻の設定

手順

SSH の設定

手順

TLS の設定

手順

例:

例:

例:

Telnet の設定

手順

例

SNMP の設定

SNMP の概要

SNMP 通知

SNMP セキュリティ レベルおよび権限

SNMP セキュリティ モデルとレベルのサポートされている組み合わせ

SNMPv3 セキュリティ機能

SNMP サポート

MIB のサポート

SNMPv3 ユーザの認証プロトコル

SNMPv3 ユーザの AES プライバシー プロトコル

SNMP のイネーブル化および SNMP プロパティの設定

手順

次のタスク

SNMP トラップの作成

手順

SNMP トラップの削除

手順

SNMPv3 ユーザの作成

手順

SNMPv3 ユーザの削除

手順

HTTPS の設定

証明書、キー リング、トラスト ポイント

暗号キーとキー リング

証明書

トラスト ポイント

キー リングの作成

手順

例

次のタスク

デフォルト キー リングの再生成

手順

例

基本オプション付きのキー リングの証明書要求の作成

手順

例

次のタスク

詳細オプション付きのキー リングの証明書要求の作成

手順

例

次のタスク

トラスト ポイントの作成

手順

例

次のタスク

キー リングへの証明書のインポート

始める前に

手順

例

次のタスク

HTTPS の設定

Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.3(1) コンフィギュレーションガイド

タイムゾーンの設定

SNMP セキュリティレベルおよび権限

SNMP セキュリティモデルとレベルのサポートされている組み合わせ

SNMPv3 ユーザの AES プライバシープロトコル

証明書、キーリング、トラストポイント

暗号キーとキーリング

トラストポイント

キーリングの作成

デフォルトキーリングの再生成

基本オプション付きのキーリングの証明書要求の作成

詳細オプション付きのキーリングの証明書要求の作成

トラストポイントの作成

キーリングへの証明書のインポート

トラストポイントの削除

ローカルデータベースのサポート

コモンクライテリアモードの有効化

IP アクセスリストの設定