Cisco Identity Services Engine リリース 2.3 管理者ガイド

Cisco ISE へのログイン

管理者のユーザ名とパスワードを使用して Cisco ISE にログインします。

初期設定時に、SSH を有効にしない場合、SSH 経由で ISE 管理コンソールにアクセスできません。SSH を有効にするには、Cisco ISE CLI にアクセスして、グローバルコンフィギュレーションモードで service sshd enable コマンドを入力します。グローバルコンフィギュレーションモードで no service sshd コマンドを使用して、SSH を無効にできます。

手順

ステップ 1

Cisco ISE URL をブラウザのアドレスバーに入力します（たとえば https://<ise hostname or ip address>/admin/）。

ステップ 2

ユーザ名と、Cisco ISE の初期セットアップで指定して設定した大文字と小文字が区別されるパスワードを入力します。

ステップ 3

[ログイン（Login）] をクリックするか、Enter を押します。

ログインに失敗した場合は、[ログイン（Login）] ページの [ログインで問題が発生する場合（Problem logging in?）] リンクをクリックして、手順に従ってください。

管理者ログインブラウザのサポート

Cisco ISE 管理者ポータルは次の HTTPS 対応ブラウザをサポートしています。

Mozilla Firefox バージョン：
- 52.1.2 ESR
- 53.0.3 以上
Google Chrome の最新バージョン
Microsoft Internet Explorer 10.x および 11.x

Internet Explorer 10.x を使用する場合は、TLS 1.1 と TLS 1.2 をイネーブルにし、SSL 3.0 と TLS 1.0 をディセーブルにします（[インターネットオプション（Internet Options）] > [詳細設定（Advanced）]）。

ISE コミュニティリソース

ISE Pages Fail to Fully Load When Adblock Plus is Used

ログインの試行に失敗した後の管理者のロックアウト

管理者ユーザ ID に対して誤ったパスワードを入力した回数が所定の数に達すると、ユーザは「ロックアウト」されて管理者ポータルからシステムにアクセスできなくなり、ログエントリが [サーバ管理者ログイン（Server Administrator Logins）] レポートに記録され、その管理者 ID のクレデンシャルは一時停止されます。一時停止を解除するには、その管理者 ID に関連付けられたパスワードをリセットする必要があります。手順については、『Cisco Identity Services Engine Hardware Installation Guide』の「Performing Post-Installation Tasks」の章を参照してください。管理者アカウントを無効にするのに必要な試行失敗回数は、「ユーザアカウントのカスタム属性およびパスワードポリシー」の項で説明しているガイドラインに従って設定できます。管理者ユーザアカウントがロックアウトされると、関連付けられた管理者ユーザに電子メールが送信されます。

無効になったシステム管理者のステータスは、Active Directory ユーザを含むすべてのスーパー管理者が有効にできます。

Cisco ISE でのプロキシ設定の指定

既存のネットワークトポロジにおいて、外部リソース（たとえば、クライアントプロビジョニングやポスチャ関連のリソースが存在するリモートダウンロードサイト）にアクセスするために、Cisco ISE に対してプロキシを使用することが要求されている場合は、管理者ポータルを使用してプロキシのプロパティを指定できます。

プロキシ設定は次の Cisco ISE 機能に影響します。

パートナーモバイル管理
エンドポイントプロファイラフィードサービスの更新
エンドポイントポスチャの更新
エンドポイントポスチャエージェントリソースのダウンロード
CRL（証明書失効リスト）のダウンロード
ゲスト通知

Cisco ISE プロキシ設定はプロキシサーバの基本認証をサポートします。NT LAN Manager（NTLM）認証はサポートされていません。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロキシ（Proxy）] を選択します。
ステップ 2	プロキシの IP アドレスまたは DNS 解決可能ホスト名を入力し、Cisco ISE との間のプロキシトラフィックを通過させるポートを [プロキシホストサーバ：ポート（Proxy host server : port）] で指定します。
ステップ 3	必要に応じて、[パスワード必須（Password required）] チェックボックスをオンにします。
ステップ 4	[ユーザ名（User Name）] および [パスワード（Password）] フィールドに、プロキシサーバへの認証に使用するユーザ名とパスワードを入力します。
ステップ 5	[次のホストとドメインに対するプロキシをバイパス（Bypass proxy for these hosts and domain）] に、バイパスするホストまたはドメインの IP アドレスまたはアドレス範囲を入力します。
ステップ 6	[保存（Save）] をクリックします。

管理者ポータルで使用されるポート

管理者ポータルは HTTP ポート 80 および HTTPS ポート 443 を使用するように設定され、これらの設定は変更できません。Cisco ISE はまた、あらゆるエンドユーザポータルが同じポートを使用することを禁止して、管理者ポータルへのリスクを減らすようになっています。

外部 RESTful サービス API の有効化

外部 RESTful サービス API は HTTPS プロトコルおよび REST 方法論に基づいており、ポート 9060 を使用します。

外部 RESTful サービス API は、基本認証をサポートしています。認証クレデンシャルは、暗号化され、要求ヘッダーの一部となっています。

JAVA、curl Linux コマンド、Python などの REST クライアントやその他のクライアントを使用して、外部 RESTful サービス API コールを呼び出すことができます。

ISE 管理者は、外部 RESTful サービス API を使用して操作を実行するための特権をユーザに割り当てる必要があります。外部 RESTful サービス API（ゲスト API を除く）を使用して操作を実行するには、次の管理者グループのいずれかにユーザを割り当て、Cisco ISE の内部データベース（内部管理者ユーザ）に保存されているクレデンシャルに対して認証する必要があります。

外部 RESTful サービス管理者：すべての ERS API へのフルアクセス（GET、POST、DELETE、PUT）。このユーザは、ERS API 要求を作成、読み取り、更新、および削除できます。
外部 RESTful サービスオペレータ：読み取り専用アクセス（GET 要求のみ）。

（注）

ネットワーク管理者ユーザは、すべての ERS API にアクセスできます。

外部 RESTful サービス API は、デフォルトではイネーブルになっていません。それらをイネーブルにする前に外部 RESTful サービス API コールを呼び出そうとすると、エラー応答を受信します。Cisco ISE REST API 用に開発されたアプリケーションから Cisco ISE にアクセスできるようにするには、Cisco ISE REST API をイネーブルにする必要があります。Cisco REST API は HTTPS ポート 9060 を使用します。このポートはデフォルトでは閉じられています。Cisco ISE REST API が Cisco ISE 管理用サーバでイネーブルになっていない場合、クライアントアプリケーションは、サーバから Guest REST API 要求に対するタイムアウトエラーを受信します。

手順

ステップ 1	[管理（Administration）] > [設定（Settings）] > [ERS 設定（ERS Settings）] の順に選択します。
ステップ 2	プライマリ管理ノードの [読み取り/書き込み用に ERS をイネーブル化（Enable ERS for Read/Write）] を選択します。
ステップ 3	セカンダリノードがある場合は、[その他すべてのノードの読み取り用に ERS をイネーブル化（Enable ERS for Read for All Other Nodes）] を選択します。すべてのタイプの外部 RESTful サービス要求はプライマリ ISE ノードに限り有効です。セカンダリノードは読み取りアクセス（GET 要求）に対応します。
ステップ 4	次のオプションのいずれかを選択します。 [セキュリティ強化に CSRF チェックを使用（Use CSRF Check for Enhanced Security）]：このオプションを有効にすると、ERS クライアントは Cisco ISE から Cross-Site Request Forgery（CSRF）トークンを取得する GET 要求を送信し、Cisco ISE に送信される要求に CSRF トークンを含める必要があります。Cisco ISE は、ERS クライアントからの要求を受信すると、CSRF トークンを検証します。Cisco ISE は、トークンが有効な場合にのみ要求を処理します。このオプションは、ISE 2.3 以前のクライアントには適用されません。 [ERS 要求に対して CSRF を無効にする（Disable CSRF for ERS Request）]：このオプションを有効にすると、CSRF 検証は実行されません。このオプションは、ISE 2.3 以前のクライアントに使用できます。
ステップ 5	[送信（Submit）] をクリックします。

すべての REST 操作が監査され、ログがシステムログに記録されます。外部 RESTful サービス API にはデバッグロギングカテゴリがあります。このカテゴリは、Cisco ISE GUI のデバッグログページからイネーブルにすることができます。

外部 RESTful サービス SDK

外部 RESTful サービス SDK を使用して、独自ツールの構築を開始できます。次の URL から外部 RESTful サービス SDK にアクセスできます。https://<ISE-ADMIN-NODE>:9060/ers/sdk外部 RESTful サービス SDK には、外部 RESTful サービス管理ユーザのみがアクセスできます。

SDK は、次のコンポーネントで構成されています。

クイックリファレンス API マニュアル
すべての利用可能な API 操作の完全なリスト
ダウンロード可能なスキーマファイル
ダウンロード可能な Java のサンプルアプリケーション
cURL スクリプト形式の使用例
python スクリプト形式の使用例
Chrome POSTMAN の使用方法

システム時刻と NTP サーバ設定の指定

Cisco ISE では、Network Time Protocol（NTP）サーバを 3 台まで設定することができます。NTP サーバを使用すると、正確な時刻を維持でき、複数のタイムゾーンの間で時刻を同期できます。また、認証済みの NTP サーバのみを Cisco ISE で使用するかどうかを指定することもでき、そのための認証キーを入力できます。

シスコは、すべての Cisco ISE ノードを協定世界時（UTC）の時間帯に設定することを推奨します（特に Cisco ISE ノードが分散展開されてインストールされている場合）。この手順では、展開内にあるさまざまなノードからのレポートとログのタイムスタンプが常に同期されます。

Cisco ISE は、NTP サーバの公開キー認証もサポートしています。NTPv4 は、対称キー暗号化を使用し、公開キー暗号化に基づく新しい Autokey 方式も提供します。公開キー暗号化は、一般に、各サーバによって生成され公開されない非公開の値に基づいているため、対称キー暗号化よりも安全であると考えられます。Autokey では、すべてのキー配布および管理機能には公開値のみが含まれているため、キーの配布と保管が大幅に簡素化されます。

コンフィギュレーションモードで Cisco ISE CLI から NTP サーバに Autokey を設定できます。IFF（identify Friend または Foe）識別方式は最も広く使用されている方式なので、この方式を使用することを推奨します。

始める前に

スーパー管理者またはシステム管理者の管理者ロールが割り当てられている必要があります。

プライマリおよびセカンダリの両方の Cisco ISE ノードがある場合は、セカンダリノードのユーザインターフェイスにログインし、展開内の各 Cisco ISE ノードのシステム時間と NTP サーバ設定を個別に設定する必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [システム時刻（System Time）] を選択します。
ステップ 2	NTP サーバに一意の IP アドレスを入力します。
ステップ 3	システムおよびネットワーク時間の維持に認証済みの NTP サーバだけを使用するように Cisco ISE を制限する場合は、[認証済みの NTP サーバのみ可能（Only allow authenticated NTP servers）] チェックボックスをオンにします。
ステップ 4	（オプション）秘密キーを使用して NTP サーバを認証する場合に、指定したサーバのいずれかが認証キーによる認証を必要とする場合は、[NTP 認証キー（NTP Authentication Keys）] タブをクリックし、1 つ以上の認証キーを次のように指定します。 [追加（Add）] をクリックします。 [キー ID（Key ID）] と [キー値（Key Value）] に必要な値を入力します。そのキーが信頼できる場合は、[信頼できるキー（Trusted Key）] オプションをオンにし、[OK] をクリックします。[キー ID（Key ID）] フィールドは 1 ～ 65535 の数値をサポートし、[キー値（Key Value）] フィールドは最大 15 文字の英数字をサポートします。 NTP サーバの認証キーの入力が終了したら、[NTP サーバ設定（NTP Server Configuration）] タブに戻ります。
ステップ 5	（オプション）公開キー認証を使用して NTP サーバを認証する場合は、コマンドラインインターフェイス（CLI）から Cisco ISE で Autokey を設定します。詳細については、『Cisco Identity Services Engine CLI Reference Guide, Release 2.3』で ntp server および crypto コマンドを参照してください。
ステップ 6	[保存（Save）] をクリックします。

システムの時間帯の変更

一度設定すると、管理者ポータルからの時間帯の編集はできません。時間帯設定を変更するには、Cisco ISE CLI で次のコマンドを入力します。

clock timezone タイムゾーン

（注）

Cisco ISE は、タイムゾーン名と出力の省略形に POSIX スタイルの記号を使用します。そのため、グリニッジの西にあるゾーンはプラス記号を持ち、グリニッジの東にあるゾーンはマイナス記号を持ちます。たとえば、TZ='Etc/GMT+4' はグリニッジ標準時（UT）の 4 時間遅れに対応します。

注意	インストール後に Cisco ISE アプライアンスでタイムゾーンを変更するには、ISE サービスをその特定のノードで再起動する必要があります。そのため、メンテナンスウィンドウ内でこのような変更を行うことを推奨します。また、単一 ISE 展開内のすべてのノードが同じタイムゾーンに設定されていることが重要です。複数の ISE ノードが異なる地理的な場所やタイムゾーンにある場合は、すべての ISE ノードで UTC などのグローバルなタイムゾーンを使用する必要があります。

clock timezone コマンドの詳細については、『Cisco Identity Services Engine CLI Reference Guide』を参照してください。

通知をサポートするための SMTP サーバの設定

アラームの電子メール通知を送信したり、スポンサーがゲストにログインクレデンシャルやパスワードのリセット指示の電子メール通知を送信できるようにしたり、ゲストがアカウント登録に成功した後、自動的にログインクレデンシャルを受信したり、ゲストアカウントの期限が切れる前に実行するアクションを受信したりできるようにするには、Simple Mail Transfer Protocol（SMTP）サーバを設定する必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [SMTP サーバ（SMTP Server）] を選択します。
ステップ 2	[設定（Settings）] > [SMTP サーバ（SMTP Server）] を選択します。
ステップ 3	[SMTP サーバ（SMTP Server）] フィールドにアウトバウンド SMTP サーバのホスト名を入力します。この SMTP ホストサーバは Cisco ISE サーバからアクセス可能である必要があります。このフィールドの最大長は 60 文字です。
ステップ 4	次のオプションのいずれかを選択します。スポンサーの電子メールアドレスからゲスト通知メールを送信するには、[スポンサーの電子メールアドレスを使用（Use email address from Sponsor）] を選択して、[通知の有効化（Enable Notifications）] を選択します。すべてのゲスト通知の送信元となる電子メールアドレスを指定するには、[デフォルトの電子メールアドレスを使用（Use Default email address）] を選択して、それを [デフォルトの電子メールアドレス（Default email address）] フィールドに入力します。
ステップ 5	[保存（Save）] をクリックします。

アラーム通知の受信者は、[電子メールにシステムアラームを含む（Include system alarms in emails）] オプションが有効になっている内部管理ユーザです。アラーム通知を送信する送信者の電子メールアドレスは、ise@<hostname> としてハードコードされています。

Cisco ISE 展開のアップグレード

Cisco ISE では、管理者ポータルから GUI ベースの一元化されたアップグレードが提供されます。アップグレードプロセスはさらに簡素化され、アップグレードの進行状況およびノードのステータスが画面に表示されます。アップグレード前およびアップグレード後のタスクのリストについては、『Cisco Identity Services Engine Upgrade Guide』を参照してください。

[アップグレードの概要（Upgrade Overview）] ページには、展開内のすべてのノード、そのノードで有効なペルソナ、インストールされている ISE のバージョン、およびノードのステータス（ノードがアクティブか非アクティブか）がリストされます。ノードがアクティブな状態である場合にのみアップグレードを開始できます。

さまざまなタイプの展開

スタンドアロンノード：管理、ポリシーサービスおよびモニタリングのペルソナを担当する単一の Cisco ISE ノード
マルチノード展開：複数の ISE ノードによる分散展開。分散展開をアップグレードする手順については、下記で詳しく説明します。


ISE コミュニティリソースネットワークが ISE 展開への準備ができているかどうかを評価する方法については、ISE Deployment Assistant（IDA）を参照してください。

分散展開のアップグレード

管理者ポータルから Cisco ISE 展開のすべてのノードをアップグレードできます。

（注）

GUI ベースのアップグレードは、リリース 2.0 以降からそれよりも新しいリリースにアップグレードする場合、または Cisco ISE 2.0 以降の限定提供リリースを一般提供リリースにアップグレードする場合にのみ適用できます。

始める前に

アップグレードする前に、次の作業が完了していることを確認します。

ISE の設定および運用データのバックアップを取得します。
システムログのバックアップを取得します。
スケジュールしたバックアップを無効にします。展開のアップグレードが完了したら、バックアップスケジュールを再設定します。
証明書および秘密キーをエクスポートします。
リポジトリを設定します。アップグレードバンドルをダウンロードし、このリポジトリに格納します。
Active Directory の参加クレデンシャルと RSA SecurID ノード秘密のメモを取ります（該当する場合）。この情報は、アップグレード後に Active Directory または RSA SecurID サーバに接続するために必要です。
アップグレードのパフォーマンスを向上させるために、運用データを消去します。

手順

ステップ 1

管理者ポータルの [アップグレード（Upgrade）] タブをクリックします。

ステップ 2

[続行（Proceed）] をクリックします。

[レビューチェックリスト（Review Checklist）] ウィンドウが表示されます。表示された手順を確認してください。

ステップ 3

[チェックリストを確認済み（I have reviewed the checklist）] チェックボックスをオンにし、[続行（Continue）] をクリックします。

[バンドルのノードへのダウンロード（Download Bundle to Nodes）] ウィンドウが表示されます。

ステップ 4

リポジトリからノードにアップグレードバンドルをダウンロードします。

アップグレードバンドルをダウンロードするノードの隣のチェックボックスをオンにします。
[ダウンロード（Download）] をクリックします。

[リポジトリおよびバンドルの選択（Select Repository and Bundle）] ウィンドウが表示されます。
リポジトリを選択します。

異なるノードで同じリポジトリまたは異なるリポジトリを選択できますが、すべてのノードで同じアップグレードバンドルを選択する必要があります。

図 1. 各ノードの選択したリポジトリを表示するアップグレードウィンドウ
アップグレードに使用するバンドルの隣にあるチェックボックスをオンにします。
[確認（Confirm）] をクリックします。

バンドルがノードにダウンロードされると、ノードステータスが「アップグレードの準備が整いました（Ready for Upgrade）」に変わります。

ステップ 5

[続行（Continue）] をクリックします。

[ノードのアップグレード（Upgrade Nodes）] ウィンドウが表示されます。

ステップ 6

アップグレード順序を選択します。

ノードを新しい展開に移動すると、アップグレードの推定所要時間が [ノードのアップグレード（Upgrade Nodes）] ウィンドウに表示されます。この情報を使用して、アップグレードを計画し、ダウンタイムを最小化できます。管理ノードとモニタリングノードのペアおよび複数のポリシーサービスノードがある場合は、以下の手順に従います。

デフォルトでは、セカンダリ管理ノードは、アップグレード順序の最初にリストされています。アップグレード後に、このノードは新しい展開でプライマリ管理ノードになります。
プライマリモニタリングノードは、次に新しい展開にアップグレードされるノードです。
ポリシーサービスノードを選択し、新しい展開に移動します。ポリシーサービスノードをアップグレードする順序を変更できます。

ポリシーサービスノードは、順番にまたは並行してアップグレードできます。ポリシーサービスノードのセットを選択し、並行してアップグレードできます。
セカンダリモニタリングノードを選択し、新しい展開に移動します。
最後に、プライマリ管理ノードを選択し、新しい展開に移動します。

管理ノードがモニタリングペルソナも担当する場合は、次の表に示す手順に従ってください。

現在の展開内のノードペルソナ	アップグレードの順序
セカンダリ管理/プライマリモニタリングノード、ポリシーサービスノード、プライマリ管理/セカンダリモニタリングノード	セカンダリ管理/プライマリモニタリングノードポリシーサービスノードプライマリ管理/セカンダリモニタリングノード
セカンダリ管理/セカンダリモニタリングノード、ポリシーサービスノード、プライマリ管理/プライマリモニタリングノード	セカンダリ管理/セカンダリモニタリングノードポリシーサービスノードプライマリ管理/プライマリモニタリングノード
セカンダリ管理ノード、プライマリモニタリングノード、ポリシーサービスノード、プライマリ管理/セカンダリモニタリングノード	セカンダリ管理ノードプライマリモニタリングノードポリシーサービスノードプライマリ管理/セカンダリモニタリングノード
セカンダリ管理ノード、セカンダリモニタリングノード、ポリシーサービスノード、プライマリ管理/プライマリモニタリングノード	セカンダリ管理ノードセカンダリモニタリングノードポリシーサービスノードプライマリ管理/プライマリモニタリングノード
セカンダリ管理/プライマリモニタリングノード、ポリシーサービスノード、セカンダリモニタリングノード、プライマリ管理ノード	セカンダリ管理/プライマリモニタリングノードポリシーサービスノードセカンダリモニタリングノードプライマリ管理ノード
セカンダリ管理/セカンダリモニタリングノード、ポリシーサービスノード、プライマリモニタリングノード、プライマリ管理ノード	セカンダリ管理/セカンダリモニタリングノードポリシーサービスノードプライマリモニタリングノードプライマリ管理ノード

ステップ 7

アップグレードがアップグレード順序のいずれかのポリシーサービスノードで失敗した場合でもアップグレードを続行するには、[失敗時でもアップグレードを続行する（Continue with upgrade on failure）] チェックボックスをオンにします。

このオプションは、セカンダリ管理ノードおよびプライマリモニタリングノードには適用されません。これらのノードのいずれかに障害が発生すると、アップグレードプロセスはロールバックされます。ポリシーサービスノードのいずれかが失敗すると、セカンダリモニタリングノードおよびプライマリ管理ノードはアップグレードされず、古い展開内に残ります。

ステップ 8

[アップグレード（Upgrade）] をクリックして、展開のアップグレードを開始します。

各ノードのアップグレードの進行状況が表示されます。正常に完了すると、ノードのステータスが「アップグレード完了（Upgrade Complete）」に変わります。

（注）

管理者ポータルからノードをアップグレードするときに、ステータスが長時間変化しない場合（80% のままの場合）は、CLI からアップグレードログをチェックするか、コンソールからアップグレードのステータスをチェックできます。アップグレードの進行状況を表示するには、CLI にログインするか、Cisco ISE ノードのコンソールを表示します。show logging application コマンドを使用して、upgrade-uibackend-cliconsole.log および upgrade-postosupgrade-yyyymmdd-xxxxxx.log を表示できます。

（注）

新しい展開のプライマリ管理ノードでポスチャデータの更新処理が実行している場合、プライマリ管理ノードにノードを登録できません。ポスチャ更新プロセスが終了するまで待つか（約 20 分かかることがあります）、またはアップグレードまたはノードの新しい展開への登録中に、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [ポスチャ（Posture）] > [更新（Updates）] ページから、ポスチャの自動更新機能を無効にすることができます。

ソフトウェアパッチのインストール

展開内の Cisco ISE サーバにパッチをインストールする作業は、プライマリ PAN から行うことができます。プライマリ PAN からパッチをインストールするには、Cisco.com からクライアントブラウザを実行しているシステムにパッチをダウンロードします。

GUI からパッチをインストールする場合、パッチは最初にプライマリ PAN に自動的にインストールされます。その後、システムは、GUI にリストされている順序で、展開内の他のノードにパッチをインストールします。ノードが更新される順序を制御することはできません。

CLI からパッチをインストールする場合は、ノードの更新順序を制御できます。ただし、最初にプライマリ PAN にパッチをインストールすることを推奨します。

（注）

Cisco ISE のパッチをインラインポスチャノードにインストールする作業を実行できるのは、CLI からに限られます。

始める前に

スーパー管理者またはシステム管理者の管理者ロールが割り当てられている必要があります。
自動フェールオーバー設定が展開でイネーブルになっている場合はオフにします。ソフトウェアパッチをインストールすると、アプリケーションサーバプロセスが再起動されます。これらのサービスが再起動されるまで遅延が発生する場合があります。このサービスの再起動の遅延により、セカンダリ PAN の自動フェールオーバーが開始される場合があります。

手順

ステップ 1

[管理（Administration）] > [システム（System）] > [メンテナンス（Maintenance）] > [パッチ管理（Patch Management）] > [インストール（Install）] を選択します。

ステップ 2

[参照（Browse）] をクリックし、Cisco.com からダウンロードしたパッチを選択します。

ステップ 3

[インストール（Install）] をクリックしてパッチをインストールします。

PAN でのパッチのインストールが完了すると、Cisco ISE から自動的にログアウトされます。再びログインできるようになるまで数分間待つ必要があります。

（注）

パッチインストールの進行中は、[パッチ管理（Patch Management）] ページ上の機能のうち、アクセスできるのは [ノードステータスを表示（Show Node Status）]Show Node Status のみです。

ステップ 4

[管理（Administration）] > [システム（System）] > [メンテナンス（Maintenance）] > [パッチ管理（Patch Management）] を選択して、[パッチのインストール（Patch Installation）] ページに戻ります。

ステップ 5

セカンダリノードにインストールしたパッチの横のオプションボタンをクリックし、[ノードステータスを表示（Show Node Status）] をクリックしてインストールが完了したことを確認します。

次のタスク

1 つ以上のセカンダリノードでパッチをインストールする必要がある場合は、ノードが動作中であることを確認し、プロセスを繰り返して残りのノードにパッチをインストールします。

Cisco ISE ソフトウェアパッチ

Cisco ISE ソフトウェアパッチは通常累積されます。Cisco ISE では、パッチのインストールおよびロールバックを CLI または GUI から実行できます。

ソフトウェアパッチインストールのガイドライン

パッチのインストールまたはロールバックをスタンドアロンまたはプライマリ PAN から実行したときは、Cisco ISE によってアプリケーションが再起動されます。再びログインできる状態になるまで、数分かかることがあります。

インストールするパッチが、ネットワーク内に展開されている Cisco ISE のバージョンに適用されるものであることを確認してください。Cisco ISE はパッチファイルのバージョンの不一致とあらゆるエラーをレポートします。

Cisco ISE に現在インストールされているパッチよりも低いバージョンのパッチをインストールできません。同様に、あるバージョンのパッチの変更をロールバックしようとしたときに、それよりも高いバージョンのパッチがその時点で Cisco ISE にインストール済みの場合は、ロールバックはできません。たとえば、パッチ 3 が Cisco ISE サーバにインストール済みの場合に、パッチ 1 または 2 をインストールしたり、パッチ 1 または 2 にロールバックすることはできません。

分散展開の一部であるプライマリ PAN からパッチのインストールを実行するときは、Cisco ISE によってそのパッチが展開内のプライマリノードとすべてのセカンダリノードにインストールされます。パッチのインストールがプライマリ PAN で成功すると、Cisco ISE はセカンダリノードでパッチのインストールを続行します。プライマリ PAN で失敗した場合は、インストールはセカンダリノードに進みません。ただし、何らかの理由でセカンダリノードのいずれかでインストールに失敗した場合は、処理が続行され、展開内の次のセカンダリノードでインストールが実行されます。パッチがセカンダリ Cisco ISE ノード上にインストールされると、そのノードは続けて再起動されます。パッチをセカンダリノードにインストールしている間も、プライマリ PAN の管理タスクの実行を続けることができます。

2 ノード展開の一部であるプライマリ PAN からパッチのインストールを実行するときは、Cisco によってそのパッチが展開内のプライマリノードとセカンダリノードにインストールされます。パッチのインストールがプライマリ PAN で成功すると、Cisco はセカンダリノードでパッチのインストールを続行します。プライマリ PAN で失敗した場合は、インストールはセカンダリノードに進みません。パッチをセカンダリノードにインストールしている間も、プライマリ PAN の管理タスクの実行を続けることができます。

ソフトウェアパッチのロールバック

分散展開の一部である PAN からパッチのロールバックを実行するときは、Cisco ISE によってそのパッチが展開内のプライマリノードとすべてのセカンダリノードにロールバックされます。

始める前に

スーパー管理者またはシステム管理者の管理者ロールが割り当てられている必要があります。
自動フェールオーバー設定が展開でイネーブルになっている場合はオフにします。ソフトウェアパッチをロールバックすると、アプリケーションサーバプロセスが再起動されます。これらのサービスが再起動されるまで遅延が発生する場合があります。このサービスの再起動の遅延により、セカンダリ管理ノードの自動フェールオーバーが開始される場合があります。

手順

ステップ 1

[管理（Administration）] > [システム（System）] > [メンテナンス（Maintenance）] > [パッチ管理（Patch Management）] を選択します。

ステップ 2

変更をロールバックするパッチバージョンのオプションボタンをクリックしてから、[ロールバック（Rollback）] をクリックします。

（注）

パッチのロールバックの進行中は、[パッチ管理（Patch Management）] ページ上の機能のうち、アクセスできるのは [ノードステータスを表示（Show Node Status）]Show Node Status のみです。

PAN からのパッチのロールバックが完了すると、Cisco ISE から自動的にログアウトされます。再びログインできるようになるまで数分間待つ必要があります。

ステップ 3

ログイン後に、ページの一番下にある [アラーム（Alarms）] リンクをクリックしてロールバック操作のステータスを表示します。

ステップ 4

[管理（Administration）] > [システム（System）] > [メンテナンス（Maintenance）] > [パッチ管理（Patch Management）] を選択します。

ステップ 5

パッチのロールバックの進行状況を表示するには、[パッチ管理（Patch Management）] ページでパッチを選択し、[ノードステータスを表示（Show Node Status）] をクリックします。

ステップ 6

パッチのオプションボタンをクリックし、セカンダリノード上で [ノードステータスを表示（Show Node Status）] をクリックして、そのパッチが展開内のすべてのノードからロールバックされたことを確認します。

そのパッチがロールバックされていないセカンダリノードがある場合は、そのノードが稼働中であることを確認してから、プロセスをもう一度実行して残りのノードから変更をロールバックしてください。Cisco ISE は、このバージョンのパッチがインストールされているノードからのみパッチをロールバックします。

ソフトウェアパッチロールバックのガイドライン

展開の Cisco ISE ノードからパッチをロールバックするには、最初に PAN から変更をロールバックします。これに成功すると、セカンダリノードからパッチがロールバックされます。PAN でロールバックプロセスが失敗した場合は、セカンダリノードからのパッチロールバックは行われません。ただし、いずれかのセカンダリノードでパッチのロールバックが失敗しても、展開内の次のセカンダリノードからのパッチのロールバックは継続されます。

Cisco ISE によるセカンダリノードからのパッチロールバックが進行中のときも、引き続き PAN GUI から他のタスクを実行できます。セカンダリノードは、ロールバック後に再起動されます。

パッチのインストールおよびロールバックの変更の表示

インストールされているパッチに関連するレポートを表示するには、次の手順を実行します。

始める前に

スーパー管理者またはシステム管理者の管理者ロールが割り当てられている必要があります。[管理（Administration）] > [システム（System）] > [メンテナンス（Maintenance）] > [パッチ管理（Patch Management）] ページで、パッチをインストールまたはロールバックできます。展開内の各ノードで特定のパッチのステータス（[インストール済み（installed）]、[処理中（in-progress）]、[未インストール（not installed）]）を確認できます。このためには、特定のパッチを選択し、[ノードステータスを表示（Show Node Status）] ボタンをクリックします。

手順

ステップ 1	[操作（Operations）] > [レポート（Reports）] > [監査（Audit）] > [操作監査（Operations Audit）] を選択します。デフォルトでは、過去 7 日間のレコードが表示されます。
ステップ 2	[フィルタ（Filter）] ドロップダウンをクリックして [クイックフィルタ（Quick Filter）] または [拡張フィルタ（Advanced Filter）] を選択し、必要なキーワード（例：patch install iniated）を使用して、インストール済みのパッチを示すレポートを生成します。

FIPS モードのサポート

製品の Cisco Identity Services Engine は、組み込みの FIPS 140-2 検証済み暗号化モジュールのシスコ共通暗号化モジュール（証明書 #1643 および #2100）を使用します。FIPS コンプライアンスの要求の詳細については、『FIPS Compliance Letter』を参照してください。

FIPS モードを有効にすると、Cisco ISE 管理者インターフェイスのページの右上隅のノード名の左側に FIPS モードアイコンが表示されます。

Cisco ISE は、FIPS 140-2 レベル 1 標準でサポートされないプロトコルまたは証明書の使用を検出すると、準拠していないプロトコルまたは証明書の名前とともに警告を表示し、FIPS モードは有効になりません。必ず FIPS に準拠したプロトコルのみを選択し、FIPS モードを有効にする前に FIPS に非準拠の証明書を交換してください。

FIPS モードを有効にしたら、展開内の他のすべてのノードを再起動する必要があります。ネットワークの中断を最小限にするために、Cisco ISE は自動的にローリング再起動を実行します。具体的には、最初にプライマリ PAN を再起動し、その後でセカンダリノードを 1 つずつ再起動します。

ヒント

データベース移行プロセスを行う場合は、移行が完了してから FIPS モードを有効にすることを推奨します。

Cisco ISE リリース 1.3 は FIPS モードをサポートしていません。

Cisco ISE での FIPS モードの有効化

Cisco ISE ネットワークは、Federal Information Processing Standard（FIPS）140-2 準拠の暗号化と復号化をサポートしています。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [FIPS モード（FIPS Mode）] を選択します。
ステップ 2	[FIPS モード（FIPS Mode）] ドロップダウンリストで [有効（Enabled）] オプションを選択します。
ステップ 3	[保存（Save）] をクリックして、マシンを再起動します。

次のタスク

FIPS モードを有効にしたら、次の FIPS 140-2 準拠機能を有効にして設定します。

また、Common Access Card（CAC）機能を使用して管理者アカウントの許可を有効にすることもできます。許可のために CAC 機能を使用することは、厳密には FIPS 140-2 の要件ではありませんが、セキュアアクセスの手法としてよく知られており、多くの環境で FIPS 140-2 準拠を強化するために使用されています。

FIPS モードの動作パラメータ

FIPS 標準では特定のアルゴリズムの使用について制限が設けられています。この標準を適用するには、Cisco ISE での FIPS 動作を有効にする必要があります。Cisco ISE による FIPS 140-2 準拠の有効化の手段として、RADIUS の共有秘密とキー管理が使用されます。FIPS モードでは、非 FIPS 準拠のアルゴリズムを使用するすべての機能が失敗するほか、特定の認証機能が無効になります。

また FIPS モードを有効にすると、Cisco ISE のゲストログイン機能に必要な Password Authentication Protocol（PAP）および Challenge Handshake Authentication Protocol（CHAP）プロトコルが自動的に無効になります。

FIPS モードが有効のときの Cisco NAC Agent の要件

Cisco NAC Agent は、Cisco ISE ネットワークを検出するために、常に Windows Internet Explorer TLS 1.0 の設定を探します。（これらの TLS 1.0 設定が Internet Explorer で有効になっている必要があります。）したがって、ネットワークにアクセスするクライアントマシン上で Cisco ISE のポスチャ評価機能を動作させるには、そのマシンに Windows Internet Explorer バージョン 7、8、または 9 がインストールされて TLS1.0 が有効になっている必要があります。Cisco NAC Agent は、Cisco ISE で FIPS モードが有効になっている場合に、自動的に Windows Internet Explorer の TLS 1.0 設定を有効化することができます。

管理者 CAC 認証のための Cisco ISE の設定

始める前に

設定を始める前に、次の手順を実行してください。

（任意）FIPS モードを有効にします。FIPS モードは証明書ベースの認証には必要ありませんが、この 2 つのセキュリティ手段は多くの場合、組み合わせて使用されます。Cisco ISE を FIPS 140-2 準拠の環境に展開する予定があり、CAC 証明書ベース許可も使用する場合は、必ず FIPS モードを有効にするとともに、適切な秘密キーと暗号化/復号化設定を最初に指定してください。
Cisco ISE のドメインネームサーバ（DNS）が Active Directory に設定されていることを確認します。
Active Directory のユーザとユーザグループメンバーシップが、管理者証明書ごとに定義されていることを確認します。

Cisco ISE による管理者の認証と許可を、ブラウザから送信された CAC ベースのクライアント証明書に基づいて実行できるようにするには、次の設定が完了していることを確認してください。

外部 ID ソース（次の例では Active Directory）
管理者が属する Active Directory のユーザグループ
ユーザのアイデンティティを証明書の中で見つける方法
Active Directory ユーザグループから Cisco ISE RBAC 権限へのマッピング
クライアント証明書に署名する認証局（信頼）証明書
クライアント証明書がすでに CA によって失効させられたかどうかを判断する方法

Cisco ISE にログインする場合、クレデンシャルを認証するために Common Access Card（CAC）を使用できます。

手順

ステップ 1

FIPS モードを有効にします。FIPS モードを有効にすると、システムを再起動するように促されます。CA 証明書もインポートする場合は、再起動を遅らせることができます。

ステップ 2

Cisco ISE の Active Directory ID ソースを設定し、Active Directory にすべての Cisco ISE ノードを追加します。

ステップ 3

ガイドラインに従って証明書認証プロファイルを設定します。

[プリンシパル名 X.509 属性（Principal Name X.509 Attribute）] フィールドでは、証明書内で管理者ユーザ名が格納されている属性を選択します。（CAC カードの場合は、カード上の署名証明書が通常は Active Directory でのユーザの検索に使用されます。プリンシパル名は、この証明書の「サブジェクトの別名（Subject Alternative Name）」拡張情報の中にあります。具体的には、この拡張情報の「別の名前（Other Name）」というフィールドです。したがって、ここで選択する属性は「Subject Alternative Name - Other Name」となります。）

ユーザの AD レコードにユーザの証明書が格納されている場合に、ブラウザから受信した証明書を AD の証明書と比較するには、[証明書のバイナリ比較（Binary Certificate Comparison）] チェックボックスをオンにして、以前に指定した Active Directory インスタンス名を選択します。

ステップ 4

パスワードベースの admin 認証用の Active Directory を有効にします。Cisco ISE に接続し結合された Active Directory インスタンス名を選択します。

（注）

その他の設定が完了するまでは、パスワードベースの認証を使用します。この手順の最後に、認証タイプをクライアント証明書ベースに変更できます。

ステップ 5

外部管理者グループを作成して、Active Directory グループにマッピングします。[管理（Administration）] > [システム（System）] > [管理者アクセス（Admin Access）] > [管理者（Administrators）] > [管理グループ（Admin Groups）] を選択します。外部システム管理者グループを作成します。

ステップ 6

外部管理グループに RBAC 権限を割り当てる管理者許可ポリシーを設定します。

注意	外部スーパー管理者グループを作成して Active Directory グループにマッピングし、スーパー管理者権限を持つ管理者許可ポリシー（メニューアクセスおよびデータアクセス）を設定し、Active Directory グループに少なくとも 1 人のユーザを作成することを強く推奨します。このマッピングにより、クライアント証明書ベースの認証が有効になると、少なくとも 1 人の外部管理者がスーパー管理者権限を持つことが保証されます。これができないと、Cisco ISE 管理者が管理者ポータルの重要な機能から締め出される状況になる可能性があります。

ステップ 7

[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [証明書ストア（Certificate Store）] を選択して、認証局証明書を Cisco ISE 証明書信頼ストアにインポートします。

Cisco ISE がクライアント証明書を受け入れるには、そのクライアント証明書の信頼チェーンの CA 証明書が Cisco ISE 証明書ストアの中にあることが条件となります。Cisco ISE 証明書ストアには適切な CA 証明書をインポートする必要があります。

[参照（Browse）] をクリックして証明書を選択します。
[クライアント認証を信頼（Trust for client authentication）] チェックボックスをオンにします。
[送信（Submit）] をクリックします。

Cisco ISE は、証明書をインポートしたら展開内のすべてのノードを再起動することを促します。すべての証明書をインポートするまで、再起動を遅らせることができます。ただし、すべての証明書をインポートしたら、次に進む前に Cisco ISE を再起動する必要があります。

ステップ 8

失効ステータス確認のための認証局証明書を設定します。

[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [OSCP サービス（OSCP Services）] を選択します。
OSCP サーバの名前、説明（任意）、サーバの URL を入力します。
[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [証明書ストア（Certificate Store）] を選択します。
クライアント証明書に署名できる CA 証明書のそれぞれについて、その CA の失効ステータスチェックを行う方法を指定する必要があります。リストから CA 証明書を選択して [編集（Edit）] をクリックします。編集ページで、OCSP または CRL 検証の一方あるいは両方を選択します。OCSP を選択した場合は、CA に使用する OCSP サービスを選択します。CRL を選択した場合は、CRL Distribution URL などの設定パラメータを指定します。

ステップ 9

クライアント証明書ベースの認証を有効にします。[管理（Administration）] > [システム（System）] > [管理者アクセス（Admin Access）] > [認証（Authentication）] を選択します。

[認証方式（Authentication Method）] タブの [クライアント証明書ベース（Client Certificate Based）] 認証タイプを選択します。
設定済みの証明書認証プロファイルを選択します。
Active Directory のインスタンス名を選択します。
[保存（Save）] をクリックします。

ここで、パスワードベースの認証からクライアント証明書ベースの認証に切り替えます。設定済みの証明書認証プロファイルにより、管理者による証明書の認証方法を指定します。管理者は外部 ID ソースを使用して許可されます。この例では、Active Directory です。

Active Directory での管理者の検索には、証明書認証プロファイルからのプリンシパル名属性が使用されます。

Cisco ISE は、管理者 CAC 認証に設定されています。

サポートされる Common Access Card 標準

Cisco ISE は、Common Access Card（CAC）認証デバイスを使用して自身を認証する米国政府ユーザをサポートします。CAC は特定の従業員を識別する一連の X.509 クライアント証明書を含む電子チップの認識票です。CAC によるアクセスには、カードを挿入し PIN を入力するカードリーダーが必要です。カードからの証明書が Windows の証明書ストアに転送されます。Windows の証明書ストアは、Cisco ISE などのローカルブラウザで実行されているアプリケーションで使用可能です。

Windows Internet Explorer バージョン 8 または 9 を Windows 7 オペレーティングシステムで使用している場合は、ActiveIdentity の ActivClient バージョン 6.2.0.133 をインストールする必要があります。このミドルウェアは、Cisco ISE を CAC とともに相互運用するためのサードパーティ製品です。ActiveIdentity セキュリティクライアント製品の詳細については、ActivID ActivClient Security Software Datasheet を参照してください。

Cisco ISE での共通アクセスカードの動作

管理者ポータルは、クライアント証明書を使用してのみ Cisco ISE との認証が許可されるように設定できます。ユーザ ID とパスワードなどのクレデンシャルベースの認証はできません。クライアント証明書認証では、共通アクセスカード（CAC）カードを挿入して PIN を入力してから、ブラウザのアドレスフィールドに Cisco ISE 管理者ポータルの URL を入力します。ブラウザによって証明書が Cisco ISE に転送され、Cisco ISE はログインセッションを証明書の内容に基づいて認証および許可します。このプロセスが完了すると、[Cisco ISE モニタリングおよびトラブルシューティング（Cisco ISE Monitoring and Troubleshooting）] ホームページに表示され、適切な RBAC 権限が与えられます。

Diffie-Hellman アルゴリズムを使用した SSH キー交換の保護

Diffie-Hellman-Group14-SHA1 SSH キー交換しか許可しないように Cisco ISE を設定することができます。このためには、Cisco ISE コマンドラインインターフェイス（CLI）のコンフィギュレーションモードから次のコマンドを入力します。

service sshd key-exchange-algorithm diffie-hellman-group14-sha1

次に例を示します。

ise/admin#conf t

ise/admin (config)#service sshd key-exchange-algorithm diffie-hellman-group14-sha1

セキュア syslog 送信のための Cisco ISE の設定

Cisco ISE ノード間で、およびモニタリングノードに対して、TLS 保護されたセキュア syslog のみを送信するように Cisco ISE を設定するには、次の手順を実行します。

始める前に

展開内のすべての Cisco ISE ノードに適切なサーバ証明書が設定されていることを確認します。FIPS 140-2 準拠にセットアップする場合は、証明書キーは 2,048 ビット以上のキーサイズが必要です。
管理者ポータルの FIPS モードを有効にします。
デフォルトネットワークアクセス認証ポリシーが、あらゆるバージョンの SSL プロトコルを許可しないことを確認します。FIPS 認定アルゴリズムとともに、FIPS モードで TLS プロトコルを使用します。
展開内のすべてのノードがプライマリ PAN に登録されていることを確認します。また、展開の少なくとも 1 つのノードに、セキュア syslog レシーバ（TLS サーバ）としての動作が有効になっているモニタリングペルソナが含まれることも確認します。

手順

ステップ 1	セキュア syslog リモートロギングターゲットを設定します。
ステップ 2	セキュア syslog リモートロギングターゲットに監査可能なイベントを送信するロギングカテゴリを有効にします。
ステップ 3	TCP syslog および UDP syslog コレクタを無効にします。TLS 保護された syslog コレクタのみを有効にします。

セキュア syslog リモートロギングターゲットの設定

Cisco ISE システムログは、さまざまな目的のために、ログコレクタによって収集され保存されます。セキュア syslog ターゲットを設定するためには、ログコレクタとして Cisco ISE モニタリングノードを選択する必要があります。

手順

ステップ 1	管理者ポータルにログインします。
ステップ 2	[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [リモートロギングターゲット（Remote Logging Targets）] を選択します。
ステップ 3	[追加（Add）] をクリックします。
ステップ 4	セキュア syslog サーバの名前を入力します。
ステップ 5	[ターゲットタイプ（Target Type）] ドロップダウンリストからセキュア syslog を選択します。
ステップ 6	[ステータス（Status）] ドロップダウンリストで [有効化（Enabled）] を選択します。
ステップ 7	展開の Cisco ISE モニタリングノードの IP アドレスを入力します。
ステップ 8	ポート番号として 6514 を入力します。セキュア syslog レシーバは TCP ポート 6514 をリッスンします。
ステップ 9	syslog ファシリティコードを選択します。デフォルトは LOCAL6 です。
ステップ 10	[サーバダウンの場合はバッファメッセージ（Buffer Messages When Server is Down）] チェックボックスをオンにします。このオプションがオンの場合、Cisco ISE は、セキュア syslog レシーバが到達不能な場合にはログを格納し、セキュア syslog レシーバを定期的に検査し、セキュア syslog レシーバが起動すると転送します。バッファサイズを入力します。定期的にセキュア syslog レシーバを検査するように、Cisco ISE の再接続タイムアウトを秒単位で入力します。
ステップ 11	Cisco ISE がセキュア syslog サーバに提示する CA 証明書を選択します。
ステップ 12	[サーバ証明書有効性を無視（Ignore Server Certificate validation）] チェックボックスをオフにします。このオプションをオンにしてはいけません。
ステップ 13	[送信（Submit）] をクリックします。

セキュア syslog ターゲットに監査可能なイベントを送信するためのロギングカテゴリの有効化

Cisco ISE によってセキュア syslog ターゲットに監査可能なイベントが送信されるようにするには、ロギングカテゴリを有効にする必要があります。

手順

ステップ 1	管理者ポータルにログインします。
ステップ 2	[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [ロギングカテゴリ（Logging Categories）] を選択します。
ステップ 3	AAA 監査ロギングカテゴリの横にあるオプションボタンをクリックし、次に [編集（Edit）] をクリックします。
ステップ 4	[ログ重大度レベル（Log Severity Level）] ドロップダウンリストから [警告（WARN）] を選択します。
ステップ 5	作成済みのセキュア syslog リモートロギングターゲットを、選択したボックスに移動します。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	次のロギングカテゴリを有効にする場合は、この手順を繰り返し行います。管理および操作の監査（Administrative and Operational Audit）ポスチャおよびクライアントプロビジョニングの監査（Posture and Client Provisioning Audit）

TCP syslog および UDP syslog コレクタの無効化

Cisco ISE が ISE ノード間でセキュアな syslog のみを送信するには、TCP および UDP syslog コレクタを無効にして、セキュアな syslog コレクタのみを有効にする必要があります。

手順

ステップ 1	管理者ポータルにログインします。
ステップ 2	[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [リモートロギングターゲット（Remote Logging Targets）] を選択します。
ステップ 3	TCP または UDP syslog コレクタの横にあるオプションボタンをクリックします。
ステップ 4	[編集（Edit）] をクリックします。
ステップ 5	[ステータス（Status）] ドロップダウンリストから [無効化（Disabled）] を選択します。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	すべての TCP または UDP syslog コレクタが無効になるまで、このプロセスを繰り返します。

デフォルトのセキュア syslog コレクタ

Cisco ISE には、MnT ノード用のデフォルトのセキュア syslog コレクタがあります。デフォルトでは、これらのデフォルトセキュア syslog コレクタにはロギングカテゴリはマッピングされません。デフォルトセキュア syslog コレクタの名前は次のとおりです。

プライマリ MnT ノード：SecureSyslogCollector
セカンダリ MnT ノード：SecureSyslogCollector2

[リモートロギングターゲット（Remote Logging Targets）] ページ（[管理（Administration）] > [システム（System）] > [ロギング（Logging）]）でこの情報を確認できます。デフォルトの syslog コレクタは削除できません。また、デフォルト syslog コレクタの [名前（Name）]、[ターゲットタイプ（Target Type）]、[IP/ホストアドレス（IP/Host address）]、および [ポート（Port）] フィールドは更新できません。

Cisco ISE の新規インストール中に、システムから「デフォルトの自己署名サーバ証明書（Default Self-signed Server Certificate）」が信頼ストアに追加され、「クライアン認証および syslog 用の信頼（Trust for Client authentication and Syslog）」目的で使用されるものとしてマークされます。これにより、この証明書はセキュア syslog に使用できるようになります。展開を設定する場合または証明書を更新する場合には、関連する証明書をセキュア syslog ターゲットに割り当てる必要があります。

アップグレード中に、ポート 6514 で MnT ノードを指し示している既存のセキュア syslog ターゲットがある場合、同じ名前と設定が維持されますが、アップグレード完了後にこれらの syslog ターゲットを削除すること、および [名前（Name）]、[ターゲットタイプ（Target Type）]、[IP/ホストアドレス（IP/Host address）]、および [ポート（Port）] フィールドを編集することはできません。アップグレードの時点でこのようなターゲットが存在しない場合、新規インストールの場合と同様にデフォルトセキュア syslog ターゲットが作成されますが、証明書のマッピングは行われません。これらの syslog ターゲットに関連証明書を割り当てることができます。どの証明書にもマッピングされていないセキュア syslog ターゲットをロギングカテゴリにマッピングしようとすると、次のメッセージが表示されます。

log_target_name の証明書を設定してください（Please configure the certificate for log_target_name）

オフラインメンテナンス

メンテナンス時間が 1 時間未満の場合、ISE ノードをオフラインにしてメンテナンス作業を行います。ノードをオンラインに戻すと、メンテナンス時間内に行われたすべての変更が PAN により自動的に同期されます。変更が自動的に同期されない場合は、PAN を使用して手動で同期できます。

メンテナンス時間が 1 時間を超える場合は、メンテナンスの時点でノードを登録解除し、ノードを展開に再び追加するときにノードを再登録します。

処理があまり行われていない時間帯にメンテナンスをスケジュールすることが推奨されます。

（注）

キューに格納されているメッセージの数が 1,000,000 を超える場合、または ISE ノードが 6 時間を超えてオフラインになっている場合には、データの複製の問題が発生している可能性があります。
プライマリ MnT ノードでメンテナンスを行う予定の場合は、メンテナンスアクティビティを実行する前に、MnT ノードの操作バックアップを作成しておくことを推奨します。

偏向のない言語

翻訳について

検索結果

章のタイトル： Cisco ISE の管理

Cisco ISE の管理

Cisco ISE へのログイン

手順

管理者ログイン ブラウザのサポート

ログインの試行に失敗した後の管理者のロックアウト

Cisco ISE でのプロキシ設定の指定

手順

管理者ポータルで使用されるポート

外部 RESTful サービス API の有効化

手順

外部 RESTful サービス SDK

システム時刻と NTP サーバ設定の指定

始める前に

手順

システムの時間帯の変更

通知をサポートするための SMTP サーバの設定

手順

Cisco ISE 展開のアップグレード

さまざまなタイプの展開

分散展開のアップグレード

始める前に

手順

ソフトウェア パッチのインストール

始める前に

手順

次のタスク

Cisco ISE ソフトウェア パッチ

ソフトウェア パッチ インストールのガイドライン

ソフトウェア パッチのロールバック

始める前に

手順

ソフトウェア パッチ ロールバックのガイドライン

パッチのインストールおよびロールバックの変更の表示

始める前に

手順

FIPS モードのサポート

Cisco ISE での FIPS モードの有効化

手順

次のタスク

FIPS モードの動作パラメータ

FIPS モードが有効のときの Cisco NAC Agent の要件

管理者 CAC 認証のための Cisco ISE の設定

始める前に

手順

サポートされる Common Access Card 標準

Cisco ISE での共通アクセス カードの動作

Diffie-Hellman アルゴリズムを使用した SSH キー交換の保護

セキュア syslog 送信のための Cisco ISE の設定

始める前に

手順

セキュア syslog リモート ロギング ターゲットの設定

手順

セキュア syslog ターゲットに監査可能なイベントを送信するためのロギング カテゴリの有効化

手順

TCP syslog および UDP syslog コレクタの無効化

手順

デフォルトのセキュア syslog コレクタ

オフライン メンテナンス

このドキュメントは役に立ちましたか?

シスコに問い合わせ

管理者ログインブラウザのサポート

ソフトウェアパッチのインストール

Cisco ISE ソフトウェアパッチ

ソフトウェアパッチインストールのガイドライン

ソフトウェアパッチのロールバック

ソフトウェアパッチロールバックのガイドライン

Cisco ISE での共通アクセスカードの動作

セキュア syslog リモートロギングターゲットの設定

セキュア syslog ターゲットに監査可能なイベントを送信するためのロギングカテゴリの有効化

オフラインメンテナンス