ポリシーの設定および管理

ポリシーセット

Cisco ISE はポリシーベースのネットワークアクセス制御ソリューションで、ネットワークアクセスポリシーセットを提供し、ワイヤレス、有線、ゲスト、およびクライアントプロビジョニングなど、さまざまなネットワークアクセスの使用例を管理できます。ポリシーセット（ネットワークアクセスとデバイス管理の両方のセット）を使用すると、認証および許可ポリシーを論理的に同じセットにグループ化することができます。ロケーション、アクセスタイプ、類似パラメータに基づくポリシーセットなどの領域に基づいて、複数のポリシーセットを作成できます。ISE をインストールすると、デフォルトのポリシーセットであるポリシーセットが常に 1 つ定義され、デフォルトのポリシーセットには、事前定義されたデフォルトの認証、許可、および例外のポリシールールが含まれています。

ポリシーセットを作成するときは、ネットワークアクセスサービスはポリシーセットレベルで、ID ソースは認証ポリシーレベルで、ネットワーク許可は許可ポリシーレベルで選択するように、（条件および結果で設定された）これらのルールを設定できます。さまざまなベンダーに対し、Cisco ISE 対応ディクショナリからの属性のいずれかを使用して、1 つまたは複数の条件を定義できます。Cisco ISE では、再利用可能な個別のポリシー要素として条件を作成できます。

ネットワークデバイスと通信するためにポリシーセットごとに使用されるネットワークアクセスサービスは、そのポリシーセットの最上位レベルで定義されます。ネットワークアクセスサービスには次のものがあります。

許可されたプロトコル：初期要求とプロトコルネゴシエーションを処理するように設定されたプロトコル
プロキシサービス：処理のために外部 RADIUS サーバに要求を送信します

（注）

[デバイス管理（Device Administration）] ワークセンターから、ポリシーセットに関連する TACACS サーバ順序を選択することもできます。TACACS サーバ順序を使用して、一連の TACACS プロキシサーバを処理用に設定します。

[ポリシーセット（Policy Set）] テーブルから確認できるポリシーセットの最上位レベルのルールが、セット全体に適用され、残りのポリシーと例外のルールの前に一致している場合、ポリシーセットは階層的に構成されています。その後、セットのルールが次の順序で適用されます。

認証ポリシールール
ローカルポリシー例外
グローバルポリシー例外
許可ポリシールール

（注）

ポリシーセットの機能は、ネットワークアクセスとデバイス管理ポリシーの場合と同じです。この章で説明するすべてのプロセスは、[ネットワークアクセス（Network Access）] および [デバイス管理（Device Administration）] ワークセンターの両方で作業する場合に適用できます。この章では、[ネットワークアクセス（Network Access）] ワークセンターのポリシーセットについて具体的に説明します。このワークセンターをアクセスするには、[ワークセンター（Work Centers）] > [ネットワークアクセス（Network Access）] > [ポリシーセット（Policy Sets）] を選択します。

認証ポリシー

各ポリシーセットには、そのセットの認証ポリシーを表す複数の認証ルールを含めることができます。認証ポリシーの優先順位は、（[認証ポリシー（Authentication Policy）] 領域の [設定（Set）] ビューページから）ポリシーセット自体に表示されるポリシーに対する順序に基づいて決定されます。

Cisco ISE は、ポリシーセットレベルで設定された設定に基づいて、ネットワークアクセスサービス（許可されたプロトコルまたはサーバ順序のいずれか）を動的に選択し、その後、認証ポリシーレベルおよび許可ポリシーレベルから ID ソースおよび結果をチェックします。複数の条件を、Cisco ISE ディクショナリ内の任意の属性を使用して定義できます。Cisco ISE では、個々のポリシー要素として条件を作成し、ライブラリに保存してから、他のルールベースのポリシーに再利用することができます。

認証ポリシーの結果である ID 特定方法は、次のいずれかになります。

アクセスを拒否：ユーザへのアクセスは拒否され、認証は実行されません。
ID データベース：次のいずれかの単一の ID データベース。
- 内部ユーザ
- ゲストユーザ
- 内部エンドポイント
- Active Directory
- Lightweight Directory Access Protocol（LDAP）データベース
- RADIUS トークンサーバ（RSA または SafeWord サーバ）
- 証明書認証プロファイル
ID ソース順序：認証に使用する ID データベースの順序。

最初の Cisco ISE インストール時に実装されるデフォルトポリシーセットには、デフォルトの ISE 認証ルールおよび許可ルールが含まれています。デフォルトポリシーセットには、認証と許可のための追加の柔軟な組み込みルール（デフォルトではない）も含まれています。これらのポリシーにルールを追加して、組み込みルールを削除および変更できますが、デフォルトルールを削除することはできず、デフォルトポリシーセットを削除することはできません。

認証ポリシーのフロー

認証ポリシーでは、条件と結果で構成される複数のルールを定義できます。ISE は、指定した条件を評価し、評価の結果に基づいて、対応する結果を割り当てます。ID データベースは、基準に一致する最初のルールに基づいて選択されます。

異なるデータベースで構成される ID ソース順序を定義することもできます。Cisco ISE がデータベースを検索する順序を定義できます。Cisco ISE は、認証が成功するまで指定された順序でこれらのデータベースにアクセスします。1 つの外部データベースに同一ユーザの複数のインスタンスが存在する場合、認証は失敗します。1 つの ID ソース内で、ユーザレコードは重複できません。

ID ソース順序には、3 つのデータベース、または多くとも 4 つのデータベースを使用することを推奨します。

認証失敗：ポリシー結果オプション

識別方法としてアクセス拒否を選択した場合、要求への応答として拒否メッセージが送信されます。ID データベースまたは ID ソース順序を選択して、認証が成功した場合、処理は同じポリシーセットに対して設定された許可ポリシーに対して続行されます。一部の認証は失敗し、その場合次のように分類されます。

認証の失敗：クレデンシャルが正しくない、無効なユーザであることなどが原因で認証が失敗したことを示す明確な応答を受信します。アクションのデフォルトコースは拒否です。
ユーザが見つからない：どの ID データベースでもこのユーザが見つかりませんでした。アクションのデフォルトコースは拒否です。
処理の失敗：ID データベース（複数の場合もある）にアクセスできません。アクションのデフォルトコースはドロップです。

Cisco ISE では、認証失敗に対して次のアクションのコースのいずれかを設定することができます。

[拒否（Reject）]：拒否応答が送信されます。
[ドロップ（Drop）]：応答は送信されません。
[続行（Continue）]：許可ポリシーに従って Cisco ISE を継続します。

[続行（Continue）] オプションを選択した場合でも、使用されているプロトコルの制限により Cisco ISE が要求の処理を実行できない場合があります。PEAP、LEAP、EAP-FAST、EAP-TLS、または RADIUS MSCHAP を使用した認証では、認証に失敗したり、ユーザが見つからなかったときには、要求の処理を続行することはできません。

認証に失敗した場合、PAP/ASCII または MAC 認証バイパス（MAB またはホストルックアップ）の許可ポリシーの処理を続行できます。その他のすべての認証プロトコルの場合、認証に失敗すると、次のいずれかの状態となります。

認証の失敗：拒否応答が送信されます。
ユーザまたはホストが見つからない：拒否応答が送信されます。
処理に問題が発生：応答は送信されず、要求はドロップされます。

認証ポリシーの設定

必要に応じて、複数の認証ルールを設定および管理することによって、ポリシーセットごとに認証ポリシーを定義します。

始める前に

次のタスクを実行するには、スーパー管理者またはポリシー管理者である必要があります。

手順

ステップ 1

ネットワークアクセスポリシーの場合は、[ワークセンター（Work Centers）] > [ネットワークアクセス（Network Access）] > [ポリシーセット（Policy Sets）] を選択します。デバイス管理ポリシーの場合は、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [デバイス管理ポリシーセット（Device Admin Policy Sets）] を選択します。

ステップ 2

認証ポリシーを追加または更新するポリシーセットの行から、ポリシーセットの詳細のすべてにアクセスし、認証および許可ポリシーとポリシー例外を作成するために、[ポリシーセット（Policy Sets）] テーブルの [表示（View）] 列からをクリックします。

ステップ 3

ページの認証ポリシー部分の横にある矢印アイコンをクリックして、テーブル内のすべての認証ポリシールールを展開して表示します。

ステップ 4

いずれかの行の [アクション（Actions）] 列から、歯車アイコンをクリックします。ドロップダウンメニューから、必要に応じて、挿入オプションまたは複製オプションのいずれかを選択して、新しい認証ポリシールールを挿入します。

[認証ポリシー（Authentication Policy）] テーブルに新しい行が表示されます。

ステップ 5

[ステータス（Status）] 列から、現在の [ステータス（Status）] アイコンをクリックし、ドロップダウンリストから必要に応じてポリシーセットのステータスを更新します。[ステータス（Status）] の詳細については、認証ポリシーの構成設定を参照してください。

ステップ 6

テーブル内のルールの場合は、[ルール名（Rule Name）] または [説明（Description）] のセルをクリックして、フリーテキストを変更します。

ステップ 7

条件を追加または変更するには、[条件（Conditions）] 列のセルにカーソルを合わせ、をクリックします。[条件スタジオ（Conditions Studio）] が開きます。詳細については、ポリシー条件を参照してください。

選択するすべての属性に「Equals」、「Not Equals」、「In」、「Not In」、「Matches」、「Starts With」、「Not Starts With」の演算子オプションが含まれているわけではありません。

「Matches」演算子は、ワイルドカードなしの正規表現（REGEX）をサポートし、使用します。

（注）

単純比較の場合は、「equals」演算子を使用する必要があります。「Contains」演算子は、複数値属性に使用できます。正規表現の比較には、「Matches」演算子を使用する必要があります。「Matches」演算子を使用すると、正規表現は静的値と動的値の両方について解釈されます。リストの場合、「in」演算子は、特定の値がリスト内に存在するかどうかをチェックします。単一文字列の場合、「in」演算子は、文字列が「equals」演算子などと同じかどうかをチェックします。

ステップ 8

チェックして一致させる順序に従って、テーブル内のポリシーを編成します。ルールの順序を変更するには、行をドラッグして正しい位置にドロップします。

ステップ 9

[保存（Save）] をクリックすると、変更内容が保存されて実装されます。

次のタスク

許可ポリシーの設定

認証ダッシュレット

Cisco ISE のダッシュボードには、ネットワークとデバイスに対し行われたすべての認証の概要が表示されます。これには、認証ダッシュレットにある認証および許可の失敗についての概要情報が表示されます。

RADIUS 認証ダッシュレットには、Cisco ISE が処理した認証に関する次の統計情報が表示されます。

認証成功、認証失敗、同一ユーザによる同時ログインなど、Cisco ISE が処理した RADIUS 認証要求の総数。
Cisco ISE が処理した、失敗した RADIUS 認証要求の総数。

また、TACACS+ 認証の概要を表示することもできます。TACACS+ 認証ダッシュレットには、デバイス認証の統計情報が表示されます。

デバイス管理認証の詳細については、TACACS ライブログを参照してください。RADIUS ライブログ設定の詳細については、RADIUS ライブログを参照してください。


ISE コミュニティリソース認証と許可の失敗のトラブルシューティング方法については、「How To: Troubleshoot ISE Failed Authentications & Authorizations」を参照してください。

認証結果の表示

Cisco ISE にはリアルタイムで認証の概要を表示するさまざまな方法があります。

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1

ネットワーク認証（RADIUS）の場合は、[操作（Operations）] > [RADIUS] > [ライブログ（Live Logs）] を選択し、デバイス認証（TACACS）の場合は、[操作（Operations）] > [TACACS] > [ライブログ（Live Logs）] を選択して、リアルタイムの認証の概要を表示します。

ステップ 2

認証の概要を表示するには、次のような方法があります。

[ステータス（Status）] アイコンの上にマウスカーソルを移動すると、認証の結果と概要を表示できます。ステータスの詳細とともにポップアップが表示されます。
結果をフィルタリングするには、リストの最上部に表示される 1 つ以上の任意のテキストボックスに検索条件を入力して Enter を押します。

詳細レポートを表示するには、[詳細（Details）] カラムにある虫眼鏡アイコンをクリックします。

（注）

認証概要レポートまたはダッシュボードが失敗または成功した認証に対応する最新のデータを収集して表示するため、レポートの内容は数分の遅延の後に表示されます。

認証レポートおよびトラブルシューティングツール

認証の詳細の他に、Cisco ISE では、ネットワークの効率的な管理に使用できるさまざまなレポートおよびトラブルシューティングツールが提供されます。

ネットワーク内の認証の傾向およびトラフィックを把握するために実行できるさまざまなレポートがあります。現在のデータに加えて履歴のレポートを生成できます。認証レポートのリストは次のとおりです。

AAA の診断
RADIUS アカウンティング（RADIUS Accounting）
RADIUS 認証
認証概要（Authentication Summary）

（注）

Cisco Catalyst 4000 シリーズスイッチで IPv6 スヌーピングを有効にする必要があります、有効にしないと、IPv6 アドレスが認証セッションにマッピングされず、show の出力に表示されません。IPv6 スヌーピングを有効にするには、次のコマンドを使用します。

vlan config <vlan-number>
 ipv6 snooping 
 end
ipv6 nd raguard policy router
 device-role router
interface <access-interface>
  ipv6 nd raguard               
interface <uplink-interface>
  ipv6 nd raguard attach-policy router
  end

認可ポリシー

許可ポリシーは、Cisco ISE ネットワーク許可サービスのコンポーネントです。このサービスを使用して、ネットワークリソースにアクセスする特定のユーザおよびグループの許可ポリシーを定義し、許可プロファイルを設定することができます。

許可ポリシーには条件付きの要件を含めることができ、この要件では、1 つ以上の許可プロファイルを返すことができる許可チェックを含む複合条件を使用して、1 つ以上の ID グループを組み合わせます。さらに、条件付きの要件は、特定の ID グループの使用とは別に存在することがあります。

許可プロファイルは、Cisco ISE で許可ポリシーを作成するときに使用されます。許可ポリシーは許可ルールで構成されます。許可ルールには、名前、属性、および権限の 3 つの要素があります。権限要素は、許可プロファイルにマッピングされます。

Cisco ISE の許可プロファイル

許可ポリシーは、特定のユーザおよびグループの ID にルールを関連付け、対応するプロファイルを作成します。これらのルールが設定された属性と一致する場合は、常に、権限を付与する、対応する許可プロファイルがポリシーによって返され、ネットワークアクセスがこれに応じて許可されます。

たとえば、許可プロファイルには、次のタイプに含まれるさまざまな権限を含めることができます。

標準プロファイル
例外プロファイル
デバイスベースのプロファイル

プロファイルは、利用可能なベンダーディクショナリのいずれかに保存されているリソースセットから選択された属性で構成され、特定の許可ポリシーの条件が一致したときに返されます。許可ポリシーには単一のネットワークサービスルールにマッピングする条件を含めることができるため、許可チェックのリストを含めることもできます。

許可確認は、返される許可プロファイルに準拠する必要があります。許可確認は、通常、ライブラリに追加できるユーザ定義名を含む 1 つ以上の条件から構成され、他の許可ポリシーで再利用できます。

許可プロファイルの権限

許可プロファイルの権限設定を開始する前に、以下を確認します。

許可ポリシーおよび許可プロファイル間の関係を理解している
許可プロファイルページをよく理解している
ポリシーおよびプロファイルを設定する場合に必要な基本ガイドラインを知っている
許可プロファイルの権限の構成を理解している

許可プロファイルを使用するには、[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] を選択します。左側のメニューから、[認証（Authorization）] > [許可プロファイル（Authorization Profiles）] を選択します。

ネットワークでさまざまなタイプの許可プロファイルのポリシー要素権限を表示、作成、変更、削除、複製、または検索するプロセスの開始点として [結果（Results）] ナビゲーションペインを使用します。[結果（Results）] ペインには、最初 [認証（Authentication）]、[許可（Authorization）]、[プロファイリング（Profiling）]、[ポスチャ（Posture）]、[クライアントプロビジョニング（Client Provisioning）]、および [TrustSec] のオプションが表示されています。

許可プロファイルでは、RADIUS 要求が受け入れられたときに返される属性を選択できます。Cisco ISE では、[共通タスク（Common Tasks）] 設定を設定して共通に使用される属性をサポートできるメカニズムが提供されます。Cisco ISE が基盤となる RADIUS 値に変換する [共通タスク（Common Tasks）] 属性の値を入力する必要があります。


ISE コミュニティリソース 802.1x サプリカント（Cisco AnyConnect Mobile Security）とオーセンティケータ（スイッチ）間の Media Access Control Security（MACsec）暗号化を設定する方法の例については、「MACsec Switch-host Encryption with Cisco AnyConnect and ISE Configuration Example」を参照してください。

ロケーションに基づく認証

Cisco ISE は、Cisco モビリティサービスエンジン（MSE）と統合し、物理ロケーションベースの認証を導入します。Cisco ISE は、MSE からの情報を使用して、MSE によって報告されるユーザの実際の位置に基づいて差別化されたネットワークアクセスを提供します。

この機能を使用すると、エンドポイントのロケーション情報を使用して、ユーザが適切なゾーンにいる場合にネットワークアクセスを提供できます。また、エンドポイントのロケーションをポリシーの追加属性として追加して、デバイスのロケーションに基づいてより詳細なポリシー許可のセットを定義することもできます。次のように、ロケーションベースの属性を使用する許可ルール内で条件を設定できます。

MSE.Location Equals LND_Campus1:Building1:Floor2:SecureZone

ロケーション階層（キャンパス/ビルディング/フロア構造）を定義して、Cisco Prime Infrastructure のアプリケーションを使用してセキュアおよび非セキュアのゾーンを設定できます。ロケーション階層を定義した後、ロケーション階層データを MSE サーバと同期する必要があります。Cisco Prime Infrastructure の詳細については、http://www.cisco.com/c/en/us/support/cloud-systems-management/prime-infrastructure/products-user-guide-list.html を参照してください。

1 つまたは複数の MSE インスタンスを追加して、MSE ベースのロケーションデータを許可プロセスに統合できます。これらの MSE からロケーション階層データを取得し、このデータを使用してロケーションベースの許可ルールを設定できます。

エンドポイントの移動を追跡するには、許可プロファイルの作成時に [移動の追跡（Track Movement）] チェックボックスをオンにします。Cisco ISE は、5 分ごとにエンドポイントロケーションの関連 MSE にクエリを行い、ロケーションが変更されたかどうかを確認します。

（注）

複数のユーザを追跡すると、頻繁な更新によってパフォーマンスに影響します。[移動の追跡（Track Movement）] オプションは、上位のセキュリティロケーションに使用できます。

ロケーションツリーは、MSE インスタンスから取得されたロケーションデータを使用して作成されます。ロケーションツリーを使用して、許可ポリシーに公開するロケーションエントリを選択できます。

（注）

ロケーションサービスを使用するには、ISE Plus ライセンスが必要です。

MSE サーバの追加

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ロケーションサービス（Location Services）] > [ロケーションサーバ（Location Servers）] を選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	サーバ名、ホスト名/IP アドレス、パスワードなど、MSE サーバの詳細を入力します。
ステップ 4	指定したサーバの詳細を使用して MSE の接続性をテストするには、[テスト（Test）] をクリックします。
ステップ 5	（任意）エンドポイントがこの MSE に現在接続されているかどうかを確認するには、[ロケーション検索（Find Location）] フィールドにエンドポイントの MAC アドレスを入力し、[検索（Find）] をクリックします。エンドポイントのロケーションが見つかった場合は、Campus:Building:Floor:Zone の形式で表示されます。ロケーションの階層およびゾーンの設定によっては、複数のエントリが表示される場合があります。たとえば、Campus1 という名前のキャンパス内のビルディング（building1）のすべてのフロアが非セキュアゾーンとして定義され、最初のフロアのラボエリアがセキュアゾーンとして定義されている場合、エンドポイントがそのラボエリアにある場合は、次のエントリが表示されます。見つかった場所： Campus1#building1#floor1#LabArea Campus1#building1#floor1#NonSecureZone
ステップ 6	[送信（Submit）] をクリックします。新しい MSE を追加したら、[ロケーションツリー（Location Tree）] ページに移動し、[更新の取得（Get Update）] をクリックして、ロケーション階層を取得し、それをロケーションツリーに追加します。このツリーで定義されたフィルタがある場合、これらのフィルタは新しい MSE エントリにも適用されます。

ロケーションツリー

ロケーションツリーは、MSE インスタンスから取得されたロケーションデータを使用して作成されます。ロケーションツリーを表示するには、[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ロケーションサービス（Location Services）] > [ロケーションツリー（Location Tree）] を選択します。

1 つのビルディングに複数の MSE がある場合、Cisco ISE はすべての MSE からロケーションの詳細を照合し、単一のツリーとして表示します。

ロケーションツリーを使用して、許可ポリシーに公開するロケーションエントリを選択できます。また、要件に基づいて特定のロケーションを非表示にすることもできます。ロケーションを非表示にする前にロケーションツリーを更新することを推奨します。非表示にされたロケーションは、ツリーが更新されても非表示のままになります。

許可ルールに関連するロケーションエントリが変更または削除された場合は、影響を受けるルールをディセーブルにし、これらのロケーションを [不明（Unknown）] として設定するか、または影響を受ける各ルールに代替ロケーションを選択する必要があります。変更を適用したり更新をキャンセルする前に新しいツリー構造を確認する必要があります。

すべての MSE から最新のロケーション階層構造を取得するには、[更新の取得（Get Update）] をクリックします。新しいツリー構造を確認したら、[保存（Save）] をクリックして変更を適用します。

ダウンロード可能 ACL（Downloadable ACLs）

アクセスコントロールリスト（ACL）はアクセスコントロールエントリ（ACE）のリストで、ポリシー適用ポイント（スイッチなど）によってリソースに適用できます。各 ACE は、読み取り、書き込み、実行など、このオブジェクトに対してユーザごとに許可された権限を識別します。たとえば、ある ACE で販売グループに書き込み権限を許可し、別の ACE で組織内の他のすべての従業員に読み取り権限を許可して、ネットワーク内の販売エリアを使用するように ACL を設定できます。RADIUS プロトコルの場合、送信元と宛先の IP アドレス、トランスポートプロトコル、および他のパラメータをフィルタリングして、ACL は許可を付与します。スタティック ACL はスイッチ上に配置されており、スイッチから直接設定でき、ISE GUI から許可ポリシーに適用できます。ダウンロード可能な ACL（DACL）は、ISE GUI から許可ポリシーで設定、管理、および適用できます。

ISE でネットワーク許可ポリシーに DACL を実装する場合：

[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [ダウンロード可能なACL（Downloadable ACLs）] から新規または既存の DACL を設定します。詳細については、ダウンロード可能 ACL に対する権限の設定を参照してください。
設定済みの DACL を使用して、[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [許可プロファイル（Authorization Profiles）] から新規または既存の許可プロファイルを設定します。
[ポリシー（Policy）] > [ポリシーセット（Policy Sets] から新規および既存のポリシーセットを作成および設定する場合は、設定済みの許可プロファイルを実装します。

ダウンロード可能 ACL に対する権限の設定

ISE の場合、ダウンロード可能な ACL（DACL）は、さまざまなユーザおよびユーザグループがネットワークにアクセスする方法を制御するために許可ポリシーで設定および実装できます。デフォルト許可 DACL は、次のデフォルトプロファイルを含む ISE のインストール時に使用できます。

DENY_ALL_TRAFFIC
PERMIT_ALL_TRAFFIC

DACL を使用する場合、これらのデフォルトは設定できませんが、他の同じような DACL を作成するために複製することはできます。

手順

ステップ 1	[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [許可（Authorization）] > [ダウンロード可能 ACL（Downloadable ACLs）] を選択します。
ステップ 2	[ダウンロード可能なACL（Downloadable ACLs）] テーブル上部の [追加（Add）] をクリックするか、既存の DACL を選択し、テーブル上部の [複製（Duplicate）] をクリックします。
ステップ 3	次のルールに留意しながら、DACL に適切な値を入力または編集します。 [名前（Name）] フィールドのサポート対象の文字：英数字、ハイフン（-）、ドット（.）、アンダースコア（_）キーワード Any が DACL のすべての ACE のソースである必要があります。DACL がプッシュされると、ソースの Any がスイッチに接続されているクライアントの IP アドレスで置き換えられます。
ステップ 4	必要に応じて、ACE のすべてのリストの作成が完了したら、[DACL構文のチェック（Check DACL Syntax）] をクリックしてリストを検証します。検証エラーが発生した場合、自動的に表示されるウィンドウで無効な構文を識別する特定の指示が返されます。
ステップ 5	[送信（Submit）] をクリックします。

Active Directory ユーザ許可のためのマシンアクセス制限

Cisco ISE には、Microsoft Active Directory 認証ユーザの許可を制御する追加の方法を提供する、マシンアクセス制限（MAR）コンポーネントが含まれています。この形式の許可は、Cisco ISE ネットワークにアクセスするために使用されるコンピュータのマシン認証に基づきます。成功したマシン認証ごとに、Cisco ISE は、RADIUS Calling-Station-ID 属性（属性 31）で受信した値を、成功したマシン認証の証拠としてキャッシュします。

Cisco ISE は、[Active Directory の設定（Active Directory Settings）] ページの [存続可能時間（Time to Live）] パラメータで設定された時間が失効になるまで各 Calling-Station-ID 属性値をキャッシュに保持します。失効したパラメータは、Cisco ISE によってキャッシュから削除されます。

ユーザをエンドユーザクライアントから認証する場合、Cisco ISE は、成功したマシン認証の Calling-Station-ID 値のキャッシュを検索して、ユーザ認証要求で受信した Calling-Station-ID 値を見つけようとします。Cisco ISE が一致するユーザ認証 Calling-Station-ID 値をキャッシュで見つけた場合、これは、次の方法で認証を要求するユーザに Cisco ISE が権限を割り当てる方法に影響します。

Calling-Station-ID 値が Cisco ISE キャッシュで見つかった値と一致する場合、成功した許可の許可プロファイルを割り当てます。
Calling-Station-ID 値が Cisco ISE キャッシュの値と一致しないことがわかった場合、マシン認証のない成功したユーザ認証の許可プロファイルを割り当てます。

許可ポリシーおよびプロファイルの設定のガイドライン

許可ポリシーおよびプロファイルを管理または運用する場合、次のガイドラインに従ってください。

作成するルール名は、サポートされている次の文字のみを使用する必要があります。
- 記号：プラス（+）、ハイフン（-）、アンダースコア（_）、ピリオド（.）、およびスペース（）。
- アルファベット文字：A ～ Z、a ～ z。
- 数字：0 ～ 9。
ID グループのデフォルトは「Any」です（このグローバルデフォルトを使用してすべてのユーザに適用できます）。
条件では、1 つ以上のポリシー値を設定することが許可されています。ただし、条件はオプションであり、許可ポリシーを作成する場合に必須ではありません。次に、条件を作成する 2 つの方法を示します。
- 選択肢の対応するディクショナリから既存の条件または属性を選択します。
- 推奨値を選択またはテキストボックスを使用してカスタム値を入力できるカスタム条件を作成します。
作成する条件名は、サポートされている次の文字のみを使用する必要があります。
- 記号：ハイフン（-）、アンダースコア（_）、およびピリオド（.）。
- アルファベット文字：A ～ Z、a ～ z。
- 数字：0 ～ 9。
権限は、ポリシーに使用する許可プロファイルを選択するときに重要です。権限は、特定のリソースへのアクセス権を付与したり、特定のタスクの実行を可能にしたりできます。たとえば、あるユーザが特定の ID グループ（デバイス管理者など）に属しており、そのユーザが定義済みの条件（サイトがボストンにあるなど）を満たしている場合、このユーザは、そのグループに関連付けられた権限（特定のネットワークリソースのセットへのアクセス権、デバイスへの特定の操作を実行する権限など）を付与されます。

許可ポリシーの設定

[ポリシー（Policy）] メニューから許可ポリシーの属性および構成要素を作成したら、[ポリシーセット（Policy Sets）] メニューからポリシーセット内で許可ポリシーを作成します。

始める前に

この手順を開始する前に、ID グループと条件など、許可ポリシーの作成に使用されるさまざまなビルディングブロックについて基本を理解しておく必要があります。

手順

ステップ 1

ステップ 2

[表示（View）] 列から、をクリックしてすべてのポリシーセットの詳細にアクセスし、認証および許可ポリシーとポリシー例外を作成します。

ステップ 3

ページの許可ポリシー部分の横にある矢印アイコンをクリックして、[許可ポリシー（Authorization Policy）] テーブルを展開して表示します。

ステップ 4

いずれかの行の [アクション（Actions）] 列から、歯車アイコンをクリックします。ドロップダウンメニューから、必要に応じて、挿入オプションまたは複製オプションのいずれかを選択して、新しい許可ポリシールールを挿入します。

[許可ポリシー（Authorization Policy）] テーブルに新しい行が表示されます。

ステップ 5

ポリシーのステータスを設定するには、現在の [ステータス（Status）] アイコンをクリックし、ドロップダウンリストの [ステータス（Status）] 列から必要なステータスを選択します。ステータスの詳細については、許可ポリシーの設定を参照してください。

ステップ 6

テーブル内のポリシーの場合は、[ルール名（Rule Name）] のセルをクリックしてフリーテキストを変更し、一意のルール名を作成します。

ステップ 7

「Matches」演算子は、ワイルドカードなしの正規表現（REGEX）をサポートし、使用します。

（注）

ステップ 8

ネットワークアクセス結果プロファイルの場合は、[結果プロファイル（Results Profiles）] ドロップダウンリストから関連する許可プロファイルを選択するか、またはを選択またはクリックして、[新しい許可プロファイルの作成（Create a New Authorization Profile）] を選択し、[新しい標準プロファイルの追加（Add New Standard Profile）] 画面が開いたら、次の手順を実行します。

必要に応じて値を入力して、新しい許可プロファイルを設定します。次の点を考慮してください。
- [名前（name）] フィールドでサポートされる文字は次のとおりです：スペース、! # $ % & ‘ ( ) * + , - . / ; = ? @ _ {。
- 画面下部に動的に表示される [属性詳細（Attributes Details）] から許可プロファイル RADIUS 構文をダブルチェックできます。
[保存（Save）] をクリックして、変更を Cisco ISE システムデータベースに保存し、許可プロファイルを作成します。
[ポリシーセット（Policy Sets）] 領域外のプロファイルを作成、管理、編集、および削除するには、[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [認証（Authorization）] > [許可プロファイル（Authorization Profiles）] を選択します。

ステップ 9

ネットワークアクセス結果のセキュリティグループの場合は、[結果のセキュリティグループ（Results Security Groups）] ドロップダウンリストから関連するセキュリティグループを選択するか、またはをクリックして、[新しいセキュリティグループの作成（Create a New Security Group）] を選択し、[新しいセキュリティグループの作成（Create New Security Group）] 画面が開いたら、次の手順を実行します。

新規セキュリティグループの名前と説明（オプション）を入力します。
この SGT を ACI に反映するには、[ACI に伝播（Propagate to ACI）] チェックボックスをオンにします。この SGT に関連する SXP マッピングは、ACI が [ACI の設定（ACI Settings）] ページで選択した VPN に属するときのみ ACI に反映されます。

このオプションはデフォルトでは無効になっています。
タグ値を入力します。タグ値は、手動で入力したり、自動生成されるようにしたり設定できます。また SGT の範囲を予約できます。これは、から設定できます。[一般TrustSecの設定（General TrustSec Settings）] ページ（[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [一般TrustSecの設定（General TrustSec Settings）]）。
[送信（Submit）] をクリックします。

詳細については、セキュリティグループの設定を参照してください。

ステップ 10

TACACS+ の結果については、[結果（Results）] ドロップダウンリストから関連するコマンドセットとシェルプロファイルを選択するか、または [コマンドセット（Command Sets）] または [シェルプロファイル（Shell Profiles）] 列でをクリックして、[コマンドの追加（Add Commands）] 画面または [シェルプロファイルの追加（Add Shell Profile）] をそれぞれ開きます。[新しいコマンドセットの作成（Create a New Command Set）] または [新しいシェルプロファイルの作成（Create a New Shell Profile）] を選択し、フィールドに入力します。

ステップ 11

テーブル内でポリシーをチェックして一致させる順序を編成します。

ステップ 12

[保存（Save）] をクリックして、変更を Cisco ISE システムデータベースに保存し、この新しい許可ポリシーを作成します。

許可ポリシーの例外

各ポリシーセット内では、通常の許可ポリシーの他に、ローカルの例外ルール（各ポリシーセットの [設定（Set）] ビューの [許可ポリシーのローカル例外（Authorization Policy Local Exceptions）] パートから定義される）およびグローバル例外ルール（各ポリシーセットの [設定（Set）] ビューの [許可ポリシーのグローバル例外（Authorization Policy Global Exceptions）] パートから定義される）も定義できます。

グローバル許可例外ポリシーを使用すると、すべてのポリシーセット内のすべての許可ルールを上書きするルールを定義できます。グローバル許可例外ポリシーを設定すると、すべてのポリシーセットに追加されます。グローバル許可例外ポリシーは、現在設定されているポリシーセットのいずれかから更新できます。グローバル許可例外ポリシーを更新するたびに、それらの更新がすべてのポリシーセットに適用されます。

ローカル許可例外ルールは、グローバル例外ルールを上書きします。許可ルールは、許可ポリシーのローカル例外規則、グローバル例外規則、通常ルールの順番で処理されます。

許可例外ポリシールールは、許可ポリシールールと同じように設定されます。例外ポリシーを設定するには、上記の通常の許可ポリシーの設定手順を参照してください。許可ポリシーの設定

ポリシー条件

Cisco ISE はルールベースのポリシーを使用してネットワークアクセスを提供します。ポリシーは、ルールが条件で構成されているルールと結果のセットです。Cisco ISE では、個々のポリシー要素として条件を作成し、システムライブラリに保存してから、[条件スタジオ（Conditions Studio）] の他のルールベースのポリシーに再利用することができます。

条件では演算子（等しい、等しくない、より大きい、など）と値を使用し、必要に応じて単純にすることも、複雑にすることもできます。また、複数の属性、演算子、複雑な階層を含めることもできます。実行時に、Cisco ISE はポリシー条件を評価し、ポリシー評価が true または false 値のどちらを返すかに応じて、定義された結果を適用します。

条件を作成して一意の名前を割り当てた後、この条件を [条件スタジオライブラリ（Conditions Studio Library）] から選択することで、さまざまなルールとポリシーにわたって複数回再利用することができます。例を次に示します。

Network Conditions.MyNetworkCondition EQUALS true

ポリシーで使用されているか、または別の条件の一部である条件は [条件スタジオ（Conditions Studio）] から削除できません。

各条件は、オブジェクトのリストを定義します。このリストはポリシー条件に含めることができ、これにより、要求で示される定義と照合される定義セットになります。

演算子 EQUALS true を使用して、ネットワーク条件が true であるかどうか（要求に指定されている値がネットワーク条件の 1 つ以上のエントリと一致しているかどうか）を確認するか、またはEQUALS false を使用して、ネットワーク条件が false であるかどうか（ネットワーク条件のどのエントリとも一致しないかどうか）を確認することができます。

Cisco ISE には、事前定義されたスマート条件も用意されています。この条件は、ポリシーで個別に使用したり、独自のカスタマイズされた条件で構成要素として使用でき、必要に応じて更新および変更できます。

次の固有のネットワーク条件を作成してネットワークへのアクセスを制限することができます。

エンドステーションネットワーク条件（Endstation Network Conditions）：接続が開始および終了されるエンドステーションに基づきます。

Cisco ISE はリモートアドレスの [TO] フィールド（TACACS+ 要求または RADIUS 要求であるかに基づいて取得）を評価し、これがエンドポイントの IP アドレス、MAC アドレス、発信側回線 ID（CLI）、または着信番号識別サービス（DNIS）のいずれであるかを確認します。

RADIUS 要求では、この ID は属性 31（Calling-Station-Id）で使用できます。

TACACS+ 要求では、リモートアドレスにスラッシュ（/）が含まれている場合、スラッシュより前の部分は [FROM] の値として見なされ、スラッシュより後の部分は [TO] 値として見なされます。たとえば、要求に CLI/DNIS と指定されている場合、CLI は [FROM] の値と見なされ、DNIS は [TO] の値と見なされます。スラッシュが含まれていない場合は、リモートアドレス全体が [FROM] の値として見なされます（IP アドレス、MAC アドレス、CLI いずれの場合でも）。
デバイスネットワーク条件（Device Network Conditions）：要求を処理する AAA クライアントに基づきます。

ネットワークデバイスは、IP アドレス、ネットワークデバイスリポジトリで定義されているデバイス名、またはネットワークデバイスグループによって識別されます。

RADIUS 要求では、属性 4（NAS-IP-Address）が指定されている場合、Cisco ISE はこの属性から IP アドレスを取得します。属性 32（NAS-Identifier）が存在する場合、Cisco ISE は属性 32 から IP アドレスを取得します。これらの属性が存在しない場合は、受信したパケットから IP アドレスを取得します。

デバイスディクショナリ（NDG ディクショナリ）にはネットワークデバイスグループ属性（Location、Device Type、または NDG を表すその他の動的に作成された属性など）が含まれています。これらの属性には、現在のデバイスに関連するグループが含まれています。
[デバイスポートネットワーク条件（Device Port Network Conditions）]：デバイスの IP アドレス、名前、NDG、およびポート（エンドポイントが接続しているデバイスの物理ポート）に基づきます。

RADIUS 要求では、属性 5（NAS-Port）が要求内に存在する場合、Cisco ISE はこの属性から値を取得します。属性 87（NAS-Port-Id）が要求内に存在する場合、Cisco ISE は属性 87 から要求を取得します。

TACACS+ 要求では、Cisco ISE はその ID を（すべてのフェーズの）開始要求のポートフィールドから取得します。

これらの固有条件の詳細については、特別なネットワークアクセス条件を参照してください。

ディクショナリおよびディクショナリ属性

ディクショナリは、ドメインのアクセスポリシーの定義に使用できる属性と許容値のドメイン固有カタログです。個々のディクショナリは、属性タイプの同種の集合です。ディクショナリで定義された属性は同じ属性タイプを持ち、タイプは特定の属性のソースまたはコンテキストを示します。

属性タイプは次のいずれかになります。

MSG_ATTR
ENTITY_ATTR
PIP_ATTR

属性と許容値に加えて、ディクショナリには名前と説明、データ型、デフォルト値などの属性に関する情報が含まれます。属性は、次のいずれかのデータ型となります。BOOLEAN、FLOAT、INTEGER、IPv4、IPv6、OCTET_STRING、STRING、UNIT32、および UNIT64。

Cisco ISE ではインストール中にシステムディクショナリが作成され、ユーザディクショナリを作成できます。

属性は、異なるシステムディクショナリに格納されます。属性を使用して、条件を構成します。属性は、複数の条件で再利用できます。

ポリシー条件を作成するときに、有効な属性を再利用するには、サポートされている属性を含むディクショナリから選択します。たとえば、Cisco ISE は、AuthenticationIdentityStore という属性を提供しています。これは NetworkAccess ディクショナリにあります。この属性は、ユーザの認証中にアクセスされた最後の ID ソースを識別します。

認証中に単一の ID ソースが使用されると、この属性には認証が成功した ID ストアの名前が含まれます。
認証中に ID ソース順序を使用する場合、この属性にはアクセスされた最後の ID ソースの名前が含まれます。

AuthenticationStatus 属性を AuthenticationIdentityStore 属性と組み合わせて使用し、ユーザが正常に認証された ID ソースを識別する条件を定義できます。たとえば、許可ポリシーで LDAP ディレクトリ（LDAP13）を使用してユーザが認証された条件をチェックするために、次の再利用可能な条件を定義できます。


If NetworkAccess.AuthenticationStatus EQUALS AuthenticationPassed AND NetworkAccess.AuthenticationIdentityStore EQUALS LDAP13

（注）

AuthenticationIdentityStore は、条件にデータを入力できるテキストフィールドを表します。このフィールドには、名前を必ず正しく入力またはコピーします。ID ソースの名前が変更された場合は、ID ソースの変更と一致するように、この条件を変更する必要があります。

以前認証されたエンドポイント ID グループに基づく条件を定義するために、Cisco ISE では、エンドポイント ID グループ 802.1X 認証ステータスの間に定義された許可をサポートしています。Cisco ISE では、802.1X 認証を実行するとき、RADIUS 要求の「Calling-Station-ID」フィールドから MAC アドレスを抽出し、この値を使用して、デバイスのエンドポイント ID グループ（endpointIDgroup 属性として定義）のセッションキャッシュを検索して読み込みます。このプロセスによって、許可ポリシー条件の作成に endpointIDgroup 属性を使用できるようになり、ユーザ情報に加えてこの属性を使用して、エンドポイント ID グループ情報に基づく許可ポリシーを定義できます。

（注）

Calling-Station-ID は Cisco ISE2.3 以降の AA:BB:CC:DD:EE:FF 形式でのみ受け入れられます。したがって、承認条件は、Calling-Station-ID が AA-BB-CC-DD-EE-FF 形式で提供されていると失敗する可能性があります。

エンドポイント ID グループの条件は、[許可ポリシー設定（authorization policy configuration）] ページの [ID グループ（ID Groups）] カラムで定義できます。ユーザ関連情報に基づく条件は、許可ポリシーの [その他の条件（Other Conditions）] のセクションで定義する必要があります。ユーザ情報が内部ユーザ属性に基づいている場合は、内部ユーザディクショナリの ID グループ属性を使用します。たとえば、「User Identity Group:Employee:US」のような値を使用して、ID グループに完全な値のパスを入力できます。

ネットワークアクセスポリシーでサポートされるディクショナリ

Cisco ISE は、認証ポリシーと許可ポリシーの条件とルールを構築する際に必要なさまざまな属性を含む次のシステム格納ディクショナリをサポートしています。

システム定義されたディクショナリ
- CERTIFICATE
- DEVICE
- RADIUS
RADIUS ベンダーディクショナリ
- Airespace
- Cisco
- Cisco-BBSM
- Cisco-VPN3000
- Microsoft
- Network Access

許可ポリシータイプの場合、条件で設定された検証は、戻される許可プロファイルに従う必要があります。

確認には、通常、ライブラリに追加して他のポリシーで再利用できるユーザ定義名を含む 1 つ以上の条件が含まれます。

以下の項では、条件の設定に使用できるサポートされている属性とディクショナリについて説明します。

ディクショナリによってサポートされる属性

表に、ディクショナリでサポートされる固定属性を示します。これらの属性をポリシー条件内で使用できます。作成する条件のタイプによっては、使用できない属性もあります。

たとえば、認証ポリシー内でアクセスサービスを選択する条件を作成する場合、使用できるネットワークアクセス属性は、Device IP Address、ISE Host Name、Network Device Name、Protocol、および Use Case のみです。

次の表に示す属性をポリシー条件に使用できます。


ディクショナリ	属性（Attributes）	許可されるプロトコルのルールおよびプロキシ	ID ルール
Device	Device Type（定義済みのネットワークデバイスグループ）	Yes	Yes
	Device Location（定義済みのネットワークデバイスグループ）
	Other Custom Network Device Group
	ソフトウェアバージョン（Software Version）
	モデル名（Model Name）
RADIUS	すべての属性	Yes	Yes
Network Access	ISE Host Name	Yes	Yes
	AuthenticationMethod	×	○
	AuthenticationStatus	×	×
	CTSDeviceID	×	×
	Device IP Address（デバイス IP アドレス）	Yes	Yes
	EapAuthentication（マシンのユーザの認証時に使用される EAP 方式）	×	○
	EapTunnel（トンネルの確立に使用される EAP 方式）	×	○
	プロトコル	Yes	Yes
	UseCase	Yes	Yes
	UserName	×	○
	WasMachineAuthenticated	×	×
証明書	Common Name	×	○
	国（Country）
	E-mail
	LocationSubject
	Organization
	Organization Unit
	シリアル番号（Serial Number）
	State or Province
	Subject
	Subject Alternative Name
	Subject Alternative Name - DNS
	Subject Alternative Name - E-mail
	Subject Alternative Name - Other Name
	Subject Serial Number
	発行元（Issuer）
	Issuer - Common Name
	Issuer - Organization
	Issuer - Organization Unit
	Issuer - Location
	Issuer - Country
	Issuer - Email
	Issuer - Serial Number
	Issuer - State or Province
	Issuer - Street Address
	Issuer - Domain Component
	Issuer - User ID

[条件スタジオ（Conditions Studio）] の操作

[条件スタジオ（Conditions Studio）] は、条件の作成、管理、および再利用に使用します。条件には複数のルールを含めることができ、1 つのみのレベルまたは複数の階層レベルを含む任意の複雑度で構築できます。[条件スタジオ（Conditions Studio）] を使用して新しい条件を作成する場合は、[ライブラリ（Library）] にすでに保存している条件ブロックを使用することができ、それらの保存された条件ブロックを更新および変更することもできます。後で条件を作成および管理する際に、クイックカテゴリフィルタなどを使用して、必要なブロックと属性を簡単に見つけることができます。

いずれかのポリシーセットの特定のルールにすでに適用されている条件を編集または変更するには、[条件（Conditions）] 列のセルにカーソルを合わせをクリックするか、または新しい条件を作成するには [ポリシーセット（Policy Set）] テーブルの [条件（Conditions）] 列のプラス記号をクリックします。その条件は、すぐに同じポリシーセットに適用することができます。または、後で使用するために [ライブラリ（Library）] に保存することもできます。

次の図に、[条件スタジオ（Conditions Studio）] の主な要素を示します。

[条件スタジオ（Conditions Studio）] は、[ライブラリ（Library）] と [エディタ（Editor）] の 2 つの主要部分に分かれています。[ライブラリ（Library）] には再使用のために条件ブロックが保存され、[エディタ（Editor）] では保存されたブロックを編集したり新しいブロックを作成できます。

次の表では、[条件スタジオ（Conditions Studio）] のさまざまな部分について説明します。


フィールド	使用上のガイドライン
ライブラリ（Library）	再利用のために ISE データベースで作成され保存されたすべての条件ブロックのリストを表示します。これらの条件ブロックを現在編集している条件の一部として使用するには、それらを [ライブラリ（Library）] から [エディタ（Editor）] の関連レベルにドラッグアンドドロップし、必要に応じて演算子を更新します。条件は複数のカテゴリに関連付けることができるため、[ライブラリ（Library）] に保存されている条件はすべて [ライブラリ（Library）] アイコンで表されます。また、[ライブラリ（Library）] の各条件の横には、i アイコンがあります。このアイコンの上にカーソルを置くと、条件の完全な説明や、関連付けられているカテゴリが表示され、また、ライブラリから条件を完全に削除できます。ポリシーで使用されている条件は削除できません。ライブラリ条件のいずれかを [エディタ（Editor）] にドラッグアンドドロップして、現在編集されているポリシーに単独で使用するか、または現在のポリシーで使用されるさらに複雑な条件の構成要素として使用するか、あるいは [ライブラリ（Library）] に新しい条件として保存します。[エディタ（Editor）] に条件をドラッグアンドドロップしてその条件を変更し、[ライブラリ（Library）] に同じ名前または新しい名前で保存することもできます。インストール時には事前定義された条件もあります。これらの条件は、変更および削除することもできます。
検索およびフィルタ（Search and filter）	名前で条件を検索したり、カテゴリ別にフィルタリングしたりできます。同様に、[エディタ（Editor）] の [クリックして属性を追加する（Click to add an attribute）] フィールドから属性を検索およびフィルタリングすることもできます。ツールバー上のアイコンは、件名や住所などの異なる属性カテゴリを表します。アイコンをクリックすると、特定のカテゴリに関連する属性が表示されます。カテゴリツールバーの強調表示されたアイコンをクリックすると、そのカテゴリが選択解除され、フィルタが削除されます。
条件リスト（Conditions List）	[ライブラリ（Library）] 内のすべての条件の完全なリスト、または検索またはフィルタの結果に基づく [ライブラリ（Library）] 内の条件のリスト。
エディタ（Editor）	すぐに使用する新しい条件を作成するだけでなく、今後使用するためにシステムライブラリに条件を保存したり、既存の条件を編集して、即座に使用したり今後使用するためにその変更を [ライブラリ（Library）] に保存します。新しい条件を作成するために [条件スタジオ（Conditions Studio）] を開くと（ポリシーセットテーブルのいずれかのプラス記号をクリック）、最初のルールを追加できる空白の行が 1 つだけ表示されます。 [エディタ（Editor）] が空のフィールドとともに表示される場合は、演算子アイコンは表示されません。
	[エディタ（Editor）] は、さまざまな仮想列と行に分かれています。列は異なる階層レベルを表し、各列は階層内の位置に基づいてインデントされます。行は個々のルールを表します。レベルごとに 1 つまたは複数のルールを作成し、複数のレベルを含めることができます。上記のイメージの例は、構築または編集中の条件を示しており、ルールの階層を含んでいます。図の第 1 レベルと第 2 レベルの両方に番号 5 が付けられています。上位親レベルのルールは、演算子 OR を使用します。演算子を選択して階層レベルを作成した後で演算子を変更するには、この列に表示されているドロップダウンリストから該当するオプションを選択するだけです。演算子のドロップダウンリストに加えて、各ルールにはこの列に関連するアイコンがあり、そのルールが属するカテゴリが示されています。アイコンの上にカーソルを置くと、ツールチップにカテゴリの名前が示されます。ライブラリに保存されると、すべての条件ブロックに [ライブラリ（Library）] アイコンが割り当てられ、[エディタ（Editor）] に表示されたカテゴリアイコンが置き換えられます。最後に、関連するすべての一致項目を除外するルールが設定されている場合、Is-Not インジケータもこの列に表示されます。たとえば、London という値を持つロケーション属性が Is-Not に設定されている場合、ロンドンからのすべてのデバイスはアクセスが拒否されます。
	この領域には、階層レベルで作業するときに使用できるオプションと、条件内の複数のルールが表示されます。任意の列または行にカーソルを置くと、関連するアクションが表示されます。アクションを選択すると、そのアクションがそのセクションとすべての子セクションに適用されます。たとえば、階層 A の 5 つのレベルで、第 3 レベルの任意のルールから AND を選択すると、元のルールの下に新しい階層 B が作成され、元のルールが階層 B の親ルールになるように階層 A に埋め込まれます。新しい条件を最初から作成するために [条件スタジオ（Condition Studio）] を最初に開くと、[エディタ（Editor）] 領域には、設定可能な単一ルールの 1 行のみと、関連する演算子を選択するオプション、または関連条件を [ライブラリ（Library）] からドラッグアンドドロップするオプションが含まれています。 AND および OR 演算子オプションを使用して、条件にレベルを追加できます。オプションをクリックしたときと同じレベルで新しいルールを作成するには、[新規（New）] を選択します。[新規（New）] オプションは、階層の最上位レベルに少なくとも 1 つのルールを設定した場合にのみ表示されます。

ポリシー条件の設定、編集および管理

[条件スタジオ（Conditions Studio）] は、条件の作成、管理、および再利用に使用します。条件には複数のルールを含めることができ、1 つのみのレベルまたは複数の階層レベルを含む任意の複雑度で構築できます。次の図のように、[条件スタジオ（Conditions Studio）] の [エディタ（Editor）] 側から条件階層を管理します。

新しい条件を作成する場合は、[ライブラリ（Library）] にすでに保存している条件ブロックを使用することができ、それらの保存された条件ブロックを更新および変更することもできます。条件を作成および管理する際に、クイックカテゴリフィルタなどを使用して、必要なブロックと属性を簡単に見つけることができます。

条件ルールを作成および管理する場合は、属性、演算子、および値を使用します。

Cisco ISE には、最も一般的な使用例の一部に関する事前定義された条件ブロックも含まれています。これらの事前定義された条件を要件に合わせて編集できます。設定済みブロックを含む、再使用のために保存された条件は、このタスクで説明するように、[条件スタジオ（Conditions Studio）] の [ライブラリ（Library）] に保存されます。

次のタスクを実行するには、スーパー管理者またはポリシー管理者である必要があります。

手順

ステップ 1

[ポリシーセット（Policy Sets）] 領域にアクセスします。[ポリシー（Policy）] > [ポリシーセット（Policy Sets）] を選択します。

ステップ 2

[条件スタジオ（Conditions Studio）] にアクセスして新しい条件を作成したり、既存の条件ブロックを編集して、特定のポリシーセット（および関連するポリシーとルール）のために設定したルールの一部としてそれらの条件を使用したり、今後使用するために [ライブラリ（Library）] に保存します。

ポリシーセット全体（認証ポリシールールに照合する前にチェックされる条件）に関連する条件を作成するには、メインの [ポリシーセット（Policy Set）] ページで [ポリシーセット（Policy Set）] テーブルの [条件（Conditions）] 列からをクリックします。
または、認証および許可のすべてのルールを含む [設定（Set）] ビューを表示するには、特定のポリシーセットの行からをクリックします。[設定（Set）] ビューから、ルールの表のいずれかの [条件（Conditions）] 列のセルにカーソルを合わせ、をクリックして [条件スタジオ（Conditions Studio）] を開きます。
すでにポリシーセットに適用されている条件を編集する場合は、をクリックして [条件スタジオ（Conditions Studio）] にアクセスします。

[条件スタジオ（Conditions Studio）] が開きます。新しい条件を作成するために開いた場合は、次の画像のように表示されます。フィールドの説明と、ポリシーセットに既に適用されている条件を編集するために開いた場合の [条件スタジオ（Conditions Studio）] の例を参照するには、[条件スタジオ（Conditions Studio）] の操作を参照してください。

図 4. [条件スタジオ（Conditions Studio）]：新しい条件の作成

ステップ 3

[ライブラリ（Library）] からの既存の条件ブロックを、作成または編集している条件のルールとして使用します。

[ライブラリ（Library）] のカテゴリツールバーから関連するカテゴリを選択してフィルタリングすると、選択したカテゴリの属性を含むすべてのブロックが表示されます。複数のルールを含むが、それらのルールの少なくとも 1 つに対して選択したカテゴリの属性を使用している条件ブロックも表示されます。追加のフィルタが追加されている場合、表示される結果には、特定のフィルタからの条件ブロックのみが含まれ、含まれている他のフィルタも照合されます。たとえば、ツールバーから [ポート（Ports）] カテゴリを選択し、[名前で検索（Search by Name）] フィールドにフリーテキストとして「auth」と入力すると、名前に「auth」が含まれているポートに関連するすべてのブロックが表示されます。カテゴリツールバーの強調表示されたアイコンを再度クリックすると選択解除され、そのフィルタが削除されます。
フリーテキストで条件ブロックを検索するには、検索しているブロックの名前に表示される [名前で検索（Search by Name）] フリーテキストフィールドに、任意の用語または用語の一部を入力します。入力すると、システムは関連のリアルタイムの結果を動的に検索します。カテゴリが選択されていない場合（いずれのアイコンも強調表示されていない場合）、結果にはすべてのカテゴリの条件ブロックが含まれます。カテゴリアイコンがすでに選択されている場合（表示されているリストがすでにフィルタされている場合）、表示される結果には、特定のテキストを使用する特定のカテゴリのブロックのみが含まれます。
条件ブロックを見つけたら、それを [エディタ（Editor）] にドラッグし、作成しているブロックの正しいレベルにドロップします。間違った場所にドロップした場合は、正しく配置されるまで [エディタ（Editor）] 内から再度ドラッグアンドドロップできます。
作業中の条件に関連する変更を加えるには、[エディタ（Editor）] からブロックにカーソルを合わせ、[編集（Edit）] をクリックしてルールを変更し、[ライブラリ（Library）] のルールをその変更で上書きしたり、ルールを新しいブロックとして [ライブラリ（Library）] に保存します。

[エディタ（Editor）] にドロップされたときに読み込み専用であったブロックを編集できるようになりました。そのブロックには、[エディタ（Editor）] 内の他のすべてのカスタマイズされたルールと同じフィールド、構造、リスト、アクションがあります。このルールの編集の詳細については、次の手順に進みます。

ステップ 4

同じレベルでルールを追加するには、現在のレベルに演算子を追加します。[AND]、[OR]、または ['Is not' に設定（Set to 'Is not'）] を選択します。['Is not' に設定（Set to 'Is not'）] は、個々のルールにも適用できます。

ステップ 5

属性ディクショナリを使用してルールを作成および編集するには、[クリックして属性を追加する（Click to add an attribute）] フィールドをクリックします。次の画像のように、属性セレクタが開きます。

属性セレクタの要素を次の表で説明します。


フィールド	使用上のガイドライン
[属性カテゴリ（Attribute Category）] ツールバー	異なる属性カテゴリごとに固有のアイコンが含まれています。カテゴリ別に表示をフィルタ処理するには任意の属性カテゴリアイコンを選択します。強調表示されたアイコンをクリックすると選択解除され、フィルタが削除されます。
ディクショナリ	属性が格納されているディクショナリの名前を示します。ベンダーディクショナリ別に属性をフィルタリングするには、ドロップダウンから特定のディクショナリを選択します。
属性（Attribute）	属性の名前を示します。属性をフィルタリングするには、使用可能なフィールドに属性名のフリーテキストを入力します。入力すると、システムは関連のリアルタイムの結果を動的に検索します。
ID	一意の属性 ID 番号を示します。属性をフィルタリングするには、使用可能なフィールドに ID 番号を入力します。入力すると、システムは関連のリアルタイムの結果を動的に検索します。
情報（Info）	属性に関する詳細を表示するには、関連する属性の行にある情報アイコンの上にカーソルを置きます。

属性セレクタ検索で、必要な属性をフィルタリングして検索します。属性セレクタの任意の部分でフリーテキストをフィルタリングまたは入力すると、他のフィルタがアクティブ化されていない場合、結果には選択されたフィルタのみに関連するすべての属性が含まれます。複数のフィルタを使用すると、表示される検索結果はすべてのフィルタに一致します。たとえば、ツールバーの [ポート（Port）] アイコンをクリックし、[属性（Attribute）] 列に「auth」と入力すると、名前に「auth」が含まれる [ポート（Ports）] カテゴリの属性のみが表示されます。カテゴリを選択すると、ツールバーのアイコンが青色で強調表示され、フィルタリングされたリストが表示されます。カテゴリツールバーの強調表示されたアイコンを再度クリックすると選択解除され、そのフィルタが削除されます。
関連する属性をルールに追加するには、その属性を選択します。

属性セレクタが閉じ、選択した属性が [クリックして属性を追加する（Click to add an attribute）] フィールドに追加されます。
[等しい（Equals）] ドロップダウンリストから、関連する演算子を選択します。

選択するすべての属性に「Equals」、「Not Equals」、「Matches」、「Starts With」、「Not Starts With」の演算子オプションが含まれているわけではありません。

「Matches」演算子は、ワイルドカードなしの正規表現（REGEX）をサポートし、使用します。

単純比較の場合は、「equals」演算子を使用する必要があります。「Contains」演算子は、複数値属性に使用できます。正規表現の比較には、「Matches」演算子を使用する必要があります。「Matches」演算子を使用すると、正規表現は静的値と動的値の両方について解釈されます。
[属性値（Attribute value）] フィールドから、次のいずれかを実行します。
- フィールドにフリーテキスト値を入力します。
- リストから動的にロードする値を選択します（関連する場合は、前の手順で選択した属性によって異なります）。
- 条件ルールの値として別の属性を使用します。フィールドの横にあるテーブルアイコンを選択して、属性セレクタを開き、関連する属性を検索、フィルタリング、および選択します。属性セレクタが閉じ、選択した属性が [属性値（Attribute value）] フィールドに追加されます。

ステップ 6

条件ブロックとして [ライブラリ（Library）] にルールを保存します。

[ライブラリ（Library）] にブロックとして保存するルールまたはルールの階層の上にマウスカーソルを置きます。[重複（Duplicate）] ボタンと [保存（Save）] ボタンは、単一の条件ブロックとして保存できるルールまたはルールのグループに対して表示されます。ルールのグループをブロックとして保存する場合は、階層全体のブロックされた領域内の階層全体の下部からアクションボタンを選択します。
[保存（Save）] をクリックします。[保存（Save）] 条件画面が表示されます。
次のどちらかを選択します。
- [既存のライブラリ条件に保存（Save to Existing Library Condition）]：[ライブラリ（Library）] 内の既存の条件ブロックを作成した新しいルールで上書きし、[リストから選択（Select from list）] ドロップダウンリストから上書きする条件ブロックを選択するには、このオプションを選択します。
- [新しいライブラリ条件として保存（Save as a new Library Condition）]：[条件名（Condition Name）] フィールドにブロックの一意の名前を入力します。
必要に応じて、[説明（Description）] フィールドに説明を入力します。この説明は、[ライブラリ（Library）] 内の任意の条件ブロックの情報アイコン上にマウスを置いた場合に表示され、さまざまな条件ブロックとその用途をすばやく識別できます。
[保存（Save）] をクリックして、条件ブロックを [ライブラリ（Library）] に保存します。

ステップ 7

新しい子レベルに新しいルールを作成するには、[AND] または [OR] をクリックして、既存の親階層と作成している子階層の間に正しい演算子を適用します。選択した演算子を使用して、演算子を選択したルールまたは階層の子として、エディタ階層に新しいセクションが追加されます。

ステップ 8

現在の既存のレベルで新しいルールを作成するには、該当するレベルから [新規（New）] をクリックします。新しいルールの新しい空の行が、開始したレベルと同じレベルで表示されます。

ステップ 9

[X] をクリックして、[エディタ（Editor）] とそのすべての子から条件を削除します。

ステップ 10

[重複（Duplicate）] をクリックすると、階層内の特定の条件が自動的にコピーアンドペーストされ、同じレベルで追加の同一の子が作成されます。[重複（Duplicate）] ボタンをクリックしたレベルに応じて、子の有無にかかわらず個々のルールを複製できます。

ステップ 11

ページ下部の [使用（Use）] をクリックして、[エディタ（Editor）] で作成した条件を保存し、その条件をポリシーセットに実装します。

特別なネットワークアクセス条件

この項では、ポリシーセットを作成するときに役立つ固有条件について説明します。これらの条件は、[条件スタジオ（Conditions Studio）] から作成することはできず、独自のプロセスがあります。

デバイスネットワーク条件の設定

手順

ステップ 1	[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [条件（Conditions）] > [ネットワーク条件（Network Conditions）] > [デバイスネットワーク条件（Device Network Conditions）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	ネットワーク条件の名前と説明を入力します。
ステップ 4	次の詳細を入力します。 IP アドレス：IP アドレスまたはサブネットの一覧を、1 行に 1 つ追加できます。IP アドレス/サブネットは IPv4 または Ipv6 形式で指定できます。デバイス名（Device Name）：デバイス名の一覧を、1 行に 1 つ追加することができます。ネットワークデバイスオブジェクトで設定されているものと同じデバイス名を入力する必要があります。 [デバイスグループ（Device Groups）]：ルート NDG、カンマ、（ルート NDG 配下の）NDG の順でタプル一覧を追加できます。タプルは、1 行に 1 つにする必要があります。
ステップ 5	[送信（Submit）] をクリックします。

デバイスポートネットワーク条件の設定

手順

ステップ 1	[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [条件（Conditions）] > [ネットワーク条件（Network Conditions）] > [デバイスポートネットワーク条件（Device Port Network Conditions）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	ネットワーク条件の名前と説明を入力します。
ステップ 4	次の詳細を入力します。 IP アドレス（IP Addresses）：次の順序で詳細を入力します。IP アドレスまたはサブネット、カンマ、（デバイスによって使用される）ポート。タプルは、1 行に 1 つにする必要があります。デバイス（Devices）：次の順序で詳細を入力します。デバイス名、カンマ、ポート。タプルは、1 行に 1 つにする必要があります。ネットワークデバイスオブジェクトで設定されているものと同じデバイス名を入力する必要があります。デバイスグループ（Device Groups）：次の順序で詳細を入力します。ルート NDG、カンマ、（ルート下の）NDG、ポート。タプルは、1 行に 1 つにする必要があります。
ステップ 5	[送信（Submit）] をクリックします。

エンドステーションネットワーク条件の設定

手順

ステップ 1	[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [条件（Conditions）] > [ネットワーク条件（Network Conditions）] > [エンドステーションネットワーク条件（Endstation Network Conditions）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	ネットワーク条件の名前と説明を入力します。
ステップ 4	次の詳細を入力します。 IP アドレス：IP アドレスまたはサブネットの一覧を、1 行に 1 つ追加できます。IP アドレス/サブネットは IPv4 または Ipv6 形式で指定できます。 MAC アドレス：カンマ区切りのエンドステーション MAC アドレスと宛先 MAC アドレスの一覧を入力できます。各 MAC アドレスには 12 桁の 16 進数を含め、次の形式のいずれかで指定してください。nn:nn:nn:nn:nn:nn、nn-nn-nn-nn-nn-nn、nnnn.nnnn.nnnn、nnnnnnnnnnnn。エンドステーション MAC または宛先 MAC が必要でない場合は、代わりにトークン「-ANY-」を使用します。 CLI/DNIS：カンマ区切りの発信者 ID（CLI）および受信者 ID（DNIS）の一覧を追加できます。発信者 ID（CLI）または受信者 ID（DNIS）が必要でない場合は、代わりにトークン「-ANY-」を使用します。
ステップ 5	[送信（Submit）] をクリックします。

時刻と日付の条件の作成

[ポリシー要素条件（Policy Elements Conditions）] ページを使用して、時刻と日付のポリシー要素条件を表示、作成、変更、削除、複製、および検索します。ポリシー要素は、設定した特定の時刻と日付の属性設定に基づく条件を定義する共有オブジェクトです。

時刻と日付の条件を使用すると、Cisco ISE システムリソースにアクセスする権限を、作成した属性設定で指定された特定の時刻と日付に設定または制限できます。

始める前に

次のタスクを実行するには、スーパー管理者またはポリシー管理者である必要があります。

手順

ステップ 1

[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [条件（Conditions）] > [共通（Common）] > [時刻と日付（Time and Date）] > [追加（Add）] を選択します。

ステップ 2

フィールドに適切な値を入力します。

[標準設定（Standard Settings）] 領域で、アクセスを提供する日時を指定します。
[例外（Exceptions）] 領域で、アクセスを制限する日時の範囲を指定します。

ステップ 3

[送信（Submit）] をクリックします。

許可ポリシーで IPv6 条件属性を使用する

Cisco ISE では、エンドポイントからの IPv6 トラフィックを検出、管理、保護できます。

IPv6 対応エンドポイントが Cisco ISE ネットワークに接続すると、IPv6 ネットワーク経由でネットワークアクセスデバイス（NAD）と通信します。NAD は、アカウンティングおよびプロファイリングの情報をエンドポイント（IPv6 値を含む）から Cisco ISE に IPv4 ネットワークを介して伝達します。ルール条件で IPv6 属性を使用して、IPv6 対応エンドポイントからのそのような要求を処理し、エンドポイントが準拠していることを保証するための、許可プロファイルおよびポリシーを Cisco ISE で設定できます。

ワイルドカード文字は、IPv6 プレフィックスと IPv6 インターフェイスの値でサポートされています。たとえば、2001:db8:1234::/48 です。

サポートされている IPv6 アドレス形式は次のとおりです。

完全表記：コロンで区切られた 4 つの 16 進数桁の 8 つのグループ。たとえば、2001:0db8:85a3:0000:0000:8a2e:0370:7334 です。
短縮表記：1 つのグループ内にある先行ゼロは除きます。ゼロのグループを 2 つの連続するコロンに置き換えます。たとえば、2001:db8:85a3::8a2e:370:7334 です。
ドット区切りの 4 つの表記（IPv4 対応付けおよび IPv4 互換性 IPv6 アドレス）：たとえば、::ffff:192.0.2.128 です。

サポートされている IPv6 属性は次のとおりです。

NAS-IPv6-Address
Framed-Interface-Id
Framed-IPv6-Prefix
Login-IPv6-Host
Framed-IPv6-Route
Framed-IPv6-Pool
Delegated-IPv6-Prefix
Framed-IPv6-Address
DNS-Server-IPv6-Address
Route-IPv6-Information
Delegated-IPv6-Prefix-Pool
Stateful-IPv6-Address-Pool

サポートされるシスコの属性と値のペアおよび対応する IETF 属性を次の表に示します。


シスコの属性と値のペア	IETF 属性
ipv6:addrv6=<ipv6 address>	Framed-ipv6-Address
ipv6:stateful-ipv6-address-pool=<name>	Stateful-IPv6-Address-Pool
ipv6:delegated-ipv6-pool=<name>	Delegated-IPv6-Prefix-Pool
ipv6:ipv6-dns-servers-addr=<ipv6 address>	DNS-Server-IPv6-Address

[RADIUSライブログ（RADIUS Live Logs）] ページ、RADIUS 認証レポート、RADIUS アカウンティングレポート、現在アクティブなセッションレポート、RADIUS エラーレポート、設定が誤っている NAS レポート、EPS 監査レポート、および設定が誤っているサプリカントレポートは、IPv6 アドレスをサポートしています。[RADIUSライブログ（RADIUS Live Logs）] ページ、またはこれらのレポートのいずれかから、これらのセッションの詳細を表示できます。IPv4、IPv6、または MAC アドレスに基づいてレコードをフィルタリングできます。

（注）

IPv6 対応の DHCPv6 ネットワークに Android デバイスを接続すると、そのデバイスは DHCP サーバからリンクローカルの IPv6 アドレスのみを受信します。したがって [ライブログ（Live Log）] と [エンドポイント（Endpoints）] ページ（[ワークセンター（Work Centers）] > [ネットワークアクセス（Network Access）] > [ID（Identities）] > [エンドポイント（Endpoints）]）にはグローバル IPv6 アドレスは表示されません。

次の手順は、許可ポリシーに IPv6 属性を設定する方法を説明します。

始める前に

展開内の NAD が IPv6 による AAA をサポートしていることを確認します。NAD で IPv6 の AAA サポートをイネーブルにする方法については、『AAA Support for IPv6』を参照してください。

手順

ステップ 1	ネットワークアクセスポリシーの場合は、[ワークセンター（Work Centers）] > [ネットワークアクセス（Network Access）] > [ポリシーセット（Policy Sets）] を選択します。デバイス管理ポリシーの場合は、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [デバイス管理ポリシーセット（Device Admin Policy Sets）] を選択します。
ステップ 2	許可ルールを作成します。
ステップ 3	許可ルールを作成するときは、[条件スタジオ（Conditions Studio）] から条件を作成します。[条件スタジオ（Conditions Studio）] で、RADIUS ディクショナリから、RADIUS IPv6 属性、演算子、および値を選択します。
ステップ 4	[完了（Done）][保存（Save）]をクリックして、許可ルールをポリシーセットに保存します。

ポリシーセットプロトコルの設定

これらのプロトコルを使用してポリシーセットを作成、保存、実装する前に、Cisco ISE でグローバルプロトコル設定を定義する必要があります。[プロトコル設定（Protocol Settings）] ページを使用して、ネットワーク内の他のデバイスと通信する Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling（EAP-FAST）、Extensible Authentication Protocol-Transport Layer Security（EAP-TLS）、および Protected Extensible Authentication Protocol（PEAP）の各プロトコルのグローバルオプションを定義できます。

サポートされているネットワークアクセスポリシーセットプロトコル

ネットワークアクセスポリシーセットポリシーの定義時に選択可能なプロトコルを次に示します。

Password Authentication Protocol（PAP）
Protected Extensible Authentication Protocol（PEAP）
Microsoft Challenge Handshake Authentication Protocol version 2（MS-CHAPv2）
Extensible Authentication Protocol-Message Digest 5（EAP-MD5）
Extensible Authentication Protocol-Transport Layer Security（EAP-TLS）
Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling（EAP-FAST）
Extensible Authentication Protocol-Tunneled Transport Layer Security（EAP-TTLS; 拡張認証プロトコル - トンネル方式トランスポート層セキュリティ）
Protected Extensible Authentication Protocol-Transport Layer Security（PEAP-TLS）

プロトコルとして EAP-FAST を使用するためのガイドライン

EAP-FAST を認証プロトコルとして使用する場合は、次のガイドラインに従ってください。

EAP-FAST 受信クライアント証明書が認証されたプロビジョニングで有効な場合は、EAP-TLS 内部方式を有効にすることを強く推奨します。認証されたプロビジョニングの EAP-FAST 受信クライアント証明書は別の認証方式ではなく、ユーザを認証するのと同じ証明書のクレデンシャルのタイプを使用した略式のクライアント証明書認証ですが、内部方式を実行する必要がありません。
PAC なしの完全なハンドシェイクおよび認定 PAC プロビジョニングとの認証プロビジョニング作業に対するクライアント証明書を受け入れます。PAC なしのセッション再開、匿名 PAC プロビジョニング、PAC ベース認証には動作しません。
EAP 属性は、認証の順序とは関係なく、ID ごとにモニタリングツールの認証詳細に、まずユーザ順、次にマシン順に表示されます（したがって EAP チェーニングは 2 回表示されます）。
EAP-FAST 認可 PAC が使用される場合、ライブログに表示される EAP 認証方式は完全認証に使用される認証方式と同じ（PEAP でのように）であり、参照としてではありません。
EAP チェーンモードでは、トンネル PAC が期限切れになると、ISE がプロビジョニングにフォールバックし、AC 要求ユーザおよびマシン認可 PAC（マシン許可 PAC）はプロビジョニングできません。後続の PAC ベースの認証通信で AC が要求したときにプロビジョニングされます。
Cisco ISE がチェーンに、AC がシングルモードに設定されている場合は、AC は IdentityType TLV で ISE に応答しますただし、2 番目の ID 認証は失敗します。この通信から、クライアントのチェーニング実行は適切であるが、現在はシングルモードで構成されていることがわかります。
Cisco ISE は AD にのみチェーンしている EAP-FAST のマシンとユーザの両方の属性およびグループをサポートします。LDAP および内部 DB ISE に対しては、最新の ID 属性のみを使用します。

（注）

Sierra MAC OSX 高性能デバイスに EAP-FAST 認証プロトコルを使用すると、「EAP-FAST 暗号化バインドの検証に失敗しました（EAP-FAST cryptobinding verification failed）」というメッセージが表示される場合があります。Sierra MAC OSX 高性能デバイスに EAP-FAST を使用する代わりに PEAP または EAP-TLS を使用するよう、[許可プロトコル（Allowed Protocols）] ページの [優先 EAP プロトコル（Preferred EAP Protocol）] フィールドを設定することをお勧めします。

EAP-FAST の設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-FAST] > [EAP-FAST の設定（EAP-FAST Settings）] を選択します。
ステップ 2	EAP-FAST プロトコルの定義に必要な詳細を入力します。
ステップ 3	以前に生成されたマスターキーおよび PAC をすべて失効させるには、[失効（Revoke）] をクリックします。
ステップ 4	EAP-FAST 設定を保存するには、[保存（Save）] をクリックします。

EAP-FAST の PAC の生成

Cisco ISE の [PAC の生成（Generate PAC）] オプションを使用して、EAP-FAST プロトコルのトンネル PAC またはマシン PAC を生成できます。

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] を選択します。
ステップ 2	左側の [設定（Settings）] ナビゲーションペインの [プロトコル（Protocols）] をクリックします。
ステップ 3	[EAP-FAST] > [PAC の生成（Generate PAC）] を選択します。
ステップ 4	EAP-FAST プロトコルのマシン PAC を生成する場合に必要な詳細を入力します。
ステップ 5	[PAC の生成（Generate PAC）] をクリックします。

認証プロトコルとしての EAP-TTLS の使用

EAP-TTLS は、EAP-TLS プロトコルの機能を拡張する 2 フェーズプロトコルです。フェーズ 1 では、セキュアなトンネルを構築し、フェーズ 2 で使用するセッションキーを導出し、サーバとクライアント間で属性および内部方式データを安全にトンネリングします。フェーズ 2 中では、トンネリングされた属性を使用して、多数のさまざまなメカニズムを使用する追加認証を実行できます。

Cisco ISE は、次のようなさまざまな TTLS サプリカントから認証を処理できます。

Windows 上の AnyConnect Network Access Manager（NAM）
Windows 8.1 ネイティブサプリカント
セキュア W2（MultiOS で JoinNow とも呼ばれます）
MAC OS X ネイティブサプリカント
IOS ネイティブサプリカント
Android ベースのネイティブサプリカント
Linux WPA サプリカント

（注）

暗号化バインドが必要な場合は、内部方式として EAP-FAST を使用する必要があります。

EAP-TLS の設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-TTLS] を選択します。
ステップ 2	[EAP-TTLS設定（EAP-TTLS Settings）] ページに必要な詳細を入力します。
ステップ 3	[保存（Save）] をクリックします。

EAP-TLS の設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-TLS] を選択します。
ステップ 2	EAP-TLS プロトコルの定義に必要な詳細を入力します。
ステップ 3	EAP-TLS 設定を保存するには、[保存（Save）] をクリックします。

PEAP の設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] を選択します。
ステップ 2	左側の [設定（Settings）] ナビゲーションペインの [プロトコル（Protocols）] をクリックします。
ステップ 3	[PEAP] を選択します。
ステップ 4	PEAP プロトコルの定義に必要な詳細を入力します。
ステップ 5	PEAP 設定を保存するには、[保存（Save）] をクリックします。

RADIUS の設定

認証に失敗、または認証成功のレポートの繰り返しの抑制に失敗したクライアントを検出するように RADIUS 設定を設定することができます。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] を選択します。
ステップ 2	[設定（Settings）] ナビゲーションペインで [プロトコル（Protocols）] をクリックします。
ステップ 3	[RADIUS] を選択します。
ステップ 4	RADIUS 設定の定義に必要な詳細を入力します。
ステップ 5	[保存（Save）] をクリックして、設定を保存します。

セキュリティ設定の構成

セキュリティ設定を構成するには、次の手順を実行します。

手順

ステップ 1

[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [セキュリティ設定（Security Settings）] を選択します。

ステップ 2

[セキュリティ設定（Security Settings）] ページで、次の必須オプションを選択します。

TLS 1.0を許可（Allow TLS 1.0）：次のワークフローについて、従来のピアとの通信に TLS 1.0 を許可します。
- Cisco ISE は、EAP サーバとして設定されます
- Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
- Cisco ISE は、セキュアな syslog クライアントとして設定されます
- Cisco ISE は、セキュアな LDAP クライアントとして設定されます
TLS 1.1を許可（Allow TLS 1.1）：次のワークフローについて、従来のピアとの通信に TLS 1.1 を許可します。
- Cisco ISE は、EAP サーバとして設定されます
- Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
- Cisco ISE は、セキュアな syslog クライアントとして設定されます
- Cisco ISE は、セキュアな LDAP クライアントとして設定されます

SHA1暗号化を許可（Allow SHA1 Ciphers）：次のワークフローについて、ピアとの通信に SHA-1 暗号化を許可します。

Cisco ISE は、EAP サーバとして設定されます
Cisco ISE は、RADIUS DTLS サーバとして設定されます
Cisco ISE は、RADIUS DTLS クライアントとして設定されます
Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
Cisco ISE は、セキュアな syslog クライアントとして設定されます
Cisco ISE は、セキュアな LDAP クライアントとして設定されます

（注）

セキュリティを強化するために、SHA-256 または SHA-384 暗号化を使用することを推奨します。

ECDHE-RSA暗号化を許可（Allow ECDHE-RSA Ciphers）：次のワークフローについて、ピアとの通信に ECDHE-RSA 暗号化を許可します。
- Cisco ISE は、EAP サーバとして設定されます
- Cisco ISE は、RADIUS DTLS サーバとして設定されます
- Cisco ISE は、RADIUS DTLS クライアントとして設定されます
- Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
- Cisco ISE は、セキュアな syslog クライアントとして設定されます
- Cisco ISE は、セキュアな LDAP クライアントとして設定されます
3DES暗号化を許可（Allow 3DES ciphers）：次のワークフローについて、ピアとの通信に 3DES 暗号化を許可します。
- Cisco ISE は、EAP サーバとして設定されます
- Cisco ISE は、RADIUS DTLS サーバとして設定されます
- Cisco ISE は、RADIUS DTLS クライアントとして設定されます
- Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
- Cisco ISE は、セキュアな syslog クライアントとして設定されます
- Cisco ISE は、セキュアな LDAP クライアントとして設定されます
目的の検証なしで証明書を受け入れる（Accept Certificates without Validating Purpose）：ISE が EAP または RADIUS DTLS サーバとして機能する場合、キー使用拡張に ECDHE-ECDSA 暗号化の keyAgreement ビットまたは他の暗号化の keyEncipherment ビットが含まれているかどうかを確認することなく、クライアント証明書が受け入れられます。
ISE の DSS 暗号化をクライアントとして許可（Allow DSS ciphers for ISE as a client）：次のワークフローについて、Cisco ISE がクライアントとして機能する場合、サーバとの通信に DSS 暗号化を許可します。
- Cisco ISE は、RADIUS DTLS クライアントとして設定されます
- Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
- Cisco ISE は、セキュアな syslog クライアントとして設定されます
- Cisco ISE は、セキュアな LDAP クライアントとして設定されます
ISEの従来の安全でないTLS再ネゴシエーションをクライアントとして許可（Allow Legacy Unsafe TLS Renegotiation for ISE as a Client）：次のワークフローについて、安全な TLS 再ネゴシエーションをサポートしていない従来の TLS サーバとの通信を許可します。
- Cisco ISE は、HTTPS またはセキュア LDAP サーバから CRL をダウンロードします
- Cisco ISE は、セキュアな syslog クライアントとして設定されます
- Cisco ISE は、セキュアな LDAP クライアントとして設定されます

ステップ 3

[保存（Save）] をクリックします。

RADIUS プロキシサーバとして機能する CIsco ISE

Cisco ISE は、RADIUS サーバおよび RADIUS プロキシサーバとして機能できます。プロキシサーバとして機能する場合、Cisco ISE はネットワークアクセスサーバ（NAS）から認証要求およびアカウンティング要求を受信し、これらの要求を外部 RADIUS サーバに転送します。Cisco ISE は要求の結果を受け取り、NAS に返します。

Cisco ISE は、同時に複数の外部 RADIUS サーバへのプロキシサーバとして動作できます。RADIUS サーバ順序で設定した外部 RADIUS サーバを使用できます。次に説明する [外部 RADIUS サーバ（External RADIUS Server）] ページには、Cisco ISE で定義した外部 RADIUS サーバがすべて表示されます。フィルタオプションを使用して、名前または説明、またはその両方に基づいて特定の RADIUS サーバを検索することができます。単純な認証ポリシーとルールベースの認証ポリシーの両方で、RADIUS サーバ順序を使用して要求を RADIUS サーバにプロキシできます。

RADIUS サーバ順序は、RADIUS-Username 属性からドメイン名を抜き取り（ストリッピング）、RADIUS 認証に使用します。このドメインストリッピングは EAP 認証には使用できません。EAP 認証では EAP-Identity 属性が使用されます。RADIUS プロキシサーバは RADIUS-Username 属性からユーザ名を取得し、RADIUS サーバ順序の設定時に指定した文字列からユーザ名を抜き取ります。EAP 認証の場合は、RADIUS プロキシサーバはユーザ名を EAP-Identity 属性から取得します。RADIUS サーバ順序を使用する EAP 認証は、EAP-Identity 値と RADIUS-Username 値が同一である場合のみ成功します。

外部 RADIUS サーバの設定

Cisco ISE で外部 RADIUS サーバを設定して、要求を外部 RADIUS サーバに送信できるようにする必要があります。タイムアウト時間および接続試行回数を定義できます。

始める前に

この項で作成した外部 RADIUS サーバは、それだけでは使用できません。RADIUS サーバ順序を作成して、この項で作成した RADIUS サーバを使用するように設定する必要があります。これにより、RADIUS サーバ順序を認証ポリシーで使用できるようになります。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [ネットワークリソース（Network Resources）] > [外部 RADIUS サーバ（External RADIUS Servers）] を選択します。 [RADIUS サーバ（RADIUS Servers）] ページが表示され、Cisco ISE で定義された外部 RADIUS サーバのリストが示されます。
ステップ 2	外部 RADIUS サーバを追加するには、[追加（Add）] をクリックします。
ステップ 3	必要に応じて値を入力します。
ステップ 4	[送信（Submit）] をクリックして、外部 RADIUS サーバの設定を保存します。

RADIUS サーバ順序の定義

Cisco ISE の RADIUS サーバ順序を使用すると、NAD からの要求を外部 RADIUS サーバにプロキシできます。外部 RADIUS サーバは要求を処理して結果を Cisco ISE に返し、Cisco ISE はその応答を NAD に転送します。

[RADIUS サーバ順序（RADIUS Server Sequences）] ページに、Cisco ISE で定義したすべての RADIUS サーバの順序が表示されます。このページを使用して、RADIUS サーバの作成、編集、または複製が可能です。

始める前に

この手順を開始する前に、プロキシサービスの基本を理解し、関連リンクの最初のエントリのタスクを正常に完了している必要があります。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[管理（Administration）] > [ネットワークリソース（Network Resources）] > [RADIUS サーバ順序（RADIUS Server Sequences）] を選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	必要に応じて値を入力します。
ステップ 4	[送信（Submit）] をクリックして、ポリシーに使用する RADIUS サーバ順序を保存します。

TACACS+ プロキシクライアントとして機能する CIsco ISE

Cisco ISE は、外部 TACACS+ サーバへのプロキシクライアントとして機能できます。プロキシクライアントとして機能する場合、Cisco ISE はネットワークアクセスサーバ（NAS）から認証要求、許可要求およびアカウンティング要求を受信し、これらの要求を外部 TACACS+ サーバに転送します。Cisco ISE は要求の結果を受け取り、NAS に返します。

[TACACS+外部サーバ（TACACS+ External Servers）] ページには、Cisco ISE で定義した外部 TACACS+ サーバがすべて表示されます。フィルタオプションを使用して、名前または説明、またはその両方に基づいて特定の TACACS+ サーバを検索することができます。

Cisco ISE は、同時に複数の外部 TACACS+ サーバへのプロキシクライアントとして動作できます。複数の外部サーバを設定するには、[TACACS+サーバの順序（TACACS+ server sequence）] ページを使用できます。詳細については、「TACACS+ サーバ順序の設定」ページを参照してください。

TACACS+ 外部サーバの設定

次の表では、[TACACS外部サーバ（TACACS External Servers）] ページのフィールドについて説明します。ナビゲーションパスは、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [TACACS外部サーバ（TACACS External Servers）] ページです。

表 1. TACACS+ 外部サーバの設定
フィールド	使用上のガイドライン
[名前（Name）]	TACACS+ 外部サーバの名前を入力します。
説明	TACACS+ 外部サーバ設定の説明を入力します。
ホスト名/アドレス（Host IP）	リモート TACACS+ 外部サーバの IP アドレス（IPv4 または IPv6 アドレス）を入力します。
接続ポート（Connection Port）	リモート TACACS+ 外部サーバのポート番号を入力します。ポート番号は 49 です。
Timeout	ISE が外部 TACACS+ サーバからの応答を待機する秒数を入力します。デフォルトは 5 秒です。有効な値は 1 ～ 120 です。
共有秘密鍵（Shared Secret）	TACACS+ 外部サーバとの接続を保護するのに使用するテキスト文字列。正しく設定されていない場合、接続は TACACS+ 外部サーバによって拒否されます。
シングル接続を使用（Use Single Connect）	TACACS プロトコルは、接続にセッションを関連付けるための 2 つのモード、シングル接続と非シングル接続をサポートしています。シングル接続モードは、クライアントが開始する可能性がある多数の TACACS+ セッションに対し、単一の TCP 接続を再使用します。非シングル接続では、クライアントが開始するすべての TACACS+ セッションに対し、新しい TCP 接続が開かれます。TCP 接続は、各セッションの後に閉じられます。トラフィックが多い環境では、[シングル接続を使用（Use Single Connect）] チェックボックスをオンにし、トラフィックが少ない環境ではオフにできます。

外部 TACACS+ サーバの設定

Cisco ISE で外部 TACACS サーバを設定して、要求を外部 TACACS サーバに送信できるようにする必要があります。タイムアウト時間および接続試行回数を定義できます。

始める前に

この項で作成した外部 TACACS サーバは、ポリシーに直接使用できません。TACACS サーバ順序を作成して、この項で作成した TACACS サーバを使用するように設定する必要があります。これにより、TACACS サーバ順序をポリシーセットで使用できるようになります。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [TACACS外部サーバ（TACACS External Servers）] の順に選択します。 [TACACS外部サーバ（TACACS External Servers）] ページが表示され、Cisco ISE で定義された外部 TACACS サーバのリストが示されます。
ステップ 2	外部 TACACS サーバを追加するには、[追加（Add）] をクリックします。
ステップ 3	必要に応じて値を入力します。
ステップ 4	[送信（Submit）] をクリックして、外部 TACACS サーバの設定を保存します。

TACACS+ サーバ順序の設定

次の表では、[TACACSサーバ順序（TACACS Server Sequence）] ページのフィールドについて説明します。ナビゲーションパスは、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [TACACSサーバ順序（TACACS Server Sequence）] ページです。

表 2. TACACS+ サーバ順序の設定
フィールド	使用上のガイドライン
[名前（Name）]	TACACS プロキシサーバ順序の名前を入力します。
説明	TACACS プロキシサーバ順序の説明を入力します。
サーバリスト（Server List）	[使用可能（Available）] リストから必要な TACACS プロキシサーバを選択します。[使用可能（Available）] リストには、[TACACS外部サービス（TACACS External Services）] ページで設定されている TACACS プロキシサーバのリストが含まれています。
ロギング制御（Logging Control）	ロギング制御を有効にするにはオンにします。ローカルアカウンティング：アカウンティングメッセージは、デバイスからの要求を処理するサーバによってログに記録されます。リモートアカウンティング：アカウンティングメッセージは、デバイスからの要求を処理するプロキシサーバによってログに記録されます。
ユーザ名の除去（Username Stripping）	ユーザ名のプレフィックス/サフィックスの除去 [プレフィックスの除去（Prefix Strip）]：プレフィックスからユーザ名を取り除く場合にオンにします。たとえば、サブジェクト名が acme\smith、区切り文字が \ の場合、ユーザ名は smith になります。デフォルトの区切り文字は \ です。 [サフィックスの除去（Suffix Strip）]：サフィックスからユーザ名を取り除く場合にオンにします。たとえば、サブジェクト名が smith@acme.com、区切り文字が @ の場合、ユーザ名は smith になります。デフォルトの区切り文字は @ です。

TACACS+ サーバ順序の定義

Cisco ISE の TACACS+ サーバ順序を使用すると、NAD からの要求を外部 TACACS+ サーバにプロキシできます。外部 TACACS+ サーバは要求を処理して結果を Cisco ISE に返し、Cisco ISE はその応答を NAD に転送します。[TACACS+サーバ順序（TACACS+ Server Sequences）] ページに、Cisco ISE で定義したすべての TACACS+ サーバの順序が表示されます。このページを使用して、TACACS+ サーバ順序の作成、編集、または複製が可能です。

始める前に

プロキシサービス、Cisco ISE 管理者グループ、アクセスレベル、権限、および制限の基本を理解している必要があります。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。
TACACS+ サーバ順序で使用する外部 TACACS+ サーバがすでに定義されていることを確認します。

手順

ステップ 1	[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [TACACS外部サーバ順序（TACACS External Server Sequence）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	必要な値を入力します。
ステップ 4	[送信（Submit）] をクリックして、ポリシーに使用する TACACS+ サーバ順序を保存します。

ネットワークアクセスサービス

ネットワークアクセスサービスには、要求に対する認証ポリシー条件が含まれています。たとえば有線 802.1X や有線 MAB など、さまざまな用途向けに個別のネットワークアクセスサービスを作成することができます。ネットワークアクセスサービスを作成するには、許可されているプロトコルまたはサーバ順序を設定します。その後、ネットワークアクセスポリシーのネットワークアクセスサービスが [ポリシーセット（Policy Sets）] ページから構成されます。

ネットワークアクセスの許可されるプロトコルの定義

許可されるプロトコルは、ネットワークリソースへのアクセスを要求するデバイスとの通信に Cisco ISE が使用できるプロトコルのセットを定義します。許可されるプロトコルアクセスサービスは、認証ポリシーを設定する前に作成する必要がある独立したエントリです。許可されるプロトコルアクセスサービスは、特定の使用例に対して選択されたプロトコルが含まれているオブジェクトです。

[許可されるプロトコルサービス（Allowed Protocols Services）] ページには、作成した許可されるプロトコルサービスがすべて表示されます。Cisco ISE で事前に定義されたデフォルトのネットワークアクセスサービスが存在します。

始める前に

この手順を開始する前に、認証に使用するプロトコルサービスの基本を理解している必要があります。

この章の「Cisco ISE 認証ポリシー」の項を参照して、さまざまなデータベースでサポートされる認証タイプおよびプロトコルについて理解します。
「PAC オプション」を確認して、各プロトコルサービスの機能とオプションを理解し、使用しているネットワークに最適な選択ができるようにしてください。
手順を進める前に、グローバルプロトコル設定を必ず定義してください。

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [認証（Authentication）] > [許可されるプロトコル（Allowed Protocols）] を選択します。 Cisco ISE が FIPS モードで動作するように設定されている場合は、一部のプロトコルがデフォルトで無効になり、それらのプロトコルを設定できません。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	必要な情報を入力します。
ステップ 4	ネットワークに適切な認証プロトコルとオプションを選択します。
ステップ 5	PAC の使用を選択した場合、適切な選択を行います。匿名 PAC プロビジョニングを有効にするには、内部方式として EAP-MSCHAPv2 と Extensible Authentication Protocol-Generic Token Card（EAP-GTC）の両方を選択する必要があります。また Cisco ISE では、マシン認証の外部 ID ソースとしては Active Directory だけがサポートされる点に注意してください。
ステップ 6	[送信（Submit）] をクリックして、許可されるプロトコルサービスを保存します。許可されるプロトコルサービスは、単純な認証ポリシーおよびルールベースの認証ポリシーのページで独立したオブジェクトとして表示されます。このオブジェクトは異なるルールに使用できます。これで、単純な認証ポリシーおよびルールベースの認証ポリシーを作成できるようになります。内部方式として EAP-MSCHAP を無効にし、PEAP または EAP-FAST の EAP-GTC と EAP-TLS 内部方式を有効にすると、ISE は内部方式のネゴシエーション中に EAP-GTC 内部方式を開始します。最初の EAP-GTC メッセージがクライアントに送信される前に、ISE は ID 選択のポリシーを実行して、ID ストアから GTC パスワードを取得します。このポリシーの実行中、EAP 認証は EAP-GTC と同じです。EAP-GTC 内部方式がクライアントによって拒否され、EAP-TLS がネゴシエートされても、ID ストアポリシーが再び実行されることはありません。ID ストアポリシーが EAP 認証属性に基づいている場合、本当の EAP 認証は EAP-TLS でありながら ID ポリシー評価後に設定されたため、予期しない結果になることがあります。

シスコ以外のデバイスからの MAB の有効化

次の設定を順番に設定して、シスコ以外のデバイスから MAB を設定します。

手順

ステップ 1	認証されたエンドポイントの MAC アドレスが、エンドポイントデータベースで使用可能なことを確認します。プロファイラサービスによって、これらのエンドポイントを追加したり、自動的にプロファイリングしたりできます。
ステップ 2	シスコ以外のデバイス（PAP、CHAP、EAP-MD5）で使用される MAC 認証のタイプに基づいて、ネットワークデバイスプロファイルを作成します。 [管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイスプロファイル（Network Device Profiles）] の順に選択します。 [追加（Add）] をクリックします。ネットワークデバイスプロファイルの名前と説明を入力します。 [ベンダー（Vendor）] ドロップダウンリストからベンダー名を選択します。デバイスがサポートするプロトコルのチェックボックスをオンにします。デバイスが RADIUS をサポートする場合は、ネットワークデバイスで使用する RADIUS ディクショナリを選択します。 [認証/許可（Authentication/Authorization）] セクションを展開し、フロータイプ、属性エイリアシング、およびホストルックアップに関するデバイスのデフォルト設定を行います。 [ホストルックアップ（MAB）（Host Lookup (MAB)）] セクションで、次を実行します。 [ホストルックアップの処理（Process Host Lookup）]：ネットワークデバイスプロファイルで使用されるホストルックアップ用のプロトコルを定義するには、このチェックボックスをオンにします。さまざまなベンダーからのネットワークデバイスは、MAB 認証を異なる方法で実行します。デバイスタイプに応じて、使用しているプロトコルの [パスワードを確認（Check Password）] チェックボックスまたは [Calling-Station-Id が MAC アドレスと等しいかを確認（Checking Calling-Station-Id equals MAC Address）] チェックボックス、またはその両方をオンにします。 [PAP/ASCII 経由（Via PAP/ASCII）]：ホストルックアップ要求としてネットワークデバイスプロファイルからの PAP 要求を検出するように Cisco ISE を設定するには、このチェックボックスをオンにします。 [CHAP 経由（Via CHAP）]：ホストルックアップ要求としてネットワークデバイスからのこのタイプの要求を検出するように Cisco ISE を設定するには、このチェックボックスをオンにします。 [EAP-MD5 経由（Via EAP-MD5）]：ネットワークデバイスプロファイルに EAP ベースの MD5 ハッシュ認証を有効にするには、このチェックボックスをオンにします。 [アクセス許可（Permissions）]、[認可変更（CoA）（Change of Authorization (CoA)）]、[リダイレクト（Redirect）] のセクションで必要な詳細を入力して、[送信（Submit）] をクリックします。カスタム NAD プロファイルを作成する方法については、『Network Access Device Profiles with Cisco Identity Services Engine』を参照してください。
ステップ 3	[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] の順に選択します。
ステップ 4	MAB を有効にするデバイスを選択して、[編集（Edit）] をクリックします。
ステップ 5	[ネットワークデバイス（Network Device）] ページの [デバイスプロファイル（Device Profile）] ドロップダウンリストから、手順 2 で作成したネットワークデバイスプロファイルを選択します。
ステップ 6	[保存（Save）] をクリックします。

（注）

Cisco NAD では、MAB および Web/ユーザ認証に使用する Service-Type 値は異なります。これにより、Cisco NAD を使用する場合に、ISE は MAB と Web 認証を区別できます。シスコ以外の一部の NAD では、MAB と Web/ユーザ認証に同じ値の Service-Type 属性を使用しています。この場合、アクセスポリシーでセキュリティ上の問題につながる場合があります。シスコ以外のデバイスで MAB を使用する場合は、ネットワークセキュリティが侵害されないように、追加の許可ポリシールールを設定することを推奨します。たとえば、プリンタで MAB を使用する場合は、ACL のプリンタプロトコルポートに制限する許可ポリシールールを設定できます。

シスコデバイスからの MAB の有効化

次の設定を順番に設定して、シスコデバイスから MAB を設定します。

手順

ステップ 1	認証されたエンドポイントの MAC アドレスが、エンドポイントデータベースで使用可能なことを確認します。プロファイラサービスによって、これらのエンドポイントを追加したり、自動的にプロファイリングしたりできます。
ステップ 2	シスコデバイス（PAP、CHAP、EAP-MD5）で使用される MAC 認証のタイプに基づいて、ネットワークデバイスプロファイルを作成します。 [管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイスプロファイル（Network Device Profiles）] の順に選択します。 [追加（Add）] をクリックします。ネットワークデバイスプロファイルの名前と説明を入力します。デバイスがサポートするプロトコルのチェックボックスをオンにします。デバイスが RADIUS をサポートする場合は、ネットワークデバイスで使用する RADIUS ディクショナリを選択します。 [認証/許可（Authentication/Authorization）] セクションを展開し、フロータイプ、属性エイリアシング、およびホストルックアップに関するデバイスのデフォルト設定を行います。 [ホストルックアップ（MAB）（Host Lookup (MAB)）] セクションで、次を実行します。 [ホストルックアップの処理（Process Host Lookup）]：ネットワークデバイスプロファイルで使用されるホストルックアップ用のプロトコルを定義するには、このチェックボックスをオンにします。デバイスタイプに応じて、使用しているプロトコルの [パスワードを確認（Check Password）] チェックボックスまたは [Calling-Station-Id が MAC アドレスと等しいかを確認（Checking Calling-Station-Id equals MAC Address）] チェックボックス、またはその両方をオンにします。 [PAP/ASCII 経由（Via PAP/ASCII）]：ホストルックアップ要求としてネットワークデバイスプロファイルからの PAP 要求を検出するように Cisco ISE を設定するには、このチェックボックスをオンにします。 [CHAP 経由（Via CHAP）]：ホストルックアップ要求としてネットワークデバイスからのこのタイプの要求を検出するように Cisco ISE を設定するには、このチェックボックスをオンにします。 [EAP-MD5 経由（Via EAP-MD5）]：ネットワークデバイスプロファイルに EAP ベースの MD5 ハッシュ認証を有効にするには、このチェックボックスをオンにします。 [アクセス許可（Permissions）]、[認可変更（CoA）（Change of Authorization (CoA)）]、[リダイレクト（Redirect）] のセクションで必要な詳細を入力して、[送信（Submit）] をクリックします。カスタム NAD プロファイルを作成する方法については、『Network Access Device Profiles with Cisco Identity Services Engine』を参照してください。
ステップ 3	[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] の順に選択します。
ステップ 4	MAB を有効にするデバイスを選択して、[編集（Edit）] をクリックします。
ステップ 5	[ネットワークデバイス（Network Device）] ページの [デバイスプロファイル（Device Profile）] ドロップダウンリストから、手順 2 で作成したネットワークデバイスプロファイルを選択します。
ステップ 6	[保存（Save）] をクリックします。


ISE コミュニティリソース IP フォンの認証機能については、「Phone Authentication Capabilities」を参照してください。

Cisco Identity Services Engine リリース 2.3 管理者ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： ポリシーの設定および管理

ポリシーの設定および管理

ポリシー セット

認証ポリシー

認証ポリシーのフロー

認証失敗：ポリシー結果オプション

認証ポリシーの設定

始める前に

手順

次のタスク

認証ダッシュレット

認証結果の表示

始める前に

手順

認証レポートおよびトラブルシューティング ツール

認可ポリシー

Cisco ISE の許可プロファイル

許可プロファイルの権限

ロケーションに基づく認証

MSE サーバの追加

始める前に

手順

ロケーション ツリー

ダウンロード可能 ACL（Downloadable ACLs）

ダウンロード可能 ACL に対する権限の設定

手順

Active Directory ユーザ許可のためのマシン アクセス制限

許可ポリシーおよびプロファイルの設定のガイドライン

許可ポリシーの設定

始める前に

手順

許可ポリシーの例外

ポリシー条件

ディクショナリおよびディクショナリ属性

ネットワーク アクセス ポリシーでサポートされるディクショナリ

ディクショナリによってサポートされる属性

[条件スタジオ（Conditions Studio）] の操作

ポリシー条件の設定、編集および管理

手順

特別なネットワーク アクセス条件

デバイス ネットワーク条件の設定

手順

デバイス ポート ネットワーク条件の設定

手順

エンドステーション ネットワーク条件の設定

手順

時刻と日付の条件の作成

始める前に

手順

許可ポリシーで IPv6 条件属性を使用する

始める前に

手順

ポリシー セット プロトコルの設定

サポートされているネットワーク アクセス ポリシー セット プロトコル

プロトコルとして EAP-FAST を使用するためのガイドライン

EAP-FAST の設定

始める前に

手順

EAP-FAST の PAC の生成

始める前に

手順

認証プロトコルとしての EAP-TTLS の使用

EAP-TLS の設定

始める前に

手順

EAP-TLS の設定

始める前に

手順

PEAP の設定

始める前に

手順

RADIUS の設定

手順

セキュリティ設定の構成

手順

RADIUS プロキシ サーバとして機能する CIsco ISE

章のタイトル：ポリシーの設定および管理

ポリシーセット

認証レポートおよびトラブルシューティングツール

ロケーションツリー

Active Directory ユーザ許可のためのマシンアクセス制限

ネットワークアクセスポリシーでサポートされるディクショナリ

特別なネットワークアクセス条件

デバイスネットワーク条件の設定

デバイスポートネットワーク条件の設定

エンドステーションネットワーク条件の設定

ポリシーセットプロトコルの設定

サポートされているネットワークアクセスポリシーセットプロトコル

RADIUS プロキシサーバとして機能する CIsco ISE

TACACS+ プロキシクライアントとして機能する CIsco ISE

ネットワークアクセスサービス

ネットワークアクセスの許可されるプロトコルの定義

シスコデバイスからの MAB の有効化