Cisco Identity Services Engine リリース 2.3 管理者ガイド

TrustSec アーキテクチャ

Cisco TrustSec ソリューションでは、信頼ネットワークデバイスのクラウドを確立して、セキュアなネットワークを構築します。Cisco TrustSec クラウド内の個々のデバイスは、そのネイバー（ピア）によって認証されます。TrustSec クラウド内のデバイス間の通信は、暗号化、メッセージ整合性検査、データパスリプレイ防止メカニズムを組み合わせたセキュリティで保護されます。TrustSec ソリューションでは、認証中に取得したデバイスおよびユーザ ID 情報を使用して、ネットワークに入ってきたパケットを分類（色付け）します。このパケット分類は、パケットが TrustSec ネットワークに入ってきたときに、そのパケットにタグ付けすることによって維持されます。これにより、パケットはデータパス全体で正しく識別され、セキュリティおよびその他のポリシー基準が適用されるようになります。このタグは、セキュリティグループタグ（SGT）と呼ばれることもあります。エンドポイントデバイスで SGT に応じてトラフィックをフィルタリングできるようにすることにより、Cisco ISE でアクセスコントロールポリシーを適用できるようになります。

次の図に、TrustSec ネットワーククラウドの例を示します。


ISE コミュニティリソース Cisco TrustSec を使用してネットワークセグメンテーションを簡素化、セキュリティを強化する方法については、「Simplify Network Segmentation with Cisco TrustSec」と「Policy-Based Software Defined Segmentation and Cisco TrustSec Improve Security White Paper」を参照してください。 Cisco TrustSec プラットフォームサポートマトリックスのリストについては、「Cisco TrustSec Platform Support Matrix」を参照してください。利用可能な TrustSec のサポートドキュメントのリストについては、「Cisco TrustSec」を参照してください。 TrustSec コミュニティリソースのリストについては、TrustSec Communityを参照してください。

TrustSec のコンポーネント

主な TrustSec のコンポーネント：

ネットワークデバイスアドミッションコントロール（NDAC）：信頼ネットワークでは、認証中に、TrustSec クラウド内にある各ネットワークデバイス（イーサネットスイッチなど）のクレデンシャルおよび信頼性が、そのピアデバイスによって検証されます。NDAC は IEEE 802.1X ポートベース認証を使用し、その拡張認証プロトコル（EAP）方式として Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling（EAP-FAST）を使用します。NDAC プロセスの認証および許可が成功すると、IEEE 802.1AE 暗号化のセキュリティアソシエーションプロトコルネゴシエーションが実行されます。
エンドポイントアドミッションコントロール（EAC）：TrustSec クラウドに接続しているエンドポイントユーザまたはデバイスの認証プロセス。EAC は一般的にアクセスレベルスイッチで実行されます。EAC プロセスの認証および許可が成功すると、ユーザまたはデバイスに対する SGT 割り当てが実行されます。認証および許可の EAC アクセス方法には次のものがあります。
- 802.1X ポートベースの認証
- MAC 認証バイパス（MAB）
- Web 認証（WebAuth）
セキュリティグループ（SG）：アクセスコントロールポリシーを共有するユーザ、エンドポイントデバイス、およびリソースのグループ。SG は、管理者が Cisco ISE で定義します。新規ユーザおよびデバイスが TrustSec ドメインに追加されると、Cisco ISE では、これらの新規エントリを適切なセキュリティグループに割り当てます。
セキュリティグループタグ（SGT）：TrustSec サービスは各セキュリティグループに、その範囲が TrustSec ドメイン内でグローバルな一意のセキュリティグループ番号（16 ビット）を割り当てます。スイッチ内のセキュリティグループの数は、認証されたネットワークエンティティの数に制限されます。セキュリティグループ番号を手動で設定する必要はありません。これらは自動的に生成されますが、IP と SGT とのマッピング用に SGT の範囲を予約しておくことができます。
セキュリティグループアクセスコントロールリスト（SGACL）：SGACL では、割り当てられている SGT に基づいてアクセスおよび権限を制御できます。権限をロールにまとめることにより、セキュリティポリシーの管理が容易になります。デバイスを追加するときに、1 つ以上のセキュリティグループを割り当てるだけで、即座に適切な権限が付与されます。セキュリティグループを変更することにより、新しい権限を追加したり、現在の権限を制限することもできます。
セキュリティ交換プロトコル（SXP）：SGT 交換プロトコル（SXP）は、TrustSec サービス用に開発されたプロトコルで、SGT 対応ハードウェアをサポートしていないネットワークデバイス間で、SGT/SGACL をサポートしているハードウェアに IP-SGT バインディングを伝播します。
環境データのダウンロード：TrustSec デバイスは、初めて信頼ネットワークに参加するときに、その環境データを Cisco ISE から取得します。デバイス上の一部のデータは、手動で設定することもできます。デバイスでは、期限切れになる前に環境データを更新する必要があります。TrustSec デバイスは、次の環境データを Cisco ISE から取得します。
- サーバリスト：クライアントがその後の RADIUS 要求に使用できるサーバのリスト（認証および許可の両方）
- デバイス SG：そのデバイス自体が属しているセキュリティグループ
- 有効期間：TrustSec デバイスが環境データをダウンロードまたはリフレッシュする頻度を制御する期間
ID とポートとのマッピング：エンドポイントの接続先のポートでスイッチが ID を定義するための方法で、この ID を使用して Cisco ISE サーバ内の特定の SGT 値が検索されます。

TrustSec の用語

次の表は、TrustSec ソリューションで使用される一般的な用語の一部と、TrustSec 環境でのその意味を示しています。

表 1. TrustSec の用語
用語	意味
サプリカント	信頼ネットワークへの参加を試行するデバイス。
認証	信頼ネットワークへの参加を許可する前に、各デバイスの ID を検証するプロセス。
許可	信頼ネットワーク上のリソースへのアクセスを要求しているデバイスに対し、デバイスの認証 ID に基づいてアクセスのレベルを決定するプロセス。
アクセスコントロール	各パケットに割り当てられている SGT に基づいて、パケットごとにアクセスコントロールを適用するプロセス。
セキュアな通信	信頼ネットワーク内の各リンクを経由して流れるパケットをセキュリティで保護するための、暗号化、整合性、データパスリプレイ保護のプロセス。
TrustSec デバイス	TrustSec ソリューションをサポートする Cisco Catalyst 6000 シリーズまたは Cisco Nexus 7000 シリーズのスイッチ。
TrustSec 対応デバイス	TrustSec 対応デバイスは、TrustSec 対応のハードウェアとソフトウェアを備えています。たとえば、Nexus オペレーティングシステムを搭載した Nexus 7000 シリーズスイッチなどです。
TrustSec シードデバイス	Cisco ISE サーバに対して直接認証を行う TrustSec デバイス。オーセンティケータとサプリカントの両方として機能します。
受信側	Cisco TrustSec ソリューションが有効になっているネットワーク内の TrustSec 対応デバイスにパケットが初めて到達すると、SGT を使用してパケットにタグが付けられます。この信頼ネットワークへの入り口点を入力と呼びます。
送信側	Cisco TrustSec ソリューションが有効になっているネットワーク内の最後の TrustSec 対応デバイスをパケットが通過すると、タグが解除されます。この信頼ネットワークからの出口点を出力と呼びます。

TrustSec のサポートされるスイッチと必要なコンポーネント

Cisco TrustSec ソリューションが有効になった Cisco ISE ネットワークを設定するには、TrustSec ソリューションおよび他のコンポーネントをサポートするスイッチが必要です。スイッチ以外に、IEEE 802.1X プロトコルを使用した ID ベースのユーザアクセスコントロールには、その他のコンポーネントも必要です。TrustSec をサポートするシスコスイッチのプラットフォームおよび必要なコンポーネントの完全な最新のリストについては、「Cisco TrustSec-Enabled Infrastructure」を参照してください。

Cisco DNA Center との統合

Cisco ISE は、Cisco のデジタルネットワークアーキテクチャ（DNA）の主要なコンポーネントです。Cisco DNA Center では、ビジネスの俊敏性を提供しているネットワークを自動化することができます。Cisco ISE は、Cisco DNA にセキュリティの脅威と脆弱性を軽減できるようにネットワークをセグメント化するポリシーコンポーネントを提供します。Cisco ISE と Cisco DNA Center を統合すると、Cisco ISE は Cisco DNA Center にグループおよびポリシーを提供します。Cisco DNA Center は、これらのポリシーを使用してネットワークにアクセス制御を適用します。

Cisco ISE への Cisco DNA Center の接続

DNAC ユーザガイドの Cisco DNA Center と ISE の設定に関する要件および手順を参照してください（https://www.cisco.com/c/en/us/support/cloud-systems-management/dna-center/products-user-guide-list.html）。

このセクションでは、Cisco DNA Center 向けの Cisco ISE 設定に関する追加情報について説明します。

パスワード：Cisco DNA Center は CLI コマンドの実行のために Cisco ISE に接続する場合、Cisco ISE CLI のパスワードを使用します。CLI と管理者のユーザ名とパスワードは同じである必要があります。システムパスワードの詳細については、Cisco ISE への管理アクセスを参照してください。
API：Cisco DNA Center は ISE API を呼び出すことによって一部の ISE を設定します。API アクセスは Cisco ISE で有効にし、CSRF では有効にしないでください。詳細については、外部 RESTful サービス API の有効化を参照してください。
pxGrid：Cisco ISE は pxGrid コントローラで、Cisco DNA Center はサブスクライバです。Cisco ISE と Cisco DNA Center の両方で、SGT と SGACL 情報が含まれる Trustsec（SD-Access）コンテンツをモニタします。Cisco ISE と Cisco DNA Center 間でシステムクロックを同期する必要があります。Cisco ISE は証明書を使用して pxGrid に接続します。これは、接続のために Cisco DNA Center によって設定されます。Cisco ISE の pxGrid の詳細については、『』の「pxGrid ノード」のセクションpxGrid ノードを参照してください。
Cisco ISE IP アドレス：ISE PAN と Cisco DNA Center 間は直接接続する必要があります。プロキシ、ロードバランサ、または仮想 IP アドレスを使用することはできません。Cisco ISE と Cisco DNA Center の両方で、それぞれのスタティックアドレスを設定します。

Cisco ISE がプロキシを使用していないことを確認します。使用している場合は、プロキシから Cisco DNA Center IP を除外します。
SXP：Cisco DNA Center との通信に SXP は必要ありません。Cisco ISE と Cisco DNA 管理対象ネットワークを接続する場合に SXP を有効にすると、Cisco ISE は Trustsec（SD-Access）のハードウェアをサポートしないネットワークデバイスと通信できます。
Cisco ISE との接続用の証明書：
- Cisco ISE 管理証明書では、件名または SAN に Cisco ISE IP または FQDN を含める必要があります。
- ECDSA キーは、SSH キー、ISE SSH アクセス、または Cisco DNA Center と Cisco ISE の接続用の証明書ではサポートされません。
- Cisco DNA Center の自己署名証明書では、cA:TRUE (RFC5280 section-4.2.19) の基本制約の拡張を使用する必要があります。

TrustSec ダッシュボード

TrustSec ダッシュボードは、TrustSec ネットワークの一元化されたモニタリングツールです。

TrustSec ダッシュボードには次のダッシュレットが含まれています。

メトリック：[メトリック（Metrics）] ダッシュレットには、TrustSec ネットワークの動作に関する統計情報が表示されます。
アクティブな SGT セッション：[アクティブなSGTセッション（Active SGT Sessions）] ダッシュレットには、ネットワークで現在アクティブな SGT セッションが表示されます。[アラーム（Alarms）] ダッシュレットには、TrustSec セッション関連のアラームが表示されます。
アラーム
NAD/SGT クイックビュー：[クイックビュー（Quick View）] ダッシュレットには、NAD および SGT の TrustSec 関連情報が表示されます。
TrustSec セッション/NAD アクティビティライブログ：アクティブな TrustSec セッションを表示するには、[ライブログ（Live Log）] ダッシュレットの [TrustSecセッション（TrustSec Sessions）] リンクをクリックします。また、NAD から Cisco ISE への TrustSec プロトコルデータ要求と応答に関する情報を表示することもできます。

メトリック

このセクションには、TrustSec ネットワークの動作に関する統計情報が表示されます。タイムフレーム（たとえば、過去 2 時間、過去 2 日など）とチャートタイプ（たとえば、棒、折れ線、スプラインなど）を選択できます。

最新のバー値がグラフに表示されます。また、前のバーからのパーセンテージの変化も表示されます。バー値に増加がある場合、プラス記号付きの緑色で表示されます。値に減少がある場合、マイナス記号付きの赤色で表示されます。

値が計算された時刻とその正確な値を <Value:xxxx Date/Time: xxx> 形式で表示するには、グラフのバーにカーソルを置きます。

次のメトリックを表示できます。

SGTセッション（SGT sessions）

選択された時間内に作成された SGT セッションの総数が表示されます。

（注）

SGT セッションは、認証フローの一部として SGT を受信したユーザセッションです。

使用中のSGT（SGTs in use）

選択された時間内に使用された固有の SGT の総数が表示されます。たとえば、1 時間で 200 の TrustSec セッションがあったが、ISE が認証応答で 6 つのタイプの SGT でしか応答しなかった場合、グラフにはこの時間に値 6 が表示されます。

アラーム

選択された時間内に発生したアラームおよびエラーの総数が表示されます。エラーは赤色で表示され、アラームは黄色で表示されます。

使用中のNAD（NADs in use）

選択された時間内に TrustSec 認証に参加した固有の NAD の数が表示されます。

現在のネットワークステータス

このダッシュボードの中間部分には、TrustSec ネットワークの現在のステータスに関する情報が表示されます。グラフに表示される値は、ページがロードされると更新され、[ダッシュボードの更新（Refresh Dashboard）] オプションを使用して更新できます。

アクティブな SGT セッション

このダッシュレットには、ネットワークで現在アクティブな SGT セッションが表示されます。上位 10 個の最もよく使用されている SGT または最も使用頻度の低い SGT を表示できます。X 軸には SGT 使用率が表示され、Y 軸には SGT の名前が表示されます。

SGT の TrustSec セッションの詳細を表示するには、その SGT に対応するバーをクリックします。その SGT に関連する TrustSec セッションの詳細が [ライブログ（Live Log）] ダッシュレットに表示されます。

アラーム

このダッシュレットには、TrustSec セッション関連のアラームが表示されます。次の詳細情報を表示できます。

[アラームの重大度（Alarm Severity）]：アラームの重大度レベルを示すアイコンが表示されます。
- [高（High）]：TrustSec ネットワーク内の障害を示すアラームが含まれます（たとえば、PAC の更新が失敗したデバイスなど）。赤色のアイコンが付いています。
- [中（Medium）]：ネットワークデバイスの誤った設定を示す警告が含まれます（たとえば、CoA メッセージの受け入れを失敗したデバイスなど）。黄色でマークされます。
- [低（Low）]：ネットワーク動作の一般情報および更新が含まれます（たとえば、TrustSec の設定変更など）。青色でマークされます。
アラームの説明
このアラームカウンタが最後にリセットされてからアラームが発生した回数。
アラームが最後に発生した時刻

クイックビュー

[クイックビュー（Quick View）] ダッシュレットには、NAD の TrustSec 関連情報が表示されます。SGT の TrustSec 関連情報を表示することもできます。

NAD クイックビュー

[検索（Search）] ボックスに詳細を表示する TrustSec ネットワークデバイスの名前を入力し、Enter を押します。検索ボックスには自動入力機能があり、ユーザがテキストボックスに入力すると、ドロップダウンに一致するデバイス名がフィルタされ表示されます。

次の詳細情報が表示されます。

[NDG（NDGs）]：このネットワークデバイスが属するネットワークデバイスグループ（NDG）がリストされます。
[IPアドレス（IP Address）]：ネットワークデバイスの IP アドレス。[ライブログ（Live Logs）] ダッシュレットに NAD アクティビティの詳細を表示するには、このリンクをクリックします。
[アクティブセッション（Active sessions）]：このデバイスに接続されているアクティブな TrustSec セッションの数。
[PACの有効期限（PAC expiry）]：PAC の失効日。
[最後のポリシー更新（Last Policy Refresh）]：ポリシーを最後にダウンロードした日付。
[最後の認証（Last Authentication）]：このデバイスの最後の認証レポートのタイムスタンプ。
[アクティブSGT（Active SGTs）]：このネットワークデバイスに関連するアクティブセッションで使用されている SGT がリストされます。カッコ内に表示される数字は、現在この SGT を使用しているセッションの数を示します。[ライブログ（Live Log）] ダッシュレットに TrustSec セッションの詳細を表示するには、SGT のリンクをクリックします。

[最新ログの表示（Show Latest Logs）] オプションを使用して、デバイスの NAD アクティビティのライブログを表示できます。

SGT クイックビュー

[検索（Search）] ボックスに詳細を表示する SGT の名前を入力し、Enter を押します。

次の情報がこのダッシュレットに表示されます。

[値（Value）]：SGT 値（10 進数と 16 進数の両方）。
[アイコン（Icon）]：この SGT に割り当てられているアイコンが表示されます。
[アクティブセッション（Active sessions）]：現在この SGT を使用しているアクティブなセッションの数。
[固有ユーザ（Unique users）]：この SGT をアクティブセッションに保持する固有ユーザ名の数。
[更新されたNAD（Updated NADs）]：この SGT のポリシーをダウンロードした NAD の数。

ライブログ

アクティブな TrustSec セッション（応答の一部として SGT があるセッション）を表示するには [TrustSecセッション（TrustSec Sessions）] リンクをクリックします。

NAD から Cisco ISE への TrustSec プロトコルデータ要求と応答に関する情報を表示するには、[NADアクティビティ（NAD Activity）] リンクをクリックします。

TrustSec のグローバル設定

Cisco ISE が TrustSec サーバとして機能して TrustSec サービスを提供するには、いくつかのグローバル TrustSec 設定を定義する必要があります。

始める前に

TrustSec グローバル設定を設定する前に、グローバル EAP-FAST 設定が定義されていることを確認します（[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-FAST] > [EAP-FAST 設定（EAP-FAST Settings）] を選択）。

[機関識別情報の説明（Authority Identity Info Description）] を Cisco ISE サーバ名に変更することができます。この説明は、クレデンシャルをエンドポイントクライアントに送信する Cisco ISE サーバを説明したわかりやすい文字列にします。Cisco TrustSec アーキテクチャのクライアントには、IEEE 802.1X 認証の EAP 方式として EAP-FAST を実行するエンドポイント、または Network Device Access Control（NDAC）を実行するサプリカントネットワークデバイスのいずれも使用できます。クライアントは、この文字列を Protected Access Credentials（PAC）Type-Length-Value（TLV）情報で認識できます。デフォルト値は、Identity Services Engine です。NDAC 認証時に、ネットワークデバイスで Cisco ISE PAC 情報が一意に識別されるように、この値を変更する必要があります。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [一般TrustSecの設定（General TrustSec Settings）] の順に選択します。
ステップ 2	フィールドに値を入力します。
ステップ 3	[保存（Save）] をクリックします。

次のタスク

TrustSec デバイスの設定

TrustSec マトリックスの設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [TrustSecマトリックスの設定（TrustSec Matrix Settings）] の順に選択します。
ステップ 2	[TrustSecマトリックスの設定（TrustSec Matrix Settings）] ページに必要な詳細を入力します。
ステップ 3	[保存（Save）] をクリックします。

TrustSec デバイスの設定

Cisco ISE で TrustSec 対応デバイスからの要求を処理するには、これらの TrustSec 対応デバイスを Cisco ISE で定義しておく必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [ネットワークデバイス（Network Devices）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	[ネットワークデバイス（Network Devices）] セクションで、必要な情報を入力します。
ステップ 4	TrustSec 対応デバイスを設定するために [高度な TrustSec 設定（Advanced Trustsec Settings）] チェックボックスをオンにします。
ステップ 5	[送信（Submit）] をクリックします。

OOB TrustSec PAC

すべての TrustSec ネットワークデバイスで、EAP-FAST プロトコルの一部として TrustSec PAC が保持されています。これはセキュアな RADIUS プロトコルでも使用され、ここでは RADIUS 共有秘密が PAC で伝送されるパラメータから作成されます。これらのパラメータの 1 つである発信側 ID には、TrustSec ネットワークデバイス ID、つまりデバイス ID が保持されます。

デバイスが TrustSec PAC を使用して識別される場合、Cisco ISE でそのデバイス用に設定されているデバイス ID と、PAC の発信側 ID が一致していない場合、認証に失敗します。

一部の TrustSec デバイス（Cisco ASA ファイアウォールなど）では EAP-FAST プロトコルをサポートしていません。したがって、Cisco ISE ではこれらのデバイスを EAP-FAST を介した TrustSec PAC でプロビジョニングできません。代わりに、TrustSec PAC は Cisco ISE 上で生成され、手動でデバイスにコピーされます。そのため、これをアウトオブバンド（OOB）TrustSec PAC 生成と呼びます。

Cisco ISE で PAC を生成すると、暗号キーで暗号化された PAC ファイルが生成されます。

ここでは、次の内容について説明します。

[設定（Settings）] 画面からの TrustSec PAC の生成

[設定（Settings）] 画面から TrustSec PAC を生成できます。

手順

ステップ 1	[管理（Administration）] > [システム（System）] > [設定（Settings）] を選択します。
ステップ 2	左側の [設定（Settings）] ナビゲーションペインの [プロトコル（Protocols）] をクリックします。
ステップ 3	[EAP-FAST] > [PAC の生成（Generate PAC）] を選択します。
ステップ 4	TrustSec PAC を生成します。

[ネットワークデバイス（Network Devices）] 画面からの TrustSec PAC の生成

[ネットワークデバイス（Network Devices）] 画面から TrustSec PAC を生成できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [ネットワークデバイス（Network Devices）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。[ネットワークデバイス（Network Devices）] ナビゲーションペインのアクションアイコンから [新規デバイスの追加（Add new device）] をクリックすることもできます。
ステップ 3	新規デバイスを追加する場合は、デバイス名を入力します。
ステップ 4	TrustSec デバイスを設定するために [高度な TrustSec 設定（Advanced Trustsec Settings）] チェックボックスをオンにします。
ステップ 5	[アウトオブバンド（OOB）TrustSec PAC（Out of Band (OOB) TrustSec PAC）] サブセクションで、[PAC の生成（Generate PAC）] をクリックします。
ステップ 6	次の詳細事項を入力します。 [PAC 存続可能時間（PAC Time to Live）]：日、週、月、および年の単位で値を入力します。デフォルト値は 1 年です。最小値は 1 日、最大値は 10 年です。 [暗号化キー（Encryption Key）]：暗号キーを入力します。キーの長さは 8 ～ 256 文字にする必要があります。キーはアルファベットの大文字または小文字、数字、または英数字の組み合わせを含むことができます。暗号キーを使用して、生成されるファイルの PAC が暗号化されます。このキーは、デバイスで PAC ファイルを復号化する場合にも使用されます。したがって、後で使用できるように管理者が暗号キーを保存しておくことを推奨します。 [ID（Identity）] フィールドは TrustSec ネットワークデバイスのデバイス ID を示し、このフィールドには EAP-FAST プロトコルによって発信側 ID が提供されます。ここに入力した ID 文字列がネットワークデバイスの作成ページの [TrustSec] セクションで定義されたデバイス ID と一致しない場合、認証は失敗します。有効期限は、PAC 存続可能時間に基づいて計算されます。
ステップ 7	[PAC の生成（Generate PAC）] をクリックします。

[ネットワークデバイスリスト（Network Devices List）] 画面からの TrustSec PAC の生成

[ネットワークデバイスリスト（Network Devices list）] 画面から TrustSec PAC を生成できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [ネットワークデバイス（Network Devices）] の順に選択します。
ステップ 2	[ネットワークデバイス（Network Devices）] をクリックします。
ステップ 3	TrustSec PAC を生成するデバイスの隣にあるチェックボックスをオンにし、[PAC の生成（Generate PAC）] をクリックします。
ステップ 4	フィールドで詳細を提供します。
ステップ 5	[PAC の生成（Generate PAC）] をクリックします。

[プッシュ（Push）] ボタン

出力ポリシーの [プッシュ（Push）] オプションは CoA 通知を開始します。この通知は、Cisco ISE からの出力ポリシー設定変更に関する更新を、ただちに要求するよう TrustSec デバイスに伝えます。

TrustSec AAA サーバの設定

展開内の Cisco ISE サーバのリストを AAA サーバリストに設定して、これらの任意のサーバに対して TrustSec デバイスの認証が行われるようにできます。このリストに Cisco ISE サーバを追加すると、これらすべてのサーバの詳細が TrustSec デバイスにダウンロードされます。TrustSec デバイスは、認証を試行するときに、このリストから Cisco ISE サーバを選択します。最初のサーバがダウン状態またはビジー状態の場合、TrustSec デバイスはこのリストにある別の任意のサーバに対して自分自身の認証を行うことができます。デフォルトでは、プライマリ Cisco ISE サーバは、TrustSec AAA サーバです。1 台のサーバがビジー状態の場合、AAA サーバリストの別のサーバが TrustSec 要求を処理できるように、AAA サーバリストで追加の Cisco ISE サーバを設定することを推奨します。

このページには、TrustSec AAA サーバとして設定した展開内の Cisco ISE サーバがリストされます。

[プッシュ（Push）] ボタンをクリックすると、複数の TrustSec AAA サーバを設定した後に、環境 CoA 通知を開始できます。この環境 CoA 通知は、すべての TrustSec ネットワークデバイスに送信され、変更されたすべての TrustSec AAA サーバの更新を提供します。

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [TrustSec AAAサーバ（TrustSec AAA Servers）] を選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	説明に従って値を入力します。 [名前（Name）]：この AAA サーバリスト内で Cisco ISE サーバに割り当てる名前。この名前は、Cisco ISE サーバのホスト名と異なっていてもかまいません。 [説明（Description）]：説明（任意）。 [IP]：AAA サーバリストに追加する Cisco ISE サーバの IP アドレス。 [ポート（Port）]：TrustSec デバイスとサーバ間の通信が行われるポート。デフォルトは 1812 です。
ステップ 4	[送信（Submit）] をクリックします。

次のタスク

セキュリティグループを設定します。

セキュリティグループの設定

セキュリティグループ（SG）またはセキュリティグループタグ（SGT）は、TrustSec ポリシー設定で使用される要素です。SGT は、パケットが信頼ネットワーク内を移動する場合に付加されます。これらのパケットは、信頼ネットワークに入ったとき（入力）にタグ付けされ、信頼ネットワークから離れるとき（出力）にタグ解除されます。

SGT は順次的な方法で生成されますが、IP と SGT とのマッピング用に SGT の範囲を予約しておくことができます。Cisco ISE は、SGT の生成時に予約済みの番号をスキップします。

TrustSec サービスはこれらの SGT を使用して、出力時に TrustSec ポリシーを適用します。

管理者ポータルで次のページからセキュリティグループを設定できます。

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループ（Security Groups）]。
[設定（Configure）] > [新規セキュリティグループの作成（Create New Security Group）] の出力ポリシーページから直接。

[プッシュ（Push）] ボタンをクリックすると、複数の SGT を更新した後に、環境 CoA 通知を開始できます。この環境 CoA 通知はすべての TrustSec ネットワークデバイスに送信され、ポリシー/データリフレッシュ要求を開始することを強制します。

セキュリティグループの追加

TrustSec ソリューション内の個々のセキュリティグループに一意の SGT を割り当てる必要があります。Cisco ISE では 65,535 SGT までサポートされていますが、SGT の数を少なくすると、TrustSec ソリューションをより簡単に展開および管理できるようになります。最大で 4,000 SGT までにすることを推奨します。

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループ（Security Groups）] を選択します。
ステップ 2	[追加（Add）] をクリックして新規セキュリティグループを追加します。
ステップ 3	新規セキュリティグループの名前と説明（オプション）を入力します。
ステップ 4	この SGT を ACI に反映するには、[ACI に伝播（Propagate to ACI）] チェックボックスをオンにします。この SGT に関連する SXP マッピングは、ACI が [ACI の設定（ACI Settings）] ページで選択した VPN に属するときのみ ACI に反映されます。このオプションはデフォルトでは無効になっています。
ステップ 5	タグ値を入力します。タグ値は、手動で入力したり、自動生成されるようにしたり設定できます。また SGT の範囲を予約できます。これは、から設定できます。[一般TrustSecの設定（General TrustSec Settings）] ページ（[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [一般TrustSecの設定（General TrustSec Settings）]）。
ステップ 6	[保存（Save）] をクリックします。

次のタスク

セキュリティグループアクセスコントロールリストの設定

Cisco ISE へのセキュリティグループのインポート

カンマ区切り形式（CSV）ファイルを使用して Cisco ISE ノードにセキュリティグループをインポートできます。Cisco ISE にセキュリティグループをインポートする前に、テンプレートを更新する必要があります。同じリソースタイプのインポートを同時に実行できません。たとえば、2 つの異なるインポートファイルから同時にセキュリティグループをインポートできません。

管理者ポータルから CSV テンプレートをダウンロードし、テンプレートにセキュリティグループの詳細を入力し、Cisco ISE にインポート可能な CSV ファイルとしてテンプレートを保存できます。

セキュリティグループのインポート中、Cisco ISE で最初のエラーが発生した場合、インポートプロセスを停止できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループ（Security Groups）] を選択します。
ステップ 2	[インポート（Import）] をクリックします。
ステップ 3	[参照（Browse）] をクリックして、クライアントブラウザを実行しているシステムから CSV ファイルを選択します。
ステップ 4	[最初のエラーでインポートを停止（Stop Import on First Error）] チェックボックスをオンにします。
ステップ 5	[インポート（Import）] をクリックします。

Cisco ISE からのセキュリティグループのエクスポート

Cisco ISE で設定されたセキュリティグループを CSV ファイル形式でエクスポートし、これを使用して別の Cisco ISE ノードにそれらのセキュリティグループをインポートできます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループ（Security Groups）] を選択します。
ステップ 2	[エクスポート（Export）] をクリックします。
ステップ 3	セキュリティグループをエクスポートするには、次のいずれかを実行できます。エクスポートするグループの隣にあるチェックボックスをオンにし、[エクスポート（Export）] > [選択済みをエクスポート（Export Selected）] を選択します。 [エクスポート（Export）] > [すべてエクスポート（Export All）] を選択して、定義されたすべてのセキュリティグループをエクスポートします。
ステップ 4	ローカルハードディスクに export.csv ファイルを保存します。

IP SGT スタティックマッピングの追加

IP-SGT スタティックマッピングを使用して、TrustSec デバイスと SXP ドメインに統一された方法でマッピングを展開することができます。新しい IP-SGT スタティックマッピングを作成するときに、このマッピングを展開する SXP ドメインとデバイスを指定できます。また、IP-SGT マッピングをマッピンググループに関連付けることもできます。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [IP SGTスタティックマッピング（IP SGT Static Mapping）] の順に選択します。

ステップ 2

[追加（Add）] をクリックします。

ステップ 3

ホスト名または IP アドレスを入力します。

ステップ 4

既存のマッピンググループを使用する場合は、[マッピンググループに追加（Add to a Mapping Group）] をクリックして、[マッピンググループ（Mapping Group）] ドロップダウンリストから必要なグループを選択します。

この IP アドレス/ホスト名を SGT に個別にマッピングする場合は、[SGT に個別にマッピング（Map to SGT Individually）] をクリックして以下を実行します。

[SGT] ドロップダウンリストから SGT を選択します。
マッピングを展開する必要がある SXP VPN グループを選択します。

このマッピングを展開するデバイスを指定します。すべての TrustSec デバイス、選択されたネットワークデバイスグループ、または選択されたネットワークデバイスにマッピングを展開できます。

（注）

マッピングを追加した後、[展開（Deploy）] オプションを使用して、対象のネットワークデバイスでこのマッピングを展開する必要があります。マッピングをすでに保存している場合でも、これを明示的に行う必要があります。デバイスの展開ステータスを確認するには、[ステータスを確認（Check Status）] をクリックします。

ステップ 5

[保存（Save）] をクリックします。

Cisco ISE への IP SGT スタティックマッピングのインポート

CSV ファイルを使用して IP SGT マッピングをインポートできます。

また、管理者ポータルから CSV テンプレートをダウンロードし、マッピングの詳細を入力し、CSV ファイルとしてテンプレートを保存して、Cisco ISE にインポートすることができます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [IP SGTスタティックマッピング（IP SGT Static Mapping）] の順に選択します。
ステップ 2	[インポート（Import）] をクリックします。
ステップ 3	[参照（Browse）] をクリックして、クライアントブラウザを実行しているシステムから CSV ファイルを選択します。
ステップ 4	[アップロード（Upload）] をクリックします。

Cisco ISE からの IP SGT スタティックマッピングのエクスポート

IP SGT マッピングを CSV ファイルの形式でエクスポートできます。このファイルを使用して、これらのマッピングを別の Cisco ISE ノードにインポートできます。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [IP SGTスタティックマッピング（IP SGT Static Mapping）] の順に選択します。

ステップ 2

次のいずれかを実行します。

エクスポートするマッピングの隣にあるチェックボックスをオンにし、[エクスポート（Export）] > [選択済み（Selected）] を選択します。
[エクスポート（Export）] > [すべて（All）] を選択して、すべてのマッピングをエクスポートします。

ステップ 3

ローカルハードディスクに mappings.csv ファイルを保存します。

SGT マッピンググループの追加

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [IP SGTスタティックマッピング（IP SGT Static Mapping）] > [グループの管理（Manage Groups）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	マッピンググループの名前と説明を入力します。
ステップ 4	次の手順を実行します。 [SGT] ドロップダウンリストから SGT を選択します。マッピングを展開する必要がある SXP VPN グループを選択します。マッピングを展開するデバイスを指定します。すべての TrustSec デバイス、選択されたネットワークデバイスグループ、または選択されたネットワークデバイスにマッピングを展開できます。
ステップ 5	[保存（Save）] をクリックします。

あるマッピンググループから別のマッピンググループに IP SGT マッピングを移動できます。

また、マッピングおよびマッピンググループを更新または削除できます。マッピングまたはマッピンググループを更新するには、更新するマッピングまたはマッピンググループの横にあるチェックボックスにマークを付けてから、[編集（Edit）] をクリックします。マッピングまたはマッピンググループを削除するには、削除するマッピングまたはマッピンググループの横にあるチェックボックスにマークを付けてから、[ごみ箱（Trash）] > [選択済み（Selected）] の順にクリックします。マッピンググループが削除されると、そのグループ内の IP SGT マッピングも削除されます。

セキュリティグループアクセスコントロールリストの追加

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループACL（Security Group ACLs）] を選択します。

ステップ 2

[追加（Add）] をクリックして新規セキュリティグループ ACL を作成します。

ステップ 3

次の情報を入力します。

[名前（Name）]：SGACL の名前
[説明（Description）]：SGACL の説明（任意）
[IP バージョン（IP Version）]：この SGACL でサポートされる IP バージョン：
- [IPv4]：IP バージョン 4（IPv4）がサポートされます
- [IPv6]：IP バージョン 6（IPv6）がサポートされます
- [非認識（Agnostic）]：IPv4 と IPv6 の両方がサポートされます

セキュリティグループ ACL の内容：アクセスコントロールリスト（ACL）コマンド。次に例を示します。

permit icmp

deny ip

ISE 内では SGACL 入力の構文が検査されません。スイッチ、ルータ、アクセスポイントをエラーなく適用できるように、正しい構文を確実に使用してください。デフォルトポリシーを permit IP、permit ip log、deny ip、または deny ip log として設定できます。TrustSec ネットワークデバイスでは、デフォルトポリシーを特定セルのポリシーの最後に付加します。

参考用に SGACL の 2 つの例を示します。どちらにも最終的な catch-all ルールが含まれています。最初の例では、最終的な catch-all ルールとして拒否し、2 番目の例では許可します。

Permit_Web_SGACL

permit tcp dst eq 80
permit tcp dst eq 443
deny ip

Deny_JumpHost_Protocols

deny tcp dst eq 23
deny tcp dst eq 23
deny tcp dst eq 3389
permit ip

次の表に、IOS、IOS XE、NS OS オペレーティングシステム用の SGACL の構文を示します。


SGACL CLI と ACE	IOS、IOS XE、NX OS で共通の構文
config acl	deny、exit、no、permit
拒否許可	ahp、eigrp、gre、icmp、igmp、ip、nos、ospf、pcp、pim、tcp、udp
deny tcp deny tcp src deny tcp dst	dst、log、src
deny tcp dst eq deny tcp src eq	<0-65535> port number
deny udp deny udp src deny udp dest	Dst、log、src
deny tcp dst eq www deny tcp src eq www	<0-65535> port number

ステップ 4

[送信（Submit）] をクリックします。

（注）

Cisco ISE では次の事前定義済み SGACL を使用します：許可 IP、許可 IP ログ、拒否 IP、または拒否 IP ログ。これらの SGACL で GUI または ERS API を使用すると、TrustSec マトリックスを設定できます。これらの SGACL は GUI のセキュリティグループ ACL リストのページに表示されませんが、ERS API を使用して利用可能な SGACL（ERS getAll 呼び出し）を表示すると表示されます。

出力ポリシー（Egress Policy）

出力テーブルには、送信元 SGT および宛先 SGT が、予約済みのものもそうでないものもあわせてリストされます。また、このページでは、出力テーブルをフィルタリングして特定のポリシーを表示することや、これらのプリセットフィルタを保存することもできます。送信元 SGT から宛先 SGT に到達しようとすると、TrustSec 対応デバイスは、出力ポリシーで定義されている TrustSec ポリシーに基づいて SGACL を適用します。Cisco ISE はポリシーを作成してプロビジョニングします。

TrustSec ポリシーの作成に必要な基本的構築ブロックである SGT および SGACL を作成した後に、SGACL を送信元 SGT および宛先 SGT に割り当てることによって、それらの関係を確立できます。

送信元 SGT と宛先 SGT のそれぞれの組み合わせが、出力ポリシーのセルになります。

出力ポリシーは、[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] ページで表示できます。

それぞれ異なる 3 つの方法で出力ポリシーを表示できます。

送信元ツリービュー
宛先ツリービュー
マトリクスビュー

送信元ツリービュー

送信元ツリービューには、簡潔で組織化された送信元 SGT のビューが折りたたまれた状態で表示されます。送信元 SGT を展開すると、選択した送信元 SGT に関連するすべての情報が含まれた内部テーブルを表示できます。このビューには、宛先 SGT にマッピングされている送信元 SGT のみが表示されます。特定の送信元 SGT を展開すると、この送信元 SGT にマッピングされているすべての宛先 SGT とその対応するポリシー（SGACL）がテーブルに表示されます。

一部のフィールドの隣に 3 個のドット（...）が表示されます。これは、セルにより多くの情報が含まれていることを示しています。カーソルを 3 個のドットの上に置くと、クイックビューポップアップに残りの情報が表示されます。カーソルを SGT 名または SGACL 名の上に置くと、クイックビューポップアップが開き、その特定の SGT または SGACL の内容が表示されます。

宛先ツリービュー

宛先ツリービューには、簡潔で組織化された宛先 SGT のビューが折りたたまれた状態で表示されます。宛先 SGT を展開すると、選択した宛先 SGT に関連するすべての情報が含まれた内部テーブルを表示できます。このビューには、送信元 SGT にマッピングされている宛先 SGT のみが表示されます。特定の宛先 SGT を展開すると、この宛先 SGT にマッピングされているすべての送信元 SGT と対応するポリシー（SGACL）が表に示されます。

一部のフィールドの隣に 3 個のドット（...）が表示されます。これは、セルにより多くの情報が含まれていることを示しています。カーソルを 3 個のドットの上に置くと、クイックビューポップアップに残りの情報が表示されます。カーソルを SGT 名または SGACL 名の上に置くと、クイックビューポップアップが開き、その特定の SGT または SGACL の内容が表示されます。

マトリクスビュー

出力ポリシーのマトリクスビューは、スプレッドシートに似ています。ここには 2 つの軸があります。

送信元軸：垂直軸にはすべての送信元 SGT がリストされます。
宛先軸：水平軸にはすべての宛先 SGT がリストされます。

送信元 SGT と宛先 SGT のマッピングが、セルとして示されます。セルにデータが含まれている場合、対応する送信元 SGT と宛先 SGT 間にマッピングがあるということになります。マトリクスビューには 2 つのタイプのセルがあります。

マッピングされたセル：送信元 SGT と宛先 SGT のペアが、順序付けされた SGACL のセットに関連付けられ、特定のステータスになっている場合。
マッピングされていないセル：送信元 SGT と宛先 SGT のペアが、SGACL に関連付けられてなく、特定のステータスになっていない場合。

出力ポリシーセルには、送信元 SGT、宛先 SGT、最終的な catch-all ルールが 1 つのリストとして SGACL の下にカンマで区切られて表示されます。最終的な catch-all ルールは、[なし（None）] に設定されている場合には表示されません。マトリクス内の空のセルは、マッピングされていないセルを示します。

出力ポリシーのマトリクスビューでは、マトリクスをスクロールして目的のセルのセットを表示できます。ブラウザがマトリクスデータ全体を一度にロードすることはありません。ブラウザは、ユーザがスクロールした領域に移入されるデータをサーバに要求します。これにより、メモリのオーバーフローとパフォーマンスの問題が回避されます。

[表示（View）] ドロップダウンリストで次のオプションを使用して、マトリックスビューを変更できます。

[SGACL名ありで簡易設定（Condensed with SGACL names）]：このオプションを選択すると、空のセルは非表示になり、SGACL 名がセルに表示されます。
[SGACL名なしで簡易設定（Condensed without SGACL names）]：空のセルは非表示になり、SGACL 名はセルに表示されません。このビューは、より多くのマトリックスセルを表示し、色、パターンおよびアイコン（セルのステータス）を使用して、セルの内容を区別する場合に便利です。
[SGACL名ありでフル（Full with SGACL names）]：このオプションを選択すると、左側と上側のメニューは非表示になり、SGACL 名がセルに表示されます。
[SGACL名なしでフル（Full without SGACL names）]：このオプションを選択すると、マトリックスは全画面モードで表示され、SGACL 名はセルに表示されません。

ISE では、カスタムビューを作成し、名前を付け、保存できます。カスタムビューを作成するには、[表示（Show）] > [カスタムビューの作成（Create Custom View）] の順に選択します。また、ビューの条件を更新したり、未使用のビューを削除することもできます。

[マトリックス（Matrix）] ビューは、[ソース（Source）] ビューおよび [送信先（Destination）] ビューと同じ GUI 要素を持っています。ただし、次の追加要素を含みます。

マトリクスの次元

次元ビューの [次元（Dimension）] ドロップダウンリストでは、マトリクスの次元を設定することができます。

マトリクスのインポート/エクスポート

[インポート（Import）] および [エクスポート（Export）] ボタンを使用すると、マトリクスをインポートまたはエクスポートできます。

カスタムビューの作成

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1

[マトリックスビュー（Matrix View）] ページで、[表示（Show）] ドロップダウンリストから [カスタムビューの作成（Create Custom View）] オプションを選択します。

ステップ 2

[ビューの編集（Edit View）] ダイアログボックスで、次の詳細情報を入力します。

[ビュー名（View Name）]：カスタムビューの名前を入力します。
[送信元セキュリティグループ（Source Security Groups）]：カスタムビューに含める SGT を [表示（Show）] 転送ボックスに移動します。
[着信先関連の表示（Show Relevant for Destination）]：[送信元セキュリティグループの表示（Source Security Group Show）] 転送ボックスの選択内容を上書きして、[着信先セキュリティグループの非表示（Destination Security Group Hide）] 転送ボックスのすべてのエントリをコピーするには、このチェックボックスをオンにします。200 を超えるエントリがある場合、データはコピーされず、警告メッセージが表示されます。
[着信先セキュリティグループ（Destination Security Groups）]：カスタムビューに含める SGT を [表示（Show）] 転送ボックスに移動します。
[送信元関連の表示（Show Relevant for Source）]：[着信先セキュリティグループの表示（Destination Security Group Show）] 転送ボックスの選択内容を上書きして、[送信元セキュリティグループの非表示（Source Security Group Hide）] 転送ボックスのすべてのエントリをコピーするには、このチェックボックスをオンにします。
[次によってマトリックスをソートする（Sort Matrix By）]：次のいずれかのオプションを選択します。
- 手動順序（Manual Order）
- タグ番号（Tag Number）
- SGT名（SGT Name）

ステップ 3

[保存（Save）] をクリックします。

マトリクス操作

マトリクスでの移動

カーソルでマトリクスコンテンツ領域をドラッグするか、または水平および垂直スクロールバーを使用して、マトリクス内を移動できます。セルをクリックしたままにし、マトリクスコンテンツ全体を任意の方向にドラッグできます。送信元および宛先のバーがセルと一緒に移動します。セルを選択すると、マトリクスビューによってそのセルと対応する行（送信元 SGT）およびカラム（宛先 SGT）が強調表示されます。選択したセルの座標（送信元 SGT および宛先 SGT）がマトリクスコンテンツ領域の下に表示されます。

マトリクスでのセルの選択

マトリクスビューでセルを選択するには、該当のセルをクリックします。選択したセルが別の色で表示され、送信元 SGT および宛先 SGT が強調表示されます。セルをもう一度クリックするか、または別のセルを選択することで、セルの選択を解除できます。複数セルの選択は、マトリクスビューでは許可されていません。セルをダブルクリックして、セルの設定を編集します。

出力ポリシーの SGACL の設定

[出力ポリシー（Egress Policy）] ページでセキュリティグループ ACL を直接作成できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] の順に選択します。
ステップ 2	[送信元ツリービュー（Source Tree View）] または [宛先ツリービュー（Destination Tree View）] ページから、[設定（Configure）] > [新しいセキュリティグループACLの作成（Create New Security Group ACL）] を選択します。
ステップ 3	必要な詳細を入力し、[送信（Submit）] をクリックします。

ワークプロセスの設定

始める前に

次のタスクを実行するには、スーパー管理者である必要があります。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [ワークプロセスの設定（Work Process Settings）] の順に選択します。

ステップ 2

次のオプションのいずれかを選択します。

単一マトリックス（Single Matrix）：TrustSec ネットワーク上のすべてのデバイスに対してポリシーマトリックスを 1 つのみ作成するには、このオプションを選択します。

複数マトリックス（Multiple Matrices）：さまざまなシナリオで複数のポリシーマトリックスを作成できるようにします。これらのマトリックスを使用して、さまざまなネットワークデバイスに異なるポリシーを展開できます。

（注）

マトリックスは独立していて、各ネットワークデバイスを 1 つのマトリックスのみに割り当てることができます。

承認プロセス付き実稼働およびステージングマトリックス（Production and Staging Matrices with Approval Process）：ワークフローモードを有効にするには、このオプションを選択します。エディタロールおよび承認者ロールに割り当てられるユーザを選択します。ユーザは、ポリシー管理者グループおよびスーパー管理者グループからのみ選択できます。ユーザはエディタロールおよび承認者ロールの両方に割り当てることはできません。

エディタまたは承認者ロールが割り当てられたユーザの電子メールアドレスが設定されていることを確認します。設定されていないと、ワークフロープロセスに関する電子メール通知がこれらのユーザに送信されません。

ワークフローモードを有効にすると、エディタのロールが割り当てられたユーザは、ステージングマトリックスを作成し、ステージングポリシーを展開するデバイスを選択して、承認者に承認を求めるステージングポリシーを送信できます。承認者ロールが割り当てられたユーザは、ステージングポリシーを確認し、要求を承認または拒否することができます。ステージングポリシーが承認者によって確認され、承認された後でのみ、ステージングポリシーを選択したネットワークデバイスに展開できます。

ステップ 3

DEFCON マトリックスを作成する場合は、[DEFCON を使用する（Use DEFCONS）] チェックボックスをオンにします。

DEFCONS マトリックスは、ネットワークセキュリティ侵害の発生時に簡単に展開できるスタンバイポリシーマトリックスです。

重大度レベル [重大（Critical）]、[深刻（Severe）]、[実質的（Substantial）]、および [適度（Moderate）] の DEFCON マトリックスを作成できます。

DEFCON マトリックスがアクティブになると、対応する DEFCON ポリシーがすべての TrustSec ネットワークデバイスにすぐに展開されます。ネットワークデバイスから DEFCON ポリシーを削除するには、非アクティブ化オプションを使用できます。

ステップ 4

[保存（Save）] をクリックします。

[マトリックス登録（Matrices Listing）] ページ

TrustSec ポリシーマトリックスと DEFCON マトリックスは、[マトリックス登録（Matrices Listing）] ページに表示されます（[ワークセンター（Work Centers）] > [TrustSec] > [TrustSec ポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] > [マトリックス登録（Matrices List）]）。各マトリックスに割り当てられているデバイスの数を確認することもできます。

（注）

[マトリックス登録（Matrices Listing）] ページは、単一マトリックスモードが有効であり、DEFCON マトリックスオプションが無効な場合は表示されません。

[マトリックス登録（Matrices Listing）] ページからは、次のことが行えます。

新しいマトリックスの追加
既存のマトリックスの編集
マトリックスの削除
既存のマトリックスの複製
マトリックスへの NAD の割り当て

[NAD の割り当て（Assign NADs）] オプションを使用して、マトリックスに NAD を割り当てることができます。手順は次のとおりです。

[ネットワークデバイスの割り当て（Assign Network Devices）] ウィンドウで、マトリックスに割り当てるネットワークデバイスを選択します。フィルタオプションを使用してネットワークデバイスを選択することもできます。
[マトリックス（Matrix）] ドロップダウンリストから、マトリックスを選択します。既存のすべてのマトリックスとデフォルトのマトリックスがこのドロップダウンリストに表示されます。

デバイスをマトリックスに割り当てたら、[プッシュ（Push）] をクリックし、TrustSec の設定変更を該当するネットワークデバイスに通知します。

[マトリックス登録（Matrices Listing）] ページで作業を行うときは、次の点に注意してください。

デフォルトのマトリックスを編集、削除、名前変更することはできません。
新しいマトリックスを作成する際は、空のマトリックスから開始することや、既存のマトリックスからポリシーをコピーすることができます。
マトリックスを削除すると、そのマトリックスに割り当てられている NAD が自動的にデフォルトのマトリックスに移動します。
既存のマトリックスをコピーするとマトリックスのコピーが作成されますが、デバイスはコピーされたマトリックスに自動的に割り当てられません。
複数マトリックスモードでは、すべてのデバイスが初期段階でデフォルトのマトリックスに割り当てられます。
複数マトリックスモードでは、一部の SGACL がマトリックス間で共有されることがあります。この場合、SGACL コンテンツを変更すると、セルにその SGACL が含まれているすべてのマトリックスに影響します。
複数マトリックスは、ステージングが進行中のときに有効にすることはできません。
複数マトリックスモードから単一マトリックスモードに変更すると、すべての NAD が自動的にデフォルトのマトリックスに割り当てられます。
現在有効になっている場合は、DEFCON マトリックスを削除することはできません。

TrustSec マトリックスワークフロープロセス

マトリクスのワークフロー機能は、すべてのネットワークデバイスにポリシーを導入する前に、このマトリックスのドラフト版（ステージングマトリックスとも呼ばれます）を使用して、デバイスの制限されたセットで新しいポリシーをテストできます。承認のためのステージングポリシーを送信し、承認されると、選択したネットワークデバイスにステージングポリシーを導入できます。この機能により、必要に応じて、デバイスの制限されたセットへの新しいポリシーの導入、適切に機能しているかの確認、変更を行うことができます。次の一連のデバイスまたはすべてのデバイスにポリシーを適用し続けることもできます。ステージングポリシーがすべてのネットワークデバイスに導入されると、ステージングマトリックスは新たな実稼働マトリックスとして設定できます。

ワークフローモードを有効にすると、エディタロールに割り当てられたユーザは、ステージングマトリクスを作成し、マトリクスセルを編集できます。ステージングマトリックスは、TrustSec ネットワークに現在展開されている実稼働マトリックスのコピーです。エディタは、ステージングポリシーを展開し、承認のために承認者にステージングポリシーを送信するデバイスを選択できます。承認者ロールが割り当てられたユーザは、ステージングポリシーを確認し、要求を承認または拒否することができます。ステージングポリシーが承認者によって確認され、承認された後でのみ、ステージングポリシーを選択したネットワークデバイスに展開できます。

次の図で、ワークフロープロセスについて説明します。

上級管理ユーザは、ワークフロープロセスの設定ページ（[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [ワークフロープロセス（Workflow Process）]）で、エディタおよび承認者ロールに割り当てられたユーザを選択できます。

ステージングポリシーが選択されたデバイスに導入された後では、SGT および SGACL を編集できませんが、マトリクスセルは編集できます。設定の差分レポートを使用して、実稼働マトリックスとステージングマトリックスの違いを追跡できます。また、ステージング処理中にそのセルへの変更を表示するには、セルで [デルタ（Delta）] アイコンをクリックします。

次の表では、ワークフローのさまざまな段階を説明します。


ステージ	説明
ステージングを編集中（Staging in Edit）	エディタがステージングマトリックスの編集を開始すると、マトリックスは [ステージングを編集中（Staging in Edit）] 状態に移行します。ステージングマトリックスを編集したら、エディタは、新しいステージングポリシーを導入するデバイスを選択できます。
ステージングの承認待ち（Staging Awaiting Approval）	マトリックスの編集後、エディタは確認および承認を受けるために承認者にステージングマトリックスを送信します。承認のためにステージングマトリックスを送信する時に、エディタは承認者に送信される電子メールにコメントを追加できます。承認者は、ステージングポリシーを確認し、要求を承認または拒否することができます。承認者は、選択したネットワークデバイスと設定の差分レポートを表示できます。要求の承認または拒否時に、承認者はエディタに送信される電子メールにコメントを追加できます。エディタはステージングポリシーがどのネットワークデバイスにも導入されていなければ承認リクエストをキャンセルできます。
展開の承認取得済み（Deploy Approved）	承認者が要求を承認すると、ステージングマトリックスは [展開の承認取得済み（Deploy Approved）] 状態に移行します。要求が拒否された場合、マトリックスは [ステージングを編集中（Staging in Edit）] 状態に戻されます。エディタはステージングポリシーが承認者によって承認された後でのみ、ステージングポリシーを選択したネットワークデバイスに導入できます。
一部展開済み（Partially deployed）	ステージングマトリックスが選択したデバイスに展開された後、マトリックスは [一部展開済み（Partially deployed）] 状態に移行します。マトリックスは、ステージングポリシーがすべてのネットワークデバイスに導入されるまで、[一部展開済み（Partially deployed）] ステージのままです。このステージでは、SGT および SGACL を編集できませんが、マトリクスセルは編集できます。最新のポリシーが導入されていないデバイス（同期していないデバイス）は、[ネットワークデバイスの導入（Network Device Deployment）] ウィンドウにオレンジ色（イタリック体）で表示されます。このステータスは、導入の進捗状況のステータスバーにも表示されます。エディタはこれらのデバイスを選択し、さまざまな導入サイクルで更新されたデバイスを同期するように承認を要求できます。
完全に展開済み（Fully deployed）	上記の手順は、ステージングポリシーがすべてのネットワークデバイスに展開されるまで繰り返されます。ステージングマトリックスをすべてのネットワークデバイスに展開する場合、承認者はステージングマトリックスを実稼働マトリックスとして設定できます。実稼働マトリックスをステージングマトリックスに置き換えた後では、実稼働マトリックスの以前のバージョンへのロールバックはできないため、新たな実稼働マトリクスとしてステージングマトリクスを設定する前に実稼働マトリクスのコピーを取得しておくことをお勧めします。

[ワークフロー（Workflow）] ドロップダウンリストに表示されるオプションは、ワークフローの状態とユーザロール（エディタまたは承認者）によって異なります。次の表に、エディタおよび承認者に表示されるメニューオプションを示します。


ワークフローの状態	エディタに表示されるメニュー	承認者に表示されるメニュー
ステージングを編集中（Staging in Edit）	ネットワークデバイスの選択（Select network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。選択したデバイスの承認要求（Request approval for selected devices）すべての/フィルタリングされたステージングリストの承認要求（Request approval for all/filtered Staging list）すべての/フィルタリングされた実稼働リストの承認要求（Request approval for all/filtered Production list）すべての/フィルタリングされたデバイスの承認要求（Request approval for all/filtered devices）選択したデバイスの承認要求（Request approval for selected devices）ステージングの破棄（Discard staging）デルタの表示（View deltas）	ネットワークデバイスの表示（View network devices）デルタの表示（View deltas）
ステージングの承認待ち（Staging Awaiting Approval）	承認要求のキャンセル（Cancel approval request）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。承認要求のキャンセル（Cancel approval request）デルタの表示（View deltas）	展開の承認（Approve deploy）展開の拒否（Reject deploy）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。展開の承認（Approve deploy）展開の拒否（Reject deploy）デルタの表示（View deltas）
承認済み：展開の準備完了（Approved - ready to deploy）	[展開（Deploy）] 承認要求のキャンセル（Cancel approval request）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。 [展開（Deploy）] 承認要求のキャンセル（Cancel approval request）デルタの表示（View deltas）	展開の拒否（Reject deploy）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。展開の拒否（Reject deploy）デルタの表示（View deltas）
一部展開済み（Partially deployed）	ネットワークデバイスの選択（Select network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。選択したデバイスの承認要求（Request approval for selected devices）すべての/フィルタリングされたステージングリストの承認要求（Request approval for all/filtered Staging list）すべての/フィルタリングされた実稼働リストの承認要求（Request approval for all/filtered Production list）すべての/フィルタリングされたデバイスの承認要求（Request approval for all/filtered devices）選択したデバイスの承認要求（Request approval for selected devices）デルタの表示（View deltas）	ネットワークデバイスの表示（View network devices）デルタの表示（View deltas）
完全に展開済み（Fully deployed）	ネットワークデバイスの選択（Select network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。選択したデバイスの承認要求（Request approval for selected devices）すべての/フィルタリングされたステージングリストの承認要求（Request approval for all/filtered Staging list）すべての/フィルタリングされた実稼働リストの承認要求（Request approval for all/filtered Production list）すべての/フィルタリングされたデバイスの承認要求（Request approval for all/filtered devices）選択したデバイスの承認要求（Request approval for selected devices）デルタの表示（View deltas）	実稼働として設定（Set as production）ネットワークデバイスの表示（View network devices）デルタの表示（View deltas）

ワークフローオプションは、[送信元ツリービュー（Source Tree View）] と [宛先ツリービュー（Destination Tree View）] でも使用できます。

TrustSec ポリシーのダウンロードレポート（[ワークセンター（Work Centers）] > [TrustSec] > [レポート（Reports）]）を使用して、ステージング/実稼働ポリシーをダウンロードしたデバイスのリストを表示できます。TrustSec ポリシーのダウンロードは、ポリシー（SGT/SGACL）のダウンロードのために、ネットワークデバイスによって送信された要求と ISE によって送信された詳細を示します。ワークフローモードを有効にしている場合、要求を実稼働マトリックスまたはステージングマトリックスに対してフィルタ処理することができます。

出力ポリシーテーブルセルの設定

Cisco ISE では、ツールバーで使用可能なさまざまなオプションを使用して、セルを設定できます。Cisco ISE では、選択した送信元 SGT および宛先 SGT がマッピングされたセルと同一である場合には、セルを設定できません。

出力ポリシーセルのマッピングの追加

[ポリシー（Policy）] ページから出力ポリシーのマッピングセルを追加できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] の順に選択します。
ステップ 2	マトリクスセルを選択するには、次の手順を実行します。マトリクスビューで、セルをクリックして選択します。送信元ツリービューおよび宛先ツリービューで、内部テーブル内の行のチェックボックスをオンにして選択します。
ステップ 3	新しいマッピングセルを追加するには [追加（Add）] をクリックします。
ステップ 4	次の項目について適切な値を選択します。送信元セキュリティグループ（Source Security Group）宛先セキュリティグループ（Destination Security Group）ステータス（Status）、セキュリティグループ ACL（Security Group ACLs）最終的な catch-all ルール（Final Catch All Rule）
ステップ 5	[保存（Save）] をクリックします。

出力ポリシーのエクスポート

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [TrustSec ポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] > [マトリックス（Matrix）] > [エクスポート（Export）] の順に選択します。

ステップ 2

エクスポートしたファイルに空のセル（SGACL が設定されていないセル）を含める場合は、[空のセルを含める（Include Empty Cells）] チェックボックスにマークを付けます。

このオプションが有効になっている場合、マトリックス全体がエクスポートされ、空のセルは [SGACL] 列に「空（Empty）」キーワードでマークされます。

（注）

エクスポートされたファイルに 500000 を超える行が含まれていないことを確認してください。そうでない場合、エクスポートが失敗する場合があります。

ステップ 3

次のオプションのいずれかを選択します。

[ローカルディスク（Local Disk）]：ローカルドライブにファイルをエクスポートする場合は、このオプションを選択します。
[リポジトリ（Repository）]：リモートリポジトリにファイルをエクスポートする場合は、このオプションを選択します。
ファイルをエクスポートする前にリポジトリを設定する必要があります。リポジトリを設定するには、[管理（Administration）] > [メンテナンス（Maintenance）] > [リポジトリ（Repository）] の順に選択します。読み取りおよび書き込みアクセス権が選択したリポジトリに提供されていることを確認します。

暗号キーを使用してエクスポートされたファイルを暗号化できます。

ファイル名は変更することができます。ファイル名は、50 文字以内でなければなりません。デフォルトでは、ファイル名には現在の時刻が含まれていますが、同じファイル名がリモートリポジトリに存在する場合は、ファイルが上書きされます。

ステップ 4

[エクスポート（Export）] をクリックします。

出力ポリシーのインポート

出力ポリシーをオフラインで作成し、Cisco ISE にインポートすることができます。セキュリティグループタグの数が多い場合、セキュリティグループ ACL マッピングを 1 つずつ作成すると、時間がかかることがあります。代わりに、出力ポリシーをオフラインで作成し、Cisco ISE にインポートすることにより、時間を節約できます。インポート中、Cisco ISE は CSV ファイルのエントリを出力ポリシーマトリクスに追加し、データは上書きしません。

次の場合、出力ポリシーのインポートは失敗します。

送信元または宛先 SGT が存在しない
SGACL が存在しない
モニタステータスが、そのセルについて Cisco ISE で現在設定されているものと異なる

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] > [マトリックス（Matrix）] > [インポート（Import）] の順に選択します。
ステップ 2	[テンプレートの生成（Generate a Template）] をクリックします。
ステップ 3	[出力ポリシー（Egress Policy）] ページからテンプレート（CSV ファイル）をダウンロードし、CSV ファイルに次の情報を入力します。送信元 SGT（Source SGT）宛先 SGT（Destination SGT） SGACL モニタステータス（有効、無効、またはモニタ対象）
ステップ 4	インポートするポリシーで既存のポリシーが上書きされるようにする場合は、[新しいデータで既存のデータを上書き（Overwrite Existing Data with New Data）] チェックボックスをオンにします。空セル（「Empty」キーワードでマークされた、[SGACL] 列のセル）がインポートされたファイルに含まれていると、対応するマトリックスのセルの既存のポリシーが削除されます。イーグレスポリシーをエクスポートする際に空セルを含めるには、[空のセルを含める（Include Empty Cells）] チェックボックスをオンにします。詳細については、出力ポリシーのエクスポートを参照してください。
ステップ 5	[ファイルの検証（Validate File）] をクリックして、インポートされたファイルを検証します。Cisco ISE は、ファイルをインポートする前に CSV 構造、SGT 名、SGACL、およびファイルサイズを検証します。
ステップ 6	エラーが発生した場合にインポートを中止するには、[最初のエラーでインポートを停止（Stop Import on First Error）] チェックボックスをオンにします。
ステップ 7	[インポート（Import）] をクリックします。

出力ポリシーの SGT の設定

[出力ポリシー（Egress Policy）] ページでセキュリティグループを直接作成できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] の順に選択します。
ステップ 2	[送信元ツリービュー（Source Tree View）] または [宛先ツリービュー（Destination Tree View）] ページから、[設定（Configure）] > [新しいセキュリティグループの作成（Create New Security Group）] を選択します。
ステップ 3	必要な詳細を入力し、[送信（Submit）] をクリックします。

モニタモード

出力ポリシーの [すべてをモニタ（Monitor All）] オプションを使用すると、出力ポリシー設定ステータス全体を 1 回のクリックでモニタモードに変更できます。[出力ポリシー（egress policy）] ページの [すべてをモニタ（Monitor All）] チェックボックスをオンにして、すべてのセルの出力ポリシー設定ステータスをモニタモードに変更します。[すべてをモニタ（Monitor All）] チェックボックスをオンにすると、設定ステータスが次のように変更されます。

ステータスが [有効（Enabled）] であるセルはモニタ対象として動作しますが、有効であるかのように表示されます。
ステータスが [無効（Disabled）] であるセルは何も影響を受けません。
ステータスが [モニタ（Monitor）] であるセルは、[モニタ対象（Monitored）] のままになります。

[すべてをモニタ（Monitor All）] チェックボックスをオフにすると、元の設定ステータスに戻ります。データベース内の実際のセルのステータスは変更されません。[すべてをモニタ（Monitor All）] をオフにすると、出力ポリシーのそれぞれのセルが元の設定ステータスに戻ります。

モニタモードの機能

モニタモードのモニタリング機能は次の操作に役立ちます。

フィルタリングされているけれども、モニタモードではモニタされているトラフィックの量の確認
SGT-DGT ペアがモニタモードであるか強制モードであるかの確認と、ネットワーク内で異常なパケットドロップが発生していないかどうかの観察
SGACL ドロップが実際に強制モードによって強制されているのか、またはモニタモードによって許可されているのかの確認
モードのタイプ（モニタ、強制、または両方）に基づいたカスタムレポートの作成
NAD に適用されている SGACL、および表示の不一致（ある場合）の識別

不明セキュリティグループ

不明セキュリティグループは事前に設定されているセキュリティグループで、変更不可能であり、タグ値 0 の TrustSec を表します。

Cisco セキュリティグループのネットワークデバイスは、送信元または宛先のいずれかの SGT がない場合に不明 SGT を参照するセルを要求します。送信元のみが不明の場合、要求は <unknown, Destination SGT> セルに適用されます。宛先のみが不明の場合、要求は <source SGT, unknown> セルに適用されます。送信元および宛先の両方が不明の場合、要求は <Unknown, Unknown> セルに適用されます。

デフォルトポリシー

デフォルトポリシーは、<ANY,ANY> セルを参照します。任意の送信元 SGT が任意の宛先 SGT にマッピングされています。ここでは、ANY SGT は変更不可能であり、送信元 SGT にも宛先 SGT にも表示されません。ANY SGT は ANY SGT とのみペアにできます。他の SGT とはペアにできません。TrustSec ネットワークデバイスでは、デフォルトポリシーを特定セルのポリシーの最後に付加します。

つまり、セルが空白の場合は、デフォルトポリシーのみが含まれることになります。
セルにポリシーが含まれる場合、結果のポリシーは、セル固有のポリシーとその後に続くデフォルトポリシーの組み合わせになります。

Cisco ISE では、セルポリシーおよびデフォルトポリシーは 2 つの別々の SGACL セットになり、デバイスは 2 つの別々のポリシークエリーの応答としてこれらのセットを取得します。

デフォルトポリシーの設定は、他のセルと次の点で異なります。

ステータスは [有効（Enabled）] または [モニタ対象（Monitored）] の 2 つの値しかとることができません。
セキュリティグループ ACL は、デフォルトポリシーでは任意のフィールドであるため、空白のままにできます。
最終的な catch-all ルールは次のいずれかになります。許可 IP、拒否 IP、許可 IP ログ、または拒否 IP ログ。デフォルトポリシーを上回る安全策はないため、ここで [なし（None）] オプションを使用できないことは明らかです。

[プッシュ（Push）] ボタン

出力ポリシーの [プッシュ（Push）] オプションは CoA 通知を開始します。この通知は、Cisco ISE からの出力ポリシー設定変更に関する更新を、ただちに要求するよう TrustSec デバイスに伝えます。

SGT の割り当て

Cisco ISE では、デバイスのホスト名または IP アドレスがわかっている場合に、TrustSec デバイスに SGT を割り当てることができます。特定のホスト名または IP アドレスを持つデバイスがネットワークに参加すると、Cisco ISE によって認証前に SGT が割り当てられます。

次の SGT がデフォルトで作成されています。

SGT_TrustSecDevices
SGT_NetworkServices
SGT_Employee
SGT_Contractor
SGT_Guest
SGT_ProductionUser
SGT_Developer
SGT_Auditor
SGT_PointofSale
SGT_ProductionServers
SGT_DevelopmentServers
SGT_TestServers
SGT_PCIServers
SGT_BYOD
SGT_Quarantine

セキュリティグループタグをエンドポイントにマップするようにデバイスを手動で設定する必要がある場合もあります。このマッピングは [セキュリティグループマッピング（Security Group Mappings）] ページから作成できます。この操作を実行する前に、SGT の範囲が予約済みであることを確認します。

ISE では、最大 10,000 の IP-to-SGT マッピングを作成できます。IP-to-SGT マッピンググループを作成して、このような大規模なマッピングを論理的にグループ化することができます。各 IP-to-SGT マッピンググループには、IP アドレスのリスト、マップ先の単一のセキュリティグループ、およびこれらのマッピングの展開対象であるネットワークデバイスまたはネットワークデバイスグループが含まれています。

NDAC 許可

デバイスに SGT を割り当てることで TrustSec ポリシーを設定できます。TrustSec デバイスの ID 属性に基づいて、デバイスにセキュリティグループを割り当てることができます。

NDAC 許可の設定

始める前に

ポリシーで使用するためのセキュリティグループを作成します。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [ネットワークデバイス許可（Network Device Authorization）] の順に選択します。
ステップ 2	[デフォルトルール（Default Rule）] 行の右側にある [操作（Action）] アイコンをクリックし、[新規行を上に挿入（Insert New Row Above）] をクリックします。
ステップ 3	このルールの名前を入力します。
ステップ 4	[条件（Conditions）] の隣にあるプラス記号（+）をクリックして、ポリシー条件を追加します。
ステップ 5	[新しい条件の作成（高度なオプション）（Create New Condition (Advance Option)）] をクリックすると、新しい条件を作成できます。
ステップ 6	[セキュリティグループ（Security Group）] ドロップダウンリストから、この条件の評価が true になった場合に割り当てる SGT を選択します。
ステップ 7	この行の [操作（Action）] アイコンをクリックして、現在のルールの上または下に、デバイス属性に基づいた別のルールを追加します。このプロセスを繰り返して、TrustSec ポリシーに必要なすべてのルールを作成できます。ルールをドラッグアンドドロップし、アイコンをクリックすることでこれらの順序を変更できます。既存の条件を複製することもできますが、ポリシー名は必ず変更してください。評価が true になる最初のルールによって、評価の結果が決まります。いずれのルールも一致しなかった場合、デフォルトルールが適用されます。デフォルトルールを編集して、いずれのルールも一致しなかった場合にデバイスに適用される SGT を指定できます。
ステップ 8	[保存（Save）] をクリックして TrustSec ポリシーを保存します。ネットワークデバイスポリシーを設定した後に、TrustSec デバイスで認証を行おうとすると、デバイスはその SGT およびそのピアの SGT を取得し、関連するすべての詳細をダウンロードできるようになります。

エンドユーザの許可の設定

Cisco ISE では、許可ポリシー評価の結果としてセキュリティグループを割り当てることができます。このオプションを使用すると、ユーザおよびエンドポイントにセキュリティグループを割り当てることができます。

始める前に

許可ポリシーについての情報を参照してください。
次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [承認ポリシー（Authorization Policy）] の順に選択します。

ステップ 2

新しい許可ポリシーを作成します。

ステップ 3

権限のセキュリティグループを選択します。

あるユーザまたはエンドポイントについて、この許可ポリシーで指定した条件が true の場合、このセキュリティグループがそのユーザまたはエンドポイントに割り当てられ、このユーザまたはエンドポイントによって送信されたすべてのデータパケットにこの特定の SGT でタグが付けられます。

TrustSec の設定およびポリシープッシュ

Cisco ISE では、許可変更（CoA）がサポートされています。これを使用すると、Cisco ISE で TrustSec の設定およびポリシーの変更を TrustSec デバイスに通知でき、デバイスでは関連データの取得要求でこれに応答できるようになります。

CoA 通知では、TrustSec ネットワークデバイスをトリガーし、環境 CoA またはポリシー CoA のいずれかを送信できます。

また、基本的に TrustSec CoA 機能をサポートしないデバイスに設定変更をプッシュできます。

CoA でサポートされるネットワークデバイス

Cisco ISE は次のネットワークデバイスに CoA 通知を送信します。

単一の IP アドレスを持つネットワークデバイス（サブネットはサポートされません）
TrustSec デバイスとして設定されているネットワークデバイス
CoA サポート対象として設定されているネットワークデバイス

複数のセカンダリが存在する分散環境に Cisco ISE が展開されており、これらのセカンダリがそれぞれ異なるデバイスセットと相互運用している場合、CoA 要求は Cisco ISE プライマリノードからすべてのネットワークデバイスに送信されます。そのため、TrustSec ネットワークデバイスは、Cisco ISE プライマリノードで CoA クライアントとして設定されている必要があります。

デバイスは、Cisco ISE プライマリノードに CoA NAK または ACK を返します。ただし、ネットワークデバイスからの次の TrustSec セッションは、ネットワークデバイスが他の AAA 要求をすべて送信する Cisco ISE ノードに送信され、必ずしもプライマリノードに送信されるわけではありません。

非 CoA サポートデバイスへの設定変更のプッシュ

一部のプラットフォームでは、許可変更（CoA）について Cisco ISE の「プッシュ」機能はサポートされていません。例：Nexus ネットワークデバイスの一部のバージョン。この場合、ISE はネットワークデバイスに接続し、ISE に対して更新された設定要求をデバイスがトリガーするようにします。これを行うために、ISE はネットワークデバイスへの SSHv2 トンネルを開き、TrustSec ポリシーマトリクスのリフレッシュをトリガーするコマンドを送信します。この方法は、CoA プッシュをサポートするネットワークプラットフォームでも実行できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] の順に選択します。
ステップ 2	必要なネットワークデバイスの横にあるチェックボックスをオンにし、[編集（Edit）] をクリックします。ネットワークデバイスの名前、IP アドレス、RADIUS および TrustSec 設定が正しく設定されていることを確認します。
ステップ 3	[高度な TrustSec 設定（Advanced TrustSec Settings）] まで下にスクロールし、[TrustSec 通知および更新（TrustSec Notifications and Updates）] セクションで、[デバイスに設定変更を送信（Send configuration changes to device）] チェックボックスをオンにして [CLI（SSH）（CLI (SSH)）] オプションボタンをクリックします。
ステップ 4	（任意） SSH キーを指定します。
ステップ 5	デバイスインターフェイスのクレデンシャルを使用して IP-SGT マッピングを取得するには、この SGA デバイスに対して [セキュリティグループタグマッピングの展開時にこのデバイスを含める（Include This Device When Deploying Security Group Tag Mapping Updates）] チェックボックスをオンにします。
ステップ 6	EXEC モードでデバイス設定を編集する権限を持つユーザのユーザ名とパスワードを入力します。
ステップ 7	（任意）設定を編集できるデバイスの EXEC モードパスワードを有効にするためのパスワードを入力します。[表示（Show）] をクリックして、このデバイスにすでに設定されている EXEC モードパスワードを表示できます。
ステップ 8	ページの下部にある [送信（Submit）] をクリックします。

ネットワークデバイスは、TrustSec の変更をプッシュするように設定されました。Cisco ISE ポリシーを変更した後で、ネットワークデバイスに新規設定を反映させるには、[プッシュ（Push）] をクリックします。

SSH キーの検証

SSH キーを使用してセキュリティを強化することもできます。Cisco ISE では、SSH キー検証機能によってこれをサポートします。

この機能を使用するには、Cisco ISE からネットワークデバイスに SSHv2 トンネルを開いて、ネットワークデバイスの独自の CLI を使用して SSH キーを取得します。このキーをコピーし、検証のために Cisco ISE に貼り付けます。SSH キーが誤っている場合、Cisco ISE は接続を終了します。

制限：現在、Cisco ISE が検証できるのは 1 つの IP のみです（IP の範囲、または IP 内のサブネットは検証できません）

始める前に

次のものが必要です。

ログインクレデンシャル
SSH キーを取得する CLI コマンド

（Cisco ISE とセキュアに通信できるようにするネットワークデバイスのもの）

手順

ステップ 1

ネットワークデバイス上：

Cisco ISE が SSH キー検証を使用して通信するネットワークデバイスにログインします。
デバイスの CLI を使用して SSH キーを表示します。

例:

Catalyst デバイスの場合、コマンドは次のとおりです。sho ip ssh。
表示された SSH キーをコピーします。

ステップ 2

Cisco ISE ユーザインターフェイスから、次の手順を実行します。

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] を選択し、必要なネットワークデバイス名、IP アドレス、RADIUS および TrustSec 設定が正しく設定されていることを確認します。
[高度な TrustSec 設定（Advanced TrustSec Settings）] まで下にスクロールし、[TrustSec 通知および更新（TrustSec Notifications and Updates）] セクションで、[デバイスに設定変更を送信（Send configuration changes to device）] チェックボックスをオンにして [CLI（SSH）（CLI (SSH)）] オプションボタンをクリックします。
[SSH キー（SSH Key）] フィールドに、ネットワークデバイスから取得した SSH キーを貼り付けます。
ページの下部にある [送信（Submit）] をクリックします。

ネットワークデバイスは、SSH キー検証を使用して Cisco ISE と通信するようになりました。

環境 CoA 通知のフロー

次の図は、環境 CoA 通知のフローを示しています。

環境 CoA トリガー

環境 CoA は次のものに関して開始できます。

ネットワークデバイス
セキュリティグループ
AAA サーバ

ネットワークデバイスの環境 CoA のトリガー

ネットワークデバイスに関する環境 CoA をトリガーするには、次の手順を実行します。

手順

ステップ 1

[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）][ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] を選択します。

ステップ 2

ネットワークデバイスを追加または編集します。

ステップ 3

[高度な TrustSec 設定（Advanced TrustSec Settings）] セクションで、[TrustSec 通知および更新（TrustSec Notifications and Updates）] パラメータを更新します。

環境属性の変更は、変更が発生した特定の TrustSec ネットワークデバイスにのみ通知されます。

単一のデバイスのみが影響を受けるため、環境 CoA 通知は送信直後に送信されます。結果として、そのデバイスの環境属性が更新されます。

セキュリティグループの環境 CoA のトリガー

セキュリティグループに関する環境 CoA をトリガーするには、次の手順を実行します。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループ（Security Groups）] を選択します。
ステップ 2	[セキュリティグループ（Security Group）] ページで、SGT の名前を変更します。これにより、その SGT のマッピング値の名前が変更されます。これで環境変更がトリガーされます。
ステップ 3	複数の SGT の名前を変更した後、[プッシュ（Push）] ボタンをクリックして、環境 CoA 通知を開始します。この環境 CoA 通知は、すべての TrustSec ネットワークデバイスに送信され、変更されたすべての SGT の更新が提供されます。

TrustSec AAA サーバの環境 CoA のトリガー

TrustSec AAA サーバに関する環境 CoA をトリガーするには、次の手順を実行します。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [TrustSec AAAサーバ（TrustSec AAA Servers）] を選択します。
ステップ 2	[TrustSec AAA サーバ（TrustSec AAA Servers）] ページで、TrustSec AAA サーバの設定を作成、削除、または更新します。これで環境変更がトリガーされます。
ステップ 3	複数の TrustSec AAA サーバを設定した後、[プッシュ（Push）] ボタンをクリックして、環境 CoA 通知を開始します。この環境 CoA 通知は、すべての TrustSec ネットワークデバイスに送信され、変更されたすべての TrustSec AAA サーバの更新を提供します。

NDAC ポリシーの環境 CoA のトリガー

NDAC ポリシーに関する環境 CoA をトリガーするには、次の手順を実行します。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [ポリシー（Policy）] > [ネットワークデバイス許可（Network Device Authorization）] の順に選択します。

[NDAC ポリシー（NDAC policy）] ページで、NDAC ポリシーのルールを作成、削除、または更新できます。これらの環境変更は、すべてのネットワークデバイスに通知されます。

ステップ 2

[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [ネットワークデバイス許可（Network Device Authorization）] の順に選択します。

[NDAC ポリシー（NDAC policy）] ページで、NDAC ポリシーのルールを作成、削除、または更新できます。これらの環境変更は、すべてのネットワークデバイスに通知されます。

ステップ 3

[NDAC ポリシー（NDAC policy）] ページで [プッシュ（Push）] ボタンをクリックすることで、環境 CoA 通知を開始できます。この環境 CoA 通知は、すべての TrustSec ネットワークデバイスに送信され、ネットワークデバイス自体の SGT の更新を提供します。

SGACL コンテンツ更新のフロー

次の図に、SGACL コンテンツ更新のフローを示します。

Cisco ISE は、TrustSec ネットワークデバイスに SGACL 名前付きリストの更新 CoA 通知を送信します。通知には、SGACL 名と生成 ID が含まれます。
デバイスは、次の両方の条件が満たされた場合に、SGACL データ要求で応答できます。

SGACL が、デバイスが保持する出力セルに含まれている場合。デバイスには出力ポリシーデータのサブセットが保持されます。これらは、そのネイバーデバイスおよびエンドポイントの SGT に関連するセルです（選択した宛先 SGT の出力ポリシーカラム）。

CoA 通知内の生成 ID が、この SGACL 用にデバイスが保持している生成 ID と異なっている。
SGACL データ要求への応答で、Cisco ISE は SGACL のコンテンツ（ACE）を返します。

SGACL 名前付きリストの更新 CoA の開始

SGACL 名前付きリストの更新 CoA をトリガーするには、次の手順を実行します。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループACL（Security Group ACLs）] を選択します。

ステップ 2

SGACL のコンテンツを変更します。SGACL を送信すると、SGACL の生成 ID が変更されます。

ステップ 3

複数の SGACL のコンテンツを変更した後、[プッシュ（Push）] ボタンをクリックして、SGACL 名前付きリストの更新 CoA 通知を開始します。この通知は、すべての TrustSec ネットワークデバイスに送信され、関連するデバイスのその SGACL コンテンツの更新が提供されます。

SGACL の名前または IP バージョンを変更しても、その生成 ID は変更されません。そのため、SGACL 名前付きリストの更新 CoA 通知を送信する必要はありません。

ただし、出力ポリシーで使用中の SGACL の名前または IP バージョンを変更することは、その SGACL を含むセルが変更されることを意味するため、この変更でそのセルの宛先 SGT の生成 ID が変更されます。

ポリシーの更新 CoA 通知のフロー

次の図に、ポリシーの CoA 通知のフローを示します。

SGT マトリクスの更新 CoA のフロー

次の図に、SGT マトリクスの更新 CoA のフローを示します。

出力ポリシーからの、SGT マトリクスの更新 CoA の開始

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [TrustSecポリシー（TrustSec Policy）] > [出力ポリシー（Egress Policy）] の順に選択します。
ステップ 2	[出力ポリシー（Egress Policy）] ページで、セルの内容（ステータス、SGACL）を変更します。
ステップ 3	変更を送信すると、そのセルの宛先 SGT の生成 ID が変更されます。
ステップ 4	複数の出力セルの内容を変更した後、[プッシュ（Push）] ボタンをクリックして、SGT マトリクスの更新 CoA 通知を開始します。この通知は、すべての TrustSec ネットワークデバイスに送信され、関連するデバイスのセルの内容の更新が提供されます。

TrustSec CoA の概要

次の表に、TrustSec CoA の開始を要求するさまざまなシナリオ、各シナリオで使用される CoA のタイプ、および関連する UI ページの概要を示します。

表 2. TrustSec CoA の概要
UI ページ	CoA をトリガーする操作	トリガー方法	CoA タイプ	送信先
ネットワークデバイス（Network Device）	ページの [TrustSec] セクションでの環境 TTL の変更	TrustSec ネットワークデバイスで正常に送信が行われたとき	環境	特定のネットワークデバイス
TrustSec AAA サーバ（TrustSec AAA Server）	TrustSec AAA サーバの変更（作成、更新、削除、順序変更）	[TrustSec AAA サーバ（TrustSec AAA servers）] リストページの [プッシュ（Push）] ボタンをクリックすると、累積された変更をプッシュできます。	環境	すべての TrustSec ネットワークデバイス
セキュリティグループ（Security Group）	SGT の変更（作成、名前変更、削除）	[SGT] リストページの [プッシュ（Push）] ボタンをクリックすると、累積された変更をプッシュできます。	環境	すべての TrustSec ネットワークデバイス
NDAC ポリシー（NDAC Policy）	NDAC ポリシーの変更（作成、更新、削除）	[NDAC ポリシー（NDAC policy）] ページの [プッシュ（Push）] ボタンをクリックすると、累積された変更をプッシュできます。	環境	すべての TrustSec ネットワークデバイス
SGACL	SGACL ACE の変更	[SGACL] リストページの [プッシュ（Push）] ボタンをクリックすると、累積された変更をプッシュできます。	RBACL 名前付きリストの更新	すべての TrustSec ネットワークデバイス
SGACL	SGACL 名または IP バージョンの変更	[SGACL] リストページの [プッシュ（Push）] ボタンまたは出力テーブルのポリシープッシュボタンをクリックすると、累積された変更をプッシュできます。	更新 SGT マトリクス	すべての TrustSec ネットワークデバイス
出力ポリシー（Egress Policy）	SGT の生成 ID を変更するすべての操作	[出力ポリシー（egress policy）] ページの [プッシュ（Push）] ボタンをクリックすると、累積された変更をプッシュできます。	更新 SGT マトリクス	すべての TrustSec ネットワークデバイス

セキュリティグループタグの交換プロトコル

セキュリティグループタグ（SGT）の交換プロトコル（SXP）は、TrustSec のハードウェアサポートがないネットワークデバイスに SGT を伝播するために使用されます。SXP は、ある SGT 対応ネットワークデバイスから別のデバイスに IP アドレスとともにエンドポイントの SGT を転送するために使用されます。SXP が転送するデータは、IP-SGT マッピングと呼ばれます。エンドポイントが属する SGT は静的または動的に割り当てることができ、SGT はネットワークポリシーで分類子として使用できます。

ノードで SXP サービスをイネーブルにするには、[ノードの一般設定（General Node Settings）] ページで [SXPサービスの有効化（Enable SXP Service）] チェックボックスをオンにします。また、SXP サービスに使用するインターフェイスを指定する必要があります。

SXP はトランスポートプロトコルとして TCP を使用して、2 つの個別のネットワークデバイス間に SXP 接続をセットアップします。各 SXP 接続には、SXP スピーカーとして指定されたピアと、SXP リスナーとして指定されたピアがあります。ピアは双方向モードで設定することもでき、そのモードでは、それぞれがスピーカーとリスナーの両方として機能します。接続はいずれかのピアによって開始できますが、マッピング情報は常にスピーカーからリスナーに伝播されます。

（注）

セッションのバインディングは常にデフォルトの SXP ドメインに伝播されます。

次の表には、SXP 環境で使用される一般的な用語のいくつかを示しています。


IP-SGT マッピング	SXP 接続を介して交換される SGT マッピングへの IP アドレス。 SXP デバイスで学習されたすべてのマッピング（スタティックマッピングおよびセッションマッピングを含む）を表示するには、[ワークセンター（Work Centers）] > [TrustSec] > [SXP] > [すべてのSXPマッピング（All SXP Mappings）] の順に選択します。
SXP スピーカー	SXP 接続を介して IP-SGT マッピングを送信するピア。
SXP リスナー	SXP 接続を介して IP-SGT マッピングを受信するピア。

Cisco ISE に追加された SXP ピアデバイスを表示するには、[ワークセンター（Work centers）] > [TrustSec] > [SXP] > [SXPデバイス（SXP Devices）] の順に選択します。

（注）

SXP サービスはスタンドアロンノードで実行することを推奨します。

SXP サービスを使用する際は、次の点に注意してください。

Cisco ISE は、同じ IP アドレスを持つ複数の SXP セッションバインディングをサポートしていません。
RADIUS アカウンティング更新の頻度が高すぎる（数秒に約 6 から 8 のアカウンティング更新）場合、アカウンティング更新パケットがドロップされる可能性があり、SXP が IP-SGT バインディングを受信できないことがあります。
以前のバージョンの ISE からアップグレードした後は、SXP は自動的に起動しません。アップグレード後に、SXP パスワードを変更し、SXP プロセスを再起動する必要があります。

SXP デバイスの追加

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [SXP] > [SXPデバイス（SXP Devices）] の順に選択します。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	デバイスの詳細を入力します。 CSV ファイルを使用して SXP デバイスを追加するには、[CSVファイルからアップロード（Upload from a CSV file）] をクリックします。CSV ファイルを参照して選択し、[アップロード（Upload）] をクリックします。また、CSV テンプレートファイルをダウンロードして、追加するデバイスの詳細を入力し、CSV ファイルをアップロードすることもできます。各 SXP デバイスのデバイスの詳細を手動で追加するには、[単一デバイスの追加（Add Single Device）] をクリックします。ピアデバイスの名前、IP アドレス、SXP ロール（リスナー、スピーカー、または両方）、パスワードタイプ、SXP バージョン、および接続されている PSN を入力します。また、ピアデバイスが接続されている SXP ドメインも指定する必要があります。
ステップ 4	（任意）[詳細設定（Advanced Settings）] をクリックし、次の詳細を入力します。 [最小許容ホールドタイマー（Minimum Acceptable Hold Timer）]：スピーカーが接続状態を保持するためにキープアライブメッセージを送信する時間を秒単位で指定します。値の範囲は 1 ～ 65534 です。 [キープアライブタイマー（Keep Alive Timer）]：アップデートメッセージによって他の情報がエクスポートされないインターバル期間にキープアライブメッセージのディスパッチをトリガーするためにスピーカーによって使用されます。値の範囲は 0 ～ 64000 です。
ステップ 5	[保存（Save）] をクリックします。

SXP ドメインフィルタの追加

SXP デバイスで学習されたすべてのマッピング（スタティックマッピングおよびセッションマッピングを含む）は、[ワークセンター（Work Centers）] > [TrustSec] > [SXP] > [すべての SXP マッピング（All SXP Mappings）] ページで表示できます。

デフォルトでは、ネットワークデバイスから学習されたセッションマッピングは、デフォルトの VPN グループにのみ送信されます。SXP ドメインフィルタを作成して、異なる SXP ドメイン（VPN）にマッピングを送信できます。

SXP ドメインフィルタを追加するには、次の手順を実行します。

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1	[ワークセンター（Work Centers）] > [TrustSec] > [SXP] > [すべての SXP マッピング（All SXP Mappings）] の順に選択します。
ステップ 2	[SXP ドメインフィルタの追加（Add SXP Domain Filter）] をクリックします。
ステップ 3	次の手順を実行します。サブネットの詳細を入力します。このサブネットからの IP アドレスを持つネットワークデバイスのセッションマッピングは、[SXP ドメイン（SXP Domain）] フィールドで選択された SXP ドメイン（VPN）に送信されます。 [SGT] ドロップダウンリストから SGT を選択します。この SGT に関連するセッションマッピングは、[SXP ドメイン（SXP Domain）] フィールドで選択された SXP ドメインに送信されます。サブネットと SGT の両方を指定した場合、このフィルタに一致するセッションマッピングは、[SXP ドメイン（SXP Domain）] フィールドで選択した SXP ドメインに送信されます。マッピングを送信する必要がある SXP ドメインを選択します。
ステップ 4	[保存（Save）] をクリックします。

SXP ドメインフィルタを更新または削除することもできます。フィルタを更新するには、[SXP ドメインフィルタの管理（Manage SXP Domain Filter）] をクリックし、更新するフィルタの横にあるチェックボックスをオンにして、[編集（Edit）] をクリックします。フィルタを削除するには、削除するフィルタの横にあるチェックボックスをオンにして、[ごみ箱（Trash）] > [選択済み（Selected）] をクリックします。

SXP の設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1

[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [SXP設定（SXP Settings）] の順に選択します。

ステップ 2

[SXP設定（SXP Settings）] ページに必要な詳細を入力します。

[SXP バインディングを PxGrid で公開（Publish SXP Bindings on PxGrid）] チェックボックスをオフにすると、IP-SGT マッピングはネットワークデバイス全体に伝達されません。

ステップ 3

[保存（Save）] をクリックします。

（注）

SXP 設定が変更されると、SXP サービスが再起動されます。

TrustSec-ACI 統合

Cisco ISE では、SGT および SXP マッピングを内部エンドポイントグループ（IEPG）、外部エンドポイントグループ（EEPG）、シスコアプリケーションセントリックインフラストラクチャ（ACI）のエンドポイント（EP）設定と同期することができます。

Cisco ISE は、ISE で IEPG を同期して関連する読み取り専用 SGT を作成することで、ACI ドメインから TrustSec ドメインに着信するパケットをサポートします。これらの SGT は、ACI に設定されたエンドポイントをマッピングし、ISE で関連 SXP マッピングを作成します。SGT は [セキュリティグループ（Security Groups）] ページに表示されます（[学習元（Learned From）] フィールドに値 [ACI] が入った状態で）。[すべての SXP マッピング（All SXP Mappings）] ページで SXP マッピングを表示できます。これらのマッピングは、（[ACIの設定（ACI Settings）] ページで）[ポリシープレーン（Policy Plane）] オプションが選択され、SXP デバイスが [ACIの設定（ACI Settings）] ページで設定した SXP ドメインに属している場合にのみ、ACI に送信されます。

（注）

読み取り専用 SGT は、IP-SGT マッピング、マッピンググループ、および SXP ローカルマッピングでは使用できません。

セキュリティグループを追加する際には、[ACIに伝播（Propagate to ACI）] オプションを使用して、SGT を ACI に送信する必要があるかどうかを指定できます。このオプションを有効にすると、この SGT に関連する SXP マッピングが ACI に送信されます。ただし、（[ACIの設定（ACI Settings）] ページで）[ポリシープレーン（Policy Plane）] オプションが選択され、SXP デバイスが [ACIの設定（ACI Settings）] ページで設定した SXP ドメインに属している場合にのみ、ACI に送信されます。

ACI は SGT を同期して関連する EEPG を作成することで、TrustSec ドメインから ACI ドメインに送信されるパケットをサポートします。ACI は、Cisco ISE からの SXP マッピングに基づいて EEPG でサブネットを作成します。これらのサブネットは、対応する SXP マッピングが Cisco ISE で削除されるときに、ACI から削除されません。

IEPG が ACI で更新されると、対応する SGT 設定が Cisco ISE で更新されます。SGT が Cisco ISE に追加されると、新しい EEPG が ACI に作成されます。SGT が削除されると、対応する EEPG が ACI で削除されます。エンドポイントが ACI で更新されると、対応する SXP マッピングは Cisco ISE で更新されます。

ACI サーバとの接続が失われると、接続が再確立されるときに、Cisco ISE は再びデータを再同期します。

（注）

ACI の統合機能を使用するには、SXP サービスを有効にする必要があります。

ACI の設定

始める前に

次のタスクを実行するには、スーパー管理者またはシステム管理者である必要があります。

手順

ステップ 1

信頼できる証明書ストアに ACI 証明書をインポートします。[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）] の順に選択し、証明書をインポートします。

ステップ 2

[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [ACI の設定（ACI Settings）] の順に選択します。

ステップ 3

[TrustSec-ACI ポリシー要素の交換（TrustSec-ACI Policy Element Exchange）] チェックボックスをオンにして、SGT および SXP マッピングと ACI の IEPG、EEPG、エンドポイントの設定とを同期します。

ステップ 4

次のオプションのいずれかを選択します。

[ポリシープレーン（Policy Plane）]：Cisco ISE が SGT、EPG、および SXP 情報を交換するために APIC データセンターだけとやりとりするようにするには、このオプションを選択します。

[データプレーン（Data Plane）]：このオプションを選択すると、TrustSec ネットワークと APIC 制御ネットワーク間で接続する ASR デバイスに対し、SGT と EPG 以外に追加情報が提供されます。これらの ASR デバイスには、SGT から EPG および EPG から SGT への変換のための変換テーブルが含まれている必要があります。

（注）

[データプレーン（Data Plane）] オプションを選択した場合、SXP マッピングは ACI に伝播されません。

ステップ 5

[ポリシープレーン（Policy Plane）] オプションを選択した場合は、次の詳細を入力してください。

IP アドレス/ホスト名（IP address/Hostname）：ACI サーバの IP アドレスまたはホスト名を入力します。カンマで区切った 3 つの IP アドレスまたはホスト名を入力できます。
管理者名/パスワード（Admin Name/Password）：ACI 管理ユーザのユーザ名とパスワードを入力します。
テナント（Tenant）：ACI で設定されているテナントの名前を入力します。
L3 ルートネットワーク名（L3 Route Network Name）：ポリシー要素を同期させるために ACI で設定されているレイヤ 3 ルートネットワークの名前を入力します。

[テスト設定（Test Settings）] をクリックして、ACI サーバとの接続性を確認します。

新規 SGT サフィックス（New SGT Suffix）：このサフィックスは、ACI から学習された EPG に基づいて新規に作成された SGT に追加されます。

（注）

EPG 名が 32 文字を超える場合は切り捨てられます。ただし、[セキュリティグループ（Security Groups）] リストページの [説明（Description）] フィールドで EPG のフルネーム、アプリケーションプロファイル名、SGT サフィックスの詳細を確認できます。

新規 EPG サフィックス（New EPG Suffix）：このサフィックスは、Cisco ISE から学習された SGT に基づいて ACI で新規に作成された EPG に追加されます。
[SXP 伝達（SXP Propagation）] 領域で、すべての SXP ドメインを選択するか、または ACI とマッピングを共有する SXP ドメインを指定することができます。

ステップ 6

[データプレーン（Data Plane）] オプションを選択した場合は、次の詳細を入力してください。

[SXP を使用して伝播（Propagate using SXP）]：Cisco ISE に ACI からエンドポイント（EP）データを学習させ、SXP を使用して EP データを伝播させる場合は、このチェックボックスをオンにします。

（注）

このオプションを選択する場合は、展開ノード（[管理（Administration）]> [システム（System）] > [展開（Deployment）]）で SXP サービスが有効になっていることを確認します。

IP アドレス/ホスト名（IP address/Hostname）：ACI サーバの IP アドレスまたはホスト名を入力します。カンマで区切った 3 つの IP アドレスまたはホスト名を入力できます。
管理者名/パスワード（Admin Name/Password）：ACI 管理ユーザのユーザ名とパスワードを入力します。
テナント（Tenant）：ACI で設定されているテナントの名前を入力します。

[テスト設定（Test Settings）] をクリックして、ACI サーバとの接続性を確認します。
IEPG の最大数（Max number of IEPGs）：SGT に変換される IEPG の最大数を指定します。IEPG はアルファベット順に変換されます。デフォルト値は 1000 です。
SGT の最大数（Max number of SGTs）：IEPG に変換される SGT の最大数を指定します。SGT はアルファベット順に変換されます。デフォルト値は 500 です。
新規 SGT サフィックス（New SGT Suffix）：このサフィックスは、ACI から学習された EPG に基づいて新規に作成された SGT に追加されます。
新規 EPG サフィックス（New EPG Suffix）：このサフィックスは、Cisco ISE から学習された SGT に基づいて ACI で新規に作成された EPG に追加されます。
[タグなしパケットの EEPG 名（EEPG name for untagged packets）]：EEPG に変換されない TrustSec パケットは、ACI でこの名前を使用してタグ付けされます。

ステップ 7

[保存（Save）] をクリックします。

ユーザレポート別上位 N 個の RBACL ドロップの実行

ユーザレポート別上位 N 個の RBACL ドロップを実行して、特定のユーザによるポリシー違反（パケットドロップに基づく）を表示できます。

手順

ステップ 1	[操作（Operations）] > [レポート（Reports）] > [TrustSec] を選択します。
ステップ 2	[ユーザ別上位 N 個の RBACL ドロップ（Top N RBACL Drops by User）] をクリックします。
ステップ 3	[フィルタ（Filters）] ドロップダウンメニューから、必要なモニタモードを追加します。
ステップ 4	選択したパラメータの値をこれに応じて入力します。[強制モード（Enforcement mode）] ドロップダウンリストから、[強制（Enforce）]、[モニタ（Monitor）]、または [両方（Both）] としてモードを指定できます。
ステップ 5	[時間範囲（Time Range）] ドロップダウンメニューから、レポートデータを収集する期間を選択します。
ステップ 6	[実行（Run）] をクリックして、選択したパラメータとともに特定の期間のレポートを実行します。

ワークフローの状態	エディタに表示されるメニュー	承認者に表示されるメニュー
ステージングを編集中（Staging in Edit）	ネットワークデバイスの選択（Select network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。選択したデバイスの承認要求（Request approval for selected devices）すべての/フィルタリングされたステージングリストの承認要求（Request approval for all/filtered Staging list）すべての/フィルタリングされた実稼働リストの承認要求（Request approval for all/filtered Production list）すべての/フィルタリングされたデバイスの承認要求（Request approval for all/filtered devices）選択したデバイスの承認要求（Request approval for selected devices）ステージングの破棄（Discard staging）デルタの表示（View deltas）	ネットワークデバイスの表示（View network devices）デルタの表示（View deltas）
ステージングの承認待ち（Staging Awaiting Approval）	承認要求のキャンセル（Cancel approval request）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。承認要求のキャンセル（Cancel approval request）デルタの表示（View deltas）	展開の承認（Approve deploy）展開の拒否（Reject deploy）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。展開の承認（Approve deploy）展開の拒否（Reject deploy）デルタの表示（View deltas）
承認済み：展開の準備完了（Approved - ready to deploy）	[展開（Deploy）] 承認要求のキャンセル（Cancel approval request）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。 [展開（Deploy）] 承認要求のキャンセル（Cancel approval request）デルタの表示（View deltas）	展開の拒否（Reject deploy）ネットワークデバイスの表示（View network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。展開の拒否（Reject deploy）デルタの表示（View deltas）
一部展開済み（Partially deployed）	ネットワークデバイスの選択（Select network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。選択したデバイスの承認要求（Request approval for selected devices）すべての/フィルタリングされたステージングリストの承認要求（Request approval for all/filtered Staging list）すべての/フィルタリングされた実稼働リストの承認要求（Request approval for all/filtered Production list）すべての/フィルタリングされたデバイスの承認要求（Request approval for all/filtered devices）選択したデバイスの承認要求（Request approval for selected devices）デルタの表示（View deltas）	ネットワークデバイスの表示（View network devices）デルタの表示（View deltas）
完全に展開済み（Fully deployed）	ネットワークデバイスの選択（Select network devices）次のオプションが [ネットワークデバイスの導入（Network Device Deployment）] ウィンドウで使用できます。選択したデバイスの承認要求（Request approval for selected devices）すべての/フィルタリングされたステージングリストの承認要求（Request approval for all/filtered Staging list）すべての/フィルタリングされた実稼働リストの承認要求（Request approval for all/filtered Production list）すべての/フィルタリングされたデバイスの承認要求（Request approval for all/filtered devices）選択したデバイスの承認要求（Request approval for selected devices）デルタの表示（View deltas）	実稼働として設定（Set as production）ネットワークデバイスの表示（View network devices）デルタの表示（View deltas）

偏向のない言語

翻訳について

検索結果

章のタイトル： Cisco TrustSec ポリシーの設定

Cisco TrustSec ポリシーの設定

TrustSec アーキテクチャ

TrustSec のコンポーネント

TrustSec の用語

TrustSec のサポートされるスイッチと必要なコンポーネント

Cisco DNA Center との統合

Cisco ISE への Cisco DNA Center の接続

TrustSec ダッシュボード

メトリック

現在のネットワーク ステータス

アクティブな SGT セッション

アラーム

クイック ビュー

NAD クイック ビュー

SGT クイック ビュー

ライブ ログ

TrustSec のグローバル設定

始める前に

手順

次のタスク

TrustSec マトリックスの設定

始める前に

手順

TrustSec デバイスの設定

手順

OOB TrustSec PAC

[設定（Settings）] 画面からの TrustSec PAC の生成

手順

[ネットワーク デバイス（Network Devices）] 画面からの TrustSec PAC の生成

手順

[ネットワーク デバイス リスト（Network Devices List）] 画面からの TrustSec PAC の生成

手順

[プッシュ（Push）] ボタン

TrustSec AAA サーバの設定

始める前に

手順

次のタスク

セキュリティ グループの設定

セキュリティ グループの追加

始める前に

手順

次のタスク

Cisco ISE へのセキュリティ グループのインポート

手順

Cisco ISE からのセキュリティ グループのエクスポート

手順

IP SGT スタティック マッピングの追加

手順

Cisco ISE への IP SGT スタティック マッピングのインポート

手順

Cisco ISE からの IP SGT スタティック マッピングのエクスポート

手順

SGT マッピング グループの追加

始める前に

手順

セキュリティ グループ アクセス コントロール リストの追加

始める前に

手順

出力ポリシー（Egress Policy）

送信元ツリー ビュー

宛先ツリー ビュー

マトリクス ビュー

マトリクスの次元

マトリクスのインポート/エクスポート

カスタム ビューの作成

始める前に

手順

マトリクス操作

マトリクスでの移動

マトリクスでのセルの選択

出力ポリシーの SGACL の設定

手順

ワーク プロセスの設定

始める前に

手順

現在のネットワークステータス

クイックビュー

NAD クイックビュー

SGT クイックビュー

ライブログ

[ネットワークデバイス（Network Devices）] 画面からの TrustSec PAC の生成

[ネットワークデバイスリスト（Network Devices List）] 画面からの TrustSec PAC の生成

セキュリティグループの設定

セキュリティグループの追加

Cisco ISE へのセキュリティグループのインポート

Cisco ISE からのセキュリティグループのエクスポート

IP SGT スタティックマッピングの追加

Cisco ISE への IP SGT スタティックマッピングのインポート

Cisco ISE からの IP SGT スタティックマッピングのエクスポート

SGT マッピンググループの追加

セキュリティグループアクセスコントロールリストの追加

送信元ツリービュー

宛先ツリービュー

マトリクスビュー

カスタムビューの作成

ワークプロセスの設定

TrustSec マトリックスワークフロープロセス

出力ポリシーテーブルセルの設定

出力ポリシーセルのマッピングの追加

モニタモード

モニタモードの機能

不明セキュリティグループ

デフォルトポリシー

TrustSec の設定およびポリシープッシュ

CoA でサポートされるネットワークデバイス

非 CoA サポートデバイスへの設定変更のプッシュ

ネットワークデバイスの環境 CoA のトリガー

セキュリティグループの環境 CoA のトリガー

セキュリティグループタグの交換プロトコル

SXP ドメインフィルタの追加

ユーザレポート別上位 N 個の RBACL ドロップの実行