管理のユーザインターフェイスのリファレンス

展開とノードの設定

展開設定

[展開ノード（Deployment Nodes）] ページを使用すると、Cisco ISE（管理、ポリシーサービス、およびモニタリング）ノードを設定し、展開を設定することができます。

展開のノードリストページ

次の表に、展開内の Cisco ISE ノードを設定するために使用できる [展開のノードリスト（Deployment Nodes List）] ページのフィールドを示します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [展開（Deployment）] です。


フィールド	使用上のガイドライン
ホストネーム	ノードのホスト名を表示します。
ノードタイプ（Node Type）	ノードタイプを表示します。次のいずれかを設定できます。 Cisco ISE（管理、ポリシーサービス、およびモニタリング）ノード
ペルソナ（Personas）	（ノードタイプが Cisco ISE の場合にのみ表示）Cisco ISE ノードが担当してきたペルソナがリストされます。[管理（Administration）]、[ポリシーサービス（Policy Service）] などがあります。
[役割（Role）]	このノードで管理ペルソナまたはモニタリングペルソナが有効になっている場合、これらのペルソナが担当しているロール（プライマリ、セカンダリ、またはスタンドアロン）が示されます。ロールは、次のうちの 1 つまたは複数にできます。 [PRI(A)]：プライマリ PAN を意味します [SEC(A)]：セカンダリ PAN を意味します [PRI(M)]：プライマリモニタリングノードを意味します [SEC(M)]：セカンダリモニタリングノードを意味します
サービス	（ポリシーサービスペルソナが有効な場合にのみ表示）この Cisco ISE ノードで実行されているサービスがリストされます。サービスは次のいずれか 1 つとなります。セッション（Session）プロファイリングすべて（All）
ノードステータス（Node Status）	データレプリケーション用の展開内の各 ISE ノードのステータスを示します。 [緑（接続）（Green (Connected)）]：すでに展開に登録されている ISE ノードがプライマリ PAN と同期していることを示します。 [赤（切断）]：ISE ノードに到達できないか、ISE ノードがダウンしているか、またはデータレプリケーションが行われていないことを示します。 [オレンジ（進行中）（Orange (In Progress)）]：ISE ノードがプライマリ PAN に新規に登録されているか、手動同期操作を実行したか、または ISE ノードがプライマリ PAN と同期していないことを示します。詳細については、[ノードステータス（Node Status）] カラムで各 ISE ノードのクイックビューアイコンをクリックします。

ノードの一般設定

次の表では、[ノードの一般設定（General Node Settings）] ページのフィールドについて説明します。これらのフィールドを使用して、展開を設定し、各ノード上で実行するサービスを設定できます。このタブのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [展開（Deployment）] > [ISE ノード（ISE Node）] > [編集（Edit）] > [一般設定（General Settings）] です。

プロファイリングノードの設定

次の表では、プロファイラサービスのプローブの設定に使用できる [プロファイリング設定（Profiling Configuration）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [展開（Deployment）] > [ISE ノード（ISE Node）] > [編集（Edit）] > [プロファイリング設定（Profiling Configuration）] です。

表 2. プロファイリングノードの設定

フィールド

使用上のガイドライン

NetFlow

ルータから送信された NetFlow パケットを受信および解析するために、ポリシーサービスペルソナを担当した Cisco ISE ノードごとに NetFlow を有効にする場合は、このチェックボックスをオンにします。次のオプションを選択します。

[インターフェイス（Interface）]：ISE ノード上のインターフェイスを選択します。
[ポート（Port）]：NetFlow エクスポートがルータから受信した NetFlow リスナーポート番号を入力します。デフォルトポートは 9996 です。

DHCP

IP ヘルパーから DHCP パケットをリッスンするために、ポリシーサービスペルソナを担当した Cisco ISE ノードごとに DHCP を有効にする場合は、このチェックボックスをオンにします。次のオプションを選択します。[ポート（Port）]：DHCP サーバの UDP ポート番号を入力します。デフォルトポートは 67 です。

[インターフェイス（Interface）]：ISE ノード上のインターフェイスを選択します。
[ポート（Port）]：DHCP サーバの UDP ポート番号を入力します。デフォルトポートは 67 です。

DHCP SPAN

DHCP パケットを収集するために、ポリシーサービスペルソナを担当した Cisco ISE ノードごとに DHCP SPAN を有効にする場合は、このチェックボックスをオンにします。

[インターフェイス（Interface）]：ISE ノード上のインターフェイスを選択します。

HTTP

HTTP パケットを受信および解析するために、ポリシーサービスペルソナを担当した Cisco ISE ノードごとに HTTP を有効にする場合は、このチェックボックスをオンにします。

[インターフェイス（Interface）]：ISE ノード上のインターフェイスを選択します。

RADIUS

IOS センサー対応デバイスから RADIUS セッション属性、さらに CDP 属性と LLDP 属性を収集するために、ポリシーサービスペルソナを担当した ISE ノードごとに RADIUS を有効にする場合は、このチェックボックスをオンにします。

ネットワークスキャン（NMAP）（Network Scan (NMAP)）

NMAP プローブをイネーブルにするには、このボックスをオンにします。

DNS

FQDN の DNS ルックアップを実行するために、ポリシーサービスペルソナを担当した ISE ノードごとに DNS を有効にする場合は、このチェックボックスをオンにします。秒単位でタイムアウト時間を入力します。

（注）

DNS プローブを分散展開内の特定の Cisco ISE ノードで動作させるには、DHCP、DHCP SPAN、HTTP、RADIUS、SNMP のいずれかのプローブを有効にする必要があります。DNS ルックアップの場合、上記のいずれかのプローブを DNS プローブとともに起動する必要があります。

SNMP クエリ（SNMP Query）

指定した間隔でネットワークデバイスをポーリングするために、ポリシーサービスペルソナを担当した ISE ノードごとに SNMP クエリーを有効にする場合は、このチェックボックスをオンにします。[再試行（Retries）]、[タイムアウト（Timeout）]、[イベントタイムアウト（Event Timeout）]、任意の [説明（Description）] の各フィールドに値を入力します。

（注）

SNMP クエリープローブの設定に加えて、[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] の場所にある他の SNMP 設定も行う必要があります。ネットワークデバイスで SNMP 設定を行う場合は、ネットワークデバイスでシスコデバイスプロトコル（CDP）および Link Layer Discovery Protocol（LLDP）をグローバルに有効にしていることを確認します。

SNMP トラップ（SNMP Trap）

ネットワークデバイスから linkUp、linkDown、MAC 通知トラップを受信するために、ポリシーサービスペルソナを担当した ISE ノードごとに SNMP トラッププローブを有効にする場合は、このチェックボックスをオンにします。次のいずれかを選択します。

[リンクトラップクエリー（Link Trap Query）]：SNMP トラップを介して受信する linkup 通知と linkdown 通知を受信して解釈するには、このチェックボックスをオンにします。
[MAC トラップクエリー（MAC Trap Query）]：SNMP トラップを介して受信する MAC 通知を受信して解釈するには、このチェックボックスをオンにします。
[インターフェイス（Interface）]：ISE ノードのインターフェイスを選択します。
[ポート（Port）]：使用するホストの UDP ポートを入力します。デフォルトポートは 162 です。

Active Directory

定義された Active Directory サーバをスキャンして、Windows ユーザに関する情報を探します。

pxGrid

ISE で pxGrid を介してエンドポイント属性を収集（プロファイリング）できるようになります。

証明書ストアの設定

[証明書ストア（Certificate Store）] ページでは、認証に使用できる証明書を Cisco ISE で設定することができます。

自己署名証明書の設定

次の表では、[自己署名証明書の生成（Generate Self Signed Certificate）] ページのフィールドについて説明します。このページでは、ノード間通信、EAP-TLS 認証、Cisco ISE Web ポータル、および pxGrid コントローラとの通信用のシステム証明書を作成できます。このページのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [システム証明書（System Certificates）] > [自己署名証明書の生成（Generate Self Signed Certificate）] です。

フィールド

使用上のガイドライン

ノードの選択（Select Node）

（必須）システム証明書を生成するノード。

一般名（Common Name）（CN）

（SAN を指定しない場合に必須）デフォルトでは、一般名は自己署名証明書を生成する ISE ノードの完全修飾ドメイン名です。

組織

組織ユニット名。Engineering など。

組織（Organization）（O）

組織名。Cisco など。

都市（City）（L）

（省略不可）都市名。San Jose など。

州（State）（ST）

（省略不可）州名。California など。

国（Country）（C）

国名。2 文字の ISO 国番号を入力する必要があります。US など。

サブジェクト代替名（Subject Alternative Name）（SAN）

証明書に関連付けられた IP アドレス、DNS 名、または Uniform Resource Identifier（URI）。

キータイプ

RSA または ECDSA の公開キーの作成に使用するアルゴリズムを指定します。

キーの長さ（Key Length）

公開キーのビットサイズを指定します。

RSA には、次のオプションを使用できます。

512
1024
2048
4096

ECDSA には、次のオプションを使用できます。

（注）

RSA および ECDSA の公開キーは、同じセキュリティレベルで異なるキー長を持つことがあります。

パブリック CA 署名付き証明書を取得する場合、または FIPS 準拠ポリシー管理システムとして Cisco ISE を展開する場合は、2048 を選択します。

署名するダイジェスト（Digest to Sign With）

ハッシュアルゴリズム SHA-1 または SHA-256 を選択します。

証明書ポリシー（Certificate Policies）

証明書が従うべき証明書ポリシーの OID または OID のリストを入力します。OID を区切るには、カンマまたはスペースを使用します。

TTL 有効期限（Expiration TTL）

証明書が失効するまでの日数を指定します。

フレンドリ名（Friendly Name）

証明書のフレンドリ名を入力します。名前を指定しない場合は、<common name> # <issuer> # <nnnnn> の形式で自動的に名前が作成されます。ここで、<nnnnn> は固有の 5 桁の数値です。

ワイルドカード証明書の許可（Allow Wildcard Certificates）

自己署名したワイルドカード証明書（サブジェクトの任意の一般名またはサブジェクト代替名の DNS 名、またはその両方にアスタリスク（*）が含まれている証明書）を生成する場合は、このチェックボックスをオンにします。たとえば、SAN に割り当てられている DNS 名が *.amer.cisco.com の場合です。

使用方法

このシステム証明書を使用する必要があるサービスを選択します。

[管理者（Admin）]：管理者ポータルとの通信および展開内の ISE ノード間の通信の保護に使用されるサーバ証明書
[EAP 認証（EAP Authentication）]：SSL/TLS トンネリングの EAP プロトコルを使用する認証に使用されるサーバ証明書
[RADIUS DTLS]：RADIUS DTLS 認証に使用するサーバ証明書
[pxGrid]：pxGrid クライアントとサーバの間の通信を保護するクライアントおよびサーバ証明書
[SAML]：SAML ID プロバイダ（IdP）とのセキュア通信に使用するサーバ証明書。SAML 用の使用を目的とした証明書は、管理者認証や EAP 認証などのその他のサービスのために使用することはできません。
[ポータル（Portal）]：すべての Cisco ISE Web ポータルとの通信を保護するために使用されるサーバ証明書

証明書署名要求の設定

Cisco ISE では、1 つの要求で、管理者ポータルから展開内のすべてのノードの CSR を生成することができます。また、展開内の単一ノードまたは複数両方のノードのどちらの CSR を生成するのか選択することもできます。単一ノードの CSR を生成する場合、ISE は証明書サブジェクトの [CN=] フィールドの特定ノードの完全修飾ドメイン名（FQDN）を自動的に置き換えます。証明書の [サブジェクト代替名（Subject Alternative Name (SAN)）] フィールドにエントリを含めることを選択した場合、他の SAN 属性に加えて ISE ノードの FQDN を入力する必要があります。展開内のすべてのノードの CSR を生成することを選択した場合は、[ワイルドカード証明書の許可（Allow Wildcard Certificates）] チェックボックスをオンにして、[SAN] フィールド（DNS 名）にワイルドカード表記で FQDN を入力します（*.amer.example.com など）。EAP 認証に証明書を使用する場合は、[CN=] フィールドにワイルドカード値を入力しないでください。

ワイルドカード証明書を使用することにより、各 Cisco ISE ノードに固有の証明書を生成する必要がなくなります。また、証明書の警告を防ぐために、SAN フィールドに複数の FQDN 値を入力する必要もありません。SAN フィールドでアスタリスク（*）を使用すると、展開内の複数の両方のノードで単一の証明書を共有できるようになり、証明書名の不一致による警告を防止することができます。ただし、ワイルドカード証明書は、各 Cisco ISE ノードに固有のサーバ証明書を割り当てる場合よりも安全性が低いと見なされます。

次の表に、認証局（CA）が署名可能な証明書署名要求（CSR）の生成に使用できる [証明書署名要求（Certificate Signing Request）] ページのフィールドを示します。このページのナビゲーションパスは [管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [証明書管理（Certificate Management）] > [証明書署名要求（Certificate Signing Request）] です。

フィールド使用上のガイドライン

証明書の用途（Certificate(s) will be used for）

証明書を使用するサービスを選択します。

Cisco ISE ID 証明書

複数使用：複数のサービス（管理者、EAP-TLS 認証、pxGrid、およびポータル）に使用されます。複数使用の証明書は、クライアントとサーバ両方のキーの用途を使用します。署名 CA の証明書テンプレートは、コンピュータまたはマシン証明書テンプレートと呼ばれます。このテンプレートには、次のプロパティがあります。
- キーの用途：デジタル署名（署名）
- キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）および TLS Web クライアント認証（1.3.6.1.5.5.7.3.2）
管理者：サーバ認証に使用されます（管理者ポータルとの通信および展開内の ISE ノード間の通信を保護するため）。署名 CA の証明書テンプレートは、Web サーバ証明書テンプレートと呼ばれます。このテンプレートには、次のプロパティがあります。
- キーの用途：デジタル署名（署名）
- キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）

EAP 認証：サーバ認証に使用されます。署名 CA の証明書テンプレートは、コンピュータまたはマシン証明書テンプレートと呼ばれます。このテンプレートには、次のプロパティがあります。

キーの用途：デジタル署名（署名）
キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）

（注）

EAP-TLS クライアント証明書にデジタル署名キー使用法を使用する必要があります。

DTLS RADIUS：RADIUS DTLS サーバの認証に使用されます。このテンプレートには、次のプロパティがあります。
- キーの用途：デジタル署名（署名）
- キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）
ポータル：サーバ認証に使用されます（すべての ISE Web ポータルとの通信を保護するため）。署名 CA の証明書テンプレートは、コンピュータまたはマシン証明書テンプレートと呼ばれます。このテンプレートには、次のプロパティがあります。
- キーの用途：デジタル署名（署名）
- キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）
pxGrid：クライアント認証とサーバ認証の両方に使用されます（pxGrid クライアントとサーバ間の通信を保護するため）。署名 CA の証明書テンプレートは、コンピュータまたはマシン証明書テンプレートと呼ばれます。このテンプレートには、次のプロパティがあります。
- キーの用途：デジタル署名（署名）
- キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）および TLS Web クライアント認証（1.3.6.1.5.5.7.3.2）
[SAML]：SAML ID プロバイダ（IdP）とのセキュア通信に使用するサーバ証明書。SAML 用の使用を目的とした証明書は、管理者認証や EAP 認証などのその他のサービスのために使用することはできません。
- キーの用途：デジタル署名（署名）
- キーの拡張用途：TLS Web サーバ認証（1.3.6.1.5.5.7.3.1）

（注）

拡張キーの使用状況属性に任意の目的のオブジェクト識別子のための 2.5.29.37.0 の値が含まれている証明書を使用しないことをお勧めします。拡張キーの使用状況属性に任意の目的のオブジェクト識別子のための 2.5.29.37.0 の値が含まれている証明書を使用する場合、証明書は無効と見なされ、次のエラーメッセージが表示されます。

source=local ; type=fatal ; message="unsupported certificate"

Cisco ISE 認証局証明書

ISE ルート CA（内部 CA サービスにのみ適用可能）：プライマリ PAN のルート CA および PSN の下位 CA を含む内部 CA 証明書チェーン全体を再生成するために使用されます。
ISE 中間 CA（内部 CA サービス、および ISE が外部 PKI の中間 CA として機能する場合にのみ適用可能）：プライマリ PAN の中間 CA 証明書および PSN の下位 CA 証明書の生成に使用されます。署名 CA の証明書テンプレートは、下位認証局と呼ばれます。このテンプレートには、次のプロパティがあります。
- 基本制約：重要、認証局
- キーの用途：証明書の署名、デジタル署名
- キーの拡張用途：OCSP 署名（1.3.6.1.5.5.7.3.9）
ISE OCSP 応答側証明書の更新（内部 CA サービスにのみ適用可能）：展開全体の ISE OCSP 応答側証明書の更新に使用されます（証明書署名要求ではありません）。セキュリティ上の理由から、ISE OCSP 応答側証明書を 6 ヵ月ごとに更新することを推奨します。

ワイルドカード証明書の許可（Allow Wildcard Certificates）

証明書の [SAN] フィールドの CN/DNS 名にワイルドカード文字（*）を使用するには、このチェックボックスをオンにします。このチェックボックスをオンにすると、展開内のすべてのノードが自動的に選択されます。左端のラベルの位置にアスタリスク（*）ワイルドカード文字を使用する必要があります。ワイルドカード証明書を使用する場合は、セキュリティを強化するためにドメイン領域を分割することを推奨します。たとえば、*.example.com の代わりに *.amer.example.com を使用して領域を分割することができます。ドメインを分割しないと、セキュリティ問題が発生する可能性があります。

これらのノードの CSR の生成（Generate CSRs for these Nodes）

証明書を生成するノードの隣のチェックボックスをオンにします。展開内の選択されたノードの CSR を生成するには、[ワイルドカード証明書の許可（Allow Wildcard Certificates）] オプションをオフにします。

一般名（Common Name）（CN）

デフォルトでは、一般名は CSR を生成する ISE ノードの FQDN です。$FQDN$ は ISE ノードの FQDN を意味します。展開内の複数ノードの CSR を生成すると、CSR の [一般名（Common Name）] フィールドは各 ISE ノードの FQDN に置き換えられます。

組織

組織ユニット名。Engineering など。

組織（Organization）（O）

組織名。Cisco など。

都市（City）（L）

（省略不可）都市名。San Jose など。

州（State）（ST）

（省略不可）州名。California など。

国（Country）（C）

国名。2 文字の ISO 国番号を入力する必要があります。US など。

サブジェクト代替名（Subject Alternative Name）（SAN）

証明書に関連付けられている IP アドレス、DNS 名、Uniform Resource Identifier（URI）、またはディレクトリ名。

DNS 名：DNS 名を選択した場合は、ISE ノードの完全修飾ドメイン名を入力します。[ワイルドカード証明書の許可（Allow Wildcard Certificates）] オプションをオンにした場合は、ワイルドカード表記（ドメイン名の前にアスタリスクとピリオドを入力）を指定します。*.amer.example.com など。
IP アドレス：証明書に関連付けられる ISE ノードの IP アドレス。
Uniform Resource Identifier：証明書に関連付ける URI。
ディレクトリ名：RFC 2253 に従って定義される識別名（DN）の文字列表現。DN 間はカンマ（,）で区切ります。「dnQualifier」RDN の場合は、カンマをエスケープし、区切り文字としてバックスラッシュカンマ「\,」を使用します。たとえば、CN=AAA,dnQualifier=O=Example\,DC=COM,C=IL などです。

キータイプ

RSA または ECDSA の公開キーの作成に使用するアルゴリズムを指定します。

キーの長さ（Key Length）

公開キーのビットサイズを指定します。

RSA には、次のオプションを使用できます。

512
1024
2048
4096

ECDSA には、次のオプションを使用できます。

（注）

RSA および ECDSA の公開キーは、同じセキュリティレベルで異なるキー長を持つことがあります。

パブリック CA の署名付き証明書を取得するか、FIPS 準拠ポリシー管理システムとして Cisco ISE を展開する場合は 2048 以上を選択します。

署名するダイジェスト（Digest to Sign With）

ハッシュアルゴリズム SHA-1 または SHA-256 を選択します。

証明書ポリシー（Certificate Policies）

証明書が従うべき証明書ポリシーの OID または OID のリストを入力します。OID を区切るには、カンマまたはスペースを使用します。

発行および失効した証明書

次の表で、[発行および失効した証明書の概要（Overview of Issued and Revoked Certificates）] ページのフィールドについて説明します。展開内の PSN ノードがエンドポイントに証明書を発行します。このページでは、展開内の各 PSN ノードが発行するエンドポイント証明書に関する情報を示します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [概要（Overview）] です。


フィールド	使用上のガイドライン
ノード名	証明書を発行したポリシーサービスノード（PSN）の名前。
[発行された証明書（Certificates Issued）]	PSN ノードが発行したエンドポイント証明書の数。
[取り消された証明書（Certificates Revoked）]	失効したエンドポイント証明書（PSN ノードが発行した証明書）の数。
[証明書要求（Certificates Requests）]	PSN ノードが処理した証明書ベースの認証要求の数。
[失敗した証明書（Certificates Failed）]	PSN ノードが処理する失敗した認証要求の数。

証明書のステータス（OCSP または CRL）を確認します。

Cisco ISE は、証明書失効リスト（CRL）を定期的にチェックします。このページを使用して、自動的にダウンロードされた CRL に対して進行中のセッションをチェックするように Cisco ISE を設定できます。OCSP または CRL のチェックを毎日開始する時刻と、OCSP サーバまたは CRL を再度チェックする前に Cisco ISE が待機する時間間隔を時間単位で指定できます。

次の表では、[証明書定期チェックの設定（Certificate Periodic Check Settings）] ページのフィールドについて説明します。このページを使用して、証明書（OCSP または CRL）のステータスをチェックする時間間隔を指定できます。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [証明書管理（Certificate Management）] > [証明書定期チェックの設定（Certificate Periodic Check Settings）] です。


フィールド	使用上のガイドライン
証明書チェックの設定
自動的に取得されたCRLに対する進行中のセッションのチェック（Check ongoing sessions against automatically retrieved CRL）	Cisco ISE が自動的にダウンロードされた CRL に対する進行中のセッションをチェックするようにするには、このチェックボックスをオンにします。
CRL/OCSP の定期的な証明書チェック
最初のチェック時刻（First check at）	CRL または OCSP のチェックを毎日開始する時刻を指定します。00:00 ～ 23:59 の時間範囲の値を入力します。
チェック間隔（Check every）	CRL または OCSP サーバを再度チェックする前に Cisco ISE が待機する時間間隔を時間単位で指定します。

システム証明書のインポート設定

次の表では、サーバ証明書をインポートするために使用できる [システム証明書のインポート（Import System Certificate）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [システム証明書（System Certificates）] > [インポート（Import）] です。


フィールド	説明
ノードの選択（Select Node）	（必須）システム証明書をインポートする Cisco ISE ノードを選択します。
証明書ファイル（Certificate file）	（必須）[参照（Browse）] をクリックして、ローカルシステムから証明書ファイルを選択します。
秘密キーファイル（Private key file）	（必須）[参照（Browse）] をクリックして、秘密キーファイルを選択します。
[パスワード（Password）]	（必須）秘密キーファイルを復号化するためのパスワードを入力します。
フレンドリ名（Friendly Name）	証明書のフレンドリ名を入力します。名前を指定しない場合は、<common name> # <issuer> # <nnnnn> の形式で自動的に名前が作成されます。ここで、<nnnnn> は固有の 5 桁の数値です。
ワイルドカード証明書の許可（Allow Wildcard Certificates）	ワイルドカード証明書（サブジェクトの任意の一般名またはサブジェクト代替名の DNS 名、またはその両方にアスタリスク（）が含まれている証明書）をインポートする場合は、このチェックボックスをオンにします。たとえば、SAN に割り当てられている DNS 名が .amer.cisco.com の場合です。このチェックボックスをオンにすると、Cisco ISE は展開内の他のすべてのノードにこの証明書をインポートします。
証明書の拡張の検証（Validate Certificate Extensions）	Cisco ISE に証明書の拡張の検証を許可する場合は、このチェックボックスをオンにします。このチェックボックスをオンにし、かつインポートする証明書に CA フラグが true に設定された基本制約拡張が含まれている場合は、キー使用拡張が存在すること、および keyEncipherment ビットと keyAgreement ビットのいずれかまたは両方が設定されていることを確認します。
使用方法	このシステム証明書を使用する必要があるサービスを選択します。 [管理者（Admin）]：管理者ポータルとの通信および展開内の ISE ノード間の通信の保護に使用されるサーバ証明書 [EAP 認証（EAP Authentication）]：SSL/TLS トンネリングの EAP プロトコルを使用する認証に使用されるサーバ証明書 [RADIUS DTLS]：RADIUS DTLS 認証に使用するサーバ証明書 [pxGrid]：pxGrid クライアントとサーバの間の通信を保護するクライアントおよびサーバ証明書 [SAML]：SAML ID プロバイダ（IdP）とのセキュア通信に使用するサーバ証明書。SAML 用の使用を目的とした証明書は、管理者認証や EAP 認証などのその他のサービスのために使用することはできません。 [ポータル（Portal）]：すべての Cisco ISE Web ポータルとの通信を保護するために使用されるサーバ証明書

[信頼できる証明書ストア（Trusted Certificate Store）] ページ

次の表では、管理ノードに追加された証明書を表示するために使用できる [信頼できる証明書ストア（Trusted Certificates Store）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] です。

表 3. 信頼できる証明書ページ
フィールド	使用上のガイドライン
フレンドリ名（Friendly Name）	証明書の名前を表示します。
ステータス（Status）	有効または無効にします。[無効（Disabled）] の場合、ISE は信頼を確立するために証明書を使用しません。
信頼対象（Trusted for）	証明書を使用するサービスを表示します。
発行先（Issued To）	証明書のサブジェクトの一般名（CN）。
発行元（Issued By）	証明書の発行元の一般名（CN）。
有効期限の開始（Valid From）	「Not Before」証明書属性。
期限日（Expiration Date）	「Not After」証明書属性。
有効期限ステータス（Expiration Status）	証明書の有効期限のステータスに関する情報です。このコラムに表示される情報メッセージには 5 つのアイコンとカテゴリがあります。緑：期限切れまで 90 日を超える青色：90 日以内に期限切れ黄：60 日以内に期限切れオレンジ：30 日以内に期限切れ赤：期限切れ

証明書設定の編集

次の表では、認証局（CA）証明書属性を編集するために使用できる [証明書ストアの証明書編集（Certificate Store Edit Certificate）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] > [証明書（Certificate）] > [編集（Edit）] です。

表 4. 証明書ストア編集設定
フィールド	使用上のガイドライン
証明書発行元（Certificate Issuer）
フレンドリ名（Friendly Name）	証明書のフレンドリ名を入力します。
ステータス（Status）	[有効（Enabled）] または [無効（Disabled）] を選択します。[無効（Disabled）] の場合、ISE は信頼を確立するために証明書を使用しません。
説明	任意で説明を入力します。
使用方法
ISE 内の認証用に信頼する（Trust for authentication within ISE）	この証明書で（他の ISE ノードまたは LDAP サーバから）サーバ証明書を検証する場合は、このチェックボックスをオンにします。
クライアント認証および syslog 用に信頼する（Trust for client authentication and Syslog）	（[ISE 内の認証用に信頼する（Trust for authentication within ISE）] チェックボックスをオンにした場合に限り適用可能）この証明書を使用して次を行う場合は、このチェックボックスをオンにします。 EAP プロトコルを使用した ISE に接続するエンドポイントの認証 syslog サーバの信頼
シスコサービスの認証用に信頼する（Trust for authentication of Cisco Services）	フィードサービスなどの外部シスコサービスを信頼するためにこの証明書を使用する場合は、このチェックボックスをオンにします。
証明書ステータスの検証（Certificate Status Validation）	ISE は、特定の CA が発行するクライアントまたはサーバ証明書の失効ステータスをチェックする 2 とおりの方法をサポートしています。1 つは、Online Certificate Status Protocol（OCSP）を使用して証明書を検証することです（OCSP は、CA によって保持される OCSP サービスに要求を行います）。もう 1 つは、ISE に CA からダウンロードした証明書失効リスト（CRL）に対して証明書を検証することです。両方の方法は、OCSP を最初に使用し、ステータスを判断できないときに限り CRL を使用する場合に使用できます。
OCSP サービスに対して検証する（Validate Against OCSP Service）	OCSP サービスに対して証明書を検証するには、このチェックボックスをオンにします。このボックスをオンにするには、まず OCSP サービスを作成する必要があります。
OCSP が不明なステータスを返した場合は要求を拒否する（Reject the request if OCSP returns UNKNOWN status）	認証ステータスが OCSP によって判別されなかった場合に要求を拒否するには、このチェックボックスをオンにします。このチェックボックスをオンにした場合、OCSP サービスによって不明のステータス値が返されると、ISE は現在評価されているクライアントまたはサーバ証明書を拒否します。
OCSP応答側が到達不能な場合は要求を拒否する（Reject the request if OCSP Responder is unreachable）	OCSP 応答側が到達不能な場合に ISE が要求を拒否するには、このチェックボックスをオンにします。
CRL のダウンロード（Download CRL）	Cisco ISE で CRL をダウンロードするには、このチェックボックスをオンにします。
CRL 配信 URL（CRL Distribution URL）	CA から CRL をダウンロードするための URL を入力します。認証局証明書で指定されている場合、このフィールドは自動的に読み込まれます。URL は「http」、「https」、または「ldap」で始まる必要があります。
CRL の取得（Retrieve CRL）	CRL は、自動的または定期的にダウンロードできます。ダウンロードの時間間隔を設定します。
ダウンロードが失敗した場合は待機する（If download failed, wait）	Cisco ISE が CRL を再度ダウンロードするまでに待機する時間間隔を設定します。
CRL を受信しない場合 CRL 検証をバイパスする（Bypass CRL Verification if CRL is not Received）	このチェックボックスをオンにした場合、クライアント要求は CRL が受信される前に受け入れられます。このチェックボックスをオフにした場合、選択した CA によって署名された証明書を使用するすべてのクライアント要求は、Cisco ISE によって CRL ファイルが受信されるまで拒否されます。
CRL がまだ有効でないか、または期限切れの場合は無視する（Ignore that CRL is not yet valid or expired）	Cisco ISE で開始日と期限日を無視し、まだアクティブでないかまたは期限切れの CRL を引き続き使用し、CRL の内容に基づいて EAP-TLS 認証を許可または拒否する場合は、このチェックボックスをオンにします。 Cisco ISE で [有効日（Effective Date）] フィールドの開始日と [次の更新（Next Update）] フィールドの期限日を CRL ファイルでチェックする場合は、このチェックボックスをオフにします。CRL がまだアクティブではないか、または期限切れの場合、その CA によって署名された証明書を使用するすべての認証は拒否されます。

信頼できる証明書のインポート設定

次の表では、認証局（CA）証明書を Cisco ISE に追加するために使用できる [信頼できる証明書のインポート（Trusted Certificate Import）] ページのフィールドについて説明します。このページへのナビゲーションパスは [管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）] です。

表 5. 信頼できる証明書のインポート設定
フィールド	説明
証明書ファイル（Certificate file）	[参照（Browse）] をクリックして、ブラウザを実行しているコンピュータから証明書ファイルを選択します。
フレンドリ名（Friendly Name）	証明書のフレンドリ名を入力します。名前を指定しない場合は、Cisco ISE により <common name># <issuer># <nnnnn> の形式で自動的に名前が作成されます。ここで、<nnnnn> は固有の 5 桁の数値です。
ISE 内の認証用に信頼する（Trust for authentication within ISE）	この証明書を（他の ISE ノードまたは LDAP サーバから）サーバ証明書の検証に使用する場合は、このチェックボックスをオンにします。
クライアント認証および syslog 用に信頼する（Trust for client authentication and Syslog）	（[ISE 内の認証用に信頼する（Trust for authentication within ISE）] チェックボックスをオンにした場合に限り適用可能）この証明書を使用して次を行う場合は、このチェックボックスをオンにします。 EAP プロトコルを使用した ISE に接続するエンドポイントの認証 syslog サーバの信頼
シスコサービスの認証用に信頼する（Trust for authentication of Cisco Services）	フィードサービスなどの外部シスコサービスを信頼するためにこの証明書を使用する場合は、このチェックボックスをオンにします。
証明書の拡張の検証（Validate Certificate Extensions）	（[クライアント認証用に信頼する（Trust for client authentication）] オプションと [証明書拡張の検証を有効にする（Enable Validation of Certificate Extensions）] オプションの両方をオンにした場合のみ）「keyUsage」拡張が存在し、「keyCertSign」ビットが設定されていることと、CA フラグが true に設定された基本制約拡張が存在することを確認します。
説明	任意で説明を入力します。

OCSP クライアントプロファイル設定

次の表では、OCSP クライアントプロファイル設定を行うために使用できる [OCSP クライアントプロファイル（OCSP Client Profile）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [証明書（Certificates）] > [証明書管理（Certificate Management）] > [OCSP クライアントプロファイル（OCSP Client Profile）] です。


フィールド	使用上のガイドライン
[名前（Name）]	OCSP クライアントプロファイル名。
説明	任意で説明を入力します。
OCSP応答側の設定（Configure OCSP Responder）
セカンダリサーバの有効化（Enable Secondary Server）	ハイアベイラビリティのセカンダリ OCSP サーバを有効にするには、このチェックボックスをオンにします。
常にプライマリサーバに最初にアクセスする（Always Access Primary Server First）	このオプションは、セカンダリサーバへの移動を試行する前にプライマリサーバをチェックする場合に使用します。プライマリが以前にチェックされ、応答しないことがわかっている場合にも、Cisco ISE はセカンダリサーバに移動する前にプライマリサーバへの要求の送信を試行します。
n 分経過後にプライマリサーバにフォールバック（Fallback to Primary Server After Interval n Minutes）	このオプションは、Cisco ISE がセカンダリサーバに移動してから、再度プライマリサーバにフォールバックする場合に使用します。この場合、その他の要求はすべてスキップされ、テキストボックスで設定した時間セカンダリサーバが使用されます。許可される時間の範囲は 1 ～ 999 分です。
プライマリサーバとセカンダリサーバ（Primary and Secondary Servers）
URL	プライマリおよびセカンダリ OCSP サーバの URL を入力します。
ナンス拡張サポートの有効化（Enable Nonce Extension Support）	ナンスが OCSP 要求の一部として送信されるように設定できます。ナンスには、OCSP 要求の疑似乱数が含まれます。応答で受信される数値は要求に含まれる数値と同じであることが検証されています。このオプションにより、リプレイアタックで古い通信を再利用できないことが保証されます。
応答の署名の検証（Validate Response Signature）	OCSP レスポンダは、次のいずれかの証明書を使用して応答に署名します。 CA 証明書 CA 証明書とは別の証明書 Cisco ISE が応答の署名を検証するためには、OCSP 応答側が応答を証明書とともに送信する必要があります。そうでない場合、応答の検証は失敗し、証明書のステータスは利用できません。RFC に従い、OCSP は異なる証明書を使用して応答に署名できます。このことは、OCSP が Cisco ISE による検証用に応答に署名した証明書を送信する限り当てはまります。OCSP が Cisco ISE で設定されているものとは異なる証明書を使用して応答に署名した場合、応答の検証は失敗します。
Authority Information Access（AIA）に指定されたOCSP URLを使用する（Use OCSP URLs specified in Authority Information Access (AIA)）	Authority Information Access の拡張で指定されている OCSP URL を使用するには、オプションボタンをクリックします。
応答キャッシュ（Response Cache）
キャッシュエントリの存続可能時間 n 分(Cache Entry Time To Live n Minutes)	キャッシュエントリが期限切れになる時間を分単位で入力します。 OCSP サーバからの各応答には nextUpdate 値が含まれています。この値は、証明書のステータスがサーバで次にいつ更新されるかを示します。OCSP 応答がキャッシュされるとき、2 つの値（1 つは設定から、もう 1 つは応答から）が比較され、この 2 つの最小値の時間だけ応答がキャッシュされます。nextUpdate 値が 0 の場合、応答はまったくキャッシュされません。 Cisco ISE は設定された時間 OCSP 応答をキャッシュします。キャッシュは複製されず、永続的でもないため、Cisco ISE が再起動するとキャッシュはクリアされます。次の理由により、OCSP キャッシュは OCSP 応答を保持するために使用されます。既知の証明書に関する OCSP サーバからのネットワークトラフィックと負荷を低減するため既知の証明書のステータスをキャッシュすることによって Cisco ISE のパフォーマンスを向上させるためデフォルトでは、キャッシュは内部 CA OCSP クライアントプロファイルに対し 2 分に設定されています。エンドポイントが最初の認証から 2 分以内にもう一度認証すると、OCSP のキャッシュが使用され、OCSP レスポンダには問い合わせされません。エンドポイントの証明書がキャッシュ期間内に失効した場合、以前の OCSP のステータス [良好（Good）] が使用され、認証は成功します。キャッシュを 0 分に設定すると、応答はキャッシュされません。このオプションでは、セキュリティは向上しますが、認証のパフォーマンスは低下します。
キャッシュのクリア（Clear Cache）	OCSP サービスに接続されているすべての認証局のエントリをクリアするには、[キャッシュのクリア（Clear Cache）] をクリックします。展開内で、[キャッシュのクリア（Clear Cache）] はすべてのノードと相互作用して、処理を実行します。このメカニズムでは、展開内のすべてのノードが更新されます。

内部 CA の設定

次の表では、内部 CA の設定ページのフィールドについて説明します。内部 CA の設定を表示し、このページから内部 CA サービスを無効にできます。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [内部 CA の設定（Internal CA Settings）] です。


フィールド	使用上のガイドライン
認証局の無効化（Disable Certificate Authority）	内部 CA サービスを無効にするには、このボタンをクリックします。
ホスト名（Host Name）	CA サービスを実行している Cisco ISE ノードのホスト名。
ペルソナ（Personas）	CA サービスを実行しているノードで有効な Cisco ISE ノードのペルソナ。たとえば、管理、ポリシーサービスなどです。
ロール（Role(s)）	CA サービスを実行する Cisco ISE ノードが担当するロール。たとえば、スタンドアロンまたはプライマリまたはセカンダリです。
CA、EST、および OCSP 応答側のステータス（CA, EST & OCSP Responder Status）	有効または無効
OCSP 応答側 URL（OCSP Responder URL）	OCSP サーバにアクセスするための Cisco ISE ノードの URL。
SCEP URL	SCEP サーバにアクセスするための Cisco ISE ノードの URL。

証明書テンプレートの設定

次の表に、クライアントプロビジョニングポリシーで使用される SCEP RA プロファイルの定義に使用できる [CA 証明書テンプレート（CA Certificate Template）] ページのフィールドを示します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [証明書テンプレート（Certificate Templates）] > [追加（Add）] です。

（注）

証明書テンプレートフィールド（[組織ユニット（Organizational Unit）]、[組織（Organization）]、[都市（City）]、[州（State）]、および [国（Country）]）の UTF-8 文字はサポートしていません。UTF-8 文字を証明書テンプレートで使用すると、証明書プロビジョニングが失敗します。


フィールド	使用上のガイドライン
[名前（Name）]	（必須）証明書テンプレートの名前を入力します。たとえば、Internal_CA_Template とします。
説明	（任意）説明を入力します。
一般名（Common Name）（CN）	（表示のみ）一般名にはユーザ名が自動入力されます。
組織	組織ユニット名。Engineering など。
組織（Organization）（O）	組織名。Cisco など。
都市（City）（L）	（省略不可）都市名。San Jose など。
州（State）（ST）	（省略不可）州名。California など。
国（Country）（C）	国名。2 文字の ISO 国番号を入力する必要があります。US など。
サブジェクト代替名（Subject Alternative Name）（SAN）	（表示のみ）エンドポイントの MAC アドレス。
キータイプ	RSA または ECC
キーサイズ	（RSA を選択した場合にのみ適用可能）1024 以上のキーサイズを指定します。
曲線タイプ（Curve Type）	（ECC を選択した場合にのみ適用可能）曲線のタイプを指定します（デフォルトは P-384 です）。
SCEP RA プロファイル（SCEP RA Profile）	ISE 内部 CA または作成した外部 SCEP RA プロファイルを選択します。
有効期限（Valid Period）	証明書の期限が切れるまでの日数を入力します。
拡張キーの使用状況
クライアント認証	クライアント認証にこの証明書を使用する場合は、このチェックボックスをオンにします。
サーバ認証（Server Authentication）	サーバ認証にこの証明書を使用する場合は、このチェックボックスをオンにします。

ロギングの設定

次の各ページでは、デバッグログの重大度の設定、外部ログターゲットの作成が可能です。また、Cisco ISE がこれらの外部ログターゲットにログメッセージを送信できるようにできます。

リモートロギングターゲットの設定

次の表では、外部の場所（syslog サーバ）を作成してロギングメッセージを保存するために使用できる [リモートロギングターゲット（Remote Logging Targets）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [リモートロギングターゲット（Remote Logging Targets）] です。

表 6. リモートロギングターゲットの設定
フィールド	使用上のガイドライン
[名前（Name）]	新しいターゲットの名前を入力します。
ターゲットタイプ（Target Type）	ターゲットタイプを選択します。デフォルトでは、[UDP Syslog] に設定されます。
説明	新しいターゲットの簡単な説明を入力します。
[IPアドレス（IP Address）]	ログを格納する宛先マシンの IP アドレスまたはホスト名を入力します。
[ポート（Port）]	宛先マシンのポート番号を入力します。
ファシリティコード（Facility Code）	ロギングに使用する syslog ファシリティコードを選択します。有効なオプションは、Local0 ～ Local7 です。
最大長（Maximum Length）	リモートログターゲットメッセージの最大長を入力します。有効なオプションは 200 ～ 1024 バイトです。
サーバダウン時のバッファメッセージ（Buffer Message When Server Down）	TCP syslog ターゲットおよびセキュア syslog ターゲットが使用できないときに Cisco ISE に syslog メッセージをバッファするには、このチェックボックスをオンにします。ISE は、接続が再開されるとターゲットへのメッセージの送信を再試行します。接続が再開された後、メッセージは古いものから順に送信され、バッファ内のメッセージは常に新しいメッセージの前に送信されます。バッファがいっぱいになると、古いメッセージが廃棄されます。
バッファサイズ（MB）（Buffer Size (MB)）	各ターゲットのバッファサイズを設定します。デフォルトでは、100 MB に設定されます。バッファサイズを変更するとバッファがクリアされ、特定のターゲットのバッファリングされた既存のすべてのメッセージが失われます。
再接続タイムアウト（秒）（Reconnect Timeout (Sec)）	サーバがダウンしている場合に TCP およびセキュア syslog を廃棄する前に保持する期間を秒単位で指定します。
CA 証明書の選択（Select CA Certificate）	クライアント証明書を選択します。
サーバ証明書有効性を無視（Ignore Server Certificate validation）	ISE でサーバ証明書認証が無視されるようにして、syslog サーバを許可するには、このチェックボックスをオンにします。デフォルトでは、このオプションが無効になっているときにシステムが FIPS モードでない限り、このオプションはオフに設定されます。

ロギングカテゴリの設定

次の表では、[ロギングカテゴリ（Logging Categories）] ページのフィールドについて説明します。これらのフィールドを使用して、ログの重大度レベルを設定し、選択したカテゴリのログが保存されるロギングターゲットを選択できます。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [ロギング（Logging）] > [ロギングカテゴリ（Logging Categories）] です。

表 7. ロギングカテゴリの設定
フィールド	使用上のガイドライン
[名前（Name）]	ロギングカテゴリの名前を表示します。
ログの重大度レベル（Log Severity Level）	次のオプションから、診断ロギングカテゴリの重大度レベルを選択できます。 [重大（FATAL）]：緊急事態。このオプションは、Cisco ISE が使用できないため、緊急措置が必要であることを意味します [エラー（ERROR）]：このオプションは深刻な状態またはエラー状態を示します。 [警告（WARN）]：このオプションは、通常の状態ではあるが重大な状態を示します。これがデフォルトの条件です。 [情報（INFO）]：このオプションは、情報メッセージを示します。 [デバッグ（DEBUG）]：このオプションは、診断バグメッセージを示します。
ローカルロギング（Local Logging）	ローカルノードで上のこのカテゴリのロギングイベントを有効にするには、このチェックボックスをオンにします。
ターゲット（Target）	左アイコンと右アイコンを使用して [使用可能（Available）] と [選択済み（Selected）] のボックス間でターゲットを移動することによって、カテゴリのターゲットを変更できます。[使用可能（Available）] ボックスには、論理（事前定義済み）と外部（ユーザ定義）という両方の既存のロギングターゲットが含まれています。最初は空の [選択済み（Selected）] ボックスには、特定のカテゴリの選択済みターゲットが含まれます。

メンテナンスの設定

これらのページでは、バックアップ、復元、およびデータ消去機能を使用してデータを管理できます。

リポジトリの設定

次の表では、リポジトリを作成してバックアップファイルを保存するために使用できる [リポジトリリスト（Repository List）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [メンテナンス（Maintenance）] > [リポジトリ（Repository）] です。

表 8. リポジトリの設定

フィールド

使用上のガイドライン

リポジトリ（Repository）

リポジトリの名前を入力します。最大 80 文字の英数字を使用できます。

プロトコル

使用する使用可能なプロトコルの 1 つを選択します。

サーバ名（Server Name）

（TFTP、HTTP、HTTPS、FTP、SFTP、および NFS で必須）リポジトリの作成先サーバのホスト名または IPv4 アドレスを入力します。

（注）

IPv6 アドレスを使用してリポジトリを追加する場合は、IPv6 アドレスを使用して ISE eth0 インターフェイスが設定されていることを確認します。

パス

リポジトリへのパスを入力します。このパスは、リポジトリの作成時に有効であり、存在している必要があります。

この値は、サーバのルートディレクトリを示す 2 つのスラッシュ（//）または単一のスラッシュ（/）で開始できます。ただし、FTP プロトコルの場合は、単一のスラッシュ（/）はルートディレクトリではなく FTP ユーザのホームディレクトリを示します。

PKI 認証を有効にします。

（オプション：SFTP リポジトリにのみ適用）SFTP リポジトリで RSA 公開キー認証を有効にするには、このチェックボックスをオンにします。

ユーザ名（User Name）

（FTP、SFTP、および NFS で必須）指定されたサーバに対する書き込み権限を持つユーザ名を入力します。使用できる文字は英数字のみです。

[パスワード（Password）]

（FTP、SFTP、および NFS で必須）指定されたサーバへのアクセスに使用するパスワードを入力します。パスワードに使用できる文字は、0 ～ 9、a ～ z、A ～ Z、-、.、|、@、#、$、%、^、&、*、,、+、および = です。

オンデマンドバックアップの設定

次の表では、バックアップを任意の時点で取得するために使用できる [オンデマンドバックアップ（On-Demand Backup）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [バックアップ/復元（Backup & Restore）] です。

表 9. オンデマンドバックアップの設定
フィールド	使用上のガイドライン
バックアップ名（Backup Name）	バックアップファイルの名前を入力します。
リポジトリ名（Repository Name）	バックアップファイルを保存するリポジトリ。ここにリポジトリ名を入力することはできません。ドロップダウンリストから利用可能なリポジトリのみを選択できます。バックアップの実行前にリポジトリを作成していることを確認してください。
暗号化キー（Encryption Key）	このキーは、バックアップファイルの暗号化および解読に使用されます。

スケジュールバックアップの設定

次の表では、フルバックアップまたは差分バックアップの復元に使用できる [スケジュールバックアップ（Scheduled Backup）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [バックアップ/復元（Backup and Restore）] です。

表 10. スケジュールバックアップの設定
フィールド	使用上のガイドライン
[名前（Name）]	バックアップファイルの名前を入力します。任意の説明的な名前を入力できます。Cisco ISE は、バックアップファイル名にタイムスタンプを追加して、ファイルをリポジトリに格納します。一連のバックアップを設定しても、バックアップファイル名は一意になります。[スケジュールバックアップ（Scheduled Backup）] リストページでは、ファイルが kron occurrence ジョブであることを示すために、バックアップファイル名に「backup_occur」が付加されます。 .
説明	バックアップの説明を入力します。
リポジトリ名（Repository Name）	バックアップファイルを保存するリポジトリを選択します。ここにリポジトリ名を入力することはできません。ドロップダウンリストから利用可能なリポジトリのみを選択できます。バックアップの実行前にリポジトリを作成していることを確認してください。
暗号化キー（Encryption Key）	バックアップファイルを暗号化および復号化するためのキーを入力します。
スケジューリングオプション（Schedule Options）	スケジュールバックアップの頻度を選択し、適宜他のオプションに入力します。

ポリシーのエクスポート設定のスケジュール

次の表では、[ポリシーのエクスポートのスケジュール（Schedule Policy Export）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [バックアップ/復元（Backup and Restore）] > [ポリシーのエクスポート（Policy Export）] です。

表 11. ポリシーのエクスポート設定のスケジュール
フィールド	使用上のガイドライン
暗号化（Encryption）
暗号化キー（Encryption Key）	エクスポートデータを暗号化および復号化するためのキーを入力します。このフィールドは、[暗号キーを使用したエクスポート（Export with Encryption Key）] オプションを選択した場合にのみ有効になります。
[接続先（Destination）]
ローカルコンピュータにファイルをダウンロード（Download file to local computer）	ポリシーエクスポートファイルをローカルシステムにダウンロードできます。
[ファイルをメールで送信（Email file to）]	複数の電子メールアドレスをカンマで区切って入力します。
リポジトリ（Repository）	エクスポートデータを保存するリポジトリを選択します。ここにリポジトリ名を入力することはできません。ドロップダウンリストから利用可能なリポジトリのみを選択できます。ポリシーのエクスポートのスケジュールを設定する前に、リポジトリを作成してください。
今すぐエクスポート（Export Now）	指定したリポジトリにデータをすぐにエクスポートするには、このオプションをクリックします。
スケジュール
スケジューリングオプション（Schedule Options）	エクスポートのスケジュールの頻度を選択し、それに応じてその他の詳細を入力します。

管理者アクセスの設定

これらのページにより、管理者のアクセス設定を行うことができます。

管理者パスワードポリシーの設定

次の表に、管理者パスワードが満たす必要のある基準を定義するために使用できる [管理者パスワードポリシー（Administrator Password Policy）] ページのフィールドを示します。このページのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [管理アクセス（Admin Access）] > [認証（Authentication）] > [パスワードポリシー（Password Policy）] です。

表 12. 管理者パスワードポリシーの設定
フィールド	使用上のガイドライン
最小長（Minimum Length）	パスワードの最小長（文字数）を設定します。デフォルトは 6 文字です。
パスワードに使用できない文字（Password may not contain）	[管理者名またはその文字の逆順は使用できません（Admin name or its characters in reverse order）]：このチェックボックスをオンにして、管理者ユーザ名またはその文字の逆順での使用を制限します。
	[「cisco」またはその文字の逆順は使用できません（"cisco" or its characters in reverse order）]：このチェックボックスをオンにして、単語「cisco」またはその文字の逆順での使用を制限します。
	[この単語またはその文字の逆順は使用できません（This word or its characters in reverse order）]：このチェックボックスをオンにして、定義したすべての単語またはその文字の逆順での使用を制限します。
	[4 回以上連続する繰り返し文字は使用できません（Repeated characters four or more times consecutively）]：このチェックボックスをオンにして、4 回以上連続する繰り返し文字の使用を制限します。
	[辞書の単語、その文字の逆順、または文字の置き換えは使用できません（Dictionary words, their characters in reverse order or their letters replaced with other characters]：辞書の単語、単語の文字の逆順での使用、単語の文字の置き換えでの使用を制限します。「s」を「$」、「a」を「@」、「o」を「0」、「l」を「1」、「i」を「!」、「e」を「3」に置き換えることはできません。たとえば Pa$$w0rd などです。 [デフォルトの辞書（Default Dictionary）]：Cisco ISE でデフォルトの Linux 辞書を使用するには、このオプションを選択します。デフォルトの辞書には約 480,000 件の英単語が含まれています。デフォルトでは、このオプションが選択されています。 [カスタム辞書（Custom Dictionary]：カスタマイズした辞書を使用するには、このオプションを選択します。[ファイルの選択（Choose File）] をクリックし、カスタム辞書ファイルを選択します。このテキストファイルでは、単語が改行文字で区切られており、拡張子は .dic、サイズは 20 MB 以下である必要があります。
必須の文字（Required Characters）	管理者パスワードに、次の選択肢から選択したタイプの文字が少なくとも 1 つ含まれている必要があることを指定します。小文字の英文字（Lowercase alphabetic characters）大文字の英文字（Uppercase alphabetic characters）数字（Numeric characters）英数字以外の文字（Non-alphanumeric characters）
パスワード履歴（Password History）	同じパスワードが繰り返し使用されるのを防ぐために、新しいパスワードと異なっている必要がある以前のパスワードの数を指定します。また、以前のパスワードと異なる必要がある文字数を指定します。ユーザがパスワードを再使用できない日数を入力します。
パスワードライフタイム（Password Lifetime）	次のオプションを指定して、指定した期間後にパスワードを変更するようユーザに強制します。パスワードが変更されなかった場合に管理者アカウントを無効にするまでの時間（日数）（Time (in days) before the administrator account is disabled if the password is not changed.）（使用可能な範囲は 0 ～ 2,147,483,647 日です）。管理者アカウントが無効になるまでのリマインダ（日数）。（Reminder (in days) before the administrator account is disabled.）
ネットワークデバイスの機密データの表示
管理者パスワードが必要（Require Admin Password）	共有秘密やパスワードなどのネットワークデバイスの機密データを表示するために管理者ユーザがログインパスワードを入力するようにする場合には、このチェックボックスにマークを付けます。
パスワードのキャッシュ期間（Password cached for）	管理者ユーザによって入力されたパスワードは、この期間キャッシュされます。管理者ユーザはこの間、ネットワークデバイスの機密データを表示するためにパスワードの再入力を求められることはありません。有効な範囲は 1 ～ 60 分です。

セッションタイムアウトおよびセッション情報の設定

次の表では、セッションタイムアウトを定義し、アクティブな管理セッションを終了するために使用できる [セッション（Session）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [管理者アクセス（Admin Access）] > [設定（Settings）] > [セッション（Session）] です。

表 13. セッションタイムアウトおよびセッション情報の設定
フィールド	使用上のガイドライン
セッションのタイムアウト（Session Timeout）
セッションアイドルタイムアウト（Session Idle Timeout）	アクティビティがない場合に管理者をログアウトするまでに Cisco ISE が待機する時間（分）を入力します。デフォルト値は 60 分です。有効な範囲は 6 ～ 100 分です。
セッション情報（Session Info）
無効化（Invalidate）	終了するセッション ID の隣にあるチェックボックスをオンにし、[無効化（Invalidate）] をクリックします。

Settings

これらのページでは、さまざまなサービスの全般設定を行うことができます。

ポスチャの全般設定

次の表では、修復時間およびポスチャステータスなどの一般的なポスチャ設定を行うために使用できる [ポスチャの全般設定（Posture General Settings）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [ポスチャ（Posture）] > [全般設定（General Settings）] です。

表 14. ポスチャの全般設定
フィールド	使用上のガイドライン
修復タイマー（Remediation Timer）	分単位で時間値を入力します。デフォルト値は 4 分です。有効な範囲は 1 ～ 300 分です。
ネットワーク遷移遅延（Network Transition Delay）	秒単位で時間値を入力します。デフォルト値は 3 秒です。有効な値の範囲は 2 ～ 30 秒です。
デフォルトのポスチャステータス（Default Posture Status）	準拠または非準拠を選択します。Linux のような非エージェントデバイスは、ネットワークに接続している間、このステータスを想定します。
一定時間（秒）経過後にログイン成功画面を自動的に閉じる（Automatically Close Login Success Screen After）	このチェックボックスをオンにすると、指定された時間後に、ログイン成功画面が自動的に閉じます。チェックボックスの隣のフィールドに、時間値を秒単位で入力します。 0 ～ 300 秒にログイン画面が自動的に閉じるようにタイマーを設定できます。時間をゼロに設定すると、NAC Agent および Web Agent にログイン成功画面が表示されなくなります。
連続モニタリング間隔（Continuous Monitoring Interval）	AnyConnect がモニタリングデータの送信を開始するまでの時間間隔を指定します。アプリケーション条件の場合アプリケーションおよびハードウェア条件の場合、デフォルト値は 5 分です。
ステルスモードでの利用規約（Acceptable Use Policy in Stealth Mode）	会社のネットワーク使用条件が満たされていない場合、ステルスモードで [ブロック（Block）] を選択して、クライアントを非準拠ポスチャステータスに移行します。
ポスチャのリース
ユーザがネットワークに接続するたびにポスチャ評価を行う（Perform posture assessment every time a user connects to the network）	ユーザがネットワークに接続するたびにポスチャ評価を開始するには、このオプションを選択します。
n 日おきにポスチャ評価を行う（Perform posture assessment every n days）	クライアントがすでにポスチャ準拠であるものの、指定された日数が経過したら、ポスチャ評価を開始する場合は、このオプションを選択します。

ポスチャ再評価の構成設定

次の表では、ポスチャ再評価の設定に使用できる [ポスチャ再評価設定（Posture Reassessment Configurations）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [ポスチャ（Posture）] > [再評価（Reassessments）] です。

表 15. ポスチャ再評価の構成設定

フィールド

使用上のガイドライン

構成名

PRA 設定の名前を入力します。

設定の説明（Configuration Description）

PRA 設定の説明を入力します。

再評価適用を使用?（Use Reassessment Enforcement?）

ユーザ ID グループの PRA 設定を適用するには、チェックボックスをオンにします。

適用タイプ（Enforcement Type）

適用する次のアクションを選択します。

[続行（Continue）]：ユーザはポスチャ要件に関係なくクライアントを修復できるようにユーザ介入なしの特権アクセスが引き続き提供されます。
[ログオフ（Logoff）]：クライアントが非準拠の場合、ユーザを強制的にネットワークからログオフします。クライアントが再度ログインしたときのコンプライアンスステータスは不明です。
[修復（Remediate）]：クライアントが非準拠の場合、エージェントは修復のために指定の期間待機します。クライアントが修復された後、エージェントはポリシーサービスノードに PRA レポートを送信します。修復がクライアントで無視された場合、エージェントはクライアントにネットワークからログオフすることを強制するために、ポリシーサービスノードにログオフ要求を送信します。

ポスチャ要件が [必須（mandatory）] に設定されている場合、RADIUS セッションは PRA 障害アクションの結果としてクリアされ、クライアントを再びポスチャするには新しい RADIUS セッションを開始する必要があります。

ポスチャ要件が [オプション（optional）] に設定されている場合、NAC Agent ではユーザがエージェントから [続行（continue）] オプションをクリックできます。ユーザは、制限なしで現在のネットワークにとどまることができます。

インターバル（Interval

最初のログイン成功後にクライアントで PRA を開始する間隔を分単位で入力します。

デフォルト値は 240 分です。最小値は 60 分、最大値は 1440 分です。

猶予時間（Grace time）

クライアントが修復を完了することのできる時間間隔を分単位で入力します。猶予時間をゼロにすることはできません。また、PRA 間隔より大きくする必要があります。デフォルトの最小間隔（5 分）から最小 PRA 間隔までの範囲にすることができます。

最小値は 5 分、最大値は 60 分です。

（注）

猶予時間は、クライアントがポスチャの再評価に失敗した後、適用タイプが修復アクションに設定されている場合にだけ有効です。

ユーザ ID グループの選択（Select User Identity Groups）

PRA 設定に対して一意のグループまたはグループの一意の組み合わせを選択します。

PRA の設定（PRA configurations）

既存の PRA 設定と PRA 設定に関連付けられたユーザ ID グループを表示します。

ポスチャの利用規定の構成設定

次の表では、ポスチャのアクセプタブルユースポリシーを設定するために使用できるポスチャの [利用規定設定（Acceptable Use Policy Configurations）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [ポスチャ（Posture）] > [利用規定（Acceptable Use Policy）] です。

表 16. ポスチャ AUP の設定
フィールド	使用上のガイドライン
構成名	ユーザが作成する AUP 設定の名前を入力します。
設定の説明（Configuration Description）	ユーザが作成する AUP 設定の説明を入力します。
エージェントユーザへの AUP の表示（Show AUP to Agent users）（Windows の NAC Agent および Web Agent のみ）	オンにした場合、[エージェントユーザへの AUP の表示（Show AUP to Agent users）] チェックボックスはユーザ（Windows の NAC Agent と Web Agent のみ）にネットワークの利用規約へのリンクを表示し、それをクリックすると、認証およびポスチャ評価が成功したときに AUP が表示されます。
AUP メッセージの URL を使用（Use URL for AUP message）オプションボタン	選択した場合、認証およびポスチャ評価が成功したときにクライアントがアクセスする必要がある AUP メッセージへの URL を AUP URL に入力する必要があります。
AUP メッセージのファイルを使用（Use file for AUP message）オプションボタン	選択した場合、場所を参照し、トップレベルに index.html を含む AUP ファイルにジップ形式のファイルをアップロードします。 .zip ファイルには、index.html ファイルに加えて、他のファイルおよびサブディレクトリを含めることができます。これらのファイルは、HTML タグを使用して相互に参照できます。
AUP URL	クライアントは認証およびポスチャ評価が成功したときにアクセスする必要がある AUP への URL を入力します。
AUP ファイル（AUP File）	[AUP ファイル（AUP File）] で、ファイルを参照し、Cisco ISE サーバにアップロードします。これは zip 形式のファイルで、zip 形式のファイルではトップレベルに index.html ファイルを含める必要があります。
ユーザ ID グループの選択（Select User Identity Groups）	[ユーザ ID グループの選択（Select User Identity Groups）] ドロップダウンリストで、AUP 設定の一意のユーザ ID グループまたはユーザ ID グループの一意の組み合わせを選択します。 AUP 設定を作成する場合は、次の点に注意してください。ポスチャ AUP は、ゲストフローには適用できません。各設定には、一意のユーザ ID グループ、またはユーザ ID グループの一意の組み合わせが必要です。 2 つの設定が共通のユーザ ID グループを持つことはできません。ユーザ ID グループ「Any」で AUP 設定を作成する場合は、まず他のすべての AUP 設定を削除します。ユーザ ID グループ「Any」を使用して AUP 設定を作成した場合、一意のユーザ ID グループ、または複数のユーザ ID グループを使用して他の AUP 設定を作成することはできません。Any 以外のユーザ ID グループを使用して AUP 設定を作成するには、最初にユーザ ID グループ「Any」を使用した既存の AUP 設定を削除するか、ユーザ ID グループ「Any」を使用した既存の AUP 設定を一意のユーザ ID グループまたは複数のユーザの ID グループを使用して更新します。
利用規定設定 - 設定リスト（Acceptable use policy configurations—Configurations list）	既存の AUP 設定と AUP 設定に関連付けられたエンドユーザ ID グループを一覧表示します。

EAP-FAST 設定

次の表に、EAP-FAST、EAP-TLS、および PEAP プロトコルを設定するために使用できる [プロトコル設定（Protocol Settings）] ページのフィールドを示します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-FAST] > [EAP-FAST 設定（EAP-FAST Settings）] です。

表 17. EAP-FAST の設定
フィールド	使用上のガイドライン
機関識別情報の説明（Authority Identity Info Description）	クレデンシャルをクライアントに送信する Cisco ISE ノードを説明したわかりやすい文字列を入力します。クライアントは、この文字列をタイプ、長さ、および値（TLV）の Protected Access Credentials（PAC）情報で認識できます。デフォルト値は、Identity Services Engine です。
マスターキー生成期間（Master Key Generation Period）	マスターキー生成期間を、秒、分、時間、日、または週単位で指定します。値は、1 ～ 2147040000 秒の正の整数である必要があります。デフォルトは 604800 秒で、これは 1 週間と同等です。
すべてのマスターキーおよび PAC の失効（Revoke all master keys and PACs）	すべてのマスターキーと PAC を失効させるには、[失効（Revoke）] をクリックします。
PAC なしセッション再開の有効化（Enable PAC-less Session Resume）	PAC ファイルなしで EAP-FAST を使用する場合は、このチェックボックスをオンにします。
PAC なしセッションのタイムアウト（PAC-less Session Timeout）	PAC なしセッションの再開がタイムアウトするまでの時間を秒単位で指定します。デフォルトは 7200 秒です。

PAC の設定

次の表では、[PAC の生成（Generate PAC）] ページ上のフィールドについて説明します。これらのフィールドを使用して、EAP-FAST 認証用の Protected Access Credentials を設定します。このページのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-FAST] > [PAC の生成（Generate PAC）] です。

表 18. EAP-FAST の PAC の生成の設定
フィールド	使用上のガイドライン
トンネル PAC（Tunnel PAC）	トンネル PAC を生成するには、このオプションボタンをクリックします。
マシン PAC（Machine PAC）	マシン PAC を生成するには、このオプションボタンをクリックします。
TrustSec PAC	TrustSec PAC を生成するには、このオプションボタンをクリックします。
ID（Identity）	（トンネル PAC およびマシン PAC の ID フィールド用）EAP-FAST プロトコルによって「内部ユーザ名」として示されるユーザ名またはマシン名を指定します。ID 文字列がそのユーザ名と一致しない場合、認証は失敗します。これは、適応型セキュリティアプライアンス（ASA）で定義されているホスト名です。ID 文字列は、ASA ホスト名に一致する必要があります。一致しない場合、ASA は生成された PAC ファイルをインポートできません。TrustSec PAC を生成する場合、[ID（Identity）] フィールドにより TrustSec ネットワークデバイスのデバイス ID が指定され、EAP-FAST プロトコルによりイニシエータ ID とともに提供されます。ここに入力した ID 文字列がそのデバイス ID に一致しない場合、認証は失敗します。
PAC 存続可能時間（PAC Time To Live）	（トンネル PAC およびマシン PAC 用）PAC の有効期限を指定する値を秒単位で入力します。デフォルトは 604800 秒で、これは 1 週間と同等です。この値は、1 ～ 157680000 秒の正の整数である必要があります。TrustSec PAC に対しては、日、週、月、または年単位で値を入力します。デフォルト値は 1 年です。最小値は 1 日、最大値は 10 年です。
暗号化キー（Encryption Key）	暗号キーを入力します。キーの長さは 8 ～ 256 文字にする必要があります。キーはアルファベットの大文字または小文字、数字、または英数字の組み合わせを含むことができます。
期限日（Expiration Date）	（TrustSec PAC のみ）有効期限は、PAC 存続可能時間に基づいて計算されます。

EAP-TTLS 設定

次の表では、[EAP-TTLS設定（EAP-TTLS Settings）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-TTLS] です。

表 19. EAP-TTLS 設定

フィールド

使用上のガイドライン

EAP-TTLSセッションの再開を有効にする（Enable EAP-TTLS Session Resume）

このチェックボックスをオンにすると、Cisco ISE はユーザが EAP-TTLS 認証のフェーズ 2 で正常に認証された場合に限り、EAP-TTLS 認証のフェーズ 1 で作成された TLS セッションをキャッシュします。ユーザが再接続しようとする場合、元の EAP-TTLS セッションがタイムアウトしていなければ、Cisco ISE はキャッシュされた TLS セッションを使用します。このため、EAP-TTLS のパフォーマンスが向上し、AAA サーバの負荷が軽減されます。

（注）

EAP-TTLS セッションが再開されると、内部方式はスキップされます。

EAP-TTLSセッションタイムアウト（EAP-TTLS Session Timeout）

EAP-TTLS セッションがタイムアウトするまでの時間を秒単位で指定します。デフォルト値は 7200 秒です。

EAP-TLS 設定

次の表に、EAP-TLS プロトコル設定を行うために使用できる [EAP-TLS 設定（EAP-TLS Settings）] ページのフィールドを示します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [EAP-TLS] です。

表 20. EAP-TLS 設定
フィールド	使用上のガイドライン
EAP-TLS セッションの再開を有効にする（Enable EAP-TLS Session Resume）	完全な EAP-TLS 認証に成功したユーザの簡略化された再認証をサポートする場合にオンにします。この機能により、Secure Sockets Layer（SSL）ハンドシェイクのみでユーザの再認証が可能となり、証明書の適用が不要になります。EAP-TLS セッションは、タイムアウトしていない限り動作を再開します。
EAP-TLS セッションタイムアウト（EAP-TLS Session Timeout）	EAP-TLS セッションがタイムアウトするまでの時間を秒単位で指定します。デフォルト値は 7200 秒です。
[ステートレスセッション再開（Stateless Session Resume）]
マスターキー生成期間（Master Key Generation Period）	マスターキー再生成までの時間を入力します。この値により、マスターキーがアクティブである期間が決定します。この値は秒、分、時、日数、または週数で入力できます。
[取り消し（Revoke）]	これまでに生成されたすべてのマスターキーとチケットをキャンセルするには、[取り消し（Revoke）] をクリックします。このオプションは、セカンダリノードでは無効です。

PEAP 設定

次の表では、PEAP プロトコル設定を行うために使用できる [PEAP 設定（PEAP Settings）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [PEAP] です。

表 21. PEAP 設定
フィールド	使用上のガイドライン
PEAP セッションの再開を有効にする（Enable PEAP Session Resume）	このチェックボックスをオンにすると、Cisco ISE はユーザが PEAP 認証のフェーズ 2 で正常に認証された場合に限り、PEAP 認証のフェーズ 1 で作成された TLS セッションをキャッシュします。ユーザが再接続しようとする場合、元の PEAP セッションがタイムアウトしていなければ、Cisco ISE はキャッシュされた TLS セッションを使用します。このため、PEAP のパフォーマンスが向上し、AAA サーバの負荷が軽減されます。PEAP セッション再開機能を動作させるには、PEAP セッションタイムアウト値を指定する必要があります。
PEAP セッションタイムアウト（PEAP Session Timeout）	PEAP セッションがタイムアウトするまでの時間を秒単位で指定します。デフォルト値は 7200 秒です。
高速再接続を有効にする（Enable Fast Reconnect）	このチェックボックスをオンにすると、セッション再開機能が有効な場合に、ユーザクレデンシャルを確認しないで PEAP セッションが Cisco ISE で再開することが許可されます。

RADIUS 設定

次の表に、[RADIUS 設定（RADIUS Settings）] ページにある各フィールドの説明を示します。このページへのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [RADIUS] です。

[繰り返し失敗するクライアントの抑制（Suppress Repeated Failed Clients）] オプションを有効にすると、認証が繰り返し失敗するクライアントは監査ログに出力されず、指定された期間にわたってこれらのクライアントからの要求が自動的に拒否されます。また、認証失敗回数を指定できます。失敗回数がこの回数を超えると、これらのクライアントからの要求は拒否されます。たとえばこの値を 5 に設定すると、クライアント認証が 5 回失敗した場合、指定された期間にわたってそのクライアントから受信する要求はすべて拒否されます。

表 22. RADIUS 設定

フィールド

使用上のガイドライン

[繰り返し失敗するクライアントの抑制（Suppress Repeated Failed Clients）]

[繰り返し失敗するクライアントの抑制（Suppress Repeated Failed Clients）]

同じ理由で繰り返し認証に失敗するクライアントを抑止するには、このチェックボックスをオンにします。これらのクライアントは監査ログに出力されず、また [繰り返し失敗したクライアントからの RADIUS 要求を拒否する（Reject RADIUS Requests from Clients with Repeated Failures）] オプションが有効な場合には、指定された期間にわたってこれらのクライアントからの要求が拒否されます。

[2 回の失敗を検出する期間（Detect Two Failures Within）]

分単位で時間間隔を入力します。クライアントがこの期間内に同じ理由で 2 回認証に失敗すると、監査ログに出力されず、また [繰り返し失敗したクライアントからの RADIUS 要求を拒否する（Reject RADIUS Requests from Clients with Repeated Failures）] オプションが有効な場合には、指定された期間にわたってこのクライアントからの要求が拒否されます。

[失敗を報告する間隔（Report Failures Once Every）]

報告対象の認証失敗の時間間隔を分単位で入力します。たとえば、この値を 15 分に設定すると、繰り返し認証に失敗するクライアントが 15 分に 1 回だけ監査ログに報告されるため、報告の重複が防止されます。

[繰り返し失敗したクライアントからの RADIUS 要求を拒否する（Reject RADIUS Requests from Clients with Repeated Failures）]

認証が繰り返し失敗するクライアントからの RADIUS 要求を自動的に拒否するには、このチェックボックスをオンにします。Cisco ISE による不要な処理を防ぎ、Denial of Service（DoS）攻撃から防御するには、このオプションを有効にします。

[自動拒否前の失敗回数（Failures Prior to Automatic Rejection）]

認証失敗回数を入力します。認証失敗回数がこの値を超えると、繰り返し失敗するクライアントからの要求は自動的に拒否されます。設定されている期間（[要求を拒否する期間（Continue Rejecting Requests for）] で指定）にわたり、これらのクライアントから受信する要求はすべて自動的に拒否されます。この期間が経過した後では、これらのクライアントからの認証要求が処理されます。

[要求を拒否する期間（Continue Rejecting Requests for）]

繰り返し失敗するクライアントからの要求を拒否する時間間隔を分単位で入力します。

[繰り返し発生するアカウンティング更新を無視する期間（Ignore Repeated Accounting Updates Within）]

この期間内に繰り返し発生するアカウンティング更新は無視されます。

[成功レポートの抑制（Suppress Successful Reports）]

繰り返される認証成功の抑制（Suppress Repeated Successful Authentications）

直近の 24 時間で、ID、ネットワークデバイス、および許可のコンテキストに変更がない認証要求成功が繰り返し報告されないようにするには、このチェックボックスをオンにします。

[認証の詳細（Authentications Details）]

[次よりも長いステップを強調表示（Highlight Steps Longer Than）]

ミリ秒単位で時間間隔を入力します。1 つのステップの実行が指定のしきい値を超えると、認証詳細ページでそのステップがクロックアイコンでマークされます。

RADIUS UDP ポート

認証ポート（Authentication Port）

RADIUS UDP の認証フローに使用するポートを指定します。最大 4 つのポート番号（カンマ区切り）を指定できます。デフォルトでは、ポート 1812 とポート 1645 が使用されます。値の範囲は 1024 ～ 65535 です。

アカウンティングポート（Accounting Port）

RADIUS UDP のアカウンティングフローに使用するポートを指定します。最大 4 つのポート番号（カンマ区切り）を指定できます。デフォルトでは、ポート 1813 とポート 1646 が使用されます。値の範囲は 1024 ～ 65535 です。

（注）

これらのポートが他のサービスにより使用されていないことを確認します。

RADIUS DTLS

認証およびアカウンティングポート（Authentication and Accounting Port）

RADIUS DTLS の認証およびアカウンティングフローに使用するポートを指定します。デフォルトでは、ポート 2083 が使用されます。値の範囲は 1024 ～ 65535 です。

（注）

このポートが他のサービスにより使用されていないことを確認します。

アイドルタイムアウト

パケットがネットワークデバイスから届かなかったら、TLS セッションを終了する前に、Cisco ISE を待機する時間を秒単位で入力します。デフォルト値は 120 秒です。有効な範囲は 60 ～ 600 秒です。

RADIUS/DTLS クライアント ID 検証の有効化（Enable RADIUS/DTLS Client Identity Verification）

Cisco ISE が DTLS ハンドシェイク中に RADIUS/DTLS クライアントの ID を確認するようにする場合は、このチェックボックスをオンにします。クライアント ID が有効でない場合、Cisco ISE はハンドシェイクに失敗します。デフォルトのネットワークデバイスが設定されている場合、ID チェックはスキップされます。ID チェックは次の順序で実行されます。

クライアント証明書にサブジェクト代替名（SAN）属性が含まれている場合：
- SAN に DNS 名が含まれている場合、証明書に指定されている DNS 名が Cisco ISE のネットワークデバイスに設定されている DNS 名と比較されます。
- SAN に IP アドレスが含まれていて（DNS 名が含まれていない場合）、証明書で指定された IP アドレスが Cisco ISE で設定されているすべてのデバイス IP アドレスと比較されます。
証明書に SAN が含まれていない場合、サブジェクト CN は Cisco ISE のネットワークデバイスに設定されている DNS 名と比較されます。不一致の場合、Cisco ISE はハンドシェイクに失敗します。

一般 TrustSec の設定

Cisco ISE が TrustSec サーバとして機能したり、TrustSec サービスを提供したりするには、グローバル TrustSec 設定を定義する必要があります。以下の表に、[TrustSec 設定（TrustSec Settings）] ウィンドウのフィールドの説明を示します（（[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [一般TrustSecの設定（General TrustSec Settings）]）。

フィールド使用上のガイドライン

トンネル PAC の存続可能時間（Tunnel PAC Time to Live）

PAC の有効期限を指定します。トンネル PAC は EAP-FAST プロトコル用のトンネルを生成します。時間を秒、分、時、日数、または週数で指定できます。デフォルト値は 90 日です。有効な範囲は次のとおりです。

1 ～ 157680000 秒
1 ～ 2628000 分
1 ～ 43800 時間
1 ～ 1825 日
1 ～ 260 週

プロアクティブ PAC 更新は後で実行する（Proactive PAC Update Will Occur After）

Cisco ISE は、認証に成功した後、設定したパーセンテージのトンネル PAC TTL が残っているときに、新しい PAC をクライアントに予防的に提供します。PAC の有効期限が切れる前に最初の正常な認証が行われると、サーバはトンネル PAC の更新を開始します。このメカニズムにより、有効な PAC でクライアントが更新されます。デフォルト値は 10% です。

システムはSGT番号を割り当てます（System will Assign SGT Numbers）

Cisco ISE ですべての SGT 番号を自動的に生成する場合は、このオプションを選択します。

この範囲の数値を除く（Except Numbers in Range）

デバイスに手動で設定するためにある範囲の SGT 番号を予約する場合は、このオプションを選択します。Cisco ISE は、SGT の生成時にこの範囲の数値を使用しません。

ユーザはSGT番号を手動で入力する必要があります（User Must Enter SGT Numbers Manually）

SGT 番号を手動で定義するには、このオプションを選択します。

APIC EPGのセキュリティグループタグのナンバリング（Security Group Tag Numbering for APIC EPGs）

このチェックボックスをオンにして、APIC から学習された EPG に基づいて作成される SGT に使用される番号の範囲を指定します。

許可ルール作成時のセキュリティグループの自動作成（Auto Create Security Groups When Creating Authorization Rules）

許可ポリシールールの作成時に SGT を自動的に作成するには、このチェックボックスをオンにします。

このオプションを選択すると、[許可ポリシー（Authorization Policy）] ウィンドウの上部に、「自動セキュリティグループの作成がオンです（Auto Security Group Creation is On）」というメッセージが表示されます。

自動作成された SGT は、ルール属性に基づいて命名されます。

（注）

自動作成された SGT は、それに対応する許可ポリシールールが削除されても削除されません。

デフォルトでは、新規インストールまたはアップグレードの後でこのオプションが無効になります。

自動作成のSGT番号範囲（SGT Number Range For Auto-Creation）

このチェックボックスをオンにして、自動作成される SGT に使用する番号の範囲を指定します。

自動作成される SGT に割り当てられた番号の範囲を使い切ると、Cisco ISE は 50 ずつ範囲を拡張し、この変更をユーザに通知します。

自動命名オプション（Automatic Naming Options）

自動作成される SGT の命名規則を定義するには、このオプションを使用します。

（必須）名前に次が含まれます（Name Will Include）：次のオプションのいずれかを選択します。

ルール名
SGT番号（SGT number）
ルール名およびSGT番号（Rule name and SGT number）

デフォルトでは、[ルール名（Rule name）] オプションが選択されます。

オプションで、SGT 名に以下の情報を追加できます。

ポリシーセット名（Policy Set Name）（このオプションは [ポリシーセット（Policy Sets）] が有効な場合にのみ使用可能です）
プレフィックス（Prefix）（8 文字まで）
サフィックス（Suffix）（8 文字まで）

Cisco ISE は、選択内容に応じて [サンプル名（Example Name）] フィールドにサンプル SGT 名を表示します。

同じ名前の SGT がすでに存在する場合、ISE は SGT 名に「_x」を付け加えます。x は 1 から始まる（現在の名前に使用されていない）最初の値です。新しい名前が 32 文字より長い場合、Cisco ISE によって最初の 32 文字に切り捨てられます。

TrustSec マトリックスの設定

次の表に、[TrustSecマトリックスの設定（TrustSec Matrix Settings）] ページにある各フィールドの説明を示します。このページへのナビゲーションパスは、[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [TrustSecマトリックスの設定（TrustSec Matrix Settings）] です。

表 24. TrustSec マトリックスの設定

フィールド

使用上のガイドライン

複数のSGACLを許可（Allow Multiple SGACLs）

セル内で複数の SGACL を許可するには、このチェックボックスをオンにします。このオプションが選択されていない場合、Cisco ISE はセル 1 つあたり 1 つの SGACL のみを許可します。

デフォルトでは、新たにインストールすると、このオプションはディセーブルになります。

アップグレード後、Cisco ISE は出力セルをスキャンし、複数の SGACL が割り当てられたセルを少なくとも 1 つ特定した場合、管理者に複数の SGACL をセルに追加することを許可します。それ以外の場合は、セル 1 つあたり 1 つの SGACL のみを許可します。

（注）

複数の SGACL を無効にする前に、複数の SGACL を含むセルを 1 つの SGACL のみを含めるように編集する必要があります。

モニタリングの許可（Allow Monitoring）

マトリクス内のすべてのセルのモニタリングをイネーブルにする場合は、このチェックボックスをオンにします。モニタリングがディセーブルの場合、[セルの編集（Edit Cell）] ダイアログで、[すべてをモニタ（Monitor All）] アイコンはグレー表示され、[モニタ（Monitor）] オプションはディセーブルになります。

デフォルトでは、新たにインストールすると、モニタリングはディセーブルになります。

（注）

マトリクスレベルでモニタリングをディセーブルにする前に、現在モニタされているセルのモニタリングをディセーブルにする必要があります。

SGT番号の表示（Show SGT Numbers）

マトリクスセルの SGT 値（10 進数および 16 進数の両方）を表示または非表示にするには、このオプションを使用します。

デフォルトでは、SGT 値はセルに表示されます。

アピアランス設定（Appearance Settings）

次のオプションを使用できます。

[カスタム設定（Custom settings）]：デフォルトのテーマ（パターンなしの色）が最初に表示されます。独自の色とパターンを設定できます。
[デフォルト設定（Default settings）]：パターンなしの色の定義済みリスト（編集不可）。
[アクセシビリティ設定（Accessibility settings）]：パターンありの色の定義済みリスト（編集不可）。

色/パターン（Color/Pattern）

マトリックスを読み取りやすくするために、セルの内容に基づいて、マトリックスセルに色とパターンを適用できます。

使用可能な表示タイプは、次のとおりです。

[IPを許可/IPログを許可（Permit IP/Permit IP Log）]：セル内に設定されます
[IPを拒否/IPログを拒否（Deny IP/Deny IP Log）]：セル内に設定されます
[SGACL（SGACLs）]：セル内に設定されている SGACL 用
[IPを許可/IPログを許可（継承）（Permit IP/Permit IP Log (Inherited)）]：デフォルトポリシーから取得されます（設定されていないセル用）
[IPを拒否/IPログを拒否（継承）（Deny IP/Deny IP Log (Inherited)）]：デフォルトポリシーから取得されます（設定されていないセル用）
[SGACL（継承）（SGACLs (Inherited)）]：デフォルトポリシーから取得されます（設定されていないセル用）

SMS ゲートウェイ設定（SMS Gateway Settings）

電子メールサーバ経由でゲストとスポンサーに SMS メッセージを送信するように設定するには、次の設定を使用します。

表 25. SMS 電子メールゲートウェイの SMS ゲートウェイ設定
フィールド	使用上のガイドライン
SMS ゲートウェイプロバイダードメイン（SMS Gateway Provider Domain）	プロバイダードメインと、ゲストアカウントの携帯電話の番号を入力します。プロバイダーの SMS/MMS ゲートウェイにメッセージを送信するとき、前者が電子メールアドレスのホスト部として使用され、後者はユーザ部分として使用されます。
プロバイダーアカウントアドレス（Provider account address）	（オプション）アカウントアドレスを入力します。これは、電子メールの送信元アドレス（通常、アカウントアドレス）として使用され、[ゲストアクセス（Guest Access）] > [設定（Settings）] の [デフォルトの電子メールアドレス（Default Email Address）] グローバル設定を上書きします。
SMTP API 宛先アドレス（SMTP API destination address）	（オプション） Clickatell SMTP API などの、特定のアカウント受信者アドレスを必要とする SMTP SMS API を使用する場合は、SMTP API 宛先アドレスを入力します。これは、電子メールの送信先アドレスとして使用され、メッセージ本文のテンプレートはゲストアカウントの携帯電話の番号に置き換えられます。
SMTP API 本文テンプレート（SMTP API body template）	（オプション） Clicketell SMTP API など、SMS の送信に特定の電子メール本文テンプレートを必要とする SMTP SMS API を使用する場合は、SMTP API 本文テンプレートを入力します。サポートされる動的置換は $mobilenumber$、（形式 $YYYYMMDDHHHMISSmimi$ の）$timestamp$、および $message$ です。 URL に固有識別子が必要な SMS ゲートウェイには $timestamp$$mobilenumber$ を使用できます。

これらの設定へのナビゲーションパスは、[ゲストアクセス（Guest Access）] > [設定（Settings）] > [SMS ゲートウェイ（SMS Gateway）] です。

HTTP API（GET 方式または POST 方式）でゲストとスポンサーに SMS メッセージを送信するように設定するには、次の設定を使用します。

表 26. SMS HTTP API 用の SMS ゲートウェイ設定（SMS Gateway Settings for SMS HTTP API）
フィールド	使用上のガイドライン
URL	API の URL を入力します。このフィールドは、符号化された URL ではありません。ゲストアカウントの携帯電話の番号は、URL に置き換えられます。サポートされる動的置換は $mobilenumber$ および $message$ です。 HTTP API で HTTPS を使用した場合、HTTPS を URL 文字列に含め、Cisco ISE にプロバイダーの信頼できる証明書をアップロードします。[管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] を選択します。
データ（URL エンコード部分）（Data (Url encoded portion)）	GET 要求または POST 要求のデータ（URL エンコード部分）を入力します。このフィールドは、符号化された URL です。デフォルトの GET 方式を使用している場合、データが上で指定した URL に付加されます。
データ部分に HTTP POST 方式を使用（Use HTTP POST method for data portion）	POST 方式を使用する場合は、このオプションをオンにします。上で指定したデータは、POST 要求の内容として使用されます。
HTTP POST データコンテンツタイプ（HTTP POST data content type）	POST 方式を使用する場合は、「plain/text」や「application/xml」などのコンテンツタイプを指定します。
HTTPS ユーザ名（HTTPS Username） HTTPS パスワード（HTTPS Password） HTTPS ホスト名（HTTPS Host name） HTTPS ポート番号（HTTPS Port number）	この情報を入力します。

DHCP および DNS サービス

これらの設定のためのナビゲーションパスは、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [DHCP および DNS サービス（DHCP & DNS Services）] です。

認証 VLAN URL リダイレクトのシミュレーションを有効にするために、これらの設定を使用して、DHCP、およびオプションの DNS を設定します。さまざまな ISE ノードに適用するために、複数のスコープを作成できます。1 つの ISE ノードに複数のスコープを適用する場合、同じネットワークインターフェイスで設定する必要があります。

（注）

プロファイリングのために、DHCP プローブを必要とすることがあります。ISE DHCP プローブは認証 VLAN DHCP サービスと同じ UDP ポート 67 を使用します。そのため、DHCP プローブは、異なるインターフェイスで設定される必要があるか、またはこの ISE ノードで無効にすることができます。DHCP プローブの詳細については、DHCP プローブを参照してください。

表 27. 認証 VLAN URL リダイレクトのシミュレーション用の DHCP と DNS サービスの設定
フィールド	使用上のガイドライン
スコープ名	このスコープの目的を容易に記憶できる名前を入力します。
ステータス	[有効（Enabled）] または [無効（Disabled）] を選択します。有効の場合、スコープは ISE ノードにのみ使用できます。
ISE ノード（ISE Node）	DHCP/DNS サーバとして機能するように ISE ノードを適用します。ドロップダウンリストから、このスコープを使用する ISE ノードを選択します。認証 VLAN は ISE ノード/ネットワークインターフェイスごとに設定され、2 つのインターフェイスまたは 2 つのノードが同じ VLAN を共有することはできません。
ネットワークインターフェイス（Network Interface）	選択した ISE ノードで利用可能なネットワークインターフェイスは、選択した ISE ノードに基づいて動的にこのドロップダウンリストに表示されます。認証 VLAN は ISE ノード/ネットワークインターフェイスごとに設定され、2 つのインターフェイスまたは 2 つのノードが同じ VLAN を共有することはできません。DHCP/DNS サーバがリスニングするインターフェイスを選択します。NAD の VLAN IP ヘルパーを設定することによって、複数の VLAN が 1 つのネットワークインターフェイスカードに接続される可能性があります。IP ヘルパーの設定の詳細については、デバイス用のアドミニストレーションガイドの指示を参照してください。
ドメイン名（Domain Name）	このスコープで使用する DHCP サーバのドメイン名を入力します。
DHCP アドレス範囲	ネットワーク定義に基づいて、このスコープに使用可能な DHCP アドレスの範囲を選択します。
サブネットマスク（Subnet mask）	ネットワーク定義に基づいて、このスコープに使用するネットワークマスクを選択します。
ネットワーク ID（Network ID）	入力した DHCP の属性に基づいて、Cisco ISE により自動的に決定されます。
除外アドレス範囲	ネットワーク定義に基づいて、このスコープに使用すべきでない DHCP アドレスの範囲を選択します。
デフォルトゲートウェイ	デフォルトゲートウェイの IP アドレスを入力します。
DHCP リース期間	DHCP リース期間を定義します。
[DHCP オプション（DHCP options）]	これはオプションのフィールドです。 DHCP オプションは、DHCP サーバが DHCP クライアントに渡すことができる追加の設定パラメータです。DHCP オプションにより、ネットワークにアクセスするため、または最終認証前にデバイスをブートストラップする手段として、オプション値に指定されている情報を必要とするデバイス（カメラ、アクセスポイント、電話）がサポートされます。DHCP サーバは、DHCP 要求メッセージをクライアントから受信すると、(通常）DHCP ACK パケットをクライアントに送信することで応答します。この時点で、サーバは DHCP ACK パケットで設定されているすべてのオプションを転送します。詳細については、次の表の後に続く「DHCP オプション」の項を参照してください。
外部 DNS サーバ	すべての企業ネットワークにアクセスするための認証を受ける前に、ユーザが認証 VLAN 外の外部ドメインにアクセスできるようにする場合、外部 DNS 名を解決するために DNS サーバの IP アドレスを入力します。
外部ドメイン	すべての企業ネットワークにアクセスするための認証を受ける前に、ユーザが特定のサイトにアクセスできるようにする場合、これらのフィールドにそれらのサイトのドメイン名を入力します。親ドメインとは別に、ユーザがアクセスする必要があるすべての子ドメインの名前を入力します。

DHCP オプション

ISE で DHCP サービスを設定すると、Auth VLAN に接続するクライアントに特定の DHCP オプションを割り当てることができます。定義する各範囲に複数の DHCP オプションを追加できます。

ドロップダウンリストで選択できるオプションは、RFC 2132 のものです。また、（RFC 2132 から）カスタマイズしたオプションを追加するには、ドロップダウンリストから [カスタム（Custom）] を選択し、オプションコードを入力します。

一般に、最もよく使用される DHCP オプションがいくつかあります。

一般的なオプションとしては、次のようなものがあります。

オプション 12（ホスト名）：ノードの完全修飾ドメイン名の「ホスト名」部分を渡すために使用されます。たとえば mail.ise.com の「mail」です。
オプション 42（NTP サーバ）：ネットワークで使用される NTP サーバを渡します。
オプション 66（TFTP サーバ）：IP アドレスまたはホスト名を渡すために使用されます。このオプションは、ドロップダウンリストから選択できます。
オプション 82（DHCP リレーエージェント）：サーバ側 DHCP リレーサーバ情報のその他のサブオプションを渡すために使用されます。

オプション値を定義するには、ドロップダウンリストからオプションを選択します。事前定義のオプションを選択すると、コードとタイプが自動的に取り込まれます。

[カスタム（Custom）] を選択してコードを入力すると、[タイプ（Type）] が自動的に更新されます。オプションの値を入力します。

次に例を示します。

ホスト名の設定：[オプション（Option）] から [カスタム（Custom）] を選択します。[コード（Code）] に 15 と入力します。[タイプ（Type）] が自動的に [テキスト（Text）] に更新されます。[値（Value）] にホスト名（mail.ise.com の「mail」など）を入力します。
TFTP サーバ名の設定：[オプション（Option）] から [TFTP サーバ名（TFTP Server Name）] を選択します。[コード（Code）] と [タイプ（Type）] がそれぞれ自動的に更新されます。[値（Value）] に TFTP サーバのホスト名を入力します。

（注）

一部の DHCP オプションは、ISE に対して自動的に定義されているため、手動で入力できません。たとえばオプション 15（ドメイン名）はカスタムオプションとして定義できません。これは、DHCP ドメイン名は、この画面で必須フィールドとして定義されており、上書きできないためです。

複数のオプションを入力するには、[アクション（Actions）] の下のプラス記号をクリックします。

ID の管理

これらのページは、Cisco ISE の ID を設定し、管理することができます。

エンドポイント

これらのページでは、ネットワークに接続するエンドポイントを設定および管理することができます。

エンドポイント設定

次の表に、エンドポイントを作成し、エンドポイントにポリシーを割り当てるために使用できる [エンドポイント（Endpoints）] ページのフィールドを示します。このページへのナビゲーションパスは、[ワークセンター（Work Centers）] > [ネットワークアクセス（Network Access）] > [ID（Identities）] > [エンドポイント（Endpoints）] です。

表 28. エンドポイント設定
フィールド	使用上のガイドライン
MAC アドレス（MAC Address）	エンドポイントを静的に作成するには、MAC アドレスを 16 進数形式で入力します。 MAC アドレスは、Cisco ISE 対応のネットワークに接続するインターフェイスのデバイス ID です。
スタティック割り当て（Static Assignment）	[エンドポイント（Endpoints）] ページでエンドポイントを静的に作成する場合このチェックボックスをオンにすると、静的割り当てのステータスが static に設定されます。エンドポイントのスタティック割り当てのステータスを静的から動的に、または動的から静的に切り替えできます。
ポリシー割り当て	（スタティック割り当てが選択されていない限り、デフォルトで無効）[ポリシー割り当て（Policy Assignment）] ドロップダウンリストから一致するエンドポイントポリシーを選択します。次のいずれかを実行できます。一致するエンドポイントポリシーを選択しないで、デフォルトのエンドポイントポリシーである不明を使用する場合、スタティック割り当てステータスはエンドポイントに対して動的に設定され、それにより、エンドポイントの動的プロファイリングが可能になります。不明ではなく、一致するエンドポイントポリシーを選択する場合、スタティック割り当てステータスはそのエンドポイントに対して静的に設定され、[スタティック割り当て（Static Assignment）] チェックボックスが自動的にオンにされます。
スタティックグループ割り当て（Static Group Assignment）	（[スタティックグループ割り当て（Static Group Assignment）] が選択されていない限り、デフォルトで無効）エンドポイントを ID グループに静的に割り当てる場合、このチェックボックスをオンにします。このチェックボックスをオンにした場合、プロファイリングサービスは、前に他のエンドポイント ID グループに動的に割り当てられたエンドポイントの次のエンドポイントポリシーの評価時に、そのエンドポイント ID グループを変更しません。このチェックボックスをオフにした場合、エンドポイント ID グループは、ポリシー設定に基づいて ISE プロファイラにより割り当てられたダイナミックグループです。[スタティックグループ割り当て（Static Group Assignment）] オプションを選択しない場合、エンドポイントは、エンドポイントポリシーの次回評価時に一致する ID グループに自動的に割り当てられます。
ID グループ割り当て	エンドポイントを割り当てるエンドポイント ID グループを選択します。エンドポイントを静的に作成する場合、またはエンドポイントのエンドポイントポリシーの評価時に [一致する ID グループの作成（Create Matching Identity Group）] オプションを使用しない場合は、エンドポイントを ID グループに割り当てることができます。 Cisco ISE には、次のシステムによって作成された次のエンドポイント ID グループがあります。ブラックリスト GuestEndpoints プロファイル済み Cisco IP-Phone ワークステーション RegisteredDevices 不明

エンドポイントの、LDAP からのインポートの設定

次の表では、LDAP サーバからのエンドポイントのインポートに使用できる [LDAP からのインポート（Import from LDAP）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[ワークセンター（Work Centers）] > [ネットワークアクセス（Network Access）] > [ID（Identities）] > [エンドポイント（Endpoints）] です。

表 29. エンドポイントの、LDAP からのインポートの設定

フィールド

使用上のガイドライン

接続の設定

ホスト

LDAP サーバのホスト名または IP アドレスを入力します。

[ポート（Port）]

LDAP サーバのポート番号を入力します。デフォルトポート 389 を使用して LDAP サーバからインポートするか、デフォルトポート 636 を使用して SSL を介して LDAP サーバからインポートできます。

（注）

Cisco ISE では、任意の設定済みポート番号をサポートします。設定済みの値は、LDAP サーバ接続詳細に一致する必要があります。

セキュア接続を有効にする（Enable Secure Connection）

SSL を介して LDAP サーバからインポートするには、[セキュア接続を有効にする（Enable Secure Connection）] チェックボックスをオンにします。

ルート CA 証明書名

ドロップダウン矢印をクリックして、信頼できる CA 証明書を表示します。

ルート CA 証明書名は、LDAP サーバに接続する場合に必要となる信頼できる CA 証明書を指します。Cisco ISE 内の CA 証明書は、追加（インポート）、編集、削除、およびエクスポートが可能です。

匿名バインド（Anonymous Bind）

匿名バインドを有効にするには、[匿名バインド（Anonymous Bind）] チェックボックスをオンにします。

[匿名バインド（Anonymous Bind）] チェックボックスをオンにするか、または slapd.conf コンフィギュレーションファイルの LDAP 管理者クレデンシャルを入力する必要があります。

管理者 DN（Admin DN）

slapd.conf コンフィギュレーションファイルで LDAP 管理者に設定されている識別名（DN）を入力します。

管理者 DN フォーマット例：cn=Admin, dc=cisco.com, dc=com

[パスワード（Password）]

LDAP 管理者に設定されたパスワードを slapd.conf コンフィギュレーションファイルに入力します。

ベース DN（Base DN）

親エントリの認定者名を入力します。

ベース DN フォーマット例：dc=cisco.com, dc=com

クエリ設定（Query Settings）

MAC アドレス objectClass（MAC Address objectClass）

MAC アドレスのインポートに使用するクエリフィルタを入力します。たとえば、ieee802Device です。

MAC アドレス属性名（MAC Address Attribute Name）

インポートに対して返される属性名を入力します。たとえば、macAddress です。

プロファイル属性名（Profile Attribute Name）

LDAP 属性の名前を入力します。この属性は、LDAP サーバで定義されている各エンドポイントエントリのポリシー名を保持します。

[プロファイル属性名（Profile Attribute Name）] フィールドを設定する場合は、次の点を考慮してください。

[プロファイル属性名（Profile Attribute Name）] フィールドでこの LDAP 属性を指定しない場合、またはこの属性を誤って設定した場合、インポート操作時にエンドポイントは「不明」としてマークされ、これらのエンドポイントは一致するエンドポイントプロファイリングポリシーに個別にプロファイリングされます。
[プロファイル属性名（Profile Attribute Name）] フィールドで LDAP 属性を設定した場合、その属性値は、エンドポイントポリシーが Cisco ISE 内の既存のポリシーに一致することを確認するために検証され、エンドポイントがインポートされます。エンドポイントポリシーが既存のポリシーと一致しない場合、それらのエンドポイントはインポートされません。

タイムアウト（秒）（Time Out [seconds]）

時間を秒単位（1 ～ 60 秒）で入力します。

グループ（Groups）

これらのページでは、エンドポイント ID グループを設定および管理することができます。

エンドポイント ID グループの設定

次の表に、エンドポイントグループを作成するために使用できる [エンドポイント ID グループ（Endpoint Identity Groups）] ページのフィールドを示します。このページへのナビゲーションパスは、[管理（Administration）] > [ID の管理（Identity Management）] > [グループ（Groups）] > [エンドポイント ID グループ（Endpoint Identity Groups）] です。

表 30. エンドポイント ID グループの設定
フィールド	使用上のガイドライン
[名前（Name）]	作成するエンドポイント ID グループの名前を入力します。
説明	作成するエンドポイント ID グループの説明を入力します。
親グループ（Parent Group）	新しく作成したエンドポイント ID グループを関連付けるエンドポイント ID グループを、[親グループ（Parent Group）] ドロップダウンリストから選択します。

外部 ID ソース

これらのページでは、Cisco ISE が認証および認可に使用するユーザデータが含まれる外部 ID ソースを設定および管理することができます。

LDAP ID ソースの設定

次の表では、[LDAP ID ソース（LDAP Identity Sources）] ページのフィールドについて説明します。これらのフィールドを使用して LDAP インスタンスを作成し、これに接続します。このページへのナビゲーションパスは、[管理（Administration）] > [ID の管理（Identity Management）] > [外部 ID ソース（External Identity Sources）] > [LDAP] です。

LDAP 一般設定

以下の表では、[一般（General）] タブのフィールドについて説明します。

表 31. LDAP 一般設定

フィールド

使用上のガイドライン

[名前（Name）]

LDAP インスタンスの名前を入力します。この値は、サブジェクト DN および属性を取得するために検索で使用されます。この値は string 型で、最大長は 64 文字です。

説明

LDAP インスタンスの説明を入力します。この値は string 型で、最大長は 1024 文字です。

スキーマ（Schema）

次の組み込みのスキーマタイプのいずれかを選択するか、カスタムスキーマを作成できます。

Active Directory
Sun Directory Server
Novell eDirectory

[スキーマ（Schema）] の隣の矢印をクリックすると、スキーマの詳細を表示できます。

事前定義されたスキーマの属性を編集すると、Cisco ISE が自動的にカスタムスキーマを作成します。

（注）

次のフィールドは、カスタムスキーマを選択した場合にのみ編集できます。

サブジェクトオブジェクトクラス（Subject Objectclass）

サブジェクト DN および属性を取得するために検索で使用する値を入力します。この値は string 型で、最大長は 256 文字です。

サブジェクト名属性（Subject Name Attribute）

要求内のユーザ名を含む属性の名前を入力します。この値は string 型で、最大長は 256 文字です。

グループ名属性（Group Name Attribute）

[グループ名属性（Group Name Attribute）] フィールドに CN または DN またはサポートされる属性を入力します。

CN：共通名に基づいて LDAP ID ストアグループを取得します。
DN：識別名に基づいて LDAP ID ストアグループを取得します。

証明書属性（Certificate Attribute）

証明書定義を含む属性を入力します。証明書ベースの認証の場合、クライアントによって提示された証明書を検証するために、これらの定義が使用されます。

グループオブジェクトクラス（Group Objectclass）

グループとして認識されるオブジェクトを指定するために、検索に使用する値を入力します。この値は string 型で、最大長は 256 文字です。

グループマップ属性（Group Map Attribute）

マッピング情報を含む属性を指定します。この属性は、選択した参照方向に基づいて、ユーザまたはグループ属性を指定できます。

サブジェクトオブジェクトにグループへの参照が含まれる（Subject Objects Contain Reference To Groups）

所属するグループを指定する属性がサブジェクトオブジェクトに含まれている場合は、このオプションボタンをクリックします。

グループオブジェクトにサブジェクトへの参照が含まれる（Group Objects Contain Reference To Subjects）

サブジェクトを指定する属性がグループオブジェクトに含まれている場合は、このオプションボタンをクリックします。この値はデフォルト値です。

グループ内のサブジェクトをメンバー属性に保存（Subjects In Groups Are Stored In Member Attribute As）

（[グループオブジェクトにサブジェクトへの参照が含まれる（Group Objects Contain Reference To Subjects）] オプションボタンの選択時に限り使用可能）グループメンバー属性にメンバーが供給される方法を指定します（デフォルトは DN）。

ユーザ情報属性（User Info Attributes）

デフォルトでは、事前設定された属性が次の組み込みのスキーマタイプのユーザ情報（名、姓、電子メール、電話、地域など）を収集するために使用されます。

Active Directory
Sun Directory Server
Novell eDirectory

事前定義されたスキーマの属性を編集すると、Cisco ISE が自動的にカスタムスキーマを作成します。

[スキーマ（Schema）] ドロップダウンリストから [カスタム（Custom）] オプションを選択し、要件に基づいてユーザ情報の属性を編集することもできます。

LDAP の接続設定

以下の表では、[接続設定（Connection Settings）] タブのフィールドについて説明します。

表 32. LDAP の接続設定
フィールド	使用上のガイドライン
セカンダリサーバの有効化（Enable Secondary Server）	プライマリ LDAP サーバに障害が発生した場合にバックアップとして使用するセカンダリ LDAP サーバを有効にする場合は、このオプションをオンにします。このチェックボックスをオンにする場合は、セカンダリ LDAP サーバの設定パラメータを入力する必要があります。
プライマリサーバとセカンダリサーバ（Primary and Secondary Servers）
ホスト名/IP（Hostname/IP）	LDAP ソフトウェアを実行しているマシンの IP アドレスまたは DNS 名を入力します。ホスト名は 1 ～ 256 文字か、または文字列として表される有効な IP アドレスです。ホスト名の有効な文字は、英数字（a ～ z、A ～ Z、0 ～ 9）、ドット（.）、およびハイフン（-）だけです。
[ポート（Port）]	LDAP サーバがリッスンしている TCP/IP ポート番号を入力します。有効な値は 1 ～ 65,535 です。デフォルトは、LDAP 仕様の記述に従って 389 です。ポート番号が不明な場合は、LDAP サーバの管理者からポート番号を取得できます。
各 ISE ノードのサーバの指定（Specify server for each ISE node）	プライマリおよびセカンダリ LDAP サーバの hostnames/IP および各 PSN のポートを設定するには、このチェックボックスをオンにします。このオプションを有効にすると、導入のすべてのノードを表示するテーブルが表示されます。ノードを選択し、プライマリおよびセカンダリ LDAP サーバの hostname/IP および選択したノードのポートを設定する必要があります。
アクセス（Access）	[匿名アクセス（Anonymous Access）]：LDAP ディレクトリの検索が匿名で行われるようにする場合にクリックします。サーバではクライアントが区別されず、認証されていないクライアントに対してアクセス可能に設定されているデータへの、クライアント読み取りアクセスが許可されます。認証情報をサーバに送信することを許可する特定のポリシーがない場合、クライアントは匿名接続を使用する必要があります。 [認証されたアクセス（Authenticated Access）]：LDAP ディレクトリの検索が管理クレデンシャルによって行われるようにする場合にクリックします。その場合、[管理者 DN（Admin DN）] および [パスワード（Password）] フィールドの情報を入力します。
管理者 DN（Admin DN）	管理者の DN を入力します。管理者 DN は、[ユーザディレクトリサブツリー（User Directory Subtree）] 下のすべての必要なユーザの検索およびグループの検索を行う権限を持つ LDAP アカウントです。指定した管理者に対して、検索でのグループ名属性の表示が許可されていない場合、該当 LDAP サーバで認証されたユーザのグループマッピングは失敗します。
[パスワード（Password）]	LDAP 管理者アカウントのパスワードを入力します。
セキュアな認証（Secure Authentication）	SSL を使用して Cisco ISE とプライマリ LDAP サーバ間の通信を暗号化する場合にクリックします。[ポート（Port）] フィールドに LDAP サーバでの SSL に使用されるポート番号が入力されていることを確認します。このオプションを有効にした場合は、ルート CA を選択する必要があります。
LDAP サーバのルート CA（LDAP Server Root CA）	ドロップダウンリストボックスから信頼できるルート認証局を選択して、証明書による安全な認証を有効にします。
サーバタイムアウト（Server timeout）	プライマリ LDAP サーバでの接続または認証が失敗したと判断する前に Cisco ISE がプライマリ LDAP サーバからの応答を待つ秒数を入力します。有効な値は 1 ～ 99 です。デフォルトは 10 です。
最大管理接続（Max. Admin Connections）	特定の LDAP 設定に対して実行できる LDAP 管理者アカウント権限での同時接続の最大数（0 より大きい数）を入力します。これらの接続は、ユーザディレクトリサブツリーおよびグループディレクトリサブツリーの下にあるユーザおよびグループのディレクトリの検索に使用されます。有効な値は 1 ～ 99 です。デフォルトは 20 です。
N 秒ごとに再接続（Force reconnect every N seconds）	このチェックボックスをオンにし、2 つ目のテキストボックスに、サーバを指定された間隔で LDAP 接続を更新するための適切な値を入力します。有効な範囲は 1 ～ 60 分です。
サーバへのバインドをテスト（Test Bind To Server）	LDAP サーバの詳細およびクレデンシャルが正常にバインドできることをテストおよび確認する場合にクリックします。テストが失敗した場合は、LDAP サーバの詳細を編集して再テストします。
フェールオーバー
常にプライマリサーバに最初にアクセスする（Always Access Primary Server First）	Cisco ISE の認証と認可のために常にプライマリ LDAP サーバに最初にアクセスするように設定するには、このオプションをクリックします。
経過後にプライマリサーバにフェールバック（Failback to Primary Server After）	Cisco ISE で接続しようとしたプライマリ LDAP サーバが到達不可能な場合、Cisco ISE はセカンダリ LDAP サーバへの接続を試行します。Cisco ISE に再びプライマリ LDAP サーバを使用するように設定するには、このオプションをクリックし、テキストボックスに値を入力します。

[LDAP] の [ディレクトリ構成（Directory Organization）] タブ

次の表では、[ディレクトリ構成（Directory Organization）] タブのフィールドについて説明します。

表 33. [LDAP] の [ディレクトリ構成（Directory Organization）] タブ

フィールド

使用上のガイドライン

サブジェクト検索ベース（Subject Search Base）

すべてのサブジェクトを含むサブツリーの DN を入力します。次に例を示します。

o=corporation.com

サブジェクトを含むツリーがベース DN である場合は、LDAP 設定に応じて

o=corporation.com

または

dc=corporation,dc=com

と入力します。詳細については、LDAP データベースに関するドキュメントを参照してください。

グループ検索ベース（Group Search Base）

すべてのグループを含むサブツリーの DN を入力します。次に例を示します。

ou = 組織ユニット、ou = 次の組織ユニット、o = corporation.com

グループを含むツリーがベース DN である場合は、LDAP 設定に応じて

o=corporation.com

または

dc=corporation,dc=com

と入力します。詳細については、LDAP データベースに関するドキュメントを参照してください。

形式での MAC アドレスの検索（Search for MAC Address in Format）

LDAP データベースでの検索に使用する、Cisco ISE の MAC アドレス形式を入力します。内部 ID ソースの MAC アドレスは、xx-xx-xx-xx-xx-xx の形式で供給されます。LDAP データベースの MAC アドレスは、異なる形式で供給できます。ただし、Cisco ISE でホストルックアップ要求が受信されると、MAC アドレスは内部形式からこのフィールドで指定した形式に変換されます。

ドロップダウンリストを使用して、特定の形式での MAC アドレスの検索を有効にします。<format> は次のいずれかです。

xxxx.xxxx.xxxx
xxxxxxxxxxxx
xx-xx-xx-xx-xx-xx
xx:xx:xx:xx:xx:xx

選択する形式は、LDAP サーバに供給されている MAC アドレスの形式と一致している必要があります。

サブジェクト名の先頭から最後に出現する区切り文字まで削除（Strip start of subject name up to the last occurrence of the separator）

ユーザ名からドメインプレフィックスを削除するための適切なテキストを入力します。

ユーザ名の中で、このフィールドに指定した区切り文字が Cisco ISE で検出されると、そのユーザ名の初めから区切り文字までのすべての文字が削除されます。ユーザ名に、<start_string> ボックスに指定した文字が複数含まれている場合は、Cisco ISE によって最後の区切り文字までの文字が削除されます。たとえば、区切り文字がバックスラッシュ（\）で、ユーザ名が DOMAIN\user1 である場合、Cisco ISE によって user1 が LDAP サーバに送信されます。

（注）

<start_string> ボックスには、特殊文字であるシャープ記号（#）、疑問符（?）、引用符（"）、アスタリスク（*）、右山カッコ（>）、および左山カッコ（<）を入力できません。Cisco ISE では、ユーザ名にこれらの文字を使用できません。

最初に出現する区切り文字からサブジェクト名の末尾まで削除（Strip end of subject name from the first occurrence of the separator）

ユーザ名からドメインサフィックスを削除するための適切なテキストを入力します。

ユーザ名の中で、このフィールドに指定した区切り文字が Cisco ISE で検出されると、その区切り文字からユーザ名の末尾までのすべての文字が削除されます。ユーザ名に、このフィールドに指定した文字が複数含まれている場合は、Cisco ISE によって最初の区切り文字から文字が削除されます。たとえば、区切り文字が@で、ユーザ名が user1@domain であれば、Cisco ISE は user1 を LDAP サーバに送信します。

（注）

<end_string> ボックスには、特殊文字であるシャープ記号（#）、疑問符（?）、引用符（"）、アスタリスク（*）、右山カッコ（>）、および左山カッコ（<）を入力できません。Cisco ISE では、ユーザ名にこれらの文字を使用できません。

LDAP グループ設定

表 34. LDAP グループ設定
フィールド	使用上のガイドライン
追加（Add）	[追加（Add）] > [グループの追加（Add Group）] を選択して新しいグループを追加するか、[追加（Add）] > [ディレクトリからグループを選択（Select Groups From Directory）] を選択して LDAP ディレクトリからグループを選択します。グループの追加を選択した場合は、新しいグループの名前を入力します。ディレクトリから選択する場合は、フィルタ基準を入力し、[グループの取得（Retrieve Groups）] をクリックします。選択するグループの隣にあるチェックボックスをオンにし、[OK] をクリックします。選択したグループが [グループ（Groups）] ページに表示されます。

LDAP 属性設定

表 35. LDAP 属性設定
フィールド	使用上のガイドライン
追加（Add）	[追加（Add）] > [属性の追加（Add Attribute）] を選択して新しい属性を追加するか、[追加（Add）] > [ディレクトリから属性を選択（Select Attributes From Directory）] を選択して LDAP サーバから属性を選択します。属性を追加する場合は、新しい属性の名前を入力します。ディレクトリから選択する場合は、ユーザ名を入力し、[属性の取得（Retrieve Attributes）] をクリックしてユーザの属性を取得します。選択する属性の隣にあるチェックボックスをオンにし、[OK] をクリックします。

LDAP 詳細設定

以下の表では、[詳細設定（Advanced Settings）] タブのフィールドについて説明します。

表 36. LDAP 詳細設定
フィールド	使用上のガイドライン
[パスワードの変更を有効にする（Enable password change）]	デバイス管理に PAP プロトコルを使用し、ネットワークアクセスに RADIUS EAP-GTC プロトコルを使用している場合に、パスワードが期限切れになるか、またはパスワードがリセットされるときに、ユーザがパスワードを変更できるようにするには、このチェックボックスをオンにします。サポートされていないプロトコルでは、ユーザ認証が失敗します。このオプションでは、ユーザが次回のログイン時にパスワードを変更できるようにすることもできます。

RADIUS トークン ID ソースの設定

次の表では、RADIUS 外部 ID ソースを設定し、それに接続するために使用できる [RADIUS トークン ID ソース（RADIUS Token Identity Sources）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [ID の管理（Identity Management）] > [外部 ID ソース（External Identity Sources）] > [RADIUS トークン（RADIUS Token）] です。

表 37. RADIUS トークン ID ソースの設定
フィールド	使用上のガイドライン
[名前（Name）]	RADIUS トークンサーバの名前を入力します。許容最大文字数は 64 文字です。
説明	RADIUS トークンサーバの説明を入力します。最大文字数は 1024 です。
SafeWord サーバ（SafeWord Server）	RADIUS ID ソースが SafeWord サーバである場合はこのチェックボックスをオンにします。
セカンダリサーバの有効化（Enable Secondary Server）	プライマリに障害が発生した場合にバックアップとして使用する Cisco ISE のセカンダリ RADIUS トークンサーバを有効にするには、このチェックボックスをオンにします。このチェックボックスをオンにする場合は、セカンダリ RADIUS トークンサーバを設定する必要があります。
常にプライマリサーバに最初にアクセスする（Always Access Primary Server First）	Cisco ISE が常にプライマリサーバに最初にアクセスするには、このオプションボタンをクリックします。
経過後にプライマリサーバにフォールバック（Fallback to Primary Server after）	プライマリサーバに到達できない場合に Cisco ISE がセカンダリ RADIUS トークンサーバを使用して認証できる時間（分単位）を指定するには、このオプションボタンをクリックします。この時間を過ぎると、Cisco ISE はプライマリサーバに対する認証を再試行します。
プライマリサーバ（Primary Server）
ホスト名/アドレス（Host IP）	プライマリ RADIUS トークンサーバの IP アドレスを入力します。このフィールドには、文字列として表される有効な IP アドレスを入力できます。このフィールドで使用できる文字は、数字とドット（.）です。
共有秘密鍵（Shared Secret）	この接続のプライマリ RADIUS トークンサーバで設定されている共有秘密を入力します。
認証ポート（Authentication Port）	プライマリ RADIUS トークンサーバが受信しているポート番号を入力します。
サーバタイムアウト（Server timeout）	プライマリサーバがダウンしていると判断する前に Cisco ISE がプライマリ RADIUS トークンサーバからの応答を待つ時間（秒単位）を指定します。
接続試行回数（Connection Attempts）	セカンダリサーバ（定義されている場合）に移動する前、またはセカンダリサーバが定義されていない場合は要求をドロップする前に、Cisco ISE がプライマリサーバへの再接続を試行する回数を指定します。
セカンダリサーバ（Secondary Server）
ホスト名/アドレス（Host IP）	セカンダリ RADIUS トークンサーバの IP アドレスを入力します。このフィールドには、文字列として表される有効な IP アドレスを入力できます。このフィールドで使用できる文字は、数字とドット（.）です。
共有秘密鍵（Shared Secret）	この接続のセカンダリ RADIUS トークンサーバで設定されている共有秘密を入力します。
認証ポート（Authentication Port）	セカンダリ RADIUS トークンサーバが受信しているポート番号を入力します。有効な値は 1 ～ 65,535 です。デフォルトは 1812 です。
サーバタイムアウト（Server timeout）	セカンダリサーバがダウンしていると判断する前に Cisco ISE がセカンダリ RADIUS トークンサーバからの応答を待つ時間（秒単位）を指定します。
接続試行回数（Connection Attempts）	要求をドロップする前に Cisco ISE がセカンダリサーバへの再接続を試行する回数を指定します。

RSA SecurID ID ソースの設定

次の表では、RSA SecurID ID ソースを作成し、それに接続するために使用できる [RSA SecurID ID ソース（RSA SecurID Identity Sources）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [ID の管理（Identity Management）] > [外部 ID ソース（External Identity Sources）] > [RSA SecurID] です。

RSA プロンプトの設定

次の表では、[RSA プロンプト（RSA Prompts）] タブ内のフィールドについて説明します。

表 38. RSA プロンプトの設定
フィールド	使用上のガイドライン
パスコードプロンプトの入力（Enter Passcode Prompt）	パスコードを取得するテキスト文字列を入力します。
次のトークンコードの入力（Enter Next Token Code）	次のトークンを要求するテキスト文字列を入力します。
PIN タイプの選択（Choose PIN Type）	PIN タイプを要求するテキスト文字列を入力します。
システム PIN の受け入れ（Accept System PIN）	システム生成の PIN を受け付けるテキスト文字列を入力します。
英数字 PIN の入力（Enter Alphanumeric PIN）	英数字 PIN を要求するテキスト文字列を入力します。
数値 PIN の入力（Enter Numeric PIN）	数値 PIN を要求するテキスト文字列を入力します。
PIN の再入力（Re-enter PIN）	ユーザに PIN の再入力を要求するテキスト文字列を入力します。

RSA メッセージ設定（RSA Message Settings）

次の表では、[RSA メッセージ（RSA Messages）] タブ内のフィールドについて説明します。

表 39. RSA メッセージ設定（RSA Messages Settings）
フィールド	使用上のガイドライン
システム PIN メッセージの表示（Display System PIN Message）	システム PIN メッセージのラベルにするテキスト文字列を入力します。
システム PIN 通知の表示（Display System PIN Reminder）	ユーザに新しい PIN を覚えるように通知するテキスト文字列を入力します。
数字を入力する必要があるエラー（Must Enter Numeric Error）	PIN には数字のみを入力するようにユーザに指示するメッセージを入力します。
英数字を入力する必要があるエラー（Must Enter Alpha Error）	PIN には英数字のみを入力するようにユーザに指示するメッセージを入力します。
PIN 受け入れメッセージ（PIN Accepted Message）	ユーザの PIN がシステムによって受け入れられたときに表示されるメッセージを入力します。
PIN 拒否メッセージ（PIN Rejected Message）	ユーザの PIN がシステムによって拒否されたときに表示されるメッセージを入力します。
ユーザの PIN が異なるエラー（User Pins Differ Error）	ユーザが不正な PIN を入力したときに表示されるメッセージを入力します。
システム PIN 受け入れメッセージ（System PIN Accepted Message）	ユーザの PIN がシステムによって受け入れられたときに表示されるメッセージを入力します。
不正パスワード長エラー（Bad Password Length Error）	ユーザが指定した PIN が、PIN 長ポリシーで指定されている範囲に収まらない場合に表示されるメッセージを入力します。

ネットワークリソース

ネットワークデバイス

これらのページを使用すると、ネットワークデバイスを追加し、管理することができます。

ネットワークデバイス定義の設定

次の表は、Cisco ISE のネットワークアクセスデバイスを設定するために使用できる [ネットワークデバイス（Network Devices）] ページのフィールドについて説明しています。このページへのナビゲーションパスは、[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] です。

ネットワークデバイスの設定

次の表に、[ネットワークデバイス（Network Device）] セクションのフィールドを示します。

表 40. ネットワークデバイスの設定

フィールド

説明

名前（Name）

ネットワークデバイスの名前を入力します。

ネットワークデバイスに、デバイスのホスト名とは異なるわかりやすい名前を指定できます。デバイス名は論理識別子です。

（注）

一度設定したデバイスの名前は編集できません。

説明

デバイスの説明を入力します。

IP アドレス/IP 範囲（IP Address/IP Ranges）

次のいずれかを実行します。

[IP アドレス（IP Address）]：単一の IP アドレス（IPv4 または IPv6 アドレス）とサブネットマスクを入力します。
[IP 範囲（IP Ranges）]：必要な IPv4 アドレス範囲を入力します。[除外（Exclude）] テキストボックスに IP アドレスまたは IP アドレス範囲を入力して、認証時に IP アドレスを除外することもできます。

IP アドレスとサブネットマスクまたは IP アドレス範囲を定義するときに従う必要があるガイドラインを次に示します。

特定の IP アドレスを定義するか、サブネットマスクを使用して範囲を定義できます。デバイス A の IP アドレス範囲が定義されている場合、デバイス A に定義されている範囲の個別のアドレスを別のデバイス B に設定できます。
すべてのオクテットの IP アドレス範囲を定義できます。IP アドレスの範囲を指定するときに、ハイフン（-）またはアスタリスク（*）をワイルドカードとして使用できます。たとえば、*.*.*.*、1-10.1-10.1-10.1-10 または 10-11.*.5.10-15 などです。
サブセットがすでに追加されている場合には、設定された範囲からその IP アドレス範囲のサブセットを除外できます。たとえば、10.197.65.*/10.197.65.1 または 10.197.65.* exclude 10.197.65.1 などです。
同じ IP アドレスを持つ 2 台のデバイスを定義することはできません。
同じ IP 範囲を持つ 2 台のデバイスを定義することはできません。IP 範囲は、一部または全部が重複することはできません。

デバイスタイプ（Device Type）

ドロップダウンリストをクリックして、ネットワークデバイスのベンダーを選択します。

ドロップダウンリストの横にあるツールのヒントを使用して、選択したベンダーのネットワークデバイスがサポートしているフローおよびサービスと、デバイスで使用されている RADIUS CoA ポートと URL リダイレクトのタイプを表示できます。これらの属性は、デバイスタイプのネットワークデバイスプロファイルで定義されます。

モデル名（Model Name）

ドロップダウンリストをクリックして、デバイスモデルなどを選択します。

モデル名は、ルールベースのポリシーの条件をチェックするときに、パラメータの 1 つとして使用できます。この属性は、デバイスディクショナリにあります。

ソフトウェアバージョン（Software Version）

ドロップダウンリストをクリックして、ネットワークデバイスで実行するソフトウェアのバージョンを選択します。

ソフトウェアバージョンは、ルールベースのポリシーの条件をチェックするときに、パラメータの 1 つとして使用できます。この属性は、デバイスディクショナリにあります。

ネットワークデバイスグループ（Network Device Group）

[ロケーション（Location）] および [デバイスタイプ（Device Type）] ドロップダウンリストをクリックし、ネットワークデバイスに関連付けることができるロケーションとデバイスタイプを選択します。

グループを設定するときに、明確にデバイスをグループに割り当てないと、そのデバイスはデフォルトのデバイスグループ（ルート NDG）に含まれます。これにより、ロケーションはすべてのロケーション、デバイスタイプはすべてのデバイスタイプとなり、デフォルトのデバイスグループ（ルート NDG）が割り当てられます。たとえば、すべてのロケーションとすべてのデバイスグループなどです。

RADIUS 認証設定

次の表では、[RADIUS 認証設定（RADIUS Authentication Settings）] セクションのフィールドについて説明します。

表 41. RADIUS 認証設定

フィールド

使用上のガイドライン

RADIUS UDP の設定

Protocol

選択したプロトコルとして RADIUS を表示します。

共有秘密鍵（Shared Secret）

ネットワークデバイスの共有秘密鍵を入力します。

共有秘密鍵は、pac オプションを指定した radius-host コマンドを使用してネットワークデバイスに設定したキーです。

（注）

共有秘密鍵の長さは、[デバイスのセキュリティ設定（Device Security Settings）] ページの [RADIUS共有秘密鍵の最小長（Minimum RADIUS Shared Secret Length）] フィールドで設定された値と同等以上である必要があります（[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [デバイスセキュリティ設定（Device Security Settings）]）。

RADIUS サーバでのベストプラクティスは、22 文字にすることです。新規インストールとアップグレードした展開の場合、デフォルトではこの値は 4 文字であることに注意してください。この値は [デバイスセキュリティ設定（Device Security Settings）] ページで変更できます。

CoA ポート（CoA Port）

RADIUS CoA に使用するポートを指定します。

デバイスのデフォルトの CoA ポートはネットワークデバイスプロファイルで定義されます。

（注）

[RADIUS 認証設定（RADIUS Authentication Settings）] の [ネットワークデバイス（Network Devices）] ページ（[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）]）で指定した CoA ポートを変更する場合は、[ネットワークデバイスプロファイル（Network Device Profile）] ページ（[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイスプロファイル（Network Device Profiles）]）で対応するプロファイルに同じ CoA ポートを指定します。

RADIUS DTLS の設定

必要な DTLS

このオプションを有効にすると、Cisco ISE ではこのデバイスからの DTLS 要求だけが処理されます。このオプションを無効にすると、Cisco ISE ではこのデバイスからの UDP 要求と DTLS 要求の両方が処理されます。

RADIUS DTLS は SSL トンネルの確立および RADIUS の通信用に強化されたセキュリティを提供します。

共有秘密鍵（Shared Secret）

RADIUS DTLS に使用される共有秘密鍵が表示されます。この値は固定されており、MD5 整合性チェックを計算するために使用されます。

CoA ポート（CoA Port）

RADIUS DTLS CoA に使用するポートを指定します。

CoA の ISE 証明書の発行元 CA

ドロップダウンリストから RADIUS DTLS CoA に使用する認証局を選択します。

DNS 名

ネットワークデバイスの DNS 名を入力します。[RADIUS/DTLS クライアント ID 検証の有効化（Enable RADIUS/DTLS Client Identity Verification）] オプションが RADIUS 設定で有効になっている場合、Cisco ISE はこの DNS 名とクライアント証明書で指定されている DNS 名を比較して、ネットワークデバイスの ID を確認します。

全般設定

KeyWrap の有効化（Enable KeyWrap）

ネットワークデバイスでサポートされる場合にのみ、このチェックボックスをオンにします。これにより、AES KeyWrap アルゴリズムによって RADIUS のセキュリティが強化されます。

（注）

FIPS モードで Cisco ISE を実行する場合は、ネットワークデバイス上で KeyWrap を有効にする必要があります。

キー暗号キー（Key Encryption Key）

（KeyWrap を有効にしている場合だけ表示されます）セッション暗号化（秘密）に使用される暗号キーを入力します。

メッセージオーセンティケータコードキー（Message Authenticator Code Key）

（KeyWrap を有効にしている場合だけ表示されます）RADIUS メッセージのキー付き Hashed Message Authentication Code（HMAC）の計算に使用されるキーを入力します。

キー入力形式（Key Input Format）

次の形式のいずれか 1 つを選択します。

[ASCII]：キー暗号キーの長さは 16 文字（バイト）、メッセージオーセンティケータコードキーの長さは 20 文字（バイト）である必要があります。
[16 進数（Hexadecimal）]：キー暗号キーの長さは 32 バイトであり、メッセージオーセンティケータコードキーの長さは 40 バイトである必要があります。

Cisco ISE FIPS 暗号キーの入力に使用するキー入力形式を指定します。これは、WLC の設定と一致する必要があります（指定する値はキーの正しい（全体の）長さにする必要があり、それよりも短い値は許可されません）。

TACACS+ 認証設定

次の表では、ネットワークデバイスの TACACS+ 認証を設定するために使用できる [ネットワークデバイス（Network Devices）] ページのフィールドについて説明します。ナビゲーションパスは次のとおりです。

（ネットワークデバイスの場合）[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [追加（Add）] > [TACACS認証設定（TACACS Authentication Settings）]。
（デフォルトのデバイスの場合）[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [デフォルトのデバイス（Default Devices）] > [TACACS認証設定（TACACS Authentication Settings）]。詳細については、「デフォルトのネットワークデバイス定義」を参照してください。


フィールド	使用上のガイドライン
共有秘密鍵（Shared Secret）	TACACS+ プロトコルがイネーブルのときにネットワークデバイスに割り当てられたテキストの文字列。ユーザは、ネットワークデバイスによってユーザ名およびパスワードが認証される前にテキストを入力する必要があります。ユーザが共有秘密情報を提示するまで、接続は拒否されます。これは必須フィールドではありません。
廃止された共有秘密がアクティブです（Retired Shared Secret is Active）	リタイアメント期間がアクティブな場合に表示されます。
廃止（Retire）	既存の共有秘密を終了する代わりに廃止します。[廃止（Retire）] をクリックすると、メッセージボックスが表示されます。[はい（Yes）] または [いいえ（No）] をクリックできます。
残りの廃止期間（Remaining Retired Period）	（上のメッセージボックスで [はい（Yes）] を選択した場合にのみ利用可能）次のナビゲーションパスで指定されたデフォルト値が表示されます。[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [設定（Settings）] > [接続設定（Connection Settings）] > [デフォルトの共有秘密リタイアメント期間（Default Shared Secret Retirement Period）]。デフォルト値は変更することができます。これにより、新しい共有秘密を入力でき、古い共有秘密は指定された日数にわたってアクティブなままになります。
終了（End）	（上のメッセージボックスで [はい（Yes）] を選択した場合にのみ利用可能）リタイアメント期間が終了し、古い共有秘密が終了します。
シングル接続モードを有効にする（Enable Single Connect Mode）	ネットワークデバイスとのすべての TACACS+ 通信に単一の TCP 接続を使用する場合にオンにします。次のいずれかを実行します。 [レガシーシスコデバイス（Legacy Cisco Devices）] または、[TACACS+ドラフトコンプライアンスシングル接続のサポート（TACACS+ Draft Compliance Single Connect Support）]。シングル接続モードをディセーブルにすると、ISE はすべての TACACS+ 要求に対して新しい TCP 接続を使用します。

SNMP 設定

次の表では、[SNMP 設定（SNMP Settings）] セクションのフィールドについて説明します。

表 42. SNMP 設定

フィールド

使用上のガイドライン

SNMP バージョン（SNMP Version）

[バージョン（Version）] ドロップダウンリストから要求に使用される SNMP のバージョンを選択します。

次のバージョンがあります。

1：SNMPv1 は informs をサポートしていません。
2c

3：SNMPv3 は、[Priv] セキュリティレベルを選択した場合にパケット暗号化が可能であるため、最もセキュアなモデルです。

（注）

ネットワークデバイスに SNMPv3 パラメータを設定した場合、モニタリングサービス（[操作（Operations）] > [レポート（Reports）] > [カタログ（Catalog）] > [ネットワークデバイス（Network Device）] > [セッションステータス概要（Session Status Summary）]）によって提供されるネットワークデバイスセッションステータス概要レポートを生成できません。ネットワークデバイスが SNMPv1 または SNMPv2c パラメータを使用して設定されている場合は、このレポートを正常に生成できます。

SNMP RO コミュニティ（SNMP RO Community）

（SNMP バージョン 1 および 2c で選択された場合のみ）Cisco ISE にデバイスへの特定タイプのアクセスを提供する読み取り専用コミュニティストリングを入力します。

（注）

キャレット記号（曲折アクセント付き ^）を使用することはできません。

SNMP ユーザ名（SNMP Username）

（SNMP バージョン 3 の場合のみ）SNMP ユーザ名を入力します。

セキュリティレベル（Security Level）

（SNMP バージョン 3 の場合のみ）次からセキュリティレベルを選択します。

[Auth]：Message Digest 5 またはセキュアハッシュアルゴリズム（SHA）パケット認証をイネーブルにします
[No Auth]：認証なし、プライバシーなしのセキュリティレベル。
[Priv]：データ暗号規格（DES）パケットの暗号化をイネーブルにします

認証プロトコル（Auth Protocol）

（SNMP バージョン 3 でセキュリティレベル Auth および Priv を選択した場合のみ）ネットワークデバイスで使用する認証プロトコルを選択します。

認証プロトコルには、Auth および Priv のセキュリティレベルに対して次のいずれかが含まれます。

認証パスワード（Auth Password）

（SNMP バージョン 3 でセキュリティレベル Auth および Priv を選択した場合のみ）認証キーを入力します。このキーは 8 文字以上の長さにする必要があります。

デバイスにすでに設定されている認証パスワードを表示するには、[表示（Show）] をクリックします。

（注）

キャレット記号（曲折アクセント付き ^）をパスワードで使用することはできません。

プライバシープロトコル（Privacy Protocol）

（SNMP バージョン 3 でセキュリティレベル Priv を選択した場合のみ）ネットワークデバイスで使用するプライバシープロトコルを選択します。

プライバシープロトコルは次のいずれかです。

DES
AES128
AES192
AES256
3DES

プライバシーパスワード（Privacy Password）

（SNMP バージョン 3 でセキュリティレベル Priv を選択した場合のみ）プライバシーキーを入力します。

デバイスにすでに設定されているプライバシーパスワードを表示するには、[表示（Show）] をクリックします。

（注）

キャレット記号（曲折アクセント付き ^）をパスワードで使用することはできません。

ポーリング間隔（Polling Interval）

ポーリング間隔を秒単位で入力します。デフォルトは 3600 秒です。

リンクトラップクエリー（Link Trap Query）

SNMP トラップを介して受信する linkup 通知と linkdown 通知を受信して解釈するには、このチェックボックスをオンにします。

MAC トラップクエリ（MAC Trap Query）

SNMP トラップを介して受信する MAC 通知を受信して解釈するには、このチェックボックスをオンにします。

送信元ポリシーサービスノード（Originating Policy Service Node）

SNMP データのポーリングに使用される ISE サーバを示します。デフォルトでは自動ですが、別の値を割り当てて設定を上書きできます。

高度な TrustSec 設定

次の表は、[高度なTrustSec設定（Advanced TrustSec Settings）] セクションのフィールドについて説明しています。

表 43. 高度な TrustSec 設定
フィールド	使用上のガイドライン
TrustSec デバイスの通知および更新の設定
TrustSec ID にデバイス ID を使用（Use Device ID for TrustSec Identification）	[デバイスID（Device ID）] フィールドにデバイス ID としてデバイス名をリストするには、このチェックボックスをオンにします。
デバイスID （Device ID）	[TrustSec IDにデバイスIDを使用（Use Device ID for TrustSec Identification）] チェックボックスがオンでない場合にのみ、このフィールドにデバイス ID を入力できます。
[パスワード（Password）]	TrustSec デバイスを認証するために TrustSec デバイス CLI で設定したパスワードを入力します。 TrustSec デバイスの認証に使用されるパスワードを表示するには、[表示（Show）] をクリックします。
環境データのダウンロード間隔 <...>（Download Environment Data Every <...>）	デバイスが Cisco ISE から環境データをダウンロードする必要がある時間間隔を指定します。時間を秒、分、時、日、または週で指定できます。デフォルト値は 1 日です。
ピア許可ポリシーのダウンロード間隔 <...>（Download Peer Authorization Policy Every <...>）	デバイスが Cisco ISE からピア許可ポリシーをダウンロードする必要がある時間間隔を指定します。時間を秒、分、時、日、または週で指定できます。デフォルト値は 1 日です。
再認証間隔 <...>（Reauthentication Every <...>）	最初の認証後、デバイスが Cisco ISE に対して自身を再認証する時間間隔を指定します。時間を秒、分、時、日、または週で設定できます。たとえば 1000 秒と入力すると、デバイスは 1000 秒ごとに Cisco ISE に対して自身を認証します。デフォルト値は 1 日です。
SGACL リストのダウンロード間隔 <...>（Download SGACL Lists Every <...>）	デバイスが Cisco ISE から SGACL をダウンロードする必要がある時間間隔を指定します。時間を秒、分、時、日、または週で設定できます。デフォルト値は 1 日です。
その他の TrustSec デバイスでこのデバイスを信頼する（信頼できる TrustSec）（Other TrustSec Devices to Trust This Device (TrustSec Trusted)）	すべてのピアデバイスでこの TrustSec デバイスを信頼する場合は、このチェックボックスをオンにします。このチェックボックスをオフにした場合、ピアデバイスはこのデバイスを信頼せず、このデバイスから到着したすべてのパケットが適宜色付けまたはタグ付けされます。
TrustSec 設定の変更についてこのデバイスに通知する（Notify this device about TrustSec configuration changes）	Cisco ISE でこの TrustSec デバイスに TrustSec CoA 通知を送信するには、このチェックボックスをオンにします。
デバイス設定の展開設定
セキュリティグループタグマッピングの展開時にこのデバイスを含める（Include this device when deploying Security Group Tag Mapping Updates）	この TrustSec デバイスで、デバイスインターフェイスクレデンシャルを使用して IP と SGT の間のマッピングを取得するには、このチェックボックスをオンにします。
EXEC モードユーザ名（EXEC Mode Username）	TrustSec デバイスへのログインに使用するユーザ名を入力します。
EXEC モードパスワード（EXEC Mode Password）	デバイスパスワードを入力します。
有効モードパスワード（Enable Mode Password）	（省略可能）特権モードで TrustSec デバイスの構成を編集するために使用する有効なパスワードを入力します。
アウトオブバンド TrustSec PAC ディスプレイ（Out Of Band TrustSec PAC Display）
発行日（Issue Date）	この TrustSec デバイス用に Cisco ISE によって生成された最後の TrustSec PAC の発行日を表示します。
期限日（Expiration Date）	この TrustSec デバイス用に Cisco ISE によって生成された最後の TrustSec PAC の有効期限を表示します。
発行元（Issued By）	このデバイス用に Cisco ISE によって生成された最後の TrustSec PAC の発行者（TrustSec 管理者）の名前を表示します。
PAC の生成（Generate PAC）	TrustSec デバイスのアウトオブバンド TrustSec PAC を生成するには、このオプションをクリックします。

デフォルトのネットワークデバイス定義の設定

次の表に、Cisco ISE が RADIUS または TACACS+ 認証に使用できる、デフォルトのネットワークデバイスを設定できるようにする [デフォルトのネットワークデバイス（Default Network device）] ページのフィールドを示します。次のいずれかのナビゲーションパスを選択します。

[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [デフォルトのデバイス（Default Devices）]
[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [デフォルトのデバイス（Default Devices）]

表 44. デフォルトのネットワークデバイス定義の設定

フィールド

使用上のガイドライン

デフォルトのネットワークデバイスのステータス（Default Network Device Status）

デフォルトのネットワークデバイス定義を有効にするには、[デフォルトのネットワークデバイスのステータス（Default Network Device Status）] ドロップダウンリストから [有効化（Enable）] を選択します。

（注）

デフォルトデバイスが有効になっている場合、RADIUS または TACACS+ で認証設定を有効にする必要があります。

デバイスプロファイル

デフォルトのデバイスベンダーとしてシスコを表示します。

RADIUS 認証設定

RADIUS の有効化

デバイスへの RADIUS 認証を有効にする場合は、このチェックボックスをオンにします。

RADIUS UDP の設定

共有秘密鍵（Shared Secret）

共有秘密を入力します。共有秘密情報の長さは、最大 127 文字です。

共有秘密鍵は、pac オプションを指定した radius-host コマンドを使用してネットワークデバイスに設定したキーです。

（注）

共有秘密鍵の長さは、[デバイスのセキュリティ設定（Device Security Settings）] ページの [RADIUS 共有秘密鍵の最小長（Minimum RADIUS Shared Secret Length）] フィールドで設定された値と同等以上である必要があります（[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [デバイスセキュリティ設定（Device Security Settings）]）。デフォルトでは、この値は新規インストールとアップグレードされた展開用は 4 文字です。RADIUS サーバでのベストプラクティスは、22 文字にすることです。

RADIUS DTLS の設定

必要な DTLS

RADIUS DTLS は SSL トンネルの確立および RADIUS の通信用に強化されたセキュリティを提供します。

共有秘密鍵（Shared Secret）

RADIUS DTLS に使用される共有秘密鍵が表示されます。この値は固定されており、MD5 整合性チェックを計算するために使用されます。

CoA の ISE 証明書の発行元 CA

ドロップダウンリストから RADIUS DTLS CoA に使用する認証局を選択します。

全般設定

KeyWrap の有効化（Enable KeyWrap）

FIPS モードで Cisco ISE を実行する場合は、ネットワークデバイス上で KeyWrap を有効にする必要があります。

キー暗号キー（Key Encryption Key）

KeyWrap を有効にしているときに、セッションの暗号化（秘密）に使用される暗号キーを入力します。

メッセージオーセンティケータコードキー（Message Authenticator Code Key）

KeyWrap を有効にしているときに、RADIUS メッセージに対するキー付き Hashed Message Authentication Code（HMAC）の計算に使用されるキーを入力します。

キー入力形式（Key Input Format）

次の形式のいずれか 1 つを選択します。

[ASCII]：キー暗号キーの長さは 16 文字（バイト）、メッセージオーセンティケータコードキーの長さは 20 文字（バイト）である必要があります。
[16 進数（Hexadecimal）]：キー暗号キーの長さは 32 バイトであり、メッセージオーセンティケータコードキーの長さは 40 バイトである必要があります。

Cisco ISE FIPS 暗号キーの入力に使用するキー入力形式を指定します。これは、WLC の設定と一致する必要があります指定する値はキーの正しい（全体の）長さにする必要があります。それよりも短い値は許可されません。

TACACS 認証設定

共有秘密鍵（Shared Secret）

TACACS+ プロトコルがイネーブルのときにネットワークデバイスに割り当てられたテキストの文字列。ユーザは、ネットワークデバイスによってユーザ名およびパスワードが認証される前にテキストを入力する必要があります。ユーザが共有秘密情報を提示するまで、接続は拒否されます。

廃止された共有秘密がアクティブです（Retired Shared Secret is Active）

リタイアメント期間がアクティブな場合に表示されます。

廃止（Retire）

既存の共有秘密を終了する代わりに廃止します。[廃止（Retire）] をクリックすると、メッセージボックスが表示されます。[はい（Yes）] または [いいえ（No）] をクリックできます。

残りの廃止期間（Remaining Retired Period）

（上のメッセージボックスで [はい（Yes）] を選択した場合にのみ利用可能）次のナビゲーションパスで指定されたデフォルト値が表示されます。[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [設定（Settings）] > [接続設定（Connection Settings）] > [デフォルトの共有秘密リタイアメント期間（Default Shared Secret Retirement Period）]。デフォルト値は変更することができます。

これにより、新しい共有秘密を入力でき、古い共有秘密は指定された日数にわたってアクティブなままになります。

終了（End）

（上のメッセージボックスで [はい（Yes）] を選択した場合にのみ利用可能）リタイアメント期間が終了し、古い共有秘密が終了します。

シングル接続モードを有効にする（Enable Single Connect Mode）

ネットワークデバイスとのすべての TACACS+ 通信に単一の TCP 接続を使用する場合にオンにします。次のいずれかを実行します。

[レガシーシスコデバイス（Legacy Cisco Devices）]
または、[TACACS+ドラフトコンプライアンスシングル接続のサポート（TACACS+ Draft Compliance Single Connect Support）]。このオプションをディセーブルにすると、すべての TACACS+ 要求に対して新しい TCP 接続が ISE で使用されます。

デバイスセキュリティ設定

RADIUS 共有秘密の最小長を指定します。新規インストールとアップグレードした展開の場合、デフォルトではこの値は 4 文字になります。RADIUS サーバでのベストプラクティスは、22 文字にすることです。

（注）

[ネットワークデバイス（Network Devices）] ページに入力した共有秘密の長さは、[デバイスセキュリティ設定（Device Security Settings）] ページの [RADIUS 共有秘密の最小長（Minimum RADIUS Shared Secret Length）] フィールドで設定した値以上でなければなりません。

ネットワークデバイスのインポート設定

次の表では、ネットワークデバイスの詳細を Cisco ISE にインポートするために使用する [ネットワークデバイスインポート（Network Device Import）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] です。

表 45. ネットワークデバイスのインポート設定
フィールド	使用上のガイドライン
テンプレートの生成（Generate a Template）	カンマ区切り形式（.csv）テンプレートファイルを作成するには、このリンクをクリックします。同じ形式のネットワークデバイス情報でテンプレートを更新し、それらのネットワークデバイスを Cisco ISE 展開にインポートするためにローカルで保存します。
ファイル（File）	作成したか、または Cisco ISE 展開から以前にエクスポートしたカンマ区切り形式ファイルの場所を参照するには、[参照（Browse）] をクリックします。インポートを使用して、新しい、更新されたネットワークデバイス情報を含むネットワークデバイスを別の Cisco ISE 展開にインポートできます。
新しいデータで既存のデータを上書き（Overwrite existing data with new data）	Cisco ISE で既存のネットワークデバイスをインポートファイル内のデバイスに置き換える場合は、このチェックボックスをオンにします。このチェックボックスをオンにしない場合、インポートファイル内の新しいネットワークデバイス定義がネットワークデバイスリポジトリに追加されます。重複エントリは無視されます。
最初のエラーでインポートを停止（Stop Import on First Error）	インポート中にエラーが発生したときに Cisco ISE にインポートを中止させる場合、このチェックボックスをオンにしますが、Cisco ISE はエラーのその時点までネットワークデバイスをインポートします。このチェックボックスがオフで、エラーが発生した場合は、エラーが報告され、Cisco ISE はデバイスを引き続きインポートします。

ネットワークデバイスグループ（Network Device Groups）

これらのページを使用すると、ネットワークデバイスグループを設定し、管理することができます。

ネットワークデバイスグループの設定

次の表では、ネットワークデバイスグループを作成するために使用できる [ネットワークデバイスグループ（Network Device Groups）] ページのフィールドについて説明します。このページへのナビゲーションパスは、[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイスグループ（Network Device Groups）] > [グループ（Groups）] です。

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークデバイスグループ（Network Device Groups）] > [グループ（Groups）] ページでネットワークデバイスグループを作成することもできます。

表 46. ネットワークデバイスグループの設定
フィールド	使用上のガイドライン
[名前（Name）]	ルートネットワークデバイスグループ（NDG）の名前を入力します。ルート NDG の下の後続のすべての子ネットワークデバイスグループに対して、新しいネットワークデバイスグループの名前を入力します。ルートノードを含み、

Cisco Identity Services Engine リリース 2.3 管理者ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： 管理のユーザ インターフェイスのリファレンス

管理のユーザ インターフェイスのリファレンス

展開設定

展開のノード リスト ページ

ノードの一般設定

プロファイリング ノードの設定

証明書ストアの設定

自己署名証明書の設定

証明書署名要求の設定

発行および失効した証明書

証明書のステータス（OCSP または CRL）を確認します。

システム証明書のインポート設定

[信頼できる証明書ストア（Trusted Certificate Store）] ページ

証明書設定の編集

信頼できる証明書のインポート設定

OCSP クライアント プロファイル設定

内部 CA の設定

証明書テンプレートの設定

ロギングの設定

リモート ロギング ターゲットの設定

ロギング カテゴリの設定

メンテナンスの設定

リポジトリの設定

オンデマンド バックアップの設定

スケジュール バックアップの設定

ポリシーのエクスポート設定のスケジュール

管理者アクセスの設定

管理者パスワード ポリシーの設定

セッション タイムアウトおよびセッション情報の設定

Settings

ポスチャの全般設定

ポスチャ再評価の構成設定

ポスチャの利用規定の構成設定

EAP-FAST 設定

PAC の設定

EAP-TTLS 設定

EAP-TLS 設定

PEAP 設定

RADIUS 設定

一般 TrustSec の設定

TrustSec マトリックスの設定

SMS ゲートウェイ設定（SMS Gateway Settings）

DHCP および DNS サービス

DHCP オプション

ID の管理

エンドポイント

エンドポイント設定

エンドポイントの、LDAP からのインポートの設定

グループ（Groups）

エンドポイント ID グループの設定

外部 ID ソース

LDAP ID ソースの設定

LDAP 一般設定

LDAP の接続設定

[LDAP] の [ディレクトリ構成（Directory Organization）] タブ

LDAP グループ設定

LDAP 属性設定

LDAP 詳細設定

RADIUS トークン ID ソースの設定

RSA SecurID ID ソースの設定

RSA プロンプトの設定

RSA メッセージ設定（RSA Message Settings）

ネットワーク リソース

ネットワーク デバイス

ネットワーク デバイス定義の設定

ネットワーク デバイスの設定

RADIUS 認証設定

TACACS+ 認証設定

SNMP 設定

高度な TrustSec 設定

デフォルトのネットワーク デバイス定義の設定

デバイス セキュリティ設定

ネットワーク デバイスのインポート設定

ネットワーク デバイス グループ（Network Device Groups）

ネットワーク デバイス グループの設定

章のタイトル：管理のユーザインターフェイスのリファレンス

管理のユーザインターフェイスのリファレンス

展開のノードリストページ

プロファイリングノードの設定

OCSP クライアントプロファイル設定

リモートロギングターゲットの設定

ロギングカテゴリの設定

オンデマンドバックアップの設定

スケジュールバックアップの設定

管理者パスワードポリシーの設定

セッションタイムアウトおよびセッション情報の設定

ネットワークリソース

ネットワークデバイス

ネットワークデバイス定義の設定

ネットワークデバイスの設定

デフォルトのネットワークデバイス定義の設定

デバイスセキュリティ設定

ネットワークデバイスのインポート設定

ネットワークデバイスグループ（Network Device Groups）

ネットワークデバイスグループの設定