ポリシー要素

この章では、Cisco ISE および Cisco Secure ACS のポリシー要素について説明します。

Cisco ISE および Cisco Secure ACS パリティ

Cisco ISE には、Cisco Secure ACS とのパリティを実現するための次の機能が導入されています。

個々のユーザに設定された日付が特定の期間を超えている場合、ユーザアカウントを無効にします
すべてのユーザにグローバルに設定された日付が特定の期間を超えている場合、ユーザアカウントを無効にします
n 日間の設定後にユーザアカウントをグローバルに無効にします
n 日間の非アクティブ後にユーザアカウントを無効にします
Active Directory での MAR 構成
動的属性で構成される許可プロファイル
service-type RADIUS 属性の 2 つの新しい値
300,000 のユーザに対する内部ユーザサポートの向上
外部 ID ストアパスワードに対する内部ユーザの認証
端末ワイヤレス LAN ユニット（TWLU）クライアントに対する EAP-TLS 認証実行時に長さを含むフラグを使用
LDAP ID ストアのグループ名属性に対する共通名と識別名のサポート

Cisco ISE および Cisco Secure ACS のパリティ機能の詳細については、『Cisco Identity Services Engine 2.1 Administration Guide』を参照してください。

ポリシーモデル

Cisco Secure ACS と Cisco ISE の両方にはシンプルなルールベースの認証パラダイムがありますが、Cisco Secure ACS と Cisco ISE は異なるポリシーモデルに基づいており、そのため Cisco Secure ACS 5.5 以降から Cisco ISE への移行ポリシーが少し複雑になっています。

Cisco Secure ACS のポリシー階層は、認証要求をアクセスサービスにリダイレクトするサービス選択ルールで始まります。アクセスサービスは、内部または外部の ID ストアに対してユーザを認証し、定義された条件に基づいてユーザを承認する ID ポリシーと許可ポリシーで構成されます。

認証ポリシーおよび許可ポリシーは、Cisco Secure ACS リリース 5.5 以降から Cisco ISE リリース 2.4 に移行されます。Cisco ISE リリースは、Cisco Secure ACS リリース 5.5/5.6 のサービス選択ポリシー（SSP）と同様のポリシーセットと呼ばれる新しいポリシーモデルをサポートしているため、ポリシー移行プロセスが簡素化されます。

Cisco Secure ACS サービスセレクションポリシーと Cisco ISE ポリシーセット

Cisco Secure ACS リリース 5.5/5.6 サービス選択ポリシー（SSP）は、SSP のルールに基づいて適切なサービスに要求を配信しますが、Cisco ISE ポリシーセットは、ポリシーセットのエントリ基準を含むルールを保持します。ポリシーセットの順序はエントリルールと同じ順序で、SSP ルールの順序に類似しています。

複数の SSP ルールが Cisco Secure ACS で同じサービスまたはサービスの再利用を要求する場合があります。しかし、各ポリシーセットは独自のエントリ条件を持っているので、Cisco ISE でポリシーセットを再利用することはできません。複数の SSP ルールによって要求された 1 つのサービスを移行する場合、そのサービスのコピーである複数のポリシーセットを作成する必要があります。つまり、Cisco Secure ACS で同じサービスを要求する SSP ルールごとに Cisco ISE のポリシーセットを作成する必要があります。

Cisco Secure ACS で SSP ルールを無効またはモニタ対象として定義でき、ポリシーセットの同等のエントリルールは Cisco ISE で常に有効です。SSP ルールが Cisco Secure ACS で無効またはモニタ対象になっている場合、SSP ルールによって要求されたポリシーサービスは Cisco ISE に移行できません。

Cisco Secure ACS ポリシーアクセスサービスと Cisco ISE ポリシーセット

サービスを要求せずにポリシーサービスを定義できます。つまり、Cisco Secure ACS の SSP ルールによってポリシーサービスを非アクティブとして定義できます。Cisco Secure ACS リリース 5.5 以降には、既成の DenyAccess サービスがあり、そのサービスには Cisco Secure ACS のデフォルトの SSP ルールに対するポリシーも許可されるプロトコルもなく、自動的にすべての要求を拒否します。Cisco ISE には同等のポリシーセットはありません。しかし、Cisco ISE のポリシーセットを参照するエントリルールのないポリシーセットを持つことはできません。

許可されるプロトコルは、（特定のポリシーではなく）Cisco Secure ACS リリース 5.5 以降で条件付けられていない（サービス全体を指す SSP の条件を除く）サービス全体に接続されます。許可されるプロトコルは、Cisco ISE で条件付けられた外部ルールの結果としての認証ポリシーだけに適用されます。

ID ポリシーは、Cisco Secure ACS Release 5.5 以降の ID ソース（ID ソースおよび ID ストア順序）になるルールのフラットなリストです。認証ポリシーは、外部ポリシールールと内部ポリシールールの 2 レベルのルールを保持します。外部ポリシールールは許可されるプロトコルになり、内部ポリシールールのセットへのエントリ基準になります。内部ポリシールールは ID ソースになります。

Cisco Secure ACS リリース 5.5 以降および Cisco ISE リリース 2.4 には、各許可ポリシーに接続されるオプションの例外ポリシーが含まれています。Cisco ISE リリース 2.4 には、例外ポリシーに加えて、すべての許可ポリシーに影響を与えるオプションのグローバル例外ポリシーがあります。Cisco Secure ACS リリース 5.5 以降には、グローバル例外ポリシーに相当するポリシーがありません。認証時には、ローカル例外ポリシーが最初に処理され、続いてグローバル例外ポリシーおよび許可ポリシーが処理されます。

UTF-8 のサポート

Cisco ISE リリース 2.4 は、いくつかの管理設定に対して 8 ビットの Unicode Transformation Format（UTF-8）をサポートしています。以下の設定項目は、UTF-8 エンコーディングでエクスポートおよびインポートされます。

ネットワークアクセスのユーザ設定
RSA
RADIUS トークン
ポリシー
ID グループ名

ネットワークアクセスのユーザ設定

ユーザ名
パスワードおよびパスワードの再入力
名
姓
E メール

RSA

RSA プロンプトおよびメッセージは、サプリカントによってエンドユーザに示されます。

メッセージ
プロンプト

RADIUS トークン

RADIUS トークンプロンプトは、エンドユーザのサプリカントに示されます。

[認証（Authentication）] タブ > [プロンプト（Prompts）]
管理設定
管理者のユーザ名およびパスワード
UTF-8 を使用した管理者の設定

ポリシー

[認証（Authentication）] > [AV 式の値（Value for AV expression）]
[許可（Authorization）] > [その他の条件（Other Conditions）] > [AV 式の値（Value for AV expression）]
属性-値の条件
[認証（Authentication）] > [単純条件/複合条件（Simple Condition/compound Condition）] > [AV 式の値（Value for AV expression）]
[許可（Authorization）] > [単純条件/複合条件（Simple Condition/compound Condition）] > [AV 式の値（Value for AV expression）]

ISE 802.1X サービスに対する FIPS サポート

移行プロセスを完了する前に、Cisco ISE FIPS モードは有効にしないでください。

連邦処理標準（FIPS）をサポートするために、移行ツールはデフォルトのネットワークデバイスキーラップデータを移行します。

FIPS 準拠およびサポートされているプロトコル：

ホストルックアップの処理（Process Host Lookup）
Extensible Authentication Protocol-Translation Layer Security（EAP-TLS）
Protected Extensible Authentication Protocol（PEAP）
EAP-Flexible Authentication via Secure Tunneling（FAST）

FIPS 非準拠およびサポート対象外のプロトコル：

EAP- メッセージダイジェスト 5（MD5）
Password Authentication Protocol および ASCII
Challenge Handshake Authentication Protocol（CHAP）
Microsoft Challenge Handshake Authentication Protocol version 1（MS-CHAPv1）
Microsoft Challenge Handshake Authentication Protocol version 2（MS-CHAPv2）
Lightweight Extensible Authentication Protocol（LEAP）

Cisco Secure ACS to Cisco ISE Migration Tool リリース 2.4 ユーザガイド

偏向のない言語

翻訳について

Book Title

Cisco Secure ACS to Cisco ISE Migration Tool リリース 2.4 ユーザガイド

Chapter Title