Cisco Identity Services Engine リリース 2.7 インストールガイド

Cisco ISE 用のハードウェアおよび仮想アプライアンスの要件

Cisco Identity Services Engine（ISE）は、Cisco SNS のハードウェアまたは仮想アプライアンスにインストールできます。Cisco ISE ハードウェアアプライアンスと同等のパフォーマンスと拡張性を実現するには、仮想マシンに Cisco SNS 3500 または 3600 シリーズアプライアンスと同等のシステムリソースが割り当てられている必要があります。このセクションでは、Cisco ISE のインストールに必要なハードウェア、ソフトウェア、および仮想マシンの要件を示します。

（注）

仮想環境を強化し、すべてのセキュリティ更新が最新の状態であることを確認します。シスコは、ハイパーバイザで検出されたセキュリティ上の問題については責任を負いません。

Cisco Secured Network Server 3500 および 3600 シリーズアプライアンス

Cisco Secured Network Server（SNS）ハードウェアアプライアンスの仕様については、『Cisco Secure Network Server Data Sheet』の「Table 1, Product Specifications」を参照してください。

Cisco SNS 3500 シリーズアプライアンスについては、『Cisco SNS-3500 Series Appliance Hardware Installation Guide』を参照してください。

Cisco SNS 3600 シリーズアプライアンスについては、『Cisco SNS-3600 Series Appliance Hardware Installation Guide』を参照してください。

Cisco ISE 用の VMware 仮想マシンの要件

Cisco ISE は次の VMware サーバーとクライアントをサポートしています。

ESXi 5.x（5.1 U2 以上）の VMware バージョン 8（デフォルト）
ESXi 6.xVMware バージョン 11（デフォルト）
ESXi 7.x の VMware バージョン 13（デフォルト）

Cisco ISE では、仮想マシン（VM）インスタンス（任意のペルソナを実行）のホスト間での移行を可能にする、VMware コールドマイグレーション機能がサポートされます。該当のコールドマイグレーション機能が動作するには、次の条件を満たす必要があります。

Cisco ISE は、シャットダウンして電源をオフにする必要があります。 Cisco ISE では、移行中にデータベース操作を停止または一時停止できません。このような操作は、データ破損の問題につながる可能性があります。したがって、移行中は Cisco ISE が実行されておらずアクティブでないことを確認します。

（注）

データベースの破損の問題を防ぐために、halt コマンドを使用する前、または VM の電源をオフにする前に、application stop コマンドを使用する必要があります。
Cisco ISE VM はホットマイグレーション（vMotion）をサポートしていません。

vMotion の要件の詳細については、VMware のドキュメントを参照してください。

注意	VM でスナップショット機能が有効になっていると、VM 設定が破損する可能性があります。この問題が発生した場合、VM のイメージを再作成し、VM のスナップショットを無効にする必要があります。

（注）

Cisco ISE は、ISE データのバックアップ用の VMware スナップショットをサポートしていません。これは、VMware スナップショットが特定の時点で VM のステータスを保存するためです。マルチノード Cisco ISE 環境では、すべてのノードのデータは、現在のデータベース情報と継続的に同期されます。スナップショットを復元すると、データベースのレプリケーションと同期の問題を引き起こす可能性があります。データのバックアップおよび復元用に、Cisco ISE に含まれるバックアップ機能を使用することを推奨します。VMware スナップショットを使用して ISE データをバックアップすると、Cisco ISE サービスが停止します。ISE ノードを起動するには、再起動が必要です。

Cisco ISE は、仮想マシン（VM）に Cisco ISE をインストールし、デプロイするために使用できる、次の OVA テンプレートを提供します。

ISE-2.7.0.356-virtual-SNS3615-SNS3655-300.ova
ISE-2.7.0.356-virtual-SNS3615-SNS3655-600.ova
ISE-2.7.0.356-virtual-SNS3655-SNS3695-1200.ova
ISE-2.7.0.356-virtual-SNS3695-2400.ova

300 GB OVA テンプレートは、専用のポリシーサービスや pxGrid ノードとして動作する Cisco ISE ノードには十分です。

600 GB および 1.2 TB OVA テンプレートは、管理またはモニターリングペルソナを実行する ISE ノードの最小要件を満たすために推奨されています。ディスク容量要件の詳細については、「」を参照してください。

ディスクサイズ、CPU、またはメモリ配賦をカスタマイズする必要がある場合、標準の .iso イメージを使用して手動で Cisco ISE をデプロイできます。ただし、このドキュメントで指定されている最小要件およびリソース予約を確認することが重要です。OVA テンプレートは、各プラットフォームに必要な最小のリソースを自動的に適用することにより、ISE の仮想アプライアンスのデプロイメントを簡素化します。

表 1. OVA テンプレートの予約
OVA テンプレートタイプ	CPU の数	CPU の予約（MHz）	メモリ（GB）	メモリ予約（GB）
評価	4	予約なし	16	予約なし
小	16	16,000	32	32
中規模	24	24,000	96	96
大	24	24,000	256	256

リソースの割り当てに合わせて CPU とメモリのリソースを予約することを強くお勧めします。これを行わない場合は ISE のパフォーマンスと安定性に大きく影響することがあります。

サポートされているオペレーティングシステムについては、を参照してください。

Cisco SNS アプライアンスの製品仕様については、『Cisco Secure Network Server データシート』を参照してください。

次の表に、VMware 仮想マシンの要件を示します。

表 2. VMware 仮想マシンの要件

要件のタイプ

仕様

CPU

評価
- クロック速度：2.0 GHz 以上
- CPU コア数：4 CPU コア

本稼働

クロック速度：2.0 GHz 以上

コア数：

SNS 3500 シリーズアプライアンス：

小規模：12
中規模：16

大規模：16

（注）

コアの数は、ハイパースレッディングにより、Cisco Secure Network Server 3500 シリーズのコア数の 2 倍です。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3515 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てる必要があります。

SNS 3600 シリーズアプライアンス：

小規模：16
中規模：24

大規模：24

（注）

コアの数は、ハイパースレッディングにより、Cisco Secure Network Server 3600 シリーズのコア数の 2 倍です。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3615 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てる必要があります。

メモリ

評価：16 GB
本稼働
- 小規模：SNS 3515 の場合は 16 GB、SNS 3615 の場合は 32 GB
- 中規模：SNS 3595 の場合は 64 GB、SNS 3655 の場合は 96 GB
- 大規模：SNS 3695 の場合は 256 GB

ハードディスク

評価：300 GB

本稼働

300 GB ～ 2.4 TB のディスクストレージ（サイズは展開とタスクによって異なります）。

以下のリンクで VM の推奨ディスク容量を参照してください：「ディスク領域に関する要件」。

VM ホストサーバーでは、最小速度が 10,000 RPM のハードディスクを使用することをお勧めします。

（注）

Cisco ISE に対して仮想マシンを作成する場合は、ストレージ要件を満たす単一の仮想ディスクを使用します。ディスク領域要件を満たしている複数の仮想ディスクを使用する場合、インストーラがすべてのディスク領域を認識しない可能性があります。

ストレージおよびファイルシステム

Cisco ISE 仮想アプライアンスのストレージシステムには、50 MB/秒の最小書き込みパフォーマンスと 300 MB/秒の読み取りパフォーマンスが必要です。これらのパフォーマンス基準を満たし、VMware サーバーでサポートされているストレージシステムをデプロイします。

Cisco ISE は、ストレージシステムが Cisco ISE のインストール前、インストール中、インストール後にこれらの最小要件を満たしているかどうかを確認するためのさまざまな方法を提供します。詳細については、「」を参照してください。

ここでは、最も広範にテストされているという理由で VMFS ファイルシステムを推奨しますが、上記の要件を満たせば、その他のファイルシステム、転送、およびメディアもデプロイできます。

ディスクコントローラ

Paravirtual（64 ビット RHEL 7 のデフォルト）または LSI Logic Parallel

最適なパフォーマンスと冗長性のために、キャッシュ RAID コントローラが推奨されます。RAID 10（1+0）などのコントローラオプションは、たとえば RAID 5 よりも全体のパフォーマンスと冗長性が優れている可能性があります。さらに、バッテリバックアップ式コントローラキャッシュは書き込み操作の効率をかなり高めることができます。

（注）

ISE VM のディスク SCSI コントローラを別のタイプから VMware Paravirtual に更新すると、ブートできなくなる可能性があります。

NIC

1 つの NIC インターフェイスが必要（複数の NIC が推奨されます。6 つの NIC がサポートされます）。Cisco ISE は E1000 および VMXNET3 アダプタをサポートしています。

（注）

デフォルトで正しいアダプタ順序を確保するために、E1000 を選択することをお勧めします。VMXNET3 を選択した場合、ISE のアダプタ順序と同期させるために ESXi アダプタを再マップしなければならない場合があります。

VMware 仮想ハードウェアバージョンまたはハイパーバイザ

ESXi 5.x（5.1 U2 以上）と 6.x の VMware 仮想マシンのハードウェアバージョン 8 以降。

Cisco ISE 用の Linux KVM の要件

表 3. Linux KVM 仮想マシンの要件

要件のタイプ

最小要件

CPU

評価
- クロック速度：2.0 GHz 以上
- コア数：4 CPU コア

本稼働

クロック速度：2.0 GHz 以上

コア数：

SNS 3500 シリーズアプライアンス：

小規模：12
中規模：16

大規模：16

（注）

コアの数は、ハイパースレッディングにより、Cisco Secure Network Server 3500 シリーズのコア数の 2 倍です。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3515 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てる必要があります。

SNS 3600 シリーズアプライアンス：

小規模：16
中規模：24

大規模：24

（注）

コアの数は、ハイパースレッディングにより、Cisco Secure Network Server 3600 シリーズのコア数の 2 倍です。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3615 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てる必要があります。

メモリ

評価：16 GB
本稼働
- 小規模：SNS 3515 の場合は 16 GB、SNS 3615 の場合は 32 GB
- 中規模：SNS 3595 の場合は 64 GB、SNS 3655 の場合は 96 GB
- 大規模：256 GB

ハードディスク

評価：300 GB

本稼働

300 GB ～ 2.4 TB のディスクストレージ（サイズは展開とタスクによって異なります）。

以下のリンクで VM の推奨ディスク容量を参照してください：「ディスク領域に関する要件」。

VM ホストサーバーでは、最小速度が 10,000 RPM のハードディスクを使用することをお勧めします。

（注）

Cisco ISE に対して仮想マシンを作成する場合は、ストレージ要件を満たす単一の仮想ディスクを使用します。ディスク領域要件を満たしている複数の仮想ディスクを使用する場合、インストーラがすべてのディスク領域を認識しない可能性があります。

KVM ディスクデバイス

ディスクバス：virtio、キャッシュモード：なし、I/O モード：ネイティブ

事前割り当て済みの RAW ストレージ形式を使用します。

NIC

1 つの NIC インターフェイスが必要（複数の NIC が推奨されます。6 つの NIC がサポートされます）。Cisco ISE は VirtIO ドライバをサポートします。パフォーマンスを向上させるには、VirtIO ドライバを推奨します。

ハイパーバイザ

QEMU 1.5.3-160 上の KVM

Cisco ISE 用の Microsoft Hyper-V の要件

表 4. Microsoft Hyper-V 仮想マシンの要件

要件のタイプ

最小要件

CPU

評価
- クロック速度：2.0 GHz 以上
- コア数： 4 CPU コア

本稼働

クロック速度：2.0 GHz 以上

コア数：

SNS 3500 シリーズアプライアンス：
- 小規模：12
- 中規模：16
- 大規模：16
  
  コアの数は、ハイパースレッディングにより、Cisco Secure Network Server 3500 シリーズのコア数の 2 倍です。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3515 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てる必要があります。

SNS 3600 シリーズアプライアンス：

小規模：16
中規模：24

大規模：24

（注）

コアの数は、ハイパースレッディングにより、Cisco Secure Network Server 3600 シリーズのコア数の 2 倍です。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3615 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てる必要があります。

メモリ

評価：16 GB
本稼働
- 小規模：SNS 3515 の場合は 16 GB、SNS 3615 の場合は 32 GB
- 中規模：SNS 3595 の場合は 64 GB、SNS 3655 の場合は 96 GB
- 大規模：256 GB

ハードディスク

評価：300 GB
本稼働

300 GB ～ 2.4 TB のディスクストレージ（サイズは展開とタスクによって異なります）。

以下のリンクで VM の推奨ディスク容量を参照してください：「ディスク領域に関する要件」。

VM ホストサーバーでは、最小速度が 10,000 RPM のハードディスクを使用することをお勧めします。

（注）

Cisco ISE に対して仮想マシンを作成する場合は、ストレージ要件を満たす単一の仮想ディスクを使用します。ディスク領域要件を満たしている複数の仮想ディスクを使用する場合、インストーラがすべてのディスク領域を認識しない可能性があります。

NIC

1 つの NIC インターフェイスが必要（複数の NIC が推奨されます。6 つの NIC がサポートされます）。

ハイパーバイザ

Hyper-V（Microsoft）

Cisco ISE の仮想マシンアプライアンスサイズについての推奨事項

Cisco ISE 2.4 では、モニターリングノードに大規模 VM が導入されました。大規模な VM にモニターリングペルソナを展開すると、ライブログのクエリとレポートの完了に迅速に対応できるという点からパフォーマンスが向上します。

（注）

このフォームファクタは、リリース 2.4 以降での VM としてのみ使用可能で、大規模 VM ライセンスが必要です。

仮想マシン（VM）アプライアンスの仕様は、実稼働環境で動作している物理アプライアンスと同等である必要があります。

アプライアンスのリソースを割り当てる際は、次のガイドラインに留意してください。

指定したリソースの割り当てに失敗すると、パフォーマンスの低下やサービスの障害が発生する可能性があります。専用の VM リソースをデプロイする（複数のゲスト VM 間でリソースを共有またはオーバーサブスクライブしない）ことを強くお勧めします。OVF テンプレートを使用して Cisco ISE 仮想アプライアンスをデプロイすると、十分なリソースが各 VM に割り当てられます。OVF テンプレートを使用しない場合は、ISO イメージを使用して Cisco ISE を手動でインストールするときに、必ず同等のリソース予約を割り当てるようにしてください。

（注）

推奨する予約なしで Cisco ISE を手動でデプロイする場合は、密接にアプライアンスのリソース使用率を監視し、必要に応じてリソースを増やすことに責任を負い、Cisco ISE デプロイメントの適切な状態および機能を確保する必要があります。

（注）

OVF テンプレートは Linux KVM には適用できません。OVF テンプレートは VMware 仮想マシンに対してのみ使用できます。

インストールに OVA テンプレートを使用している場合は、インストールが完了した後に次の設定を確認します。
- [CPU/メモリの予約（CPU/Memory Reservation）] フィールド（[設定の編集（Edit Settings）] ウィンドウの [仮想ハードウェア（Virtual Hardware）] タブの下）の Cisco ISE 用の VMware 仮想マシンの要件のセクションに指定されているリソースの予約を割り当てて、Cisco ISE 導入環境の正しい状態と機能が維持されるようにします。
- [CPU の制限（CPU Limit）] フィールド（[設定の編集（Edit Settings）] ウィンドウの [仮想ハードウェア（Virtual Hardware）] タブの下）の CPU 使用率が [無制限（Unlimited）] に設定されていることを確認します。CPU 使用率の制限を設定すると（CPU 使用率の制限を 12000 MHz に設定するなど）、システムのパフォーマンスに影響します。制限が設定されている場合は、VM クライアントをシャットダウンし、その制限を削除して、VM クライアントを再起動する必要があります。
- [メモリの制限（Memory Limit）] フィールド（[設定の編集（Edit Settings）] ウィンドウの [仮想ハードウェア（Virtual Hardware）] タブの下）のメモリ使用率が [無制限（Unlimited）] に設定されていることを確認します。メモリ使用率の制限を設定すると（制限を 12000 MB に設定するなど）、システムのパフォーマンスに影響します。
- [共有（Shares）] オプションが、[ハードディスク（Hard Disk）] 領域（[設定の編集（Edit Settings）] ウィンドウの [仮想ハードウェア（Virtual Hardware）] タブの下）で [高（High）] に設定されていることを確認します。
  
  管理者ノードと MnT ノードは、ディスクの使用率に大きく依存しています。共有ディスクストレージ VMware 環境を使用すると、ディスクのパフォーマンスに影響する可能性があります。ノードのパフォーマンスを向上させるには、ノードに割り当てられているディスク共有数を増やす必要があります。
VM のポリシーサービスノードは管理またはモニターリングノードよりも少ないディスク領域でデプロイできます。すべての実稼働 Cisco ISE ノードの最小ディスク領域は 300 GB です。各種 Cisco ISE ノードとペルソナに必要なディスク領域の詳細については、「」を参照してください。
VM は 1 ～ 6 つの NIC を使用して設定できます。2 つ以上の NIC を使用できるようにすることをお勧めします。追加のインターフェイスは、プロファイリングやゲストサービス、RADIUS などのさまざまなサービスをサポートするために使用できます。

（注）

VM での RAM と CPU の調整では、再イメージ化は必要ありません。

Cisco ISE デプロイメントにおける VM のディスク容量の要件

次の表に、実稼働デプロイメントで仮想マシンを実行するために推奨される Cisco ISE ディスク領域の割り当てを示します。

（注）

2 TB 以上の GPT パーティションをブートするには、VM 設定のブートモードでファームウェアを BIOS から EFI に変更する必要があります。

表 5. 仮想マシンに推奨されるディスク領域
Cisco ISE ペルソナ	評価環境での最小ディスク容量	実稼働環境での最小ディスク容量	実稼働環境用に推奨されるディスク領域	最大ディスク領域
スタンドアロン Cisco ISE	300 GB	600 GB	600 GB ～ 2.4 TB	2.4 TB
分散型 ISE：管理専用	300 GB	600 GB	600 GB	2.4 TB
分散型 Cisco ISE：モニターリングのみ	300 GB	600 GB	600 GB ～ 2.4 TB	2.4 TB
分散型 Cisco ISE：ポリシーサービスのみ	300 GB	300 GB	300 GB	2.4 TB
分散型 Cisco ISE、pxGrid のみ	300 GB	300 GB	300 GB	2.4 TB
分散型 Cisco ISE：管理およびモニターリング（およびオプションで pxGrid）	300 GB	600 GB	600 GB ～ 2.4 TB	2.4 TB
分散型 Cisco ISE：管理、モニターリング、およびポリシーサービス（およびオプションで pxGrid）	300 GB	600 GB	600 GB ～ 2.4 TB	2.4 TB

（注）

追加のディスク領域は、プライマリ管理ノードが一時的にモニターリングノードになるときに、ローカルデバッグログ、ステージングファイルを格納し、アップグレード中にログデータを処理するために必要です。

Cisco ISE のディスク容量に関するガイドライン

Cisco ISE のディスク容量を決定するときは、次のガイドラインに留意してください。

Cisco ISE は、仮想マシンの単一のディスクにインストールする必要があります。
ディスク割り当ては、ロギングの保持要件によって異なります。モニターリングペルソナが有効になっている任意のノードでは、VM ディスク領域の 60 パーセントがログストレージ用に割り当てられます。25,000 のエンドポイントがあるデプロイメントでは、1 日あたり約 1 GB のログが生成されます。

たとえば、600 GB の VM ディスク領域があるモニターリングノードがある場合、360 GB がログストレージ用に割り当てられます。100,000 のエンドポイントが毎日このネットワークに接続する場合、1 日あたり約 4 GB のログが生成されます。この場合、リポジトリに古いデータを転送し、モニターリングデータベースからそのデータをパージすれば、モニターリングノードのログを 76 日を保存することができます。

追加のログストレージ用に、VM ディスク領域を増やすことができます。追加するディスクスペースの 100 GB ごとに、ログストレージ用に 60 GB が追加されます。

最初のインストール後に仮想マシンのディスクサイズを増やす場合、Cisco ISE の新規インストールを実行します。新規インストールは、ディスク割り当て全体を適切に検出して利用するのに役立ちます。

次の表に、割り当てられたディスク領域とネットワークに接続するエンドポイントの数に基づいて、モニターリングノードで RADIUS ログを保持できる日数を示します。数値は、次の前提に基づいています：ログ抑制が有効になっているエンドポイントごとに 1 日あたり 10 個以上の認証。

表 6. ノードログ記憶域のモニターリング：RADIUS の保持日数
エンドポイント数	300 GB	600 GB	1024 GB	2048 GB
5,000	504	1510	2577	5154
10,000	252	755	1289	2577
25,000	101	302	516	1031
50,000	51	151	258	516
100,000	26	76	129	258
150,000	17	51	86	172
200,000	13	38	65	129
250,000	11	31	52	104
500,000	6	16	26	52

次の表に、割り当てられたディスク領域とネットワークに接続するエンドポイントの数に基づいて、モニターリングノードで TACACS+ ログを保持できる日数を示します。数値は、次の前提に基づいています：スクリプトはすべての NAD に対して実行され、1 日あたり 4 セッション、セッションあたり 5 コマンド。

表 7. ノードログ記憶域のモニターリング：TACACS+ の保持日数
エンドポイント数	300 GB	600 GB	1024 GB	2048 GB
100	12,583	37,749	64,425	128,850
500	2,517	7,550	12,885	25,770
1,000	1,259	3,775	6,443	12,885
5,000	252	755	1,289	2,577
10,000	126	378	645	1,289
25,000	51	151	258	516
50,000	26	76	129	258
75,000	17	51	86	172
100,000	13	38	65	129

ディスクサイズを増やす

コンテキストと可視性の機能が低速であるか、ログの空き領域が不足している場合は、ディスク容量の割り当てを増やす必要があります。

ログストレージの追加を計画するには、100 GB のディスク容量を追加するごとに 60 GB をログストレージ用に使用できます。

ISE を検出して新しいディスクの割り当てを利用するために、ノードの登録を解除し、VM の設定を更新し、ISE を再インストールする必要があります。これを行う 1 つの方法は、新しい、より大きいノードに ISE をインストールし、ハイアベイラビリティとしてのデプロイメントにそのノードを追加することです。ノードの同期後、新しい VM をプライマリにして元の VM の登録を解除します。

ディスクサイズの縮小

VM に Cisco ISE をインストールした後は、VM の予約分を減らさないでください。VM のメモリを Cisco ISE サービスが必要とするメモリよりも少なくすると、リソースが不足するため、Cisco ISE サービスが起動しません。

Cisco ISE をインストールした後、VM を再設定する必要がある場合は、次の手順を実行します。

Cisco ISE のバックアップを実行します。
必要に応じて、変更された VM 設定で Cisco ISE を再イメージ化します。
Cisco ISE を復元します。

Bias-Free Language

Book Title

Cisco Identity Services Engine リリース 2.7 インストールガイド

Chapter Title

SNS 3500/3600 シリーズアプライアンスおよび仮想マシンの要件

Results

Chapter: SNS 3500/3600 シリーズアプライアンスおよび仮想マシンの要件

Cisco Secured Network Server 3500/3600 シリーズアプライアンスおよび仮想マシンの要件

Cisco ISE 用のハードウェアおよび仮想アプライアンスの要件