外部 RESTful サービス SDK を使用して、独自ツールの構築を開始できます。次の URL から外部 RESTful サービス SDK にアクセスできます。https://<ISE-ADMIN-NODE>:9060/ers/sdk 外部 RESTful サービス SDK には、外部 RESTful サービス管理ユーザのみがアクセスできます。

SDK は、次のコンポーネントで構成されています。

• クイック リファレンス API マニュアル

• すべての利用可能な API 操作の完全なリスト

• ダウンロード可能なスキーマ ファイル

• ダウンロード可能な Java のサンプル アプリケーション

• cURL スクリプト形式の使用例

• python スクリプト形式の使用例

• Chrome POSTMAN の使用方法

一度設定すると、管理者ポータルからの時間帯の編集はできません。時間帯設定を変更するには、Cisco ISE CLI で次のコマンドを入力します。

clock timezone タイムゾーン

（注）	Cisco ISE は、タイム ゾーン名と出力の省略形に POSIX スタイルの記号を使用します。そのため、グリニッジの西にあるゾーンはプラス記号を持ち、グリニッジの東にあるゾーンはマイナス記号を持ちます。たとえば、TZ='Etc/GMT+4' はグリニッジ標準時（UT）の 4 時間遅れに対応します。

注意	インストール後に Cisco ISE アプライアンスでタイム ゾーンを変更するには、ISE サービスをその特定のノードで再起動する必要があります。そのため、メンテナンス ウィンドウ内でこのような変更を行うことを推奨します。また、単一 ISE 展開内のすべてのノードが同じタイム ゾーンに設定されていることが重要です。複数の ISE ノードが異なる地理的な場所やタイム ゾーンにある場合は、すべての ISE ノードで UTC などのグローバルなタイム ゾーンを使用する必要があります。

clock timezone コマンドの詳細については、『Cisco Identity Services Engine CLI Reference Guide』を参照してください。

Cisco ISE では、管理者ポータルから GUI ベースの一元化されたアップグレードが提供されます。アップグレード プロセスはさらに簡素化され、アップグレードの進行状況およびノードのステータスが画面に表示されます。アップグレード前およびアップグレード後のタスクのリストについては、『Cisco Identity Services Engine Upgrade Guide』を参照してください。

[アップグレードの概要（Upgrade Overview）] ページには、展開内のすべてのノード、そのノードで有効なペルソナ、インストールされている ISE のバージョン、およびノードのステータス（ノードがアクティブか非アクティブか）がリストされます。ノードがアクティブな状態である場合にのみアップグレードを開始できます。

Cisco ISE ソフトウェア パッチは通常累積されます。Cisco ISE では、パッチのインストールおよびロールバックを CLI または GUI から実行できます。

展開内の Cisco ISE サーバにパッチをインストールする作業は、プライマリ PAN から行うことができます。プライマリ PAN からパッチをインストールするには、Cisco.com からクライアント ブラウザを実行しているシステムにパッチをダウンロードします。

GUI からパッチをインストールする場合、パッチは最初にプライマリ PAN に自動的にインストールされます。その後、システムは、GUI にリストされている順序で、展開内の他のノードにパッチをインストールします。ノードが更新される順序を制御することはできません。

CLI からパッチをインストールする場合は、ノードの更新順序を制御できます。ただし、最初にプライマリ PAN にパッチをインストールすることを推奨します。

patch install <patch_bundle> <repository_that_stores_patch_file>

詳細については、『Cisco Identity Services Engine CLI Reference Guide』を参照してください。

必要なパッチ バージョンを直接インストールすることができます。たとえば、Cisco ISE 2.x を使用していて、Cisco ISE 2.x パッチ 5 をインストールする場合、以前のパッチ（Cisco ISE 2.x パッチ 1 ～ 4 など）をインストールしなくても、Cisco ISE 2.x パッチ 5 を直接インストールできます。

インタラクティブヘルプを使用すると、簡単にタスクを完了するためのヒントとステップバイステップのガイダンスが提供され、ユーザは Cisco ISE で効果的に作業することができます。

この機能はデフォルトでイネーブルになっています。この機能を有効または無効にするには、[管理（Administration）] > [システム（System）] > [設定（Settings）] > [インタラクティブヘルプ（Interactive Help）] を選択し、[インタラクティブヘルプの有効化（Enable Interactive Help）] チェックボックスをオンまたはオフにします。

ISE FIPS 140 モードでは、FIPS 140-2 モードに対して Cisco FIPS オブジェクト モジュールの暗号化モジュールを初期化します。Cisco Identity Services Engine には、FIPS 140-2 の検証済み暗号化モジュールが組み込まれています。FIPS コンプライアンスの要求の詳細については、『FIPS Compliance Letter』を参照してください。

FIPS モードを有効にすると、Cisco ISE 管理者インターフェイスのページの右上隅のノード名の左側に FIPS モード アイコンが表示されます。

Cisco ISE は、FIPS 140-2 標準でサポートされないプロトコルまたは証明書の使用を検出すると、準拠していないプロトコルまたは証明書の名前とともに警告を表示し、FIPS モードは有効になりません。必ず FIPS に準拠したプロトコルのみを選択し、FIPS モードを有効にする前に FIPS に非準拠の証明書を交換してください。

Cisco ISE にインストールされている証明書で使用されている暗号化方式が FIPS でサポートされていない場合には、証明書を再発行する必要があります。

FIPS モードを有効にすると、次の機能が影響を受けます。

• Lightweight Directory Access Protocol（LDAP）over Secure Sockets Layer（SSL）

• Cisco ISE による FIPS 140-2 準拠の有効化の手段として、RADIUS の共有秘密とキー管理が使用されます。FIPS モードが有効になると、FIPS 非準拠アルゴリズムを使用する機能はすべて失敗します。

FIPS モードを有効にする場合：

• EAP-TLS、PEAP、および EAP-FAST ですべての FIPS 非準拠暗号スイートは無効になります

• SSH ですべての FIPS 非準拠暗号スイートは無効になります

• 証明書と秘密キーには、FIPS 準拠ハッシュと暗号化アルゴリズムのみを使用する必要があります

• RSA 秘密キーには、2048 ビット以上を指定する必要があります

• ECDSA 秘密キーには、224 ビット以上を指定する必要があります

• ECDSA サーバ証明書は TLS 1.2 のみで機能します

• DHE 暗号は、すべての ISE TLS クライアントの DH パラメータが 2048 ビット以上の場合に機能します

• 3DES 暗号は、サーバとして機能する ISE に使用することはできません

• SHA1 は証明書の生成に使用することはできません

• SHA1 はクライアント証明書で使用することはできません

• EAP-FAST の匿名 PAC プロビジョニング オプションは無効です

• ローカル SSH サーバは FIPS モードを動作します

• RADIUS は次のプロトコルをサポートしていません。

  • EAP-MD5

  • PAP

  • CHAP

  • MS-CHAPv1

  • MS-CHAPv2

  • LEAP

ゲストでは、FIPS モードはサポートされていません。また FIPS モードを有効にすると、Cisco ISE のゲスト ログイン機能に必要な Password Authentication Protocol（PAP）および Challenge Handshake Authentication Protocol（CHAP）プロトコルが自動的に無効になります。

FIPS モードを有効にすると、展開内のすべてのノードが自動的に再起動されます。Cisco ISE はローリング再起動を実行します。具体的には、最初にプライマリ PAN を再起動し、その後でセカンダリ ノードを 1 つずつ再起動します。そのため、設定を変更する前にダウンタイムを計画することをお勧めします。

ヒント	データベース移行プロセスを行う場合は、移行が完了してから FIPS モードを有効にすることを推奨します。

メンテナンス時間が 1 時間未満の場合、ISE ノードをオフラインにしてメンテナンス作業を行います。ノードをオンラインに戻すと、メンテナンス時間内に行われたすべての変更が PAN により自動的に同期されます。変更が自動的に同期されない場合は、PAN を使用して手動で同期できます。

メンテナンス時間が 1 時間を超える場合は、メンテナンスの時点でノードを登録解除し、ノードを展開に再び追加するときにノードを再登録します。

処理があまり行われていない時間帯にメンテナンスをスケジュールすることが推奨されます。

（注）	キューに格納されているメッセージの数が 1,000,000 を超える場合、または ISE ノードが 6 時間を超えてオフラインになっている場合には、データの複製の問題が発生している可能性があります。 プライマリ MnT ノードでメンテナンスを行う予定の場合は、メンテナンス アクティビティを実行する前に、MnT ノードの操作バックアップを作成しておくことを推奨します。