デフォルトでは、Cisco ISE によって内部管理者認証が提供されます。外部認証を設定するには、外部 ID ストアで定義している外部管理者アカウントのパスワード ポリシーを作成する必要があります。次に、結果的に外部管理者 RBAC ポリシーの一部となるこのポリシーを外部管理者グループに適用できます。

外部認証を設定するには、次の手順を実行する必要があります。

• 外部 ID ストアを使用してパスワード ベースの認証を設定します。

• 外部管理者グループを作成します。

• 外部管理者グループ用のメニュー アクセスとデータ アクセスの権限を設定します。

• 外部管理者認証の RBAC ポリシーを作成します。

ネットワークでは、外部 ID ストア経由の認証を提供するほかに、Common Access Card（CAC）認証デバイスを使用する必要もある場合があります。

ユーザー ID は、ユーザーに関する情報を保持するコンテナに似ており、ユーザーのネットワーク アクセス クレデンシャルを形成します。各ユーザーの ID はデータにより定義され、ユーザー名、電子メール アドレス、パスワード、アカウントの説明、関連付けられている管理者グループ、ユーザー グループ、ロールなどが含まれます。

ユーザー グループは、特定の一連の Cisco ISE サービスおよび機能へのアクセスを許可する共通の権限セットを共有する個々のユーザーの集合です。

ユーザーのグループ ID は、同じグループに属している特定のユーザー グループを識別および説明する要素で構成されています。グループ名は、このグループのメンバーが持っている機能ロールの説明です。グループは、そのグループに属しているユーザーのリストです。

ユーザー ロールは、ユーザーが Cisco ISE ネットワークで実行できるタスクやアクセスできるサービスを決定する権限セットです。ユーザー ロールは、ユーザー グループに関連付けられています（ネットワーク アクセス ユーザーなど）。

Cisco ISE では、ネットワーク アクセス ユーザーと管理者の両方に対して、ユーザー属性に基づいてネットワーク アクセスを制限することができます。Cisco ISE では、一連の事前定義されたユーザー属性が用意されており、カスタム属性を作成することもできます。両方のタイプの属性が認証ポリシーを定義する条件で使用できます。パスワードが指定された基準を満たすように、ユーザー アカウントのパスワード ポリシーも定義できます。

すべての外部 ID ストアで、ネットワーク アクセス ユーザーが自分のパスワードを変更できるわけではありません。詳細については、各 ID ソースのセクションを参照してください。

ネットワーク使用パスワードルールは、[管理（Administration）] > [IDの管理（Identity Management）] > [設定（Settings）] > [ユーザー認証設定（User Authentication Settings）] で設定されます。

[パスワードポリシー（Password Policy）] タブの一部のフィールドに関する追加情報を次のセクションに示します。

• [必須の文字（Required Characters）]：大文字または小文字が必要なユーザーパスワードポリシーを設定するときに、ユーザーの言語でこれらの文字がサポートされていない場合、ユーザーはパスワードを設定できません。UTF-8 文字をサポートするには、次のチェックボックスをオフにします。

  • 小文字の英文字

  • 大文字の英文字

• [パスワード変更差分（Password Change Delta）]：現在のパスワードを新しいパスワードに変更するときに変更する必要がある最小文字数を指定します。Cisco ISE 3.2 以降、パスワードの範囲が 1 ～ 20 に変更されました。Cisco ISE では、文字の位置を変更することは変更とみなされません。たとえば、パスワードの差分が 3 で、現在のパスワードが「?Aa1234?」の場合、「?Aa1567?」（「5」、「6」、「7」は 3 つの新しい文字です）は有効な新しいパスワードです。「?Aa1562?」は、「?」、「2」、および「?」の文字が現在のパスワードに含まれているため無効です。文字位置が変更された場合でも、同じ文字が現在のパスワードに含まれているため、「Aa1234??」は無効になります。

  また、パスワード変更差分では、以前の X パスワードが考慮されます。この X は、[パスワードは前のバージョンと異なっている必要があります（Password must be different from the previous versions）] の値です。パスワードの差分が 3 で、パスワードの履歴が 2 である場合は、過去 2 つのパスワードの一部ではない 4 文字を変更する必要があります。

• [辞書の単語（Dictionary words）]：辞書の単語、辞書の単語の逆順での使用、単語内の文字を別の文字で置き換えた単語の使用を制限する場合は、このチェックボックスをオンにします。

  「s」を「$」、「a」を「@」、「o」を「0」、「l」を「1」、「i」を「!」、「e」を「3」に置き換えることはできません。たとえば、「Pa$$w0rd」です。

  • [デフォルトの辞書（Default Dictionary）]：Cisco ISE でデフォルトの Linux 辞書を使用するには、このオプションを選択します。デフォルトの辞書には約 480,000 件の英単語が含まれています。

  • [カスタム辞書（Custom Dictionary]：カスタマイズした辞書を使用するには、このオプションを選択します。[ファイルの選択（Choose File）] をクリックし、カスタム辞書ファイルを選択します。このテキスト ファイルでは、単語が改行文字で区切られており、拡張子は .dic、サイズは 20 MB 以下である必要があります。

• [パスワードの有効期間（Password Lifetime）] セクションを使用して、パスワードのリセット間隔と通知を更新できます。パスワードの有効期間を設定するには、[パスワードを__日ごとに変更する（有効範囲は1～3650）（Change password every __ days (valid range 1 to 3650)）] チェックボックスをオンにし、入力フィールドに日数を入力します。[ユーザーアカウントを無効にする（Disable User Account）] オプションを選択して、指定された時間内にユーザーがパスワードを変更しなかった場合にユーザーアカウントを無効にすることができます。[次回のログイン時にパスワードの変更が必要（Require password change on next login）] を選択して、次回 Cisco ISE にログインするときにパスワードを変更するようにユーザーに求めます。

  パスワードをリセットするためのリマインダ電子メールを送信するには、[パスワード有効期限の __ 日前にリマインダを表示する（Display Reminder __ Days Before to Password Expiration）] チェックボックスをオンにし、ネットワークアクセスユーザーに設定された電子メールアドレスにリマインダ電子メールを送信するまでの日数を入力します。ネットワークアクセスユーザーを作成するときに、[管理（Administration）] > [ID 管理（Identity Management）] > [ID（Identities）] > [ユーザー（Users）] > [ネットワークアクセスユーザーの追加（Add Network Access User）] ウィンドウで電子メールアドレスを追加して、パスワードのリセットに関する電子メール通知を送信できます。

  （注）

  リマインダ電子メールは、iseadminportal@<ISE-Primary-FQDN> から送信されます。この送信者のアクセスを明示的に許可する必要があります。 デフォルトでは、リマインダ電子メールには次の内容が含まれています。ネットワーク アクセス パスワードは、<password expiry date and time> に失効します。Please contact your system administrator for assistance. Cisco ISE リリース 3.2 以降では、電子メール通知の「システム管理者に連絡して支援を受けてください（Please contact your system administrator for assistance）」の部分の後の電子メールの内容をカスタマイズできます。 Cisco ISE リリース 3.2 以降では、[パスワードの有効期間（Password Lifetime）] フィールド（[管理（Administration）] > [ID管理（Identity Management）] > [設定（Settings）] > [ユーザー認証の設定（User Authentication Settings）] > [パスワードポリシー（Password Policy）] > [パスワードの有効期間（Password Lifetime）]）で [パスワードの変更（Change Password）] チェックボックスがオンになっていない場合、[ネットワークアクセスユーザー（Network Access Users）] ウィンドウにこのユーザーの [パスワードの有効期間（Password Lifetime）] フィールドが表示されません。

• [不正なログイン試行によるアカウントのロック/一時停止（Lock/Suspend Account with Incorrect Login Attempts）]：このオプションを使用して、ログイン試行が指定した回数失敗した場合にアカウントを一時停止またはロックできます。有効な範囲は、3 ～ 20 です。

• [アカウント無効化ポリシー（Account Disable Policy）]：既存のユーザーアカウントを無効にするタイミングに関するルールを設定できます。詳細については、「グローバルにユーザーアカウントを無効にする」を参照してください。

ユーザーまたは管理者の認証または問い合わせ時に、Cisco ISE は [管理（Administration）] > [ID の管理（Identity Management）] > [設定（Settings）] > [ユーザー認証設定（User Authentication Settings）] でグローバルアカウント無効化ポリシー設定を確認し、その構成に基づいて認証または結果を返します。

Cisco ISE は、次の 3 つのポリシーを確認します。

• [指定した日付（yyyy-mm-dd）を超えたらユーザーアカウントを無効にする（Disable user accounts that exceed a specified date (yyyy-mm-dd)）]：設定された日付にユーザーアカウントを無効にします。ただし、[管理（Administration）] > [ID の管理（Identity Management）] > [ID（Identities）] > [ユーザー（Users）] > [アカウント無効化ポリシー（Account Disable Policy）] で設定された個々のネットワーク アクセス ユーザーのアカウント無効化ポリシー設定はグローバル設定よりも優先されます。

• [アカウント作成時または最後の有効化から n 日後にユーザーアカウントを無効にする（Disable user account after n days of account creation or last enable）]：アカウントの作成またはアカウントが有効になった最後の日から指定した日数後にユーザーアカウントを無効にします。[管理（Administration）] > [ID の管理（Identity Management）] > [ID（Identities）] > [ユーザー（Users）] > [ステータス（Status）] でユーザーのステータスを確認できます。

• 非アクティブになってから n 日後にアカウントを無効にする（Disable accounts after n days of inactivity）]：設定した連続日数、認証されなかった管理者およびユーザーアカウントを無効化します。[Disable accounts after n days of inactivity] オプションは、内部パスワードを使用する Cisco ISE 内部ユーザーにのみ適用されます。

Cisco Secure ACS から Cisco ISE に移行する際、Cisco Secure ACS ではネットワーク アクセス ユーザー用に指定したアカウント無効化ポリシーの設定は Cisco ISE に移行されます。

Cisco ISE では、外部 ID ストア パスワードに対して内部ユーザーを認証できます。Cisco ISE では、[管理（Administration）] > [ID の管理（Identity Management）] > [ID（Identities）] > [ユーザー（Users）] ウィンドウから、内部ユーザーのパスワード ID ストアを選択するオプションが提供されます。管理者は、Cisco ISE の外部 ID ソースのリストから ID ストアを選択することができ、[ユーザー（Users）] ウィンドウでユーザーを追加するか、または編集します。内部ユーザーのデフォルトのパスワード ID ストアは内部 ID ストアです。Cisco Secure ACS ユーザーは、Cisco Secure ACS から Cisco ISE への移行中および移行後、同じパスワード ID ストアを維持します。

Cisco ISE はパスワード タイプに対し次の外部 ID ストアをサポートします。

• Active Directory

• LDAP

• ODBC

• RADIUS トークン サーバー

• RSA SecurID サーバー

（注）	現在の設計では、外部 ID ストアに対して認証が行われる場合、内部ユーザー ID グループ名は認証ポリシー内に設定できません。許可に内部ユーザー ID グループを使用するには、内部ユーザー ID ストアに対して認証するように認証ポリシーを設定する必要があります。また、ユーザー設定でパスワードタイプ（内部または外部）を選択する必要があります。

Active Directory は、一部のプロトコルを使用したユーザーとマシンの認証、Active Directory ユーザー パスワードの変更などの機能をサポートしています。次の表に、Active Directory でサポートされる認証プロトコルおよびそれぞれの機能を示します。

Cisco ISE は、許可ポリシー ルールで使用するために Active Directory からユーザーまたはマシンの属性およびグループを取得します。これらの属性は Cisco ISE ポリシーで使用され、ユーザーまたはマシンの承認レベルを決定します。Cisco ISE は、認証が成功した後にユーザーおよびマシンの Active Directory 属性を取得します。認証とは別に、許可のために属性を取得することもできます。

Cisco ISE は、外部 ID ストア内のグループを使用してユーザーまたはコンピュータに権限を割り当てることがあります（たとえば、ユーザーをスポンサー グループにマップします）。Active Directory のグループ メンバーシップの次の制限事項に注意してください。

• ポリシー ルールの条件は、次のいずれかを参照します。ユーザーまたはコンピュータのプライマリ グループ、ユーザーまたはコンピュータが直接メンバーであるグループ、または間接的（ネストされた）グループ。

• ユーザーまたはコンピュータのアカウント ドメイン外のドメイン ローカル グループはサポートされません。

（注）	Active Directory 属性の値 msRadiusFramedIPAddress を IP アドレスとして使用できます。この IP アドレスは、許可プロファイルのネットワーク アクセス サーバー（NAS）に送信できます。msRADIUSFramedIPAddress 属性は IPv4 アドレスだけをサポートします。ユーザー認証では、ユーザーに対し取得された msRadiusFramedIPAddress 属性値が IP アドレス形式に変換されます。

属性およびグループは、参加ポイントごとに取得され、管理されます。これらは許可ポリシーで使用されます（まず参加ポイントを選択し、次に属性を選択します）。許可範囲ごとに属性またはグループを定義することはできませんが、認証ポリシーに範囲を使用できます。認証ポリシーで範囲を使用する場合、ユーザーは 1 つの参加ポイントで認証されますが、ユーザーのアカウント ドメインへの信頼できるパスがある別の参加ポイント経由で属性またはグループを取得することができます。認証ドメインを使用して、1 つの範囲内にある 2 つの参加ポイントで認証ドメインが重複しないようにすることができます。

マルチ参加ポイント設定の許可プロセス時に、Cisco ISE は、特定のユーザーが見つかるまで、認証ポリシーに記載されている順序で参加ポイントを検索します。ユーザーが見つかると、参加ポイント内のユーザーに割り当てられた属性とグループが、認証ポリシーを評価するために使用されます。

複数参加ポイント設定で、各参加ポイントからの同じ ID に対して個別に認証が成功する場合、ID ソース順序 "All_AD_Join_Points" に対して認証が行われると、この認証は失敗します。

複数参加ポイント設定で、各参加ポイントからの同じ ID に対して個別に Active Directory グループ取得が成功する場合、Active Directory グループ取得は次の場合に失敗します。

• 異なる参加ポイントが認証と承認に使用される。

• 認証でバイナリ比較なしの EAP-TLS が使用されていて（[Certificate Authentication Profile] で [Match Client Certificate Against Certificate In Identity Store] が [Never] に設定されている）、一致認証ルールの前に、異なる参加ポイントを持つ不一致認証ルールがある。

• 認証でバイナリ比較なしの EAP-TLS が使用されていて（[Certificate Authentication Profile] で [Match Client Certificate Against Certificate In Identity Store] が [Never] に設定されている）、マシンアクセス制限（MAR）が、現在の一致認証ルールの参加ポイントとは別の MAR 期間内の参加ポイントを使用してエンドポイントで有効になっている。

（注）

複数参加ポイント設定で、Active Directory グループ取得は各参加ポイントに対して個別に成功しますが、"All_AD_Join_Points" を含む ID ソース順序で認証ルールが設定されている場合は失敗します。承認と認証に異なる参加ポイントが使用されている場合も、Active Directory グループ取得は失敗します。 使用可能な Active Directory グループの最大数については、Microsoft の制限を参照してください。http://technet.microsoft.com/en-us/library/active-directory-maximum-limits-scalability(v=WS.10).aspx

ルールに、/、!、@、\、#、$、%、^、&、*、(、)、_、+、または ~ のような特殊文字を使用した Active Directory グループ名が含まれる場合、許可ポリシーは失敗します。

管理者ユーザー名に $ という文字が含まれている場合、Active Directory を介した管理者ユーザーのログインが失敗することがあります。

Cisco ISE では、EAP-TLS プロトコルを使用するユーザーまたはマシン認証のための証明書取得がサポートされています。Active Directory 上のユーザーまたはマシン レコードには、バイナリ データ型の証明書属性が含まれています。この証明書属性に 1 つ以上の証明書を含めることができます。Cisco ISE ではこの属性は userCertificate として識別され、この属性に対して他の名前を設定することはできません。Cisco ISE はこの証明書を取得し、バイナリ比較の実行に使用します。

証明書認証プロファイルは、証明書の取得に使用する Active Directory のユーザーを検索するためにユーザー名を取得するフィールド（たとえば、サブジェクト代替名（SAN）または一般名）を決定します。Cisco ISE は、証明書を取得した後、この証明書とクライアント証明書とのバイナリ比較を実行します。複数の証明書が受信された場合、Cisco ISE は、いずれかが一致するかどうかをチェックするために証明書を比較します。一致が見つかった場合、ユーザーまたはマシン認証に合格します。

ユーザーの認証または問い合わせ時に、Cisco ISE は次のことをチェックします。

• MS-CHAP および PAP 認証では、ユーザーが無効かどうか、ロックアウトされているかどうか、期限切れかどうか、またはログイン時間外かどうかを確認します。これらの条件のいずれかが true の場合、認証が失敗します。

• EAP-TLS 認証では、ユーザーが無効かどうか、ロックアウトされているかどうかを確認します。これらの条件のいずれかが一致する場合、認証が失敗します。

Cisco ISE リリース 3.1 以降、Cisco ISE は Microsoft Entra ID によるエンドポイントの認証と承認をサポートします。Cisco ISE リリース 3.1 は、リソース オーナー パスワード クレデンシャル（ROPC）方式のみをサポートします。Cisco ISE リリース 3.2 は、ROPC フローに加えて、EAP-TLS および TEAP 方式をサポートします。

注意	Cisco ISE のリソースオーナーのパスワードクレデンシャル（ROPC）フローは、制御された導入機能です。この機能を実稼働環境で使用する前に、テスト環境で十分にテストすることを推奨します。

リソースオーナーのパスワードクレデンシャル（ROPC）は、クラウドベースの ID プロバイダーとのネットワークで Cisco ISE が認証と許可を実行できるようにする OAuth 2.0 付与タイプです。

ROPC フローを使用して、Cisco ISE はクラウドベースの ID ソースでユーザーのログイン情報を検証します。ROPC フローは、プレーンテキスト認証プロトコルをサポートしています。

Cisco ISE は現在、ROPC フローを介して Microsoft Entra ID をサポートしています。

Cisco ISE では、マルチドメイン フォレストの Active Directory がサポートされます。各フォレスト内で、Cisco ISE は単一のドメインに接続しますが、Cisco ISE が接続されているドメインと他のドメイン間に信頼関係が確立されている場合は、Active Directory フォレストの他のドメインからリソースにアクセスできます。

Active Directory サービスをサポートする Windows サーバー オペレーティング システムのリストについては、『Release Notes for Cisco Identity Services Engine』を参照してください。

（注）	Cisco ISE は、ネットワーク アドレス トランスレータの背後にあり、ネットワーク アドレス変換（NAT）アドレスを持つ Microsoft Active Directory サーバーをサポートしません。

Cisco ISE では、Active Directory ドメインへの複数参加がサポートされます。Cisco ISE では、50 までの Active Directory 参加がサポートされます。Cisco ISE は、双方向信頼がなく、相互の信頼がゼロである複数の Active Directory ドメインと接続できます。Active Directory の複数ドメイン参加は、各参加の独自のグループ、属性、および許可ポリシーを持つ個別の Active Directory ドメインのセットで構成されます。

同じフォレストに複数回参加できます。つまり、必要に応じて、同じフォレスト内の複数のドメインに参加できます。

Cisco ISE は、単方向の信頼があるドメインに参加できます。このオプションで、単方向の信頼によって生じる権限の問題を回避できます。いずれかの信頼ドメインに参加できるため、両方のドメインを確認できます。

• [参加ポイント（Join Point）]：Cisco ISE では、Active Directory ドメインへの個別参加は、参加ポイントと呼ばれます。Active Directory の参加ポイントは、Cisco ISE の ID ストアであり、認証ポリシーで使用できます。属性およびグループの関連ディクショナリがあり、許可条件で使用できます。

• [スコープ（Scope）]：グループ化された Active Directory の参加ポイントのサブセットは、スコープと呼ばれます。単一参加ポイントの代わりに、認証結果として認証ポリシーでスコープを使用できます。スコープは、複数の参加ポイントに対してユーザーを認証するために使用されます。各参加ポイントに複数のルールを使用する代わりにスコープを使用すると、単一のルールで同じポリシーを作成することができ、Cisco ISE で要求の処理やパフォーマンスの向上にかかる時間を短縮できます。参加ポイントには、複数のスコープが含まれる場合があります。スコープは、ID ソース順序に含まれる場合があります。スコープには関連するディクショナリがないため、許可ポリシー条件にスコープを使用することはできません。

  新しい Cisco ISE のインストールを実行する場合、デフォルトでスコープは存在しません。これは、ノー スコープ モードと呼ばれます。スコープを追加すると、Cisco ISE はマルチスコープ モードになります。必要に応じて、ノー スコープ モードに戻すことができます。すべての参加ポイントは [Active Directory] フォルダに移動されます。

  • Initial_Scope は、ノー スコープ モードで追加された Active Directory 参加ポイントの格納に使用される暗黙のスコープです。マルチスコープ モードを有効にすると、すべての Active Directory 参加ポイントが自動作成された Initial_Scope に移動します。Initial_Scope の名前を変更できます。

  • All_AD_Instances は組み込み型の疑似スコープで、Active Directory 設定には表示されません。これは、認証結果としてポリシーおよび ID 順序にのみ示されます。Cisco ISE で設定されたすべての Active Directory 参加ポイントを選択する場合は、このスコープを選択できます。

ID 書き換えは、外部 Active Directory システムに渡される前に ID を操作するよう Cisco ISE に指示する拡張機能です。ID を必要な形式（任意のドメイン プレフィクスやサフィックスまたはその他の追加マークアップを含むまたは除く）に変更するためのルールを作成できます。

ID 書き換えルールは、サブジェクト検索、認証クエリー、許可クエリーなどの操作のために、クライアントから受信したユーザー名またはホスト名に対して Active Directory に渡される前に適用されます。Cisco ISE は条件のトークンを照合し、最初の 1 つが一致するとポリシーの処理を停止して、結果に応じて ID 文字列を書き換えます。

書き換え時、角カッコ [ ] で囲まれている（[IDENTITY] など）内容はすべて、評価側では評価されず、代わりに文字列内のその場所に一致する文字列が付加される変数です。角カッコなしはすべて、ルールの評価側と書き換え側の両方で、固定文字列として評価されます。

次に、ユーザーによって入力された ID が ACME\jdoe であるとした場合の ID 書き換えの例を示します。

• ID が ACME\[IDENTITY] と一致する場合、[IDENTITY] に書き換えます。

  結果は jdoe です。このルールは、ACME プレフィクスを持つすべてのユーザー名を削除するよう Cisco ISE に指示します。

• ID が ACME\[IDENTITY] と一致する場合、[IDENTITY]@ACME.com に書き換えます。

  結果は jdoe@ACME.com です。このルールは、形式をプレフィクス表記からサフィックス表記に、または NetBIOS 形式から UPN 形式に変更するよう Cisco ISE に指示します。

• ID が ACME\[IDENTITY] と一致する場合、ACME2\[IDENTITY] に書き換えます。

  結果は ACME2\jdoe です。このルールは、特定のプレフィクスを持つすべてのユーザー名を代替プレフィクスに変更するよう Cisco ISE に指示します。

• ID が [ACME]\jdoe.USA と一致する場合、[IDENTITY]@[ACME].com に書き換えます。

  結果は jdoe\ACME.com です。このルールは、ドットの後の領域を削除するよう Cisco ISE に指示します。この場合は国名で、正しいドメインに置き換えられます。

• ID が E=[IDENTITY] と一致する場合、[IDENTITY] に書き換えます。

  結果は jdoe です。これは、ID が証明書から取得され、フィールドが電子メール アドレスで、Active Directory がサブジェクトで検索するように設定されている場合に作成可能なルールの例です。このルールは、「E=」を削除するように Cisco ISE に指示します。

• ID が E=[EMAIL],[DN] と一致する場合、[DN] に書き換えます。

  このルールは、証明書サブジェクトを、E= jdoe@acme.com、CN=jdoe、DC=acme、DC=com から単なる DN、CN=jdoe、DC=acme、DC=com に変換します。これは、ID が証明書サブジェクトから取得され、Active Directory が DN でユーザー検索するように設定されている場合に作成可能なルールの例です。このルールは、電子メール プレフィクスを削除し、DN を生成するよう Cisco ISE に指示します。

次に、ID 書き換えルールを記述する際によくある間違いを示します。

• ID が [DOMAIN]\[IDENTITY] と一致する場合、[IDENTITY]@DOMAIN.com に書き換えます。

  結果は jdoe@DOMAIN.com です。このルールは、ルールの書き換え側の角カッコ [ ] に [DOMAIN] がありません。

• ID が DOMAIN\[IDENTITY] と一致する場合、[IDENTITY]@[DOMAIN].com に書き換えます。

  この場合も、結果は jdoe@DOMAIN.com です。このルールは、ルールの評価側の角カッコ [ ] に [DOMAIN] がありません。

ID 書き換えルールは、常に、Active Directory 参加ポイントのコンテキスト内で適用されます。認証ポリシーの結果としてスコープが選択されている場合でも、書き換えルールは、各 Active Directory 参加ポイントに適用されます。EAP-TLS が使用されている場合、これらの書き換えルールは、証明書から取得される ID にも適用されます。

一部のタイプの ID には、プレフィクスまたはサフィックスのようなドメイン マークアップが含まれます。たとえば、ACME\jdoe などの NetBIOS ID では、「ACME」がドメイン マークアップのプレフィクスで、同様に jdoe@acme.com などの UPN ID では、「acme.com」がドメイン マークアップのサフィックスです。ドメイン プレフィクスは、組織内の Active Directory ドメインの NetBIOS（NTLM）名に一致し、ドメイン サフィックスは、組織内の Active Directory ドメインの DNS 名または代替 UPN サフィックスに一致する必要があります。たとえば、gmail.com は Active Directory ドメインの DNS 名ではないため、jdoe@gmail.com はドメイン マークアップなしとして処理されます。

ID 解決設定では、Active Directory 展開に一致するように、セキュリティおよびパフォーマンスのバランスを調整する重要な設定を指定できます。これらの設定を使用して、ドメイン マークアップのないユーザー名およびホスト名の認証を調整できます。Cisco ISE でユーザーのドメインを認識できない場合、すべての認証ドメインでユーザーを検索するように設定できます。ユーザーが 1 つのドメインで見つかった場合でも、Cisco ISE は ID のあいまいさがないことを確実にするために、すべての応答を待ちます。この処理は、ドメインの数、ネットワークの遅延、負荷などに応じて、時間がかかる場合があります。

Cisco ISE は、SAM と CN のいずれか、または両方の属性を使用してユーザーを識別します。Cisco ISE では、sAMAccountName 属性がデフォルトの属性として使用されます。

実際の環境で必要に応じて、SAM と CN のいずれか、または両方を使用するように Cisco ISE を設定できます。SAM および CN が使用される場合、SAMAccountName 属性の値が一意でないと、Cisco ISE は CN 属性値も比較します。

（注）	このデフォルトの動作を変更するには、「Active Directory アイデンティティ検索の属性の設定」のセクションで説明しているように「IdentityLookupField」フラグの値を変更します。

Windows 2012 R2 の場合は、Microsoft AD ユーザーに次のレジストリキーに対する完全制御権限を提供します。

• HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}

• HKLM\Software\Classes\Wow6432Node\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}

Windows PowerShell で次のコマンドを使用して、レジストリキーに完全な権限が付与されているかどうかを確認します。

• get-acl -path "Microsoft.PowerShell.Core\Registry::HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}" | format-list

• get-acl -path "hklm:\Software\Classes\Wow6432Node\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}" | format-list

Microsoft AD ユーザーがドメイン管理者グループではなく、ドメインユーザーグループに所属している場合は、次の権限が必要です。

• Cisco ISE がドメインコントローラに接続できるようにするには、レジストリキーを追加します。

• ドメイン コントローラで DCOM を使用するための権限

• WMI ルート/CIMv2 名前空間にアクセスするための権限の設定

これらの権限は、次のバージョンの Microsoft AD でのみ必要となります。

• Windows 2003

• Windows 2003 R2

• Windows 2008。

• Windows 2008 R2

• Windows 2012

• Windows 2012 R2

• Windows 2016

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"AppID"="{76A64158-CB41-11D1-8B02-00600806D9B6}"

[HKEY_CLASSES_ROOT\AppID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"DllSurrogate"="  "

[HKEY_CLASSES_ROOT\Wow6432Node\AppID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"DllSurrogate"="  "

Cisco PassiveID ワーク センターをすぐに使用できるようにするには、次のフローに従います。

1. DNS サーバーを適切に設定していることを確認します。これには、Cisco ISE からのクライアントマシンの逆引きの設定も含まれます。詳細については、DNS サーバを参照してください。

2. いずれかのパッシブ ID サービスに使用する専用ポリシーサーバー（PSN）で、パッシブ ID サービスと pxGrid サービスを有効にします。[管理（Administration）] > [システム（System）] > [展開（Deployment）] を選択して該当するノードを開き、[全般設定（General Settings）] で [パッシブ ID サービスの有効化（Enable Passive Identity Service）] と [pxGrid] を有効にします。

3. NTP サーバーのクロック設定を同期します。

4. ISE パッシブ ID セットアップで、最初のプロバイダーを設定します。詳細については、PassiveID セットアップの使用を開始するを参照してください。

5. 1 つまたは複数のサブスクライバを設定します。

最初のプロバイダとサブスクライバの設定が完了したら、追加のプロバイダを容易に作成できます（その他の パッシブ ID サービス プロバイダを参照）。また PassiveID ワーク センター。

Cisco PassiveID ワーク センター ダッシュボードには、効果的なモニタリングおよびトラブルシューティングに必要不可欠な、統合され、関連付けられた概要と統計データが表示されます。ダッシュボードはリアルタイムに更新されます。特に指定がない限り、ダッシュレットには過去 24 時間のアクティビティが表示されます。ダッシュボードにアクセスするには、[ワークセンター（Work Centers）] > [PassiveID] を選択し、左側のパネルで [ダッシュボード（Dashboard）] を選択します。Cisco PassiveID ワーク センター ダッシュボードはプライマリ管理ノード（PAN）でのみ表示できます。

• [メイン（Main）] ビューには、線形の [メトリクス（Metrics）] ダッシュボード、チャートダッシュレット、およびリストダッシュレットが含まれています。PassiveID ワーク センターでは、ダッシュレットは設定できません。使用可能なダッシュレットには次のものがあります。

  • [パッシブ ID メトリック（Passive Identity Metrics）] では、現在追跡中の固有のライブセッションの総数、システムに設定されている ID プロバイダーの総数、ID データをアクティブに配信しているエージェントの総数、および現在設定されているサブスクライバの総数が表示されます。

  • [プロバイダー（Providers）]：プロバイダーはユーザー ID 情報を PassiveID ワーク センター に提供します。ISE プローブ(特定のソースからデータを収集するメカニズム）を設定します。プローブを介してプロバイダー ソースからの情報を受信します。たとえば、Active Directory（AD）プローブとエージェント プローブはいずれも ISE-PIC による AD からのデータ収集を支援しますが、syslog プローブは、syslog メッセージを読み取るパーサーからデータを収集します。

  • [サブスクライバ（Subscribers）]：サブスクライバは ISE に接続し、ユーザー ID 情報を取得します。

  • [OS タイプ（OS Types）]：表示できる唯一の OS タイプは Windows です。Windows のタイプが Windows バージョン別に表示されます。プロバイダーは OS タイプを報告しませんが、ISE はこの情報を取得するため Active Directory を照会できます。ダッシュレットに表示できるエントリの最大数は 1000 です。

  • [アラーム（Alarms）]：ユーザー ID 関連のアラーム。

Active Directory（AD）は、ユーザー ID 情報（ユーザー名、IP アドレス、ドメイン名など）の取得元である安全性が高く正確なソースです。

Active Directory プローブを設定すると、次の（ソースとして Active Directory を使用する）その他のプローブも迅速に設定して有効にできます。

• Active Directory エージェント

  （注）	Active Directory エージェントは、Windows Server 2008 以降でのみサポートされます。

• SPAN

• エンドポイント プローブ

また、ユーザー情報の収集時に AD ユーザー グループを使用するために Active Directory プローブを設定します。AD、エージェント、SPAN、および syslog プローブで AD ユーザーグループを使用できます。AD グループの詳細については、Active Directory ユーザー グループの設定を参照してください。