（注）	参加操作または脱退操作に使用するクレデンシャルは Cisco ISE に保存されません。新規作成された Cisco ISE マシンアカウントのログイン情報のみが保存されます。

Microsoft Active Directory のセキュリティポリシー「ネットワーク アクセス：SAM へのリモートの呼び出しを許可するクライアントを制限する」が改訂されました。このため、Cisco ISE は 15 日ごとにマシンアカウントのパスワードを更新できない場合があります。マシンアカウントのパスワードが更新されない場合、Cisco ISE は Microsoft Active Directory を介してユーザーを認証しません。このイベントを通知するために、Cisco ISE ダッシュボードに [AD：ISE アカウントパスワードの更新に失敗（AD: ISE account password update failed） ] アラームが表示されます。

（注）

この問題は、Windows Server 2016 Active Directory 以降および Windows 10 バージョン 1607 の制限により発生します。この制限を克服するには、Windows Server 2016 Active Directory 以降または Windows 10 バージョン 1607 を Cisco ISE と統合する場合、レジストリ：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictremotesam のレジストリ値を non-zero から空白に設定して、すべてにアクセスを提供する必要があります。これにより、Cisco ISE がそのマシンのアカウントパスワードを更新できるようになります。

セキュリティポリシーにより、ユーザーはローカル セキュリティ アカウント マネージャ（SAM）データベース内と Microsoft Active Directory 内のユーザーとグループを列挙できます。Cisco ISE がマシンアカウントのパスワードを更新できるようにするには、Microsoft Active Directory の設定が正しいことを確認します。影響を受ける Windows オペレーティングシステムと Windows Server のバージョン、ネットワークにおけるこのセキュリティポリシーの意味、必要な変更の詳細については、こちらのドキュメントを参照してください。

DNS サーバーを設定する場合は、次の前提条件に注意してください。

• Cisco ISE に設定されている DNS サーバーで、使用するドメインのすべての正引きおよび逆引き DNS クエリを解決できるようにする必要があります。

• DNS 再帰によって遅延が発生してパフォーマンスが重大な悪影響を受ける可能性があるので、権威 DNS サーバーで Active Directory レコードを解決することをお勧めします。

• すべての DNS サーバーで、追加サイト情報の有無に関係なく、DC、GC、および KDC の SRV クエリに回答できるようにする必要があります。

• パフォーマンスを向上させるために、SRV 応答にサーバー IP アドレスを追加することを推奨します。

• パブリック インターネットでクエリを実行する DNS サーバーを使用しないでください。不明な名前を解決する必要がある場合に、ネットワークの情報が漏洩する可能性があります。

認可ポリシーは、ディクショナリ属性に基づく条件によって決定されます。Active Directory の各参加ポイントには、属性およびグループを含む関連ディクショナリがあります。

シナリオ

企業 abc.com が、企業 xyz.com を買収または合併しました。abc.com の管理者として、abc.com および xyz.com の両方のユーザーが同じ物理ネットワークにアクセスできる統合されたネットワーク認証インフラストラクチャを実現しようと考えています。

必要な設定

abc.com の単一の Active Directory 参加ポイントがすでに設定されています。信頼できない Active Directory インフラストラクチャを追加するには、次の操作を実行します。

1. スコープ モードにして Initial_Scope を追加します。

2. xyz.com の新しい参加ポイントを追加します。

   

3. 認証ポリシーを設定し、すべての認証の結果として Initial_Scope を選択します。

   
   

   

   
   

上記の設定を実行することによって、いずれかの会社の Active Directory のユーザーを検索するように Cisco ISE を設定するためのスコープを作成しました。スコープを使用することで、ネットワークで、複数の Active Directory インフラストラクチャに対して、それらが完全に切断されている場合や相互に信頼していない場合にも、認証を実行できます。

シナリオ

マルチテナントのシナリオでは、複数の顧客（CompanyA、CompanyB、および CompanyC）の設定を定義する必要があります。各お客様に対して、次のことを行う必要があります。

• 独立したネットワーク デバイス グループを定義します。

• ID トラフィックが効率的にスキャンできるスコープを定義します。

• 独立した Active Directory の参加ポイントを設定し、参加します。

• Active Directory の ID トラフィックがこれらのデバイス グループからこれらの Active Directory の参加ポイントに送られるような認証および認可ポリシーを定義します。

必要な設定

必要なすべての機能を提供するには、次の操作を実行します。

1. CompanyA、CompanyB、CompanyC のようなネットワーク デバイス グループ（NDG）タイプを定義し、各社のネットワーク デバイスを追加します。

   
   

   

   
   

2. 各会社のスコープを定義します。各会社のスコープ内に複数の Active Directory の参加ポイントを定義します。

   すべての会社のドメインが信頼できる場合、必要な参加ポイントは 1 つのみです。ただし、この例では、信頼できないドメインが多数あるため、複数の参加ポイントが必要になります。

   
   

   

   
   

3. ポリシー セットを設定し、会社の認証のために、会社の NDG を Active Directory のスコープに結び付けます。各会社では独自のポリシーも必要となるため、会社独自のポリシー グループで認可ポリシーを定義できます。

   
   

   

   
   

Cisco ISE は、Active Directory に関連するアクティビティをモニターリングし、トラブルシューティングを実行するためのさまざまなアラームおよびレポートを提供します。

アラーム

Active Directory のエラーと問題に対して、次のアラームがトリガーされます。

• 構成済みネーム サーバーが使用不可（Configured nameserver not available）

• 参加しているドメインが使用不可（Joined domain is unavailable）

• 認証ドメインが使用不可（Authentication domain is unavailable）

• Active Directory フォレストが使用不可（Active Directory forest is unavailable）

• AD コネクタを再起動する必要があります（AD Connector had to be restarted）

• AD：ISE アカウント パスワードの更新に失敗（AD: ISE account password update failed）

• AD：マシン TGT のリフレッシュに失敗（AD: Machine TGT refresh failed）

レポート

次の 2 つのレポートで Active Directory に関連するアクティビティを監視できます。

• RADIUS 認証レポート：このレポートには、Active Directory の認証と許可の詳細な手順が表示されます。このレポートは、[操作（Operations）] > [レポート（Reports）] > [エンドポイントとユーザー（Endpoints and Users）] > [RADIUS 認証（RADIUS Authentications）] にあります。

• AD コネクタ操作レポート：AD コネクタ操作レポートには、AD コネクタが実行するバックグラウンド操作（Cisco ISE サーバーパスワードの更新、ケルベロスチケットの管理、DNS クエリ、DC 検出、LDAP、および RPC 接続管理など）のログが表示されます。Active Directory の障害が発生した場合は、考えられる原因を特定するために、このレポートで詳細を確認できます。このレポートは、[操作（Operations）] > [レポート（Reports）] > [診断（Diagnostics）] > [AD コネクタ操作（AD Connector Operations）] にあります。

1 つのフォレスト内に同じ名前の ID が複数出現することがあります。Multi-Join シナリオ、特に、Active Directory ドメインに複数の無関係の会社があり、ユーザー名を相互に制御していない場合に、このことがよく発生します。SAM 名を使用すると、名前が競合する可能性も高まります。NetBIOS プレフィクスでさえ、フォレストごとに一意ではありません。UPN が適切に機能していても代替 UPN は競合する可能性があります。このようなすべてのシナリオで、あいまいな ID エラーが発生します。

[オペレーション（Operations）] タブの下の [認証（Authentications）] ページを使用して、次の属性を検索できます。次の属性は、あいまい ID エラーが発生した場合に、実際に使用されている ID を理解し、制御するために役立ちます。

• AD-Candidate-Identities：あいまいな ID が最初に検出されると、この属性が検出された ID を示します。ID があいまいである理由の特定に役立ちます。

• AD-Resolved-Identities：ID が検出されて、認証、get-groups、get-attributes などの操作で使用された後、この属性は検出された ID で更新されます。ID のクラッシュ時にはこれが複数になる場合があります。

• AD-Resolved-Providers：この属性は、ID が検出された Active Directory の参加ポイントを示します。

高度な調整機能により、シスコのサポート担当者の管理下で、サポート操作に使用されるノード固有の設定が可能となり、システムのさらに深いレベルでパラメータを調整できるようになります。これらの設定は、通常の管理フローを対象としていません。ガイダンスに従って使用する必要があります。

Cisco ISE は、次の 3 つのフェーズでドメイン検出を実行します。

1. 参加しているドメインのクエリー：フォレストのドメイン、および参加しているドメインに対して外部的に信頼できるドメインを検出します。

2. フォレスト内のルート ドメインのクエリー：フォレストで信頼を確立します。

3. 信頼できるフォレスト内のルート ドメインのクエリー：信頼できるフォレストからドメインを検出します。

さらに、Cisco ISE は DNS ドメイン名（UPN サフィックス）、代替の UPN サフィックスおよび NTLM ドメイン名を検出します。

デフォルト ドメインの検出頻度は、2 時間ごとです。[高度な調整（Advanced Tuning）] ページからこの値を変更できますが、シスコのサポート担当者に相談してください。

AD コネクタは、次のように特定ドメインのドメインコントローラ（DC）を選択します。

1. DNS SRV クエリー（サイトにスコープされていない）を実行し、ドメインで完全なドメイン コントローラ リストを取得します。

2. IP アドレスのない DNS SRV の DNS 解決を実行します。

3. SRV レコードの優先順位に従って CLDAP ping 要求をドメイン コントローラに送信し、応答がある場合は最初の応答のみを処理します。CLDAP 応答には、DC サイトとクライアント サイト（Cisco ISE マシンが割り当てられたサイトなど）が含まれます。

4. DC サイトとクライアント サイトが同じ場合、応答の送信元（DC）が選択されます。

5. DC サイトとクライアント サイトが同じでない場合、AD コネクタは、検出されたクライアント サイトにスコープされた DNS SRV クエリーを実行し、クライアント サイトを使用するドメイン コントローラのリストを取得し、これらのドメイン コントローラに CLDAP ping 要求を送信し、応答がある場合は最初の応答のみを処理します。応答の送信元（DC）が選択されます。サイトを使用するクライアント サイトに DC がない場合や、現在使用できる DC がサイトにない場合は、手順 2 で検出された DC が選択されます。

Active Directory サイトを作成および使用することで、Cisco ISE が使用するドメイン コントローラに影響を与える場合があります。サイトの作成および使用方法については、Microsoft Active Directory のマニュアルを参照してください。

Cisco ISE は、ドメインごとに優先 DC のリストも定義できます。DC のリストは、DNS SRV クエリーの前に選択の優先順位が付けられます。ただし、この優先 DC のリストは除外リストではありません。優先 DC が使用できない場合は、その他の DC が選択されます。優先 DC のリストは、次の場合に作成できます。

• SRV レコードが不良か、存在しないか、設定されていない場合。

• サイト関連が間違っているか、存在しないか、サイトを使用できない場合。

• DNS 設定が間違っているか、編集できない場合。

ドメインコントローラ（DC）のフェールオーバーは、次の条件によってトリガーされます。

• AD コネクタは、現在選択している DC が LDAP、RPC、または Kerberos の通信試行時に使用できなくなった場合に検出します。DC はダウンしているかネットワーク接続されていないために使用できない可能性があります。このような場合、AD コネクタは DC の選択を開始し、新しく選択した DC にフェールオーバーします。

• DC が起動していて CLDAP ping に応答しますが、AD コネクタはいくつかの理由で DC と通信できません。たとえば、RPC ポートがブロックされている場合、DC は破損複製状態になっているか、適切に使用停止されていません。このような場合、AD コネクタは、ブラックリストを使用する DC の選択（「不良」DC はブラック リストに置かれます）を開始して、選択した DC との通信を試します。ブラックリストを使用して選択した DC とブラックリストのどちらもキャッシュされません。

最大 3 つの DNS サーバーと 1 つのドメイン サフィックスを設定できます。Cisco ISE で Active Directory の ID ストア順序を使用している場合、すべての DNS サーバーが、使用するすべての Active Directory DNS ドメインの正引きおよび逆引き DNS クエリーに応答できるようにする必要があります。DNS のフェールオーバーは、最初の DNS がダウンしているときにのみ発生します。フェールオーバー DNS には最初の DNS と同じレコーダが必要です。DNS サーバーがクエリーの解決に失敗する場合、DNS クライアントは別の DNS サーバーを試行しません。デフォルトでは、DNS サーバーはクエリーを 2 回再試行し、3 秒でクエリーをタイムアウトします。

ID に関しては、パスワードが入力されているかどうか、任意のドメイン マークアップが ID に存在するかどうかに関係なく、ID のタイプに基づいて、さまざまなアルゴリズムがユーザーまたはマシン オブジェクトの検索に使用されます。

次に、Cisco ISE がさまざまな ID タイプの解決に使用するさまざまなアルゴリズムを示します。

（注）	ID が設定済みの ID リライト ルールに従って書き換えられている場合、ID 解決は書き換えられた ID に適用されます。

SAM 名の解決

• ID が SAM 名（ドメイン マークアップのないユーザー名またはマシン名）の場合、Cisco ISE は各参加ポイントのフォレストを（1 回）検索して ID を探します。一意に一致した場合、Cisco ISE はドメインまたは一意の名前を特定し、AAA フローに進みます。

• SAM 名が一意ではなく、Cisco ISE が EAP-TLS などのパスワードのないプロトコルを使用するように設定されている場合、適切なユーザーを検索する他の基準がないため、Cisco ISE は「あいまいな ID」エラーで認証に失敗します。ただし、ユーザー証明書が Active Directory に存在する場合、Cisco ISE はバイナリ比較を使用して ID を解決します。

• PAP などのパスワードベースのプロトコル、または MSCHAP を使用するように Cisco ISE が設定されている場合、Cisco ISE は引き続きパスワードを確認します。一意に一致した場合、Cisco ISE は AAA フローに進みます。ただし、パスワードが同じアカウントが複数ある場合、Cisco ISE は「あいまいな ID」エラーで認証に失敗します。

ユーザー名の競合を回避する必要があります。これにより、効率およびセキュリティが向上するだけでなく、アカウントがロックされることも防止されます。たとえば、パスワードが異なる 2 つの「Chris」が存在し、Cisco ISE は SAM 名の「Chris」のみを受信するとします。このシナリオでは、Cisco ISE は正しいアカウントを特定する前に、SAM 名が「Chris」である両方のアカウントを試行し続けます。このような場合、Active Directory は間違ったパスワードの試行によっていずれかのアカウントをロックする可能性があります。このため、一意のユーザー名またはドメイン マークアップ付きのユーザー名を使用するようにしてください。また、各 Active Directory ドメインに特定のネットワーク デバイスを使用する場合、ID 書き換えを使用して SAM 名を認定できます。

UPN の解決

• ID が UPN 場合、Cisco ISE は各フォレストのグローバル カタログを検索して、その UPN ID との一致を確認します。一意に一致した場合、Cisco ISE は AAA フローに進みます。同じ UPN の参加ポイントが複数あり、パスワードが入力されていないか、適切なアカウントの特定に役立たない場合、Cisco ISE は「あいまいな ID」エラーで認証に失敗します。

• また、Cisco ISE は、UPN である ID にユーザーのメール属性の照合も許可します。つまり、「identity=matching UPN or email」を検索します。一部のユーザーは、実際の基盤となる UPN ではなく、電子メール名を使用して（多くの場合、証明書経由で）ログインします。このことは、ID が電子メール アドレスと同じ形式の場合に、暗黙的に行われます。

マシン ID の解決

• マシン認証の場合、Cisco ISE は、ホスト/プレフィクスを持つ ID を使用して、一致する servicePrincipalName 属性がないかフォレストを検索します。完全修飾ドメイン サフィックス（host/machine.domain.com など）が ID で指定されている場合、Cisco ISE はそのドメインが存在するフォレストを検索します。ID がホスト/マシン形式の場合、Cisco ISE はサービス プリンシパル名がないかすべてのフォレストを検索します。一致が複数ある場合、Cisco ISE は「あいまいな ID」エラーで認証に失敗します。

• マシンが別の ID 形式（machine@domain.com、ACME\laptop$、または laptop$ など）の場合、Cisco ISE は通常の UPN、NetBIOS、または SAM の解決アルゴリズムを使用します。

NetBIOS ID の解決

ID に NetBIOS ドメイン プレフィクス（ACME\jdoe など）がある場合、Cisco ISE は NetBIOS ドメインがないかフォレストを検索します。検出されたら、検出されたドメインで指定の SAM 名（この例では「jdoe」）を検索します。NetBIOS ドメインは、1 つのフォレストにおいても必ずしも一意ではないため、検索によって同じ名前の NetBIOS ドメインが複数検出される場合があります。このような場合にパスワードが入力されていると、適切な ID を検索するために、そのパスワードが使用されます。それでもあいまいな場合やパスワードが入力されていない場合、Cisco ISE は「あいまいな ID」エラーで認証に失敗します。