ISE/ISE-PIC を構成する際に、このセクションで説明されているガイドラインを使用してください。

ISE/ISE-PIC バージョンと設定の互換性

ご使用の ISE/ISE-PIC バージョンと構成は、次のように Secure Firewall Management Center との統合や相互作用に影響を及ぼします。

• 最新バージョンの ISE/ISE-PIC を使用して最新の機能セットを入手することを強くお勧めします。

• ISE/ISE-PIC サーバーと Secure Firewall Management Center の時刻を同期します。そうしないと、システムが予期しない間隔でユーザーのタイムアウトを実行する可能性があります。

• ISE または ISE-PIC データを使用してユーザー制御を実装するには、LDAP レルムまたは Active Directory（AD）レルムおよびレルムディレクトリを作成する の説明に従って、pxGrid のペルソナを想定して ISE サーバーのレルムを構成し、有効にします。

• ISE サーバーに接続する各 Secure Firewall Management Center ホスト名は一意である必要があります。そうでない場合、Secure Firewall Management Center のいずれかへの接続は廃棄されます。

• 多数のユーザーグループをモニターするように ISE/ISE-PIC を設定した場合、システムは管理対象デバイスのメモリ制限のためにグループに基づいてユーザーマッピングをドロップすることがあります。その結果、レルムまたはユーザー条件を使用するルールが想定どおりに実行されない可能性があります。

  6.7 以降を実行しているデバイスの場合、configure identity-subnet-filter コマンドを使用して、管理対象デバイスがモニタするサブネットを制限することもできます。詳細については、Cisco Secure Firewall Threat Defense Command Referenceを参照してください。

  または、ネットワークオブジェクトを設定し、そのオブジェクトを ID ポリシーのアイデンティティ マッピング フィルタとして適用できます。アイデンティティ ポリシーの作成を参照してください。

システムのこのバージョンと互換性がある特定のバージョンの ISE/ISE-PIC については、Cisco Firepower Compatibility Guideを参照してください。

IPv6 のサポート

• ISE/ISE-PIC のバージョン 2.x の互換性のあるバージョンには、IPv6 対応エンドポイントのサポートが含まれています。

• ISE/ISE-PIC のバ ージョン 3.0（パッチ 2）以降では、ISE/ISE-PIC と Firewall Management Center 間の IPv6 通信が可能です。

ISE でのクライアントの認証

ISE サーバーと Firewall Management Center 間の接続を確立するには、ISE のクライアントを手動で承認する必要があります。（通常、接続テスト用と ISE エージェント用の 2 つのクライアントがあります）。

『Cisco Identity Services Engine Administrator Guide』の「Managing users and external identity sources」の章で説明しているように、ISE で [新しいアカウントを自動的に承認（Automatically approve new accounts）] を有効にすることもできます。

到達不能なセッションは削除されます。

ISE/ISE-PIC のユーザーセッションが到達不能として報告された場合、[>] ではそのセッションがプルーニングされ、同じ IP を持つ別のユーザーは到達不能なユーザーのアイデンティティルールに一致できません。

[プロバイダー（Providers）] > [エンドポイントプローブ（Endpoint Probes）] に移動し、次のいずれかをクリックして、ISE/ISE-PIC でこの動作を制御できます。

• [有効（Enabled）] にすると、ISE/ISE-PIC がエンドポイント接続を監視し、Secure Firewall Management Center で到達不能なユーザーからのセッションをプルーニングできます。

• [無効（Disabled）] にすると、ISE/ISE-PIC はエンドポイント接続を無視します。

セキュリティ グループ タグ（SGT）（Security Group Tag (SGT)）

セキュリティグループタグ（SGT）は、信頼ネットワーク内のトラフィックの送信元の権限を指定します。Cisco ISE および Cisco TrustSec は、ネットワークに入るときに、セキュリティ グループ アクセス（SGA）と呼ばれる機能を使用して、パケットに SGT 属性を適用します。これらの SGT は、ISE または TrustSec 内のユーザの割り当てられたセキュリティグループに対応します。ID ソースとして ISE を設定すると、Firepower システムは、これらの SGT を使用してトラフィックをフィルタリングできます。

セキュリティ グループ タグは、アクセス制御ルール内の送信元および宛先の両方の一致基準として使用できます。

（注）	ISE SGT 属性タグのみを使用してユーザー制御を実装する場合、ISE サーバーのレルムを設定する必要はありません。ISE SGT 属性条件は、関連するアイデンティティ ポリシーの有無にかかわらずポリシーで設定できます。

（注）	一部のルールでは、カスタム SGT 条件が ISE によって割り当てられなかった SGT 属性にタグ付けされたトラフィックを照合できます。これはユーザー制御とみなされず、アイデンティティ ソースとして ISE/ISE-PIC を使用しない場合にのみ機能します。カスタム SGT 条件 を参照してください。

インライン SGT と SXP の両方を使用する場合は、次の点に注意する必要があります。

• スイッチがインライン SGT を転送すると、Secure Firewall Threat Defense はそのタグに基づいてアクションを実行します。

• スイッチからタグが転送されない場合、Secure Firewall Threat Defense は SXP マッピングを使用して決定を行う必要があります。

  ただし、スイッチはデフォルトにより、タグが指定されていない場合、SGT 0 を追加します。これらの設定の両方を同時に使用する場合は、Secure Firewall Threat Defense の SXP が SGT タグを追加することが予想されるフローに対して、ネクスト ホップのネットワーク デバイスが 0 などの SGT タグを追加していないことを確認する必要があります。

  これは予期された動作で変更できません。

送信元 SGT タグに加えて宛先 SGT タグを照合するには、次の条件が適用されます。

必要な ISE バージョン：2.6 パッチ 6 以降、2.7 パッチ 2 以降

ルータのサポート：イーサネットを介した SGT インライン タギングをサポートする任意のシスコ ルータ。詳細については、『Cisco Group Based Policy Platform and Capability Matrix Release』などの参考資料を参照してください。

制限事項

• サービス品質（QoS）ポリシーは、送信元 SGT 照合のみを使用し、宛先 SGT 照合は使用しません。

• RA-VPN は、RADIUS を介した SGT マッピングの直接の受信はしません。

ISE と高可用性

プライマリ ISE/ISE-PIC サーバーで障害が発生すると、次のようなことが起きます。

pxGrid v2 との統合の結果として、Secure Firewall Management Center は、一方が接続を受け入れるまで設定された両方の ISE ホスト間のラウンドロビンを行います。

接続が失われると、Secure Firewall Management Center は接続されたホストへのラウンドロビンの試行を再開します。

エンドポイント ロケーション（Endpoint Location）（またはロケーション IP（Location IP））

[エンドポイント ロケーション（Endpoint Location）] 属性は、ISE によって識別される、ユーザーの認証に ISE を使用したネットワーク デバイスの IP アドレスです。

[エンドポイント ロケーション（Endpoint Location）]（[ロケーション IP（Location IP）]）に基づいてトラフィックを制御するには、アイデンティティ ポリシーを設定し、展開する必要があります。

ISE 属性

ISE 接続を設定すると、ISE 属性データが Secure Firewall Management Center データベースに入力されます。ユーザー認識とユーザー制御に使用できる ISE 属性は、次のとおりです。 これは、ISE-PIC ではサポートされません。

エンドポイント プロファイル（Endpoint Profile）（またはデバイス タイプ（Device Type））

[エンドポイント プロファイル（Endpoint Profile）] 属性は、ISE によって識別されるユーザーのエンドポイント デバイス タイプです。

[エンドポイント プロファイル（Endpoint Profile）]（[デバイス タイプ（Device Type）]）に基づいてトラフィックを制御するには、アイデンティティ ポリシーを設定し、展開する必要があります。

ISE/ISE-PIC は、次の構成のいずれかで使用できます：

• レルム、アイデンティティ ポリシー、および関連付けられたアクセス コントロール ポリシーを使用。

  レルムを使用して、ポリシー内のネットワーク リソースへのユーザー アクセスを制御します。ポリシーでは、ISE/ISE-PIC セキュリティ グループ タグ（SGT）のメタデータを引き続き使用できます。

• アクセス コントロール ポリシーのみを使用。レルムまたはアイデンティティ ポリシーは必要ありません。

  SGT メタデータのみを使用してネットワーク アクセスを制御するには、この方法を使用します。

次のトピックでは、Firewall Management Center のアイデンティティポリシーで使用するように ISE/ISE-PIC サーバーを設定する方法について説明します。

このトピックでは、次の方法について説明します。

• （Cisco ISE の高度な設定のみ）。Firewall Management Center で認証するために ISE/ISE-PIC サーバーから証明書をエクスポートします。

• Firewall Management Center を ISE サーバーのセキュリティグループタグ（SGT）で更新できるように、SXP トピックを公開します。

Cisco ISE アイデンティティソースは、次のいずれかの方法で設定できます。

• クイック設定（新規）：Cisco ISE のみでサポートされており、ISE-PIC でサポートされていません。外部 RESTful サービス（ERS）オペレータグループ以上のユーザーのユーザー名とパスワードを入力します。Secure Firewall Management Center は、Cisco ISE プライマリ認証ノード（PAN）にログインし、証明書をダウンロードし、アイデンティティソースを設定します。後で使用するために ISE 設定を保存するオプションがあります。

  グループの詳細については、『Identity Services Engine administrator guides』の Cisco ISE 管理者グループのセクションを参照してください。

  詳細については、クイック構成 を参照してください。

• 詳細設定（旧）：以前の Secure Firewall Management Center リリースと同じで、Cisco ISE と ISE-PIC の両方で機能します。「ISE/ISE-PIC の設定」で説明されているように、ISE/ISE-PIC サーバーから証明書およびその他の情報を取得する必要があります。

  詳細設定の詳細については、「Cisco ISE の高度な設定」を参照して ください。