ローカルアカウントを作成するには、次の手順を実行します。

1. 次のいずれかを実行します。

2. Security Manager クライアントが現在開いていて、管理者アカウントでログインしている場合は、[ツール（Tools）] > [Security Managerの管理（Security Manager Administration）] を選択し、コンテンツテーブルから [サーバーセキュリティ（Server Security）] を選択できます。[Server Security] ページには、Common Services の特定のページにリンクするボタンおよび特定のページを開くボタンが含まれています。[ローカルユーザーセットアップ（Local User Setup）] をクリックして、Common Services の [ローカルユーザーセットアップ（Local User Setup）] ページに移動します。

3. Web ブラウザを使用し、URL https://servername を使用して Security Manager サーバーにリンクします（servername はサーバーの IP アドレスまたは DNS 名です）。この URL によって Security Manager ホームページが開きます。[サーバー管理（Server Administration）] をクリックして、Common Services を開きます。[サーバー（Server）] > [シングルサーバー管理（Single-Server Management）] > [ローカル ユーザーセットアップ（Local User Setup）] の順に選択して、Common Services の [ローカルユーザーセットアップ（Local User Setup）] ページに移動します。

4. [追加（Add）] をクリックします。

ACS アカウントを作成するには、次の手順を実行します。

1. 次のいずれかを実行します。

2. Security Manager クライアントが現在開いていて、管理者アカウントでログインしている場合は、[ツール（Tools）] > [Security Managerの管理（Security Manager Administration）] を選択し、コンテンツテーブルから [サーバーセキュリティ（Server Security）] を選択できます。[Server Security] ページには、Common Services の特定のページにリンクするボタンおよび特定のページを開くボタンが含まれています。[AAA設定（AAA Setup）] をクリックして、Common Services の [認証モードの設定（Authentication Mode Setup）] ページに移動します。

3. Web ブラウザを使用し、URL https://servername を使用して Security Manager サーバーにリンクします（servername はサーバーの IP アドレスまたは DNS 名です）。この URL によって Security Manager ホームページが開きます。[サーバー管理（Server Administration）] をクリックして、Common Services を開きます。[サーバー（Server）]、[AAAモードの設定（AAA Mode Setup）] の順に指定して、Common Services の [認証モードの設定（Authentication Mode Setup）] ページに移動します。

4. [AAAモードの設定（AAA Mode Setup）] で [ACS（ACS）] を選択します。

ヒント	ACS アカウントは、（1）ACS タイプの AAA Mode Setup（これは [Authentication Mode Setup] ページにあります）、および（2）CiscoWorks Common Services の ACS ログイン モジュールを使用します。ただし、ACS ログイン モジュールを選択する必要はありません。これは、ACS タイプの [AAA Mode Setup] を選択すると自動的に選択されます。

（注）	Cisco Security Manager 4.21 以降では、以前の ACS サーバーの代わりに Cisco Identity Services Engine（ISE）を認証に使用できます。

非 ACS アカウントを作成するには、次の手順を実行します。

1. 次のいずれかを実行します。

2. Security Manager クライアントが現在開いていて、管理者アカウントでログインしている場合は、[ツール（Tools）] > [Security Managerの管理（Security Manager Administration）] を選択し、コンテンツテーブルから [サーバーセキュリティ（Server Security）] を選択できます。[Server Security] ページには、Common Services の特定のページにリンクするボタンおよび特定のページを開くボタンが含まれています。[AAA設定（AAA Setup）] をクリックして、Common Services の [認証モードの設定（Authentication Mode Setup）] ページに移動します。

3. Web ブラウザを使用し、URL https://servername を使用して Security Manager サーバーにリンクします（servername はサーバーの IP アドレスまたは DNS 名です）。この URL によって Security Manager ホームページが開きます。[サーバー管理（Server Administration）] をクリックして、Common Services を開きます。[サーバー（Server）]、[AAAモードの設定（AAA Mode Setup）] の順に指定して、Common Services の [認証モードの設定（Authentication Mode Setup）] ページに移動します。

4. [AAAモードの設定（AAA Mode Setup）] で [ローカルRBAC（Local RBAC）] を選択します。

ヒント	非 ACS アカウントは、（1）[ローカルRBAC（Local RBAC）] タイプの [AAAモードの設定（AAA Mode Setup）]（これは [認証モードの設定（Authentication Mode Setup）] ページにあります）、および（2）CiscoWorks Common Services で CiscoWorks Local（デフォルトのログインモジュール）、Local NT System、MS Active Directory、RADIUS、または TACACS+ のログインモジュールのいずれかを使用します。

Cisco Security Manager はデフォルトの ACS ロールと権限を提供します。デフォルト ロールをカスタマイズすることも、ニーズに合わせて追加のロールを作成することもできます。ただし、新しいロールを定義する場合、または、デフォルト ロールをカスタマイズする場合は、選択した権限が Security Manager アプリケーションの観点から適切であることを確認してください。たとえば、表示権限を伴わない変更権限を付与した場合、そのユーザはアプリケーションを使用できなくなります。

Security Manager 権限は次のカテゴリに分類されます。個々の権限に関する説明については、Cisco Secure ACS に統合されているオンライン ヘルプを参照してください（権限の表示方法については、Cisco Secure ACS ロールのカスタマイズを参照してください）。

• [表示（View）]：現在の設定の表示を可能にします。主な表示権限を次に示します。

  • [表示（View）] > [ポリシー（Policies）]：さまざまなタイプのポリシーの表示を可能にします。このフォルダには、ファイアウォールや NAT などのさまざまなポリシー クラスの権限が含まれています。

  • [表示（View）] > [オブジェクト（Objects）]：さまざまなタイプのポリシー オブジェクトの表示を可能にします。このフォルダには、ポリシー オブジェクト タイプごとの権限が含まれています。

  • [表示（View）] > [管理者（Admin）]：Security Manager 管理設定の表示を可能にします。

  • [表示（View）] > [CLI（CLI）]：デバイス上で設定された CLI コマンドの表示と、展開しようとしているコマンドのプレビューを可能にします。

  • [View] > [Config Archive]：設定アーカイブに保存されている設定の一覧表示を可能にします。デバイス設定や CLI コマンドは表示できません。

  • [表示（View）] > [デバイス（Devices）]：[Device] ビュー内のデバイスと関連情報（デバイス設定、プロパティ、割り当てなど）の表示を可能にします。NDG を設定することによって、デバイス権限を特定のデバイスのセットに制限できます。

  • [表示（View）] > [デバイスマネージャ（Device Managers）]：個々のデバイスのデバイスマネージャの読み取り専用バージョンを起動できます。

  • [表示（View）] > [トポロジ（Topology）]：[Map] ビューで設定されたマップの表示を可能にします。

  • [表示（View）] > [イベントビューア（Event Viewer）]：Real Time Viewer と Historical Viewer の両方で Event Viewer のイベントの表示を可能にします。

  • [表示（View）] > [レポートマネージャ（Report Manager）]：Report Manager のレポートの表示を可能にします。

  • [表示（View）] > [定期レポート（Schedule Reports）]：Report Manager のレポートのスケジューリングを可能にします。

  • [表示（View）] > [Health and Performance Manager（Health and Performance Manager）]：Health and Performance Manager を起動できます。

  • [表示（View）]、[Image Manager（Image Manager）] ：Image Manager を起動できます。

• [変更（Modify）]：現在の設定の変更を可能にします。

  • [変更（Modify）] > [ポリシー（Policies）]：さまざまなタイプのポリシーの変更を可能にします。このフォルダには、さまざまなポリシー クラスの権限が含まれています。

  • [変更（Modify）] > [オブジェクト（Objects）]：さまざまなタイプのポリシー オブジェクトの変更を可能にします。このフォルダには、ポリシー オブジェクト タイプごとの権限が含まれています。

  • [変更（Modify）] > [管理者（Admin）]：Security Manager 管理設定の変更を可能にします。

  • [Modify] > [Config Archive]：設定アーカイブ内のデバイス設定の変更を可能にします。加えて、アーカイブへの設定の追加と設定アーカイブ ツールのカスタマイズを可能にします。

  • [変更（Modify）] > [デバイス（Devices）]：デバイスの追加と削除だけでなく、デバイスのプロパティと属性の変更を可能にします。追加するデバイスに関するポリシーを検出するには、[Import] 権限もイネーブルにする必要があります。加えて、[Modify] > [Devices] 権限をイネーブルにした場合は、[Assign] > [Policies] > [Interfaces] 権限もイネーブルになっていることを確認してください。NDG を設定することによって、デバイス権限を特定のデバイスのセットに制限できます。

  • [変更（Modify）] > [階層（Hierarchy）]：デバイス グループの変更を可能にします。

  • [変更（Modify）] > [Topology（トポロジ）]：[Map] ビュー内のマップの変更を可能にします。

  • [変更（Modify）] > [イベントモニタリングの管理（Manage Event Monitoring）]：任意のデバイスに対して Security Manager のモニタリングをイネーブルおよびディセーブルにすることを可能にします。それにより、Security Manager は、デバイスからのイベントの受信および処理を開始または停止します。

  • [変更（Modify）] > [イメージリポジトリの変更（Modify Image Repository）] ：イメージリポジトリ内の項目を変更し、Cisco.com からイメージの更新を確認できます。

• [割り当て（Assign）]：デバイスと VPN へのさまざまなポリシータイプの割り当てを可能にします。このフォルダには、さまざまなポリシー クラスの権限が含まれています。

• [承認（Approve）]：ポリシー変更と展開ジョブの承認を可能にします。

• [制御（Control）]：ping などのデバイスに対するコマンドの発行を可能にします。この権限は、接続診断に使用されます。

• [展開（Deploy）]：ネットワーク内のデバイスに対する設定変更の展開と、以前の展開設定に戻すためのロールバックの実施を可能にします。

• [インポート（Import）]：すでにデバイス上に展開された設定の Security Manager へのインポートを可能にします。デバイスの表示特権とデバイスの変更特権も持っている必要があります。

• [送信（Submit）]：設定変更の送信と承認を可能にします。

CiscoWorks Common Services 内で作成されたユーザには、1 つ以上のロールが割り当てられます。各ロールに割り当てられた権限によって、各ユーザが Security Manager 内で実行を認可される操作が決定されます。

次のトピックで、CiscoWorks ロールについて説明します。

• CiscoWorks Common Services デフォルト ロール

• 認可タイプの選択および Common Services 内のユーザへのロールの割り当て

Common Services 4.0（Security Manager 4.3 と 4.4 で使用）と Common Services 4.2.2（Security Manager バージョン 4.5 ～バージョン 4.30 で使用）以前は、Cisco Secure ACS ではアプリケーション固有のロール（効率的な「ロールベース アクセス コントロール」（RBAC））をサポートしていたため、Common Services よりも柔軟性の高い Security Manager 権限の管理が可能でした。

このような粒度の高い特権（RBAC）は、ACS を使用せずにローカル RBAC を利用できる Common Services 4.0 および 4.2.2 で利用できます。各ロールは、Security Manager タスクに対する認可レベルを決定する権限セットで構成されます。Cisco Secure ACS で、各ユーザ グループに（およびオプションで個別のユーザにも）ロールを割り当てます。これによって、グループ内の各ユーザは、そのロールに対して定義された権限によって認可される操作を実行できます。

加えて、これらのロールを Cisco Secure ACS デバイス グループに割り当てて、デバイスのセットごとに権限を区別できるようにできます。

（注）	Cisco Secure ACS デバイス グループは、Security Manager デバイス グループとは無関係です。

次のトピックで、Cisco Secure ACS ロールについて説明します。

• Cisco Secure ACS デフォルト ロール

• Cisco Secure ACS ロールのカスタマイズ

表 8-2 に、Security Manager 権限、CiscoWorks Common Services ロール、および Cisco Secure ACS 内のデフォルトロールの関連付けを示します。一部のロール（Super Admin、Security Administrator、および Security Approver）は、Cisco Secure ACS のデフォルト ロールと特に関連付けられていないので含まれていません。特定の権限に関する詳細については、Security Manager ACS 権限を参照してください。

Cisco Secure ACS を使用するには、次の手順を完了する必要があります。

• Security Manager 内で必要な機能を実行するために必要な権限を含むロールを定義しました。

• Network Access Restriction（NAR）には、NAR をプロファイルに適用する場合に管理するデバイス グループ（またはデバイス）が含まれています。

• 管理対象デバイス名は、Cisco Secure ACS と Security Manager で綴りと大文字/小文字を合わせる必要があります。この制限は、表示名に適用され、デバイス上で定義されるホスト名には適用されません。ACS の命名制限は Security Manager の命名制限よりも厳密なため、先に、ACS 内でデバイスを定義する必要があります。

• ASA セキュリティコンテキスト デバイスに関して満たさなければならないその他のデバイス表示名要件があります。これらについては、NDG を使用しないデバイスの AAA クライアントとしての追加に記載されています。

• ネットワーク デバイス グループをイネーブルにする必要があります。

次のトピックで、Cisco Security Manager と統合する場合に Cisco Secure ACS で実行すべき手順について説明します。列挙された順にタスクを実行します。これらの項で説明する手順の詳細については、『User Guide for Cisco Secure Access Control Server』[英語] を参照してください。

1. <XREF>

2. <XREF>

3. <XREF>

Cisco Secure ACS での統合タスク（Cisco Secure ACS で実行する統合手順を参照）が完了したら、CiscoWorks Common Services でいくつかのタスクを完了する必要があります。Common Services は、Cisco Security Manager などのインストール対象アプリケーションの Cisco Secure ACS への登録を実行します。

次のトピックで、Cisco Security Manager と統合する場合に CiscoWorks Common Services で実行する手順について説明します。

• CiscoWorks でのローカル ユーザの作成

• システム識別ユーザの定義

• CiscoWorks での AAA セットアップ モードの設定

• ACS ステータス通知用の SMTP サーバとシステム管理者の電子メール アドレスの設定

CiscoWorks、Security Manager、およびその他のインストール済みアプリケーションを Cisco Secure ACS に登録したら、Cisco Secure ACS で設定したユーザ グループのそれぞれにロールを割り当てることができます。これらのロールによって、各グループ内のユーザが Security Manager で実行を許可されるアクションが決定されます。

ユーザ グループにロールを割り当てる手順は、NDG が使用されるかどうかによって異なります。

• NDG を使用しないユーザ グループへのロールの割り当て

• NDG とロールのユーザ グループへの関連付け

（注）	CiscoWorks/Security Manager サーバーを含む特別な NDG を作成することによって、Cisco Security Manager と ACS の統合はより有効に機能します。

1 つの Cisco Secure ACS を 2 つの異なるバージョンの Security Manager と一緒に使用することはできません。たとえば、Security Manager 3.3.1 と Cisco Secure ACS を統合してから、別の部署で既存のインストールをアップグレードせずに Security Manager 4.0.1 の使用を計画している場合は、Security Manager 4.0.1 と、Security Manager 3.3.1 用に使用されているものとは別の ACS を統合する必要があります。

既存の Security Manager インストールをアップグレードすれば、同じ Cisco Secure ACS を使用し続けることができます。必要に応じて、権限設定が更新されます。

（注）	Cisco Security Manager 4.21 以降では、以前の ACS サーバーの代わりに Cisco Identity Services Engine（ISE）を認証に使用できます。

Security Manager または CiscoWorks Common Services にログインしようとして続けて認証が失敗する場合は、Common Services を使用して Cisco Secure ACS を認証用の AAA サーバーとして設定していたとしても、次の手順を実行します。

• ACS サーバと、Common Services と Security Manager を実行しているサーバ間の接続が確立されていることを確認します。

• 使用しているユーザ資格情報（ユーザ名とパスワード）が ACS 内で定義されており、適切なユーザ グループに割り当てられていることを確認します。

• ACS の [Network Configuration] ページで、Common Services サーバが AAA クライアントとして定義されていることを確認します。Common Services（[AAA Mode Setup] ページ）と ACS（[Network Configuration]）で定義された共有秘密キーが一致することを確認します。

• Common Services の [AAA Mode Setup] ページで、各 ACS サーバの IP アドレスが正しく定義されていることを確認します。

• ACS の [Administration Control] ページで、正しいアカウントが定義されていることを確認します。

• Common Services の [AAAモードの設定（AAA Mode Setup）]ページにアクセスして、Common Services と Security Manager（および AUS などの他のインストール済みアプリケーション）が Cisco Secure ACS に登録されていることを確認します。

• ACS で [管理コントロール（Administration Control）] > [アクセスの設定（Access Setup）] に移動して、ACS が HTTPS 通信用に設定されていることを確認します。

• ACS ログに「キーの不一致（key mismatch）」エラーが書き込まれている場合は、Security Manager サーバーがネットワークデバイス グループ（NDG）のメンバーとして定義されているかどうかを確認します。その場合は、NDG 用のキーが事前に定義されていれば、そのキーが Security Manager サーバを含む NDG 内の個々のデバイスに対して定義されたキーよりも優先されることに注意してください。NDG 用に定義されたキーが、Security Manager サーバの秘密キーと一致することを確認します。

フル権限を持つ System Administrator としてログインしたにもかかわらず、Security Manager のすべてのポリシーページに読み取り専用アクセスしかできない場合は、Cisco Secure ACS で次の手順を実行します。

• （NDG を使用している場合）Cisco Secure ACS のナビゲーションバーの [グループ設定（Group Setup）] をクリックしてから、System Administrator ユーザーロールが CiscoWorks と Cisco Security Manager の両方の必要なすべての NDG（特に、Common Services/Security Manager サーバーを含む NDG）に関連付けられていることを確認します。

• ナビゲーションバーの [ネットワーク構成（Network Configuration）] をクリックしてから、次の手順を実行します。

  • Common Services/Security Manager サーバが Not Assigned（デフォルト）グループに割り当てられていないことを確認します。

  • Common Services/Security Manager サーバが RADIUS ではなく TACACS+ を使用するように設定されていることを確認します。TACACS+ は、2 台のサーバ間でサポートされている唯一のセキュリティ プロトコルです。

（注）	TACACS+ または RADIUS 用に Security Manager で管理するネットワークデバイス（ルータ、ファイアウォールなど）を設定できます。

Security Manager と Cisco Secure ACS 4.x を使用している場合は、Security Manager サーバ上の Security Manager または CiscoWorks Common Services にログインしたときに ACS からの情報がキャッシュされます。Security Manager にログイン中に Cisco Secure ACS の [Network Configuration] と [Group Setup] で変更を加えた場合は、Security Manager で、その変更が、すぐに表示されない、または、すぐに有効にならない可能性があります。Security Manager と Common Services をログアウトしてそれらのウィンドウを閉じてから、再度ログインして、ACS からの情報をリフレッシュする必要があります。

（注）	Cisco Security Manager 4.21 以降では、以前の ACS サーバーの代わりに Cisco Identity Services Engine（ISE）を認証に使用できます。

ACS で変更を加える必要がある場合は、ログアウトして Security Manager ウィンドウを閉じてから、製品に再ログインする方法がベスト プラクティスです。

（注）	Cisco Secure ACS 3.3 はサポートされていませんが、このバージョンの ACS を使用している場合は、Windows サービスを開いて Cisco Security Manager Daemon Manager サービスを再起動し、ACS の変更を Security Manager に表示させる必要があります。

Cisco Secure ACS 上で設定したデバイスが Security Manager に表示されない場合は、デバイスの表示名に伴う問題だと思われます。

Security Manager で定義するデバイスの表示名は、そのデバイスを AAA クライアントとして追加したときに ACS で設定した名前と一致する必要があります。このことは、特に、ドメイン名を使用する場合に重要です。Security Manager でドメイン名をデバイス名に付加する場合は、ACS 内の AAA クライアントのホスト名を <device_name>.<domain_name> にする必要があります（例：pixfirewall.cisco.com）。

Cisco Secure ACS に追加されたマルチホームデバイス（複数の Network Interface Card（NIC; ネットワーク インターフェイスカード）が実装されたデバイス）が設定できない場合は、ユーザーロールにデバイスの変更権限が含まれていたとしても、そのデバイスの IP アドレスの入力方法に伴う問題が発生する可能性があります。

マルチホームデバイスを Cisco Secure ACS の AAA クライアントとして定義する場合は、NIC ごとの IP アドレスを定義してください。入力するたびに Enter を押します。詳細については、NDG を使用しないデバイスの AAA クライアントとしての追加を参照してください。

Cisco Secure ACS に追加された NAT 前または NAT 後の IP アドレスを持つデバイスを設定できない場合は、ユーザ ロールにデバイスの変更権限が含まれていたとしても、設定した IP アドレスに伴う問題が発生する可能性があります。

デバイスが NAT 境界の背後に設置されている場合は、Cisco Secure ACS の AAA クライアント設定でデバイスのすべての IP アドレス（NAT 前と NAT 後を含む）を定義してください。ACS への AAA クライアント設定の追加方法については、『User Guide for Cisco Secure Access Control Server』[英語] を参照してください。

次の手順を実行して、非 ACS アカウントを設定します。非 ACS アカウントを参照してください。

次に、[CiscoWorksローカル（CiscoWorks Local）] ログインモジュールを選択します。

ヒント	[CiscoWorks Local] は Security Manager のクリーン インストールのデフォルト値です。

Common Services の [Local User Setup] ページに移動します。

Security Manager がインストールされているサーバ >

Cisco Security Manager アプリケーションのデスクトップ アイコン >

ユーザ アカウント ログイン >

[Server Administration] >

[Home] >

[System Tasks] >

[Local User Setup]

[Local User Setup] ページで、ユーザを選択し、次のアクションのいずれかを選択できます。

• ユーザのインポート

• Export Users

• 編集

• 削除

• 追加（Add）

• Modify My Profile

複数のユーザを選択する場合、[Edit] は選択できません。

ユーザを選択しない場合は、次のアクションのいずれかを選択できます。

• ユーザのインポート

• 追加（Add）

• Modify My Profile

[編集（Edit）] または [追加（Add）] を選択する場合は、次の 3 つの認可タイプのいずれかを選択できます。

• Full Authorization

• Enable Task Authorization

• Enable Device Authorization

Security Manager の [Device Groups] ページに移動します。

Security Manager がインストールされているサーバ >

Configuration Manager アプリケーションのデスクトップ アイコン >

ユーザ アカウント ログイン >

[Tools] >

[Security Manager Administration] >

デバイス グループ（Device Groups）

Common Services インターフェイス（Security Manager がインストールされているサーバ > Cisco Security Manager アプリケーションのデスクトップ アイコン）を使用してデバイス グループを管理することはできません。

[Role Management Setup] ページに移動します。

Security Manager がインストールされているサーバ >

Cisco Security Manager アプリケーションのデスクトップ アイコン >

ユーザ アカウント ログイン >

[Server Administration] >

[Server] >（メニュー セレクタ記号）>

[Security] >

[Single-Server Management] >

[Role Management Setup]

[Role Management Setup] ページにはデフォルトのロール（Approver、Help Desk、Network Administrator、Network Operator、Security Administrator、Security Approver、Super Admin、および System Administrator）が表示されます。[Role Management Setup] ページには、追加したカスタム ロール（ある場合）も表示されます。

[Role Management] ページでは、Add、Edit、Delete、Copy、Export、Import、Set as default、および Clear default の各操作を実行できます。