AsyncOS 14.0 for Cisco Secure Email and Web Manager ユーザガイド（一般導入）

管理タスクの実行

システム管理タスクのほとんどは、グラフィカルユーザインターフェイス（GUI）の [システム管理（System Administration）] メニューを使用して実行できます。ただし、一部のシステム管理機能は、コマンドラインインターフェイス（CLI）からのみ実行できます。

また、システムステータスのモニタリング

（注）

この章で説明する機能やコマンドの中には、ルーティングの優先順位に影響を及ぼすものがあります。詳細については、IP アドレス、インターフェイス、およびルーティングを参照してください。

機能キーの使用

キーは、アプライアンスのシリアル番号に固有のものであり、またイネーブルする機能にも固有です。1 つのシステムのキーを、別のシステムで再利用することはできません。

ここで説明するタスクをコマンドラインプロンプトから実行するには、featurekey コマンドを使用します。


目的	操作手順
アプライアンスのアクティブな機能キーをすべて表示するアクティベーションを保留中のすべての機能キーを表示する発行された新しいキーを検索する機能キーを手動でインストールする機能キーをアクティブ化する	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [機能キー（Feature Keys）] を選択します。新しい機能キーを手動で追加するには、[機能キー（Feature Key）] フィールドにキーを貼り付けるか、または入力し、[キーを送信（Submit Key）] をクリックします。機能が追加されない場合は、エラーメッセージが表示されます（たとえば、キーが正しくない場合など）。それ以外の場合は、機能キーがリストに追加されます。発行されたときに自動的に新しいキーをダウンロードおよびインストールするようにアプライアンスを設定した場合、[保留中のライセンス（Pending Activation）] リストは常に空白になります。
機能キーの自動ダウンロードおよびアクティベーションを有効または無効にする	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [機能キーの設定（Feature Key Settings）] を選択しますデフォルトでは、アプライアンスは、新しいキーを定期的に確認します。
期限切れ機能キーを更新する	Cisco の担当者にお問い合わせください

仮想アプライアンスのライセンスおよび機能キー

ライセンスおよび機能キーの期限が切れたときのアプライアンスの動作については、http://www.cisco.com/c/en/us/support/security/content-security-management-appliance/products-installation-guides-list.html から入手できる『Cisco Content Security Virtual Appliance Installation Guide』を参照してください。

ライセンス情報を表示するには、コマンドラインインターフェイス（CLI）で show license コマンドを使用します。

スマートソフトウェアライセンシング

概要
スマートソフトウェアライセンシングのイネーブル化
Cisco Smart Software Manager でのアプライアンスの登録
ライセンスの要求
ライセンスのリリース
Cisco Smart Software Manager からのアプライアンスの登録解除
Cisco Smart Software Manager でのアプライアンスの再登録
転送設定の変更
認証と証明書の更新
スマートエージェントの更新
アラート
コマンドラインインターフェイス

概要

スマートソフトウェアライセンシングを使用すると、Cisco コンテンツセキュリティ管理アプライアンスのライセンスをシームレスに管理およびモニタできます。スマートソフトウェアライセンスをアクティブ化するには、Cisco Smart Software Manager（CSSM）でアプライアンスを登録する必要があります。CSSM は、購入して使用するすべてのシスコ製品についてライセンスの詳細を管理する一元化されたデータベースです。スマートライセンスを使用すると、製品認証キー（PAK）を使用して Web サイトで個別に登録するのではなく、単一のトークンで登録することができます。

アプライアンスを登録すると、アプライアンスのライセンスを追跡し、CSSM ポータル経由でライセンスの使用状況を監視できます。アプライアンスにインストールされているスマートエージェントは、アプライアンスと CSSM を接続し、ライセンスの使用状況に関する情報を CSSM を渡して、CSSM が使用状況を追跡できるようにします。

Cisco Smart Software Manager を理解するには、https://www.cisco.com/c/en/us/td/docs/wireless/technology/mesh/8-2/b_Smart_Licensing_Deployment _Guide.html を参照してください。

ご利用のアプライアンスからインターネットに接続できることを確認します。

シスコセールスチームに問い合わせて Cisco Smart Software Manager ポータル（https://software.cisco.com/#module/SmartLicensing）でスマートアカウントを作成するか、Cisco Smart Software Manager サテライトをネットワークにインストールしてください。

Cisco Smart Software Manager ユーザアカウントの作成または Cisco Smart Software Manager サテライトのインストールの詳細については、Https://www.cisco.com/c/en/us/td/docs/wireless/technology/mesh/8-2/b_Smart_Licensing_Deployment_Guide.html を参照してください。

ライセンスの使用状況に関する情報を直接インターネットに送信したくないユーザの場合、CSSM 機能のサブセットを提供する Smart Software Manager サテライトをオンプレミスにインストールすることもできます。サテライトアプリケーションをダウンロードして導入した後は、インターネットを使用して CSSM にデータを送信せずに、ライセンスをローカルで安全に管理できます。CSSM サテライトは、情報をクラウドに定期的に送信します。

（注）

Smart Software Manager サテライトを使用する場合、Smart Software Manager サテライト Enhanced Edition 6.1.0 を使用してください。

（従来の）クラシックライセンスの既存ユーザは、クラシックライセンスをスマートライセンスに移行する必要があります。

https://video.cisco.com/detail/video/5841741892001/convert-classic-licenses-to-smart-licenses?autoStart=true&q=classicを参照してください。
アプライアンスのシステムクロックを CSSM のシステムクロックと同期させる必要があります。アプライアンスのシステムクロックと CSSM のシステムクロックのずれは、スマートライセンス操作の失敗の原因となります。

（注）

インターネットに接続してプロキシ経由で CSSM に接続する場合、[システム管理（System Administration）] > [アップデート設定（Update Settings）] を使用して、アプライアンスに設定されているプロキシと同じプロキシを使用する必要があります

（注）

仮想ユーザの場合、新しい PAK ファイル（新規または更新）を受信するたびに、ライセンスファイルを生成し、アプライアンスのファイルをロードします。ファイルをロードした後は、PAK をスマートライセンスに変換する必要があります。スマートライセンスモードでは、ファイルのロード中、ライセンスファイルの機能キーセクションは無視され、証明書情報のみが使用されます。

アプライアンスに対してスマートソフトウェアライセンシングを有効にするには、次の手順を実行する必要があります。


	操作内容	詳細情報
ステップ 1	スマートソフトウェアライセンシングの有効化	スマートソフトウェアライセンシングのイネーブル化
ステップ 2	Cisco Smart Software Manager でのアプライアンスの登録	Cisco Smart Software Manager でのアプライアンスの登録
ステップ 3	ライセンス（機能キー）の要求	ライセンスの要求

スマートソフトウェアライセンシングのイネーブル化

手順

ステップ 1	[管理対象アプライアンス（Managed Appliance）] > [システム管理（System Administration）] > [スマートソフトウェアライセンシング（Smart Software Licensing）] を選択します。
ステップ 2	[スマートソフトウェアライセンシングの有効化（Enable Smart Software Licensing）] をクリックします。スマートソフトウェアライセンシングの詳細については、スマートソフトウェアライセンシングの詳細のリンクをクリックします。
ステップ 3	スマートソフトウェアライセンシングについての情報を読んだ後、[OK] をクリックします。
ステップ 4	変更を保存します。

次のタスク

スマートソフトウェアライセンシングを有効すると、クラシックライセンスモードのすべての機能がスマートライセンスモードでも自動的に使用可能になります。クラシックライセンスモードの既存ユーザの場合、CSSM でアプライアンスを登録せずに、スマートソフトウェアライセンシング機能を使用できる 90 日間の評価期間があります。

有効期限および評価期間の期限の前に、一定の間隔（90 日前、60 日前、30 日前、15 日前、5 日前、および最終日）で通知が表示されます。評価期間の間または終了後に、CSSM でアプライアンスを登録できます。

（注）

クラシックライセンスモードにおけるアクティブなライセンスを持たない仮想アプライアンスの新規ユーザの場合、スマートソフトウェアライセンシング機能を有効にしても、評価期間は提供されません。クラシックライセンスモードにおけるアクティブなライセンスを持つ仮想アプライアンスの既存ユーザのみに、評価期間が提供されます。新規仮想アプライアンスユーザがスマートライセンス機能の評価を希望する場合には、シスコセールスチームに連絡し、スマートアカウントに評価ライセンスを追加してください。評価ライセンスは、登録後に評価目的で使用されます。

（注）

アプライアンスでスマートライセンシング機能を有効にすると、スマートライセンシングからクラシックラインセンシングモードにロールバックすることができなくなります。

Cisco Smart Software Manager でのアプライアンスの登録

アプライアンスを Cisco Smart Software Manager に登録するには、[システム管理（System Administration）] メニューでスマートソフトウェアライセンシング機能を有効にする必要があります。

手順

ステップ 1	[管理対象アプライアンス（Managed Appliance）] > [システム管理（System Administration）] > [スマートソフトウェアライセンシング（Smart Software Licensing）] を選択します。
ステップ 2	[トランスポート設定（Transport Settings）] を変更する場合には、[編集（Edit）] をクリックします。次のオプションを使用できます。 [直接（Direct）]：アプライアンスを HTTPS 経由で Cisco Smart Software Manager に直接接続します。このオプションは、デフォルトで選択されます。 [トランスポートゲートウェイ（Transport Gateway）]：アプライアンスをトランスポートゲートウェイまたは Smart Software Manager サテライト経由で Cisco Smart Software Manager に接続します。このオプションを選択した場合、トランスポートゲートウェイまたは Smart Software Manager サテライトの URL を入力してから [OK] をクリックする必要があります。このオプションは HTTP および HTTPS をサポートします。FIPS モードの場合、トランスポートゲートウェイは HTTPS のみをサポートします。トランスポートゲートウェイについては、Https://www.cisco.com/c/en/us/td/docs/wireless/technology/mesh/8-2/b_Smart_Licensing_Deployment_Guide.html を参照してください。ログインクレデンシャルを使用して、Cisco Smart Software Manager ポータル（https://software.cisco.com/#module/SmartLicensing）にアクセスします。新しいトークンを作成するには、このポータルの [仮想アカウント（Virtual Account）] ページに移動して [全般（General）] タブにアクセスします。アプライアンス用の製品インスタンス登録トークンをコピーします。製品インスタンス登録トークンの作成については、https://www.cisco.com/c/en/us/td/docs/wireless/technology/mesh/8-2/b_Smart_Licensing_Deployment_Guide.html を参照してください。
ステップ 3	アプライアンスに戻り、製品インスタンス登録トークンを貼り付けます。
ステップ 4	[登録（Register）] をクリックします。
ステップ 5	[スマートソフトウェアライセンシング（Smart Software Licensing）] ページで、[すでに登録されている場合は、この製品インスタンスを再登録します（Reregister this product instance if it is already registered）] チェックボックスをオンにして、アプライアンスを再登録することもできます。Cisco Smart Software Manager でのアプライアンスの再登録を参照してください。

次のタスク

製品登録プロセスには数分かかります。[スマートソフトウェアライセンシング（Smart Software Licensing）] ページで登録ステータスを表示できます。

（注）

スマートソフトウェアライセンシングを有効にし、コンテンツセキュリティゲートウェイを Cisco Smart Software Manager に登録すると、Cisco Cloud Services ポータルが自動的に有効になり、コンテンツセキュリティゲートウェイに登録されます。

ライセンスの要求

登録プロセスが正常に完了した後、アプライアンスの機能のライセンスを要求しなければならない場合があります。

手順

ステップ 1

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ライセンス（Licenses）] を選択します。

ステップ 2

[設定の編集（Edit Settings）] をクリックします。

ステップ 3

要求するライセンスに対応する [ライセンスの要求/リリース（License Request/Release）] 列のチェックボックスをオンにします。

ステップ 4

[送信（Submit）] をクリックします。

（注）

デフォルトでは、メール処理のライセンスが利用可能です。このライセンスは、有効化、無効化、またはリリースすることができません。メール処理ライセンスに評価期間やコンプライアンス違反はありません。

次のタスク

ライセンスは、期限超過また期限切れになるとコンプライアンス違反（OOC）モードになり、各ライセンスに 30 日間の猶予期間が提供されます。有効期限および OOC 猶予期間の期限の前に、一定の間隔（30 日前、15 日前、5 日前、および最終日）で通知が表示されます。

OOC 猶予期間の有効期限が過ぎると、ライセンスは使用できず、機能を利用できなくなります。機能にもう一度アクセスするには、CSSM ポータルでライセンスをアップデートして、認証を更新する必要があります。

ライセンスのリリース

手順

ステップ 1

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ライセンス（Licenses）] を選択します。

ステップ 2

[設定の編集（Edit Settings）] をクリックします。

ステップ 3

リリースするライセンスに対応する [ライセンスの要求（License Request）] 列のチェックボックスをオフにします。

ステップ 4

[送信（Submit）] をクリックします。

（注）

メール処理のためにライセンスをリリースすることはできません。

Cisco Smart Software Manager からのアプライアンスの登録解除

手順

ステップ 1	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [スマートソフトウェアライセンシング（Smart Software Licensing）] を選択します。
ステップ 2	[アクション（Action）] ドロップダウンリストから、[登録解除（Deregister）] を選択し、[実行（Go）] をクリックします。
ステップ 3	[送信（Submit）] をクリックします。

Cisco Smart Software Manager でのアプライアンスの再登録

手順

ステップ 1	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [スマートソフトウェアライセンシング（Smart Software Licensing）] を選択します。
ステップ 2	[アクション（Action）] ドロップダウンリストから、[登録（Register）] を選択し、[実行（Go）] をクリックします。

次のタスク

登録プロセスについては、Cisco Smart Software Manager でのアプライアンスの登録を参照してください。

回避できないシナリオにおいては、アプライアンスの設定をリセットした後にアプライアンスを登録することができます。

転送設定の変更

CSSM でアプライアンスを登録する前にのみ、トランスポート設定を変更できます。

（注）

スマートライセンス機能が有効になっている場合にのみ、トランスポート設定を変更することができます。アプライアンスがすでに登録されている場合、トランスポート設定を変更するには、アプライアンスの登録を解除する必要があります。トランスポート設定を変更した後に、アプライアンスを再登録する必要があります。

トランスポート設定を変更する方法については、Cisco Smart Software Manager でのアプライアンスの登録を参照してください。

認証と証明書の更新

Cisco Smart Software Manager でアプライアンスを登録した後に、証明書を更新できます。

（注）

アプライアンスが正常に登録された後にのみ、認証を更新できます。

手順

ステップ 1

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [スマートソフトウェアライセンシング（Smart Software Licensing）] を選択します。

ステップ 2

[アクション（Action）] ドロップダウンリストから、適切なオプションを選択します。

認証を今すぐ更新
証明書を今すぐ更新

ステップ 3

[移動（Go）] をクリックします。

スマートエージェントの更新

アプライアンスにインストールされているスマートエージェントのバージョンを更新するには、次の手順を実行します。

手順

ステップ 1

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [スマートソフトウェアライセンシング（Smart Software Licensing）] を選択します。

ステップ 2

[スマートエージェントの更新ステータス（Smart Agent Update Status）] セクションで、[今すぐ更新（Update Now）] をクリックし、プロセスに従います。

（注）

CLI コマンド saveconfig を使用して、または [システム管理（System Administration）] > [設定サマリー（Configuration Summary）] を使用して Web インターフェイス経由で設定変更を保存しようとすると、スマートライセンス関連の設定は保存されません。

アラート

次のシナリオで通知が送信されます。

スマートソフトウェアライセンシングが正常に有効化された
スマートソフトウェアライセンシングの有効化に失敗した
評価期間が開始された
評価期間が終了した（評価期間中および期間終了時に一定の間隔で送信）
正常に登録された
登録に失敗した
正常に認証された
認証に失敗した
正常に登録解除された
登録解除に失敗した
ID 証明書が正常に更新された
ID 証明書の更新に失敗した
認証の有効期限が切れた
ID 証明書の有効期限が切れた
コンプライアンス違反猶予期間の期限が切れた（コンプライアンス違反猶予期間中および期間終了時に一定の間隔で送信）
機能の有効期限に関する最初のインスタンスが発生した

コマンドラインインターフェイス

license_smart
show_license

license_smart

説明
使用方法
例：スマートエージェントサービス用ポートの設定
例：スマートライセンスの有効化
例：Smart Software Manager でのアプライアンスの登録
例：スマートライセンスのステータス
例：スマートライセンスのステータスの概要
例：スマートトランスポート URL の設定
例：ライセンスの要求
例：ライセンスのリリース

説明

スマートソフトウェアライセンス機能の設定

使用方法

確定：このコマンドは「commit」が必要です。

バッチコマンド：このコマンドはバッチ形式をサポートしています。詳細については、help license_smart コマンドを入力して、インラインヘルプを参照してください。

例：スマートエージェントサービス用ポートの設定

example.com> license_smart
Choose the operation you want to perform:
- ENABLE - Enables Smart Licensing on the product.
- SETAGENTPORT - Set port to run Smart Agent service.
[]> setagentport

Enter the port to run smart agent service.
[65501]>

例：スマートライセンスの有効化

mail.example.com > license_smart
Choose the operation you want to perform:
- ENABLE - Enables Smart Licensing on the product.
 []> enable
After enabling Smart Licensing on your appliance, follow below steps to activate 
the feature keys (licenses):

a) Register the product with Smart Software Manager using license_smart > register command in the CLI.
b) Activate the feature keys using license_smart > requestsmart_license command in the CLI.

Note: If you are using a virtual appliance, and have not enabled any of the 
features in the classic licensing mode; you will not be able to activate the 
licenses, after you switch to the smart licensing mode. You need to first register 
your appliance, and then you can activate the licenses (features) in the smart licensing mode.
Commit your changes to enable the Smart Licensing mode on your appliance. 
All the features enabled in the Classic Licensing mode will be available in the Evaluation period.
Type "Y" if you want to continue, or type "N" if you want to use the classic licensing mode [Y/N] []> y

> commit

Please enter some comments describing your changes:
[]>
Do you want to save the current configuration for rollback? [Y]>

例：Smart Software Manager でのアプライアンスの登録

mail.example.com > license_smart
To start using the licenses, please register the product. 
Choose the operation you want to perform:

- REGISTER - Register the product for Smart Licensing.
- URL - Set the Smart Transport URL.
- STATUS - Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing status summary.

[]> register
Reregister this product instance if it is already registered [N]> n

Enter token to register the product:
[]> 
ODRlOTM5MjItOTQzOS00YjY0LWExZTUtZTdmMmY3OGNlNDZmLTE1MzM3Mzgw%0AMDEzNTR8WlpCQ1lMbGVMQWRx 
OXhuenN4OWZDdktFckJLQzF5V3VIbzkyTFgx%0AQWcvaz0%3D%0A
Product Registration is in progress. Use license_smart > status command to check status of registration.

例：スマートライセンスのステータス

mail.example.com > license_smart
To start using the licenses, please register the product. 
Choose the operation you want to perform:

- REQUESTSMART_LICENSE - Request licenses for the product.
- RELEASESMART_LICENSE - Release licenses of the product.
- REGISTER - Register the product for Smart Licensing.
- URL - Set the Smart Transport URL.
- STATUS - Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing status summary.

[]> status
Smart Licensing is: Enabled

Evaluation Period: In Use

Evaluation Period Remaining: 89 days 23 hours 53 minutes
Registration Status: Unregistered

License Authorization Status: Evaluation Mode

Last Authorization Renewal Attempt Status: No Communication Attempted

Product Instance Name: mail.example.com

Transport Settings: Direct (https://smartreceiver.cisco.com/licservice/license)

例：スマートライセンスのステータスの概要

mail.example.com > license_smart
To start using the licenses, please register the product. 
Choose the operation you want to perform:
- REGISTER - Register the product for Smart Licensing.
- URL - Set the Smart Transport URL.
- STATUS - Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing status summary.

[]> summary

FeatureName                                 LicenseAuthorizationStatus
Mail Handling                                                  In Compliance
Content Security Management Master ISQ                         In Compliance

例：スマートトランスポート URL の設定

mail.example.com > license_smart

Choose the operation you want to perform:
- REQUESTSMART_LICENSE - Request licenses for the product.
- RELEASESMART_LICENSE - Release licenses of the product.
- REGISTER - Register the product for Smart Licensing.
- URL - Set the Smart Transport URL.
- STATUS - Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing status summary.

[]> url

1. DIRECT - Product communicates directly with the cisco license servers
2. TRANSPORT_GATEWAY - Product communicates via transport gateway or smart software manager satellite.

Choose from the following menu options:
[1]> 1
Note: The appliance uses the Direct URL
(https://smartreceiver.cisco.com/licservice/license) to communicate with Cisco
Smart Software Manager (CSSM) via the proxy server configured using the updateconfig command.
Transport settings will be updated after commit.

例：ライセンスの要求

（注）

仮想アプライアンスのユーザは、ライセンスを要求またはリリースする場合、そのアプライアンスを登録する必要があります。

mail.example.com > license_smart
Choose the operation you want to perform:

- REQUESTSMART_LICENSE - Request licenses for the product.
- RELEASESMART_LICENSE - Release licenses of the product.
- REGISTER - Register the product for Smart Licensing.
- URL - Set the Smart Transport URL.
- STATUS - Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing status summary.

[]> requestsmart_license

Feature Name                                   License Authorization Status
1. Content Security Management Centralized Tracking     Not Requested
2. Content Security Management Master ISQ               Not requested

Enter the appropriate license number(s) for activation. 
Separate multiple license with comma or enter range:
[]> 1
Activation is in progress for following features:
Security Management Centralized Tracking 
Use license_smart > summary command to check status of licenses.

例：ライセンスのリリース

mail.example.com > license_smart
Choose the operation you want to perform:

- REQUESTSMART_LICENSE - Request licenses for the product.
- RELEASESMART_LICENSE - Release licenses of the product.
- REGISTER - Register the product for Smart Licensing.
- URL - Set the Smart Transport URL.
- STATUS - Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing status summary.

[]> releasesmart_license

Feature Name                                  License Authorization Status
1. Content Security Management Centralized            In Compliance
   Tracking
2. Content Security Management Master ISQ             In Compliance

show_license

説明
例：スマートライセンスのステータス
例：スマートライセンスのステータスの概要

説明

スマートライセンスのステータスとステータスの概要を表示します。

例：スマートライセンスのステータス

example.com> showlicense_smart
Choose the operation you want to perform:
- STATUS- Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing summary.
[]> status
Smart Licensing is: Enabled

Evaluation Period: In Use

Evaluation Period Remaining: 89 days 23 hours 53 minutes
Registration Status: Unregistered

License Authorization Status: Evaluation Mode

Last Authorization Renewal Attempt Status: No Communication Attempted

Product Instance Name: mail.example.com

Transport Settings: Direct (https://smartreceiver.cisco.com/licservice/license)

例：スマートライセンスのステータスの概要

example.com> showlicense_smart
Choose the operation you want to perform:
- STATUS- Show overall Smart Licensing status.
- SUMMARY - Show Smart Licensing summary.

[]> summary

FeatureName                        LicenseAuthorizationStatus
Mail Handling                                              In Compliance
Content Security Management Master ISQ                     In Compliance

cloudserviceconfig

説明（Description）
使用方法
例：アプライアンスでの Cisco Cloud Services の有効化
例：アプライアンスでの Cisco Cloud Services の無効化
例：Cisco Cloud Services ポータルへのコンテンツセキュリティゲートウェイの登録
例：Cisco Cloud Services ポータルからのコンテンツセキュリティゲートウェイの登録解除
例：コンテンツセキュリティゲートウェイを Cisco Cloud Services ポータルに接続する Cisco Secure Cloud Server の選択
例：コンテンツセキュリティゲートウェイでの Cisco SecureX または Cisco Threat Response の有効化
例：コンテンツセキュリティゲートウェイでの Cisco SecureX または Cisco Threat Response の無効化

説明（Description）

cloudserviceconfig コマンドは次の目的で使用します。

このコマンドは、スマートライセンスモードでのみ適用できます。
お使いのアプライアンスで Cisco Cloud Services ポータルを有効にします。
お使いのアプライアンスで Cisco Cloud Services ポータルを無効にします。
Cisco Cloud Services ポータルに Cisco Secure Email and Web Manager を登録します。
Cisco Cloud Services ポータルに Cisco Secure Email and Web Manager を自動登録します。
Cisco Cloud Services ポータルから Cisco Secure Email and Web Manager の登録を解除します。
Cisco Secure Cloud サーバを選択して、お使いのアプライアンスを Cisco Cloud Services ポータルに接続します。
アップデータが使用する Talos サーバから証明書とキーを取得します。
Cisco Secure Email and Web Manager で Cisco SecureX または Cisco Threat Response を有効にします。これは、[全般（General）] 構成設定を使用して実行する必要があります。
Cisco Secure Email and Web Manager で Cisco SecureX または Cisco Threat Response を無効にします。これは、[全般（General）] 構成設定を使用して実行する必要があります。

使用方法

確定：このコマンドに commit は必要ありません。
バッチコマンド：このコマンドはバッチ形式をサポートしています。

例：アプライアンスでの Cisco Cloud Services の有効化

次に、cloudserviceconfig > enable サブコマンドを使用して、電子メールゲートウェイ上で Cisco Cloud Services を有効にする例を示します。

（注）

このサブコマンドは、スマートソフトウェアライセンシングが有効になっておらず、お使いのアプライアンスが Cisco Smart Software Manager に登録されていない場合にのみ使用できます。

mail1.example.com > cloudserviceconfig
Choose the operation you want to perform:
- ENABLE - The Cisco Cloud Service is currently disabled on your appliance.
[]> enable
The Cisco Cloud Service is currently enabled on your appliance.
Currently configured Cisco Secure Cloud Server is: api.apj.sse.itd.cisco.com
Available list of Cisco Secure Cloud Servers:
1. AMERICAS (api-sse.cisco.com)
2. APJC (api.apj.sse.itd.cisco.com)
3. EUROPE (api.eu.sse.itd.cisco.com)
Enter Cisco Secure Cloud Server to connect to the Cisco Cloud Service portal.:
[]> 1
Selected Cisco Secure Cloud Server is api-sse.cisco.com.
Make sure you run "commit" to make these changes active.
mail1.example.com > commit
Please enter some comments describing your changes:
[]> commit changes
Do you want to save the current configuration for rollback? [Y]>
Changes committed: Tue Dec 29 13:23:19 2020 GMT
mail1.example.com >

例：アプライアンスでの Cisco Cloud Services の無効化

次に、cloudserviceconfig > disable サブコマンドを使用して、アプライアンスで Cisco Cloud Services を無効にする例を示します。

mail1.example.com> cloudserviceconfig
The appliance is not registered with the Cisco Cloud Service portal.
Currently configured Cisco Cloud Server is api-sse.cisco.com
Choose the operation you want to perform:
- DISABLE - The Cisco Cloud Service is currently enabled on your appliance.
- REGISTER - To register the appliance with the Cisco Cloud Service portal.
- SETTRS - Set the Cisco Secure Cloud Server to connect to the Cisco Cloud
Service portal.
[]> disable
The Cisco Cloud Service is currently disabled on your appliance.
mail1.example.com > commit
Please enter some comments describing your changes:
[]> commit changes
Do you want to save the current configuration for rollback? [Y]>
Changes committed: Tue Dec 29 13:01:07 2020 GMT
mail1.example.com >

例：Cisco Cloud Services ポータルへのコンテンツセキュリティゲートウェイの登録

sma> cloudserviceconfig

Cisco Cloud Service portal list update was successful.
The appliance is not registered with the Cisco Cloud Service portal.
Currently used Cisco Cloud Server is stage-api-sse.cisco.com

Choose the operation you want to perform:
- DISABLE - The Cisco Cloud Service is currently enabled on your appliance.
- REGISTER - To register the appliance with the Cisco Cloud Service portal.
- SETTRS - Set the Cisco Cloud Service portal to connect to the Cisco Cloud Service portal.
- UPDATEFQDNLIST - Update the Cisco Cloud Service portal list.
- ENABLE_PROXY - Enable connection to Cisco Cloud Server through proxy.
[]> REGISTER

Enter a registration token key to register your appliance with the Cisco Cloud Service portal.
[]> 90a92909fc3b1be666f180621146fea3

The appliance registration is in progress.

例：Cisco Cloud Services ポータルからのコンテンツセキュリティゲートウェイの登録解除

次に、cloudserviceconfig > deregister サブコマンドを使用して、Cisco Cloud Services ポータルからアプライアンスの登録を解除する例を示します。

sma> cloudserviceconfig

Cisco Cloud Service portal list update was successful.
The Content Security Management appliance is successfully registered with the Cisco Cloud Service portal.
Currently used Cisco Cloud Server is stage-api-sse.cisco.com

Choose the operation you want to perform:
- DISABLE - The Cisco Cloud Service is currently enabled on your appliance.
- DEREGISTER - To deregister the appliance from the Cisco Cloud Service portal.
- SETTRS - Set the Cisco Cloud Service portal to connect to the Cisco Cloud Service portal.
- UPDATEFQDNLIST - Update the Cisco Cloud Service portal list.
- ENABLE_PROXY - Enable connection to Cisco Cloud Server through proxy.
[]> DEREGISTER

Do you want to deregister your appliance from the Cisco Cloud Service portal.
If you deregister, you will not be able to access the Cloud Service features. [N]> Y

The Content Security Management appliance deregistration is in progress.

例：コンテンツセキュリティゲートウェイを Cisco Cloud Services ポータルに接続する Cisco Secure Cloud Server の選択

次に、cloudserviceconfig > settrs サブコマンドを使用して、電子メールゲートウェイを Cisco Cloud Services ポータルに接続するために必要な Cisco Secure Cloud Server を選択する例を示します。

mail1.example.com > cloudserviceconfig
The appliance is not registered with the Cisco Cloud Service portal.
Currently configured Cisco Cloud Server is api-sse.cisco.com
Choose the operation you want to perform:
- DISABLE - The Cisco Cloud Service is currently enabled on your appliance.
- REGISTER - To register the appliance with the Cisco Cloud Service portal.
- SETTRS - Set the Cisco Secure Cloud Server to connect to the Cisco Cloud
Service portal.
[]> settrs
Currently configured Cisco Secure Cloud Server is: api-sse.cisco.com
Available list of Cisco Secure Cloud Servers:
1. AMERICAS (api-sse.cisco.com)
2. APJC (api.apj.sse.itd.cisco.com)
3. EUROPE (api.eu.sse.itd.cisco.com)
Enter Cisco Secure Cloud Server to connect to the Cisco Cloud Service portal.:
[]> 3
Selected Cisco Secure Cloud Server is api.eu.sse.itd.cisco.com.
Make sure you run "commit" to make these changes active.
mail1.example.com > commit
Please enter some comments describing your changes:
[]> commit changes
Do you want to save the current configuration for rollback? [Y]>
Changes committed: Tue Dec 29 13:37:40 2020 GMT

例：CLI を使用したスマートライセンスの自動登録の実行

次の例では、コマンドを使用して、スマートライセンスで一度登録するとアプライアンスがバックエンドで自動登録を実行することを示しています。自動登録が失敗した場合は、CLI で自動登録に使用するコマンドを確認できます。

Autoregister Success/ and failure 
sma> cloudserviceconfig

Cisco Cloud Service portal list update was successful.
The appliance is not registered with the Cisco Cloud Service portal.
Currently used Cisco Cloud Server is api-sse.cisco.com

Choose the operation you want to perform:
- REGISTER - To register the appliance with the Cisco Cloud Service portal.
- SETTRS - Set the Cisco Cloud Service portal to connect to the Cisco Cloud Service portal.
- UPDATEFQDNLIST - Update the Cisco Cloud Service portal list.
- AUTOREGISTER - register the appliance with the Cisco Cloud Service portal automatically.
- ENABLE_PROXY - Enable connection to Cisco Cloud Server through proxy.
[]> AUTOREGISTER

The appliance failed to auto-register with the Cisco Cloud Service portal.
Reason: A request to generate a Smart Licensing payload from Cisco Smart Software Manager failed.
The appliance is not registered with the Cisco Cloud Service portal.
Currently used Cisco Cloud Server is api-sse.cisco.com

Choose the operation you want to perform:
- REGISTER - To register the appliance with the Cisco Cloud Service portal.
- SETTRS - Set the Cisco Cloud Service portal to connect to the Cisco Cloud Service portal.
- UPDATEFQDNLIST - Update the Cisco Cloud Service portal list.
- AUTOREGISTER - register the appliance with the Cisco Cloud Service portal automatically.
- ENABLE_PROXY - Enable connection to Cisco Cloud Server through proxy.
[]> AUTOREGISTER

The appliance successfully auto-registered with the Cisco Cloud Service portal.

例：証明書とキーのダウンロード

次の例では、コマンドを使用して、TALOS サーバからアップデータが使用する証明書とキーを取得できます。

sma> cloudserviceconfig

Cisco Cloud Service portal list update was successful.
The Content Security Management appliance is successfully registered with the Cisco Cloud Service portal.
Currently used Cisco Cloud Server is api-sse.cisco.com


Choose the operation you want to perform:
- UPDATEFQDNLIST - Update the Cisco Cloud Service portal list.
- FETCHCERTIFICATE - Download the Cisco Talos certificate and key
- ENABLE_PROXY - Enable connection to Cisco Cloud Server through proxy.
[]> FETCHCERTIFICATE

Current Cisco Talos certificate is valid for 172 days

Do you like to overwrite the existing certificate and key [Y|N] ? []> N

The Content Security Management appliance is successfully registered with the Cisco Cloud Service portal.
Currently used Cisco Cloud Server is api-sse.cisco.com

例：クライアント証明書 cloudserviceconfig

次の例では、コマンドを使用して証明書とキーをアップロードできます。

[]> clientcertificate

Do you like to overwrite the existing certificate and key [Y|N] ? []> Y

Paste the certificate.
Press CTRL-D on a blank line when done.
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
^D

Paste Private Key.
Press CTRL-D on a blank line when done.
-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----
^DCertificate and key are stored successfully

例：コンテンツセキュリティゲートウェイでの Cisco SecureX または Cisco Threat Response の有効化

次に、clouderviceconfig > enablesecurex サブコマンドを使用して、お使いのアプライアンスで Cisco SecureX または Cisco Threat Response を有効にする例を示します。

Choose the operation you want to perform:
- IEOVERRIDE - Configure Internet Explorer Compatibility Mode Override
- SECUREX - Configure Cisco SecureX/ Threat Response feature on your appliance
[]> SECUREX

The Cisco SecureX / Threat Response feature is currently disabled on your appliance.
Would you like to enable Cisco SecureX/ Threat Response feature [Y]>

Cloud Service is not enabled.
        Enter "cloudserviceconfig" for enabling Cisco Cloud service.

例：コンテンツセキュリティゲートウェイでの Cisco SecureX または Cisco Threat Response の無効化

次に、cloudserviceconfig > disablesecurex サブコマンドを使用して、アプライアンスで Cisco SecureX または Cisco Threat Response を無効にする例を示します。

sma> generalconfig


Choose the operation you want to perform:
- IEOVERRIDE - Configure Internet Explorer Compatibility Mode Override
- SECUREX - Configure Cisco SecureX/ Threat Response feature on your appliance
[]> SECUREX

The Cisco SecureX / Threat Response feature is currently enabled on your appliance.
Would you like to disable Cisco SecureX/ Threat Response feature [N]> Y

The Cisco SecureX / Threat Response feature is currently disabled on your appliance.
The Cisco Cloud Service is currently disabled on your appliance.

AsyncOS 14.0 のスマートソフトウェアライセンスキーポイント

クラウドサービスを有効にすると Cisco SecureX は自動的に有効になり、クラウドサービスを無効にすると Cisco Securex は無効になります。
Web UI で Cisco SecureX および Cisco Threat Response オプションが変更され、[システム管理（System Administration）] > [全般設定（General Settings）] から Cisco SecureX および Cisco Threat Response を有効または無効にできるようになりました。generalconfig コマンドを使用して、CLI から同じ操作を実行することもできます。
スマートソフトウェアライセンスを有効にして登録すると、クラウドサービスが有効になり、アプライアンス（SSE）が自動的に登録されます。
クラシックモードでは、クラウドサービスはデフォルトで無効な状態になります。手動で有効にする必要があり、Cisco SecureX と Cisco Threat Response が有効になります。自動登録を行うには、スマートライセンスモードを有効にする必要があります。
スマートソフトウェアライセンスを有効にすると、スマートエージェントが起動し、登録が完了するとクラウドサービスが有効になります。
スマートライセンスが評価モードの場合、SSE の自動登録は実行できません。

CLI コマンドを使用したメンテナンス作業の実行

ここで説明する操作とコマンドを利用すると、セキュリティ管理アプライアンス上でメンテナンスに関連する作業を実行できます。ここでは、次の操作とコマンドについて説明します。

shutdown
reboot
suspend
suspendtransfers
復帰
resumetransfers
resetconfig
version

セキュリティ管理アプライアンスのシャットダウン

セキュリティ管理アプライアンスをシャットダウンするには、次の手順を実行します。

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [シャットダウン/再起動（Shutdown/Reboot）] ページを使用します。

または
コマンドラインプロンプトで shutdown コマンドを使用します。

アプライアンスをシャットダウンすると、AsyncOS が終了し、アプライアンスの電源を安全にオフにできます。アプライアンスは、配信キューのメッセージを失わずに後で再起動できます。アプライアンスをシャットダウンする遅延値を入力する必要があります。デフォルト遅延値は 30 秒です。AsyncOS では、その遅延値の間はオープン中の接続を完了できます。その遅延値を超えると、オープン中の接続が強制的に閉じられます。

セキュリティ管理アプライアンスのリブート

セキュリティ管理アプライアンスをリブートするには、GUI の [システム管理（System Administration）] メニューで利用可能な [シャットダウン/再起動（Shutdown/Reboot）] ページを使用するか、CLI で reboot コマンドを使用します。

アプライアンスをリブートすると、AsyncOS が再起動されるため、アプライアンスの電源を安全にオフにし、アプライアンスをリブートできます。アプライアンスをシャットダウンする遅延値を入力する必要があります。デフォルト遅延値は 30 秒です。AsyncOS では、その遅延値の間はオープン中の接続を完了できます。その遅延値を超えると、オープン中の接続が強制的に閉じられます。アプライアンスは、配信キュー内のメッセージを失わずに再起動できます。

セキュリティ管理アプライアンスの停止

システムメンテナンスを実行する場合など、アプライアンスをオフラインにするには、次のコマンドのいずれかを使用します。


コマンド	説明	永続化
`suspend`	E メールセキュリティアプライアンスからセキュリティ管理アプライアンスへの隔離されたメッセージの転送を一時停止します。隔離からリリースされたメッセージの配信を一時停止します。着信電子メール接続が許可されません。発信電子メール配信は停止されます。ログ転送が停止されます。 CLI はアクセス可能のままになります。	リブート後も永続化されます。
`suspendtransfers`	管理対象の電子メールおよび Web Security Appliances から Content Security Management Appliance へのレポーティングデータおよびトラッキングデータの転送を一時停止します。このコマンドでは、E メールセキュリティアプライアンスからの隔離されたメッセージの受信も一時停止されます。バックアップアプライアンスをプライマリアプライアンスとして再開するための準備段階でこのコマンドを使用します。	リブート後も維持されます。

これらのコマンドの使用時には、アプライアンスの遅延値を入力する必要があります。デフォルト遅延値は 30 秒です。AsyncOS では、その遅延値の間はオープン中の接続を完了できます。その遅延値を超えると、オープン中の接続が強制的に閉じられます。オープン中の接続が存在しない場合は、すぐにサービスが停止されます。

suspend または suspendtransfers コマンドで停止したサービスを再アクティブ化するには、resume または resumetransfers コマンドをそれぞれ使用します。

管理アプライアンスの現在のステータス（オンラインまたは一時停止）を特定するには、Web インターフェイスで [管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [シャットダウン/再起動（Shutdown/Reboot）] を選択します。

CLI の例：suspend および suspendtransfers コマンド


sma.example.com> suspend
Enter the number of seconds to wait before abruptly closing connections.
[30]> 45
Waiting for listeners to exit...
Receiving suspended.
Waiting for outgoing deliveries to finish...
Mail delivery suspended.
sma.example.com> 
sma.example.com> suspendtransfers
 
Transfers suspended.
sma.example.com>

一時停止状態からの再開

resume コマンドは、suspend または suspenddel コマンドの使用後にアプライアンスを通常の動作状態に戻します。

resumetransfers コマンドは、suspendtransfers コマンドの使用後にアプライアンスを通常の動作状態に戻します。

CLI の例：resume および resumetransfers コマンド


sma.example.com> resume
Receiving resumed.
Mail delivery resumed.
sma.example.com>
sma.example.com> resumetransfers
 
Receiving resumed.
Transfers resumed.
sma.example.com>

工場出荷時の初期状態への設定のリセット

アプライアンスを物理的に転送するとき、または構成の問題を解決する最後の手段として、工場出荷時の初期状態にアプライアンスをリセットすることもできます。

注意	設定をリセットすると CLI から切り離すことになり、アプライアンス（FTP、Telnet、SSH、HTTP、HTTPS）への接続に使用しているサービスが無効になり、ユーザアカウントが削除されます。

目的

操作手順

工場出荷時の初期状態へすべての設定をリセット
すべてのレポートカウンタをクリア

ただし、

ログファイルを保持
隔離メッセージを保持

デフォルトの admin ユーザアカウントとパスフレーズを使用し、シリアルインターフェイスを使用して CLI に接続するかまたはデフォルト設定を使用して管理ポートに接続して、リセット後にアプライアンスに接続できることを確認します。デフォルト設定のアプライアンスへのアクセスの詳細については、セットアップ、インストール、および基本設定を参照してください。
アプライアンスのサービスを一時停止します。
[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [設定ファイル（Configuration File）] を選択し、[リセット（Reset）] をクリックします。

（注）

リセット後、アプライアンスがオフライン状態に自動的に戻ります。リセット前に電子メールの送信が中断されている場合、配信はリセット後に再試行されます。

工場出荷時の初期状態へすべての設定をリセット
すべてのデータを削除

diagnostic > reload CLI コマンドを使用します。

注意	このコマンドは、Cisco ルータまたはスイッチで使用される類似のコマンドと同じではありません。

resetconfig コマンド


mail3.example.com> suspend
Delay (seconds, minimum 30):
[30]> 45
Waiting for listeners to exit...
Receiving suspended.
Waiting for outgoing deliveries to finish...
Mail delivery suspended.
mail3.example.com> resetconfig
Are you sure you want to reset all configuration values? [N]> Y
All settings have been restored to the factory default.

AsyncOS のバージョン情報の表示

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [集約管理サービス（Centralized Services）] > [システムステータス（System Status）] を選択します。

ステップ 3

ページの下部までスクロールして、[バージョン情報（Version Information）] で、現在インストールされている AsyncOS のバージョンを確認します。

あるいは、コマンドラインプロンプトで version コマンドを使用することもできます。

リモート電源再投入の有効化

アプライアンスシャーシの電源をリモートでリセットする機能は、80 および 90 シリーズハードウェアでのみ使用できます。

アプライアンスの電源をリモートでリセットする場合は、このセクションで説明されている手順を使用して、この機能を事前に有効にし、設定しておく必要があります。

始める前に

専用のリモート電源再投入（RPC）ポートをセキュアネットワークに直接、ケーブル接続します。詳細については、ご使用のモデルのハードウェアマニュアルを参照してください（資料に記載されている場所から入手できます）。
ファイアウォールを通過するために必要なポートを開くなど、アプライアンスがリモートアクセス可能であることを確認します。
この機能を使用するには、専用のリモート電源再投入インターフェイスの一意の IPv4 アドレスが必要です。このインターフェイスは、このセクションで説明されている手順でのみ設定可能です。ipconfig コマンドを使用して設定することはできません。
アプライアンスの電源を再投入するには、Intelligent Platform Management Interface（IPMI）バージョン 2.0 をサポートするデバイスを管理できるサードパーティ製ツールが必要です。このようなツールを使用できるように準備されていることを確認します。
コマンドラインインターフェイスへのアクセスに関する詳細については、CLI のリファレンスガイドを参照してください。

手順

ステップ 1	SSH、Telnet、またはシリアルコンソールポートを使用して、コマンドラインインターフェイスにアクセスします。
ステップ 2	管理者権限を持つアカウントを使用してログインします。
ステップ 3	以下のコマンドを入力します。 `remotepower` `setup`
ステップ 4	プロンプトに従って、以下の情報を指定します。この機能専用の IP アドレスと、ネットマスクおよびゲートウェイ。電源の再投入コマンドを実行するために必要なユーザ名とパスフレーズ。これらのクレデンシャルは、アプライアンスへのアクセスに使用する他のクレデンシャルに依存しません。
ステップ 5	commit を入力して変更を保存します。
ステップ 6	設定をテストして、アプライアンスの電源をリモートで管理できることを確認します。
ステップ 7	入力したクレデンシャルが、将来、いつでも使用できることを確認します。たとえば、この情報を安全な場所に保管し、このタスクを実行する必要がある管理者が、必要なクレデンシャルにアクセスできるようにします。

次のタスク

アプライアンスの電源のリモートリセット

SNMP を使用したシステムの状態のモニタリング

AsyncOS は、Simple Network Management Protocol（SNMP）バージョン v1、v2、および v3 を使用したシステムステータスのモニタリングをサポートします。

SNMP を有効にし、設定するには、コマンドラインインターフェイスで snmpconfig コマンドを使用します。
MIB は http://www.cisco.com/c/en/us/support/security/content-security-management-appliance/tsd-products-support-series-home.html から入手できます（使用可能な最新ファイルを使用）。
このサービスをイネーブルにするには、パスフレーズ認証と DES 暗号化を伴う SNMPv3 の使用が必須です。（SNMPv3 の詳細については、RFC 2571 ～ 2575 を参照してください）。SNMP システムステータスのモニタリングをイネーブルにするには、少なくとも 8 文字の SNMPv3 パスフレーズを設定する必要があります。最初に SNMPv3 パスフレーズを入力するときは、確認のためにそのパスフレーズを再入力する必要があります。次に snmpconfig コマンドを実行するときは、コマンドにこのフレーズが「記憶」されています。
接続をモニタするように SNMP を設定する場合：

connectivityFailure SNMP トラップの設定時に url-attribute を入力する場合、URL がディレクトリまたはファイルのいずれを指すかを決定します。
- ディレクトリの場合は、末尾にスラッシュ（/）を追加します。
- ファイルの場合は、末尾にスラッシュを追加しません。
AsyncOS での SNMP の使用の詳細については、Web または Email Security Appliance のオンラインヘルプを参照してください。

例：snmpconfig コマンド


sma.example.com> snmpconfig
Current SNMP settings:
SNMP Disabled.
Choose the operation you want to perform:
- SETUP - Configure SNMP.
[]> SETUP
Do you want to enable SNMP? 
[Y]> 
Please choose an IP interface for SNMP requests.
1. Management (198.51.100.1: sma.example.com)
[1]> 
Which port shall the SNMP daemon listen on interface "Management"?
[161]> 
Please select SNMPv3 authentication type:
1. MD5
2. SHA
[1]> 2
Please select SNMPv3 privacy protocol:
1. DES
2. AES
[1]> 2
Enter the SNMPv3 authentication passphrase.
[]> 
Please enter the SNMPv3 authentication passphrase again to confirm.
[]> 
Enter the SNMPv3 privacy passphrase.
[]> 
Please enter the SNMPv3 privacy passphrase again to confirm.
[]> 
Service SNMP V1/V2c requests? 
[N]> Y
Enter the SNMP V1/V2c community string.
[ironport]> public 
Shall SNMP V2c requests be serviced from IPv4 addresses? 
[Y]>
From which IPv4 networks shall SNMP V1/V2c requests be allowed? Separate
multiple networks with commas.
[127.0.0.1/32]> 
Enter the Trap target as a host name, IP address or list of IP
addresses separated by commas (IP address preferred). Enter "None" to disable traps.
[127.0.0.1]> 203.0.113.1
Enter the Trap Community string.
[ironport]> tcomm
Enterprise Trap Status
1. CPUUtilizationExceeded       Disabled
2. FIPSModeDisableFailure       Enabled
3. FIPSModeEnableFailure        Enabled
4. FailoverHealthy              Enabled
5. FailoverUnhealthy            Enabled
6. RAIDStatusChange             Enabled
7. connectivityFailure          Disabled
8. fanFailure                   Enabled
9. highTemperature              Enabled
10. keyExpiration               Enabled
11. linkUpDown                  Enabled
12. memoryUtilizationExceeded   Disabled
13. powerSupplyStatusChange     Enabled
14. resourceConservationMode    Enabled
15. updateFailure               Enabled
Do you want to change any of these settings? 
[N]> Y
Do you want to disable any of these traps? 
[Y]> n
Do you want to enable any of these traps? 
[Y]> y
Enter number or numbers of traps to enable.  Separate multiple numbers with
commas.
[]> 1,7,12
What threshold would you like to set for CPU utilization?
[95]>
What URL would you like to check for connectivity failure?
[http://downloads.ironport.com]>
What threshold would you like to set for memory utilization?
[95]>
Enter the System Location string.
[Unknown: Not Yet Configured]> Network Operations Center - west; rack #30, position 3 
Enter the System Contact string.
[snmp@localhost]> SMA.Administrator@example.com
Current SNMP settings:
Listening on interface "Management" 198.51.100.1  port 161.
SNMP v3: Enabled.
SNMP v1/v2: Enabled, accepting requests from subnet 127.0.0.1/32 .
SNMP v1/v2 Community String: public
Trap target: 203.0.113.1
Location: Network Operations Center - west; rack #30, position 3 
System Contact: SMA.Administrator@example.com
Choose the operation you want to perform:
- SETUP - Configure SNMP.
[]> 
sma.example.com> commit
Please enter some comments describing your changes:
[]> Enable and configure SNMP
Changes committed: Fri Nov 06 18:13:16 2015 GMT
sma.example.com>

セキュリティ管理アプライアンスのデータのバックアップ

バックアップされるデータ
バックアップの制約事項および要件
バックアップ期間
バックアップ中のサービスのアベイラビリティ
バックアッププロセスの中断
ターゲットアプライアンスによる管理対象アプライアンスからのデータの直接取得の防止
バックアップステータスに関するアラートの受信
単一または定期バックアップのスケジュール設定
即時バックアップの開始
バックアップステータスの確認
その他の重要なバックアップタスク
バックアップアプライアンスのプライマリアプライアンスとしての使用

バックアップされるデータ

すべてのデータをバックアップすること、または次のデータの任意の組み合わせをバックアップすることを選択できます。

メッセージ、メタデータを含むスパム隔離
メッセージおよびメタデータを含んでいる集約されたポリシー、ウイルス、およびアウトブレイク隔離
メッセージ、メタデータを含む電子メールトラッキング（メッセージトラッキング）
Web トラッキング
レポーティング（電子メールおよび Web）
セーフリスト/ブロックリスト

データの転送が完了すると、2 つのアプライアンスのデータが同一になります。

この処理を行っても、設定とログはバックアップされません。これらの項目をバックアップする方法については、その他の重要なバックアップタスクを参照してください。

最初のバックアップ後の各バックアップは、前回のバックアップ後に生成された情報のみをコピーします。

バックアップの制約事項および要件

バックアップをスケジュール設定する前に、次の制約事項および要件を考慮してください。


制約事項	要件
AsyncOS バージョン	ソースセキュリティ管理アプライアンスおよびターゲットセキュリティ管理アプライアンスの AsyncOS バージョンが同じである必要があります。バージョンの非互換性がある場合、バックアップをスケジュールする前に、同じリリースにアプライアンスをアップグレードします。
ネットワーク上のターゲットアプライアンス	ターゲットアプライアンスがネットワーク上に設定されている必要があります。ターゲットアプライアンスが新規の場合は、システムセットアップウィザードを実行して必要な情報を入力します。手順については、セットアップ、インストール、および基本設定を参照してください。
ソースアプライアンスとターゲットアプライアンス間の通信	ソースおよびターゲットのセキュリティ管理アプライアンスは、SSH を使用して通信できるようになっている必要があります。したがって、次のようにします。両方のアプライアンスのポート 22 を開いておく必要があります。デフォルトでは、このポートはシステムセットアップウィザードを実行すると開きます。ドメインネームサーバ（DNS）で、A レコードと PTR レコードの両方を使用して、両方のアプライアンスのホスト名を解決できる必要があります。
ターゲットアプライアンスを停止する必要があります。	プライマリアプライアンスのみが、管理対象の電子メールおよび Web Security Appliances からデータを取得する必要があります。確実に実行するために、ターゲットアプライアンスによる管理対象アプライアンスからのデータの直接取得の防止を参照してください。また、バックアップアプライアンスでスケジュール設定されている設定公開ジョブをキャンセルしてください。
アプライアンスキャパシティ	ターゲットアプライアンスのディスク領域キャパシティが、ソースアプライアンスのキャパシティと同等以上である必要があります。ターゲットアプライアンスで各データタイプ（レポーティング、トラッキング、隔離など）に割り当てるディスク領域は、ソースアプライアンスの対応する割り当てより少なくすることはできません。各データタイプのすべてのデータのバックアップに十分なスペースがターゲットアプライアンス上にあれば、大きいソースから小さいターゲットセキュリティ管理アプライアンスへのバックアップをスケジュール設定できます。ソースアプライアンスがターゲットアプライアンスよりも大きい場合、ターゲットアプライアンスで使用可能な領域に合わせて、ソースアプライアンスで割り当てられている領域を削減します。ディスク領域の割り当てとキャパシティを表示および管理するには、ディスク領域の管理を参照してください。仮想アプライアンスのディスク容量については、『Cisco Content Security Virtual Appliance Installation Guide』を参照してください。
複数、同時、およびチェーンバックアップ	バックアッププロセスは一度に 1 つだけ実行できます。前のバックアップが完了する前に実行がスケジュールされているバックアップはスキップされ、警告が送信されます。セキュリティ管理アプライアンスからのデータは、単一のセキュリティ管理アプライアンスにバックアップできます。チェーンバックアップ（バックアップへのバックアップ）はサポートされていません。

バックアップ期間

最初の完全バックアップでは、800GB のバックアップに最大 10 時間かかります。毎日のバックアップは、それぞれ最大 3 時間かかります。毎週または毎月のバックアップはより長くかかる場合があります。これらの数は場合によって異なります。

初期バックアップ後のバックアッププロセスでは、最後のバックアップから変更されたファイルのみが転送されます。このため、その後のバックアップにかかる時間は初期バックアップの場合よりも短くなります。後続のバックアップに必要な時間は、累積されたデータ量、変更されたファイル数、および最後のバックアップ以降どの程度のファイルが変更されたかによって異なります。

バックアップ中のサービスのアベイラビリティ

セキュリティ管理アプライアンスをバックアップすると、「ソース」セキュリティ管理アプライアンスから「ターゲット」セキュリティ管理アプライアンスにアクティブデータセットがコピーされます。このとき、コピー元の「ソース」アプライアンスの中断は最小限に抑えられます。

バックアッププロセスのフェーズと、それらがサービスのアベイラビリティに及ぼす影響は次のとおりです。

フェーズ 1：バックアッププロセスのフェーズ 1 は、ソースアプライアンスとターゲットアプライアンス間のデータの転送で開始されます。データの転送中、ソースアプライアンスでのサービスは実行されたままになるため、データ収集をそのまま継続できます。ただし、ターゲットアプライアンスではサービスがシャットダウンされます。ソースからターゲットアプライアンスへのデータの転送が完了すると、フェーズ 2 が開始されます。
フェーズ 2：フェーズ 2 が始まると、ソースアプライアンスでサービスがシャットダウンされます。最初のシャットダウン以降、ソースアプライアンスとターゲットアプライアンス間でのデータ転送中に収集された相違点がターゲットアプライアンスにコピーされ、ソースアプライアンスとターゲットアプライアンスの両方で、サービスがバックアップ開始時の状態に戻ります。これにより、ソースアプライアンス上で最大の稼働時間を維持でき、いずれかのアプライアンスのデータが損失することがなくなります。

バックアップ中に、データアベイラビリティレポートが機能しなくなる場合があります。また、メッセージトラッキング結果を表示すると、各メッセージのホスト名に「未解決（unresolved）」というラベルが付くことがあります。

レポートをスケジュール設定しようとしているときに、バックアップが進行中であることを忘れていた場合は、[管理アプライアンス（Management Appliance）] > [集約管理サービス（Centralized Services）] を選択して、システムのステータスを確認できます。このウィンドウでは、ページの上部にシステムのバックアップが進行中であるという警告が表示されます。

バックアッププロセスの中断

（注）

バックアップの実行中にソースアプライアンスの予期しないリブートがあっても、ターゲットアプライアンスはこの停止を認識しません。ターゲットアプライアンスでバックアップをキャンセルする必要があります。

バックアッププロセスの中断があり、そのバックアッププロセスが完了していない場合、バックアップを次に試行したときに、セキュリティ管理アプライアンスは停止した部分からバックアッププロセスを開始できます。

進行中のバックアップをキャンセルすることは推奨されません。これは、既存のデータが不完全になり、エラーが発生した場合は、次のバックアップが完了するまで使用できないことがあります。進行中のバックアップのキャンセルが必要な場合は、できるだけ早く完全バックアップを実行し、常に使用可能な現在のバックアップを確保してください。

ターゲットアプライアンスによる管理対象アプライアンスからのデータの直接取得の防止

手順

ステップ 1	ターゲットアプライアンスのコマンドラインインターフェイスにアクセスします。この説明については、コマンドラインインターフェイスへのアクセスを参照してください。
ステップ 2	`suspendtransfers` コマンドを実行します。
ステップ 3	プロンプトが再表示されるまで待ちます。
ステップ 4	`suspend` コマンドを実行します。
ステップ 5	プロンプトが再表示されるまで待ちます。
ステップ 6	ターゲットアプライアンスのコマンドラインインターフェイスを終了します。

バックアップステータスに関するアラートの受信

バックアップの完了時に問題を通知するアラートを受信するには、タイプが [システム（System）] で重大度が [情報（Info）] のアラートを送信するようにアプライアンスを設定します。アラートの管理を参照してください。

単一または定期バックアップのスケジュール設定

単一または定期バックアップを事前設定した時間に行うようにスケジュール設定できます。

（注）

リモートマシンに実行中のバックアップがある場合、バックアッププロセスは開始されません。

始める前に

バックアップの制約事項および要件の項目に対処します。
バックアッププロセスを開始する前に、ターゲットアプライアンスで一時的に二要素認証を無効にするかどうかを確認します。バックアッププロセスが完了すると、ターゲットアプライアンスの二要素認証を有効にできます。

手順

ステップ 1	ソースアプライアンスのコマンドラインインターフェイスに、管理者としてログインします。
ステップ 2	コマンドプロンプトで backupconfig と入力し、Enter を押します。
ステップ 3	ソースアプライアンスおよびターゲットアプライアンス間の接続が低速である場合は、データ圧縮をオンにします。 setup と入力して、Y を押します。
ステップ 4	Schedule と入力して、Enter を押します。
ステップ 5	ターゲットセキュリティ管理アプライアンスの IP アドレスを入力します。
ステップ 6	ターゲットアプライアンスを識別する有効な名前を入力します（最大 20 文字）。
ステップ 7	ターゲットアプライアンスの管理ユーザの名前およびパスフレーズを入力します。
ステップ 8	バックアップするデータに関するプロンプトに応答します。
ステップ 9	単一バックアップをスケジュール設定するには、Schedule a single backup に 2 を入力して、Enter を押します。
ステップ 10	定期バックアップをスケジュール設定する場合は、次の手順を実行します。繰り返しバックアップをスケジュール設定するには、1 を入力して、Enter を押します。定期バックアップの頻度を選択し、Enter を押します。
ステップ 11	バックアップを開始する特定の日付または日および時間を入力して、Enter を押します。
ステップ 12	バックアッププロセスの名前を入力します。
ステップ 13	バックアップが正常にスケジュール設定されたことを確認します。コマンドプロンプトで View と入力して、Enter を押します。
ステップ 14	その他の重要なバックアップタスクも参照してください。

即時バックアップの開始

（注）

ターゲットマシンでバックアップが実行中の場合、バックアッププロセスは開始されません。

始める前に

バックアップの制約事項および要件のすべての要件を満たします。

手順

ステップ 1	ソースアプライアンスのコマンドラインインターフェイスに、管理者としてログインします。
ステップ 2	コマンドプロンプトで `backupconfig` と入力し、Enter を押します。
ステップ 3	ソースアプライアンスおよびターゲットアプライアンス間の接続が低速である場合は、データ圧縮をオンにします。 setup と入力して、Y を押します。
ステップ 4	Schedule と入力して、Enter を押します。
ステップ 5	ターゲットセキュリティ管理アプライアンスの IP アドレスを入力します。
ステップ 6	ターゲットアプライアンスを識別する有効な名前を入力します（最大 20 文字）。
ステップ 7	ターゲットアプライアンスの管理ユーザの名前およびパスフレーズを入力します。
ステップ 8	バックアップするデータに関するプロンプトに応答します。
ステップ 9	単一バックアップをすぐに開始するため、3 を入力して Enter を押します。
ステップ 10	バックアップジョブの有効な名前を入力します。バックアッププロセスが数分で開始されます。
ステップ 11	（任意）バックアップの進捗状況を表示するには、コマンドラインプロンプトで Status と入力します。
ステップ 12	その他の重要なバックアップタスクも参照してください。

バックアップステータスの確認

手順

ステップ 1

プライマリアプライアンスのコマンドラインインターフェイスに、管理者としてログインします。

ステップ 2

コマンドプロンプトで backupconfig と入力し、Enter を押します。


ステータスの確認対象	操作手順
スケジュール設定されたバックアップ	View 操作を選択します。
進行中のバックアップ	Status 操作を選択します。アラートを設定している場合は、電子メールを確認するか、最新アラートの表示を参照してください。

次のタスク

関連項目

ログファイルのバックアップ情報

バックアップログはバックアッププロセスを開始から終了まで記録します。

バックアップスケジューリングに関する情報は、SMA ログ内にあります。

関連項目

バックアップステータスの確認

その他の重要なバックアップタスク

ここで説明されているバックアッププロセスではバックアップされない項目が失われることを防止するため、およびアプライアンスの障害が発生した場合にセキュリティ管理アプライアンスの交換を速めるため、次のことを検討してください。

プライマリセキュリティ管理アプライアンスから設定を保存するには、設定の保存とインポートを参照してください。プライマリセキュリティ管理アプライアンスとは別の安全な場所にコンフィギュレーションファイルを保存します。
Configuration Master の設定に使用した、Web セキュリティアプライアンスのコンフィギュレーションファイルをすべて保存します。
セキュリティ管理アプライアンスから別の場所にログファイルを保存する方法については、ログサブスクリプションを参照してください。

さらに、バックアップログのログサブスクリプションを設定できます。GUI でのログサブスクリプションの作成を参照してください。

バックアップアプライアンスのプライマリアプライアンスとしての使用

アプライアンスハードウェアをアップグレードする場合、またはその他の理由でアプライアンスを切り替える場合は、次の手順を使用します。

始める前に

セキュリティ管理アプライアンスのデータのバックアップの情報を確認してください。

手順

ステップ 1	旧/プライマリ/ソースアプライアンスのコンフィギュレーションファイルのコピーを、新しいアプライアンスから到達できる場所に保存します。設定の保存とインポートを参照してください。
ステップ 2	新規/バックアップ/ターゲットアプライアンスでシステムセットアップウィザードを実行します。
ステップ 3	バックアップの制約事項および要件の要件を満たします。
ステップ 4	旧/プライマリ/ソースアプライアンスからバックアップを実行します。即時バックアップの開始の手順を参照してください。
ステップ 5	バックアップが完了するまで待ちます。
ステップ 6	旧/プライマリ/ソースアプライアンスで suspendtransfers および suspend コマンドを実行します。
ステップ 7	2 番目のバックアップを実行して、旧/プライマリ/ソースアプライアンスから新規/バックアップ/ターゲットアプライアンスに直前のデータを転送します。
ステップ 8	コンフィギュレーションファイルを新規/バックアップ/ターゲットアプライアンスにインポートします。
ステップ 9	新規/バックアップ/ターゲットアプライアンスで resumetransfers および resume コマンドを実行します。旧/元プライマリ/ソースアプライアンスでこのコマンドを実行しないでください。
ステップ 10	新規/バックアップ/ターゲットアプライアンスと管理対象の電子メールおよび Web Security Appliances の間の接続を確立します。
ステップ 11	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。 [管理アプライアンス（Management Appliance）] > [集約管理サービス（Centralized Services）] > [セキュリティアプライアンス（Security Appliances）] を選択します。アプライアンス名をクリックします。 [接続の確立（Establish Connection）] ボタンをクリックします。 [テスト接続（Test Connection）] をクリックします。アプライアンスのリストに戻ります。管理対象の各アプライアンスに対して、この手順を繰り返します。
ステップ 12	新規/ターゲットアプライアンスがプライマリアプライアンスとして機能していることを確認します。 [管理アプライアンス（Management Appliance）] > [集約管理サービス（Centralized Services）] > [システムステータス（System Status）] を選択し、データ転送の状態を確認します。

セキュリティ管理アプライアンスでのディザスタリカバリ

セキュリティ管理アプライアンスが予期せず失敗した場合は、次の手順を使用して、セキュリティ管理サービスおよびバックアップしたデータを復元します。これはセキュリティ管理アプライアンスのデータのバックアップの情報を使用して定期的に保存しています。

典型的なアプライアンス設定は、次の図に示すようになります。

この環境で、SMA 1 は ESA 1 ～ 3 および WSA 1 からデータを受信しているプライマリセキュリティ管理アプライアンスです。SMA 2 は SMA1 からバックアップデータを受信しているバックアップセキュリティ管理アプライアンスです。

失敗した場合は、SMA 2 がプライマリセキュリティ管理アプライアンスになるように設定する必要があります。

SMA 2 を新しいプライマリセキュリティ管理アプライアンスとして設定し、サービスを復元するには、次の手順を実行します。

手順

	コマンドまたはアクション	目的
ステップ 1	集約ポリシー、ウイルス、およびアウトブレイク隔離を使用している場合は以下を実行します。各 E メールセキュリティアプライアンスで、集約隔離を無効にします。	E メールセキュリティアプライアンスのマニュアルで集約されたポリシー、ウイルス、およびアウトブレイク隔離を無効にする方法を参照してください。これは各 E メールセキュリティアプライアンスで内部隔離を作成し、それを後で新しいセキュリティ管理アプライアンスに移行します。
ステップ 2	プライマリセキュリティ管理アプライアンス（SMA1）から保存した設定ファイルを、バックアップセキュリティ管理アプライアンス（SMA2）にロードします。	コンフィギュレーションファイルのロードを参照してください。
ステップ 3	障害が発生した SMA 1 から IP アドレスを再作成し、SMA 2 の IP アドレスに設定します。	SMA 2 で、[ネットワーク（Network）] > [IPインターフェイス（IP Interfaces）] > [IPインターフェイスの追加（Add IP Interfaces）] を選択します。 [IPインターフェイスの追加（Add IP Interfaces）] ページで、障害が発生した SMA1 のすべての関連 IP 情報をテキストフィールドに入力して、SMA 2 のインターフェイスを再作成します。 IP インターフェイスの追加の詳細については、IP インターフェイスの設定を参照してください。
ステップ 4	変更を送信し、保存します。
ステップ 5	新しいセキュリティ管理アプライアンス（SMA 2）で、適用可能なすべての中央集中型サービスを有効にします。	セキュリティ管理アプライアンスでのサービスの設定を参照してください。
ステップ 6	すべてのアプライアンスを新しいセキュリティ管理アプライアンス（SMA 2）に追加します。アプライアンスへの接続を確立し、その接続をテストすることで、各アプライアンスがイネーブルとなり、機能していることをテストして確認します。	管理対象アプライアンスの追加についてを参照してください。
ステップ 7	集約ポリシー、ウイルス、およびアウトブレイク隔離を使用している場合、新しいセキュリティ管理アプライアンス上に隔離の移行を設定し、その後必要な E メールセキュリティアプライアンスごとに移行を有効にして設定します。	ポリシー、ウイルス、およびアウトブレイク隔離の集約を参照してください。
ステップ 8	必要に応じて、追加データを復元します。	その他の重要なバックアップタスクを参照してください。

次のタスク

このプロセスが完了した後、SMA 2 がプライマリセキュリティ管理アプライアンスになります。これで、次の図に示すように、ESA 1 ～ 3 と WSA 1 からもすべてのデータが SMA 2 に送られるようになりました。

アプライアンスハードウェアのアップグレード

バックアップアプライアンスのプライマリアプライアンスとしての使用を参照してください。

AsyncOS のアップグレード

アップグレード用のバッチコマンド
アップグレードとアップデートのネットワーク要件の決定
アップグレード方式の選択：リモートまたはストリーミング
アップグレードおよびサービスアップデートの設定
アップグレードする前に：重要な手順
AsyncOS のアップグレード
バックグラウンドダウンロードのキャンセルまたは削除ステータスの表示
アップグレード後

アップグレード用のバッチコマンド

アップグレード手順用のバッチコマンドの詳細については、AsyncOS for Email の CLI リファレンスガイドを参照してください http://www.cisco.com/c/en/us/support/security/email-security-appliance/products-command-reference-list.html

アップグレードとアップデートのネットワーク要件の決定

Cisco コンテンツセキュリティアプライアンスのアップデートサーバは、ダイナミック IP アドレスを使用します。ファイアウォールポリシーを厳しく設定している場合、AsyncOS アップグレードに対して静的な参照先を設定する必要がある場合があります。アップグレードに関して、ファイアウォール設定にスタティック IP が必要であると判断した場合は、Cisco カスタマーサポートに連絡して、必要な URL アドレスを取得してください。

（注）

既存のファイアウォールルールで upgrades.cisco.com ポート（22、25、80、4766 など）からのレガシーアップグレードのダウンロードが許可されている場合は、それらを削除するか、修正したファイアウォールルールに置き換える必要があります。

アップグレード方式の選択：リモートまたはストリーミング

Cisco はアプライアンスでの AsyncOS のアップグレード用に、以下の 2 種類の方法（または「ソース」）を提供しています。

ストリーミングアップグレード：各アプライアンスは Cisco コンテンツセキュリティアップグレードサーバから HTTP を介して AsyncOS アップグレードを直接ダウンロードします。
リモートアップグレード：Cisco からアップグレードイメージを 1 回だけダウンロードし、アプライアンスに保存します。次に、アプライアンスは、ネットワーク内のサーバから AsyncOS アップグレードをダウンロードします。

アップグレードおよびサービスアップデートの設定にある、アップグレード方式を設定します。オプションで、CLI で updateconfig コマンドを使用します。

ストリーミングアップグレードの概要

ストリーミングアップグレードでは、各 Cisco コンテンツセキュリティアプライアンスが直接 Cisco コンテンツセキュリティアップデートサーバに接続して、アップグレードを検索してダウンロードします。

この方式では、アプライアンスが Cisco コンテンツセキュリティアップデートサーバにネットワークから直接接続する必要があります。

リモートアップグレードの概要

また、Cisco アップデートサーバから直接アップデートを取得する（ストリーミングアップグレード）のではなく、ネットワーク内からローカルで AsyncOS にアップデートをダウンロードおよびホストする（リモートアップグレード）こともできます。この機能を使用して、インターネットにアクセスできるネットワーク上のすべてのサーバに HTTP で暗号化されたアップデートイメージをダウンロードします。アップデートイメージをダウンロードする場合は、内部 HTTP サーバ（アップデートマネージャ）を設定し、セキュリティ管理アプライアンスで AsyncOS イメージをホスティングできます。

基本的なプロセスは、次のとおりです。

手順

ステップ 1

リモートアップグレードのハードウェア要件およびソフトウェア要件およびリモートアップグレードイメージのホスティングの情報をお読みください。

ステップ 2

アップグレードファイルを取得および供給するようにローカルサーバを設定します。

ステップ 3

アップグレードファイルをダウンロードします。

ステップ 4

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 5

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アップデート設定の選択（Update SettingsChoose）] を選択します。

このページで、ローカルサーバを使用するようにアプライアンスを設定することを指定します。

ステップ 6

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [システムのアップグレード（System Upgrade）] を選択します

ステップ 7

[利用可能なアップグレード（Available Upgrades）] をクリックします。

（注）

コマンドラインプロンプトから updateconfig コマンドを実行し、次に upgrade コマンドを実行することもできます。

詳細については、AsyncOS のアップグレードを参照してください。

リモートアップグレードのハードウェア要件およびソフトウェア要件

AsyncOS アップグレードファイルのダウンロードでは、次の要件を備えた内部ネットワークにシステムを構築する必要があります。

Cisco コンテンツセキュリティアプライアンスのアップデートサーバへのインターネットアクセス。
Web ブラウザ。

（注）

今回のリリースでアップデートサーバのアドレスへの HTTP アクセスを許可するファイアウォール設定値を設定する必要がある場合、特定の IP アドレスではなく DNS 名を使用する必要があります。

AsyncOS アップデートファイルのホスティングでは、次の要件を備えた内部ネットワークにサーバを構築する必要があります。

Web サーバ。たとえば、次のような Microsoft IIS（Internet Information Services）または Apache オープンソースサーバ。
- 24 文字を超えるディレクトリまたはファイル名の表示をサポートしていること
- ディレクトリの参照ができること
- 匿名認証（認証不要）または基本（「シンプル」）認証用に設定されていること
- 各 AsyncOS アップデートイメージ用に最低 350 MB 以上の空きディスク領域が存在すること

リモートアップグレードイメージのホスティング

ローカルサーバの設定が完了したら、http://updates.ironport.com/fetch_manifest.html にアクセスしてアップグレードイメージの zip ファイルをダウンロードします。イメージをダウンロードするには、Cisco コンテンツセキュリティアプライアンスのシリアル番号とバージョン番号を入力します。利用可能なアップグレードのリストが表示されます。アップグレードイメージの zip ファイルをダウンロードするアップグレードバージョンをクリックします。AsyncOS アップグレードのアップグレードイメージを使用するには、ローカルサーバの基本 URL を [更新設定を編集（Edit Update Settings）] ページに入力します（または CLI の updateconfig を使用します）。

ネットワーク上の Cisco コンテンツセキュリティアプライアンスに使用可能なアップグレードを、http://updates.ironport.com/fetch_manifest.html で選択したバージョンに限定する XML ファイルを、ローカルサーバでホスティングすることもできます。この場合でも、Cisco コンテンツセキュリティアプライアンスはアップグレードをシスコサーバからダウンロードします。アップグレードリストをローカルサーバにホスティングする場合は、zip ファイルをダウンロードして、asyncos/phoebe-my-upgrade.xml ファイルをローカルサーバのルートディレクトリに展開します。AsyncOS アップグレードのアップグレードリストを使用するには、XML ファイルの完全 URL を [更新設定を編集（Edit Update Settings）] ページに入力します（または CLI の updateconfig を使用します）。

リモートアップグレードの詳細については、ナレッジベース（ナレッジベースの記事を参照）を確認するか、サポートプロバイダーにお問い合わせください。

リモートアップグレード方式における重要な違い

ストリーミングアップグレード方式と比較して、AsyncOS をローカルサーバからアップグレード（リモートアップグレード）する場合には、次の違いがあることに注意してください。

ダウンロード中に、アップグレードによるインストールがすぐに実行されます。
アップグレードプロセスの最初の 10 秒間、バナーが表示されます。このバナーが表示されている間は、Ctrl を押した状態で C を押すと、ダウンロードの開始前にアップグレードプロセスを終了できます。

アップグレードおよびサービスアップデートの設定

Cisco コンテンツセキュリティアプライアンスがセキュリティサービスアップデート（時間帯ルールなど）および AsyncOS アップグレードをダウンロードする方法を設定できます。たとえば、イメージを利用できる場所にシスコサーバまたはローカルサーバのどちらからアップグレードおよびアップデートを動的にダウンロードするかを選択したり、アップデート間隔を設定したり、自動アップデートを無効にしたりすることができます。

AsyncOS は、新しい AsyncOS アップグレードを除く、すべてのセキュリティサービスコンポーネントへの新しいアップデートがないか、定期的にアップデートサーバに問い合わせます。AsyncOS をアップグレードするには、AsyncOS が使用可能なアップグレードを問い合わせるよう、手動で要求する必要があります。

アップグレードおよびアップデート設定は、GUI（次の 2 つの項を参照）で、または CLI で updateconfig コマンドを使用して設定できます。

アップグレード通知を設定することもできます。

アップグレードとアップデートの設定

次の表に、設定可能なアップデートおよびアップグレード設定を示します。

表 1. セキュリティサービスのアップデート設定
設定	説明
アップデートサーバ（イメージ）（Update Servers (images)）	シスコサーバまたはローカル Web サーバのどちらから、AsyncOS アップグレードおよびサービスアップデートソフトウェアイメージ（時間帯ルールや機能キーのアップデートなど）をダウンロードするかを選択します。デフォルトでは、アップグレードおよびアップデートの両方でシスコサーバが選択されます。次の場合、ローカル Web サーバを使用する場合があります。スタティックアドレスからアプライアンスにイメージをダウンロードする必要がある。厳格なファイアウォールポリシーを適用している環境のスタティックアップグレードおよびアップデートサーバ設定を参照してください。適宜、アプライアンスに AsyncOS アップグレードイメージをダウンロードする（この場合でも、Cisco アップデートサーバからサービスアップデートイメージを動的にダウンロードできます）。ローカルアップデートサーバを選択した場合は、アップグレードおよびアップデートのダウンロードに使用するサーバのベース URL とポート番号を入力します。サーバが認証を必要とする場合、有効なユーザ名とパスフレーズも入力します。詳細については、アップグレード方式の選択：リモートまたはストリーミングおよびリモートアップグレードの概要を参照してください。
アップデートサーバ（リスト）（Update Servers (lists)）	利用可能なアップグレードおよびサービスアップデートのリスト（マニフェスト XML ファイル）を、シスコサーバとローカル Web サーバのどちらからダウンロードするかを選択します。アップグレードおよびアップデートの両方で、デフォルトはシスコサーバです。アップグレードとアップデートには、それぞれ異なる設定を選択できます。該当する場合は、厳格なファイアウォールポリシーを適用している環境のスタティックアップグレードおよびアップデートサーバ設定を参照してください。ローカルアップデートサーバを選択した場合、サーバのファイル名およびポート番号を含む、各リストのマニフェスト XML ファイルのフルパスを入力します。ポートのフィールドを空のままにした場合、AsyncOS はポート 80 を使用します。サーバが認証を必要とする場合、有効なユーザ名とパスフレーズも入力します。詳細については、アップグレード方式の選択：リモートまたはストリーミングおよびリモートアップグレードの概要を参照してください。
自動更新	時間帯ルールの自動アップデートをイネーブルにするかどうかを選択します。イネーブルにする場合は、アップデートを確認する間隔を入力します。分の場合は m、時間の場合は h、日の場合は d を末尾に追加します。
インターフェイス（Interface）	時間帯ルールや AsyncOS アップグレードなどをアップデートサーバに問い合わせるときに、どのネットワークインターフェイスを使用するかを選択します。利用可能なプロキシデータインターフェイスが表示されます。デフォルトでは、アプライアンスは使用するインターフェイスを選択します。
HTTP プロキシサーバ（HTTP Proxy Server）	アップストリームの HTTP プロキシサーバが存在し、認証が必要な場合は、サーバ情報、ユーザ名、およびパスフレーズをここに入力します。プロキシサーバを指定すると、GUI にリストされているサービスへのアクセスおよびアップデートにそれが使用されます。このプロキシサーバは、クラウドからファイル分析レポートの詳細を取得するためにも使用されます。ファイル分析レポートの詳細の要件（Web レポート）、またはファイル分析レポートの詳細の要件（電子メールレポート）も参照してください。
HTTPS プロキシサーバ（HTTPS Proxy Server）	アップストリームの HTTPS プロキシサーバが存在し、認証が必要な場合は、サーバ情報、ユーザ名、およびパスフレーズをここに入力します。プロキシサーバを指定すると、GUI にリストされているサービスへのアクセスおよびアップデートにそれが使用されます。このプロキシサーバは、クラウドからファイル分析レポートの詳細を取得するためにも使用されます。ファイル分析レポートの詳細の要件（Web レポート）、またはファイル分析レポートの詳細の要件（電子メールレポート）も参照してください。

厳格なファイアウォールポリシーを適用している環境のスタティックアップグレードおよびアップデートサーバ設定

AsyncOS アップデートサーバは、ダイナミック IP アドレスを使用します。環境にスタティック IP アドレスが必要な厳格なファイアウォールポリシーを適用している場合は、[アップデート設定（Update Settings）] ページで次の設定を使用します。

図 5. [アップデートサーバ(イメージ)（Update Servers (images)）] 設定のスタティック URL

図 6. [アップデートサーバ(リスト)（Update Servers (list)）] 設定のスタティック URL

表 2. 厳格なファイアウォールポリシーを適用している環境のスタティックアドレス
セクション	設定	スタティック URL/IP アドレスおよびポート
Update Servers (images)	ベースURL（タイムゾーンルールおよびAsyncOSアップグレード以外のすべてのサービス）（Base URL (all services except Time zone rules and AsyncOS upgrades)）	http://downloads-static.ironport.com 204.15.82.8 Port 80
	ベースURL（タイムゾーンルール）（Base URL (Time zone rules)）	downloads-static.ironport.com 204.15.82.8 Port 80
	ホスト（AsyncOSアップグレード）（Host (AsyncOS upgrades)）	updates-static.ironport.com 208.90.58.25 Port 80
Update Servers (list):	物理ハードウェアアプライアンスでのアップデート用：フルURL（Full URL）	update-manifests.ironport.com 208.90.58.5 Port 443
	仮想アプライアンスでのアップデート用：フル URL（For updates on virtual appliances: Full URL）	update-manifests.sco.cisco.com Port 443
	アップグレード用：フルURL（For upgrades: Full URL）	update-manifests.ironport.com 208.90.58.5 Port 443

重要	CLI で `updateconfig` コマンドの `dynamichost` サブコマンドを使用して、`update-manifests` URL とポート番号を設定する必要があります。これにより、サービスの更新が検証されます。

GUI からのアップデートおよびアップグレード設定値の設定

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アップデート設定（Update Settings）] を選択します。
ステップ 3	[更新設定を編集（Edit Update Settings）] をクリックします。アップグレードとアップデートの設定の説明を使用して、この手順の設定を構成します。
ステップ 4	[アップデートサーバ(イメージ)（Update Servers (images)）] セクションで、アップデートのイメージのダウンロード元のサーバを指定します。
ステップ 5	AsyncOS アップグレードのイメージをダウンロードする元のサーバを指定します。同じセクションの下部で、[クリックして AsyncOS アップグレードの異なる設定を使用する（Click to use different settings for AsyncOS upgrades）] リンクをクリックします。 AsyncOS アップグレードのイメージをダウンロードするためのサーバ設定を指定します。
ステップ 6	[アップデートサーバ(リスト)（Update Servers (list)）] セクションで、使用可能なアップデートおよび AsyncOS アップグレードのリストを取得するサーバを指定します。上部のサブセクションはアップデートに適用されます。下部のサブセクションはアップグレードに適用されます。
ステップ 7	時間帯ルールおよびインターフェイスの設定を指定します。
ステップ 8	（任意）プロキシサーバの設定を指定します。
ステップ 9	変更を送信し、保存します。
ステップ 10	結果が予定通りか確認します。 [アップデート設定（Update Settings）] ページが表示されていない場合は、[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アップデート設定（Update Settings）] を選択します。一部の URL では、サーバ URL に「asyncos」ディレクトリが追加されます。この不一致は無視してかまいません。

アップグレードの通知

デフォルトでは、AsyncOS アップグレードがアプライアンスで使用可能な場合、管理者および技術者の権限を持つユーザには、Web インターフェイスの上部に通知が表示されます。


目的	操作手順
最新のアップグレードの詳細情報を表示する	アップグレード通知にカーソルを合わせます。
使用できるすべてのアップグレードのリストを表示する	通知の下向き矢印をクリックします。
現在の通知を閉じる新しいアップグレードが入手可能になるまで、アプライアンスは別の通知を表示しません。	下向き矢印をクリックして [通知を消去（Clear the notification）] を選択してから、[閉じる（Close）] をクリックします。
今後の通知を中止する（管理者権限を持つユーザのみ）	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [システムアップグレード（System Upgrade）] に移動します。

アップグレードする前に：重要な手順

始める前に

アップグレードとアップデートのネットワーク要件の決定でネットワーク要件を参照してください。

手順

ステップ 1	次のようにして、データの消失を防止する、または最小限に抑えます。新しいアプライアンスに十分なディスク容量があり、転送される各データタイプに同等以上のサイズが割り当てられていることを確認します。最大ディスク領域と割り当てについてを参照してください。ディスク領域についての何らかの警告を受け取った場合は、アップグレードを開始する前に、ディスク領域に関する問題をすべて解決してください。
ステップ 2	アプライアンスから、XML コンフィギュレーションファイルを保存します。現在の設定ファイルの保存およびエクスポートで説明する警告を参照してください。何らかの理由でアップグレード前のリリースに戻す場合は、このファイルが必要です。
ステップ 3	セーフリスト/ブロックリスト機能を使用している場合は、リストをボックスからエクスポートします。 [管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [設定ファイル（Configuration File）] をクリックしてスクロールダウンします。
ステップ 4	CLI からアップグレードを実行している場合は、suspendlistener コマンドを使用してリスナーを停止します。GUI からのアップグレードを実行する場合は、リスナーの停止が自動的に実行されます。
ステップ 5	メールキューとデリバリキューを解放します。
ステップ 6	アップグレード設定が希望どおりに設定されていることを確認します。アップグレードおよびサービスアップデートの設定を参照してください。

AsyncOS のアップグレード

1 回の操作でダウンロードとインストールを行うか、またはバックグラウンドでダウンロードし後でインストールできます。

（注）

AsyncOS を Cisco サーバからではなくローカルサーバから 1 回の操作でダウンロードとアップグレードする場合は、アップグレードはダウンロード中に即座に実行されます。アップグレードプロセスの開始時に、バナーが 10 秒間表示されます。このバナーが表示されている間は、Ctrl を押した状態で C を押すと、ダウンロードの開始前にアップグレードプロセスを終了できます。

始める前に

Cisco から直接アップグレードをダウンロードするか、またはネットワーク上のサーバからアップグレードイメージをホストするかを選択します。次に、選択した方式をサポートするようにネットワークをセットアップします。そして、選択した入手先からアップグレードを入手するためにアプライアンスを設定します。アップグレード方式の選択：リモートまたはストリーミングおよびアップグレードおよびサービスアップデートの設定を参照してください。
アップグレードをインストールする前に、アップグレードする前に：重要な手順の手順を実行してください。

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [システムのアップグレード（System Upgrade）] を選択します。

ステップ 3

[アップグレードオプション（Upgrade Options）] をクリックします。

ステップ 4

次のオプションを選択します。


目的	操作手順
1 回の操作でアップグレードのダウンロードとインストールを実行する	[ダウンロードしてインストール（Download and Install）] をクリックします。すでにインストーラをダウンロードしている場合、既存のダウンロードを上書きするよう求められます。
アップグレードインストーラをダウンロードする	[ダウンロードのみ（Download only）] をクリックします。すでにインストーラをダウンロードしている場合、既存のダウンロードを上書きするよう求められます。インストーラはサービスを中断することなく、バックグラウンドでダウンロードします。
ダウンロードしたアップグレードインストーラをインストールする	[Install（インストール）] をクリックします。このオプションは、インストーラがダウンロードされている場合にのみ表示されます。インストールする AsyncOS のバージョンは、[インストール（Install）] オプションの下に表示されます。

ステップ 5

以前にダウンロードしたインストーラでインストールする場合を除き、利用可能なアップグレードのリストから AsyncOS のバージョンを選択します。

ステップ 6

インストール中の場合、次に従います。

現在の設定をアプライアンス上の configuration ディレクトリに保存するかどうかを選択します。

コンフィギュレーションファイルでパスフレーズをマスクするかどうかを選択します。

（注）

マスクされたパスフレーズが記載されたコンフィギュレーションファイルは、GUI の [設定ファイル（Configuration File）] ページや CLI の loadconfig コマンドからロードできません。

コンフィギュレーションファイルのコピーを電子メールで送信する場合は、ファイルを送信する電子メールアドレスを入力します。複数の電子メールアドレスを指定する場合は、カンマで区切ります。

ステップ 7

[続行（Proceed）] をクリックします。

ステップ 8

インストール中の場合、次に従います。

プロセス中のプロンプトに応答できるようにしてください。

応答するまでプロセスは中断されます。

ページの上部の近くに、経過表示バーが表示されます。

プロンプトで、[今すぐ再起動（Reboot Now）] をクリックします。

（注）

リブートしてから少なくとも 20 分経過するまで、いかなる理由があっても（アップグレードの問題をトラブルシューティングするためであっても）アプライアンスの電源を中断しないでください。

約 10 分後、アプライアンスにアクセスしてログインします。

次のタスク

プロセスが中断された場合、プロセスを再開する必要があります。
アップグレードをダウンロードしてインストールしなかった場合は次のとおりです。

アップグレードをインストールする準備ができたら、「始める前に」の項の前提条件も含め次の手順を最初から実行しますが、[インストール（Install）] オプションを選択します。
アップグレードをインストールしている場合は、アップグレード後を参照してください。

バックグラウンドダウンロードのキャンセルまたは削除ステータスの表示

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [システムのアップグレード（System Upgrade）] を選択します。

ステップ 3

[アップグレードオプション（Upgrade Options）] をクリックします。

ステップ 4

次のオプションを選択します。


目的	操作手順
ダウンロードステータスの表示	ページの中央を確認してください。進行中のダウンロードおよびダウンロードが完了してインストールされるのを待っているものがない場合は、ダウンロードのステータス情報は表示されません。アップグレードのステータスは upgrade_logs でも確認できます。
ダウンロードのキャンセル	ページの中央にある、[ダウンロードをキャンセル（Cancel Download）] ボタンをクリックします。このオプションは、ダウンロード進行中にのみ表示されます。
ダウンロードされたインストーラの削除	ページの中央にある、[ファイルを削除（Delete File）] ボタンをクリックします。このオプションは、インストーラがダウンロードされている場合にのみ表示されます。

アップグレード後

アップグレードが完了したら、次の手順を実行します。

（関連する E メールセキュリティアプライアンスのある導入環境の場合）リスナーを再度イネーブルにします。
（関連する Web セキュリティアプライアンスのある導入環境の場合）最新の Configuration Master をサポートするようにシステムを設定します。Configuration Master を使用して中央集中型で Web セキュリティアプライアンスを管理するを参照してください。
設定を保存するかどうか判断します。詳細については、設定の保存とインポートを参照してください。
アップグレード後オンラインヘルプを表示するには、ブラウザキャッシュをクリアし、ブラウザを終了してもう一度開きます。これにより、期限切れのコンテンツのブラウザキャッシュがクリアされます。

AsyncOS の以前のバージョンへの復元について

緊急時には、前の認定バージョンの AsyncOS に戻すことができます。

アプライアンス上のすべてのデータをクリアし、新しい、クリーンな設定から始める場合は、現在実行中のビルドに戻すこともできます。

関連項目

復元の影響に関する重要な注意事項
AsyncOS の復元

復元の影響に関する重要な注意事項

Cisco コンテンツセキュリティアプライアンスにおける revert コマンドの使用は、非常に破壊的な操作になります。このコマンドはすべての既存の設定およびデータを永久破壊します。さらに、復元ではアプライアンスが再設定されるまでメール処理が中断されます。

復元によって機能キーまたは仮想アプライアンスライセンスの有効期限日に影響が及ぶことはありません。

AsyncOS の復元

始める前に

保持する必要があるデータをアプライアンス以外の場所にバックアップまたは保存します。
戻し先のバージョンのコンフィギュレーションファイルが必要です。コンフィギュレーションファイルに下位互換性はありません。
このコマンドはすべての設定を破壊するため、復元を実行する場合は、アプライアンスへの物理的なローカルアクセスを必ず用意するようにしてください。
お使いの E メールセキュリティアプライアンスで隔離が有効になっている場合は、それらのアプライアンスでローカルにメッセージが隔離されるように集約化を無効にします。

手順

ステップ 1

戻し先のバージョンのコンフィギュレーションファイルがあることを確認してください。コンフィギュレーションファイルに下位互換性はありません。

ステップ 2

アプライアンスの現在の設定のバックアップコピーを、（パスフレーズをマスクしない状態で）別のマシンに保存します。コンフィギュレーションファイルを取得するには、ファイルを電子メールでユーザ自身に送信するか、ファイルを FTP で取得します。簡単に行うには、mailconfig CLI コマンドを実行すると、アプライアンスの現在のコンフィギュレーションファイルが指定したメールアドレスに送信されます。

（注）

このコピーは、バージョンを戻した後にロードする設定ファイルではありません。

ステップ 3

セーフリスト/ブロックリスト機能を使用する場合は、セーフリスト/ブロックリストデータベースを別のマシンにエクスポートします。

ステップ 4

Email Security Appliances で、すべてのリスナーを一時停止します。

ステップ 5

メールキューが空になるまで待ちます。

ステップ 6

バージョンを戻すアプライアンスの CLI にログインします。

revert コマンドの実行時には、いくつかの警告プロンプトが発行されます。これらの警告プロンプトに同意すると、すぐにバージョンを戻す動作が開始します。このため、復元前の手順を完了するまで、復元プロセスを開始しないでください。

ステップ 7

コマンドラインプロンプトから revert コマンドを入力し、プロンプトに応答します。

次に、revert コマンドの例を示します。

例:


m650p03.prep> revert
This command will revert the appliance to a previous version of AsyncOS.
WARNING: Reverting the appliance is extremely destructive.
The following data will be destroyed in the process:
- all configuration settings (including listeners)
- all log files
- all databases (including messages in Virus Outbreak and Policy
quarantines)
- all reporting data (including saved scheduled reports)
- all message tracking data
- all Cisco Spam Quarantine message and end-user safelist/blocklist data
Only the network settings will be preseved.
Before running this command, be sure you have:
- saved the configuration file of this appliance (with passphrases
unmasked)
- exported the Cisco Spam Quarantine safelist/blocklist database
   to another machine (if applicable)
- waited for the mail queue to empty
Reverting the device causes an immediate reboot to take place.
After rebooting, the appliance reinitializes itself and reboots again to the desired version.
Do you want to continue? yes
Are you sure you want to continue? yes
Available versions
=================
 1. 7.2.0-390
 2. 6.7.6-020 
Please select an AsyncOS version: 1
You have selected "7.2.0-390".
Reverting to "testing" preconfigure install mode.
The system will now reboot to perform the revert operation.

ステップ 8

アプライアンスが 2 回リブートするまで待ちます。

ステップ 9

CLI を使用してアプライアンスにログインします。

ステップ 10

少なくとも 1 つの Web セキュリティアプライアンスを追加し、URL カテゴリアップデートがそのアプライアンスからダウンロードされるまで数分待ちます。

ステップ 11

URL カテゴリのアップデートが完了したら、戻し先のバージョンのコンフィギュレーションファイルをロードします。

ステップ 12

セーフリスト/ブロックリスト機能を使用する場合は、セーフリスト/ブロックリストデータベースをインポートして復元します。

ステップ 13

Email Security Appliances で、すべてのリスナーを再びイネーブルにします。

ステップ 14

変更を保存します。

これで、復元が完了した Cisco コンテンツセキュリティアプライアンスは、選択された AsyncOS バージョンを使用して稼働します。

（注）

復元が完了して、Cisco コンテンツセキュリティアプライアンスへのコンソールアクセスが再び利用可能になるまでには、15 ～ 20 分かかります。

アップデートについて

サービスアップデートは定期的にダウンロード可能にできます。これらのダウンロードの設定を指定するには、アップグレードおよびサービスアップデートの設定

関連項目

アップグレードおよびサービスアップデートの設定

Web 使用率制御の URL カテゴリセットアップデートについて

生成されたメッセージの返信アドレスの設定

次の場合に対して、AsyncOS で生成されたメールのエンベロープ送信者を設定できます。

バウンスメッセージ
レポート

返信アドレスの表示、ユーザ、およびドメイン名を指定できます。ドメイン名に仮想ゲートウェイドメインの使用を選択することもできます。

GUI の [システム管理（System Administration）] メニューから利用できる [返信先アドレス（Return Addresses）] ページを使用するか、CLI で addressconfig コマンドを使用します。

システムで生成された電子メールメッセージの返信アドレスを GUI で変更するには、[返信先アドレス（Return Addresses）] ページで [設定の編集（Edit Settings）] をクリックします。1 つまたは複数のアドレスを変更して [送信（Submit）] をクリックし、変更を保存します。

アラートの管理

アプライアンスから、アプライアンスで発生しているイベントに関する電子メールアラートが送信されます。


目的	操作手順
タイプの異なるアラートが別の管理ユーザに送信されるようにする	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アラート（Alerts）] を選択します。システムのセットアップ時に AutoSupport をイネーブルにした場合、指定した電子メールアドレスはデフォルトで、すべての重大度およびクラスのアラートを受信します。この設定はいつでも変更できます。複数のアドレスを指定する場合は、カンマで区切ります。
次のようなアラートのグローバル設定を行うアラート送信者（FROM:）アドレス重複したアラートの制御 AutoSupport 設定	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アラート（Alerts）] を選択します。重複したアラートについてを参照してください Cisco AutoSupportを参照してください
最近のアラートのリストを表示するこのリストの設定を管理する	最新アラートの表示を参照してください
アラートのリストと説明を表示する	参照先：ハードウェアアラートの説明。システムアラートの説明
アラートの配信メカニズムを理解する	アラートの配信を参照してください

アラートタイプおよび重大度

アラートタイプは次のとおりです。

ハードウェアアラート。ハードウェアアラートの説明を参照してください。
システムアラート。システムアラートの説明を参照してください。
アップデータアラート。

アラートの重大度は次のとおりです。

Critical：すぐに対処が必要な問題
Warning：今後モニタリングが必要な問題またはエラー。すぐに対処が必要な可能性もあります
Info：このデバイスのルーティン機能で生成される情報

アラートの配信

アラートメッセージは Cisco コンテンツセキュリティアプライアンス内の問題の通知に使用されるため、送信に AsyncOS の標準メール配信システムを使用しません。代わりに、アラートメッセージは AsyncOS で重大なシステム故障が発生しても動作するように設計された、個別に並行動作する電子メールシステムで処理されます。

アラートメールシステムは、AsyncOS と同一の設定を共有しません。このため、アラートメッセージは、次のように他のメール配信とは若干異なる動作をする可能性があります。

アラートメッセージは、標準の DNS MX レコードおよび A レコードのルックアップを使用して配信されます。
- アラートメッセージは DNS エントリを 30 分間キャッシュし、そのキャッシュは 30 分ごとにリフレッシュされます。このため、DNS 障害時にもアラートが出力されます。
導入環境に E メールセキュリティアプライアンスが含まれている場合：
- アラートメッセージはワークキューを通過しないため、ウイルスまたはスパムのスキャン対象外です。メッセージフィルタまたはコンテンツフィルタの処理対象にも含まれません。
- アラートメッセージは配信キューを通過しないため、バウンスのプロファイルまたは送信先制御の制限には影響を受けません。
[オプション - TLS サポートが「alertconfig」で有効で、FQDN 検証が SSL 設定で有効な場合のみ（Optional - Only if TLS support is enabled in "alertconfig" and FQDN validation enabled in SSL Configuration settings）]：サーバ証明書にある [Common Name（共通名）]、[SAN: DNS Name（SAN：DNS 名）] フィールド、またはその両方が FQDN 形式かどうかを確認します。
[オプション - TLS サポートが「alertconfig」で有効な場合のみ（Optional - Only if TLS support is enabled in "alertconfig"）]：サーバ証明書の [Common Name（共通名）] または [SAN: DNS Name（SAN：DNS 名）] フィールドにサーバのホスト名が含まれているかどうかを確認します。[ホスト名（Hostname）] フィールドに IP が設定されている場合は、Reverse DNS 名が使用されます。

重複したアラートについて

AsyncOS が重複したアラートを送信するまでに待機する秒数の初期値を指定できます。この値を 0 に設定した場合、重複したアラートのサマリーは送信されず、代わりにすべての重複したアラートがリアルタイムに送信されます（短時間に大量の電子メールを受信する可能性があります）。重複したアラートを送信するまでに待機する秒数は、アラートを送信するたびに増加します。増加する秒数は、前回の待機間隔の 2 倍の値を足した秒数です。つまり、待機時間が 5 秒間の場合、アラートは 5 秒後、15 秒後、35 秒後、75 秒後、155 秒後、315 秒後といった間隔で送信されます。

最終的に、送信間隔は非常に長くなります。[重複するアラートを送信する前に待機する最大秒数（Maximum Number of Seconds to Wait Before Sending a Duplicate Alert）] フィールドを使用して、待機間隔の秒数に制限を設けることができます。たとえば、初期値を 5 秒に設定し、最大値を 60 秒に設定すると、アラートは 5 秒後、15 秒後、35 秒後、60 秒後、120 秒後といった間隔で送信されます。

Cisco AutoSupport

シスコによる十分なサポートと今後のシステム変更の設計を可能にするため、システムで生成されたすべてのアラートメッセージをシスコに送信するように Cisco コンテンツセキュリティアプライアンスを設定できます。「AutoSupport」と呼ばれるこの機能は、カスタマーサポートによるお客様のニーズへのプロアクティブな対応に役立ちます。また、AutoSupport はシステムの稼働時間、status コマンドの出力、および使用されている AsyncOS バージョンを通知するレポートを毎週送信します。

デフォルトでは、アラートタイプが System で重大度レベルが Information のアラートを受信するように設定されているアラート受信者は、Cisco に送信される各メッセージのコピーを受信します。内部にアラートメッセージを毎週送信しない場合は、この設定をディセーブルにできます。この機能を有効または無効にするには、[管理アプライアンス（Management Appliance）] > [システム管理アラート（System Administration Alerts）] を選択し、[設定の編集（Edit Settings）] をクリックします。

AutoSupport が有効の場合、Information レベルのシステムアラートを受信するように設定されたアラート受信者に、デフォルトで毎週 AutoSupport レポートが送信されます。

ハードウェアアラートの説明

表 3. ハードウェアアラートの説明
アラート名	説明	重大度
INTERFACE.ERRORS	インターフェイスエラーを検出した場合に送信されます。	警告
MAIL.MEASUREMENTS_FILESYSTEM	ディスクパーティションが 75 % の使用率に近づいた場合に送信されます。	警告
MAIL.MEASUREMENTS_FILESYSTEM.CRITICAL	ディスクパーティションが 90 % の使用率に達した場合（95 %、96 %、97 % など）に送信されます。	クリティカル
SYSTEM.RAID_EVENT_ALERT	重大な RAID-event が発生した場合に送信されます。	警告
SYSTEM.RAID_EVENT_ALERT_INFO	RAID-event が発生した場合に送信されます。	情報

システムアラートの説明

表 4. システムアラートの説明
アラート名	説明	重大度
COMMON.APP_FAILURE	不明なアプリケーション障害が発生した場合に送信されます。	クリティカル（Critical）
COMMON.KEY_EXPIRED_ALERT	機能キーの有効期限が切れた場合に送信されます。	警告
COMMON.KEY_EXPIRING_ALERT	機能キーの有効期限が切れる場合に送信されます。	警告
COMMON.KEY_FINAL_EXPIRING_ALERT	機能キーの有効期限が切れる場合の最後の通知として送信されます。	警告
DNS.BOOTSTRAP_FAILED	アプライアンスがルート DNS サーバに問い合わせることができない場合に送信されます。	警告
COMMON.INVALID_FILTER	無効なフィルタが存在する場合に送信されます。	警告
IPBLOCKD.HOST_ADDED_TO_ALLOWED LIST IPBLOCKD.HOST_ADDED_TO_BLOCKED LIST IPBLOCKD.HOST_REMOVED_FROM_BLOCKED LIST	アラートメッセージ： <IP address>のホストがSSH DoS 攻撃のためブロックリストに追加されました。（The host at <IP address> has been added to the blocked list because of an SSH DOS attack） <IP address>のホストがSSH許可リストに追加されました。（The host at <IP address> has been permanently added to the ssh allowed list.) <IP address>のホストがブロックリストから削除されました（The host at <IP address> has been removed from the blocked list） SSH を介してアプライアンスへの接続を試みているが、有効なクレデンシャルを提示しない IP アドレスは、2 分以内に 11 回以上試行に失敗した場合、SSH のブロックリストに追加されます。同じ IP アドレスからユーザが正常にログインすると、その IP アドレスは許可リストに追加されます。許可リストのアドレスは、それらがブロックリストに含まれていてもアクセスが許可されます。	警告
LDAP.GROUP_QUERY_FAILED_ALERT	LDAP グループクエリに失敗した場合に送信されます。	クリティカル（Critical）
LDAP.HARD_ERROR	LDAP クエリが（すべてのサーバで試行した後）完全に失敗した場合に送信されます。	クリティカル（Critical）
LOG.ERROR.*	さまざまなロギングエラー。	クリティカル
MAIL.PERRCPT.LDAP_GROUP_QUERY_FAILED	各受信者のスキャン時に LDAP グループクエリーに失敗した場合に送信されます。	クリティカル
MAIL.QUEUE.ERROR.*	メールキューのさまざまなハードエラー。	クリティカル
MAIL.RES_CON_START_ALERT.MEMORY	メモリ使用率がシステムリソース節約しきい値を超過した場合に送信されます。	クリティカル
MAIL.RES_CON_START_ALERT.QUEUE_SLOW	メールキューが過負荷となり、システムリソース節約がイネーブルになった場合に送信されます。	クリティカル
MAIL.RES_CON_START_ALERT.QUEUE	キュー使用率がシステムリソース節約しきい値を超過した場合に送信されます。	クリティカル
MAIL.RES_CON_START_ALERT.WORKQ	ワークキューのサイズが大きすぎるため、リスナーが一時停止された場合に送信されます。	クリティカル
MAIL.RES_CON_START_ALERT	アプライアンスが「リソース節約」モードになった場合に送信されます。	クリティカル
MAIL.RES_CON_STOP_ALERT	アプライアンスの「リソース節約」モードが解除された場合に送信されます。	クリティカル
MAIL.WORK_QUEUE_PAUSED_NATURAL	ワークキューが中断された場合に送信されます。	クリティカル
MAIL.WORK_QUEUE_UNPAUSED_NATURAL	ワークキューが再開された場合に送信されます。	クリティカル（Critical）
NTP.NOT_ROOT	root として NTP が実行されていないためにアプライアンスが時刻を調整できない場合に送信されます。	警告
PERIODIC_REPORTS.DOMAIN_REPORT. DOMAIN_FILE_ERRORS	ドメイン指定ファイルでエラーが検出された場合に送信されます。	クリティカル
PERIODIC_REPORTS.DOMAIN_REPORT.FILE_EMPTY	ドメイン指定ファイルが空の場合に送信されます。	クリティカル
PERIODIC_REPORTS.DOMAIN_REPORT.FILE_MISSING	ドメイン指定ファイルが見つからない場合に送信されます。	クリティカル
REPORTD.DATABASE_OPEN_FAILED_ALERT	レポートエンジンがデータベースを開けない場合に送信されます。	クリティカル（Critical）
REPORTD.AGGREGATION_DISABLED_ALERT	システムのディスク領域が不足している場合に送信されます。ログエントリに関するディスク使用率がログ使用率のしきい値を超過すると、reportd は集約をディセーブルにし、アラートを送信します。	警告
REPORTING.CLIENT.UPDATE_FAILED_ALERT	レポートエンジンがレポートデータを保存できなかった場合に送信されます。	警告
REPORTING.CLIENT.JOURNAL.FULL	レポートエンジンが新規データを保存できない場合に送信されます。	クリティカル
REPORTING.CLIENT.JOURNAL.FREE	レポートエンジンが再び新規データを保存できるようになった場合に送信されます。	情報
PERIODIC_REPORTS.REPORT_TASK。BUILD_FAILURE_ALERT	レポートエンジンがレポートを作成できない場合に送信されます。	クリティカル
PERIODIC_REPORTS.REPORT_TASK。EMAIL_FAILURE_ALERT	レポートを電子メールで送信できなかった場合に送信されます。	クリティカル
PERIODIC_REPORTS.REPORT_TASK。ARCHIVE_FAILURE_ALERT	レポートをアーカイブできなかった場合に送信されます。	クリティカル（Critical）
SENDERBASE.ERROR	SenderBase からの応答を処理中にエラーが発生した場合に送信されます。	情報
SMAD.ICCM.ALERT_PUSH_FAILED	1 台以上のホストでコンフィギュレーションのプッシュに失敗した場合に送信されます。	警告
SMAD.TRANSFER.TRANSFERS_STALLED	SMA ログがトラッキングデータを 2 時間取得できなかった場合、またはレポーティングデータを 6 時間取得できなかった場合に送信されます。	警告
SMTPAUTH.FWD_SERVER_FAILED_ALERT	SMTP 認証転送サーバが到達不能である場合に送信されます。	警告
SMTPAUTH.LDAP_QUERY_FAILED	LDAP クエリが失敗した場合に送信されます。	警告
SYSTEM.HERMES_SHUTDOWN_FAILURE。 REBOOT	リブート中のシステムをシャットダウンしている際に問題が発生した場合に送信されます。	警告
SYSTEM.HERMES_SHUTDOWN_FAILURE。 SHUTDOWN	システムをシャットダウンしている際に問題が発生した場合に送信されます。	警告
SYSTEM.RCPTVALIDATION.UPDATE_FAILED	受信者検証のアップデートに失敗した場合に送信されます。	クリティカル
SYSTEM.SERVICE_TUNNEL.DISABLED	シスコサポートサービス用に作成されたトンネルが無効の場合に送信されます。	情報
SYSTEM.SERVICE_TUNNEL.ENABLED	シスコサポートサービス用に作成されたトンネルが有効の場合に送信されます。	情報

ネットワーク設定値の変更

このセクションでは、アプライアンスのネットワーク操作の設定に使用する機能について説明します。これらの機能では、システムセットアップウィザードの実行でシステムセットアップウィザードを利用して設定したホスト名、DNS、およびルーティングの設定値に直接アクセスできます。

ここでは、次の機能について説明します。

sethostname
DNS 設定（GUI で設定。および CLI で dnsconfig コマンドを使用して設定）
ルーティング設定（GUI で設定。および CLI で routeconfig コマンドと setgateway コマンドを使用して設定）
dnsflush
パスフレーズ

システムホスト名の変更

ホスト名は、CLI プロンプトでシステムを識別する際に使用されます。完全修飾ホスト名を入力する必要があります。sethostname コマンドは、コンテンツセキュリティアプライアンスの名前を設定します。新規ホスト名は、commit コマンドを発行して初めて有効になります。

sethostname コマンド


oldname.example.com> sethostname
[oldname.example.com]> mail3.example.com
oldname.example.com>

ホスト名の変更を有効にするには、commit コマンドを入力する必要があります。ホスト名の変更を確定すると、CLI プロンプトに新しいホスト名が表示されます。


oldname.example.com> commit
Please enter some comments describing your changes:
[]> Changed System Hostname
Changes committed: Mon Jan 04 12:00:01 2010

プロンプトに新規ホスト名が次のように表示されます。mail3.example.com>

ドメインネームシステムの設定

コンテンツセキュリティアプライアンスのドメインネームシステム（DNS）は、GUI の [管理アプライアンス（Management Appliance）] > [ネットワーク（Network）] > [DNS] ページ、または dnsconfig コマンドを使用して設定できます。

次の設定値を設定できます。

インターネットの DNS サーバまたはユーザ独自の DNS サーバのどちらを使用するか、および使用するサーバ
DNS トラフィックに使用するインターフェイス
逆引き DNS ルックアップがタイムアウトするまで待機する秒数
DNS キャッシュのクリア

DNS サーバの指定

AsyncOS では、インターネットのルート DNS サーバ、ユーザ独自の DNS サーバ、またはインターネットのルート DNS サーバと指定した信頼できる DNS サーバを使用できます。インターネットのルートサーバを使用するときは、特定のドメインに使用する代替サーバを指定することもできます。代替 DNS サーバは単一のドメインに適用されるため、該当ドメインに対する信頼できるサーバ（最終的な DNS レコードを提供）になっている必要があります。

AsyncOS では、インターネットの DNS サーバを使用しない場合に「スプリット」DNS サーバをサポートしています。ユーザ独自の内部サーバを使用している場合は、例外のドメインおよび関連する DNS サーバを指定することもできます。

「スプリット DNS」を設定する場合は、in-addr.arpa（PTR）エントリも同様に設定する必要があります。このため、たとえば「.eng」クエリをネームサーバ 1.2.3.4 にリダイレクトする際に、すべての .eng エントリが 172.16 ネットワークにある場合、スプリット DNS 設定に「eng,16.172.in-addr.arpa」をドメインとして指定する必要があります。

複数エントリとプライオリティ

入力する各 DNS サーバに、数値でプライオリティを指定できます。AsyncOS では、プライオリティが 0 に最も近い DNS サーバの使用を試みます。その DNS サーバが応答しない場合、AsyncOS は次のプライオリティを持つサーバの使用を試みます。同じプライオリティを持つ DNS サーバに複数のエントリを指定する場合、システムはクエリを実行するたびに同じプライオリティを持つ DNS サーバをリストからランダムに選びます。次にシステムは最初のクエリが期限切れになるか、「タイムアウト」になるまで短時間待機した後、さらにそれよりわずかに長い秒数待機するという動作を続けます。待機時間の長さは、DNS サーバの実際の総数と、設定されたプライオリティによって異なります。タイムアウトの長さはプライオリティに関係なく、すべての IP アドレスで同じです。最初のプライオリティには最も短いタイムアウトが設定されており、次のプライオリティにはより長いタイムアウトが設定されています。最終的なタイムアウト時間は約 60 秒です。1 つのプライオリティを設定している場合、該当のプライオリティに対する各サーバのタイムアウトは 60 秒になります。2 つのプライオリティを設定している場合、最初のプライオリティに対する各サーバのタイムアウトは 15 秒になり、次のプライオリティに対する各サーバのタイムアウトは 45 秒になります。プライオリティが 3 つの場合、タイムアウトは 5 秒、10 秒、45 秒になります。

たとえば、4 つの DNS サーバを設定し、2 つにプライオリティ 0 を、1 つにプライオリティ 1 を、もう 1 つにプライオリティ 2 を設定したとします。

表 5. DNS サーバ、プライオリティ、およびタイムアウト間隔の例
[プライオリティ（Priority）]	サーバ	タイムアウト（秒）
0	1.2.3.4、1.2.3.5	5、5
1	1.2.3.6	10
2	1.2.3.7	45

AsyncOS は、プライオリティ 0 に設定された 2 つのサーバをランダムに選択します。プライオリティ 0 のサーバの 1 つがダウンしている場合は、もう 1 つのサーバが使用されます。プライオリティ 0 のサーバが両方ダウンしている場合、プライオリティ 1 のサーバ（1.2.3.6）が使用され、最終的にプライオリティ 2（1.2.3.7）のサーバが使用されます。

タイムアウト時間はプライオリティ 0 のサーバは両方とも同じであり、プライオリティ 1 のサーバにはより長い時間が設定され、プライオリティ 2 のサーバにはさらに長い時間が設定されます。

インターネットルートサーバの使用

AsyncOS DNS リゾルバは、高性能な電子メール配信に必要な大量の同時 DNS 接続を収容できるように設計されています。

（注）

デフォルト DNS サーバにインターネットルートサーバ以外を設定することを選択した場合、設定されたサーバは権威サーバとなっていないドメインのクエリを再帰的に解決できる必要があります。

逆引き DNS ルックアップのタイムアウト

Cisco コンテンツセキュリティアプライアンスは電子メールの送受信の際、リスナーに接続しているすべてのリモートホストに対して「二重 DNS ルックアップ」の実行を試みます。つまり、ダブル DNS ルックアップを実行することで、システムはリモートホストの IP アドレスの正当性を確保および検証します。これは、接続元ホストの IP アドレスに対する逆引き DNS（PTR）ルックアップと、それに続く PTR ルックアップ結果に対する正引き DNS（A）ルックアップからなります。その後、システムは A ルックアップの結果が PTR ルックアップの結果と一致するかどうかをチェックします。結果が一致しないか、A レコードが存在しない場合、システムはホストアクセステーブル（HAT）内のエントリと一致する IP アドレスのみを使用します。この特別なタイムアウト時間はこのルックアップにのみ適用され、複数エントリとプライオリティで説明されている一般的な DNS タイムアウトには適用されません。

デフォルト値は 20 秒です。秒数に「0」を入力することで、すべてのリスナーに対してグローバルに逆引き DNS ルックアップのタイムアウトを無効にできます。値を 0 秒に設定した場合、逆引き DNS ルックアップは試行されず、代わりに標準のタイムアウト応答がすぐに返されます。

DNS アラート

アプライアンスの再起動時に、まれにメッセージ「DNSキャッシュのブートストラップに失敗しました（Failed to bootstrap the DNS cache）」が付与されたアラートが生成される場合があります。このメッセージは、システムによるプライマリ DNS サーバへの問い合わせができなかったことを示しています。この事象は、ネットワーク接続が確立される前に DNS サブシステムがオンラインになった場合、ブートのタイミングで発生します。このメッセージが別のタイミングで表示された場合、ネットワーク問題が発生しているか、または DNS 設定で有効なサーバが指定されていないことを示しています。

DNS キャッシュのクリア

GUI の [キャッシュを消去（Clear Cache）] ボタン、または dnsflush コマンドを使用して、DNS キャッシュのすべての情報をクリアします（dnsflush コマンドの詳細については、資料に指定された場所で入手可能な『IronPort AsyncOS CLI Reference Guide』を参照してください）。ローカル DNS システムが変更された際に、この機能を使用できます。コマンドはすぐに実行され、キャッシュの再投入中に一時的に性能が低下する可能性があります。

グラフィカルユーザインターフェイスを使用した DNS 設定値の設定

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [ネットワーク（Network）] > [DNS] ページを選択し、[設定の編集（Edit Settings）] ボタンをクリックします。
ステップ 3	インターネットのルート DNS サーバまたはユーザ独自の内部 DNS サーバのどちらを使用するかを選択して、権威 DNS サーバを指定します。
ステップ 4	ユーザ独自の DNS サーバを使用するか、権威 DNS サーバを指定する場合は、サーバ ID を入力し [行の追加（Add Row）] をクリックします。各サーバでこの作業を繰り返します。ユーザ独自の DNS サーバを入力する場合は、プライオリティも同時に指定します。詳細については、DNS サーバの指定を参照してください。
ステップ 5	DNS トラフィック用のインターフェイスを選択します。
ステップ 6	逆引き DNS ルックアップをキャンセルするまでに待機する秒数を入力します。
ステップ 7	必要に応じて、[キャッシュのクリア（Clear Chashe）] をクリックして、DNS キャッシュをクリアします。
ステップ 8	変更を送信し、保存します。

TCP/IP トラフィックルートの設定

一部のネットワーク環境では、標準のデフォルトゲートウェイ以外のトラフィックルートを使用する必要があります。スタティックルートの管理は、GUI の [管理アプライアンス（Management Appliance）] > [ネットワーク（Network）] > [ルーティング（Routing）] ページ、または CLI の routeconfig コマンドを使用して行います。

GUI でのスタティックルートの管理
デフォルトゲートウェイの変更（GUI）

GUI でのスタティックルートの管理

[管理アプライアンス（Management Appliance）] > [ネットワーク（Network）] > [ルーティング（Routing）] ページを使用して、スタティックルートの作成、編集、または削除を行えます。このページからデフォルトゲートウェイの変更もできます。

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [ネットワーク（Network）] > [ルーティング（Routing）] ページで、ルートリストの [ルートを追加（Add Route）] をクリックします。ルートの名前を入力します。
ステップ 3	宛先 IP アドレスを入力します。
ステップ 4	ゲートウェイの IP アドレスを入力します。
ステップ 5	変更を送信し、保存します。

デフォルトゲートウェイの変更（GUI）

手順

ステップ 1	[ルーティング（Routing）] ページのルートリストで [デフォルトルート（Default Route）] をクリックします。
ステップ 2	ゲートウェイの IP アドレスを変更します。
ステップ 3	変更を送信し、保存します。

デフォルトゲートウェイの設定

GUI の [管理アプライアンス（Management Appliance）] > [ネットワーク（Network）] > [ルーティング（Routing）] ページ（デフォルトゲートウェイの変更（GUI）を参照してください）、または CLI の setgateway コマンドを使用して、デフォルトゲートウェイを設定できます。

セキュア通信プロトコルの指定

TLSv1.0 が有効になっている下位の AsyncOS バージョン（例：13.6.x）から AsyncOS 13.8.x 以降にアップグレードすると、デフォルトで TLSv1.0 が無効になり TLSv1.1 および TLSv1.2 が有効になります。アップグレード後にアプライアンスで TLSv1.0 方式を有効にする必要があります。
AsyncOS 13.8.x 以降では、SSLv2 方式および SSLv3 方式はサポートされません。
SSLv3 および TLSv1.0 ではなく、TLSv1.1 方式および TLSv1.2 方式を使用することを推奨します。 SSLv3 は安全ではないため、使用しないでください。

次のそれぞれに対して、使用する通信プロトコルを選択できます。

アップデートサーバ
アプライアンスの Web ベース管理インターフェイス
LDAPS

（注）

デフォルトでは、新規に設置したアプライアンスのアップデートサーバ、Web インターフェイス、および LDAP サーバで TLSv1.1 および TLSv1.2 方式を使用します。スパム隔離へのエンドユーザのアクセスについては、SSLv3 は無効になっています。

現在選択されているプロトコルと利用可能なオプションを表示する場合、またはプロトコルを変更する場合は、コマンドラインインターフェイスで sslconfig コマンドを使用します。
Cisco アップデートサーバでは SSLv3 をサポートしていません。
ローカル（リモート）アップデートサーバを使用する場合、他のすべてのサービスおよび Web ブラウザに選択するプロトコルは、使用しているサーバとツールでサポートされて有効にされていなければなりません。
使用するサーバごとに、利用可能なオプションのいずれかを有効にする必要があります。
sslconfig コマンドを使用して変更した場合は、変更をコミットする必要があります。
sslconfig コマンドを使用して行った変更をコミットした後、該当するサービスが短時間中断されます。

システム時刻の設定

（注）

セキュリティ管理アプライアンスは、レポートのデータを収集する際に、セキュリティ管理アプライアンス上で時間設定を行った際に設定した情報からタイムスタンプを適用します。詳細については、セキュリティ管理アプライアンスによるレポート用データの収集方法を参照してください。

コマンドラインインターフェイスを使用して時間に関連する設定を行うには、ntpconfig、settime、および settz コマンドを使用します。


目的	操作手順
システム時刻を設定する	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [時刻設定（Time Settings）] を選択します。ネットワークタイムプロトコル（NTP）サーバの使用も参照してください。
時間帯を設定する	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [タイムゾーン（Time Zone）] を選択します。関連項目： GMT オフセットの選択時間帯ファイルの更新

ネットワークタイムプロトコル（NTP）サーバの使用

ネットワークタイムプロトコル（NTP）サーバを使用して、セキュリティ管理アプライアンスのシステムクロックをネットワークまたはインターネット上の他のコンピュータと同期できます。

デフォルトの NTP サーバは time.sco.cisco.com です。

デフォルトの NTP サーバを含め、外部 NTP サーバを使用する場合は、ファイアウォールで必要なポートを開きます。ファイアウォール情報を参照してください

関連項目

システム時刻の設定
時間帯ファイルの手動更新

（推奨）ネットワークタイムプロトコル（NTP）を使用したアプライアンスのシステム時刻の設定

これは、特にアプライアンスが他のデバイスに統合されている場合に推奨される、時刻の設定方法です。統合されたデバイスはすべて、同じの NTP サーバを使用する必要があります。

NTP サーバを使用して時間を設定するには、CLI の ntpconfig コマンドを使用します。

手順

ステップ 1	[システム管理（System Administration）] > [時刻設定（Time Settings）] ページに移動します。
ステップ 2	[設定の編集（Edit Settings）] をクリックします。
ステップ 3	[時刻の設定方法（Time Keeping Method）] セクションで、[NTP（Network Time Protocol）を使用（Use Network Time Protocol）] を選択します。
ステップ 4	NTP サーバのアドレスを入力し、[行を追加（Add Row）] をクリックします。複数の NTP サーバを追加できます。
ステップ 5	NTP サーバをリストから削除するには、サーバのゴミ箱アイコンをクリックします。
ステップ 6	NTP クエリー用のインターフェイスを選択します。これは、NTP クエリーが発信される IP アドレスになります。
ステップ 7	[NTP認証の使用（Use NTP Authentication）] チェックボックスをオンにすると、タイムスタンプが信頼できるソースによって生成され、NTP が悪意のあるアクティビティや傍受から保護されます。
ステップ 8	変更を送信し、保存します。

GMT オフセットの選択

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [タイムゾーン（Time Zone）] を選択します。
ステップ 3	[設定の編集（Edit Settings）] をクリックします。
ステップ 4	地域のリストから [GMTオフセット（GMT Offset）] を選択します。[タイムゾーンの設定（Time Zone Setting）] ページが更新され、[タイムゾーン（Time Zone）] フィールドに GMT オフセットが含まれるようになります。
ステップ 5	[タイムゾーン（Time Zone）] フィールドでオフセットを選択します。オフセットとは、グリニッジ子午線のローカル時間であるグリニッジ標準時（GMT）に、加算または減算する時間のことです。時間の前にマイナス記号（「-」）が付いている場合、グリニッジ子午線の西側にあたります。プラス記号（「+」）の場合、グリニッジ子午線の東側にあたります。
ステップ 6	変更を送信し、保存します。

時間帯ファイルの更新

いずれかの国の時間帯ルールに変更があった場合は必ず、アプライアンスの時間帯ファイルを更新する必要があります。

時間帯ファイルの自動更新
時間帯ファイルの手動更新

時間帯ファイルの自動更新

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アップデート設定（Update Settings）] を選択します。
ステップ 3	[時間帯ルールの自動アップデートを有効にする（Enable automatic updates for Time zone rules）] チェックボックスをオンにします。
ステップ 4	間隔を入力します。重要な情報については、ページ上の [?] ヘルプをクリックします。
ステップ 5	変更を送信し、保存します。

時間帯ファイルの手動更新

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [時刻設定（Time Settings）] を選択します。
ステップ 3	[タイムゾーンファイルの更新（Time Zone File Updates）] セクションを確認します。
ステップ 4	使用可能な時間帯ファイルの更新がある場合、[今すぐ更新（Update Now）] をクリックします。

[設定ファイル（Configuration File）] ページ


次のセクションの詳細について	参照先
現在の設定の保存	設定の保存とインポート
保存されている設定のロード	設定の保存とインポート
エンドユーザセーフリスト/ブロックリストデータベース（スパム隔離）	セーフリスト/ブロックリストのバックアップと復元
設定のリセット	工場出荷時の初期状態への設定のリセット

設定の保存とインポート

（注）

ここで説明されている設定ファイルは、セキュリティ管理アプライアンスの設定に使用されます。

セキュリティ管理アプライアンス内の大部分の設定は、1 つの設定ファイルで管理できます。このファイルは Extensible Markup Language（XML）フォーマットで保持されます。

このファイルは次の複数の方法で使用できます。

プライマリセキュリティ管理アプライアンスで予期しない障害が発生した場合に、2 番目のセキュリティ管理アプライアンスをすばやく設定し、サービスを復元できます。
設定ファイルを別のシステムに保存し、重要な設定データをバックアップおよび保持できます。アプライアンスの設定を間違えた場合、保存した最新のコンフィギュレーションファイルに「ロールバック」できます。
既存のコンフィギュレーションファイルをダウンロードし、アプライアンスの全体の設定を素早く確認できます（新しいブラウザの多くに、XML ファイルを直接レンダリングする機能が含まれています）。現在の設定にマイナーエラー（誤入力など）があった場合、この機能がトラブルシューティングに役立つことがあります。
既存のコンフィギュレーションファイルをダウンロードし、変更を行い、そのファイルを同じアプライアンスにアップロードできます。この場合は、実質的に設定の変更を行うために CLI と GUI の両方が「バイパス」されます。
FTP を介してコンフィギュレーションファイル全体をアップロードしたり、コンフィギュレーションファイルの一部を CLI に直接貼り付けたりすることができます。
このファイルは XML 形式になっているため、設定ファイルのすべての XML エンティティが記述された、関連する文書型定義（DTD）も提供されます。XML コンフィギュレーションファイルをアップロードする前にこの DTD をダウンロードして XML コンフィギュレーションファイルを検証できます（XML 検証ツールはインターネットで簡単に入手できます）。
コンフィギュレーションファイルを使用して、別のアプライアンス（クローン作成された仮想アプライアンスなど）を迅速に設定できます。

コンフィギュレーションファイルの管理

セーフリスト/ブロックリストのバックアップと復元
工場出荷時の初期状態への設定のリセット
以前コミットしたコンフィギュレーションへのロールバック

現在の設定ファイルの保存およびエクスポート

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [設定ファイル（Configuration File）] ページの [現在の構成（Current Configuration）] セクションを使用すると、現在のコンフィギュレーションファイルをローカルマシンに保存したり、アプライアンスで保存したり（FTP/SCP ルートの設定ディレクトリに保存されます）、指定されたアドレスに電子メールで送信したりできます。

パスフレーズのマスク

必要に応じてチェックボックスをオンにして、ユーザのパスフレーズをマスクします。パスフレーズをマスクすると、元の暗号化されたパスフレーズが、エクスポートまたは保存されたファイルで「*****」に置き換えられます。

（注）

パスフレーズがマスクされたコンフィギュレーションファイルをロードして AsyncOS に戻すことはできません。

パスフレーズの暗号化

[設定ファイル内のパスフレーズを隠す（Encrypt passphrases in the Configuration Files）] チェックボックスをクリックして、ユーザのパスフレーズをマスクできます。次に、暗号化される、設定ファイル内の重要なセキュリティパラメータを示します。

証明書の秘密キー
RADIUS パスワード
LDAP バインドのパスワード
ローカルユーザのパスワードのハッシュ
SNMP パスワード
発信 SMTP 認証パスワード
PostX 暗号化キー
PostX 暗号化プロキシパスワード
FTP プッシュログサブスクリプションのパスワード
IPMI LAN パスワード
アップデータサーバの URL

これは、saveconfig コマンドを使用してコマンドラインインターフェイスでも構成できます。

コンフィギュレーションファイルのロード

コンフィギュレーションファイルは、設定をロードするアプライアンスと同じバージョンの AsyncOS を実行しているアプライアンスから保存される必要があります。

パスフレーズがマスクされたコンフィギュレーションファイルはロードできません。

どの方法の場合でも、設定の上部に次のタグを含める必要があります。


<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE config SYSTEM "config.dtd">
<config>
 ... your configuration information in valid XML
</config>

</config> 閉じタグは設定情報の後に指定する必要があります。XML 構文の値は、Cisco コンテンツセキュリティアプライアンスの configuration ディレクトリにある DTD を使用して解析および検証されます。DTD ファイルの名前は config.dtd です。loadconfig コマンドを使用したときにコマンドラインで検証エラーが報告された場合、変更はロードされません。設定ファイルをアップロードする前に、アプライアンスの外部で DTD をダウンロードし、設定ファイルを検証できます。

いずれのインポート方法でも、コンフィギュレーションファイル全体（最上位のタグである <config></config> 間で定義された情報）またはコンフィギュレーションファイルの complete および unique サブセクション（上記の宣言タグを含み、<config></config> タグ内に存在する場合）をインポートできます。

「complete（完全）」とは、DTD で定義されたサブセクションの開始タグおよび終了タグ全体が含まれることを意味します。たとえば、次のコードをアップロードまたは貼り付けると、検証エラーが発生します。


<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE config SYSTEM "config.dtd">
<config>
  <autosupport_enabled>0</autosu
</config>

しかし、次のコードをアップロードまたは貼り付けても、検証エラーは発生しません。


<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE config SYSTEM "config.dtd">
<config>
  <autosupport_enabled>0</autosupport_enabled>
</config>

「unique（一意）」とは、アップロードまたは貼り付けられるコンフィギュレーションファイルのサブセクションが、設定として多義的でないことを意味します。たとえば、システムは 1 つのホスト名しか持てないため、次のコード（宣言および <config></config> タグを含む）をアップロードすることは可能です。


<hostname>mail4.example.com</hostname>

しかし、システムにはそれぞれ異なる受信者アクセステーブルが定義された複数のリスナーが定義されている可能性があるため、次のコードのみをアップロードすることは多義的であると見なされます。


     <rat>
        <rat_entry>
          <rat_address>ALL</rat_address>
          <access>RELAY</access>
        </rat_entry>
      </rat>

多義的であるため、「完全」な構文であっても許可されません。

注意	コンフィギュレーションファイルまたはコンフィギュレーションファイルのサブセクションをアップロードまたは解析する場合は、待機中の可能性がある、保存されていない変更が破棄されることがあります。

空のタグと省略されたタグ

設定ファイルのセクションをアップロードまたは解析する場合は注意が必要です。タグを含めないと、コンフィギュレーションファイルのアップロード時に設定の値が変更されません。ただし、空白タグを含めると、設定の問題が解消されます。

たとえば、次のコードをアップロードすると、システムからすべてのリスナーが削除されます。


<listeners></listeners>

注意	コンフィギュレーションファイルのサブセクションをアップロードしたり、貼り付けたりした場合、GUI または CLI から切断され、大量の設定データが破壊されることがあります。管理ポートで別のプロトコル、シリアルインターフェイス、またはデフォルト設定を使用してアプライアンスに再接続できない場合は、このコマンドでサービスをディセーブルにしないでください。また、DTD で定義された設定構文がよくわからない場合は、このコマンドを使用しないでください。新しいコンフィギュレーションファイルをロードする前に、必ず設定データをバックアップしてください。

ログサブスクリプションのパスフレーズのロードについての注意事項

パスフレーズが必要なログサブスクリプションを含むコンフィギュレーションファイルをロードしようとしても（たとえば、FTP プッシュを使用）、loadconfig コマンドは不明なパスフレーズについて警告しません。FTP プッシュが失敗し、logconfig コマンドを使用して正しいパスフレーズを設定するまで警告が生成されます。

文字セットエンコーディングについての注意事項

XML 設定ファイルの「encoding」属性は、ファイルをオフラインで操作するために使用している文字セットに関係なく、「ISO-8859-1」である必要があります。showconfig コマンド、saveconfig コマンド、または mailconfig コマンドを発行するたびに、エンコーディング属性がファイルで指定されます。


<?xml version="1.0" encoding="ISO-8859-1"?>

現在の設定のリセット

現在の設定をリセットすると、Cisco コンテンツセキュリティアプライアンスは設定を元の出荷時デフォルト値に戻します。リセットする前に設定を保存してください。

工場出荷時の初期状態への設定のリセットを参照してください。

以前コミットしたコンフィギュレーションへのロールバック

以前コミットされた設定にロールバックできます。

コマンドラインインターフェイスで rollbackconfig コマンドを使用して、直近の 10 件のコミットから 1 件を選択します。

ロールバックをコミットすることを促されたときに No を入力した場合、このロールバックは、次回変更をコミットする際にコミットされます。

管理者アクセス権を持つユーザだけが rollbackconfig コマンドを使用できます。

（注）

以前の設定が復元されてもログメッセージまたはアラートは生成されません。

（注）

既存のデータを保持する十分なサイズにディスク領域を再割り当てするなどの一部のコミットでは、データ漏洩が発生する可能性があります。

設定ファイル用の CLI コマンド

次のコマンドを使用すると、コンフィギュレーションファイルを操作できます。

showconfig
mailconfig
saveconfig
loadconfig
rollbackconfig
resetconfig（工場出荷時の初期状態への設定のリセットを参照）
publishconfig
backupconfig （セキュリティ管理アプライアンスのデータのバックアップを参照）
trailblazerconfig

showconfig、mailconfig、および saveconfig コマンド

設定コマンドの showconfig、mailconfig、および saveconfig の場合は、電子メールで送信されるファイルまたは表示されるファイルにパスフレーズを含めるかどうか選択することを求められます。パスフレーズを含めないことを選択すると、パスフレーズフィールドが空白のままになります。セキュリティ違反を心配する場合は、パスフレーズを含めないことを選択できます。ただし、loadconfig コマンドを使用してロードされた場合、パスフレーズがないコンフィギュレーションファイルは失敗します。ログサブスクリプションのパスフレーズのロードについての注意事項を参照してください。

（注）

コンフィギュレーションファイルを保存、表示、または電子メールで送信するときに、パスフレーズを含めることを選択すると（「Do you want to include passphrases?」に「yes」と回答した場合）、パスフレーズは暗号化されます。ただし、秘密キーと証明書は暗号化されない PEM 形式で含められます。

showconfig コマンドは、現在の設定を画面に出力します。


mail3.example.com> showconfig
Do you want to include passphrases? Please be aware that a configuration without 
passphrases will fail when reloaded with loadconfig. 
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE config SYSTEM "config.dtd">
<!--
  Product: model number 
Messaging Gateway Appliance(tm)
  Model Number: model number
  Version: version of AsyncOS installed 
  Serial Number: serial number
  Current Time: current time and date
[The remainder of the configuration file is printed to the screen.]

mailconfig コマンドを使用して、現在の設定をユーザに電子メールで送信します。メッセージには config.xml という名前の XML 形式のコンフィギュレーションファイルが添付されます。


mail3.example.com> mailconfig
Please enter the email address to which you want to send
the configuration file.
[]> administrator@example.com
Do you want to include passphrases? Please be aware that a configuration 
without passphrases will fail when reloaded with loadconfig.  [N]> y
The configuration file has been sent to administrator@example.com.

セキュリティ管理アプライアンスで saveconfig コマンドを使用すると、一意のファイル名を使用して、すべての Configuration Master ファイル（ESA）が configuration ディレクトリに保存されます。


mail3.example.com> saveconfig
Do you want to include passphrases? Please be aware that a configuration without passphrases 
will fail when reloaded with loadconfig.  [N]> y
The file C650-00065B8FCEAB-31PM121-20030630T130433.xml has been saved in the configuration directory.
mail3.example.com>

loadconfig コマンド

アプライアンスに新しい設定情報をロードするには、loadconfig コマンドを使用します。情報は次の 2 つのいずれかの方法でロードできます。

configuration ディレクトリに情報を格納し、アップロードする。
CLI に設定情報を直接貼り付ける。

詳細については、コンフィギュレーションファイルのロードを参照してください。

rollbackconfig コマンド

以前コミットしたコンフィギュレーションへのロールバックを参照してください。

publishconfig コマンド

変更を Configuration Master に公開するには、publishconfig コマンドを使用します。構文は次のようになります。

publishconfig config_master [job_name ] [host_list | host_ip

ここで、config_master は、サポートされている Configuration Master です。これらの Configuration Master のリストは、このリリースのリリースノートの「Compatibility Matrix」（http://www.cisco.com/en/US/products/ps10155/prod_release_notes_list.html）にあります。このキーワードは必須です。キーワード job_name は省略可能で、指定しなかった場合は生成されます。

キーワード host_list は、公開される WSA アプライアンスのホスト名または IP アドレスのリストで、指定しなかった場合は、Configuration Master に割り当てられているすべてのホストに公開されます。オプションの host_ip には、カンマで区切って複数のホスト IP アドレスを指定できます。

publishconfig コマンドが成功したことを確認するには、smad_logs ファイルを調べます。[ウェブ（Web）] > [ユーティリティ（Utilities）] > [Webアプライアンスステータス（Web Appliance Status）] を選択することで、セキュリティ管理アプライアンスの GUI から公開履歴が成功だったことを確認することもできます。このページから、公開履歴の詳細を調べる Web アプライアンスを選択します。また、[ウェブ（Web）] > [ユーティリティ（Utilities）] > [公開（Publish）] > [公開履歴（Publish History）] により、[公開履歴（Publish History）] ページに進むことができます。

trailblazerconfig コマンド

trailblazerconfig コマンドを使用すると、新しい Web インターフェイスで HTTP と HTTPS のポートを介して受信接続と送信接続をルーティングできます。

インラインヘルプを参照するには、CLI で help trailblazerconfig コマンドを使用します。

構文は次のようになります。

trailblazerconfig enable <https_port> <http_port>

trailblazerconfig disable

trailblazerconfig status

ここで、

'enable' は、デフォルトのポート（HTTPS: 4431）で trailblazer 設定を実行します。

'disable' は、trailblazer 設定を無効にします。

'status' は trailblazer 設定のステータスをチェックします。

重要

デフォルトで、trailblazerconfig のCLI コマンドはアプライアンスで有効になっています。HTTPS ポートがファイアウォールで開かれていることを確認します。また、アプライアンスにアクセスするために指定したホスト名を DNS サーバが解決できることを確認します。

trailblazerconfig コマンドを使用すると、次の問題を回避できます。

特定のブラウザで API ポートの複数の証明書を追加する必要がある。
スパム隔離、セーフリスト、またはブロックリストのページを更新するときに、レガシー Web インターフェイスにリダイレクトされる。
高度なマルウェア防御レポートページのメトリックバーにデータが含まれない。

（注）

アプライアンスで trailblazerconfig コマンドを有効にすると、リクエスト URL にはホスト名に付加された trailblazerconfig HTTPS ポート番号が含まれます。

updatepvocert コマンド

2048 ビットの CA 証明書を更新し、FIPS モードの管理対象 Cisco E メールセキュリティアプライアンスで一元化されたポリシー、ウイルス、および隔離を有効にするには、CLI で updatepvocert コマンドを使用する必要があります。

管理対象の E メールセキュリティアプライアンスで、FIPS を有効にすると、一元化されたポリシー、ウイルス、アウトブレイク隔離は無効になります。AsyncOS 13.0 以降、 FIPS モードでは、2048 ビットの証明書を使用して、ポリシー、ウイルス、およびアウトブレイク検疫の一元管理設定が有効になります。以前の AsyncOS バージョンには、サイズが 1024 ビットの証明書があります。

example.mail.com> updatepvocert
This command will recreate the PVO certificate and key of strength 2048 bits. 
Also, the new certificate will be signed by a CA of strength 2048 bits. 
Hermes process will restart post certificate update. No commit will be required. 
Do you want to proceed with the certificate update? [Y]>

Certificate updated successfully. Hermes restart needed for the changes to be effective.
Do you want to restart hermes? []> Y

Enter the number of seconds to wait before abruptly closing connections. [30]>

Waiting for listeners to exit... Receiving suspended for euq_listener, cpq_listener. Waiting for outgoing deliveries to finish... Mail delivery suspended. Receiving resumed for euq_listener, cpq_listener. Mail delivery resumed.
Hermes will be up in a moment. Run the status command for hermes.

example.mail.com >

CLI を使用した設定変更のアップロード

手順

ステップ 1

CLI の外部で、アプライアンスの configuration ディレクトリにアクセスできることを確認します。詳細については、IP インターフェイスおよびアプライアンスへのアクセスを参照してください。

ステップ 2

設定ファイル全体または設定ファイルのサブセクションをアプライアンスの configuration ディレクトリに格納するか、saveconfig コマンドで作成した既存の設定を編集します。

ステップ 3

CLI 内で、loadconfig コマンドを使用して、ステップ 2 で示されたディレクトリに格納したコンフィギュレーションファイルをロードするか、テキスト（XML 構文）を CLI に直接貼り付けます。

この例では、changed.config.xml という名前のファイルがアップロードされ、変更が保存されます。

例:


mail3.example.com> 
l
oadconfig
1. Paste via CLI
2. Load from file
[1]> 2
Enter the name of the file to import:
[]> changed.config.xml
Values have been loaded.
Be sure to run "commit" to make these settings active.
mail3.example.com> commit

この例では、新しいコンフィギュレーションファイルをコマンドラインに直接貼り付けます（空白行で Ctrl+D を押すと貼り付けコマンドが終了します）。次に、システムセットアップウィザードを使用して、デフォルトのホスト名、IP アドレス、およびゲートウェイ情報を変更します（詳細については、システムセットアップウィザードの実行を参照してください）。最後に、変更を確定します。

例:


mail3.example.com> loadconfig
1. Paste via CLI
2. Load from file
[1]> 1
Paste the configuration file now. Press CTRL-D on a blank line when done.
[The configuration file is pasted until the end tag 
</config>
. Control-D is entered on a separate line.] 
Values have been loaded.
Be sure to run "commit" to make these settings active.
mail3.example.com> commit
Please enter some comments describing your changes:
[]> pasted new configuration file and changed default settings

ディスク領域の管理

組織で使用する各機能に、使用可能な最大量まで、使用可能なディスク領域を割り当てることができます。

（仮想アプライアンスのみ）使用可能なディスク領域の拡大
ディスク領域、クォータ、および使用状況の表示
最大ディスク領域と割り当てについて
ディスク領域に関するアラートの受信の確認
その他のクォータのディスク領域の管理
ディスク領域量の再割り当て

（仮想アプライアンスのみ）使用可能なディスク領域の拡大

ESXi 5.5 および VMFS 5 を実行する仮想アプライアンスの場合、2 TB を超えるディスク領域を割り当てることができます。ESXi 5.1 を実行するアプライアンスの場合は 2 TB に制限されます。

（注）

ESXi でのディスク領域の削減はサポートされません。詳細については、VMware のマニュアルを参照してください。

仮想アプライアンスインスタンスにディスク領域を追加するには、次の手順を実行します。

始める前に

必要な追加ディスク領域を慎重に検討します。

手順

ステップ 1	Cisco コンテンツセキュリティ管理アプライアンスインスタンスを停止します。
ステップ 2	VMware が提供するユーティリティまたは管理ツールを使用してディスク領域を増やします。 VMware のマニュアルで仮想ディスク設定の変更に関する情報を参照してください。 ESXi 5.5 の情報は、次のサイトから入手できます。 http://pubs.vmware.com/vsphere-55/index.jsp?topic=%2Fcom.vmware.vsphere.hostclient.doc%2FGUID-81629CAB-72FA-42F0-9F86-F8FD0DE39E57.html
ステップ 3	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 4	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ディスク管理（Disk Management）] に移動して、変更が反映されていることを確認します。

ディスク領域、クォータ、および使用状況の表示


目的	操作手順
アプライアンスで利用可能な合計ディスク領域を表示する	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ディスク管理（Disk Management）] を選択します。 [合計割当て容量（Total Space Allocated）] に示されている値（例：184G of 204G）を確認します。
セキュリティ管理アプライアンスのモニタリングサービスごとに、割り当てられているディスク領域および現在使用されているディスク領域の量を表示する	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ディスク管理（Disk Management）] を選択します。
現在使用されている隔離のクォータの割合を表示する	[管理アプライアンス（Management Appliance）] > [集約管理サービス（Centralized Services）] > [システムステータス（System Status）] を選択して、[集約管理サービス（Centralized Services）] セクションで確認します。

最大ディスク領域と割り当てについて

（注）

セキュリティ管理アプライアンスの中央集中型レポーティングディスク領域は、電子メールと Web の両方のデータに使用されます。中央集中型電子メールレポーティングと中央集中型 Web レポーティングのどちらか一方をイネーブルにすると、すべての領域がイネーブルにした機能専用になります。両方をイネーブルにした場合、電子メールおよび Web レポーティングデータは領域を共有し、領域はファーストカムベースで割り当てられます。

中央集中型 Web レポーティングをイネーブルにしているが、レポーティングにディスク領域が割り当てられていない場合、ディスク領域が割り当てられるまで、中央集中型 Web レポーティングが機能しません。
その他のクォータを現在の使用量より少なくする前に、不要なデータを削除する必要があります。その他のクォータのディスク領域の管理を参照してください。
ポリシー、ウイルス、およびアウトブレイク隔離のディスク領域を管理する方法については、ポリシー、ウイルス、およびアウトブレイク隔離へのディスク領域の割り当ておよび隔離内のメッセージの保持期間を参照してください。
他のすべてのデータタイプでは、既存の割り当て量を現在の使用量より少なくした場合、新しい割り当て量内にすべてのデータが収まるまで、最も古いデータから削除されます。
新しいクォータが現在使用されているディスク領域よりも大きい場合、データは失われません。
割り当て量をゼロに設定すると、データは保持されなくなります。

ディスク領域に関するアラートの受信の確認

その他のディスク使用量がクォータの 75% に達すると、警告レベルのシステムアラートを受信します。これらのアラートを受信した場合は、対処する必要があります。

確実にアラートが届くようにするには、アラートの管理を参照してください。

その他のクォータのディスク領域の管理

その他のクォータにはシステムデータとユーザデータが含まれます。システムデータは削除できません。管理できるユーザデータには次のファイルタイプがあります。


管理対象	手順
ログファイル	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ログサブスクリプション（Log Subscriptions）] に移動して、以下を実行します。 [サイズ（Size）] 列見出しをクリックして、最も多くのディスク領域を消費しているログを確認します。生成されるすべてのログサブスクリプションが必要であることを確認します。必要以上に詳細なログレベルになっていないかを確認します。可能な場合は、ロールオーバーファイルサイズを小さくします。
パケットキャプチャ	[ヘルプとサポート（Help and Support）]（画面上部の右側付近）> [パケットキャプチャ（Packet Capture）] に移動します。不要なキャプチャを削除します。
コンフィギュレーションファイル（これらのファイルが多くのディスク領域を消費する可能性は低いと考えられます）。	アプライアンスの /data/pub ディレクトリに FTP でアクセスします。アプライアンスへの FTP アクセスを設定するには、次を参照してください。 FTP 経由でのアプライアンスへのアクセス
クオータサイズ	[システム管理（System Administration）] > [ディスク管理（Disk Management）] に移動します。

ディスク領域量の再割り当て

ディスク領域が使用していない機能に割り当てられている場合、または、アプライアンスで特定の機能については頻繁にディスク領域が不足するものの他の機能については過剰な領域がある場合は、ディスク領域量の割り当てを変更できます。

すべての機能にさらに領域が必要な場合は、ハードウェアのアップグレード、または仮想アプライアンスへの追加ディスク領域の割り当てを検討してください。「（仮想アプライアンスのみ）使用可能なディスク領域の拡大」を参照してください。

始める前に

ディスク割り当てを変更すると、既存のデータまたは機能のアベイラビリティに影響する場合があります。最大ディスク領域と割り当てについてで情報を参照してください。
隔離からメッセージを手動で解放または削除することで、隔離用の領域を一時的に作成できます。

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [ディスク管理（Disk Management）] を選択します。
ステップ 3	[ディスククォータの編集（Edit Disk Quotas）] をクリックします。
ステップ 4	[ディスククォータの編集（Edit Disk Quotas）] ページで、各サービスに割り当てるディスク領域の量（ギガバイト単位）を入力します。
ステップ 5	[送信（Submit）] をクリックします。
ステップ 6	確認ダイアログボックスで、[新しいクオータの設定（Set New Quotas）] をクリックします。
ステップ 7	[確定する（Commit）] をクリックして変更を保存します。

E メールセキュリティアプライアンスのシステムの状態グラフの参照のしきい値の調整

（注）

これらのしきい値に関連するアラートを受信するには、各管理対象 E メールセキュリティアプライアンスのしきい値を設定します。詳細については、お使いの E メールセキュリティアプライアンスリリースのユーザガイドまたはオンラインヘルプで、システムの状態のしきい値の設定に関する情報を参照してください。個々のアプライアンスからオンデマンドのシステムの状態チェックを実行できます。アプライアンスの状態のチェックについては、お使いの E メールセキュリティアプライアンスリリースのユーザガイドまたはオンラインヘルプを参照してください。

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [システムの状態（System Health）] をクリックします。

ステップ 3

[設定の編集（Edit Settings）] をクリックします。

ステップ 4

オプションを設定します。


オプション	説明
全体のCPU使用率（Overall CPU Usage）	デフォルト：85%
メモリページスワップ（Memory Page Swapping）	デフォルト：5000 ページ
ワークキュー内の最大メッセージ（Maximum Messages in Work Queue）	デフォルト：500 メッセージ

ステップ 5

変更を送信し、保存します。

SAML 2.0 による SSO

SSO および SAML 2.0 について
SAML 2.0 SSO のワークフロー
SAML 2.0 に関する注意事項と制約事項
スパム隔離用の SSO の設定方法
Cisco セキュリティ管理アプライアンスでの SSO の設定方法

SSO および SAML 2.0 について

Cisco コンテンツセキュリティ管理アプライアンスは SAML 2.0 SSO をサポートするようになりました。これによりエンドユーザはその組織内で他の SAML 2.0 SSO 対応サービスへのアクセスに使用している同じクレデンシャルを使用してスパム隔離にアクセスできます。たとえば、SAML ID プロバイダー（IdP）として Ping 認証を有効にしており、SAML 2.0 SSO 対応の Rally、Salesforce、および Dropbox のアカウントを持っています。サービスプロバイダー（SP）として SAML 2.0 SSO をサポートするように Cisco コンテンツセキュリティ管理アプライアンスを構成すると、エンドユーザは一度サインインするだけでスパム隔離を含むすべてのサービスにアクセスできるようになります。

SAML 2.0 SSO のワークフロー

SAML 2.0 SSO ワークフローを、次の図に表示します。

ワークフロー

エンドユーザは、Web ブラウザを使用して、サービスプロバイダー（アプライアンス）からリソースを要求します。たとえば、エンドユーザは、スパム通知のスパム隔離リンクをクリックします。
サービスプロバイダは、SAML 認証要求で Web ブラウザに要求をリダイレクトします。
Web ブラウザは、ID プロバイダーに SAML 認証要求をリレーします。
ID プロバイダーは、エンドユーザを認証します。ID プロバイダーはエンドユーザにログインページを表示し、エンドユーザがログインします。
ID プロバイダーは、SAML アサーションを生成して、Web ブラウザに送り返します。
Web ブラウザは、サービスプロバイダーに SAML アサーションをリレーします。
サービスプロバイダーは、要求されたリソースへのアクセスを付与します。

SAML 2.0 に関する注意事項と制約事項

ログアウト
一般
管理者のスパム隔離へのアクセス

ログアウト

エンドユーザが、スパム隔離からログアウトしても、他の SAML 2.0 SSO が有効なアプリケーションからはログアウトされません。

一般

Cisco コンテンツセキュリティ管理アプライアンス上では、サービスプロバイダーと ID プロバイダーのインスタンスを 1 つのみ構成できます。

管理者のスパム隔離へのアクセス

スパム隔離用の SSO を有効にしている場合、管理者はスパム隔離の URL（http://<appliance_hostname>:<port>）を使用してスパム隔離へアクセスできなくなることを覚えておいてください。管理者は Web インターフェイスを使用してスパム隔離にアクセスできます（[メール（Email）] > [メッセージの隔離（Message Quarantine）] > [スパム隔離（Spam Quarantine）]）。

Cisco セキュリティ管理アプライアンスでの SSO の設定方法

手順

	コマンドまたはアクション	目的
ステップ 1	前提条件を確認します。	前提条件
ステップ 2	サービスプロバイダーとして、アプライアンスを設定します。	サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定
ステップ 3	[IDP で] アプライアンスを操作するように ID プロバイダーを設定します。	Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定
ステップ 4	アプライアンスで ID プロバイダーを設定します。	Cisco コンテンツセキュリティ管理アプライアンスでの ID プロバイダーの設定の構成
ステップ 5	アプライアンスで SAML を使用して外部認証を有効にします。	SAML 認証の有効化

前提条件

サポートされるアイデンティティプロバイダー
セキュアな通信の証明書

サポートされるアイデンティティプロバイダー

組織で使用する ID プロバイダーが Cisco E メールセキュリティアプライアンスでサポートされているかどうかを確認します。次に、サポートされる ID プロバイダーを示します。

Microsoft Active Directory Federation Services（AD FS）2.0 以降
Duo Access Gateway
Azure AD

セキュアな通信の証明書

アプライアンスと ID プロバイダーの間の通信をセキュリティで保護するために必要な次の証明書を取得します。

アプライアンスで SAML 認証要求に署名する、または ID プロバイダーで SAML アサーションを暗号化する場合、自己署名証明書または信頼できる CA の証明書、および関連付けられている秘密キーを取得します。
ID プロバイダーで SAML アサーションに署名する場合は、ID プロバイダーの証明書を取得してアプライアンスにインポートします。アプライアンスはこの証明書を使用して、署名済み SAML アサーションを確認します。

証明書の変換

通常、アプライアンスから取得した証明書は .pfx 形式であり、アプライアンスをサービスプロバイダーとして設定するときには .pem 形式に変換する必要があります。

証明書を .pfx 形式から .pem 形式に変換するには、次の操作を行います。

OpenSSL ツールをダウンロードしてインストールし、アプライアンスから取得した証明書ファイル（.pfx）をインポートします。
次のコマンドを実行して、証明書を .pem 形式でエクスポートします。openssl pkcs12 -in <certname>.pfx -nokeys -out cert.pem
次のコマンドを実行して、秘密キーを .pem 形式でエクスポートします。openssl pkcs12 -in certname.pfx -nocerts -out key.pem -nodes
次のコマンドを実行して、秘密キーからパスフレーズを削除します。openssl rsa -in key.pem -out server.key

サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定

始める前に

「前提条件」を確認してください。

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [SAML] を選択します。

ステップ 3

[サービスプロバイダー（Service Provider）] セクションで [サービスプロバイダーの追加（Add Service Provider）] をクリックします。

ステップ 4

次の詳細を入力します。

フィールド

説明

プロファイル名（Profile Name）

サービスプロバイダープロファイルの名前を入力します。

コンフィギュレーション設定

エンティティ ID

サービスプロバイダー（この場合、ご使用のアプライアンス）のグローバルな固有の名前を入力します。通常、サービスプロバイダーエンティティ ID の形式は URI です。

名前 ID の形式

ID プロバイダーが SAML アサーションでユーザを指定するのに使用する形式。

このフィールドは設定できません。ID プロバイダーを設定する際にこの値が必要になります。

アサーションコンシューマ URL

認証が正常に完了した後で、ID プロバイダーが SAML アサーションを送信する URL。この場合、スパム隔離の URL です。

このフィールドは設定できません。ID プロバイダーを設定する際にこの値が必要になります。

SP 証明書

（注）

秘密キーは .pem 形式である必要があります。

認証要求の署名

アプライアンスで SAML 認証要求に署名する場合、

証明書と関連付けられている秘密キーをアップロードします。
秘密キーのパスフレーズを入力します。
[署名要求（Sign Request）] を選択します。

暗号化されたアサーションの復号

SAML アサーションを暗号化するように ID プロバイダーを設定する場合、

証明書と関連付けられている秘密キーをアップロードします。
秘密キーのパスフレーズを入力します。

署名アサーション

SAML アサーションに署名するように ID プロバイダーを設定する場合、[署名アサーション（Sign Assertions）] を選択します。

このオプションを選択すると、アプライアンスに ID プロバイダーの証明書を追加する必要があります。Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定を参照してください。

組織詳細

組織の詳細を入力します。

ID プロバイダーは、エラーログでこの情報を使用します。

技術的な問い合わせ先

技術的な問い合わせ先の電子メールアドレスを入力します。

ID プロバイダーは、エラーログでこの情報を使用します。

ステップ 5

[送信（Submit）] をクリックします。

ステップ 6

[SSOの設定（SSO Settings）] ページに表示されるサービスプロバイダーのメタデータ（エンティティ ID とアサーション顧客 URL）と、[サービスプロバイダー設定（Service Provider Settings）] ページに表示される名前 ID の形式を書き留めます。ID プロバイダーでサービスプロバイダーを設定するときに、これらの詳細が必要になります。

必要に応じて、メタデータをファイルとしてエクスポートできます。[メタデータのエクスポート（Export Metadata）] をクリックして、メタデータファイルを保存します。一部の ID プロバイダーでは、メタデータファイルからサービスプロバイダーの詳細をロードできます。

次のタスク

アプライアンスと通信するように ID プロバイダーを設定します。Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定を参照してください。

Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定

始める前に

次の内容について確認してください。

アプライアンスがサービスプロバイダーとして構成されている。サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定を参照してください。
サービスプロバイダーのメタデータの詳細がコピーされているか、またはメタデータファイルがエクスポートされている。サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定を参照してください。

手順

ステップ 1

ID プロバイダーで、次のいずれかを実行します。

サービスプロバイダー（アプライアンス）の詳細を手動で構成します。
ID プロバイダーがメタデータファイルからサービスプロバイダーの詳細をロードすることを許可している場合は、メタデータファイルをインポートします。

アプライアンスが SAML 認証要求に署名するように構成済みの場合、または SAML アサーションを暗号化する予定の場合は、必ず関連する証明書を ID プロバイダーに追加します。

ID プロバイダー固有の手順については、以下を参照してください。

Cisco セキュリティ管理アプライアンスと通信するための AD FS の設定。
Cisco セキュリティ管理アプライアンスと通信するための Azure AD の設定。
Cisco セキュリティ管理アプライアンスと通信するための Duo Access Gateway の設定。

ステップ 2

ID プロバイダーのメタデータを書き留めるかまたはメタデータをファイルとしてエクスポートします。

次のタスク

アプライアンス上で ID プロバイダーの設定を構成します。Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定を参照してください。

Cisco セキュリティ管理アプライアンスと通信するための AD FS の設定

以下は、お使いのアプライアンスと通信するように AD FS（2.0 以降）を設定するために実行する必要があるタスクの概要です。完全かつ詳細な手順については、Microsoft のマニュアルを参照してください。

リレーパーティとしてサービスプロバイダー（アプライアンス）のアサーションコンシューマ URL を追加します。
[リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [ID（Identifiers）] > [リレーパーティ ID（Relaying Party Identifier）] で、サービスプロバイダー（アプライアンス）のエンティティ ID を入力します。この値が、アプライアンスのサービスプロバイダー設定のエンティティ ID 値と同じかどうかを確認します。
署名入りの SAML 認証要求を送信するようにサービスプロバイダー（アプライアンス）を構成済みの場合は、サービスプロバイダーの証明書（認証要求を署名するために使用される）を [リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [署名（Signature）] の下で .cer 形式でアップロードします。
暗号化された SAML アサーションを送信するように AD FS を構成する場合は、サービスプロバイダー（アプライアンス）の証明書を [リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [暗号化（Encryption）] の下で .cer 形式でアップロードします。
[リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [詳細（Advanced）] の下で、セキュアハッシュアルゴリズムを SHA-1 に設定します。

応答に SPNameQualifier を含めるためのカスタムルールを追加します。次のファイルは、サンプルのカスタムルールです。

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"] => 
issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer=
c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, 
Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] =
"urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress", 
Properties ["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = 
"urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified");

要求ルールを編集し、電子メールアドレスの LDAP 属性を発信要求タイプ（電子メールアドレス）として送信する発行変換規則を追加します。また、発行変換規則を追加して、グループ属性の LDAP 属性を送信要求タイプ（未指定のグループ）として送信するようにします。

Cisco セキュリティ管理アプライアンスと通信するための Azure AD の設定

以下は、お使いのアプライアンスと通信するように Azure AD を設定するために実行する必要があるタスクの概要です。完全かつ詳細な手順については、Microsoft Azure AD のマニュアルを参照してください。

SAML アサーションを受信および処理するサービスプロバイダー識別子として、サービスプロバイダーの（アプライアンスの）アサーションコンシューマー URL を追加します。
[エンタープライズアプリケーション（Enterprise Application）] > [新しいアプリケーション（New Application）] > [ギャラリー以外のアプリケーション（Non-gallery application）] > [シングルサインオン（Single Sign-On）] > [基本SAML設定（Basic SAML Configuration）] にある Azure ポータルにサービスプロバイダーの（アプライアンスの）エンティティ ID を入力します。この値が、アプライアンスのサービスプロバイダー設定のエンティティ ID 値と同じかどうかを確認します。
署名入りの SAML 認証要求を送信するようにサービスプロバイダー（アプライアンス）を構成済みの場合は、[SAML署名証明書（SAML Signing Certificate section）] セクション（[エンタープライズアプリケーション（Enterprise Application）] > [新しいアプリケーション（New Application）] > [ギャラリー以外のアプリケーション（Non-gallery application）] > [シングルサインオン（Single Sign-On）] > [SAML署名証明書（SAML Signing Certificate）]）で、サービスプロバイダーの証明書（認証要求を署名するために使用される）をアップロードします。
[ユーザ属性とクレーム（User Attributes and Claims）] セクション（[エンタープライズアプリケーション（Enterprise Application）] > [新しいアプリケーション（New Application）] > [ギャラリー以外のアプリケーション（Non-gallery application）] > [シングルサインオン（Single Sign-On）] > [ユーザ属性とクレーム（User Attributes and Claims）]）でグループクレームを設定し、グループ属性を追加します。
ユーザが SAML アサーションまたは応答に基づいてアプリケーションにログインできるようにするには、[企業アプリケーション（Enterprise Application）] > [新規アプリケーション（New Application）] > [非ギャラリーアプリケーション（Non-gallery application）] > [ユーザとグループ（Users & Groups）] の下にユーザとグループを追加します。

Cisco セキュリティ管理アプライアンスと通信するための Duo Access Gateway の設定

以下は、お使いのアプライアンスと通信するように Duo Access Gateway を設定するために実行する必要があるタスクの概要です。完全かつ詳細な手順については、Duo Security のマニュアルを参照してください。

SAML アサーションを受信および処理するサービスプロバイダーエンドポイントとして、サービスプロバイダーの（アプライアンスの）アサーションコンシューマー URL を追加します。
[Duo管理パネル（Duo Admin Panel）] > [アプリケーション（Applications）] > [アプリケーションの保護（Protect an Application）] > [SAMLサービスプロバイダー（SAML Service Provider）] で、サービスプロバイダー（アプライアンス）のエンティティ ID を入力します。この値が、アプライアンスのサービスプロバイダー設定のエンティティ ID 値と同じかどうかを確認します。
署名入りの SAML 認証要求を送信するようにサービスプロバイダー（アプライアンス）を構成済みの場合は、Duo Access Gateway に認証ソースを設定する際に、サービスプロバイダーの証明書（認証要求を署名するために使用される）を .cer 形式でアップロードします。
暗号化された SAML アサーションを送信するように Duo を構成する計画の場合は、Duo Access Gateway に認証ソースを設定する際に、サービスプロバイダーの（アプライアンスの）証明書を .cer 形式でアップロードします。
[Duo管理パネル（Duo Admin Panel）] > [アプリケーション（Applications）] > [アプリケーションの保護（Protect an Application）] > [SAMLサービスプロバイダー（SAML Service Provider）] で、NameID 形式として [未指定（unspecified）] を選択します。
[Duo管理パネル（Duo Admin Panel）] > [アプリケーション（Applications）] > [アプリケーションの保護（Protect an Application）] > [SAMLサービスプロバイダー（SAML Service Provider）] で、セキュアハッシュアルゴリズムを SHA-256 に設定します。
[Duo管理パネル（Duo Admin Panel）] で [SAML-サービスプロバイダー設定（SAML - Service Provider Setting）] を設定ファイルとして保存し、Duo Access Gateway でその設定ファイルを SAML アプリケーションとしてインポートします。

Cisco コンテンツセキュリティ管理アプライアンスでの ID プロバイダーの設定の構成

始める前に

次の内容について確認してください。

アプライアンスとの通信のための ID プロバイダーが構成されている。Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定を参照してください。
ID プロバイダーのメタデータの詳細またはエクスポートされたメタデータファイルがコピーされている。

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [SAML] を選択します。

ステップ 3

[ID プロバイダー（Identity Provider）] セクションで、[ID プロバイダーの追加（Add Identity Provider）] をクリックします。

ステップ 4

次の詳細を入力します。


フィールド	説明
プロファイル名（Profile Name）	ID プロバイダープロファイルの名前を入力します。
構成設定（ID プロバイダー設定の手動構成）
エンティティ ID	ID プロバイダーのグローバルに一意の名前を入力します。通常、ID プロバイダーエンティティ ID の形式は URI です。
SSO URL	サービスプロバイダーが SAML 認証要求を送信する必要がある URL を指定します。
証明書	ID プロバイダーが SAML アサーションに署名する場合、ID プロバイダーの署名証明書をアップロードする必要があります。
構成設定（ID プロバイダーメタデータのインポート）
IDP メタデータのインポート	[メタデータのインポート（Import Metadata）] をクリックして、メタデータファイルを選択します。

ステップ 5

変更を送信し、保存します。

次のタスク

SAML 認証の有効化

SAML を使用したシングルサインオンを有効化し、ユーザを認証してユーザのグループをシスコのルールに割り当てることができます。

始める前に

サービスプロバイダーおよび ID プロバイダーの設定を含む SAML プロファイルが設定済みである必要があります。「Cisco セキュリティ管理アプライアンスでの SSO の設定方法」を参照してください。

手順

ステップ 1	[管理アプライアンス（Management Appliances）] > [システム管理（System Administration）] > [ユーザ（Users）] に移動します。
ステップ 2	[Web 認証（Web Authentication）] セクションまでスクロールします。
ステップ 3	[有効（Enable）] をクリックします。
ステップ 4	[外部認証を有効にする（Enable External Authentication）] チェックボックスをオンにします。
ステップ 5	ドロップダウンリストから、認証タイプとして [SAML] を選択します。
ステップ 6	（任意）[外部認証属性名マップ（External Authentication Attribute Name Map）] フィールドに、グループマッピングから検索する属性名を入力します。属性名は、ID プロバイダーに対して設定する属性によって異なります。アプライアンスは、[グループマッピング（Group Mapping）] フィールドで、属性名の一致するエントリを検索します。これは省略可能であり、設定しない場合、アプライアンスは [グループマッピング（Group Mapping）] フィールドに存在するすべての属性の一致するエントリを検索します。
ステップ 7	[グループマッピング（Group Mapping）] フィールドに、事前定義済みまたはカスタムのユーザロールに基づいて SAML ディレクトリで定義されているグループ名属性を入力します。[行の追加（Add Row）] をクリックして複数のロールマッピングを追加できます。グループマッピングには、グループ属性を含める必要があります。「未指定のグループ（Unspecified Groups）」属性を追加して、SAML アサーションまたは応答を認証できます。ユーザロールタイプの詳細については、[ユーザ（Users）] ページを参照してください。
ステップ 8	変更を送信し、保存します。

次のタスク

SAML 外部認証を有効にした後は、アプライアンスのログインページの [シングルサインオンを使用（Use Single Sign On）] リンクを使用し、ユーザ名を入力してアプライアンスにログインできます。

スパム隔離用の SSO の設定方法


	操作内容	詳細
ステップ 1	前提条件を確認します。	前提条件
ステップ 2	サービスプロバイダーとして、アプライアンスを設定します。	サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定
ステップ 3	[IDP で] アプライアンスを操作するように ID プロバイダーを設定します。	Cisco セキュリティ管理アプライアンスと通信するための ID プロバイダーの設定
ステップ 4	アプライアンスで ID プロバイダーを設定します。	Cisco コンテンツセキュリティ管理アプライアンスでの ID プロバイダーの設定の構成
ステップ 5	アプライアンスでスパム隔離用の SSO を有効にします。	スパム隔離のための SSO の有効化
ステップ 6	エンドユーザに新しい認証メカニズムについて通知します。

前提条件

組織で使用される ID プロバイダーが Cisco コンテンツセキュリティ管理アプライアンスでサポートされているかどうかを確認します。次に、サポートされる ID プロバイダーを示します。
- Microsoft Active Directory Federation Services（AD FS）2.0
- Ping Identity PingFederate 7.2
- Cisco Web Security Appliance 9.1
アプライアンスと ID プロバイダーの間の通信をセキュリティで保護するために必要な次の証明書を取得します。
- アプライアンスで SAML 認証要求に署名する、または ID プロバイダーで SAML アサーションを暗号化する場合、自己署名証明書または信頼されている CA と関連付けられている秘密キーから証明書を取得します。
- ID プロバイダーで SAML アサーションに署名する場合は、ID プロバイダーの証明書を取得します。アプライアンスはこの証明書を使用して、署名済み SAML アサーションを確認します。

サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定

始める前に

「前提条件」を確認してください。

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [SAML] を選択します。

ステップ 3

[サービスプロバイダー（Service Provider）] セクションで [サービスプロバイダーの追加（Add Service Provider）] をクリックします。

ステップ 4

次の詳細を入力します。

フィールド

説明

プロファイル名（Profile Name）

サービスプロバイダープロファイルの名前を入力します。

コンフィギュレーション設定

エンティティ ID

サービスプロバイダー（この場合、ご使用のアプライアンス）のグローバルな固有の名前を入力します。通常、サービスプロバイダーエンティティ ID の形式は URI です。

名前 ID の形式

ID プロバイダーが SAML アサーションでユーザを指定するのに使用する形式。

このフィールドは設定できません。ID プロバイダーを設定する際にこの値が必要になります。

アサーションコンシューマ URL

認証が正常に完了した後で、ID プロバイダーが SAML アサーションを送信する URL。この場合、スパム隔離の URL です。

このフィールドは設定できません。ID プロバイダーを設定する際にこの値が必要になります。

SP 証明書

（注）

秘密キーは .pem 形式である必要があります。

認証要求の署名

アプライアンスで SAML 認証要求に署名する場合、

証明書と関連付けられている秘密キーをアップロードします。
秘密キーのパスフレーズを入力します。
[署名要求（Sign Request）] を選択します。

暗号化されたアサーションの復号

SAML アサーションを暗号化するように ID プロバイダーを設定する場合、

証明書と関連付けられている秘密キーをアップロードします。
秘密キーのパスフレーズを入力します。

署名アサーション

SAML アサーションに署名するように ID プロバイダーを設定する場合、[署名アサーション（Sign Assertions）] を選択します。

このオプションを選択すると、アプライアンスに ID プロバイダーの証明書を追加する必要があります。Cisco コンテンツセキュリティ管理アプライアンスと通信するための ID プロバイダーの構成を参照してください。

組織詳細

組織の詳細を入力します。

ID プロバイダーは、エラーログでこの情報を使用します。

技術的な問い合わせ先

技術的な問い合わせ先の電子メールアドレスを入力します。

ID プロバイダーは、エラーログでこの情報を使用します。

ステップ 5

[送信（Submit）] をクリックします。

ステップ 6

[SSOの設定（SSO Settings）] ページに表示されるサービスプロバイダーのメタデータ（エンティティ ID とアサーション顧客 URL）と、[サービスプロバイダー設定（Service Provider Settings）] ページに表示される名前 ID の形式を書き留めます。ID プロバイダーでサービスプロバイダーを設定するときに、これらの詳細が必要になります。

必要に応じて、メタデータをファイルとしてエクスポートできます。[メタデータのエクスポート（Export Metadata）] をクリックして、メタデータファイルを保存します。一部の ID プロバイダーでは、メタデータファイルからサービスプロバイダーの詳細をロードできます。

次のタスク

アプライアンスと通信するように ID プロバイダーを設定します。Cisco コンテンツセキュリティ管理アプライアンスと通信するための ID プロバイダーの構成を参照してください。

Cisco コンテンツセキュリティ管理アプライアンスと通信するための ID プロバイダーの構成

始める前に

次の内容について確認してください。

アプライアンスがサービスプロバイダーとして構成されている。サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定を参照してください。
サービスプロバイダーのメタデータの詳細がコピーされているか、またはメタデータファイルがエクスポートされている。サービスプロバイダーとしての Cisco コンテンツセキュリティ管理アプライアンスの設定を参照してください。

手順

ステップ 1

ID プロバイダーで、次のいずれかを実行します。

サービスプロバイダー（アプライアンス）の詳細を手動で構成します。
ID プロバイダーがメタデータファイルからサービスプロバイダーの詳細をロードすることを許可している場合は、メタデータファイルをインポートします。

アプライアンスが SAML 認証要求に署名するように構成済みの場合、または SAML アサーションを暗号化する予定の場合は、必ず関連する証明書を ID プロバイダーに追加します。

ID プロバイダー固有の手順については、以下を参照してください。

Cisco コンテンツセキュリティ管理アプライアンスとの通信のための AD FS 2.0 の構成
PingFederate 7.2 を Cisco コンテンツセキュリティ管理アプライアンスと通信させるための設定
『User Guide for AsyncOS for Cisco Web Security Appliances http://www.cisco.com/c/en/us/support/security/web-security-appliance/products-user-guide-list.html』の「Configuring the Appliance as an Identity Provider」セクション

ステップ 2

ID プロバイダーのメタデータを書き留めるかまたはメタデータをファイルとしてエクスポートします。

次のタスク

アプライアンス上で ID プロバイダーの設定を構成します。Cisco コンテンツセキュリティ管理アプライアンスでの ID プロバイダーの設定の構成を参照してください。

Cisco コンテンツセキュリティ管理アプライアンスとの通信のための AD FS 2.0 の構成

次に示すのは、アプライアンスと通信する AD FS 2.0 を構成するために実行する必要がある高レベルのタスクです。完全かつ詳細な手順については、Microsoft のマニュアルを参照してください。

リレーパーティとしてサービスプロバイダー（アプライアンス）のアサーションコンシューマ URL を追加します。
[リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [ID（Identifiers）] > [リレーパーティ ID（Relaying Party Identifier）] で、サービスプロバイダー（アプライアンス）のエンティティ ID を入力します。この値が、アプライアンスのサービスプロバイダー設定のエンティティ ID 値と同じかどうかを確認します。
署名入りの SAML 認証要求を送信するようにサービスプロバイダー（アプライアンス）を構成済みの場合は、サービスプロバイダーの証明書（認証要求を署名するために使用される）を [リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [署名（Signature）] の下で .cer 形式でアップロードします。
暗号化された SAML アサーションを送信するように AD FS を構成する場合は、サービスプロバイダー（アプライアンス）の証明書を [リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [暗号化（Encryption）] の下で .cer 形式でアップロードします。
[リレーパーティトラスト（Relaying Party Trusts）] > [プロパティ（Properties）] > [詳細（Advanced）] の下で、セキュアハッシュアルゴリズムを SHA-1 に設定します。
要求ルールを編集し、電子メールアドレスの LDAP 属性を発信要求タイプ（電子メールアドレス）として送信する発行変換規則を追加します。
応答に SPNameQualifier を含めるためのカスタムルールを追加します。次のファイルは、サンプルのカスタムルールです。

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"] => 
issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer =
 c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType,  
Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = 
"urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress", Properties
["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = 
"https://<appliance-hostname>:83");

PingFederate 7.2 を Cisco コンテンツセキュリティ管理アプライアンスと通信させるための設定

以下は、お使いのアプライアンスと通信するように PingFederate 7.2 を設定するために実行する必要があるタスクの概要です。包括的かつ詳細な手順については、Ping Identity のマニュアルを参照してください。

お使いのサービスプロバイダ（アプライアンス）のアサーションコンシューマ URL を、プロトコル設定におけるエンドポイントとして追加します。
[SP Connection] > [General Info] > [Partner's Entity ID (Connection ID)] にサービスプロバイダ（アプライアンス）のエンティティ ID を入力します。この値が、アプライアンスのサービスプロバイダー設定のエンティティ ID 値と同じかどうかを確認します。
署名付き SAML 認証要求を送信するようにサービスプロバイダ（アプライアンス）を設定している場合、[Signature Verification] セクション（[SP Connection] > [Credentials] > [Signature Verification] > [Signature Verification Certificate]）で、サービスプロバイダの証明書をアップロードします。
暗号化された SAML アサーションを送信するように PingFederate を設定する場合は、[Signature Verification] セクション（[SP Connection] > [Credentials] > [Signature Verification] > [Select XML Encryption Certificate]）で、サービスプロバイダ（アプライアンス）の証明書をアップロードします。
属性コントラクトを編集し、LDAP 属性の電子メールアドレスを送信するようにします（[Attribute Sources & User Lookup] > [Attribute Contract Fulfillment]）。

Cisco コンテンツセキュリティ管理アプライアンスでの ID プロバイダーの設定の構成

始める前に

次の内容について確認してください。

アプライアンスとの通信のための ID プロバイダーが構成されている。Cisco コンテンツセキュリティ管理アプライアンスと通信するための ID プロバイダーの構成を参照してください。
ID プロバイダーのメタデータの詳細またはエクスポートされたメタデータファイルがコピーされている。

手順

ステップ 1

（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。

ステップ 2

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [SAML] を選択します。

ステップ 3

[ID プロバイダー（Identity Provider）] セクションで、[ID プロバイダーの追加（Add Identity Provider）] をクリックします。

ステップ 4

次の詳細を入力します。


フィールド	説明
プロファイル名（Profile Name）	ID プロバイダープロファイルの名前を入力します。
構成設定（ID プロバイダー設定の手動構成）
エンティティ ID	ID プロバイダーのグローバルに一意の名前を入力します。通常、ID プロバイダーエンティティ ID の形式は URI です。
SSO URL	サービスプロバイダーが SAML 認証要求を送信する必要がある URL を指定します。
証明書	ID プロバイダーが SAML アサーションに署名する場合、ID プロバイダーの署名証明書をアップロードする必要があります。
構成設定（ID プロバイダーメタデータのインポート）
IDP メタデータのインポート	[メタデータのインポート（Import Metadata）] をクリックして、メタデータファイルを選択します。

ステップ 5

変更を送信し、保存します。

次のタスク

スパム隔離のための SSO の有効化

始める前に

次の内容について確認してください。

[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [SAML] ページですべての設定が構成済みである。
スパム隔離が有効になっている。「スパム隔離」を参照してください。

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [集約管理サービス（Centralized Services）] > [スパム隔離（Spam Quarantine）] に移動します。
ステップ 3	[設定の編集（Edit Settings）] をクリックして、[エンドユーザ隔離アクセス（End-User Quarantine Access）] セクションまでスクロールします。
ステップ 4	エンドユーザ隔離アクセスが有効になっていることを確認します。
ステップ 5	エンドユーザ認証方式を SAML2.0 に設定します。
ステップ 6	（任意）メッセージが解放される前に、メッセージ本文を表示するかどうかを指定します。
ステップ 7	変更を送信し、保存します。

次のタスク

エンドユーザに新しい認証メカニズムについて通知します。

AsyncOS API の Cisco コンテンツセキュリティ管理での OpenID Connect 1.0 の設定

概要
ワークフロー
サンプルアクセストークン
前提条件
アプライアンスでの OpenID Connect の設定
CLI を使用したアプライアンスでの OpenID Connect の設定

概要

Cisco コンテンツセキュリティ管理アプライアンスは、OpenID Connect 1.0 認証で ID プロバイダー（IDP）を使用するアプリケーションまたはクライアントとの統合をサポートし、アプライアンスで使用可能な AsyncOS API とシームレスに接続します。現在、お使いのアプライアンスは、Microsoft AD FS のみを使用して OpenID Connectで認定されています。

ワークフロー

次のワークフローでは、AD FS を ID プロバイダー、外部アプリケーションをクライアント、アプライアンスをリソースプロバイダーとして使用しています。

手順：

次のワークフローでは、AD FS を ID プロバイダー、外部アプリケーションをクライアント、アプライアンスをリソースプロバイダーとして使用しています。アプライアンスでの OpenID Connect の設定を参照してください。
（1 回限りのアクティビティ）アプライアンスは、OpenID Connect の設定メタデータと必要なキーを取得して、ステップ 1 で行った設定に基づいてアクセストークンを検証します。
AD FS で外部アプリケーションを認証した後、アクセストークンを取得します。アクセストークンを認証および受信する方法の詳細については、認証プロバイダーまたは ID プロバイダーのマニュアルを参照してください。
API 要求をアクセストークンとともにアプライアンスに送信します。
アプライアンスは、ステップ 2 で取得したキーセットを使用して API 要求のアクセストークンを検証します。
アプライアンスは、アクセストークン内の必要な要求（発行者、対象者）を検証します。
アプライアンスは、ロール要求値を使用して、AsyncOS API にアクセスするためのユーザロール権限を許可し、割り当てます。
アプライアンスは、AsyncOS API 要求に適切な応答を提供します。

サンプルアクセストークン

次に、サンプルアクセストークンの形式を示します。

ヘッダー

alg:RSA256

typ:JWT

[….]

ペイロード

claim:aud: CiscoEmailAPICaller

claim:iss:http://adfsserver/adfs/services/trust

claim:iat: 1594712147

claim:exp: 1594712807

claim:CustomOrgIdentifier: MyCustomOrgId

claim:LastName: Fernandes

claim:FirstName: Erik

claim:Email: http://erik.fernandes@customorg.com

claim:Role: LogCollector

claim:Role: ReadOnly

[…..]

アプライアンスは、次のアルゴリズムによって署名されたアクセストークンの検証のみをサポートします。

RSA256
RSA384
RSA512

前提条件

OpenID Connect でアプライアンスを設定する前に、次の前提条件を満たしていることを確認します。

組織で使用される認証プロバイダーはアプライアンスでサポートされている。
アプリケーションは認証プロバイダーで認証し、アクセストークンを取得できる。
アプライアンスは、HTTP 経由で認証プロバイダーに接続して、OpenID Connect メタデータ設定を取得できる。

アプライアンスでの OpenID Connect の設定

始める前に

次の情報について確認してください。

（認証プロバイダーの設定に基づいて）認証プロバイダーによって発行された有効なアクセストークン。
アクセストークンには、アプライアンスが必要な許可チェックを実行できるようにするためのロール情報が含まれている必要があります。

手順

ステップ 1

[システム管理（System Administration）] > [OpenID Connect]をクリックします。

ステップ 2

[設定の編集（Edit Settings）] をクリックします。

ステップ 3

以下の表に記載される必須パラメータを入力して、OpenID Connect を設定します。

OpenID Connect パラメータ

説明

[IDプロバイダーのメタデータのURL（Identity Provider Metadata URL）]

OpenID Connect の設定メタデータを取得するために使用する ID プロバイダーの URL を入力します。メタデータは、アクセストークンの検証に使用されます。

次に、ID プロバイダーの URL の例を示します。https://example.com/adfs/.well-known/openid-configuration

発行元（Issuer）

アクセストークンの発行者の値を入力します。

（注）

この値は、アクセストークンの検証時にアクセストークンの発行者要求値と一致する必要があります。

次に、発行者の例を示します。http://example.com/adfs/services/trust

対象読者

アクセストークンの対象者要求値と一致する必要がある対象者の値を入力します。

（注）

複数の対象者値を追加する場合は、[行を追加（Add Row）] をクリックします。

[要求名（Claim Name）]

ユーザロール情報を含むアクセストークンの要求の名前を入力します。要求名は、アクセストークンからロール情報を取得するために使用されます。

ID プロバイダーとアプライアンスロールのマッピング

ID プロバイダーサーバで定義されたユーザグループロールを入力し、アプライアンスで設定された対応するローカルユーザロールを選択して、両方のロールをマッピングします。

（注）

複数のロールマッピングレコードを追加する場合は、[行を追加（Add Row）] をクリックします。

ステップ 4

変更を送信し、保存します。

次のタスク

AsyncOS API コールの Authorization Bearer ヘッダーにアクセストークンを含め、API 要求を送信します。

次に、API の Authorization Bearer ヘッダーにアクセストークンを含めた AsynOS API を呼び出す例を示します。

curl --location --request
GET 'https://sma.com/sma/api/v2.0/config/logs/subscriptions?retrievalMethod=manual'
--header 'Authorization: Bearer <add access_token here>’

CLI を使用したアプライアンスでの OpenID Connect の設定

次のタスクを実行するには、oidcconfig コマンドを使用します。

AsyncOS API の電子メールゲートウェイで OpenID Connect を設定します。
電子メールゲートウェイで OpenID Connect 構成設定を削除します。

ビューのカスタマイズ

お気に入りページの使用
プリファレンスの設定
全般設定

お気に入りページの使用

（ローカル認証された管理ユーザ限定）よく利用するページのクイックアクセスリストを作成できます。


目的	操作手順
お気に入りリストにページを追加する	追加するページに移動し、ウィンドウの右上隅付近にある [お気に入り（My Favorites）] メニューから [このページをお気に入りに追加（Add This Page To My Favorites）] を選択します。お気に入りへの変更では確定操作は必要ありません。
お気に入りの順序を変更する	[お気に入り（My Favorites）] > [お気に入りをすべて表示（View All My Favorites）] を選択し、適切な順序にお気に入りをドラッグします。
お気に入りページ、名前、または説明を編集する	[お気に入り（My Favorites）] > [すべてのお気に入りを表示（View All My Favorites）] を選択し、編集するお気に入りの名前をクリックします。
お気に入りを削除する	[お気に入り（My Favorites）] > [お気に入りをすべて表示（View All My Favorites）] を選択し、お気に入りを削除します。
お気に入りページに移動する	ウィンドウの右上隅付近にある [お気に入り（My Favorites）] からページを選択します。
-メインインターフェイスに戻る	お気に入りを選択するか、ページ下部の [前のページに戻る（Return to previous page）] をクリックします。

プリファレンスの設定

セキュリティ管理アプライアンスで設定された管理ユーザ

ローカル認証されたユーザは次のプリファレンスを選択できます。このプリファレンスは、ユーザがセキュリティ管理アプライアンスにログインするたびに適用されます。

言語（GUI に適用）
ランディングページ（ログイン後に表示されるページ）
レポートページのデフォルトの時間範囲（使用可能なオプションは、電子メールおよび Web レポーティングページのサブセットです）
レポートページの表に表示する行数

実際のオプションは、ユーザロールによって異なります。

これらのプリファレンスを設定するには、[オプション（Options）] > [環境設定（Preferences）] を設定します。（[オプション（Options）] メニューは、GUI ウィンドウの上部右側にあります）。完了したら変更を送信します。確定する必要はありません。

ヒント

[環境設定（Preferences）] ページにアクセスする前に表示していたページに戻るには、ページ下部の [前のページに戻る（Return to previous page）] リンクをクリックします。

外部認証されたユーザ

外部認証されたユーザは、[オプション（Options）] メニューで表示言語を直接選択できます。

全般設定

Web インターフェイスのレンダリングの改善
Web 使用状況分析のモニタリング

Web 使用状況分析のモニタリング

[使用状況分析（Usage Analytics）] は、分析統計情報のためにサイトアクティビティデータへのインサイトを得るために使用します。[使用状況分析（Usage Analytics）] が有効になっている場合、アプライアンスは新しい Web インターフェイスでアプライアンスの機能の使用状況データを収集します。使用状況の統計情報は、分析して、アプライアンスのユーザエクスペリエンスを向上させるためのインサイトを得るために使用します。

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [全般設定（General Settings）] を選択します。
ステップ 3	[設定の編集（Edit Settings）] をクリックします。
ステップ 4	[使用状況分析（Usage Analytics）] フィールドで [有効（Enable）] チェックボックスをオンにします。
ステップ 5	変更を送信し、保存します。

Web インターフェイスのレンダリングの改善

優れた Web インターフェイスのレンダリングのために、Internet Explorer 互換モードのオーバーライドを有効にすることを推奨します。

（注）

この機能を有効にすることが組織のポリシーに違反する場合は、この機能を無効にすることができます。

手順

ステップ 1	（新しい Web インターフェイスのみ）セキュリティ管理アプライアンスでをクリックして、レガシー Web インターフェイスをロードします。
ステップ 2	[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [全般設定（General Settings）] を選択します。
ステップ 3	[設定の編集（Edit Settings）] をクリックします。
ステップ 4	[IE互換モードの上書き（Override IE Compatibility Mode）] フィールドで [有効（Enable）] チェックボックスをオンにします。
ステップ 5	変更を送信し、保存します。

アプライアンスで有効なサービスの再起動とステータスの表示

CLI で diagnostic > services サブコマンドを使用して、以下を実行できます。

アプライアンスで有効になっているサービスを再起動します。アプライアンスを再起動する必要はありません。
アプライアンスで有効になっているサービスのステータスを表示します。

例：レポートサービスのステータスの表示

次の例では、services コマンドを使用して、アプライアンスで有効になっているレポートサービスのステータスを表示します。


mail.example.com> diagnostic

Choose the operation you want to perform:
- RAID - Disk Verify Utility.
- DISK_USAGE - Check Disk Usage.
- NETWORK - Network Utilities.
- REPORTING - Reporting Utilities.
- TRACKING - Tracking Utilities.
- RELOAD - Reset configuration to the initial manufacturer values.
- SERVICES - Service Utilities.
[]> services

Choose one of the following services:
- REPORTING - Reporting associated services
- TRACKING - Tracking associated services
- EUQWEB - End User Quarantine GUI
- WEBUI - Web GUI
[]> reporting

Choose the operation you want to perform:
- RESTART - Restart the service
- STATUS - View status of the service
[]> status

Reporting has been up for 28d 20h 45m 35s.

例：メッセージトラッキングサービスの再起動

次の例では、services コマンドを使用して、アプライアンスで有効になっているメッセージトラッキングサービスを再起動します。


mail.example.com> diagnostic

Choose the operation you want to perform:
- RAID - Disk Verify Utility.
- DISK_USAGE - Check Disk Usage.
- NETWORK - Network Utilities.
- REPORTING - Reporting Utilities.
- TRACKING - Tracking Utilities.
- RELOAD - Reset configuration to the initial manufacturer values.
- SERVICES - Service Utilities.
[]> services

Choose one of the following services:
- REPORTING - Reporting associated services
- TRACKING - Tracking associated services
- EUQWEB - End User Quarantine GUI
- WEBUI - Web GUI
[]> tracking

Choose the operation you want to perform:
- RESTART - Restart the service
- STATUS - View status of the service
[]> restart

認証局のリストの管理

アプライアンスは、保存された信頼できる認証局を使用してリモートドメインからの証明書を検証し、ドメインのクレデンシャルを確立します。次の信頼できる認証局を使用するようにセキュリティ管理アプライアンスを設定できます。

システムリスト：アプライアンスには信頼できる認証局のリストがあらかじめインストールされています。これは、システムリストと呼ばれます。
カスタムリスト：信頼できる認証局のリストをカスタマイズし、アプライアンスにカスタムリストをインポートできます。

（注）

システムリストまたはカスタマイズされたリストのいずれか、または両方のリストを使って、リモートドメインからの証明書を検証できます。

GUI の [ネットワーク（Network）] > [証明書（Certificates）] > [認証局の編集（Edit Certificate Authorities）] ページまたは CLI の certconfig > certauthority コマンドを使用してリストを管理します。

[ネットワーク（Network）] > [証明書（Certificates）] > [認証局の編集（Edit Certificate Authorities）] ページで、次のタスクを実行できます。

システムリストを使用するかどうかを選択します。システムリストはイネーブルまたはディセーブルにできます。詳細については、システム認証局リストの無効化を参照してください。
カスタム認証局リストを使用するかどうかを選択します。カスタムリストを使用して、テキストファイルからリストをインポートするようにアプライアンスをイネーブルにできます。詳細については、カスタム認証局リストのインポートを参照してください。
認証局のリストをエクスポートします。ローカルドライブの任意の場所に、認証局のシステムリストまたはカスタムリストをエクスポートできます。詳細については、認証局リストのエクスポートを参照してください。

[ネットワーク（Network）] > [証明書（Certificates）] > [信頼できるルート証明書の管理（Manage Trusted Root Certificates）] ページで、次のタスクを実行できます。

証明書のカスタムリストとシステムリストを表示します。詳細については、信頼できるルート証明書の表示を参照してください。
既存の証明書を削除します。インポートしたカスタム証明書を削除できます。詳細については、カスタム証明書の削除を参照してください。

システム認証局リストの無効化

プレインストールされたシステム認証局リストはアプライアンスから削除できませんが、イネーブルまたはディセーブルにできます。このリストをディセーブルにして、アプライアンスでリモートホストからの証明書の確認にユーザのリストのみを使用するようにできます。

手順

	コマンドまたはアクション	目的
ステップ 1	[ネットワーク（Network）] > [証明書（Certificates）] ページに移動します。
ステップ 2	[認証局（Certificate Authorities）] セクションで、[設定を編集（Edit Settings）] をクリックします。
ステップ 3	[システムリスト（System List）] で [ディセーブル（Disable）] をクリックします。
ステップ 4	変更を送信し、保存します。

カスタム認証局リストのインポート

信頼できる認証局のカスタムリストを作成して、アプライアンスにインポートできます。ファイルは PEM 形式にして、アプライアンスで信頼する認証局の証明書が含まれている必要があります。

手順

ステップ 1

[ネットワーク（Network）] > [証明書（Certificates）] をクリックします。

ステップ 2

[設定の編集（Edit Settings）] をクリックします。

ステップ 3

[有効化（Enable）] オプションボタンを選択します。

ステップ 4

カスタムリストで [ファイルを選択（Choose File）] をクリックします。

ステップ 5

証明書の場所を参照し、[OK] をクリックします。

ステップ 6

（オプション）[FQDN検証（FQDN Validation）] チェックボックスをオンにして、証明書にある [共通名（Common Name）] フィールド、[SAN：DNS名（SAN: DNS Name）] フィールド、またはその両方が FQDN 形式であるかどうかを確認できるようにします。

ステップ 7

[送信（Submit）] をクリックします。

（注）

以下のチェックは CA のインポート時に行われます。

Expiry
重複
CA フラグが存在し、「True」に設定されている
インポートする中間認証局がインポートされている場合に、ルート認証局が存在する。

認証局リストのエクスポート

システム内の信頼できる認証局のサブセットのみを使用するか、既存のカスタムリストの編集を行う場合。

（注）

カスタムリストを .txt ファイルにエクスポートし、認証局を追加または削除するように編集してから、ファイルをカスタムリストとしてアプライアンスにインポートできます。

手順

ステップ 1	[ネットワーク（Network）] > [証明書（Certificates）] をクリックします。
ステップ 2	[設定の編集（Edit Settings）] をクリックします。 [設定の編集（Edit Settings）] には、カスタム証明書およびシスコの信頼できるルート証明書がリストされます。
ステップ 3	証明書名をクリックします。
ステップ 4	[エクスポート（Export）] をクリックして、証明書をエクスポートします。

信頼できるルート証明書の表示

手順

ステップ 1	[ネットワーク（Network）] > [証明書（Certificates）] をクリックします。
ステップ 2	[信頼できるルート証明書の管理（Manage Trusted Root Certificates）] をクリックします。 [信頼できるルート証明書の管理（Manage Trusted Root Certificates）] には、カスタムおよびシスコの信頼できるルート証明書が一覧表示されます。
ステップ 3	[信頼を上書き（Override Trust）] チェックボックスをオンにして信頼を上書きします。
ステップ 4	[送信（Submit）] をクリックします。 [信頼できるルート証明書の管理（Manage Trusted Root Certificates）] ページで、[証明書のダウンロード（Download Certificate）] をクリックして、ローカルマシンに証明書をダウンロードして保存できます。

カスタム証明書の削除

手順

ステップ 1	[ネットワーク（Network）] > [証明書（Certificates）] をクリックします。
ステップ 2	[信頼できるルート証明書の管理（Manage Trusted Root Certificates）] をクリックします。 [信頼できるルート証明書の管理（Manage Trusted Root Certificates）] にカスタム証明書がリストされます。
ステップ 3	カスタムの信頼できるルート証明書を削除するには、[削除（Delete）] をクリックします。
ステップ 4	[送信（Submit）] をクリックします。

国際化ドメイン名（IDN）を含むメッセージの受信と配信

Cisco Secure Email and Web Manager は、IDN ドメインを含む電子メールアドレスを持つメッセージを受信および配信できます。

現在、電子メールゲートウェイは次の言語の IDN ドメインのみをサポートしています。

インドの地域言語：ヒンディー語、タミル語、テルグ語、カンナダ語、マラーティ語、パンジャブ語、マラヤラム語、ベンガル語、グジャラート語、ウルドゥー語、アッサム語、ネパール語、バングラ語、ボド語、ドグリ語、カシミール語、コンカニ語、マイティリ語、マニプリ語、オリヤ語、サンスクリット語、サンタル語、シンド語、トゥル語。

ヨーロッパおよびアジアの言語：フランス語、ロシア語、日本語、ドイツ語、ウクライナ語、韓国語、スペイン語、イタリア語、中国語、オランダ語、タイ語、アラビア語、カザフ語。

関連項目

IDN の前提条件
Cisco Secure Email and Web Manager で IDN ドメインを使用して設定可能な機能

IDN の前提条件

国際化ドメイン名（IDN）機能を使用する前に、次の前提条件を満たしていることを確認してください。

すべての着信メッセージには UTF-8 でエンコードされた IDN が必要です。

たとえば、電子メールゲートウェイにメッセージを送信する MTA は IDN をサポートし、メッセージ内のドメインが UTF-8 形式であることを確認する必要があります。
すべての発信メッセージには UTF-8 でエンコードされた IDN が必要であり、宛先サーバはそれに応じて IDN を受け入れ、サポートする必要があります。

たとえば、電子メールゲートウェイからのメッセージを受け入れる MTA は UTF-8 形式でエンコードされた IDN とドメインをサポートする必要があります。
該当するすべての DNS レコードで、Punycode 形式を使用して IDN を設定する必要があります。

たとえば、IDN に MX レコードを設定する場合、DNS レコードのドメインは Punycode 形式である必要があります。

Cisco Secure Email and Web Manager で IDN ドメインを使用して設定可能な機能

このリリースでは、Cisco Secure Email and Web Manager 内で IDN ドメインを使用して設定できるのは次の機能のみです。

SMTP ルートの設定：
- IDN ドメインを追加または編集します。
- IDN ドメインを使用して SMTP ルートをエクスポートまたはインポートします。
DNS の設定：IDN ドメインを使用して DNS サーバを追加または編集します。
レポートの設定：IDN データ（ユーザ名、電子メールアドレス、ドメイン）をレポートに表示します。
メッセージトラッキングの設定：メッセージトラッキングに IDN データ（ユーザ名、電子メールアドレス、およびドメイン）を表示します。
ポリシー、ウイルス、およびアウトブレイク隔離の設定：
- ウイルス対策エンジンによる判定に従って、マルウェアを送信する可能性のある IDN ドメインを含むメッセージを表示します。
- スパムまたはマルウェアの可能性があるとアウトブレイクフィルタによって検出された IDN ドメインを含むメッセージを表示します。
- メッセージフィルタ、コンテンツフィルタ、および DLP メッセージアクションによって検出された IDN ドメインを含むメッセージを表示します。
スパムの隔離の設定：
- スパム、または疑いのあるスパムとして検出された IDN ドメインを含むメッセージを表示します。
- IDN ドメインを含む電子メールアドレスをセーフリストとブロックリストのカテゴリに追加します。
エンドユーザ隔離：認証モードが NONE の IDN サポート。このフェーズでは、他の認証モードはサポートされていません。

[FQDN]

完全修飾ドメイン名（FQDN）は、インターネット上の特定のコンピュータまたはホストの完全なドメイン名です。X.509 証明書の場合、FQDN 検証ではその証明書のサブジェクト識別名の共通名フィールド（CN）と dNSName タイプ（SAN：dNSName）の subjectAltName 拡張が検証されます。AsyncOS は、そのフィールド内の共通名と SAN:dNSName のドメイン名と証明書を検証します。SAN:dNSName 名を使用することを推奨します。有効な FQDN の例には、example.com、*.example.com などがあります。

FQDN 準拠の条件には次が含まれます。

CN または SAN:dNSName が証明書にあること。AsyncOS ではいずれかが FQDN に準拠している必要があります。
CN と SAN:dNSName の両方が証明書にあること。AsyncOS では、両方が FQDN に準拠している必要があります。

次のようなバリエーションがあります。

ピア証明書の検証
カスタム CA 検証
アプライアンス証明書の検証

ピア証明書の検証

AsyncOS は、TLS などの SSL 設定ですべてのサービスの FQDN 検証を制御する共通の設定を提供します。ただし、FQDN サービスは手動で有効にする必要があります。

GUI を使用したピア証明書の検証
CLI を使用したピア証明書の検証

GUI を使用したピア証明書の検証

手順

ステップ 1	[システム管理（System Administration）] > [SSL設定（SSL Configuration）] ページにアクセスします。
ステップ 2	[設定の編集（Edit Settings）] をクリックします。
ステップ 3	[ピア証明書のFQDN検証（Peer Certificate FQDN Validation）] に表示された [有効化（Enable）] チェックボックスをオンにします。
ステップ 4	[送信（Submit）] をクリックします。

CLI を使用したピア証明書の検証

ピア証明書の検証を実行するには、sslconfig コマンドを入力する必要があります。

始める前に

手順

prompt> sslconfig

Disabling SSLv3 is recommended for best security.
Note that the SSL/TLS service on remote servers may require that the selected TLS versions be sequential. So to avoid communications errors, always select a contiguous set
of versions for each service. For example, do not enable TLS 1.0 and 1.2, while leaving TLS 1.1 disabled.
Choose the operation you want to perform:
- VERSIONS - Enable or disable SSL/TLS versions
- PEER_CERT_FQDN - Validate peer certificate FQDN compliance for Alert Over TLS, updater and LDAP.

カスタム CA 検証

AsyncOS では、アプライアンスにカスタム認証局をインポートするときに FQDN 検証を実行できます。検証は手動で有効にする必要があります。

手順

ステップ 1

CERTCONFIG > CERTAUTHORITY > CUSTOM > IMPORT コマンドを入力します。

Enter in the command-line interface the CERTCONFIG > CERTAUTHORITY > CUSTOM > IMPORT command

ステップ 2

インポートするファイルの名前を入力します。

Enter the name of the file on machine "appliance" to import:
[]> filename.pem

ステップ 3

FQDN を確認する場合は確定します。

Do you want to check if Common Name is in Fully Qualified Domain Name(FQDN) format ? [N]> y

アプライアンス証明書の検証

AsyncOS では、アプライアンス証明書をアプライアンスにインポートするときに FQDN 検証を実行できます。検証は手動で有効にする必要があります。

手順

ステップ 1

CERTCONFIG > CERTIFICATE > SETUP コマンドを入力します。

Prompt>  CERTCONFIG > CERTIFICATE > SETUP >

ステップ 2

中間証明書が必要な場合は入力します。

Do you want to add an intermediate certificate? [N]>

ステップ 3

FQDN を確認する場合は入力します。

Do you want to check if Common Name is in Fully Qualified Domain Name(FQDN) format ? [N]> y

目的	操作手順
最近のアラートのリストを表示する	管理者およびオペレータのアクセス権のあるユーザは、[管理アプライアンス（Management Appliance）] > [システム管理（System Administration）] > [アラート（Alerts）] を選択し、[上位アラートを表示（View Top Alerts）] ボタンをクリックします。アラートは、電子メールで通知する問題があっても表示されます。
リストをソートする	列の見出しをクリックします。
このリストに保存するアラートの最大数を指定する	コマンドラインインターフェイス（CLI）で alertconfig コマンドを使用します。
この機能を無効にする	コマンドラインインターフェイス（CLI）で alertconfig コマンドを使用してアラートの最大数をゼロ（0）に設定します。

偏向のない言語

翻訳について

検索結果

章のタイトル： 一般的な管理タスク

一般的な管理タスク

管理タスクの実行

Cisco コンテンツ セキュリティ管理アプライアンスのライセンス

機能キーの使用

仮想アプライアンスのライセンスおよび機能キー

スマート ソフトウェア ライセンシング

概要

スマート ソフトウェア ライセンシングのイネーブル化

手順

次のタスク

Cisco Smart Software Manager でのアプライアンスの登録

手順

次のタスク

ライセンスの要求

手順

次のタスク

ライセンスのリリース

手順

Cisco Smart Software Manager からのアプライアンスの登録解除

手順

Cisco Smart Software Manager でのアプライアンスの再登録

手順

次のタスク

転送設定の変更

認証と証明書の更新

手順

スマート エージェントの更新

手順

アラート

コマンドライン インターフェイス

license_smart

説明

使用方法

例：スマート エージェント サービス用ポートの設定

例：スマート ライセンスの有効化

例：Smart Software Manager でのアプライアンスの登録

例：スマート ライセンスのステータス

例：スマート ライセンスのステータスの概要

例：スマート トランスポート URL の設定

例：ライセンスの要求

例：ライセンスのリリース

show_license

説明

例：スマート ライセンスのステータス

例：スマート ライセンスのステータスの概要

cloudserviceconfig

説明（Description）

使用方法

例：アプライアンスでの Cisco Cloud Services の有効化

例：アプライアンスでの Cisco Cloud Services の無効化

例：Cisco Cloud Services ポータルへのコンテンツ セキュリティ ゲートウェイの登録

例：Cisco Cloud Services ポータルからのコンテンツ セキュリティ ゲートウェイの登録解除

例：コンテンツ セキュリティ ゲートウェイを Cisco Cloud Services ポータルに接続する Cisco Secure Cloud Server の選択

例：CLI を使用したスマートライセンスの自動登録の実行

例：証明書とキーのダウンロード

例：クライアント証明書 cloudserviceconfig

例：コンテンツ セキュリティ ゲートウェイでの Cisco SecureX または Cisco Threat Response の有効化

例：コンテンツ セキュリティ ゲートウェイでの Cisco SecureX または Cisco Threat Response の無効化

AsyncOS 14.0 のスマート ソフトウェア ライセンス キー ポイント

CLI コマンドを使用したメンテナンス作業の実行

セキュリティ管理アプライアンスのシャットダウン

セキュリティ管理アプライアンスのリブート

セキュリティ管理アプライアンスの停止

CLI の例：suspend および suspendtransfers コマンド

一時停止状態からの再開

CLI の例：resume および resumetransfers コマンド

工場出荷時の初期状態への設定のリセット

resetconfig コマンド

AsyncOS のバージョン情報の表示

手順

リモート電源再投入の有効化

始める前に

手順

次のタスク

SNMP を使用したシステムの状態のモニタリング

章のタイトル：一般的な管理タスク

Cisco コンテンツセキュリティ管理アプライアンスのライセンス

スマートソフトウェアライセンシング

スマートソフトウェアライセンシングのイネーブル化

スマートエージェントの更新

コマンドラインインターフェイス

例：スマートエージェントサービス用ポートの設定

例：スマートライセンスの有効化

例：スマートライセンスのステータス

例：スマートライセンスのステータスの概要

例：スマートトランスポート URL の設定

例：スマートライセンスのステータス

例：スマートライセンスのステータスの概要

例：Cisco Cloud Services ポータルへのコンテンツセキュリティゲートウェイの登録

例：Cisco Cloud Services ポータルからのコンテンツセキュリティゲートウェイの登録解除

例：コンテンツセキュリティゲートウェイを Cisco Cloud Services ポータルに接続する Cisco Secure Cloud Server の選択

例：コンテンツセキュリティゲートウェイでの Cisco SecureX または Cisco Threat Response の有効化

例：コンテンツセキュリティゲートウェイでの Cisco SecureX または Cisco Threat Response の無効化

AsyncOS 14.0 のスマートソフトウェアライセンスキーポイント

バックアッププロセスの中断

ターゲットアプライアンスによる管理対象アプライアンスからのデータの直接取得の防止

バックアップステータスに関するアラートの受信

バックアップステータスの確認

ログファイルのバックアップ情報

その他の重要なバックアップタスク

バックアップアプライアンスのプライマリアプライアンスとしての使用

セキュリティ管理アプライアンスでのディザスタリカバリ

アプライアンスハードウェアのアップグレード

アップグレード用のバッチコマンド

ストリーミングアップグレードの概要

リモートアップグレードの概要

リモートアップグレードのハードウェア要件およびソフトウェア要件

リモートアップグレードイメージのホスティング

リモートアップグレード方式における重要な違い

アップグレードおよびサービスアップデートの設定

厳格なファイアウォールポリシーを適用している環境のスタティックアップグレードおよびアップデートサーバ設定

バックグラウンドダウンロードのキャンセルまたは削除ステータスの表示

Web 使用率制御の URL カテゴリセットアップデートについて

アラートタイプおよび重大度