ステップ 1

[Web セキュリティ マネージャ（Web Security Manager）] > [識別プロファイル（Identification Profiles）] を選択します。

ステップ 2

[プロファイルの追加（Add Profile）] をクリックしてプロファイルを追加します。

ステップ 3

[識別プロファイルの有効化（Enable Identification Profile）] チェックボックスを使用して、このプロファイルをイネーブルにするか、プロファイルを削除せずにただちにディセーブルにします。

ステップ 4

[名前（Name）] に一意のプロファイル名を割り当てます。

ステップ 5

[説明（Description）] は任意です。

ステップ 6

[上に挿入（Insert Above）] ドロップダウン リストから、このプロファイルを配置するポリシー テーブル内の位置を選択します。

ステップ 7

[ユーザー識別方式（User Identification Method）] セクションで、識別方式を選択して関連パラメータを指定します。表示されるオプションは、選択した方法によって異なります。

1. [ユーザー識別方式（User Identification Method）] ドロップダウン リストから識別方式を選択します。

   オプション	説明
   認証/識別を免除（Exempt from authentication/identification）	ユーザーは基本的に IP アドレスによって識別されます。追加のパラメータは必要ありません。
   認証済みユーザー（Authenticate users）	ユーザーは入力した認証クレデンシャルによって識別されます。
   ISE によってユーザーを透過的に識別（Transparently identify users with ISE）	ISE サービスがイネーブルの場合に使用できます（[ネットワーク（Network）] > [Identity Services Engine]）。これらのトランザクションの場合、ユーザー名および関連するセキュリティ グループ タグは Identity Services Engine から取得されます。ISE-PIC 展開では、ISE グループとユーザー情報が受信されます。詳細については、ISE/ISE-PIC サービスを統合するためのタスクを参照してください。
   認証レルムによってユーザーを透過的に識別（Transparently identify users with authentication realm）	このオプションは、1 つ以上の認証レルムが透過的識別をサポートするように定義されている場合に使用できます。

   （注）	少なくとも 1 つの識別プロファイルに認証または透過的識別が設定されている場合、ポリシー テーブルでは、ユーザー名、ディレクトリ グループ、セキュリティ グループ タグを使用してポリシー メンバーシップを定義できます。

   （注）	Context Directory Agent（CDA）はサポートされなくなりました。同じ機能を実現するために、透過的なユーザー識別のために ISE/ISE-PIC を設定することをお勧めします。 将来のリリースでは CDA を設定するオプションは使用できなくなります。 詳細については、https://www.cisco.com/c/en/us/products/collateral/security/asa-5500-series-next-generation-firewalls/bulletin-c25-2428601.htmlを参照してください。

2. 選択した方式に適したパラメータを指定します。この表に示したすべてのセクションが選択ごとに表示されるわけではありません。

   認証レルムまたはゲスト特権へのフォールバック（Fallback to Authentication Realm or Guest Privileges）	ユーザー認証を ISE から取得できない場合： [ゲスト権限をサポート（Support Guest Privileges）]：トランザクションは続行を許可され、すべての識別プロファイルのゲスト ユーザーと後続のポリシーを照合します。 [トランザクションをブロック（Block Transactions）]：ISE で識別できないユーザーにインターネット アクセスを許可しません。 [ゲスト特権をサポート（Support Guest privileges）]：無効なクレデンシャルにより認証に失敗したユーザーにゲスト アクセスを許可する場合、このチェックボックスをオンにします。
   認証レルム（Authentication Realm）	[レルムまたはシーケンスを選択（Select a Realm or Sequence）]：定義済みの認証レルムまたはシーケンスを選択します。 [スキームの選択（Select a Scheme）]：認証スキームを選択します。 [Kerberos]：クライアントは Kerberos チケットによって透過的に認証されます。 [基本（Basic）]：クライアントは常にユーザーにクレデンシャルを要求します。 ユーザーがクレデンシャルを入力すると、通常は、入力したクレデンシャルの保存について指定するチェックボックスがブラウザに表示されます。ユーザーがブラウザを開くたびに、クライアントはクレデンシャルの入力を要求するか、または以前に保存したクレデンシャルを再送信します。 クレデンシャルは、保護されていないクリア テキスト（Base64）として送信されます。クライアントと Secure Web Appliance間でのパケットキャプチャにより、ユーザー名やパスフレーズが開示される可能性があります。 [NTLMSSP]：クライアントは、Windows のログイン クレデンシャルを使用して透過的に認証します。ユーザーはクレデンシャルの入力を要求されません。 ただし、以下の場合、クライアントはユーザーにクレデンシャルの入力を求めます。 Windows クレデンシャルによる認証が失敗した。 ブラウザのセキュリティ設定が原因で、クライアントが Secure Web Applianceを信頼しない。 クレデンシャルは、3 ウェイ ハンドシェイク（ダイジェスト形式の認証）により安全に送信されます。パスフレーズが接続を介して送信されることはありません。 [ヘッダーベースの認証（Header Based Authentication）]：クライアントおよび Secure Web Applianceは、ユーザーを認証済みと見なし、認証またはユーザークレデンシャルの再入力を求めません。X-Authenticated 機能は、 Secure Web Applianceがアップストリームデバイスとして動作する場合に機能します。 認証が成功すると、ダウンストリームデバイスは、X-Authenticated-User および X-Authenticated-Groups（オプション）拡張 HTTP ヘッダーを介して、ユーザー名とユーザーグループ（オプション）を Secure Web Applianceに送信します。 X-Authenticated-Groups ヘッダーは、アプライアンスで [アクセス ポリシーの照合に X-Authenticate-Groups ヘッダー/カスタム ヘッダー内のグループを使用（Custom Header for matching Access PoliciesUse Groups in X-Authenticate-Groups Header/Custom Header for matching Access Policies）] オプション（[ネットワーク認証（Network Authentication）] > [グローバル設定の編集（Edit Global Settings ）] > ）を設定している場合にのみ考慮されます。 （注）     X-Authenticated ヘッダーは、アクセス ポリシーまたはルーティング ポリシーにのみ適用できます。ただし、[ヘッダー ベースの認証（Header Based Authentication）] が有効になっている識別プロファイルの復号ポリシーへの関連付けは照合されません。 [ゲスト特権をサポート（Support Guest privileges）]：無効なクレデンシャルにより認証に失敗したユーザーにゲスト アクセスを許可する場合、このチェックボックスをオンにします。
   グループ認証のレルム（Realm for Group Authentication）	[レルムまたはシーケンスを選択（Select a Realm or Sequence）]：定義済みの認証レルムまたはシーケンスを選択します。
   認証サロゲート（Authentication Surrogates）	認証の成功後にトランザクションをユーザーに関連付ける方法を指定します（オプションは Web プロキシの展開モードにより異なります）。 [IPアドレス（IP Address）]：Web プロキシは、特定の IP アドレスの認証済みユーザーを追跡します。透過的ユーザー識別の場合は、このオプションを選択します。 [永続的なクッキー（Persistent Cookie）]：Web プロキシは、アプリケーションごとに各ユーザー用に永続的クッキーを生成することにより、特定のアプリケーション上の認証済みユーザーを追跡します。アプリケーションを終了してもクッキーは削除されません。 [セッションクッキー（Session Cookie）]：Web プロキシは、アプリケーションごとに各ドメインの各ユーザー用に永続的クッキーを生成することにより、特定のアプリケーション上の認証済みユーザーを追跡します。（ただし、ユーザーが同じアプリケーションから同じドメインに対して異なるクレデンシャルを指定した場合、クッキーは上書きされます）。アプリケーションを終了するとクッキーは削除されます。 [サロゲートなし（No Surrogate）]：Web プロキシは、サロゲートを使用してクレデンシャルをキャッシュせず、新しい TCP 接続ごとに認証済みユーザーを追跡します。このオプションを選択すると、Web インターフェイスは適用されくなったその他の設定をディセーブルにします。このオプションは、明示的な転送モードに設定し、[ネットワーク（Network）] > [認証（Authentication）] ページでクレデンシャルの暗号化をディセーブルにしたときにのみ使用できます。 [明示的フォワード要求に同じサロゲート設定を適用（Apply same surrogate settings to explicit forward requests）]：透過的要求に使用するサロゲートを明示的要求に適用する場合にオンにします（クレデンシャルの暗号化が自動的にイネーブルになります。）このオプションは、Web プロキシがトランスペアレント モードで展開されている場合にのみ表示されます。 （注）     [グローバル認証設定（Global Authentication Settings）] で、すべての要求に対する認証サロゲートのタイムアウト値を定義できます。 異なる認証サロゲート（IP アドレス、永続的 Cookie、セッション Cookie など）を使用するように識別プロファイルを設定した場合、アクセスは、他のサロゲートと識別プロファイルが一致しても、IP アドレスサロゲートを使用して認証されます。

ステップ 8

[メンバーシップの定義（Membership Definition）] セクションで、選択した識別方式に適したメンバーシップ パラメータを指定します。以下の表に示すオプションは、すべてのユーザー識別方式で使用できるわけではありません。

ステップ 9

変更を送信して確定します（[送信（Submit）] と [変更を確定（Commit Changes）]）。