Cisco Identity Services Engine（ISE）/ ISE パッシブ ID コントローラ（ISE-PIC）の統合

この章は、次の項で構成されています。

Identity Services Engine（ISE）/ ISE パッシブ ID コントローラ（ISE-PIC）サービスの概要

Cisco Identity Services Engine（ISE）は、ID 管理を向上させるためにネットワーク上の個々のサーバで実行されるアプリケーションです。Web セキュリティアプライアンスは、ISE または ISE-PIC のサーバからユーザアイデンティティ情報にアクセスできます。ISE または ISE-PIC のいずれかが設定されている場合は、適切に設定された識別プロファイルに対してユーザ名および関連するセキュリティグループタグが ISE から、ユーザ名および Active Directory グループが ISE-PIC からそれぞれ取得され、それらのプロファイルを使用するように設定されたポリシーで透過的ユーザ識別が許可されます。

（注）

ISE/ISE-PIC サービスはコネクタモードでは使用できません。
ISE/ISE-PIC バージョン 2.4、および PxGrid バージョン 2.0 がサポートされます。
Web セキュリティアプライアンスの Web インターフェイスで ISE 設定ページを使用して、ISE または ISE-PIC サーバの設定、証明書のアップロード、ISE または ISE-PIC のいずれかのサービスへの接続を実行します。ISE または ISE-PIC を設定する手順は似ています。ISE-PIC に固有の詳細が適宜記載されています。

表 1. Web セキュリティアプライアンス：ISE バージョンサポートマトリックス
Web セキュリティアプライアンスのバージョン	ISE のバージョン
	ISEv2.4_p12	ISEv2.4_p13	ISEv2.6_p5	ISEv2.6_p6	ISEv2.6_p7	ISEv2.6_p8	ISEv2.7_p1	ISEv2.7_p2	ISEv2.7_p3
coeus-11-7-*	サポートあり	対応	サポート対象	サポート対象	サポート対象	サポート対象	サポート対象	サポート対象	対応

表 2. Web セキュリティアプライアンス：ISE スケールサポートマトリックス
モデル	AD グループが有効になっていないセッションスケール	AD グループが有効になっているセッションスケール
-	サポートされている最大アクティブセッション数	サポートされている最大アクティブセッション数	サポートされている最大エンドポイント数（各ユーザの AD グループエントリと ISE データベース内のエンドポイント）
S680、S690、S695	200K	125K	400K
S380、S390、S600V	150K	50K	150K
S190、S195、S300V	50K	50K	75K
S100V	50K	40K	50K

pxGrid について

シスコの Platform Exchange Grid（pxGrid）を使用すると、セキュリティモニタリングとネットワーク検出システム、ID とアクセス管理プラットフォームなど、ネットワークインフラストラクチャのコンポーネントを連携させることができます。これらのコンポーネントは pxGrid を使用して、パブリッシュまたはサブスクライブメソッドにより情報を交換します。

以下の 3 つの主要 pxGrid コンポーネントがあります：pxGrid パブリッシャ、pxGrid クライアント、pxGrid コントローラ。

pxGrid パブリッシャ：pxGrid クライアントの情報を提供します。
pxGrid クライアント：パブリッシュされた情報をサブスクライブする任意のシステム（Web セキュリティアプライアンスなど）。パブリッシュされる情報には、セキュリティグループタグ（SGT）、Active Directory グループ、ユーザグループおよびプロファイルの情報が含まれます。
pxGrid コントローラ：クライアントの登録/管理およびトピック/サブスクリプションプロセスを制御する ISE/ISE-PIC pxGrid ノードが該当します。

各コンポーネントには信頼できる証明書が必要です。これらの証明書は各ホストプラットフォームにインストールしておく必要があります。

ISE/ISE-PIC サーバの展開とフェールオーバーについて

単一の ISE/ISE-PIC ノードのセットアップはスタンドアロン展開と呼ばれ、この 1 つのノードによって、管理およびポリシーサービスが実行されます。フェールオーバーをサポートし、パフォーマンスを向上させるには、複数の ISE/ISE-PIC ノードを分散展開でセットアップする必要があります。Web セキュリティアプライアンスで ISE/ISE-PIC フェールオーバーをサポートするために必要な最小限の分散 ISE/ISE-PIC 構成は以下のとおりです。

2 つの pxGrid ノード
2 つの管理ノード
1 つのポリシーサービスノード

この構成は、『Cisco Identity Services Engine Hardware Installation Guide』では「中規模ネットワーク展開」と呼ばれています。詳細については、『Installation Guide』のネットワーク展開に関する項を参照してください。

ISE/ISE-PIC の証明書

（注）

このセクションでは、ISE/ISE-PIC 接続に必要な証明書について説明します。ISE/ISE-PIC サービスを統合するためのタスクでは、これらの証明書に関する詳細情報を提供します。証明書の管理（Certificate Management）は、AsyncOS の証明書の一般的な管理情報を提供します。

Web セキュリティアプライアンスと各 ISE/ISE-PIC サーバ間で相互認証と安全な通信を行うには、一連の 2 つの証明書が必要です。

WSA クライアント証明書：Web セキュリティアプライアンスを認証するために ISE/ISE-PIC サーバで使用されます。
ISE pxGrid 証明書：Web セキュリティアプライアンスで ISE/ISE-PIC サーバの認証に使用され、ポート 5222 での ISE/ISE-PIC データサブスクリプション（ISE/ISE-PIC サーバに対する進行中のパブリッシュ/サブスクライブクエリー）を許可します。

この 2 つの証明書は、認証局（CA）による署名でも自己署名でもかまいません。CA 署名付き証明書が必要な場合、AsyncOS には自己署名 WSA クライアント証明書、または証明書署名要求（CSR）を生成するオプションがあります。同様に ISE/ISE-PIC サーバにも、CA 署名付き証明書が必要な場合に、自己署名 ISE/ISE-PIC pxGrid 証明書、または CSR を生成するオプションがあります。

自己署名証明書の使用

自己署名証明書が ISE/ISE-PIC サーバで使用される場合は、ISE/ISE-PIC サーバで開発された ISE/ISE-PIC pxGrid 証明書、Web セキュリティアプライアンスで開発された WSA クライアント証明書を、ISE/ISE-PIC サーバ上の信頼できる証明書ストアに追加する必要があります（ISE の場合は [管理（Administration）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）]、ISE-PIC の場合は [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）]）。

CA 署名付き証明書の使用

CA 署名付き証明書の場合：

ISE/ISE-PIC サーバで、WSA クライアント証明書に適した CA ルート証明書が信頼できる証明書ストアにあることを確認します（[管理（Administration）] > [証明書（Certificates）] > [信頼できる証明書（Trusted Certificates）]）。
Web セキュリティアプライアンスで、適切な CA ルート証明書が信頼できる証明書リストにあることを確認します（[ネットワーク（Network）] > [証明書管理（Certificate Management）] > [信頼できるルート証明書の管理（Manage Trusted Root Certificates）]）。
[Identity Services Engine] ページ（[ネットワーク（Network）] > [Identity Services Engine]）で、ISE/ISE-PIC pxGrid 証明書用の CA ルート証明書がアップロードされていることを確認します。

フォールバック認証

ISE/ISE-PIC で利用できないユーザ情報については、フォールバック認証を設定できます。フォールバック認証が成功するには、次のものが必要です。

Active Directory ベースのレルムのフォールバックオプションで設定された識別プロファイル。
フォールバックオプションを含む正しい識別プロファイルを使用したアクセスポリシー。

ISE/ISE-PIC サービスを統合するためのタスク

（注）

ISE/ISE-PIC バージョン 2.4、および PxGrid バージョン 2.0 がサポートされます。
ISE-PIC で既存のアクセスポリシーの使用を続行するには、ISE-PIC を使用する各識別プロファイルを編集してユーザを透過的に識別する必要があります。これは、CDA を使用した識別プロファイルに適用されます。CDA 識別から ISE-PIC ベースの識別に移行している場合は、それぞれの識別プロファイルを編集する必要があります。

（注）

AsyncOS 11.5 以前のバージョンから AsyncOS 11.7 以降のバージョンにアップグレードする場合は、Web セキュリティアプライアンスで ISE を再設定します。
証明書は ISE/ISE-PIC デバイスを介して生成する必要があり、生成された証明書を Web セキュリティアプライアンスにアップロードする必要があります。


ステップ	タスク	トピックおよび手順へのリンク
1	ISE/ISE-PIC デバイスを介した証明書の生成。	ISE/ISE-PIC を介した証明書の生成
2	Web セキュリティアプライアンスにアクセスするための ISE/ISE-PIC の設定。	Web セキュリティアプライアンスにアクセスするための ISE/ISE-PIC サーバの設定
3	Web セキュリティアプライアンスで ISE/ISE-PIC サービスを有効にするための設定。	ISE/ISE-PIC サービスへの接続
4	Web セキュリティアプライアンスクライアント証明書が自己署名済みの場合、ISE/ISE-PIC にインポートします。	自己署名 Web セキュリティアプライアンスクライアント証明書の ISE/ISE-PIC スタンドアロン展開へのインポート自己署名 Web セキュリティアプライアンスクライアント証明書の ISE/ISE-PIC 分散型展開へのインポート
5	必要に応じて、Web セキュリティアプライアンスでロギングを設定します。	ISE/ISE-PIC へのロギングの設定
6	ISE/ISE-PIC ERS サーバの詳細を取得します。	ISE/ISE-PIC からの ISE/ISE-PIC ERS サーバ詳細情報の取得

ISE/ISE-PIC を介した証明書の生成

（注）

ISE/ISE-PIC デバイスを介して生成される証明書は、PKCS12 形式である必要があります。

ISE/ISE-PIC：

手順

ステップ 1

[ワークセンター（Work Centers）] > [PassiveID] > [サブスクライバ（Subscribers）] > [証明書（Certificates）] を選択します。

ステップ 2

[証明書のダウンロード形式（Certificate Download Format）] ドロップダウンリストから [PKCS12形式（PKCS 12 format）] を選択します。[証明書（Certificates）] タブでその他の必要な情報を入力し、pxGrid 証明書を生成します。

ステップ 3

次の openssl コマンドを使用して、生成された XXX.pk12 ファイルからルート CA、WSA クライアント証明書、および WSA クライアントキーを抽出します。

ルート CA： openssl pkcs12 -in XXX.p12 -cacerts -nokeys -chain -out RootCA.pem
WSA クライアント証明書： openssl pkcs12 -in XXX.p12 -clcerts -nokeys -out publicCert.pem
WSA クライアントキー：openssl pkcs12 -in XXX.p12 -nocerts -nodes -out privateKey.pem

（注）

証明書パスワードは、手順 2 の実行中に ISE Web インターフェイスで入力したものを使用してください。

（注）

セカンダリ/フェールオーバー ISE サーバを介してセカンダリルート CA、WSA クライアント証明書、および WSA クライアントキーを生成するには、同じ手順を実行します。

Web セキュリティアプライアンスにアクセスするための ISE/ISE-PIC サーバの設定

ISE
- 識別トピックサブスクライバ（Web セキュリティアプライアンスなど）がリアルタイムでセッションコンテキストを取得できるように、各 ISE サーバを設定する必要があります。
  1. [管理（Administration）] > [pxGridサービス（pxGrid Services）] > [設定（Settings）] > [pxGridの設定（pxGrid Settings）] を選択します。
  2. [新しい証明書ベースのアカウントを自動的に承認する（Automatically approve new certificate-based accounts）] がオンになっていることを確認します。
  ISE/ISE-PIC での認証に関与しない設定済みの古い Web セキュリティアプライアンスすべてを削除します。
  
  ISE サーバのフッターが緑で、「pxGrid に接続されました（Connected to pxGrid）」 と表示されていることを確認します。
ISE-PIC
- 識別トピックサブスクライバ（Web セキュリティアプライアンスなど）がリアルタイムでセッションコンテキストを取得できるように、各 ISE-PIC サーバを設定する必要があります。
  1. [サブスクライバ（Subscribers）] > [設定（Settings）] を選択します。
  2. [新しい証明書ベースのアカウントを自動的に承認する（Automatically approve new certificate-based accounts）] がオンになっていることを確認します。
  ISE/ISE-PIC での認証に関与しない設定済みの古い Web セキュリティアプライアンスすべてを削除します。
  
  ISE サーバのフッターが緑で、「pxGrid に接続されました（Connected to pxGrid）」 と表示されていることを確認します。

詳細については、Cisco Identity Services Engine のドキュメントを参照してください。

ISE/ISE-PIC サービスへの接続

（注）

ISE 管理証明書、pxGrid 証明書、および MNT 証明書がルート CA 証明書によって署名されている場合は、アプライアンスで [ISE pxGridノード証明書（ISE pxGrid Node Certificate）] フィールドにルート CA 証明書自体をアップロードします（[ネットワーク（Network）] > [Identity Services Engine]）。

始める前に

各 ISE/ISE-PIC サーバが WSA アクセス用に正しく設定されていることを確認します（ISE/ISE-PIC サービスを統合するためのタスクを参照）。
有効な ISE/ISE-PIC 関連の証明書およびキーを取得します。関連情報については、ISE/ISE-PIC を介した証明書の生成を参照してください。

取得した RootCA.pem を Web セキュリティアプライアンスにインポートします（[ネットワーク（Network）] > [CertificateManagement] > [TrustedRootCertificate] > [ManageTrustedRootCertificate上のクライアント（Client on ManageTrustedRootCertificate）]）。生成された XXX.pk12 ファイルからルート CA、WSA クライアント証明書、および WSA クライアントキーを抽出するには、ISE/ISE-PIC を介した証明書の生成を参照してください。

（注）

セカンダリ XXXX.pk12 ファイルから抽出された RootCA.pem について同じ手順に実行します（セカンダリ/フェールオーバー ISE サーバが使用可能な場合）。

Web セキュリティアプライアンスの Web インターフェイスで ISE 設定ページを使用して、ISE または ISE-PIC サーバの設定、証明書のアップロード、ISE または ISE-PIC のいずれかのサービスへの接続を実行します。ISE と ISE-PIC を設定する手順は同じです。ISE-PIC 設定に固有の詳細が適宜記載されています。
ISE/ISE-PIC が提供する Active Directory グループを使用してアクセスポリシーを構築する場合は、ERS を有効にします。

手順

ステップ 1

[ネットワーク（Network）] > [Identification Service Engine] を選択します。

ステップ 2

[設定の編集（Edit Settings）] をクリックします。

ISE/ISE-PIC を初めて設定する場合は、[設定の有効化と編集（Enable and Edit Settings）] をクリックします。

ステップ 3

[ISEサービスを有効にする（Enable ISE Service）] をオンにします。

ステップ 4

ホスト名または IPv4 アドレスを使用してプライマリ管理ノードを特定し、Web セキュリティアプライアンスの [プライマリISE pxGridノード（Primary ISE pxGrid Node）] タブに次の情報を入力します。

ISE/ISE-PIC データサブスクリプション（ISE/ISE-PIC サーバに対して進行中のクエリー）用の ISE pxGrid ノード証明書を入力します。

プライマリ ISE サーバからルート CA として生成される証明書（つまり、RootCA.pem）（または、すべての中間証明書を含む証明書チェーン）を参照して選択し、ISE/ISE-PIC を介した証明書の生成を参照して [ファイルのアップロード（Upload File）] をクリックします。詳細については、証明書およびキーのアップロードを参照してください。

ステップ 5

フェールオーバー用に 2 台目の ISE/ISE-PIC サーバを使用している場合は、ホスト名または IPv4 アドレスを使用してそのプライマリ管理ノードを特定し、ホスト名または IPv4 を使用して Web セキュリティアプライアンスの [セカンダリISE pxGridノード（Secondary ISE pxGrid Node）] タブに次の情報を入力します。

セカンダリ ISE pxGrid ノード証明書を入力します。

セカンダリ ISE サーバからルート CA として生成される証明書（つまり、RootCA.pem）（または、すべての中間証明書を含む証明書チェーン）を参照して選択し、ISE/ISE-PIC を介した証明書の生成を参照して [ファイルのアップロード（Upload File）] をクリックします。詳細については、証明書およびキーのアップロードを参照してください。

（注）

プライマリからセカンダリの ISE サーバにフェールオーバーするときに、既存の ISE SGT キャッシュに含まれていないユーザは、WSA の設定に応じて、認証が必要になるか、またはゲスト認証が割り当てられます。ISE フェールオーバーが完了すると、通常の ISE 認証が再開されます。

ステップ 6

WSA-ISE/ISE-PIC サーバの相互認証用の WSA クライアント証明書を入力します。

[アップロードされた証明書とキーを使用（Use Uploaded Certificate and Key）]

証明書とキーの両方に対して、[選択（Choose）] をクリックして各ファイルを参照します。

（注）

ISE/ISE-PIC デバイスを介して生成された publicCert.pem と privateKey.pem を選択してアップロードします。「ISE/ISE-PIC を介した証明書の生成」を参照してください。

キーが暗号化されている場合は、[キーは暗号化されています（Key is Encrypted）] チェックボックスをオンにします。

[ファイルのアップロード（Upload Files）] をクリックします。（このオプションの詳細については、証明書およびキーのアップロードを参照してください）。

ステップ 7

ISE 外部 Restful サービス（ERS）を有効にします。

ERS 管理者のユーザ名とパスワードを入力します。ISE/ISE-PIC からの ISE/ISE-PIC ERS サーバ詳細情報の取得を参照。
ERS が同じ ISE または ISE/ISE-PIC pxGrid ノードで使用可能な場合は、[ISE pxGridノードと同じサーバ名（Server name same as ISE pxGrid Node）] チェックボックスを確認します。同じノードで使用できない場合は、プライマリおよびセカンダリ（設定されている場合）サーバのホスト名または IPv4 アドレスを入力します。

ステップ 8

[テスト開始（Start Test）] をクリックして、ISE/ISE-PIC の pxGrid ノードと同じ接続をテストします。

ステップ 9

[送信（Submit）] をクリックします。

次のタスク

関連情報

http://www.cisco.com/c/en/us/support/security/identity-services-engine/products-implementation-design-guides-list.html 特に「How To Integrate Cisco WSA using ISE and TrustSec through pxGrid」。

自己署名 Web セキュリティアプライアンスクライアント証明書の ISE/ISE-PIC スタンドアロン展開へのインポート

基本的な手順は以下のとおりです。

ISE 管理ノード
- [管理（Administration）] > [証明書（Certificates）] > [証明書の管理（Certificate Management）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）] の順に選択します。
次のオプションがオンになっていることを確認してください。
- [ISE内の認証用に信頼する（Trust for authentication within ISE）]
- [クライアント認証およびsyslog用に信頼する（Trust for client authentication and Syslog）]
- [シスコサービスの認証用に信頼する（Trust for authentication of Cisco Services）]
ISE-PIC 管理ノード
- [証明書（Certificates）] > [証明書の管理（Certificate Management）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）] の順に選択します。
  
  次のオプションがオンになっていることを確認してください。
  - [ISE内の認証用に信頼する（Trust for authentication within ISE）]
  - [クライアント認証およびsyslog用に信頼する（Trust for client authentication and Syslog）]
  - [シスコサービスの認証用に信頼する（Trust for authentication of Cisco Services）]

詳細については、Cisco Identity Services Engine のドキュメントを参照してください。

自己署名 Web セキュリティアプライアンスクライアント証明書の ISE/ISE-PIC 分散型展開へのインポート

基本的な手順は以下のとおりです。

ISE 管理ノード：
- [管理（Administration）] > [証明書（Certificates）] > [証明書の管理（Certificate Management）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）] の順に選択します。
次のオプションがオンになっていることを確認してください。
- [ISE内の認証用に信頼する（Trust for authentication within ISE）]
- [クライアント認証およびsyslog用に信頼する（Trust for client authentication and Syslog）]
- [シスコサービスの認証用に信頼する（Trust for authentication of Cisco Services）]
ISE-PIC 管理ノード：
- [証明書（Certificates）] > [証明書の管理（Certificate Management）] > [信頼できる証明書（Trusted Certificates）] > [インポート（Import）] の順に選択します。
  
  次のオプションがオンになっていることを確認してください。
  - [ISE内の認証用に信頼する（Trust for authentication within ISE）]
  - [クライアント認証およびsyslog用に信頼する（Trust for client authentication and Syslog）]
  - [シスコサービスの認証用に信頼する（Trust for authentication of Cisco Services）]

詳細については、Cisco Identity Services Engine のドキュメントを参照してください。

（注）

分散型 ISE 展開では、Web セキュリティアプライアンスは MNT、PAN、および PxGrid ノードと通信します。この場合、証明書またはすべての証明書の発行者が、「抽出されたルート証明書」（つまり、ISE/ISE-PIC デバイスを介して生成された RootCA）で使用できる必要があります。「ISE/ISE-PIC を介した証明書の生成」を参照してください。

手順

ステップ 1	ISE/ISE-PIC を介した証明書の生成の手順に従って、RootCA、WSA クライアント証明書、および WSA クライアントキーを生成します。
ステップ 2	ISE/ISE-PIC 管理ノードで、[ISE/ISE-PIC] > [管理（Administration）] > [システム（System）] > [証明書（Certificates）] > [システム証明書（System Certificates）] から自己署名証明書を手動でエクスポートします。 [pxGrid]、[EAP認証（EAP Authentication）]、[管理（Admin）]、[ポータル（Portal）]、[RADIUS DTLS] のいずれかによって使用されている（Used by）証明書を選択します。 [エクスポート（Export）] をクリックし、生成された .pem ファイルを保存します。すべての ISE/ISE-PIC 分散ノードについて上記の手順を繰り返します。
ステップ 3	`openssl` コマンドを使用して、ダウンロードした証明書ファイルを RootCA.pem に手動で追加します。ISE/ISE-PIC デバイスを介して RootCA.pem で証明書ファイルを生成および抽出する方法については、ISE/ISE-PIC を介した証明書の生成を参照してください。ダウンロードした証明書に対して次のコマンドを実行します。 `Example:` `openssl x509` -in <DownloadCertificate>.pem -text \| egrep "Subject:\|Issuer: `例（出力）：` `Issuer: CN=isehcamnt2.node Subject: CN=isehcamnt2.node` 内容を次のように変更します。 `Example: Subject=/CN=isehcamnt2.node Issuer=/CN=isehcamnt2.node` RootCA.pem に次の行を追加します。 `Bag Attributes: <Empty Attributes>` 手順 (2) のサブジェクトおよび発行者を RootCA.pem に（手順 (3) の行とともに）追加します。 `Example: Bag Attributes: <Empty Attributes> Subject=/CN=isehcamnt2.node Issuer=/CN=isehcamnt2.node` ダウンロードした証明書ファイルの内容全体をコピーし、RootCA の末尾（手順 (4) のデータの後）に貼り付けます。ダウンロードされたすべての分散型 ISE/ISE-PIC ノードの証明書について手順 (1) ～ (5) を繰り返し、変更された RootCA 証明書を保存します。
ステップ 4	Web セキュリティアプライアンスの ISE 設定ページで、変更された RootCA.pem をアップロードします。ISE/ISE-PIC サービスへの接続を参照してください。

ISE/ISE-PIC へのロギングの設定

認証メカニズムをログ記録するために、アクセスログにカスタムフィールド %m を追加します（アクセスログのカスタマイズ）。
ISE/ISE-PIC サービスログが作成されていることを確認します。作成されていない場合は作成します（ログサブスクリプションの追加および編集）。
ユーザの識別と認証のために ISE/ISE-PIC にアクセスする識別プロファイルを定義します（「ユーザおよびクライアントソフトウェアの分類」、117 ページ）。
ISE/ISE-PIC ID を使用して、ユーザ要求の条件とアクションを定義するアクセスポリシーを設定します（「ポリシーの設定」、191 ページ）。

ISE/ISE-PIC からの ISE/ISE-PIC ERS サーバ詳細情報の取得

ISE/ISE-PIC で Cisco ISE の REST API（API で HTTPS ポート 9060 を使用）を有効にします。

（注）

グループに基づいてセキュリティポリシーを設定するには、Web セキュリティアプライアンスで ISE 外部 RESTful サービス（ERS）を有効にする必要があります（[ネットワーク（Network）] > [Identity Services Engine]）。これは、バージョン 11.7 以降に適用されます。

ISE
- [管理（Administration）] > [設定（Settings）] > [ERS設定（ERS Settings）] > [プライマリ管理ノードのERS設定（ERS settings for primary admin node）] > [ERSを有効化する（Enable ERS）] を選択します。
  
  セカンダリノードがある場合は、[その他すべてのノードの読み取り用ERS（ERS for Read for All Other Nodes）] を有効にします。
ISE-PIC
- [設定（Settings）] > [ERS設定（ERS Settings）] > [ERSを有効化する（Enable ERS）] を選択します。

正しい外部 RESTful サービスグループで ISE 管理者を作成していることを確認します。外部 RESTful サービス管理者グループには、ERS API へのフルアクセス（GET、POST、DELETE、PUT）が含まれています。このユーザは、ERS API 要求を作成、読み取り、更新、および削除できます。外部 RESTful サービスオペレータ：読み取り専用アクセス（GET 要求のみ）。
- ISE
  - [管理（Administration）] > [システム（System）] > [管理者アクセス（Admin Access）] > [管理者（Administrators）] > [管理者ユーザ（Admin Users）] を選択します。
- ISE-PIC
  - [管理（Administration）] > [管理者アクセス（Admin Access）] > [管理者ユーザ（Admin Users）] を選択します。

ERS サービスが ISE/ISE-PIC pxGrid ノードではなく別のサーバで使用可能な場合は、プライマリおよびセカンダリ（設定されている場合）サーバのホスト名または IPv4 アドレスが必要です。

詳細については、Cisco Identity Services Engine のドキュメントを参照してください。

ISE/ISE-PIC 統合での VDI（仮想デスクトップインフラストラクチャ）ユーザ認証

使用される送信元ポートに基づいて VDI 環境のユーザの ISE/ISE-PIC による透過的な識別を設定できます。

Cisco Terminal Services（TS）エージェントを VDI サーバにインストールする必要があります。Cisco TS エージェントは、ISE/ISE-PIC にアイデンティティ情報を提供します。アイデンティティ情報には、ドメイン、ユーザ名、および各ユーザが使用するポート範囲が含まれます。

サポートサイト（https://www.cisco.com/c/en/us/support/index.html）から Cisco TS エージェントをダウンロードします。
詳細については、『Cisco Terminal Services (TS) Agent Guide』（https://www.cisco.com/c/en/us/support/security/defense-center/products-installation-and-configuration-guides-list.html）を参照してください。
Cisco TS エージェントと連携するように ISE/ISE-PIC API プロバイダーを設定します。API コールの送信については、Cisco TS エージェントのドキュメントを参照してください。

（注）

VDI 環境ユーザのフォールバック認証はサポートされていません。
シスコターミナルサービスエージェントと Microsoft サーバ設定で、リモートデスクトップセッションの最大数が同じであることを確認します。これにより、誤ったセッション情報が ISE から Web セキュリティアプライアンスに送信されないようにし、新しいセッションの誤認証が回避されます。

Identity Services Engine に関する問題のトラブルシューティング

Identity Services Engine に関する問題

AsyncOS 11.7 for Cisco Web Security Appliances ユーザガイド（一般導入）

偏向のない言語

翻訳について

Book Title

AsyncOS 11.7 for Cisco Web Security Appliances ユーザガイド（一般導入）

Chapter Title