Cisco ISE リリース 3.1 は、次のプラットフォームにインストールできます。

表 1. サポートされるプラットフォーム

ハードウェア プラットフォーム	設定
Cisco SNS-3595-K9（大規模）	アプライアンスハードウェアの仕様については、『 Cisco Secure Network Server Appliance Hardware Installation Guide』を参照してください。
Cisco SNS-3615-K9（小規模）
Cisco SNS-3655-K9（中規模）
Cisco SNS-3695-K9（大規模）
Cisco SNS-3715-K9（小規模）*
Cisco SNS-3755-K9（中規模）*
Cisco SNS-3795-K9（大規模）*

インストール後、上記の表に記載されているプラットフォームで、管理、モニターリング、pxGrid などの特定のコンポーネントペルソナを使用して Cisco ISE を設定できます。これらのペルソナに加えて、Cisco ISE では、プロファイリングサービス、セッションサービス、脅威中心型 NAC サービス、TrustSec 用の SXP サービス、TACACS+ デバイス管理サービス、およびパッシブ ID サービスなど、ポリシーサービス内に他のタイプのペルソナが含まれています。

注意

*Cisco ISE 3.1 パッチ 6 以降のバージョンは、Cisco SNS 3700 シリーズ アプライアンスをサポートします。 Cisco ISE 3.1 以降のリリースは、Cisco Secured Network Server（SNS）3515 アプライアンスをサポートしていません。 Cisco SNS 3400 シリーズ アプライアンスは、Cisco ISE リリース 2.4 以降ではサポートされていません。 16 GB 未満のメモリの割り当ては、VM アプライアンスの設定ではサポートされていません。Cisco ISE の動作に問題が発生した場合、すべてのユーザーは、Cisco Technical Assistance Center に連絡する前に割り当てメモリを 16 GB 以上に変更する必要があります。 レガシー アクセス コントロール サーバー（ACS）およびネットワーク アクセス コントロール（NAC）アプライアンス（Cisco ISE 3300 シリーズを含む）は、Cisco ISE リリース 2.0 以降ではサポートされていません。

Cisco ISE は次の仮想環境プラットフォームをサポートしています。

• • ESXi 6.5 の VMware バージョン 9

  • ESXi 6.7 以降の VMware バージョン 14

  Cisco ISE リリース 3.0 以降のリリースでは、VMware ESXi 7.0.3 以降のリリースに更新することを推奨します。

  次のパブリック クラウド プラットフォーム上の VMware クラウドソリューションに Cisco ISE を展開できます。

  • Amazon Web サービス（AWS）の VMware クラウド：Cisco ISE をAWS の VMware クラウドが提供するソフトウェアデファインド データセンターでホストします。

  • Azure VMware ソリューション：Azure VMware ソリューションは、Microsoft Azure 上でネイティブに VMware ワークロードを実行します。Cisco ISE を VMware 仮想マシンとしてホストできます。

  • Google Cloud VMware Engine：Google Cloud VMware Engine は、Google Cloud 上の VMware によってソフトウェアデファインド データセンターを実行します。VMware Engine によって提供されるソフトウェアデファインド データセンターで、VMware 仮想マシンとして Cisco ISE をホストできます。

  （注）	Cisco ISE 3.1 以降では、仮想マシン（VM）インスタンス（任意のペルソナを実行）のホスト間での移行に VMware マイグレーション機能を使用できます。Cisco ISE はホットマイグレーションとコールドマイグレーションの両方をサポートします。ホットマイグレーションは、ライブマイグレーションまたは vMotion とも呼ばれます。ホットマイグレーション中に Cisco ISE をシャットダウンしたり、電源をオフにしたりする必要はありません。可用性を損なうことなく、Cisco ISE VM を移行できます。

• Microsoft Windows Server 2012 R2 以降の Microsoft Hyper-V

• QEMU 2.12.0-99 上の KVM

  （注）	Cisco ISE は OpenStack にインストールできません。

• Nutanix AHV 20201105.2096

次のパブリック クラウド プラットフォーム上に Cisco ISE をネイティブに展開できます。

• Amazon Web Services（AWS）

仮想マシンの要件に関する情報については、お使いの Cisco ISE バージョンの『Cisco Identity Services Engine インストールガイド』を参照してください。

Cisco ISE は、組み込みの連邦情報処理標準（FIPS）140-2 検証済み暗号化モジュール、Cisco FIPS オブジェクト モジュール バージョン 7.2a（証明書 #4036）を使用します。Cisco ISE 3.1 パッチ 1 以降が必要です。FIPS コンプライアンス要求の詳細については、Global Government Certifications を参照してください。

Cisco ISE で FIPS モードが有効になっている場合は、次の点を考慮してください。

• すべての FIPS 非準拠暗号スイートは無効になります。

• 証明書と秘密キーには、FIPS 準拠ハッシュと暗号化アルゴリズムのみを使用する必要があります。

• RSA 秘密キーには、2048 ビット以上を指定する必要があります。

• 楕円曲線デジタル署名アルゴリズム（ECDSA）の秘密キーには、224 ビット以上を指定する必要があります。

• Diffie–Hellman Ephemeral（DHE）暗号方式は 2048 ビット以上の Diffie–Hellman（DH）パラメータを使用して動作します。

• SHA1 は、ISE ローカルサーバー証明書の生成を許可されていません。

• EAP-FAST の匿名 PAC プロビジョニングオプションは無効です。

• ローカル SSH サーバーは FIPS モードで動作します。

• RADIUS の場合、次のプロトコルは FIPS モードではサポートされていません。

  • EAP-MD5

  • PAP

  • CHAP

  • MS-CHAPv1

  • MS-CHAPv2

  • LEAP

Cisco ISE 3.1 は、次のブラウザでサポートされています。

• Mozilla Firefox 123、125、および 127 以降

• Mozilla Firefox ESR 102.4 以前のバージョン

• Google Chrome 122、および 124 以降

• Microsoft Edge 122、および 125 以降

• Safari 18.0 以降

（注）	現在、モバイルデバイスで Cisco ISE GUI にアクセスすることはできません。

サポートされる MDM サーバーは、次のベンダーの製品です。

• 絶対値（Absolute）

• Blackberry：BES

• Blackberry：Good Secure EMM

• Cisco Meraki Systems Manager

• Citrix XenMobile 10.x（オンプレミス）

• Globo

• IBM MaaS360

• Ivanti（旧 MobileIron UEM）、コアおよびクラウド UEM サービス

  Cisco ISE 3.1 におけるランダムおよび変更 MAC アドレスの処理に関するユースケースでは、MobileIron Core 11.3.0.0 ビルド 24 以降のリリースを統合し、GUID 値を受け取る必要があります。

  （注）	一部のバージョンの MobileIron は Cisco ISE では動作しません。MobileIron はこの問題を認識しており、修正があります。詳細については、MobileIron 社までお問い合わせください。

• JAMF Casper Suite

• Microsoft Endpoint Configuration Manager

• Microsoft Endpoint Manager Intune

• Mosyle

• SAP Afaria

• Sophos

• SOTI MobiControl

• Symantec

• Tangoe

• VMware Workspace ONE（以前の AirWatch）

• 42Gears

サーバーを Cisco ISE と統合するためにエンドポイント管理サーバーで実行する必要がある設定については、「Integrate UEM and MDM Servers With Cisco ISE」を参照してください。

ISE コミュニティ リソース How To: Meraki EMM / MDM Integration with ISE

Cisco ISE ポスチャエージェントでサポートされているウイルス対策およびマルウェア対策製品の詳細については、Cisco AnyConnect ISE ポスチャのサポート表を参照してください。

Cisco ISE のクリーンインストールまたは新規インストールでは、SHA1 暗号はデフォルトで無効になっています。ただし、既存のバージョンの Cisco ISE からアップグレードする場合、SHA1 暗号は以前のバージョンのオプションのままです。SHA1 暗号の設定は、[SHA1暗号を許可する（Allow SHA1 Ciphers）] フィールド（[管理（Administration）] > [システム（System）] > [設定（Settings）] > [セキュリティ設定（Security Settings）]）を使用して表示および変更できます。

（注）	この暗号は、管理者ポータルには適用されません。連邦情報処理標準モード（FIPS）で実行している場合、アップグレードでは管理者ポータルから SHA1 暗号が削除されません。

Cisco ISE は、TLS バージョン 1.0、1.1、および 1.2 をサポートします。

Cisco ISE は、RSA および ECDSA サーバー証明書をサポートしています。次の楕円曲線をサポートしています。

• secp256r1

• secp384r1

• secp521r1

（注）	Cisco ISE は、OpenJDK 1.8 の現在の導入における制限により、楕円曲線に関する SHA256withECDSA 署名アルゴリズムを含む中間証明書をサポートしていません。

次の表に、サポートされている暗号スイートが表示されています。

暗号スイート	Cisco ISE が EAP サーバーとして設定されている場合 Cisco ISE が RADIUS DTLS サーバーとして設定されている場合	Cisco ISE が、HTTPS またはセキュア LDAP サーバーから CRL をダウンロードする場合 Cisco ISE がセキュアな LDAP クライアントとして設定されている場合 Cisco ISE が CoA の RADIUS DTLS クライアントとして設定されている場合
TLS 1.0 のサポート	TLS 1.0 が許可されている場合 （DTLS サーバーは DTLS 1.2 のみをサポート） Cisco ISE 2.3 以上では、[TLS 1.0を許可（Allow TLS 1.0）] オプションがデフォルトで無効になっています。このオプションが無効の場合、TLS 1.0 では、TLS ベースの EAP 認証方式（EAP-TLS、EAP-FAST/TLS）および 802.1 X サプリカントがサポートされません。TLS ベースの EAP 認証方式を TLS 1.0 で使用するには、[セキュリティ設定（Security Settings）] ウィンドウの [TLS 1.0 を許可（Allow TLS 1.0） ] チェックボックスをオンにします。Cisco ISE GUI で [メニュー（Menu）] アイコン（）をクリックして選択します。[管理（Administration）] > [システム（System）] > [設定（Settings）] > [プロトコル（Protocols）] > [セキュリティ設定（Security Settings）]。	TLS 1.0 が許可されている場合 （DTLS クライアントは DTLS 1.2 のみをサポート）
TLS 1.1 のサポート	TLS 1.1 が許可されている場合	TLS 1.1 が許可されている場合
ECC DSA 暗号方式
ECDHE-ECDSA-AES256-GCM-SHA384	対応	対応
ECDHE-ECDSA-AES128-GCM-SHA256	対応	対応
ECDHE-ECDSA-AES256-SHA384	対応	対応
ECDHE-ECDSA-AES128-SHA256	対応	対応
ECDHE-ECDSA-AES256-SHA	SHA-1 が許可されている場合	SHA-1 が許可されている場合
ECDHE-ECDSA-AES128-SHA	SHA-1 が許可されている場合	SHA-1 が許可されている場合
ECC RSA 暗号方式
ECDHE-RSA-AES256-GCM-SHA384	ECDHE-RSA が許可されている場合	ECDHE-RSA が許可されている場合
ECDHE-RSA-AES128-GCM-SHA256	ECDHE-RSA が許可されている場合	ECDHE-RSA が許可されている場合
ECDHE-RSA-AES256-SHA384	ECDHE-RSA が許可されている場合	ECDHE-RSA が許可されている場合
ECDHE-RSA-AES128-SHA256	ECDHE-RSA が許可されている場合	ECDHE-RSA が許可されている場合
ECDHE-RSA-AES256-SHA	ECDHE-RSA/SHA-1 が許可されている場合	ECDHE-RSA/SHA-1 が許可されている場合
ECDHE-RSA-AES128-SHA	ECDHE-RSA/SHA-1 が許可されている場合	ECDHE-RSA/SHA-1 が許可されている場合
DHE RSA 暗号方式
DHE-RSA-AES256-SHA256	非対応	対応
DHE-RSA-AES128-SHA256	非対応	対応
DHE-RSA-AES256-SHA	非対応	SHA-1 が許可されている場合
DHE-RSA-AES128-SHA	非対応	SHA-1 が許可されている場合
RSA 暗号方式
AES256-SHA256	対応	対応
AES128-SHA256	対応	対応
AES256-SHA	SHA-1 が許可されている場合	SHA-1 が許可されている場合
AES128-SHA	SHA-1 が許可されている場合	SHA-1 が許可されている場合
3DES 暗号方式
DES-CBC3-SHA	3DES/SHA-1 が許可されている場合	3DES/DSS および SHA-1 が有効になっている場合
DSS 暗号方式
DHE-DSS-AES256-SHA	非対応	3DES/DSS および SHA-1 が有効になっている場合
DHE-DSS-AES128-SHA	非対応	3DES/DSS および SHA-1 が有効になっている場合
EDH-DSS-DES-CBC3-SHA	非対応	3DES/DSS および SHA-1 が有効になっている場合
弱い RC4 暗号方式
RC4-SHA	[許可されているプロトコル（Allowed Protocols）] ページで [脆弱な暗号を許可（Allow weak ciphers）] オプションが有効になっていて、SHA-1 が許可されている場合	非対応
RC4-MD5	[許可されているプロトコル（Allowed Protocols）] ページで [脆弱な暗号を許可（Allow weak ciphers）] オプションが有効になっている場合	非対応
EAP-FAST 匿名プロビジョニングのみの場合： ADH-AES-128-SHA	対応	非対応
ピア証明書の制限
KeyUsage の検証	クライアント証明書では、以下の暗号に対し、KeyUsage=Key Agreement および ExtendedKeyUsage=Client Authentication が必要です。 ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384
ExtendedKeyUsage の検証	クライアント証明書では、以下の暗号に対し、KeyUsage=Key Encipherment および ExtendedKeyUsage=Client Authentication が必要です。 AES256-SHA256 AES128-SHA256 AES256-SHA AES128-SHA DHE-RSA-AES128-SHA DHE-RSA-AES256-SHA DHE-RSA-AES128-SHA256 DHE-RSA-AES256-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA ECDHE-RSA-AES128-SHA EDH-RSA-DES-CBC3-SHA DES-CBC3-SHA RC4-SHA RC4-MD5	サーバー証明書では ExtendedKeyUsage=Server Authentication が必要です