CTS SGACL サポートについては、Protected Access Credential（PAC）と環境データのダウンロードが、ダイナミック SGACL のデバイスで設定されていること。

• プラットフォームあたりでサポートされている TrustSec 機能のリストおよび IOS リリースの最小要件については、次の URL の Cisco TrustSec プラットフォーム サポート マトリックス [英語] を参照してください：http://www.cisco.com/en/US/solutions/ns170/ns896/ns1051/trustsec_matrix.html

• SGACL の適用は、管理インターフェイスではサポートされていません。

• ダイナミック SGACL のダウンロード サイズは、6 KB に制限されています。

• Port-Channel インターフェイスの SGACL 適用は検証されていません。

• VRF aware SGT 設定では、Cisco IOS XE Denali 16.3 は、VRF 管理インターフェイスではありませんが、ISE 通信をサポートしています。管理インターフェイスを通じた ISE 通信はサポートされていません。

• 6 KB の拡張制限は、ダイナミック SGACL のみです。スタティック SGACL は、256*256 マトリックスのような高い拡張性をサポートできます。

• SGACL の適用は、リンクローカル IPv6 送信元/宛先アドレスを持つ IPv6 パケットについてはバイパスされます。

• IPv6 マルチキャストトラフィックの SGACL 適用はバイパスされます。

• Cisco IOS XE Bengaluru 17.4.1 以降では、VRF を認識するように自動テスターを設定できます。automate-tester コマンドで vrf キーワードを使用すると、デフォルト以外の VRF の自動テスト機能を有効化します。

  （注）	VRF 対応の自動テスターを機能させるには、global config ipv4/ipv6 source interface interface-name vrf vrf-name コマンドを設定する必要があります。

セキュリティ グループ アクセス コントロール リスト（SGACL）はポリシーの適用です。これによって管理者は、セキュリティ グループの割り当てと宛先リソースに基づいてユーザが実行する操作を制御できます。Cisco TrustSec ドメイン内のポリシーの適用は、軸の 1 つが送信元セキュリティ グループ番号、もう 1 つの軸が宛先セキュリティ グループ番号である、アクセス許可マトリックスで表示されます。マトリックス内の各セルには、SGACL の番号付きリストが含まれます。ここでは、送信元セキュリティ グループに属し宛先セキュリティ グループに属する宛先 IP を持つ、IP から送信されるパケットに適用される必要があるアクセス権限を指定します。

Cisco TrustSec の事前導入段階で、管理者は、モニターモードを使用して、ポリシーが意図したとおりに機能することを確認するために、セキュリティポリシーを適用しない状態でテストします。セキュリティポリシーが意図したとおり機能しない場合には、モニターモードが、その問題を識別するための便利なメカニズムと、SGACL の適用を有効にする前にポリシーを修正する機会を提供します。これにより、管理者は、ポリシーを適用する前にポリシー アクションの結果をより可視的に確認でき、対象のポリシーがセキュリティ要件を満たしている（ユーザーが認証されなければリソースへのアクセスは拒否される）ことを確認できます。

モニタリング機能は、SGT-DGT ペア レベルで提供されます。SGACL モニター モード機能を有効にすると、拒否アクションがライン カード上の ACL 許可として実装されます。これにより、SGACL カウンタおよびロギングでは、接続が SGACL ポリシーによりどう処理されているかを表示できます。すべてのモニター対象トラフィックが許可されるため、SGACL モニターモードでは、SGACL によるサービスの中断はありません。

cts role-based enforcement コマンドを使用すると、SGACL のグローバルな適用を有効にして、特定のインターフェイスでは無効にすることができます。また、SGACL の適用は、グローバルで有効化しなくても、特定のインターフェイスで有効化できます。

インターフェイスでの SGACL ポリシーの適用を有効化するには、次のタスクを実行します。

enable
configure terminal
interface GigabitEthernet 0/1/1
cts role-based enforcement

SGACL は、次のコマンドを使用して、拡張名前付き ACL と同様に定義されます。

Device(config)#ipv6 access-list role-based sgacl1
IPV6 Role-based Access List Configuration commands:
  default   Set a command to its defaults
  deny      Specify packets to reject
  exit      Exit from access-list configuration mode
  no        Negate a command or set its defaults
  permit    Specify packets to forward
  remark    Access list entry comment
  sequence  Sequence number for this entry

Device(config)#cts role-based permissions from 100 to 200
  WORD  Role-based Access-list name
  ipv4  Protocol Version - IPv4
  ipv6  Protocol Version - IPv6

このコマンドは、特定 <SGT, DGT> ペアの RBACL のリストを定義、置換、または削除します。このポリシーは、同じ SGT、DGT に対するダイナミックなポリシーがない場合に有効になります。デフォルトでは、IPv4 タイプの RBACL のみをアタッチできます。IPv6 SGACL を追加するには、ipv6 を明示的に指定します。

SGACL ポリシーを手動で設定するには、次のタスクを実行します。

enable
configure terminal
ip access-list role-based allow_webtraff
10 permit tcp dst eq 80
20 permit tcp dst eq 443
cts role-based permissions from 55 to 66 allow_webtraff
end

ダウンロードされた SGACL ポリシーを更新するには、次のタスクを実行します。

enable
cts refresh policy

または

enable
cts refresh policy sgt 10

SGACL モニターモードを設定する前に、Cisco TrustSec が有効になっていることを確認してください。

（注）	デバイスレベルのモニターモードは、いずれかの設定が適用されないかぎり、デフォルトでは有効になりません。ISE からダウンロードされた SGACL の場合、ISE からのモニターモードの状態が常に優先されます。これは、セルごとのモニターモードと、すべてのセルに適用されるグローバルモニターモードの両方に適用されます。

 
configure terminal
cts role-based monitor enable
cts role-based monitor permissions from 2 to 3 ipv4
show cts role-based permissions from 2 to 3 ipv4
show cts role-based counters ipv4

IPv6 SGACL のアクセス制御エントリ（ACE）を定義するには、次の CLI が使用されます。

Device(config)#ipv6 access-list role-based sgacl1
Device(config-ipv6rb-acl)#permit ipv6
Device(config-ipv6rb-acl)#exit
Device(config)#cts role-based permissions from 100 to 200 ipv6 sgacl1
  

（注）	IPv6 ACL 設定はスタティック SGACL 用であり、ダイナミック SGACL の場合は、ACE が ISE で設定されます。

次に、ダウンロードした SGACL ポリシーをリフレッシュするための設定例を示します。このコマンドは特権 EXEC モードで実行されます。

Router#cts refresh policy
Router#cts refresh policy sgt