CTS ドメイン内の各セキュリティグループは、セキュリティグループタグ（SGT）と呼ばれる一意の 16 ビットタグが割り当てられます。SGT はネットワーク全体で送信元の権限を示す単一ラベルです。これは、ネットワーク ホップ間で順番に伝搬され、任意の中間デバイス（スイッチ、ルータ）はこれによってアイデンティティ タグに基づいたポリシーを適用できます。

CTS 対応デバイスには、MAC（L2）レイヤ内に組み込まれた SGT を持つパケットを送受信できる、ハードウェア機能が組み込まれています。この機能は、「L2-SGT インポジション」と呼ばれます。これにより、デバイスのイーサネット インターフェイスで L2-SGT インポジションを有効にできるため、そのデバイスはネクスト ホップ イーサネット ネイバーに運ばれるパケット内に SGT を挿入できるようになります。SGT-over-Ethernet は、クリアテキスト（非暗号化）イーサネット パケットに組み込まれた SGT のホップバイホップの伝達方式です。インライン アイデンティティ伝達はスケーラブルで、ほぼラインレートのパフォーマンスを提供し、コントロール プレーンのオーバーヘッドを防ぎます。

SXPv4 機能を備えた Cisco TrustSec は、CTS メタ データ（CMD）ベースの L2-SGT をサポートします。パケットが CTS 対応インターフェイスに入力されると、IP-SGT マッピング データベース（SXP によって構築されたダイナミック エントリや設定コマンドによって構築されたスタティック エントリがある）が分析され、パケットの送信元 IP アドレスに対応する SGT が学習されます。この SGT はパケットに挿入され、CTS ヘッダー内でネットワーク全体に運ばれます。

このタグは、送信元のグループを表しているので、送信元グループ タグ（SGT）としても参照されます。ネットワークの出力エッジでは、パケットの宛先に割り当てられたグループが既知になります。この時点で、アクセス制御を適用できます。CTS を使用すると、セキュリティ グループ アクセス コントロール リスト（SGACL）と呼ばれるアクセス コントロール ポリシーがセキュリティ グループ間で定義されます。任意のパケットから見れば、これは単純にセキュリティ グループから送信され、別のセキュリティ グループに送信されています。

PAC は、クライアントとサーバーの相互認証に使用される一意の共有ログイン情報です。これは、特定のクライアントユーザー名およびサーバー権限識別子（A-ID）に関連付けられます。PAC により、Public Key Infrastructure（PKI）およびデジタル証明書が不要になります。

PAC は次の手順で作成します。

1. サーバー A-ID は、サーバーのみが知っているローカルキー（マスターキー）を保持します。

2. クライアント（この文脈ではイニシエータ アイデンティティ（I-ID）と呼ばれる）がサーバーに PAC を要求すると、サーバーはこのクライアントに対してランダムに一意の PAC キーと PAC-Opaque フィールドを生成します。

3. PAC-Opaque フィールドには、ランダムに生成された PAC キーと、I-ID やキーの有効期間などの他の情報が含まれます。

4. PAC-Opaque フィールドの PAC キー、I-ID、およびライフタイムは、マスターキーで暗号化されます。

5. A-ID を含む PAC-Info フィールドが作成されます。

6. PAC は、クライアントに自動的に配布またはインポートされます。

Note	サーバーは PAC または PAC キーを保持しないため、EAP-FAST サーバーはステートレスになります。

次の図は、PAC の構造を示しています。PAC は、PAC-Opaque、PAC Key、および PAC-Info フィールドで構成されます。PAC-Info フィールドには A-ID が含まれます。

Secure RADIUS では、認証中に PAC キーが各デバイスにプロビジョニングされ、共有秘密が導出されます。RADIUS ACS は各デバイスの PAC キーを保存しないため、クライアントは、PAC-Opaque フィールドを含む追加の RADIUS 属性も送信する必要があります。PAC-Opaque フィールドは可変長のフィールドであり、サーバーだけが解釈して、必要な情報を回復し、ピアのアイデンティティと認証を検証することができます。たとえば、PAC-Opaque フィールドには PAC キーと PAC のピアアイデンティティが含まれていることがあります。

PAC-Opaque フィールドの形式と内容は、発行元の PAC サーバーによって異なります。RADIUS サーバーは、PAC-Opaque フィールドから PAC キーを取得し、クライアントと同じ方法で共有秘密を導出します。Secure RADIUS は、共有秘密の導出方法のみを変更し、その使用方法は変更しません。

EAP-FAST フェーズ 0 は、PAC を使用してクライアントを自動的にプロビジョニングするために使用されます。

HA セットアップでデバイスを展開する場合は、次の手順を実行します。

1. HA セットアップに含まれるすべてのデバイスのログイン情報をクリアします。

2. スタックセットアップを起動し、デバイスロール（アクティブ、スタンバイ、およびメンバー）を確立します。

3. アクティブデバイスのログイン情報を設定します。ログイン情報を設定するには、cts credentials id id password password コマンドを使用します。

Note	既存のスタックに新しいデバイスを追加する場合は、新しいデバイスのログイン情報をクリアしてから、既存のスタックセットアップに追加してください。

CTS では、ネットワーク内の各デバイスがそれ自体を一意に識別する必要があります。TrustSec ネットワーク デバイス アドミッション コントロール（NDAC）認証で使用する場合は、cts credentials コマンドを使用して、別の Cisco TrustSec デバイスでの認証時や、EAP-FAST を使用した PAC（Protected Access Credentials）のプロビジョニングのために、このデバイスが使用する Cisco TrustSec デバイス ID およびパスワードを指定します。CTS のクレデンシャル情報は startup-config ではなくキーストアに保存されているため、CTS のクレデンシャルの状態取得は不揮発性生成（NVGEN）プロセスでは実行されません。これらのクレデンシャルは、キーストアで保存され、running-config を保存する必要性がなくなります。CTS デバイス ID を表示するには、show cts credentials コマンドを使用します。保存されたパスワードは表示されません。

デバイス ID またはパスワードを変更するには、コマンドを再入力します。キーストアをクリアするには、clear cts credentials コマンドを使用します。

（注）	CTS デバイス ID が変更された場合、Protected Access Credential（PAC）は古いデバイス ID に関連付けられており、新しいアイデンティティに対しては有効でないため、すべての PAC はキーストアから消去されます。