Cisco Secure ACS 5.1/5.2 用 Cisco Identity Services Engine Release 1.1.x 移行ガイド

エクスポート

移行プロセスの最初のステージは、Cisco Secure ACS の Programmatic Interface（PI）を使用して ACS データをエクスポートすることです。Cisco Secure ACS と接続し、Cisco Secure ACS データを移行アプリケーションへエクスポートするよう要求するには、クレデンシャルを提供する必要があります。この間に、エクスポートされたデータを Cisco ISE 1.1 アプライアンスへ正常にインポートできるかどうかを確認するために、検証する必要があります。データが不正な場合、このステータスは移行レポートに記録されます。

データの持続性

Cisco ISE は、Cisco Secure ACS から Cisco ISE 1.1 へのアップグレードをサポートしていません。このため、Cisco Secure ACS アプライアンスから Cisco ISE へアップグレードする場合は、Cisco Secure ACS をアンインストールし、Cisco ISE 1.1 イメージでアプライアンスを再作成する必要があります。再作成が行われる前、および次のステージ（インポート）が始まる前に、移行ツールは Cisco Secure ACS データを保持します。保持されているデータは、暗号化形式になっています。

インポート

インポート ステージでは、移行ツールに Cisco Secure ACS からの情報が含まれており、Cisco ISE 1.1 へデータをインポートする準備ができています。Cisco ISE をインストールするのに同じマシンを使用する場合は、Cisco ISE 1.1 イメージで Cisco Secure ACS マシンを再作成し、インポート操作を開始する必要があります。Cisco ISE に対して別のマシンを使用する場合は、インストール直後で何も設定されていないクリーンなマシンを使用しなければなりません。

インポートの進捗を表示するには、Cisco Secure ACS-Cisco ISE Migration Tool のユーザ インターフェイスを使用します。転送中のオブジェクト タイプ、および配信に対して保留中になっているオブジェクトの数を参照できます。このプロセス中のすべてのエラーは、移行レポートに記録されます。

拡張性

移行アプリケーションは、 表 1-2 に記載されているオブジェクトのスケールをサポートしています。

ハイ アベイラビリティ

Cisco Secure ACS-Cisco ISE Migration Tool は、インポートまたはエクスポート操作の各ステージのステートを保持します。これにより、インポートまたはエクスポートで障害が発生したために、いずれかのポイントでインポートまたはエクスポートのプロセスが失敗した場合でも、最初から開始するのではなく、障害の発生前で、発生したタイミングに一番近いチェックポイントから開始することができます。

インポートまたはエクスポートのフェーズで移行プロセスが失敗すると、移行ツールはプロセスを終了します。障害の後で移行を再開すると、ダイアログボックスが表示されます。

前のインポート/エクスポートを再開するか、前のプロセスを廃棄して新しいプロセスを開始するか、選択することができます。前のプロセスを再開することを選択した場合、移行プロセスは最後のオブジェクト タイプから再開されます。障害が発生した時点から再開する場合、前のプロセスから実行するためにレポートも再開されます。

レポート

Cisco Secure ACS-Cisco ISE Migration Tool を使用して、Cisco Secure ACS 5.1/5.2 のデータを Cisco ISE アプライアンスへ移行する場合に、以下の 3 つのレポートを使用できます。

• エクスポート レポート ：Cisco Secure ACS データベースのデータをエクスポートするときに発生した特定の情報またはエラーについて示します。図 1-1 を参照してください。

エクスポート レポートには、エクスポートされるがインポートされないオブジェクトのエラー情報が含まれます。レポートの最後にはデータ分析のセクションがあり、Cisco Secure ACS と Cisco ISE 間のデータの機能ギャップ分析について記載されます。

• インポート レポート ：Cisco ISE アプライアンスへデータをインポートするときに発生した特定の情報またはエラーについて示します。図 1-2 を参照してください。

• ポリシー ギャップ分析レポート ：Cisco Secure ACS と Cisco ISE 間のポリシー ギャップに関連する特定の情報について示します。図 1-3 を参照してください。

Cisco ISE 1.1 は、この新しいレポートを導入しています。このレポートはエクスポートが完了した後で使用できます。レポートを表示するには、ユーザ インターフェイスで [ポリシー ギャップ分析レポート（Policy Gap Analysis Report）] ボタンをクリックします。

いずれかの認証ポリシーまたは許可ポリシーが移行されなかった場合は、ポリシーがこのレポートに記載されます。このレポートには、2 つのポリシーに関連して、矛盾するルールおよび条件がすべて記載されます。また、移行できなかったデータ、および手動で対応した理由についても記載されます。

条件の中には、Cisco ISE の用語を使用して移行できるものがあります。たとえば、「Device Type In」は「Device Type Equals」として移行されます。このような場合には、条件は自動的に移行されます。条件がサポートされている場合、または自動的に変換可能な場合は、その条件はレポートには記載されません。「Not Supported」または「Partially supported」として 1 つ以上の条件が検出された場合、ポリシー全体はインポートされずに、それらの条件がレポートに記載されます。

表 1-3 で、インポート レポートおよびエクスポート レポートのレポート タイプ、メッセージ タイプ、メッセージの内容について説明します。

図 1-1 エクスポート レポートの例

図 1-2 インポート レポートの例

図 1-3 ポリシー ギャップ分析レポートの例

UTF-8 のサポート

Cisco ISE 1.1 は、いくつかの管理設定に対して Universal Character Set Transformation Format 8 ビット（UTF-8）をサポートしています。以下の設定項目は、UTF-8 エンコーディングでエクスポートおよびインポートされます。

• ネットワーク アクセスのユーザ設定

– ユーザ名

– パスワードおよびパスワードの再入力

– 名

– 姓

– E メール

• RSA： RSA プロンプトおよびメッセージは、サプリカントによってエンド ユーザに示されます。

– メッセージ

– プロンプト

• RADIUS トークン ：RADIUS トークン プロンプトは、エンド ユーザのサプリカントに示されます。

– [認証（Authentication）] タブ > [プロンプト（Prompts）]

– 管理設定

– 管理者のユーザ名およびパスワード

– UTF-8 を使用した管理者の設定

• ポリシー :

– [認証（Authentication）] > [AV 式の値（Value for AV expression）]

– [許可（Authorization）] > [その他の条件（Other Conditions）] > [AV 式の値（Value for AV expression）]

– 属性-値の条件

– [認証（Authentication）] > [単純条件/複合条件（Simple Condition/compound Condition）] > [AV 式の値（Value for AV expression）]

– [許可（Authorization）] > [単純条件/複合条件（Simple Condition/compound Condition）] > [AV 式の値（Value for AV expression）]

ISE 802.1X サービスに対する FIPS サポート

連邦処理標準（FIPS）をサポートするために、Cisco Secure ACS-Cisco ISE Migration Tool はデフォルトのネットワーク デバイス キーラップ データを移行します。

（注） 移行プロセスを完了する前に、Cisco ISE FIPS モードは有効にしないでください。

FIPS 準拠およびサポートされているプロトコル：

• Process Host Lookup

• Extensible Authentication Protocol-Translation Layer Security（EAP-TLS）

• Protected Extensible Authentication Protocol（PEAP）

• EAP-Flexible Authentication via Secure Tunneling（FAST）

FIPS 非準拠およびサポート対象外のプロトコル：

• EAP- メッセージ ダイジェスト 5（MD5）

• Password Authentication Protocol および ASCII

• Challenge Handshake Authentication Protocol（CHAP）

• Microsoft Challenge Handshake Authentication Protocol version 1（MS-CHAPv1）

• Microsoft Challenge Handshake Authentication Protocol version 2（MS-CHAPv2）

• Lightweight Extensible Authentication Protocol（LEAP）

Cisco Secure ACS/Cisco ISE バージョンの検証

Cisco Secure ACS-Cisco ISE Migration Tool はエクスポート フェーズを開始する前に、Cisco Secure ACS のバージョンを特定します。Cisco Secure ACS のバージョンが 5.1 よりも古い場合、または 5.2 よりも新しい場合、移行プロセスは開始されません。また、Cisco ISE へデータをインポートする前に、この移行ツールで Cisco ISE のバージョンが 1.1 であることを検証します。