Cisco ASA 5500 シリーズ/Cisco PIX 500 シリーズ Cisco セキュリティ アプライアンス コマンド リファレンス Software Version 7.2(2)

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

shun コマンドを使用すると、攻撃を受けるインターフェイスにブロッキング機能を適用できます。攻撃ホストの IP 送信元アドレスを含むパケットは、ブロッキング機能が手動でまたは Cisco IPS マスター モジュールによって削除されるまで、ドロップされ記録されます。IP 送信元アドレスからのトラフィックはセキュリティ アプライアンスを通過できません。残っている接続はすべて、標準アーキテクチャの一部としてタイムアウトになります。shun コマンドのブロッキング機能は、指定したホスト アドレスとの接続が現在アクティブであるかどうかに関らず適用されます。

ホストの送信元 IP アドレスだけを指定して shun コマンドを使用する場合、デフォルトは 0 となります。攻撃ホストからのトラフィックは許可されません。

shun コマンドは、攻撃のダイナミックなブロックに使用されるため、セキュリティ アプライアンス コンフィギュレーションには表示されません。

インターフェイスを削除すると、そのインターフェイスに適用されている排除もすべて削除されます。新しいインターフェイスを追加する場合や、同じインターフェイス（同じ名前）を置き換える場合、そのインターフェイスを IPS センサーで監視するときは、そのインターフェイスを IPS センサーに追加する必要があります。

例

次の例は、攻撃ホスト（10.1.1.27）が TCP で攻撃対象（10.2.2.89）との接続を作成していることを示しています。接続は、セキュリティ アプライアンス接続テーブル内で次のように記載されています。

shun コマンドを次のように適用したとします。

上のコマンドにより、セキュリティ アプライアンス接続テーブルから接続が削除され、10.1.1.27 からのパケットがセキュリティ アプライアンスを通過できなくなります。攻撃ホストは、セキュリティ アプライアンスの内部にある場合も、外部にある場合もあります。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

物理インターフェイスは、デフォルトではすべてシャットダウンされます。セキュリティ コンテキスト内の割り当て済みインターフェイスは、コンフィギュレーション内ではシャットダウンされません。

 

コマンド履歴

 

使用上のガイドライン

物理インターフェイスは、デフォルトではすべてシャットダウンされます。イネーブルになっているサブインターフェイスをトラフィックが通過できるようにするには、物理インターフェイスを事前にイネーブルにしておく必要があります。マルチ コンテキスト モードの場合、物理インターフェイスまたはサブインターフェイスをコンテキストに割り当てると、インターフェイスはデフォルトではそのコンテキスト内でイネーブルになります。ただし、トラフィックがコンテキスト インターフェイスを通過するためには、そのインターフェイスをシステム コンフィギュレーションでもイネーブルにする必要があります。インターフェイスをシステム実行スペースでシャットダウンすると、そのインターフェイスは、そのインターフェイスを共有しているすべてのコンテキストでダウンします。

例

次の例では、メインのインターフェイスをイネーブルにしています。

次の例では、サブインターフェイスをイネーブルにしています。

次の例では、サブインターフェイスをシャットダウンしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

sla monitor コマンドを使用すると、SLA オペレーションを作成し、SLA モニタ コンフィギュレーション モードに入ります。このコマンドを入力すると、コマンド プロンプトが、SLA モニタ コンフィギュレーション モードに入っていることを示す hostname (config-sla-monitor)# に変更されます。SLA オペレーションがすでに存在していて、タイプがすでに SLA オペレーションに定義されている場合、プロンプトは hostname (config-sla-monitor-echo)# と表示されます。最大で 2000 の SLA オペレーションを作成できます。常時デバッグ可能な SLA オペレーションは 32 だけです。

no sla monitor コマンドは、指定した SLA オペレーションとそのオペレーションの設定に使用したコマンドを削除します。

SLA オペレーションの設定後に、 sla monitor schedule コマンドを使用してそのオペレーションのスケジュールを設定する必要があります。SLA オペレーションのコンフィギュレーションは、オペレーションのスケジュールを設定した後は修正できません。スケジュールを設定した SLA オペレーションのコンフィギュレーションを変更するには、 no sla monitor コマンドを使用して選択済みの SLA オペレーションを完全に削除する必要があります。SLA オペレーションを削除すると、関連付けられている sla monitor schedule コマンドも削除されます。この後に、SLA オペレーションのコンフィギュレーションを再度入力できます。

オペレーションの現在のコンフィギュレーション設定を表示するには、 show sla monitor
configuration コマンドを使用します。SLA オペレーションの操作統計情報を表示するには、 show sla monitor operation-state コマンドを使用します。コンフィギュレーションの SLA コマンドを表示するには、 show running-config sla monitor コマンドを使用します。

例

次の例では、ID が 123 の SLA オペレーションを設定し、ID が 1 のトラッキング エントリを作成して、SLA の到達可能性を追跡しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトは次のとおりです。

• SLA オペレーションは、スケジュールされた時間になるまで、 pending 状態です。この状態では、オペレーションはイネーブルだが、データを収集しません。

• デフォルトの ageout 時間は 0 秒です（無効になりません）。

• デフォルトの life は 3600 秒（1 時間）です。

 

コマンド履歴

 

使用上のガイドライン

SLA オペレーションがアクティブな状態の場合、ただちに情報を収集します。次の点線と W、X、Y、Z は、オペレーションが無効になるまでの段階を示しています。

• W は、 sla monitor コマンドを使用して、SLA オペレーションを設定した時間です。

• X は、SLA オペレーションの開始時間です。ここでオペレーションは「アクティブ」になります。

• Y は、 sla monitor schedule コマンドによって設定された有効期間の終わりを示します（ life 秒は 0 になります）。

• Z は、オペレーションが無効になったことを示します。

オペレーションが無効になるまでの段階として、W が開始時点で、X と Y の間は中断、Y で設定サイズにリセットされて再開されます。SLA オペレーションが無効になると、SLA オペレーションのコンフィギュレーションは実行コンフィギュレーションから削除されます。オペレーションは実行される前に無効になる可能性があります（つまり、Z は X の前に発生する可能性があります）。オペレーションが実行前に無効にならないようにするには、設定時間（X）と開始時間（W）の差異は、無効にならない秒数にする必要があります。

recurring キーワードは、単一の SLA オペレーションのスケジュール設定でのみ使用できます。1 回 sla monitor schedule コマンドを実行するだけで、複数の SLA オペレーションのスケジュールを設定することはできません。繰り返し行われる SLA オペレーションの life 値は、1 日未満にする必要があります。繰り返し行われるオペレーションの ageout 値を「無期限」（値 0 で指定）にするか、 life 値と ageout 値の合計を 1 日より大きい値にする必要があります。recurring オプションを指定しない場合、オペレーションは既存の通常のスケジューリング モードで開始されます。

SLA オペレーションのコンフィギュレーションは、オペレーションのスケジュールを設定した後は修正できません。スケジュールされた SLA オペレーションのコンフィギュレーションを変更するには、 no sla monitor コマンドを使用して、選択した SLA オペレーションを完全に削除します。SLA オペレーションを削除すると、関連付けられている sla monitor schedule コマンドも削除されます。この後に、SLA オペレーションのコンフィギュレーションを再度入力できます。

例

次の例では、4 月 5 日午後 3:00 にデータ収集を開始するようスケジュール設定した SLA オペレーション 25 を示します。このオペレーションは、アクティブでない状態で 12 時間経過すると無効になります。この SLA オペレーションが無効になると、SLA オペレーションのすべてのコンフィギュレーション情報が実行コンフィギュレーションから削除されます。

次の例では、5 分間の遅延の後に、データ収集を開始するようスケジュール設定した SLA オペレーション 1 を示します。1 時間のデフォルトの有効時間が適用されます。

次の例では、データ収集をただちに開始し、無期限に実行するようスケジュール設定された SLA オペレーション 3 を示します。

次の例では、毎日午前 1:30 にデータ収集を自動的に開始するようスケジュール設定された SLA オペレーション 15 を示します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例は、SMTPS コンフィギュレーション モードに入る方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、SMTP サーバは設定されていません。

 

コマンド履歴

 

使用上のガイドライン

例

次の例は、SMTP サーバの IP アドレスとして 10.1.1.24 を設定し、バックアップ SMTP サーバの IP アドレスとして 10.1.1.34 を設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

snmp-map コマンドは、SNMP 検査のパラメータを定義している特定のマップを指定するために使用します。このコマンドを入力すると、システムが SNMP マップ コンフィギュレーション モードに入って、個々のマップを定義するためのさまざまなコマンドを入力できるようになります。SNMP マップを定義した後は、inspect snmp コマンドを使用してマップをイネーブルにします。 class-map 、 policy-map 、および service-policy の各コマンドを使用して、トラフィックのクラスを定義し、inspect コマンドをクラスに適用し、ポリシーを 1 つまたはそれ以上のインターフェイスに適用します。

例

次の例は、SNMP トラフィックを識別し、SNMP マップを定義し、ポリシーを定義して、そのポリシーを外部インターフェイスに適用する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのコミュニティ ストリングは public です。

 

コマンド履歴

 

使用上のガイドライン

SNMP コミュニティ ストリングは、SNMP 管理ステーションと、管理されているネットワーク ノードとの間での共有秘密です。セキュリティ アプライアンスは、キーを使用して、着信 SNMP 要求が有効であるかどうかを判断します。たとえば、サイトにコミュニティ ストリングを指定してから、ルータ、セキュリティ アプライアンス、および管理ステーションに同じストリングを設定できます。セキュリティ アプライアンスはこのストリングを使用しますが、無効なコミュニティ ストリングを持つ要求には応答しません。

例

次の例では、コミュニティ ストリングを wallawallabingbang に設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、連絡先として Pat Johnson を設定します。

 

関連コマンド

 

シンタックスの説明

このコマンドには、引数もキーワードもありません。

 

デフォルト

デフォルトでは、SNMP サーバはイネーブルです。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用すると、SNMP トラップやその他のコンフィギュレーションを設定、再設定せずに、SNMP を簡単にイネーブル/ディセーブルにできます。

例

次の例では、SNMP をイネーブルにし、SNMP のホストとトラップを設定してから、トラップをシステム メッセージとして送信しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのコンフィギュレーションでは、 snmp トラップはすべてイネーブルです（ snmp-server enable traps snmp authentication linkup linkdown coldstart ）。これらのトラップをディセーブルにするには、 snmp キーワードを指定してこのコマンドの no 形式を使用します。ただし、 clear configure snmp-server コマンドは、SNMP トラップをデフォルトのイネーブルに戻します。

このコマンドを入力し、トラップのタイプを指定しない場合、デフォルトは syslog になります（デフォルトの snmp トラップは、 syslog トラップと共に引き続きイネーブルのままです）。

 

コマンド履歴

 

使用上のガイドライン

機能タイプごとにこのコマンドを入力して、個々のトラップまたはトラップのセットをイネーブルにするか、 all キーワードを入力してすべてのトラップをイネーブルにします。

トラップを NMS に送信するには、 logging history コマンドを入力し、 logging enable コマンドを使用してロギングをイネーブルにします。

例

次の例では、SNMP をイネーブルにし、SNMP のホストとトラップを設定してから、トラップをシステム メッセージとして送信しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの UDP ポートは 162 です。

デフォルトのバージョンは 1 です。

 

コマンド履歴

 

使用上のガイドライン

最大で 32 の NMS を指定できます。

例

次の例では、ホストを境界インターフェイスに接続されている 10.1.2.42 に設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト ポートは 161 です。

 

コマンド履歴

例

次の例はリッスン ポートを 192 に設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

例

次の例では、場所を Building 42、Sector 54 として設定します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

このコマンドは、デフォルトではディセーブルになっています。

 

コマンド履歴

例

次の例は SIP 検査ポリシー マップでソフトウェア バージョンを識別する方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

銅線インターフェイスの場合、デフォルトは speed auto です。

ファイバ インターフェイスの場合、デフォルトは no speed nonegotiate です。

 

コマンド履歴

 

使用上のガイドライン

速度は、物理インターフェイスに対してのみ設定します。

ネットワークが自動検出をサポートしていない場合は、速度を特定の値に設定します。

ASA 5500 シリーズ適応型セキュリティ アプライアンスの RJ-45 インターフェイスでは、デフォルトのオートネゴシエーション設定に Auto-MDI/MDIX 機能も含まれています。Auto-MDI/MDIX は、オートネゴシエーション フェーズでストレート ケーブルが検出されると、内部クロスオーバーを実行して、クロス ケーブルによる接続を不要にします。インターフェイスで Auto-MDI/MDIX をイネーブルにするには、速度またはデュプレックス方式のいずれかをオートネゴシエーションに設定する必要があります。速度とデュプレックス方式の両方に明示的に固定値を設定して、両方の設定に関するオートネゴシエーションをディセーブルにすると、Auto-MDI/MDIX もディセーブルになります。

PoE ポートの速度を auto 以外に設定する場合（可能な場合）、IEEE 802.3af をサポートしない Cisco IP Phone とシスコの無線アクセス ポイントは検出されず給電されません。

例

次の例では、速度を 1000BASE-T に設定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

スプリット DNS はディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

ドメインのリストに記述する各エントリは、1 個のスペースを使用して区切ります。エントリの数に制限はありませんが、エントリ文字列の長さは、255 文字を超えることはできません。使用できるのは、英数字、ハイフン（-）、およびピリオド（.）のみです。

no spilit-dns コマンドを引数なしで使用すると、 split-dns none コマンドを発行して作成されたヌル値を含めて、現在の値がすべて削除されます。

例

次の例は、FirstGroup というグループ ポリシーに対して、スプリット トンネリングを介して解決されるドメイン Domain1、Domain2、Domain3、および Domain4 を設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、スプリット トンネリング ネットワークのリストはありません。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ アプライアンスは、スプリット トンネリングを実行するかどうかをネットワーク リストに基づいて判断します。このリストは、プライベート ネットワーク上にあるアドレスのリストで構成される、標準的な ACL です。

no spilit-tunnel-network-list コマンドを引数なしで使用すると、 split-tunnel-network-list none コマンドを発行して作成されたヌル値を含めて、現在のネットワーク リストがすべて削除されます。

例

次の例は、FirstGroup というグループ ポリシーに対して、FirstList というネットワーク リストを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト（tunnelall）では、スプリット トンネリングはディセーブルです。

 

コマンド履歴

 

使用上のガイドライン

スプリット トンネリングは、本来はセキュリティ機能ではなくトラフィック管理機能です。最適なセキュリティを確保するには、スプリット トンネリングをイネーブルにしないことをお勧めします。

例

次の例は、FirstGroup というグループ ポリシーに対して、指定したネットワークのみトンネリングするスプリット トンネリング ポリシーを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

WebVPN ストリームは spoof-server コマンドの対象になりません。

例

次の例では、HTTP 検査ポリシー マップでサーバ ヘッダー フィールドの文字列を置き換える方法を示します。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

ssh ip_address コマンドは、セキュリティ アプライアンスへの SSH 接続の開始を認可するホストまたはネットワークを指定します。複数の ssh コマンドをコンフィギュレーションに含めることができます。このコマンドの no 形式は、特定の ssh コマンドをコンフィギュレーションから削除します。すべての ssh コマンドを削除するには、 clear configure ssh コマンドを使用します。

SSH を使用してセキュリティ アプライアンスに接続するには、 crypto key generate rsa コマンドを使用して、デフォルトの RSA キーをあらかじめ生成しておく必要があります。

セキュリティ アプライアンスでは、次のセキュリティ アルゴリズムと暗号がサポートされています。

• データ暗号化のための 3DES 暗号と AES 暗号

• パケットの完全性を保証するための HMAC-SHA アルゴリズムと HMAC-MD5 アルゴリズム

• ホスト認証のための RSA 公開キー アルゴリズム

• キー交換のための Diffie-Hellman Group 1 アルゴリズム

セキュリティ アプライアンスでは、次の SSH バージョン 2 機能はサポートされていません。

• X11 転送

• ポート転送

• SFTP サポート

• Kerberos と AFS のチケットの引き渡し

• データ圧縮

例

次の例は、IP アドレスが 10.1.1.1 である管理コンソールからの SSH バージョン 2 接続を受け入れるように内部インターフェイスを設定する方法を示しています。アイドル セッション タイムアウトを 60 分に設定し、SCP をイネーブルにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

セッション ID を指定する必要があります。切断する SSH セッションの ID を取得するには、 show ssh sessions コマンドを使用します。

例

次の例は、SSH セッションが切断される様子を示しています。

 

関連コマンド

 

シンタックスの説明

このコマンドには、キーワードも引数もありません。

 

デフォルト

デフォルトの動作や値はありません。

 

コマンド履歴

 

使用上のガイドライン

SCP は、サーバ専用の実装です。SCP のための接続を受け入れること、および終了することはできますが、開始することはできません。セキュリティ アプライアンスでは、次の制限事項があります。

• SCP のこの実装では、ディレクトリをサポートしていないため、セキュリティ アプライアンスの内部ファイルへのリモート クライアント アクセスだけを実行できます。

• SCP 使用時は、バナーをサポートしていません。

• SCP はワイルドカードをサポートしません。

• SSH バージョン 2 接続をサポートするには、セキュリティ アプライアンスのライセンスに VPN-3DES-AES 機能が含まれている必要があります。

例

次の例は、IP アドレスが 10.1.1.1 である管理コンソールからの SSH バージョン 2 接続を受け入れるように内部インターフェイスを設定する方法を示しています。アイドル セッション タイムアウトを 60 分に設定し、SCP をイネーブルにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトのセッション タイムアウト値は 5 分です。

 

コマンド履歴

 

使用上のガイドライン

ssh timeout コマンドは、セッションが切断されるまでにアイドル状態を維持する時間（分）を指定します。デフォルトの時間は 5 分です。

例

次の例は、IP アドレスが 10.1.1.1 である管理コンソールからの SSH バージョン 2 接続のみを受け入れるように内部インターフェイスを設定する方法を示しています。アイドル セッション タイムアウトを 60 分に設定し、SCP をイネーブルにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、SSH バージョン 1 と SSH バージョン 2 の両方がサポートされます。

 

コマンド履歴

 

使用上のガイドライン

1 と 2 は、セキュリティ アプライアンスが使用する SSH のバージョンをいずれかに限定するように指定します。このコマンドの no 形式は、セキュリティ アプライアンスをデフォルトの状態である互換モード（両方のバージョンを使用可能）に戻します。

例

次の例は、IP アドレスが 10.1.1.1 である管理コンソールからの SSH バージョン 2 接続を受け入れるように内部インターフェイスを設定する方法を示しています。アイドル セッション タイムアウトを 60 分に設定し、SCP をイネーブルにしています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト値は、 any です。

 

コマンド履歴

 

使用上のガイドライン

TCP ポート転送は、WebVPN ユーザが一部の SSL バージョンを使用して接続している場合には機能しません。次に説明を示します。

問題となるのは、ポート転送アプリケーションを起動したときに、Java はクライアントの Hello パケットで SSLv3 のみをネゴシエートする点です。

例

次の例は、SSL クライアントとして動作するときに、TLSv1 だけを使用して通信するようにセキュリティ アプライアンスを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、すべてのアルゴリズムが次の順序で使用可能になっています。

[ 3des-sha1 ] [ des-sha1 ] [ rc4-md5 ] [ possibly others ]

 

コマンド履歴

 

使用上のガイドライン

ASDM のライセンス タブでは、設定する値ではなく、ライセンスがサポートする暗号化の最大レベルが反映されます。

例

次の例は、3des-sha1 暗号化アルゴリズムと des-sha1 暗号化アルゴリズムを使用するようにセキュリティ アプライアンスを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルト値は、 any です。

 

コマンド履歴

 

使用上のガイドライン

TCP ポート転送は、WebVPN ユーザが一部の SSL バージョンを使用して接続している場合には機能しません。次に説明を示します。

電子メールプロキシを設定する場合は、SSL バージョンを tlsv1-only に設定しないでください。Outlook と Outlook Express は、TLS をサポートしていません。

例

次の例は、SSL サーバとして動作するときに、TLSv1 だけを使用して通信するようにセキュリティ アプライアンスを設定する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

トラストポイントの関連付けはありません。セキュリティ アプライアンスは、デフォルトの自己生成 RSA キー ペア証明書を使用します。

 

コマンド履歴

 

使用上のガイドライン

このコマンドを使用する場合は、次の注意事項に従ってください。

• trustpoint の値は、 crypto ca trustpoint {name } コマンドで設定した CA トラストポイントの名前にする必要があります。

• interface の値は、事前設定済みのインターフェイスの nameif 名にする必要があります。

• トラストポイントを削除すると、そのトラストポイントを参照している ssl trust-point エントリもすべて削除されます。

• ssl trustpoint エントリは、インターフェイスごとに 1 つずつ、およびインターフェイスの指定がないもの 1 つを保持できます。

• 同じトラストポイントを複数のエントリで再利用できます。

次の例は、このコマンドの no 形式を使用する方法を示しています。

このコンフィギュレーションには、次の SSL トラストポイントが含まれています。

次のコマンドを発行します。

show run ssl を実行すると、次のように表示されます。

例

次の例は、内部インターフェイス用の FirstTrust という SSL トラストポイント、および関連するインターフェイスを持たない DefaultTrust というトラストポイントを設定する方法を示しています。

次の例は、このコマンドの no 形式を使用して、関連するインターフェイスを持たないトラストポイントを削除する方法を示しています。

次の例は、インターフェイスが関連付けられているトラストポイントを削除する方法を示しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの値や動作はありません。

 

コマンド履歴

 

使用上のガイドライン

シングル サインオンは、WebVPN でのみサポートされています。これにより、ユーザはユーザ名とパスワードを 1 度入力すると、再入力しなくてもさまざまなサーバで各種のセキュアなサービスにアクセスできます。 sso-server コマンドを使用して SSO サーバを作成できます。SSO サーバを作成したら、認証 URL（ web-agent-url コマンドを参照）、 およびサーバとのコミュニケーションを保護するための秘密鍵（ policy-server-secret コマンドを参照）を任意の順序で設定する必要があります。

認証では、セキュリティ アプライアンスは SSO サーバへの WebVPN ユーザのプロキシとして動作します。現在、セキュリティ アプライアンスは、Computer Associates の eTrust SiteMinder SSO サーバ（以前の Netegrity SiteMinder）をサポートしています。したがって、タイプのオプションに使用できる引数は siteminder です。

例

webvpn コンフィギュレーション モードで入力した次の例では、「example」という名前の SSO サーバを作成しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

グループに割り当てられたデフォルト ポリシーは DfltGrpPolicy です。

 

コマンド履歴

 

使用上のガイドライン

シングル サインオンは、WebVPN でのみサポートされています。これにより、ユーザはユーザ名とパスワードを 1 度入力すると、再入力しなくてもさまざまなサーバで各種のセキュアなサービスにアクセスできます。グループ ポリシーの webvpn モードで sso-server value コマンドを入力すると、SSO サーバをグループ ポリシーに割り当てることができます。

（注） 同じコマンド（sso-server value）をユーザ名の webvpn コンフィギュレーション モードで入力すると、SSO サーバをユーザ ポリシーに割り当てることができます。

例

次の例は、コマンドによって my-sso-grp-pol という名前のグループ ポリシーを作成し、そのグループ ポリシーを example という名前の SSO サーバに割り当てます。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトでは、ユーザ ポリシーはグループ ポリシーの SSO サーバ割り当てを使用します。

 

コマンド履歴

 

使用上のガイドライン

シングル サインオンは、WebVPN でのみサポートされています。これにより、ユーザはユーザ名とパスワードを 1 度入力すると、再入力しなくてもさまざまなサーバで各種のセキュアなサービスにアクセスできます。 sso-server value コマンドを使用すると、SSO サーバをユーザ ポリシーに割り当てることができます。

（注） 同じコマンド（sso-server value）をグループの webvpn コンフィギュレーション モードで入力すると、SSO サーバをグループ ポリシーに割り当てることができます。

例

次のコマンドの例では、my-sso-server という名前の SSO サーバを、Anyuser というユーザ名の WebVPN ユーザのユーザ ポリシーに割り当てています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの値や動作はありません。

 

コマンド履歴

 

使用上のガイドライン

セキュリティ アプライアンスの WebVPN サーバは、認証 Web サーバにシングル サインオン認証要求を送信するために HTTP POST 要求を使用できます。認証 Web サーバは、Set-Cookie ヘッダーをログイン ページのコンテンツと共に送信することにより、事前ログイン シーケンスを実行できます。ブラウザで認証 Web サーバのログイン ページに直接接続すると、この実行を検出できます。ログイン ページがロードされるときに Web サーバがクッキーを設定し、そのクッキーが次のログイン セッションに関連している場合は、クッキーが取得される URL に入るために start-url コマンドを使用する必要があります。実際のログイン シーケンスは、事前ログイン クッキー シーケンスの後で、認証 Web サーバへのフォーム提出により開始されます。

（注） start-url コマンドは、事前ログインのクッキー交換が存在する場合にだけ必要です。

例

AAA サーバ ホスト コンフィギュレーション モードで入力された次の例では、
https://example.com/east/Area.do?Page-Grp1 の事前ログイン クッキーを取得するための URL を指定しています。

 

関連コマンド

 

シンタックスの説明

 

デフォルト

デフォルトの動作や値はありません。