クラス マップを作成します。class-map type inspect scansafe [match-all | match-any] class_map_name

hostname(config)# class-map type inspect scansafe match-any whitelist1

ホワイトリストに記載されたユーザおよびグループを指定します。

ScanSafe インスペクション ポリシー マップを作成します。HTTP と HTTPS に対して別々のマップを定義する必要があります。

1. ScanSafe インスペクション ポリシー マップを作成します。policy-map type inspect scansafe policy_map_name

   policy_map_name には、ポリシー マップの名前を指定します。CLI はポリシー マップ コンフィギュレーション モードに入ります。

2. パラメータ コンフィギュレーション モードを開始します。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

3. 1 つまたは複数のパラメータを設定します。次のオプションを設定できます。オプションをディセーブルにするには、コマンドの no 形式を使用してください。

   • {ip | https}：このマップのサービス タイプ。マップごとに 1 つのサービス タイプしか指定できないため、HTTP と HTTPS に対して別々のマップが必要です。

   • default {[user username] [group groupname]}：（任意）デフォルトのユーザまたはグループ名、あるいはその両方。ASA に入ってくるユーザのアイデンティティを ASA が判別できない場合、デフォルトのユーザやグループがクラウド Web セキュリティに送信される HTTP 要求に含まれます。このユーザ名またはグループ名に対して ScanCenter のポリシーを定義できます。

4. （任意）ホワイトリストを定義した場合、クラスを識別し、whitelist コマンドを使用してホワイトリストとしてマークします。

   
   hostname(config-pmap-p)# class whitelist1
   hostname(config-pmap-c)# whitelist
   
   

5. このプロセスを繰り返して、他のプロトコル、HTTP、または HTTPS のインスペクション ポリシー マップを作成します。

クラウド Web セキュリティにリダイレクトするトラフィックのクラスを定義します。

1. ACL を作成して（access-list extended コマンド）、クラウド Web セキュリティに送信するトラフィックを識別します。HTTP と HTTPS のトラフィックに対して別々の ACL を作成する必要があります。クラウド Web セキュリティは HTTP/HTTPS トラフィックでのみ機能するため、ACL に定義されたその他のトラフィックは無視されます。

   許可 ACE は、クラウド Web セキュリティに一致したトラフィックを送信します。拒否 ACE は、クラウド Web セキュリティに送信されないように、トラフィックをサービス ポリシー ルールから免除します。プロトコルに tcp を使用して、ポート（HTTP の場合は 80、HTTPS の場合は 443）を識別します。

   ACL を作成する場合は、インターネット宛ての適切なトラフィックを照合し、他のインターネット ネットワーク宛てのトラフィックを照合しないようにする方法を考慮します。たとえば、宛先が DMZ の内部サーバである場合に内部トラフィックがクラウド Web セキュリティに送信されないようにするには、DMZ へのトラフィックを免除する ACL に拒否 ACE を追加します。

   FQDN ネットワーク オブジェクトは、特定のサーバへのトラフィックを免除するのに役立つ場合があります。また、アイデンティティ ファイアウォールのユーザ引数と Cisco Trustsec セキュリティ グループを使用して、トラフィックを識別できるようにすることも可能です。クラウド Web セキュリティに TrustSec セキュリティ グループ情報を送信しないことに注意してください。セキュリティ グループに基づいてポリシーを定義できません。

   ポリシーに必要な数の ACL を作成します。任意の数のトラフィック クラスにリダイレクションを適用できます。

   例:

   次に、2 つのサーバへの HTTP トラフィックを免除しても、残りのトラフィックを含める例を示します。HTTPS トラフィックに重複 ACL を作成します。この場合、ポートを 443 に変更するだけです。

   
   hostname(config)# object network cisco1
   hostname(config-object-network)# fqdn www.cisco.com
   
   hostname(config)# object network cisco2
   hostname(config-object-network)# fqdn tools.cisco.com
   
   hostname(config)# access-list SCANSAFE_HTTP extended deny tcp any4 object cisco1 eq 80
   hostname(config)# access-list SCANSAFE_HTTP extended deny tcp any4 object cisco2 eq 80
   hostname(config)# access-list SCANSAFE_HTTP extended permit tcp any4 any4 eq 80
   
   

2. 定義した ACL ごとにトラフィック クラスを作成します。

   
   hostname(config)# class-map class_name
   hostname(config-cmap)# match access-list acl_name
   
   

   例:

   
   hostname(config)# class-map cws_class1
   hostname(config-cmap)# match access-list SCANSAFE_HTTP
   hostname(config)# class-map cws_class2
   hostname(config-cmap)# match access-list SCANSAFE_HTTPS
   
   

トラフィックをクラウド Web セキュリティにリダイレクトするようにポリシー マップを作成または編集します。

1. クラス マップ トラフィックで実行するアクションを設定するポリシー マップを追加または編集します。policy-map name

   デフォルト設定では、global_policy ポリシー マップはすべてのインターフェイスにグローバルに割り当てられます。global_policy を編集する場合は、ポリシー名として global_policy を入力します。各インターフェイスにポリシー マップを 1 つだけ適用するか、またはグローバルに適用できます。

   例:

   
   hostname(config)# policy-map global_policy
   
   

2. クラウド Web セキュリティ インスペクション用に作成したトラフィック クラス マップの 1 つを識別します。class name

   例:

   
   hostname(config-pmap)# class cws_class1
   
   

3. クラスの ScanSafe インスペクションを設定します。

   inspect scansafe scansafe_policy_map [fail-open | fail-close]

   それぞれの説明は次のとおりです。

   • scansafe_policy_map は、ScanSafe インスペクション ポリシー マップです。クラス マップおよびポリシー マップでプロトコルを照合していることを確認します（HTTP/HTTPS）。

   • fail-open を指定すると、クラウド Web セキュリティ サーバを使用できない場合にトラフィックが ASA を通過できます。

   • fail-close を指定すると、クラウド Web セキュリティ サーバを使用できない場合にすべてのトラフィックがドロップされます。 fail-close がデフォルトです。

   例:

   
   hostname(config-pmap-c)# inspect scansafe cws_inspect_pmap1 fail-open
   
   

   （注）	別の ScanSafe インスペクション ポリシー マップを使用するためにデフォルト グローバル ポリシー（または使用中のポリシー）を編集する場合は、 no inspect scansafe コマンドで ScanSafe インスペクションを削除し、新しいインスペクション ポリシー マップの名前で再追加してください。

4. 他のプロトコルのクラスを追加し、インスペクションをイネーブルにします。追加クラスがある場合には、それらも追加します。

   
   hostname(config-pmap)# class cws_class2
   hostname(config-pmap-c)# inspect scansafe cws_inspect_pmap2 fail-open
   
   

既存のサービス ポリシー（たとえば、global_policy という名前のデフォルト グローバル ポリシー）を編集している場合は、以上で終了です。それ以外の場合は、1 つまたは複数のインターフェイスでポリシー マップをアクティブにします。

hostname(config)# service-policy global_policy global

アクティブな ACL でまだ使用されていない ScanCenter ポリシーで使用するグループを識別します。必要に応じて、ローカル ユーザ グループ オブジェクトを作成します。

AD エージェントからグループ情報をダウンロードします。

hostname(config)# user-identity monitor user-group CISCO\\Engineering