Cisco Defense Orchestrator による ASA の管理

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索

検索結果

Updated:
2022年6月10日金曜日

章のタイトル： ASA デバイスを設定する

ASA デバイスを設定する

この章は、次のセクションで構成されています。

ASA の接続ログイン情報の更新

ASA の導入準備プロセスで、CDO がデバイスに接続するために使用する必要があるユーザー名とパスワードを入力しました。これらのログイン情報がデバイスで変更された場合は、ログイン情報の更新のデバイスアクションを使用して、CDO でもログイン情報を更新します。この機能により、デバイスを再度導入準備することなく、CDO でログイン情報を更新できます。切り替えるユーザー名とパスワードの組み合わせは、ユーザーの ASA または認証、許可、およびアカウンティング（AAA）サーバーにすでに存在している必要があります。このプロセスは、Cisco Defense Orchestrator データベースにのみ影響します。ログイン情報の更新機能を使用しても、ASA の構成は変更されません。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックしてから、[ASA] をクリックします。

ステップ 3

接続ログイン情報を更新する ASA を選択します。1 つ以上の ASA のログイン情報を一度に更新できます。
ステップ 4

[デバイスアクション] ペインで、[ログイン情報の更新] をクリックします。

ステップ 5

ASA を CDO に接続するために使用する Cloud Connector または Secure Device Connector（SDC）を選択します。

ステップ 6

ASA への接続に使用する新しいユーザー名とパスワードを入力します。
ステップ 7

ログイン情報が変更されると、CDO はデバイスを同期します。

（注）   

CDO がデバイスの同期に失敗した場合、CDO の接続ステータスに [無効なログイン情報] と表示されることがあります。その場合は、無効なユーザー名とパスワードの組み合わせを使用した可能性があります。使用するログイン情報が ASA または AAA サーバーに保存されていることを確認して、再試行してください。

ある SDC から別の SDC への ASA の移動

CDO では、テナントごとに複数の SDC の使用をサポートしています。次の手順を使用して、管理対象 ASA を、ある SDC から別の SDC に移動できます。

手順

ステップ 1

CDO メニューバーから、[デバイスとサービス] をクリックします。

ステップ 2

別の SDC に移動する ASA を選択します。
ステップ 3

[デバイスアクション] ウィンドウで、[ログイン情報の更新（Update Credentials）] をクリックします。

ステップ 4

[セキュアデバイスコネクタ（Secure Device Connector）] ボタンをクリックし、デバイスの移動先の SDC を選択します。

ステップ 5

ASA の導入準備に使用した管理者のユーザー名とパスワードを入力し、[更新（Update）] をクリックします。これらの変更をデバイスに展開する必要はありません。

オブジェクト

オブジェクトは、1 つ以上のセキュリティポリシーで使用できる情報のコンテナです。オブジェクトを使用すると、ポリシーの一貫性を簡単に維持できます。単一のオブジェクトを作成し、異なるポリシーを使用して、オブジェクトを変更すると、その変更がオブジェクトを使用するすべてのポリシーに伝播されます。オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。

デバイスを導入準備すると、CDO はそのデバイスで使用されるすべてのオブジェクトを認識して保存し、[オブジェクト] ページにリストします。[オブジェクト] ページから、既存のオブジェクトを編集したり、セキュリティポリシーで使用する新しいオブジェクトを作成したりできます。

CDO では、複数のデバイスで使用されるオブジェクトを共有オブジェクトと呼び、[オブジェクト] ページでこのバッジ でそれらを識別します。

共有オブジェクトが何らかの「問題」を引き起こし、複数のポリシーまたはデバイス間で完全に共有されなくなる場合があります。

  • 重複オブジェクトとは、同じデバイス上にある、名前は異なるが値は同じである 2 つ以上のオブジェクトです。通常、重複したオブジェクトは同じ目的を果たし、さまざまなポリシーによって使用されます。重複するオブジェクトは、この問題のアイコン で識別されます。

  • 不整合オブジェクトとは、2 つ以上のデバイス上にある、名前は同じだが値は異なるオブジェクトです。ユーザーは、さまざまな設定の中で、同じ名前と内容のオブジェクトを作成することがあります。これらのオブジェクトの値が時間の経過につれて相互に異なる値になり、不整合が生じます。不整合オブジェクトは、この問題のアイコン で識別されます。

  • 未使用オブジェクトは、デバイス構成に存在するものの、別のオブジェクト、アクセスリスト、NAT ルールによって参照されていないオブジェクトです。未使用オブジェクトは、この問題のアイコン で識別されます。

[オブジェクト] メニューに移動するか、ネットワークポリシーの詳細でオブジェクトを表示することにより、CDO によって管理されているオブジェクトを表示できます。

CDO を使用すると、サポートされているデバイス全体のネットワークオブジェクトとサービスオブジェクトを 1 つの場所から管理できます。CDO を使用すると、次の方法でオブジェクトを管理できます。

  • さまざまな基準に基づいて、すべてのオブジェクトを検索してフィルタリングします。

  • デバイス上の重複、未使用、および不整合のオブジェクトを見つけて、それらのオブジェクトの問題を統合、削除、または解決します。

  • デバイス間で共通の共有オブジェクトを検出します。

  • 変更をコミットする前に、オブジェクトへの変更が一連のポリシーとデバイスに与える影響を評価します。

  • 一連のオブジェクトとそれらの関係を、さまざまなポリシーやデバイスで比較します。

  • デバイスが CDO に導入準備された後、デバイスによって使用されているオブジェクトをキャプチャします。

導入準備されたデバイスからのオブジェクトの作成、編集、または読み取りで問題が発生した場合は、CDO のトラブルシューティングを参照してください。

オブジェクト タイプ

以下の表では、デバイス用に作成し、CDO を使用して管理できるオブジェクトについて説明します。

表 1. 適応型セキュリティアプライアンス（ASA）のオブジェクトタイプ

オブジェクト

説明

Address Pool

アドレスプールオブジェクトは、個々の IPv4 または IPv6 アドレス、または IP アドレス範囲と照合するように設定できます。

AnyConnect クライアント プロファイル

AnyConnect クライアント プロファイル オブジェクトは、ファイルオブジェクトで、通常はリモートアクセス VPN ポリシーの構成で使用するファイルを表します。このオブジェクトには、AnyConnect クライアントプロファイルと AnyConnect クライアント イメージ ファイルを含めることができます。

ネットワーク（Network）

ホストまたはネットワークのアドレスを定義するネットワーク グループおよびネットワーク オブジェクト（総称してネットワーク オブジェクトと呼ばれます）。

サービス

サービスオブジェクト、サービスグループ、ポートグループは、TCP/IP プロトコルスイートの一部が考慮されたプロトコルまたはポートを含む再利用可能なコンポーネントです。

時間範囲（Time Range）

時間範囲オブジェクトは、開始時刻、終了時刻、およびオプションの繰り返しエントリで構成される特定の時刻を定義します。これらのオブジェクトは、特定の機能またはアセットに時間ベースでアクセスするためにネットワークポリシーで使用されます。

トラストポイント

トラストポイントを使用すると、ASA でデジタル証明書を管理および追跡できます。

共有オブジェクト

Cisco Defense Orchestrator（CDO）では、複数のデバイス上の同じ名前と同じ内容のオブジェクトを共有オブジェクトと呼びます。共有オブジェクトはこのアイコンで識別されます。
これは、[オブジェクト]ページに表示されます。共有オブジェクトを使用すると、1 ヵ所でオブジェクトを変更でき、その変更がそのオブジェクトを使用する他のすべてのポリシーに影響するため、ポリシーの維持が容易になります。共有オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。

共有オブジェクトを調査する場合、CDO ではオブジェクトの内容がオブジェクトテーブルに表示されます。共有オブジェクトの内容はまったく同じです。CDO では、オブジェクトの要素の結合された、つまり「フラット化された」ビューが詳細ペインに表示されます。詳細ペインでは、ネットワーク要素が単純なリストにフラット化されており、名前付きオブジェクトに直接関連付けられていないことに注意してください。

オブジェクトのオーバーライド

オブジェクトのオーバーライドを使用すると、特定のデバイス上の共有ネットワークオブジェクトの値をオーバーライドできます。CDO は、オーバーライドを構成するときに指定したデバイスに対応する値を使用します。これらのオブジェクトは、名前は同じで値が異なる複数のデバイス上にありますが、CDO は、これらの値がオーバーライドとして追加されただけでは、それらを不整合オブジェクトとして識別しません。

ほとんどのデバイスに有効な定義を設定したオブジェクトを作成した後、異なる定義を必要とする少数のデバイスについて、オーバーライドを使用してオブジェクトに対する変更内容を指定できます。また、すべてのデバイスに対してオーバーライドする必要があるオブジェクトを作成し、そのオブジェクトを使用してすべてのデバイスに適用する単一のポリシーを作成することもできます。オブジェクト オーバーライドでは、デバイス全体で使用する共有ポリシーの小さなセットを作成し、個々のデバイスの必要に応じてポリシーを変更できます。

たとえば、各オフィスにプリンタサーバーがあり、プリンタ サーバー オブジェクト print-server を作成しているシナリオを考えてみましょう。ACL には、プリンタサーバーのインターネットへのアクセスを拒否するルールを設定しています。プリンタ サーバー オブジェクトには、オフィスごとに変更できるデフォルト値があります。これを行うには、オブジェクトのオーバーライドを使用し、すべての場所でルールと「printer-server」オブジェクトの一貫性を維持します（値は異なる場合があります）。


（注）  

一貫性のないオブジェクトがある場合は、オーバーライドを使用してそれらを 1 つの共有オブジェクトに結合できます。詳細については、不整合オブジェクトの問題を解決するを参照してください。

オブジェクトの比較

手順

ステップ 1

[オブジェクト] ページを開きます。
ステップ 2

ページのオブジェクトをフィルタ処理して、比較するオブジェクトを見つけます。
ステップ 3

[比較] ボタンをクリックします。
ステップ 4

比較するオブジェクトを最大 3 つまで選択します。

ステップ 5

画面の下部にオブジェクトを並べて表示します。

  • [オブジェクトの詳細] タイトルバーの上下の矢印をクリックして、表示するオブジェクト詳細を調整します。

  • [詳細] ボックスと [関係] ボックスを展開するか折りたたんで、表示する情報を調整します。
ステップ 6

（オプション）[関係] ボックスには、オブジェクトの使用方法が表示されます。オブジェクトはデバイスまたはポリシーに関連付けられている場合があります。オブジェクトがデバイスに関連付けられている場合は、デバイス名をクリックしてから [構成の表示] をクリックして、デバイスの構成を表示できます。CDO はデバイスの構成ファイルを表示し、そのオブジェクトのエントリをハイライトします。

フィルタ

[インベントリ] ページと [オブジェクト] ページのさまざまなフィルタを使用して、探しているデバイスおよびオブジェクトを見つけることができます。

フィルタ処理するには、[デバイスとサービス（Devices and Services）] タブ、[ポリシー（Policies）] タブ、および [オブジェクト] タブの左側のペインで をクリックします。

インベントリフィルタでは、デバイスタイプ、ハードウェアとソフトウェアのバージョン、Snort バージョン、設定ステータス、接続状態、競合検出、Secure Device Connector、およびラベルでフィルタ処理できます。フィルタを適用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。フィルタを使用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。

オブジェクトフィルタを使用すると、デバイス、問題タイプ、共有オブジェクト、関連付けのないオブジェクト、およびオブジェクトタイプでフィルタ処理できます。結果にシステムオブジェクトを含めるかどうかを選択できます。検索フィールドを使用して、特定の名前、IP アドレス、またはポート番号を含むフィルタ結果内のオブジェクトを検索することもできます。

デバイスとオブジェクトをフィルタ処理する場合、検索語を組み合わせて、関連する結果を見つけるためのいくつかの潜在的な検索戦略を作成することができます。

次の例では、「問題（使用されている、または、不整合）があるオブジェクト、かつ、追加の値を持つ共有オブジェクト、かつ、特定のタイプ（ネットワーク、または、サービス）のオブジェクト」であるようなオブジェクトを検索するフィルタが適用されます。

オブジェクトフィルタ

フィルタ処理するには、[オブジェクト] タブの左側のペインで をクリックします。

  • [すべてのオブジェクト]：このフィルタは、CDO で導入準備したすべてのデバイスから使用可能なすべてのオブジェクトを提供します。このフィルタは、すべてのオブジェクトを参照するために、または検索の開始点として、さらにサブフィルタを適用するために役立ちます。

  • [共有オブジェクト]：このクイックフィルタは、複数のデバイスで共有されていることが CDO によって検出されたすべてのオブジェクトを表示します。

  • [デバイスごとのオブジェクト]：特定のデバイスを選択して、選択したデバイスで見つかったオブジェクトを表示できます。

[サブフィルタ]：各メインフィルタ内には、選択をさらに絞り込むために適用できるサブフィルタがあります。これらのサブフィルタは、オブジェクトタイプ（ネットワーク、サービス、プロトコルなど）に基づいています。

このフィルタバーで選択されたフィルタは、以下の条件に一致するオブジェクトを返します。

* 2 つのデバイスのいずれかにあるオブジェクト（[デバイスでフィルタ処理] をクリックしてデバイスを指定します）。AND

* 一貫性のないオブジェクト AND

* ネットワークオブジェクト OR サービスオブジェクト AND

* オブジェクトの命名規則に「グループ」という単語が含まれているオブジェクト

[システムオブジェクトを表示] がオンになっているため、結果にはシステムオブジェクトとユーザー定義オブジェクトの両方が含まれます。

システムオブジェクトを表示フィルタ

一部のデバイスには、一般的なサービス用に事前定義されたオブジェクトがあります。これらのシステム オブジェクトは既に作成されており、ルールやポリシーで使用できるので便利です。オブジェクトテーブルには多くのシステムオブジェクトが含まれる場合があります。システムオブジェクトは編集または削除できません。

[システムオブジェクトを表示] はデフォルトで [オフ] です。オブジェクトテーブルにシステムオブジェクトを表示するには、フィルタバーで [システムオブジェクトを表示] をオンにします。オブジェクトテーブルでシステムオブジェクトを非表示にするには、フィルタバーで [システムオブジェクトを表示] をオフのままにします。

システムオブジェクトを非表示にすると、それらは検索およびフィルタ処理の結果に含まれなくなります。システムオブジェクトを表示すると、それらはオブジェクトの検索とフィルタ処理の結果に含まれます。

オブジェクトフィルタを設定する

条件を必要な数だけ設定してフィルタリングできます。フィルタリングするカテゴリが多いほど、予想される結果は少なくなります。

手順
ステップ 1

ナビゲーションバーで [オブジェクト] をクリックして、[オブジェクト] ページを表示します。

ステップ 2

ページ上部のフィルタアイコン をクリックして、フィルタパネルを開きます。オブジェクトが誤って除外されないように、チェック付きのフィルタのチェックを外します。さらに、検索フィールドを見て、検索フィールドに入力された可能性のあるテキストを削除します。

ステップ 3

結果を特定のデバイスで見つかったものに限定したい場合：

  1. [デバイスでフィルタ処理] をクリックします。

  2. すべてのデバイスを検索するか、デバイスタブをクリックして特定の種類のデバイスのみを検索します。

  3. フィルタ条件に含めるデバイスのチェックボックスをオンにします。

  4. [OK] をクリックします。

ステップ 4

検索結果にシステムオブジェクトを含めるには、[システムオブジェクトを表示] をオンにします。検索結果でシステムオブジェクトを除外するには、[システムオブジェクトを表示] をオフにします。
ステップ 5

[問題] で、フィルタリングするオブジェクトの問題のチェックボックスをオンにします。複数の問題をオンにすると、オンにしたいずれかのカテゴリのオブジェクトがフィルタ結果に含まれます。

ステップ 6

問題があったが管理者によって無視されたオブジェクトを表示する場合は、[無視（Ignored）] の問題をチェックします。
ステップ 7

2 つ以上のデバイス間で共有されるオブジェクトをフィルタリングする場合は、[共有オブジェクト] で必要なフィルタをオンにします。

  • [デフォルト値（Default Values）]：デフォルト値のみを持つオブジェクトをフィルタリングします。

  • [オーバーライド値（Override Values）]：オーバーライドされた値を持つオブジェクトをフィルタリングします。

  • [追加の値（Additional Values）]：追加の値を持つオブジェクトをフィルタリングします。
ステップ 8

ルールまたはポリシーの一部ではないオブジェクトをフィルタリングする場合は、[関連付けなし（Unassociated）] をオンにします。

ステップ 9

フィルタリングする [オブジェクトタイプ（Object Types）] をオンにします。
ステップ 10

オブジェクト名、IP アドレス、またはポート番号を [オブジェクト] 検索フィールドに追加して、フィルタリングされた結果の中から検索条件に一致するオブジェクトを見つけることもできます。
フィルタ基準からデバイスを除外する場合

デバイスをフィルタリング基準に追加すると、結果にはデバイス上のオブジェクトは表示されますが、それらのオブジェクトと他のデバイスとの関係は表示されません。たとえば、ObjectA が ASA1 と ASA2 の間で共有されている場合、オブジェクトをフィルタリングして ASA1 上の共有オブジェクトを検索すると、ObjectA は見つかりますが、[関係] ペインには、オブジェクトが ASA1 にあることだけが表示されます。

オブジェクトが関連するすべてのデバイスを表示するには、検索条件でデバイスを指定しないでください。他の条件でフィルタリングし、必要に応じて検索条件を追加します。CDO が識別するオブジェクトを選択し、[関係] ペインを調べます。そのオブジェクトに関連するすべてのデバイスとポリシーが表示されます。

オブジェクトの無視の解除

未使用、重複、不整合のオブジェクトを解決する方法の 1 つは、それらを無視することです。オブジェクトが未使用、重複、または不整合であっても、その状態には正当な理由があると判断し、オブジェクトの問題を未解決のままにすることを選択する場合もあります。将来のある時点で、これらの無視されたオブジェクトを解決することが必要になる場合があります。オブジェクトの問題を検索するときに CDO は無視されたオブジェクトを表示しないため、無視されたオブジェクトのオブジェクトリストをフィルタリングし、結果に基づいて操作する必要があります。

手順

ステップ 1

[オブジェクト] ページを開きます。
ステップ 2

無視されたオブジェクトをフィルタリングして検索します。

ステップ 3

[オブジェクト] テーブルで、無視を解除するオブジェクトをすべて選択します。一度に 1 つのオブジェクトの無視を解除できます。

ステップ 4

詳細ペインで [無視の解除（Unignore）] をクリックします。
ステップ 5

要求を確認します。これで、オブジェクトを問題でフィルタリングすると、以前は無視されていたオブジェクトが見つかるはずです。

オブジェクトの削除

1 つのオブジェクトまたは複数のオブジェクトを削除できます。

1 つのオブジェクトの削除

1 つのオブジェクトを削除するには、次の手順を実行します。
手順
ステップ 1

[オブジェクト] タブをクリックして、[オブジェクト] ページを開きます。

ステップ 2

オブジェクトフィルタと検索フィールドを使用して、削除するオブジェクトを見つけ、それを選択します。

ステップ 3

[関係] ペインを確認します。オブジェクトがポリシーまたはオブジェクトグループで使用されている場合は、そのポリシーまたはグループから削除するまでオブジェクトを削除できません。

ステップ 4

[アクション] ペインで、[削除] アイコン をクリックします。

ステップ 5

[OK] をクリックしてオブジェクトの削除を確認します。
ステップ 6

行った変更をレビューして展開するか、待機してから複数の変更を一度に展開します。

未使用オブジェクトのグループの削除

デバイスを導入準備してオブジェクトの問題解決に取り組むと、多くの未使用のオブジェクトが見つかります。一度に最大 50 個の未使用オブジェクトを削除できます。

手順
ステップ 1

[問題] フィルタを使用して、未使用のオブジェクトを見つけます。デバイスフィルタを使用する際に [デバイスなし（No Device）] を選択し、デバイスに関連付けられていないオブジェクトを検索することもできます。オブジェクトリストをフィルタリングすると、オブジェクトのチェックボックスが表示されます。

ステップ 2

オブジェクト テーブル ヘッダーの [すべて選択（Select all）] チェックボックスをオンにして、フィルタによって検出されオブジェクトテーブルに表示されるすべてのオブジェクトを選択するか、削除する個々のオブジェクトの個々のチェックボックスをオンにします。

ステップ 3

[アクション] ペインで、[削除] アイコン をクリックします。

ステップ 4

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ネットワーク オブジェクト

1 つのネットワークオブジェクトには、ホスト名、ネットワーク IP アドレス、IP アドレスの範囲、完全修飾ドメイン名（FQDN）または CIDR 表記のサブネットワークのいずれか 1 つを入れることができます。ネットワークグループは、ネットワークオブジェクトと、グループに追加するその他の個々のアドレスまたはサブネットワークの集合体です。ネットワークオブジェクトとネットワークグループは、アクセスルール、ネットワークポリシー、および NAT ルールで使用されます。CDO を使用して、ネットワークオブジェクトとネットワークグループを作成、更新、および削除できます。

表 2. ネットワークオブジェクトで許可される値

デバイス タイプ（Device Type）

[IPv4 / IPv6]

シングル アドレス

アドレス範囲

完全修飾ドメイン名

CIDR 表記法によるサブネット

ASA

IPv4

対応

対応

対応

対応
表 3. ネットワークグループで許可される内容

デバイス タイプ（Device Type）

IP 値

[ネットワーク オブジェクト（Network Object）]

ネットワーク グループ

ASA

対応

対応

対応

ネットワークオブジェクトの表示

CDO を使用して作成するネットワークオブジェクトと、導入準備したデバイスの設定から CDO が認識するネットワークオブジェクトは、[オブジェクト] ページに表示されます。これらのネットワークオブジェクトには、それぞれのオブジェクトタイプのラベルが付けられています。これにより、オブジェクトタイプでフィルタリングして、探しているオブジェクトをすばやく見つけることができます。

[オブジェクト] ページでネットワークオブジェクトを選択すると、オブジェクトの値が [詳細（Detail）] ペインに表示されます。[関係] ペインには、オブジェクトがポリシーで使用されているかどうか、およびオブジェクトが保存されているデバイスが表示されます。

ネットワークグループをクリックすると、そのグループの内容が表示されます。ネットワークグループは、ネットワークオブジェクトによってグループに与えられたすべての値の集合体です。

ASA ネットワークオブジェクトおよびネットワークグループの作成または編集

ASA ネットワークオブジェクトには、CIDR 表記で表現されたホスト名、IP アドレス、またはサブネットアドレスを含めることができます。ネットワークグループは、アクセスルール、ネットワークポリシー、および NAT ルールで使用されるネットワークオブジェクト、ネットワークグループ、および IP アドレスの集合体です。CDO を使用して、ネットワークオブジェクトとネットワークグループを作成、読み取り、更新、および削除できます。

ネットワークオブジェクトに追加できる IP アドレス

デバイス タイプ（Device Type）

[IPv4 / IPv6]

シングル アドレス

アドレス範囲

部分修飾ドメイン名（PQDN）

CIDR 表記によるサブネット

ASA

IPv4

対応

対応

対応

対応

ASA ネットワークオブジェクトの作成

手順
ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

青色のプラスボタン をクリックして、オブジェクトを作成します。

ステップ 3

[ASA] > [ネットワーク（Network）] をクリックします。

ステップ 4

オブジェクト名を入力します。
ステップ 5

[ネットワークオブジェクトの作成] を選択します。
ステップ 6

（任意）オブジェクトの説明を入力します。
ステップ 7

[値] セクションで、次のいずれかの方法で IP アドレス情報を追加します。

  • [eq] を選択し、単一の IP アドレス、CIDR 表記を使用したサブネットアドレス、または部分修飾ドメイン名（PQDN）を入力します。

  • [範囲（range）] を選択し、IP アドレスの範囲を入力します。範囲の開始アドレスと終了アドレスをスペースで区切って入力します。例：10.1.1.1 10.1.1.255。

ステップ 8

[追加（Add）] をクリックします。

重要 

新たに作成されたネットワークオブジェクトは、ルールやポリシーの一部ではないため、いずれの ASA デバイスにも関連付けられていません。それらのオブジェクトを表示するには、オブジェクトフィルタで [関連付けなし（Unassociated）] オブジェクトカテゴリを選択します。詳細については、「オブジェクトフィルタ」を参照してください。デバイスのルールやポリシーに関連付けられていないオブジェクトを使用すると、そのオブジェクトはそのデバイスに関連付けられます。

ASA ネットワーク グループの作成

[ネットワークグループ（Network Group）] には、IP アドレス値、ネットワークオブジェクト、およびネットワークグループを含めることができます。新しい [ネットワークグループ（Network Group）] を作成するときに、名前、IP アドレス、IP アドレス範囲、または FQDN で既存のオブジェクトを検索し、[ネットワークグループ（Network Group）] に追加できます。オブジェクトが存在しない場合は、同じインターフェイスでそのオブジェクトをすぐに作成し、[ネットワークグループ（Network Group）] に追加できます。

手順
ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

青色のプラスボタン をクリックして、オブジェクトを作成します。

ステップ 3

[ASA] > [ネットワーク（Network）] をクリックします。

ステップ 4

[オブジェクト名（Object Name）] を入力します。
ステップ 5

[ネットワークグループの作成（Create a network group）] を選択します。

ステップ 6

（任意）オブジェクトの説明を入力します。
ステップ 7

[値（Values）] フィールドに、値またはオブジェクト名を入力します。入力を開始すると、入力に一致するオブジェクト名または値が CDO によって表示されます。

ステップ 8

表示されている既存のオブジェクトの 1 つを選択するか、入力した名前または値に基づいて新しいオブジェクトを作成できます。
ステップ 9

CDO で一致が検出された場合、既存のオブジェクトを選択するには、[追加（Add）] をクリックして、ネットワークオブジェクトまたはネットワークグループを新しいネットワークグループに追加します。

ステップ 10

存在しない値またはオブジェクトを入力した場合は、次のいずれかを実行できます。

  • [この名前の新しいオブジェクトとして追加（Add as New Object With This Name）] をクリックして、その名前の新しいオブジェクトを作成します。値を入力し、チェックマークをクリックして保存します。

  • [新しいオブジェクトの追加（Add as New Object）] をクリックして、新しいオブジェクトを作成します。オブジェクト名と値は同じです。名前を入力し、チェックマークをクリックして保存します。

  • [値の追加（Add Value）] をクリックして、オブジェクトを使用せずにインライン値を作成します。値を入力し、チェックマークをクリックして保存します。

値がすでに存在していても、新しいオブジェクトは作成できます。それらのオブジェクトに変更を加えて保存できます。

（注）   

編集アイコンをクリックして、詳細を変更できます。削除ボタンをクリックしても、オブジェクト自体は削除されず、代わりに、ネットワークグループから削除されます。
ステップ 11

必要なオブジェクトを追加したら、[保存（Save）] をクリックして新しいネットワークグループを作成します。
ステップ 12

すべてのデバイスの構成変更のプレビューと展開。

ASA ネットワークオブジェクトの編集

手順
ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

オブジェクトフィルタと [検索] フィールドを使用して、編集するオブジェクトを見つけます。
ステップ 3

ネットワークオブジェクトを選択し、[アクション] ペインで編集アイコン をクリックします。
ステップ 4

ダイアログボックスの値を、上記の手順で作成したときと同じ方法で編集します。

（注）   

ネットワークグループからオブジェクトを削除するには、横にある削除アイコンをクリックします。
ステップ 5

[保存（Save）] をクリックします。CDO は、変更の影響を受けるデバイスを表示します。

ステップ 6

[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。

ASA ネットワークグループの編集

手順
ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

オブジェクトフィルタと [検索] フィールドを使用して、編集するネットワークグループを見つけます。
ステップ 3

ネットワークグループを選択し、[アクション] ペインで編集アイコン をクリックします。
ステップ 4

ネットワークグループにすでに追加されているオブジェクトまたはネットワークグループを変更する場合は、次の手順を実行します。

  1. オブジェクト名またはネットワークグループの横に表示される編集アイコン をクリックして、それらを変更します。

  2. チェックマークをクリックして変更内容を保存します。

（注）   

削除アイコンをクリックして、ネットワークグループから値を削除できます。

ステップ 5

ネットワークグループに新しいネットワークオブジェクトまたはネットワークグループを追加する場合は、次の手順を実行する必要があります。

  1. [値（Values）] フィールドに、新しい値または既存のネットワークオブジェクトの名前を入力します。入力を開始すると、入力に一致するオブジェクト名または値が CDO によって表示されます。表示されている既存のオブジェクトの 1 つを選択するか、入力した名前または値に基づいて新しいオブジェクトを作成できます。

  2. CDO で一致が検出された場合、既存のオブジェクトを選択するには、[追加] をクリックして、ネットワークオブジェクトまたはネットワークグループを新しいネットワークグループに追加します。

  3. 存在しない値またはオブジェクトを入力した場合は、次のいずれかを実行できます。

    • [この名前の新しいオブジェクトとして追加（Add as New Object With This Name）] をクリックして、その名前の新しいオブジェクトを作成します。値を入力し、チェックマークをクリックして保存します。

    • [新しいオブジェクトとして追加（Add as New Object）] をクリックして、新しいオブジェクトを作成します。オブジェクト名と値は同じです。名前を入力し、チェックマークをクリックして保存します。

    • [値の追加（Add Value）] をクリックして、オブジェクトを使用せずにインライン値を作成します。値を入力し、チェックマークをクリックして保存します。

値がすでに存在していても、新しいオブジェクトは作成できます。それらのオブジェクトに変更を加えて保存できます。

ステップ 6

[保存（Save）] をクリックします。CDO は、変更の影響を受けるポリシーを表示します。

ステップ 7

[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 8

すべてのデバイスの構成変更のプレビューと展開。

共有ネットワークグループへの追加の値の追加

関連付けられたすべてのデバイスに存在する共有ネットワークグループ内の値は、「デフォルト値」と呼ばれます。CDO を使用すると、共有ネットワークグループに「追加の値」を追加し、それらの値をその共有ネットワークグループに関連付けられたいくつかのデバイスに割り当てることができます。CDO がデバイスに変更を展開するときに、内容が決定され、「デフォルト値」が共有ネットワークグループに関連付けられているすべてのデバイスにプッシュされ、「追加の値」が指定されたデバイスにのみプッシュされます。

たとえば、本社に 4 つの AD メインサーバーがあり、すべての拠点からアクセスできる必要があるシナリオを考えてみます。この状況で、すべての拠点で使用する「Active-Directory」という名前のオブジェクトグループを作成しました。ここで、ブランチオフィスの 1 つにさらに 2 つの AD サーバーを追加します。これを行うには、オブジェクトグループ「Active-Directory」で、ブランチオフィスに固有の追加値として詳細を追加します。これら 2 つのサーバーは、オブジェクト「Active-Directory」が一貫しているか、または共有されているかの判断には関与しません。したがって、4 つの AD メインサーバーはすべての拠点からアクセスできますが、ブランチオフィス（2 つの追加サーバーがある）は 2 つの AD サーバーと 4 つの AD メインサーバーにアクセスできます。


（注）  

一貫性のない共有ネットワークグループがある場合は、追加の値を使用してそれらを 1 つの共有ネットワークグループに結合できます。詳細については、「不整合オブジェクトの問題を解決する」を参照してください。

手順
ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

オブジェクトフィルタと検索フィールドを使用して、編集する共有ネットワークグループを見つけます。
ステップ 3

[アクション] ペインにある編集アイコン をクリックします。

  • [デバイス] フィールドには、共有ネットワークグループが存在するデバイスが表示されます。

  • [使用（Usage）] フィールドには、共有ネットワークグループに関連付けられたルールセットが表示されます。

  • [デフォルト値（Default Values）] フィールドは、デフォルトのネットワークオブジェクトと、オブジェクトの作成時に指定された、共有ネットワークグループに関連付けられたオブジェクト値が示されます。このフィールドの横に、このデフォルト値を含むデバイスの数が表示され、クリックすると名前とデバイスタイプを表示できます。この値に関連付けられたルールセットも表示されます。

ステップ 4

[追加の値（Additional Values）] フィールドに、値または名前を入力します。 入力を開始すると、入力に一致するオブジェクト名または値が CDO によって表示されます。

ステップ 5

表示されている既存のオブジェクトの 1 つを選択するか、入力した名前または値に基づいて新しいオブジェクトを作成できます。
ステップ 6

CDO で一致が検出された場合、既存のオブジェクトを選択するには、[追加（Add）] をクリックして、ネットワークオブジェクトまたはネットワークグループを新しいネットワークグループに追加します。

ステップ 7

存在しない値またはオブジェクトを入力した場合は、次のいずれかを実行できます。

  • [この名前の新しいオブジェクトとして追加（Add as New Object With This Name）] をクリックして、その名前の新しいオブジェクトを作成します。値を入力し、チェックマークをクリックして保存します。

  • [新しいオブジェクトの追加（Add as New Object）] をクリックして、新しいオブジェクトを作成します。オブジェクト名と値は同じです。名前を入力し、チェックマークをクリックして保存します。

  • [値の追加（Add Value）] をクリックして、オブジェクトを使用せずにインライン値を作成します。値を入力し、チェックマークをクリックして保存します。

値がすでに存在していても、新しいオブジェクトは作成できます。それらのオブジェクトに変更を加えて保存できます。

ステップ 8

[デバイス] 列で、新しく追加されたオブジェクトに関連付けられているセルをクリックし、[デバイスの追加（Add Devices）] をクリックします。
ステップ 9

必要なデバイスを選択し、[OK] をクリックします。

ステップ 10

[保存（Save）] をクリックします。CDO は、変更の影響を受けるデバイスを表示します。

ステップ 11

[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 12

すべてのデバイスの構成変更のプレビューと展開。

共有ネットワークグループの追加の値の編集

手順
ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

オブジェクトフィルタと検索フィールドを使用して、編集対象のオーバーライドがあるオブジェクトを見つけます。
ステップ 3

[アクション（Actions）] ペインにある編集アイコン をクリックします。

ステップ 4

オーバーライド値を変更します。

  • 値を変更するには、編集アイコンをクリックします。

  • [デバイス（Devices）] 列のセルをクリックして、新しいデバイスを割り当てます。すでに割り当てられているデバイスを選択し、[オーバーライドの削除（Remove Overrides）] をクリックすると、そのデバイスのオーバーライドを削除できます。

  • [デフォルト値（Default Values）] の 矢印をクリックすると、共有ネットワークグループの追加値にできます。共有ネットワークグループに関連付けられているすべてのデバイスが、自動的に割り当てられます。

  • [オーバーライド値（Override Values）] の 矢印をクリックすると、共有ネットワークグループのデフォルト値にできます。

  • ネットワークグループからオブジェクトを削除するには、横にある削除アイコンをクリックします。

ステップ 5

[保存（Save）] をクリックします。CDO は、変更の影響を受けるデバイスを表示します。

ステップ 6

[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるデバイスへの変更を確定します。
ステップ 7

すべてのデバイスの構成変更のプレビューと展開。

トラストポイントのオブジェクト

CDO を使用して、デジタル証明書をトラストポイント オブジェクトとして追加し、1 つまたは複数の管理対象 ASA デバイスにインストールできます。単一のトラストポイント オブジェクトは、アイデンティティペア（ID 証明書と発行者の CA 証明書）、ID 証明書のみ、または CA 証明書のみを保持するコンテナです。

ASA デバイスには多くのトラストポイントを設定できます。サポートされている証明書形式は PKCS12、PEM、DERです。

PKCS12 を使用したID 証明書オブジェクトを追加する

この手順では、証明書ファイルをアップロードするか、既存の証明書テキストをテキストボックスに貼り付けることで、内部証明書アイデンティティまたは内部ID 証明書を作成します。必要な数のID 証明書を生成できます。

PKCS12 形式でエンコードされたファイルをアップロードできます。PKCS12 は、CA サーバー証明書、中間証明書、秘密キーを 1 つの暗号化されたファイルで保持する単一のファイルです。PKCS#12 ファイル、または PFX ファイルは、サーバー証明書、中間証明書、秘密キーが含まれる単一の暗号化ファイルです。復号のための [パスフレーズ（Passphrase）] 値を入力します。

手順

ステップ 1

ナビゲーションバーで、[オブジェクト] > [ASA] > [トラストポイント] を選択します。
ステップ 2

証明書の [オブジェクト名] を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。

ステップ 3

[証明書タイプ] ステップで、[ID 証明書] を選択します。
ステップ 4

[インポートタイプ] ステップで、[アップロード] を選択して証明書ファイルをアップロードします。

[登録] ステップは [端末] に設定されています。
ステップ 5

[証明書の内容] ステップで、PKCS12 形式の詳細を入力します。

PKCS#12 ファイル、または PFX ファイルは、サーバー証明書、中間証明書、秘密キーが含まれる単一の暗号化ファイルです。復号のための [パスフレーズ（Passphrase）] 値を入力します。

ステップ 6

[続行（Continue）] をクリックします。

ステップ 7

[詳細オプション] ステップでは、以下を設定できます。

[失効] タブでは、以下を設定できます。

  • [証明書失効リスト（CRL）の有効化]：CRL の確認を有効にするにはオンにします。

    デフォルトでは、証明書からの失効リスト配布 URL を取得するために [証明書のCRL分散ポイントを使用する] チェックボックスがオンになっています。

    [キャッシュ更新時間（分）]：キャッシュの更新間隔を分単位で指定します。デフォルトは 60 分です。範囲は 1 ～ 1440 分です。CA から同じ CRL を何度も受け取る必要のないように、ASA では、取得した CRL をローカルで保存できます。これを CRL キャッシングと呼びます。CRL キャッシュの容量はプラットフォームによって異なり、すべてのコンテキストについて累積されます。新たに取得した CRL をキャッシュすることで、保存制限を超える可能性がある場合は、ASA により使用頻度が最も低い CRL が削除され、使用可能な空き容量が確保されます。

  • [Online Certificate Status Protocol（OCSP）の有効化]：OCSP チェックを有効にするにはオンにします。

    [OCSP サーバ URL（OCSP Server URL）]：OCSP チェックを必須としている場合に、失効をチェックする OCSP サーバの URL。この URL は、http:// で始まる必要があります。

    [ナンス拡張を無効化]：このチェックボックスをオンにすると、暗号化によって要求を応答にバインドし、リプレイアタックを回避します。このプロセスでは、要求と応答との間でそれぞれのナンス拡張を照合し、両者が同一であることを確認することで、リプレイ アタックを防ぐことができます。ただし、事前に生成した応答には、各要求と一致するナンス拡張は含まれていません。そのため、使用している OCSP サーバーから、事前に生成した応答を送信する場合は、[ナンス拡張を無効化] チェックボックスをオフにしてください。

    [評価の優先度]：CRL または OSCP で最初に証明書の失効ステータスを評価するかどうかを指定します。

  • [失効情報に到達できない場合は証明書を有効と見なす]：失効情報に到達できない場合に証明書を有効な証明書と見なすには、このチェック ボックスをオンにします。

    失効チェックの詳細については、『 Cisco ASA Series General Operations ASDM Configuration、X.Y』ドキュメントの「基本設定」ブックの「デジタル証明書」の章を参照してください。

[その他] タブをクリックします。

  • [検証にCA証明書を使用]：この CA によって検証できる接続のタイプを指定します。

    • [IPSecクライアント]：リモート SSL サーバーによって提示された証明書を検証します。

    • [SSLクライアント]：着信 SSL 接続によって提示された証明書を検証します。

    • [SSLサーバー]：着信 IPSec 接続によって提示された証明書を検証します。

  • [ID 証明書の使用]：登録済み ID 証明書の使用方法を指定します。

    • [SSL & IPSec ]：SSL & IPSec 接続の認証に使用します。

    • [コード署名者] ：コード署名者証明書は、関連付けられている秘密キーがデジタル署名の作成に使用される特殊な証明書です。コードの署名に使用される証明書は CA から取得され、署名されたコードそのものが証明書の発生元を示します。

  • その他のオプション：

    • [基本制約拡張でCAフラグを有効化する]：この証明書で他の証明書に署名できるようにする場合はこのオプションをオンにします。基本制約の拡張によって、証明書のサブジェクトが認証局（CA）かどうかが識別されます。この場合、証明書を使用して他の証明書に署名することができます。CA フラグは、この拡張の一部です。証明書におけるこれらの項目のプレゼンス

    • [このCAが発行した証明書を受け入れる]：指定した CA の証明書を ASA で受け入れるようにするにはこのオプションを選択します。

    • [IPsecキーの使用状況を無視]：IPsec リモートクライアント証明書のキーの使用状況および拡張キーの用途拡張の値を検証しない場合は、このオプションを選択します。IPsec クライアント証明書のキーの使用状況チェックを行わないようにできます。デフォルトでは、このオプションはイネーブルになっていません。

ステップ 8

[追加（Add）] をクリックします。

自己署名済みID 証明書オブジェクトを作成する

この手順では、ウィザードに適切な証明書フィールド値を入力することにより、自己署名証明書を生成する手順を説明します。自己署名証明書は必要な数だけ生成できます。

自己署名済みID 証明書オブジェクトを作成するには、次の手順を実行します。

手順

ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] > [ASA] > [トラストポイント（Trustpoints）] を選択します。

ステップ 2

証明書の [オブジェクト名（Object Name）] を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。

ステップ 3

[証明書タイプ] ステップで、[ID 証明書（Identity Certificate）] を選択します。

ステップ 4

[インポートタイプ] ステップで、[新規（New）] を選択して証明書ファイルをアップロードし、[続行] をクリックします。

ステップ 5

[登録] ステップで、[自己署名済み（Self-Signed）] を選択し、[続行] をクリックします。

証明書の内容のステップが表示されます。「証明書の内容に基づく自己署名証明書と CSR 証明書の生成」を読んで、生成されている自己署名付き証明書の CN および SANS コンテンツを理解してください。

ステップ 6

[証明書の内容（Certificate Contents）] の手順で、次の設定を行います。

  • [国（C）（Country (C)）]：ドロップダウトリストから国コードを選択します。

  • [都道府県（ST）（State or Province (ST)）]：証明書に含める都道府県または州。

  • [地域または都市（L）（Locality or City (L)）]：都市の名前など、証明書に含める地域。

  • [組織（O）（Organization (O)）]：証明書に含める組織または会社の名前。

  • [組織単位（部門）（OU）（Organizational Unit (Department) ）]：証明書に含める組織単位の名前（部門名など）。

  • [共通名（CN）（Common Name (CN)）]：証明書に含める X.500 共通名。これは、デバイスの名前、Web サイト、または他の文字列にできます。この要素は、通常は正常な接続のために必要です。たとえば、リモート アクセス VPN で使用する内部証明書に CN を含める必要があります。

  • [電子メールアドレス（EA）（Email Address (EA)）]：ID 証明書に関連付けられている電子メールアドレス。

  • [IPアドレス（IP Address）]：4 分割ドット付き 10 進表記の、ネットワーク上の ASA IP アドレス。

  • [デバイスのFQDN（Device's FQDN）]：DNS ツリー階層内のノードの位置を示す完全修飾ドメイン名。

  • [デバイスのシリアル番号を含める（Include Device's Serial Number）]：ASA のシリアル番号を証明書パラメータに追加するには、チェックボックスをオンにします。

  1. [キー（Key）] タブをクリックします。

    • RSA または ECDSA キーのタイプを選択します。

    • [キーサイズ（Key Size）]：キー ペアが存在しない場合は、必要なキーサイズ（係数）をビットで定義します。推奨されるキーのサイズは、RSA では 1024、ECDSA では 348 です。係数のサイズが大きくなるほど、キーがよりセキュアになります。ただし、係数のサイズが大きいキーほど、生成に時間がかかり（512 ビットより大きい場合は 1 分以上）、交換するときの処理にも時間がかかります。

    • [続行（Continue）] をクリックします。

ステップ 7

[詳細オプション] ステップでは、以下の設定を行うことができます。

[失効] タブでは、以下の設定を行うことができます。

  • [証明書失効リスト（CRL）の有効化）]：CRL の確認を有効にするにはオンにします。

    デフォルトでは、証明書からの失効リスト配布 URL を取得するために、[証明書からのCRL配布ポイントの使用] がオンになっています。

    [キャッシュ更新時間（分）]：キャッシュの更新間隔を分単位で指定します。デフォルトは 60 分です。範囲は 1 ～ 1440 分です。CA から同じ CRL を何度も受け取る必要のないように、ASA では、取得した CRL をローカルで保存できます。これを CRL キャッシングと呼びます。CRL キャッシュの容量はプラットフォームによって異なり、すべてのコンテキストについて累積されます。新たに取得した CRL をキャッシュすることで、保存制限を超える可能性がある場合は、ASA により使用頻度が最も低い CRL が削除され、使用可能な空き容量が確保されます。

  • [Online Certificate Status Protocol（OCSP）の有効化]：OCSP チェックを有効にするにはオンにします。

    [OCSP サーバ URL（OCSP Server URL）]：OCSP チェックを必須としている場合に、失効をチェックする OCSP サーバの URL。この URL は、http:// で始まる必要があります。

    [ナンス拡張子を無効化] ：このチェックボックスをオンにすると、暗号化によって要求を応答にバインドし、リプレイアタックを回避します。このプロセスでは、要求と応答との間でそれぞれのナンス拡張を照合し、両者が同一であることを確認することで、リプレイ アタックを防ぐことができます。使用している OCSP サーバーから、この一致するナンス拡張子を含まない事前に生成した応答を送信する場合は、[ナンス拡張子を無効化] チェックボックスをオフにしてください。

    [評価の優先度]：CRL または OSCP で最初に証明書の失効ステータスを評価するかどうかを指定します。

  • [失効情報に到達できない場合は証明書を有効と見なす]：失効情報に到達できない場合に証明書を有効な証明書と見なすには、このチェックボックスをオンにします。

    失効チェックの詳細については、『 Cisco ASA Series General Operations ASDM Configuration、XY』ドキュメントの「基本設定」ブックの「デジタル証明書」の章を参照してください。

[その他] タブをクリックします。

  • [検証にCA証明書を使用（Use CA Certificate for the Validation of）]：この CA によって検証できる接続のタイプを指定します。

    • [IPSecクライアント]：リモート SSL サーバーによって提示された証明書を検証します。

    • [SSLクライアント]：着信 SSL 接続によって提示された証明書を検証します。

    • [SSLサーバー]：着信 IPSec 接続によって提示された証明書を検証します。

  • [ID証明書の使用]：登録済み ID 証明書の使用方法を指定します。

    • [SSL & IPSec ]：SSL & IPSec 接続の認証に使用します。

    • [コード署名者]：コード署名者証明書は、関連付けられている秘密キーがデジタル署名の作成に使用される特殊な証明書です。コードの署名に使用される証明書は CA から取得され、署名されたコードそのものが証明書の発生元を示します。

  • その他のオプション：

    • [基本制約拡張でCAフラグを有効化する]：この証明書で他の証明書に署名できるようにする場合はこのオプションをオンにします。基本制約の拡張によって、証明書のサブジェクトが認証局（CA）かどうかが識別されます。この場合、証明書を使用して他の証明書に署名することができます。CA フラグは、この拡張の一部です。証明書におけるこれらの項目の存在

    • [このCAが発行した証明書を受け入れる（Accept certificates issued by this CA）]：指定した CA の証明書を ASA で受け入れるようにするにはこのチェックボックスをオンにします。

    • [IPsecキーの使用状況を無視（Ignore IPsec Key Usage）]：IPsec リモートクライアント証明書のキーの使用状況および拡張キーの使用状況エクステンションの値を検証しない場合は、このオプションを選択します。IPsec クライアント証明書のキーの使用状況チェックを行わないようにできます。デフォルトでは、このオプションはイネーブルになっていません。

ステップ 8

[追加（Add）] をクリックします。

証明書署名要求（CSR）用 ID 証明書オブジェクトを追加する

証明書署名要求（CSR）を生成したり、指定された CA からID 証明書を取得したりするためには、認証局（CA）サーバー情報と登録パラメータが必要です。要求を生成するには、Rivest-Shamir-Adleman（RSA）または楕円曲線デジタル署名アルゴリズム（楕円曲線 DSA）のいずれかのキータイプを選択する必要があります。

識別情報を提供し、オプションで CA から取得した CA 証明書をアップロードして、トラストポイント オブジェクトを作成します。

手順

ステップ 1

ナビゲーションバーで、[オブジェクト] > [ASA] > [トラストポイント] を選択します。

ステップ 2

証明書の [オブジェクト名] を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。

ステップ 3

[ID証明書] ステップで、[ID証明書] を選択します。

ステップ 4

[インポートタイプ] ステップで、[新規] を選択して証明書ファイルをアップロードし、[続行] をクリックします。

ステップ 5

[登録] ステップで、[手動] を選択します。

ステップ 6

（オプション）CA から取得した CA 証明書を貼り付けるか、アップロードできます。このフィールドは空のままにすることもできます。

ステップ 7

[続行（Continue）] をクリックします。

証明書の内容のステップが表示されます。「証明書の内容に基づく自己署名証明書と CSR 証明書の生成」を読んで、生成されている署名付き証明書の CN および SANS コンテンツを理解してください。

ステップ 8

[証明書の内容] の手順で、次の設定を行います。

  • [国（C）]：ドロップダウトリストから国コードを選択します。

  • [都道府県（ST）]：証明書に含める都道府県または州。

  • [地域または都市（L）]：都市の名前など、証明書に含める地域。

  • [組織（O）（Organization (O)）]：証明書に含める組織または会社の名前。

  • [組織単位（部門）（OU）]：証明書に含める組織単位の名前（部門名など）。

  • [共通名（CN）（Common Name (CN)）]：証明書に含める X.500 共通名。これは、デバイスの名前、Web サイト、または他の文字列にできます。この要素は、通常は正常な接続のために必要です。たとえば、リモート アクセス VPN で使用する内部証明書に CN を含める必要があります。

  • [電子メールアドレス（EA）]：ID 証明書に関連付けられている電子メールアドレス。

  • [IPアドレス]：4 分割ドット付き 10 進表記の、ネットワーク上の ASA IP アドレス。

  • [サブジェクトの別名 （SAN）]：このフィールドは、「unstructuredName」として証明書のサブジェクト DN の一部にもなります。証明書が複数のドメインまたは IP アドレスに使用される場合は、このフィールドを使用することをお勧めします。

    • [デバイスのホスト名を使用]：デバイスのホスト名が使用されます。

    • [カスタム：デバイスのFQDN]：DNS ツリー階層内のノードの位置を示す明確なドメイン名。

      （注）   

      CN とカスタム FQDN で指定する値は同じにすることを推奨します。

  • [デバイスのシリアル番号を含める]：ASA のシリアル番号を証明書に含めるには、チェックボックスをオンにします。CA は、このシリアル番号を使用して、証明書を認証するか、またはあとで証明書を特定のデバイスに関連付けます。シリアル番号を含めるかどうか判断できない場合は、デバッグに役立つため、含めてください。

  1. [キー] タブをクリックします。

    • RSA または ECDSA キーのタイプを選択します。

    • [キーサイズ]：キーペアが存在しない場合は、必要なキーサイズ（係数）をビット単位で定義します。推奨されるキーサイズは、RSA では 1024、ECDSA では 348 です。係数のサイズが大きくなるほど、キーがよりセキュアになります。ただし、係数のサイズが大きいキーほど、生成に時間がかかり（512 ビットより大きい場合は 1 分以上）、交換するときの処理にも時間がかかります。

    • [続行（Continue）] をクリックします。

ステップ 9

[詳細オプション] ステップでは、以下を設定できます。

[失効] タブでは、以下を設定できます。

  • [証明書失効リスト（CRL）の有効化）]：CRL の確認を有効にするにはオンにします。

    デフォルトでは、証明書からの失効リスト配布 URL を取得するために、[証明書からのCRL配布ポイントの使用] がオンになっています。

    [キャッシュ更新時間（分）]：キャッシュの更新間隔を分単位で指定します。デフォルトは 60 分です。範囲は 1 ～ 1440 分です。CA から同じ CRL を何度も受け取る必要のないように、ASA では、取得した CRL をローカルで保存できます。これを CRL キャッシングと呼びます。CRL キャッシュの容量はプラットフォームによって異なり、すべてのコンテキストについて累積されます。新たに取得した CRL をキャッシュすることで、保存制限を超える可能性がある場合は、ASA により使用頻度が最も低い CRL が削除され、使用可能な空き容量が確保されます。

  • [Online Certificate Status Protocol（OCSP）の有効化]：OCSP チェックを有効にするにはオンにします。

    [OCSP サーバ URL（OCSP Server URL）]：OCSP チェックを必須としている場合に、失効をチェックする OCSP サーバの URL。この URL は、http:// で始まる必要があります。

    [ナンス拡張子を無効化] ：このチェックボックスをオンにすると、暗号化によって要求を応答にバインドし、リプレイアタックを回避します。このプロセスでは、要求と応答との間でそれぞれのナンス拡張を照合し、両者が同一であることを確認することで、リプレイ アタックを防ぐことができます。使用している OCSP サーバーから、この一致するナンス拡張子を含まない事前に生成した応答を送信する場合は、[ナンス拡張子を無効化] チェックボックスをオフにしてください。

    [評価の優先度]：CRL または OSCP で最初に証明書の失効ステータスを評価するかどうかを指定します。

  • [失効情報に到達できない場合は証明書を有効と見なす]：失効情報に到達できない場合に証明書を有効な証明書と見なすには、このチェックボックスをオンにします。

    失効チェックの詳細については、『 Cisco ASA Series General Operations ASDM Configuration、XY』ドキュメントの「基本設定」ブックの「デジタル証明書」の章を参照してください。

[その他] タブをクリックします。

  • [検証にCA 証明書を使用]：この CA によって検証できる接続のタイプを指定します。

    • [IPSecクライアント]：リモート SSL サーバーによって提示された証明書を検証します。

    • [SSLクライアント]：着信 SSL 接続によって提示された証明書を検証します。

    • [SSLサーバー]：着信 IPSec 接続によって提示された証明書を検証します。

  • [ID証明書の使用]：登録済み ID 証明書の使用方法を指定します。

    • [SSL & IPSec ]：SSL & IPSec 接続の認証に使用します。

    • [コード署名者]：コード署名者証明書は、関連付けられている秘密キーがデジタル署名の作成に使用される特殊な証明書です。コードの署名に使用される証明書は CA から取得され、署名されたコードそのものが証明書の発生元を示します。

  • その他のオプション：

    • [基本制約拡張でCAフラグを有効化する]：この証明書で他の証明書に署名できるようにする場合はこのオプションをオンにします。基本制約の拡張によって、証明書のサブジェクトが認証局（CA）かどうかが識別されます。この場合、証明書を使用して他の証明書に署名することができます。CA フラグは、この拡張の一部です。証明書におけるこれらの項目のプレゼンス

    • [このCAが発行した証明書を受け入れる]：指定した CA の証明書を ASA で受け入れるようにするにはこのオプションを選択します。

    • [IPsecキーの使用状況を無視]：IPsec リモートクライアント証明書のキーの使用状況および拡張キーの用途拡張の値を検証しない場合は、このオプションを選択します。IPsec クライアント証明書のキーの使用状況チェックを行わないようにできます。デフォルトでは、このオプションはイネーブルになっていません。

ステップ 10

[追加（Add）] をクリックします。

これにより、トラストポイント証明書オブジェクトが作成されます。

信頼できる CA 証明書オブジェクトを追加する

外部の認証局から信頼できる CA 証明書を取得するか、自身の内部 CA を使用して（OpenSSL ツールを使用するなど）CA 証明書を作成します。次のサポートされている形式のいずれかでエンコードしたファイルをアップロードできます。

  • 識別符号化規則（DER）

  • プライバシー強化電子メール（PEM）

手順

ステップ 1

ナビゲーションバーで、[オブジェクト（Objects）] > [ASA] > [トラストポイント（Trustpoints）] を選択します。
ステップ 2

証明書の [オブジェクト名（Object Name）] を入力します。名前は、設定時にオブジェクト名としてのみ使用され、証明書自体には含まれません。

ステップ 3

[証明書タイプ] ステップで、[信頼できる CA 証明書（Trusted CA Certificate）] を選択します。
ステップ 4

[証明書の内容（Certificate Contents] ステップで、証明書の内容をテキストボックスに貼り付けるか、ウィザードの説明に従って CA 証明書ファイルをアップロードします。
ステップ 5

[続行（Continue）] をクリックします。ウィザードの手順が 4 に進みます。

証明書は、次のガイドラインに合致している必要があります。

  • 証明書内のサーバ名は、サーバのホスト名または IP アドレスと一致している必要があります。たとえば、IP アドレスとして 10.10.10.250 を使用しているのに、証明書で ad.example.com を使用すると接続が失敗します。

  • 証明書は PEM または DER 形式の X509 証明書である必要があります。

  • 貼り付ける証明書は、BEGIN CERTIFICATE と END CERTIFICATE の行を含める必要があります。次に例を示します。

    -----BEGIN CERTIFICATE-----
MIIFgTCCA2mgAwIBAgIJANvdcLnabFGYMA0GCSqGSIb3DQEBCwUAMFcxCzAJBgNV
BAYTAlVTMQswCQYDVQQIDAJUWDEPMA0GA1UEBwwGYXVzdGluMRQwEgYDVQQKDAsx
OTIuMTY4LjEuMTEUMBIGA1UEAwwLMTkyLjE2OC4xLjEwHhcNMTYxMDI3MjIzNDE3
WhcNMTcxMDI3MjIzNDE3WjBXMQswCQYDVQQGEwJVUzELMAkGA1UECAwCVFgxDzAN
BgNVBAcMBmF1c3RpbjEUMBIGA1UECgwLMTkyLjE2OC4xLjExFDASBgNVBAMMCzE5
Mi4xNjguMS4xMIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA5NceYwtP
ES6Ve+S9z7WLKGX5JlF58AvH82GPkOQdrixn3FZeWLQapTpJZt/vgtAI2FZIK31h
(...20 lines removed...)
hbr6HOgKlOwXbRvOdksTzTEzVUqbgxt5Lwupg3b2ebQhWJz4BZvMsZX9etveEXDh
PY184V3yeSeYjbSCF5rP71fObG9Iu6+u4EfHp/NQv9s9dN5PMffXKieqpuN20Ojv
2b1sfOydf4GMUKLBUMkhQnip6+3W
-----END CERTIFICATE-----
ステップ 6

[詳細オプション（Advanced Options）] ステップでは、以下を構成できます。

[失効] タブでは、以下の設定を行うことができます。

  • [証明書失効リスト（CRL）の有効化）]：CRL の確認を有効にするにはオンにします。

    デフォルトでは、証明書からの失効リスト配布 URL を取得するために、[証明書からの CRL 分散ポイントの使用（Use CRL distribution point from the certificate）] がオンになっています。

    [キャッシュ更新時間（分）]：キャッシュの更新間隔を分単位で指定します。デフォルトは 60 分です。範囲は 1 ～ 1440 分です。CA から同じ CRL を何度も受け取る必要のないように、ASA では、取得した CRL をローカルで保存できます。これを CRL キャッシングと呼びます。CRL キャッシュの容量はプラットフォームによって異なり、すべてのコンテキストについて累積されます。新たに取得した CRL をキャッシュすることで、保存制限を超える可能性がある場合は、ASA により使用頻度が最も低い CRL が削除され、使用可能な空き容量が確保されます。

  • [Online Certificate Status Protocol（OCSP）の有効化]：OCSP チェックを有効にするにはオンにします。

    [OCSP サーバ URL（OCSP Server URL）]：OCSP チェックを必須としている場合に、失効をチェックする OCSP サーバの URL。この URL は、http:// で始まる必要があります。

    [ナンス拡張子を無効化] ：このチェックボックスをオンにすると、暗号化によって要求を応答にバインドし、リプレイアタックを回避します。このプロセスでは、要求と応答との間でそれぞれのナンス拡張を照合し、両者が同一であることを確認することで、リプレイ アタックを防ぐことができます。使用している OCSP サーバーから、この一致するナンス拡張子を含まない事前に生成した応答を送信する場合は、[ナンス拡張子を無効化] チェックボックスをオフにしてください。

    [評価の優先度]：CRL または OSCP で最初に証明書の失効ステータスを評価するかどうかを指定します。

  • [失効情報に到達できない場合は証明書を有効と見なす]：失効情報に到達できない場合に証明書を有効な証明書と見なすには、このチェックボックスをオンにします。

    失効チェックの詳細については、『 Cisco ASA Series General Operations ASDM Configuration、XY』ドキュメントの「基本設定」ブックの「デジタル証明書」の章を参照してください。

[その他] タブをクリックします。

  • [検証にCA証明書を使用（Use CA Certificate for the Validation of）]：この CA によって検証できる接続のタイプを指定します。

    • [IPSecクライアント]：リモート SSL サーバーによって提示された証明書を検証します。

    • [SSLクライアント]：着信 SSL 接続によって提示された証明書を検証します。

    • [SSLサーバー]：着信 IPSec 接続によって提示された証明書を検証します。

  • その他のオプション：

    • [このCAが発行した証明書を受け入れる（Accept certificates issued by this CA）]：指定した CA の証明書を ASA で受け入れるようにするにはこのチェックボックスをオンにします。

    • [このCAの下位CAが発行した証明書を受け入れる（Accept certificates issued by this CA）]：下位 CA の証明書を ASA で受け入れるようにするにはこのチェックボックスをオンにします。

    • [IPsecキーの使用状況を無視（Ignore IPsec Key Usage）]：IPsec リモートクライアント証明書のキーの使用状況および拡張キーの使用状況エクステンションの値を検証しない場合は、このオプションを選択します。IPsec クライアント証明書のキーの使用状況チェックを行わないようにできます。デフォルトでは、このオプションはイネーブルになっていません。

ステップ 7

[追加（Add）] をクリックします。

これにより、トラストポイント証明書オブジェクトが作成されます。

証明書コンテンツに基づく自己署名済み CSR 証明書の生成

自己署名証明書と CSR 証明書の CN と SANS の内容を理解する必要があります。内容は、作成時に指定したパラメータに基づいています。AnyConnect クライアントが組織の対象となる VPN ヘッドエンドに接続するには、パラメータを正確に設定する必要があります。

このセクションでは、指定されたパラメータに基づいて自己署名証明書と CSR 証明書の内容を理解できるように、さまざまなユースケースと例を示します。

ユースケース 1：異なる CN 値と FQDN 値

例：

  • 共通名（CN）：mywebsite.com

  • FQDN：mysan.com

表 4. 例：異なる CN 値と FQDN 値

共通名

unstructuredName

SANS

自己署名

mywebsite.com

mysan.com

mysan.com

CSR

mywebsite.com

mysan.com

-

ユースケース 2：FQDN フィールドを [なし（None）] に設定

例：

  • 共通名（CN）：mywebsite.com

  • FQDN：なし（None）

表 5. 例：FQDN フィールドを [なし（None）] に設定

共通名

SANS

自己署名

ホスト名

-

CSR

mywebsite.com

-

ユースケース 3：FQDN なし（デフォルトの FQDN）

例：

  • 共通名（CN）：mywebsite.com

表 6. 例：FQDN なし（デフォルトの FQDN）

共通名

unstructuredName

SANS

自己署名

mywebsite.com

ホスト名

-

CSR

mywebsite.com

ホスト名

ホスト名

ユースケース 4：FQDN で IP アドレスを指定する

例：

  • 共通名（CN）：mywebsite.com

  • FQDN：4.5.6.7

表 7. 例：FQDN で IP アドレスを指定する

共通名

unstructuredName

SANS

自己署名

mywebsite.com

4.5.6.7

-

CSR

mywebsite.com

4.5.6.7

4.5.6.7

ユースケース 5：IP アドレスを指定する

例：

  • IP アドレス：4.5.6.7

  • 共通名（CN）：mywebsite.com

  • FQDN：fqdn.com

表 8. 例：IP アドレスを指定する

共通名

unstructuredAddress

unstructuredName

SANS

自己署名

mywebsite.com

4.5.6.7

fqdn.com

-

CSR

mywebsite.com

4.5.6.7

fqdn.com

fqdn.com

ユースケース 6：シリアル番号のチェックボックスがオン

例：

  • シリアル番号：9AQXMWOKDT9

表 9. 例：IP シリアル番号のチェックボックスがオン

serialNumber

SANS

自己署名

9AQXMWOKDT9

-

CSR

9AQXMWOKDT9

fqdn.com

ユースケース 7：メールアドレスを指定する

例：

  • EA：abc@xyz.com

表 10. 例：メールアドレスを指定する

unstructredName

emailAddress

SANS

自己署名

ホスト名

abc@xyz.com

ホスト名

CSR

ホスト名

abc@xyz.com

-

RA VPN オブジェクト

サービス オブジェクト

ASA サービスオブジェクト

ASA サービスオブジェクト、サービスグループ、およびポートグループは、IP プロトコルスイートの一部が考慮されたプロトコルまたはポートを含む再利用可能なコンポーネントです。サービスオブジェクトでは、単一のプロトコルを指定して、そのプロトコルを送信元ポート、宛先ポート、または送信元ポートと宛先ポートの両方に割り当てることができます。サービスグループには多くのサービスオブジェクトが含まれ、複数の種類のプロトコルを含めることができます。

ポートグループは、一種の ASA サービスオブジェクトです。ポートグループには、サービスタイプ（TCP や UDP など）と組み合わせるポートオブジェクト、およびポート番号またはポート番号の範囲が含まれます。その後、トラフィックの一致基準を定義するためにセキュリティポリシーでオブジェクトを使用できます。たとえば、これらをアクセス制御ルールで使用して、特定の範囲の TCP ポートへのトラフィックを許可できます。

詳細については、「ASA サービスオブジェクトの作成と編集」を参照してください。

プロトコルオブジェクト

プロトコルオブジェクトは、使用頻度の低いプロトコルやレガシープロトコルを含むサービスオブジェクトの一種です。プロトコルオブジェクトは、名前とプロトコル番号で識別されます。CDO は、ASA および Firepower（FTD）設定でこれらのオブジェクトを認識し、これらに独自のフィルタ「プロトコル（Protocols）」を適用します。そのため、これらのオブジェクトを簡単に見つけることができます。

ICMP オブジェクト

Internet Control Message Protocol （ICMP）オブジェクトは、ICMP および IPv6-ICMP メッセージ専用のサービスオブジェクトです。CDO は、ASA および Firepower（FTD）が導入準備されたときにデバイスの設定でこれらのオブジェクトを認識し、これらに独自のフィルタ「ICMP」を適用します。そのため、これらのオブジェクトを簡単に見つけることができます。

CDO を使用して、ASA 設定から ICMP オブジェクトの名前を変更したり、ICMP オブジェクトを削除したりできます。CDO を使用して、Firepower 設定の ICMP および ICMPv6 オブジェクトを作成、更新、および削除できます。


（注）  

ICMPv6 プロトコルの場合、AWS は特定の引数の選択をサポートしていません。すべての ICMPv6 メッセージを許可するルールのみがサポートされます。

ASA サービスオブジェクトの作成と編集

サービスオブジェクトでは、単一のプロトコルを指定して、そのプロトコルを送信元ポート、宛先ポート、または送信元ポートと宛先ポートの両方に割り当てることができます。

手順

ステップ 1

[オブジェクト] タブをクリックして、[オブジェクト] ページを開きます。
ステップ 2

[オブジェクトの作成] > [ASA] > [サービス（Service）] をクリックします。

ステップ 3

オブジェクト名を入力します。
ステップ 4

[サービスオブジェクトの作成（Create a service object）] を選択します。

ステップ 5

[サービスタイプ（Service Type）] ボタンをクリックし、オブジェクトを作成するプロトコルを選択します。

  • TCP、UDP、および TCP-UDP サービスタイプの場合、送信元ポート、宛先ポート、または両方のポートを入力します。

    • 送信元ポート ID を使用すると、特定の番号のポートから発信されたトラフィックを照合できます。送信元ポート ID で、演算子（等しい、範囲、より小さい、より大きい、または等しくない）を選択し、適切なポート番号または範囲を指定します。

    • 宛先ポート ID を使用すると、特定の番号のポートに到着するトラフィックを照合できます。宛先ポート ID で、演算子（等しい、範囲、より小さい、より大きい、または等しくない）を選択し、適切なポート番号または範囲を指定します。

  • プロトコルサービスタイプの場合、0 ～ 255 の範囲のプロトコル番号または、ip、tcp、udp、gre などの既知の名前を入力します。

ステップ 6

[追加（Add）] をクリックします。

例

  • 着信 FTP トラフィックを識別するサービスオブジェクトは、TCP サービスタイプと 21 の宛先ポート範囲を持つオブジェクトです。

  • 発信 DNS および DNS over TCP トラフィックを識別するサービスオブジェクトは、tcp-udb サービスタイプと 53 に等しい送信元ポートを持つオブジェクトです。

ASA サービスグループの作成

サービスグループは、1 つ以上のプロトコルを表す 1 つ以上のサービスオブジェクトで構成できます。

手順
ステップ 1

[オブジェクト（Objects）] タブをクリックして、[オブジェクト（Objects）] ページを開きます。
ステップ 2

[オブジェクトの作成（Create Object）] > [ASA] > [サービス（Service）] をクリックします。

ステップ 3

オブジェクト名を入力します。
ステップ 4

[サービスグループの作成（Create a service group）] を選択します。

ステップ 5

[オブジェクトの追加（Add Object）] をクリックし、オブジェクトを選択して [選択（Select）] をクリックすることで既存のオブジェクトを追加します。このステップを繰り返してさらにオブジェクトを追加します。

ステップ 6

必要に応じて、追加の個別サービスタイプの値をサービスグループに追加します。

  • TCP、UDP、および TCP-UDP サービスタイプの場合、送信元ポート、宛先ポート、または両方のポートを入力します。

    • 送信元ポート ID を使用すると、特定の番号のポートから発信されたトラフィックを照合できます。送信元ポート ID で、演算子（等しい、範囲、より小さい、より大きい、または等しくない）を選択し、適切なポート番号または範囲を指定します。

    • 宛先ポート ID を使用すると、特定の番号のポートに到着するトラフィックを照合できます。宛先ポート ID で、演算子（等しい、範囲、より小さい、より大きい、または等しくない）を選択し、適切なポート番号または範囲を指定します。

  • プロトコルサービスタイプの場合、0 ～ 255 の範囲のプロトコル番号または、ip、tcp、udp、gre などの既知の名前を入力します。

ステップ 7

さらに個別のポート値を追加するには、[別の値を追加（Add Another Value）] をクリックして、ステップ 6 を繰り返します。

ステップ 8

サービスグループへのサービスオブジェクトとサービス値の追加が完了したら、[追加] をクリックします。

ASA サービスオブジェクトまたはサービスグループの編集

手順
ステップ 1

[オブジェクト] タブをクリックして、[オブジェクト] ページを開きます。

ステップ 2

オブジェクトをフィルタリングして編集するオブジェクトを見つけ、オブジェクトテーブルでオブジェクトを選択します。
ステップ 3

詳細ペインで、[編集] をクリックします。

ステップ 4

前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。

ステップ 5

[保存（Save）] をクリックします。

ステップ 6

CDO は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。

ASA 時間範囲オブジェクト

時間範囲オブジェクトとは

時間範囲オブジェクトは、開始時刻、終了時刻、およびオプションの繰り返しエントリで構成される特定の時刻を定義します。これらのオブジェクトは、特定の機能またはアセットに時間ベースでアクセスするためにネットワークポリシーで使用されます。たとえば、勤務時間中にのみ特定のサーバーへのアクセスを許可するアクセス ルールを作成できます。時間範囲を作成してもデバイスへのアクセスは制限されません。これらのオブジェクトに設定される時間は、デバイスのローカル時間であることに注意してください。

このオブジェクトには、絶対時間範囲または反復時間範囲を追加できます。反復時間範囲は、定期的な時間範囲と見なされます。


（注）  

1 つの時間範囲に絶対（absolute）値と定期（periodic）値の両方が指定されている場合、periodic 値は absolute の開始時刻に到達した後にのみ評価され、absolute の終了時刻に到達した後は評価されません。

ASA の時間範囲オブジェクトの作成

ASA デバイスの時間範囲オブジェクトを作成するには、次の手順を使用します。

手順

ステップ 1

左側のナビゲーションバーで、[オブジェクト] をクリックします。

ステップ 2

青いプラスボタン をクリックして、オブジェクトを作成します。

ステップ 3

[ASA] > [時間範囲]をクリックします。

ステップ 4

オブジェクト名を入力します。
ステップ 5

時間範囲を定義します。

  • [絶対時間範囲（Absolute Time Range）]：希望する時間範囲の開始時間と終了時間を入力します。このオブジェクトを数分、数時間、数日、または数週間かけて実行することを選択できます。時間範囲オブジェクトには、絶対時間範囲を 1 つだけ指定することができます。

  • [定期的な時間範囲（Recurring Time Ranges）]： をクリックして、毎週繰り返される定期的な時間範囲を追加します。ドロップダウンメニューから [頻度（Frequency）]、時間範囲を有効にする [曜日（Days）]、[開始時間（Start）] と [終了時間（End）] を選択します。時間範囲オブジェクトは、複数の周期範囲を持つことができます。

（注）   

時間範囲オブジェクトの開始時間と終了時間はオプションです。オブジェクトに開始時間が設定されていない場合、時間範囲はすぐに有効になります。オブジェクトに終了時間が設定されていない場合、時間範囲は無期限に続きます。

ステップ 6

[追加] をクリックしてオブジェクトを作成します。

ASA の時間範囲オブジェクトの編集

ASA デバイスの時間範囲オブジェクトを編集するには、次の手順を使用します。

手順

ステップ 1

左側のナビゲーションバーで、[オブジェクト（Objects）] をクリックします。

ステップ 2

オブジェクトをフィルタリングして編集するオブジェクトを見つけ、オブジェクトテーブルでオブジェクトを選択します。
ステップ 3

詳細ペインで、[編集（Edit）] をクリックします。

ステップ 4

必要に応じて値を編集し、[保存（Save）] をクリックします。

ステップ 5

オブジェクトが現在いずれかのポリシーで使用されている場合、CDO は変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。

ステップ 6

オブジェクトがデバイスのポリシーで使用されている場合は、行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

セキュリティ ポリシー管理

セキュリティポリシーは、目的の宛先へのトラフィックを許可するか、セキュリティ脅威が特定された場合にトラフィックをドロップすることを最終的な目標として、ネットワークトラフィックを検査します。CDO を使用して、さまざまな種類のデバイスでセキュリティポリシーを設定できます。

ASA レガシー ネットワーク ポリシー

このセクションでは、Cisco Defense Orchestrator（CDO）によって管理されるすべてのデバイスで使用される、あらゆるネットワークポリシーのリストを表示するレガシー ネットワーク ポリシー ページに関する情報を提供します。[ポリシー] > [ASAポリシー]を選択して、ネットワークポリシーページに移動します。

ネットワークポリシーは、ネットワークルールのコレクションです。各ネットワークルールは、送信元および接続先の IP アドレス、IP プロトコル、ポート番号、EtherType などの特性に基づいて、ネットワークトラフィックがネットワーク接続先に到達することを許可または阻止します。

CDO はネットワークポリシーを作成するときに、それを ASA インターフェイスに関連付け、ポリシーに 1 つのデフォルトルールを作成します。インターフェイスに関連付けられたネットワークポリシーは、ASA では「アクセスグループ」と呼ばれます。ポリシー名は、ASA のアクセス制御リスト（ACL）名に相当します。CDO が作成したデフォルトのルールと、このネットワークポリシーに追加する後続のルールは、ASA ではアクセス制御エントリ（ACE）と呼ばれます。

レガシービューの ASA ネットワークポリシーの作成

ASA ネットワークポリシーを作成するには、次の手順を実行します。

手順

ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

[ポリシーの作成（Create Policy）] をクリックします。

ステップ 3

[デバイス] フィルタをクリックして、ポリシーを保存するデバイスを検索します。

ステップ 4

ポリシーの名前を入力します。1 つのデバイスに同じ名前のネットワークポリシーを 2 つ持つことはできません。
ステップ 5

このポリシーを適用するインターフェイスを選択します。
ステップ 6

ポリシーがアウトバウンドトラフィック用か、インバウンドトラフィック用かを指定します。同じデバイス上の同じ方向の同じインターフェイスに対して 2 つのポリシーを持つことはできません。

ステップ 7

[保存（Save）] をクリックします。CDO は、ネットワークポリシーと、そのポリシーの単一の「permit ip any any」ルールを作成します。

ステップ 8

必要に応じて、ポリシーを編集します。

ステップ 9

行った変更を今すぐレビューして展開するか、待機してから複数の変更を同時に展開します。

ASA ネットワークポリシーの編集

Defense Orchestrator を使用すると、ポリシーの詳細ページからネットワークポリシーとポリシールールを編集できます。次の方法で ASA ポリシーを編集できます。

ポリシーの名前変更

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

名前を変更するネットワークポリシーを選択します。
ステップ 3

詳細ペインの名前変更アイコン をクリックします。

ステップ 4

ポリシー名を編集し、青色のチェックボックスをクリックして変更を保存します。

ポリシーへのルールの追加

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。
ステップ 2

編集するネットワークポリシーを選択します。
ステップ 3

[ポリシーの編集（Edit Policy）] をクリックします。

ステップ 4

詳細ペインで、編集ツールのツールバーの をクリックして、ネットワークポリシーにルールを追加します。ポリシーで強調表示されたルールの上に新しいルールが追加されます。ルールは、ルールのリスト内の位置によって、1 から最後の番号までの順に優先順位付けされます。

（注）   

新しいルールには、デフォルトで [許可（Permit）] アクションが割り当てられます。
ステップ 5

[保存（Save）] をクリックします。Defense Orchestrator によって、変更の影響を受けるデバイスが特定されます。

ステップ 6

ポリシーの詳細ペインで [デバイス（Devices ）] フィールドを確認します。エントリの最適数を超えた場合、ASA がインストールされている ASA ハードウェアモデルに応じて、「ACE カウントが超過しました。最大エントリ 500 に対し1000 エントリが見つかりました」のような警告が表示されます。

ステップ 7

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ポリシー内でのルールの移動

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。
ステップ 2

ネットワークポリシーを選択します。

ステップ 3

詳細ペインで、[ポリシーの編集（Edit Policy）] をクリックします。
ステップ 4

ルールテーブルでルールを選択し、[編集ツール（Edit Tools）] バーで [カット（cut）] をクリックします。
ステップ 5

カットしたルールの後に配置するルールを選択します。ルールは、ルールのリスト内の位置によって優先順位付けされます。ルールの位置が高いほど、優先順位は高くなります。
ステップ 6

[貼り付け（paste）] をクリックします。

ステップ 7

[保存（Save）] をクリックします。Defense Orchestrator によって、変更の影響を受けるデバイスが特定されます。

ステップ 8

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ポリシー間でのルールの移動

あるポリシーのルールをコピーして、別のポリシーに貼り付けることができます。

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

コピーするルールを含むネットワークポリシーを選択します。

ステップ 3

詳細ペインで、[ポリシーの編集（Edit Policy）] をクリックします。
ステップ 4

ルールテーブルでルールを選択し、[編集ツール（Edit Tools）] バーで [コピー] をクリックします。
ステップ 5

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。
ステップ 6

ルールをコピーするネットワークポリシーを選択します。
ステップ 7

詳細ペインで、[ポリシーの編集（Edit Policy）] をクリックします。
ステップ 8

コピーしたルールの後に配置するルールを選択します。ルールは、ルールのリスト内の位置によって優先順位付けされます。ルールの位置が高いほど、優先順位は高くなります。
ステップ 9

[貼り付け（paste）] をクリックします。

ステップ 10

[保存（Save）] をクリックします。Defense Orchestrator によって、変更の影響を受けるデバイスが特定されます。

ステップ 11

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ポリシーのルールの非アクティブ化

ルールはデフォルトでアクティブです。ポリシー内の個々のルールを非アクティブ化できます。

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。
ステップ 2

非アクティブ化するルールを含むネットワークポリシーを選択します。
ステップ 3

詳細ペインで、[ポリシーの編集（Edit Policy）] をクリックします。
ステップ 4

非アクティブ化するルールを選択します。

ステップ 5

[アクティブ（Active）] 設定をスライドしてオフにします。

ステップ 6

[保存（Save）] をクリックします。

ステップ 7

[保存（Save）] をクリックします。Defense Orchestrator によって、変更の影響を受けるデバイスが特定されます。

ステップ 8

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ルールアクティビティのログ記録

ネットワークポリシールールに起因するアクティビティは、デフォルトではログに記録されません。個別のルールについて、ロギングを有効化できます。

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

有効化するルールを含むネットワークポリシーを選択します。
ステップ 3

詳細ペインで、[ポリシーの編集（Edit Policy）] をクリックします。
ステップ 4

アクティビティをログ記録するルールを選択します。

ステップ 5

スライダをクリックしてログを有効化にします。

ステップ 6

[Edit] をクリックします。

ステップ 7

ロギングレベルと、そのルールからのアクティビティが収集される頻度を選択します。次の表に、syslog メッセージの重大度の一覧を示します。

重大度

説明

emergencies

システムが使用不可能な状態です。

alert

すぐに措置する必要があります。

critical

深刻な状況です。

error

エラー状態です。

warning

警告状態です。

Notification（通告）

正常ですが、注意を必要とする状況です。

informational

情報メッセージです。

debugging

デバッグ メッセージです。
（注）   

ASA は、重大度 0（緊急）の syslog メッセージを生成しません。
ステップ 8

ロギング間隔を変更することもできます。ロギング間隔は、間隔中にログがヒットされた回数を示します。ロギング間隔は、1 ～ 600（秒単位）で定義されます。デフォルトは 300 です。この値は、ドロップ統計情報の収集に使用するキャッシュから非アクティブなフローを削除するためのタイムアウト値としても使用されます。
ステップ 9

[保存（Save）] をクリックします。Defense Orchestrator によって、変更の影響を受けるデバイスが特定されます。

ステップ 10

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ポリシーの時間範囲の定義

時間ベースの ASA ネットワークポリシーにより、時刻に基づいたネットワークとリソースへのアクセスが許可されます。時刻は、時間範囲オブジェクトによって定義されます。時間範囲オブジェクトには開始時間と終了時間があり、定期的なイベントとして定義することもできます。

時間範囲オブジェクトが ASA ですでに定義されている場合は、それらをネットワークポリシーに関連付けることができます。時間範囲オブジェクトが ASA にまだ存在しない場合は、Defense Orchestrator の CLI ツールを使用して作成するか、ASA で直接作成する必要があります。

次の手順に従って、ネットワークポリシーの時間範囲を追加します。

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

編集するネットワークポリシーを選択します。
ステップ 3

[ポリシーの編集（Edit Policy）] をクリックします。

ステップ 4

[ネットワークポリシー（Network Policy）] ボックスで、スライダをクリックして時間範囲を有効にします。
ステップ 5

時間範囲オブジェクトを作成するか、ドロップダウンリストから既存の時間範囲オブジェクトを選択します。

ステップ 6

[保存（Save）] をクリックします。

ステップ 7

[デバイスとサービス] ページに戻り、ポリシーを編集したデバイスを選択します。デバイスが同期されていないことがわかります。

ステップ 8

[プレビューして展開...（Preview and deploy..）] をクリックします。

ステップ 9

[デバイスの同期（Device Sync）] ボックスで、ポリシーを作成するコマンドとポリシーのルールを確認します。

ステップ 10

示された変更に問題がない場合は、[デバイスに変更を適用（Apply Changes to Device）] をクリックします。

ステップ 11

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA ネットワークポリシーのコピー

この手順を使用して、ある ASA から別の ASA にネットワークポリシーをコピーします。

手順

ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

コピーするポリシーを検索してフィルタリングします。
ステップ 3

コピーするネットワークポリシーの行で、[コピー] アイコンをクリックします。
ステップ 4

ポリシーをデバイスに追加します。

  • 単一のインターフェイスに割り当てられたネットワークポリシーの場合：[デバイスにポリシーを追加（Add Policy to Device）] ダイアログボックスで、ポリシーをコピーするデバイス、インターフェイス、およびトラフィックの方向を選択します。グローバルアクセスポリシーを別のデバイスにコピーする場合

  • グローバルポリシーの場合：[デバイスにポリシーを追加（Add Policy to Device）] ダイアログボックスで、ポリシーをコピーするデバイスを選択し、[グローバル ポリシーとして作成（Create as a global policy）] をオンにします。ポリシーのインターフェイスまたは方向を選択できないことがわかります。グローバルポリシーは常にデバイス上のすべてのインターフェイスに割り当てられ、常にインバウンドトラフィックを評価します。

ステップ 5

[保存（Save）] をクリックします。

ステップ 6

行った変更を今すぐレビューして展開するか、待機して、複数の変更を同時に展開します。すべてのデバイスの構成変更のプレビューと展開

ASA ネットワークポリシーの比較

手順

ステップ 1

ナビゲーションウィンドウで、[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。
ステップ 2

ビューアの右上隅にある [比較] をクリックします。
ステップ 3

比較するポリシーを 2 つまで選択します。

ステップ 4

ビューアの下部にある [比較の表示（View Comparison）] をクリックします。これにより、比較ビューアが表示されます。完了したら、[完了（Done）] をクリックし、[比較を完了（Done Comparing）] をクリックします。

ASA ネットワークポリシーの削除

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックして、デバイスを見つけます。

ステップ 3

[ASA] タブをクリックし、ポリシーを削除する ASA を検索して選択します。
ステップ 4

[管理]ペインで、[構成] をクリックします。

ステップ 5

[編集（Edit）] をクリックします。

ステップ 6

デバイス構成で、ネットワークポリシーとルールを探します。

ネットワークポリシーは、ASA 構成ファイルではアクセスグループと呼ばれ、次のようなフォーマットになっています。

access-group <ポリシー名> <トラフィックの方向> interface <インターフェイス名>

アクセスグループエントリの例を以下に示します。

access-group abc-75-1-out out interface interface-1

ネットワークルールは、ASA 構成ファイルではアクセスリストと呼ばれ、次のような形式になっています。

access-list <ポリシー名> extended permit ip any any

アクセスリストエントリの例を以下に示します。

access-list abc-75-1-out extended permit ip any any
ステップ 7

ネットワークポリシーを含む行とネットワークルールを含む行をハイライトして削除します。

ステップ 8

変更を [保存（Save）] します。

ステップ 9

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA ネットワークポリシーとルールの検索とフィルタ処理

検索バーを使用して、ネットワークポリシーの名前およびポリシー内のルールに含まれる名前、キーワード、またはフレーズを検索します。検索では大文字と小文字が区別されません。

Filter

フィルタサイドバーを使用して、ネットワークポリシーの問題、共有ポリシー、および特定のデバイスのポリシーを見つけます。フィルタリングは。加算的ではなく、各フィルタ設定は互いに独立して機能します。

ポリシーの問題

CDO は、シャドウルールを含むネットワークポリシーを識別します。シャドウルールを含むポリシーの数は、[ポリシーの問題（Policy Issues）] フィルタに示されます。

CDO は、ネットワークポリシーページのシャドウバッジ で、シャドウイングされたルールとそれらを含むネットワークポリシーをマークします。[シャドウイング済み（Shadowed）] をクリックして、シャドウイングされたルールを含むすべてのポリシーを表示します。詳細については、「シャドウイングされたルール」を参照してください。

Shared Policies

共有ポリシーは、複数のデバイスで検出されるポリシーです。共有ポリシーに加えられた変更は、そのポリシーが検出されたすべてのデバイスに影響します。次の例では、inside-acl-in ポリシーが 2 つのデバイスで共有されています。詳細については、「共有 ASA ネットワークポリシー」を参照してください。

デバイス（Devices）

[デバイス] フィルタを展開し、[デバイスの検索（Search devices）] フィールドに名前または IP アドレスを入力して、ネットワークポリシーリストをデバイスでフィルタリングし、結果内で見つかったデバイスを選択します。

ヒット数（Hits）

このフィルタを使用して、指定された期間に何度もトリガーされたデバイスを対象にしてポリシーを特定します。

ヒットがゼロのネットワークポリシーを見つける

ヒットのないネットワークポリシーがある場合は、ネットワークポリシーを編集してより効果的にするか、単に削除することができます。

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

[フィルタ（Filter）] ペインで [すべて表示（Show All）] をクリックして、既存のフィルタをすべてクリアします。

ステップ 3

[ヒット（Hits）] フィルタを展開します。
ステップ 4

期間を選択します。
ステップ 5

0 ヒットを選択します。

ヒットがゼロのデバイス上のすべてのネットワークポリシーを見つける

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

[フィルタ（Filter）] ペインで [すべて表示（Show All）] をクリックして、既存のフィルタをすべてクリアします。

ステップ 3

[デバイス] フィルタを展開し、フィルタを適用するデバイスを選択します。
ステップ 4

[ヒット（Hits）] フィルタを展開します。
ステップ 5

期間を選択します。
ステップ 6

0 ヒットを選択します。

ネットワークポリシー内のルールがヒットする頻度の検索

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

[フィルタ（Filter）] ペインで [すべて表示（Show All）] をクリックして、既存のフィルタをすべてクリアします。

ステップ 3

1 つのデバイスで使用されるネットワークポリシーを選択します。
ステップ 4

ルールテーブルの [ヒット（Hits）] 列を調べて、ネットワークポリシーの各ルールがヒットしている頻度を確認します。

ステップ 5

ネットワークポリシーのルールが多すぎて結果を一目で確認できない場合は、[ヒット（Hits）] フィルタを展開します。
ステップ 6

期間を選択します。
ステップ 7

各種のヒットフィルタを選択して、各種のルールがどのカテゴリに分類されるかを確認します。

共有ネットワークポリシーがヒットする頻度の検索

ネットワークポリシーのヒット数は、個々のデバイスに対して計算されます。フィルタでデバイスを指定しないと、2 つ以上のデバイスで共有されている 1 つのネットワーク ポリシーのヒット率を表示できません。

手順
ステップ 1

[ポリシー（Policies）] > [ASAアクセスポリシー（ASA Access Policies）]に移動します。

ステップ 2

ポリシーテーブルの上にある [クリア] をクリックして、既存のフィルタをクリアします。
ステップ 3

[共有ポリシー（Shared Policies）] フィルタを展開し、[共有（Shared）] をクリックします。
ステップ 4

共有されているネットワークポリシーを選択します。
ステップ 5

そのポリシーの詳細ペインで、そのネットワークポリシーを使用しているデバイスをメモしてから、ネットワーク ポリシー テーブルに戻ります。

ステップ 6

共有されているポリシーの名前を検索フィールドに入力します。
ステップ 7

[デバイス] フィルタを展開し、共有されているポリシーを使用しているいずれかのデバイスでフィルタします。

ステップ 8

[ヒット（Hits）] フィルタを展開します。
ステップ 9

期間を選択します。
ステップ 10

各種のヒットフィルタを選択して、ポリシーがどのカテゴリに分類されるのかを確認します。

ヒット率によるネットワークポリシーのフィルタ処理

手順
ステップ 1

[ポリシー（Policies）] > [ASAアクセスポリシー（ASA Access Policies）] に移動します。

ステップ 2

ポリシーテーブルの上にある [クリア] をクリックして、既存のフィルタをクリアします。
ステップ 3

[ヒット（Hits）] フィルタを展開します。
ステップ 4

期間を選択します。
ステップ 5

異なるヒット率カテゴリを選択します。CDO は、指定したレートでヒットしているポリシーを表示します。ヒットレートの基準に一致する共有ネットワークポリシーがある場合、CDO は、共有ポリシーを使用するすべてのデバイスの行を表示します。

共有 ASA ネットワークポリシー

Cisco Defense Orchestrator（CDO）は、複数の ASA によって使用される同一のネットワークポリシーを見つけ、ネットワークポリシーページでそれらを識別します。共有ネットワークポリシーがある場合は、一度変更して、ポリシーを共有する他のデバイスに変更を配布できます。これにより、デバイス間でネットワークポリシーの一貫性が保たれます。

共有ネットワークポリシーの属性

ネットワーク ポリシー テーブルは、ネットワークポリシーを使用するデバイスの数を示します。複数のデバイスで使用されることを示すネットワークポリシーは、共有ポリシーです。共有ネットワークポリシーを検索するには、次の手順に従います。

手順
ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

フィルタペインで、[すべて表示（Show All）] をクリックして、ページから過去のフィルタ条件または検索条件をクリアします。

ステップ 3

フィルタバーで、[共有ポリシー（Shared Policies）] を展開して [共有（Shared）] を選択します。

ステップ 4

検索バーにキーワードを入力して、さらに検索を絞り込みます。
ステップ 5

ネットワーク ポリシー テーブルから共有ネットワークポリシーを選択します。


（注）  

フィルタ条件と検索条件は組み合わせて使用されず、一度に 1 つしか使用できません。たとえば、「共有ポリシー（Shared Policies）」でフィルタリングすると、すべての共有ポリシーが表示されます。特定のデバイス名を検索に追加すると、ポリシーが共有されているかどうかに関係なく、そのデバイス名で使用されているすべてのネットワークポリシーが表示されます。

共有ネットワークポリシーの編集

手順
ステップ 1

編集する共有ポリシーを特定します。

ステップ 2

共有ポリシーを選択します。CDO は、CDO 管理対象のどのデバイスがそのネットワークポリシーを使用するかを識別します。
ステップ 3

詳細ペインで、[ポリシーの編集（Edit Policy）] をクリックします。
ステップ 4

ポリシーのルールを編集します。

ステップ 5

[保存（Save）] をクリックします。

ステップ 6

[確認（Confirm）] で、変更の影響を受けるデバイスを確認します。

ステップ 7

[デバイスとサービス] ページを開いて、デバイスが同期されていないことを確認します。
ステップ 8

[変更を手動で展開...（Deploy Changes Manually...）] をクリックして、表示される指示に従って、ASA に保存されている設定を更新して変更を反映します。

共有ネットワークポリシーの比較

共有ネットワークポリシーを比較する目的は、少しだけ相違しているポリシーを探し、それらを再調整することです。ほとんど同じポリシーがいくつかある場合、それらは分岐したものであり、実際には同一のポリシーである可能性があります。ネットワークポリシーを再調整すると、CDO はポリシーを共有ポリシーとして認識します。ポリシーを変更する場合、そのポリシーを使用して他のデバイスに変更を配信できるようになります。

手順
ステップ 1

比較する共有ポリシーを見つけます。

ステップ 2

[比較] をクリックします。

ステップ 3

比較するネットワークポリシーを 2 つ選択し、[比較の表示（View Comparison）] をクリックします。
ステップ 4

違いをメモし、[比較を終了（Done Comparing）] をクリックします。
ステップ 5

ポリシーの 1 つを変更して他のポリシーと一致させる場合は、ネットワーク ポリシー テーブルからポリシーを選択し、詳細ペインで [ポリシーの編集（Edit Policy）] をクリックして編集します。

ASA ポリシー（拡張アクセスリスト）

Cisco Defense Orchestrator（CDO）は、ネットワークとアプリケーションのセキュリティポリシーをすべてのデバイスで一貫した状態に保つ機能をユーザーに提供します。この独自の機能により、複数のデバイスで同時にポリシーをシンプルかつ簡単に変更できます。

アクセス コントロール エントリ（ACE）

アクセス コントロール エントリについて、確認できるものと確認できないものについて考えてください。

確認できるものは、次のとおりです。CDO のユーザーインターフェイスに関しては、ネットワークポリシーに追加するルールは、ASA のアクセス コントロール エントリです。このルールでは、送信元アドレスと宛先アドレスの間、またはあるアドレスグループと別のアドレスグループの間で許可されるネットワークトラフィックを定義します。

確認できないものは、次のとおりです。ASA は、作成したネットワークルールを拡張して、そのネットワークルールによって暗示される送信元 IP アドレスと宛先 IP アドレスの可能なすべての組み合わせを考慮します。たとえば、1 つのネットワークオブジェクトの 3 つの IP アドレスが別のオブジェクトの 3 つの IP アドレスにアクセスすることを拒否するルールがある場合、ASA がメモリに格納する可能性のあるアクセス コントロール エントリは 9 つあります。

ASA が処理できる ACE の数にハードコードされた制限はありませんが、ACE の数が多すぎると、ASA のパフォーマンスが低下します。特定の ASA デバイスに予想される ACE エントリの最大数については、「Adaptive Security Appliance FAQ」 の表 4「Maximum Access Control Entries for Cisco ASA Models」を参照してください。

CDO は、すべてのネットワークポリシーから派生した ACE の総数を維持し、その ACE 数がアプライアンスで予想される ACE の最大制限数を超えると通知します。CDO が提供する情報は次のとおりです。

デバイス上の ACE 数の削減

予想される ACE の最大数を超えたデバイス上の ACE 数を減らすためのいくつかのアプローチを次に示します。

ASA グローバルアクセスポリシーの設定

グローバルアクセスポリシーは、ASA のすべてのインターフェイスに適用されるネットワークポリシーです。これらのポリシーは、着信ネットワークトラフィックにのみ適用されます。一連のルールをすべての ASA インターフェイスに一様に適用する場合は、グローバルアクセスポリシーを作成します。

1 つの ASA に設定できるグローバルアクセスポリシーは 1 つだけです。他のポリシーと同様に、グローバルアクセスポリシーには複数のルールを割り当てることができます。

ASA グローバルアクセスポリシーは、特定のインターフェイスのネットワークポリシーの後、すべてのトラフィックの暗黙の拒否ルールの前に処理されます。ASA でのルール処理の順序は、次のとおりです。

  1. インターフェイス アクセス規則。

  2. ブリッジ グループ メンバーのインターフェイスでは、ブリッジ仮想インターフェイス（BVI）のアクセス ルール

  3. グローバル アクセス ルール

  4. 暗黙的な拒否

ASA グローバルアクセスポリシーの設定に関する制限事項

CDO では、ASA のグローバルアクセスポリシーを作成および編集できます。ただし、CDO に ASA を導入準備したときに ASA にグローバルアクセスポリシーが存在している場合、次の制限があります。

  • ポリシーを編集することはできますが、デバイスごとに許可されるグローバルアクセスポリシーは 1 つしかないため、新しいポリシーを作成することはできません。

  • ASA のグローバルアクセスポリシーに、CDO がサポートしていないルールが含まれている場合、そのポリシーを編集することはできません。

  • ポリシーを削除するには、CLI インターフェイスを使用するか、デバイス構成ファイルを編集する必要があります。

グローバルアクセスポリシーの作成

手順

ステップ 1

[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] をクリックします。

ステップ 2

フィルタパネルで、ポリシーリストをフィルタ処理して、グローバルポリシーを追加するデバイスを見つけます。
ステップ 3

[ネットワークポリシー（Network Policies）] テーブルの [インターフェイス（Interfaces）] 列で、「グローバル（global）」というラベルの付いたポリシーがないことを確認します。
ステップ 4

[ポリシーの作成（Create Policy）] をクリックします。

ステップ 5

[デバイス] ボタンをクリックし、グローバルポリシーを追加する ASA を選択します。[選択（Select）] をクリックします。

ステップ 6

ポリシーに名前を付け、[グローバルポリシーとして作成（Create as a global policy）] をオンにします。ポリシーのインターフェイスまたは方向を選択できないことがわかります。グローバルポリシーは常にデバイス上のすべてのインターフェイスに割り当てられ、常にインバウンドトラフィックを評価します。

ステップ 7

[保存（Save）] をクリックします。

ステップ 8

[ASAネットワークポリシーの編集（Edit an ASA Network Policy）] を使用して、新しいポリシーにルールを追加します。ASA ネットワークポリシーの編集

グローバルアクセスポリシーの編集

上記の構成の制限に留意し、[ASAネットワーク ポリシーの編集] を使用してグローバルアクセスポリシーを編集します。ASA ネットワークポリシーの編集


（注）  

[ポリシーの編集] ボタンが非アクティブになっているためにグローバルポリシーを編集できない場合は、ポリシーが ASA で作成され、CDO がサポートしていないオブジェクトを持つルールが含まれている可能性があります。これらのルールは、グローバル アクセス ポリシー テーブルでは表示されません。この場合、CDO の CLI ツールを使用して構成ファイルを編集する必要があります。これには CDO を使用して ASA の構成ファイルを編集するか、ASA で直接グローバルポリシーを編集します。

グローバルアクセスポリシーを別のデバイスにコピーする

[ASAネットワークポリシーのコピー] を使用して、グローバルアクセスポリシーを 1 つのデバイスから別のデバイスにコピーするか、グローバルアクセスポリシーを 1 つのデバイスから別のデバイスの単一のインターフェイスにコピーします。ASA ネットワークポリシーのコピー

グローバルアクセスポリシーの削除

CDO のユーザーインターフェイスを使用してグローバルアクセスポリシーを削除することはできません。グローバルアクセスポリシーを削除するには、CDO の CLI ツールを使用してコマンドラインでグローバルアクセスポリシーを削除する必要があります。これには CDO を使用して ASA の構成ファイルを編集するか、ASA で直接グローバルポリシーを編集します。

ヒット率

CDO を使用すると、ポリシーの安全でスケーラブルなオーケストレーションに加えて、ポリシールールの結果を評価できるようになり、より正確なポリシー分析のためのシンプルな視覚化と、根本原因への迅速で実行可能なピボットを、すべてクラウドから 1 つのペインで行うことが可能になります。ヒット率機能を使用すると、次のことが可能になります。

  • 古く照合されないポリシールールを排除し、セキュリティ態勢を強化します。

  • ボトルネックを即座に特定し、正確で効率的な優先順位付けを確実に実施することにより、ファイアウォールのパフォーマンスを最適化します（たとえば、トリガーされたポリシールールの優先順位が高くなります）。

  • デバイスまたはポリシールールがリセットされた場合でも、設定されたデータ保持期間（1 年）の間、ヒット率情報の履歴を維持します。

  • 実用的な情報に基づいて、疑わしいシャドウおよび未使用のルールの検証を強化します。更新または削除についての疑問を解消します。

  • 事前定義された時間間隔（日、週、月、年）と実際のヒットのスケール（ゼロ、>100、>100k など）を活用して、ポリシー全体のコンテキストでポリシールールの使用を視覚化し、ネットワークを通過するパケットへの影響を評価します。

ASA ポリシーのヒット率の表示

手順

ステップ 1

CDO メニューバーから [ポリシー（Policies）] > [ASAアクセスポリシー（ASA Access Policies）] を選択します。

ステップ 2

フィルタアイコンをクリックして、開いた状態でピン留めします。
ステップ 3

[ヒット（Hits）] 領域で、さまざまなヒットカウントフィルタをクリックして、他のポリシーよりもヒットの頻度が高いポリシーや低いポリシーを表示します。

ネットワークポリシールールのエクスポート

各 Access-Group または Crypto-Map の内容を .csv ファイルにエクスポートできます。この .csv には、各アクセス制御リスト（ACL）と、各 ACL について CDO が持つデータが表示されます。

手順

ステップ 1

ナビゲーションウィンドウで、[ポリシー（Policies）] > [ASAポリシー（ASA Policies）] を選択します。

ステップ 2

（任意）ネットワーク ポリシー フィルタを使用して結果をフィルタ処理します。

ステップ 3

結果からネットワークポリシーを選択します。
ステップ 4

[CSVにエクスポート（Export to CSV）] をクリックします。

ステップ 5

CDO は、画面に表示されているルールを .csv ファイルにエクスポートします。

ASA ポリシー変更のデバイスへの適用

Cisco Defense Orchestrator（CDO）でセキュリティポリシーを変更すると、影響を受けるデバイスまたはサービスに変更がステージングされるため、設定が [非同期] になります。現在 [非同期] のデバイスやサービスで [デバイスに展開...（Deploy to Device...）] をクリックすると、ポリシーの変更を確認して適用することができます。

スクリプトによるデバイスの展開

ASA デバイスポリシー構成の変更が完了したら、変更を確認してデバイスに適用する必要があります。

手順

ステップ 1

[デバイス] タブに移動し、[デバイス] タブをクリックします。
ステップ 2

適切なデバイスタイプのタブをクリックし、変更したデバイスをテーブルから選択します。構成ステータスには、デバイスにまだ適用されていない変更があることを示す [非同期] が表示されます。
ステップ 3

右側のサイドバーから [同期] をクリックし、デバイスと CDO 構成を同期済みステータスにするために、デバイスに適用するコマンドを生成します。
ステップ 4

プロンプトが表示されたら、[コマンドのダウンロード] をクリックして、コマンドのコピーをローカルにダウンロードします。これらのコマンドはテキストファイルに含まれており、適用する前に確認できます。必要に応じて変更を元に戻すためのコマンドも生成されます。

ステップ 5

CDO の外部で、標準プロトコルを使用してデバイスにログインし、ダウンロードしたコマンドを適用します。
ステップ 6

すべてのコマンドを入力したら、CDO に戻り、[デバイス] タブで変更されたデバイスを再度選択します。
ステップ 7

[更新] をクリックして、CDO との同期を確認します。

コマンドの一部が実行された場合、または追加のコマンドがアウトオブバンドで実行された場合、CDO は相違点を示すウィンドウを開いて相違点を示し、[競合検出] というステータスに更新することでユーザーに警告します。

ASA ポリシーのセキュリティグループタグ

アクセス制御ルール内で、セキュリティ グループ オブジェクト グループ（以下「SGT グループ」と呼ぶ）のセキュリティグループタグを使用する ASA を導入準備する場合、Cisco Defense Orchestrator では、これらの SGT グループを使用するルールを編集し、そのルールを持っているポリシーを管理できます。ただし、SGT グループを作成したり、CDO GUI を使用して編集したりすることはできません。SGT グループを作成または編集するには、ASA の Adaptive Security Device Manager（ASDM）、または CDO で使用可能なコマンド ライン インターフェイスを使用する必要があります。

CDO のオブジェクトページで SGT グループの詳細を読むと、それらのオブジェクトが編集不可のシステム提供オブジェクトとして識別されていることがわかります。

CDO 管理者は、SGT グループを含む ACL および ASA ポリシーで次のタスクを実行できます。

  • CDO 管理者は、接続先および宛先セキュリティグループを除き、ACL のすべての側面を編集できます。

  • SGT グループを含むポリシーを 1 つの ASA から別の ASA にコピーします。

コマンド ライン インターフェイスを使用して Cisco TrustSec を設定する手順の詳細については、お使いの ASA リリースの『ASA CLI Book 2: Cisco ASA Series Firewall CLI Configuration Guide』の「ASA and Cisco TrustSec」の章を参照してください。

シャドウイングされたルール

シャドウイングされたルールを含むネットワークポリシーは、ポリシーの少なくとも 1 つのルールがトリガーされることがないポリシーです。これは、それに先行するルールによって、シャドウイングされたルールによるパケットの評価が妨げられるためです。

たとえば、「example」ネットワークポリシーの次のネットワークオブジェクトとネットワークルールについて考えてみます。

object network 02-50 
range 10.10.10.2 10.10.10.50 
object network 02-100 
range 10.10.10.2 10.10.10.100
access-list example extended deny ip any4 object 02-50 
access-list example extended permit ip host 10.10.10.35 object 02-50 
access-list example extended permit ip any4 object 02-100
次のルールによって評価されるトラフィックはありません 
access-list example extended permit ip host 10.10.10.35 object 02-50
その理由は、先行するルール 
access-list example extended deny ip any4 object 02-50
が、10.10.10.2 から 10.10.10.50 の範囲の任意アドレスから到達するすべて IPOv4 アドレスを拒否するためです。

シャドウイングされたルールを持つネットワークポリシーを見つける

シャドウイングされたルールを持つネットワークポリシーを見つけるには、ネットワーク ポリシー フィルタを使用します。

手順

ステップ 1

ナビゲーションウィンドウで、[ポリシー] > [ASAポリシー]を選択します。

ステップ 2

ASA アクセスポリシーテーブルの上部にあるフィルタアイコンをクリックします。
ステップ 3

[ポリシーの問題] フィルタで、[シャドウイング] をオンにして、シャドウイングされたルールを持つすべてのポリシーを表示します。

シャドウルールを使用した問題の解決

次に示すのは、CDO が前述の「例」のネットワークポリシーで説明されているルールを表示する方法です。

1 行目のルールは、ポリシー内の別のルールをシャドウしているため、シャドウ警告バッジ のマークが付いています。2 行目のルールは、ポリシー内の別のルールによってシャドウされているため マークが付いています。2 行目のルールのアクションは、ポリシー内の別のルールによって完全にシャドウされているためグレー表示されています。CDO は、2 行目のルールをシャドウするポリシー内のルールを通知できます。

3 行目のルールは、時々のみトリガーできます。これは部分的なシャドウルールです。10.10.10.2 ～ 10.10.10.50 の範囲の IP アドレスに到達しようとする IPv4 アドレスからのネットワークトラフィックは、最初のルールによってすでに拒否されているため、評価されません。ただし、10.10.10.51 ～ 10.10.10.100 の範囲のアドレスに到達しようとする IPv4 アドレスは、最後のルールによって評価され、許可されます。


注意    

CDO は、部分的なシャドウルールにシャドウ警告バッジ を適用しません。

手順

ステップ 1

ポリシーでシャドウルールを選択します。前述の例では、2 行目をクリックすることを意味します。
ステップ 2

ルールの詳細ペインで、[シャドウ基準（Shadowed By）] 領域を探します。この例では、2 行目のルールの [シャドウ基準（Shadowed By）] 領域は、1 行目のルールによってシャドウされていることを示しています。

ステップ 3

シャドウイングルールを確認します。広すぎる場合、シャドウルールを確認します。不要な場合、シャドウルールを編集するか、シャドウルールを削除します。

（注）   

シャドウルールを削除することで、ASA のアクセス コントロール エントリ（ACE）の数を減らすことができ、他の ACE で他のルールを作成するためのスペースが解放されます。CDO は、1 つのネットワークポリシーのすべてのルールから派生した ACE の数を計算し、ネットワークポリシーの詳細ペインの上部に合計を表示します。ネットワークポリシーのいずれかのルールがシャドウされている場合は、その数もリストされます。

CDO は、ネットワークポリシーの 1 つのルールから派生した ACE の数も表示し、その情報をネットワークポリシーの詳細ペインに表示します。リストの例を次に示します。
ステップ 4

ネットワークポリシーの詳細ペインの [デバイス（ Devices）] 領域を調べて、ポリシーを使用するデバイスを特定します。

ステップ 5

[デバイスとサービス（Devices & Service）] ページを開き、ポリシー変更の影響を受けるデバイスに変更を展開し直します。

ネットワーク アドレス変換

IP ネットワーク内の各コンピュータおよびデバイスには、ホストを識別する固有の IP アドレスが割り当てられています。パブリック IPv4 アドレスが不足しているため、これらの IP アドレスの大部分はプライベートであり、企業のプライベートネットワークの外部にルーティングできません。RFC 1918 では、アドバタイズされない、内部で使用できるプライベート IP アドレスが次のように定義されています。

  • 10.0.0.0 ～ 10.255.255.255

  • 172.16.0.0 ～ 172.31.255.255

  • 192.168.0.0 ～ 192.168.255.255

ネットワーク アドレス変換（NAT）の主な機能の 1 つは、プライベート IP ネットワークがインターネットに接続できるようにすることです。NAT は、プライベート IP アドレスをパブリック IP に置き換え、内部プライベート ネットワーク内のプライベート アドレスをパブリック インターネットで使用可能な正式の、ルーティング可能なアドレスに変換します。このようにして、NAT はパブリック アドレスを節約します。これは、ネットワーク全体に対して 1 つのパブリック アドレスだけを外部に最小限にアドバタイズするように NAT を設定できるためです。

NAT の他の機能は、次のとおりです。

  • セキュリティ：内部アドレスを隠蔽し、直接攻撃を防止します。

  • IP ルーティングソリューション：NAT を使用する際に、重複 IP アドレスが問題になりません。

  • 柔軟性：外部で使用可能なパブリックアドレスに影響を与えずに、内部 IP アドレス方式を変更できます。たとえば、インターネットにアクセス可能なサーバーの場合、インターネット用に固定 IP アドレスを維持できますが、内部向けにサーバーのアドレスを変更することができます。

  • IPv4 と IPv6（ルーテッドモードのみ）の間の変換：IPv4 ネットワークに IPv6 ネットワークを接続する場合は、NAT を使用すると、2 つのタイプのアドレス間で変換を行うことができます。

Cisco Defense Orchestrator を使用して、さまざまな使用例の NAT ルールを作成できます。NAT ルールウィザードまたは次のトピックを使用して、さまざまな NAT ルールを作成します。

NAT ルールの処理命令

ネットワーク オブジェクト NAT ルールおよび Twice NAT ルールは、3 セクションに分割される 1 つのテーブルに保存されます。最初にセクション 1 のルール、次にセクション 2、最後にセクション 3 というように、一致が見つかるまで順番に適用されます。たとえば、セクション 1 で一致が見つかった場合、セクション 2 とセクション 3 は評価されません。次の表に、各セクション内のルールの順序を示します。

表 11. NAT ルール テーブル

テーブルのセクション

ルール タイプ

セクション内のルールの順序

セクション 1

Twice NAT（ASA）

手動 NAT（FTD）

設定に登場する順に、最初の一致ベースで適用されます。最初の一致が適用されるため、一般的なルールの前に固有のルールが来るようにする必要があります。そうしない場合、固有のルールを期待どおりに適用できない可能性があります。デフォルトでは、Twice NAT ルールはセクション 1 に追加されます。

セクション 2

ネットワークオブジェクト NAT（ASA）

自動 NAT（FTD）

セクション 1 で一致が見つからない場合、セクション 2 のルールが次の順序で適用されます。

  1. スタティック ルール

  2. ダイナミック ルール

各ルール タイプでは、次の順序ガイドラインが使用されます。

  1. 実際の IP アドレスの数量：小から大の順。たとえば、アドレスが 1 個のオブジェクトは、アドレスが 10 個のオブジェクトよりも先に評価されます。

  2. 数量が同じ場合には、IP アドレス番号（最小から最大まで）が使用されます。たとえば、10.1.1.0 は、11.1.1.0 よりも先に評価されます。

  3. 同じ IP アドレスが使用される場合、ネットワーク オブジェクトの名前がアルファベット順で使用されます。たとえば、オブジェクト「Arlington」はオブジェクト「Detroit」の前に評価されます。

セクション 3

Twice NAT（ASA）

手動 NAT（FTD）

まだ一致が見つからない場合、セクション 3 のルールがコンフィギュレーションに登場する順に、最初の一致ベースで適用されます。このセクションには、最も一般的なルールを含める必要があります。このセクションにおいても、一般的なルールの前に固有のルールが来るようにする必要があります。そうしない場合、一般的なルールが適用されます。

たとえばセクション 2 のルールでは、ネットワーク オブジェクト内に定義されている次の IP アドレスがあるとします。

  • 192.168.1.0/24（スタティック）

  • 192.168.1.0/24（ダイナミック）

  • 10.1.1.0/24（スタティック）

  • 192.168.1.1/32（スタティック）

  • 172.16.1.0/24（ダイナミック）（オブジェクト Detroit）

  • 172.16.1.0/24（ダイナミック）（オブジェクト Arlington）

この結果、使用される順序は次のとおりです。

  • 192.168.1.1/32（スタティック）

  • 10.1.1.0/24（スタティック）

  • 192.168.1.0/24（スタティック）

  • 172.16.1.0/24（ダイナミック）（オブジェクト Arlington）

  • 172.16.1.0/24（ダイナミック）（オブジェクト Detroit）

  • 192.168.1.0/24（ダイナミック）

ネットワークアドレス変換ウィザード

ネットワークアドレス変換（NAT）ウィザードは、次のタイプのアクセスに使用する NAT ルールをデバイスで作成する際に役立ちます。

  • 内部ユーザーのインターネットアクセスを有効にする。この NAT ルールを使用して、内部ネットワーク上のユーザーがインターネットにアクセスできるようにすることができます。

  • 内部サーバーをインターネットに公開する。この NAT ルールを使用して、ネットワーク外のユーザーが内部 Web サーバーまたは電子メールサーバーにアクセスできるようにすることができます。

「内部ユーザーのインターネットアクセスを有効にする」ための前提条件

NAT ルールを作成する前に、次の情報を収集します。

  • ユーザーに最も近いインターフェイス。通常これは「内部」インターフェイスと呼ばれます。

  • インターネット接続に最も近いインターフェイス。通常これは「外部」インターフェイスと呼ばれます。

  • 特定のユーザーのみにインターネットへのアクセスを許可する場合は、それらのユーザーのサブネットアドレスが必要です。

「内部サーバーをインターネットに公開する」ための前提条件

NAT ルールを作成する前に、次の情報を収集します。

  • ユーザーに最も近いインターフェイス。通常これは「内部」インターフェイスと呼ばれます。

  • インターネット接続に最も近いインターフェイス。通常これは「外部」インターフェイスと呼ばれます。

  • インターネット側の IP アドレスに変換する、ネットワーク内のサーバーの IP アドレス。

  • サーバーが使用するパブリック IP アドレス。

次の作業

NAT ウィザードを使用した NAT ルールの作成 を参照してください。

NAT ウィザードを使用した NAT ルールの作成

始める前に

NAT ウィザードを使用して NAT ルールを作成するために必要な前提条件については、 ネットワークアドレス変換ウィザードを参照してください。

手順

ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

フィルタと 検索フィールドを使用して、NAT ルールを作成するデバイスを見つけます。

ステップ 5

詳細パネルの [管理（Management）] 領域で、[NAT] をクリックします。
ステップ 6

> [NATウィザード（NAT Wizard）] をクリックします。

ステップ 7

NAT ウィザードの質問に回答し、画面の指示に従います。

  • NAT ウィザードはネットワーク オブジェクトを使用してルールを作成します。ドロップダウンメニューから既存のオブジェクトを選択するか、作成ボタン で新しいオブジェクトを作成します。

  • NAT ルールを保存する前に、すべての IP アドレスをネットワークオブジェクトとして定義する必要があります。
ステップ 8

行った変更を今すぐレビューして展開するか、待機してから複数の変更を同時に展開します。

NAT の一般的な使用例

Twice NAT と手動 NAT

「自動 NAT」とも呼ばれる「ネットワークオブジェクト NAT」を使用して達成できるいくつかの一般的なタスクを次に示します。

ネットワークオブジェクト NAT と自動 NAT

「手動 NAT」とも呼ばれる「Twice NAT」を使用して達成できる一般的なタスクを次に示します。

内部ネットワーク上のサーバーがパブリック IP アドレスを使用してインターネットに到達できるようにする

使用例

インターネットからアクセスする必要があるプライベート IP アドレスを持つサーバーがあり、1 つのパブリック IP アドレスからプライベート IP アドレスへの NAT に十分なパブリック IP アドレスがある場合は、この NAT 戦略を使用します。パブリック IP アドレスの数に限りがある場合は、「パブリック IP アドレスの特定のポートでユーザーが内部ネットワーク上のサーバーを使用できるようにする」を参照してください（このソリューションの方が適している可能性があります）。

方法

サーバーは静的なプライベート IP アドレスを持ち、そのサーバーにネットワークの外部のユーザーがアクセスできる必要があります。静的プライベート IP アドレスを静的パブリック IP アドレスに変換するネットワークオブジェクト NAT ルールを作成します。その後、そのパブリック IP アドレスからのトラフィックがプライベート IP アドレスに到達できるようにするアクセスポリシーを作成します。最後に、これらの変更をデバイスに展開します。

始める前に

まず始めに、2 つのネットワークオブジェクトを作成します。一方のオブジェクトを「servername_inside」と名前を付け、もう一方のオブジェクトに「servername_outside」という名前を付けます。servername_inside ネットワークオブジェクトには、サーバーのプライベート IP アドレスが含まれている必要があります。servername_outside ネットワークオブジェクトには、サーバーのパブリック IP アドレスが含まれている必要があります。手順については、「ネットワークオブジェクトの作成」を参照してください。

手順

ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理] ペインで [NAT] をクリックします。

ステップ 6

> [ネットワークオブジェクト NAT（Network Object NAT）] をクリックします。

ステップ 7

セクション 1の [タイプ] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。

ステップ 8

セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット（Packets）] で、次のアクションを実行します。

  1. [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、servername_inside オブジェクトを選択します。

  2. [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、servername_outside オブジェクトを選択します。

ステップ 10

セクション 4 の [詳細（Advanced）] はスキップしてください。

ステップ 11

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。

ステップ 12

[保存（Save）] をクリックします。

ステップ 13

ASA の場合はネットワークポリシールールを展開し、FTD の場合はアクセス コントロール ポリシールールを展開して、servername_inside から servername_outside へのトラフィックフローを可能にします。

ステップ 14

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA の保存済み構成ファイルのエントリ

この手順の結果として ASA の保存済み構成ファイル内に作成および表示されるエントリを次に示します。


（注）  

これは FTD デバイスには適用されません。

この手順によって作成されるオブジェクト：

object network servername_outside
host 209.165.1.29
object network servername_inside
host 10.1.2.29

この手順によって作成される NAT ルール：

object network servername_inside
 nat (inside,outside) static servername_outside

内部ネットワーク上のユーザーが外部インターフェイスのパブリック IP アドレスを使用してインターネットにアクセスできるようにする

使用例

外部インターフェイスのパブリックアドレスを共有することにより、プライベートネットワーク内のユーザーとコンピューターがインターネットに接続できるようにします。

方法

プライベートネットワーク上のすべてのユーザーがデバイスの外部インターフェイスのパブリック IP アドレスを共有できるようにするポートアドレス変換（PAT）ルールを作成します。

プライベートアドレスがパブリックアドレスとポート番号にマッピングされると、デバイスはそのマッピングを記録します。そのパブリック IP アドレスとポート宛の着信トラフィックを受信すると、デバイスはトラフィックを要求したプライベート IP アドレスにトラフィックを送り返します。

手順

ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理] ペインで [NAT] をクリックします。

ステップ 6

[ネットワークオブジェクトNAT] をクリックします。

ステップ 7

セクション 1 の [タイプ] で、[ダイナミック] を選択します。[続行（Continue）] をクリックします。

ステップ 8

セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [任意（any）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット（Packets）] で、次のアクションを実行します。

  1. [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、ネットワーク構成に応じて [any-ipv4] オブジェクトまたは [any-ipv6] オブジェクトを選択します。

  2. [変換済みアドレス（Translated Address）] メニューを展開し、利用可能なリストから [インターフェイス] を選択します。インターフェイスにより、外部インターフェイスのパブリックアドレスを使用することが示唆されています。

ステップ 10

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。

ステップ 11

[保存（Save）] をクリックします。

ステップ 12

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA の保存済み構成ファイルのエントリ

この手順の結果として ASA の保存済み構成ファイル内に作成および表示されるエントリを次に示します。


（注）  

これは FTD デバイスには適用されません。

この手順によって作成されるオブジェクト：

object network any_network 
subnet 0.0.0.0 0.0.0.0

この手順によって作成される NAT ルール：

object network any_network 
nat (any,outside) dynamic interface

内部ネットワーク上のサーバーをパブリック IP アドレスの特定のポートで使用できるようにする

使用例

パブリック IP アドレスが 1 つしかない場合、または数が非常に限られている場合は、静的 IP アドレスとポートにバインドされた受信トラフィックを内部アドレスに変換するネットワークオブジェクト NAT ルールを作成できます。特定のケースの手順を提供していますが、これらはサポートされている他のアプリケーションのモデルとして使用できます。

前提条件

まず始めに、FTP、HTTP、および SMTP サーバーのネットワークオブジェクトを 1 つずつ、合計 3 つの個別のオブジェクトを作成します。この手順のために、これらのオブジェクトを ftp-server-object、http-server-object、および smtp-server-object と呼びます。手順については、「ネットワークオブジェクトの作成」「」を参照してください。

FTP サーバーへの NAT 着信 FTP トラフィック

手順
ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理（Management）] ペインで [NAT] をクリックします。

ステップ 6

> [ネットワークオブジェクトNAT] をクリックします。

ステップ 7

セクション 1 の [タイプ] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。

ステップ 8

セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット（Packets）] で、次のアクションを実行します。

  • [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、ftp-server-object を選択します。

  • [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、[インターフェイス（Inerface）] を選択します。

  • [ポート変換の使用（Use Port Translation）] にチェックを付けます。

  • [tcp]、[ftp]、[ftp] を選択します。
ステップ 10

セクション 4 の [詳細（Advanced）] はスキップしてください。

ステップ 11

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。

ステップ 12

[保存（Save）] をクリックします。NAT テーブルの セクション 2 に新しいルールが作成されます。

ステップ 13

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA の保存済み構成ファイルのエントリ

この手順の結果として ASA の保存済み構成ファイル内に作成および表示されるエントリを次に示します。


（注）  

これは FTD デバイスには適用されません。
この手順によって作成されるオブジェクト
object network ftp-object
host 10.1.2.27
この手順によって作成される NAT ルール
object network ftp-object
nat (inside,outside) static interface service tcp ftp ftp

HTTP サーバーへの NAT 着信 HTTP トラフィック

パブリック IP アドレスが 1 つしかない場合、または数が非常に限られている場合は、静的 IP アドレスとポートにバインドされた受信トラフィックを内部アドレスに変換するネットワークオブジェクト NAT ルールを作成できます。特定のケースの手順を提供していますが、これらはサポートされている他のアプリケーションのモデルとして使用できます。

始める前に

まず始めに、HTTP サーバーのネットワークオブジェクトを作成します。この手順のために、オブジェクトを http-object と呼びます。手順については、「ネットワークオブジェクトの作成」「」を参照してください。

手順
ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理（Management）] ペインで [NAT] をクリックします。

ステップ 6

> [ネットワークオブジェクトNAT] をクリックします。

ステップ 7

セクション 1 の [タイプ] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。

ステップ 8

セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット（Packets）] で、次のアクションを実行します。

  • [オリジナルアドレス（Original Address）] メニューを展開し、[選択]（Choose）] をクリックして、http オブジェクトを選択します。

  • [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、[インターフェイス（Inerface）] を選択します。

  • [ポート変換の使用（Use Port Translation）] にチェックを付けます。

  • tcp、http、http を選択します。

ステップ 10

セクション 4 の [詳細] はスキップしてください。

ステップ 11

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。

ステップ 12

[保存（Save）] をクリックします。NAT テーブルの セクション 2 に新しいルールが作成されます。

ステップ 13

行った変更を今すぐレビューして展開するか、待機して、複数の変更を同時に展開します。

ASA の保存済み設定ファイルのエントリ

この手順の結果として ASA の保存済み設定ファイル内に作成および表示されるエントリを次に示します。


（注）  

これは FTD デバイスには適用されません。
この手順によって作成されるオブジェクト

object network http-object
host 10.1.2.28
この手順によって作成される NAT ルール
object network http-object
nat (inside,outside) static interface service tcp www www

SMTP サーバーへの NAT 着信 SMTP トラフィック

パブリック IP アドレスが 1 つしかない場合、または数が非常に限られている場合は、静的 IP アドレスとポートにバインドされた受信トラフィックを内部アドレスに変換するネットワークオブジェクト NAT ルールを作成できます。特定のケースの手順を提供していますが、これらはサポートされている他のアプリケーションのモデルとして使用できます。

始める前に

まず始めに、smtp サーバーのネットワークオブジェクトを作成します。この手順の説明では、オブジェクトを smtp-object と呼びます。手順については、「ネットワークオブジェクトの作成」「」を参照してください。

手順
ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理（Management）] ペインで [NAT] をクリックします。

ステップ 6

> [ネットワークオブジェクトNAT] をクリックします。

ステップ 7

セクション 1 の [タイプ] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。

ステップ 8

セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット（Packets）] で、次のアクションを実行します。

  • [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、smtp-server-object を選択します。

  • [変換済みアドレス（Translated Address）] メニューを展開し、[選択]（Choose）] をクリックして、[インターフェイス（Inerface）] を選択します。

  • [ポート変換の使用（Use Port Translation）] にチェックを付けます。

  • tcp、smtp、smtp を選択します。

ステップ 10

セクション 4 の [詳細（Advanced）] はスキップしてください。

ステップ 11

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。

ステップ 12

[保存（Save）] をクリックします。NAT テーブルの セクション 2 に新しいルールが作成されます。

ステップ 13

行った変更を今すぐレビューして展開するか、待機してから複数の変更を同時に展開します。

ASA の保存済み構成ファイルのエントリ

この手順の結果として ASA の保存済み構成ファイル内に作成および表示されるエントリを次に示します。


（注）  

これは FTD デバイスには適用されません。
この手順によって作成されるオブジェクト
object network smtp-object
host 10.1.2.29
この手順によって作成される NAT ルール
object network smtp-object
nat (inside,outside) static interface service tcp smtp smtp

プライベート IP アドレス範囲のパブリック IP アドレス範囲への変換

使用例

特定のデバイスタイプまたはユーザータイプのグループがあり、IP アドレスを特定の範囲に変換して、受信側デバイス（トランザクションの反対側のデバイス）がトラフィックを許可する必要がある場合は、このアプローチを使用します。

内部アドレスのプールを外部アドレスのプールに変換

始める前に

変換するプライベート IP アドレスプールのネットワークオブジェクトを作成し、それらのプライベート IP アドレスの変換先となるパブリックアドレスプールのネットワークオブジェクトも作成します。

ASA の場合、「元のアドレス」プール（変換するプライベート IP アドレスプール）は、アドレス範囲を持つネットワークオブジェクト、サブネットを定義するネットワークオブジェクト、またはプール内のすべてのアドレスを含むネットワークグループにすることができます。FTD の場合、「元のアドレス」プールは、サブネットを定義するネットワークオブジェクト、またはプール内のすべてのアドレスを含むネットワークグループにすることができます。


（注）  

ASAの場合、「変換されたアドレス」のプールを定義するネットワークグループは、サブネットを定義するネットワークオブジェクトにすることはできません。

これらのアドレスプールを作成する場合は、「ASA ネットワークオブジェクトおよびネットワークグループの作成または編集」とを参照してください。

以下の手順のために、プライベートアドレスプールを inside_pool、 パブリックアドレスプールを outside_pool と名付けました。

手順
ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックしてデバイスを見つけるか、[テンプレート] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理] ペインで [NAT] をクリックします。

ステップ 6

> [ネットワークオブジェクトNAT] をクリックします。
ステップ 7

セクション 1 の [タイプ] で [ダイナミック] を選択し、[続行] をクリックします。
ステップ 8

セクション 2 の [インターフェイス] で、送信元インターフェイスを [内部] に設定し、接続先インターフェイスを [外部] に設定します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット] で、以下のタスクを実行します。

  • [元アドレス] で、[選択] をクリックし、上記の前提条件セクションで作成した inside_pool ネットワークオブジェクト（またはネットワークグループ）を選択します。

  • [変換されたアドレス] で、[選択] をクリックし、上記の前提条件セクションで作成した outside_pool ネットワークオブジェクト（またはネットワークグループ）を選択します。
ステップ 10

セクション 4 の [詳細] はスキップしてください。

ステップ 11

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前] に NAT ルールの名前を入力します。

ステップ 12

[保存（Save）] をクリックします。

ステップ 13

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA の保存済み構成ファイルのエントリ

以下は、この手順の結果として ASA の保存済み構成ファイル内に表示されるエントリです。


（注）  

これは FTD デバイスには適用されません。

この手順によって作成されるオブジェクト

object network outside_pool
    range 209.165.1.1 209.165.1.255
object network inside_pool
    range 10.1.1.1 10.1.1.255

この手順によって作成される NAT ルール

object network inside_pool
nat (inside,outside) dynamic outside_pool

外部インターフェイスを通過する際に IP アドレスの範囲が変換されるのを防ぐ

使用例

この Twice NAT ユースケースを使用して、サイト間 VPN を有効にします。

方法

IP アドレスのプールをそれ自体に変換して、ネットワークのある場所の IP アドレスが変更されずに別の場所に届くようにします。

Twice NAT ルールの作成

始める前に

それ自体に変換する IP アドレスのプールを定義するネットワークオブジェクトまたはネットワークグループを作成します。 ASA の場合、アドレスの範囲は、IP アドレス範囲を使用するネットワークオブジェクト、サブネットを定義するネットワークオブジェクト、または範囲内のすべてのアドレスを含むネットワーク グループ オブジェクトによって定義できます。

ネットワークオブジェクトやネットワークグループを作成する場合は、『ASA ネットワークオブジェクトおよびネットワークグループの作成または編集』と『』を参照してください。

次の手順では、ネットワークオブジェクトまたはネットワークグループを Site-to-Site-PC-Pool と呼びます。

手順
ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

NAT ルールを作成するデバイスを選択します。
ステップ 5

右側の [管理（Management）] ペインで [NAT] をクリックします。

ステップ 6

> [Twice NAT] をクリックします。.

ステップ 7

セクション 1 の [タイプ] で、[静的（Static）] を選択します。[続行（Continue）] をクリックします。

ステップ 8

セクション 2 の [インターフェイス（Interfaces）] で、送信元インターフェイスには [内部（inside）] を選択し、接続先インターフェイスには [外部（outside）] を選択します。[続行（Continue）] をクリックします。

ステップ 9

セクション 3 の [パケット（Packets）] で、次の変更を行います。

  • [元のアドレス（Original Address）] メニューを展開し、[選択（Choose）] をクリックして、前提条件セクションで作成した Site-to-Site-PC-Pool オブジェクトを選択します。

  • [変換済みアドレス（Translated Address）] メニューを展開し、[選択（Choose）] をクリックして、前提条件セクションで作成した Site-to-Site-PC-Pool オブジェクトを選択します。

ステップ 10

セクション 4 の [詳細（Advanced）] はスキップしてください。

ステップ 11

Firepower Threat Defense（FTD）の場合、セクション 5 の [名前（Name）] に NAT ルールの名前を入力します。

ステップ 12

[保存（Save）] をクリックします。

ステップ 13

ASA の場合、クリプトマップを作成します。クリプトマップの作成方法の詳細については、『CLI ブック 3：Cisco ASA シリーズ VPN CLI コンフィギュレーション ガイド』の、「LAN-to-LAN IPsec VPN」の章を確認してください。

ステップ 14

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ASA の保存済み構成ファイルのエントリ

以下は、この手順の結果として ASA の保存済み構成ファイル内に作成および表示されるエントリです。


（注）  

これは FTD デバイスには適用されません。

この手順によって作成されるオブジェクト

object network Site-to-Site-PC-Pool 
range 10.10.2.0 10.10.2.255

この手順によって作成される NAT ルール

nat (inside,outside) source static Site-to-Site-PC-Pool Site-to-Site-PC-Pool

仮想プライベートネット ワークの管理

バーチャル プライベート ネットワーク（VPN）接続は、インターネットなどのパブリック ネットワークを介してエンドポイント間の安全なトンネルを確立します。

このセクションは、適応型セキュリティアプライアンス（ASA）デバイスのリモートアクセスおよびサイト間 VPN に適用されます。 また、ASA で VPN 接続を構築し、リモートでアクセスするために使用する SSL 標準についても説明します。

CDO は以下のタイプの VPN 接続をサポートします。

サイト間仮想プライベートネットワーク

サイト間 VPN トンネルは、地理的に異なる場所にあるネットワークを接続します。CDO に導入準備された ASA デバイスに存在するサイト間設定のみを監視できます。現在、CDO では、ASA デバイスでサイト間 VPN 設定を構成できません。ただし、デバイスが CDO に導入準備されている場合は、構成を監視できます。サイト間トンネルは、Internet Protocol Security（IPsec）プロトコルスイートとインターネット キー エクスチェンジ バージョン 2（IKEv2）を使用して構築されます。VPN 接続が確立されると、ローカル ゲートウェイの背後にあるホストはセキュアな VPN トンネルを介して、リモート ゲートウェイの背後にあるホストに接続することができます。

ASA サイト間仮想プライベートネットワークのモニタリング

CDO を使用すると、導入準備 ASA デバイスで既存のサイト間 VPN 設定を監視できます。サイト間の設定は変更も削除もできません。

サイト間 VPN トンネルの接続の確認

[接続の確認（Check Connectivity） ] ボタンを使用して、トンネルに対するリアルタイムの接続確認をトリガーし、トンネルの現在の状態（アクティブまたはアイドル）を確認します。サイト間 VPN トンネルの検索とフィルタ処理[オンデマンド接続確認（on-demand connectivity check）] ボタンをクリックしていない場合、導入準備されているすべてのデバイスで利用可能なすべてトンネルに対する確認が 1 時間に一度実行されます。


（注）  
  • CDO は、トンネルがアクティブかアイドルかを判断するために、ASA および FTD で次の接続確認コマンドを実行します。 
    show vpn-sessiondb l2l sort ipaddress

  • ASA モデルデバイストンネルは常に [アイドル（Idle）] と表示されます。

[VPN] ページからトンネル接続を確認するには、次の手順を実行します。

手順
ステップ 1

メインのナビゲーションバーで、[VPN] > [サイト間VPN] をクリックします。

ステップ 2

サイト間 VPN トンネルのトンネルのリストを検索およびフィルタリングして、選択します。

ステップ 3

右側の [アクション] ペインで、[接続の確認（Check Connectivity）] をクリックします。
VPN の問題の特定

CDO は、ASA デバイスおよび FTD デバイスでの VPN の問題を特定できます（この機能は、AWS VPC サイト間 VPN トンネルではまだ利用できません）。この記事では次のことを説明します。

ピアが欠落している VPN トンネルを見つける

「Missing IP Peer」状態は、FTD デバイスよりも ASA デバイスで発生する可能性が高くなります。

手順
ステップ 1

CDO ナビゲーションウィンドウで、[VPN] > [サイト間 VPN（Site-to-Site VPN）]をクリックして VPN ページを開きます。

ステップ 2

[テーブルビュー（Table View）] を選択します。
ステップ 3

フィルタアイコン をクリックして、フィルタパネルを開きます。

ステップ 4

検出された問題を確認します。
ステップ 5

問題を報告している各デバイスを選択し、右側の [ピア（Peers）] ペインを確認します。1 つのピア名がリストされます。CDO は、他のピア名を「[Missing peer IP.]」として報告します。

暗号化キーの問題がある VPN ピアを見つける

このアプローチを使用して、以下のような暗号化キーの問題がある VPN ピアを見つけます。

  • IKEv1 または IKEv2 キーが無効、欠落しているか、一致しない

  • トンネルが古くなっているか、暗号化レベルが低い

手順
ステップ 1

CDO ナビゲーションバーで、[VPN] > [サイト間VPN] をクリックして VPN ページを開きます。 >

ステップ 2

[テーブルビュー] を選択します。
ステップ 3

フィルタアイコン をクリックして、フィルタパネルを開きます。

ステップ 4

問題を報告している各デバイス を選択し、右側の [ピア] ペインを確認します。ピア情報には、両方のピアが表示されます。

ステップ 5

いずれかのデバイスの [ピアの表示] をクリックします。
ステップ 6

ダイアグラムビューで、問題を報告しているデバイスをダブルクリックします。
ステップ 7

下部の [トンネルの詳細] パネルで [キー交換] をクリックします。両方のデバイスを表示して、そこでキーの問題を診断できます。

トンネルに対して定義された不完全な、または誤った設定のアクセスリストを見つける

「アクセスリストが不完全または正しく設定されていない」状態は、ASA デバイスでのみ発生する可能性があります。

手順
ステップ 1

CDO ナビゲーションバーで、[VPN] > [サイト間VPN] をクリックして VPN ページを開きます。 >

ステップ 2

[テーブルビュー（Table View）] を選択します。
ステップ 3

フィルタアイコン をクリックして、フィルタパネルを開きます。

ステップ 4

問題を報告している各デバイスを選択し、右側の [ピア（Peers）] ペインを確認します。ピア情報には、両方のピアが表示されています。

ステップ 5

いずれかのデバイスの [ピアの表示（View Peers）] をクリックします。
ステップ 6

ダイアグラムビューで、問題を報告しているデバイスをダブルクリックします。
ステップ 7

下部の [トンネルの詳細] パネルで [トンネルの詳細] をクリックします。「ネットワークポリシー：不完全（Network Policy: Incomplete）」というメッセージが表示されます。

トンネル設定の問題を見つける

トンネル設定のエラーは、次のシナリオで FTD デバイスで発生する可能性があります。

  • サイト間 VPN インターフェイスの IP アドレスが変更れたときの、「ピア IP アドレス値が変更されました（Peer IP Address Value has changed）」。

  • VPN トンネルの IKE 値が他の VPN トンネルと一致しない場合、「IKE 値が一致しません（IKE value Mismatch）」というメッセージが表示されます。

手順
ステップ 1

CDO ナビゲーションバーで、[VPN] > [サイト間VPN] をクリックして VPN ページを開きます。 >

ステップ 2

[テーブルビュー（Table View）] を選択します。
ステップ 3

フィルタアイコン をクリックして、フィルタパネルを開きます。

ステップ 4

[トンネルの問題（Tunnel Issues）] で、[検出された問題（Detected Issues）] をクリックして、エラーを報告している VPN 設定を表示します。問題を報告している（）設定を表示できます。

ステップ 5

問題を報告している VPN 設定を選択します。

ステップ 6

右側の [ピア（Peers）] ペインに、問題のあるピアに アイコンが表示されます。 アイコンにカーソルを合わせると、問題と解決策が表示されます。

次のステップ：トンネル設定の問題の解決。

トンネル設定の問題の解決

この手順では、次のトンネル設定の問題を解決を試みます。

  • サイト間 VPN インターフェイスの IP アドレスが変更れたときの、「ピア IP アドレス値が変更されました（Peer IP Address Value has changed）」。

  • VPN トンネルの IKE 値が他の VPN トンネルと一致しない場合、「IKE 値が一致しません（IKE value Mismatch）」というメッセージが表示されます。

詳細については、「トンネル設定の問題を見つける」を参照してください。

手順
ステップ 1

CDO のナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックし、問題を報告している VPN 設定に関連付けられているデバイスを選択します。

ステップ 4

デバイスの変更を受け入れます。

ステップ 5

CDO ナビゲーションウィンドウで、[VPN] > [サイト間VPN]をクリックして VPN ページを開きます。

ステップ 6

この問題を報告している VPN 設定を選択します。
ステップ 7

[アクション] ペインで、[編集] アイコンをクリックします。

ステップ 8

各手順で [次へ] をクリックして、最後に手順 4 で [完了（Fnish）] ボタンをクリックします。

ステップ 9

すべてのデバイスの構成変更のプレビューと展開。

管理対象外 VPN ピアの導入準備

ピアの 1 つが導入準備されると、CDO はサイト間 VPN トンネルを検出します。2 番目のピアが CDO によって管理されていない場合は、VPN トンネルのリストをフィルタリングして、管理されていないデバイスを見つけて導入準備することができます。

手順
ステップ 1

メインナビゲーションバーで、[VPN] > [サイト間VPN]を選択して VPN ページを開きます。

ステップ 2

[テーブルビュー（Table View）] を選択します。
ステップ 3

をクリックしてフィルタパネルを開きます。

ステップ 4

[管理対象外（Unmanaged）] にチェックを入れます。
ステップ 5

結果から管理対象外のデバイスを選択します。
ステップ 6

右側の [ピア（Peers）] ペインで、[デバイスの導入準備（Onboard Device）] をクリックし、画面の指示に従います。

サイト間 VPN トンネルの検索とフィルタ処理

フィルタサイドバー を検索フィールドと組み合わせて使用して、VPN トンネル図に示されている VPN トンネルの検索を絞り込みます。

手順
ステップ 1

メインのナビゲーションバーで、[VPN] > [サイト間VPN] に進みます。
ステップ 2

フィルタアイコン をクリックしてフィルタペインを開きます。

ステップ 3

これらのフィルタを使用して検索を絞り込みます。

  • [デバイスによるフィルタ]：[デバイスによるフィルタ] をクリックし、[デバイスタイプ] タブを選択し、フィルタ処理によって検索するデバイスをオンにします。

  • [デバイスの問題]：トンネルの各サイドでの問題検出の有無。問題のあるデバイスの例としては、関連するインターフェイス、ピア IP アドレス、またはアクセスリストの欠落、IKEv1 プロポーザルの不一致などがありますが、これらに限定されません（トンネルの問題の検出は、AWS VPC VPN トンネルではまだ使用できません）。

  • [デバイス/サービス]：デバイスのタイプ別にフィルタ処理します。

  • [ステータス]：トンネルのステータスは、アクティブまたはアイドルになります。

    • [アクティブ]：セッションが開かれ、ネットワークパケットが VPN トンネルを通過している、または正常なセッションが確立され、タイムアウトになっていない場合。アクティブであることは、トンネルがアクティブで関連していることを示します。

    • [アイドル]：CDO が該当のトンネル用のセッションが開かれていることを検出できない、トンネルが使用されていない、またはトンネルに問題がある場合。

  • [導入準備済み]：デバイスは、CDO によって管理される場合と、CDO によって管理されない場合（管理対象外）があります。

  • [デバイスタイプ]：トンネルの各サイドが実際のデバイス（接続されたデバイス）かモデルデバイスか。

ステップ 4

検索バーにデバイス名または IP アドレスを入力して、フィルタ処理された結果を検索することもできます。検索では大文字と小文字は区別されません。

サイト間 VPN トンネルの IKE オブジェクトの詳細の表示

選択したトンネルのピア/デバイスで設定されている IKE オブジェクトの詳細を表示できます。それらの詳細は、IKE ポリシーオブジェクトの優先順位に基づいた階層のツリー構造に表示されます。


（注）  

エクストラネットデバイスには、IKE オブジェクトの詳細が表示されません。
手順
ステップ 1

左側の CDO ナビゲーションバーで、[VPN] > [サイト間VPN] をクリックします。
ステップ 2

[VPNトンネル（VPN Tunnels）] ページで、ピアを接続する VPN トンネルの名前をクリックします。
ステップ 3

右側の [関係] で、詳細を表示するオブジェクトを展開します。

サイト間 VPN トンネル情報の表示

サイト間 VPN テーブルビューは、CDO に導入準備されたすべてのデバイスで使用可能なすべてのサイト間 VPN トンネルの完全なリストです。トンネルは、このリストに 1 つだけ存在します。表にリストされているトンネルをクリックすると、右側のサイドバーにオプションが表示され、トンネルのピアに直接移動して詳細に調査できます。

CDO がトンネルの両側を管理していない場合は、[導入準備デバイス（Onboard Device）] をクリックして、管理対象外のピアを導入準備するメインの導入準備ページを開くことができます。管理対象外 VPN ピアの導入準備CDO がトンネルの両側を管理する場合、[ピア2（Peer 2）] 列には管理対象デバイスの名前が含まれます。ただし、AWS VPC の場合、[ピア2（Peer 2）] 列には VPN ゲートウェイの IP アドレスが含まれています。

テーブルビューでサイト間 VPN 接続を表示するには、次の手順を実行します。

手順
ステップ 1

メインのナビゲーションバーで、[VPN] > [サイト間VPN] をクリックします。
ステップ 2

[テーブルビュー] ボタンをクリックします。

ステップ 3

「サイト間 VPN トンネルの検索とフィルタ処理」を使用して特定のトンネルを見つけるか、グローバルビューのグラフィックを拡大して、探している VPN ゲートウェイとそのピアを見つけます。

サイト間 VPN のグローバル表示

これは、グローバルビューの例です。この図では、「FTD_BGL_972」に FTD_BGL_973 デバイスおよび FTD_BGL_974 デバイスとのサイト間接続があります。

手順
ステップ 1

メインのナビゲーションバーで、[VPN] > [サイト間VPN] をクリックします。

ステップ 2

[グローバルビュー（Global view）] ボタンをクリックします。

ステップ 3

「サイト間 VPN トンネルの検索とフィルタ処理」を使用して特定のトンネルを見つけるか、グローバルビューのグラフィックを拡大して、探している VPN ゲートウェイとそのピアを見つけます。

ステップ 4

グローバルビューに表示されているピアのいずれかを選択します。
ステップ 5

[詳細の表示（View Details）] をクリックします。

ステップ 6

VPN トンネルのもう一方の端をクリックすると、CDO は、その接続のトンネルの詳細、NAT 情報、およびキー交換情報を表示します。

  • [トンネルの詳細]：トンネルの名前と接続情報が表示されます。[更新] アイコンをクリックすると、トンネルの接続情報が更新されます。

  • [AWS接続固有のトンネルの詳細（Tunnel Details specific to AWS connections）]：AWS サイト間接続のトンネルの詳細は、他の接続の場合と若干異なります。AWS VPC から VPN ゲートウェイへの接続ごとに、AWS は 2 つの VPN トンネルを作成します。これは、ハイアベイラビリティを実現するためです。

    • トンネルの名前は、VPN ゲートウェイが接続されている VPC の名前を表します。トンネルの名前に含まれている IP アドレスは、VPN ゲートウェイが VPC として認識している IP アドレスです。

    • CDO 接続の状態が「active」の場合、AWS トンネルの状態は「Up」です。CDO 接続の状態が「inactive」の場合、AWS トンネルの状態は「Down」です。

  • [NAT情報（NAT Information）]：使用されている NAT ルールのタイプ、元のパケットの情報、および変換されたパケットの情報が表示され、そのトンネルの NAT ルールを確認できる NAT テーブルへのリンクが提供されます（AWS VPC サイト間 VPN ではまだ利用できません）。

  • [キー交換]：トンネルで使用されている暗号キーと、キー交換の問題が表示されます（AWS VPC サイト間 VPN ではまだ利用できません）。

トンネルペイン

[トンネル（Tunnels）] ペインには、特定の VPN ゲートウェイに関連付けられているすべてのトンネルのリストが表示されます。VPN ゲートウェイと AWS VPC のサイト間 VPN 接続の場合、[トンネル（Tunnels）] ペインには、VPN ゲートウェイから VPC へのすべてのトンネルが表示されます。VPN ゲートウェイと AWS VPC のサイト間 VPN 接続にはそれぞれ 2 つのトンネルがあるため、他のデバイスで通常表示される 2 倍の数のトンネルが表示されます。

VPN ゲートウェイの詳細

VPN ゲートウェイに接続されているピア数と、VPN ゲートウェイの IP アドレスが表示されます。これは、[VPNトンネル（VPN Tunnels）] ページにのみ表示されます。

[ピア（Peers）] ペイン

サイト間 VPN ピアのペアを選択すると、ペアリングされた 2 つのデバイスのリストが [ピア（Peers）] ペインに表示され、いずれかのデバイスで [ピアの表示] をクリックできます。[ピアの表示（View Peers] をクリックすると、そのデバイスが関連付けられている他のサイト間ピアが表示されます。これは、テーブルビューとグローバルビューに表示されます。

ASA のテンプレート

テンプレートを使用すると、汎用のデバイス/サービス構成を構築できるため、その構成をグループ化された他の構成に適用できます。これらのテンプレートにより、グループ化された多くの実装に影響を与えるための変更を一箇所で行うことができます。

ASA テンプレートパラメータ

新しいテンプレートを作成する際、特定のデバイスをモデルにしたいことがあります。CDO には、テンプレートがモデル化されたデバイスの設定内にあるテキストの選択されたフィールドに基づいてテンプレートパラメータを設定する機能があります。パラメータは、作成するか、既存のパラメータから設定する、またはテンプレート パラメータ ビュー内で検索することができます。


（注）  

ASA テンプレートの設定をインポートすることを選択した場合、設定は JSON 形式である必要があります。

新規パラメータの作成

手順
ステップ 1

既存のデバイスが導入準備された状態で、CDO の上部にある [テンプレート] タブに移動します。

ステップ 2

[新しいテンプレート（New Template）] または [テンプレートの管理（Manage Templates）] を選択します。

ステップ 3

必要な設定を選択してパラメータを作成します。
ステップ 4

画面上部にある [名前（Name）] フィールドに入力することによってテンプレートに名前を付けます。
ステップ 5

パラメータを追加する目的のテキストフィールドを選択します。
ステップ 6

パラメータに説明を付け、値と必要な注記を追加します。
ステップ 7

[名前（Name）] フィールドの横にある [保存（Save）] をクリックしてパラメータを保存します。

ステップ 8

その後、[テンプレートの確認（Review Template）] をクリックして、テンプレートを確認することができます。

これで、今後このテンプレートを使用して導入準備されるすべてのデバイスに適用されるパラメータが作成され、保存されました。

新規 ASA、ISR、ASR テンプレートの作成

基本設定

既知の ASA、ISR、または ASR の基本設定から始めます。目的の設定を選択して、テンプレートのパラメータ化を開始します。パラメータ化には、構成ファイル内のフィールドまたは属性の選択と、構成ファイルのインスタンス化で選択される値のリストの識別が含まれます。


（注）  

ASA テンプレートの設定をインポートすることを選択した場合、設定は JSON 形式である必要があります。

パラメータの追加

基本設定を選択すると、パラメータ化プロセスを開始できます。設定エディタから、パラメータ化する目的のフィールドを選択します。選択した文字列は二重括弧で囲まれています。左ペインから、パラメータの名前を変更したり、説明を追加したり、複数の値を追加したりできます。[カスタム値を許可（Allow Custom Value）] を選択すると、インスタンス化時にカスタム値を設定できます。それ以外の場合は、識別された値のみ選択できます。

パラメータ化が完了したら、テンプレートの名前を指定し、[保存（Save）] をクリックします。

パラメータ化の詳細については、こちらを参照してください。

レビュー

テンプレートを保存したら、[レビュー（Review）] をクリックしてレビュープロセスに移動します。レビューでは、パラメータ化された値を含め、テンプレートをそのままエクスポートできます。これは必ずしも有効な設定ではありませんが、CDO に保存されているテンプレートを確認する手段が提供されます。必要に応じて、[編集] をクリックしてテンプレートを編集することもできます。[差分（Diff）] ボタンを使用すると、保存されたテンプレートと最新の編集との違いが表示されます。

テンプレートからの ASA 設定の生成

テンプレートからの設定の作成

テンプレートからカスタム設定を生成するプロセスを開始するには、[テンプレートから設定（Config from Template）] ボタンをします。使用可能なテンプレートが一覧表示されます。該当するテンプレートを選択して、[テンプレートの選択（Choose Template）] をクリックします。

ほとんどの場合、テンプレートには、設定をカスタマイズするために [エクスポート（Export）] で設定する必要があるパラメータ化された値が含まれます。左側のペインから、この設定に必要な各パラメータと値を選択します。値がエディターに示されるので注目してください。これらは、エクスポート時にパラメータを置き換える値です。すべてのパラメータ値を設定したら、[エクスポート（Export）] ボタンをクリックして設定をエクスポートし、ダウンロードします。テンプレートにパラメータ化された値が含まれていない場合は、[エクスポート（Export）] ボタンをクリックして設定をそのままエクスポートします。

ASA テンプレートの管理

[テンプレートの管理（Manage Templates）] ビューでは、既存のすべてのテンプレートを可視化し、それらを編集および削除することができます。パラメータ化と値の構成は、テンプレートの編集中に変更できます。その方法は、既存のテンプレートにマウスのカーソルを合わせて、[編集] を選択して変更を加えるだけです。

テンプレートの編集

編集ビューでは、次の作業を実行できます。

  • エディタのテキストをダブルクリックまたは強調表示して、パラメータを追加します。

  • 説明のテキストボックスに入力して、パラメータを説明します。その後に、[値の追加（Add Value）] をクリックします。

  • 値を指定し、注記を入力します。[追加（Add）] をクリックします。

  • 完了したら、[Save] をクリックします。

  • ここで、[テンプレートの確認（Review Template）] をクリックして、テンプレートを確認することができます。

    • [差分（Diff）] をクリックして、ファイルを比較することができます。

    • テンプレートをエクスポートするには、[Export（エクスポート）] をクリックします。

CDO パブリック API

CDO はパブリック API を公開しており、ドキュメント、例、試してみるためのプレイグラウンドを提供しています。パブリック API の目標は、通常は CDO UI で実行できる多くのことをコードで実行するためのシンプルで効果的な方法を提供することです。

この API を使用するには、GraphQL の知識が必要です。詳細でありながら読みやすい公式ガイド（https://graphql.org/learn/）が提供されています。

完全なスキーマドキュメントを見つけるには、GraphQL Playground に移動し、ページの右側にある [ドキュメント（docs）] タブをクリックしてください。

ユーザーメニューから選択して、CDO パブリック API を起動できます。

API トークン

開発者は、CDO REST API 呼び出しを行うときに CDO API トークンを使用します。呼び出しを成功させるには、API トークンを REST API 認証ヘッダーに挿入する必要があります。API トークンは、有効期限のない「長期的な」アクセストークンですが、更新したり、取り消したりできます。

CDO 内から API トークンを生成できます。生成されたトークンは、生成直後に、[一般設定（General Settings）] ページが開いている間のみ表示されます。CDO で別のページを開いてから [一般設定（General Settings）] ページに戻ると、トークンが発行されたことはわかりますが、トークンは表示されなくなります。

個々のユーザーは、特定のテナントに対して独自のトークンを作成できます。あるユーザーが別のユーザーに代わってトークンを生成することはできません。トークンはアカウントとテナントのペアに固有であり、他のユーザーとテナントの組み合わせには使用できません。

API トークン形式とクレーム

API トークンは JSON Web トークン（JWT）です。JWT トークン形式の詳細については、「Introduction to JSON Web Tokens」を参照してください。

CDO API トークンは、次の一連のクレームを提供します。

  • id：ユーザー/デバイス uid

  • parentId：テナント uid

  • ver：公開キーのバージョン（初期バージョンは 0、例：cdo_jwt_sig_pub_key.0）

  • subscriptions：SSE サブスクリプション（任意）

  • client_id：「api-client」

  • jti：トークン id

ASA 証明書の管理

デジタル証明書は、デバイスや個々のユーザーの認証に使用されるデジタル ID を提供します。デジタル証明書には、名前、シリアル番号、会社、部門、または IP アドレスなど、ユーザーまたはデバイスを識別する情報が含まれます。デジタル証明書には、ユーザーまたはデバイスの公開キーのコピーも含まれています。デジタル証明書の詳細については、『Cisco ASA Series General Operations ASDM Configuration, X.Y』ドキュメントの「Basic Settings」ブックの「Digital Certificates」の章を参照してください。

認証局（CA） は、証明書に「署名」してその認証を確認することで、デバイスまたはユーザーのアイデンティティを保証する、信頼できる機関です。CA はID 証明書も発行します。

  • ID 証明書：ID 証明書は、特定のシステムまたはホストの証明書です。これらは OpenSSL ツールキットを使用して自分で生成することも、認証局から取得することもできます。自己署名証明書を生成することもできます。CA は、特定のシステムまたはホストの証明書であるID 証明書を発行します。

  • 信頼できる認証局（CA）証明書：信頼できる CA 証明書は、システムで他の証明書への署名に使用できる証明書です。これらの証明書は、基本制約拡張と CA フラグに関して内部アイデンティティ証明書と異なります。これらは CA 証明書では有効ですが、アイデンティティ証明書では無効です。信頼できる CA 証明書は自己署名され、ルート証明書と呼ばれます。

リモートアクセス VPN は、セキュリティで保護された VPN 接続を確立するために、セキュアゲートウェイおよび AnyConnect クライアント（エンドポイント）を認証するためのデジタル証明書を使用します。詳細については、「リモートアクセス VPN の証明書ベースの認証」を参照してください。

証明書のインストールに関するガイドライン

ASA での証明書のインストールに関する以下のガイドラインをお読みください。

  • 証明書は、1 つの ASA デバイスに、または複数の ASA デバイスに同時にインストールできます。

  • 証明書は一度に 1 つだけインストールできます。

  • 証明書は、ライブ ASA デバイスにのみインストールできます。モーダルデバイスにはインストールできません。

  • 証明書は、 Secure Firewall Cloud Native デバイスにインストールできません。

ASA 証明書のインストール

デジタル証明書をトラストポイント オブジェクトとしてアップロードし、CDO によって管理される ASA デバイスにインストールする必要があります。


（注）  

ASA デバイスにアウトオブバンドの変更がなく、ステージングされたすべての変更が展開されていることを確認します。

CDO でサポートされているデジタル証明書と形式を次に示します。

  • ID 証明書は、次の方法を使用してインストールできます。

    • PKCS12 ファイルのインポート。

    • 自己署名証明書。

    • 証明書署名要求（CSR）のインポート。

  • 信頼できる CA 証明書は、PEM または DER 形式を使用してインストールできます。

CDO を使用して ASA に証明書をインストールする手順を示すスクリーンキャストをご覧ください。インストールされている証明書を変更、エクスポート、および削除する手順も示しています。

サポートされている証明書形式

  • PKCS12：PKCS#12、P12、または PFX 形式は、サーバー証明書、あらゆる中間証明書、および秘密キーを 1 つの暗号化可能ファイルに格納するためのバイナリ形式です。PFX ファイルには通常、.pfx や .p12 などの拡張子が付いています。

  • PEM：PEM（元は「Privacy Enhanced Mail」）ファイルには ASCII（または Base64）エンコードデータが含まれており、証明書ファイルは .pem、.crt、.cer、または .key 形式にすることができます。これらは Base64 でエンコードされた ASCII ファイルで、「-----BEGIN CERTIFICATE-----」および「-----END CERTIFICATE-----」ステートメントが含まれています。

  • DER：DER（Distinguished Encoding Rule）形式は、ASCII PEM 形式ではなく、シンプルなバイナリ形式の証明書です。.der ファイル拡張子が付いている場合もありますが、.cer ファイル拡張子が付いていることが多いため、DER の.cer ファイルと PEM の .cer ファイルを区別する唯一の方法は、テキストエディタで開いて、 BEGIN/END ステートメントの有無を確認することです。PEM とは異なり、DER でエンコードされたファイルには、-----BEGIN CERTIFICATE----- などのプレーン テキスト ステートメントは含まれません。

トラストポイント画面

ASA デバイスを CDO に導入準備した後、[デバイスとサービス] タブで ASA デバイスを選択し、左側の [管理] ペインで [トラストポイント] をクリックします。

[トラストポイント] タブに、デバイスにインストール済みの証明書が表示されます。

  • [インストール済み（Installed）] ステータスは、対応する証明書がデバイスに正常にインストールされたことを示します。

  • 「不明（Unknown）」ステータスは、対応する証明書に情報がなにも含まれていないことを示します。このような証明書は削除して、正しい情報を含む証明書を再度アップロードする必要があります。CDO は、すべての不明な証明書を信頼できる CA 証明書として検出します。

  • [インストール済み（Installed）] と表示されている行をクリックして、右側のペインに証明書の詳細を表示します。[詳細（More）] をクリックして、選択した証明書の詳細を表示します。

  • インストールされたID 証明書は、PKCS12 または PEM 形式でエクスポートして、他の ASA デバイスにインポートできます。「ID 証明書のエクスポート」を参照してください。

  • インストールされた証明書で変更できるのは、詳細設定のみです。

    • [編集] をクリックして、詳細設定を変更します。

    • 変更を加えたら、[送信（Send）] をクリックして、更新された証明書をインストールします。

PKCS12 を使用した ID 証明書のインストール

PKCS12 形式用に作成された既存のトラストポイント オブジェクトを選択して、ASA デバイスにインストールできます。インストールウィザードから新しいトラストポイント オブジェクトを作成し、ASA デバイスに証明書をインストールすることもできます。

始める前に

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

単一の ASA デバイスに ID 証明書をインストールするには、次の手順を実行します。

  1. [デバイス] タブをクリックします。

  2. [ASA] タブをクリックして、ASA デバイスを選択します。

  3. 右側の [管理] ペインで、[トラストポイント] をクリックします。

  4. [Install（インストール）] をクリックします。

（注）   

複数の ASA デバイスに証明書をインストールすることもできます。複数の ASA デバイスを選択し、右側の [デバイスアクション（Devices Action）] で [証明書のインストール（Install Certificate）] をクリックします。
ステップ 3

[インストールするトラストポイント証明書の選択（Select Trustpoint Certificate to Install）] で、次のいずれかをクリックします。

  • [作成（Create）]：新しいトラストポイント オブジェクトを追加します。詳細については、「PKCS12 を使用した ID 証明書オブジェクトの追加」を参照してください。

  • [選択（Choose）]：PKCS タイプの証明書登録オブジェクトを選択します。
ステップ 4

[送信（Send）] をクリックします。

ASA デバイスに証明書がインストールされます。

（注）   

中間 CA がインストールされている ASA にPKCS12 証明書をインポートする場合、まだインストールされていないすべての中間 CA 証明書について、トラストポイント オブジェクトが自動的に作成されてデバイスにインストールされます。ID 証明書をクリックすると、次の例のようなメッセージが右側のペインに表示されます。

自己署名登録を使用した証明書のインストール

自己署名証明書用に作成された既存のトラストポイント オブジェクトを選択して、ASA デバイスにインストールできます。インストールウィザードから新しいトラストポイント オブジェクトを作成し、ASA デバイスに証明書をインストールすることもできます。

始める前に

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

単一の ASA デバイスに ID 証明書をインストールするには、次の手順を実行します。

  1. [デバイス] タブをクリックします。

  2. [ASA] タブをクリックして、ASA デバイスを選択します。

  3. 右側の [管理（Management）] ペインで、[トラストポイント（Trustpoints）] をクリックします。

  4. [Install（インストール）] をクリックします。

（注）   

複数の ASA デバイスに署名付き証明書をインストールすることもできます。複数の ASA デバイスを選択し、右側の [デバイスアクション（Devices Action）] で [証明書のインストール（Install Certificate）] をクリックします。
ステップ 3

[インストールするトラストポイント証明書の選択（Select Trustpoint Certificate to Install）] で、次のいずれかをクリックします。

  • [作成（Create）]：新しいトラストポイント オブジェクトを追加します。詳細については、「PKCS12 を使用した ID 証明書オブジェクトの追加」を参照してください。

  • [選択（Choose）]：自己署名タイプの証明書登録オブジェクトを選択します。
ステップ 4

[送信（Send）] をクリックします。

自己署名登録タイプのトラストポイントの場合は、[発行元の共通名（Issuer Common Name ）] ステータスが常に ASA デバイスとなります。これは、管理対象デバイス自体が独自の CA として機能し、独自のID 証明書を生成するために CA 証明書を必要としないためです。

証明書署名要求（CSR）の管理

最初に CSR リクエストを生成し、信頼できる認証局（CA）によって署名されたこのリクエストを取得する必要があります。次に、CA によって発行された署名付き ID 証明書を ASA デバイスにインストールできます。

次の図は、CSR を生成し、認証された発行済み証明書を ASA にインストールするワークフローを示しています。

CSR リクエストの生成

手順
ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックして、ASA デバイスを選択します。

ステップ 4

単一の ASA デバイスに ID 証明書をインストールするには、次の手順を実行します。
ステップ 5

[Install（インストール）] をクリックします。

ステップ 6

[インストールするトラストポイント証明書の選択（Select Trustpoint Certificate to Install）] で、次のいずれかをクリックします。
ステップ 7

[送信（Send）] をクリックします。

未署名の証明書署名要求（CSR）が生成されます。

ステップ 8

コピーアイコン copy_icon.png をクリックして、CSR の詳細をコピーします。CSR リクエストは「.csr」ファイル形式でもダウンロードできます。

ステップ 9

[OK] をクリックします。

ステップ 10

証明書に署名するために、証明書署名要求（CSR）を認証局に送信します。

認証局によって発行された署名済みID 証明書のインストール

CA が署名付き証明書を発行したら、それを ASA デバイスにインストールします。

手順
ステップ 1

[トラストポイント（Trustpoint ）] 画面で、[ステータス（Status）] が [署名付き証明書のインストールを待機中（Awaiting Signed Certificate Install）] の CSR 要求をクリックし、右側の [アクション（Actions） ] ペインで [認証済みID証明書のインストール（Install Certified ID Certificate）] をクリックします。

ステップ 2

CA から受信した署名付き証明書をアップロードします。ファイルをドラッグアンドドロップするか、その内容を所定のフィールドに貼り付けることができます。トラストポイントコマンドは、選択したトラストポイントに基づいて生成されます。
ステップ 3

[送信（Send）] をクリックします。

これにより、署名付きID 証明書が ASA デバイスにインストールされます。証明書をインストールすると、変更がすぐにデバイスに展開されます。

（注）   

複数の ASA デバイスに証明書をインストールすることもできます。複数の ASA デバイスを選択し、右側の [デバイスアクション（Devices Action）] で [証明書のインストール（Install Certificate）] をクリックします。

ASA の信頼できる証明書をインストールする

始める前に

手順

ステップ 1

ナビゲーションメニューで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックして、ASA デバイスを選択します。

ステップ 4

単一の ASA デバイスにID 証明書をインストールするには、次の手順を実行します。

  1. ASA デバイスを選択し、右側の [管理] ペインで [トラストポイント] をクリックします。

  2. [Install（インストール）] をクリックします。

（注）   

複数の ASA デバイスに証明書をインストールすることもできます。複数の ASA デバイスを選択し、右側の [デバイスアクション] で [証明書のインストール] をクリックします。
ステップ 5

[インストールするトラストポイント証明書の選択] で、次のいずれかをクリックします。
ステップ 6

[送信（Send）] をクリックします。

これにより、信頼できる CA ファイルが ASA デバイスにインストールされます。

ID 証明書のエクスポート

キーペアと、トラストポイントに関連付けられている発行済み証明書は、PKCS12 形式または PEM 形式でエクスポートおよびインポートできます。この形式は、異なる ASA 上のトラストポイント コンフィギュレーションを手動でコピーする場合に便利です。

手順の概要

  1. ナビゲーションメニューで、[デバイスとサービス（Devices & Services）] をクリックします。
  2. [デバイス] タブをクリックします。
  3. [ASA] をクリックします。
  4. ASA デバイスを選択し、右側の [管理] で [トラストポイント] をクリックします。
  5. ID 証明書をクリックして証明書コンフィギュレーションをエクスポートします。または、検索フィールドに名前を入力することにより、証明書を検索することもできます。
  6. 右側の [操作（Actions）] ペインで [証明書のエクスポート（Export Certificate）] をクリックします。
  7. [PKCS12 形式（PKCS12 Format）] または [PEM 形式（PEM Format）] をクリックすることにより、証明書の形式を選択します。
  8. PKCS12 ファイルをエクスポート用に暗号化するために使用する暗号化パスフレーズを入力します。
  9. 暗号化パスフレーズを確認のために再入力します。
  10. [エクスポート（Export）] をクリックして、証明書コンフィギュレーションをエクスポートします。

手順の詳細

  コマンドまたはアクション 目的
ステップ 1

ナビゲーションメニューで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] をクリックします。

ステップ 4

ASA デバイスを選択し、右側の [管理] で [トラストポイント] をクリックします。

ステップ 5

ID 証明書をクリックして証明書コンフィギュレーションをエクスポートします。または、検索フィールドに名前を入力することにより、証明書を検索することもできます。
ステップ 6

右側の [操作（Actions）] ペインで [証明書のエクスポート（Export Certificate）] をクリックします。

ステップ 7

[PKCS12 形式（PKCS12 Format）] または [PEM 形式（PEM Format）] をクリックすることにより、証明書の形式を選択します。

ステップ 8

PKCS12 ファイルをエクスポート用に暗号化するために使用する暗号化パスフレーズを入力します。
ステップ 9

暗号化パスフレーズを確認のために再入力します。
ステップ 10

[エクスポート（Export）] をクリックして、証明書コンフィギュレーションをエクスポートします。

情報ダイアログボックスが表示され、証明書コンフィギュレーション ファイルが指定の場所に正常にエクスポートされたことが示されます。

インストールされた証明書の編集

インストールされている証明書の詳細オプションのみを変更できます。

手順

ステップ 1

ナビゲーションメニューで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックします。

ステップ 4

ASA デバイスを選択し、右側の [管理] で [トラストポイント] をクリックします。

ステップ 5

変更する証明書をクリックし、右側の [アクション] ペインで [編集] をクリックします。

ステップ 6

該当するパラメータを変更し、[保存（Save）] をクリックします。

ASA から既存証明書を削除する

証明書は 1 つずつ削除できます。証明書を削除すると、復元できなくなります。

手順

ステップ 1

ナビゲーションメニューで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

ASA デバイスを選択し、右側の [管理（Management）] で [トラストポイント（Trustpoints）] をクリックします。

ステップ 3

変更する証明書をクリックし、右側の [アクション] ペインで [削除] をクリックします。

ステップ 4

[OK] をクリックして、選択した証明書を削除します。

ASA ファイルの管理

CDO は、ASA デバイスのフラッシュ（disk0）スペースに存在するファイルの表示、アップロード、または削除などの基本的なファイル管理タスクを実行するために役立つファイル管理ツールを提供します。


（注）  

disk1 に存在するファイルを管理することはできません。

[ファイル管理（File Management）] 画面には、デバイスのフラッシュ（disk0）に存在するすべてのファイルが一覧表示されます。ファイルのアップロードが成功したら、更新のアイコンをクリックしてファイルを表示することができます。デフォルトでは、この画面は 10 分ごとに自動的に更新されます。[ディスク容量（Disk Space）] フィールドには、disk0 ディレクトリのディスク容量が表示されます。

AnyConnect イメージは、単一または複数の ASA デバイスにアップロードできます。アップロードが成功すると、AnyConnect イメージは、選択した ASA デバイスの RA VPN 設定に関連付けられます。これにより、容易に、新しくリリースされた AnyConnect パッケージを複数の ASA デバイスに同時にアップロードできます。

フラッシュシステムへのファイルのアップロード

CDO は、リモートサーバーからの URL ベースのファイルアップロードのみをサポートしています。ファイルをアップロードするためにサポートされているプロトコルは、HTTP、HTTPS、TFTP、FTP、SMB、および SCP です。AnyConnect ソフトウェアイメージ、DAP.xml、data.xml、ホスト スキャン イメージ ファイルなどの任意のファイルを単一または複数の ASA デバイスにアップロードできます。


（注）  

リモートサーバーの URL パスが無効である場合または何らかの問題が発生した問題、CDO は、選択された ASA デバイスにファイルをアップロードしません。詳細については、そのデバイスの [ワークフロー（Workflows）] に移動してください。

デバイスがハイアベイラビリティ用に設定されている場合、CDO は、まずファイルをスタンバイデバイスにアップロードし、そのアップロードが成功した後にのみ、アクティブデバイスにファイルがアップロードされます。ファイル削除プロセスでも同じ動作が適用されます。

ファイルのアップロード時にサポートされているプロトコルの構文:

プロトコル（Protocol）

構文

例
HTTP http://[[path/ ]filename] http://www.geonames.org/data-sources.html
HTTPS https://[[path/ ]filename] https://docs.aws.amazon.com/amazov/tagging.html
TFTP tftp://[[path/ ]filename] tftp://10.10.16.6/ftd/components.html
FTP ftp://[[user[:password]@]server[:port]/[path/ ]filename] ftp://'dlpuser:rNrKYTX9g7z3RgJRmxWuGHbeu'@ftp.dlptest.com/image0-000.jpg
SMB smb://[[path/ ]filename] smb://10.10.32.145//sambashare/hello.txt
SCP scp://[[user[:password]@]server[/path]/ filename] scp://root:cisco123@10.10.16.6//root/events_send.py

はじめる前に

  • ASA デバイスからリモートサーバーにアクセスできることを確認します。

  • ファイルがすでにリモートサーバーにアップロードされていることを確認します。

  • ASA デバイスからそのサーバーへのネットワークルートがあることを確認します。

  • URL で FQDN が使用されている場合は、DNS が設定されていることを確認します。

  • リモートサーバーの URL は、認証を求めない直接リンクである必要があります。

  • リモートサーバーの IP アドレスが NAT 処理されている場合は、リモートサーバーのロケーションの NAT 処理済みパブリック IP アドレスを指定する必要があります。


（注）  

フェールオーバーでピアとして設定されている ASA にファイルをアップロードすると、CDO はフェールオーバーペアの他のピアの新しいファイルを確認せず、デバイスのステータスは [未同期（Not Synced）] に変わります。CDO が両方のデバイスのファイルを認識できるようにするには、変更を両方のデバイスに手動で展開する必要があります。

単一の ASA デバイスへのファイルのアップロード

単一の ASA デバイスにファイルをアップロードするには、この手順を使用します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックして、ASA デバイスを選択します。

ステップ 4

右側の [管理] ペインで、[ファイル管理（File Management）] をクリックします。使用可能なディスクスペースと ASA デバイスに存在するファイルが表示されます。

ステップ 5

右側の [アップロード] ボタンをクリックします。

ステップ 6

URL リンクで、ファイルが事前にアップロードされているサーバーのパスを指定します。[接続先パス（Destination Path）] フィールドには、disk0 ディレクトリにアップロードされるファイルの名前が表示されます。disk0 内の特定のディレクトリにファイルをアップロードする場合は、このフィールドでその名前を指定します。たとえば、dap.xml ファイルを「DAPFiles」ディレクトリにアップロードする場合は、フィールドで「disk0:/DAPFiles/dap.xml」と指定します。

（注）   

CDO ASA CLI インターフェイスで dir コマンドを実行すると、disk0 フォルダに存在するディレクトリが表示されます。

ステップ 7

指定したサーバーパスが AnyConnect ファイルを指している場合、[ファイルを RA VPN 設定に関連付ける（Associate file with RA VPN Configuration）] チェックボックスがオンになります。注：このチェック ボックスは、正しい命名規則（「anyconnect-win-xxx.pkg」、「anyconnect-linux-xxx.pkg」、または「anyconnect-mac-xxx.pkg」形式）に従う AnyConnect ファイル名に対してのみ有効です。このチェックボックスを選択すると、アップロードが成功した後、CDO は AnyConnect ファイルを選択した ASA デバイスの RA VPN 設定に関連付けます。

ステップ 8

[アップロード（Upload）] をクリックします。CDO がファイルをデバイスにアップロードします。

ステップ 9

手順 5 で AnyConnect パッケージの RA VPN 設定との関連付けを選択した場合は、新しい RA VPN 設定を ASA デバイスに展開します。

次のタスク

設定の変更をデバイスに展開する必要はありません。

複数の ASA デバイスへのファイルのアップロード

複数の ASA デバイスにファイルを同時にアップロードするには、この手順を使用します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックし、複数の ASA デバイスを選択して一括アップロードを実行します。
ステップ 4

右側の [デバイスアクション] ペインで、[ファイルのアップロード（Upload File）] をクリックします。注：[ファイルのアップロード（Upload File）] リンクは、ASA デバイスがオンラインの場合に表示されます。
ステップ 5

[URLリンク（URL link）]で、ファイルが事前にアップロードされているサーバーのパスを指定します。[接続先パス（Destination Path）] フィールドには、disk0 ディレクトリにアップロードされるファイルの名前が表示されます。disk0 内の特定のディレクトリにファイルをアップロードする場合は、このフィールドでその名前を指定します。たとえば、dap.xml ファイルを「DAPFiles」ディレクトリにアップロードする場合は、フィールドで「disk0:/DAPFiles/dap.xml」と指定します。

（注）   

CDO ASA CLI インターフェイスで dir コマンドを実行すると、disk0 フォルダに存在するディレクトリが表示されます。

ステップ 6

指定したサーバーパスが AnyConnect ファイルを指している場合、[ファイルをRA VPN設定に関連付ける（Associate file with RA VPN Configuration）] チェックボックスがオンになります。

（注）   

このチェック ボックスは、正しい命名規則（「anyconnect-win-xxx.pkg」、「anyconnect-linux-xxx.pkg」、または「anyconnect-mac-xxx.pkg」形式）に従う AnyConnect ファイル名に対してのみ有効です。このチェックボックスを選択すると、アップロードが成功した後、CDO は AnyConnect ファイルを選択した ASA デバイスの RA VPN 設定に関連付けます。

ステップ 7

[アップロード（Upload）] をクリックします。

ステップ 8

手順 4 で AnyConnect パッケージの RA VPN 設定との関連付けを選択した場合は、新しい RA VPN 設定を ASA デバイスに展開します。

次のタスク

個々のデバイスのファイルのアップロードの進行状況を表示できます。ASA デバイスを選択し、右側の [管理] ペインで [ファイル管理（File Management）] をクリックします。ファイルのアップロードが進行中の場合は、操作が完了するまで待ちます。

設定の変更をデバイスに展開する必要はありません。

ASA からのファイルの削除

RA VPN 設定に関連付けられた AnyConnect ファイルを削除することはできません。対応する RA VPN 設定から AnyConnect ファイルの関連付けを解除してから、ファイル管理ツールからファイルを削除する必要があります。


（注）  

フェールオーバーでピアとして設定されている ASA にファイルをアップロードすると、CDO はフェールオーバーペアの他のピアの新しいファイルを確認せず、デバイスのステータスは [未同期（Not Synced）] に変わります。CDO が両方のデバイスのファイルを認識できるようにするには、変更を両方のデバイスに手動で展開する必要があります。

remove の操作は、選択したファイルをフラッシュメモリから完全に削除します。ファイルの削除時に確認を求めるメッセージが表示されます。選択した ASA デバイスからファイルを削除するには、次の手順を使用します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックして、ASA デバイスを選択します。

ステップ 4

右側の [管理] ペインで、[ファイル管理（File Management）] をクリックします。

ステップ 5

削除するファイルを選択し、右側の [アクション] で [削除] をクリックします。最大 25 個のファイルを選択できます。CDO が一部のファイルの削除に失敗した場合は、デバイスのワークフローを表示して、削除されたファイルと保持されたファイルを確認できます。

ステップ 6

AnyConnect パッケージの削除を選択した場合は、新しい RA VPN 設定を ASA デバイスに展開します。

ASA の高可用性を管理する

アクティブ-アクティブ フェールオーバー モードの ASA に加えられた設定変更

Cisco Defense Orchestrator（CDO）が ASA の実行構成を CDO でステージングされた構成で変更する場合、または CDO の構成を ASA に保存されている構成で変更する場合、CDO は、設定の変更部分が CDO GUI で管理可能な場合、構成ファイルの関連する行のみを変更しようとします。CDO GUI を使用して目的の構成変更を行うことができない場合、CDO は構成ファイル全体を上書きして変更を加えようとします。

2 つの例を示します。

  • ネットワークオブジェクトは、CDO GUI を使用して作成または変更が可能です。CDO がその変更を ASA の設定に展開する必要がある場合、変更が発生したときに ASA の実行構成ファイルの関連する行が上書きされます。

  • CDO GUI を使用して新しい ASA ユーザーを作成することはできません。ASA の ASDM または CLI を使用して新しいユーザーが ASA に追加された場合、そのアウトオブバンド変更が受け入れられ、CDO が保存されているコンフィギュレーション ファイルを更新すると、CDO は CDO にステージングされているその ASA のコンフィギュレーション ファイル全体を上書きしようとします。

ASA がアクティブ-アクティブ フェールオーバー モードで設定されている場合、これらのルールは適用されません。CDO がアクティブ-アクティブ フェールオーバー モードで設定された ASA を管理する場合、CDO は常に、すべての設定変更をそれ自体から ASA に展開したり、すべての設定変更を ASA からそれ自体に読み込むとは限りません。これに該当する 2 つの例を次に示します。

  • CDO が CDO GUI でサポートしていない、CDO で行われた ASA の設定ファイルへの変更は、ASA に展開できません。また、CDO がサポートしていない設定ファイルに加えられた変更と、CDO がサポートしている設定ファイルに加えられた変更の組み合わせは、ASA に展開できません。どちらの場合も、「CDO は現時点でフェールオーバーモードのデバイスの完全な構成の置き換えをサポートしていません。[キャンセル] をクリックして、デバイスに手動で変更を適用してください。」というエラーメッセージを受け取ります。CDO インターフェイスのメッセージとともに、無効になっている [構成の置換（Replace Configuration）] ボタンが表示されます。

  • アクティブ-アクティブ フェールオーバー モードで設定された ASA に加えられたアウトオブバンド変更は、CDO によって拒否されません。ASA の実行構成にアウトオブバンド変更を加えると、ASA は [デバイスとサービス] ページで「競合が検出されました（Conflict Detected）」とマークされます。競合を確認して拒否しようとすると、CDO はそのアクションをブロックします。「CDO は、このデバイスのアウトオブバンド変更の拒否をサポートしていません。このデバイスは、サポートされていないソフトウェアバージョンを実行しているか、アクティブ/アクティブ フェールオーバー ペアのメンバーです。[続行] をクリックして、アウトオブバンド変更を受け入れてください。」というエラーメッセージを受け取ります。


注意    

ASA からのアウトオブバンド変更を受け入れることにした場合、CDO でステージングされていて、まだ ASA に展開されていない設定変更はすべて上書きされ、失われます。

変更が CDO GUI でサポートされている場合、CDO は、フェールオーバーモードの ASA に加えられた設定変更をサポートします。

ASA での DNS の設定

次の手順を使用して、各 ASA でドメインネームサーバー（DNS）を設定します。

前提条件

  • ASA はインターネットにアクセスできる必要があります。

  • 開始する前に、次の情報を収集します。

    • DNS サーバーに到達できる ASA インターフェイスの名前。たとえば、inside、outside、dmz。

    • 組織で使用する DNS サーバーの IP アドレス。独自の DNS サーバーを保持していない場合は、Cisco Umbrella を使用できます。Cisco Umbrella の IP アドレスは 208.67.220.220 です。

手順

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

[ASA] タブをクリックし、DNS を設定するすべての ASA を選択します。

ステップ 4

右側の操作ウィンドウで、[コマンド ライン インターフェイス] を選択します。
ステップ 5

CLI マクロのお気に入りの星をクリックします。
ステップ 6

[マクロ] パネルで [DNSの設定] マクロを選択します。
ステップ 7

[>_パラメータを表示] を選択し、パラメータ列に以下のパラメータの値を入力します。

  • IF_Name：DNS サーバーに到達できる ASA インターフェイスの名前。

  • IP_ADDR： 組織で使用する DNS サーバーの IP アドレス。
ステップ 8

[デバイスに送信] をクリックします。

CDO コマンド ライン インターフェイスを使用する

CDO では、コマンド ライン インターフェイス（CLI）を使用して ASA デバイスを管理できます。コマンドは、単一のデバイスに送信することも、複数のデバイスに同時に送信することも可能です。ここでは、CLI コマンドを単一の ASA デバイスに送信する方法について説明します。

コマンドの入力方法

1 つのコマンドを 1 行に入力することも、複数のコマンドを複数の行に連続して入力することも可能で、CDO は、入力されたコマンドをバッチとして順番に実行します。次の ASA の例では、3 つのネットワークオブジェクトと、それらのネットワークオブジェクトを含むネットワーク オブジェクト グループを作成するコマンドのバッチを送信します。

[ASAデバイスコマンドの入力（Entering ASA device Commands）]：CDO は、グローバル コンフィギュレーション モードでコマンドの実行を開始します。

長いコマンド：非常に長いコマンドを入力すると、CDO は、コマンドを複数のコマンドに分割して、すべてのコマンドを ASA API に対して実行できるようにします。コマンドの適切な区切りを CDO が判断できない場合、コマンドのリストをどこで区切るかのヒントを求めるプロンプトが表示されます。次に例を示します。

Error: CDO attempted to execute a portion of this command with a length that exceeded 600 characters. You can give a hint to CDO at where a proper command separation point is by breaking up your list of commands with an additional empty line between them.

このエラーメッセージを受信した場合、次の手順を実行します。

手順

ステップ 1

CLI 履歴ペインでエラーの原因となったコマンドをクリックします。CDO は、コマンドボックスにコマンドの長いリストを入力します。
ステップ 2

関連するコマンドのグループの後に空行を挿入して、コマンドの長いリストを編集します。たとえば、上記の例のように、ネットワークオブジェクトのリストを定義し、それらをグループに追加した後に空の行を追加します。この作業を、コマンドリストのいくつかの箇所で実行することになる場合があります。

ステップ 3

[送信（Send）] をクリックします。

単一デバイスで CLI を使用する

手順

ステップ 1

[デバイスとサービス] ページを開きます。

ステップ 2

[デバイス（Devices）] タブをクリックして、デバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

コマンド ライン インターフェイスを使用して、管理するデバイスを選択します。

ステップ 5

デバイスの [デバイスアクション] ペインで、[>_コマンド ライン インターフェイス（>_Command Line Interface）] をクリックします。

ステップ 6

上部の「コマンドペイン」にコマンドを入力し、[送信（Send）] をクリックします。 コマンドに対するデバイスの応答は、「応答ペイン」の下に表示されます。

（注）   

選択したデバイスが同期されていない場合、次のコマンドのみが許可されます：show、ping、traceroute、vpn-sessiondb、changeto、dir、write、copy

コマンド履歴での動作

CLI コマンドを送信すると、CDO はそのコマンドを [コマンド ライン インターフェイス（Command Line Interface）] ページの履歴ペインに記録します。履歴ペインに保存されたコマンドは、再実行することも、コマンドをテンプレートとして使用することもできます。

手順

ステップ 1

[デバイスとサービス] ページで、設定するデバイスを選択します。
ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけます。
ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

[>_コマンド ライン インターフェイス（>_Command Line Interface）] をクリックします。

ステップ 5

履歴ペインがまだ展開されていない場合は、時計アイコン をクリックして展開します。

ステップ 6

[履歴（History）] ペインで変更または再送信するコマンドを選択します。

ステップ 7

コマンドをそのまま再利用するか、コマンドペインでコマンドを編集し、[送信（Send）] をクリックします。CDO は、応答ペインにコマンドの結果を表示します。

（注）   

次の 2 つの状況で「完了しました（Done!）」というメッセージが CDO の応答ペインに表示されます。

  • コマンドがエラーなしで正常に実行された後。

  • コマンドの返すべき結果が何もなかった場合。たとえば、特定の設定エントリを検索する正規表現を含む show コマンドを発行したとします。この正規表現の条件に合致する設定エントリがなかった場合、CDO は「完了しました（Done!）」を返します。

ASA デバイスの構成

ASA など、一部のタイプのデバイスは、構成を 1 つの構成ファイルに保存します。 これらのデバイスの場合、Cisco Defense Orchestrator でデバイス構成ファイルを表示し、デバイスに応じてさまざまな操作を実行できます。

デバイスの構成ファイルを表示する

ASA、Cisco Secure Firewall Cloud Native、SSH 管理対象デバイス、Cisco IOS を実行しているデバイスなど、構成全体を 1 つの構成ファイルに保存するデバイスの場合、CDO を使用して構成ファイルを表示できます。


（注）  

SSH 管理対象デバイスと Cisco IOS デバイスには読み取り専用の設定があります。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

設定を表示するデバイスまたはモデルを選択します。
ステップ 5

右側の [管理（Management] ペインで、[設定（Configuration）] をクリックします。

完全な構成ファイルが表示されます。

完全なデバイス設定ファイルの編集

ASA など、一部のタイプのデバイスは、設定を 1 つの構成ファイルに保存します。これらのデバイスの場合、CDO でデバイス構成ファイルを表示し、デバイスに応じてさまざまな操作を実行できます。

現在、CDO を使用して直接編集できるのは構成ファイルのみです。ASA


注意    

この手順は、デバイスの構成ファイルのシンタックスに精通している上級ユーザーを対象としています。この手法では、Defense Orchestrator に保存されている構成ファイルのコピーに直接変更を加えます。

手順

手順
ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックしてデバイスを見つけるか、[テンプレート] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

[ASA] タブをクリックします。
ステップ 4

構成を編集するデバイスを選択します。
ステップ 5

右側の [管理] ペインで、[構成] をクリックします。

ステップ 6

[デバイスの構成] ページで、[編集] をクリックします。

ステップ 7

右側のエディタボタンをクリックして、デフォルトのテキストエディタ、Vim、または Emacs テキストエディタを選択します。

ステップ 8

ファイルを編集し、変更を保存します。
ステップ 9

[デバイスとサービス] ページに戻り、変更をプレビューして展開します。

ASA 構成の比較

2 つの ASA の構成を比較するには、次の手順を実行します。

手順

ステップ 1

ナビゲーションメニューで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックして ASA デバイスを見つけるか、[テンプレート] タブをクリックして ASA モデルデバイスを見つけます。

ステップ 3

[ASA] タブをクリックします。

ステップ 4

比較するデバイスを見つけるためにデバイスリストをフィルタ処理します。
ステップ 5

2 つの ASA を選択します。それらのステータスは重要ではありません。Defense Orchestrator に保存されている ASA の構成を比較しようとしています。
ステップ 6

右側の [デバイスアクション] ペインで、 [比較] をクリックします。

ステップ 7

[構成の比較（Comparing Configurations）] ダイアログで、[次へ] および [前へ（Previous）] をクリックして、構成ファイル内の青色で強調表示されている相違点をスキップします。

ASA 設定の復元

この手順では、Cisco Defense Orchestrator（CDO）を使用して ASA に行った設定変更を復元する方法について説明します。これは、予期しない結果や望ましくない結果をもたらした設定変更を削除する便利な方法です。

設定を復元する前に

設定を復元する前に、次の注意事項を確認してください。

  • CDO は、復元することを選択した設定を、ASA に展開されている最後に認識された設定と比較します。ステージングされているが ASA のメモリに展開されていない設定とは比較しません。ASA に展開されていない変更がある場合に、以前の設定を復元すると、展開されていない変更は、復元プロセスによって上書きされて失われます。

  • 過去の設定を復元すると、それまでに展開されたすべての設定変更が上書きされます。たとえば、以下のリストにある 2017 年 7 月 11 日の設定を復元すると、2017 年 7 月 13 日に行われた設定変更が上書きされます。

  • 設定変更に最初に適用した変更リクエストラベルは、[設定の復元（Restore Configuration）] リストに表示されます。

  • ASA は [同期（Synced）] または [非同期] の状態になっている可能性があるため、過去の設定を復元する前に、設定の競合を解決する必要があります。

設定の復元方法

手順
ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

[ASA] タブをクリックします。

ステップ 4

設定を復元する ASA を選択します。

ステップ 5

右側のペインで [設定（Configuration）] > [設定の復元（Restore Configuration）] を選択します。

ステップ 6

[設定の復元（Restore Configuration）] ペインで、復元する設定を選択します。たとえば、上の図では、2017 年 7 月 11 日の設定が選択され、強調表示されています。

ステップ 7

「CDO によって検証された最新の実行設定」と「<date> から選択された設定」を比較して、[<date> から選択された設定（Selected Configuration from <date>）] ウィンドウに表示されている設定を復元することを確認します。

ステップ 8

[復元（Restore）] をクリックします。これにより、CDO の設定がステージングされます。[デバイスとサービス] ページに、デバイスの設定ステータスが [非同期] と表示されます。

ステップ 9

右側のペインで [変更の展開 ...（Deploy Changes...）] をクリックして変更を展開し、ASA を同期させます。

トラブルシューティング

保持したかったのに失ってしまった変更を回復するには、どうすればよいですか。

手順
ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックしてデバイスを見つけるか、[テンプレート] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

[ASA] タブをクリックします。

ステップ 4

必要なデバイスを選択します。
ステップ 5

右側のペインで [変更ログ] をクリックします。

ステップ 6

変更ログで変更を確認します。それらの記録から、失われた構成を再構築できる可能性があります。

CLI を使用した ASA の設定

CDO で提供される CLI インターフェイスで CLI コマンドを実行して、ASA デバイスを設定できます。このインターフェイスを使用するには、[デバイスとサービス] メニューでデバイスを選択し、[コマンド ライン インターフェイス（Command Line Interface）] をクリックします。詳細については、「CDO コマンド ライン インターフェイスの使用」を参照してください。

新しいロギングサーバーの追加

システム ロギングは、デバイスから syslog デーモンを実行するサーバへのメッセージを収集する方法です。中央 syslog サーバへロギングは、ログおよびアラートの集約に役立ちます。

詳細については、実行している ASA バージョンの『CLI Book1: Cisco ASA Series General Operations CLI Configuration Guide』に含まれる「Logging」の章にある「Monitoring」セクションを参照してください。

DNS サーバーの設定

DNS サーバーを設定して、ASA がホスト名を IP アドレスに解決できるようにする必要があります。また、アクセス ルールに完全修飾ドメイン名（FQDN）ネットワーク オブジェクトを使用するように、DNS サーバーを設定する必要があります。

詳細については、実行している ASA バージョンの『CLI Book1: Cisco ASA Series General Operations CLI Configuration Guide』に含まれる「Basic Settings」の章の「Configure the DNS Server」セクションを参照してください。

静的ルートとデフォルトルートの追加

接続されていないホストまたはネットワークにトラフィックをルーティングするには、スタティックルーティングとダイナミックルーティングのどちらかを使用して、ホストまたはネットワークへのルートを定義する必要があります。

詳細については、『CLI Book1: Cisco ASA Series General Operations CLI Configuration Guide』の「Static and Default Routes」の章を参照してください。

インターフェイスの設定

CLI コマンドを使用して、管理インターフェイスとデータインターフェイスを設定できます。詳細については、『CLI Book1: Cisco ASA Series General Operations CLI Configuration Guide』の「Basic Interface Configuration」の章を参照してください。

一括コマンド ライン インターフェイス

CDO では、コマンド ライン インターフェイス（CLI）を使用して ASA デバイスを管理できます。コマンドは、単一のデバイスに送信することも、同じ種類の複数のデバイスに同時に送信することも可能です。この項目では、CLI コマンドを複数のデバイスに一度に送信する方法について説明します。

一括 CLI インターフェイス


（注）  

次の 2 つの状況で「完了しました（Done!）」というメッセージが CDO に表示されます。

  • コマンドがエラーなしで正常に実行された後。

  • コマンドの返すべき結果が何もなかった場合。たとえば、特定の設定エントリを検索する正規表現を含む show コマンドを発行したとします。この正規表現の条件に合致する設定エントリがなかった場合、CDO は「完了しました（Done!）」を返します。

ケース

説明

1

コマンド履歴ペインを展開したり折りたたんだりするには、時計アイコンをクリックします。

2

コマンド履歴。コマンドを送信すると、CDO はこの履歴ペインにコマンドを記録するので、コマンドをもう一度選択し、再度実行できます。

3

コマンドペイン。このペインのプロンプトにコマンドを入力します。

4

応答ペイン。CDO は、コマンドに対するデバイスの応答と CDO メッセージを表示します。複数のデバイスの応答が同じだった場合、応答ペインに「X デバイスの応答を表示しています（Showing Responses for X devices）」というメッセージが表示されます。[Xデバイス（X Devices）] をクリックすると、コマンドに対して同じ応答を返したすべてのデバイスが CDO に表示されます。

（注）   

次の 2 つの状況で「完了しました（Done!）」というメッセージが CDO に表示されます。

  • コマンドがエラーなしで正常に実行された後。

  • コマンドの返すべき結果が何もなかった場合。たとえば、特定の設定エントリを検索する正規表現を含む show コマンドを発行したとします。この正規表現の条件に合致する設定エントリがなかった場合、CDO は「完了しました（Done!）」を返します。

5

[マイリスト] タブには、[インベントリ] テーブルから選択したデバイスが表示されます。このタブで、コマンドを送信するデバイスを含めたり除外したりすることができます。

[6]

上の図で強調表示されている [実行（Execution）] タブには、履歴ペインで選択されているコマンドの対象デバイスが表示されます。この例では、履歴ペインで show run | grep user コマンドが選択され、[実行（Execution）] タブに、10.82.109.160、10.82.109.181、および 10.82.10.9.187 に送信されたことが表示されます。

7

[応答別（By Response）] タブをクリックすると、コマンドによって生成された応答のリストが表示されます。同一の応答は 1 行にグループ化されます。[応答別] タブで行を選択すると、CDO はそのコマンドへの応答を応答ペインに表示します。

8

[デバイス別（By Device）] タブをクリックすると、各デバイスからの個別の応答が表示されます。リスト内のいずれかのデバイスをクリックすると、特定のデバイスからのコマンドへの応答を表示できます。

コマンドの一括送信

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックして、デバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

CLI を使用して管理するデバイスを特定して、それらを選択します。
ステップ 5

詳細ペインで、>_ [コマンド ライン インターフェイス（Command Line Interface）] をクリックします。
ステップ 6

コマンドペインにコマンドを入力して、[送信（Send）] をクリックします。コマンド出力が応答ペインに表示されます。コマンドは変更ログに記録され、CDO はコマンドを [一括CLI（Bulk CLI）] ウィンドウの [履歴（History）] ペインに記録します。

（注）   

選択したデバイスが到達可能で同期されていることを確認してください。ASA デバイスが同期されていない場合、そのデバイスで使用可能なコマンドは、show、ping、traceroute、vpn-sessiondb、changeto、dir、write、copy だけです。

一括コマンド履歴での動作

一括 CLI コマンドを送信すると、CDO はそのコマンドを一括 CLI ページの履歴ペインに記録します。履歴ペインに保存されたコマンドは、再実行することも、コマンドをテンプレートとして使用することもできます。履歴ペインのコマンドは、それらが実行された元のデバイスに関連付けられています。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックして、デバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックし、設定するデバイスを選択します。
ステップ 4

[コマンド ライン インターフェイス（Command Line Interface）] をクリックします。
ステップ 5

[履歴（History）] ペインで変更または再送信するコマンドを選択します。選択したコマンドは特定のデバイスに関連付けられており、最初のステップで選択したものとは限らないことに注意してください。

ステップ 6

[マイリスト] タブを見て、送信しようとしているコマンドが対象のデバイスに送信されることを確認します。
ステップ 7

コマンドペインでコマンドを編集し、[送信（Send）] をクリックします。CDO は、応答ペインにコマンドの結果を表示します。

（注）   

選択したデバイスのいずれかが同期されていない場合、次のコマンドのみが許可されます：show、ping、traceroute、vpn-sessiondb、changeto、dir、write、copy

一括コマンドフィルタでの動作

一括 CLI コマンドを実行後、[応答別（By Response）] フィルタと [デバイス別（By Device）] フィルタを使用して、デバイスの設定を続行できます。

応答別フィルタ

一括コマンドの実行後、CDO は [応答別（By Response）] タブに、コマンドを送信したデバイスから返された応答のリストを入力します。同じ応答のデバイスは 1 行にまとめられます。[応答別（By Response）] タブの行をクリックすると、応答ペインにデバイスからの応答が表示されます。応答ペインに複数のデバイスの応答が表示される場合、「X デバイスの応答を表示しています（Showing Responses for X devices）」というメッセージが表示されます。[Xデバイス（X Devices）] をクリックすると、コマンドに対して同じ応答を返したすべてのデバイスが CDO に表示されます。

コマンド応答に関連付けられたデバイスのリストにコマンドを送信するには、次の手順に従います。

手順
ステップ 1

[応答別（By Response）] タブの行にあるコマンドシンボルをクリックします。

ステップ 2

コマンドペインでコマンドを確認し、[送信（Send）] をクリックしてコマンドを再送信するか、[クリア] をクリックしてコマンドペインをクリアし、新しいコマンドを入力してデバイスに送信してから、[送信（Send）] をクリックします。

ステップ 3

コマンドから受け取った応答を確認します。

ステップ 4

選択したデバイスの実行コンフィギュレーション ファイルに変更が反映されていることが確実な場合は、コマンドペインに「deploy memory」と入力し、[送信（Send）] をクリックします。この操作により、実行構成がスタートアップ コンフィギュレーションに保存されます。

デバイス別フィルタ

一括コマンドの実行後、CDO は [実行（Execution）] タブと [デバイス別（By Device）] タブに、コマンドを送信したデバイスのリストを入力します。[デバイス別（By Device）] タブの行をクリックすると、各デバイスの応答が表示されます。

同じデバイスリストでコマンドを実行するには、次の手順に従います。

手順
ステップ 1

[デバイス別（By Device）] タブをクリックします。

ステップ 2

[>_これらのデバイスでコマンドを実行（>_Execute a command on these devices）] をクリックします。

ステップ 3

[クリア] をクリックしてコマンドペインをクリアし、新しいコマンドを入力します。

ステップ 4

[マイリスト] ペインで、リスト内の個々のデバイスを選択または選択解除して、コマンドを送信するデバイスのリストを指定します。
ステップ 5

[送信（Send）] をクリックします。コマンドへの応答が応答ペインに表示されます。応答ペインに複数のデバイスの応答が表示される場合、「X デバイスの応答を表示しています（Showing Responses for X devices）」というメッセージが表示されます。[Xデバイス（X Devices）] をクリックすると、コマンドに対して同じ応答を返したすべてのデバイスが CDO に表示されます。

ステップ 6

選択したデバイスの実行構成ファイルに変更が反映されていることが確実な場合は、コマンドペインに「deploy memory」と入力し、[送信（Send）] をクリックします。

ASA一括 CLI の使用例

次の例は、ASA デバイスに対して CDO の一括 CLI 機能を使用するときに発生する可能性のあるワークフローです。

ASA の実行構成ですべてのユーザーを表示し、いずれかのユーザーを削除する

手順
ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックしてデバイスを見つけます。
ステップ 3

[ASA] タブをクリックします。
ステップ 4

ユーザーを削除するデバイスのデバイスリストを検索およびフィルタ処理し、デバイスを選択します。

（注）   

選択したデバイスが同期されていることを確認してください。デバイスが同期されていない場合、次のコマンドのみが許可されます。show、ping、traceroute、vpn-sessiondb、changeto、dir、copy、および write。

ステップ 5

詳細ペインで、[>_コマンドラインインターフェイス（>_Command Line Interface）] をクリックします。CDO は、[マイリスト] ペインで選択したデバイスを一覧表示します。少数のデバイスにコマンドを送信する場合は、そのリストにあるデバイスのチェックを外します。

ステップ 6

コマンドペインで、show run | grep user と入力し、[送信（Send）] をクリックします。文字列 user を含む実行構成ファイルのすべての行が、応答ペインに表示されます。[実行（Execution）] タブが開き、コマンドが実行されたデバイスが表示されます。

ステップ 7

[応答別（By Response）] タブをクリックし、応答を確認して、削除するユーザーが含まれているデバイスを確認します。

ステップ 8

[マイリスト] タブをクリックし、ユーザーを削除するデバイスのリストを選択します。
ステップ 9

コマンドペインで、user コマンドの no 形式を入力して user2 を削除し、[送信（Send）] をクリックします。この例では、user2 を削除します。

no user user2 password reallyhardpassword privilege 10
ステップ 10

ユーザー名の検索に使用した、show run | grep user コマンドのインスタンスの履歴パネルを確認します。このコマンドを選択し、[実行（Execution ）] リストでデバイスのリストを確認して、[送信（Send）] を選択します。指定したデバイスからユーザー名が削除されたことがわかります。

ステップ 11

実行構成から正しいユーザーを削除し、実行構成に残っているユーザーが正しいことを確認したら、次の手順を実行します。

  1. 履歴ペインから no user user2 password reallyhardpassword privilege 10 コマンドを選択します。

  2. [デバイス別（By Device）] タブをクリックし、[これらのデバイスでコマンドを実行（Execute a command on these devices）] をクリックします。

  3. コマンドペインで、[クリア] をクリックしてコマンドペインをクリアします。

  4. deploy memory コマンドを入力し、[送信（Send）] をクリックします。

選択した ASA 上のすべての SNMP 設定を見つける

この手順で、ASA の実行構成にあるすべての SNMP 構成エントリを表示できます。

手順
ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックしてデバイスを見つけます。
ステップ 3

[ASA] タブをクリックします。
ステップ 4

実行構成の SNMP 構成を分析するデバイスをフィルタ処理して検索し、それらを選択します。

（注）   

選択したデバイスが同期されていることを確認してください。デバイスが同期されていない場合、次のコマンドのみが許可されます。show、ping、traceroute、vpn-sessiondb、changeto、および dir。

ステップ 5

詳細ペインで、[コマンド ライン インターフェイス] をクリックします。選択したデバイスは [マイリスト] ペインに表示されます。少数のデバイスにコマンドを送信する場合は、そのリストにあるデバイスのチェックを外します。

ステップ 6

コマンドペインで、show run | grep snmp と入力し、[送信] をクリックします。文字列 snmp を含む実行構成ファイルのすべての行が、応答ペインに表示されます。[実行] タブが開き、コマンドが実行されたデバイスが表示されます。

ステップ 7

応答ペインでコマンド出力を確認します。

デバイスの管理用 CLI マクロ

CLI マクロは、すぐに使用できる完全な形式の CLI コマンド、または実行前に変更できる CLI コマンドのテンプレートです。すべてのマクロは、1 つ以上の ASA デバイスで同時に実行できます。

テンプレートに似た CLI マクロを使用して、複数のデバイスで同じコマンドを同時に実行します。CLI マクロは、デバイスの設定と管理の一貫性を促進します。完全な形式の CLI マクロを使用して、デバイスに関する情報を取得します。ASA デバイスですぐに使用できるさまざまな CLI マクロがあります。

頻繁に実行するタスクを監視するための CLI マクロを作成できます。詳細については、「CLI マクロの作成」を参照してください。

CLI マクロは、システム定義またはユーザー定義です。システム定義マクロは CDO によって提供され、編集も削除もできません。ユーザー定義マクロはユーザーが作成し、編集または削除できます。


（注）  

デバイスが CDO に導入準備された後にのみ、デバイスのマクロを作成できます。

例として ASA を使用すると、いずれかの ASA で特定のユーザーを検索する場合は、次のコマンドを実行できます。

show running-config | grep username

このコマンドを実行すると、検索しているユーザーのユーザー名が username に置き換わります。このコマンドからマクロを作成するには、同じコマンドを使用して、username を中括弧で囲みます。

パラメータには任意の名前を付けることができ、そのパラメータ名で同じマクロを作成することもできます。

パラメータ名は説明的な名前にでき、英数字と下線を使用する必要があります。この場合、コマンドシンタックスは次のようになります。 
show running-config | grep
コマンドの一部として、コマンドの送信先のデバイスに適した CLI シンタックスを使用する必要があります。

新規コマンドからの CLI マクロの作成

手順

ステップ 1

CLI マクロを作成する前に CDO のコマンド ライン インターフェイスでコマンドをテストして、コマンドの構文が正しく、信頼できる結果が返されることを確認します

（注）   
ステップ 2

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 3

[デバイス] タブをクリックしてデバイスを見つけます。
ステップ 4

適切なデバイスタイプのタブをクリックし、オンラインで同期されているデバイスを選択します。
ステップ 5

[>_コマンド ライン インターフェイス] をクリックします。
ステップ 6

CLI マクロのお気に入りのスター をクリックして、すでに存在するマクロを確認します。

ステップ 7

プラスボタン をクリックします。

ステップ 8

マクロに一意の名前を指定します。必要に応じて、CLI マクロの説明とメモを入力します。
ステップ 9

[コマンド] フィールドに完全なコマンドを入力します。

ステップ 10

コマンドの実行時に変更したいコマンドの部分を、中括弧で囲まれたパラメータ名に置き換えます。
ステップ 11

[作成（Create）] をクリックします。作成したマクロは、最初に指定したデバイスだけでなく、そのタイプのすべてのデバイスで使用できます。

コマンドを実行するには、『デバイスでの CLI マクロの実行』を参照してください。

CLI 履歴または既存の CLI マクロからの CLI マクロの作成

この手順では、すでに実行したコマンド、別のユーザー定義マクロ、またはシステム定義マクロからユーザー定義マクロを作成します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

（注）   

CLI 履歴からユーザー定義マクロを作成する場合は、コマンドを実行したデバイスを選択します。CLI マクロは、同じアカウントのデバイス間で共有されますが、CLI 履歴は共有されません。
ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックし、オンラインかつ同期されているデバイスを選択します。
ステップ 4

[>_コマンドラインインターフェイス（>_Command Line Interface）] をクリックします。
ステップ 5

CLI マクロを作成するコマンドを見つけて選択します。次のいずれかの方法を使用してください。

  • クロック をクリックして、そのデバイスで実行したコマンドを表示します。マクロに変換するコマンドを選択すると、コマンドペインにそのコマンドが表示されます。

  • CLI マクロのお気に入りのスター をクリックして、すでに存在するマクロを確認します。変更するユーザー定義またはシステム定義の CLI マクロを選択します。コマンドがコマンドペインに表示されます。

ステップ 6

コマンドがコマンドペインに表示された状態で、CLI マクロの金色の星 をクリックします。このコマンドが、新しい CLI マクロの基礎になります。

ステップ 7

マクロに一意の名前を指定します。必要に応じて、CLI マクロの説明とメモを入力します。
ステップ 8

[コマンド] フィールドのコマンドを確認し、必要な変更を加えます。

ステップ 9

コマンドの実行時に変更したいコマンドの部分を、中括弧で囲まれたパラメータ名に置き換えます。
ステップ 10

[作成（Create）] をクリックします。作成したマクロは、最初に指定したデバイスだけでなく、そのタイプのすべてのデバイスで使用できます。

コマンドを実行するには、CLI マクロの実行を参照してください。

CLI マクロの実行

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックし、1 つ以上のデバイスを選択します。

ステップ 4

[>_コマンド ライン インターフェイス（>_Command Line Interface）] をクリックします。

ステップ 5

コマンドパネルで、スター をクリックします。

ステップ 6

コマンドパネルから CLI マクロを選択します。

ステップ 7

次のいずれかの方法でマクロを実行します。

  • 定義するパラメータがマクロに含まれていない場合は、[送信（Send）] をクリックします。コマンドへの応答が応答ペインに表示されます。これで完了です。

  • マクロにパラメータが含まれている場合（下の Configure DNS マクロなど）、[>_ パラメータの表示（>_ View Parameters）] をクリックします。

ステップ 8

[パラメータ（Parameters）] ペインで、パラメータの値を [パラメータ（Parameters）] の各フィールドに入力します。
ステップ 9

[送信（Send）] をクリックします。CDO が正常にコマンドを送信し、デバイスの構成を更新すると、「Done!」というメッセージが表示されます。

  • ASA の場合は、実行構成が更新されます。
ステップ 10

コマンドを送信した後で、「一部のコマンドが実行構成に変更を加えた可能性があります」というメッセージが 2 つのリンクとともに表示されることがあります。

  • [ディスクへの書き込み（Write to Disk）] をクリックすると、このコマンドによって加えられた変更と、実行構成のその他の変更がデバイスのスタートアップ構成に保存されます。

  • [取り消す（Dismiss）] をクリックすると、メッセージが取り消されます。

CLI マクロの編集

ユーザー定義の CLI マクロは編集できますが、システム定義のマクロは編集できません。CLI マクロを編集すると、すべての ASA デバイスでマクロが変更されます。マクロは特定のデバイス固有のものではありません。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

デバイスを選択します。
ステップ 5

[コマンド ライン インターフェイス（Command Line Interface）] をクリックします。

ステップ 6

編集するユーザー定義マクロを選択します。
ステップ 7

マクロラベルの編集アイコンをクリックします。
ステップ 8

[マクロの編集（Edit Macro）] ダイアログボックスで CLI マクロを編集します。
ステップ 9

[保存（Save）] をクリックします。

CLI マクロの実行方法については、「CLI マクロの実行」を参照してください。

CLI マクロの削除

ユーザー定義の CLI マクロは削除できますが、システム定義のマクロは削除できません。CLI マクロを削除すると、すべてのデバイスでマクロが削除されます。マクロは特定のデバイス固有のものではありません。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

デバイスを選択します。
ステップ 5

[コマンドラインインターフェイス（Command Line Interface）] をクリックします。

ステップ 6

削除するユーザー定義 CLI マクロを選択します。
ステップ 7

CLI マクロラベルのゴミ箱アイコン をクリックします。

ステップ 8

CLI マクロを削除することを確認します。

ASA コマンド ライン インターフェイスのドキュメント

CDO は、ASA コマンド ライン インターフェイスをすべてサポートしています。ユーザーが単一のデバイスおよび複数のデバイスに同時にコマンドを送信できるように、CDO ではターミナル型のインターフェイスを提供しています。ASA コマンド ライン インターフェイスのドキュメントは豊富です。CDO ドキュメントでその一部を再作成するのではなく、Cisco.com の ASA CLI ドキュメントへのポインタを次に示します。

ASA CLI コンフィギュレーション ガイド

ASA バージョン 9.1 以降、ASA CLI コンフィギュレーション ガイドは 3 部に分かれています。

  • CLI ブック 1：Cisco ASA シリーズ CLI コンフィギュレーション ガイド（一般的な操作）

  • CLI ブック 2: Cisco ASA シリーズ ファイアウォール CLI コンフィグレーションガイド

  • CLI ブック 3：Cisco ASA シリーズ VPN CLI コンフィギュレーション ガイド

[サポート（Support）] > [製品カテゴリ（Products by Category）] > [セキュリティ（Security）] > [ファイアウォール（Firewalls）] > [ASA 5500] > [コンフィギュレーション（Configure）] > [コンフィギュレーションガイド（Configuration Guides）] に移動すると、Cisco.com の ASA CLI コンフィギュレーション ガイドにアクセスできます。https://www.cisco.com/c/en/us/support/security/asa-5500-series-next-generation-firewalls/products-installation-and-configuration-guides-list.html

いくつかの特定の ASA CLI コンフィギュレーション ガイドのセクション

show コマンドと more コマンドの出力のフィルタリングCLI ブック 1：『Cisco ASA シリーズ CLI コンフィギュレーション ガイド（一般的な操作）』の「show コマンドと more コマンドの出力のフィルタリング」では、正規表現を使用した show コマンド出力のフィルタ処理について学習できます。

ASA コマンドリファレンス

ASA コマンド リファレンス ガイドは、すべての ASA コマンドとそのオプションがアルファベット順でリストになっています。ASA コマンドリファレンスはバージョン固有ではありません。次の 4 部が公開されています。

  • Cisco ASA シリーズ コマンド リファレンス、A ～ H コマンド

  • Cisco ASA シリーズ コマンド リファレンス、I ～ R コマンド

  • Cisco ASA シリーズ コマンド リファレンス、S コマンド

  • Cisco ASA シリーズ コマンド リファレンス、T ～ Z コマンドおよび ASASM 用 IOS コマンド

[サポート（Support）] > [製品カテゴリ（Products by Category）] > [セキュリティ（Security）] > [ファイアウォール（Firewalls）] > [ASA 5500] > [リファレンスガイド（Reference Guides）] > [コマンドリファレンス（Command References）] に移動すると、Cisco.com の ASA コマンドリファレンスガイドにアクセスできます。https://www.cisco.com/c/en/us/support/security/asa-5500-series-next-generation-firewalls/products-command-reference-list.html#anchor325

CLI コマンドの結果のエクスポート

スタンドアロンデバイスまたは複数のデバイスに発行された CLI コマンドの結果をコンマ区切り値（.csv）ファイルにエクスポートして、必要に応じて情報をフィルタリングおよび並べ替えることができます。単一のデバイスまたは多数のデバイスの CLI 結果を一度にエクスポートできます。エクスポートされた情報には、次のものが含まれます。

  • Device

  • 日付（Date）

  • User

  • コマンド

  • 出力

CLI コマンドの結果のエクスポート

コマンドウィンドウで実行したコマンドの結果を .csv ファイルにエクスポートできます。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つまたは複数のデバイスを選択してハイライトします。

ステップ 5

デバイスの [デバイスアクション] ペインで、>_ [コマンド ライン インターフェイス（Command Line Interface）] をクリックします。

ステップ 6

[コマンド ライン インターフェイス（Command Line Interface）] ペインでコマンドを入力し、[送信（Send）] をクリックしてデバイスに送ります。

ステップ 7

入力されたコマンドのウィンドウの右側で、エクスポートアイコン をクリックします。

ステップ 8

.csv ファイルにわかりやすい名前を付け、ファイルをローカルファイルシステムに保存します。.csv ファイル上のコマンド出力を読み取る場合、すべてのセルを展開して、コマンドのすべての結果を表示します。

CLI マクロの結果のエクスポート

コマンドウィンドウで実行されたマクロの結果をエクスポートできます。次の手順で、1 つまたは複数のデバイスで実行された CLI マクロの結果を .csv ファイルにエクスポートします。

手順

ステップ 1

[デバイスとサービス] ページを開きます。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つまたは複数のデバイスを選択してハイライトします。

ステップ 5

デバイスの [デバイスアクション] ペインで、[>_コマンド ライン インターフェイス（>_Command Line Interface）] をクリックします。

ステップ 6

CLI ウィンドウの左側のペインで、CLI マクロのお気に入りを示す星を選択します。

ステップ 7

エクスポートするマクロコマンドをクリックします。適切なパラメータを入力し、[送信（Send）] をクリックします。
ステップ 8

入力されたコマンドのウィンドウの右側で、エクスポートアイコン をクリックします。

ステップ 9

.csv ファイルにわかりやすい名前を付け、ファイルをローカルファイルシステムに保存します。.csv ファイル上のコマンド出力を読み取る場合、すべてのセルを展開して、コマンドのすべての結果を表示します。

CLI コマンド履歴のエクスポート

次の手順を使用して、1 つまたは複数のデバイスの CLI 履歴を .csv ファイルにエクスポートします。

手順

ステップ 1

ナビゲーションウィンドウで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つまたは複数のデバイスを選択してハイライトします。

ステップ 5

デバイスの [デバイスアクション] ペインで、[>_コマンド ライン インターフェイス（>_Command Line Interface）] をクリックします。

ステップ 6

履歴ペインがまだ展開されていない場合は、[時計（Clock）] アイコン をクリックして展開します。

ステップ 7

入力されたコマンドのウィンドウの右側で、エクスポートアイコンをクリックします。

ステップ 8

.csv ファイルにわかりやすい名前を付け、ファイルをローカルファイルシステムに保存します。.csv ファイル上のコマンド出力を読み取る場合、すべてのセルを展開して、コマンドのすべての結果を表示します。

CLI マクロのリストをエクスポートする

コマンドウィンドウで実行されたマクロのみをエクスポートできます。次の手順で、1 つまたは複数のデバイスの CLI マクロを .csv ファイルにエクスポートします。

手順

ステップ 1

ナビゲーションウィンドウで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つまたは複数のデバイスを選択してハイライトします。
ステップ 5

デバイスの [デバイスアクション] ペインで、[>_コマンド ライン インターフェイス] をクリックします。
ステップ 6

CLI ウィンドウの左側のペインで、CLI マクロのお気に入りを示す星を選択します。

ステップ 7

エクスポートするマクロコマンドをクリックします。適切なパラメータを入力し、[送信] をクリックします。
ステップ 8

入力されたコマンドのウィンドウの右側でエクスポートアイコン をクリックします。

ステップ 9

.csv ファイルにわかりやすい名前を付け、ファイルをローカルファイルシステムに保存します。

変更の読み取り、破棄、チェック、および展開

デバイスを管理するために、CDO は、デバイスの設定のコピーを独自のデータベースに保存する必要があります。CDO が管理対象デバイスから設定を「読み取る」とき、CDO はデバイス設定のコピーを作成し、それを保存します。CDO が最初にデバイスの設定のコピーを読み取って保存するのは、デバイスが導入準備されたときです。以下の選択肢のように、さまざまな目的に応じて設定を読み取ります。

  • [変更の破棄（Discard Changes）] は、デバイスの設定ステータスが「未同期」の場合に使用できます。未同期の状態では、デバイスの設定に対する変更が CDO で保留中になっています。このオプションを使用すると、保留中のすべての変更を取り消すことができます。保留中の変更は削除され、CDO は設定のコピーをデバイスに保存されている設定のコピーで上書きします。

  • [変更の確認（Check for Changes）]。このアクションは、デバイスの設定ステータスが同期済みの場合に使用できます。[変更の確認（Checking for Changes ）] をクリックすると、CDO は、デバイスの設定のコピーを、デバイスに保存されている設定のコピーと比較するように指示します。違いがある場合、CDO はデバイスに保存されているコピーでそのデバイスの設定のコピーをすぐに上書きします。

  • [競合の確認（Review Conflict）] と [レビューなしで承認（Accept Without Review）]。 . デバイスで [競合検出] を有効にすると、CDO はデバイスに加えられた設定の変更を 10 分ごとにチェックします。https://docs.defenseorchestrator.com/Welcome_to_Cisco_Defense_Orchestrator/Basics_of_Cisco_Defense_Orchestrator/Synchronizing_Configurations_Between_Defense_Orchestrator_and_Device/0010_Conflict_Detectionデバイスに保存されている設定のコピーが変更された場合、CDO は「競合が検出されました」という設定ステータスを表示して通知します。

    • [競合の確認（Review Conflict）]。[競合の確認（Review Conflict）] をクリックすると、デバイスで直接行われた変更を確認し、それらを受け入れるか拒否するかを選択できます。

    • [レビューなしで承認（Accept Without Review）]。このアクションは、デバイスの設定の CDO のコピーを、デバイスに保存されている設定のコピーで上書きします。CDO は、上書きアクションを実行する前に、設定の 2 つのコピーの違いを確認するように求めません。

[すべて読み取り（Read All）] は一括操作です。任意の状態の複数のデバイスを選択し、[すべて読み取り（Read All）] をクリックして、CDO に保存されているすべてのデバイスの設定を、デバイスに保存されている設定で上書きすることができます。

変更の配置

デバイスの設定に変更を加えると、CDO では、加えた変更が独自のコピーに保存されます。これらの変更は、デバイスに展開されるまで CDO で「保留」されています。デバイスの設定に変更があり、それがデバイスに展開されていない場合、デバイスは未同期構成状態になります。

保留中の設定変更は、デバイスを通過するネットワークトラフィックには影響しません。変更は、CDO がデバイスに展開した後にのみ影響を及ぼします。CDO がデバイスの設定に変更を展開すると、変更された設定の要素のみが上書きされます。デバイスに保存されている構成ファイル全体を上書きすることはありません。展開は、1 つのデバイスに対して開始することも、複数のデバイスに対して同時に開始することもできます。


（注）  

展開や繰り返しの展開をスケジュールできます。詳細については、自動展開のスケジュールを参照してください。

[すべて破棄] は、[プレビューして展開...（Preview and Deploy..）] をクリックした後にのみ使用できるオプションです。 . [プレビューして展開（Preview and Deploy）] をクリックすると、CDO で保留中の変更のプレビューが CDO に表示されます。[すべて破棄] をクリックすると、保留中のすべての変更が CDO から削除され、選択したデバイスには何も展開されません。上述の [変更の破棄（Discard Changes）] とは異なり、保留中の変更を削除すると操作が終了します。

すべてのデバイス設定の読み取り

Cisco Defense Orchestrator（CDO）の外部にあるデバイスの設定が変更された場合、CDO に保存されているデバイスの設定と、当該デバイスの設定のローカルコピーは同じではなくなります。多くの場合、CDO にあるデバイスの設定のコピーをデバイスに保存されている設定で上書きして、設定を再び同じにしたいと考えます。[すべて読み取り（Read All）] リンクを使用して、多くのデバイスでこのタスクを同時に実行できます。

CDO によるデバイス設定の 2 つのコピーの管理方法の詳細については、「設定変更の読み取り、破棄、チェック、および展開」を参照してください。

[すべて読み取り（Read All）] をクリックした場合に、CDO にあるデバイスの設定のコピーがデバイスの設定のコピーで上書きされる 3 つの設定ステータスを次に示します。

  • [競合検出（Conflict Detected）]：競合検出が有効になっている場合、CDO は、設定に加えられた変更について、管理するデバイスを 10 分ごとにポーリングします。CDO は、デバイスの設定が変更されたことを検出した場合、デバイスの [競合検出（Conflict Detected）] 設定ステータスを表示します。

  • [同期（Synced）]：デバイスが [同期（Synced）] 状態の場合に、[すべて読み取り（Read All）] をクリックしすると、CDO はすぐにデバイスをチェックして、設定に直接変更が加えられているかどうかを判断します。[すべて読み取り（Read All）] をクリックすると、CDO はデバイスの設定のコピーを上書きすることを確認し、上書きを実行します。

  • [非同期]：デバイスが [非同期] 状態の場合に、[すべて読み取り（Read All）] をクリックすると、CDO を使用したデバイスの設定に対する保留中の変更があること、および [すべて読み取り（Read All）] 操作を続行すると保留中の変更が削除されてから、CDO にある設定のコピーがデバイス上の設定で上書きされることが警告されます。この [すべて読み取り（Read All）] は、[変更の破棄（Discard Changes）] と同様に機能します。変更の破棄

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

（任意）変更ログでこの一括アクションの結果を簡単に識別できるように、変更リクエストラベルを作成します。

ステップ 5

CDO を保存する設定のデバイスを選択します。CDO では、選択したすべてのデバイスに適用できるアクションのコマンドボタンのみ提供されることに注意してください。
ステップ 6

[すべて読み取り（Read All）] をクリックします。

ステップ 7

選択したデバイスのいずれかについて、CDO で設定変更がステージングされている場合、CDO は警告を表示し、設定の一括読み取りアクションを続行するかどうかを尋ねられます。[すべて読み取り（Read All）] をクリックして続行します。
ステップ 8

設定の [すべて読み取り（Read All）] 操作の進行状況については、[通知（notifications）] タブで確認します。一括操作の個々のアクションの成功または失敗に関する詳細を確認する場合は、青色の [レビュー（Review）] リンクをクリックすると、[ジョブ] ページに移動します。 [ジョブ（Jobs）] ページ

ステップ 9

変更リクエストラベルを作成してアクティブ化した場合は、他の設定変更を誤ってこのイベントに関連付けないように、忘れずにラベルをクリアしてください。

ASA から CDO への設定変更の読み取り

Cisco Defense Orchestrator が ASA の設定を「読み取る」理由

ASA を管理するために、CDO には、ASA の実行構成ファイルの独自のコピーが保存されている必要があります。CDO が最初にデバイスの構成ファイルのコピーを読み取って保存するのは、デバイスが導入準備されたときです。その後、CDO が ASA から設定を読み取るときに、[変更の確認（Check for Changes）]、[レビューなしで承認（Accept Without Review）]、または [設定の読み取り（Read Configuration）] のいずれかを選択します。詳細については、「設定変更の読み取り、破棄、チェック、および展開」を参照してください。

CDO は、次の状況でも ASA の設定を読み取る必要があります。

  • ASA への設定変更の展開に失敗し、デバイスの状態がリストにないか、[非同期] になっている場合。

  • デバイスの導入準備が失敗し、デバイスの状態が [設定なし（No Config）] になっている場合。

  • CDO の外部でデバイス設定を変更したが、その変更はポーリングまたは検出されていないため、デバイスの状態が [同期（Synced）] または [競合検出（Conflict Detected）] になっている場合。

このような場合、CDO は、デバイスに保存されている最後に認識された設定のコピーを必要とします。

ASA での構成変更の読み取り

ASA での構成変更の読み取りが求められたら、次の手順を実行します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

CDO が最近導入準備に失敗したデバイス、または CDO が変更の展開に失敗したデバイスを選択します。
ステップ 5

右側の [同期済み] ペインで [構成の読み取り（Read Configuration）] をクリックします。このオプションを実行すると、現在 CDO に保存されている構成が上書きされます。

すべてのデバイスの構成変更のプレビューと展開

テナント上のデバイスに構成変更を加えたものの、その変更をまだ展開していない場合に、CDO は展開アイコンにオレンジ色のドットを表示して通知します。
. これらの変更の影響を受けるデバイスには、[デバイスとサービス] ページに [非同期] のステータスが表示されます。[展開] をクリックすると、保留中の変更があるデバイスを確認し、それらのデバイスに変更を展開できます。

この展開方法は、サポートされているすべてのデバイスで使用できます。

この展開方法を使用して、単一の構成変更を展開することも、待機して複数の変更を一度に展開することもできます。

手順の概要

  1. 画面の右上隅で [展開] アイコン をクリックします。
  2. 展開する変更があるデバイスを選択します。デバイスに黄色の三角の注意マークが付いている場合、そのデバイスに変更を展開することはできません。黄色の三角の注意マークにマウスを合わせると、そのデバイスに変更を展開できない理由を確認できます。
  3. デバイスを選択したら、右側のパネルでデバイスを拡大し、具体的な変更をプレビューできます。
  4. （オプション）保留中の変更に関する詳細情報を表示する場合は、[詳細な変更ログを表示] リンクをクリックして、その変更に関連付けられた変更ログを開きます。[展開] アイコンをクリックして、[保留中の変更があるデバイス] ページに戻ります。
  5. （オプション）[保留中の変更があるデバイス] ページを離れずに、変更を追跡する変更リクエストを作成します。
  6. [今すぐ展開] をクリックして、選択したデバイスに今すぐ変更を展開します。[ジョブ] トレイの [アクティブなジョブ] インジケータに進行状況が表示されます。
  7. （オプション）展開が完了したら、CDO ナビゲーションバーの [ジョブ] をクリックします。展開の結果を示す最近の「変更の展開」ジョブが表示されます。
  8. 変更リクエストラベルを作成し、それに関連付ける構成変更がない場合は、それをクリアします。

手順の詳細

ステップ 1

画面の右上隅で [展開] アイコン をクリックします。
ステップ 2

展開する変更があるデバイスを選択します。デバイスに黄色の三角の注意マークが付いている場合、そのデバイスに変更を展開することはできません。黄色の三角の注意マークにマウスを合わせると、そのデバイスに変更を展開できない理由を確認できます。

ステップ 3

デバイスを選択したら、右側のパネルでデバイスを拡大し、具体的な変更をプレビューできます。
ステップ 4

（オプション）保留中の変更に関する詳細情報を表示する場合は、[詳細な変更ログを表示] リンクをクリックして、その変更に関連付けられた変更ログを開きます。[展開] アイコンをクリックして、[保留中の変更があるデバイス] ページに戻ります。
ステップ 5

（オプション）[保留中の変更があるデバイス] ページを離れずに、変更を追跡する変更リクエストを作成します。
ステップ 6

[今すぐ展開] をクリックして、選択したデバイスに今すぐ変更を展開します。[ジョブ] トレイの [アクティブなジョブ] インジケータに進行状況が表示されます。

ステップ 7

（オプション）展開が完了したら、CDO ナビゲーションバーの [ジョブ] をクリックします。展開の結果を示す最近の「変更の展開」ジョブが表示されます。

ステップ 8

変更リクエストラベルを作成し、それに関連付ける構成変更がない場合は、それをクリアします。

次のタスク

CDO から ASA に設定変更を展開します。

CDO が ASA に変更を展開する理由

Cisco Defense Orchestrator（CDO）を使用してデバイスの設定を管理および変更すると、加えた変更が CDO により構成ファイルの独自のコピーに保存されます。これらの変更は、デバイスに「展開」されるまで、CDO で「ステージング」されたと見なされます。ステージングされた設定変更は、デバイスを通過するネットワークトラフィックには影響しません。CDO がデバイスに変更を「展開」した後にのみ、デバイスを通過するトラフィックに影響を与えます。CDO がデバイスの設定に変更を展開すると、変更された設定の要素のみが上書きされます。デバイスに保存されている構成ファイル全体を上書きすることはありません。

ASA には、「実行構成」とも呼ばれる「実行」構成ファイルと、「スタートアップ コンフィギュレーション」とも呼ばれる「起動」構成ファイルがあります。実行コンフィグレーション ファイルに保存されている構成は、ASA を通過するトラフィックに適用されます。実行コンフィグレーションに変更を加え、それらの変更がもたらす動作に問題がないことを確認したら、それらをスタートアップ コンフィギュレーションに展開できます。ASA が再起動されるたびに、スタートアップ コンフィギュレーションが構成の開始点として使用されます。実行コンフィギュレーシに加えた変更で、スタートアップ コンフィギュレーションに保存されていないものは、ASA の再起動後にすべて失われます。

CDO から ASA に変更を展開すると、それらの変更が実行構成ファイルに書き込まれます。これらの変更によってもたらされる動作に問題がなければ、それらの変更をスタートアップ コンフィギュレーション ファイルに展開できます。

展開は、1 つのデバイスに対して開始することも、複数のデバイスに対して同時に開始することもできます。単一のデバイスに対して、個別の展開や繰り返しの展開をスケジュールできます。

一部の変更は ASA に直接展開される

CDO で CLI インターフェイス CLI マクロを使用して ASA に変更を加えた場合、それらの変更は CDO で「ステージング」されません。それらは、ASA の実行構成に直接展開されます。このように変更を加えると、デバイスは CDO と「同期」状態が維持されます。

設定変更の展開について

このセクションでは、ASA 構成ファイルを変更するために、CDO の CLI インターフェイスまたは CLI マクロインターフェイスを使用せずに、CDO の GUI を使用しているか、[デバイス設定（Device Configuration）] ページを編集していることを前提としています。

ASA 設定の更新は、2 段階のプロセスです。

手順

ステップ 1

次のいずれかの方法を使用して、CDO で変更を加えます。

  • CDO GUI

  • [デバイス設定（Device Configuration）] ページのデバイス設定
ステップ 2

変更を加えたら、[デバイスとサービス] ページに戻り、[プレビューと展開（Preview and Deploy...）] でデバイスへの変更をプレビューして展開します。

次のタスク

CDO が ASA の実行構成を CDO でステージングされた設定で更新する場合、または ASA に保存されている実行構成で CDO 上の設定を変更する場合、CDO は、設定の変更部分が CDO GUI で管理可能な場合、構成ファイルの関連する行のみを変更しようとします。CDO GUI を使用して目的の構成変更を行うことができない場合、CDO は構成ファイル全体を上書きして変更を加えようとします。

2 つの例を示します。

  • ネットワークオブジェクトは、CDO GUI を使用して作成または変更が可能です。CDO がその変更を ASA の設定に展開する必要がある場合、変更が発生したときに ASA の実行構成ファイルの関連する行が上書きされます。

  • 新しいローカル ASA ユーザーは CDO GUI を使用して作成することはできませんが、[デバイスの設定（Device Configuration）] ページで ASA の設定を編集することで作成できます。[デバイスの設定（Device Configuration）] ページでユーザーを追加し、その変更を ASA に展開すると、CDO は実行構成ファイル全体を上書きして、その変更を ASA の実行構成ファイルに保存しようとします。

CDO GUIを使用して行った設定変更の展開

手順

ステップ 1

CDO GUI を使用して構成を変更し、変更を保存すると、その変更は CDO に保存されたバージョンの ASA の実行構成ファイルに保存されます。

ステップ 2

[デバイスとサービス] ページでデバイスに戻ります。

ステップ 3

[デバイス] タブをクリックします。デバイスが「未同期」になっていることがわかります。

ステップ 4

次のいずれかの方法を使用して、変更を展開します。

  • 画面右上の [展開（Deploy）] アイコン をクリックします。これにより、デバイスに加えた変更を展開する前に確認することができます。変更を加えたデバイスを確認し、デバイスを展開して変更を確認し、[今すぐ展開（Deploy Now）] をクリックして変更を展開します。

    （注）   

    [保留中の変更があるデバイス] 画面でデバイスの横に黄色の警告三角形が表示されている場合、変更を展開することはできません。警告の三角形にマウスを合わせると、デバイスに変更を展開できない理由が表示されます。

  • [未同期（Not Synced）] ウィンドウで、[プレビューして展開...（Preview and Deploy...）] をクリックします。

    1. ASA コンフィギュレーション ファイルを変更するコマンドを確認します。

    2. コマンドに問題がない場合は、[リカバリプリファレンスの設定（Configuration Recovery Preference）] を選択します。

      （注）   

      [通知を受け取り、設定を手動で復元します。（Let me know and I will restore the configuration manually）] を選択した場合、続行する前に、[手動同期手順の表示（View Manual Synchronization Instructions）] をクリックします。

    3. [デバイスに変更を適用する（Apply Changes to Device）] をクリックします。

    4. [OK] をクリックして成功メッセージを確認します。

自動展開をスケジュール設定する

自動展開をスケジュールすることにより、単一のデバイスまたは保留中の変更があるすべてのデバイスへの展開をスケジュールするようにテナントを設定することもできます。

CDO の CLI インターフェイスを使用した設定変更の展開

手順

ステップ 1

ナビゲーションウィンドウで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。

ステップ 4

設定を編集するデバイスを選択します。
ステップ 5

[アクション] ペインで、[>_コマンド ライン インターフェイス（>_Command Line Interface）] をクリックします。
ステップ 6

コマンド ライン インターフェイス テーブルにコマンドがある場合は、[クリア] をクリックしてそれらを削除します。

ステップ 7

コマンド ライン インターフェイスの表の上部のボックスにあるコマンドプロンプトに、コマンドを入力します。各コマンドを個別の行に入力するか、構成ファイルのセクションをコマンドとして入力することにより、1 つのコマンドを実行したり、複数のコマンドを一括で実行したりできます。コマンド ライン インターフェイス テーブルに入力できるコマンドの例を次に示します。

ネットワークオブジェクト「albany」を作成する単一のコマンド
object network albany 
host 209.165.30.2
一緒に送信される複数のコマンド：
object network albany
host 209.165.30.2
object network boston
host 209.165.40.2
object network cambridge
host 209.165.50.2
コマンドとして入力された実行構成ファイルのセクション：
interface GigabitEthernet0/5
 nameif guest
 security-level 0
 no ip address
（注）   

CDO では、EXEC モード、特権 EXEC モード、およびグローバル コンフィギュレーション モードの間を移動する必要はありません。入力したコマンドは適切なコンテキストで解釈されます。
ステップ 8

コマンドを入力したら、[送信（Send）] をクリックします。CDO が ASA の実行中の構成ファイルへの変更を正常に展開すると、[完了（Done!）] というメッセージが表示されます。

ステップ 9

コマンドを送信した後で、「一部のコマンドが実行構成に変更を加えた可能性があります」というメッセージが 2 つのリンクとともに表示されることがあります。

  • [ディスクに展開（Deploy to Disk）] をクリックすると、このコマンドによって加えられた変更と、実行構成のその他の変更が、ASA のスタートアップ構成に保存されます。

  • [取り消す（Dismiss）] をクリックすると、メッセージが取り消されます。

デバイス設定の編集による設定変更の展開


注意    

この手順は、ASA 設定ファイルの構文に精通している上級ユーザーを対象としています。この手法では、CDO に保存されている実行設定ファイルに直接変更を加えます。

手順

ステップ 1

ナビゲーションウィンドウで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。

ステップ 4

設定を編集するデバイスを選択します。
ステップ 5

[アクション] ペインで、[設定の表示（View Configuration）] をクリックします。

ステップ 6

[編集（Edit）] をクリックします。

ステップ 7

実行中の設定に変更を加えて保存します。

ステップ 8

[デバイスとサービス（Devices & Services）] ページに戻ります。[未同期（Not Synced）] ウィンドウで、[プレビューして展開...（Preview and Deploy...）] をクリックします。

ステップ 9

[デバイスの同期（Device Sync）] ウィンドウで、変更を確認します。

ステップ 10

変更の種類に応じて、[変更の置換（Replace Configuration）] または [変更のデバイスへの適用（Apply Changes to Device）] をクリックします。

複数デバイス上の共有オブジェクトの設定変更の展開

この手順は、2 つ以上のデバイスで共有されているポリシーまたはオブジェクトに変更を加える場合に使用します。多くのデバイスで使用されている共通ポリシーを変更できます。

手順

ステップ 1

編集する共有オブジェクトを含む [ポリシー（Policies）] ページまたは [オブジェクト] ページを開いて編集します。
ステップ 2

共有デバイスリストを確認し、挙げられているすべてのデバイスに変更を加えることを確認します。
ステップ 3

[確認（Confirm）] をクリックします。

ステップ 4

[保存（Save）] をクリックします。

ステップ 5

[展開] アイコンをクリックして、影響を受けるデバイスに変更を展開します。

デバイス設定の一括展開

共有オブジェクトを編集するなどして複数のデバイスに変更を加えた場合、影響を受けるすべてのデバイスにそれらの変更を一度に適用できます。

手順

ステップ 1

ナビゲーションウィンドウで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

CDO で設定を変更した、すべてのデバイスを選択します。これらのデバイスは、「未同期」ステータスが表示されているはずです。
ステップ 5

次のいずれかの方法を使用して、変更を展開します。

  • 画面右上の [展開] ボタン をクリックします。これにより、選択したデバイス上の保留中の変更を展開する前に確認することができます。変更を展開するには、[今すぐ展開（Deploy Now）] をクリックします。

    （注）   

    [保留中の変更があるデバイス] 画面でデバイスの横に黄色の警告三角形が表示されている場合、そのデバイスに変更を展開することはできません。そのデバイスに変更を展開できない理由を確認するには、警告三角形の上にマウスカーソルを置きます。

  • 詳細ペインで [すべて展開（Deploy All）] をクリックします。 すべての警告を確認し、[OK] をクリックします。一括展開は、変更を確認せずにすぐに開始します。

ステップ 6

（任意）ナビゲーションバーの [ジョブ] アイコン をクリックして、一括展開の結果を表示します。

スケジュールされた自動展開

CDO を使用すると、CDO が管理する 1 つ以上のデバイスの構成を変更し、都合のよいタイミングでそれらのデバイスに変更を展開するようにスケジュールできます。

[設定] ページの [テナント設定] タブで 自動展開をスケジュールするオプションを有効にする をした場合のみ、展開をスケジュールできます。このオプションを有効にすると、展開スケジュールを作成、編集、削除できます。展開スケジュールによって、CDO に保存されたすべてのステージング済みの変更が、設定した日時に展開されます。[ジョブ] ページから、展開スケジュールを表示および削除することもできます。

CDO に読み取られていない変更がデバイスに直接加えられた場合、その競合が解決されるまで、展開スケジュールはスキップされます。[ジョブ] ページには、スケジュールされた展開が失敗したインスタンスが一覧表示されます。[自動展開をスケジュールするオプションを有効にする] をオフにすると、スケジュールされたすべての展開が削除されます。


注意    

複数のデバイスの新しい展開をスケジュールし、それらのデバイスの一部に展開が既にスケジュールされている場合、既存の展開スケジュールが新しい展開スケジュールで上書きされます。

（注）  

展開スケジュールを作成すると、スケジュールはデバイスのタイムゾーンではなく現地時間で作成されます。展開スケジュールは、サマータイムに合わせて自動的に調整されません。

自動展開のスケジュール

展開スケジュールは、単一のイベントまたは繰り返し行われるイベントにすることができます。繰り返し行われる自動展開は、繰り返し行われる展開をメンテナンス期間に合わせるための便利な方法です。次の手順に従って、単一のデバイスに対して 1 回限りまたは繰り返し行われる展開をスケジュールします。


（注）  

既存の展開がスケジュールされているデバイスへの展開をスケジュールすると、新しくスケジュールされた展開によって既存の展開が上書きされます。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つ以上のデバイスを選択します。
ステップ 5

[デバイスの詳細] ペインで、[スケジュールされた展開（ Scheduled Deployments）] タブを見つけて、[スケジュール（Schedule）] をクリックします。

ステップ 6

展開をいつ実行するかを選択します。

  • 1 回限りの展開の場合は、[1回限り（Once on）] オプションをクリックして、カレンダーから日付と時刻を選択します。

  • 繰り返し展開する場合は、[定期（Every）] オプションをクリックします。日に 1 回と週に 1 回のいずれかの展開を選択できます。展開を実行する [曜日（Day）] と [時刻（Time）] を選択します。

ステップ 7

[保存（Save）] をクリックします。

スケジュールされた展開の編集

スケジュールされた展開を編集するには、次の手順に従います。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つ以上のデバイスを選択します。
ステップ 5

[デバイスの詳細] ペインで、[スケジュールされた展開（ Scheduled Deployments）] タブを見つけて、[編集] をクリックします。
ステップ 6

スケジュールされた展開の繰り返し回数、日付、または時刻を編集します。

ステップ 7

[保存（Save）] をクリックします。

スケジュールされた展開の削除

スケジュールされた展開を削除するには、次の手順に従います。


（注）  

複数のデバイスの展開をスケジュールしてから、一部のデバイスのスケジュールを変更または削除した場合は、残りのデバイスの元のスケジュールされた展開が保持されます。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

1 つ以上のデバイスを選択します。
ステップ 5

[デバイスの詳細] ペインで、[スケジュールされた展開（ Scheduled Deployments）] タブを見つけて、[削除（Delete）] をクリックします。

次のタスク

設定変更の確認

[変更の確認（Check for Changes）] をクリックして、デバイスの設定がデバイス上で直接変更されているか、CDO に保存されている設定のコピーと異なっているかどうかを確認します。このオプションは、デバイスが [同期（Synced）] 状態のときに表示されます。

変更を確認するには、次の手順を実行します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

設定がデバイス上で直接変更された可能性があるデバイスを選択します。
ステップ 5

右側の [同期（Synced）] ペインで [変更の確認（Check for Changes）] をクリックします。
ステップ 6

次の動作は、デバイスによって若干異なります。

  • デバイスの場合、デバイスの設定に変更があった場合、次のメッセージが表示されます。

    Reading the policy from the device. If there are active deployments on the device, reading will start after they are finished.

    • [OK] をクリックして、先へ進みます。デバイスの設定で、CDO に保存されている設定が上書きされます。

    • 操作をキャンセルするには、[キャンセル] をクリックします。

  • ASA デバイスの場合：

  1. 提示された 2 つの設定を比較します。[続行（Continue）] をクリックします。最後に認識されたデバイス設定（Last Known Device Configuration）というラベルの付いた設定は、CDO に保存されている設定です。デバイスで検出（Found on Device）というラベルの付いた設定は、ASA に保存されている設定です。

  2. 次のいずれかを選択します。

    1. [拒否（Reject）]：アウトオブバンド変更を拒否して、「最後に認識されたデバイス設定（Last Known Device Configuration）」を維持します。

    2. [承認（Accept）]：アウトオブバンド変更を承認して、CDO に保存されているデバイスの設定を、デバイスで見つかった設定で上書きします。

  3. [続行（Continue）] をクリックします。

変更の破棄

CDO を使用してデバイスの構成に加えた、展開されていない構成変更のすべてを「元に戻す」場合は、[変更の破棄（Discard Changes）] をクリックします。[変更の破棄（Discard Changes）] をクリックすると、CDO は、デバイスに保存されている構成でデバイスの構成のローカルコピーを完全に上書きします。

[変更の破棄（Discard Changes）] をクリックすると、デバイスの構成ステータスは [非同期] 状態になります。変更を破棄すると、CDO 上の構成のコピーは、デバイス上の構成のコピーと同じになり、CDO の構成ステータスは [同期済み] に戻ります。

デバイスの展開されていない構成変更のすべてを破棄する（つまり「元に戻す」）には、次の手順を実行します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

構成変更を実行中のデバイスを選択します。

ステップ 5

右側の [非同期] ペインで [変更の破棄（Discard Changes）] をクリックします。

  • FTD デバイスの場合は、「Pending changes on CDO will be discarded and the CDO configuration for this device will be replaced with the configuration currently running on the device（CDO 上の保留中の変更は破棄され、このデバイスに関する CDO 構成は、デバイス上の現在実行中の構成に置き換えられます）」という警告メッセージが表示されます。[続行] をクリックして変更を破棄します。

  • Meraki デバイスの場合は、変更がすぐに削除されます。

  • AWS デバイスの場合は、削除しようとしているものが表示されます。[同意する（Accept）] または [キャンセル] をクリックします。

デバイスのアウトオブバンド変更

アウトオブバンド変更とは、CDO を使用せずにデバイス上で直接行われた変更を指します。アウトオブバンド変更は、SSH 接続を介してデバイスのコマンドライン インターフェイスを使用して、または、ASA の場合は Adaptive Security Device Manager（ASDM）、FTD の場合は FDM などのローカルマネージャを使用して行うことができます。アウトオブバンド変更により、CDO に保存されているデバイスの設定とデバイス自体に保存されている設定との間で競合が発生します。

デバイスでのアウトオブバンド変更の検出

ASA、FTD、または Cisco IOS デバイスに対して競合検出が有効になっている場合、CDO は 10 分ごとにデバイスをチェックし、CDO の外部でデバイスの設定に直接加えられた新たな変更を検索します。

CDO は、CDO に保存されていないデバイスの設定に対する変更を検出した場合、そのデバイスの [設定ステータス（Configuration Status）] を [競合検出（Conflict Detected）] 状態に変更します。

Defense Orchestrator が競合を検出した場合、次の 2 つの状態が考えられます。

  • CDO のデータベースに保存されていない設定変更が、デバイスに直接加えられています。

  • FTD の場合、展開されていない「保留中」の設定変更がある可能性があります。

Defense Orchestrator とデバイス間の設定を同期する

設定の競合について

[デバイスとサービス] ページで、デバイスまたはサービスのステータスが [同期済み]、[未同期（Not Synced）]、または [競合が検出されました（Conflict Detected）] になっていることがあります。

  • デバイスが [同期済み] の場合、Cisco Defense Orchestrator（CDO）の設定と、デバイスにローカルに保存されている設定は同じです。

  • デバイスが [未同期（Not Synced）] の場合、CDO に保存された設定が変更され、デバイスにローカルに保存されている設定とは異なっています。CDO からデバイスに変更を展開すると、CDO のバージョンに一致するようにデバイスの設定が変更されます。

  • CDO の外部でデバイスに加えられた変更は、アウトオブバンドの変更と呼ばれます。デバイスの競合検出が有効になっている場合、アウトオブバンドの変更が行われると、デバイスのステータスが [競合が検出されました（Conflict Detected）] に変わります。アウトオブバンドの変更を受け入れると、CDO の設定がデバイスの設定と一致するように変更されます。

競合検出

競合検出が有効になっている場合、Cisco Defense Orchestrator（CDO）はデフォルトの間隔でデバイスをポーリングして、CDO の外部でデバイスの構成が変更されたかどうかを判断します。変更が行われたことを検出すると、CDO はデバイスの構成ステータスを [競合が検出されました] に変更します。CDO の外部でデバイスに加えられた変更は、「アウトオブバンド」の変更と呼ばれます。

このオプションを有効にすると、デバイスごとに競合または OOB 変更を検出する頻度を設定できます。詳細については、デバイス変更のポーリングのスケジュールを参照してください。

競合検出の有効化

競合検出を有効にすると、Defense Orchestrator の外部でデバイスに変更が加えられた場合に警告が表示されます。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブを選択します。
ステップ 4

競合検出を有効にする 1 台または複数のデバイスを選択します。

ステップ 5

デバイステーブルの右側にある [競合検出] ボックスで、リストから [有効（Enabled）] を選択します。

デバイスからのアウトオブバンド変更の自動的な受け入れ

変更の自動的な受け入れを有効にすることで、管理対象デバイスに直接加えられた変更を自動的に受け入れるように Cisco Defense Orchestrator（CDO）を設定できます。CDO を使用せずにデバイスに直接加えられた変更は、アウトオブバンド変更と呼ばれます。アウトオブバンドの変更により、CDO に保存されているデバイスの設定とデバイス自体に保存されている設定との間で競合が発生します。

変更の自動受け入れ機能は、競合検出のための強化機能です。デバイスで変更の自動受け入れを有効にしている場合、CDO は 10 分ごとに変更をチェックして、デバイスの設定に対してアウトオブバンドの変更が行われたかどうかを確認します。設定が変更されていた場合、CDO は、プロンプトを表示することなく、デバイスの設定のローカルバージョンを自動的に更新します。

CDO で行われたいずれかの設定変更がデバイスにまだ展開されていない場合、CDO は設定変更を自動的に受け入れません。画面上のプロンプトに従って、次のアクションを決定します。

変更の自動受け入れを使用するには、最初に、テナントが [デバイスとサービス] ページの [競合検出] メニューで自動受け入れオプションを表示できるようにします。次に、個々のデバイスでの変更の自動受け入れを有効にします。

CDO でアウトオブバンドの変更を検出するものの、変更を手動で受け入れたり拒否したりするオプションを選択する場合は、代わりに 競合検出 を有効にします。

自動承認変更の設定

手順

ステップ 1

管理者またはネットワーク管理者権限を持つアカウントを使用して CDO にログインします。
ステップ 2

ユーザーメニューから [設定] をクリックして、[設定] ページにアクセスします。
ステップ 3

[テナント設定] エリアで、[デバイスの変更を自動承認するオプションの有効化] のトグルをクリックします。これにより、[デバイスとサービス] ページの [競合検出] メニューに [変更の自動承認] メニューオプションが表示されるようになります。

ステップ 4

[デバイスとサービス] ページを開き、アウトオブバンドの変更を自動承認するデバイスを選択します。
ステップ 5

[競合検出] メニューで、ドロップダウンメニューから [変更の自動承認] を選択します。

テナント上のすべてのデバイスの自動承認変更の無効化

手順

ステップ 1

管理者またはスーパー管理者権限を持つアカウントを使用して CDO にログインします。
ステップ 2

ユーザーメニューから [設定] をクリックして、[設定] ページにアクセスします。

ステップ 3

[テナント設定] 領域で、トグルを左にスライドして灰色の X を表示し、[デバイスの変更を自動承認するオプションを有効にする（Enable the option to auto-accept device changes）] を無効にします。これにより、競合検出メニューの [変更の自動承認] オプションが無効になり、テナント上のすべてのデバイスでこの機能が無効になります。

（注）   

[自動承認（Auto-Accept）] を無効にした場合、CDO で承認する前に、各デバイスの競合を確認する必要があります。これまで変更の自動承認が設定されていたデバイスも対象になります。

設定の競合の解決

このセクションでは、デバイスで発生する設定の競合の解決に関する情報を提供します。

「未同期」ステータスの解決

次の手順を使用して、「未同期」の設定ステータスのデバイスを解決します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

未同期と報告されたデバイスを選択します。
ステップ 5

右側の [未同期（Not synced）] パネルで、次のいずれかを選択します。

  • [プレビューして展開...（Preview and Deploy..）] ：設定の変更を CDO からデバイスにプッシュする場合は、今行った変更をプレビューして展開するか、待ってから一度に複数の変更を展開します。

  • [変更の破棄（Discard Changes）]：設定の変更を CDO からデバイスにプッシュしたくない場合、または CDO で開始した設定の変更を「元に戻す」場合。このオプションは、CDO に保存されている設定を、デバイスに保存されている実行中の設定で上書きします。

[競合検出（Conflict Detected）] ステータスの解決

CDO を使用すると、ライブデバイスごとに競合検出を有効化または無効化できます。競合検出 が有効になっていて、CDO を使用せずにデバイスの設定に変更が加えられた場合、デバイスの設定ステータスには [競合検出（Conflict Detected）] と表示されます。

[競合検出（Conflict Detected）] ステータスを解決するには、次の手順に従います。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス] タブをクリックして、デバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

競合を報告しているデバイスを選択し、右側の詳細ペインで [競合の確認（Review Conflict）] をクリックします。

ステップ 5

[デバイスの同期（Device Sync）] ページで、強調表示されている相違点を確認して、2 つの設定を比較します。

  • 「最後に認識されたデバイス設定（Last Known Device Configuration）」というラベルの付いたパネルは、CDO に保存されているデバイス設定です。

  • 「デバイスで検出（Found on Device）」というラベルの付いたパネルは、ASA の実行構成に保存されている設定です。

ステップ 6

次のいずれかを選択して、競合を解決します。

  • [デバイスの変更を承認（Accept Device changes）]：設定と、CDO に保存されている保留中の変更がデバイスの実行構成で上書きされます。

    （注）   

    CDO はコマンド ライン インターフェイス以外での Cisco IOS デバイスへの変更の展開をサポートしていないため、競合を解決する際の Cisco IOS デバイスの唯一の選択肢は [レビューなしで承認（Accept Without Review）] です。

  • [デバイスの変更を拒否（Reject Device Changes）]：デバイスに保存されている設定を CDO に保存されている設定で上書きします。

（注）   

拒否または承認されたすべての設定変更は、変更ログに記録されます。

デバイス変更のポーリングのスケジュール

競合検出 を有効にしている場合、または [設定] ページで [デバイスの変更を自動承認するオプションの有効化] オプションを有効にしている場合、CDO はデフォルトの間隔でデバイスをポーリングして、CDO の外部でデバイスの設定に変更が加えられたかどうかを判断します。CDO による変更のポーリング間隔は、デバイスごとにカスタマイズできます。ポーリング間隔の変更は、複数のデバイスに適用できます。

デバイスでこの間隔が選択されていない場合は、間隔は「テナントのデフォルト」に自動的に設定されます。


（注）  

[デバイスとサービス] ページでデバイスごとの間隔をカスタマイズすると、[全般設定（General Settings）] ページの [デフォルトの競合検出間隔（Default Conflict Detection Interval）]デフォルトの競合検出間隔で選択したポーリング間隔が上書きされます。

[デバイスとサービス（Conflict Detection）] ページで [競合検出] を有効にするか、[設定] ページで [デバイスの変更を自動承認するオプションの有効化] オプションを有効にしたら、次の手順に従い CDO によるデバイスのポーリング間隔をスケジュールします。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックして、デバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。
ステップ 4

競合検出を有効にする 1 台または複数のデバイスを選択します。

ステップ 5

[競合検出] と同じ領域で、[チェック間隔（Check every）] のドロップダウンメニューをクリックし、目的のポーリング間隔を選択します。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ