マルチコンテキストモードについて

物理アプライアンスにインストールされている単一の ASA を、コンテキストと呼ばれる複数の論理デバイスに分割できます。マルチコンテキストモードで設定された ASA で使用される設定には、次の 3 種類があります。

• セキュリティコンテキスト

• 管理コンテキスト

• システム設定

セキュリティ コンテキストについて

各セキュリティコンテキストは、独自のセキュリティポリシー、インターフェイス、および管理者を持つ独立したデバイスとして機能します。複数のセキュリティコンテキストは、複数のスタンドアロンデバイスを持つことに似ています。セキュリティコンテキストは、プライベート クラウド インフラストラクチャにインストールされた仮想マシンイメージという意味での仮想 ASA ではありません。セキュリティコンテキストは、ハードウェアアプライアンスにインストールされた ASA で設定されます。各コンテキストは、そのアプライアンスの物理インターフェイスで設定されます。

マルチコンテキストモードの詳細については、ASA CLI および ASDM のコンフィギュレーション ガイド [英語] を参照してください。

CDO は、各セキュリティコンテキストを個別の ASA として導入準備し、個別の ASA であるかのように管理します。

管理コンテキストについて

管理コンテキストはセキュリティコンテキストと似ていますが、管理コンテキストにログインしたユーザーは、システム管理者権限を持つので、システムコンテキストや他のすべてのコンテキストにアクセスできる点が異なります。管理コンテキストは制限されていないため、通常のコンテキストとして使用できます。ただし、管理コンテキストにログインすると、すべてのコンテキストへの管理者特権が付与されるため、場合によっては、管理コンテキストへのアクセスを適切なユーザーに制限する必要があります。

CDO は、各管理コンテキストを個別の ASA として導入準備し、個別の ASA であるかのように管理します。CDO は、アプライアンスの ASA および ASDM ソフトウェアをアップグレードするときにも管理コンテキストを使用します。

システムの設定について

システム管理者は、各コンテキスト コンフィギュレーションの場所、割り当てられたインターフェイス、およびその他のコンテキスト操作パラメータをシステム コンフィギュレーションに設定することで、コンテキストを追加および管理します。このコンフィギュレーションは、シングル モードのコンフィギュレーション同様、スタートアップ コンフィギュレーションです。システム コンフィギュレーションは、ASA の基本設定を識別します。システム コンフィギュレーションには、ネットワーク インターフェイスやネットワーク設定は含まれません。その代わりに、ネットワーク リソースにアクセスする必要が生じたときに（サーバーからコンテキストをダウンロードするなど）、システムは管理コンテキストとして指定されているコンテキストのいずれかを使用します。

CDO はシステム設定を導入準備しません。

セキュリティおよび管理コンテキストの導入準備の前提条件

セキュリティおよび管理コンテキストを導入準備するための前提条件は、他の ASA を導入準備する場合と同じです。前提条件のリストについては、ASA デバイスの導入準備を参照してください。

マルチコンテキストモードで ASA をサポートする Cisco アプライアンスについては、実行している ASA ソフトウェアバージョンの CLI ブック 1：Cisco ASA シリーズ CLI コンフィギュレーション ガイド（一般的な操作）[英語] の「Multiple Context Mode」の章を参照してください。

シングル コンテキスト ファイアウォールとして実行されている ASA、およびマルチコンテキスト ファイアウォールの管理コンテキストでは、ASDM および CDO アクセスにさまざまなポート番号を使用できます。ただし、セキュリティコンテキストの場合、ASDM および CDO アクセスポートはポート 443 に固定されています。これは ASA の制限です。

ASA セキュリティおよび管理コンテキストの導入準備

セキュリティコンテキストまたは管理コンテキストを導入準備する方法は、他の ASA を導入準備する場合と同じです。導入準備の手順については、ASA デバイスの導入準備または一括での ASA の導入準備を参照してください。

セキュリティコンテキストのアップグレード

CDO は、マルチコンテキスト ASA の各セキュリティおよび管理コンテキストを個別の ASA として扱い、個別に導入準備します。ただし、マルチコンテキスト ASA のすべてのセキュリティおよび管理コンテキストは、アプライアンスにインストールされている同じバージョンの ASA ソフトウェアを実行します。

ASA のセキュリティコンテキストで使用される ASA および ASDM のバージョンをアップグレードするには、管理コンテキストを導入準備し、そのコンテキストでアップグレードを実行します。詳細については、単一 ASA 上の ASA と ASDM イメージのアップグレードまたはASA および ASDM の一括アップグレード ASA および ASDM の一括アップグレードを参照してください。

設定要件

• ASA で DNS を有効にする必要があります。

• CDO のイメージリポジトリからアップグレードイメージを使用する場合、ASA はインターネットにアクセスできる必要があります。

• ASA は CDO に正常に導入準備されている必要があります。

• ASA で CDO に同期している必要があります。

• ASA はオンラインになっている必要があります。

• カスタム URL アップグレードの場合：『Cisco ASA Upgrade Guide』を使用して、使用している ASA と互換性のある ASA および ASDM のバージョンを確認してください。

• カスタム URL アップグレードの場合：イメージリポジトリに ASA イメージおよび ASDM イメージをダウンロードしてください。

• カスタム URL アップグレードの場合：ASA がイメージリポジトリにアクセスできることを確認してください。

• カスタム URL アップグレードの場合：ASA および ASDM イメージ用に ASA に十分なディスク容量があることを確認してください。

• カスタム URL アップグレードの場合：URL シンタックスの詳細については、「カスタム URL のアップグレード」を参照してください。

1000 および 2000 シリーズの設定の前提条件

• 2000 シリーズ デバイスの FXOS モードは、アプライアンスモードに設定する必要があります。詳細については、「アプライアンスまたはプラットフォームモードへの Firepower 2100 の設定」を参照してください。

• デバイスは、ASA バージョン 9.13(1) 以降を実行している必要があります。

• ASA ソフトウェアをアップグレードする前に、FXOS バンドルをアップグレードする必要があります。詳細については、「Firepower 2100 ASA and FXOS Compatibility」を参照してください。

ASA を実行中の 4100 および 9300 シリーズ

CDO は、4100 または 9300 シリーズ デバイスのアップグレードをサポートしていません。これらのデバイスは CDO の外部でアップグレードする必要があります。

アップグレードのガイドライン

• CDO は、アクティブ/スタンバイ「フェールオーバー」ペアとして設定された ASA をアップグレードできます。CDO は、アクティブ/アクティブ「クラスタ化」ペアで設定された ASA をアップグレードできません。

ソフトウェアおよびハードウェア要件

アップグレード可能な ASA および ASDM の最小バージョン：

• ASA：ASA 9.1.2

• ASDM：最小バージョンなし

サポート対象のハードウェアバージョン

• 「ASA ソフトウェアおよびハードウェアサポート」を参照してください。

前提条件

• ASA および ASDM イメージのアップグレードに関する要件と重要な情報については、「ASA と ASDM のアップグレードの前提条件」を参照してください。

• プライマリ（アクティブ）およびセカンダリ（スタンバイ）の ASA は、アクティブ/スタンバイ フェールオーバー モードで設定されています。

• プライマリ ASA は、アクティブ/スタンバイペアのアクティブデバイスです。プライマリ ASA が非アクティブの場合、CDO はアップグレードを実行しません。

• プライマリとセカンダリの ASA ソフトウェアバージョンは同じです。

URL 構文の例

ASA copy コマンドの URL 構文の例を次に示します。これらの URL の例では、以下を想定しています。

• イメージリポジトリのアドレス：10.10.10.10

• イメージリポジトリにアクセスするためのユーザー名：admin

• パスワード：adminpass

• パス：images/asa

• イメージファイル名：asa991-smp-k8.bin

http[s]:// [[ user [ : password ] @ ] server [ : port ] / [ path / ] filename ]

https://admin:adminpass@10.10.10.10:8080/images/asa/asa991-smp-k8.bin 
HTTP[s] example without a username and password: 
https://10.10.10.10:8080/images/asa/asa991-smp-k8.bin 

ftp:// [[ user [ : password ] @ ] server [: port ] / [ path / ] filename [ ;type= xx ]] type は次のいずれかのキーワードになります。ap（ASCII パッシブモード）、an（ASCII通常モード）、ip（デフォルト：バイナリパッシブモード）、in（バイナリ通常モード）。

ftp://admin:adminpass@10.10.10.10:20/images/asa/asa991-smp-k8.bin 
FTP example without a username and password: 
ftp://10.10.10.10:20/images/asa/asa991-smp-k8.bin 

tftp:// [[ user [ : password ] @ ] server [ : port ] / [ path / ] filename [ ;int= interface_name ]]

tftp://admin:adminpass@10.10.10.10/images/asa/asa991-smp-k8.bin outside 
TFTP example without a username and password: 
tftp://10.10.10.10/images/asa/asa991-smp-k8.bin outside 

（注）	パス名にスペースを含めることはできません。パス名がスペースを含む場合は、copy tftp コマンドの代わりに tftp-server コマンドでパスを設定します。;int= interface オプションは、ルートルックアップをバイパスし、常に指定したインターフェイスを使用して TFTP サーバーに到達します。

smb:/[[ path / ] filename ]：UNIX サーバーのローカルファイルシステムを示します。

smb:/images/asa/asa991-smp-k8.bin 

scp:// [[ user [ : password ] @ ] server [ / path ] / filename [ ;int= interface_name ]]]：;int= interface オプションはルートルックアップをバイパスし、常に指定したインターフェイスを使用してセキュアコピー（SCP）サーバーに到達します。

 scp://admin:adminpass@10.10.10.10:8080/images/asa/asa991-smp-k8.bin outside 
SCP example without a username and password: 
scp://10.10.10.10:8080/images/asa/asa991-smp-k8.bin outside 

URL 構文を含む完全な copy コマンドについては、『Cisco ASA Series Command Reference, A - H Commands』ガイドを参照してください。

カスタム URL を使用した ASA および ASDM イメージのアップグレードの詳細については、「ASA と ASDM のアップグレードの前提条件」を参照してください。