適応型セキュリティアプライアンス（ASA）とは何ですか。

Cisco ASA は、追加モジュールとの統合サービスに加え、高度なステートフル ファイアウォールおよび VPN コンセントレータ機能を 1 つのデバイスで提供します。ASA は、複数のセキュリティ コンテキスト（仮想ファイアウォールに類似）、クラスタリング（複数のファイアウォールを 1 つのファイアウォールに統合）、トランスペアレント（レイヤ 2）ファイアウォールまたはルーテッド（レイヤ 3）ファイアウォール オペレーション、高度なインスペクション エンジン、IPsec VPN、SSL VPN、クライアントレス SSL VPN サポートなど、多数の高度な機能を含みます。ASA は、仮想マシンまたはサポートされているハードウェアにインストールできます。

ASA モデルとは何ですか。

ASA モデルは、CDO にオンボードされた ASA デバイスの実行コンフィギュレーション ファイルのコピーです。ASA モデルを使用すると、デバイス自体をオンボードせずに ASA デバイスの設定を分析することができます。

Firepower Threat Defense（FTD）とは何ですか。

シスコの次世代ファイアウォール ソフトウェア イメージです。Sourcefire 次世代ファイアウォールサービスと ASA プラットフォームの長所を組み合わせることを目指しています。さまざまな Firepower ハードウェアデバイスまたは仮想マシンにインストールできます。これは、ASA FirePOWER モジュールとは異なります。詳細については、「ASA ソフトウェアおよびハードウェアサポート」を参照してください。

Firepower Device Manager（FDM）とは何ですか。

Firepower Device Manager は、FTD イメージとともに提供される Firepower Threat Defense 管理ソフトウェアです。FDM は、いっしょに提供される 1 つの FTD を管理するように設計されています。FDM は「ローカルデバイスマネージャ」と呼ばれる場合もあります。

Firepower とは何ですか。

Firepower は、次世代ファイアウォール ハードウェアおよびソフトウェアのグループを指す包括的な用語です。

デバイスが「同期済み（Synced）」であるのは、どのような場合ですか。

CDO の設定と、デバイスにローカルに保存されている設定が同じになっているときです。

デバイスが「非同期（Not Synced）」であるのは、どのような場合ですか。

CDO に保存されている設定が変更され、デバイスにローカルに保存されている設定と異なっているときです。

デバイスが「競合検出（Conflict Detected）」状態であるのは、どのような場合ですか。

デバイスの設定が CDO の外部（アウトオブバンド）で変更され、CDO に保存されている設定と異なっているときです。

アウトオブバンド変更とは何ですか。

CDO の外部でデバイスに変更が加えられることです。この変更は、CLI コマンドを使用するか、ASDM や FDM などのデバイス上のマネージャを使用して、デバイス上で直接行われたものです。アウトオブバンド変更が行われると、デバイスが「競合検出（Conflict Detected）」状態であると CDO が通知します。

変更をデバイスに展開するとは、どういう意味ですか。

デバイスを CDO にオンボードすると、CDO はその設定のコピーを保持します。CDO に変更を加えると、CDO は、デバイスの設定のコピーに変更を加えます。その変更をデバイスに「展開」すると、CDO は、加えた変更をデバイスの設定のコピーにコピーします。次のトピックを参照してください。

• すべてのデバイスの設定変更のプレビューと展開

• Defense Orchestrator から FTD への設定変更の展開

現在、どの ASA コマンドがサポートされていますか。

すべてのコマンドです。ASA CLI を使用するには、[デバイスアクション（Device Actions）] の [コマンドラインインターフェイス（Command Line Interface）] をクリックしてください。

デバイスの管理に関して規模の制約はありますか。

CDO のクラウドアーキテクチャにより、数千台のデバイスにまで規模を拡張できます。

CDO は、Cisco サービス統合型ルータおよびアグリゲーション サービス ルータを管理できますか。

CDO では ISR および ASR 用のモデルデバイスを作成して、その設定をインポートできます。次に、インポートされた設定に基づいてテンプレートを作成し、その設定を標準の設定としてエクスポートできます。この標準の設定を、ISR および ASR の新規または既存のデバイスに展開して、セキュリティの一貫性を確保できます。

CDO は SMA を管理できますか。

いいえ、現時点では、CDO は SMA を管理しません。

Secure Firewall Cloud Native（SFCN）とは何ですか。

CDO は安全ですか?

CDO は、次の機能を通じて顧客データのエンドツーエンドのセキュリティを実現します。

• 新規 CDO テナントへの初回ログイン

• API およびデータベース操作の認証呼び出し

• 転送中および保存中のデータ分離

• 役割分担

CDO では、ユーザーがクラウドポータルに接続するために多要素認証が必要です。多要素認証は、顧客の ID を保護するために必要な重要な機能です。

すべてのデータは、転送中も保存中も暗号化されます。顧客構内のデバイスと CDO からの通信は SSL で暗号化され、顧客テナントのデータボリュームはすべて暗号化されます。

CDO のマルチテナント アーキテクチャは、テナントデータを分離し、データベースとアプリケーション サーバー間のトラフィックを暗号化します。CDO へのアクセス権が認証されると、ユーザーにトークンが送られます。このトークンは、キー管理サービスからキーを取得するために使用され、このキーはデータベースへのトラフィックを暗号化するために使用されます。

CDO はお客様に価値を素早く提供すると同時に、お客様のクレデンシャルの安全性を確保します。これは、クラウドまたはお客様自身のネットワーク（ロードマップ）に「Secure Data Connector」を展開することによって実現されます。Secure Data Connector は、インバウンドおよびアウトバウンドトラフィックを制御して、クレデンシャルデータが顧客構内から離れることがないようにします。

CDO に初めてログインしたときに、「OTP を検証できませんでした」というエラーが表示されました。

デスクトップまたはモバイルデバイスの時計がワールドタイムサーバーと同期していることを確認します。時計が 1 分以上ずれていると、誤った OTP が生成される可能性があります。

デバイスは Cisco Defense Orchestrator クラウドプラットフォームに直接接続されるのですか？

はい。保護された接続は、デバイスと CDO プラットフォーム間のプロキシとして使用される CDO SDC を使用して実行されます。セキュリティを最優先に設計された CDO アーキテクチャにより、デバイスとの間を行き来するデータを完全に分離できます。

パブリック IP アドレスを持たないデバイスを接続するにはどうすればよいですか？

ネットワーク内に展開でき、外部ポートを開く必要がない CDO Secure Device Connector（SDC）を利用できます。SDC が展開されると、内部（インターネットでルーティングできない）IP アドレスを持つデバイスをオンボードできます。

SDC には追加のコストやライセンスが必要ですか？

番号

CDO で現在サポートされている仮想プライベートネットワークのタイプは？

ASA のお客様の場合、CDO は IPsec サイト間 VPN トンネル管理のみをサポートします。新着情報ページの更新情報を定期的にご確認ください。

トンネルステータスはどのように確認できますか？状態オプション

CDO はトンネル接続チェックを 1 時間ごとに自動的に実行しますが、トンネルを選択して接続チェックを要求することで、アドホックの VPN トンネル接続チェックを実行できます。結果の処理には数秒かかる場合があります。

デバイス名とそのピアの片方の IP アドレスに基づいてトンネルを検索できますか？

はい。名前とピア IP アドレスの両方で利用可能なフィルタ機能と検索機能を使用して、特定の VPN トンネルの詳細を検索してピボットします。

CDO から管理対象デバイスへのデバイス構成の完全な展開を実行しているときに、「変更をデバイスに展開できません」という警告が表示されます。解決するにはどうすればよいですか？

完全な構成（CDO でサポートされているコマンドを超えて実行された変更）をデバイスに展開するときにエラーが発生した場合は、[変更の確認（Check for changes）] をクリックして、デバイスから使用可能な最新の構成をプルします。これによって問題が解決されたら、CDO で引き続き変更を加えて展開することができます。問題が解決しない場合は、[サポートに連絡（Contact Support ）] ページから Cisco TAC に連絡してください。

帯域外の問題（CDO の外部で、デバイスに対して直接実行された変更）を解決しているときに、CDO に存在する構成をデバイスの構成と比較すると、CDO は、私が追加または変更していない追加のメタデータを提示します。どうしてですか。

CDO がその機能を拡張すると、デバイスの構成から追加情報が収集され、ポリシーとデバイス管理の分析を改善するために必要なすべてのデータを充実させて維持します。これらは管理対象デバイスで発生した変更ではなく、既存の情報です。[競合が検出されました（Conflict Detected）] の状態の解決は、デバイスからの変更を確認し、発生した変更を確認することで簡単に解決できます。

CDO が私の証明書を拒否するのはなぜですか？

「新しい証明書の解決」を参照してください。

2 つ以上のアクセスリスト（同じアクセスグループ内）で相互にシャドウイングしているケースを特定するにはどうすればよいですか。

Cisco Defense Orchestrator のネットワークポリシー管理（NPM）を使用することで、ルールセット内で上位のルールが別のルールをシャドウイングしている場合に、ユーザーを特定して警告できます。ユーザーは、すべてのネットワークポリシー間を移動するか、フィルタ処理を実行してすべてのシャドウ問題を特定できます。

（注）	CDO は、完全にシャドウされたルールのみをサポートします。

Secure Device Connector により IP アドレスが変更されましたが、これは CDO 内に反映されませんでした。変更を反映するにはどうすればよいですか。

 Stop Docker deamon>#service docker stop
Change IP address
Start Docker deamon >#service docker start
Restart container on the SDC virtual appliance >bash-4.2$ ./cdo/toolkit/toolkit.sh restartSDC <tenant-name>

CDO がデバイス（FTD または ASA）を管理するために使用する IP アドレスが変更された場合はどうなりますか。

デバイスの IP アドレスが何らかの理由で変更された場合、それが静的 IP アドレスの変更であるか、DHCP による IP アドレスの変更であるかにかかわらず、CDO がデバイスへの接続に使用する IP アドレスを変更して（CDO のデバイスの IP アドレスを変更するを参照）、デバイスを再接続できます（CDO へのデバイス一括再接続を参照）。デバイスを再接続するときに、デバイスの新しい IP アドレスの入力と、認証の資格情報の再入力を求められます。

ASA を CDO に接続するには、どのようなネットワークが必要ですか。

• ASDM イメージが存在し、ASA に対して有効になっている。
• 52.25.109.29、52.34.234.2、52.36.70.147 へのパブリック インターフェイス アクセス。
• ASA の HTTPS ポートは 443、または 1024 以上の値に設定する必要があります。たとえば、ポート 636 に設定することはできません。
• 管理下の ASA も AnyConnect VPN クライアント接続を受け入れるように設定されている場合は、ASA HTTPS ポートを 1024 以上の値に変更する必要があります。