[ワークセンター（Work Centers）] > [TrustSec] > [設定（Settings）] > [SXP設定（SXP Settings）] を選択し、[PxGridでSXPバインディングを公開（Publish SXP Bindings on PxGrid）] オプションを選択します。

このオプションにより、ISE は SXP を使用して SGT マッピングを送出します。FTD デバイスがリストから SXP トピックに送られるものすべてを「傍受」できるようにする場合は、このオプションを選択する必要があります。FTD デバイスがスタティック SGT から IP アドレスへのマッピング情報を取得できるようにする場合は、このオプションを選択する必要があります。単に、パケット内で定義された SGT タグ、またはユーザ セッションに割り当てられた SGT を使用するのみの場合は、必要ありません。

[ワークセンター（Work Centers）] > [TrustSec] > [SXP] > [SXPデバイス（SXP Devices）] を選択し、デバイスを追加します。

これは実際のデバイスである必要はありませんが、FTD デバイスの管理 IP アドレスを使用することもできます。この表では、ISE がスタティック SGT から IP アドレスのマッピングを公開するために、デバイスが少なくとも 1 台必要です。単に、パケット内で定義された SGT タグ、またはユーザ セッションに割り当てられた SGT を使用するのみの場合は、このステップは必要ありません。

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [セキュリティグループ（Security Groups）] を選択し、セキュリティ グループ タグが定義されていることを確認します。必要に応じて新しいものを作成します。

[ワークセンター（Work Centers）] > [TrustSec] > [コンポーネント（Components）] > [IP SGTスタティックマッピング（IP SGT Static Mapping）] を選択し、ホストとネットワーク IP アドレスをセキュリティ グループ タグにマッピングします。

単に、パケット内で定義された SGT タグ、またはユーザ セッションに割り当てられた SGT を使用するのみの場合は、このステップは必要ありません。

FDM で、Identity Services Engine の設定の説明に従って ISE アイデンティティ オブジェクトを作成します。

変更を展開します。

[詳細オプション（More options）] ボタン（）をクリックし、[APIエクスプローラ（API Explorer）] を選択します。

[IdentityServicesEngine] をクリックしてフォルダを開き、使用可能なメソッドを確認します。

FDM で作成した ISE アイデンティティ オブジェクトを取得します。

1. [GET /integration/identityservicesengine] メソッドをクリックします。

2. メソッドの説明の最後にある [試してみる（Try It Out!）] ボタンをクリックします。

   GET 呼び出しが送信され、ISE アイデンティティ オブジェクトが正常に取得されます。[応答本文（Response Body）] フィールドにオブジェクトが表示されます。[戻りコード（Return Code）]として 200 を探します。それ以外の結果が表示された場合は、応答本文にエラー メッセージがないか調べ、ISE アイデンティティ ソースを再度作成してみてください。

3. クリックしてドラッグし、Ctrl + C を使用して、オブジェクト本体をクリップボードにコピーします。“items [” ブラケットの後ろにある最初の波カッコ { から、終わりのブラケット ] の直前にある閉じカッコ } までをコピーします。“items” を含む行と、“items” の前の行、および最後のページング属性を残しておきます。オブジェクトの最初の属性は “version” で、最後の属性は “self” です。

   次に例を示します。次のステップに必要な属性を強調表示しています。

   
   {
     "version": "kbpeihi5cbarm",
     "name": "ISE",
     "description": null,
     "ftdCertificate": {
       "version": "epnkrwowkuhgk",
       "name": "ISE",
       "id": "565b03fd-8874-11e9-87fd-29bbc348546c",
       "type": "internalcertificate"
     },
     "pxGridCertificate": {
       "version": "pyzuuw7ja6coq",
       "name": "ISE_CA",
       "id": "5cf3b4b0-8874-11e9-87fd-6b0eb83b0b10",
       "type": "externalcacertificate"
     },
     "mntCertificate": {
       "version": "pyzuuw7ja6coq",
       "name": "ISE_CA",
       "id": "5cf3b4b0-8874-11e9-87fd-6b0eb83b0b10",
       "type": "externalcacertificate"
     },
     "iseNetworkFilters": [],
     "enabled": true,
     "subscribeToSessionDirectoryTopic": true,
     "subscribeToSxpTopic": false, 
     "secondaryIseServer": null,
     "primaryIseServer": "192.168.0.9",
     "id": "8252f773-8874-11e9-87fd-67c87c391f4d", 
     "type": "identityservicesengine",
     "links": {
       "self": "https://ftd.example.com/api/fdm/v3/integration/
   identityservicesengine/8252f773-8874-11e9-87fd-67c87c391f4d"
     }
   }
   

   （注）	ISE アイデンティティ ソースを作成すると、subscribeToSessionDirectoryTopic がデフォルトで true に設定されます。この属性によって、ユーザ セッションの SGT マッピングを取得するかどうかが決まります。スタティック SGT から IP アドレスへのマッピングのみを使用し、ユーザ セッションの SGT 情報を必要としない場合は、このオプションを false に設定できます。

PUT を使用してオブジェクトを更新し、ISE の SXP トピックに登録するオプションを有効にします。

1. [PUT /integration/identityservicesengine/{objId}] メソッドをクリックします。

2. オブジェクトの現在のバージョンを body パラメータの編集ボックスに貼り付け、リンク属性を（その中の self 属性を含めて）削除します。

3. SubscribeToSxpTopic 属性値を true に変更します。

   
   ...
     "subscribeToSessionDirectoryTopic": true,
     "subscribeToSxpTopic": true, 
     "secondaryIseServer": null,
   ...
   

   この属性を true に設定すると、SGT から IP へのアドレス マッピングがダウンロードされます。これを true に設定しないと、ISE で定義されているスタティック SGT から IP アドレスへのマッピングが取得されません。これらのマッピングに基づいてアクセス制御を適用できなくなります。

4. オブジェクトの id 属性の値をコピーします。4つの id 属性があり、それぞれが ftdCertificate、pxGridCertificate、mntCertificate、および ISE オブジェクトに対応していることに注意してください。オブジェクトの id は、"type": "identityservicesengine" 属性の直前に表示される最後の id です。

5. このオブジェクト id を、body パラメータのすぐ上にある objId パラメータに貼り付けます。開き/閉じカッコは含めないでください。

   
   

   

   
   

6. [試してみる（Try It Out!）] ボタンをクリックします。呼び出しが成功すると応答コード 200 が返され、変更が適用された新しいオブジェクトが応答本文に表示されます。

   次に例を示します。

   
   {
     "version": "ll7jndfp2qriq",
     "name": "ISE",
     "description": null,
     "ftdCertificate": {
       "version": "epnkrwowkuhgk",
       "name": "ISE",
       "id": "565b03fd-8874-11e9-87fd-29bbc348546c",
       "type": "internalcertificate"
     },
     "pxGridCertificate": {
       "version": "pyzuuw7ja6coq",
       "name": "ISE_CA",
       "id": "5cf3b4b0-8874-11e9-87fd-6b0eb83b0b10",
       "type": "externalcacertificate"
     },
     "mntCertificate": {
       "version": "pyzuuw7ja6coq",
       "name": "ISE_CA",
       "id": "5cf3b4b0-8874-11e9-87fd-6b0eb83b0b10",
       "type": "externalcacertificate"
     },
     "iseNetworkFilters": [],
     "enabled": true,
     "subscribeToSessionDirectoryTopic": true,
     "subscribeToSxpTopic": true,
     "secondaryIseServer": null,
     "primaryIseServer": "192.168.0.9",
     "id": "8252f773-8874-11e9-87fd-67c87c391f4d",
     "type": "identityservicesengine",
     "links": {
       "self": "https://ftd.example.com/api/fdm/v3/integration/
   identityservicesengine/8252f773-8874-11e9-87fd-67c87c391f4d"
     }
   }
   

FDM のウィンドウに戻り、変更を展開します。

[詳細オプション（More options）] ボタン（）をクリックし、[APIエクスプローラ（API Explorer）] を選択します。

ISE からダウンロードした SGT 情報を表示します。

1. [SecurityGroupTag] をクリックしてフォルダを開き、使用可能なメソッドを確認します。

2. [GET /object/securitygrouptags] メソッドをクリックします。

3. メソッドの説明の最後にある [試してみる（Try It Out!）] ボタンをクリックします。

   GET 呼び出しが送信され、ISE から取得した SGT 情報が正常に取得されます。この情報はタグのリストのみであり、IP アドレスのマッピングは含まれていません。応答本文に SGT 情報が表示され、応答コードは 200 になります。

   デフォルトでは、GET 呼び出しによる情報は最初の 10 個のオブジェクトに制限されることに注意してください。

   応答本文の一番下までスクロールし、ページング情報を確認します。次に例を示します。

   
   "paging": {
       "prev": [],
       "next": [
   "https://ftd.example.com/api/fdm/v3/object/
   securitygrouptags?limit=10&offset=10"
       ],
       "limit": 10,
       "offset": 0,
       "count": 119,
       "pages": 0
     }
   

   この例では最初の 10 個の SGT のみが表示されていますが、合計 119 個の SGT（count 属性）がダウンロードされています。SGT の合計数は、ISE サーバで設定されている個数によって異なります。

4. 完全なリストを取得するには、limit パラメータ値が表示されるまで上にスクロールして 120 を入力し、再度 [試してみる（Try It Out!）] をクリックします。

   これで、120 の制限、119 の個数、および「ページなし」がページング属性に表示されるようになりました。

   
   "paging": {
       "prev": [],
       "next": [],
       "limit": 120,
       "offset": 0,
       "count": 119,
       "pages": 0
     }
   

   応答本文をコピーしてテキスト ファイルに貼り付けることもできます。そうすることで、リストを簡単に確認でき、アクセス コントロール ポリシーの実装を必要とする SGT ダイナミック オブジェクトについて計画を立てられるようになります。

必要な SGT ダイナミック オブジェクトを作成します。

{
  "tag": 11,
  "name": "Production_Servers",
  "description": "Production Servers Security Group",
  "deleted": false,
  "id": "9423aa00-8c01-11e6-996c-525400b48521",
  "type": "securitygrouptag",
  "links": {
    "self": "https://ftd.example.com/api/fdm/v3/object/
securitygrouptags/9423aa00-8c01-11e6-996c-525400b48521"
  }
},
{
  "tag": 7,
  "name": "Production_Users",
  "description": "Production User Security Group",
  "deleted": false,
  "id": "9437a730-8c01-11e6-996c-525400b48521",
  "type": "securitygrouptag",
  "links": {
    "self": "https://ftd.example.com/api/fdm/v3/object/
securitygrouptags/9437a730-8c01-11e6-996c-525400b48521"
  }
},

1. [SGTDynamicObject] をクリックしてフォルダを開き、使用可能なメソッドを確認します。

2. [POST /object/sgtdynamicobjects] メソッドをクリックします。

3. [パラメータ（Parameters）] セクションで、右側の [値の例（Example Value）] 編集ボックスをクリックし、[データタイプ（Data Type）] 列で、[本文（body）] 編集ボックスに例をロードします。

4. バージョンと id の属性行を削除し、次のように他の属性を定義します。

   
   {
     "name": "Production_Users_DSGT",
     "tags": [
       {
         "tag": 7,
         "externalId": "9437a730-8c01-11e6-996c-525400b48521",
         "type": "securitygrouptagentry"
       }
     ],
     "type": "sgtdynamicobject"
   }
   

   その属性は次のとおりです。

   • name：タグ自体の名前ではなく、SGT ダイナミック オブジェクトの名前。たとえば、Production_Users_DSGT とします。

   • tags： ISE からダウンロードしたタグを 1 つ以上指定できます。ダイナミック オブジェクトで複数の SGT を参照するには、{カッコ} 内の属性をコピーして貼り付け、各属性セットをカンマで区切ります。セットの tags [カッコ] 内はそのままにします。各タグには次の属性が必要です。

     • tag：ISE で定義され、ダウンロードされた SGT のリストの tag 属性に表示される SGT タグ番号。この例では、7 です。

     • externalId：ダウンロードされた SGT の id 値。ダウンロードされたリストには、FTD ではなく ISE で設定された項目が反映されるため、これは「外部」になります。この例では、9437a730-8c01-11e6-996c-525400b48521 です。

     • type：これは常に securitygrouptagentry です。

   次の図は、ダウンロードされたタグの属性と SGT ダイナミック オブジェクトの属性との関係を示しています。

   
   

   

   
   

5. [試してみる（Try It Out!）] をクリックします。

   POST が正常に完了すると、応答コード 200 と応答本文が新しいオブジェクトとともに生成されます。次に例を示します。

   
   {
     "version": "odswykttumaeo",
     "name": "Production_Users_DSGT",
     "tags": [
       {
         "tag": 7,
         "externalId": "9437a730-8c01-11e6-996c-525400b48521",
         "type": "securitygrouptagentry"
       }
     ],
     "id": "ba09cd90-8959-11e9-87fd-a7644255b0cd",
     "type": "sgtdynamicobject",
     "links": {
       "self": "https://ftd.example.com/api/fdm/v3/object/
   sgtdynamicobjects/ba09cd90-8959-11e9-87fd-a7644255b0cd"
     }
   }
   

6. 手順を繰り返して、実稼働サーバ用の SGT ダイナミック オブジェクトを作成します。POST 呼び出しの本文を、新しいオブジェクトに必要な本文に置き換え、[試してみる（Try It Out!）] をクリックします。

   
   {
     "name": "Production_Servers_DSGT",
     "tags": [
       {
         "tag": 11,
         "externalId": "9423aa00-8c01-11e6-996c-525400b48521",
         "type": "securitygrouptagentry"
       }
     ],
     "type": "sgtdynamicobject"
   }
   

   応答本文は次のようになります。

   
   {
     "version": "hbfqoryvhz5xj",
     "name": "Production_Servers_DSGT",
     "tags": [
       {
         "tag": 11,
         "externalId": "9423aa00-8c01-11e6-996c-525400b48521",
         "type": "securitygrouptagentry"
       }
     ],
     "id": "eeede223-895a-11e9-87fd-31336e1d6199",
     "type": "sgtdynamicobject",
     "links": {
       "self": "https://ftd.example.com/api/fdm/v3/object/
   sgtdynamicobjects/eeede223-895a-11e9-87fd-31336e1d6199"
     }
   }
   

7. （オプション）GET /object/sgtdynamicobjects を使用して、両方の SGT ダイナミック オブジェクトが作成されたことを確認できます。

[ポリシー（Policies）] > [アクセス制御（Access Control）] を選択します。

[+] をクリックして新しいルールを追加し、次のフィールドを設定します。

[詳細オプション（More options）] ボタン（）をクリックし、[APIエクスプローラ（API Explorer）] を選択します。

新しいルールを編集して SGT 基準を追加します。

1. [AccessPolicy] をクリックしてフォルダを開き、使用可能なメソッドを確認します。

2. [GET /policy/accesspolicies/{parentId}/accessrules] をクリックし、次のパラメータを設定します。

   • parentId：「default」と入力します。アクセス コントロール ポリシーは 1 つしか設定できないため、ポリシー オブジェクトの実際の UUID の代わりに default を使用できます。

   • offset、limit：アクセス ルールのリストが大きい場合、ルール オブジェクトが見つけにくくなることがあります。選択肢の 1 つとして、ルールの順序番号より 1 小さい値をオフセットとして入力し、limit には 1 を指定します。たとえば、ルールの順序が 2 の場合はオフセットを 1（2-1=1）にします。これで、1 つのルールがポリシー内のその順序で返されます（オフセット変数は 1 からではなく 0 から始まるため、ルールの順序から 1 を差し引く必要があります）。

3. [試してみる（Try It Out!）] をクリックします。

   応答本文で新しいルールのオブジェクトを検索します。たとえば、offset/limit の方法を使用した応答本文は次のようになります。この例で、ページング属性のカウントには、アクセス コントロール ポリシーに合計 2 つのルールがあることが示されていますが、ここでは 1 つのルールが表示されています。

   
   {
     "items": [
       {
         "version": "bfd2jm5cmv3h2",
         "name": "ProductionServers",
         "ruleId": 268435458,
         "sourceZones": [],
         "destinationZones": [],
         "sourceNetworks": [],
         "destinationNetworks": [],
         "sourcePorts": [],
         "destinationPorts": [],
         "ruleAction": "PERMIT",
         "eventLogAction": "LOG_BOTH",
         "identitySources": [],
         "users": [],
         "embeddedAppFilter": null,
         "urlFilter": {
           "urlObjects": [],
           "urlCategories": [],
           "type": "embeddedurlfilter"
         },
         "intrusionPolicy": null,
         "filePolicy": null,
         "logFiles": false,
         "syslogServer": null,
         "destinationDynamicObjects": [],
         "sourceDynamicObjects": [],
         "id": "8d5e1db6-895d-11e9-87fd-894b42e34ebf",
         "type": "accessrule",
         "links": {
           "self": "https://ftd.example.com/api/fdm/v3/policy/
   accesspolicies/default/accessrules/8d5e1db6-895d-11e9-87fd-894b42e34ebf"
         }
       }
     ],
     "paging": {
       "prev": [],
       "next": [],
       "limit": 1,
       "offset": 1,
       "count": 2,
       "pages": 0
     }
   }
   

4. ルール オブジェクトをテキスト エディタ（PUT /policy/accesspolicies/{parentId}/accessrules/{objId} メソッドの body パラメータ）にコピーして貼り付け、SGT ダイナミック オブジェクトを送信元および宛先の基準として追加します。

   フィールドは destinationDynamicObjects（宛先基準の場合）および sourceDynamicObjects（送信元基準の場合）です。各属性はカンマ区切りのオブジェクトのリストを受け取ることができるため、送信元または宛先の基準に複数の SGT ダイナミック オブジェクトを含めることができます。

   リスト内の各オブジェクトには次の属性を持たせる必要があります。属性は GET /object/sgtdynamicobjects の応答本文から取得できます。これらの属性は、オブジェクトの識別はしますが、オブジェクトの内容は定義しません。

   
   {
     "version": "string",
     "name": "string",
     "id": "string",
     "type": "sgtdynamicobject"
   }
   

   ダウンロードされたタグに対する SGT 動的オブジェクトの作成で作成したオブジェクトを使用して、Destinationdynamicobjects に Production_Servers_DSGT を追加し、Sourcedestinationobjects に Production_Users_DSGT を追加すると、次のようになります（変更部分を強調表示しています）。

   
   {
    "version": "bfd2jm5cmv3h2",
    "name": "ProductionServers",
    "ruleId": 268435458,
    "sourceZones": [],
    "destinationZones": [],
    "sourceNetworks": [],
    "destinationNetworks": [],
    "sourcePorts": [],
    "destinationPorts": [],
    "ruleAction": "PERMIT",
    "eventLogAction": "LOG_BOTH",
    "identitySources": [],
    "users": [],
    "embeddedAppFilter": null,
    "urlFilter": {
     "urlObjects": [],
     "urlCategories": [],
     "type": "embeddedurlfilter"
    },
    "intrusionPolicy": null,
    "filePolicy": null,
    "logFiles": false,
    "syslogServer": null,
    "destinationDynamicObjects": [
     {
     "version": "hbfqoryvhz5xj",
     "name": "Production_Servers_DSGT",
     "id": "eeede223-895a-11e9-87fd-31336e1d6199",
     "type": "sgtdynamicobject"
     }
    ],
    "sourceDynamicObjects": [
     { 
     "version": "odswykttumaeo", 
     "name": "Production_Users_DSGT", 
     "id": "ba09cd90-8959-11e9-87fd-a7644255b0cd", 
     "type": "sgtdynamicobject" 
     }
    ], 
    "id": "8d5e1db6-895d-11e9-87fd-894b42e34ebf",
    "type": "accessrule" 
   }
   

5. [PUT /policy/accesspolicies/{parentId}/accessrules/{objId}] をクリックしてメソッドを開きます。

6. 次の属性を設定します。

   • parentId：「default」と入力します。

   • objectID：新しいアクセス ルール オブジェクトからの id 値を入力します。前述の例では、8d5e1db6-895d-11e9-87fd-894b42e34ebf です。これは、“type”: “accessrule” 属性の直前の id 属性です。

   • body：更新された destinationDynamicObject および sourceDynamicObject プロパティを使用して本文に貼り付けます。

7. [試してみる（Try It Out!）] をクリックします。

   422（処理不可能なエンティティ（Unprocessable Entity））エラーは、スペルミスを示します。応答本文でエラー メッセージを確認します。たとえば、開き/閉じ波カッコ、ブラケット、丸カッコが一致していない、本来あってはならない場所にカンマがある、などのミスを確認します。実際は、該当する問題が不要なカンマであるときに、必要なカッコに関するメッセージが表示されることがあります。これは、カンマの存在によりパーサーがカッコの存在を想定するためです。

   正常な結果として返されるのは 200 応答コードです。正常な応答本文は次のようになります。

   
   {
     "version": "kugnhxghj2ubx",
     "name": "ProductionServers",
     "ruleId": 268435458,
     "sourceZones": [],
     "destinationZones": [],
     "sourceNetworks": [],
     "destinationNetworks": [],
     "sourcePorts": [],
     "destinationPorts": [],
     "ruleAction": "PERMIT",
     "eventLogAction": "LOG_BOTH",
     "identitySources": [],
     "users": [],
     "embeddedAppFilter": null,
     "urlFilter": {
       "urlObjects": [],
       "urlCategories": [],
       "type": "embeddedurlfilter"
     },
     "intrusionPolicy": null,
     "filePolicy": null,
     "logFiles": false,
     "syslogServer": null,
     "destinationDynamicObjects": [
       {
         "version": "hbfqoryvhz5xj",
         "name": "Production_Servers_DSGT",
         "id": "eeede223-895a-11e9-87fd-31336e1d6199",
         "type": "sgtdynamicobject"
       }
     ],
     "sourceDynamicObjects": [
       {
         "version": "odswykttumaeo",
         "name": "Production_Users_DSGT",
         "id": "ba09cd90-8959-11e9-87fd-a7644255b0cd",
         "type": "sgtdynamicobject"
       }
     ],
     "id": "8d5e1db6-895d-11e9-87fd-894b42e34ebf",
     "type": "accessrule",
     "links": {
       "self": "https://ftd.example.com/api/fdm/v3/policy/
   accesspolicies/default/accessrules/8d5e1db6-895d-11e9-87fd-894b42e34ebf"
     }
   }
   

FDM のウィンドウに戻り、変更を展開します。

[保留中の変更（Pending Changes）] ウィンドウに、更新されたアクセス ルールと SGT の変更が表示されます。SGT ダイナミック オブジェクトをまだ展開していない場合は、それらも表示されます。

変更履歴には FTD API を使用して行った変更が表示されますが、FDM でルールを編集するときに SGT 情報を表示することはできません。