デフォルトでは、Cisco ISE によって内部管理者認証が提供されます。外部認証を設定するには、外部 ID ストアで定義している 外部管理者アカウントのパスワードポリシーを作成する必要があります。次に、 結果的に外部管理者 RBAC ポリシーの一部となるこのポリシーを外部管理者グループに適用できます。

ネットワークでは、外部 ID ストア経由の認証を提供するほかに、Common Access Card（CAC）認証デバイスを使用する必要もある場合があります。

外部認証を設定するには、次の手順を実行する必要があります。

• 外部 ID ストアを使用してパスワード ベースの認証を設定します。

• 外部管理者グループを作成します。

• 外部管理者グループ用のメニュー アクセスとデータ アクセスの権限を設定します。

• 外部管理者認証の RBAC ポリシーを作成します。

ユーザ ID は、ユーザに関する情報を保持するコンテナに似ており、ユーザのネットワーク アクセス クレデンシャルを形成します。各ユーザの ID は データにより定義され、ユーザ名、電子メールアドレス、パスワード、アカウントの説明、関連付けられている管理者グループ、 ユーザグループ、ロールなどが含まれます。

ユーザグループは、特定の一連の Cisco ISE サービスおよび機能へのアクセスを許可する共通の権限セットを 共有する個々のユーザの集合です。

ユーザのグループ ID は、 同じグループに属している特定のユーザグループを識別および説明する要素で 構成されています。グループ名は、このグループのメンバーが 持っている機能ロールの説明です。グループは、そのグループに属している ユーザのリストです。

ユーザロールは、ユーザが Cisco ISE ネットワークで実行できるタスクやアクセスできるサービスを決定する 権限セットです。ユーザ ロールは、ユーザ グループに関連付けられています（ネットワーク アクセス ユーザなど）。

Cisco ISE では、ネットワーク アクセス ユーザと管理者の両方に対して、ユーザ属性に基づいてネットワーク アクセスを制限することができます。 Cisco ISE では、一連の事前定義されたユーザ属性が用意されており、カスタム属性を作成することもできます。両方のタイプの属性が 認証ポリシーを定義する条件で使用できます。パスワードが指定された基準を満たすように、 ユーザアカウントのパスワードポリシーも定義できます。

すべての外部 ID ストアで、ネットワーク アクセス ユーザが自分のパスワードを変更できるわけではありません。詳細については、各 ID ソースのセクション を参照してください。

ネットワーク使用パスワードルールは、 [管理（Administration）] > [IDの管理（Identity Management）] > [設定（Settings）] > [ユーザ認証設定（User Authentication Settings）] で設定できます。

[パスワードポリシー（Password Policy）] タブの一部のフィールドに関する追加情報を次に示します。

• 必須の文字：

  大文字または小文字が必要なユーザパスワードポリシーを設定するときに、ユーザの言語でこれらの文字がサポートされていない場合、 ユーザはパスワードを設定できません。UTF-8 文字をサポートするには、次のチェックボックス オプションをオフにする必要があります。

  • [小文字の英文字（Lowercase alphabetic characters）]

  • 大文字の英文字（Uppercase alphabetic characters）

• パスワード変更差分：

  現在のパスワードを新しいパスワードに変更するときに変更する必要がある最小文字数を指定します。Cisco ISE では、文字の位置を変更することは変更とみなされません。

  たとえば、パスワードの差分が 3 で、現在のパスワードが「?Aa1234?」の場合、「?Aa1567?」（「5」、「6」、「7」は 3 つの 新しい文字です）は有効な新しいパスワードです。「?Aa1562?」は、「?」、「2」、および「?」文字が現在のパスワードに含まれているため 無効です。文字位置が変更された場合でも、同じ文字が現在のパスワードに含まれているため、「Aa1234??」は無効になります。

  また、パスワード変更差分では、以前の X パスワードが考慮されます。この X は、[パスワードは前のバージョンと異なっている必要があります（Password must be different from the previous versions）] の値です。パスワードの差分が 3 で、パスワードの履歴が 2 である場合は、過去 2 つのパスワードの一部ではない 4 文字を 変更する必要があります。

• [辞書の単語（Dictionary words）]：辞書の単語、辞書の単語の逆順での使用、単語内の文字を別の文字で置き換えた単語の使用を制限する場合は、 このチェックボックスをオンにします。

  「s」を「$」、「a」を「@」、「o」を「0」、「l」を「1」、「i」を「!」、「e」を「3」に置き換えることはできません。たとえば、Pa$$w0rd のような文字列は使用できません。

  • [デフォルトの辞書（Default Dictionary）]：Cisco ISE でデフォルトの Linux 辞書を使用するには、このオプションを選択します。デフォルトの辞書には約 480,000 件の英単語が含まれています。

  • [カスタム辞書（Custom Dictionary]：カスタマイズした辞書を使用するには、このオプションを選択します。[ファイルの選択（Choose File）] をクリックし、カスタム辞書ファイルを選択します。このテキストファイルでは、単語が改行文字で区切られ、拡張子は .dic、サイズは 20 MB 以下である必要があります。

エンドユーザは、定期的にパスワードを変更し、ユーザアカウントが一時的に無効にならないようにする必要があります。 [パスワードの有効期間（Password Lifetime）] セクションを使用して、パスワードのリセット間隔と通知を更新できます。パスワードの有効期間を設定するには、[パスワードが変更されていなかった場合は __ 後にユーザアカウントを無効にする（Disable user account after __ days if password was not changed）] チェックボックスをオンにし、入力ボックスに日数を入力します。パスワードのリセットに関する通知を有効にするには、[パスワードの有効期限が切れる __ 日前に通知を表示する（Display reminder __ days prior to password expiration）] チェックボックスをオンにして、パスワードの有効期限が切れる前にユーザに通知を送信する日数を入力値に入力します。

[アカウント無効化ポリシー（Account Disable Policy）] タブでは、既存のユーザアカウントを無効にするタイミングに関するルールを設定できます。詳細については、「グローバルにユーザアカウントを無効にする」を参照してください。

Cisco ISE は、 Cisco Secure ACS と同等の機能を実現するために、ユーザおよび管理者のアカウント無効化ポリシーを 導入しています。ユーザまたは管理者の認証または問い合わせ時に、 Cisco ISE は [管理（Administration）] > [ID の管理（Identity Management）] > [設定（Settings）] >[ユーザ認証設定（User Authentication Settings）] ページでグローバルアカウント無効化ポリシー設定を確認し、 その設定に基づいて認証または結果を返します。

Cisco ISE は、 次の 3 つのポリシーを確認します。

• 指定した日付（yyyy-mm-dd）を超えたら ユーザアカウントを無効にする（Disable user accounts that exceed a specified date (yyyy-mm-dd)）：設定された日付にユーザアカウントを 無効にします。ただ し、[管理（Administration）] > [ID の管理（Identity Management）] > [ID（Identities）] > [ユーザ（Users）] > [アカウント無効化ポリシー（Account Disable Policy）] で設定された個々のネットワークアクセスユーザのアカウント無効化ポリシー設定はグローバル設定よりも優先されます。

• アカウント 作成時または最後の有効化から n 日後にユーザアカウントを無効にする（Disable user account after n days of account creation or last enable）：アカウントの作成またはアカウントが 有効になった最後の日から指定した日数後にユーザアカウントを無効にします。 [管理（Administration）] > [ID の管理（Identity Management）] > [ID（Identities）] > [ユーザ（Users）] > [ステータス（Status）] でユーザのステータスを確認できます。

• 非アクティブに なってから n 日後にアカウントを無効にする（Disable accounts after n days of inactivity）：設定した連続日数、認証されなかった管理者 およびユーザアカウントを無効化します。

Cisco Secure ACS から Cisco ISE に移行する際、Cisco Secure ACS ではネットワークアクセスユーザ用に指定したアカウント無効化ポリシーの 設定は Cisco ISE に移行されます。

Cisco ISE では、外部 ID ストア パスワードに対して内部ユーザを認証できます。Cisco ISE では、[管理（Administration）] > [ID の管理（Identity Management）] > [ID（Identities）] > [ユーザ（Users）] ページから、内部ユーザのパスワード ID ストアを選択するオプションが提供されます。管理者は、Cisco ISE の外部 ID ソースのリストから ID ストアを選択することができ、[ユーザ（Users）] ページでユーザを追加するか、 または編集します。内部ユーザのデフォルトのパスワード ID ストアは内部 ID ストアです。Cisco Secure ACS ユーザは、Cisco Secure ACS から Cisco ISE への移行中および移行後、同じパスワード ID ストアを維持します。

Cisco ISE は パスワードタイプに対し次の外部 ID ストアをサポートします。

• Active Directory

• LDAP

• ODBC

• RADIUS トークン サーバ

• RSA SecurID サーバ

Active Directory は、 一部のプロトコルを使用したユーザとマシンの認証、Active Directory ユーザパスワードの変更などの機能をサポートしています。次の表に、Active Directory でサポートされる 認証プロトコルおよびそれぞれの機能 を示します。

Cisco ISE は、 許可ポリシールールで使用するために Active Directory からユーザまたはマシンの属性およびグループを 取得します。これらの属性は Cisco ISE ポリシーで使用され、 ユーザまたはマシンの承認レベルを決定します。Cisco ISE は、 認証が成功した後にユーザおよびマシンの Active Directory 属性を取得します。 認証とは別に、許可のために属性を取得することも できます。

Cisco ISE は、外部 ID ストア内の グループを使用してユーザまたはコンピュータに権限を割り当てることがあります（たとえば、 ユーザをスポンサーグループにマップします）。Active Directory の グループメンバーシップの次の制限事項に注意してください。

• ポリシールールの 条件は、次のいずれかを参照します。ユーザまたはコンピュータのプライマリグループ、 ユーザまたはコンピュータが直接メンバーであるグループ、または間接的 （ネストされた）グループ。

• ユーザまたはコンピュータの アカウントドメイン外のドメインローカルグループはサポートされません。

注	Active Directory 属性の値 msRadiusFramedIPAddress を IP アドレスとして使用できます。この IP アドレスは、許可プロファイルの ネットワークアクセスサーバ（NAS）に送信できます。msRADIUSFramedIPAddress 属性 は IPv4 アドレスだけをサポートします。ユーザ認証 では、ユーザに対し取得された msRadiusFramedIPAddress 属性値が IP アドレス 形式に変換されます。

属性およびグループは、 参加ポイントごとに取得され、管理されます。これらは許可ポリシーで使用されます （まず参加ポイントを選択し、次に属性を選択します）。許可のスコープごとに 属性またはグループを定義することはできませんが、 認証ポリシーでスコープを使用できます。認証ポリシーでスコープを使用する場合、 ユーザは 1 つの参加ポイントで認証されますが、ユーザの アカウントドメインへの信頼できるパスがある別の参加ポイント経由で属性またはグループを 取得することができます。認証ドメインを使用して、1 つの範囲内にある 2 つの参加ポイントで 認証ドメインが重複しないようにすることができます。

注	マルチ参加ポイント設定の許可プロセス時に、Cisco ISE は、特定のユーザが見つかるまで、 認証ポリシーに記載されている順序で参加ポイントを検索します。ユーザが見つかると、 参加ポイント内のユーザに割り当てられた属性とグループが、認証ポリシーを評価するために使用されます。

注	使用可能な Active Directory グループの最大数については、 Microsoft の制限を参照してください。 http://technet.microsoft.com/en-us/library/active-directory-maximum-limits-scalability(v=WS.10).aspx

ルール に 、/、!、@、\、#、$、%、^、&、*、(、)、_、+、または ~ のような特殊文字を使用した Active Directory グループ名が含まれる場合、許可ポリシーは失敗します。

Cisco ISE では、 EAP-TLS プロトコルを使用するユーザまたはマシン認証のための証明書取得がサポート されています。Active Directory 上のユーザまたはマシンレコードには、バイナリデータ型の証明書 属性が含まれています。この証明書属性に 1 つ以上の証明書を 含めることができます。Cisco ISE ではこの属性は userCertificate として識別され、この属性に対して他の名前を設定することはできません。Cisco ISE はこの証明書を取得し、バイナリ比較の実行に使用します。

証明書 認証プロファイルは、証明書の取得に使用する Active Directory のユーザを検索するために ユーザ名を取得するフィールド（たとえば、サブジェクト代替名（SAN）または一般名） を決定します。Cisco ISE は、 証明書を取得した後、この証明書とクライアント証明書との バイナリ比較を実行します。複数の証明書が受信された場合、 Cisco ISE は、いずれかが一致するかどうかをチェックするために証明書を比較します。 一致が見つかった場合、ユーザまたはマシン認証に合格します。

ユーザの認証または 問い合わせ時に、Cisco ISE は次のことをチェックします。

• MS-CHAP および PAP 認証では、ユーザが無効かどうか、ロックアウトされているかどうか、期限切れかどうか、 またはログイン時間外かどうかを確認します。これらの条件のいくつかが true の場合、認証が失敗します。

• EAP-TLS 認証 では、ユーザが無効かどうか、ロックアウトされているかどうかを確認します。 これらの条件のいくつかが一致する場合、認証が失敗します。

Cisco ISE では、マルチドメインフォレスト の Active Directory がサポートされます。各フォレスト内で、Cisco ISE は単一のドメイン に接続しますが、Cisco ISE が接続されているドメインと他のドメイン間に 信頼関係が確立されている場合は、Active Directory フォレストの 他のドメインからリソースにアクセスできます。

Active Directory サービス をサポートする Windows サーバ オペレーティング システムの リストについては、『Release Notes for Cisco Identity Services Engine』を参照してください。

注	Cisco ISE は、 ネットワーク アドレス トランスレータの背後にあり、ネットワークアドレス変換（NAT）アドレスを 持つ Microsoft Active Directory サーバをサポートしません。

Cisco ISE では、Active Directory ドメインへの複数参加がサポートされます。 Cisco ISE では、最大 50 の Active Directory 参加がサポートされます。 Cisco ISE は、双方向信頼がなく、相互の信頼がゼロである複数の Active Directory ドメインと接続できます。 Active Directory の複数ドメイン参加は、各参加の独自のグループ、属性、および許可ポリシーを持つ個別の Active Directory ドメインのセットで構成されます。

同じフォレストに複数回参加できます。つまり、必要に応じて、同じフォレスト内の複数のドメインに参加できます。

Cisco ISE は、一方向の信頼があるドメインに参加できます。 このオプションにより、一方向の信頼によって生じる権限の問題を回避できます。 いずれかの信頼ドメインに参加できるため、両方のドメインを確認できます。

• 参加ポイント：Cisco ISE では、Active Directory ドメインへの個別参加は、参加ポイントと呼ばれます。 Active Directory の参加ポイントは、Cisco ISE の ID ストアであり、認証ポリシーで使用できます。 参加ポイントには属性およびグループの関連ディクショナリがあり、許可条件で使用できます。

• スコープ：グループ化された Active Directory の参加ポイントのサブセットは、スコープと呼ばれます。 単一参加ポイントの代わりに、認証結果として認証ポリシーでスコープを使用できます。 スコープは、複数の参加ポイントに対するユーザの認証に使用されます。 各参加ポイントに複数のルールを使用する代わりにスコープを使用すると、1 つのルールで同じポリシーを作成して、Cisco ISE が要求を処理する時間を削減でき、パフォーマンスの向上に役立ちます。 参加ポイントは、複数のスコープに存在できます。 スコープは、ID ソース順序に含めることができます。 スコープには関連するディクショナリがないため、認証ポリシー条件にスコープを使用することはできません。

  Cisco ISE の新規インストールを実行する場合、デフォルトではスコープは存在しません。 これは、ノースコープモードと呼ばれます。 スコープを追加すると、Cisco ISE はマルチスコープ モードになります。必要に応じて、ノースコープモードに戻すことができます。 すべての参加ポイントは、Active Directory フォルダに移動されます。

  • Initial_Scope は、ノースコープモードで追加された Active Directory 参加ポイントの保存に使用される暗黙のスコープです。 マルチスコープモードが有効な場合、すべての Active Directory 参加ポイントが自動作成された Initial_Scope に移動します。 Initial_Scope の名前を変更できます。

  • All_AD_Instances は組み込み型の疑似スコープで、Active Directory 設定には表示されません。 これは、認証結果としてポリシーおよび ID 順序にのみ示されます。 Cisco ISE で設定されたすべての Active Directory 参加ポイントを選択する場合は、このスコープを選択できます。

ID 書き換えは、外部 Active Directory システムに渡される前に ID を操作するよう Cisco ISE に指示する拡張機能です。 ID を必要な形式（任意のドメインプレフィクスやサフィックスまたはその他の追加マークアップを含むまたは除く）に変更するためのルールを作成できます。

ID 書き換えルールは、サブジェクト検索、認証クエリ、許可クエリなどの操作のために、クライアントから受信したユーザ名またはホスト名に対して Active Directory に渡される前に適用されます。 Cisco ISE は条件のトークンを照合し、最初の 1 つが一致するとポリシーの処理を停止して、結果に応じて ID 文字列を書き換えます。

書き換え時、角カッコ [ ] で囲まれている（[IDENTITY] など）内容はすべて、評価側では評価されず、代わりに文字列内のその場所に一致する文字列が付加される変数です。 角カッコで囲まれていない内容はすべて、ルールの評価側および書き換え側の両方で固定文字列として評価されます。

次に、ユーザが入力した ID が ACME\jdoe である場合の ID 書き換えの例を示します。

• ID が ACME\[IDENTITY] と一致する場合、[IDENTITY] に書き換えます。

  結果は jdoe になります。 このルールによって、Cisco ISE は、ACME プレフィクスを含むすべてのユーザ名を削除します。

• ID が ACME\[IDENTITY] と一致する場合、[IDENTITY]@ACME.com に書き換えます。

  結果は jdoe@ACME.com になります。 このルールによって、Cisco ISE は、サフィックス表記法のプレフィクスまたは NetBIOS 形式から UPN 形式に形式を変更します。

• ID が ACME\[IDENTITY] と一致する場合、ACME2\[IDENTITY] に書き換えます。

  結果は ACME2\jdoe になります。 このルールによって、Cisco ISE は、特定のプレフィクスを含むすべてのユーザ名を代替プレフィクスに変更します。

• ID が [ACME]\jdoe.USA と一致する場合、[IDENTITY]@[ACME].com に書き換えます。

  結果は jdoe\ACME.com になります。 このルールによって、Cisco ISE は、ドットの後のレルム（この場合は国）を削除し、適切なドメインと置き換えます。

• ID が E=[IDENTITY] と一致する場合、[IDENTITY] に書き換えます。

  結果は jdoe になります。 これは、ID が証明書から取得され、フィールドは電子メール アドレスで、Active Directory は件名で検索するように設定されている場合に作成できるルールの例です。 このルールは、「E=」を削除するように Cisco ISE に指示します。

• ID が E=[EMAIL],[DN] と一致する場合、[DN] に書き換えます。

  このルールは、証明書の件名を E=jdoe@acme.com、CN=jdoe、DC=acme、DC=com から純粋な DN、CN=jdoe、DC=acme、DC=com に変換します。 これは、ID が証明書の件名から取得され、Active Directory は DN でユーザを検索するように設定されている場合に作成できるルールの例です。 このルールによって、Cisco ISE は、電子メールのプレフィクスを削除し、DN を生成します。

次に、ID 書き換えルールを記述する際によくある間違いを示します。

• ID が DOMAIN\[IDENTITY] と一致する場合、[IDENTITY]@[DOMAIN].com に書き換えます。

  結果は jdoe@DOMAIN.com になります。 このルールでは、ルールの書き換え側に角カッコ [] の [DOMAIN] がありません。

• ID が DOMAIN\[IDENTITY] と一致する場合、[IDENTITY]@[DOMAIN].com に書き換えます。

  この場合も、結果は jdoe@DOMAIN.com になります。 このルールでは、ルールの評価側に角カッコ [] の [DOMAIN] がありません。

ID 書き換えルールは、常に、Active Directory 参加ポイントのコンテキスト内で適用されます。 認証ポリシーの結果としてスコープが選択されている場合でも、書き換えルールは、各 Active Directory 参加ポイントに適用されます。 EAP-TLS が使用されている場合、これらの書き換えルールは、証明書から取得される ID にも適用されます。

一部のタイプの ID には、プレフィクスまたはサフィックスのようなドメインマークアップが含まれます。 たとえば、ACME\jdoe などの NetBIOS ID では、「ACME」がドメインマークアップのプレフィクスで、同様に jdoe@acme.com などの UPN ID では、「acme.com」がドメインマークアップのサフィックスです。 ドメインプレフィクスは、組織内の Active Directory ドメインの NetBIOS（NTLM）名に一致し、ドメインサフィックスは、組織内の Active Directory ドメインの DNS 名または代替 UPN サフィックスに一致する必要があります。 たとえば、gmail.com は Active Directory ドメインの DNS 名ではないため、jdoe@gmail.com はドメインマークアップなしとして処理されます。

ID 解決設定では、Active Directory 展開に一致するように、セキュリティおよびパフォーマンスのバランスを調整する重要な設定を指定できます。 これらの設定を使用して、ドメインマークアップのないユーザ名およびホスト名の認証を調整できます。 Cisco ISE でユーザのドメインを認識できない場合、すべての認証ドメインでユーザを検索するように設定できます。 ユーザが 1 つのドメインで検出されても、Cisco ISE は ID のあいまいさがないことを保証するためにすべての応答を待ちます。 このプロセスは、ドメインの数、ネットワークの遅延、負荷などに応じて時間がかかる場合があります。

Cisco ISE は、SAM と CN のいずれか、または両方の属性を使用してユーザを識別します。Cisco ISE リリース 2.2 パッチ 5 以降、および 2.3 パッチ 2 以降では、sAMAccountName 属性がデフォルトの属性として使用されます。 以前のリリースでは、SAM と CN の両方の属性がデフォルトで検索されていました。 この動作はリリース 2.2 パッチ 5 以降と 2.3 パッチ 2 以降で、CSCvf21978 バグ修正の一部として変更されました。 これらのリリースでは、sAMAccountName 属性のみがデフォルトの属性として使用されます。

実際の環境で必要に応じて、SAM と CN のいずれか、または両方を使用するように Cisco ISE を設定できます。SAM および CN が使用される場合、SAMAccountName 属性の値が一意でないと、Cisco ISE は CN 属性値も比較します。

注	デフォルトでは、Cisco ISE 2.4 の ID 検索の動作は SAM アカウント名のみを検索するように変更されました。このデフォルトの動作を変更するには、「Active Directory アイデンティティ検索の属性の設定」のセクションで説明しているように「IdentityLookupField」フラグの値を変更します。

Windows 2012 R2 の場合は、Active Directory ユーザに次のレジストリキーに対する完全制御権限を付与します。

• HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}

• HKLM\Software\Classes\Wow6432Node\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}

Active Directory ユーザがドメイン管理グループではなく、ドメインユーザグループに属している場合は、次の権限も必要です。

• ISE がドメインコントローラに接続できるようにするレジストリキーを追加します（下記を参照）。

• ドメイン コントローラで DCOM を使用するための権限

• WMI ルート/CIMv2 名前空間にアクセスするための権限の設定

これらの権限は、次の Active Directory のバージョンでのみ必要となります。

• Windows 2003

• Windows 2003R2

• Windows 2008

• Windows 2008 R2

• Windows 2012

• Windows 2012 R2

• Windows 2016

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"AppID"="{76A64158-CB41-11D1-8B02-00600806D9B6}"

[HKEY_CLASSES_ROOT\AppID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"DllSurrogate"=" "

[HKEY_CLASSES_ROOT\Wow6432Node\AppID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"DllSurrogate"=" "

Cisco PassiveID ワークセンターをすぐに使用できるようにするには、次のフローに従います。

1. ISE からクライアントマシンへの逆引き参照の設定を含め、DNS サーバを正しく設定していることを確認します。詳細については、「DNS サーバ」を参照してください。

2. パッシブ ID サービスに使用する専用ポリシーサーバ（PSN）で、パッシブ ID サービスと pxGrid サービスを有効にします。[管理（Administration）] > [システム（System）] > [展開（Deployment）] を選択し、該当するノードを開き、[全般設定（General Settings）] の下の [パッシブ ID サービスの有効化（Enable Passive Identity Service）] と [pxGrid] をオンにします。

3. NTP サーバのクロック設定を同期します。

4. ISE パッシブ ID セットアップで、最初のプロバイダーを設定します。詳細については、「PassiveID セットアップの使用を開始する」を参照してください。

5. 1 つまたは複数のサブスクライバを設定します。詳細については、「サブスクライバ」を参照してください。

最初のプロバイダーとサブスクライバのセットアップ後は、追加のプロバイダーを容易に作成でき（Cisco ISE 管理者ガイド：アセットの可視性 [英語] の「Additional Passive Identity Service Providers」のセクションを参照）、PassiveID ワークセンターでさまざまなプロバイダーのパッシブ ID を管理できます。

• Cisco ISE 管理者ガイド：トラブルシューティング [英語] の「RADIUS Live Sessions」のセクションを参照してください。

• Cisco ISE 管理者ガイド：トラブルシューティング [英語] の「Cisco ISE Alarms」のセクションを参照してください。

• Cisco ISE 管理者ガイド：メンテナンスおよびモニタリング [英語] の「Reports」のセクションを参照してください。

• Cisco ISE 管理者ガイド：トラブルシューティング [英語] の「TCP Dump Utility to Validate the Incoming Traffic」のセクションを参照してください。

Cisco PassiveID ワーク センター ダッシュボードには、効果的なモニタリングおよびトラブルシューティングに必要不可欠な、統合された相関性のある概要と統計データが表示されます。ダッシュボードはリアルタイムに更新されます。 特に指定がない限り、ダッシュレットには過去 24 時間のアクティビティが表示されます。ダッシュボードにアクセスするには、[ワークセンター（Work Centers）] > [PassiveID] を選択し、左側のパネルで [ダッシュボード（Dashboard）] を選択します。Cisco PassiveID ワーク センター ダッシュボードはプライマリ管理ノード（PAN）でのみ表示できます。

[ホーム（Home）] ページには、PassiveID ワークセンターデータのビューを表示する 2 つのデフォルトダッシュボードがあります。

• [メイン（Main）]：このビューには、線形の [メトリクス（Metrics）] ダッシュボード、チャートダッシュレット、およびリストダッシュレットが表示されます。PassiveID ワークセンターでは、ダッシュレットは設定できません。使用可能なダッシュレットには次のものがあります。

  • [パッシブ ID メトリック（Passive Identity Metrics）]：[パッシブ ID メトリック（Passive Identity Metrics）] では、現在追跡中の固有のライブセッションの総数、システムに設定されている ID プロバイダーの総数、ID データをアクティブに配信しているエージェントの総数、および現在設定されているサブスクライバの総数の概要が示されます。

  • [プロバイダー（Providers）]：プロバイダーはユーザ ID 情報を PassiveID ワークセンターに渡します。ISE プローブ（特定のソースからデータを収集するメカニズム）を設定します。プローブを介してプロバイダーソースからの情報を受信します。たとえば、Active Directory（AD）プローブとエージェントプローブはいずれも ISE-PIC による AD からのデータ収集を支援しますが、syslog プローブは、syslog メッセージを読み取るパーサーからデータを収集します。

  • [サブスクライバ（Subscribers）]：サブスクライバは ISE に接続し、ユーザ ID 情報を取得します。

  • [OS タイプ（OS Types）]：表示できる唯一の OS タイプは Windows です。Windows のタイプが Windows バージョン別に表示されます。プロバイダーは OS タイプを報告しませんが、ISE はこの情報を取得するために Active Directory をクエリできます。 ダッシュレットに表示できるエントリの最大数は 1000 です。1000 を超えるエンドポイントがある場合、または Windows 以外の OS タイプを表示する場合は、ISE にアップグレードできます。

  • [アラーム（Alarms）]：ユーザ ID 関連アラーム。

Active Directory（AD）は、ユーザ ID 情報（ユーザ名、IP アドレス、ドメイン名など）の取得元である安全性が高く正確なソースです。

AD プローブ（パッシブ ID サービス）は、WMI テクノロジーを使用して AD からユーザ ID 情報を収集しますが、その他のプローブはその他のテクノロジーや手法で AD をユーザ ID プロバイダーとして使用します。 ISE が提供するその他のプローブとプロバイダータイプの詳細については、Cisco ISE 管理者ガイド：アセットの可視性 [英語] の「Additional Passive Identity Service Providers」のセクションを参照してください。

Active Directory プローブを設定すると、次の（ソースとして Active Directory を使用する）その他のプローブもすぐに設定して有効にできます。

• [エージェント（Agent）]：Active Directory エージェント

  注	Active Directory エージェントは、Windows Server 2008 以降でのみサポートされます。

• [SPAN]：SPAN

• [エンドポイントプローブ（Endpoint probe）]：エンドポイントプローブ

また、ユーザ情報の収集時に AD ユーザグループを使用するために Active Directory プローブを設定します。 AD、エージェント、SPAN、および syslog プローブで AD ユーザグループを使用できます。 AD グループの詳細については、「Active Directory ユーザグループの設定」を参照してください。

パッシブ ID サービスワークセンターから、ネイティブ 32 ビットアプリケーション、ドメインコントローラ（DC）エージェントを、（設定に応じて）Active Directory（AD）ドメインコントローラ（DC）またはメンバーサーバ上の任意の場所にインストールし、AD からユーザ ID 情報を取得して、設定したサブスクライバにこれらの ID を送信します。 エージェントプローブは、ユーザ ID 情報に Active Directory を使用する場合の簡単で効率的なソリューションです。 エージェントは個別のドメインまたは AD ドメインにインストールできます。インストールされたエージェントは、1 分ごとにステータス更新情報を ISE に提供します。

エージェントは ISE が自動的にインストールおよび設定できます。または、ユーザが手動でインストールできます。 インストールが完了すると、次のようになります。

• エージェントとその関連ファイルは、Program Files/Cisco/Cisco ISE PassiveID Agent パスにインストールされます。

• エージェントのロギングレベルを指定する PICAgent.exe.config という設定ファイルがインストールされます。 この設定ファイル内でロギングレベルを手動で変更できます。

• CiscoISEPICAgent.log ファイルにはすべてのロギングメッセージが保存されます。

• nodes.txt ファイルには、展開内でエージェントが通信できるすべてのノードのリストが含まれています。 エージェントはリストの最初のノードと通信します。このノードと通信できない場合、エージェントはリストのノード順序に従ってノードとの通信を試行します。 手動インストールの場合、このファイルを開き、ノード IP アドレスを入力する必要があります。 （手動または自動）インストールの完了後は、手動での更新によってのみこのファイルを変更できます。 ファイルを開き、必要に応じてノード IP アドレスを追加、変更、または削除します。

• Cisco ISE PassiveID Agent サービスはマシン上で稼働します。このサービスは [Windows サービス（Windows Services）] ダイアログボックスから管理できます。

• ISE は最大 100 個のドメインコントローラをサポートでき、各エージェントは最大 10 個のドメインコントローラをモニタできます。

  注	100 個のドメイン コントローラをモニタするには、10 個のエージェントを設定する必要があります。

注	Active Directory エージェントは、Windows Server 2008 以降でのみサポートされます。 エージェントをインストールできない場合、パッシブ ID サービスには Active Directory プローブを使用します。詳細については、「プローブおよびプロバイダーとしての Active Directory」を参照してください。

Cisco ISE の API プロバイダー機能では、カスタマイズしたプログラムまたはターミナルサーバ（TS）エージェントから組み込み ISE パッシブ ID サービス REST API サービスにユーザ ID 情報をプッシュできます。 これにより、ネットワークからプログラミング可能なクライアントをカスタマイズして、任意のネットワーク アクセス コントロール（NAC）システムから収集されたユーザ ID をこのサービスに送信できます。 さらに Cisco ISE API プロバイダーにより、すべてのユーザの IP アドレスが同一であるが、各ユーザに固有のポートが割り当てられるネットワークアプリケーション（Citrix サーバの TS-Agent など）と対話できます。

たとえば、Active Directory（AD）サーバに対して認証されたユーザの ID マッピングを提供する Citrix サーバで稼働するエージェントは、新しいユーザがログインまたはログオフするたびに、ユーザセッションを追加または削除する REST 要求を ISE に送信できます。 ISE は、クライアントから送信されたユーザ ID 情報（IP アドレス、割り当てられたポートなど）を取得し、事前に設定されているサブスクライバ（Cisco Firepower Management Center（FMC）など）に送信します。

ISE REST API フレームワークは、HTTPS プロトコルを介した REST サービスを実装し（クライアント証明書の検証は不要）、ユーザ ID 情報が JSON（JavaScript Object Notation）形式で送信されます。 JSON の詳細については、http://www.json.org/ を参照してください。

ISE REST API サービスは、1 つのシステムに同時にログインしている複数のユーザを区別するため、ユーザ ID を解析し、その情報をポート範囲にマッピングします。 ポートがユーザに割り当てられるたびに、API がメッセージを ISE に送信します。

SPAN はパッシブ ID サービスで、ISE がネットワークをリッスンし、ユーザ情報を取得できるように簡単に設定できます。このとき、Active Directory が ISE と直接連携するように設定する必要はありません。 SPAN はネットワークトラフィックをスニフィングし、特にケルベロスメッセージを調べ、Active Directory によって保存されているユーザ ID 情報を抽出し、ISE に送信します。 ISE は次にその情報を解析し、最終的にはユーザ名、IP アドレス、およびドメイン名を、ISE からすでに設定しているサブスクライバに送信します。

SPAN がネットワークをリッスンし、Active Directory ユーザ情報を抽出できるようにするには、ISE と Active Directory の両方がネットワーク上の同一スイッチに接続している必要があります。 これにより、SPAN は Active Directory からすべてのユーザ ID データをコピーおよびミラーリングできます。

SPAN により、ユーザ情報は次のように取得されます。

1. ネットワーク上のユーザエンドポイントがログインします。

2. ログインデータとユーザデータはケルベロスメッセージに保存されます。

3. ユーザがログインし、ユーザデータがスイッチを通過すると、SPAN がネットワークデータをミラーリングします。

4. ISE は、ユーザ情報を取得するためネットワークをリッスンし、ミラーリングされたデータをスイッチから取得します。

5. ISE はユーザ情報を解析し、パッシブ ID マッピングを更新します。

6. ISE は解析されたユーザ情報をサブスクライバに送信します。

syslog 機能により、パッシブ ID サービスは syslog メッセージを配信する任意のクライアント（ID データプロバイダー）からの syslog メッセージを解析し、MAC アドレスなどのユーザ ID 情報を送信します。syslog メッセージには、通常の syslog メッセージ（Infoblox、Blue Coat、BlueCat、Lucent などのプロバイダーからのメッセージ）と DHCP syslog メッセージがあります。 このマッピングされたユーザ ID データがサブスクライバに配信されます。

管理者がパッシブ ID サービスおよび pxGrid サービスをアクティブにし、GUI から syslog クライアントを設定すると、パッシブ ID サービスはさまざまなプロバイダーから受信した syslog メッセージを使用します。 管理者はプロバイダーの設定時に、接続方法（TCP または UDP）と解析に使用する syslog テンプレートを指定します。

注

設定されている接続タイプが TCP であり、メッセージヘッダーに問題があるためにホスト名を解析できない場合、ISE はパケットで受信した IP アドレスを、ISE で設定されている syslog メッセージのプロバイダーリストにあるすべてのプロバイダーの IP アドレスと照合しようとします。 このリストを表示するには、[ワークセンター（Work Centers）] > [PassiveID] > [プロバイダー（Providers）] > [syslog プロバイダー（Syslog Providers）] を選択します。 メッセージヘッダーを調べ、解析が正常に実行されるように、必要に応じてカスタマイズすることを推奨します。 ヘッダーのカスタマイズの詳細については、「syslog ヘッダーのカスタマイズ」を参照してください。

設定が完了したら、syslog プローブは受信した syslog メッセージを ISE パーサーに送信します。パーサーはユーザ ID 情報をマッピングし、その情報を ISE に公開します。 次に ISE が、解析およびマッピングされたユーザ ID 情報をパッシブ ID サービスサブスクライバに配信します。

注

DHCP syslog メッセージにはユーザ名は含まれていません。 したがって、これらのメッセージはパーサーから遅れて配信されます。これにより ISE は、ユーザ ID 情報を正しく解析して配信するために、最初にローカル セッション ディレクトリに登録されているユーザ（[ライブセッション（Live Sessions）] で表示）を調べ、その後各ユーザの IP アドレスと受信した DHCP syslog メッセージに指定されている IP アドレスでユーザの照合を試行します。 DHCP syslog メッセージから受信したデータが、現在ログインしているいずれのユーザにも一致しない場合、メッセージは解析されず、ユーザ ID は配信されません。

ISE からの syslog メッセージを解析してユーザ ID を取得するには、次の操作を行います。

• ユーザ ID データの送信元 syslog クライアントを設定します：syslog クライアントの設定

• 1 つのメッセージヘッダーをカスタマイズします：syslog ヘッダーのカスタマイズ

• テンプレートを作成してメッセージ本文をカスタマイズします：syslog メッセージ本文のカスタマイズ

• 解析に使用するメッセージテンプレートとして syslog クライアントを設定する場合には、ISE の事前定義メッセージテンプレートを使用します。あるいは、これらの事前定義テンプレートに基づいてヘッダーまたは本文のテンプレートをカスタマイズします：syslog 事前定義メッセージテンプレートの使用