Management Center のハイ アベイラビリティについて
運用の継続性を確保するために、ハイ アベイラビリティ機能を使用して、冗長 Management Center でデバイスを管理するように指定することができます。Management Center では、1 つのアプライアンスがアクティブユニットであり、デバイスを管理する、アクティブ/スタンバイ高可用性がサポートされます。スタンバイ ユニットは、アクティブにデバイスを管理しません。アクティブ ユニットは、データ ストアに設定データを書き込み、両方のユニットのデータを複製し、必要な場合は同期を使用してスタンバイ ユニットと一部の情報を共有します。
アクティブ/スタンバイ ハイ アベイラビリティでは、プライマリ Management Center に障害が発生した場合、セカンダリ Management Center を設定して、プライマリの機能を引き継ぐことができます。プライマリ Management Center に障害が発生した場合は、セカンダリ Management Center をプロモートしてアクティブ ユニットにする必要があります。
イベント データは、管理対象デバイスからハイ アベイラビリティ ペアの両方の Management Center に配信されます。一方の Management Center で障害が発生した場合、他方の Management Center の使用を中断せずにネットワークをモニタすることができます。
ハイ アベイラビリティ ペアとして設定する 2 つの Management Center は、信頼された同じ管理ネットワーク上に存在する必要も、同じ地理的ロケーションに存在する必要もありません。
 注意 |
システムでは一部の機能をアクティブ Management Center に制限しているため、そのアプライアンスで障害が発生した場合は、スタンバイ Management Center をアクティブにプロモートする必要があります。 |
 （注） |
変更の展開が成功した直後に Management Center でスイッチオーバーがトリガーされると、新しいアクティブ Management Center でプレビュー設定が機能しなくなる可能性があります。これは、ポリシー展開機能に影響を与えません。必要な同期が完了した後に Management Center でスイッチオーバーをトリガーすることをお勧めします。 同様に、Management Center HA 同期が劣化状態の場合、スイッチオーバーをトリガーしたり、ロールを変更したりすると、Management Center HA によってデータベースが破損し、致命的な状態になる可能性があります。この問題を解決するための支援が必要な場合は、Cisco Technical Assistance Center（TAC）にただちに連絡することをお勧めします。 この HA 同期は、さまざまな理由で劣化状態になる可能性があります。この章にある「高可用性ペアでの Management Center の交換」の項では、いくつかの障害シナリオと、問題を修正するための後続の手順について説明しています。劣化状態の理由またはシナリオが説明されているシナリオと一致する場合は、手順に従って問題を修正します。それら以外の理由の場合は、TAC に連絡することをお勧めします。 |
リモート アクセス VPN のハイ アベイラビリティについて
プライマリ デバイスに、CertEnrollment オブジェクトを使用して登録された ID 証明書を使用したリモート アクセス VPN 設定がある場合、セカンダリ デバイスには、同じ CertEnrollment オブジェクトを使用して登録された ID 証明書が必要です。CertEnrollment オブジェクトは、デバイス固有のオーバーライドにより、プライマリデバイスとセカンダリデバイスに異なる値を持つことができます。この制限は、ハイ アベイラビリティの形成前に 2 つのデバイスに同じ CertEnrollment オブジェクトを登録することだけです。
Management Center High Availability での SNMP の動作
SNMP が設定された HA ペアでは、アラートポリシーを展開すると、プライマリ Management Center が SNMP トラップを送信します。プライマリ Management Center に障害が発生すると、セカンダリ Management Center がアクティブユニットになり、追加の設定を必要とせずに SNMP トラップを送信します。
Management Center 高可用性のロールとステータス
プライマリ/セカンダリの役割
Secure Firewall Management Center を高可用性ペアの形でセットアップする際は、一方の Secure Firewall Management Center をプライマリとして設定し、もう一方をセカンダリとして設定します。設定中に、プライマリ ユニットのポリシーは、セカンダリ ユニットに同期されます。この同期が完了すると、プライマリ Secure Firewall Management Center がアクティブ ピアになり、セカンダリ Secure Firewall Management Center がスタンバイ ピアになって、2 つのユニットが管理対象デバイスおよびポリシー設定に対して単一のアプライアンスとして機能します。
アクティブ/スタンバイ ステータス
高可用性ペアを構成する 2 つの Secure Firewall Management Center の間の主な違いは、どちらがアクティブ ピアで、どちらがスタンバイ ピアであるかという点です。アクティブ Secure Firewall Management Center は、完全に機能する状態に維持され、デバイスとポリシーを管理するために使用できます。スタンバイ Secure Firewall Management Center では機能が非表示になるため、設定の変更を行うことはできません。
Management Center 高可用性ペアでのイベント処理
ハイ アベイラビリティ ペアの両方の Management Center が管理対象デバイスからイベントを受信するため、アプライアンスの管理 IP アドレスは共有されません。これは、いずれかの Management Center で障害が発生した場合に、継続的な処理を確保するために介入する必要がないことを意味します。
AMP クラウド接続とマルウェア情報
ハイ アベイラビリティ ペアを構成する Management Center は、ファイル ポリシーおよび関連する設定は共有しますが、シスコ AMP クラウド接続およびマルウェア処理は共有しません。運用の継続性を確保し、検出されたファイルのマルウェア処理が両方の Management Center で同じであるようにするためには、プライマリとセカンダリ両方の Management Center が AMP クラウドにアクセスできる必要があります。
URL フィルタリングとセキュリティ インテリジェンス
URL フィルタリングとセキュリティ インテリジェンスの設定および情報は、ハイ アベイラビリティ展開の Secure Firewall Management Center の間で同期されます。ただし、プライマリ Secure Firewall Management Center だけが、セキュリティ インテリジェンス フィードの更新用の URL カテゴリおよびレピュテーション データをダウンロードします。
プライマリ Secure Firewall Management Center に障害が発生した場合は、セカンダリ Secure Firewall Management Center がインターネットにアクセスして脅威インテリジェンスを更新できることを確認する必要があるだけでなく、セカンダリ Secure Firewall Management Center の Web インターフェイスを使用してセカンダリをアクティブにプロモートする必要もあります。
Management Center のフェールオーバー中のユーザーデータの処理
プライマリ Management Center に障害が発生した場合、セカンダリ Management Center は、TS エージェント アイデンティティ ソースからのユーザーから IP へのマッピングと、ISE/ISE-PIC アイデンティティソースからの SGT マッピングを、管理対象デバイスに伝播します。アイデンティティソースでまだ認識されていないユーザーは、[不明（Unknown）] として識別されます。
ダウンタイム後、[不明（Unknown）] ユーザはアイデンティティ ポリシーのルールに従って再び識別され、処理されます。
Management Center 高可用性ペアの設定管理
ハイ アベイラビリティ展開では、アクティブな Management Center のみがデバイスを管理し、ポリシーを適用できます。両方の Management Center は継続的な同期状態を保ちます。
アクティブ状態の Management Center に障害が発生すると、ハイ アベイラビリティ ペアは縮退状態となります。縮退状態は、スタンバイ状態のアプライアンスを手動でアクティブ状態に上げるまで続きます。スタンバイ状態のアプライアンスをアクティブ状態に上げると、両アプライアンスのメンテナンス モードが終了します。
Management Center 高可用性ディザスタリカバリ
ディザスタリカバリの状況では、手動スイッチオーバーを実行する必要があります。プライマリ Management Center（FMC1）で障害が発生した場合は、セカンダリ Management Center（FMC2）の Web インターフェイスにアクセスしてピアを切り替えます。これは、逆に、セカンダリ（FMC2）に障害が発生した場合にも当てはまります。詳細については、Management Center のハイアベイラビリティペアにおけるピアの切り替えを参照してください。
障害が発生した Management Center の復旧については、高可用性ペアでの Management Center の交換を参照してください。
シングルサインオンと高可用性ペア
高可用性設定の Management Center ではシングルサインオンをサポートできますが、次の考慮事項に留意する必要があります。
-
SSO 設定は、高可用性ペアのメンバー間で同期されません。ペアの各メンバーで個別に SSO を設定する必要があります。
-
高可用性ペアの両方の Management Center は、SSO に同じアイデンティティ プロバイダー（IdP）を使用する必要があります。SSO 用に設定された各 Management Center の IdP で、サービス プロバイダー アプリケーションを設定する必要があります。
-
両方が SSO をサポートするように設定されている Management Center の高可用性ペアでは、ユーザーは SSO を使用してセカンダリ Management Center に初めてアクセスする前に、最初に SSO を使用してプライマリ Management Center に少なくとも 1 回ログインする必要があります。
-
高可用性ペアで Management Center の SSO を設定する場合：
-
プライマリ Management Center で SSO を設定する場合、セカンダリ Management Center で SSO を設定する必要はありません。
-
セカンダリ Management Center で SSO を設定する場合は、プライマリ Management Center でも SSO を設定する必要があります。（これは、SSO ユーザーがセカンダリ Management Center にログインする前に、プライマリ Management Center に少なくとも 1 回ログインする必要があるためです）。
-
バックアップ中の Management Center の高可用性動作
Management Center 高可用性ペアでバックアップを実行する場合、バックアップ動作によってピア間の同期が一時停止します。この動作中は、引き続きアクティブな Management Center を使用できますが、スタンバイ ピアを使用することはできません。
バックアップが完了すると、同期が再開され、少しの間、アクティブ ピアでのプロセスが無効になります。この一時停止中、[高可用性（High Availability）] ページには、すべてのプロセスが再開されるまでは一時的に保留ページが表示されます。
Management Center 高可用性スプリットブレイン
高可用性ペアのアクティブな Management Center が（電源の問題、ネットワークや接続の問題で）ダウンした場合は、スタンバイ Management Center をアクティブ状態に昇格させることができます。元のアクティブなピアが起動すると、両方のピアがアクティブであるとみなされる場合があります。この状態は「スプリットブレイン」と定義されます。このような状況が発生すると、システムによってアクティブなアプライアンスを選択するように要求されます。それによって、もう一方のアプライアンスはスタンバイ状態に降格します。
アクティブな Management Center がダウンした（またはネットワーク障害により切断された）場合は、高可用性を中断するか、またはロールを切り替えることができます。スタンバイ Management Center は縮退状態になります。
（注） |
セカンダリとして使用するアプライアンスがどれであっても、スプリットブレインの解決時にデバイス登録とポリシー設定のすべてが失われます。たとえば、セカンダリに存在し、プライマリには存在しなかったポリシーへの変更は失われます。Management Center が両方のアプライアンスがアクティブな高可用スプリットブレイン シナリオである場合に、スプリットブレインを解決する前に管理対象デバイスを登録してポリシーを展開する場合は、ハイ アベイラビリティを再確立する前に、ポリシーをエクスポートして、管理対象デバイスを対象のスタンバイ Management Center から登録解除する必要があります。その後、管理対象デバイスを登録し、目的のアクティブ Management Center にポリシーをインポートすることができます。 |
高可用性ペアの Management Center のアップグレード
Cisco は、各種の更新プログラムを電子形式で定期的に配信します。更新プログラムには、システム ソフトウェアのメジャーおよびマイナー アップグレードが含まれます。ハイ アベイラビリティ セットアップでは、これらの更新を両方の Management Center にインストールする必要が生じることがあります。
 警告 |
アップグレード中には、少なくとも 1 つの Management Center を動作状態に維持してください。 |
始める前に
アップグレードに付属しているリリース ノートまたはアドバイザリ テキストを読んでください。リリース ノートでは、サポートされるプラットフォーム、互換性、前提条件、警告、特定のインストールおよびアンインストールの手順など重要なデータが提供されます。
手順
|
ステップ 1 |
アクティブ Management Center の Web インターフェイスにアクセスし、データ同期を一時停止します（ペアにされた Management Center 間での通信の一時停止を参照）。 |
|
ステップ 2 |
スタンバイ Management Center をアップグレードします。 |
|
ステップ 3 |
もう一方の Management Center をアップグレードします。 |
|
ステップ 4 |
どちらの Management Center をスタンバイとして使用するかを決定します。同期を一時停止した後にスタンバイに追加された追加のデバイスまたはポリシーは、アクティブ Management Center に同期されません。その追加のデバイスのみを登録解除し、維持する必要がある設定をエクスポートします。 新しいアクティブ Management Center を選択すると、セカンダリとして指定した Management Center は、同期されていないデバイス登録と展開されたポリシー設定を失います。 |
|
ステップ 5 |
最新のポリシーとデバイスに必要なすべての設定を含む新しいアクティブ Management Center を選択して、スプリットブレインを解決します。 |
Management Center のハイ アベイラビリティのトラブルシューティング
この項では、Management Center のハイ アベイラビリティ操作のいくつかの一般的なエラーに関するトラブルシューティング情報を示します。
|
エラー |
説明 |
ソリューション |
||
|---|---|---|---|---|
|
スタンバイにログインする前に、アクティブな Management Center でパスワードをリセットする必要があります。 |
アカウントの強制的なパスワードリセットが有効になっているときに、スタンバイ Management Center にログインしようとしました。 |
データベースはスタンバイ Management Center に対して読み取り専用であるため、アクティブな Management Center のログインページでパスワードをリセットします。 |
||
|
500 内部（500 Internal） |
ピア ロールの切り替えや同期の一時停止と再開などのクリティカルな Management Center のハイ アベイラビリティ操作を実行しているときに Web インターフェイスにアクセスしようとすると表示されることがあります。 |
Web インターフェイスを使用する前に、操作が完了するまでお待ちください。 |
||
|
システム プロセスが起動しています、お待ちください（System processes are starting, please wait） また、Web インターフェイスは応答しません。（Also, the web interface does not respond.） |
ハイ アベイラビリティまたはデータ同期操作中に Management Center が再起動（手動でまたは電源切断からの回復中に）する場合に表示されることがあります。 |
|
||
|
デバイス登録ステータス：ホスト <string> が到達不能（Device Registration Status:Host <string> is not reachable） |
Threat Defense の初期設定時に、Management Center の IP アドレスと NAT ID が指定されている場合は、[ホスト（Host）] フィールドを空白のままにできます。ただし、両方の Management Center が NAT の背後にある HA 環境では、Threat Defense をセカンダリ Management Center に追加すると、このエラーが発生します。 |
|
||
|
デバイス登録ステータス：ホスト <string> が到達不能（Device Registration Status:Host <string> is not reachable） |
セカンダリ Management Center と Threat Defense デバイスの両方が NAT の背後にある高可用性展開で、Threat Defense デバイスをセカンダリ Management Center センターに追加すると、エラーが発生します。 |
スタンバイ Management Center Web インターフェイスで、 をクリックします。保留中のデバイス登録のテーブルで、保留中のデバイスの IP アドレスをクリックし、IP アドレスを Threat Defense のパブリック IP アドレスに変更します。 または
|
||
|
高可用性 Management Center 間のデバイス設定の同期が停止しています。（Device configuration synchronization has been stopped between high availability Management Centers.） |
Management Center HA 同期中にデバイス設定履歴ファイルが他の設定データと並行して同期されるようになりました。Management Center は、設定履歴ファイルの同期タスクをモニターし、過去 6 時間以内に同期が行われていない場合は通知します。この正常アラートは、アクティブとスタンバイの両方の Management Center に表示されます。 |
アクティブとスタンバイの両方の Management Center が劣化状態に移行します。問題のトラブルシューティングについては、シスコサポートにお問い合わせください。 |
![[編集（edit）] アイコン](/c/dam/en/us/td/i/400001-500000/440001-450000/442001-443000/442546.jpg)
![[システム歯車（system gear｝] アイコン](/c/dam/en/us/td/i/400001-500000/450001-460000/451001-452000/451292.jpg)
）
フィードバック