Cisco Secure ACS 5.1/5.2 用 Cisco Identity Services Engine Release 1.1.x 移行ガイド

Cisco Secure ACS-Cisco ISE Migration Tool のインストール

---

この章では、Cisco Secure Access Control System（ACS）-Cisco Identity Sevices Engine（ISE）Migration Tool のインストールに関する情報を提供します。また、重要な移行ツールのインストールに関する考慮事項、および移行プロセスについて以下のトピックで説明します。

• 「移行ツールのインストール ガイドライン」

• 「システム要件」

• 「セキュリティの考慮事項」

• 「データの移行および展開のシナリオ」

• 「Cisco Secure ACS-Cisco ISE Migration Tool のインストールおよび初期化」

移行ツールのインストール ガイドライン

インストールを開始する前に、次のガイドラインをよく読んでください。

• ご使用の環境で、移行する準備ができていることを確認してください。Cisco Secure ACS 5.1/5.2 Windows または Linux のソース マシン以外に、シングルアプライアンスまたはデュアルアプライアンスの移行用の 1 つのデータベースを備えたセキュアな外部システム、およびターゲット システムとして、Cisco ISE 1.1 アプライアンスを展開する必要があります。

• Cisco Secure ACS 5.1/5.2 のソース マシンにシングル IP アドレスが設定されていることを確認してください。各インターフェイスが複数の IP アドレス エイリアスを持つ場合、移行のときに移行ツールは失敗します。

• ACS から ISE への移行が同じアプライアンス上で実行される場合に備えて、ACS データのバックアップが作成されていることを確認してください。

• 以下のタスクが完了していることを確認してください。

– Cisco ISE 1.1 がターゲット マシン上にインストールされている（デュアルアプライアンスの移行の場合）。

– CSACS-1121 アプライアンスを再作成するのに使用できる Cisco ISE 1.1 のソフトウェアがある（シングルアプライアンスの移行の場合）。

– Cisco Secure ACS 5.1/5.2 と Cisco ISE 1.1 の正しいクレデンシャルおよびパスワードをすべて保持している。

• ソース マシンと、データベースを備えているセキュアな外部システム間でネットワーク接続を確立できるようにします。

システム要件

Cisco Secure ACS マシンは 表 3-1 に説明するシステム要件を満たしている必要があります。すべてのマニュアルは Cisco.com で入手できます。

セキュリティの考慮事項

移行プロセスのエクスポート フェーズでは、インポート プロセスの入力として使用されるデータ ファイルが作成されます。データ ファイルの内容は暗号化され、直接読み取ることはできません。

ユーザは、Cisco Secure ACS データをエクスポートし、それを Cisco ISE アプライアンスへ正常にインポートするために、Cisco Secure ACS 5.1/5.2 および Cisco ISE 1.1 の管理者のユーザ名およびパスワードを知っている必要があります。インポート ユーティリティによって作成されたレコードを監査ログ内で識別できるように、予約済みユーザ名を使用する必要があります。

データの移行および展開のシナリオ

Cisco Secure ACS-ISE Migration Tool は、Cisco Secure ACS 5.1/5.2 のデータ オブジェクトを Cisco ISE 1.1 へ移行する目的で設計されています。シングル アプライアンスにおけるデータ移行プロセスは、分散環境におけるアプライアンスのデータ移行プロセスとは異なります。以降のセクションでは、これらのトピックについてとりあげます。

• 「シングル Cisco Secure ACS アプライアンスからのデータ移行のガイドライン」

• 「分散環境におけるデータ移行のガイドライン」

分散環境におけるデータ移行のガイドライン

分散環境で Cisco Secure ACS を実行することができます。たとえば、1 つのプライマリ Cisco Secure ACS アプライアンス、およびこのプライマリ アプライアンスと相互運用する 1 つ以上のセカンダリ Cisco Secure ACS アプライアンスがあるとします。分散環境で Cisco Secure ACS を実行する場合は、以下のようにする必要があります。

---

ステップ 1 プライマリ Cisco Secure ACS アプライアンスをバックアップし、それを移行マシン上で復元します。

ステップ 2 プライマリ Cisco Secure ACS アプライアンスに対して Cisco Secure ACS-Cisco ISE Migration Tool を実行します。

---

 

---

（注） 大規模な内部データベースがある場合、シスコではスタンドアロンのプライマリ アプライアンスから移行を実行し、複数のセカンダリ アプライアンスへ接続されているプライマリ アプライアンスへの移行は実行しないことを推奨しています。移行プロセスの完了後、セカンダリ アプライアンスを登録できます。

---

---

（注） Cisco Secure ACS-Cisco ISE Migration Tool は約 20 時間稼働して、10,000 個のデバイス、25,000 人のユーザ、100,000 個のホスト、100 個の ID グループ、420 個のダウンロード可能アクセス コントロール リスト（DACL）、320 個の許可プロファイル、6 個のデバイス階層、および 20 個のネットワーク デバイス グループ（NDG）を移行することができます。

---

---

（注） Cisco Secure ACS 5.1/5.2 のデータを Cisco ISE アプライアンスへ移行開始する準備ができた場合は、移行先がスタンドアロンの Cisco ISE ノードであることを確認します。移行が正常に終了した場合のみ、その後で何らかの展開設定（Administrator ISE や Policy Service ISE のペルソナなど）を開始することができます 移行のインポート フェーズは、サポートされているハードウェア アプライアンス上で、Cisco ISE ソフトウェアの新しい「クリーンな」インストールにおいて実行する必要があります。

---

Cisco Secure ACS-Cisco ISE Migration Tool のインストールおよび初期化

（注） 移行ツールは、Cisco ISE のフレッシュ インストール後、または application reset-config コマンドを使用して Cisco ISE アプリケーションの設定をリセットし、Cisco ISE データベースをクリアした後で実行する必要があります。このため、移行プロセスの完了前は、Cisco ISE FIPS モードを有効にすることはできません。

Cisco ISE ユーザ インターフェイスを使用して Cisco Secure ACS-Cisco ISE Migration Tool ファイルをダウンロードすることができます。

Cisco Secure ACS-Cisco ISE Migration Tool ソフトウェアをダウンロードして実行するには、以下の手順を完了します。

https://<hostname-or-hostipaddress>/admin/migTool.zip

（注） 移行ツール ファイルのダウンロードで現在サポートされているブラウザは、Mozilla Firefox バージョン 3.6、6、7、8、9、および 10 のみです。Microsoft Windows Internet Explorer（IE8 および IE7）ブラウザは、このリリースでは現在サポートされていません。

ステップ 2 Cisco Secure ACS ソフトウェアおよび Cisco ISE ソフトウェアが同じアプライアンスにインストールされている場合、または新しい Cisco ISE ハードウェア アプライアンスを使用している場合は、移行ツール ファイルの migTool.zip を以下の場所からダウンロードします。

http://www.cisco.com/cisco/software/release.html?mdfid=283801620&flowid=26081&softwareid=283802505&release=1.1&relind=AVAILABLE&rellifecycle=&reltype=latest

ステップ 3 .zip ファイルを解凍します。図 3-1 は、Cisco Secure ACS-Cisco ISE Migration Tool ソフトウェアのディレクトリ構造を示しています。

図 3-1 Cisco ACS 5.1/5.2-Cisco ISE 1.1 Migration Tool のディレクトリ構造

ステップ 4 config.bat ファイルを編集して、移行プロセス用の Java ヒープ サイズに対してメモリの初期量を割り当てます（図 3-2 を参照してください）。メモリは、それぞれ 64 メガバイト、512 メガバイトにします。

図 3-2 Java ヒープ サイズの設定

ステップ 5 [保存（Save）] をクリックしてヒープ サイズの設定を保持します。

ステップ 6 migration.bat をクリックして移行プロセスを起動します。

初期化画面が表示されます（図 3-3 を参照してください）。

図 3-3 初期化画面

移行ツールが初期化された後でも、サポートされていない Cisco Secure ACS オブジェクトを引き続き移行する必要があります。以下のメッセージが表示されます（図 3-4 を参照してください）。

図 3-4 サポートされていないオブジェクトで表示されるメッセージ

ステップ 7 [はい（Yes）] をクリックして、サポートされていないオブジェクト、および一部しかサポートされていないオブジェクトのリストを表示します（図 3-5 を参照してください）。

図 3-5 未サポートおよび一部サポートのオブジェクトのリスト

ステップ 8 [閉じる（Close）] をクリックします。

[ヘルプ（Help）] > [未サポート オブジェクトの詳細（Unsupported Object Details）] を選択して、サポートされていないオブジェクトのリストを表示することもできます。

移行ツールを実行するには、「Cisco Secure ACS-Cisco ISE Migration Tool の使用」を参照してください。