Firepower Management Center バージョン 6.0 コンフィギュレーション ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年12月13日
章のタイトル： Firepower システムへのログイン
- Firepower システムのユーザ アカウント
- Firepower システムのユーザ インターフェイス
- Web インターフェイスによる Firepower Management Center へのログイン
- Web インターフェイスによる管理対象デバイスへのログイン
- CAC クレデンシャルを使用した Firepower Management Center へのログイン
- CAC クレデンシャルを使用した管理対象デバイスへのログイン
- コマンドライン インターフェイスへのログイン
- Web インターフェイスでの基本システム情報の表示
- Firepower Management Center のドメインの切り替え
- Firepower システム Web インターフェイスからのログアウト
- コンテキスト メニュー
Firepower システムへのログイン
以下のトピックでは、Firepower システムにログインする方法を示します。
- Firepower システムのユーザ アカウント
- Firepower システムのユーザ インターフェイス
- Web インターフェイスによる Firepower Management Center へのログイン
- Web インターフェイスによる管理対象デバイスへのログイン
- CAC クレデンシャルを使用した Firepower Management Center へのログイン
- CAC クレデンシャルを使用した管理対象デバイスへのログイン
- コマンドライン インターフェイスへのログイン
- Web インターフェイスでの基本システム情報の表示
- Firepower Management Center のドメインの切り替え
- Firepower システム Web インターフェイスからのログアウト
- コンテキスト メニュー
Firepower システムのユーザ アカウント
ユーザ名とパスワードを入力して、アプライアンスの Web インターフェイス、シェル、または CLI へのローカル アクセスを取得する必要があります。ユーザがログイン時にアクセスできる機能は、ユーザ アカウントに許可されている権限によって制御されます。一部のアプライアンスは、外部 LDAP や RADIUS サーバでユーザ クレデンシャルを保存する外部認証を使用するように設定できる場合があります。
 （注） | システムはユーザ アカウントに基づいてユーザ アクティビティを監査するため、ユーザが正しいアカウントでシステムにログインしていることが保証されます。 |
 注意 | すべてのアプライアンスで、（外部認証または CLI expert コマンドで取得した）シェル アクセスを持つユーザには、シェルでの sudoers 権限がありますが、これはセキュリティ リスクを示す場合があります。外部認証を確立する場合は、シェル アクセスが付与されるユーザのリストを適切に制限してください。同様に、CLI アクセス権限を付与する場合は、構成レベルのアクセス権を持つユーザのリストを制限してください。 |
注意 | Cisco TAC の指示に従って操作する場合を除き、シェルや CLI expert モードを使用して Firepower アプライアンスにアクセスしないよう強くお勧めします。 |
アプライアンスが異なれば、サポートするユーザ アカウントのタイプは異なり、搭載される機能もさまざまです。
Firepower Management Center
Firepower Management Center では、次のユーザ アカウント タイプをサポートします。
-
Web インターフェイス アクセス用に事前定義された admin アカウント。このアカウントは管理者ロールを保有し、Web インターフェイスから管理できます。
-
シェル アクセス用に事前適宜された admin アカウント。このアカウントには sudoers 権限があります。
-
カスタム ユーザ アカウント。このアカウントは、admin ユーザおよび管理者ロールのユーザが作成、管理できます。
注意 | システム セキュリティ上の理由から、シスコは、追加のシェル ユーザを Firepower Management Center で確立しないようにすることを推奨します。そのようなリスクを受け入れる場合は、外部認証を使用して、ユーザに Firepower Management Center へのシェル アクセス権を付与できます。 |
7000 & 8000 シリーズ デバイス
7000 & 8000 シリーズ デバイスでは、次のユーザ アカウント タイプをサポートします。
-
事前定義された admin アカウント。このアカウントはデバイスにアクセスするすべての形態で使用できます。
-
カスタム ユーザ アカウント。このアカウントは、admin ユーザおよび管理者ロールのユーザが作成、管理できます。
NGIPSv デバイス
NGIPSv デバイスでは次のユーザ アカウント タイプがサポートされます。Firepower システムでは、NGIPSv デバイスにログインするユーザ用の外部認証がサポートされません。
-
事前定義された admin アカウント。このアカウントはデバイスにアクセスするすべての形態で使用できます。
-
カスタム ユーザ アカウント。このアカウントは、admin ユーザおよび Configuration アクセス権をもつユーザが作成、管理できます。
ASA FirePOWER デバイス
ASA FirePOWER モジュールでは、次のユーザ アカウント タイプをサポートします。
-
事前定義された admin アカウント。
-
カスタム ユーザ アカウント。このアカウントは、admin ユーザおよび Configuration アクセス権をもつユーザが作成、管理できます。
Firepower システムは、ASA FirePOWER デバイスにログインしているユーザの外部認証はサポートしていません。ASA CLI および ASDM を介した ASA デバイスへのアクセスについては、『Cisco ASA Series General Operations CLI Configuration Guide』および『Cisco ASA Series General Operations ASDM Configuration Guide』に記載されています。
Firepower システムのユーザ インターフェイス
Firepower システムでは、グラフィカル ユーザ インターフェイス、補助的なコマンド ライン インターフェイス（CLI）、Linux シェルのいずれかを使用してアプライアンスにログインできます。（Web インターフェイスのブラウザ要件の詳細については、Firepower システムの該当バージョンのリリース ノートを参照してください）。
（注） | Firepower Management Center を使用して複数のデバイスを管理し、それらのデバイスからのデータを関連付けます。単一のデバイスを直接管理するのが適切な場合には、Adaptive Security Device Manager（ASDM）を使用して ASA FirePOWER サービス デバイスで同じ機能を管理できます。アプライアンスの管理ツールを選択した後に、別の管理ツールに切り替えると、最新の設定は失われます。7000 & 8000 シリーズ デバイスのローカル Web インターフェイスでは、限定的なシステム設定の機能を提供しますが、その機能を使用してポリシーを管理することはできません。それらのデバイスは Firepower Management Center を使用して管理する必要があります。 |
使用可能なローカル アクセス タイプはアプライアンスのタイプによって異なります。
（注） | ASDM を使用した ASA FirePOWER モジュールの管理の詳細については、『Cisco ASA Series General Operations Configuration Guide』参照してください。 |
Web インターフェイスに関する考慮事項
-
組織が認証に共通アクセス カード（CAC）を使用している場合は、CAC クレデンシャルを使用してアプライアンスの Web インターフェイスにアクセスすることができます。
-
Web セッション時にアプライアンスのホーム ページに初めてアクセスした際に、そのアプライアンスに対する最後のログイン セッションに関する情報を表示できます。最後のログインについて、次の情報を表示できます。
-
デフォルトのホーム ページの上部に表示されるメニューおよびメニュー オプションは、ユーザ アカウントの権限に基づきます。ただし、デフォルト ホームページのリンクには、ユーザ アカウントの権限の範囲に対応するオプションが含まれています。アカウントに付与されている権限とは異なる権限が必要なリンクをクリックすると、システムから警告メッセージが表示され、そのアクティビティがログに記録されます。
-
プロセスの中には長時間かかるものがあります。このため、Web ブラウザで、スクリプトが応答しなくなっていることを示すメッセージが表示されることがあります。このメッセージが表示された場合は、スクリプトが完了するまでスクリプトの続行を許可してください。
セッションのタイムアウト（Session Timeout）
セッション タイムアウトが適用されないように設定しない限り、デフォルトでは、非アクティブな状態が 1 時間続くと、Firepower システムが自動的にセッションからユーザをログアウトします。
管理者ロールを割り当てられたユーザは、以下の設定を使用して、アプライアンスのセッション タイムアウト間隔を変更できます。
|
アプライアンス |
設定 |
|---|---|
|
Firepower Management Center |
|
|
7000 & 8000 シリーズ デバイス |
|
Web インターフェイスによる Firepower Management Center へのログイン
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
Management Center |
任意（Any） |
任意（Any） |
ユーザは単一のアクティブなセッションに制限されます。すでにアクティブ セッションがあるユーザ アカウントにログインしようとすると、もう一方のセッションを終了するか、または別のユーザとしてログインするように求められます。
-
Web インターフェイスにアクセスできない場合は、システム管理者に連絡してアカウントの特権を変更してもらうか、管理者アクセス権を持つユーザとしてログインし、アカウントの特権を変更します。
-
Cisco Firepower Management Center Getting Started Guide for Models 750, 1500, 2000, 3500 and 4000および ユーザ アカウントの作成 の説明に従って、初期セットアップ手順を完了し、ユーザ アカウントを作成します。
Web インターフェイスによる管理対象デバイスへのログイン
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
7000 & 8000 シリーズ |
該当なし |
任意（Any） |
ユーザは単一のアクティブなセッションに制限されます。すでにアクティブ セッションがあるユーザ アカウントにログインしようとすると、もう一方のセッションを終了するか、または別のユーザとしてログインするように求められます。
-
Web インターフェイスにアクセスできない場合は、システム管理者に連絡してアカウントの特権を変更してもらうか、管理者アクセス権を持つユーザとしてログインし、アカウントの特権を変更します。
-
デバイスに該当する Firepower クイック スタート ガイドおよび ユーザ アカウントの作成 の説明に従って、初期セットアップ手順を完了し、ユーザ アカウントを作成します。
CAC クレデンシャルを使用した Firepower Management Center へのログイン
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
Management Center |
任意（Any） |
任意（Any） |
ユーザは単一のアクティブなセッションに制限されます。
注意 | ブラウズ セッションがアクティブな間は、CAC を削除しないでください。セッション中に CAC を削除または交換すると、Web ブラウザでセッションが終了し、システムにより Web インターフェイスから強制的にログアウトされます。 |
-
Web インターフェイスにアクセスできない場合は、システム管理者に連絡してアカウントの特権を変更してもらうか、管理者アクセス権を持つユーザとしてログインし、アカウントの特権を変更します。
-
Cisco Firepower Management Center Getting Started Guide for Models 750, 1500, 2000, 3500 and 4000および ユーザ アカウントの作成 の説明に従って、初期セットアップ手順を完了し、ユーザ アカウントを作成します。
-
CAC 認証の設定の説明に従って、CAC の認証と認可を設定します。
CAC クレデンシャルを使用した管理対象デバイスへのログイン
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
7000 & 8000 シリーズ |
該当なし |
任意（Any） |
ユーザは単一のアクティブなセッションに制限されます。
注意 | ブラウズ セッションがアクティブな間は、CAC を削除しないでください。セッション中に CAC を削除または交換すると、Web ブラウザでセッションが終了し、システムにより Web インターフェイスから強制的にログアウトされます。 |
-
Web インターフェイスにアクセスできない場合は、システム管理者に連絡してアカウントの特権を変更してもらうか、管理者アクセス権を持つユーザとしてログインし、アカウントの特権を変更します。
-
デバイスに該当する Firepower クイック スタート ガイドおよび ユーザ アカウントの作成 の説明に従って、初期セットアップ手順を完了し、ユーザ アカウントを作成します。
-
CAC 認証の設定の説明に従って、CAC の認証と認可を設定します。
コマンドライン インターフェイスへのログイン
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
従来型（Classic） |
該当なし |
CLI の基本設定 |
従来型管理対象デバイス（7000 & 8000 シリーズ、NGIPSv、および ASA FirePOWER）のコマンドライン インターフェイスに直接ログインできます。
最初のログインにデフォルトの admin ユーザを使用して初期設定プロセスを完了します。
-
7000 & 8000 シリーズ デバイスで、ユーザ アカウントの作成の説明に従って、Web インターフェイスでユーザ アカウントを作成します。
-
すべてのデバイスで、CLI にログインできる追加のユーザ アカウントを configure user add コマンドを使用して作成します。
Web インターフェイスでの基本システム情報の表示
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
[バージョン情報（About）] ページには、Firepower システムのさまざまなコンポーネントのモデル、シリアル番号、バージョン情報など、アプライアンスに関する情報が示されます。また、シスコの著作権情報も示されます。
Firepower Management Center のドメインの切り替え
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
Management Center |
任意（Any） |
任意（Any） |
マルチドメイン導入環境では、ユーザ ロール権限によって、ユーザがアクセスできるドメインと、そのドメイン内でのユーザの権限が決まります。単一のユーザ アカウントを複数のドメインに関連付けて、各ドメインでそのユーザに異なる権限を割り当てることができます。たとえば、あるユーザにグローバル ドメインでは読み取り専用権限を割り当て、子孫ドメインでは管理者権限を割り当てることができます。
複数のドメインに関連付けられているユーザは、同じ Web インターフェイス セッション内でドメインを切り替えることができます。
ツールバーのユーザ名の下に、利用可能なドメインのツリーが表示されます。ツリーの表示は次のようになります。
-
先祖ドメインは表示されますが、使用しているユーザ アカウントに割り当てられた権限に応じて、先祖ドメインへのアクセスが無効である場合があります。
-
兄弟ドメインや子孫ドメインを含め、使用しているユーザ アカウントでアクセスできない他のドメインは非表示になります。
ドメインを切り替えると、以下の項目が表示されます。
Firepower システム Web インターフェイスからのログアウト
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
該当なし |
任意（Any） |
任意（Any） |
任意（Any） |
任意（Any） |
Firepower システムの Web インターフェイスをアクティブに使用しなくなった場合、シスコでは、少しの間 Web ブラウザから離れるだけであっても、ログアウトすることを推奨しています。ログアウトすることで Web セッションを終了し、別のユーザが自分の資格情報を使用してインターフェイスを使用できないようにします。
コンテキスト メニュー
Firepower システム Web インターフェイスの特定のページでは、右クリック（最も一般的）および左クリックでコンテキスト メニューを表示できます。コンテキスト メニューは、Firepower システム内の他の機能にアクセスするためのショートカットとして使用できます。コンテキスト メニューの内容はどこでこのメニューにアクセスするか（どのページかだけでなく特定のデータにアクセスしているか）によって異なります。
-
IP アドレスのホットスポットでは、そのアドレスに関連付けられているホストに関する情報（使用可能な whois とホスト プロファイル情報を含む）が表示されます。
-
SHA-256 ハッシュ値のホットスポットでは、ファイルの SHA-256 ハッシュ値をクリーン リストまたはカスタム検出リストに追加したり、コピーするためにハッシュ値全体を表示したりできます。
Firepower システム コンテキスト メニューをサポートしていないページや場所では、ブラウザの通常のコンテキスト メニューが表示されます。
- ポリシー エディタ
-
多くのポリシー エディタには、各ルールのホットスポットが含まれています。新しいルールとカテゴリの挿入、ルールの切り取り、コピー、貼り付け、ルール状態の設定、ルールの編集などを行うことができます。
- 侵入ルール エディタ
-
侵入ルール エディタには、各侵入ルールのホットスポットが含まれています。ルールの編集、ルール状態の設定、しきい値および抑止オプションの設定、ルールのドキュメンテーションの表示などを行うことができます。
- イベント ビューア
-
イベント ページ（ドリルダウン ページとテーブル ビュー）には、各イベント、IP アドレス、URL、DNS クエリ、特定のファイルの SHA-256 ハッシュ値のホットスポットが含まれています。ほとんどのイベント タイプでは、表示中に以下の操作を行うことができます。
-
Context Explorer で関連情報を表示する。
-
新しいウィンドウでイベント情報をドリルダウンする。
-
イベント フィールドに含まれているテキスト（ファイルの SHA-256 ハッシュ値、脆弱性の説明、URL など）が長すぎてイベント ビューですべて表示できない場合、テキスト全体を表示する。
接続イベントの表示中は、デフォルトのセキュリティ インテリジェンスのホワイトリストとブラックリストに以下の項目を追加できます。
キャプチャ ファイル、ファイル イベント、マルウェア イベントの表示中は、以下の操作を行うことができます。
-
クリーン リストまたはカスタム検出リストのファイルを追加または削除する。
-
ファイルのコピーをダウンロードする。
-
アーカイブ ファイル内のネストされたファイルを表示する。
-
ネストされたファイルの親アーカイブ ファイルをダウンロードする。
-
ファイルの構成を表示する。
-
ローカル マルウェア分析およびダイナミック分析対象のファイルを送信する。
侵入イベントの表示中は、侵入ルール エディタまたは侵入ポリシーで実行できるようなタスクを行うことができます。
-
- 侵入イベントのパケット ビュー
-
侵入イベントのパケット ビューには、IP アドレスのホットスポットが含まれています。パケット ビューでは、左クリックによるコンテキスト メニューを使用します。
- ダッシュボード
-
多くのダッシュボード ウィジェットには、関連する情報を Context Explorer で表示するためのホットスポットが含まれています。ダッシュボード ウィジェットには、IP アドレスと SHA-256 ハッシュ値のホットスポットが含まれる場合もあります。
- Context Explorer
-
Context Explorer には、図、表、グラフのホットスポットが含まれています。Context Explorer よりも詳細なグラフまたはリストのデータを調べたい場合は、関連するデータのテーブル ビューにドリルダウンすることができます。また、関連するホスト、ユーザ、アプリケーション、ファイル、および侵入ルールの情報を表示できます。
Context Explorer でも左クリックのコンテキスト メニューを使用します。これには、Context Explorer に特有のフィルタリングおよび他のオプションも含まれています。
フィードバック