アクセスコントロールルール：カスタムセキュリティグループタグ

セキュリティグループタグ（SGT）は、信頼ネットワーク内におけるトラフィックの送信元の権限を指定します。ユーザが TrustSec または ISE でセキュリティグループを追加すると、セキュリティグループアクセス（Cisco TrustSec と Cisco ISE の両方に共通の機能）が自動的に SGT を生成します。SGA は、パケットがネットワークに入ると、SGT 属性を適用します。ISE をアイデンティティソースとして設定するかまたはカスタム SGT オブジェクトを作成することで、アクセスコントロール用に SGT を使用できます。

カスタム SGT 条件により、カスタム SGT オブジェクトに基づいてアクセスコントロールルールを設定できます。カスタム SGT オブジェクトの FirePOWER システムへの追加は、ISE を介して SGT を取得するのではなく、手動で行います。

カスタム SGT 条件を使用できるのは、アイデンティティソースとしての ISE/ISE-PIC を無効にしている場合のみです。

ISE SGT およびカスタム SGT ルール条件

ISE をアイデンティティソース（ISE SGT）として設定するかまたはカスタム SGT オブジェクト（custom SGT）を作成することで、アクセスコントロール用に SGT を使用できます。システムによる ISE SGT とカスタム SGT ルール条件の扱いは、次のように異なります。

ISE SGT：設定済みの ISE 接続がある

アクセスコントロールルールでは、ISE SGT は ISE 属性条件として使用できます。[SGT/ISE Attributes] タブの [Available Attributes] リストから [Security Group Tag] を選択すると、システムは使用可能なタグを ISE に照会して、[Available Metadata] リストに入力します。パケットに SGT 属性が存在するかしないかにより、システムの応答が次のように決まります。

SGT 属性がパケット内に存在している場合、システムはその値を抽出し、それをアクセスコントロールルール内の ISE SGT 条件と比較します。
SGT 属性がパケットにない場合、システムはパケットのソース IP アドレスと関連付けられている SGT が ISE で既知であるかどうかを判別し、SGT をアクセスコントロールルール内の ISE SGT 条件と比較します。

カスタム SGT：設定済みの ISE 接続がない

カスタム SGT オブジェクトを作成し、それをアクセスコントロールルール内の条件として使用できます。[SGT/ISE Attributes] タブの [Available Attributes] リストから [Security Group Tag] を選択すると、システムは [Available Metadata] リストに、ユーザが追加した SGT オブジェクトを入力します。パケットに SGT 属性が存在するかしないかにより、システムの応答が次のように決まります。

SGT 属性がパケット内に存在している場合、システムはその値を抽出し、それをアクセスコントロールルール内のカスタム SGT 条件と比較します。
SGT 属性がパケット内にない場合、システムはパケットをアクセスコントロールルール内のカスタム SGT 条件と照合しません。

カスタム SGT から ISE SGT ルール条件への自動移行

カスタム SGT オブジェクトを条件として使用してアクセスコントロールルールを作成した後に ISE/ISE-PIC をアイデンティティソースとして設定した場合のシステムの動作は、次のとおりです。

オブジェクトマネージャの [セキュリティグループタグ（Security Group Tag）] オブジェクトオプションを無効にします。ISE/ISE-PIC 接続を無効にしない限り、新規 SGT オブジェクトの追加、既存 SGT オブジェクトの編集、または新規条件としての SGT オブジェクトの追加はできません。
既存の SGT オブジェクトを保持します。これら既存のオブジェクトは変更できません。それらは、それらを条件として使用する既存のアクセスコントロールルールのコンテキストでのみ表示できます。
カスタム SGT 条件がある既存のアクセスコントロールルールを保持します。カスタム SGT オブジェクトは手動編集でしか更新できないため、シスコはこれらのルールを削除するか、または無効にすることをお勧めしています。代わりに、SGT を ISE 属性条件として使用するルールを作成してください。システムは ISE 属性条件の SGT メタデータを更新するように ISE を自動的に照会しますが、手動編集ではカスタム SGT オブジェクトしか更新できません。

カスタム SGT 条件の設定

ライセンス：任意

カスタムセキュリティグループタグ（SGT）を設定する方法：

手順

ステップ 1	アクセスコントロールルールエディタで、[SGT/ISE Attributes] タブをクリックします。
ステップ 2	[Available Attributes] リストから [Security Group Tag] を選択します。
ステップ 3	[Available Metadata] リストで、カスタム SGT オブジェクトを見つけて選択します。選択すると、ルールは SGT 属性があるすべてのトラフィックと一致します。たとえば、この値は、TrustSec 向けに構成されていないホストからのトラフィックをブロックするルールが必要な場合に選択できます。
ステップ 4	[Add to Rule] をクリックするか、ドラッグアンドドロップします。
ステップ 5	ルールを保存するか、編集を続けます。

次のタスク

設定変更を展開します。設定変更の導入を参照してください。

カスタム SGT 条件のトラブルシューティング

予期しないルールの動作に気付いたら、カスタム SGT オブジェクトの設定を調整することを検討してください。

使用不可のセキュリティグループタグオブジェクト

カスタム SGT オブジェクトは、ISE/ISE-PIC をアイデンティティソースとして設定していない場合にのみ使用できます。詳細については、「カスタム SGT から ISE SGT ルール条件への自動移行」を参照してください。

Cisco ASA with FirePOWER Services バージョン 6.3 ローカル管理設定ガイド

偏向のない言語

翻訳について

Book Title

Cisco ASA with FirePOWER Services バージョン 6.3 ローカル管理設定ガイド

Chapter Title