ISE/ISE-PIC を構成する際に、このセクションで説明されているガイドラインを使用してください。

ISE/ISE-PIC バージョンと設定の互換性

ご使用の ISE/ISE-PIC バージョンと設定は、次のように Secure Firewall Management Center との統合や相互作用に影響を与えます。

• 最新バージョンの ISE/ISE-PIC を使用して最新の機能セットを入手することを強くお勧めします。

• ISE/ISE-PIC サーバーと Secure Firewall Management Center の時刻を同期します。そうしないと、システムが予期しない間隔でユーザーのタイムアウトを実行する可能性があります。

• ISE または ISE-PIC データを使用してユーザー制御を実装するには、LDAP レルムまたは Active Directory レルムおよびレルムディレクトリの作成 の説明に従って、pxGrid のペルソナを想定して ISE サーバーのレルムを設定し有効にします。

• ISE サーバーに接続する各 Secure Firewall Management Center ホスト名は一意である必要があります。そうでない場合、Secure Firewall Management Center のいずれかへの接続は廃棄されます。

• 多数のユーザーグループをモニターするように ISE/ISE-PIC を設定した場合、システムは管理対象デバイスのメモリ制限のためにグループに基づいてユーザーマッピングをドロップすることがあります。その結果、レルムまたはユーザー条件を使用するルールが想定どおりに実行されない可能性があります。

  6.7 以降を実行しているデバイスの場合、configure identity-subnet-filter コマンドを使用して、管理対象デバイスがモニタするサブネットを制限することもできます。詳細については、Cisco Secure Firewall Threat Defense コマンドリファレンスを参照してください。

  または、ネットワークオブジェクトを設定し、そのオブジェクトを ID ポリシーのアイデンティティ マッピング フィルタとして適用できます。アイデンティティ ポリシーの作成を参照してください。

システムのこのバージョンと互換性がある特定のバージョンの ISE/ISE-PIC については、Cisco Firepower Compatibility Guideを参照してください。

IPv6 のサポート

• ISE/ISE-PIC のバージョン 2.x の互換性のあるバージョンには、IPv6 対応エンドポイントのサポートが含まれています。

• ISE/ISE-PIC のバ ージョン 3.0（パッチ 2）以降では、ISE/ISE-PIC と Management Center 間の IPv6 通信が可能です。

ISE でのクライアントの認証

ISE サーバーと Management Center 間の接続を確立するには、ISE のクライアントを手動で承認する必要があります。（通常、接続テスト用と ISE エージェント用の 2 つのクライアントがあります）。

『Cisco Identity Services Engine Administrator Guide』の「Managing users and external identity sources」の章で説明しているように、ISE で [新しいアカウントを自動的に承認（Automatically approve new accounts）] を有効にすることもできます。

到達不能なセッションは削除されます。

ISE/ISE-PIC のユーザーセッションが到達不能として報告された場合、Secure Firewall Management Center ではそのセッションがプルーニングされ、同じ IP を持つ別のユーザーは到達不能なユーザーのアイデンティティルールに一致できません。

[プロバイダー（Providers）] > [エンドポイントプローブ（Endpoint Probes）] に移動し、次のいずれかをクリックして、ISE/ISE-PIC でこの動作を制御できます。

• [有効（Enabled）] にすると、ISE/ISE-PIC がエンドポイント接続を監視し、Secure Firewall Management Center で到達不能なユーザーからのセッションをプルーニングできます。

• [無効（Disabled）] にすると、ISE/ISE-PIC はエンドポイント接続を無視します。

セキュリティ グループ タグ（SGT）（Security Group Tag (SGT)）

セキュリティグループタグ（SGT）は、信頼ネットワーク内のトラフィックの送信元の権限を指定します。Cisco ISE および Cisco TrustSec は、ネットワークに入るときに、セキュリティ グループ アクセス（SGA）と呼ばれる機能を使用して、パケットに SGT 属性を適用します。これらの SGT は、ISE または TrustSec 内のユーザの割り当てられたセキュリティグループに対応します。ID ソースとして ISE を設定すると、Firepower システムは、これらの SGT を使用してトラフィックをフィルタリングできます。

セキュリティ グループ タグは、アクセス コントロール ルール内の送信元および宛先の両方の一致基準として使用できます。

（注）	ISE SGT 属性タグのみを使用してユーザー制御を実装する場合、ISE サーバーのレルムを設定する必要はありません。ISE SGT 属性条件は、関連するアイデンティティ ポリシーの有無にかかわらずポリシーで設定できます。

（注）	一部のルールでは、カスタム SGT 条件が ISE によって割り当てられなかった SGT 属性にタグ付けされたトラフィックを照合できます。これはユーザー制御とみなされず、アイデンティティ ソースとして ISE/ISE-PIC を使用しない場合にのみ機能します。カスタム SGT 条件 を参照してください。

送信元 SGT タグに加えて宛先 SGT タグを照合するには、次の条件が適用されます。

必要な ISE バージョン：2.6 パッチ 6 以降、2.7 パッチ 2 以降

ルータのサポート：イーサネットを介した SGT インライン タギングをサポートする任意のシスコ ルータ。詳細については、『Cisco Group Based Policy Platform and Capability Matrix Release』などの参考資料を参照してください。

制限事項

• サービス品質（QoS）ポリシーは、送信元 SGT 照合のみを使用し、宛先 SGT 照合は使用しません。

• RA-VPN は、RADIUS を介した SGT マッピングの直接の受信はしません。

ISE と高可用性

プライマリ ISE/ISE-PIC サーバーで障害が発生すると、次のようなことが起きます。

pxGrid v2 との統合の結果として、Management Center は、一方が接続を受け入れるまで設定された両方の ISE ホスト間のラウンドロビンを行います。

接続が失われると、Management Center は接続されたホストへのラウンドロビンの試行を再開します。

エンドポイント ロケーション（Endpoint Location）（またはロケーション IP（Location IP））

[エンドポイント ロケーション（Endpoint Location）] 属性は、ISE によって識別される、ユーザーの認証に ISE を使用したネットワーク デバイスの IP アドレスです。

[エンドポイント ロケーション（Endpoint Location）]（[ロケーション IP（Location IP）]）に基づいてトラフィックを制御するには、アイデンティティ ポリシーを設定し、展開する必要があります。

ISE 属性

ISE 接続を設定すると、ISE 属性データが Secure Firewall Management Center データベースに入力されます。ユーザー認識とユーザー制御に使用できる ISE 属性は、次のとおりです。 これは、ISE-PIC ではサポートされません。

エンドポイント プロファイル（Endpoint Profile）（またはデバイス タイプ（Device Type））

[エンドポイント プロファイル（Endpoint Profile）] 属性は、ISE によって識別されるユーザーのエンドポイント デバイス タイプです。

[エンドポイント プロファイル（Endpoint Profile）]（[デバイス タイプ（Device Type）]）に基づいてトラフィックを制御するには、アイデンティティ ポリシーを設定し、展開する必要があります。

ISE/ISE-PIC は、次の設定のいずれかで使用できます。

• レルム、アイデンティティ ポリシー、および関連付けられたアクセス コントロール ポリシーを使用。

  レルムを使用して、ポリシー内のネットワーク リソースへのユーザー アクセスを制御します。ポリシーでは、ISE/ISE-PIC セキュリティ グループ タグ（SGT）のメタデータを引き続き使用できます。

• アクセス コントロール ポリシーのみを使用。レルムまたはアイデンティティ ポリシーは必要ありません。

  SGT メタデータのみを使用してネットワーク アクセスを制御するには、この方法を使用します。

次のトピックでは、Management Center のアイデンティティポリシーで使用するように ISE/ISE-PIC サーバーを設定する方法について説明します。

このトピックでは、次の方法について説明します。

• Management Center で認証するために ISE/ISE-PIC サーバーから証明書をエクスポートします。

• Management Center を ISE サーバーのセキュリティグループタグ（SGT）で更新できるように、SXP トピックを公開します。