このトピックでは、ユーザ アイデンティティおよびユーザ制御の一般的な用語について説明します。

ユーザー認識

アイデンティティソース（TS エージェントなど）を使用して、ネットワーク上のユーザーを識別します。ユーザー認識によって、権限のあるソース（Active Directory など）および権限のないソース（アプリケーションベース）の両方からユーザーを識別できます。Active Directory をアイデンティティ ソースとして使用するには、レルムおよびディレクトリを設定する必要があります。詳細については、ユーザー アイデンティティ ソースについてを参照してください。

ユーザー制御

アクセス コントロール ポリシーに関連付けるアイデンティティ ポリシーを構成します。（アイデンティティ ポリシーは、アクセス コントロール サブポリシーと呼ばれるようになります。）アイデンティティ ポリシーはアイデンティティ ソースを指定し、オプションで、そのソースに属するユーザおよびグループを指定します。

アイデンティティ ポリシーをアクセス コントロール ポリシーに関連付けることで、ネットワークのトラフィックでユーザまたはユーザ アクティビティをモニタ、信頼、ブロックまたは許可するかどうかを決定します。詳細については、アクセス コントロール ポリシーを参照してください。

権限のあるアイデンティティ ソース

信頼できるサーバによってユーザ ログインが検証されています（たとえば、Active Directory）。権限のあるログインから取得したデータを使用すると、ユーザー認識とユーザー制御を実行できます。権限のあるユーザー ログインは、パッシブ認証とアクティブ認証から得られます。

• パッシブ認証は、ユーザーが外部リポジトリ経由で認証されるときに発生します。サポートされているパッシブ認証ユーザーリポジトリは、ISE/ISE-PIC、TS エージェント、Microsoft Active Directory、および Microsoft Azure Active Directory です。

• アクティブ認証は、ユーザが事前設定済みの管理対象デバイス経由で認証されるときに発生します。アクティブ認証はキャプティブポータルとも呼ばれます。別の認証方式として、リモートアクセス VPN がサポートされています。アクティブ認証は通常、パッシブ認証と同じユーザーリポジトリを使用します（例外として、ISE/ISE-PIC、 および TS エージェントはパッシブのみです）。

権限のないアイデンティティ ソース

ユーザー ログインの検証を行った不明または信頼できないサーバー。トラフィックベースの検出は、システムでサポートされている唯一の権限のないアイデンティティソースです。権限のないログインから取得されたデータを使用すると、ユーザー認識を実行できます。

次の表に、システムでサポートされているユーザー アイデンティティ ソースの概要を示します。各アイデンティティ ソースは、ユーザ認識のためのユーザの記憶域を提供します。これらのユーザは、アイデンティティおよびアクセス コントロール ポリシーで制御できます。

展開するアイデンティティ ソースを選択する際には、以下を検討してください。

• 非 LDAP ユーザー ログインにはトラフィック ベースの検出を使用する必要があります。

• 失敗したログインまたは認証アクティビティを記録するには、トラフィック ベースの検出またはキャプティブ ポータルを使用する必要があります。失敗したログインまたは認証試行で新しいユーザーがデータベース内のユーザーのリストに追加されることはありません。

• キャプティブ ポータルのアイデンティティ ソースには、ルーテッド インターフェイスを備えた管理対象デバイスが必要です。キャプティブ ポータルでインライン（タップ モードとも呼ばれます）インターフェイスを使用することはできません。

これらのアイデンティティ ソースからのデータは、Management Center のユーザー データベースとユーザー アクティビティ データベースに格納されます。Management Center サーバー ユーザー ダウンロードを設定して、新しいユーザー データがデータベースに自動的かつ定期的にダウンロードされるようにできまます。

必要なアイデンティティ ソースを使用してアイデンティティ ルールを設定したら、各ルールにアクセス コントロール ポリシーを関連付け、ポリシーを有効にするために管理対象デバイスに展開する必要があります。アクセス コントロール ポリシーおよび展開の詳細については、アクセス制御への他のポリシーの関連付けを参照してください。

ユーザーアイデンティティの一般情報については、ユーザー アイデンティティについてを参照してください。

システムがユーザー ログイン、またはアイデンティティ ソースからのユーザー データを検出すると、そのログインからのユーザーは、Management Center ユーザー データベース内のユーザーのリストに照らしてチェックされます。ログイン ユーザが既存のユーザと一致した場合は、ログインからのデータがそのユーザに割り当てられます。ログインが SMTP トラフィック内に存在しない場合は、既存のユーザと一致しないログインによって新しいユーザが作成されます。SMTP トラフィック内の一致しないログインは破棄されます。

ユーザーは Management Center で確認されるとすぐに、そのユーザーが属するグループと関連付けられます。

次の図は、ユーザーデータの収集および保存の仕組みを示しています。

サンプルのアイデンティティ展開

ここで説明するサンプル展開は、次の図に示すシステムに基づいています。

前の図では、CDO および 1 つの管理対象デバイスが AWS に展開され、他のデバイスがオンプレミスに配置されています。これらのデバイスは、物理デバイスまたは仮想デバイスであり、相互に通信できる必要があります。

オンプレミスの 2 つの管理対象デバイスは、プロキシシーケンスとして使用することを目的としています。これらのデバイスも CDO に追加する必要があります。

プロキシシーケンスは、LDAP、Active Directory、または ISE/ISE-PIC サーバーとの通信に使用できる 1 台以上の管理対象デバイスです。Cisco Defense Orchestrator（CDO）が Active Directory か ISE/ISE-PIC サーバーと通信できない場合にのみ必要です（たとえば、CDO がパブリッククラウドにある一方、Active Directory または ISE/ISE-PIC がプライベートクラウドにあるといったケースが考えられます）。

LDAP または Active Directory は、TS エージェントとキャプティブポータルにのみ必要です。後続の段落を参照してください。

同様のシステム設定の詳細については、アイデンティティ ポリシーの設定方法を参照してください。

ISE/ISE-PIC アイデンティティ ソース

ISE/ISE-PIC アイデンティティソースを展開する際、CDO が ISE/ISE-PIC サーバーに直接接続できない場合、CDO はプロキシシーケンスに接続します。ユーザー、グループ、およびサブスクリプションは、ISE/ISE-PIC サーバーから AWS の管理対象デバイスに送信されます。

必要に応じて、ISE/ISE-PIC 展開に LDAP サーバーを含めることができますが、必須ではないので、次の図には示されていません。

ISE/ISE-PIC の詳細については、ISE/ISE-PIC アイデンティティ ソースを参照してください。

TS エージェント アイデンティティ ソース

Terminal Services（TS）エージェントソフトウェアは Microsoft サーバー上で動作し、ユーザーがサーバーにログインするポート範囲に基づいて CDO ユーザー情報を送信します。TS エージェントは、LDAP または Active Directory からユーザー ID 情報を取得して CDO に送信します。

TS エージェント アイデンティティ ソースの詳細については、ターミナル サービス（TS）エージェントのアイデンティティ ソースを参照してください。

キャプティブポータルのアイデンティティソース

キャプティブポータルは、Active Directory に加えて LDAP をサポートする唯一のアイデンティティソースです。ユーザーが AWS の管理対象デバイスを使用し、IP アドレスまたはホスト名を使用してネットワークリソースにアクセスを試みると、キャプティブポータルのアイデンティティソースがトリガーされます。キャプティブポータルは、プロキシシーケンスを使用して LDAP または Active Directory からユーザー情報を取得し、CDO に送信します。

キャプティブポータルのアイデンティティソースの詳細については、キャプティブ ポータルのアイデンティティ ソースを参照してください。

トラフィック ベースの検出

トラフィックベースの検出は、ネットワーク上のアプリケーションのみを検出するように設計されているため、Active Directory のようなユーザーリポジトリやプロキシシーケンスは不要です。詳細については、ホスト、アプリケーション、およびユーザーのデータの検出についてを参照してください。

Secure Firewall Management Center のユーザ アクティビティ データベースには、設定されたすべてのアイデンティティ ソースによって検出または報告されたネットワーク上のユーザ アクティビティのレコードが含まれています。システムがイベントを記録するのは以下のような状況です。

• 個別のログインまたはログオフを検出したとき。

• 新しいユーザを検出したとき。

• システム管理者が手動でユーザを削除したとき。

• データベース内に存在しないユーザをシステムが検出したものの、ユーザ数の制限に達したためにそのユーザを追加できなかったとき。

• ユーザーに関連付けられている侵害の兆候を解決したとき、またはユーザーに対して侵害の兆候ルールを有効または無効にしたとき。

（注）	TS エージェントが別のパッシブ認証のアイデンティティソース（ISE/ISE-PIC など）と同じユーザーをモニターする場合、Management Center では TS エージェントのデータを優先します。同じ IP アドレスからの同じアクティビティが TS エージェントと別のパッシブソースから報告される場合、TS エージェントのデータだけが Management Center に記録されます。

システムで検出されたユーザーアクティビティは、Secure Firewall Management Centerを使用して表示できます（[分析（Analysis）] > [ユーザー（Users）] > [ユーザーアクティビティ（User Activity）]）。

Secure Firewall Management Center のユーザー データベースには、設定されたすべてのアイデンティティ ソースによって検出または報告されたユーザーごとのレコードが含まれています。権限のあるソースから取得したデータをユーザ制御に使用できます。

サポートされている権限のないアイデンティティ ソースと権限のあるアイデンティティ ソースの詳細については、ユーザー アイデンティティ ソースについて を参照してください。

Microsoft Active Directory のユーザー制限 で説明されているように、Secure Firewall Management Center で保存できるユーザーの合計数は Secure Firewall Management Center のモデルによって異なります。ユーザ制限に達した後、システムは、アイデンティティ ソースに基づいて未検出ユーザ データを次のように優先順位付けします。

• 新しいユーザーが権限のないアイデンティティ ソースからである場合、ユーザーはデータベースに追加されません。新規ユーザを追加できるようにするには、手動またはデータベースの消去によってユーザを削除する必要があります。

• 新しいユーザーが権限のあるアイデンティティ ソースからである場合、システムは最も長い期間にわたって非アクティブのままになっている権限のないユーザーを削除し、データベースに新しいユーザーを追加します。

アイデンティティ ソースが特定のユーザ名を除外するように設定されている場合、それらのユーザ名のユーザ アクティビティ データは Secure Firewall Management Center に報告されません。これらの除外されたユーザ名はデータベースに残りますが、IP アドレスに関連付けられません。システムによって保存されるデータのタイプの詳細については、Cisco Secure Firewall Management Center アドミニストレーション ガイドの「User Data」を参照してください。

Management Center の高可用性が設定済みで、プライマリに障害が発生した場合、キャプティブポータル、ISE/ISE-PIC、TS エージェント、またはリモートアクセス VPN デバイスから報告されるログインはフェールオーバー ダウンタイム中に識別不能になります（ユーザーが以前に確認されて Management Center にダウンロードされている場合も同様）。識別されていないユーザーは、Management Center で [不明（Unknown）] のユーザーとして記録されます。ダウンタイム後、不明のユーザーはアイデンティティ ポリシーのルールに従って再確認され、処理されます。

（注）	TS エージェントが別のパッシブ認証の ID ソース（ISE/ISE-PIC）と同じユーザーをモニターしている場合、Management Center は TS エージェントのデータを優先します。同じ IP アドレスからの同じアクティビティが TS エージェントと別のパッシブソースから報告される場合、TS エージェントのデータだけが Management Center に記録されます。

システムが新しいユーザ セッションを検出すると、そのユーザ セッションのデータは、次のいずれかが発生するまでユーザ データベースに残ります。

• Management Center のユーザーが手動でユーザーセッションを削除した。

• アイデンティティ ソースがそのユーザー セッションのログオフを報告した。

• レルムがレルムの [ユーザー セッションのタイムアウト：認証されたユーザー（User Session Timeout: Authenticated Users）] 設定、[ユーザー セッションのタイムアウト：認証に失敗したユーザー（User Session Timeout: Failed Authentication Users）] 設定、または [ユーザー セッションのタイムアウト：ゲスト ユーザー（User Session Timeout: Guest Users）] 設定で指定されているユーザー セッションを終了した。

システムは（ネットワーク検出ポリシーで定義されている）モニタ対象ネットワークで IP アドレスに関連付けられたアクティビティを検出すると、ネットワーク マップにホストを追加します。Secure Firewall Management Center がモニタでき、ネットワーク マップに保存できるホストの数。モデルによって異なります。

ネットワーク マップに存在しないホストのコンテキスト データは表示できません。ただし、アクセス制御は実行できます。たとえば、コンプライアンス allow リストを使用してホストのネットワーク コンプライアンスをモニターできない場合でも、ネットワークマップに存在しないホストとの間のトラフィックでアプリケーション制御を実行できます。

（注）	システムでは、IP アドレスと MAC アドレスの両方によって識別されるホストとは別に、MAC 専用ホストがカウントされます。1 つのホストに関連付けられているすべての IP アドレスは、まとめて 1 つのホストとしてカウントされます。