複数のISEクラスタとTrustSecベースのポリシー用のセキュアなWebアプライアンスの統合

ダウンロード オプション

  • PDF     (1.4 MB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (1.2 MB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (717.0 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2022 年 7 月 22 日
Document ID:CX217987

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

    概要

    このドキュメントでは、TrustSec環境でSGTベースのWebアクセスポリシーを利用するために、複数のISE環境からpxGridを介して単一のCisco Secure Web Appliance（旧称Web Security Appliance WSA）にセキュリティグループタグ(SGT)情報を送信する手順について説明します。

    バージョン14.5より前のSecure Web Applianceは、SGTに基づくアイデンティティポリシー用に単一のISEクラスタとのみ統合できます。この新しいバージョンの導入により、Secure Web Applianceは、複数のISEクラスタ間で集約された個別のISEノードを使用して、複数のISEクラスタの情報と相互運用できるようになりました。これにより、さまざまなISEクラスタからユーザデータをエクスポートでき、1:1統合を必要とせずにユーザが使用できる出力点を制御できます。

    前提条件

    要件

    次の項目に関する知識があることが推奨されます。

    • Identity Services Engine（ISE）
    • セキュアWebアプライアンス
    • RADIUS プロトコル
    • TrustSec
    • pxGrid

    使用するコンポーネント

    このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

    • Secure Web Appliance 14.5
    • ISEバージョン3.1 P3

    このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

    制限

    1. すべてのISEクラスタは、SGTの均一なマッピングを維持する必要があります。
    2. ISEアグリゲーションノードには、残りのISEクラスタのSGT名/番号が必要です。
    3. セキュアなWebアプライアンスでは、SGTタグに基づいてポリシー（アクセス/復号化/ルーティング）を識別することしかできず、グループやユーザ名は識別​できません​
    4. レポーティングとトラッキングはSGTベースで​す。
    5. 既存のISE/セキュアWebアプライアンスのサイジングパラメータは、引き続きこの機能に適用されます。

    ネットワーク図

    Screen Shot 2022-07-18 at 14.22.14

    プロセス：

    1.エンドユーザがネットワークに接続すると、ISEの許可ポリシーに基づいてSGTを受信します。

    2.異なるISEクラスタは、このSGT情報をSGT-IPマッピングの形式でSXPを介してISEアグリゲーションノードに送信します。

    3. ISEアグリゲーションノードはこの情報を受信し、pxGridを介して単一のセキュアWebアプライアンスと共有します。

    4.セキュアWebアプライアンスは、Webアクセスポリシーに基づいてユーザにアクセスを提供するために学習したSGT情報を使用します。

    設定

    ISE の設定

    SXPの有効化

    ステップ1:[Three Lines]アイコンを選択します ecanogut_0-1658214465240 左上隅にある[Administration] > [System] > [Deployment] を選択します。


    ステップ2：設定するノードを選択し、[Edit]をクリックします。

    Screen Shot 2022-07-18 at 14.22.38

    ステップ3:SXPを有効にするには、[Enable SXP Service] チェックボックスをオンにします

    Screen Shot 2022-07-18 at 14.22.45

    ステップ4：下部までスクロールし、[Save]をクリックします

    注：アグリゲーションノードを含む各クラスタの残りのISEノードに対して、すべての手順を繰り返します。

    クラスタノードでのSXPの設定

    ステップ1:3行のアイコンを選択しますecanogut_0-1658214465240を選択します。 [Work Center] > [TrustSec] > [SXP]。

    ステップ2:ISEアグリゲーションノードをSXPピアとして設定するには、[Add] をクリックします。

    Screen Shot 2022-07-18 at 14.22.53

    ステップ3:ISE集約ノードの名前とIPアドレスを定義し、ピアロールをLISTENERとして選択します。[Connected PSNs] で必要なPSNを選択し、[Required SXP Domains] で[Enabled] を選択してから、[Password Type] と必要な[Version] を選択します。

    Screen Shot 2022-07-18 at 14.23.05

    Screen Shot 2022-07-18 at 14.23.19

    ステップ 4：[Save] をクリックします。

    注：各クラスタ内の残りのISEノードに対してすべての手順を繰り返し、集約ノードへのSXP接続を構築します。集約ノードで同じプロセスを繰り返し、ピアロールとして[SPEAKER]を選択します。

    集約ノードでのSXPの設定

    ステップ1:左上隅にある3行のアイコンを選択し、[Work Center] > [TrustSec] > [Settings] を選択します


    ステップ 2：     [SXP Settings] タブをクリックします

    ステップ3:IP-SGTマッピングを伝搬するには、[Publish SXP bindings on pxGrid] チェックボックスをオンにします。

    Screen Shot 2022-07-18 at 14.23.27

    ステップ 4（任意）： [Global Password] でSXP設定のデフォルトパスワードを定義します

    Screen Shot 2022-07-18 at 14.23.33

    ステップ5：下にスクロールして、[Save]をクリックします。

    集約ノードでpxGridを有効にします

    ステップ1:左上隅にある3行のアイコンを選択し、[Administration] > [System] > [Deployment]を選択します。

    ステップ2：設定するノードを選択し、[Edit]をクリックします。

    Screen Shot 2022-07-18 at 14.23.39

    ステップ3:pxGridを有効にするには、pxGridの横にあるボタンをクリックします。

    Screen Shot 2022-07-18 at 14.23.46

    ステップ4：下部までスクロールし、[Save]をクリックします。

    pxGrid自動承認

    ステップ1:左上隅にある3行のアイコンに移動し、[Administration] > [pxGrid Services] > [Settings]を選択します。


    ステップ 2：     デフォルトでは、ISEは新しいpxGridクライアントからの接続要求に対してpxGridを自動的に承認しません。したがって、[Automatically approve new certificate-based accounts]チェックボックスをオンにして、この設定を有効にする必要があります。

    Screen Shot 2022-07-18 at 14.23.54

    ステップ 3：[Save] をクリックします。

    ネットワークデバイスのTrustSec設定

    Cisco ISEがTrustSec対応デバイスからの要求を処理するには、Cisco ISEでこれらのTrustSec対応デバイスを定義する必要があります。

    ステップ1:左上隅にある3行のアイコンに移動し、[Administration] > [Network Resources] > [Network Devices]を選択します。


    ステップ 2：     +Addをクリックします。

    Screen Shot 2022-07-18 at 14.24.00

    ステップ3:[Network Devices] セクションと[RADIUS Authentication Settings] に必要な情報を入力します。

    ステップ4:TrustSec対応デバイスを設定するには、[Advanced TrustSec Settings] チェックボックスをオンにします。

    Screen Shot 2022-07-18 at 14.24.06

    ステップ5:[Use Device ID for TrustSec Identification] チェックボックスをオンにして、[Network Devices] セクションに表示されるデバイス名を自動的に入力します。[Password] フィールドにパスワードを入力します。

    Screen Shot 2022-07-18 at 14.24.13

    注：IDとパスワードは、スイッチで後から設定する「cts credentials id <ID> password <PW>」コマンドと一致する必要があります。

    ステップ6:ISEがTrustSec CoA通知をデバイスに送信できるように、[Send configuration changes to device] チェックボックスをオンにします。

    Screen Shot 2022-07-18 at 14.24.20

    ステップ7:[Include this device when deploying Security Group Tag Mapping Updates] チェックボックスをオンにします。

    ステップ8:ISEでネットワークデバイスの設定を編集できるようにするには、[EXEC Mode Username] フィールドと[EXEC Mode Password] フィールドにユーザクレデンシャルを入力します。オプションで、[Enable Mode Password] フィールドにイネーブルパスワードを入力します。

    注：TrustSecドメインの一部として使用する他のすべてのNADについて、この手順を繰り返します。

    ネットワークデバイス認可

    ステップ1:左上隅にある3行のアイコンを選択し、[Work Centers] > [TrustSec] > [TrustSec Policy] を選択します。


    ステップ 2：     左側のペインで、[Network Device Authorization]をクリックします。

    Screen Shot 2022-07-18 at 14.24.34

    ステップ3:右側で、[Edit] の横にあるドロップダウンを使用し、[Insert new row above] で新しいNDAルールを作成します。

    Screen Shot 2022-07-18 at 14.24.40

    ステップ4:ルール名と条件を定義し、[Security Groups] のドロップダウンリストから適切なSGTを選択します。

    ステップ5：右端の[Done] をクリックします。

    Screen Shot 2022-07-18 at 14.24.45

    ステップ6：下にスクロールして、[Save]をクリックします。

    SGT

    ステップ1:左上隅にある3行のアイコンを選択し、[Work Centers] > [TrustSec] > [Components]を選択します。


    ステップ 2：     左側のペインで、[Security Groups] を展開します。

    ステップ3:+Addをクリックして新しいSGTを作成します。

    Screen Shot 2022-07-18 at 14.25.45

    ステップ4：名前を入力し、該当するフィールドでアイコンを選択します。

    Screen Shot 2022-07-18 at 14.25.50

    ステップ5：オプションで、説明を入力し、[Tag Value]を入力します。

    注：タグ値を手動で入力できるようにするには、[Work Centers] > [TrustSec] > [Settings] > [General TrustSec Settings]に移動し、[Security Group Tag Numbering] で[User Must Enter SGT Number Manually] オプションを選択します。

    ステップ6：下にスクロールして、[Submit]をクリックします

    注：必要なすべてのSGTについて、これらの手順を繰り返します。

    認可ポリシー

    ステップ1:左上にある3行のアイコンを選択し、[Policy] > [Policy Sets]を選択します。


    ステップ 2：     適切なポリシーセットを選択します。

    ステップ3：ポリシーセット内で、[Authorization Policy] を展開します。

    Screen Shot 2022-07-18 at 14.26.00

    ステップ4:[Configuration] ecanogut_9-1658333555505ボタンをクリックして認可ポリシーを作成します。

    Screen Shot 2022-07-18 at 14.26.04

    ステップ5:必要な[Rule Name]、[Condition/s]、および[Profiles] を定義し、[Security Groups] のドロップダウンリストから適切なSGTを選択します。

    Screen Shot 2022-07-18 at 14.26.08

    ステップ6:[Save] をクリックします。

    ISEアグリゲーションノードでのERSの有効化（オプション）

    外部RESTful APIサービス(ERS)は、WSAがグループ情報を照会できるAPIです。ISEでは、ERSサービスはデフォルトで無効になっています。この機能を有効にすると、クライアントはISEノード上のERS Adminグループのメンバーとして認証される場合にAPIを照会できます。ISEでサービスを有効にし、アカウントを正しいグループに追加するには、次の手順を実行します。

    ステップ1:左上隅にある3行のアイコンを選択し、[Administration] > [System] > [Settings]を選択します。


    ステップ 2：     左ペインで、[ERS Settings]をクリックします。

    Screen Shot 2022-07-18 at 14.24.52

    ステップ3:[Enable ERS for Read/Write] オプションを選択します。

    ステップ4:[Save] をクリックし、[OK] をクリックして確定します。

    ESR管理グループへのユーザの追加（オプション）

    ステップ1:左上隅にある3行のアイコンを選択し、[Administration] > [System] > [Admin Access] を選択します


    ステップ 2：     左側のペインで[Administrators] を展開し、[Admin Users] をクリックします。

    ステップ3:[Add] をクリックし、ドロップダウンから[Admin User] を選択します。

    Screen Shot 2022-07-20 at 18.05.29

    ステップ4：該当するフィールドにユーザ名とパスワードを入力します。

    Screen Shot 2022-07-18 at 14.25.01

    ステップ5:[Admin Groups] フィールドで、ドロップダウンを使用して[ERS Admin] を選択します。

    Screen Shot 2022-07-18 at 14.25.06

    ステップ6:[Save] をクリックします。

    セキュアWebアプライアンスの設定

    ルート証明書

    統合設計で、WSAとISE間の接続の信頼ルートとして内部認証局(CA)を使用する場合、このルート証明書を両方のアプライアンスにインストールする必要があります。

    ステップ1:[Network] > [Certificate Management] に移動し、[Manage Trusted Root Certificates] をクリックしてCA証明書を追加します。

    Screen Shot 2022-07-18 at 14.26.14

    ステップ2:[Import]をクリックします。

    Screen Shot 2022-07-18 at 14.26.19

    ステップ3:[Choose File] をクリックして、生成されたルートCAを探し、[Submit] をクリックします。

    ステップ4:[Submit] をもう一度クリックします。

    ステップ5:右上隅の[Commit Changes] をクリックします。

    Screen Shot 2022-07-18 at 14.26.23

    ステップ6:[Commit Changes] をもう一度クリックします。

    pxGrid証明書

    WSAでは、pxGridで使用するキーペアと証明書の作成が、ISEサービス設定の一部として完了します。

    ステップ1:[Network] > [Identity Service Engine]に移動します。

    ステップ2:[Enable and Edit Settings] をクリックします。

    ステップ3:[Choose File] をクリックして生成されたルートCAを探し、[Upload File] をクリックします。

    Screen Shot 2022-07-18 at 14.26.28

    注：一般的な誤設定は、このセクションでISE pxGrid証明書をアップロードすることです。ルートCA証明書を[ISE pxGrid Node Certificate]フィールドにアップロードする必要があります。

    ステップ4:[Web Appliance Client Certificate] セクションで、[Use Generated Certificate and Key] を選択します。

    Screen Shot 2022-07-18 at 14.26.33

    ステップ5:[Generate New Certificate and Key] ボタンをクリックし、必要な証明書フィールドに入力します。

    Screen Shot 2022-07-18 at 14.26.38

    ステップ6:[Download Certificate Signing Request] をクリックします。

    注：[Submit] ボタンを選択して、変更をISE設定にコミットすることをお勧めします。変更が送信される前にセッションがタイムアウトのままになっている場合、CSRがダウンロードされていても、生成されたキーと証明書が失われる可能性があります。

    ステップ7:CAでCSRに署名した後、[Choose File] をクリックして証明書を見つけます。

    Screen Shot 2022-07-18 at 14.26.43

    ステップ8:[Upload File] をクリックします。

    ステップ9:送信して確定します。

    セキュアWebアプライアンスでのSXPおよびERSの有効化

    ステップ1:SXPとERSの両方の[Enable]ボタンをクリックします。

    Screen Shot 2022-07-18 at 14.26.58

    ステップ2:[ERS Administrator Credentials] フィールドに、ISEで設定されたユーザ情報を入力します。

    ステップ3:[Server name same as ISE pxGrid Node] チェックボックスをオンにして、以前に設定した情報を継承します。それ以外の場合は、必要な情報を入力します。

    Screen Shot 2022-07-18 at 14.27.01

    ステップ4:SubmitとCommitを実行します。

    識別プロファイル

    WSAポリシーでセキュリティグループタグまたはISEグループ情報を使用するには、ユーザを透過的に識別する手段としてISEを利用する識別プロファイルを最初に作成する必要があります。

    ステップ1:[Web Security Manager] > [Authentication] > [Identification Profiles] に移動します。

    ステップ2:[Add Identification Profile] をクリックします。

    ステップ3：名前と説明（オプション）を入力します。

    ステップ4:[Identification and Authentication] セクションで、ドロップダウンを使用して[Transparently identify users with ISE] を選択します。

    Screen Shot 2022-07-18 at 14.27.06

    ステップ5:SubmitおよびCommitです。

    SGTベースの復号化ポリシー 

    ステップ1:[Web Security Manager] > [Web Policies] > [Decryption Policies] に移動します。

    ステップ2:[Add Policy] をクリックします。

    ステップ3：名前と説明（オプション）を入力します。

    ステップ4:[Identification Profiles and Users] セクションで、ドロップダウンを使用して[Select One or More Identification Profiles] を選択します。

    ステップ5:[Identification Profiles] セクションで、ドロップダウンを使用してISE識別プロファイルの名前を選択します。

    ステップ6:[Authorized Users and Groups] セクションで、[Selected Groups and Users] を選択します。

    Screen Shot 2022-07-18 at 14.27.14

    ステップ7:[ISE Secure Group Tags]の横にあるハイパーリンクをクリックします。

    ステップ8:[Secure Group Tag Search] セクションで、目的のSGTの右側のボックスをオンにし、[Add] をクリックします。

    Screen Shot 2022-07-18 at 14.27.19

    Screen Shot 2022-07-18 at 14.27.23

    ステップ9:[Done] をクリックして戻ります。

    ステップ10:送信して確定します。

    スイッチの設定

    [AAA]

    aaa new-model

    aaa group server radius ISE
     server name ise01-cl1
     server name ise02-cl1
     ip radius source-interface Vlan50

    aaa authentication dot1x default group ISE
    aaa authorization network ISE group ISE 
    aaa accounting update newinfo periodic 2440
    aaa accounting dot1x default start-stop group ISE

    aaa server radius dynamic-author
     client 10.50.50.120 server-key Cisco123
     client 10.50.50.121 server-key Cisco123 
     auth-type any

    radius server ise01-cl1
     address ipv4 10.50.50.121 auth-port 1812 acct-port 1813
     pac key Cisco123
    radius server ise02-cl1
     address ipv4 10.50.50.120 auth-port 1812 acct-port 1813
    pac key Cisco123

    TrustSec

    cts credentials id SW1 password Cisco123 (This is configured in Privileged EXEC Mode)
    cts role-based enforcement

    aaa authorization network cts-list group ISE
    cts authorization list cts-list

    確認

    ISEからエンドポイントへのSGT割り当て。

    次に、認証と認可が成功した後にSGTが割り当てられたISEクラスタ1のエンドポイントを示します。

    Screen Shot 2022-07-18 at 14.27.31

    次に、認証と認可が成功した後にSGTが割り当てられたISEクラスタ2からのエンドポイントを示します。

    Screen Shot 2022-07-18 at 14.27.35

    SXPマッピング

    クラスタISEノードとISEアグリゲーションノードの間でSXP通信が有効になっているため、これらのSGT-IPマッピングはSXPを介してISEアグリゲーションによって学習されます。

    Screen Shot 2022-07-18 at 14.27.39

    異なるISEクラスタからのこれらのSXPマッピングは、ISEアグリゲーションノードを介してpxGrid経由でWSAに送信されます。

    dyec - sxp 11

    SGTベースのポリシー適用

    ここでは、さまざまなエンドポイントがそれぞれのポリシーに一致し、トラフィックがSGTに基づいてブロックされることを確認できます。

    ISEクラスタ1に属するエンドポイント

    Screen Shot 2022-07-18 at 14.27.51

    Screen Shot 2022-07-18 at 14.27.55

    ISEクラスタ2に属するエンドポイント

    Screen Shot 2022-07-18 at 14.28.00

    関連情報

    更新履歴

    改定 発行日 コメント
    1.0
    22-Jul-2022
    初版

    提供

    • Emmanuel Cano
      シスコセキュリティコンサルティングエンジニア
    • Deniz Yildirim
      シスコセキュリティコンサルティングエンジニア
    • Berenice Guerra
      シスコテクニカルコンサルティングエンジニア

    このドキュメントは役に立ちましたか?

    Feedbackフィードバック

    シスコに問い合わせ

    このドキュメントは次の製品に対応しています