内容

はじめに

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

CSSMをオンプレミスでVMWARE ESXiにインストールします。

CSSMオンプレミス（オンプレミス）の初期設定。

オンプレミスのCSSMとスマートアカウントの統合

オプション1：インターネット接続を使用してCSSMをオンプレミスで登録します。

オプション2：インターネット接続なしでCSSMをオンプレミスで登録します。

CSSMをオンプレミスでISEと統合します。

Windows CAから証明書を作成します。

WindowsサーバでDNSレコードを追加します。

トラブルシュート

ホスト/IPアドレスに到達できません。（ISEのエラー）

SSOサービス：シスコにアクセスできません。（CSSMオンプレミスでのエラー）

CSRの共通名がDNSで解決可能なホスト名またはIPアドレスではありません。もう一度やり直してください。（CSSMオンプレミスのエラー）

はじめに

このドキュメントでは、CSSM On-PremをCisco Identity Service Engine(ISE)およびCiscoスマートアカウントと統合して、シームレスなセットアップを実現する方法について説明します。

前提条件

要件

ISE 3.X

Cisco Smart Software Manager(CSSM)バージョン8リリース202304 +

使用するコンポーネント

- Identity Service Engine 3.2パッチ2

- Prem 8.20234のSSM

- Windows Active Directory 2016(DNSおよび認証局サービス)

- VMWare ESXiバージョン7

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ネットワーク図

一般的なトポロジ

CSSMをオンプレミスでVMWARE ESXiにインストールします。

1. Cisco IOS®をダウンロードします。次のリンクを使用できます。https://software.cisco.com/download/home/286285506/type/286326948/release/8-202304

2. ISOをVMWARE ESXiにアップロードします。

Storage > Datastore Browserの順に移動します。

Data Browserセクション

3. 「ディレクトリの作成」をクリックして新規フォルダを作成します（オプション）。

ディレクトリの作成

次の例では、CSSMフォルダが作成されています。

フォルダの作成

4. Uploadをクリックし、ISOファイルを選択します。

ISOのアップロード

これで、ISOファイルがCSSMフォルダ内に作成されました。

ISOのアップロードが完了します

5. 仮想マシンを作成します。仮想マシン>作成 / VMの登録に移動します。

新しいVMの作成手順01

6. Create a new virtual machineを選択し、nextをクリックします。

新しいVMの作成の手順02

7. 次のパラメータを構成します。

- 名前：仮想マシンの名前を入力します。

- 互換性: ESXi 6.0以降またはESXi 6.5以降のいずれかを選択します。

- ゲストOSファミリ:Linux

- ゲストOSバージョン:CentOS 7（64ビット）または他の2.6x Linux（64ビット）のいずれかを選択します。

[next] をクリックします。

VM名とIOS

8. ストレージを選択して、nextをクリックします。

ストレージリスト

9. 次のパラメータを構成します。

- CPU:4以上。実際のvCPU設定は、スケール要件によって異なります

注：選択した仮想ソケットの数に関係なく、ソケットあたりのコア数を1に設定する必要があります。たとえば、4つのvCPU構成は、4つのソケットおよびソケットごとに1つのコアとして設定する必要があります。

コアの構成

- メモリ:8 GB

- ハードディスク：200 GB、プロビジョニングがシンプロビジョニングに設定されていることを確認します。

ディスク構成

- ネットワークアダプタ: E1000アダプタタイプを選択し、電源オン時に接続を選択します。

ネットワーク設定の構成

- CD / DVDドライブ: 「データISOファイル」を選択し、ISOファイルを選択します。

ISOイメージ

前の手順を完了したら、設定の概要を確認できます。

VM設定の概要01

[next] をクリックします。

10. Finishをクリックします。

VM設定の概要02

CSSMオンプレミス（オンプレミス）の初期設定

1. VMWARE ESXiで、Virtual Machinesに移動し、使用するVMを選択してから、Power Onをクリックします。

電源オンオプション

2. VMコンソールの管理には複数のオプションがあります。Console > Open browser consoleの順に選択します。

VMを管理するためのオプション

3. ネットワーク設定を構成します。

注：CSSM FQDNを解決するDNSサーバのIPアドレスを設定することが重要です。

CSSMネットワーク設定の構成

Okをクリックして、新しいCLIパスワードを設定します。

4. インストールプロセスが開始し、アクセスプロンプトが表示されるまで完了します。

CSSMの初期設定が完了しました

5. ブラウザを開き、https://<ip_address_CSSM>と入力します。

CSSMログインページ

デフォルトのクレデンシャルを使用します。

ユーザ名：admin

パスワード：CiscoAdmin!2345

6. 言語を選択します。

7. 新しいGUIパスワードを作成します。

8. ホストの共通名を設定します。（例：hostname.yourdomain）。

この例では、cssm.testlab.localはHost Common Nameとして設定されています。

ホストの共通名設定

9. 設定を検証し、Applyをクリックします。

CSSMの初期設定が完了しました。

オンプレミスのCSSMとスマートアカウントの統合

スマートアカウントをPrem Server上のCSSMに関連付ける必要があります。

1. 次のリンクを使用してシスコスマートアカウントを開きます。

https://software.cisco.com/

2. 次に、Smart Software ManagerセクションでManage Licensesを選択します。

ライセンスの管理オプション

3. Inventoryに移動し、スマートアカウント名と仮想アカウントの名前をコピーします。このガイドでは、InternalTestDemoAccount67およびAAA MEX TESTを使用します。

ソフトウェアに関するCiscoページ

4. CSSM GUIを開き、Admin Workspaceオプションを選択します。

CSSMメインメニュー。

5. 次にAccountsを選択します。

アカウント：

6. 新しい登録要求を作成するには、New Accountを選択します。

CSSMアカウントの作成。

7. 次の情報を入力します。

- アカウント名：これは新しい登録のカスタム名です。

- Ciscoスマートアカウント：スマートアカウント名を貼り付けます。

- シスコ仮想アカウント：仮想アカウント名を貼り付けます。

- 通知用の電子メール：電子メールを入力します。

アカウント登録。

[Submit] をクリックします。

8. 次にAccount Requestsをクリックします。

このセクションでは、前の手順で行った要求を確認できます。

アカウント要求。

9. [アクション（Actions）] をクリックします。

Actionsオプションを選択します。

次の 3 つのオプションがあります。

- 承認：このオプションを使用して、CSSMをオンプレミスでインターネット経由でスマートアカウントに登録します。

- Reject:要求をドロップします。

- 手動登録：このオプションを使用して、CSSMをインターネットなしでスマートアカウントにオンプレミスで登録します。

オプション1：インターネット接続を使用してCSSMをオンプレミスで登録します。

1. Approveを選択した場合は、シスコスマートアカウントのユーザ名とパスワードを入力して、Submitをクリックする必要があります。

承認オプション。

次にnextをクリックして、アカウント登録を受け入れます。

アカウント登録。

登録のステータスを確認するには、Accountに移動します。Account statusはactiveである必要があります。

アカウントの状態。

スマートアカウント(https://software.cisco.com/)を開きます。次にOn-Prem Accountsオプションを選択して新しい登録を表示します。

オンプレミスアカウント。

オプション2：インターネット接続なしでCSSMをオンプレミスで登録します。

Manual Registrationを選択した場合は、Generate Registration Fileをクリックします。これにより、コンピュータにダウンロードされる登録要求が作成されます。

手動登録。

次に、スマートアカウント(https://software.cisco.com/)を開き、オンプレミスアカウントに移動します。

New On-Premをクリックします。

新しいオンプレミスの追加。

次に、次のパラメータを設定します。

- On-Prem Name（オンプレミス名）:これは新しいレジスタのカスタム名です。

- Registration File:Choose Fileをクリックし、Registration Requestを選択します。

- 仮想アカウント：仮想アカウント名を貼り付けます。

許可ファイル。

次に、Generate Authorization Fileをクリックします。

次に、許可ファイルをダウンロードします。

承認ファイルをダウンロードしています。

CSSM GUIを開いて認証ファイルをアップロードします。Browseをクリックしてファイルを選択し、Uploadをクリックします。

認証ファイルをアップロードしています。

次に、Synchronizationに移動して、Actions > Manual Synchronization > Full Synchronizationの順にクリックします。

手動同期：

同期要求ファイルをダウンロードします。

ファイル同期をダウンロードしています。

スマートアカウントを開き、オンプレミスアカウントを選択し、リストでCSSMオンプレミス名を探して、アクション>ファイル同期をクリックします

ファイルの同期をアップロードしています。

次に、同期要求ファイルをアップロードし、応答ファイルの生成をクリックします。

レスポンスファイルを生成します。

次にDownload Synch Response Fileをクリックします。

ファイルを同期します。

最後に、オンプレミスのCSSMでSynch Response Fileをアップロードします。

同期が完了しました。

CSSMをオンプレミスでISEと統合します。

1. CSSM GUIを開き、Admin Workspaceを選択します。

CSSMメインメニュー。

2. Security > Certificates > Generate CSRの順に移動します。

注：ISEはCSSMとの接続を確立するためにこのパラメータを使用するため、ホストの共通名(CN)でホスト名+ドメインを設定していることが重要です。ホスト名+ドメインの代わりにIPアドレスを使用できますが、ホスト名+ドメインを使用することを推奨します

注：次の手順では、CSSMにGUI証明書をインストールする手順について説明します。個人認証局(CA)によって署名された証明書を使用してGUI CSSMへの管理接続を保護する場合は、次の手順を確認する必要があります。それ以外の場合は、手順9を直接確認します。

CSRオプション。

3. 次に、個人情報を入力します。サブジェクト代替名は、共通名と同じ値を使用して自動的に作成されることに注意してください。CSRは、Generateをクリックすると自動的にダウンロードされます。

CSR詳細。

4. CSRに署名します。詳細については、このドキュメントの「Windows CAからの証明書の作成」を確認してください。

5. ルートCA証明書をアップロードします。

ルートCAをアップロードしています。

[続行（Proceed）] をクリックします。

[続行]オプション：

6. 説明を入力し、ルート証明書を選択して、OKをクリックします。

説明ルートCA。

7. CAによって署名されたCSR(CSSM ID証明書)をアップロードします。

CSSM ID証明書のアップロード

注：この場合、中間証明書はCAに存在しません。ただし、アーキテクチャで中間証明書を使用する場合は、中間証明書が必須です。

8. 次に、両方の証明書がインストールされていることを確認します。

証明書の検証。

9. SSM On-Prem: Select Licensing Workspaceでトークンを作成します。

ワークスペースページ。

10. smart Licensingに移動します。

CSSMスマートライセンスページ

11. ローカル仮想アカウントを探し、New TokenをクリックしてProceedをクリックします。

新しいトークンオプション。

12. Create Tokenを選択してコピーします。

新しいトークンの作成。

トークンの詳細

13. ISE GUIを開き、Administration > Systems > Licensingに移動し、Registration detailsをクリックし、SSM On-Prem server Hostメソッドを選択して、トークンを貼り付けます。

ライセンスの登録。

14. SSM On-Prem Server HostでSSM On-Prem FQDNを入力し、Registerをクリックします。

CSSMとISEの設定。

注：ISEはCSSMとの接続を確立するためにこのパラメータを使用するため、ホスト名+ドメインをホスト共通名で設定することが重要です。ホスト名+ドメインの代わりにIPアドレスを使用できますが、ホスト名+ドメインを使用することを推奨します

15. そして最後に、登録が完了しました。

登録が完了しました。

Windows CAから証明書を作成します。

認証局の管理者は、次の手順を実行する必要があります。

1. Webブラウザを開き、http://localhost/certsrv/に移動します。

2. Request a certificateをクリックします。

証明書を要求します。

3. [advanced certificate request] をクリックします。

証明書の要求の詳細設定

4. 前に生成したCSRを開きます。  次に、情報をコピーして、Saved requestに貼り付けます。

証明書を送信します。

Submitをクリックすると、証明書が自動的にダウンロードされます。

5. 次に、CA証明書ルートをダウンロードします。http://localhost/certsrv/に戻り、Download a CA Certificate, Certificate Chain, or CRLを選択します。

ルートCAをダウンロードします。

6. エンコード方式をBase64としてCA証明書をダウンロードします。

Base 64オプション

WindowsサーバでDNSレコードを追加します。

管理者の場合は、ISEとCSSMのFQDNを追加します。

1. DNSマネージャを開きます。Windowsのファインダで「DNS」と入力し、DNSアプリを開きます。

DNSオプション。

2. Forward Lookup Zonesに移動し、ドメインを選択します。

DNSマネージャ。

3. 画面上の黒い領域で右クリックして、New Host (A or AAAA)を選択します。

レコードを追加しています。

4. レコードDNSを次のように設定します。

- 名前：ホストの名前を意味します。

- デバイスのIPアドレス

「Add Host」をクリックします。

レコード設定。

トラブルシュート

ホスト/IPアドレスに到達できません。  （ISEでのエラー）

到達可能なエラー

解決策1:ISEノードのDNS設定を確認し、修正します。

1. ISE CLIを開き、「nslookup <CSSM_FQDN>」と入力します

次の例では、ISEノードからcssm.testlab.localが解決されていないことがわかります。

CSSM解決に失敗しました。

正しい解決策は次のとおりです。

CSSMの解決に成功しました。

アクションプラン：

1. このドキュメントの「DNS設定」のトピックを確認してください。

2. 「ip name-server」を確認するため、ISE CLIでshow running-configコマンドを入力します。「ip name-server」はDNSサーバのIPアドレスと一致している必要があります。

解決策2:CSSM GUIを開いて、ホストの共通名とブラウザ証明書がISE側のCSSMオンプレミスサーバホストパラメータと同じであることを確認します。

間違ったシナリオ：

CSSM解決とISE設定が正しくない

正しいシナリオ:

CSSM解決とISE設定が正しい。

アクションプラン：詳細については、このガイドの「ISEとCSSMの設定」を参照してください。

SSOサービス：シスコにアクセスできません。（CSSMオンプレミスでのエラー）

アカウントを登録できませんでした。

解決策：インターネットへの接続を確認します。

アクションプラン：

1. インターネットにアクセスするためにプロキシが必要な場合は、Network > Proxyの順に移動し、Use A Proxy Serverオプションをイネーブルにして、Applyをクリックします。

プロキシ設定.

CSRの共通名がDNSで解決可能なホスト名またはIPアドレスではありません。もう一度やり直してください。 （CSSMオンプレミスでのエラー）

CSRエラー。

解決策:CSSMサーバのDNS解決を確認し、修正します。

1. CSSM CLIを開き、「nslookup <CSSM_FQDN>」と入力します。

次の例では、CSSMサーバからcssm.testlab.localが解決されていないことがわかります。

DNSサーバに到達できない。

正しい出力は次のようになります。

DNSサーバに到達できる。

アクションプラン：

CSSMオンプレミスのDNS設定を確認します。

1. Network > General > DNS Settingの順に移動します。

プライマリまたは代替DNSは、DNSサーバのIPアドレスと同じである必要があります。

DNS設定。