説明
Cisco ISE は、ネットワーク リソースへの安全なアクセスを提供するセキュリティ ポリシー管理プラットフォームです。Cisco ISE はポリシー決定ポイントとして機能し、企業がコンプライアンスを確保し、インフラストラクチャのセキュリティを強化し、サービス運用を合理化できるようにします1。Cisco ISE に関して正しい記述は次の 2 つです。
ISE は、NAT 経由でアドレスが変換されたエンドポイントを検出できます。Cisco ISE は、ネットワーク上のエンドポイント デバイスを検出、プロファイリング、監視し、関連付けられたポリシーと ID グループに従って分類できます。Cisco ISE は、pxGrid フレームワークを利用して、他のセキュリティ ツールおよびプラットフォームとコンテキスト情報を共有し、ネットワークの可視性とセキュリティを強化できます1。Cisco ISE は、パッシブおよびアクティブ検出、NMAP スキャン、DHCP スヌーピング、RADIUS アカウンティングなどのさまざまな方法を使用して、NAT 経由でアドレスが変換されたエンドポイントを検出することもできます234。
ISE が保持できるログの数は、ディスク容量によって決まります。Cisco ISE は、監査、障害管理、トラブルシューティングに使用されるロギング メカニズムを提供します。ログ メカニズムは、デプロイされたサービスの障害状態を特定し、問題を効率的にトラブルシューティングするのに役立ちます。仮想ループバック アドレス 5 を使用して、ローカル システムでログを収集するように Cisco ISE ノードを設定できます。ISE が保持できるログの数は、ディスク容量と、[管理] > [システム] > [メンテナンス] > [データ パージ] で構成できるデータ パージ設定によって決まります6。また、保存履歴を長くするために、ログをリモート システムに送信するように Cisco ISE を設定することもできます7。
Cisco ISE に関しては、次の理由から他の記述は当てはまりません。
分散展開では、プライマリ ポリシー管理ノードからセカンダリ ポリシー管理ノードへのフェールオーバーが自動的に行われます。Cisco ISE は、管理ペルソナの高可用性をサポートし、分散展開の一元的な設定と管理を提供します。高可用性を実現するために、1 つのプライマリ管理 ISE ノードと 1 つのセカンダリ管理 ISE ノードを設定できます。ただし、自動フェイルオーバー機能を有効にし、プライマリ ノードのステータスを監視するようにヘルス チェック ノードを設定しない限り、プライマリ ポリシー管理ノードからセカンダリ ポリシー管理ノードへのフェイルオーバーは自動的に行われません8。それ以外の場合は、障害が発生した場合にセカンダリ ノードを手動でプライマリ ノードに昇格させる必要があります9。
2 ノードのスタンドアロン ISE 導入では、フェールオーバーを手動で行う必要があります。Cisco ISE は、ネットワーク アクセス、ポスチャ、ゲスト アクセス、クライアント プロビジョニング、およびプロファイリング サービスを提供するポリシー サービス ペルソナの高可用性をサポートします。ノード グループ内の複数のポリシー サービス ノード (PSN) を構成して、エンドポイントにセッション フェイルオーバーとロード バランシングを提供できます。2 ノードのスタンドアロン ISE 導入では、各ノードがすべてのペルソナを引き受けるため、ネットワーク アクセス デバイスが両方のノードを RADIUS サービスと TACACS サービスに使用するように設定されている限り、ポリシー サービス ペルソナのフェールオーバーを手動で行う必要はありません10。 。
ISE は、IPv6 ダウンロード可能な ACL をサポートします。Cisco ISE は、認可プロファイルを通じて設定および実装されるダウンロード可能な ACL (DACL) をサポートします。DACL は、エンドポイントの ID やその他の属性に基づいて、エンドポイントに対してきめ細かいアクセス制御ポリシーを適用するために使用されます。ただし、Cisco ISE は、RADIUS および TACACS プロトコルの IPv4 ACL のみをサポートするため、IPv6 ダウンロード可能な ACL をサポートしません1112。
参考文献:
1：Cisco コンテンツ ハブ - Cisco ISE の機能 2：Cisco ISE Profiler サービスの概要 3：NAT 境界を介した ISE の導入 - Cisco コミュニティ 4：NAD（IOS-XE）通信を保護するための ISE 3.3 ネイティブ IPSec の設定 - Cisco 5：ロギング [Cisco Identity [サービス エンジン] - Cisco Systems 6: ISE の最大ロギング時間 / データ保持 - Cisco コミュニティ 7: ISE でのログ保持 - Cisco コミュニティ 8: Cisco Identity Services Engine 管理者ガイド、リリース 2.4 9: 分散環境での Cisco ISE のセットアップ 10: Cisco コンテンツ ハブ - Cisco ISE 11 のネットワーク展開：Cisco Identity Services Engine 管理者ガイド、リリース 2.2 12: 解決済み: ISE: IPv6 DACL のサポート - Cisco コミュニティ