はじめに Network Edge Authentication Topology(NEAT)をご利用の際に何か問題に遭遇した際の確認事項、ログをまとめたドキュメントとなります。 状況によっては本ドキュメントに記載のないログ、確認事項を依頼させていただくこともあります。 なお、本ドキュメントは、Authenticator Switch(以下、aSW)は、Catalyst9300/16.9.3、Supplicant switch(以下、sSW)は、Catalyst2960X/15.2(6)E2を元に作成しております。 NEATの構成を構築の際にMacroとInterface-templateとございますが、本ドキュメントはInterface-template利用時を例として作成しておりますがMacro利用時も参考にいただける内容もございます。   show/debug コマンドの紹介と確認事項   1.show コマンドによる状況確認   aSW: show authentication sessions interface <INTERFACE_ID> details / show access-session interface <INTERFACE_ID> 実際に Supplicant Switch(以下、sSW)の認証が成功しているか確認できます。 また、Interface-Templateをご利用時には、適用されているtemplate名も確認できます。   aSW-C9200L-24T-4G#show authentication sessions interface gigabitEthernet 1/0/1 details Interface: GigabitEthernet1/0/1 IIF-ID: 0x1088552D MAC Address: 08cc.a712.1101 IPv6 Address: Unknown IPv4 Address: Unknown User-Name: ssw02 Status: Authorized Domain: DATA Oper host mode: multi-auth Oper control dir: both Session timeout: 3600s (local), Remaining: 3020s Timeout action: Reauthenticate Common Session ID: 800110AC0000031BAE76863C Acct Session ID: 0x0000002e Handle: 0x69000050 Current Policy: POLICY_Gi1/0/1 Local Policies: Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150) Security Policy: Should Secure Server Policies: Interface Template: NEAT-AUTHZ Method status list: Method State dot1x Authc Success   sSW: show dot1x interface <INTERFACE_ID> details 実際にaSWで認証時の情報を確認できます。   sSW-WS-C2960X-24PSQ#show dot1x interface gigabitEthernet 0/1 details Dot1x Info for GigabitEthernet0/1 ----------------------------------- PAE = SUPPLICANT StartPeriod = 30 AuthPeriod = 30 HeldPeriod = 60 MaxStart = 3 Credentials profile = EAP-MD5-CRED EAP profile = eap-md5 Dot1x Supplicant Client List ------------------------------- Authenticator = 08ec.f585.ec81 Supp SM State = AUTHENTICATED Supp Bend SM State = IDLE Port Status = AUTHORIZED   aSW/sSW: show ciscp interface <INTERFACE_ID> このコマンドを実行した機器がどのロールであるかまた、peerの情報が確認できます。   例: Authenticator Switch aSW-C9200L-24T-4G#show cisp interface gigabitEthernet 1/0/1 CISP Status for interface Gi1/0/1 ------------------------------------- Version: 1 Mode: Authenticator Peer Mode: Supplicant Auth State: Idle aSW-C9200L-24T-4G#   例: Supplicant Switch sSW-WS-C2960X-24PSQ#show cisp interface gigabitEthernet 0/1 CISP Status for interface Gi0/1 ------------------------------- Version: 1 Mode: Supplicant Peer Mode: Authenticator Supp State: Idle sSW-WS-C2960X-24PSQ#   show cisp registrations 各インタフェースの登録状況を確認できます。   例: Authenticator Switch aSW-C9200L-24T-4G#show cisp registrations Interface(s) with CISP registered user(s): ------------------------------------------ Gi1/0/1 Auth Mgr (Authenticator) <<<< sSWと接続しているインタフェース aSW-C9200L-24T-4G#   例: Supplicant Switch sSW-WS-C2960X-24PSQ#show cisp registrations Interface(s) with CISP registered user(s): ------------------------------------------ Gi0/1 802.1x Sup (Supplicant) <<<< aSWと接続しているインタフェース Gi0/2 Auth Mgr (Authenticator) <<<< 端末が接続するインタフェース Gi0/3 Auth Mgr (Authenticator) <<<< 端末が接続するインタフェース sSW-WS-C2960X-24PSQ#   aSW: show cisp client CISP(Client Information Signaling Protocol) tableの情報を確認できます。   例: Authenticator Switch aSW-C9200L-24T-4G#show cisp client Authenticator Client Table: ------------------------ MAC Address VLAN Interface --------------------------------- 1cdf.0f14.0717 200 Gi1/0/1 08cc.a712.1142 1315 Gi1/0/1   aSW(Interface-teamplate利用時): show deriverd-config interface <INTRFACE_ID> NEAT確立後に指定したInterface-templateの設定が適用されているかどうか確認できます Macro利用時は、show running-configにて確認いただけます。   例: Authenticator Switch aSW-C9200L-24T-4G#show derived-config interface gigabitEthernet 1/0/1 Building configuration... Derived configuration : 247 bytes ! interface GigabitEthernet1/0/1 description NEAT_IF_TEMPLATE switchport mode trunk authentication host-mode multi-auth authentication port-control auto authentication periodic mab dot1x pae authenticator spanning-tree portfast trunk end aSW-C9200L-24T-4G   aSW/sSW: show tech-support これは基本的な情報を確認するために取得ください。   2.debugコマンドの紹介 ・aSW また、debugに関する情報としてIOS-XE 16.x AAA関連 debug 取得方法もございますので合わせて参考にしてください。 request platform software trace rotate all <<<検証時のログのみを取得するためにログをローテート>>> set platform software trace smd switch active r0 cisp debug set platform software trace smd switch active r0 radius debug set platform software trace smd switch active r0 all-modules verbose show platform software trace message smd switch active r0 reverse <<<このコマンドでdebugログを表示>>>   ・sSW   debug cisp all debug eap all all 3.関連情報や確認事項 *基本的な情報となりますが、TACにお問い合わせの前に確認いただけると助かります。 macroとInterface-teamplateのどちらを利用しているか sSWの'dot1x credential'、'eap profile'の情報は間違っていないか sSWのインタフェースの設定でcredentialsおよび、eapのプロファイル指定は間違っていないか 参考 ISE Secure Wired Access Prescriptive Deployment Guide ... View more

  はじめに ISEとActiveDirectory(以下、AD)を連携しており、コンピュータ認証の環境で認証に失敗する 問題に遭遇した際に、ISEのGUIのツール(Advanced Tools)を使うことで容易にADにそのコンピュータの アカウントが存在するかどうかを確認いただく方法の一つをご紹介いたします。 ※ ご紹介するツールでコンピュータ認証そのものを確認できるわけではなく、ISEとADとの連携に 問題ないことや実際に対象のコンピュータのアカウントがAD上に存在するかどうかの確認(lookup) 方法のご紹介となります。 ※ 本ドキュメントは、ISE 2.4 を元に作成しております。 ※ ツールの表示結果については、ご利用環境などによって若干差分がある場合がございます。 ISEとAD連携の確認ついてはいくつか確認方法はございますが、本手順においても簡易的ではありますが、 確認いただくことは可能かと思います。   手順 　 1.ISE GUIにログイン   2.Advenced Toolsにアクセス   Administration > Identity Management > External Identity Sources > Active Directory > "Advanced Tools"   3."Test User for All Join Points" を選択します   "Advanced Tools" > "Test User for All Join Points" 4.対象のコンピュータアカウントなどの情報を入力 ※例えば、Windows10であれば、Control Panel > All Controll Panel Items > Systemで確認いただける Computer name です。 （以下のスクリーンショットの赤枠の箇所）   　Active Directory側の Active Directory Users and Computers の情報です。 　（以下のスクリーンショットは、Windows server 2012の例です。登録されているコンピュータアカウントはの赤枠の箇所）   Username : "host/" をコンピュータ名の先頭に付けます（以下の例では、コンピュータ名は、WIN10-A） Authentication Type : "Lookup" ISE Node : 確認したい対象の ISE Node をリストから選択   5.[Test]ボタンをクリック <結果例：成功時> 　※実際にAD上に対象のコンピュータを検索して成功した場合 <結果例：失敗時> 　※実際にAD上に対象のコンピュータを検索しようとしたが失敗(ISEとADとの疎通性がない状況)した場合 　※以下の例では、”ERROR_FAILED_FIND_DC” のために結果として "ERROR_NO_SUCH_USER" <結果例：失敗時> 　※実際にAD上に対象のコンピュータを検索しようとしたが失敗(AD上に対象のコンピュータが存在しない)した場合   なお、AD上にいるユーザに対しての lookup も可能です。 　※実際にAD上に対象のユーザを検索して成功した場合   また、"Groups"、"Attributes" タブで各情報を確認いただけますので必要に応じて確認ください。     ... View more

  はじめに SNS-3595 (SNS-3595-K9) のハードウェア故障と判断され、機器交換作業（RMA）となった際に、送付された代替機の交換作業でご自身で対応される際の作業の概要を主に CIMC での RAID の設定に関してご紹介いたします。 本ドキュメントは、CIMC 3.0(3S2)をベースに作成しております。   なお、CIMC 2.x での作業に関して確認されたい場合は以下を参照ください。 SNS-3595 RMA 作業時の概要 手順 　 1.CIMC から RAID の設定 (1) のメニューから"ストレージ"を選択、”物理ドライブ情報”と”仮想ドライブ”情報を確認します。※このとき、既に”仮想ドライブ”が設定済みなら本項目の作業は不要ですので、次のステップにお進みください。   (2) ”物理ドライブ”の情報で各物理ドライブ番号のステータスが"JBOD"となっている場合は、以下のように”コントローラ情報”タブの”未使用の物理ドライブから仮想ドライブを作成する”がグレーアウト（オレンジ色の枠）で作成できない状況となります。   (3) 以下の手順で全ての物理ドライブを”Unconfigured Good"（未設定）にステータスをドライブを選択した後、”状態を未設定の良好に設定する”をクリックして変更してください。 以上を参考に変更が必要な物理ドライブの台数分実施してください。 最終的には以下のような状態になれば仮想ドライブを作成できる状態になっていると判断できます。 (4) RAIDの設定は、”ストレージ” > "コントローラ情報"タブに移動します。”コントローラ情報”タブの”未使用の物理ドライブから仮想ドライブを作成する”（オレンジ色の枠）をクリックし、仮想ドライブを作成画面を開きます。 (5) 設定画面で以下を参考に設定を進めて頂き、最終的には、"仮想ドライブの作成”ボタンをクリックすることで仮想ドライブが作成されます。 ※ ”ドライブグループ”は図のように、2つの物理ドライブを選択して ">>" をクリックすることで構成します。 ※ 4つの物理ドライブを選択して Drive Groups に移動した場合、仮想ドライブは作成できませんのでご注意ください。   (5-1)RAIDレベルを"10"を選択 (5-2)2つの物理ドライブを選択して ">>" をクリックして”ドライブグループ”に追加。 (5-3)残りの2つの物理ドライブについても同様に”ドライブグループ”に追加。 (5-4)仮想ドライブのプロパティは以下のように設定。 (5-5)設定が完了したら、”仮想ドライブの作成”ボタンをクリックし、作成されると以下のようになります。 (5-6)仮想ドライブをブートドライブとして設定します。   2.KVM コンソール起動 上記 3 のステップまででインストール準備が完了しましたので、OS イメージのインストールの為に CIMC の画面から KVM コンソールを起動してください。 KVMの起動をクリックして、Javaベース(要Java)、もしくはHTMLベースを選択。 ※ 以降は、HTMLベースのKVMを例にあげております。 3.CIMC にて ISO イメージのMapping KVM コンソールからインストールするソフトウェアの ISO ファイルをマッピングしてください。 (1)”仮想メディア” > ”Activate Virtural Devices” をクリック 一度、”Activate Virtural Devices” を選択後、再度、”仮想メディア” をクリックすると以下のようなメニューが表示   (2)KVM コンソールの CD/DVD にローカルPC（GUIアクセスしている端末）上に保存している ISO ファイルを紐づけ（マッピング） 4.ISO ファイルから ISEのインストール 3. までの手順にて ISO ファイルをマッピングしたら、サーバーを起動してインストールを開始してください。     参考 SNS-34XX ACS クリーンインストール SNS-34XX / SNS-35XX - CIMC上のKVMコンソールを使用した ISE クリーンインストール手順       ... View more

  1. はじめに AMP for Endpoints Console(以下、Console) にて Single Sign-On(以下、SSO) を利用される際の注意点を事例を例に説明しております。 ※ 本ドキュメントは、2019年01月16日の環境を元に作成しております。 2. SSO について SSO(Accounts > Business > Features : Single Sign-On / Configure Single Sign-On) を有効にすることで、Console に ログインする際に SSO でログインできるようになります。ただし、ログイン ID は、メールアドレス形式のみサポートとなります。   3. SSO 有効にする前に確認頂きたいこと SSO を有効にする前には、かならず、Identity Provider Settings を読み込んだ後に表示される [Test] ボタンで問題がない("Test successful. You can safely enable SAML authentication")ことを確認した上で有効にしてください。   もし、[Test] ボタンで後述の 4. のような状況など、何か問題のある状況で有効にしてしまいますと Console にログインできなくなります。 ※ 万が一、SSO を有効後にログインできない状況で、SSO を無効化されたい場合にはお手数ですが Japan TAC までお問い合わせください。SSO を有効化した状態で Standard Login でログインはできません。   4. 事例: [Test] 実行時に "The Assertion of the Response is not signed and the SP requires it" の結果となる場合     この場合、[Test] の結果のメッセージの通り、SP(Service Provider)、つまり、console は、IDP(ID provider) からのレスポンスに署名が必要であるという意味になります。まずは、IDP 側の設定を確認いただければと思います。 なお、この状況で、SSO を有効にしてしまいますと、ログイン時に "Invalid Account" といったエラーメッセージとなり調査が大変難しい状況となります。       [Test] で問題がない事を確認頂いた上で SSO を有効にして頂ますようお願いいたします。 ... View more

問題 クライアント証明書を使った認証方式を利用時に認証に失敗すると言ったお問い合わせを頂くことがございます。 ご紹介する事例については特に独自に構築した CA 局で署名した環境や証明書更新時などに遭遇する可能性が考えれられます。 以下に紹介する事例は、あくまでひとつの事例として参考にいいただければと思います。 診断 １．まず、ISE の認証レポート(Operations > Reports の Reports > Endpoints and Users > RADIUS Authentications) や  Live logs(Operations > Live Logs)で対象のレポートを確認ください。   ２，以下のようにイベントの詳細、理由、考えうる解決策、原因など確認頂けます。   上記の場合は、"EAP-TLS failed SSL/TLS handshake because of an unknown CA in the client certificate chain" で、 クライアント証明書を署名した CA 局が不明(Unknown)なために信用できる証明書であることが判断できず、 Handshake で失敗しているということがわかります。 解決策  クライアント証明書を署名している CA 局の証明書を ISE が信頼できるようにしていただくことが考えられます。  例：CA 証明書を ISE の Trusted Certificates(Administration > System > Certificates > Certificate Management > Trusted Certificates)にインポート頂く。   ISE でクライアント証明書を署名している CA 局を信頼済みの状況で同様の事例を確認された際には、 お手数ですが、Japan TAC までお問い合わせいただければと思います。 ... View more

  はじめに 本ドキュメントは、SNS-35xx ISE appliance のファームウェアアップグレードに関するドキュメントです。 SNS-35xx ISE applicance は、Cisco Host Upgrade Utility を利用したアップグレードは出来ません。 また、CIMC の操作等については、基本的に UCS C220 のドキュメントを参考いただき、ファームウェアのアップグレードの際に 2.x から 3.x にアップグレード後のユーザインタフェース(UI)が変わるため、補足資料として作成しております(CIMC バージョンによっては、メニューなどの構成や見た目が変わる場合もございます)。 使用するファイルは以下の2点です。x は、バージョン番号になります。 CIMC: upd-pkg-c220-m4-cimc.full.X.X.XX.bin BIOS: C220M4-BIOS-X-X-XX-X_ISE1_singed   手順 1. Firmware update Admin > Firmware Mangement に移動します。 Install Cisco IMC Firmware through Browser Client をクリック後、CIMC の firmware を指定して [Install Firmare] をクリックします。 正常に完了すると Backup Version の項目で確認できます。 2. BIOS Update Admin > Firmware Mangement に移動して、Install BIOS Firmware through Browser Client をクリック後、BIOS の firmware を指定して [Install Firmare] をクリックします。 正常に完了すると Backup Version の項目で確認できます。 3. Activate Firmware Admin > Firmware Management の Activate Cisco IMC Firmaware をクリック後、新しい Firmware を有効化([Activate Firmware]をクリック)します。※ 新しい Firmware を有効化に伴い、再度、ログインが必要な旨メッセージがでます。 しばらくすると以下のようなメッセージも出力します。また、新しい Firmware への有効化から起動までしばらく時間をおいて頂きまして、再度、CIMC にログインします。※ ブラウザや環境によっては、ブラウザの再起動やキャッシュクリアが必要な場合もございます。 新しい Firmware で起動すると以下のようなログイン画面が表示されます(以降、新しいユーザインタフェースになります)。 ログイン後、以下のような画面が表示されます。 画面左上の をクリックするとメニューが表示されます。 Admin > Firmware Management に移動します。 以下のような現在の Firmware に関する情報を確認できますので、BIOS のチェックボックスにチェックを入れて [Activate] をクリックします。 [Activate Firmware] をクリックして有効化します。 再度、Admin > Firmware Management で Running Version を確認ください。 Reference: Cisco SNS 3500 Series Appliance Hardware Installation Guide ... View more

  1. はじめに 本ドキュメントは、ISE にて CRL をご利用の環境において、原因としてはいくつか考えられますが CRL をダウンロードできない問題について、本ドキュメントではそのケースの一例を紹介しております。 ※ 本ドキュメントは、ISE 2.4.0.357 の環境を元に作成しております。   2. 事象 以下のような状況の場合、本ドキュメントで紹介しております事例に関連する可能性は考えられます。 クライアント証明書は有効期限など問題ない(ISE GUI の設定で 'Bypass CRL Verification if CRL is not Received' を有効にすると認証は成功する)。 他の機器は ISE GUI で設定した CRL Distribution URL から CRL をダウンロード可能。 Failure Reason を ISE のレポートで確認すると "12831 Unable to download CRL"。 出力例: CRL をダウンロードできない事が原因で Revocation check ができず、認証不可に至っている ISE で tcpdump でパケットキャプチャをとった場合に ISE GUI で設定した CRL Distribution URL 向けのパケットが送信されていないように見える CRL Distribution URL を変更した。 ISE の設定で proxy の設定がある。   3. 確認と対処 ISE GUI の proxy の設定(Administration > System > Settings > Proxy)がある場合には HTTP での CRL のダウンロードは、proxy 経由になります。 対処としては、前述の ISE で設定している proxy の設定で、CRL Distribution URL のサーバを proxy の例外に登録頂くことです。 なお、こちらについては、Administrator Guide や ISE GUI の proxy の設定(Administration > System > Settings > Proxy)にも記載がございます。 参考: Cisco Identity Services Engine Administrator Guide, Release 2.4 ... View more

  1. はじめに 本ドキュメントは、RBAC(Role Based Access Control) Policy を利用して、例えば、ネットワークデバイスを設置先(ロケーション)毎にグループ化し、管理対象のネットワークデバイスを管理者毎に ISE GUI で閲覧可能にする手順を紹介しております。 なお、デフォルトの Network Device Group 名の "All Device Types"、および "All Locations" を使った RBAC については動作しません(こちらは、CSCvb55884 にて機能拡張として登録されており、今後、機能追加として修正された際にはご利用可能ですが、その機能追加されるまでの workaround の一例として紹介しております)。 また、こちらのドキュメントについては一例であり、もしご利用を検討される場合は事前に検証試験などで確認いただくことをおすすめいたします。 ※ 本ドキュメントは、ISE 2.4.0.357 の環境を元に作成しております。 2. 手順 以下のようなネットワークデバイスが4台登録されている環境で、2 つの設置先(Tokyo Site と Osaka Site)にネットワークデバイスをグループ化します。管理者グループ毎で管理対象のネットワークデバイスのみが閲覧可能となるような ISE RBAC Policy の設定例を説明致します。 2-1. ネットワークデバイスグループ(NDG)の作成 ネットワークデバイスを分けるためのグループを作成します。 今回の場合、"Managed_NDG" を親グループとして新規作成し、その配下に2つの子グループ("Tokyo Site" と "Osaka Site")を作成。 親グループを作成の際は、[+ Add] をクリックして、Parent Group を "Add as root group" を選択して作成してください。 子グループを作成の際は、[+ Add] をクリックして、Parent Group を作成した親グループ(本ドキュメントの場合は、"Managed_NDG") を選択して作成してください。 2-2. ネットワークデバイスをネットワークデバイスグループに割り当て 2-1. で作成したネットワークデバイスグループに各ネットワークデバイスを割り当てます。 以下に "FIREWALL_01" を親グループ "Managed_NDG" 配下の "Tokyo_Site" に割り当てた際の設定を例としてあげております。 (Administration > Network Resources > Network Devices > Network Devices) 本ドキュメントでは以下のように各ネットワークデバイスグループにそれぞれ2台のネットワークデバイスを割り当てております。 (Administration > Network Resources > Network Device Groups > [対象のグループ名にチェック] > [Show group members]) グループ名 "Tokyo Site" グループ名 "Osaka Site" 2-3. Administrator(管理者アカウント) と Admin Groups(管理者グループ) の作成 こちらは必須ではないですが、必要に応じて設定いただければと思います。 本ドキュメントの例では、以下のように管理者アカウント(Administorator)と管理者グループ(Admin Groups)を作成して各管理者グループに管理者アカウントを割り当てた例をあげております。 管理者グループ名 管理者アカウント名 Tokyo Site Admins devadmin01 Osaka Site Admins devadmin02 管理者グループを作成 管理者アカウントを追加して管理者グループに割り当て 2-4. Authorization(Permission および、Policy) の設定 Menu Access の Permission 設定(ネットワークデバイスグループ名 "Tokyo Site" および、"Osaka Site" 共通) (以下の例は、Administration > Network Resouces 配下のみメニューを表示するように設定) ネットワークデバイスグループ名 "Tokyo Site" 用: Data Access の Permission 設定 (以下の例は、Network Device Groups > Managed_NDG > Tokyo Site のみ Full Access 設定) ネットワークデバイスグループ 名 "Osaka Site" 用: Data Access の Permission 設定 (以下では、Network Device Groups > Managed_NDG > Osaka Site のみ Full Access 設定) 各管理者グループ毎に RBAC Policy を作成 2-4. で作成した Menu Access と Data Access の Permission と 2-3. で作成した管理者グループに割り当てます。 (以下の例は、Menu Access は、共通の Permission で、Data Access のみ各管理者グループで分けるように設定) グループ名 "Tokyo Site" 用: グループ名 "Osaka Site" 用: 3. 確認 3-1. devadmin01(管理者グループ名: "Tokyo Site") でログインした場合 3-2. devadmin02(管理者グループ名: "Osaka Site") でログインした場合 ... View more

質問 [Q] AMP Connector で検知してもポップアップしてこない      回答  [A] 一般的に考えられる事としてはポリシー設定で有効(デフォルトで通知させない)である事が考えられます。   ポリシー設定(Advanced Settings > Client User Interface)の以下の 3 つのオプションが有効(チェック有り)になっている場合は必要に応じて無効(チェックを外す)にしてください。 - Hide Cataloging Notification - Hide File Notification - Hide Network Notification   英語版 UI 日本語版 UI   ... View more

質問  [Q] スマートフォンを買い換えたため、二段階認証（Two-step Verification)でのログインが出来なくなった 回答  以下の3通りの方法がございます。   2段階認証有効時のバックアップコードを使う。 ※ 事前にバックアップコードを取得していただく必要がございます。 2段階認証の無効化。 ※ この場合は、弊社 Japan TAC へ以下の情報を添付の上、ケースをオープンしていただく必要がございます。 対象となるログインアカウント（Consoleへログインする際に使うアカウント） ご利用のビジネスに関する情報(Console上の ”アカウント” > ”ビジネス) ビジネス名 ビジネスの UUID("Cisco AMP Threat Grid API" の項目の "ログイン" の amp- で始まる文字列) ご利用のクラウド(US/EU/APJC) ※不明な場合は Console ログインする際の URL でも構いません。 対象のアカウントの再登録。 ※ 別の管理者で、対象のアカウントを削除後、再度、アカウントを登録 ※ お急ぎの場合にはこちらの方法を検討いただければと思います。 なお、上記 1. の方法を推奨いたしますが、2段階認証を有効後にバックアップコードを取得されたいなどの場合は、以下の手順で取得いただけます。     ※ ログイン中のユーザでのみ、こちらの操作が可能です。   1) 対象のユーザでログイン後、"アカウント" > "ユーザ" > ログイン中のユーザ名をクリック。 2) [2段階認証の詳細] ボタンをクリック。 3) "ステップ4:バックアップコードの保存" の "バックアップコードの生成" をクリック後、表示されたバックアップコードを取得。 ... View more

  1. はじめに Apple社 macOS High Sierra 10.13 のリリースにより、10.13 の new feature として、サードパーティ製の Kernel EXTensions(KEXTs) をロードするために事前に利用者の承認が必要となりました。また、弊社 AMP connector に関しましては、AMP 1.5.0.548 にて High Sierra 10.13 をサポートしております。 本ドキュメントは、主に以下のような環境での macOS High Sierra の端末に AMP connector 導入時に遭遇すると思われる事象の対処方について記述しております。 初めて AMP connector をインストール MDM を利用としていない環境 ※ 本ドキュメントは、2017年12月20日現在の環境(AMP connector 1.5.1.574)にて確認しております。また、ソフトウェアバージョンなどによりメッセージなどの表記が変わる可能性もございます。   2. 事象: AMP connector インストール時に AMP console 上で以下のようなイベントが発生し、AMP connector が起動しない状況となる。   [英語表記の場合] Event Type/Critical Fault Raised: The kernel module is not authorized and requires endpoint user intervention to complete. The connector is not currently running.   [日本語表記の場合] イベントタイプ/深刻な障害が発生: カーネルモジュールは許可されていません。完了するにはエンドポイントユーザによる介入が必要です。 コネクタが現在稼働していません。   3. 対処: 前述の事象に遭遇した対象の端末にて [System Preferences...] > [Security & Privacy] > [General]タブにて以下のスクリーンショットのような [Allow] ボタンが表示されている場合はクリックしてください。 (日本語表記の場合: [システム環境設定] > [セキュリティとプライバシー] > [一般]タブ)   上記の操作が完了し、前述の事象が解決できた場合は、AMP console 上のイベントが以下のような状態を確認いただけます。   [英語表記の場合] Event Type/Fault Cleared:   [日本語表記の場合] イペントタイプ/障害が解消されました:   なお、上記の内容で解決ができなかった場合には、お手数ですが以下のような情報を確認、整理頂いたの上、お問い合わせ頂けますと助かります。 AMP connector のバージョン 事象が発生しているのは全ての端末、もしくは一部の端末か。 再起動、再インストールしても解消するかどうか。 Support Tool Log の取得 以下は、念のための確認となります。 過去に AMP connector をインストールした実績のある端末かどうか。 AMP console 側でのイベント情報のスクリーンショット。   4. 参考情報 リリースノート CISCO AMP FOR ENDPOINTS RELEASE NOTES AMP console の Announcements 情報 Mac OS 10.13 - High Sierra Advisory Apple 社による Apple Tech Note Technical Note TN2459 User-Approved Kernel Extension Loading ... View more

目的 SSH 接続などで ASA へ接続後、enable コマンドで Privileged EXEC mode(以下、特権 EXEC モード)へ移行する必要がありますが、まれに弊社へ接続後に特権 EXEC モードへ移行できないかというお問い合わせをいただくことがございます。 ASA 9.2(1) より ’aaa authorization exec authentication-server auto-enable’ 機能が追加されました。 本ドキュメントでは、この機能を簡単にご紹介いたしますので参考に頂ければと思います。 ※ なお、導入を検討される際には、Command reference の確認や十分な検証を実施頂いた上で検討いただきます様よろしくお願いいたします。 ※ 本ドキュメントは、ASAv 9.8(1) で確認しております。   設定の有無による動作差分 動作の差異について簡単に纏めました表を以下に記載します。   aaa authorization exec authentication-server auto-enable 動作 設定有り login as: netadmin01 netadmin01@172.16.1.247's password: User netadmin01 logged in to asav-a Logins over the last XX days: XX. Last login: 16:06:37 JP Sep 19 2017 from 172.16.100.100 Failed logins since the last login: X. Last failed login: 16:07:19 JP Sep 19 2017 from 172.16.100.100 Type help or '?' for a list of available commands. asav-a# 設定無し login as: netadmin01 netadmin01@172.16.1.247's password: User netadmin01 logged in to asav-a Logins over the last XX days: XX. Last login: 13:28:39 JP Sep 19 2017 from 172.16.100.100 Failed logins since the last login: X. Last failed login: 15:45:04 JP Aug 30 2017 from 172.16.100.100 Type help or '?' for a list of available commands. asav-a> enable Password: ******** <<<<< enable コマンドの実施と enable パスワードの入力が必要 asav-a#     参照: aaa authorization exec   ... View more