[Configuration] > [Remote Access] > [Network （Client） Access] > [Group Policies] > [Advanced] > [IPsec (IKEv1) Client] で、[Add or Edit Group Policy] > [IPsec] ダイアログボックスを使用すると、追加または変更するグループ ポリシーのトンネリング プロトコル、フィルタ、接続設定、サーバーを指定できます。

• [Re-Authentication on IKE Re-key]：[Inherit] チェックボックスがオフである場合に、IKE キーの再生成が行われたときの再認証をイネーブルまたはディセーブルにします。ユーザーは、30 秒以内にクレデンシャルを入力する必要があります。また、約 2 分間で SA が期限切れになり、トンネルが終了するまでの間に、3 回まで入力を再試行できます。

• [Allow entry of authentication credentials until SA expires]：設定済み SA の最大ライフタイムまで、ユーザーは認証クレデンシャルをこの回数再入力できます。

• [IP Compression]：[Inherit] チェックボックスがオフである場合に、IP Compression をイネーブルまたはディセーブルにします。

• [Perfect Forward Secrecy]：[Inherit] チェックボックスがオフである場合に、完全転送秘密（PFS）をイネーブルまたはディセーブルにします。PFS は、特定の IPsec SA のキーが他のシークレット（他のキーなど）から導出されたものでないことを保証します。つまり、PFS では、攻撃者があるキーを突破しても、そこから他のキーを導出することはできないことが保証されます。PFS がイネーブルになっていない場合は、IKE SA の秘密キーが突破されると、その攻撃者は、IPsec のすべての保護データをコピーし、IKE SA のシークレットの知識を使用して、その IKE SA によって設定された IPsec SA のセキュリティを侵すことができると推測されます。PFS を使用すると、攻撃者が IKE を突破しても、直接 IPsec にはアクセスできません。その場合、攻撃者は各 IPsec SA を個別に突破する必要があります。

• [Store Password on Client System]：クライアント システムでのパスワードの保管をイネーブルまたはディセーブルにします。

  （注）	パスワードをクライアント システムで保管すると、潜在的なセキュリティ リスクが発生します。

• [IPsec over UDP]：IPsec over UDP の使用をイネーブルまたはディセーブルにします。

• [IPsec over UDP Port]：IPsec over UDP で使用する UDP ポートを指定します。

• [Tunnel Group Lock]：[Inherit] チェックボックスまたは値 [None] が選択されていない場合に、選択したトンネル グループをロックします。

• [IPsec Backup Servers]：[Server Configuration] フィールドと [Server IP Addresses] フィールドをアクティブにします。これによって、これらの値が継承されない場合に使用する UDP バックアップ サーバーを指定できます。

  • [Server Configuration]：IPsec バックアップ サーバーとして使用するサーバー設定オプションを一覧表示します。使用できるオプションは、[Keep Client Configuration]（デフォルト）、[Use Backup Servers Below]、および [Clear Client Configuration] です。

  • [Server Addresses（space delimited）]：IPsec バックアップ サーバーの IP アドレスを指定します。このフィールドは、[Server Configuration] で選択した値が Use Backup Servers Below である場合にだけ使用できます。

[Add or Edit Group Policy] の [Client Firewall] ダイアログボックスでは、追加または変更するグループ ポリシーに対して VPN クライアントのファイアウォール設定を行うことができます。これらのファイアウォール機能を使用できるのは、Microsoft Windows 上で動作している VPN クライアントだけです。現在、ハードウェア クライアントまたは他（Windows 以外）のソフトウェア クライアントでは、これらの機能は使用できません。

VPN クライアントを使用して ASA に接続しているリモート ユーザーは、適切なファイアウォール オプションを選択できます。

最初のシナリオでは、リモート ユーザーの PC 上にパーソナル ファイアウォールがインストールされています。VPN クライアントは、ローカル ファイアウォールで定義されているファイアウォール ポリシーを適用し、そのファイアウォールが実行されていることを確認するためにモニターします。ファイアウォールの実行が停止すると、VPN クライアントは ASA への通信をドロップします（このファイアウォール適用メカニズムは Are You There（AYT）と呼ばれます。VPN クライアントが定期的に「are you there?」メッセージを送信することによってファイアウォールをモニターするからです。応答が返されない場合、VPN クライアントは、ファイアウォールがダウンしたため ASA への接続が終了したと認識します。）ネットワーク管理者がこれらの PC ファイアウォールを独自に設定する場合もありますが、この方法を使用すれば、ユーザーは各自の設定をカスタマイズできます。

第 2 のシナリオでは、VPN クライアント PC のパーソナル ファイアウォールに中央集中型ファイアウォール ポリシーを適用することが選択されることがあります。一般的な例としては、スプリット トンネリングを使用してグループのリモート PC へのインターネット トラフィックをブロックすることが挙げられます。この方法は、トンネルが確立されている間、インターネット経由の侵入から PC を保護するので、中央サイトも保護されます。このファイアウォールのシナリオは、プッシュ ポリシーまたは Central Protection Policy（CPP）と呼ばれます。ASA では、VPN クライアントに適用するトラフィック管理ルールのセットを作成し、これらのルールをフィルタに関連付けて、そのフィルタをファイアウォール ポリシーとして指定します。ASA はこのポリシーを VPN クライアントまで配信します。その後、VPN クライアントはポリシーをローカル ファイアウォールに渡し、そこでポリシーが適用されます。

[Configuration] > [Remote Access] > [Network (Client) Access] > [Group Policies] > [Advanced] > [IPsec (IKEv1) Client] > [Client Firewall]

フィールド

• [Inherit]：グループ ポリシーがデフォルト グループ ポリシーからクライアントのファイアウォール設定を取得するかどうかを決めます。このオプションはデフォルト設定です。設定すると、このダイアログボックスにある残りの属性がその設定によって上書きされ、名前がグレー表示になります。

• [Client Firewall Attributes]：（実装されている場合）実装されているファイアウォールのタイプやファイアウォール ポリシーなど、クライアントのファイアウォール属性を指定します。

• [Firewall Setting]：ファイアウォールが存在するかどうかを一覧表示します。存在する場合には、そのファイアウォールが必須かオプションかも示します。[No Firewall]（デフォルト）を選択すると、このダイアログボックスにある残りのフィールドは、いずれもアクティブになりません。このグループのユーザーをファイアウォールで保護する場合は [Firewall Required] または [Firewall Optional] 設定を選択します。

  [Firewall Required] を選択した場合は、このグループのユーザー全員が指定されたファイアウォールを使用する必要があります。指定されたサポート対象のファイアウォールがインストールされておらず、実行されていない場合、ASA は接続を試行したセッションをすべてドロップします。この場合、ASA は、ファイアウォール設定が一致しないことを VPN クライアントに通知します。

  （注）	グループでファイアウォールを必須にする場合には、そのグループに Windows VPN クライアント以外のクライアントが存在しないことを確認してください。グループ内のその他のクライアント（クライアント モードの ASA 5505 を含む）は接続できません。

  このグループに、まだファイアウォールに対応していないリモート ユーザーがいる場合は、[Firewall Optional] を選択します。Firewall Optional 設定を使用すると、グループ内のすべてのユーザーが接続できるようになります。ファイアウォールに対応しているユーザーは、ファイアウォールを使用できます。ファイアウォールなしで接続するユーザーには、警告メッセージが表示されます。この設定は、一部のユーザーがファイアウォールをサポートしており、他のユーザーがサポートしていないグループを作成するときに役立ちます。たとえば、移行途中のグループでは、一部のメンバはファイアウォール機能を設定し、別のユーザーはまだ設定していないことがあります。

• [Firewall Type]：シスコを含む複数のベンダーのファイアウォールを一覧表示します。[Custom Firewall] を選択すると、[Custom Firewall] の下のフィールドがアクティブになります。指定したファイアウォールが、使用できるファイアウォール ポリシーと相関している必要があります。設定したファイアウォールにより、サポートされるファイアウォール ポリシー オプションが決まります。

• [Custom Firewall]：カスタム ファイアウォールのベンダー ID、製品 ID、および説明を指定します。

  • [Vendor ID]：このグループ ポリシーのカスタム ファイアウォールのベンダーを指定します。

  • [Product ID]：このグループ ポリシー用に設定するカスタム ファイアウォールの製品名またはモデル名を指定します。

  • [Description]：（任意）カスタム ファイアウォールについて説明します。

• [Firewall Policy]：カスタム ファイアウォール ポリシーのタイプとソースを指定します。

  • [Policy defined by remote firewall (AYT)]：ファイアウォール ポリシーをリモート ファイアウォール（Are You There）によって定義するように指定します。Policy defined by remote firewall（AYT）は、このグループのリモート ユーザーのファイアウォールが、各自の PC に存在することを意味しています。このローカル ファイアウォールが、VPN クライアントにファイアウォール ポリシーを適用します。ASA は、指定されたファイアウォールがインストールされ、実行している場合にのみ、このグループの VPN クライアントが接続できるようにします。指定されたファイアウォールが実行されていない場合、接続は失敗します。接続が確立すると、VPN クライアントがファイアウォールを 30 秒ごとにポーリングして、そのファイアウォールが実行されていることを確認します。ファイアウォールの実行が停止すると、VPN クライアントはセッションを終了します。

  • [Policy pushed (CPP)]：ポリシーがピアからプッシュされるように指定します。このオプションを選択する場合は、[Inbound Traffic Policy] および [Outbound Traffic Policy] リストと [Manage] ボタンがアクティブになります。ASA は、[Policy Pushed (CPP)] ドロップダウン リストで選択されたフィルタによって定義されるトラフィック管理ルールを、このグループの VPN クライアントに適用します。メニューで選択できるのは、デフォルト フィルタを含めて、この ASA で定義されているフィルタです。ASA がこれらのルールを VPN クライアントにプッシュすることに注意してください。ASA ではなく VPN クライアントに対してこれらのルールを作成して定義する必要があります。たとえば、「in」と「out」はそれぞれ、VPN クライアントに着信するトラフィックと、VPN クライアントから発信されるトラフィックです。VPN クライアントにローカル ファイアウォールもある場合、ASA からプッシュされたポリシーはローカル ファイアウォールのポリシーと連携して機能します。いずれかのファイアウォールのルールでブロックされたすべてのパケットがドロップされます。

  • [Inbound Traffic Policy]：着信トラフィックに対して使用できるプッシュ ポリシーを一覧表示します。

  • [Outbound Traffic Policy]：発信トラフィックに対して使用できるプッシュ ポリシーを一覧表示します。

  • [Manage]：[ACL Manager] ダイアログボックスを表示します。このダイアログボックスで、アクセス コントロール リスト（ACL）を設定できます。

サイト間 VPN 接続のグループ ポリシーでは、トンネリング プロトコル、フィルタ、および接続設定を指定します。このダイアログボックスの各フィールドで、[Inherit] チェックボックスを選択すると、対応する設定の値をデフォルト グループ ポリシーから取得できます。[Inherit] は、このダイアログボックスの属性すべてのデフォルト値です。

フィールド

[Add Internal Group Policy] > [General] ダイアログボックスには、次の属性が表示されます。これらの属性は、SSL VPN と IPsec セッションに適用されます。そのため、いくつかの属性は、1 つのタイプのセッションに表示され、他のタイプには表示されません。

• [Name]：このグループ ポリシーの名前を指定します。Edit 機能の場合、このフィールドは読み取り専用です。

• [Tunneling Protocols]：このグループが許可するトンネリング プロトコルを指定します。ユーザーは、選択されているプロトコルだけを使用できます。次の選択肢があります。

  • [Clientless SSL VPN]：SSL VPN（SSL/TLS を利用する VPN）を使用することを指定します。この VPN では、ソフトウェアやハードウェアのクライアントは必要なく、Web ブラウザを使用して ASA へのセキュアなリモートアクセス トンネルが確立されます。クライアントレス SSL VPN を使用すると、HTTPS インターネット サイトを利用できるほとんどすべてのコンピュータから、企業の Web サイト、Web 対応アプリケーション、NT/AD ファイル共有（Web 対応）、電子メール、およびその他の TCP ベース アプリケーションなど、幅広い企業リソースに簡単にアクセスできるようになります。

  • [SSL VPNクライアント（SSL VPN Client）]：Cisco AnyConnect VPN Client またはレガシー SSL VPN クライアントの AnyConnect VPN モジュールの使用を指定します。AnyConnect クライアントを使用している場合は、このプロトコルを選択して MUS がサポートされるようにする必要があります。

  • [IPsec IKEv1]：IP セキュリティ プロトコル。IPsec は最もセキュアなプロトコルとされており、VPN トンネルのほぼ完全なアーキテクチャを提供します。Site-to-Site（ピアツーピア）接続、および Cisco VPN クライアントと LAN 間の接続の両方で IPsec IKEv1 を使用できます。

  • [IPsec IKEv2]：Secure Clientによってサポートされています。IKEv2 を使用した IPsec を使用するAnyConnect クライアント接続では、ソフトウェアアップデート、クライアントプロファイル、GUI のローカリゼーション（翻訳）とカスタマイゼーション、Cisco Secure Desktop、SCEP プロキシなどの拡張機能が提供されます。

  • [L2TP over IPsec]：一部の一般的 PC やモバイル PC のオペレーティング システムで提供される VPN クライアントを使用しているリモート ユーザーは、L2TP over IPSec によって、パブリック IP ネットワーク経由でセキュリティ アプライアンスやプライベート企業ネットワークへのセキュアな接続を確立できます。L2TP は、データのトンネリングに PPP over UDP（ポート 1701）を使用します。セキュリティ アプライアンスは、IPsec 転送モード用に設定する必要があります。

• [フィルター（Filter）]：（Network (Client) Access 専用）使用するアクセス コントロール リストを指定するか、またはグループポリシーから値を継承するかどうかを指定します。フィルタは複数のルールから構成されています。これらのルールは、ASA を介して着信したトンネリング データ パケットを許可するか拒否するかを、送信元アドレス、宛先アドレス、プロトコルなどに基づいて決定します。VPN フィルタは初期接続にのみ適用されます。アプリケーション インスペクションのアクションによって開かれた SIP メディア接続などのセカンダリ接続には適用されません。フィルタおよびルールを設定する方法については、[Group Policy] ダイアログボックスを参照してください。ACL を表示および設定できる [ACL Manager] を開くには、[Manage] をクリックします。

• Idle Timeout：[Inherit] チェックボックスをオフにした場合、このパラメータでアイドル時間を分単位で設定します。

  この期間に接続で通信アクティビティがない場合、接続は終了します。最小時間は 1 分、最大時間は 10080 分であり、デフォルトは 30 分です。接続時間を無制限にするには、[Unlimited] をオンにします。

• Maximum Connect Time：[Inherit] チェックボックスがオフになっている場合、このパラメータで最大ユーザー接続時間を分単位で設定します。

  ここで指定した時間が経過すると、システムは接続を終了します。最小値は 1 分、最大値は 35791394 分です。制限なしの接続時間を許可するには、[Unlimited] をオンにします（デフォルト）。

• Periodic Certificate Authentication Interval：証明書認証が定期的に再実行されるまでの時間間隔（時間単位）。

  [Inherit] チェックボックスがオフになっている場合、定期的な証明書検証の実行間隔を設定できます。範囲は 1 ～ 168 時間で、デフォルトは無効になっています。無制限の検証を許可するには、[Unlimited] をオンにします。

AnyConnect クライアント 接続プロファイルのメインペインでは、インターフェイス上のクライアントアクセスを有効にして、接続プロファイルを追加、編集、および削除できます。ログイン時にユーザーが特定の接続を選択できるようにするかどうかも指定できます。

• [Access Interfaces]：アクセスをイネーブルにするインターフェイスをテーブルから選択できます。このテーブルのフィールドには、インターフェイス名やチェックボックスが表示され、アクセスを許可するかどうかを指定します。

  • [インターフェイス（Interface）] テーブルの AnyConnect クライアント 接続に設定するインターフェイスの行で、インターフェイスでイネーブルにするプロトコルをオンにします。SSL アクセス、IPSec アクセス、またはその両方を許可できます。

    SSL をオンにすると、DTLS（Datagram Transport Layer Security）がデフォルトでイネーブルになります。DTLS により、一部の SSL 接続で発生する遅延および帯域幅の問題が回避され、パケット遅延の影響を受けやすいリアルタイム アプリケーションのパフォーマンスが向上します。

    IPsec（IKEv2）アクセスをオンにすると、クライアント サービスがデフォルトでイネーブルになります。クライアントサービスには、ソフトウェア更新、クライアントプロファイル、GUI のローカリゼーション（翻訳）とカスタマイゼーション、Cisco Secure Desktop、SCEP プロキシなどの拡張 AnyConnect クライアント 機能が含まれています。クライアントサービスを無効にしても、AnyConnect クライアント では IKEv2 との基本的な IPsec 接続が確立されます。

  • [Device Certificate]：RSA キーまたは ECDSA キーの認証の証明書を指定できます。デバイス証明書の指定を参照してください。

  • [Port Setting]：HTTPS および DTLS（RA クライアントのみ）接続のポート番号を設定します。接続プロファイル、ポート設定を参照してください。

  • [Bypass interface access lists for inbound VPN sessions]：[Enable inbound VPN sessions to bypass interface ACLs] がデフォルトでオンになっています。セキュリティ アプライアンスが、すべての VPN トラフィックのインターフェイス ACL の通過を許可します。たとえば、外部インターフェイス ACL が復号化されたトラフィックの通過を許可しない場合でも、セキュリティ アプライアンスはリモート プライベート ネットワークを信頼し、復号化されたパケットの通過を許可します。このデフォルトの動作を変更できます。インターフェイス ACL に VPN 保護対象トラフィックの検査を行わせるためには、このチェックボックスをオフにします。

• Login Page Setting

  • ユーザーはそのエイリアスで識別される接続プロファイルをログイン ページで選択できます。このチェックボックスをオンにしない場合、デフォルト接続プロファイルは DefaultWebVPNGroup です。

  • [Shutdown portal login page.]：ログインがディセーブルの場合に Web ページを表示します。

• [Connection Profiles]：接続（トンネル グループ）のプロトコル固有属性を設定します。

  • [Add/Edit]：接続プロファイル（トンネル グループ）を追加または編集します。

  • [Name]：接続プロファイルの名前。

  • [Aliases]：接続プロファイルの別名。

  • [SSL VPN Client Protocol]：SSL VPN クライアントにアクセス権を与えるかどうかを指定します。

  • [Group Policy]：この接続プロファイルのデフォルト グループ ポリシーを表示します。

  • [Allow user to choose connection, identified by alias in the table above, at login page]：[Login] ページでの接続プロファイル（トンネル グループ）エイリアスの表示をイネーブルにする場合はオンにします。

• [Let group URL take precedence if group URL and certificate map match different connection profiles. Otherwise, the connection profile matches the certificate map will be used.]：このオプションでは、接続プロファイルの選択プロセス時にグループ URL および証明書の値の相対的プリファレンスを指定します。ASA で、推奨される値と一致する値が見つからない場合は、別の値に一致する接続プロファイルが選択されます。VPN エンドポイントで指定したグループ URL を、同じグループ URL を指定する接続プロファイルと照合するために、多数の古い ASA ソフトウェア リリースで使用されるプリファレンスを利用する場合にのみ、このオプションをオンにします。このオプションは、デフォルトではオフになっています。オフにした場合、ASA は接続プロファイルで指定した証明書フィールド値を、エンドポイントで使用する証明書のフィールド値と照合して、接続プロファイルを割り当てます。

ASDM の接続プロファイル ペインで SSL および DTLS 接続（リモート アクセスのみ）のポート番号を設定します。

[設定（Configuration）] > [リモートアクセスVPN（Remote Access VPN）] > [ネットワーク（クライアント）アクセス（Network (Client) Access）] > [AnyConnect クライアント接続プロファイル（Connection Profiles）]

フィールド

• [HTTPS Port]：HTTPS（ブラウザベース）SSL 接続用にイネーブルにするポート。範囲は 1 ～ 65535 です。デフォルトはポート 443 です。

• [DTLS Port]：DTLS 接続用にイネーブルにする UDP ポート。範囲は 1 ～ 65535 です。デフォルトはポート 443 です。

Cisco Secure Client 接続の AnyConnect VPN モジュールの基本属性を設定するには、[AnyConnect クライアント接続プロファイル（Connection Profiles）] セクションで [追加（Add）] または [編集（Edit）] を選択します。[AnyConnect クライアント接続プロファイルの追加/編集（Add/Edit Connection Profile）] > [基本（Basic）] ダイアログボックスが開きます。

• [Name]：[Add] の場合、追加する接続プロファイルの名前を指定します。[Edit] の場合、このフィールドは編集できません。

• [Aliases]：（任意）この接続の代替名を 1 つ以上入力します。名前は、スペースまたは句読点で区切ることができます。

• [Authentication]：認識の方法を、次の中から 1 つ選択し、認証処理で使用する AAA サーバー グループを指定します。

  • [Method]：複数証明書認証のためのプロトコル交換を定義し、両方のセッション タイプでこれを利用するために認証プロトコルが拡張されています。AnyConnect クライアント SSL クライアントプロトコルと IKEv2 クライアントプロトコルを使用して、セッションごとに複数の認証を検証できます。使用する認証タイプを、AAA、AAA と証明書、証明書のみ、SAML、複数証明書および AAA、複数の証明書、SAML と証明書、または SAML と複数証明書から選択します。選択に応じて、接続するために証明書を提供する必要がある場合があります。

  • [AAA Server Group]：ドロップダウン リストから AAA サーバー グループを選択します。デフォルトの設定は LOCAL です。その場合、ASA が認証を処理するように指定されます。選択する前に、[Manage] をクリックして、このダイアログボックスの上に別のダイアログボックスを開き、AAA サーバー グループの ASA コンフィギュレーションを表示したり変更することができます。

    • LOCAL 以外のグループを選択すると、[Use LOCAL if Server Group Fails] チェックボックスが選択できるようになります。

    • [Use LOCAL if Server Group fails]：Authentication Server Group 属性によって指定されたグループに障害が発生したときに、LOCAL データベースをイネーブルにする場合はオンにします。

• [SAML ID プロバイダー（SAML Identity Provider）]：シングルサインオン（SSO）認証用の SAML IdP サーバーを選択します。

  • [SAMLサーバー（SAML Server）]：AnyConnect クライアント シングルサインオン認証用にドロップダウンから SAML サーバーを選択するか、[管理（Manage）] をクリックして SSO サーバーを追加し、次のパラメータを設定します。

    • [IDPエンティティID（IDP Entity ID）]：SAML Idp のエンティティ ID。

    • [Sign In URL]：IdP にサインインするための URL。url value は 4 ～ 500 文字の範囲で指定します。

    • [Sign Out URL]（オプション）：IdP からサインインするときのリダイレクト先 URL。url value は 4 ～ 500 文字の範囲で指定します。

    • [Base URL]（オプション）：エンドユーザーを ASA にリダイレクトするために、サードパーティ製 IdP に提供されます。

      base-url が設定されている場合、その URL は show saml metadata の AssertionConsumerService と SingleLogoutService 属性のベース URL として使用されます。

      base-url が設定されていない場合、URL は ASA のホスト名とドメイン名から決定されます。たとえば、ホスト名が ssl-vpn、ドメイン名が cisco.com の場合は、https://ssl-vpn.cisco.com が使用されます。

      base-url もホスト名/ドメイン名も設定されていない場合は、show saml metadata を入力するとエラーが発生します。

    • [Identity Provider Certificate]：ASA が SAML アサーションを検証するための IdP 証明書を含むトラストポイントを指定します。すでに設定されているトラストポイントを選択します。

    • [Service Provider Certificate]（オプション）：IdP が ASA（SP）の署名や暗号化 SAML アサーションを検証するための ASA（SP）証明書含むトラストポイントを指定します。すでに設定されているトラストポイントを選択します。

    • [Request Signature]：ドロップダウンを使用して、SAML IdP サーバーに対して希望する署名方法を選択します。rsa-sha1、rsa-sha256、rsa-sha384、rsa-sha512 から選択できます。

    • [要求タイムアウト（Request Timeout）]：（オプション）SAML 要求のタイムアウト（秒）。範囲は 1 ～ 7200 です。

      指定した場合、NotBefore と timeout-in-seconds の合計が NotOnOrAfter よりも早い場合は、この設定が NotOnOrAfter に優先します。

      指定しない場合は、セッションの NotBefore と NotOnOrAfter が有効期間の確認に使用されます。

    • [内部ネットワークでアクセス可能な場合のみIDPを有効化（Enable IDP only accessible on internal network）]：内部ネットワークでアクセス可能な場合にのみ IDP を有効にするには、このチェックボックスをオンにします。

    • [ログイン時にIDP再認証を要求（Request IDP reauthentication at login）]：ログイン時の IDP 再認証を有効にするには、このチェックボックスをオンにします。

    • [クロックスキュー（Clock-skew）]：NotBefore アサーションと NotOnOrAfter SAML アサーションを許容するクロックスキュー。デフォルトでは、クロックスキューは無効にする必要があります。デフォルト値は 1 秒で、範囲は 1 ～ 180 秒です。

• [SAML IDP TrustPoint]：シングルサインオン（SSO）認証用の SAML IdP TrustPoint を選択します。

  • [IDP TrustPoint]：ASA が SAML アサーションを検証するための IdP 証明書を含む SAML IdP トラストポイントを選択します。

• [SAMLログインエクスペリエンス（SAML Login Experience）]：シングルサインオン（SSO）認証用の SAML IdP TrustPoint を選択します。

  • [VPNクライアント組み込みブラウザ（VPN Client Embedded Browser）]：VPN クライアントは Web 認証に組み込みブラウザを使用するため、認証は VPN 接続にのみ適用されます。

  • [デフォルトOSブラウザ（Default OS Browser）]：VPN クライアントは、Web 認証にシステムのデフォルトブラウザを使用します。このオプションは、シングルサインオン（SSO）と、組み込みブラウザでは実行できない Web 認証方式（生体認証など）のサポートを有効にします。

    SSO 認証にデフォルトの OS ブラウザを選択する場合は、デフォルトのブラウザを使用するようにAnyConnect クライアントの外部ブラウザパッケージを設定する必要があります。AnyConnect クライアント外部ブラウザ SAML パッケージを参照してください。

• [SAMLユーザー名の一致（SAML UserName Match）]：証明書のユーザー名を SAML ユーザー名に一致させる場合に選択します。

• [Client Address Assignment]：使用する DHCP サーバー、クライアント アドレス プール、クライアント IPv6 アドレス プールを選択します。

• [Client Address Assignment]：使用する DHCP サーバー、クライアント アドレス プール、クライアント IPv6 アドレス プールを選択します。

  • [DHCP Servers]：使用する DHCP サーバーの名前または IP アドレスを入力します。

  • [Client Address Pools]：クライアント アドレス割り当てで使用する、選択可能な設定済みの IPv4 アドレス プールの名前を入力します。選択する前に、[Select] をクリックして、このダイアログボックスに重ねてダイアログボックスを開き、アドレス プールを表示したり、変更を加えたりすることができます。IPv4 アドレス プールを追加または編集する方法の詳細については を参照してください。

  • [Client IPv6 Address Pools]：クライアント アドレス割り当てで使用する、選択可能な設定済みの IPv6 アドレス プールの名前を入力します。選択する前に、[Select] をクリックして、このダイアログボックスに重ねてダイアログボックスを開き、アドレス プールを表示したり、変更を加えたりすることができます。IPv6 アドレス プールを追加または編集する方法の詳細については を参照してください。

• [Default Group Policy]：使用するグループ ポリシーを選択します。

  • [Group Policy]：この接続のデフォルト グループ ポリシーとして割り当てる VPN グループ ポリシーを選択します。VPN グループ ポリシーは、ユーザー指向属性値のペアの集合で、デバイスで内部に、または RADIUS サーバーで外部に保存できます。デフォルト値は DfltGrpPolicy です。[Manage] をクリックして別のダイアログボックスを重ねて開き、グループ ポリシー コンフィギュレーションに変更を加えることができます。

  • [Enable SSL VPN client protocol]：VPN 接続の SSL をイネーブルにする場合にオンにします。

  • [Enable IPsec (IKEv2) client protocol]：接続で IKEv2 を使用する IPsec をイネーブルにする場合にオンにします。

  • [DNS Servers]：ポリシーの DNS サーバーの IP アドレスを入力します（1 つまたは複数）。

  • [WINS Servers]：ポリシーの WINS サーバーの IP アドレスを入力します（1 つまたは複数）。

  • [Domain]：デフォルトのドメイン名を入力します。

• [Find]：検索文字列として使用する GUI ラベルまたは CLI コマンドを入力し、[Next] または [Previous] をクリックして検索を開始します。

[Advanced] メニュー項目とそのダイアログボックスでは、この接続に関する次の特性を設定できます。

• 一般属性

• クライアント アドレス指定属性

• 認証属性

• 認可属性

• アカウンティング属性

• ネーム サーバー属性

（注）	SSL VPN 属性および 2 次認証属性は、SSL VPN 接続プロファイルにだけ適用されます。

• [Enable Simple Certificate Enrollment (SCEP) for this Connection Profile]

• [Strip the realm from username before passing it on to the AAA server]

• [Strip the group from username before passing it on to the AAA server]

• [Group Delimiter]

• [Enable Password Management]：ユーザーへのパスワード期限切れ通知に関するパラメータを設定できます。

  • [Notify user __ days prior to password expiration]：パスワードが期限切れになるまでの特定の日数を指定し、その日数だけ前の日のログイン時に ASDM がユーザーに通知するよう指定します。デフォルトでは、パスワードが期限切れになるより 14 日前にユーザーへの通知を開始し、以後、ユーザーがパスワードを変更するまで毎日通知するように設定されています。範囲は 1 ～ 180 日です。

  • [Notify user on the day password expires]：パスワードが期限切れになる当日にユーザーに通知します。

    いずれの場合でも、変更されずにパスワードが期限切れになったとき、ASA ではユーザーによるパスワードの変更が可能です。現在のパスワードの期限が切れていなければ、ユーザーはそのパスワードで引き続きログインできます。

    この処理によってパスワードの期限が切れるまでの日数が変わるのではなく、通知がイネーブルになるだけであるという点に注意してください。このオプションを選択する場合は、日数も指定する必要があります。

• [Translate Assigned IP Address to Public IP Address]：まれに、内部ネットワークで、割り当てられたローカル IP アドレスではなく、VPN ピアの実際の IP アドレスを使用する場合があります。VPN では通常、内部ネットワークにアクセスするために、割り当てられたローカル IP アドレスがピアに指定されます。ただし、内部サーバーおよびネットワーク セキュリティがピアの実際の IP アドレスに基づく場合などに、ローカル IP アドレスを変換してピアの実際のパブリック IP アドレスに戻す場合があります。この機能は、トンネル グループごとに 1 つのインターフェイスでイネーブルにすることができます。

  • [Enable the address translation on interface]：アドレス変換を可能にし、アドレスが表示されるインターフェイスを選択することができます。outside は AnyConnect クライアント が接続するインターフェイスであり、inside は新しいトンネルグループに固有のインターフェイスです。

    （注）	ルーティングの問題および他の制限事項のため、この機能が必要でない場合は、この機能の使用は推奨しません。

• [Find]：検索文字列として使用する GUI ラベルまたは CLI コマンドを入力し、[Next] または [Previous] をクリックして検索を開始します。

[Connection Profile] > [Advanced] > [Authentication] タブで、次のフィールドを設定できます。

• [Interface-specific Authentication Server Groups]：指定のインターフェイスに対する認証サーバー グループの割り当てを管理します。

  • [Add or Edit]：[Assign Authentication Server Group to Interfac]e ダイアログボックスが開きます。このダイアログボックスでは、インターフェイスとサーバー グループを指定するとともに、選択したサーバー グループで障害が発生した場合に LOCAL データベースへのフォールバックを許可するかどうかを指定できます。このダイアログボックスの [Manage] ボタンをクリックすると、[Configure AAA Server Groups] ダイアログボックスが開きます。[Interface/Server Group] テーブルに選択内容が表示されます。

  • [Delete]：選択したサーバー グループをテーブルから削除します。確認されず、やり直しもできません。

• [Username Mapping from Certificate]：ユーザー名を抽出する方法およびデジタル証明書のフィールドを指定できます。

  （注）	この機能はマルチ コンテキスト モードではサポートされません。

  • [Pre-fill Username from Certificate]：指定した証明書のフィールドからユーザー名を抽出し、このパネルの後に続くオプションに従って、ユーザー名/パスワード認証および認可に使用します。

  • [Hide username from end user]：抽出したユーザー名はエンド ユーザーに表示されません。

  • [Use script to choose username]：デジタル証明書からユーザー名を選択する場合に使用するスクリプト名を指定します。デフォルトは [None] です。

  • [Add or Edit]：[Opens the Add or Edit Script Content] ダイアログボックスが開き、証明書のユーザー名のマッピングに使用するスクリプトを定義できます。

  • [Delete]：選択したスクリプトを削除します。確認されず、やり直しもできません。

  • [Use the entire DN as the username]：証明書の [Distinguished Name] フィールド全体をユーザー名として使用する場合に指定します。

  • [Specify the certificate fields to be used as the username]：ユーザー名に結合する 1 つ以上のフィールドを指定します。

    プライマリ属性およびセカンダリ属性の有効値は、次のとおりです。

    属性	定義
    C	Country（国名）：2 文字の国名略語。国名コードは、ISO 3166 国名略語に準拠しています。
    CN	Common Name（一般名）：人、システム、その他のエンティティの名前。セカンダリ属性としては使用できません。
    DNQ	ドメイン名修飾子。
    EA	E-mail Address（電子メール アドレス）。
    GENQ	Generational Qualifier（世代修飾子）。
    GN	Given Name（名）。
    I	Initials（イニシャル）。
    L	Locality（地名）：組織が置かれている市または町。
    N	名前
    O	Organization（組織）：会社、団体、機関、連合、その他のエンティティの名前。
    OU	Organizational Unit（組織ユニット）：組織（O）内のサブグループ。
    SER	Serial Number（シリアル番号）。
    SN	Surname（姓）。
    SP	State/Province（州または都道府県）：組織が置かれている州または都道府県。
    T	Title（タイトル）。
    UID	User Identifier（ユーザー ID）。
    UPN	User Principal Name（ユーザー プリンシパル名）。

  • [Primary Field]：ユーザー名に使用する証明書の最初のフィールドを選択します。この値が指定されている場合、[Secondary Field] は無視されます。

  • [Secondary Field]：[Primary Field] が指定されていない場合、使用するフィールドを選択します。

• [Certificate Mapping for Multi-Certificate Authentication]：プライマリ認証に使用する証明書の割り当てを管理します。

  • [First Certificate]：マシンが発行した証明書をプライマリ認証に使用する場合は、このオプションをクリックします。

  • [Second Certificate]：クライアントから発行されたユーザー証明書をプライマリ認証に使用する場合は、このオプションをクリックします。

• [Find]：検索文字列として使用する GUI ラベルまたは CLI コマンドを入力し、[Next] または [Previous] をクリックして検索を開始します。

[Connection Profile] > [Advanced] の下の [Secondary Authentication] を使用すれば、二重認証としても知られる 2 次認証を設定することができます。2 次認証が有効になっている場合は、エンド ユーザーがログオンするときに有効な認証クレデンシャルを 2 セット入力する必要があります。証明書のユーザー名の事前入力と 2 次認証を組み合わせて使用できます。このダイアログボックスのフィールドは、1 次認証で設定するフィールドと似ていますが、これらのフィールドは 2 次認証にだけ関連します。

二重認証がイネーブルになっている場合、これらの属性はユーザー名として使用する 1 つ以上のフィールドを証明書から選択します。証明書属性からセカンダリ ユーザー名を設定すると、セキュリティ アプライアンスは、指定された証明書フィールドを、2 次ユーザー名/パスワード認証処理に 2 つ目のユーザー名を使用するよう強制されます。

（注）	証明書のセカンダリ ユーザー名とともに 2 次認証サーバー グループも指定する場合でも、認証処理にはプライマリ ユーザー名だけが使用されます。

• [Secondary Authorization Server Group]：セカンダリ クレデンシャルを抽出する認証サーバー グループを指定します。

  • [Server Group]：セカンダリ サーバー AAA グループとして使用する認証サーバー グループを選択します。デフォルトは none です。SDI サーバー グループはセカンダリ サーバー グループにできません。

  • [Manage]：[Configure AAA Server Group] ダイアログボックスが開きます。

  • [Use LOCAL if Server Group fails]：指定したサーバー グループに障害が発生した場合の LOCAL データベースへのフォールバックを指定します。

  • [Use primary username]：ログイン ダイアログがユーザー名を 1 つだけ要求するよう指定します。

  • [Attributes Server]：プライマリ属性サーバーかセカンダリ属性サーバーかを選択します。

    （注）	この接続プロファイルにも認証サーバーを指定すると、その認証サーバーの設定が優先されます。ASA はセカンダリ認証サーバーを無視します。

  • [Session Username Server]：プライマリ セッション ユーザー名サーバーかセカンダリ セッション ユーザー名サーバーかを指定します。

• [Interface-Specific Authorization Server Groups]：指定のインターフェイスに対する認可サーバー グループの割り当てを管理します。

  • [Add or Edit]：[Assign Authentication Server Group to Interfac]e ダイアログボックスが開きます。このダイアログボックスでは、インターフェイスとサーバー グループを指定するとともに、選択したサーバー グループで障害が発生した場合に LOCAL データベースへのフォールバックを許可するかどうかを指定できます。このダイアログボックスの [Manage] ボタンをクリックすると、[Configure AAA Server Groups] ダイアログボックスが開きます。[Interface/Server Group] テーブルに選択内容が表示されます。

  • [Delete]：選択したサーバー グループをテーブルから削除します。確認されず、やり直しもできません。

• [Username Mapping from Certificate]：ユーザー名を抽出するデジタル証明書のフィールドを指定できます。

• [Pre-fill Username from Certificate]：このパネルで指定されている最初のフィールドおよび 2 番目のフィールドから、2 次認証に使用される名前を抽出する場合にオンにします。この属性をオンにする前に、AAA および証明書の認証方式を設定する必要があります。これを行うには、同じウィンドウの [Basic] パネルに戻り、[Method] の横の [Both] をオンにします。

• [Hide username from end user]：2 次認証に使用されるユーザー名を VPN ユーザーに非表示にする場合にオンにします。

• [Fallback when a certificate is unavailable]：この属性は、[Hide username from end user] がオンの場合にのみ使用可能です。証明書が使用不可な場合は、HostScan（現在は Secure Firewall ポスチャと呼ばれています） データを使用して、2 次認証のユーザー名を事前入力します。

• [Password]：2 次認証に使用されるパスワードの取得方式として次のいずれかを選択します。

  • [Prompt]：ユーザーにパスワードを入力するようプロンプトを表示します。

  • [Use Primary]：すべての 2 次認証に 1 次認証のパスワードを再利用します。

  • [Use]：すべての 2 次認証の共通セカンダリ パスワードを入力します。

• [Specify the certificate fields to be used as the username]：ユーザー名として一致する 1 つ以上のフィールドを指定します。セカンダリ ユーザー名/パスワード認証または認可に証明書のユーザー名事前入力機能でこのユーザー名を使用するには、ユーザー名事前入力およびセカンダリ ユーザー名事前入力も設定する必要があります。

  • [Primary Field]：ユーザー名に使用する証明書の最初のフィールドを選択します。この値が指定されている場合、[Secondary Field] は無視されます。

  • [Secondary Field]：[Primary Field] が指定されていない場合、使用するフィールドを選択します。

最初のフィールドおよび 2 番目のフィールドの属性には、次のオプションがあります。

• [Use the entire DN as the username]：完全なサブジェクト DN（RFC1779）を使用して、デジタル証明書から認可クエリーの名前を取得します。

• [Use script to select username]：デジタル証明書からユーザー名を抽出するスクリプトを指定します。デフォルトは [None] です。

  • [Add or Edit]：[Opens the Add or Edit Script Content] ダイアログボックスが開き、証明書のユーザー名のマッピングに使用するスクリプトを定義できます。

  • [Delete]：選択したスクリプトを削除します。確認されず、やり直しもできません。

• [Certificate Mapping for Multi-Certificate Authentication]：セカンダリ認証に使用する証明書の割り当てを管理します。

  • [First Certificate]：マシンが発行した証明書をセカンダリ認証に使用する場合は、このオプションをクリックします。

  • [Second Certificate]：クライアントから発行されたユーザー証明書をセカンダリ認証に使用する場合は、このオプションをクリックします。

AnyConnect クライアント 接続プロファイルの [認証（Authorization）] ダイアログボックスを使用すれば、インターフェイス固有の認可サーバーグループを表示、追加、編集、または削除することができます。このダイアログボックスのテーブルの各行には、インターフェイス固有サーバー グループのステータスが表示されます。表示されるのは、インターフェイス名、それに関連付けられたサーバー グループ、および選択したサーバー グループで障害が発生したときにローカル データベースへのフォールバックがイネーブルになっているかどうかです。

このペインのフィールドは、AnyConnect クライアント、IKEv1、IKEv2、およびクライアントレス SSL 接続プロファイルで共通です。

• [Authorization Server Group]：認可パラメータを記述する認可サーバー グループを指定します。

  • [Server Group]：使用する認可サーバー グループを選択します。デフォルトは none です。

  • [Manage]：[Configure AAA Server Group] ダイアログボックスが開きます。

  • [Users must exist in the authorization database to connect]：ユーザーがこの基準を満たす必要がある場合は、このチェックボックスをオンにします。

• [Interface-specific Authorization Server Groups]：指定のインターフェイスに対する認可サーバー グループの割り当てを管理します。

  • [Add or Edit]：[Assign Authentication Server Group to Interfac]e ダイアログボックスが開きます。このダイアログボックスでは、インターフェイスとサーバー グループを指定するとともに、選択したサーバー グループで障害が発生した場合に LOCAL データベースへのフォールバックを許可するかどうかを指定できます。このダイアログボックスの [Manage] ボタンをクリックすると、[Configure AAA Server Groups] ダイアログボックスが開きます。[Interface/Server Group] テーブルに選択内容が表示されます。

  • [Delete]：選択したサーバー グループをテーブルから削除します。確認されず、やり直しもできません。

• [Username Mapping from Certificate]：ユーザー名を抽出するデジタル証明書のフィールドを指定できます。

  • [Use script to select username]：デジタル証明書からユーザー名を選択する場合に使用するスクリプト名を指定します。デフォルトは [None] です。証明書フィールドからユーザー名を選択するスクリプトを作成する方法については、を参照してください。

  • [Add or Edit]：[Opens the Add or Edit Script Content] ダイアログボックスが開き、証明書のユーザー名のマッピングに使用するスクリプトを定義できます。

  • [Delete]：選択したスクリプトを削除します。確認されず、やり直しもできません。

  • [Use the entire DN as the username]：証明書の [Distinguished Name] フィールド全体をユーザー名として使用する場合に指定します。

  • [Specify the certificate fields to be used as the username]：ユーザー名に結合する 1 つ以上のフィールドを指定します。

  • [Primary Field]：ユーザー名に使用する証明書の最初のフィールドを選択します。この値が指定されている場合、[Secondary Field] は無視されます。

  • [Secondary Field]：[Primary Field] が指定されていない場合、使用するフィールドを選択します。

• [Find]：検索文字列として使用する GUI ラベルまたは CLI コマンドを入力し、[Next] または [Previous] をクリックして検索を開始します。

[Connection Profile] > [Advanced] の [Accounting] ペインでは、ASA 全体のアカウンティング オプションを設定します。

• [Accounting Server Group]：アカウンティングに使用するすでに定義済みのサーバー グループを選択します。

• [Manage]：AAA サーバー グループを作成できる [Configure AAA Server Groups] ダイアログボックスが開きます。

[Connection Profile] > [Advanced] の [GroupAlias/Group Group URL] ダイアログボックスで、リモート ユーザーのログイン時に表示される内容に影響を与える属性を設定します。

接続プロファイルのタブの名前は、AnyConnect クライアントでは、[グループURL/グループエイリアス（Group URL/Group Alias）] です。

• [Login and Logout (Portal) Page Customization (Clientless SSL VPN only)]：適用する事前設定されたカスタマイズ属性を指定することにより、ユーザー ログイン ページの外観を設定します。デフォルトは DfltCustomization です。新しいカスタマイゼーション オブジェクトを作成するには、[Manage] をクリックします。

• [Enable the display of Radius Reject-Message on the login screen]：認証が拒否されたときにログイン ダイアログボックスに RADIUS-reject メッセージを表示するには、このチェックボックスをオンにします。

• [Enable the display of SecurId message on the login screen]：ログイン ダイアログボックスに SecurID メッセージを表示するには、このチェックボックスをオンにします。

• [Connection Aliases]：接続エイリアスとそのステータス。ログイン時にユーザーが特定の接続（トンネル グループ）を選択できるように接続が設定されている場合は、ユーザーのログイン ページに接続エイリアスが表示されます。エイリアスを追加または削除するには、[Add] または [Delete] ボタンをクリックします。エイリアスを編集するには、テーブルでそのエイリアスをダブルクリックし、エントリを編集します。イネーブルになっているステータスを変更するには、テーブル内のチェックボックスをオンまたはオフにします。

• [Group URLs]：グループ URL とそのステータス。ログイン時にユーザーが特定のグループを選択できるように接続が設定されている場合は、ユーザーのログイン ページにグループ URL が表示されます。URL を追加または削除するには、[Add] または [Delete] ボタンをクリックします。URL を編集（[Edit]）するには、テーブル内の URL をダブルクリックしてエントリを編集します。イネーブルになっているステータスを変更するには、テーブル内のチェックボックスをオンまたはオフにします。

AnyConnect クライアント を Secure Firewall Posture/HostScan モジュールとともに使用するには、最低でも次のような ASA コンポーネントが必要です。

• ASA 8.4

• ASDM 6.4

SCEP 認証機能を使用するには、Secure Firewall Posture/HostScan をインストールする必要があります。

Secure Firewall Posture/HostScan のインストールでサポートされるオペレーティングシステムについては、『Supported VPN Platforms, Cisco ASA Series』を参照してください。

Secure Firewall ポスチャ/HostScan のライセンス要件は次のとおりです。

• 基本的な HostScan/Secure Firewall ポスチャのAnyConnect クライアントの利点（Apex）。

• 修復には、Advanced Endpoint Assessment ライセンスが必要です。

HostScan パッケージを ASA にスタンドアロン パッケージ hostscan-version.pkg としてロードすることができます。このファイルには、HostScan ソフトウェアとともに、HostScan ライブラリおよびサポート表が含まれています。

インポートするカスタムコンポーネントのファイル名は、AnyConnect クライアント GUI で使用されるファイル名と一致している必要があります。これはオペレーティングシステムによって異なり、Mac および Linux では大文字と小文字が区別されます。たとえば、Windows クライアント用の企業ロゴを置き換えるには、独自の企業ロゴを company_logo.png としてインポートする必要があります。別のファイル名でインポートすると、AnyConnect クライアント インストーラはそのコンポーネントを変更しません。ただし、独自の実行ファイルを展開して GUI をカスタマイズする場合は、その実行ファイルから任意のファイル名のリソース ファイルを呼び出すことができます。

イメージをソース ファイルとして（たとえば、company_logo.bmp）インポートする場合、インポートしたイメージは、同じファイル名を使用して別のイメージを再インポートするまで、AnyConnect クライアント をカスタマイズします。たとえば、company_logo.bmp をカスタム イメージに置き換えて、このイメージを削除する場合、同じファイル名を使用して新しいイメージ（または元のシスコ ロゴ イメージ）をインポートするまで、クライアントはこのイメージの表示を継続します。

AnyConnect クライアントカスタマイゼーション/ローカリゼーション、バイナリ

Windows、Linux、または Mac（PowerPC または Intel ベース）コンピュータの場合、AnyConnect クライアント API を使用する独自のクライアントを展開できます。クライアントのバイナリファイルを置き換えることによって、AnyConnect クライアント GUI および AnyConnect クライアント CLI を置き換えます。

[Import ] ダイアログのフィールドは次のとおりです。

• Name 置き換える AnyConnect クライアント ファイルの名前を入力します。

• Platform ファイルを実行する OS プラットフォームを選択します。

• Select a file ファイル名は、インポートするファイルの名前と同じにする必要はありません。

AnyConnect クライアントカスタマイゼーション/ローカリゼーション、スクリプト

スクリプトの展開およびスクリプトの制限事項の詳細については、『AnyConnect VPN module of Cisco Secure Client Administrators Guide』を参照してください。

[Import ] ダイアログのフィールドは次のとおりです。

• Name ：スクリプトの名前を入力します。名前には正しい拡張子を指定してください。例：myscript.bat.

• Script Type ：スクリプトを実行するタイミングを選択します。

  ASA でファイルをスクリプトとして識別できるように、AnyConnect クライアント によって、プレフィックス scripts_ とプレフィックス OnConnect または OnDisconnect がユーザーのファイル名に追加されます。クライアントが接続すると、ASA は、リモート コンピュータ上の適切なターゲット ディレクトリにスクリプトをダウンロードします。その際、scripts_ プレフィックスは削除され、OnConnect または OnDisconnect プレフィックスはそのまま残ります。たとえば、myscript.bat スクリプトをインポートした場合、ASA 上では、スクリプトは scripts_OnConnect_myscript.bat となります。リモート コンピュータ上では、スクリプトは OnConnect_myscript.bat となります。

  スクリプトの実行の信頼性を確保するために、すべての ASA で同じスクリプトを展開するように設定します。スクリプトを修正または置換する場合は、旧バージョンと同じ名前を使用し、ユーザーが接続する可能性のあるすべての ASA に置換スクリプトを割り当てます。ユーザーが接続すると、新しいスクリプトにより同じ名前のスクリプトが上書きされます。

• Platform ：ファイルを実行する OS プラットフォームを選択します。

• Select a file ：ファイル名は、スクリプトに対して指定した名前と同じである必要はありません。

ASDM によってファイルがソース ファイルからインポートされ、[Name] に対して指定した新しい名前が作成されます。

デフォルトの変換テーブルを編集するか、または新しいテーブルを作成して、AnyConnect クライアント GUI に表示されるテキストとメッセージを変更できます。このペインは、[Language Localization] ペインと同じ機能を持ちます。より高度な言語変換については、[Configuration] > [Remote Access VPN] > [Language Localization] に移動します。

上部ツールバーにある通常のボタンに加えて、このペインには [Add ] ボタンと、追加のボタンを備えた [Template] エリアがあります。

Add ：[Add] ボタンをクリックするとデフォルトの変換テーブルのコピーが開き、直接編集したり保存することができます。保存ファイルの言語を選択し、ファイル内のテキストの言語を後で編集することができます。

変換テーブルのメッセージをカスタマイズする場合、msgid は変更しないでください。msgstr 内のテキストを変更します。

テンプレートの言語を指定します。テンプレートはキャッシュメモリ内の変換テーブルになり、指定した名前が付きます。ブラウザの言語オプションと互換性のある短縮形を使用してください。たとえば、中国語のテーブルを作成するときに IE を使用している場合は、IE によって認識される zh という略語を使用します。

[Template] セクション

• テンプレート領域を展開してデフォルトの英語変換テーブルにアクセスするには、[Template] をクリックします。

• デフォルトの英語変換テーブルを表示し、必要に応じて保存するには、[View ] をクリックします。

• デフォルトの英語変換テーブルのコピーを表示せずに保存するには、[Export ] をクリックします。

作成した独自のトランスフォームを、クライアント インストーラ プログラムを使用して展開することによって、AnyConnect クライアント GUI を大幅にカスタマイズすることができます（Windows のみ）。トランスフォームを ASA にインポートすると、インストーラ プログラムを使用して展開されます。

トランスフォームの適用先として選択できるのは Windows だけです。トランスフォームの詳細については、『Cisco Secure Client Administration Guide』を参照してください。

トランスフォームを使用して、クライアント インストーラ プログラムに表示されるメッセージを翻訳できます。トランスフォームによってインストレーションが変更されますが、元のセキュリティ署名 MSI は変化しません。これらのトランスフォームではインストーラ画面だけが翻訳され、クライアント GUI 画面は翻訳されません。