Cisco Defense Orchestrator での Meraki の管理

CDO と Meraki の通信方法

CDO から Meraki デバイスへの展開

CDO は、設定の変更を Meraki MX デバイスに直接展開しません。展開は複数のステップからなるプロセスです。次の図を参照してください。

Meraki MX デバイスの CDO で行った設定の変更は、展開を決定するまで CDO でステージングされます。設定の変更を展開すると、CDO により設定の変更が Cisco Meraki ダッシュボードに転送され、変更が Meraki MX デバイスに実装されます。CDO はファイアウォールポリシーを管理し、Cisco Meraki ダッシュボードはポリシーが適用されるネットワークを管理します。どちらの操作も、トラフィックが Meraki MX デバイスを通過する方法と処理方法に影響します。

古いテナントを持つ一部のお客様は、SDC を介して Meraki MX デバイスを CDO に接続する場合があります。そのようなお客様は、この方法を引き続き使用できます。あるいは、Meraki MX を再オンボーディングするか、接続ログイン情報を更新して SDC を削除できます。CDO を Meraki MX に接続するために SDC は必要ありません。

CDO と Cisco Meraki ダッシュボードの違いの 1 つは、オブジェクトの使用です。Cisco Meraki ダッシュボードで作成されたルールの場合、CDO は Meraki の IP アドレスグループまたは IP アドレス範囲を取得し、それらをルールやデバイスポリシーに添付または関連付けできるオブジェクトに変換します。CDO で作成されたオブジェクトを Meraki アプライアンスに展開すると、Cisco Meraki ダッシュボードはそれらのオブジェクトを IP アドレスグループまたは IP アドレス範囲に変換し直します。CDO のオブジェクトは、他のデバイスプラットフォームと互換性があるため、ユニークで用途が広いです。 CDO に他のデバイスがオンボードされている場合は、すべてのデバイスに対して 1 つのオブジェクトを作成できる場合があります。詳細については、Meraki デバイスに関連付けられるオブジェクトを参照してください。

CDO テナントのリクエスト

オンボーディングする CDO テナントの 30 日間の無料試用版をリクエストして、デバイスの管理を行うことができます。その後、シスコのアカウントチームに連絡して、テナントをライセンスのあるものにアップグレードできます。

はじめる前に

まだ Security Cloud Sign On アカウントを作成していない場合は作成します。新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定を参照してください。

手順

https://www.defenseorchestrator.com/newに進みます。
CDO テナントをプロビジョニングするリージョンを選択します。
[サインアップ（Sign Up）] をクリックします。
Security Cloud Sign On アカウントにサインインします。

ログインに成功すると、登録されているメール ID にテナントの詳細が記載されたメールが届きます。選択したリージョンに新しい CDO テナントが作成されます。電子メールの指示に従って、新しい CDO テナントにアクセスします。

初めて CDO テナントにログオンする方法については、「新規 CDO テナントへの初回ログイン」を参照してください。

CDO テナントの管理とさまざまなテナント設定については、「テナント管理」を参照してください。

追加の CDO テナントのリクエスト

既存のテナントに追加のテナントを作成する場合は、アカウントマネージャにお問い合わせください。

ライセンス

Cisco Defense Orchestrator からデバイスをオンボードして管理するには、管理するデバイスに基づいて、基本サブスクリプションとデバイス固有の期間ベースのサブスクリプションを購入する必要があります。

ライセンスについて

CDO では、テナント資格の基本サブスクリプションと、デバイスを管理するためのデバイスライセンスが必要です。必要なテナント数に基づいて 1 つ以上の CDO 基本サブスクリプションを購入し、デバイスモデル番号と数量に基づいてデバイスライセンスを購入できます。つまり、基本サブスクリプションを購入すると CDO テナントが得られ、CDO を使用して管理することを選択したデバイスごとに、個別のデバイスライセンスが必要になります。展開を計画するために、各 CDO テナントは Secure Device Connector（SDC）を介して約 500 台のデバイスを管理でき、Cloud Connector を使用して任意の数のデバイスを管理できることに注意してください。詳細については、「Secure Device Connector（SDC）」を参照してください。

サブスクリプション

Cisco Defense Orchestrator サブスクリプションは期間ベースです。

基本：1 年、3 年、および 5 年のサブスクリプションを提供して、CDO テナントにアクセスし、適切にライセンスされたデバイスを搭載する資格を提供します。
デバイスライセンス：管理することを選択したサポート対象デバイスについて、1 年、3 年、および 5 年のサブスクリプションを提供します。たとえば、Cisco Firepower 1010 デバイスの 3 年のソフトウェアサブスクリプションを購入した場合、CDO のクラウド提供型 Firewall Management Center を使用して Cisco Firepower 1010 デバイスを 3 年間管理することを選択できます。

CDO がサポートするシスコのセキュリティデバイスの詳細については、「CDO でサポートされるソフトウェアとハードウェア」を参照してください。

重要	CDO 高可用性デバイスペアを管理するために、2 つの個別のデバイスライセンスは必要ありません。Secure Firewall ASA（ASA）または Secure Firewall Threat Defense（FTD）の高可用性ペアがある場合、CDO では高可用性デバイスのペアを 1 つのデバイスと見なすため、1 つの ASA または FTD デバイスライセンスを購入するだけで十分です。

（注）

Cisco Smart Licensing ポータルから CDO ライセンスを管理することはできません。

ソフトウェアサブスクリプションのサポート

CDO 基本サブスクリプションには、サブスクリプション期間中有効なソフトウェアサブスクリプションサポートが含まれており、ソフトウェアアップデート、メジャーアップグレード、および Cisco Technical Assistance Center（TAC）へのアクセスを追加料金なしで提供します。ソフトウェアサポートがデフォルトで選択されていますが、要件に基づいて CDO ソリューションサポートを活用することもできます。

評価ライセンス

Cisco Defense Orchestrator トライアルライセンス

SecureX アカウントから 30 日間の Cisco Defense Orchestrator トライアルをリクエストできます。詳細については、「CDO テナントのリクエスト」を参照してください。

クラウド提供型 Firewall Management Center 評価ライセンス

クラウド提供型 Firewall Management Center には 90 日間の評価ライセンスがプロビジョニングされており、その後は脅威に対する防御サービスがブロックされます。

CDO テナントでプロビジョニングされたクラウド提供型 Firewall Management Center を取得する方法については、「Request a クラウド提供型 Firewall Management Center for your CDO Tenant」を参照してください。

クラウド提供型 Firewall Management Center および Threat Defense ライセンス

CDO でクラウド提供型 Firewall Management Center を使用するために別のライセンスを購入する必要はありません。CDO テナントの基本サブスクリプションには、クラウド提供型 Firewall Management Center の料金が含まれています。

（注）

クラウド提供型 Firewall Management Center は、エアギャップネットワーク内のデバイスの特定のライセンス予約（SLR）をサポートしていません。

クラウド提供型 Firewall Management Center の Threat Defense ライセンス

クラウド提供型 Firewall Management Center によって管理される Cisco Secure Firewall Threat Defense デバイスごとに個別のライセンスが必要です。詳細については、『Managing Firewall Threat Defense with Cloud-Delivered Firewall Management Center in Cisco Defense Orchestrator』の「Licenses」を参照してください。

クラウド提供型 Firewall Management Center に移行されたデバイスのライセンスを CDO が処理する方法については、「Migrate Threat Defense from Management Center to Cloud」を参照してください。

その他のサポート対象デバイスとライセンス

クラウド提供型 Firewall Management Center を通じて Cisco Secure Firewall Threat Defense デバイスをサポートすることに加えて、CDO は次のデバイスも管理します。

Cisco Secure Firewall ASA
Cisco Secure Firewall Cloud Native
オンプレミスの Cisco Secure Firewall Management Center
Cisco Meraki セキュリティアプライアンス
Cisco IOS デバイス
SSH を使用してアクセス可能なデバイス
Amazon Web Services（AWS）仮想プライベートクラウド（VPC）
Duo Admin Panel
Umbrella 組織

CDO 基本資格ライセンスと、管理するデバイスに固有のライセンスが必要です。

Secure Device Connector（SDC）

Secure Device Connector（SDC）は、シスコデバイスが CDO と通信できるようにするインテリジェントプロキシです。インターネット経由で直接到達できないデバイスをデバイスのログイン情報を使用して CDO にオンボーディングする場合は、ネットワークに SDC を展開して、デバイスと CDO の間の通信をプロキシできます。または、必要に応じて、デバイスが CDO からの外部インターフェイスを介して直接通信を受信できるようにすることができます。適応型セキュリティアプライアンス（ASA）、Meraki MX、Cisco Secure Firewall Threat Defense デバイス、Firepower Management Center、Cisco Secure Firewall Cloud Native（SFCN）デバイス、汎用 SSH および IOS デバイスはすべて、SDC を使用して CDO にオンボーディングできます。

SDC は、管理対象デバイスで実行する必要があるコマンドと、管理対象デバイスに送信する必要があるメッセージについて、CDO を監視します。SDC は、CDO に代わってこのコマンドを実行し、管理対象デバイスに代わって CDO にメッセージを送信し、管理対象デバイスからの応答を CDO に返します。

SDC は、AES-128-GCM over HTTPS（TLS 1.2）を使用して署名および暗号化された安全な通信メッセージを使用して、CDO と通信します。オンボードのデバイスとサービスのすべてのログイン情報は、ブラウザから SDC に直接暗号化されるだけでなく、AES-128-GCM を使用して保存時にも暗号化されます。SDC だけがデバイスのログイン情報にアクセスできます。他の CDO サービスはログイン情報にアクセスできません。SDC と CDO 間の通信を許可する方法については、管理対象デバイスへの Cisco Defense Orchestrator の接続を参照してください。

SDC は、アプライアンスに、ハイパーバイザ上の仮想マシンとして、または AWS や Azure などのクラウド環境にインストールできます。CDO が提供する仮想マシンと SDC イメージを組み合わせて使用して SDC をインストールすることも、独自の仮想マシンを作成してその上に SDC をインストールすることもできます。SDC 仮想アプライアンスには CentOS オペレーティングシステムが含まれており、Docker コンテナ内で実行されます。

各 CDO テナントは、無制限の数の SDC を持つことができます。これらの SDC はテナント間で共有されず、1 つのテナント専用です。1 つの SDC が管理できるデバイスの数は、それらのデバイスに導入された機能と、設定ファイルのサイズによって異なります。ただし、展開を計画するために、1 つの SDC が約 500 台のデバイスをサポートすることを想定してください。

テナントに複数の SDC を展開すると、次の利点もあります。

パフォーマンスを低下させることなく、CDO テナントでより多くのデバイスを管理できます。
ネットワーク内の隔離されたネットワークセグメントに SDC を展開し、そのセグメント内のデバイスを同じ CDO テナントで引き続き管理できます。複数の SDC がない場合、これらの隔離されたネットワークセグメント内のデバイスを、異なる CDO テナントで管理する必要があります。

2 番目以降の SDC を展開する手順は、最初の SDC を展開する手順と同じです。テナントの最初の SDC には、テナントの名前と番号 1 が組み込まれており、CDO の [サービス（Services）] ページの [セキュアコネクタ（Secure Connectors）] タブに表示されます。追加の各 SDC には、順番に番号が付けられます。CDO の VM イメージを使用した Secure Device Connector の展開および自身の VM 上での Secure Device Connector の展開を参照してください。

管理対象デバイスへの Cisco Defense Orchestrator の接続

CDO は、クラウドコネクタまたは Secure Device Connector（SDC）を介して管理対象デバイスに接続します。

インターネットからデバイスに直接アクセスできる場合は、クラウドコネクタを使用してデバイスに接続する必要があります。デバイスを設定できる場合は、クラウドリージョンの CDO IP アドレスからのポート 443 でのインバウンドアクセスを許可します。

インターネットからデバイスにアクセスできない場合は、ネットワークにオンプレミスの SDC を展開して、CDO がデバイスと通信できるようにすることができます。デバイスを設定できる場合は、ポート 443（またはデバイス管理用に設定したポート）での完全なインバウンドアクセスを許可する必要があります。

オンボードするには、ネットワークにオンプレミスの SDC が必要です。

クラウドからアクセスできない ASA デバイス。
クラウドからアクセスできない FDM による管理デバイスで、「ログイン情報のオンボーディング」方式が使用されています。
Cisco IOS デバイス。
SSH アクセスのあるデバイス。

他のすべてのデバイスとサービスには、オンプレミス SDC は必要ありません。CDO は「クラウドコネクタ」を使用して接続します。インバウンドアクセスの許可が必要な IP アドレスについては、次のセクションを参照してください。

Cloud Connector を介したデバイスの CDO への接続

クラウドコネクタを介して CDO をデバイスに直接接続する場合、EMEA、米国、または APJC 地域のさまざまな IP アドレスに、ポート 443（またはデバイス管理用に設定したポート）でのインバウンドアクセスを許可する必要があります。

ヨーロッパ、中東、またはアフリカ（EMEA）地域のお客様で、https://defenseorchestrator.eu/ で CDO に接続している場合は、次の IP アドレスからのインバウンドアクセスを許可します。

35.157.12.126
35.157.12.15

米国地域のお客様で、https://defenseorchestrator.com で CDO に接続している場合は、次の IP アドレスからのインバウンドアクセスを許可します。

52.34.234.2
52.36.70.147

アジア - 太平洋 - 日本 - 中国（APJC）地域のお客様で、https://www.apj.cdo.cisco.com/ で CDO に接続している場合は、次の IP アドレスからのインバウンドアクセスを許可します。

54.199.195.111
52.199.243.0

SDC を使用したデバイスの CDO への接続

SDC を介して CDO をデバイスに接続する場合、CDO で管理するデバイスは、ポート 443（またはデバイス管理用に設定したポート）での完全なインバウンドアクセスを許可する必要があります。この許可は、管理アクセス制御ルールを使用して設定されます。

また、SDC が展開されている仮想マシンが、管理対象デバイスの管理インターフェイスにネットワーク接続されていることを確認する必要があります。

ASA または Cisco Secure Firewall Cloud Native を SDC に接続する際の特別な考慮事項

具体的に述べると、ASA または Cisco Secure Firewall Cloud Native との接続に、SDC は ASDM で使用されるのと同じ安全な通信チャネルを使用します。

管理下の ASA または Cisco Secure Firewall Cloud Native も AnyConnect VPN クライアント接続を受け入れるように設定されている場合は、ASDM HTTP サーバーポートを 1024 以上の値に変更する必要があります。このポート番号は、CDO への ASA または Cisco Secure Firewall Cloud Native デバイスのオンボーディングに使用されるポート番号と同じものになることに注意してください。

ASA または Cisco Secure Firewall Cloud Native コマンドの例

次の例では、ASA または Cisco Secure Firewall Cloud Native の外部インターフェイスの名前が「outside」であり、ASA または Cisco Secure Firewall Cloud Native で AnyConnect クライアントが設定されているため、ASDM HTTP サーバーがポート 8443 でリッスンしていると想定しています。

外部インターフェイスを有効にするには、次のコマンドを入力します。

EMEA：

http 35.157.12.126 255.255.255.255 outside

http 35.157.12.15 255.255.255.255 outside

米国：

http 52.34.234.2 255.255.255.255 outside

http 52.36.70.147 255.255.255.255 outside

アジア - 太平洋 - 日本 - 中国地域：

http 54.199.195.111 255.255.255.255 outside

http 52.199.243.0 255.255.255.255 outside

AnyConnect VPN クライアントが使用されている場合に ASDM HTTP サーバーポートを有効にするには、次のコマンドを入力します。

http server enable 8443

CDO の VM イメージを使用した Secure Device Connector の展開

デバイスのログイン情報を使用して CDO をデバイスに接続する場合、CDO とデバイス間の通信を管理するために、ネットワークに SDC をダウンロードして展開することがベストプラクティスです。通常、これらのデバイスは非境界ベースであり、パブリック IP アドレスを持たないか、外部インターフェイスに開かれたポートを持っています。適応型セキュリティアプライアンス（ASA）、FDM による管理デバイス、Firepower Management Center（FMC）、Cisco Secure Firewall Cloud Native デバイス、SSH および IOS デバイスはすべて、SDC を使用して CDO にオンボーディングできます。

SDC は、管理対象デバイスで実行する必要があるコマンドと、管理対象デバイスに送信する必要があるメッセージについて、CDO を監視します。SDC は、CDO に代わってこのコマンドを実行し、管理対象デバイスに代わって CDO にメッセージを送信し、管理対象デバイスからの応答を CDO に返します。

1 つの SDC が管理できるデバイスの数は、それらのデバイスに実装されている機能と、構成ファイルのサイズによって異なります。ただし、展開計画の目安として、1 つの SDC で約 500 台のデバイスをサポートできることを想定しています。詳細については、単一の CDO テナントで複数の SDC を使用するを参照してください。

この手順では、CDO の VM イメージを使用してネットワークに SDC をインストールする方法について説明します。これは、SDC を作成するために推奨される、最も簡単で信頼できる方法です。作成した VM を使用して SDC を作成する必要がある場合は、自身の VM 上での Secure Device Connector の展開の手順に従います。

始める前に

SDC を展開する前に、次の前提条件を確認してください。

CDO は、厳密な証明書チェックを必要とし、Secure Device Connector（SDC）とインターネットの間の Web/コンテンツプロキシ検査をサポートしていません。プロキシサーバーを使用している場合は、SDC と CDO の間のトラフィックの検査を無効にします。
SDC には、TCP ポート 443 またはデバイス管理用に設定したポートでのインターネットへの完全なアウトバウンドアクセスが必要です。CDO によって管理されているデバイスは、このポートからのインバウンドトラフィックも許可する必要があります。
適切なネットワークアクセスを確保するため、「Cisco Defense Orchestrator の Secure Device Connector への接続」を参照してください。
CDO は、vSphere Web クライアントまたは ESXi Web クライアントを使用した SDC VM OVF イメージのインストールをサポートしています。
CDO は、vSphere デスクトップクライアントを使用した SDC VM OVF イメージのインストールをサポートしていません。
ESXi 5.1 ハイパーバイザ。
Cent OS 7 ゲストオペレーティングシステム。
SDC を 1 つだけ持つ VMWare ESXi ホストのシステム要件。
- VMware ESXi ホストには 2 つの vCPU が必要です。
- VMware ESXi ホストには 2 GB 以上のメモリが必要です。
- VMware ESXi では、プロビジョニングの選択に応じて、仮想マシンをサポートするために 64 GB のディスク容量が必要です。
Docker IP は、SDC の IP 範囲およびデバイスの IP 範囲とは異なるサブネットにある必要があります。
インストールを開始する前に、次の情報を収集します。
- SDC に使用する静的 IP アドレス。
- インストールプロセス中に作成する root ユーザーと cdo ユーザーのパスワード。
- 組織で使用する DNS サーバーの IP アドレス。
- SDC アドレスが存在するネットワークのゲートウェイ IP アドレス。
- タイムサーバーの FQDN または IP アドレス。
SDC 仮想マシンは、セキュリティパッチを定期的にインストールするように設定されており、これを行うには、ポート 80 のアウトバウンドを開く必要があります。

手順

ステップ 1

SDC を作成する CDO テナントにログオンします。

ステップ 2

CDO メニューから[ツールとサービス（Tools & Services）] > [セキュアコネクタ（Secure Connectors）]に移動します。

ステップ 3

[サービス（Services）] ページの [セキュアコネクタ（Secure Connectors）] タブで、青いプラスボタンをクリックし、[Secure Device Connector] を選択します。

ステップ 4

手順 1 で [SDC VMイメージのダウンロード（Download the SDC VM image）] をクリックします。すると別のタブが表示されます。

ステップ 5

.zip ファイルからすべてのファイルを抽出します。これらは、次のようなものです。

CDO-SDC-VM-ddd50fa.ovf
CDO-SDC-VM-ddd50fa.mf
CDO-SDC-VM-ddd50fa-disk1.vmdk

ステップ 6

vSphere Web クライアントを使用して、管理者として VMware サーバーにログオンします。

（注）

ESXi Web クライアントは使用しないでください。

ステップ 7

プロンプトに従って、OVF テンプレートから Secure Device Connector 仮想マシンを展開します。

ステップ 8

セットアップが完了したら、SDC VM の電源を入れます。

ステップ 9

新しい SDC VM のコンソールを開きます。

ステップ 10

ユーザー名 cdo でログインします。デフォルトのパスワードは adm123 です。

ステップ 11

プロンプトで、sudo sdc-onboard setup と入力します。

 [cdo@localhost ~]$ sudo sdc-onboard setup

ステップ 12

パスワードのプロンプトが表示されたら、adm123 と入力します。

ステップ 13

プロンプトに従って、root ユーザーの新しいパスワードを作成します。root ユーザーのパスワードを入力します。

ステップ 14

プロンプトに従って、cdo ユーザーの新しいパスワードを作成します。cdo ユーザーのパスワードを入力します。

ステップ 15

[接続するCDOドメインを選択してください（Please choose the CDO domain you connect to）] というプロンプトが表示されたら、Cisco Defense Orchestrator のドメイン情報を入力します。

ステップ 16

プロンプトが表示されたら、SDC VM の次のドメイン情報を入力します。

IP アドレス/CIDR
ゲートウェイ
DNS サーバー
NTP サーバーまたは FQDN
Docker ブリッジ

または、Docker ブリッジが適用されない場合は Enter キーを押します。

ステップ 17

[これらの値は正しいですか？（はい/いいえ）（Are these values correct? (y/n)）] というプロンプトが表示されたら、[はい] を入力してエントリを確認します。

ステップ 18

入力内容を確定します。

ステップ 19

[今すぐSDCを設定しますか？（はい/いいえ）（Would you like to setup the SDC now? (y/n)]というプロンプトが表示されたら、[n] を入力します。

ステップ 20

VM コンソールから自動的にログアウトします。

ステップ 21

SDC への SSH 接続を作成します。cdo としてログインし、パスワードを入力します。

ステップ 22

プロンプトで、sudo sdc-onboard bootstrap と入力します。

[cdo@localhost ~]$ sudo sdc-onboard bootstrap

ステップ 23

[sudo] パスワードの入力を求められたら、手順 14 で作成した cdo パスワードを入力します。

ステップ 24

[CDOのセキュアコネクタページからブートストラップデータをコピーしてください（Please copy the bootstrap data form the Secure Connector Page of CDO）] というプロンプトが表示されたら、次の手順に従います。

CDO にログインします。
[アクション（Actions）] ペインで、[オンプレミスの Secure Device Connector の展開（Deploy an On-Premises Secure Device Connector）] をクリックします。
ダイアログボックスのステップ 2 で [ブートストラップデータをコピー] をクリックし、SSH ウィンドウに貼り付けます。

ステップ 25

[これらの設定を更新しますか？（はい/いいえ）（Do you want to update these setting? (y/n)）] というプロンプトが表示されたら、[n] を入力します。

ステップ 26

[Secure Device Connector] ページに戻ります。新しい SDC のステータスが [アクティブ（Active）] に変更されるまで、画面を更新します。

自身の VM 上での Secure Device Connector の展開

デバイスのログイン情報を使用して CDO をデバイスに接続する場合、CDO とデバイス間の通信を管理するために、ネットワークに Secure Device Connector（SDC）をダウンロードして展開することがベストプラクティスです。通常、これらのデバイスは非境界ベースであり、パブリック IP アドレスを持たないか、外部インターフェイスに開かれたポートを持っています。適応型セキュリティアプライアンス（ASA）、FDM による管理デバイス、Firepower Management Center（FMC）、 Secure Firewall Cloud Native デバイスはすべて、デバイスのログイン情報を使用して CDO にオンボードできます。

SDC は、管理対象デバイスで実行する必要があるコマンドと、管理対象デバイスに送信する必要があるメッセージについて、CDO を監視します。SDC は、CDO に代わってこのコマンドを実行し、管理対象デバイスに代わって CDO にメッセージを送信し、管理対象デバイスからの応答を CDO に返します。

1 つの SDC が管理できるデバイスの数は、それらのデバイスに実装されている機能と、構成ファイルのサイズによって異なります。ただし、展開計画の目安として、1 つの SDC で約 500 台のデバイスをサポートできることを想定しています。詳細については、単一の CDO テナントで複数の SDC を使用するを参照してください。

この手順では、独自の仮想マシンイメージを使用してネットワークに SDC をインストールする方法について説明します。

（注）

SDC をインストールするために推奨される、最も簡単で信頼できる方法は、CDO の SDC OVA イメージをダウンロードしてインストールすることです。手順については、CDO の VM イメージを使用した Secure Device Connector の展開を参照してください。

始める前に

CDO は、厳密な証明書チェックを必要とし、SDC とインターネットの間の Web/コンテンツプロキシをサポートしていません。
SDC には TCP ポート 443 でのインターネットへの完全なアウトバウンドアクセスが必要です。
ネットワークのガイドラインについては、「Secure Device Connector を使用した Cisco Defense Orchestrator への接続」を参照してください。

vCenter Web クライアントまたはr ESXi Web クライアントを使用してインストールされた VMware ESXi ホスト。

（注）

vSphere デスクトップクライアントを使用したインストールはサポートしていません。

ESXi 5.1 ハイパーバイザ。
Cent OS 7 ゲストオペレーティングシステム。
SDC のみを持つ VM のシステム要件：
- VMware ESXi ホストには 2 つの CPU が必要です。
- VMware ESXi ホストには 2 GB 以上のメモリが必要です。
- VMware ESXi では、プロビジョニングの選択に応じて、仮想マシンをサポートするために 64 GB のディスク容量が必要です。これは、必要に応じてディスク領域を拡張できるように、パーティションで論理ボリューム管理（LVM）を使用していることを想定した値です。
VM の CPU とメモリを更新したら、VM の電源を入れ、[セキュアコネクタ（Secure Connectors）] ページに SDC が「アクティブ」状態であることが示されていることを確認します。
この手順を実行するユーザーは、Linux 環境の操作に親しんでおり、vi ビジュアルエディタを使用してファイルを編集している必要があります。
オンプレミスの SDC を CentOS 仮想マシンにインストールする場合は、Yum セキュリティパッチを定期的にインストールすることをお勧めします。Yum の更新を取得するための設定に応じて、ポート 443 だけでなくポート 80 でもアウトバウンドアクセスを開く必要がある場合があります。また、更新をスケジュールするために yum-cron または crontab も設定する必要があります。セキュリティ運用チームと連携して、Yum の更新を取得するためにセキュリティポリシーを変更する必要があるかどうかを判断します。

（注）

始める前に：手順内のコマンドは、コピーして端末ウィンドウに貼り付けるのではなく入力するようにしてください。一部のコマンドに含まれる「n ダッシュ」は、カットアンドペーストのプロセスで「m ダッシュ」として適用される場合があり、コマンドが失敗する原因となります。

手順

ステップ 1

SDC を作成する CDO テナントにログオンします。

ステップ 2

CDO メニューから[ツールとサービス（Tools & Services）] > [セキュアコネクタ（Secure Connectors）]に移動します。

ステップ 3

[サービス（Services）] ページの [セキュアコネクタ（Secure Connectors）] タブで、青いプラスボタンをクリックし、[Secure Device Connector] を選択します。

ステップ 4

ウィンドウの手順 2 のブートストラップデータをメモ帳にコピーします。

ステップ 5

少なくとも次の RAM とディスク領域が SDC に割り当てられている CentOS 7 仮想マシンをインストールします。

8 GB の RAM
10 GB のディスクスペース

ステップ 6

インストールしたら、SDC の IP アドレス、サブネットマスク、ゲートウェイの指定など、ネットワークの基本設定を行います。

ステップ 7

DNS（ドメインネームサーバー）を設定します。

ステップ 8

NTP（ネットワークタイムプロトコル）サーバーを設定します。

ステップ 9

SDC の CLI と簡単にやり取りできるように、CentOS に SSH サーバーをインストールします。

ステップ 10

Yum の更新を実行し、open-vm-tools、nettools、および bind-utils パッケージをインストールします。

[root@sdc-vm ~]# yum update -y 
               [root@sdc-vm ~]# yum install -y open-vm-tools net-tools bind-utils

ステップ 11

AWS CLI パッケージをインストールします。https://docs.aws.amazon.com/cli/latest/userguide/awscli-install-linux.htmlを参照してください。

（注）

--user フラグは使用しないでください。

ステップ 12

Docker CE パッケージをインストールします。https://docs.docker.com/install/linux/docker-ce/centos/#install-docker-ceを参照してください。

（注）

「リポジトリを使用したインストール」方法を使用します。

ステップ 13

Docker サービスを開始し、起動時に開始できるようにします。


 [root@sdc-vm ~]# systemctl start docker
 [root@sdc-vm ~]# systemctl enable docker
 Created symlink from /etc/systemd/system/multiuser.target.wants/docker.service to
     /usr/lib/systemd/system/docker.service.

ステップ 14

「cdo」と「sdc」の 2 つのユーザーを作成します。cdo ユーザーは、管理機能を実行するためにログインするユーザーです（つまり root ユーザーを直接使用する必要はありません）。sdc ユーザーは、SDC docker コンテナを実行するユーザーです。


  [root@sdc-vm ~]# useradd cdo
  [root@sdc-vm ~]# useradd sdc –d /usr/local/cdo

ステップ 15

cdo ユーザーのパスワードを設定します。


  [root@sdc-vm ~]# passwd cdo 
  Changing password for user cdo.
  New password: <type password> 
  Retype new password: <type password> 
  passwd: all authentication tokens updated successfully.

ステップ 16

cdo ユーザーを「wheel」グループに追加し、管理者（sudo）権限を付与します。


   [root@sdc-vm ~]# usermod -aG wheel cdo
   [root@sdc-vm ~]#

ステップ 17

Docker がインストールされると、ユーザーグループが作成されます。CentOS/Docker のバージョンに応じて、「docker」または「dockerroot」と呼ばれます。/etc/group ファイルでどのグループが作成されたかを確認したら、sdc ユーザーをそのグループに追加します。


  [root@sdc-vm ~]# grep docker /etc/group
   docker:x:993:
  [root@sdc-vm ~]#
  [root@sdc-vm ~]# usermod -aG docker sdc
  [root@sdc-vm ~]#

ステップ 18

/etc/docker/daemon.json ファイルが存在しない場合は作成し、以下の内容を入力します。作成したら、docker デーモンを再起動します。

（注）

「group」キーに入力したグループ名が、前の手順の /etc/group ファイルで見つけたグループと一致していることを確認してください。

[root@sdc-vm ~]# cat /etc/docker/daemon.json
         {
            "live-restore": true,
            "group": "docker"
         }
         [root@sdc-vm ~]# systemctl restart docker 
         [root@sdc-vm ~]#

ステップ 19

現在 vSphere コンソールセッションを使用している場合は、SSH に切り替えて、「cdo」ユーザーでログインします。ログインしたら、「sdc」ユーザーに切り替えます。パスワードの入力を求められたら、「cdo」ユーザーのパスワードを入力します。

[cdo@sdc-vm ~]$ sudo su sdc
               [sudo] password for cdo: <type password for cdo user>
               [sdc@sdc-vm ~]$

ステップ 20

ディレクトリを /usr/local/cdo に変更します。

ステップ 21

bootstrapdata という新しいファイルを作成し、[オンプレミスの Secure Device Connector の展開（Deploy an On-Premises Secure Device Connector）] ウィザードの手順2 のブートストラップデータを、このファイルに貼り付けます。[保存（Save）] をクリックしてファイルを保存します。[vi] または [nano] を使用してファイルを作成できます。

ステップ 22

ブートストラップデータは base64 でエンコードされていますので、復号化して extractedbootstrapdata というファイルにエクスポートします。

[sdc@sdc-vm ~]$ base64 -d /usr/local/cdo/bootstrapdata > /usr/local/cdo/extractedbootstrapdata
              [sdc@sdc-vm ~]$

cat コマンドを実行して復号化したデータを表示します。コマンドおよび復号化したデータは次のようになります。

[sdc@sdc-vm ~]$ cat /usr/local/cdo/extractedbootstrapdata
               CDO_TOKEN="<token string>"
               CDO_DOMAIN="www.defenseorchestrator.com"
               CDO_TENANT="<tenant-name>"
               CDO_BOOTSTRAP_URL="https://www.defenseorchestrator.com/sdc/bootstrap/tenant-name/<tenant-name-SDC>"

ステップ 23

以下のコマンドを実行して、復号化したブートストラップデータの一部を環境変数にエクスポートします。

[sdc@sdc-vm ~]$ sed -e 's/^/export /g' extractedbootstrapdata > sdcenv && source sdcenv
              [sdc@sdc-vm ~]$

ステップ 24

CDO からブートストラップバンドルをダウンロードします。

[sdc@sdc-vm ~]$ curl -O -H "Authorization: Bearer $CDO_TOKEN" "$CDO_BOOTSTRAP_URL"
               100 10314 100 10314 0 0 10656 0 --:--:-- --:--:-- --:--:-- 10654
               [sdc@sdc-vm ~]$ ls -l /usr/local/cdo/*SDC
               -rw-rw-r--. 1 sdc sdc 10314 Jul 23 13:48 /usr/local/cdo/tenant-name-SDC

ステップ 25

SDC tarball を展開し、bootstrap.sh ファイルを実行して SDC パッケージをインストールします。

[sdc@sdc-vm ~]$ tar xzvf /usr/local/cdo/tenant-name-SDC
               <snipped – extracted files>
               [sdc@sdc-vm ~]$
               [sdc@sdc-vm ~]$ /usr/local/cdo/bootstrap/bootstrap.sh
               [2018-07-23 13:54:02] environment properly configured
               download: s3://onprem-sdc/toolkit/prod/toolkit.tar to toolkit/toolkit.tar
               toolkit.sh
               common.sh
               [2018-07-23 13:54:04] startup new container
               Unable to find image 'ciscodefenseorchestrator/sdc_prod:latest' locally
               sha256:d98f17101db10e66db5b5d6afda1c95c29ea0004d9e4315508fd30579b275458: Pulling from
               ciscodefenseorchestrator/sdc_prod
               08d48e6f1cff: Pull complete
               ebbd10b629b1: Pull complete
               d14d580ef2ed: Pull complete
               45421d451ab8: Pull complete
               <snipped – downloads>
               no crontab for sdc

すると、CDO で SDC が「アクティブ」と表示されるはずです。

次のタスク

「デバイスおよびサービスのオンボード」に移動して、CDO で管理するデバイスをオンボードします。

Terraform を使用した vSphere への Secure Device Connector の展開

始める前に

この手順では、vSphere 用 CDO SDC Terraform モジュールを CDO Terraform プロバイダーと組み合わせて使用して、vSphere に SDC を展開する方法について詳しく説明します。このタスク手順を実行する前に、次の前提条件を確認してください。

vSphere データセンターバージョン 7 以降が必要です
次を実行する権限を持つデータセンターの管理者アカウントが必要です。
- VM の作成
- フォルダの作成
- コンテンツライブラリの作成
- コンテンツライブラリへのファイルのアップロード
Terraform の知識

手順

ステップ 1	CDO で API のみのユーザーを作成し、API トークンをコピーします。API のみのユーザーの作成方法については、「API のみのユーザーを作成する」を参照してください。
ステップ 2	「CDO Terraform Provider」の手順に従って、Terraform リポジトリで CDO Terraform プロバイダーを構成します。例: `terraform { required_providers { cdo = { source = "CiscoDevNet/cdo" version = "0.7.0" } } } provider "cdo" { base_url = “<the CDO URL you use to access CDO>” api_token = “<the API Token generated in step 1>” }`
ステップ 3	CDO Terraform プロバイダーを使用して `cdo_sdc` リソースを作成するための Terraform コードを記述します。詳細については、cdo-sdc リソースの Terraform レジストリを参照してください。例: `Resource “cdo_sdc” “my-sdc” { name = “my-sdc-in-vsphere” }` このリソースの `bootstrap_data` 属性には、CDO ブートストラップデータの値が入力され、次のステップで `cdo_sdc` Terraform モジュールに提供されます。
ステップ 4	cdo_sdc Terraform モジュールを使用して、vSphere で SDC を作成するための Terraform コードを記述します。例: data "cdo_tenant" "current" {} module "vsphere-cdo-sdc" { source = "CiscoDevNet/cdo-sdc/vsphere" version = "1.0.0" vsphere_username = "<replace-with-username-with-admin-privileges>" vsphere_password = "<super-secure-password>" vsphere_server = "<replace-with-address-of-vsphere-server>" datacenter = "<replace-with-datacenter-name>" resource_pool = "<replace-with-resource-pool-name>" cdo_tenant_name = data.cdo_tenant.current.human_readable_name datastore = "<replace-with-name-of-datastore-to-deploy-vm-in>" network = "<replace-with-name-of-network-to-deploy-vm-in>" host = "<replace-with-esxi-host-address>" allow_unverified_ssl = <boolean; set to true if your vsphere server does not have a valid SSL certificate> ip_address = "<sdc-vm-ip-address; must be in the subnet of the assigned network for the VM>" gateway = "<replace-with-network-gateway-address>" cdo_user_password = "<replace-with-password-for-cdo-user-in-sdc-vm>" root_user_password = "<replace-with-password-for-root-user-in-sdc-vm>" cdo_bootstrap_data = cdo_sdc.sdc-in-vsphere.bootstrap_data } 作成された VM には 2 人のユーザー（`root` ユーザーと `cdo` というユーザー）があり、VM の IP アドレスは静的に設定されていることに注意してください。`cdo_bootstrap_data` 属性には、`cdo_sdc` リソースの作成時に生成された `bootstrap_data` 属性の値が指定されます。
ステップ 5	通常どおり、`terraform plan` と `terraform apply` を使用して Terraform を計画および適用します。完全な例については、CiscoDevNet の「CDO Automation Repository」を参照してください。

SDC がオンボーディング状態のままである場合は、リモートコンソールを使用して vSphere VM に接続し、CDO ユーザーとしてログインして、次のコマンドを実行します。

sudo su 
/opt/cdo/configure.sh startup

（注）

CDO Terraform モジュールは、Apache 2.0 ライセンスの下でオープンソースソフトウェアとして公開されています。サポートが必要な場合は、GitHub で問題を報告できます。

Terraform モジュールを使用した AWS VPC 上での Secure Device Connector の展開

始める前に

AWS VPC に SDC を展開する前に、次の前提条件を確認してください。

CDO は、厳密な証明書チェックを必要とし、SDC とインターネットの間の Web/コンテンツプロキシ検査をサポートしていません。プロキシサーバーを使用している場合は、Secure Device Connector（SDC）と CDO の間のトラフィックの検査を無効にします。
適切なネットワークアクセスを確保するため、「Cisco Defense Orchestrator の Secure Device Connector への接続」を参照してください。
AWS アカウント、少なくとも 1 つのサブネットを持つ AWS VPC、および AWS Route53 でホストされるゾーンが必要です。
CDO ブートストラップデータ、AWS VPC ID、およびそのサブネット ID が手元にあることを確認します。
SDC を展開するプライベートサブネットに NAT ゲートウェイが接続されていることを確認します。
ファイアウォール管理 HTTP インターフェイスが実行されているポートで、ファイアウォールから NAT ゲートウェイに接続された Elastic IP へのトラフィックを開きます。

手順

ステップ 1

Terraform ファイルに次のコード行を追加します。変数の入力は手動で入力してください。

module "example-sdc" {
  source             = "git::https://github.com/cisco-lockhart/terraform-aws-cdo-sdc.git?ref=v0.0.1"
  env                = "example-env-ci"
  instance_name      = "example-instance-name"
  instance_size      = "r5a.xlarge"
  cdo_bootstrap_data = "<replace-with-cdo-bootstrap-data>"
  vpc_id             = <replace-with-vpc-id>
  subnet_id          = <replace-with-private-subnet-id>
}

入力変数と説明のリストについては、「Secure Device Connector Terraform module」を参照してください。

ステップ 2

Terraform コードの出力として instance_id を登録します。

output "example_sdc_instance_id" {
  value = module. example-sdc.instance_id
}

instance_id を使用して SDC インスタンスに接続し、AWS Systems Manager Session Manager（SSM）を使用してトラブルシューティングを行うことができます。使用可能な出力のリストについては、「Secure Device Connector Terraform module」の「Outputs」を参照してください。

次のタスク

SDC のトラブルシューティングでは、AWS SSM を使用して SDC インスタンスに接続する必要があります。インスタンスへの接続方法の詳細については、「AWS Systems Manager Session Manager」を参照してください。SSH を使用して SDC インスタンスに接続するためのポートは、セキュリティ上の理由により公開されないことに注意してください。

（注）

CDO Terraform モジュールは、Apache 2.0 ライセンスの下でオープンソースソフトウェアとして公開されています。サポートが必要な場合は、GitHub で問題を報告できます。

Secure Device Connector の IP アドレスの変更

始める前に

このタスクを実行するには、管理者である必要があります。
SDC には、TCP ポート 443 またはデバイス管理用に設定したポートでのインターネットへの完全なアウトバウンドアクセスが必要です。

（注）

SDC の IP アドレスを変更した後、デバイスを CDO に再度オンボーディングする必要はありません。

手順

ステップ 1

SDC への SSH 接続を作成するか、仮想マシンのコンソールを開き、CDO ユーザーとしてログインします。

ステップ 2

IP アドレスを変更する前に SDC VM のネットワークインターフェイス設定情報を表示するには、ifconfig コマンドを使用します。

 [cdo@localhost ~]$ ifconfig

ステップ 3

インターフェイスの IP アドレスを変更するには、sudo sdc-onboard setup コマンドを入力します。

 [cdo@localhost ~]$ sudo sdc-onboard setup

ステップ 4

プロンプトが表示されたら、パスワードを入力します。

 [sudo] password for cdo:

ステップ 5

root パスワードと CDO パスワードをリセットするプロンプトで n を入力します。

 Would you like to reset the root and cdo passwords? (y/n):

ステップ 6

ネットワークを再設定するためのプロンプトで y と入力します。

 Would you like to re-configure the network? (y/n):

ステップ 7

SDC に割り当てる新しい IP アドレスと、プロンプトが表示されたら SDC VM の他のドメイン情報を入力します。

IP Address
ゲートウェイ
DNS サーバー
NTP サーバーまたは FQDN

または、NTP サーバーまたは FQDN が適用されない場合は、Enter キーを押します。
Docker ブリッジ

または、Docker ブリッジが適用されない場合は Enter キーを押します。

ステップ 8

値が正しいことを求めるプロンプトが表示されたら、y でエントリを確認します。

 Are these values correct? (y/n):

（注）

このコマンドの後、古い IP アドレスへの SSH 接続が失われるため、y を入力する前に値が正しいことを確認してください。

ステップ 9

SDC に割り当てた新しい IP アドレスを使用して SSH 接続を作成し、ログインします。

ステップ 10

接続ステータスのテストコマンドを実行して、SDC が稼働していることを確認できます。

 [cdo@localhost ~]$ sudo sdc-onboard status

すべてのチェックが緑色で [OK] と表示されている必要があります。

（注）

VM のコンソールでこの手順を実行している場合、値が正しいことを確認すると、接続ステータスのテストが自動的に実行され、ステータスが表示されます。

ステップ 11

CDO ユーザーインターフェイスを介して SDC の接続を確認することもできます。これを行うには、CDO アプリケーションを開き、[ツールとサービス（Tools & Services）] > [セキュアコネクタ（Secure Connectors）]ページに移動します。

ステップ 12

ページを一度更新し、IP アドレスを変更したセキュアコネクタを選択します。

ステップ 13

[操作（Actions）] ペインで、[ハートビートの要求（Request heartbeat）] をクリックします。

ハートビートが正常に要求されたというメッセージが表示され、[最後のハートビート（Last Heartbeat）] に現在の日付と時刻が表示されるはずです。

重要	行った IP アドレスの変更は、GMT の午前 3 時以降にのみ SDC の [詳細（Details）] ペインに反映されます。

VM に SDC を展開する方法については、「自身の VM 上での Secure Device Connector の展開」を参照してください。

Secure Device Connector の削除

警告	この手順により、Secure Device Connector（SDC）が削除されます。この操作は元に戻せません。この操作を行った後は、新しい SDC をインストールしてデバイスを再接続するまで、その SDC に接続されているデバイスを管理できなくなります。デバイスを再接続するには、再接続が必要なデバイスごとに管理者ログイン情報を再入力する必要がある場合があります。

テナントから SDC を削除するには、次の手順を実行します。

手順

ステップ 1

削除する SDC に接続されているデバイスをすべて削除します。この操作は、次の 2 つの方法で実行できます。

一部のデバイスを別の SDC に移動するか、SDC から完全に切り離します。詳細については、次のトピックを参照してください。
- Firepower の接続ログイン情報の更新
削除する SDC に接続されているすべてのデバイスを CDO から削除します。
1. SDC で使用されるすべてのデバイスを特定するには、「同一 SDC を使用した CDO に接続するすべてのデバイスを見つける」を参照してください。
2. [インベントリ（Inventory）] ページで、識別したすべてのデバイスを選択します。
3. [デバイスアクション（Device Actions）] ウィンドウで [削除（Remove）] をクリックし、[OK] をクリックして操作を確定します。

ステップ 2

CDO メニューから[ツールとサービス（Tools & Services）] > [セキュアコネクタ（Secure Connectors）]に移動します。

ステップ 3

[サービス（Services）] ページの [セキュアコネクタ（Secure Connectors）] タブが選択された状態で、青いプラスボタンをクリックし、[Secure Device Connector] を選択します。

ステップ 4

[セキュアコネクタ（Secure Connectors）] テーブルで、削除する SDC を選択します。これで、デバイス数はゼロになっているはずです。

ステップ 5

[アクション（Actions）] ペインで、[削除（Remove）] アイコンをクリックします。次の警告が表示されます。

警告	<sdc_name> を削除しようとしています。SDC の削除は元に戻せません。SDC を削除すると、デバイスをオンボーディングまたは再オンボーディングする前に、新しい SDC を作成してオンボーディングする必要があります。

現在オンボーディング済みのデバイスがあるため、SDC を削除するには、これらのデバイスを再接続し、新しい SDC を設定した後にログイン情報を再度入力する必要があります。

ご質問や懸念事項がある場合は、[キャンセル（Cancel）] をクリックして、CDO サポートにお問い合わせください。
続行するには、下のテキストボックスに <sdc_name> を入力して、[OK] をクリックします。

ステップ 6

続行する場合は、警告メッセージに記載されている SDC の名前を確認ダイアログボックスに入力します。

ステップ 7

[OK] をクリックして、SDC の削除を確定します。

ある SDC から別の SDC への ASA の移動

CDO では、1 つのテナントあたり 1 つ以上の SDC の使用がサポートされます。次の手順を使用して、管理対象 ASA を、ある SDC から別の SDC に移動できます。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Device）] タブをクリックしてから、[ASA] タブをクリックします。

ステップ 3

別の SDC に移動する 1 つ以上の ASA を選択します。

ステップ 4

[デバイスアクション（Device Actions）] ペインで、[資格情報の更新（Update Credentials）] をクリックします。

ステップ 5

[セキュアデバイスコネクタ（Secure Device Connector）] ボタンをクリックし、デバイスの移動先の SDC を選択します。

ステップ 6

CDO がデバイスにログインするために使用する管理者のユーザー名とパスワードを入力し、[更新（Update）] をクリックします。変更されていない限り、管理者のユーザー名とパスワードは、ASA のオンボードに使用したログイン情報と同じです。これらの変更をデバイスに展開する必要はありません。

（注）

すべての ASA が同じログイン情報を使用している場合、複数の ASA を、ある SDC から別の SDC に一括で移動できます。複数の ASA のログイン情報が異なる場合、各 ASA をある SDC から別の SDC に 1つずつ移動する必要があります。

Firepower の接続ログイン情報の更新

Meraki ダッシュボードから新しい API キーを生成する場合は、CDO で接続ログイン情報を更新する必要があります。新しいキーを生成する詳細については、Meraki API キーの生成と取得を参照してください。CDO では、デバイス自体の接続ログイン情報を更新することはできません。必要に応じて、Meraki ダッシュボードで API キーを手動で更新できます。ログイン情報を更新して通信を再確立するには、CDO UI で API キーを手動で更新する必要があります。

（注）

CDO がデバイスの同期に失敗した場合、CDO の接続ステータスに [無効なログイン情報（Invalid Credentials）] と表示されることがあります。その場合は、API キーを使用しようとした可能性があります。選択した Meraki MX の API キーが正しいことを確認します。

次の手順を使用して、Meraki MX デバイスのログイン情報を更新します。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Device）] タブをクリックしてから、[Meraki] タブをクリックします。
ステップ 3	接続ログイン情報を更新する Meraki MX を選択します。
ステップ 4	[デバイスアクション（Device Actions）] ペインで、[ログイン情報の更新（Update Credentials）] をクリックします。
ステップ 5	CDO がデバイスにログインするために使用する API キーを入力し、[更新（Update）] をクリックします。この API キーは、変更されていない限り、Meraki MX のオンボードに使用したのと同じログイン情報です。これらの変更をデバイスに展開する必要はありません。

Secure Device Connector の名前変更

手順

ステップ 1	CDO メニューから[ツールとサービス（Tools & Services）] > [セキュアコネクタ（Secure Connectors）]に移動します。
ステップ 2	名前を変更する SDC を選択します。
ステップ 3	詳細ペインで、SDC の名前の横にある編集アイコンをクリックします。
ステップ 4	SDC の名前を変更します。

この新しい名前は、[インベントリ（Inventory）] ペインの Secure Device Connector フィルタなど、CDO インターフェイス内の SDC 名が表示される場所に表示されます。

Secure Device Connector の更新

この手順は、トラブルシューティングツールとして使用してください。通常、SDC は自動的に更新されるため、この手順を使用する必要はありません。ただし、VM の時刻設定が正しくない場合、SDC は AWS への接続を確立して更新を受信できませんが、この手順により、SDC の更新が開始され、時刻同期の問題によるエラーが解決されます。

手順

ステップ 1	SDC に接続します。SSH を使用して接続するか、VMware Hypervisor のコンソールビューを使用できます。
ステップ 2	cdo ユーザーとして SDC にログインします。
ステップ 3	SDC ユーザーに切り替えて、SDC Docker コンテナを更新します。 `[cdo@sdc-vm ~]$ sudo su sdc [sudo] password for cdo: <type password for cdo user> [sdc@sdc-vm ~]$`
ステップ 4	SDC ツールキットをアップグレードします。 `[cdo@sdc-vm ~]$ /usr/local/cdo/toolkit/toolkit.sh upgradeToolkit [sdc@sdc-vm ~]$`
ステップ 5	SDC をアップグレードします。 `[cdo@sdc-vm ~]$ /usr/local/cdo/toolkit/toolkit.sh upgradeSDC [sdc@sdc-vm ~]$`

単一の CDO テナントで複数の SDC を使用する

テナントに複数の SDC を展開すると、パフォーマンスを低下させることなく、より多くのデバイスを管理できます。1 つの SDC が管理できるデバイスの数は、それらのデバイスに実装されている機能と、構成ファイルのサイズによって異なります。

テナントにインストールできる SDC の数に制限はありません。各 SDC は 1 つのネットワークセグメントを管理できます。これらの SDC は、それらのネットワークセグメント内のデバイスを同一の CDO テナントに接続します。複数の SDC がない場合、隔離されたネットワークセグメント内のデバイスを、異なる CDO テナントで管理する必要があります。

2 番目以降の SDC を展開する手順は、最初の SDC を展開する手順と同じです。CDO が提供する VM イメージを使用して SDC を展開するか、独自の VM をインストールして SDC をそこにインストールすることができます。テナントの最初の SDC には、テナントの名前と番号 1 が組み込まれています。追加の各 SDC には、順番に番号が付けられます。

同一 SDC を使用した CDO に接続するすべてのデバイスを見つける

次の手順に従って、同じ SDC を使用して CDO に接続するすべてのデバイスを識別します。

手順

ステップ 1	ナビゲーションバーで、[インベントリ（Inventory）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	フィルタ基準がすでに指定されている場合は、インベントリテーブルの上部にある [クリア（Clear）] ボタンをクリックして、CDO で管理しているすべてのデバイスとサービスを表示します。
ステップ 5	フィルタボタンをクリックして、[フィルタ（Filter）] メニューを展開します。
ステップ 6	フィルタの [Secure Device Connector] セクションで、必要な SDC の名前をクリックします。インベントリテーブルには、フィルタでチェックした SDC を使用して CDO に接続しているデバイスのみが表示されます。
ステップ 7	（オプション）検索をさらに絞り込むには、フィルタメニューで追加のフィルタをチェックします。
ステップ 8	（オプション）完了したら、インベントリテーブルの上部にある [クリア（Clear）] ボタンをクリックして、CDO で管理しているすべてのデバイスとサービスを表示します。

Secure Device Connector オープンソースおよびサードパーティライセンス属性

================================================================================

* amqplib *

Michael Bridgen <mikeb@squaremobius.net>

This package, "amqplib", is licensed under the MIT License. A copy maybe found in the file LICENSE-MIT in this directory, or downloaded from

http://opensource.org/licenses/MIT

================================================================================

* async *

Permission is hereby granted, free of charge, to any person obtaining a copyof this software and associated documentation files（the "Software"）, to dealin the Software without restriction, including without limitation the rightsto use, copy, modify, merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whom the Software isfurnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included inall copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THEAUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHERLIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS INTHE SOFTWARE.

================================================================================

* bluebird *

The MIT License（MIT）

Permission is hereby granted, free of charge, to any person obtaining a copyof this software and associated documentation files（the "Software"）, to dealin the Software without restriction, including without limitation the rightsto use, copy, modify, merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whom the Software isfurnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included inall copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THEAUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHERLIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS INTHE SOFTWARE.

================================================================================

* cheerio *

Permission is hereby granted, free of charge, to any person obtaining a copyof this software and associated documentation files (the 'Software'), to dealin the Software without restriction, including without limitation the rightsto use, copy, modify, merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whom the Software isfurnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included inall copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED 'AS IS', WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THEAUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHERLIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS INTHE SOFTWARE.

================================================================================

* command-line-args *

The MIT License (MIT)

Permission is hereby granted, free of charge, to any person obtaining a copyof this software and associated documentation files（the "Software"）, to dealin the Software without restriction, including without limitation the rightsto use, copy, modify, merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whom the Software isfurnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in allcopies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THEAUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHERLIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS INTHE SOFTWARE.

================================================================================

* ip *

This software is licensed under the MIT License.

Copyright Fedor Indutny, 2012.

Permission is hereby granted, free of charge, to any person obtaining a copyof this software and associated documentation files（the "Software"）, to dealin the Software without restriction, including without limitation the rightsto use, copy, modify, merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whom the Software isfurnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in allcopies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THEAUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHERLIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS INTHE SOFTWARE.

================================================================================

* json-buffer *

Permission is hereby granted, free of charge,to any person obtaining a copy of this software andassociated documentation files (the "Software"), todeal in the Software without restriction, includingwithout limitation the rights to use, copy, modify,merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whomthe Software is furnished to do so,subject to the following conditions:

The above copyright notice and this permission noticeshall be included in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIESOF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT.IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FORANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT,TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THESOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

================================================================================

* json-stable-stringify *

This software is released under the MIT license:

Permission is hereby granted, free of charge, to any person obtaining a copy ofthis software and associated documentation files (the "Software"), to deal inthe Software without restriction, including without limitation the rights touse, copy, modify, merge, publish, distribute, sublicense, and/or sell copies ofthe Software, and to permit persons to whom the Software is furnished to do so,subject to the following conditions:

The above copyright notice and this permission notice shall be included in allcopies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESSFOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS ORCOPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHERIN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR INCONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

================================================================================

* json-stringify-safe *

The ISC License

Copyright (c) Isaac Z. Schlueter and Contributors

Permission to use, copy, modify, and/or distribute this software for anypurpose with or without fee is hereby granted, provided that the abovecopyright notice and this permission notice appear in all copies.

THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIESWITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OFMERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FORANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGESWHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN ANACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF ORIN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.

================================================================================

* lodash *

Copyright JS Foundation and other contributors <https://js.foundation/>

Based on Underscore.js, copyright Jeremy Ashkenas,

DocumentCloud and Investigative Reporters & Editors<http://underscorejs.org/>

This software consists of voluntary contributions made by manyindividuals. For exact contribution history, see the revision historyavailable at https://github.com/lodash/lodash

The following license applies to all parts of this software except as

documented below:

====

Permission is hereby granted, free of charge, to any person obtaininga copy of this software and associated documentation files（the"Software"）, to deal in the Software without restriction, includingwithout limitation the rights to use, copy, modify, merge, publish,distribute, sublicense, and/or sell copies of the Software, and topermit persons to whom the Software is furnished to do so, subject tothe following conditions:

The above copyright notice and this permission notice shall beincluded in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OFMERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE ANDNONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BELIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTIONOF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTIONWITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

====

Copyright and related rights for sample code are waived via CC0. Samplecode is defined as all source code displayed within the prose of thedocumentation.

CC0: http://creativecommons.org/publicdomain/zero/1.0/

====

Files located in the node_modules and vendor directories are externallymaintained libraries used by this software which have their ownlicenses; we recommend you read them, as their terms may differ from theterms above.

================================================================================

* log4js *

Licensed under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License at

http://www.apache.org/licenses/LICENSE-2.0

Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. See the License for the specific language governing permissions andlimitations under the License.

================================================================================

* mkdirp *

This project is free software released under the MIT/X11 license:

Permission is hereby granted, free of charge, to any person obtaining a copyof this software and associated documentation files（the "Software"）, to dealin the Software without restriction, including without limitation the rightsto use, copy, modify, merge, publish, distribute, sublicense, and/or sellcopies of the Software, and to permit persons to whom the Software isfurnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included inall copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS ORIMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THEAUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHERLIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS INTHE SOFTWARE.

================================================================================

* node-forge *

New BSD License (3-clause)

Redistribution and use in source and binary forms, with or withoutmodification, are permitted provided that the following conditions are met:

* Redistributions of source code must retain the above copyrightnotice, this list of conditions and the following disclaimer.

* Redistributions in binary form must reproduce the above copyrightnotice, this list of conditions and the following disclaimer in thedocumentation and/or other materials provided with the distribution.

* Neither the name of Digital Bazaar, Inc. nor thenames of its contributors may be used to endorse or promote productsderived from this software without specific prior written permission.

THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" ANDANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIEDWARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE AREDISCLAIMED. IN NO EVENT SHALL DIGITAL BAZAAR BE LIABLE FOR ANYDIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED ANDON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT(INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THISSOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.

================================================================================

* request *

Apache License

Version 2.0, January 2004

http://www.apache.org/licenses/

TERMS AND CONDITIONS FOR USE, REPRODUCTION, AND DISTRIBUTION

1. Definitions.

"License" shall mean the terms and conditions for use, reproduction, and distribution as defined by Sections 1 through 9 of this document.

"Licensor" shall mean the copyright owner or entity authorized by the copyright owner that is granting the License.

"Legal Entity" shall mean the union of the acting entity and all other entities that control, are controlled by, or are under common control with that entity. For the purposes of this definition, "control" means (i) the power, direct or indirect, to cause the direction or management of such entity, whether by contract or otherwise, or (ii) ownership of fifty percent (50%) or more of the outstanding shares, or (iii) beneficial ownership of such entity.

"You" (or "Your") shall mean an individual or Legal Entity exercising permissions granted by this License.

"Source" form shall mean the preferred form for making modifications, including but not limited to software source code, documentation source, and configuration files.

"Object" form shall mean any form resulting from mechanical transformation or translation of a Source form, including but not limited to compiled object code, generated documentation, and conversions to other media types.

"Work" shall mean the work of authorship, whether in Source or Object form, made available under the License, as indicated by a copyright notice that is included in or attached to the work (an example is provided in the Appendix below).

"Derivative Works" shall mean any work, whether in Source or Object form, that is based on (or derived from) the Work and for which the editorial revisions, annotations, elaborations, or other modifications represent, as a whole, an original work of authorship. For the purposes of this License, Derivative Works shall not include works that remain separable from, or merely link (or bind by name) to the interfaces of, the Work and Derivative Works thereof.

"Contribution" shall mean any work of authorship, including the original version of the Work and any modifications or additions to that Work or Derivative Works thereof, that is intentionally submitted to Licensor for inclusion in the Work by the copyright owner or by an individual or Legal Entity authorized to submit on behalf of the copyright owner. For the purposes of this definition, "submitted" means any form of electronic, verbal, or written communication sent to the Licensor or its representatives, including but not limited to communication on electronic mailing lists, source code control systems, and issue tracking systems that are managed by, or on behalf of, the Licensor for the purpose of discussing and improving the Work, but excluding communication that is conspicuously marked or otherwise designated in writing by the copyright owner as "Not a Contribution."

"Contributor" shall mean Licensor and any individual or Legal Entity on behalf of whom a Contribution has been received by Licensor and subsequently incorporated within the Work.

2. Grant of Copyright License. Subject to the terms and conditions of this License, each Contributor hereby grants to You a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare Derivative Works of, publicly display, publicly perform, sublicense, and distribute the Work and such Derivative Works in Source or Object form.

3. Grant of Patent License. Subject to the terms and conditions of this License, each Contributor hereby grants to You a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable (except as stated in this section) patent license to make, have made, use, offer to sell, sell, import, and otherwise transfer the Work, where such license applies only to those patent claims licensable by such Contributor that are necessarily infringed by their Contribution(s) alone or by combination of their Contribution(s) with the Work to which such Contribution(s) was submitted. If You institute patent litigation against any entity (including a cross-claim or counterclaim in a lawsuit) alleging that the Work or a Contribution incorporated within the Work constitutes direct or contributory patent infringement, then any patent licenses granted to You under this License for that Work shall terminate as of the date such litigation is filed.

4. Redistribution. You may reproduce and distribute copies of the Work or Derivative Works thereof in any medium, with or without modifications, and in Source or Object form, provided that You meet the following conditions:

You must give any other recipients of the Work or Derivative Works a copy of this License; and

You must cause any modified files to carry prominent notices stating that You changed the files; and

You must retain, in the Source form of any Derivative Works that You distribute, all copyright, patent, trademark, and attribution notices from the Source form of the Work, excluding those notices that do not pertain to any part of the Derivative Works; and

If the Work includes a "NOTICE" text file as part of its distribution, then any Derivative Works that You distribute must include a readable copy of the attribution notices contained within such NOTICE file, excluding those notices that do not pertain to any part of the Derivative Works, in at least one of the following places: within a NOTICE text file distributed as part of the Derivative Works; within the Source form or documentation, if provided along with the Derivative Works; or, within a display generated by the Derivative Works, if and wherever such third-party notices normally appear. The contents of the NOTICE file are for informational purposes only and do not modify the License. You may add Your own attribution notices within Derivative Works that You distribute, alongside or as an addendum to the NOTICE text from the Work, provided that such additional attribution notices cannot be construed as modifying the License. You may add Your own copyright statement to Your modifications and may provide additional or different license terms and conditions for use, reproduction, or distribution of Your modifications, or for any such Derivative Works as a whole, provided Your use, reproduction, and distribution of the Work otherwise complies with the conditions stated in this License.

5. Submission of Contributions. Unless You explicitly state otherwise, any Contribution intentionally submitted for inclusion in the Work by You to the Licensor shall be under the terms and conditions of this License, without any additional terms or conditions. Notwithstanding the above, nothing herein shall supersede or modify the terms of any separate license agreement you may have executed with Licensor regarding such Contributions.

6. Trademarks. This License does not grant permission to use the trade names, trademarks, service marks, or product names of the Licensor, except as required for reasonable and customary use in describing the origin of the Work and reproducing the content of the NOTICE file.

7. Disclaimer of Warranty. Unless required by applicable law or agreed to in writing, Licensor provides the Work (and each Contributor provides its Contributions) on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied, including, without limitation, any warranties or conditions of TITLE, NON-INFRINGEMENT, MERCHANTABILITY, or FITNESS FOR A PARTICULAR PURPOSE. You are solely responsible for determining the appropriateness of using or redistributing the Work and assume any risks associated with Your exercise of permissions under this License.

8. Limitation of Liability. In no event and under no legal theory, whether in tort (including negligence), contract, or otherwise, unless required by applicable law (such as deliberate and grossly negligent acts) or agreed to in writing, shall any Contributor be liable to You for damages, including any direct, indirect, special, incidental, or consequential damages of any character arising as a result of this License or out of the use or inability to use the Work (including but not limited to damages for loss of goodwill, work stoppage, computer failure or malfunction, or any and all other commercial damages or losses), even if such Contributor has been advised of the possibility of such damages.

9. Accepting Warranty or Additional Liability. While redistributing the Work or Derivative Works thereof, You may choose to offer, and charge a fee for, acceptance of support, warranty, indemnity, or other liability obligations and/or rights consistent with this License. However, in accepting such obligations, You may act only on Your own behalf and on Your sole responsibility, not on behalf of any other Contributor, and only if You agree to indemnify, defend, and hold each Contributor harmless for any liability incurred by, or claims asserted against, such Contributor by reason of your accepting any such warranty or additional liability.

END OF TERMS AND CONDITIONS

================================================================================

* rimraf *

The ISC License

Copyright (c) Isaac Z. Schlueter and Contributors

Permission to use, copy, modify, and/or distribute this software for anypurpose with or without fee is hereby granted, provided that the abovecopyright notice and this permission notice appear in all copies.

THE SOFTWARE IS PROVIDED "AS IS" AND THE AUTHOR DISCLAIMS ALL WARRANTIESWITH REGARD TO THIS SOFTWARE INCLUDING ALL IMPLIED WARRANTIES OFMERCHANTABILITY AND FITNESS. IN NO EVENT SHALL THE AUTHOR BE LIABLE FORANY SPECIAL, DIRECT, INDIRECT, OR CONSEQUENTIAL DAMAGES OR ANY DAMAGESWHATSOEVER RESULTING FROM LOSS OF USE, DATA OR PROFITS, WHETHER IN ANACTION OF CONTRACT, NEGLIGENCE OR OTHER TORTIOUS ACTION, ARISING OUT OF ORIN CONNECTION WITH THE USE OR PERFORMANCE OF THIS SOFTWARE.

================================================================================

* uuid *

MIT License - http://opensource.org/licenses/mit-license.php

================================================================================

* validator *

Permission is hereby granted, free of charge, to any person obtaininga copy of this software and associated documentation files（the"Software"）, to deal in the Software without restriction, includingwithout limitation the rights to use, copy, modify, merge, publish,distribute, sublicense, and/or sell copies of the Software, and topermit persons to whom the Software is furnished to do so, subject tothe following conditions:

The above copyright notice and this permission notice shall beincluded in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OFMERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE ANDNONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BELIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTIONOF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTIONWITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

================================================================================

* when *

Open Source Initiative OSI - The MIT License

http://www.opensource.org/licenses/mit-license.php

Permission is hereby granted, free of charge, to any person obtaininga copy of this software and associated documentation files（the"Software"）, to deal in the Software without restriction, includingwithout limitation the rights to use, copy, modify, merge, publish,distribute, sublicense, and/or sell copies of the Software, and topermit persons to whom the Software is furnished to do so, subject tothe following conditions:

The above copyright notice and this permission notice shall beincluded in all copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND,EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OFMERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE ANDNONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BELIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTIONOF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTIONWITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.================================================================================

CDO へのサインイン

Cisco Defense Orchestrator（CDO）にログインするには、SAML 2.0 準拠の ID プロバイダー（IdP）、多要素認証プロバイダー、および CDO のユーザーレコードを持つアカウントが必要です。

IdP アカウントにはユーザーのログイン情報が含まれており、IdP はそのログイン情報に基づいてユーザーを認証します。多要素認証では、アイデンティティセキュリティの付加的なレイヤが提供されます。CDO ユーザーレコードには、主にユーザー名、ユーザーが関連付けられる CDO テナント、ユーザーのロールが含まれます。ユーザーがログインすると、CDO は IdP のユーザー ID を CDO のテナントの既存ユーザーレコードにマッピングします。CDO が一致するレコードを見つけた場合に、該当するユーザーはそのテナントへのログインを許可されます。

お客様の企業に独自のシングルサインオン ID プロバイダーがない限り、ID プロバイダーは Cisco Security Cloud Sign On です。Cisco Security Cloud Sign On は、多要素認証に Duo を使用します。顧客は、必要に応じて自分の IdP を CDO と統合できます。

CDO にログインするには、まず Cisco Security Cloud Sign On でアカウントを作成し、Duo Security を使用して多要素認証（MFA）を設定し、テナントのネットワーク管理者に CDO レコードの作成を依頼する必要があります。

2019 年 10 月 14 日、CDO は、既存のすべてのテナントを、ID プロバイダーとして Cisco Security Cloud Sign On を使用し、MFA に Duo を使用するように変換しました。

（注）

独自のシングルサインオン ID プロバイダーを使用して CDO にサインインする場合、この Cisco Security Cloud Sign On への移行は影響しません。独自のサインオンソリューションを引き続き使用できます。
CDO の無料試用期間中であれば、この移行の影響はあります。

CDO テナントが 2019 年 10 月 14 日以降に作成された場合は、新規 CDO テナントへの初回ログインを参照してください。

2019 年 10 月 14 日より前に CDO テナントが存在していた場合は、Cisco Security Cloud Sign On ID プロバイダーへの移行を参照してください。

新規 CDO テナントへの初回ログイン

Cisco Defense Orchestrator（CDO）は、Cisco Security Cloud Sign On を ID プロバイダーとして使用し、Duo を多要素認証（MFA）に使用します。CDO にログインするには、まず Cisco Secure Sign-On でアカウントを作成し、Duo を使用して MFA を設定する必要があります。

v には MFA が必要です。MFA は、ユーザーアイデンティティを保護するためのセキュリティを強化します。MFA の一種である二要素認証では、CDO にログインするユーザーの ID を確認するために、2 つのコンポーネントまたは要素が必要です。最初の要素はユーザー名とパスワードで、2 番目の要素はオンデマンドで生成されるワンタイムパスワード（OTP）です。

重要	2019 年 10 月 14 日より前に CDO テナントが存在していた場合は、この項目の代わりにCisco Security Cloud Sign On ID プロバイダーへの移行をログイン手順として使用してください。

はじめる前に

Duo Security のインストール。Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。

時刻の同期。モバイルデバイスを使用してワンタイムパスワードを生成します。OTP は時間ベースであるため、デバイスのクロックがリアルタイムと同期していることが重要です。デバイスのクロックが自動的に、または手動で正しい時刻に設定されていることを確認します。

次の手順

新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定に進みます。これは 4 段階のプロセスです。4 段階すべてを完了する必要があります。

ログインの失敗のトラブルシューティング

正しくない CDO リージョンに誤ってログインしているため、ログインに失敗する

適切な CDO リージョンにログインしていることを確認してください。https://sign-on.security.cisco.com にログインすると、アクセスするリージョンを選択できます。[CDO] タイルをクリックして defenseorchestrator.com にアクセスするか、[CDO（EU）] をクリックして defenseorchestrator.eu にアクセスします。

Cisco Security Cloud Sign On ID プロバイダーへの移行

2019 年 10 月 14 日時点で、Cisco Defense Orchestrator（CDO）では、すべてのテナントが ID プロバイダーとして Cisco Security Cloud Sign On に変換されており、多要素認証（MFA）には Duo を使用しています。CDO にログインするには、まず Cisco Secure Sign-On でアカウントをアクティブ化し、Duo を使用して MFA を設定する必要があります。

CDO には MFA が必要です。MFA は、ユーザーアイデンティティを保護するためのセキュリティを強化します。MFA の一種である二要素認証では、CDO にログインするユーザーの ID を確認するために、2 つのコンポーネントまたは要素が必要です。最初の要素はユーザー名とパスワードで、2 番目の要素はオンデマンドで生成されるワンタイムパスワード（OTP）です。

（注）

独自のシングルサインオン ID プロバイダーを使用して CDO にサインインする場合、この Cisco Security Cloud Sign On および Duo への移行は影響しません。独自のサインオンソリューションを引き続き使用できます。
CDO の無料トライアル期間中であれば、この移行が適用されます。
2019 年 10 月 14 日以降に CDO テナントが作成されていた場合は、この項目の代わりに新規 CDO テナントへの初回ログインをログイン手順として使用してください。

はじめる前に

移行する前に、次の手順を実行することを強くお勧めします。

Duo Security のインストール。Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。
時刻の同期。モバイルデバイスを使用してワンタイムパスワードを生成します。OTP は時間ベースであるため、デバイスのクロックがリアルタイムと同期していることが重要です。デバイスのクロックが自動的に、または手動で正しい時刻に設定されていることを確認します。
新しい Cisco Secure Sign-On アカウントを作成し、Duo 多要素認証を設定します。これは 4 段階のプロセスです。4 段階すべてを完了する必要があります。

移行後のログイン失敗のトラブルシューティング

ユーザー名またはパスワードが正しくないため、CDO へのログインに失敗する

解決法 CDO にログインしようとして、正しいユーザー名とパスワードを使用しているにもかかわらずログインに失敗する場合、または「パスワードを忘れた場合」を試しても有効なパスワードを回復できない場合は、新しい Cisco Security Cloud Sign On アカウントを作成せずにログインを試みた可能性があります。新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定の手順に従って、新しい Cisco Security Cloud Sign On アカウントにサインアップする必要があります。

Cisco Security Cloud Sign On ダッシュボードへのログインは成功するが、CDO を起動できない

解決法 CDO テナントとは異なるユーザー名で Cisco Security Cloud Sign On アカウントを作成している可能性があります。CDO と Cisco Secure Sign-On の間でユーザー情報を標準化するには、Cisco Technical Assistance Center（TAC）に連絡してください。

保存したブックマークを使用したログインに失敗する

解決法 ブラウザに保存された古いブックマークを使用してログインしようとしているかもしれません。ブックマークが https://cdo.onelogin.com を指している可能性があります。

解決法 https://sign-on.security.cisco.com にログインします。

解決法 Cisco Secure Sign-On アカウントをまだ作成していない場合は、アカウントを作成します。
解決法 新しいアカウントを作成した場合は、Cisco Defense Orchestrator（米国）、Cisco Defense Orchestrator（EU）、または Cisco Defense Orchestrator（APJC）に対応するダッシュボードの CDO タイルをクリックします。
解決法 https://sign-on.security.cisco.com を指すようにブックマークを更新します。

Cisco Security Cloud Sign On ダッシュボードからの CDO の起動

手順

ステップ 1

Cisco Security Cloud Sign On ダッシュボードで適切な [CDO] ボタンをクリックします。[CDO] タイルをクリックすると https://defenseorchestrator.com に移動し、[CDO（EU）] タイルをクリックすると https://defenseorchestrator.eu に移動します

ステップ 2

両方のオーセンティケータを設定している場合は、オーセンティケータのロゴをクリックして [Duo Security] か [Google Authenticator] を選択します。

既存のテナントにすでにユーザーレコードがある場合は、そのテナントにログインします。
複数のポータルにすでにユーザーレコードがある場合は、接続するポータルを選択できます。
すでに複数のテナントにユーザーレコードがある場合は、接続先の CDO テナントを選択できます。
既存のテナントにユーザーレコードがない場合は、CDO の詳細を確認するか、またはトライアルテナントを要求できます。

[ポータル（Portals）] ビューは、複数のテナントから統合された情報を取得して表示します。詳細については、マルチテナントポータルの管理を参照してください。

[テナント（Tenant）] ビューには、ユーザーレコードがある一部のテナントが表示されます。

テナントのネットワーク管理者の管理

テナントのネットワーク管理者の数を制限することを、ベストプラクティスとしてお勧めします。ネットワーク管理者権限を持つユーザーを決定し、[ユーザー管理（User Management）] を確認して、他のユーザーの役割を「管理者」に変更します。

CDO でサポートされるソフトウェアとハードウェア

CDO のドキュメントでは、サポートするソフトウェアとデバイスについて説明しています。CDO がサポートしていないソフトウェアやデバイスについては触れていません。ソフトウェアのバージョンまたはデバイスタイプのサポートを明示的に記載していない場合、それはサポートされません。

クラウドデバイスのサポートの詳細

次の表で、クラウドベースのデバイスのソフトウェアとデバイスタイプのサポートについて説明します。次の表の関連リンクで、デバイスタイプのオンボーディングと機能や特長に関する詳細な情報を確認してください。


デバイスタイプ	注記
Meraki セキュリティアプライアンス MX シリーズ Meraki テンプレート	Meraki MX デバイスと Meraki ダッシュボードは、Meraki クラウド経由で定期的にソフトウェアアップデートを受信します。 CDO は、Meraki ダッシュボードの最新バージョンと連携して、Meraki MX デバイスによって適用されるレイヤ 3 ネットワークルールを管理します。詳細については、「」を参照してください。 MX デバイスを CDO にオンボーディングする前に、Meraki ダッシュボードに登録するか、テンプレートを作成する必要があります。
Google Cloud Platform	Google Cloud Platform（GCP）は、GCP コンソールを介して更新を受信します。プラットフォームと利用可能なサービスの詳細については、Google Cloud のドキュメントを参照してください。参照先
Microsoft Azure	Azure は、Azure コンソールを介して更新を受信します。プラットフォームと利用可能なサービスの詳細については、Azure のドキュメントを参照してください。

ブラウザサポート

CDO は、次のブラウザの最新バージョンをサポートしています。

Google Chrome
Mozilla Firefox

Cisco Defense Orchestrator プラットフォームのメンテナンススケジュール

Cisco Defense Orchestrator のメンテナンススケジュール

CDO は、新機能と品質の改善により、プラットフォームを毎週更新します。更新は、このスケジュールに従って 3 時間以内に行うことができます。

ほとんどの場合、更新は木曜日に完了しますが、必要に応じて金曜日と日曜日のメンテナンス期間が使用されます。

表 1. CDO メンテナンススケジュール
曜日（Day of the Week）	時刻（24 時間制）
Thursday	09:00 UTC - 12:00 UTC
Friday	09:00 UTC - 12:00 UTC
Sunday	09:00 UTC - 12:00 UTC

このメンテナンス期間中、テナントには引き続きアクセスでき、クラウド提供型 Firewall Management Center がある場合はそのプラットフォームにもアクセスできます。さらに、CDO にオンボーディングしたデバイスは、引き続きセキュリティポリシーを適用します。

（注）

メンテナンス期間中は、管理対象のデバイスに構成の変更を展開するために CDO を使用しないことをお勧めします。

CDO またはクラウド提供型 Firewall Management Center の通信を停止する障害が発生した場合、その障害は、メンテナンス期間外であっても、影響を受けるすべてのテナントで可能な限り迅速に対処されます。

クラウド提供型 Firewall Management Center のメンテナンススケジュール

テナントにクラウド提供型 Firewall Management Center をデプロイしているお客様には、CDO でクラウド提供型 Firewall Management Center 環境が更新される約 1 週間前に通知されます。テナントのスーパー管理者および管理者ユーザーにメールで通知されます。CDO は、ホームページにバナーを表示して、今後の更新をすべてのユーザーに通知します。

テナントの更新には最大 1 時間かかる場合があり、テナントのリージョンに割り当てられたメンテナンス日の 3 時間のメンテナンス期間内に行われます。テナントが更新されている間、クラウド提供型 Firewall Management Center 環境にアクセスすることはできませんが、CDO の残りの環境には引き続きアクセスできます。

表 2. クラウド提供型 Firewall Management Center のメンテナンススケジュール
曜日（Day of the Week）	時刻（24 時間制）	地域
Wednesday	04:00 UTC - 07:00 UTC	ヨーロッパ、中東、アフリカ（EMEA）
Wednesday	17:00 UTC - 20:00 UTC	アジア太平洋日本（APJ）
Thursday	09:00 UTC - 12:00 UTC	南・北・中央アメリカ

テナント管理

Cisco Defense Orchestrator（CDO）を使用すると、[設定（Settings）] ページでテナントおよび個々のユーザーアカウントの特定の側面をカスタマイズできます。CDO メニューバーから、左側のナビゲーションパネルで [設定（Settings）] をクリックします。

全般設定

右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。

一般的な CDO 設定に関する次のトピックを参照してください。

ユーザー設定
マイトークン（My Tokens）については、API トークンを参照してください。
[テナント設定（Tenant Settings）] については、以下を参照してください。

ユーザー設定

CDO UI で表示する言語を選択します。この選択は、この変更を行うユーザーにのみ影響します。

マイトークン

詳細については、「API トークン」を参照してください。

テナント設定

変更リクエストのトラッキングの有効化

変更要求トラッキングの有効化は、テナントのすべてのユーザーに影響を及ぼします。変更要求トラッキングを有効にするには、次の手順に従います。

手順

ステップ 1

右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。

ステップ 2

[General] タブをクリックします。

ステップ 3

[変更要求トラッキング（Change Request Tracking）] の下のスライダをクリックします。

確認が完了すると、インターフェイスの左下隅と、[変更ログ（Change Log）] の [変更要求（Change Request）] ドロップダウンメニューに、[変更要求（Change Request）] ツールバーが表示されます。

シスコサポートによるテナントの表示の防止

シスコサポートは、ユーザーをテナントに関連付けて、サポートチケットを解決したり、複数の顧客に影響する問題を積極的に修正したりします。ただし、必要に応じて、アカウント設定を変更して、シスコサポートがテナントにアクセスしないようにすることができます。これを行うには、[シスコサポートがこのテナントを表示できないようにする（Prevent Cisco support from viewing this tenant）] の下にあるボタンをスライドして、緑色のチェックマークを表示します。

Cisco サポートにテナントを表示させないようにするには、次の手順に従います。

手順

ステップ 1	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 2	[General] タブをクリックします。
ステップ 3	[シスコサポートがこのテナントを表示できないようにする（Prevent Cisco support from viewing this tenant）] の下のスライダをクリックします。

デバイスの変更を自動承認するオプションの有効化

デバイスの変更の自動承認を有効にすると、Defense Orchestrator はデバイスで直接行われた変更を自動的に承認できます。このオプションを無効のままにするか、後で無効にする場合は、変更を承認する前に各デバイスの競合を確認する必要があります。

デバイスの変更の自動承認を有効にするには、次の手順に従います。

手順

ステップ 1	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 2	[General] タブをクリックします。
ステップ 3	[デバイスの変更を自動承認するオプションの有効化（Enable the Option to Auto-accept Device Changes）] の下にあるスライダをクリックします。

デフォルトの競合検出間隔

この間隔で、CDO がオンボーディングされたデバイスの変更をポーリングする頻度が決まります。この選択は、このテナントで管理されるすべてのデバイスに影響し、いつでも変更できます。

（注）

この選択は、1 つまたは複数のデバイスを選択した後、[インベントリ] ページから利用できる [競合検出] オプションを介してオーバーライドできます。

このオプションを設定し、競合検出の新しい間隔を選択するには、次の手順に従います。

手順

ステップ 1	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 2	[全般設定（General Settings）] タブをクリックします。
ステップ 3	[デフォルトの競合検出間隔（Default Conflict Detection Interval）] のドロップダウンメニューをクリックし、時間の値を選択します。

自動展開をスケジュールするオプションを有効にする

自動展開をスケジュールするオプションを有効にすると、都合のよい日時に将来の展開をスケジュールできます。有効にすると、一回限りまたは繰り返しの自動展開をスケジュールできます。自動展開をスケジュールするには、「自動展開のスケジュール」を参照してください。

デバイスの CDO で行われた変更は、デバイス自体に保留中の変更がある場合、デバイスに自動的に展開されないことに注意してください。デバイスが [競合検出（Conflict Detected）] または [非同期（Not Synced）] など、[同期（Synced）] 状態でない場合、スケジュールされた展開は実行されません。[ジョブ（Jobs）] ページには、スケジュールされた展開が失敗したインスタンスが一覧表示されます。

[自動展開をスケジュールするオプションを有効にする（Enable the Option to Schedule Automatic Deployments）] をオフにすると、スケジュールされたすべての展開が削除されます。

重要	CDO を使用して、スケジュールされた展開をデバイスに対して複数作成する場合、新しい展開によって既存の展開が上書きされます。API を使用してデバイスのスケジュールされた展開を複数作成する場合は、新しい展開をスケジュールする前に、既存の展開を削除する必要があります。

自動展開をスケジュールするオプションを有効にするには、次の手順に従います。

手順

ステップ 1	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 2	[全般設定（General Settings）] タブをクリックします。
ステップ 3	[自動展開をスケジュールするオプションを有効にする（Enable the Option to Schedule Automatic Deployments）] の下のスライダをクリックします。

Web 分析

Web 分析により、ページのヒット数に基づく匿名の製品使用情報がシスコに提供されます。情報には、表示したページ、ページで費やした時間、ブラウザのバージョン、製品バージョン、デバイスのホスト名などが含まれます。この情報は、シスコが機能の使用状況パターンを確認し、製品を改善するのに使用されます。すべての使用状況データは匿名で、センシティブデータは送信されません。

Web 分析はデフォルトで有効になっています。Web 分析を無効にしたり、その後に有効にするには、次の手順を実行します。

手順

ステップ 1	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 2	[全般設定（General Settings）] タブをクリックします。
ステップ 3	[Web分析（Web Analytics）] の下にあるスライダをクリックします。

テナント ID

テナント ID によってテナントが識別されます。この情報は、Cisco Technical Assistance Center（TAC）に連絡する必要があるときに役立ちます。

テナント名

テナント名は、テナントも識別します。テナント名は組織名ではないことに注意してください。この情報は、Cisco Technical Assistance Center（TAC）に連絡する必要があるときに役立ちます。

通知設定

テナントに関連付けられたデバイスで特定のアクションが発生するたびに、CDO から電子メール通知を受け取るように登録できます。それらの通知はテナントに関連付けられたすべてのデバイスに適用されますが、すべてのデバイスタイプが使用可能なすべてのオプションをサポートしているわけではありません。また、以下にリストされている CDO 通知に加えられた変更は、リアルタイムで自動的に更新され、展開を必要としないことに注意してください。

CDO からの電子メール通知には、アクションのタイプと影響を受けるデバイスが示されます。デバイスの現在の状態とアクションの内容の詳細については、CDO にログインし、影響を受けるデバイスの変更ログを調べることをお勧めします。

左側のナビゲーションバーから、[設定（Settings）] > [通知設定（Notification Settings）]の順にクリックします。

デバイスワークフローのアラートの送信

（注）

これらの設定を変更するか、手動で通知を登録するには、ネットワーク管理者ユーザーロールが必要です。詳細については、「ユーザーロール」を参照してください。

通知が必要なすべてのデバイスワークフローシナリオを必ず確認してください。次のいずれかのアクションについて手動で確認します。

[展開（Deployments）]：このアクションは、SSH または IOS デバイスの統合インスタンスを含みません。
[バックアップ（Backups）]：このアクションは FDM による管理デバイスにのみ適用されます。
[アップグレード（Upgrades）]：このアクションは、ASA および FDM による管理デバイスにのみ適用されます。
[クラウドへのFTDの移行（Migrate to Cloud）]：このアクションは、 FTD の変更時に適用可能です。
デバイスマネージャを FMC から CDO に変更すると適用されます。

デバイスイベントのアラートの送信

（注）

これらの設定を変更するか、手動で通知を登録するには、ネットワーク管理者ユーザーロールが必要です。詳細については、「ユーザーロール」を参照してください。

通知が必要なすべてのデバイスワークフローシナリオを必ず確認してください。次のいずれかのアクションについて手動で確認します。

[オフラインになる（Went offline）]：このアクションは、テナントに関連付けられているすべてのデバイスに適用されます。
[オンラインに戻る（Back online）]：このアクションは、テナントに関連付けられているすべてのデバイスに適用されます。
[競合検出（Conflict detected）]：このアクションは、テナントに関連付けられているすべてのデバイスに適用されます。

バックグラウンドログ検索のアラートの送信

これらの設定を変更するか、手動で通知を登録するには、ネットワーク管理者ユーザーロールが必要です。詳細については、「ユーザーロール」を参照してください。

テナントにログインしている誰かがバックグラウンド検索を作成したときに送信されるアラートを取得します。通知が必要なすべてのデバイスワークフローシナリオを必ず確認してください。次のいずれかのアクションについて手動で確認します。

[検索開始（Search started）]：検索が開始されたときに通知を受信します。これは、即時検索とスケジュール済み検索の両方に適用されます。
[検索完了（Search completed）]：検索が終了したときに通知を受信します。これは、即時検索とスケジュール済み検索の両方に適用されます。
[検索失敗（Search failed）]：検索が失敗したときに通知を受信します。これは、即時検索とスケジュール済み検索の両方に適用されます。パラメータまたはクエリを確認して、再試行してください。

サブスクライバ

[アラートを受信するために登録（Subscribe to receive alerts）] トグルを有効にして、テナントログインに関連付けられた電子メールを通知リストに追加します。メーラーリストからメールを削除するには、トグルの選択を解除してグレー表示にします。

特定のユーザーロールは、この設定ページのサブスクリプションアクションへのアクセスが制限されていることに注意してください。ネットワーク管理者ユーザーロールを持つユーザーは、電子メールエントリを追加または削除できます。自分以外のユーザーまたは代替の電子メール連絡先を登録済みユーザーのリストに追加するには、をクリックして電子メールを手動で入力します。

警告	ユーザーを手動で追加する場合は、正しい電子メールを入力してください。CDO は、テナントに関連付けられている既知のユーザーに対して電子メールアドレスをチェックしません。

CDO 通知の表示

通知アイコンをクリックして、テナントで発生した最新のアラートを表示します。CDO の通知は、30 日後に通知リストから削除されます。

（注）

[アラートの送信時期（Send Alerts When）] セクションでの選択は、CDO に表示される通知のタイプに影響します。

サービス統合

メッセージングアプリで着信ウェブフックを有効にし、アプリダッシュボードで直接 CDO 通知を受信します。CDO でこのオプションを有効にするには、選択したアプリで着信ウェブフックを手動で許可し、ウェブフック URL を取得する必要があります。詳細については、「CDO 通知のサービス統合の有効化」を参照してください。

CDO 通知用サービス統合の有効化

サービス統合を有効にして、指定されたメッセージングアプリケーションまたはサービスを介して CDO 通知を転送します。通知を受信するには、メッセージングアプリケーションから Webhook URL を生成し、CDO の [通知設定（Notification Settings）] ページでその Webhook を CDO に指定する必要があります。

CDO は、サービス統合として Cisco Webex と Slack をネイティブにサポートしています。これらのサービスに送信されるメッセージは、チャネルと自動ボット用に特別にフォーマットされています。

（注）

[通知設定（Notification Settings）] ページで選択した通知は、メッセージングアプリケーションに転送されるイベントです。

Webex チームの着信ウェブフック

始める前に

CDO 通知は、指定されたワークスペースに表示されるか、自動ボットとしてプライベートメッセージに表示されます。Webex Teams がウェブフックを処理する方法の詳細については、『Webex for Developers』を参照してください。

次の手順を使用して、Webex Teams の着信ウェブフックを許可します。

手順

ステップ 1	Webex Teams アプリケーションを開きます。
ステップ 2	ウィンドウの左下隅にある [アプリ（Apps）] アイコンをクリックします。このアクションにより、推奨ブラウザの新しいタブで Cisco Webex App Hub が開きます。
ステップ 3	検索バーを使用して、[着信ウェブフック（Incoming Webhooks）] を探します。
ステップ 4	[接続（Connect）] を選択します。このアクションにより、OAuth 承認が開かれ、アプリケーションが新しいタブに表示されるようになります。
ステップ 5	[許可（Accept）] を選択します。タブが自動的にアプリケーションの設定ページにリダイレクトされます。
ステップ 6	次を設定します。 [ウェブフック名（Webhook name）]：このアプリケーションによって提供されるメッセージを識別するための名前を指定します。 [スペースの選択（Select a space）]：ドロップダウンメニューを使用して [スペース（Space）] を選択します。スペースは Webex Teams に既に存在している必要があります。スペースが存在しない場合は、Webex Teams で新しいスペースを作成できます。アプリケーションの設定ページを更新すると新しいスペースが表示されます。
ステップ 7	[追加（Add）] を選択します。選択した Webex スペースに、アプリケーションが追加されたという通知が送信されます。
ステップ 8	ウェブフック URL をコピーします。
ステップ 9	CDO にログインします。
ステップ 10	左側のナビゲーションバーから、[設定（Settings）] > [通知設定（Notification Settings）]の順にクリックします。
ステップ 11	[サービス統合（Service Integrations）] までスクロールします。
ステップ 12	青色のプラスボタンをクリックします。
ステップ 13	名前を入力します。この名前は、設定されたサービス統合として CDO に表示されます。設定されたサービスに転送されるイベントには表示されません。
ステップ 14	ドロップダウンメニューを展開し、サービスタイプとして Webex を選択します。
ステップ 15	サービスから生成したウェブフック URL を貼り付けます。
ステップ 16	[OK] をクリックします。

Slack 用の着信ウェブフック

CDO 通知は、指定されたチャネルに表示されるか、自動ボットとしてプライベートメッセージに表示されます。Slack による着信ウェブフックの処理方法の詳細については、「Slack Apps」を参照してください。

次の手順を使用して、Slack の着信ウェブフックを許可します。

手順

ステップ 1	Slack アカウントにログインします。
ステップ 2	左側のパネルで、一番下までスクロールして [アプリの追加（Add Apps）] を選択します。
ステップ 3	[着信ウェブフック（Incoming Webhooks）] のアプリケーションディレクトリを検索し、アプリを見つけます。[追加（Add）] を選択します。
ステップ 4	Slack ワークスペースの管理者ではない場合、組織の管理者にリクエストを送信し、アプリが自分のアカウントに追加されるのを待つ必要があります。[設定のリクエスト（Request Configuration）] を選択します。オプションのメッセージを入力し、[リクエストの送信] を選択します。
ステップ 5	ワークスペースで着信ウェブフックアプリが有効になったら、Slack の設定ページを更新し、[新しいウェブフックをワークスペースに追加（Add New Webhook to Workspace）] を選択します。
ステップ 6	ドロップダウンメニューを使用して、CDO 通知を表示する Slack チャネルを選択し、[承認（Authorize）] を選択します。リクエストが有効になるのを待っている間にこのページから移動した場合は、Slack にログインして、左上隅にあるワークスペース名を選択します。ドロップダウンメニューから [ワークスペースのカスタマイズ（Customize Workspace）] を選択し、[アプリの設定（Configure Apps）] を選択します。[管理（Manage）] > [カスタム統合（Custom Integrations）] に移動します。[着信ウェブフック（Incoming Webhooks）] を選択してアプリのランディングページを開き、タブから [設定（Settings）] を選択します。このアプリが有効になっているワークスペース内のすべてのユーザーが一覧表示されます。ユーザーはアカウントの設定の表示と編集のみできます。ワークスペース名を選択して設定を編集し、次に進みます。
ステップ 7	Slack の設定ページから、アプリの設定ページにリダイレクトされます。ウェブフック URL を見つけてコピーします。
ステップ 8	CDO にログインします。
ステップ 9	左側のナビゲーションバーから、[設定（Settings）] > [通知設定（Notification Settings）]の順にクリックします。
ステップ 10	[サービス統合（Service Integrations）] までスクロールします。
ステップ 11	青色のプラスボタンをクリックします。
ステップ 12	名前を入力します。この名前は、設定されたサービス統合として CDO に表示されます。設定されたサービスに転送されるイベントには表示されません。
ステップ 13	ドロップダウンメニューを展開し、サービスタイプとして [Slack] を選択します。
ステップ 14	サービスから生成したウェブフック URL を貼り付けます。
ステップ 15	[OK] をクリックします。

カスタム統合用の着信ウェブフック

始める前に

CDO は、カスタム統合用にメッセージをフォーマットしません。カスタムサービスまたはアプリケーションの統合を選択した場合、CDO は JSON メッセージを送信します。

着信ウェブフックを有効にしてウェブフック URL を生成する方法については、サービスのマニュアルを参照してください。ウェブフック URL を取得したら、以下の手順を使用してウェブフックを有効にします。

手順

ステップ 1	選択したカスタムサービスまたはアプリケーションからウェブフック URL を生成してコピーします。
ステップ 2	CDO にログインします。
ステップ 3	左側のナビゲーションバーから、[設定（Settings）] > [通知設定（Notification Settings）]の順にクリックします。
ステップ 4	[サービス統合（Service Integrations）] までスクロールします。
ステップ 5	青色のプラスボタンをクリックします。
ステップ 6	名前を入力します。この名前は、設定されたサービス統合として CDO に表示されます。設定されたサービスに転送されるイベントには表示されません。
ステップ 7	ドロップダウンメニューを展開し、[サービスタイプ（Service Type）] として [カスタム（Custom）] を選択します。
ステップ 8	サービスから生成したウェブフック URL を貼り付けます。
ステップ 9	[OK] をクリックします。

ロギングの設定

毎月のイベントロギングの制限と、制限がリセットされるまでの残り日数を表示します。保存されたロギングは、Cisco Cloud が受信した圧縮されたイベントデータを表すことに注意してください。

[使用履歴の表示（View Historical Usage）] をクリックして、過去 12 か月間にテナントで受信されたすべてのロギングを表示します。

追加のストレージをリクエストするために使用できるリンクもあります。

SAML シングルサインオンと Cisco Defense Orchestrator の統合

Cisco Defense Orchestrator（CDO）は、Cisco Secure Sign-On を SAML シングルサインオンアイデンティティプロバイダー（IdP）として使用し、多要素認証（MFA）に Duo Security を使用します。これは、CDO で推奨される認証方法です。

ただし、顧客が独自の SAML シングルサインオン IdP ソリューションと CDO を統合したい場合、IdP が SAML 2.0 および ID プロバイダーが開始するワークフローをサポートしている限り、それも可能です。

独自の SAML ソリューションを CDO と統合するには、サポートに連絡してケースを作成する必要があります。手順については、『Cisco Security Cloud Sign On Identity Provider Integration Guide』を参照してください。

注目	ケースを開く場合は、[テクノロジーを手動で選択（Manually Select A Technology）] を選択し、リクエストが適切なチームに到達するように [SecureX - サインオンと管理（SecureX - Sign-on and Administration）] を選択していることを確認してください。

SSO 証明書の更新

通常、ID プロバイダー（IdP）は SecureX SSO と統合されています。Cisco TAC ケースを開き、metadata.xml ファイルを提供します。詳細については、『Cisco SecureX Sign-On Third-Party Identity Provider Integration Guide』を参照してください。

注目	ケースを開く場合は、[テクノロジーを手動で選択（Manually Select A Technology）] を選択し、リクエストが適切なチームに到達するように [SecureX - サインオンと管理（SecureX - Sign-on and Administration）] を選択していることを確認してください。

（レガシーのみ）アイデンティティプロバイダー（IdP）が CDO と直接統合されている場合は、CDO TAC でサポートチケットを開き、metadata.xml ファイルを提供します。

（注）

IdP を CDO と直接統合するのではなく、SecureX SSO と統合することを強くお勧めします。

API トークン

開発者は、CDO REST API 呼び出しを行うときに CDO API トークンを使用します。呼び出しを成功させるには、API トークンを REST API 認証ヘッダーに挿入する必要があります。API トークンは、有効期限のない「長期的な」アクセストークンですが、更新したり、取り消したりできます。

CDO 内から API トークンを生成できます。生成されたトークンは、生成直後に、[一般設定（General Settings）] ページが開いている間のみ表示されます。CDO で別のページを開いてから [一般設定（General Settings）] ページに戻ると、トークンが発行されたことはわかりますが、トークンは表示されなくなります。

個々のユーザーは、特定のテナントに対して独自のトークンを作成できます。あるユーザーが別のユーザーに代わってトークンを生成することはできません。トークンはアカウントとテナントのペアに固有であり、他のユーザーとテナントの組み合わせには使用できません。

API トークン形式とクレーム

API トークンは JSON Web トークン（JWT）です。JWT トークン形式の詳細については、「Introduction to JSON Web Tokens」を参照してください。

CDO API トークンは、次の一連のクレームを提供します。

id：ユーザー/デバイス uid
parentId：テナント uid
ver：公開キーのバージョン（初期バージョンは 0、例：cdo_jwt_sig_pub_key.0）
subscriptions：Security Services Exchange サブスクリプション（任意）
client_id：「api-client」
jti：トークン id

トークンの管理

API トークンの生成

手順

ステップ 1	左側のナビゲーションバーから、[設定（Settings）] > [一般設定（General Settings）]の順にクリックします。
ステップ 2	[マイトークン（My Tokens）] で、[API トークンの生成（Generate API Token）] をクリックします。
ステップ 3	機密データを維持するための企業のベストプラクティスに従って、トークンを安全な場所に保存します。

API トークンの確認

API トークンに有効期限はありませんが、ユーザーは、トークンが紛失した場合、侵害された場合、または企業のセキュリティガイドラインに準拠させる場合、API トークンの更新を選択できます。

手順

ステップ 1	左側のナビゲーションバーで、[設定（Settings）] > [全般設定（General Settings）] をクリックします。
ステップ 2	[マイトークン（My Tokens）] で、[更新（Renew）] をクリックします。CDO は新しいトークンを生成します。
ステップ 3	機密データを維持するための企業のベストプラクティスに従って、新しいトークンを安全な場所に保存します。

API トークンの取り消し

手順

ステップ 1	左側のナビゲーションバーで、[設定（Settings）] > [全般設定（General Settings）] をクリックします。
ステップ 2	[マイトークン（My Tokens）] で、[取り消し（Revoke）] をクリックします。CDO はトークンを取り消します。

アイデンティティプロバイダーアカウントと Cisco Defense Orchestrator ユーザーレコードとの関係

Cisco Defense Orchestrator（CDO）にログインするには、SAML 2.0 準拠の ID プロバイダー（IdP）、多要素認証プロバイダー、および CDO のユーザーレコードを持つアカウントが必要です。IdP アカウントにはユーザーのログイン情報が含まれており、IdP はそのログイン情報に基づいてユーザーを認証します。多要素認証では、アイデンティティセキュリティの付加的なレイヤが提供されます。CDO ユーザーレコードには、主にユーザー名、ユーザーが関連付けられる CDO テナント、ユーザーのロールが含まれます。ユーザーがログインすると、CDO は IdP のユーザー ID を CDO のテナントの既存ユーザーレコードにマッピングします。CDO が一致するレコードを見つけた場合に、該当するユーザーはそのテナントへのログインを許可されます。

お客様の企業に独自のシングルサインオン ID プロバイダーがない限り、ID プロバイダーは Cisco Security Cloud Sign On です。Cisco Security Cloud Sign On は、多要素認証に Duo を使用します。顧客は、必要に応じて自分の IdP を CDO と統合できます。

ログインのワークフロー

ここでは、IdP アカウントが、CDO ユーザーにログインするために CDO ユーザーレコードとどのようにやり取りするかについて簡単に説明します。

手順

ステップ 1

ユーザーは、認証のために Cisco Security Cloud Sign On（https://sign-on.security.cisco.com）などの SAML 2.0 準拠のアイデンティティプロバイダー（IdP）にログインして、CDO へのアクセスを要求します。

ステップ 2

IdP は、ユーザーが本物であるという SAML アサーションを発行し、ポータルには、ユーザーがアクセスできるアプリケーション（https://defenseorchestrator.com や https://defenseorchestrator.eu、https://www.apj.cdo.cisco.com/ を表すタイルなど）が表示されます。

ステップ 3

CDO は SAML アサーションを検証し、ユーザー名を抽出して、そのユーザー名に対応するテナントの中からユーザーレコードを見つけようとします。

ユーザーが CDO 上の 1 つのテナントにユーザーレコードを持っている場合、CDO はそのユーザーにテナントへのアクセスを許可し、ユーザーロールによって実行できるアクションが決まります。
ユーザーが複数のテナントにユーザーレコードを持っている場合、CDO は認証されたユーザーに、選択できるテナントのリストを提示します。ユーザーがテナントを選択すると、テナントへのアクセスが許可されます。その特定のテナントでのユーザーロールによって、実行できるアクションが決まります。
認証されたユーザーとテナントのユーザーレコードとのマッピングが CDO にない場合、CDO はランディングページを表示して、ユーザーに CDO の詳細を確認したり、無料試用版をリクエストしたりする機会を提供します。

CDO でユーザーレコードを作成しても IdP にアカウントは作成されず、IdP でアカウントを作成しても CDO にユーザーレコードは作成されません。

同様に、IdP のアカウントを削除しても、CDO からユーザーレコードを削除したことにはなりません。ただし、IdP アカウントがないと、CDO に対してユーザーを認証する方法はありません。CDO ユーザーレコードの削除は、IdP アカウントを削除したことを意味するものではありません。ただし、CDO ユーザーレコードがなければ、認証されたユーザーが CDO テナントにアクセスする方法はありません。

このアーキテクチャの影響

Cisco Security Cloud Sign On を使用するお客様

お客様が CDO の Cisco Security Cloud Sign On ID プロバイダーを使用している場合、スーパー管理者は CDO でユーザーレコードを作成でき、ユーザーは CDO に自己登録できます。2 つのユーザー名が一致し、ユーザーが正しく認証されている場合、ユーザーは CDO にログインできます。

ユーザーが CDO にアクセスできないようにする必要がある場合は、スーパー管理者が CDO ユーザーのユーザーレコードを削除するだけで済みます。Cisco Security Cloud Sign On アカウントは引き続き存在し、スーパー管理者がユーザーを復元したい場合は、Cisco Security Cloud Sign On で使用していたものと同じユーザー名で新しい CDO ユーザーレコードを作成することができます。

お客様が CDO の問題に遭遇し、テクニカルアシスタンスセンター（TAC）を呼び出す必要が生じた場合、お客様が TAC エンジニアのユーザーレコードを作成することで、TAC エンジニアがテナントを調査し、お客様に情報と提案を報告できるようになります。

独自のアイデンティティプロバイダーをもつ顧客

独自のアイデンティティプロバイダーを持つお客様は、アイデンティティプロバイダーアカウントと CDO テナントの両方を制御します。このようなお客様は、CDO でアイデンティティプロバイダーのアカウントとユーザーレコードを作成および管理できます。

ユーザーが CDO にアクセスできないようにする必要がある場合は、お客様は IdP アカウント、CDO ユーザーレコード、またはその両方を削除できます。

Cisco TAC からの支援が必要な場合は、お客様は読み取り専用ロールを持つアイデンティティプロバイダーアカウントと CDO ユーザーレコードの両方を、TAC エンジニア用に作成できます。TAC エンジニアは、お客様の CDO テナントにアクセスして調査し、情報と提案をお客様に報告することができます。

シスコマネージドサービスプロバイダー

シスコマネージドサービスプロバイダー（MSP）は、CDO の Cisco Security Cloud Sign On IdP を使用している場合、Cisco Security Cloud Sign On に自己登録できます。MSP のお客様は CDO にそれぞれのユーザーレコードを作成できるため、MSP はお客様のテナントを管理できます。もちろん、お客様は MSP のレコードの削除を完全に制御できます（削除を選択した場合）。

マルチテナントポータルの管理

CDO マルチテナントポータルビューには、複数のテナントにまたがるすべてのデバイスから取得された情報が表示されます。このマルチテナントポータルには、デバイスのステータス、デバイスで実行中のソフトウェアバージョンなどが表示されます。

（注）

マルチテナントポータルから、複数のリージョンにテナントを追加したり、追加したテナントの管理対象デバイスを表示したりできますが、テナントの編集やデバイスの設定はできません。

はじめる前に

マルチテナントポータルは、テナントでこの機能が有効になっている場合にのみ使用できます。テナントでマルチテナントポータルを有効にするには、Cisco TAC でサポートチケットを開きます。サポートチケットが解決され、ポータルが作成されると、ポータルでネットワーク管理者のロールを持つユーザーが、テナントを追加できるようになります。

発生する可能性のある特定のブラウザ関連の問題を回避するために、Web ブラウザからキャッシュと Cookie をクリアすることをお勧めします。

マルチテナントポータル

マルチテナントポータルには、次のメニューが用意されています。

[デバイス（Device）]：

ポータルに追加されたテナントに存在するすべてのデバイスが表示されます。[フィルタ（Filter）] と [検索（Search）] フィールドを使用して、表示するデバイスを検索できます。デバイスをクリックすると、デバイスのステータス、オンボーディング方式、ファイアウォールモード、フェールオーバーモード、ソフトウェアバージョンなどを表示できます。
インターフェイスには、テーブルに表示するデバイスプロパティを選択またはクリアする際に使用できる列ピッカーがあります。「AnyConnect リモートアクセス VPN」を除き、他のすべてのデバイスプロパティがデフォルトで選択されています。テーブルをカスタマイズすると、CDO に次回サインインしたとき、選択した内容が CDO で保持されています。
デバイスをクリックすると、右側にその詳細が表示されます。
ポータルの情報は、コンマ区切り値（CSV）ファイルにエクスポートできます。この情報は、デバイスを分析したり、アクセス権のないユーザーに送信したりするのに役立ちます。データをエクスポートするたびに、CDO では新しい .csv ファイルが作成されます。作成されるファイル名には日付と時刻が含まれます。
デバイスを管理する CDO テナントからのみデバイスを管理できます。マルチテナントポータルには、CDO テナントページに移動するための [デバイスの管理（Manage Devices）] リンクが用意されています。そのテナントのアカウントを持っており、テナントとポータルが同じリージョン内にある場合、デバイスにこのリンクが表示されます。テナントにアクセスする権限がない場合は、[デバイスの管理（Manage Devices）] リンクは表示されません。組織のネットワーク管理者に連絡して許可を得ることができます。

（注）

デバイスを管理しているテナントが別のリージョン内にある場合は、そのリージョンの CDO にサインインするためのリンクが表示されます。そのリージョン内の CDO またはそのリージョン内のテナントにアクセスする権限のない場合は、デバイスを管理できません。

[テナント（Tenants）]：
- ポータルに追加されたテナントが表示されます。
- ネットワーク管理者ユーザーがポータルにテナントを追加できます。
- をクリックすると、CDO テナントのメインページが表示されます。

マルチテナントポータルにテナントを追加する

Super Admin ロールを持つユーザーは、ポータルにテナントを追加できます。複数のリージョンにまたがってテナントを追加できます。たとえば、ヨーロッパリージョンから米国リージョンにテナントを追加したり、米国リージョンからヨーロッパリージョンに追加したりできます。

重要	テナントに API 専用のユーザーを作成し、CDO への認証用に API トークンを生成することをお勧めします。

（注）

ポータルに複数のテナントを追加する場合は、各テナントから API トークンを生成し、テキストファイルに貼り付けます。これにより、複数のテナントをポータルに簡単に追加できます。トークンを生成するために毎回テナントを切り替える必要はありません。

手順

ステップ 1	左側のナビゲーションバーから、[設定（Settings）] > [一般設定（General Settings）] > [マイトークン（My Tokens）]をクリックします。
ステップ 2	[APIトークンを生成（Generate API Token）] をクリックしてコピーします。
ステップ 3	ポータルに移動し、[テナント（Tenants）] タブをクリックします。
ステップ 4	右側のテナント追加ボタンをクリックします。
ステップ 5	トークンを貼り付けて、[保存（Save）] をクリックします。

マルチテナントポータルからのテナントの削除

手順

ステップ 1	ポータルに移動し、[テナント（Tenants）] タブをクリックします。
ステップ 2	右側に表示される対応する削除アイコンをクリックして、必要なテナントを削除します。
ステップ 3	[削除（Remove）] をクリックします。関連付けられたデバイスもポータルから削除されます。

Manage-Tenant ポータルの設定

Cisco Defense Orchestrator（Defense Orchestrator）を使用して、[設定（Settings）] ページのマルチテナントポータルと個々のユーザーアカウントの特定の部分をカスタマイズできます。左側のナビゲーションバーで [設定（Settings）] をクリックして、設定ページにアクセスします。

設定

全般設定

Web 分析により、ページのヒット数に基づく匿名の製品使用情報がシスコに提供されます。情報には、表示したページ、ページで費やした時間、ブラウザのバージョン、製品バージョン、デバイスのホスト名などが含まれます。この情報は、シスコが機能の使用状況パターンを確認し、製品を改善するのに使用されます。すべての使用状況データは匿名で、機密データは送信されません。

Web 分析はデフォルトで有効になっています。Web 分析を無効に、将来的に有効にするには、次の手順に従います。

CDO ダッシュボードから、左側のナビゲーションバーの [設定（Settings）] をクリックします。
[全般設定（General Settings）] をクリックします。
[Web分析（Web Analytics）] の下にあるスライダをクリックします。

[ユーザー管理（User Management）]

マルチテナントポータルに関連付けられているすべてのユーザーレコードは、[ユーザー管理（User Management）] 画面で確認できます。ユーザーアカウントは追加、編集または削除できます。詳細については、「ユーザーの管理」を参照してください。

スイッチテナント

複数のポータルテナントがある場合、CDO からサインアウトせずに、異なるポータルまたはテナント間で切り替えることができます。

手順

ステップ 1	マルチテナントポータルで、右上隅に表示されるテナントメニューをクリックします。
ステップ 2	[スイッチテナント（Switch tenant）] をクリックします。
ステップ 3	表示するポータルまたはテナントを選択します。

Cisco Success Network

Cisco Success Network はユーザ対応のクラウドサービスです。Cisco Success Network を有効にすると、デバイスと Cisco Cloud 間にセキュアな接続が確立され、使用状況に関する情報と統計情報がストリーミングされます。テレメトリをストリーミングすることによって、デバイスからの対象のデータを選択してそれを構造化形式でリモートの管理ステーションに送信するメカニズムが提供されるため、次のメリットが得られます。

ネットワーク内の製品の有効性を向上させるために、利用可能な未使用の機能について通知します。
製品に利用可能な、追加のテクニカルサポートサービスとモニターリングについて通知します。
シスコ製品の改善に役立ちます。

デバイスは常にセキュアな接続を確立および維持し、Cisco Success Network に登録できるようにします。デバイスを登録した後で Cisco Success Network の設定を変更できます。

（注）

脅威に対する防御ハイアベイラビリティペアでは、アクティブデバイスを選択すると、スタンバイデバイスの Cisco Success Network 設定を上書きします。
CDO は Cisco Success Network 設定を管理しません。設定の管理とテレメトリ情報の提供は、Firewall Device Manager ユーザーインターフェイスが行います。

Cisco Success Network の有効化または無効化

システムの初期設定時に、Cisco Smart Software Manager にデバイスを登録するように求められます。登録せずに 90 日間の評価ライセンスを使用する場合、評価期間の終了前にデバイスを登録する必要があります。デバイスを登録するには、（[スマートライセンス（Smart Licensing）] ページで）Cisco Smart Software Manager にデバイスを登録するか、または登録キーを入力して CDO に登録します。

デバイスを登録すると、バーチャルアカウントからデバイスにライセンスが割り当てられます。デバイスを登録すると、有効にしているすべてのオプションライセンスも登録されます。

この接続は、Cisco Success Network を無効にすることでいつでも無効にできますが、このオプションは Firewall Device Manager UI からのみ無効にできます。無効にすると、デバイスがクラウドから切断されます。切断しても更新の受信やスマートライセンス機能の操作には影響せず、正常に動作を継続します。詳細については、『Firepower Device Manager コンフィギュレーションガイド、バージョン 6.4.0 以降』の「システム管理」の章の「Cisco Success Network への接続」セクションを参照してください。

User Management

CDO でユーザーレコードを作成または編集する前に、「アイデンティティプロバイダーアカウントと Defense Orchestrator ユーザーレコードとの関係」を読んで、ID プロバイダー（IdP）アカウントとユーザーレコードがどのように相互作用するかを学習してください。CDO ユーザーは、認証されて CDO テナントにアクセスできるように、CDO レコードと対応する IdP アカウントが必要です。

企業独自の IdP がない限り、Cisco Secure Sign-On はすべての CDO テナントの ID プロバイダーとなります。この記事の残りの部分は、ID プロバイダーとして Cisco Secure Sign-On を使用していることを前提としています。

テナントに関連付けられているすべてのユーザーレコードは、ユーザー管理画面で確認できます。サポートチケットを解決するために一時的にアカウントに関連付けられたシスコサポートエンジニアも対象となります。

テナントに関連付けられているユーザーレコードの表示

手順

左側のナビゲーションウィンドウで、[設定（Settings）] > [ユーザー管理（User Management）]をクリックします。

（注）

シスコのサポートがテナントにアクセスできないようにするには、[一般設定（General Settings）]全般設定ページでアカウント設定を指定します。

ユーザー管理の Active Directory グループ

多数のユーザーが頻繁に入れ替わるテナントの場合、個々のユーザーを CDO に追加する代わりに、CDO を Active Directory（AD）グループにマッピングして、ユーザーリストとユーザーロールをより簡単に管理できます。新しいユーザーの追加や既存のユーザーの削除といったユーザーの変更はすべて、Active Directory で実行できるようになり、CDO で実行する必要がなくなります。

[ユーザー管理（User Management）] ページから AD グループを追加、編集、または削除するには、SuperAdmin ユーザーロールが必要です。詳細については、「ユーザーロール」を参照してください。

[Active Directory グループ（Active Directory Groups）] タブ

[設定（Settings）] ページの [ユーザー管理（User Management）] セクションには、現在 CDO にマッピングされている Active Directory グループのタブがあります。最も重要な点として、このページには、AD マネージャで割り当てられた AD グループのロールが表示されます。

AD グループに含まれているユーザーは、[Active Directory グループ（Active Directory Groups）] タブまたは [ユーザー（Users）] タブに個別に表示されません。

[Audit Logs] タブ

[設定（Settings）] ページの [ユーザー管理（User Management）] セクションには、監査ログのタブがあります。この新しいセクションには、CDO テナントにアクセスしたすべてのユーザーの最終ログイン時刻と、最終ログイン時に保持していた各ユーザーのロールが表示されます。これには、明示的なユーザーログインと AD グループログインの両方が含まれます。

マルチロールユーザー

CDO の IAM 機能が拡張され、ユーザーが複数のロールを持つことができるようになりました。

ユーザーは AD の複数のグループに属している場合があり、それらの各グループは、CDO において異なる CDO ロールで定義できます。ユーザーがログイン時に取得する最終的な権限は、そのユーザーが属している、CDO で定義されているすべての AD グループのロールの組み合わせです。たとえば、ユーザーが 2 つの AD グループに属しており、両方のグループが 2 つの異なるロール（編集専用とデプロイ専用など）で CDO に追加されている場合、ユーザーは編集専用とデプロイ専用の両方の権限を持ちます。これは、任意の数のグループとロールに適用されます。

AD グループのマッピングを CDO で定義する必要があるのは 1 回だけであり、ユーザーのアクセスと権限の管理は、その後、異なるグループ間でユーザーを追加、削除、または移動することによって AD で排他的に実行できます。

（注）

ユーザーが、個別ユーザーであり、かつ同じテナントの AD グループにも属している場合は、個別ユーザーのユーザーロールが AD グループのユーザーロールよりも優先されます。

はじめる前に

AD グループマッピングをユーザー管理形式として CDO に追加する前に、AD を SecureX と統合する必要があります。AD の ID プロバイダー（IdP）がまだ統合されていない場合は、次の操作を実行する必要があります。

Cisco TAC でサポートケースを開き、次の情報を使用してカスタム AD IdP 統合を要求します。
- CDO のテナント名と地域。
- カスタムルーティングを定義するドメイン（例：@cisco.com、@myenterprise.com）。
- .XML 形式の証明書とフェデレーションメタデータ。
AD に次のカスタム SAML 要求を追加します。これらの値では大文字と小文字が区別されます。
- SamlADUserGroupIds：この属性は、ユーザーが AD 上で持つすべてのグループの関連付けを記述します。たとえば、次のスクリーンショットに示すように、Azure で [+グループ要求の追加（+ Add groups claim）] を選択します。
  
  図 1. Active Directory で定義されたカスタム要求
- SamlSourceIdpIssuer：この属性は、AD インスタンスを一意に識別します。たとえば、次のスクリーンショットに示すように、Azure で [+グループ要求の追加（+ Add a group claim）] を選択し、スクロールして Azure AD 識別子を見つけます。
  
  図 2. Azure Active Directory の識別子を見つける

ユーザー管理用 Active Directory グループの追加

手順

ステップ 1	CDO にログインします。
ステップ 2	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 3	[ユーザー管理（User Management）] タブをクリックします。
ステップ 4	テーブルの上にある [Active Directoryグループ（Active Directory Groups）] を選択します。
ステップ 5	現在の AD グループがない場合は、[ADグループの追加（Add AD group）] をクリックします。既存のエントリがある場合は、[追加（Add）] ボタンをクリックします。
ステップ 6	次の情報を入力します。 [グループ名（Group Name）]：一意の名前を入力します。この名前は、AD のグループ名と一致する必要はありません。CDO は、このフィールドの特殊文字をサポートしていません。 [グループID]：AD からのグループ ID を手動で入力します。グループ ID の値は、カスタム要求定義のグループ ID と同じである必要があります。この値は、グループの一意の ID に対応する任意の値（my-favourite-group、12345 など）にすることができます。 [AD 発行者（AD Issuer）]：AD からの AD 発行者の値を手動で入力します。 [ロール（Role）]：この AD グループに含まれるすべてのユーザーのロールが決まります。詳細については、「ユーザーロール」を参照してください。（オプション）[注記（Notes）]：この AD グループに適用される注記を追加します。
ステップ 7	[OK] を選択します。

ユーザー管理用 Active Directory グループの編集

始める前に

CDO で AD グループのユーザー管理を編集する場合は、CDO が AD グループを制限する方法だけを変更できることに注意してください。CDO で AD グループ自体を編集することはできません。AD グループ内のユーザーのリストを編集するには、AD を使用する必要があります。

手順

ステップ 1	CDO にログインします。
ステップ 2	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 3	[ユーザー管理（User Management）] タブをクリックします。
ステップ 4	テーブルの上にある [Active Directoryグループ（Active Directory Groups）] を選択します。
ステップ 5	編集する AD グループを特定し、[編集（Edit）] アイコンを選択します。
ステップ 6	次の値を変更します。 [グループ名（Group Name）]：一意の名前を入力します。CDO は、このフィールドの特殊文字をサポートしていません。 [グループID]：AD からのグループ ID を手動で入力します。グループ ID の値は、カスタム要求定義のグループ ID と同じである必要があります。この値は、グループの一意の ID に対応する任意の値（my-favourite-group、12345 など）にすることができます。 [AD 発行者（AD Issuer）]：AD からの AD 発行者の値を手動で入力します。 [ロール（Role）]：この AD グループに含まれるすべてのユーザーのロールが決まります。詳細については、「ユーザーロール」を参照してください。 [注記（Notes）]：この AD グループに適用される注記を追加します。

ユーザー管理用 Active Directory グループの削除

手順

ステップ 1	CDO にログインします。
ステップ 2	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 3	[ユーザー管理（User Management）] タブをクリックします。
ステップ 4	テーブルの上にある [Active Directoryグループ（Active Directory Groups）] を選択します。
ステップ 5	削除する AD グループを特定します。
ステップ 6	[削除（Delete）] アイコンを選択します。
ステップ 7	[OK] をクリックして、AD グループを削除することを確認します。

CDO の新規ユーザーの作成

次の 2 つのタスクは、新しい CDO ユーザーを作成するために必要です。順番に実行する必要はありません。

新規ユーザー向け Cisco Secure Sign-On アカウントの作成
CDO ユーザー名での CDO ユーザーレコードの作成

これらのタスクが完了すると、ユーザーは Cisco Secure Sign-On ダッシュボードから CDO を開くことができます。

新規ユーザー向け Cisco Security Cloud Sign On アカウントの作成

Cisco Security Cloud Sign On アカウントの作成は、新しいユーザーが自分でいつでも行うことができます。割り当てられるテナントの名前を把握しておく必要はありません。

CDO へのログインについて

Cisco Defense Orchestrator（CDO）は、Cisco Secure Sign-On を ID プロバイダーとして使用し、Duo を多要素認証（MFA）に使用します。CDO にログインするには、まず Cisco Secure Sign-On でアカウントを作成し、Duo を使用して MFA を設定する必要があります。

CDO には MFA が必要です。MFA は、ユーザーアイデンティティを保護するためのセキュリティを強化します。MFA の一種である二要素認証では、CDO にログインするユーザーの ID を確認するために、2 つのコンポーネントまたは要素が必要です。最初の要素はユーザー名とパスワードで、2 番目の要素はオンデマンドで生成されるワンタイムパスワード（OTP）です。

重要	2019 年 10 月 14 日より前に CDO テナントが存在していた場合は、この項目の代わりにCisco Security Cloud Sign On ID プロバイダーへの移行をログイン手順として使用してください。

ログインする前に

Duo Security のインストール。Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。

時刻の同期。モバイルデバイスを使用してワンタイムパスワードを生成します。OTP は時間ベースであるため、デバイスのクロックがリアルタイムと同期していることが重要です。デバイスのクロックが自動的に、または手動で正しい時刻に設定されていることを確認します。

新規 Cisco Security Cloud Sign On アカウントの作成と Duo 多要素認証の設定

最初のサインオンワークフローは 4 段階のプロセスです。4 段階すべてを完了する必要があります。

手順

ステップ 1

新しい Cisco Security Cloud Sign On アカウントにサインアップします。

https://sign-on.security.cisco.com にアクセスします。
[サインイン（Sign In）] 画面の下部にある [今すぐサインアップ（Sign up now）] をクリックします。
[アカウントの作成（Create Account）] ダイアログのフィールドに入力します。

次にいくつかのヒントを示します。
- [Eメール（Email）]：CDO へのログインに最終的に使用する電子メールアドレスを入力します。
- [パスワード（Password）] ：強力なパスワードを入力します。
[アカウントの作成（Create Account）] をクリックします。

その後、登録したアドレスに確認メールが送信されます。電子メールを開き、[アカウントの有効化（Activate Account）] をクリックします。

ステップ 2

Duo を使用して多要素認証をセットアップする

多要素認証をセットアップするときは、モバイルデバイスを使用することをお勧めします。

[多要素認証の設定（Set up multi-factor authentication）] 画面で、[要素の設定（Configure factor）] をクリックします。
[セットアップの開始（Start setup）] をクリックし、プロンプトに従ってモバイルデバイスを選択して、そのモバイルデバイスとアカウントのペアリングを確認します。

詳細については、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。デバイスに Duo アプリケーションがすでにインストールされている場合は、このアカウントのアクティベーションコードが送信されます。Duo は 1 台のデバイスで複数のアカウントをサポートします。
ウィザードの最後で、[ログインを続行する（Continue to Login）] をクリックします。
二要素認証を使用して Cisco Security Cloud Sign On にログインします。

ステップ 3

（任意）追加のオーセンティケータとして Google オーセンティケータを設定します。

Googleオーセンティケータとペアリングするモバイルデバイスを選択し、[次へ（Next）] をクリックします。
セットアップウィザードのプロンプトに従って、Google オーセンティケータをセットアップします。

ステップ 4

Cisco Security Cloud Sign On のアカウントリカバリのオプションを設定する

SMS を使用してアカウントをリセットするための予備の電話番号を選択します。
セキュリティイメージを選択します。

[マイアカウントの作成（Create My Account）] をクリックします。これで、Cisco Security Cloud Sign On ダッシュボードに CDO アプリケーションのタイルが表示されます。他のアプリケーションタイルも表示される場合があります。

ヒント

ダッシュボード上でタイルをドラッグして並べ替えたり、タブを作成してタイルをグループ化したり、タブの名前を変更したりできます。

CDO ユーザー名での CDO ユーザーレコードの作成

「ネットワーク管理者（Super Admin）」権限を持つ CDO ユーザーのみが CDO ユーザーレコードを作成できます。ネットワーク管理者は、上記のCDO ユーザー名の作成タスクで指定したものと同じ電子メールアドレスでユーザーレコードを作成する必要があります。

次の手順を使用して、適切なユーザーロールを持つユーザーレコードを作成します。

手順

ステップ 1

CDO にログインします。

ステップ 2

右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。

ステップ 3

[ユーザー管理（User Management）] タブをクリックします。

ステップ 4

青いプラスボタンをクリックして、新しいユーザーをテナントに追加します。

ステップ 5

ユーザーの電子メールアドレスを入力します。

（注）

ユーザーの電子メールアドレスは、Cisco Secure Log-On アカウントの電子メールアドレスに対応している必要があります。

ステップ 6

ドロップダウンメニューからユーザーのロールを選択します。

ステップ 7

[OK] をクリックします。

新規ユーザーが Cisco Secure Sign-On ダッシュボードから CDO を開く

手順

ステップ 1

Cisco Secure Sign-on ダッシュボードで適切な [CDO] タイルをクリックします。[CDO] タイルをクリックすると https://defenseorchestrator.com に移動し、[CDO（EU）] タイルをクリックすると https://defenseorchestrator.eu に移動します。

ステップ 2

両方のオーセンティケータを設定している場合は、オーセンティケータのロゴをクリックして [Duo Security] か [Google Authenticator] を選択します。

既存のテナントにすでにユーザーレコードがある場合は、そのテナントにログインします。
複数のポータルにすでにユーザーレコードがある場合は、接続するポータルを選択できます。
すでに複数のテナントにユーザーレコードがある場合は、接続先の CDO テナントを選択できます。
既存のテナントにユーザーレコードがない場合は、CDO の詳細を確認するか、またはトライアルテナントを要求できます。

[ポータル（Portals）] ビューは、複数のテナントから統合された情報を取得して表示します。詳細については、「複数の CDO テナントの管理」を参照してください。

[テナント（Tenant）] ビューには、ユーザーレコードがある一部のテナントが表示されます。

Cisco Defense Orchestrator のユーザーロール

Cisco Defense Orchestrator（CDO）には、読み取り専用、編集専用、展開専用、管理者、ネットワーク管理者など、さまざまなユーザーロールがあります。ユーザーロールは、各テナントのユーザーごとに設定されます。1 人の CDO ユーザーが複数のテナントにアクセスできる場合、ユーザー ID は同じでも、テナントごとにロールが異なる場合があります。ユーザーは、あるテナントで読み取り専用ロールを持ち、別のテナントでネットワーク管理者ロールを持つ場合があります。インターフェイスまたはマニュアルで読み取り専用ユーザー、管理者ユーザー、ネットワーク管理者ユーザーについて言及されている場合、特定のテナントにおけるそのユーザーの権限レベルが説明されています。

読み取り専用ロール

読み取り専用ロールが割り当てられたユーザーには、すべてのページに次の青いバナーが表示されます。

.

読み取り専用ロールを持つユーザーは、次のことを実行できます。

CDO の任意のページまたは設定を確認する。
任意のページのコンテンツを検索およびフィルタリングする。
デバイス設定を比較し、変更ログを表示し、VPN マッピングを確認する。
任意のページの設定またはオブジェクトに関するすべての警告を表示する。
独自の API トークンを生成する、更新する、取り消す。読み取り専用ユーザーは、自分のトークンを取り消すと、再作成できないことに注意してください。
インターフェイスからサポートに連絡し、変更ログをエクスポートする。

読み取り専用ユーザーは、次のことを実行できません。

任意のページで作成、更新、設定、または削除する。
デバイスをオンボーディングする。
オブジェクトやポリシーなどの作成に必要なタスクのステップスルーはできるが保存はできない。
CDO ユーザーレコードを作成する。
ユーザーロールを変更する。
アクセスルールをポリシーにアタッチまたはデタッチする。

編集専用ロール

編集専用ロールを持つユーザーは、次の操作を実行できます。

オブジェクト、ポリシー、ルールセット、インターフェース、VPN などを含むがこれらに限定されないデバイス構成を編集および保存する。
構成の読み取りアクションによって行われた構成の変更を許可する。
変更リクエスト管理アクションを利用する。

編集専用ユーザーは、次の操作を実行できません。

1 つまたは複数のデバイスに変更を展開する。
段階的な変更または OOB によって検出された変更を破棄する。
AnyConnect パッケージをアップロードする、またはこれらの設定を構成する。
デバイスのイメージアップグレードをスケジュールする、または手動で開始する。
セキュリティデータベースのアップグレードをスケジュールする、または手動で開始する。
Snort 2 と Snort 3 のバージョンを手動で切り替える。
テンプレートを作成します。
既存の OOB 変更の設定を変更する。
システム管理設定を編集する。
デバイスをオンボーディングする。
デバイスを削除する。
VPN セッションまたはユーザーセッションを削除する。
CDO ユーザーレコードを作成する。
ユーザーロールを変更する。

展開専用ロール

展開専用ロールを持つユーザーは、次の操作を実行できます。

段階的な変更を単一のデバイスまたは複数のデバイスに展開する。
ASA デバイスの設定変更を元に戻すか、復元する。
デバイスのイメージアップグレードをスケジュールする、または手動で開始する。
セキュリティデータベースのアップグレードをスケジュールする、または手動で開始する。
変更要求管理アクションを使用する。

展開専用ユーザーは、次の操作を実行できません。

Snort 2 と Snort 3 のバージョンを手動で切り替える。
テンプレートを作成します。
既存の OOB 変更の設定を変更する。
システム管理設定を編集する。
デバイスをオンボーディングする。
デバイスを削除する。
VPN セッションまたはユーザーセッションを削除する。
任意のページで作成、更新、設定、または削除する。
デバイスをオンボーディングする。
オブジェクトやポリシーなどの作成に必要なタスクのステップスルーはできるが保存はできない。
CDO ユーザーレコードを作成する。
ユーザーロールを変更する。
アクセスルールをポリシーにアタッチまたはデタッチする。

VPN セッションマネージャロール

VPN セッションマネージャロールは、サイト間 VPN 接続ではなく、リモートアクセス VPN 接続を監視する管理者向けに設計されています。

VPN セッションマネージャロールを持つユーザーは、次のことができます。

CDO の任意のページまたは設定を確認する。
任意のページのコンテンツを検索およびフィルタリングする。
デバイス設定を比較し、変更ログを表示し、RA VPN マッピングを確認する。
任意のページの設定またはオブジェクトに関するすべての警告を表示する。
独自の API トークンを生成する、更新する、取り消す。VPN セッションマネージャのユーザーは、自分のトークンを取り消すと、再作成できないことに注意してください。
インターフェイスからサポートに連絡し、変更ログをエクスポートする。
既存の RA VPN セッションを終了する。

VPN セッションマネージャのユーザーは、次のことはできません。

任意のページで作成、更新、設定、または削除する。
デバイスをオンボーディングする。
オブジェクトやポリシーなどの作成に必要なタスクのステップスルーはできるが保存はできない。
CDO ユーザーレコードを作成する。
ユーザーロールを変更する。
アクセスルールをポリシーにアタッチまたはデタッチする。

Admin ロール

管理者ユーザーは、CDO のあらゆる側面に完全にアクセスできます。管理者ユーザーは次のことができます。

CDO の任意のオブジェクトを作成、読み取り、更新、削除し、設定を行う。
デバイスのオンボーディング。
CDO の任意のページまたは設定を確認する。
任意のページのコンテンツを検索およびフィルタリングする。
デバイス設定を比較し、変更ログを表示し、VPN マッピングを確認する。
任意のページの設定またはオブジェクトに関するすべての警告を表示する。
独自の API トークンを生成する、更新する、取り消す。トークンが取り消された場合は、インターフェイスを介してサポートに連絡し、変更ログをエクスポートできます。

管理者ユーザーは次のことを実行できません。

CDO ユーザーレコードを作成する。
ユーザーロールを変更する。

ネットワーク管理者ロール

スーパー管理者ユーザーは、CDO のあらゆる側面に完全にアクセスできます。スーパー管理者は次のことができます。

ユーザーロールを変更する。
ユーザーレコードを作成する。

（注）

スーパー管理者は CDO ユーザーレコードを作成できますが、そのユーザーレコードだけではユーザーがテナントにログインするには不十分です。テナントが使用する ID プロバイダーのアカウントも必要になります。お客様の企業に独自のシングルサインオン ID プロバイダーがない限り、ID プロバイダーは Cisco Security Cloud Sign On です。ユーザーは Cisco Security Cloud Sign On アカウントに自己登録することができます。詳細については、新規 CDO テナントへの初回ログインを参照してください。

CDO の任意のオブジェクトを作成、読み取り、更新、削除し、設定を行う。
デバイスをオンボーディングする。
CDO の任意のページまたは設定を確認する。
任意のページのコンテンツを検索およびフィルタリングする。
デバイス設定を比較し、変更ログを表示し、VPN マッピングを確認する。
任意のページの設定またはオブジェクトに関するすべての警告を表示する。
独自の API トークンを生成する、更新する、取り消す。トークンが取り消された場合は、次のことができます。
インターフェイスからサポートに連絡し、変更ログをエクスポートする。

ユーザーロールのレコードの変更

ユーザーレコードは、現在記録されているユーザーのロールです。テナントに関連付けられているユーザーを調べることにより、各ユーザーがどのロールを使用しているかをレコードによって判断できます。ユーザーロールを変更すると、ユーザーレコードが変更されます。ユーザーのロールは、ユーザー管理テーブルでのロールによって識別されます。詳細については、「ユーザーの管理」を参照してください。

ユーザーレコードを変更するには、ネットワーク管理者である必要があります。テナントにネットワーク管理者がいない場合は、Defense Orchestrator サポートまでお問い合わせください。

ユーザーロールのユーザーレコードの作成

CDO ユーザーは、認証されて CDO テナントにアクセスできるように、CDO レコードと対応する IdP アカウントが必要です。この手順では、Cisco Security Cloud Sign On のユーザーアカウントではなく、ユーザーの CDO ユーザーレコードを作成します。ユーザーが Cisco Security Cloud Sign On にアカウントを持っていない場合、https://sign-on.security.cisco.com に移動し、サインイン画面の下部にある [サインアップ（Sign up）] をクリックして、自己登録できます。

（注）

このタスクを実行するには、CDO でスーパー管理者のロールが必要です。

ユーザーレコードの作成

次の手順を使用して、適切なユーザーロールを持つユーザーレコードを作成します。

手順

ステップ 1

CDO にログインします。

ステップ 2

右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。

ステップ 3

[ユーザー管理（User Management）] タブをクリックします。

ステップ 4

青いプラスボタンをクリックして、新しいユーザーをテナントに追加します。

ステップ 5

ユーザーの電子メールアドレスを入力します。

（注）

ユーザーの電子メールアドレスは、Cisco Secure Log-On アカウントの電子メールアドレスに対応している必要があります。

ステップ 6

ドロップダウンメニューからユーザーのロールを選択します。

ステップ 7

[v] をクリックします。

（注）

スーパー管理者は CDO ユーザーレコードを作成できますが、そのユーザーレコードだけではユーザーがテナントにログインするには不十分です。テナントが使用する ID プロバイダーのアカウントも必要になります。お客様の企業に独自のシングルサインオン ID プロバイダーがない限り、ID プロバイダーは Cisco Secure Sign-on です。ユーザーは Cisco Secure Sign-On アカウントに自己登録することができます。詳細については、新規 CDO テナントへの初回ログインを参照してください。

API のみのユーザーを作成する

手順

ステップ 1

CDO にログインします。

ステップ 2

右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。

ステップ 3

[ユーザー管理（User Management）] タブをクリックします。

ステップ 4

青いプラスボタンをクリックして、新しいユーザーをテナントに追加します。

ステップ 5

[APIのみのユーザー（API Only User）] チェックボックスを選択します。

ステップ 6

[ユーザー名（Username）] フィールドにユーザー名を入力し、[OK] をクリックします。

重要	ユーザー名に E メールアドレスを使用したり、「@」文字を含めることはできません。「@yourtenant」サフィックスがユーザー名に自動的に追加されるためです。

ステップ 7

ドロップダウンメニューからユーザーのロールを選択します。

ステップ 8

[OK] をクリックします。

ステップ 9

[ユーザー管理（User Management）] タブをクリックします。

ステップ 10

新しい API のみのユーザーの [トークン（Token）] 列で、[API トークンの生成（Generate API Token）] をクリックして API トークンを取得します。

ユーザーロールのユーザーレコードの編集

このタスクを実行するには、ネットワーク管理者のロールが必要です。ログインしている CDO ユーザーのロールをネットワーク管理者が変更する場合、そのロールが変更されると、そのユーザーはセッションから自動的にログアウトされます。ユーザーが再度ログインすると、ユーザーは新しいロールを担います。

（注）

このタスクを実行するには、CDO でスーパー管理者のロールが必要です。

注意	ユーザーレコードのロールを変更すると、ユーザーレコードに関連付けられた API トークンがある場合はそれが削除されます。ユーザーロールが変更されたら、ユーザーは新しい API トークンを生成する必要があります。

ユーザーロールの編集

（注）

CDO ユーザーがログインしていて、スーパー管理者がそのロールを変更した場合、変更を有効にするには、そのユーザーがログアウトして再度ログインする必要があります。

ユーザーレコードで定義されたロールを編集するには、次の手順に従います。

手順

ステップ 1	CDO にログインします。
ステップ 2	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 3	[ユーザー管理（User Management）] タブをクリックします。
ステップ 4	ユーザーの行にある [編集（Edit）] アイコンをクリックします。
ステップ 5	[ロール（Role) ] ドロップダウンメニューからユーザーの新しい [ロール（Role) ] を選択します。
ステップ 6	ユーザーレコードに、ユーザーに関連付けられた API トークンがあることが示されている場合は、ユーザーのロールを変更し、結果として API トークンを削除することを確認する必要があります。」
ステップ 7	[v] をクリックします。
ステップ 8	CDO が API トークンを削除した場合、ユーザーに連絡し、新しい API トークンを作成できることを知らせます。

ユーザーロールのユーザーレコードの削除

CDO のユーザーレコードを削除すると、ユーザーレコードの Cisco Security Cloud Sign On アカウントとのマッピングが壊れ、関連付けられたユーザーが CDO にログインできなくなります。ユーザーレコードを削除すると、そのユーザーレコードに関連付けられている API トークンも削除されます（存在する場合）。CDO のユーザーレコードを削除しても、Cisco Security Cloud Sign On のユーザーの IdP アカウントは削除されません。

（注）

このタスクを実行するには、CDO でスーパー管理者のロールが必要です。

ユーザーレコードの削除

ユーザーレコードに定義されているロールを削除するには、次の手順を実行します。

手順

ステップ 1	CDO にログインします。
ステップ 2	右上の [管理者（admin）] ドロップダウンから、[設定（Settings）] をクリックします。
ステップ 3	[ユーザー管理（User Management）] タブをクリックします。
ステップ 4	削除するユーザーの行のごみ箱アイコンをクリックします。
ステップ 5	[OK] をクリックします。
ステップ 6	[OK] をクリックして、テナントからアカウントを削除することを確認します。

[サービス（Services）] ページの情報の表示

[サービス（Services）] ページには、CDO が提供するサービスのリストが表示されます。[FMC] タブを選択すると、CDO アカウントにリンクされているクラウド提供型 Firewall Management Center と、CDO にオンボーディングされているすべてのオンプレミス Management Center が一覧表示されます。これらのオンプレミス Management Center によって管理されるデバイスは、[インベントリ（Inventory）] ページに表示されます。[サービス（Services）] ページの [セキュアコネクタ（Secure Connectors）] タブには、セキュアコネクタも一覧表示されます。

[FMC] タブを選択し、青色のプラスアイコン（）をクリックしてオンプレミス Management Center をオンボーディングし、右側のペインのオプションを使用してデバイスアクションを実行できます。また、バージョン、Management Center で管理されているデバイスの数、デバイスタイプ、デバイスの同期ステータスなどのデバイス情報を確認することもできます。管理対象デバイスのアイコンをクリックすると、[インベントリ（Inventory）] ページが表示され、選択したオンプレミス Management Center によって管理されているデバイスが自動的にフィルタリングされて表示されます。[サービス（Services）] ページでは、一度に複数のオンプレミス Management Center を選択して、Management Center のグループですべて一度にアクションを実行することもできます。クラウド提供型 Firewall Management Center が選択されている間は、オンプレミス Management Center を選択できないことに注意してください。新しいセキュアコネクタを追加したり、既存のセキュアコネクタでアクションを実行したりするには、[セキュアコネクタ（Secure Connectors）] タブを選択してをクリックします。

CDO のメインメニューからクラウド提供型 Firewall Management Center アプリケーションページを開きます。

[ツールとサービス（Tools & Services）] > [Firewall Management Center] に移動します。

クラウド提供型 Firewall Management Center の場合、[サービス（Services）] ページには、次の情報が表示されます。

テナントにクラウド提供型 Firewall Management Center が展開されていない場合は、[FMCの要求（Request FMC）] をクリックします。
クラウド提供型 Firewall Management Center に展開された Cisco Secure Firewall Threat Defense デバイスの数。
CDO とクラウド提供型 Firewall Management Center ページ間の接続のステータス。
クラウド提供型 Firewall Management Center の最後のハートビート。これは、クラウド提供型 Firewall Management Center 自体のステータスと管理するデバイスの数がこのページのテーブルと最後に同期された時刻を表します。
選択したクラウド提供型 Firewall Management Center のホスト名。

[クラウド提供型FMC（Cloud-Delivered FMC）] を選択し、[アクション（Actions）]、[管理（Management）]、または [設定（Settings）] ペインのリンクを使用してクラウド提供型 Firewall Management Center ユーザーインターフェイスを開き、クリックしたリンクに関連付けられている設定タスクを実行します。

クラウド提供型 Firewall Management Center で、青い疑問符ボタンをクリックし、[ページレベルのヘルプ（Page-level Help）] を選択して、表示しているページの詳細と、さらに実行できるアクションを確認します。

クラウド提供型 Firewall Management Center のデバイス数とステータスの更新

[クラウド提供型FMC（Cloud-Delivered FMC）] を選択し、[アクション（Actions）] ペインで [変更のチェック（Check for Changes）] をクリックします。テーブルのデバイス数とステータスの情報は、このページとクラウド提供型 Firewall Management Center が最後に同期されたときに使用可能な情報で更新されます。同期は 10 分ごとに行われます。

異なるタブで CDO とクラウド提供型 Firewall Management Center アプリケーションを開く機能のサポート

クラウド提供型 Firewall Management Center で脅威に対する防御デバイスまたはオブジェクトを設定するときに、追加のブラウザタブで適切な設定ページを開いて、ログオフせずに CDO とクラウド提供型 Firewall Management Center ポータルで同時に作業できます。たとえば、クラウド提供型 Firewall Management Center でオブジェクトを作成し、同時にセキュリティポリシーから生成されたイベントログを CDO でモニターできます。

この機能は、クラウド提供型 Firewall Management Center ポータルに移動するすべての CDO リンクで使用できます。新しいタブでクラウド提供型 Firewall Management Center ポータルを開くには、次の手順を実行します。

CDO ポータルで、Ctrl（Windows）または Command（Mac）ボタンを押したまま、対応するリンクをクリックします。

（注）

1 回クリックすると、同じタブで [クラウド提供型 Firewall Management Center] ページが開きます。

新しいタブでクラウド提供型 Firewall Management Center ポータルページを開く例を次に示します。

[ツールとサービス（Tools & Services）] > [Firewall Management Center] を選択し、[クラウド提供型FMC（Cloud-Delivered FMC）] を選択します。

右側のペインで、Ctrl（Windows）または Command（Mac）ボタンを押したまま、アクセスするページをクリックします。
[オブジェクト（Objects）] > [その他のFTDオブジェクト（Other FTD Objects）] を選択します。
CDO ページの右上隅にある検索アイコンをクリックし、表示される検索フィールドに検索文字列を入力します。

検索結果から、Ctrl（Windows）または Command（Mac）ボタンを押したまま、矢印アイコンをクリックします。
[ダッシュボード（Dashboard）]、[クイックアクション（Quick Actions）] の順に選択します。

Ctrl（Windows）または Command（Mac）ボタンを押したまま、[FTDポリシーの管理（Manage FTD Policies）] または [FTDオブジェクトの管理（Manage FTD Objects）] をクリックします。

（注）

新しい CDO テナントに切り替えると、新しいタブですでに開いている対応するクラウド提供型 Firewall Management Center ポータルがログアウトします。

関連項目

デバイスとサービスの管理

Cisco Defense Orchestrator（CDO）は、サポートされているデバイスとサービスを表示、管理、フィルタリング、および評価する機能を提供します。[インベントリ（Inventory）] ページから、次の操作を実行できます。

CDO 管理用のデバイスとサービスをオンボーディングします。
管理対象のデバイスとサービスの設定状態と接続状態を表示します。
オンボードしたデバイスとテンプレートを個別のタブに分類して表示します。「[インベントリ（Inventory）] ページ情報の表示」を参照してください。
個々のデバイスとサービスを評価し、アクションを実行します。
デバイスとサービスに固有の情報を表示し、問題を解決します。
次によって管理される脅威防御デバイスの正常性ステータスを表示します。
- クラウド提供型 Firewall Management Center
- オンプレミス Management Center
クラウド提供型 Firewall Management Center によって管理される脅威防御デバイスの場合は、クラスタ内のデバイスのノードステータスも表示できます。
名前、タイプ、IPアドレス、モデル名、シリアル番号またはラベルで、デバイスまたはテンプレートを検索します。検索では大文字と小文字が区別されません。複数の検索条件を入力すると、少なくとも 1 つの条件に一致するデバイスとサービスが表示されます。「検索」を参照してください。
デバイスタイプ、ハードウェアとソフトウェアのバージョン、Snort バージョン、設定ステータス、接続状態、競合検出、Secure Device Connector、およびラベルで、デバイスまたはテンプレートのフィルタを絞り込みます。「フィルタ」を参照してください。

CDO のデバイスの IP アドレスを変更する

IP アドレスを使用してデバイスを Cisco Defense Orchestrator（CDO）にオンボードすると、CDO ではその IP アドレスがデータベースに保存され、デバイスとの通信に使用されます。デバイスの IP アドレスが変更された場合は、CDO に保存されている IP アドレスを更新して、新しいアドレスに一致させることができます。CDO でデバイスの IP アドレスを変更しても、デバイスの構成は変更されません。

CDO でデバイスとの通信に使用する IP アドレスを変更するには、次の手順を実行します。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	IP アドレスを変更するデバイスを選択します。
ステップ 5	[デバイスの詳細（Device Details）] ペインの上で、デバイスの IP アドレスの横にある編集ボタンをクリックします。
ステップ 6	フィールドに新しい IP アドレスを入力し、青色のチェックボタンをクリックします。デバイス自体は変更されないため、デバイスの [設定ステータス（Configuration Status）] には、引き続き [同期済み（Synced）] と表示されます。

CDO のデバイスの名前を変更する

すべてのデバイス、モデル、テンプレート、およびサービスには、CDO でのオンボード時または作成時に名前が付けられます。デバイス自体の設定を変更せずに、その名前を変更することができます。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Device）] タブをクリックしてデバイスを見つけます。
ステップ 3	名前を変更するデバイスを選択します。
ステップ 4	[デバイスの詳細（Device Details）] ペインの上で、デバイス名の横にある編集ボタンをクリックします。
ステップ 5	フィールドに新しい名前を入力し、青色のチェックボタンをクリックします。デバイス自体は変更されないため、デバイスの [設定ステータス（Configuration Status）] には、引き続き [同期済み（Synced）] と表示されます。

デバイスとサービスのリストのエクスポート

この記事では、デバイスとサービスのリストをコンマ区切り値（.csv）ファイルにエクスポートする方法について説明します。この形式にしたら、Microsoft Excel などのスプレッドシートアプリケーションでファイルを開いて、リスト内のアイテムを並べ替えたり、フィルタ処理したりできます。

エクスポートボタンは、デバイスとテンプレートタブで使用できます。選択したデバイスタイプタブで、デバイスの詳細をエクスポートすることもできます。

デバイスとサービスのリストをエクスポートする前に、フィルタペインを見て、エクスポートしたい情報がインベントリテーブルに表示されているかどうかを確認します。すべてのフィルタをクリアしてすべての管理対象デバイスとサービスを表示するか、情報をフィルタしてすべてのデバイスとサービスの一部を表示します。エクスポート機能は、インベントリテーブルに表示される内容をエクスポートします。

手順

ステップ 1	CDO ナビゲーションバーで、[インベントリ（Inventory）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプタブをクリックして、そのタブのデバイスの詳細をエクスポートするか、[すべて（All）] をクリックしてすべてのデバイスから詳細をエクスポートします。フィルタおよび検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	[CSV にリストエクスポート（Export list to CSV）] をクリックします。
ステップ 5	プロンプトが表示されたら、.csv ファイルを保存します。
ステップ 6	スプレッドシートアプリケーションで .csv ファイルを開いて、結果を並べ替えたりフィルタリングしたりすることができます。

デバイス設定のエクスポート

一度にエクスポートできるデバイス設定は 1 つだけです。次の手順を使用して、デバイスの設定を JSON ファイルにエクスポートします。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	必要なデバイスを選択して、強調表示します。
ステップ 5	[アクション（Actions）] ペインで、[設定のエクスポート（Export Configuration）] を選択します。
ステップ 6	[確認（Confirm）] を選択して、設定を JSON ファイルとして保存します。

デバイスの外部リンク

外部リソースへのハイパーリンクを作成し、CDO で管理するデバイスに関連付けることができます。この機能を使用して、いずれかのデバイスのローカルマネージャへの便利なリンクを作成できます（。この機能を使用して、検索エンジン、ドキュメントリソース、企業 wiki、または選択したその他の URL へのリンクを作成できます。必要な数の外部リンクをデバイスに関連付けることができます。同じリンクを同時に複数のデバイスに関連付けることもできます。

作成したリンクはどこにでも到達できますが、企業のセキュリティ要件は変わりません。たとえば、普段オンプレミスで、または VPN 接続を介して特定の URL にアクセスすることによって企業ネットワークに接続する必要がある場合、この要件は維持されます。企業が特定の URL をブロックしている場合、それらの URL は引き続きブロックされます。制限されていない URL は引き続き制限されません。

location変数

URL に組み込むことができる {location} 変数を作成しました。この変数には、デバイスの IP アドレスが入力されます。次に例を示します。

https://{location}

に到達します。

デバイスからの外部リンクの作成

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	デバイスまたはモデルを選択します。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 5	右側の詳細ペインから、[外部リンク（External Links）] セクションに移動します。
ステップ 6	リンクの名前を入力します。
ステップ 7	[URL] フィールドにリンクの URL を入力します。完全な URL を指定する必要があります。たとえばシスコの場合、http://www.cisco.com と入力します。
ステップ 8	[+] をクリックして、リンクとデバイスを関連付けます。

への外部リンクの作成

、を CDO から直接開く便利な方法を次に示します。

手順

ステップ 1	ナビゲーションバーで、[インベントリ（Inventory）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	デバイスまたはモデルを選択します。
ステップ 5	右側の詳細ペインから、[外部リンク（External Links）] セクションに移動します。
ステップ 6	などのリンクの名前を入力します。
ステップ 7	https://{location} を [URL] フィールドに入力します。{location} 変数には、デバイスの IP アドレスが入力されます。
ステップ 8	[+] ボックスをクリックします。

複数デバイスの外部リンクの作成

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	複数のデバイスまたはモデルを選択します。
ステップ 5	右側の詳細ペインから、[外部リンク（External Links）] セクションに移動します。
ステップ 6	リンクの名前を入力します。
ステップ 7	次のいずれかの方法を使用して、アクセスする URL を入力します。以下をURL フィールドに入力します。 `https://{location}` URL フィールドに入力します。{location} 変数には、デバイスの IP アドレスが入力されます。入力後、デバイスの ASDM への自動リンクが作成されます。 [URL] フィールドにリンクの URL を入力します。完全な URL を指定する必要があります。たとえばシスコの場合、http://www.cisco.com と入力します。
ステップ 8	[+] をクリックして、リンクとデバイスを関連付けます。

外部リンクの編集または削除

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	デバイスまたはモデルを選択します。
ステップ 5	右側の詳細ペインから、[外部リンク（External Links）] セクションに移動します。
ステップ 6	リンク名の上にカーソルを置くと、編集アイコンと削除アイコンが表示されます。
ステップ 7	該当するアイコンをクリックし、外部リンクを編集または削除して、アクションを確認します。

複数のデバイスへの外部リンクの編集または削除

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。フィルタ機能と検索機能を使用して、必要なデバイスを見つけることができます。
ステップ 4	複数のデバイスまたはモデルを選択します。
ステップ 5	右側の詳細ペインから、[外部リンク（External Links）] セクションに移動します。
ステップ 6	リンク名の上にカーソルを置くと、編集アイコンと削除アイコンが表示されます。
ステップ 7	該当するアイコンをクリックし、外部リンクを編集または削除して、アクションを確認します。

CDO へのデバイス一括再接続

CDO を使用すると、管理者は複数の管理対象デバイスを CDO に同時に再接続を試みることができます。CDO が管理するデバイスが「到達不能」とマークされている場合、CDO は帯域外構成の変更を検出したり、デバイスを管理したりできなくなります。切断については、さまざまな原因が考えられます。デバイスの再接続を試みることは、CDO によるデバイスの管理を復元するための簡単な最初のステップです。

（注）

新しい証明書を持つデバイスを再接続する場合、CDO は、デバイス上の新しい証明書を自動的に確認して受け入れ、それらとの再接続を続行します。ただし、再接続するデバイスが 1 つだけの場合、CDO は、それとの再接続を続行するために、証明書を手動で確認して受け入れることを求めます。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

ステップ 2

[デバイス（Devices）] タブをクリックして、デバイスを見つけます。

ステップ 3

適切なデバイスタイプのタブをクリックします。

フィルタを使用して、接続ステータスが「到達不能」であるデバイスを見つけてください。

ステップ 4

フィルタ処理の結果から、再接続を試みるデバイスを選択します。

ステップ 5

[再接続（Reconnect）] をクリックします。CDO では、選択したすべてのデバイスに適用できるアクションのコマンドボタンのみ提供されることに注意してください。

ステップ 6

[通知（notifications）] タブで一括デバイス再接続アクションの進行状況を確認します。一括デバイス再接続ジョブのアクションがどのように成功または失敗したかについての詳細な情報が必要な場合は、青色の [レビュー（Review）] リンクをクリックして [ジョブ（Jobs）] ページに移動します。

ヒント

デバイスの証明書またはログイン情報が変更されたために再接続に失敗した場合は、それらのデバイスに個別に再接続して、新しいログイン情報を追加し、新しい証明書を受け入れる必要があります。

テナント間でのデバイスの移動

デバイスを CDO テナントに導入準備すると、そのデバイスは、別の CDO テナントに移行できません。デバイスを新しいテナントに移動させる場合は、古いテナントからデバイスを削除して、新しいテナントに導入準備し直す必要があります。

デバイスノートを書く

以下の手順で、デバイス用に単一のプレーンテキストのノートファイルを作成します。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	ノートを作成するデバイスまたはモデルを選択します。
ステップ 5	右側の [管理（Management）] ペインで、[ノート（Notes）] をクリックします。。
ステップ 6	右側のエディターボタンをクリックして、既定のテキストエディタ（Vim または Emacs テキストエディタ）を選択します。
ステップ 7	[ノート（Notes）] ページを編集します。
ステップ 8	[保存（Save）] をクリックします。ノートはタブに保存されます。

[インベントリ（Inventory）] ページ情報の表示

[インベントリ（Inventory）] ページには、すべての物理および仮想オンボードデバイスと、オンボードデバイスから作成されたテンプレートが表示されます。[インベントリ（Inventory）] ページでは、デバイスとテンプレートがそれぞれのタイプに基づいて分類され、各デバイスタイプ専用の対応するタブに表示されます。検索機能を使用するか、フィルタを適用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。

[インベントリ（Inventory）] ページには、次の詳細情報が表示されます。

[デバイス（Devices）] タブには、CDO にオンボードされているすべてのライブデバイスが表示されます。
[テンプレート（Templates）] には、ライブデバイスから、または CDO にインポートされた構成ファイルから作成されたすべてのテンプレートデバイスが表示されます。

ラベルとフィルタ処理

ラベルは、デバイスまたはオブジェクトをグループ化するために使用されます。オンボーディング中またはオンボーディング後のいつでも、1 つ以上のデバイスにラベルを適用できます。ラベルをオブジェクトに適用するには、まずラベルを作成します。デバイスまたはオブジェクトにラベルを適用したら、そのラベルごとにデバイステーブルまたはオブジェクトテーブルの内容をフィルタリングできます。

（注）

デバイスに適用されたラベルは、その関連オブジェクトには拡張されません。また、共有オブジェクトに適用されたラベルは、その関連オブジェクトには拡張されません。

ラベルグループは、次の構文「group name:label」を使用して作成できます。たとえば、Region:East または Region:West などです。これらの 2 つのラベルを作成する場合、グループラベルは Region になり、そのグループの East または West から選択できます。

デバイスとオブジェクトにラベルを適用する

デバイスにラベルを適用するには、以下の手順を実行します。

手順

ステップ 1	デバイスにラベルを追加するには、左側のナビゲーションウィンドウで [デバイスとサービス（Devices & Services）] をクリックします。オブジェクトにラベルを追加するには、左側のナビゲーションウィンドウでで [オブジェクト（Objects）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけるか、[テンプレート（Templates）] タブをクリックしてモデルデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	生成された表で 1 つ以上のデバイスまたはモデルを選択します。
ステップ 5	右側の [グループとラベルの追加（Add Groups and Labels）] フィールドで、デバイスのラベルを指定します。
ステップ 6	青色の + アイコンをクリックします。

フィルタ

[インベントリ（Inventory）] ページと [オブジェクト（Objects）] ページのさまざまなフィルタを使用して、探しているデバイスおよびオブジェクトを見つけることができます。

フィルタ処理するには、[デバイスとサービス（Devices and Services）] タブ、[ポリシー（Policies）] タブ、および [オブジェクト（Object）] タブの左側のペインでをクリックします。

インベントリフィルタでは、デバイスタイプ、ハードウェアとソフトウェアのバージョン、Snort バージョン、設定ステータス、接続状態、競合検出、Secure Device Connector、およびラベルでフィルタ処理できます。フィルタを適用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。フィルタを使用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。

オブジェクトフィルタを使用すると、デバイス、問題タイプ、共有オブジェクト、関連付けのないオブジェクト、およびオブジェクトタイプでフィルタ処理できます。結果にシステムオブジェクトを含めるかどうかを選択できます。検索フィールドを使用して、特定の名前、IP アドレス、またはポート番号を含むフィルタ結果内のオブジェクトを検索することもできます。

デバイスとオブジェクトをフィルタ処理する場合、検索語を組み合わせて、関連する結果を見つけるためのいくつかの潜在的な検索戦略を作成することができます。

次の例では、「問題（使用されている、または、不整合）があるオブジェクト、かつ、追加の値を持つ共有オブジェクト、かつ、特定のタイプ（ネットワーク、または、サービス）のオブジェクト」であるようなオブジェクトを検索するフィルタが適用されます。

同一 SDC を使用した CDO に接続するすべてのデバイスを見つける

次の手順に従って、同じ SDC を使用して CDO に接続するすべてのデバイスを識別します。

手順

ステップ 1	ナビゲーションバーで、[インベントリ（Inventory）] をクリックします。
ステップ 2	[デバイス（Devices）] タブをクリックしてデバイスを見つけます。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	フィルタ基準がすでに指定されている場合は、インベントリテーブルの上部にある [クリア（Clear）] ボタンをクリックして、CDO で管理しているすべてのデバイスとサービスを表示します。
ステップ 5	フィルタボタンをクリックして、[フィルタ（Filter）] メニューを展開します。
ステップ 6	フィルタの [Secure Device Connector] セクションで、必要な SDC の名前をクリックします。インベントリテーブルには、フィルタでチェックした SDC を使用して CDO に接続しているデバイスのみが表示されます。
ステップ 7	（オプション）検索をさらに絞り込むには、フィルタメニューで追加のフィルタをチェックします。
ステップ 8	（オプション）完了したら、インベントリテーブルの上部にある [クリア（Clear）] ボタンをクリックして、CDO で管理しているすべてのデバイスとサービスを表示します。

検索

CDO は、デバイス、オブジェクト、およびアクセスグループを簡単に検索できる強力な検索機能を提供します。[デバイスとサービス（Devices & Service）] スペースでは、検索バーに入力を開始するだけで、検索条件に一致するデバイスが表示されます。デバイスの名前の一部、IP アドレス、または物理デバイスのシリアル番号を入力して、デバイスを見つけることができます。

同様に、[オブジェクト（Objects）] スペースの検索バーを使用して、オブジェクト名の一部、または IP アドレス、ポート、名前付きアドレス、プロトコルの一部を入力してオブジェクトを検索できます。

手順

ステップ 1	インターフェイスの上部近くにある検索バーに移動します。
ステップ 2	検索バーに検索条件を入力すると、対応する結果が表示されます。

グローバル検索

グローバル検索機能を使用すると、CDO の管理対象のデバイスをすばやく見つけてナビゲートできます。

すべての検索結果は、選択したインデックス作成オプションに基づいています。インデックス作成オプションは次のとおりです。

フルインデックス作成：フルインデックス作成プロセスを呼び出す必要があります。このプロセスは、システム内のすべてのデバイスとオブジェクトをスキャンし、インデックス作成を呼び出した後にのみ、それらを検索インデックスに表示します。フルインデックス作成を呼び出すには、管理者権限が必要です。

詳細については、フルインデックス作成の開始を参照してください。
増分インデックス作成：イベントベースのインデックス作成プロセスで、デバイスまたはオブジェクトが追加、変更、または削除されるたびに検索インデックスが自動的に更新されます。

検索フィールドに入力する情報では、大文字と小文字が区別されません。次のエンティティを使用して、グローバル検索を実行できます。

[デバイス名（Device Name）]：部分的なデバイス名、URL、IP アドレス、または範囲をサポートします。
[オブジェクトタイプ（Object Types）]：オブジェクト名、オブジェクトの説明、および構成された値をサポートします。
[ポリシータイプ（Policy Types）]：ポリシー名、ポリシーの説明、ルール名、およびルールコメントをサポートします。

CDO で管理されるクラウド提供型ファイアウォール管理センターとオンプレミス FMC は、次のポリシータイプをサポートします。
- アクセスコントロールポリシー（Access Control Policy）
- プレフィルタポリシー（Prefilter Policy）
- Threat Defense NAT ポリシー

検索式を入力すると、インターフェイスに検索結果の表示が開始され、検索を実行するために Enter キーを押す必要はありません。

検索結果には、検索文字列に一致するすべてのデバイスとオブジェクトが表示されます。検索文字列がデバイスやオブジェクト以外と一致する場合、結果はカテゴリ（Devices、Objects、および connected_fmc）の下に表示されます。

デフォルトでは、検索結果の最初の項目が強調表示され、その項目の関連情報が右側のペインに表示されます。検索結果をスクロールして項目をクリックすると、対応する情報を表示できます。項目の横にある矢印アイコンをクリックして、対応するページに移動できます。

（注）

グローバル検索では、重複する検索結果は表示されません。オブジェクトの場合、共有オブジェクトの UID は、オブジェクトビューに移動するために使用されます。
CDO からデバイスを削除すると、関連するすべてのオブジェクトがグローバル検索インデックスから削除されます。
ポリシーからオブジェクトを削除し、デバイスを保持した状態でフルインデックス作成を開始すると、削除したオブジェクトはデバイスに関連付けられているため、グローバル検索インデックスに残ります。

フルインデックス作成の開始

手順

ステップ 1

管理者またはネットワーク管理者権限を持つアカウントを使用して CDO にログインします。

ステップ 2

メニューバーから [設定（Settings）] > [全般設定（General Settings）] に移動します。

ステップ 3

グローバル検索で、[フルインデックス作成の開始（Initiate Full Indexing）] をクリックしてインデックス作成をトリガーします。

（注）

フルインデックスの作成を開始すると、CDO テナントの既存のインデックスがクリアされます。

ステップ 4

ここをクリックして、グローバル検索ワークフローを表示します。

グローバル検索の実行

手順

ステップ 1

CDO にログインします。

ステップ 2

CDO ページの右上隅にある検索アイコンをクリックし、表示される検索フィールドに検索文字列を入力します。

検索文字列の入力を開始すると、可能性のある項目のリストが表示されます。検索結果は、All、Devices、Objects、および connected_fmc の 4 つのカテゴリの下に表示されます。右ペインには、選択した検索結果の情報が表示されます。

ステップ 3

検索結果からデバイスまたはオブジェクトを選択し、矢印アイコンをクリックして、検索結果から対象のデバイスおよびオブジェクトのページに移動します。検索結果からオブジェクトを選択し、矢印アイコンをクリックして、検索結果から対象のページに移動します。

（注）

クラウド提供型 Firewall Management Center でデバイスの検索結果を選択すると、CDO 内のクラウド提供型 Firewall Management Center ユーザーインターフェイスに移動できます。

クラウド提供型 Firewall Management Center の詳細については、『Managing Firewall Threat Defense with Cloud-Delivered Firewall Management Center in Cisco Defense Orchestrator』を参照してください。

ステップ 4

[X] をクリックして検索バーを閉じます。

デバイスの管理用 CLI マクロ

CLI マクロは、すぐに使用できる完全な形式の CLI コマンド、または実行前に変更できる CLI コマンドのテンプレートです。すべてのマクロは、1 つ以上のデバイスで同時に実行できます。

テンプレートに似た CLI マクロを使用して、複数のデバイスで同じコマンドを同時に実行します。CLI マクロは、デバイスの設定と管理の一貫性を促進します。完全な形式の CLI マクロを使用して、デバイスに関する情報を取得します。デバイスですぐに使用できるさまざまな CLI マクロがあります。

頻繁に実行するタスクを監視するための CLI マクロを作成できます。詳細については、「CLI マクロの作成」を参照してください。

CLI マクロは、システム定義またはユーザー定義です。システム定義マクロは CDO によって提供され、編集も削除もできません。ユーザー定義マクロはユーザーが作成し、編集または削除できます。

（注）

デバイスが CDO にオンボードされた後にのみ、デバイスのマクロを作成できます。

例として ASA を使用すると、いずれかの ASA で特定のユーザーを検索する場合は、次のコマンドを実行できます。

show running-config | grep username

このコマンドを実行すると、検索しているユーザーのユーザー名が username に置き換わります。このコマンドからマクロを作成するには、同じコマンドを使用して、username を中括弧で囲みます。

パラメータには任意の名前を付けることができ、そのパラメータ名で同じマクロを作成することもできます。

パラメータ名は説明的な名前にでき、英数字と下線を使用する必要があります。この場合、コマンドシンタックスは次のようになります。

show running-config | grep

コマンドの一部として、コマンドの送信先のデバイスに適した CLI シンタックスを使用する必要があります。

新規コマンドからの CLI マクロの作成

手順

ステップ 1

CLI マクロを作成する前に CDO のコマンドラインインターフェイスでコマンドをテストして、コマンドの構文が正しく、信頼できる結果が返されることを確認します

（注）

ステップ 2

ナビゲーションバーで、[インベントリ（Inventory）] をクリックします。

ステップ 3

[デバイス（Devices）] タブをクリックしてデバイスを見つけます。

ステップ 4

適切なデバイスタイプのタブをクリックし、オンラインかつ同期されているデバイスを選択します。

ステップ 5

[>_コマンドラインインターフェイス（>_Command Line Interface）] をクリックします。

ステップ 6

CLI マクロのお気に入りのスターをクリックして、すでに存在するマクロを確認します。

ステップ 7

プラスボタンをクリックします。

ステップ 8

マクロに一意の名前を指定します。必要に応じて、CLI マクロの説明とメモを入力します。

ステップ 9

[コマンド（Command）] フィールドにコマンドを入力します。

ステップ 10

コマンドの実行時に変更したいコマンドの部分を、中括弧で囲まれたパラメータ名に置き換えます。

ステップ 11

[作成（Create）] をクリックします。作成したマクロは、最初に指定したデバイスだけでなく、そのタイプのすべてのデバイスで使用できます。

コマンドを実行するには、『デバイスでの CLI マクロの実行』を参照してください。

CLI 履歴または既存の CLI マクロからの CLI マクロの作成

この手順では、すでに実行したコマンド、別のユーザー定義マクロ、またはシステム定義マクロからユーザー定義マクロを作成します。

手順

ステップ 1

ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。

（注）

CLI 履歴からユーザー定義マクロを作成する場合は、コマンドを実行したデバイスを選択します。CLI マクロは、同じアカウントのデバイス間で共有されますが、CLI 履歴は共有されません。

ステップ 2

[デバイス] タブをクリックします。

ステップ 3

適切なデバイスタイプのタブをクリックし、オンラインかつ同期されているデバイスを選択します。

ステップ 4

[>_コマンドラインインターフェイス（>_Command Line Interface）] をクリックします。

ステップ 5

CLI マクロを作成するコマンドを見つけて選択します。次のいずれかの方法を使用してください。

クロックをクリックして、そのデバイスで実行したコマンドを表示します。マクロに変換するコマンドを選択すると、コマンドペインにそのコマンドが表示されます。
CLI マクロのお気に入りのスターをクリックして、すでに存在するマクロを確認します。変更するユーザー定義またはシステム定義の CLI マクロを選択します。コマンドがコマンドペインに表示されます。

ステップ 6

コマンドがコマンドペインに表示された状態で、CLI マクロの金色の星をクリックします。このコマンドが、新しい CLI マクロの基礎になります。

ステップ 7

マクロに一意の名前を指定します。必要に応じて、CLI マクロの説明とメモを入力します。

ステップ 8

[コマンド（Command）] フィールドのコマンドを確認し、必要な変更を加えます。

ステップ 9

コマンドの実行時に変更したいコマンドの部分を、中括弧で囲まれたパラメータ名に置き換えます。

ステップ 10

[作成（Create）] をクリックします。作成したマクロは、最初に指定したデバイスだけでなく、そのタイプのすべてのデバイスで使用できます。

コマンドを実行するには、CLI マクロの実行を参照してください。

CLI マクロの実行

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス] タブをクリックします。
ステップ 3	適切なデバイスタイプのタブをクリックし、1 つ以上のデバイスを選択します。
ステップ 4	[>_コマンドラインインターフェイス（>_Command Line Interface）] をクリックします。
ステップ 5	コマンドパネルで、スターをクリックします。
ステップ 6	コマンドパネルから CLI マクロを選択します。
ステップ 7	次のいずれかの方法でマクロを実行します。定義するパラメータがマクロに含まれていない場合は、[送信（Send）] をクリックします。コマンドへの応答が応答ペインに表示されます。これで完了です。マクロにパラメータが含まれている場合（下の Configure DNS マクロなど）、[>_ パラメータの表示（>_ View Parameters）] をクリックします。
ステップ 8	[パラメータ（Parameters）] ペインで、パラメータの値を [パラメータ（Parameters）] の各フィールドに入力します。
ステップ 9	[送信（Send）] をクリックします。CDO が正常にコマンドを送信し、デバイスの構成を更新すると、「完了」というメッセージが表示されます。
ステップ 10	コマンドを送信した後で、「一部のコマンドが実行コンフィギュレーションに変更を加えた可能性があります」というメッセージが 2 つのリンクとともに表示されることがあります。 [ディスクへの書き込み（Write to Disk）] をクリックすると、このコマンドによって加えられた変更と、実行コンフィギュレーションのその他の変更がデバイスのスタートアップ構成に保存されます。 [取り消す（Dismiss）] をクリックすると、メッセージが取り消されます。

CLI マクロの編集

ユーザー定義の CLI マクロは編集できますが、システム定義のマクロは編集できません。CLI マクロを編集すると、すべてのデバイスでマクロが変更されます。マクロは特定のデバイス固有のものではありません。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス] タブをクリックします。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	デバイスを選択します。
ステップ 5	[コマンドラインインターフェイス（Command Line Interface）] をクリックします。
ステップ 6	編集するユーザー定義マクロを選択します。
ステップ 7	マクロラベルの編集アイコンをクリックします。
ステップ 8	[マクロの編集（Edit Macro）] ダイアログボックスで CLI マクロを編集します。
ステップ 9	[保存（Save）] をクリックします。 CLI マクロの実行方法については、「CLI マクロの実行」を参照してください。

CLI マクロの削除

ユーザー定義の CLI マクロは削除できますが、システム定義のマクロは削除できません。CLI マクロを削除すると、すべてのデバイスでマクロが削除されます。マクロは特定のデバイス固有のものではありません。

手順

ステップ 1	ナビゲーションバーで、[デバイスとサービス（Devices & Services）] をクリックします。
ステップ 2	[デバイス] タブをクリックします。
ステップ 3	適切なデバイスタイプのタブをクリックします。
ステップ 4	デバイスを選択します。
ステップ 5	[コマンドラインインターフェイス（Command Line Interface）] をクリックします。
ステップ 6	削除するユーザー定義 CLI マクロを選択します。
ステップ 7	CLI マクロラベルのゴミ箱アイコンをクリックします。
ステップ 8	CLI マクロを削除することを確認します。

オブジェクト

オブジェクトは、1 つ以上のセキュリティポリシーで使用できる情報のコンテナです。オブジェクトを使用すると、ポリシーの一貫性を簡単に維持できます。単一のオブジェクトを作成し、異なるポリシーを使用して、オブジェクトを変更すると、その変更がオブジェクトを使用するすべてのポリシーに伝播されます。オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。

デバイスをオンボードすると、CDO はそのデバイスで使用されるすべてのオブジェクトを認識して保存し、[オブジェクト（Objects）] ページにリストします。[オブジェクト（Objects）] ページから、既存のオブジェクトを編集したり、セキュリティポリシーで使用する新しいオブジェクトを作成したりできます。

CDO は、複数のデバイスで使用されるオブジェクトを共有オブジェクトと呼び、[オブジェクト（Objects）] ページでこのバッジでそれらを識別します。

共有オブジェクトが何らかの「問題」を引き起こし、複数のポリシーまたはデバイス間で完全に共有されなくなる場合があります。

重複オブジェクトとは、同じデバイス上にある、名前は異なるが値は同じである 2 つ以上のオブジェクトです。通常、重複したオブジェクトは同じ目的を果たし、さまざまなポリシーによって使用されます。重複するオブジェクトは、この問題のアイコンで識別されます。
不整合オブジェクトとは、2 つ以上のデバイス上にある、名前は同じだが値は異なるオブジェクトです。ユーザーは、さまざまな設定の中で、同じ名前と内容のオブジェクトを作成することがあります。これらのオブジェクトの値が時間の経過につれて相互に異なる値になり、不整合が生じます。不整合オブジェクトは、この問題のアイコンで識別されます。
未使用オブジェクトは、デバイス構成に存在するものの、別のオブジェクト、アクセスリスト、NAT ルールによって参照されていないオブジェクトです。未使用オブジェクトは、この問題のアイコンで識別されます。

ルールやポリシーですぐに使用するためのオブジェクトを作成することもできます。ルールやポリシーに関連付けないオブジェクトを作成できます。関連付けられていないオブジェクトをルールまたはポリシーで使用すると、CDO ではそのコピーが作成され、そのコピーが使用されます。

[オブジェクト（Objects）] メニューに移動するか、ネットワークポリシーの詳細でオブジェクトを表示することにより、CDO によって管理されているオブジェクトを表示できます。

CDO を使用すると、サポートされているデバイス全体のネットワークオブジェクトとサービスオブジェクトを 1 つの場所から管理できます。CDO を使用すると、次の方法でオブジェクトを管理できます。

さまざまな基準に基づいて、すべてのオブジェクトを検索してフィルタリングします。
デバイス上の重複、未使用、および不整合のオブジェクトを見つけて、それらのオブジェクトの問題を統合、削除、または解決します。
関連付けられていないオブジェクトを見つけて、それらが未使用であれば削除します。
デバイス間で共通の共有オブジェクトを検出します。
変更をコミットする前に、オブジェクトへの変更が一連のポリシーとデバイスに与える影響を評価します。
一連のオブジェクトとそれらの関係を、さまざまなポリシーやデバイスで比較します。
デバイスが CDO にオンボードされた後、デバイスによって使用されているオブジェクトをキャプチャします。

オンボードされたデバイスからのオブジェクトの作成、編集、または読み取りで問題が発生した場合は、Cisco Defense Orchestrator のトラブルシューティングを参照してください。

共有オブジェクト

Cisco Defense Orchestrator（CDO）では、複数のデバイス上の同じ名前と同じ内容のオブジェクトを共有オブジェクトと呼びます。共有オブジェクトはこのアイコンで識別されます。

これは、[オブジェクト（Objects）]ページに表示されます。共有オブジェクトを使用すると、1 か所でオブジェクトを変更でき、その変更がそのオブジェクトを使用する他のすべてのポリシーに影響するため、ポリシーの維持が容易になります。共有オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。

共有オブジェクトを調査する場合、CDO ではオブジェクトの内容がオブジェクトテーブルに表示されます。共有オブジェクトの内容はまったく同じです。CDO では、オブジェクトの要素の結合された、つまり「フラット化された」ビューが詳細ペインに表示されます。詳細ペインでは、ネットワーク要素が単純なリストにフラット化されており、名前付きオブジェクトに直接関連付けられていないことに注意してください。

オブジェクトのオーバーライド

オブジェクトのオーバーライドを使用すると、特定のデバイス上の共有ネットワークオブジェクトの値をオーバーライドできます。CDO は、オーバーライドを構成するときに指定したデバイスに対応する値を使用します。これらのオブジェクトは、名前は同じで値が異なる複数のデバイス上にありますが、CDO は、これらの値がオーバーライドとして追加されただけでは、それらを不整合オブジェクトとして識別しません。

ほとんどのデバイスに有効な定義を設定したオブジェクトを作成した後、異なる定義を必要とする少数のデバイスについて、オーバーライドを使用してオブジェクトに対する変更内容を指定できます。また、すべてのデバイスに対してオーバーライドする必要があるオブジェクトを作成し、そのオブジェクトを使用してすべてのデバイスに適用する単一のポリシーを作成することもできます。オブジェクトオーバーライドでは、デバイス全体で使用する共有ポリシーの小さなセットを作成し、個々のデバイスの必要に応じてポリシーを変更できます。

たとえば、各オフィスにプリンタサーバーがあり、プリンタサーバーオブジェクト print-server を作成しているシナリオを考えてみましょう。ACL には、プリンタサーバーのインターネットへのアクセスを拒否するルールを設定しています。プリンタサーバーオブジェクトには、オフィスごとに変更できるデフォルト値があります。これを行うには、オブジェクトのオーバーライドを使用し、すべての場所でルールと「printer-server」オブジェクトの一貫性を維持します（値は異なる場合があります）。

（注）

一貫性のないオブジェクトがある場合は、オーバーライドを使用してそれらを 1 つの共有オブジェクトに結合できます。詳細については、不整合オブジェクトの問題を解決するを参照してください。

オブジェクトの比較

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] をクリックして、オプションを選択します。
ステップ 2	ページのオブジェクトをフィルタ処理して、比較するオブジェクトを見つけます。
ステップ 3	[比較（Compare）] ボタンをクリックします。
ステップ 4	比較するオブジェクトを最大 3 つまで選択します。
ステップ 5	画面の下部にオブジェクトを並べて表示します。 [オブジェクトの詳細（Object Details）] タイトルバーの上下の矢印をクリックして、表示するオブジェクト詳細を調整します。 [詳細（Details）] ボックスと [関係（Relationships）] ボックスを展開するか折りたたんで、表示する情報を調整します。
ステップ 6	（オプション）[関係（Relationships）] ボックスには、オブジェクトの使用方法が表示されます。オブジェクトはデバイスまたはポリシーに関連付けられている場合があります。オブジェクトがデバイスに関連付けられている場合は、デバイス名をクリックしてから [構成の表示（View Configuration）] をクリックして、デバイスの構成を表示できます。CDO はデバイスの構成ファイルを表示し、そのオブジェクトのエントリをハイライトします。

フィルタ

[インベントリ（Inventory）] ページと [オブジェクト（Objects）] ページのさまざまなフィルタを使用して、探しているデバイスおよびオブジェクトを見つけることができます。

フィルタ処理するには、[デバイスとサービス（Devices and Services）] タブ、[ポリシー（Policies）] タブ、および [オブジェクト（Object）] タブの左側のペインでをクリックします。

インベントリフィルタでは、デバイスタイプ、ハードウェアとソフトウェアのバージョン、Snort バージョン、設定ステータス、接続状態、競合検出、Secure Device Connector、およびラベルでフィルタ処理できます。フィルタを適用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。フィルタを使用して、選択したデバイスタイプのタブ内のデバイスを見つけることができます。

オブジェクトフィルタを使用すると、デバイス、問題タイプ、共有オブジェクト、関連付けのないオブジェクト、およびオブジェクトタイプでフィルタ処理できます。結果にシステムオブジェクトを含めるかどうかを選択できます。検索フィールドを使用して、特定の名前、IP アドレス、またはポート番号を含むフィルタ結果内のオブジェクトを検索することもできます。

デバイスとオブジェクトをフィルタ処理する場合、検索語を組み合わせて、関連する結果を見つけるためのいくつかの潜在的な検索戦略を作成することができます。

次の例では、「問題（使用されている、または、不整合）があるオブジェクト、かつ、追加の値を持つ共有オブジェクト、かつ、特定のタイプ（ネットワーク、または、サービス）のオブジェクト」であるようなオブジェクトを検索するフィルタが適用されます。

オブジェクトフィルタ

フィルタ処理するには、[オブジェクト（Object）] タブの左側のペインでをクリックします。

[すべてのオブジェクト（All Objects）] – このフィルタは、CDO にオンボーディングしたすべてのデバイスから使用可能なすべてのオブジェクトを提供します。このフィルタは、すべてのオブジェクトを参照するために、または検索の開始点としてや、さらにサブフィルタ適用するために役立ちます。
[共有オブジェクト（Shared Objects）] – このクイックフィルタは、複数のデバイスで共有されていることが CDO によって検出されたすべてのオブジェクトを表示します。
[デバイスごとのオブジェクト（Objects By Device）] – 特定のデバイスを選択して、選択したデバイスで見つかったオブジェクトを表示できます。

サブフィルタ – 各メインフィルタ内には、選択をさらに絞り込むために適用できるサブフィルタがあります。これらのサブフィルタは、オブジェクトタイプ（ネットワーク、サービス、プロトコルなど）に基づいています。

このフィルタバーで選択されたフィルタは、以下の条件に一致するオブジェクトを返します。

* 2 つのデバイスのいずれかにあるオブジェクト（[デバイスでフィルタ処理（Filter by Device）] をクリックしてデバイスを指定します）。および

* 一貫性のないオブジェクト。および

* ネットワークオブジェクトまたはサービスオブジェクト。および

* オブジェクトの命名規則に「グループ」という単語が含まれているオブジェクト。

[システムオブジェクトの表示（Show System Objects）] がオンになっているため、結果にはシステムオブジェクトとユーザー定義オブジェクトの両方が含まれます。

システムオブジェクトの表示フィルタ

一部のデバイスには、一般的なサービス用に事前定義されたオブジェクトがあります。これらのシステムオブジェクトは既に作成されており、ルールやポリシーで使用できるので便利です。オブジェクトテーブルには多くのシステムオブジェクトが含まれる場合があります。システムオブジェクトは編集または削除できません。

[システムオブジェクトを表示（Show System Objects）] はデフォルトで「オフ」です。オブジェクトテーブルにシステムオブジェクトを表示するには、フィルタバーで [システムオブジェクトを表示（Show System Objects）] をオンにします。オブジェクトテーブルでシステムオブジェクトを非表示にするには、フィルタバーで [システムオブジェクトを表示（Show System Objects）] をオフのままにします。

システムオブジェクトを非表示にすると、それらは検索およびフィルタ処理の結果に含まれなくなります。システムオブジェクトを表示すると、それらはオブジェクトの検索とフィルタ処理の結果に含まれます。

オブジェクトフィルタを設定する

条件を必要な数だけ設定してフィルタリングできます。フィルタリングするカテゴリが多いほど、予想される結果は少なくなります。

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] をクリックして、オプションを選択します。
ステップ 2	ページ上部のフィルタアイコンをクリックして、フィルタパネルを開きます。オブジェクトが誤って除外されないように、チェック付きのフィルタのチェックを外します。さらに、検索フィールドを見て、検索フィールドに入力された可能性のあるテキストを削除します。
ステップ 3	結果を特定のデバイスで見つかったものに限定したい場合： [デバイスでフィルタ処理（Filter By Device）] をクリックします。すべてのデバイスを検索するか、デバイスタブをクリックして特定の種類のデバイスのみを検索します。フィルタ条件に含めるデバイスのチェックボックスをオンにします。 [OK] をクリックします。
ステップ 4	検索結果にシステムオブジェクトを含めるには、[システムオブジェクトを表示（Show System Objects）] をオンにします。検索結果でシステムオブジェクトを除外するには、[システムオブジェクトを表示（Show System Objects）] をオフにします。
ステップ 5	[問題（Issues）] で、フィルタリングするオブジェクトの問題のチェックボックスをオンにします。複数の問題をオンにすると、オンにしたいずれかのカテゴリのオブジェクトがフィルタ結果に含まれます。
ステップ 6	問題があったが管理者によって無視されたオブジェクトを表示する場合は、[無視（Ignored）] の問題をチェックします。
ステップ 7	2 つ以上のデバイス間で共有されるオブジェクトをフィルタリングする場合は、[共有オブジェクト（Shared Objects）] で必要なフィルタをオンにします。 [デフォルト値（Default Values）]：デフォルト値のみを持つオブジェクトをフィルタリングします。 [オーバーライド値（Override Values）]：オーバーライドされた値を持つオブジェクトをフィルタリングします。 [追加の値（Additional Values）]：追加の値を持つオブジェクトをフィルタリングします。
ステップ 8	ルールまたはポリシーの一部ではないオブジェクトをフィルタリングする場合は、[関連付けなし（Unassociated）] をオンにします。
ステップ 9	フィルタリングする [オブジェクトタイプ（Object Types）] をオンにします。
ステップ 10	オブジェクト名、IP アドレス、またはポート番号を [オブジェクト（Objects）] 検索フィールドに追加して、フィルタリングされた結果の中から検索条件に一致するオブジェクトを見つけることもできます。

フィルタ基準からデバイスを除外する場合

デバイスをフィルタリング基準に追加すると、結果にはデバイス上のオブジェクトは表示されますが、それらのオブジェクトと他のデバイスとの関係は表示されません。たとえば、ObjectA が ASA1 と ASA2 の間で共有されている場合、オブジェクトをフィルタリングして ASA1 上の共有オブジェクトを検索すると、ObjectA は見つかりますが、[関係（Relationships）] ペインには、オブジェクトが ASA1 にあることだけが表示されます。

オブジェクトが関連するすべてのデバイスを表示するには、検索条件でデバイスを指定しないでください。他の条件でフィルタリングし、必要に応じて検索条件を追加します。CDO が識別するオブジェクトを選択し、[関係（Relationships）] ペインを調べます。そのオブジェクトに関連するすべてのデバイスとポリシーが表示されます。

オブジェクトの無視の解除

未使用、重複、不整合のオブジェクトを解決する方法の 1 つは、それらを無視することです。オブジェクトが未使用、重複、または不整合であっても、その状態には正当な理由があると判断し、オブジェクトの問題を未解決のままにすることを選択する場合もあります。将来のある時点で、これらの無視されたオブジェクトを解決することが必要になる場合があります。オブジェクトの問題を検索するときに CDO は無視されたオブジェクトを表示しないため、無視されたオブジェクトのオブジェクトリストをフィルタリングし、結果に基づいて操作する必要があります。

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] をクリックして、オプションを選択します。
ステップ 2	無視されたオブジェクトをフィルタリングして検索します。
ステップ 3	[オブジェクト（Object）] テーブルで、無視を解除するオブジェクトをすべて選択します。一度に 1 つのオブジェクトの無視を解除できます。
ステップ 4	詳細ペインで [無視の解除（Unignore）] をクリックします。
ステップ 5	要求を確認します。これで、オブジェクトを問題でフィルタリングすると、以前は無視されていたオブジェクトが見つかるはずです。

オブジェクトの削除

1 つのオブジェクトまたは複数のオブジェクトを削除できます。

1 つのオブジェクトの削除

注意	クラウド提供型 Firewall Management Center がテナントにデプロイされている場合： [] ページのネットワークオブジェクトおよびグループに加えた変更は、[[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）]] ページの対応するクラウド提供型 Firewall Management Center ネットワークオブジェクトまたはグループに反映されます。いずれかのページからネットワークオブジェクトまたはグループを削除すると、両方のページからそのオブジェクトまたはグループは削除されます。

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] を選択して、オプションを選択します。
ステップ 2	オブジェクトフィルタと検索フィールドを使用して、削除するオブジェクトを見つけ、それを選択します。
ステップ 3	[関係（Relationships）] ペインを確認します。オブジェクトがポリシーまたはオブジェクトグループで使用されている場合は、そのポリシーまたはグループから削除するまでオブジェクトを削除できません。
ステップ 4	[アクション（Actions）] ペインで、[削除（Remove）] アイコンをクリックします。
ステップ 5	[OK] をクリックしてオブジェクトの削除を確認します。
ステップ 6	行った変更をレビューして展開するか、待機してから複数の変更を一度に展開します。

未使用オブジェクトのグループの削除

デバイスをオンボードしてオブジェクトの問題解決に取り組むと、多くの未使用のオブジェクトが見つかります。一度に最大 50 個の未使用オブジェクトを削除できます。

手順

ステップ 1	[問題（Issues）] フィルタを使用して、未使用のオブジェクトを見つけます。デバイスフィルタを使用する際に [デバイスなし（No Device）] を選択し、デバイスに関連付けられていないオブジェクトを検索することもできます。オブジェクトリストをフィルタリングすると、オブジェクトのチェックボックスが表示されます。
ステップ 2	オブジェクトテーブルヘッダーの [すべて選択（Select all）] チェックボックスをオンにして、フィルタによって検出されオブジェクトテーブルに表示されるすべてのオブジェクトを選択するか、削除する個々のオブジェクトの個々のチェックボックスをオンにします。
ステップ 3	[アクション（Actions）] ペインで、[削除（Remove）] アイコンをクリックします。
ステップ 4	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ネットワークオブジェクト

1 つのネットワークオブジェクトには、ホスト名、ネットワーク IP アドレス、IP アドレスの範囲、完全修飾ドメイン名（FQDN）または CIDR 表記のサブネットワークのいずれか 1 つを入れることができます。[ネットワークグループ（Network groups）] は、ネットワークオブジェクトと、グループに追加するその他の個々のアドレスまたはサブネットワークのコレクションです。ネットワークオブジェクトとネットワークグループは、アクセスルール、ネットワークポリシー、および NAT ルールで使用されます。CDO を使用して、ネットワークオブジェクトとネットワークグループを作成、更新、および削除できます。

表 3. ネットワークオブジェクトで許可される値
デバイスタイプ（Device Type）	[IPv4 / IPv6]	シングルアドレス	アドレス範囲	完全修飾ドメイン名	CIDR 表記法によるサブネット
Meraki	IPv4	対応	対応	対応	対応

表 4. ネットワークグループで許可される内容
デバイスタイプ（Device Type）	IP 値	[ネットワークオブジェクト（Network Object）]	ネットワークグループ
Meraki	対応	対応	対応

製品間でのネットワークオブジェクトの再利用

クラウド提供型 Firewall Management Center とテナントにオンボーディングされている 1 つ以上のオンプレミス Management Center を含む Cisco Defense Orchestrator テナントがある場合は、次の手順を実行します。

Cisco Secure Firewall Threat Defense、FDM による管理脅威に対する防御、ASA、または Meraki ネットワークオブジェクトまたはグループを作成すると、そのオブジェクトのコピーが、クラウド提供型 Firewall Management Center の設定時に使用する [オブジェクト（Objects）] > [その他のFTDオブジェクト（Other FTD Objects）] ページのオブジェクトリストにも追加され、その逆も同様です。

いずれかのページのネットワークオブジェクトやグループに加えた変更は、両方のページのオブジェクトまたはグループインスタンスに適用されます。1 つのページからオブジェクトを削除すると、そのオブジェクトの対応するコピーも他のページから削除されます。

例外：

同じ名前のネットワークオブジェクトがすでにクラウド提供型 Firewall Management Center に存在する場合、新しい Cisco Secure Firewall Threat Defense、FDM による管理脅威に対する防御、ASA、または Meraki ネットワークオブジェクトは、Cisco Defense Orchestrator の [オブジェクト（Objects）] > [他のFTDオブジェクト（Other FTD Objects）] ページには複製されません。
オンプレミスの Cisco Secure Firewall Management Center によって管理される導入準備済み脅威に対する防御デバイスのネットワークオブジェクトおよびグループは、[オブジェクト（Objects）] > [その他のFTDオブジェクト（Other FTD Objects）] ページでは複製されず、クラウド提供型 Firewall Management Center で使用できません。

クラウド提供型 Firewall Management Center に 移行したオンプレミスの Cisco Secure Firewall Management Center インスタンスの場合、ネットワークオブジェクトとグループは、FTD デバイスに展開されたポリシーで使用されていれば、CDO オブジェクトページに複製されることに注意してください。
CDO とクラウド提供型 Firewall Management Center の間のネットワークオブジェクトの共有は、新しいテナントでは自動的に有効になりますが、既存のテナントでは要求する必要があります。ネットワークオブジェクトがクラウド提供型 Firewall Management Center と共有されていない場合は、TAC に連絡して、テナントで機能を有効にしてもらいます。

ネットワークオブジェクトの表示

CDO を使用して作成するネットワークオブジェクトと、オンボーディングしたデバイスの設定から CDO が認識するネットワークオブジェクトは、[オブジェクト（Objects）] ページに表示されます。これらのネットワークオブジェクトには、それぞれのオブジェクトタイプのラベルが付けられています。これにより、オブジェクトタイプでフィルタリングして、探しているオブジェクトをすばやく見つけることができます。

[オブジェクト（Objects）] ページでネットワークオブジェクトを選択すると、オブジェクトの値が [詳細（Detail）] ペインに表示されます。[関係（Relationships）] ペインには、オブジェクトがポリシーで使用されているかどうか、およびオブジェクトが保存されているデバイスが表示されます。

ネットワークグループをクリックすると、そのグループの内容が表示されます。ネットワークグループは、ネットワークオブジェクトによってグループに与えられたすべての値の集合体です。

Meraki デバイスに関連付けられるオブジェクト

Meraki デバイスで使用されるオブジェクトについて

Meraki ダッシュボードは、アウトバウンドアクセス制御ルールの送信元および宛先フィールドに指定された IP アドレス、プロトコル、またはポート範囲のグループを利用します。オンボーディングすると、CDO は、IP アドレスをネットワークオブジェクトに変換し、アプリケーションレイヤのプロトコル値をサービスオブジェクトまたはプロトコルオブジェクトに変換します。

CDO の 1 つのルールがダッシュボードで複数のルールに変換される可能性があります。たとえば、TCP プロトコルと UDP プロトコルの両方を含む ASA プロトコルグループを CDO の単一のアクセス制御ルールに追加すると、CDO は 1 つの CDO ルールをダッシュボード内の複数のルールに変換します。変換後のルールは、TCP プロトコルを含む 1 つのルールと UDP プロトコルを含む 1 つのルールになります。

Meraki ダッシュボードと CDO はどちらも CIDR サブネット表記をサポートしていることに注意してください。レイヤ 3 スイッチインターフェイスと MX デバイスレイアウトの詳細については、Meraki ナレッジベースを参照してください。

CDO の Meraki デバイスで使用できるオブジェクト

Cisco Defense Orchestrator（CDO）には、MX デバイス専用のオブジェクトはありません。代わりに、FTD、FDM および ASA オブジェクトを作成または共有し、デバイスに展開されるルールにこれらのオブジェクトを関連付けることができます。Meraki には FTD および ASA オブジェクトとの完全な互換性がないため、MX デバイスがオブジェクトを使用する方法に影響するいくつかの制限がある可能性があります。

FTD、FDM または ASA オブジェクトを MX デバイスに関連付けると、そのオブジェクトが共有されるようになることに注意してください。関連付けられたオブジェクトへの変更は、そのオブジェクトが共有されているすべてのデバイスに影響し、デバイスの設定ステータスには [非同期（Not Synced）] と表示されます。詳細については、「共有オブジェクト」を参照してください。オブジェクトに影響する付加的なオブジェクト状態については、このページの下部に表示されている「関連記事」セクションを参照してください。

Meraki は、IPv6 アドレスまたは FQDN を含むオブジェクトをサポートしていません。


CDO のオブジェクト	Meraki との互換性あり
プロトコルオブジェクト	TCP、UDP、ICMP
ネットワークオブジェクト	Yes
ネットワークグループ	Yes
サービスオブジェクト	Yes
ASA サービスグループ	×
FTD サービスグループ	×

Meraki クラウドのローカルネットワークオブジェクトおよびオブジェクトグループ

ネットワークオブジェクトとオブジェクトグループを使用すると、Meraki デバイスのファイアウォールルールを簡単に管理できます。これらは、ファイアウォールルールなどのアクセスポリシーで使用できる IP サブネットおよび FQDN のラベルとして機能します。同じ IP サブネットや FQDN を使用する複数のアクセスポリシーを変更する必要がある場合は、ネットワークオブジェクトを変更して、すべてのポリシーに反映させるだけです。現時点では、ネットワークオブジェクトの作成と変更には、Meraki ダッシュボードを使用する必要があります。お使いの環境でネットワークオブジェクトを使って何ができるのかについては、Meraki の『ネットワークオブジェクトのハイライト』[英語] を参照してください。

（注）

Meraki ネットワークオブジェクトやネットワークオブジェクトグループを参照するデバイス設定が CDO UI にオンボードまたは同期されると、これらのオブジェクトは FTD ネットワークオブジェクトとして表示されます。

これらのオブジェクトおよびオブジェクトグループは、CDO では読み取り専用になります。

CDO での Meraki ルールの表示

デバイスのポリシーページからオブジェクトを表示するか、デバイスに基づいてオブジェクトページをフィルタ処理できます。ポリシーページから、アクセス制御ルールの表示、編集、および並べ替えを実行できます。CDO は、Meraki ダッシュボードからのアウトバウンドルールをオブジェクトへのアクセス制御ルールに変換するため、Meraki ダッシュボードからのルールとプロトコルの表示が変更される場合があります。次の表は、CDO へのデバイスのオンボーディングを完了した後のプロトコルの新しい名前を示しています。


Meraki ダッシュボードでのルールまたはプロトコルのヘッダー	CDO でのルールまたはオブジェクトのヘッダー
ポリシー	操作
[ソースIP（Source IP）]	ネットワークオブジェクトまたはネットワークグループ
[宛先 IP アドレス（Destination IP）]	ネットワークオブジェクトまたはネットワークグループ
送信元ポート（Source Port）	ネットワークオブジェクトまたはネットワークグループ
[宛先ポート（Destination Port）]	ネットワークオブジェクトまたはネットワークグループ
レイヤ 3 アプリケーションプロトコル	ポート（プロトコルグループ、ポートグループ、またはサービスオブジェクト）

次の例は、Meraki ダッシュボードからのアウトバウンドルールがCDO でどのように表示されるかを示しています。

Meraki ローカルネットワークオブジェクトの作成

ローカルの Meraki ネットワークオブジェクトは、Cisco Merkai ダッシュボードで作成する必要があります。CDO にまだ導入準備されていない Meraki デバイスがある場合、既存のローカルオブジェクトはすべてデバイスに導入準備されます。導入準備された Meraki デバイスがある場合は、CDO でデバイスを同期して、新しい構成とローカルオブジェクトを読み取ります。

（注）

Meraki ネットワークオブジェクトやネットワークオブジェクトグループを参照するデバイス構成が CDO UI で導入準備または同期されると、これらのオブジェクトは FTD ネットワークオブジェクトまたはオブジェクトグループとして表示されます。

これらのオブジェクトおよびオブジェクトグループは、CDO では読み取り専用になります。

始める前に

Merkai のオープンベータネットワークオブジェクトを有効にしていない場合は、Cisco Meraki ダッシュボードにログインし、[組織] > [ポリシーオブジェクト] に移動して、ローカルオブジェクトとオブジェクトグループに登録してアクセスします。

手順

ステップ 1	Meraki ダッシュボードにログインし、ローカルオブジェクトまたはローカルオブジェクトグループを作成します。詳細については、『Network Objects Configuration Guide』を参照してください。
ステップ 2	CDO にログインします。注：Meraki デバイスを CDO にまだ導入準備していない場合は、詳細について「CDO への MX デバイスのオンボード」を参照してください。デバイスを導入準備すると、既存のすべてのオブジェクトも導入準備されます。
ステップ 3	ナビゲーションウィンドウで、[インベントリ（Inventory）] をクリックします。
ステップ 4	Merkai デバイスを見つけて選択し、デバイスの行が強調表示されるようにします。デバイスのステータスは [競合が検出されました] になっています。右側のペインで、[競合の確認] を選択してデバイスの構成に追加された変更を確認するか、[確認せずに承認] を選択してすべての構成変更を承認します。

Meraki ネットワークオブジェクトまたはネットワークグループの作成または編集

MX デバイスは Firepower および ASA ネットワークオブジェクトと同じ形式を使用し、CIDR 表記で表されたホスト名、IP アドレス、またはサブネットアドレスを含めることができます。ネットワークグループは、ネットワークオブジェクトと、グループに追加するその他の個々のアドレスまたはサブネットのコレクションです。ネットワークオブジェクトとネットワークグループは、アクセスルールで使用されます。CDO を使用して、ネットワークオブジェクトとネットワークグループを作成、読み取り、更新、および削除できます。

ネットワークオブジェクトに追加できる IP アドレス


デバイスタイプ（Device Type）	[IPv4 / IPv6]	シングルアドレス	アドレス範囲	完全修飾ドメイン名	CIDR 表記法によるサブネット
MX	IPv4	対応	対応	×	対応

（注）

クラウド提供型 Firewall Management Center がテナントにデプロイされている場合：

ネットワークオブジェクトまたはグループを [] ページに作成すると、オブジェクトのコピーが [[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）]] ページに自動的に追加されます。また、この逆も同様です。

注意	クラウド提供型 Firewall Management Center がテナントにデプロイされている場合： [] ページのネットワークオブジェクトおよびグループに加えた変更は、[[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）]] ページの対応するクラウド提供型 Firewall Management Center ネットワークオブジェクトまたはグループに反映されます。いずれかのページからネットワークオブジェクトまたはグループを削除すると、両方のページからそのオブジェクトまたはグループは削除されます。

Meraki ネットワークオブジェクトの作成

（注）

クラウド提供型 Firewall Management Center がテナントにデプロイされている場合：

ネットワークオブジェクトまたはグループを [] ページに作成すると、オブジェクトのコピーが [[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）]] ページに自動的に追加されます。また、この逆も同様です。

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] > [Meraki オブジェクト（Meraki Objects）] をクリックします。
ステップ 2	をクリックしてから、[FTD] > [ネットワーク（Network）]または[ASA] > [ネットワーク（Network）]をクリックします。
ステップ 3	オブジェクト名を入力します。
ステップ 4	[ネットワークオブジェクトの作成（Create a network object）] を選択します。
ステップ 5	[値（Value）] セクションで、単一の IP アドレスまたは CIDR 表記で表されるサブネットアドレスを入力します。
ステップ 6	[追加（Add）] をクリックします。
ステップ 7	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Meraki ネットワークグループの作成

ネットワークグループは、複数のネットワークオブジェクトまたは IP アドレスで構成されます。

ネットワークグループをネットワークオブジェクトで構成する場合は、上記の「ネットワークオブジェクトの作成」の手順を使用して、IP アドレスごとに個別のネットワークオブジェクトを作成します。

（注）

クラウド提供型 Firewall Management Center がテナントにデプロイされている場合：

ネットワークオブジェクトまたはグループを [] ページに作成すると、オブジェクトのコピーが [[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）]] ページに自動的に追加されます。また、この逆も同様です。

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] > [Meraki オブジェクト（Meraki Objects）] をクリックします。
ステップ 2	をクリックしてから、[FTD] > [ネットワーク（Network）]または[ASA] > [ネットワーク（Network）]のいずれかをクリックします。
ステップ 3	オブジェクト名を入力します。
ステップ 4	[ネットワークグループの作成（Create a network group）] を選択します。
ステップ 5	[オブジェクトの追加（Add Object）] をクリックし、リストからネットワークオブジェクトを選択して、[選択（Select）] をクリックします。必要なすべてのネットワークオブジェクトを追加するまで、この操作を繰り返します。
ステップ 6	[追加（Add）] をクリックします。
ステップ 7	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

Firepower ネットワークオブジェクトまたはネットワークグループの編集

注意	クラウド提供型 Firewall Management Center がテナントにデプロイされている場合： [] ページのネットワークオブジェクトおよびグループに加えた変更は、[[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）]] ページの対応するクラウド提供型 Firewall Management Center ネットワークオブジェクトまたはグループに反映されます。いずれかのページからネットワークオブジェクトまたはグループを削除すると、両方のページからそのオブジェクトまたはグループは削除されます。

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] > [Meraki オブジェクト（Meraki Objects）] をクリックします。
ステップ 2	オブジェクトフィルタと検索フィールドを使用して、編集するオブジェクトを見つけます。
ステップ 3	編集するオブジェクトを選択します。
ステップ 4	[詳細（details）] ペインの [編集（edit）] ボタンをクリックします。
ステップ 5	前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。
ステップ 6	[保存（Save）] をクリックします。
ステップ 7	CDO は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。
ステップ 8	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

ネットワークオブジェクトとグループの削除

クラウド提供型 Firewall Management Center がテナントにデプロイされている場合：

のページからネットワークオブジェクトまたはグループを削除すると、[オブジェクト（Objects）] > [その他の FTD オブジェクト（Other FTD Objects）] ページから重複するネットワークオブジェクトまたはグループが削除されます。その逆も同様です。

サービスオブジェクト

プロトコルオブジェクト

プロトコルオブジェクトは、使用頻度の低いプロトコルやレガシープロトコルを含むサービスオブジェクトの一種です。プロトコルオブジェクトは、名前とプロトコル番号で識別されます。CDO は、ASA および Firepower（FDM による管理デバイス）設定でこれらのオブジェクトを認識し、これらに独自のフィルタ「プロトコル」を適用します。そのため、これらのオブジェクトを簡単に見つけることができます。

ICMP オブジェクト

Internet Control Message Protocol （ICMP）オブジェクトは、ICMP および IPv6-ICMP メッセージ専用のサービスオブジェクトです。CDO は、ASA および Firepower（FTD）がオンボードされたときにデバイスの設定でこれらのオブジェクトを認識し、これらに独自のフィルタ「ICMP」を適用します。そのため、これらのオブジェクトを簡単に見つけることができます。

CDO を使用して、ASA 設定から ICMP オブジェクトの名前を変更したり、ICMP オブジェクトを削除したりできます。CDO を使用して、Firepower 設定の ICMP および ICMPv6 オブジェクトを作成、更新、および削除できます。

（注）

ICMPv6 プロトコルの場合、AWS は特定の引数の選択をサポートしていません。すべての ICMPv6 メッセージを許可するルールのみがサポートされます。

Meraki サービスオブジェクトの作成または編集

サービスオブジェクトの概要

サービスオブジェクトは、TCP/IP プロトコルとポートを指定する再利用可能なコンポーネントです。CDO は、これらのオブジェクトをサービスオブジェクトとして分類します。MX デバイスに展開すると、CDO はオブジェクトをプロトコルまたはポート範囲に変換します。CDO が Meraki プロトコルをオブジェクトとして処理する方法の詳細については、 Meraki デバイスに関連付けられるオブジェクトを参照してください。

サービスオブジェクトの作成

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] > [Meraki オブジェクト（Meraki Objects）] をクリックします。
ステップ 2	をクリックしてから、[FTD] > [サービス（Service）] または [ASA] > [サービス（Service）] をクリックします。
ステップ 3	オブジェクト名と説明を入力します。
ステップ 4	[サービスオブジェクトの作成（Create a service object）] を選択します。
ステップ 5	[サービスタイプ（Service Type）] ボタンをクリックし、オブジェクトを作成するプロトコルを選択します。
ステップ 6	次のいずれかのアクションを実行して、プロトコルを識別する情報を入力します。 TCP または UDP ポートの特定のポート番号を入力します。 ICMP または ICMPv6 メッセージタイプを選択します。「その他」のサービスタイプを選択した場合は、リストから TCP/IP プロトコルの 1 つを選択します。
ステップ 7	[追加（Add）] をクリックします。
ステップ 8	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

サービスグループを作成する

手順

ステップ 1

左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] > [Meraki オブジェクト（Meraki Objects）] をクリックします。

ステップ 2

をクリックしてから、[FTD] > [サービス（Service）] をクリックします。

（注）

Meraki は ASA サービスグループをサポートしていません。

ステップ 3

オブジェクト名と説明を入力します。

ステップ 4

[サービスグループの作成（Create a service group）] を選択します。

ステップ 5

[オブジェクトの追加（Add Object）] をクリックし、オブジェクトを選択して [選択（Select）] をクリックすることで既存のオブジェクトを追加します。このステップを繰り返してさらにオブジェクトを追加します。

ステップ 6

サービスオブジェクトとサービス値のサービスグループへの追加が完了したら、[追加（Add）] をクリックします。

ステップ 7

行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

サービスオブジェクトまたはサービスグループの編集

手順

ステップ 1	左側の CDO ナビゲーションバーで、[オブジェクト（Objects）] > [Meraki オブジェクト（Meraki Objects）] をクリックします。
ステップ 2	オブジェクトをフィルタリングして編集するオブジェクトを見つけ、オブジェクトテーブルでオブジェクトを選択します。
ステップ 3	詳細ペインで、[編集（Edit）] をクリックします。
ステップ 4	前述の手順で作成したのと同じ方法で、ダイアログボックスの値を編集します。
ステップ 5	[保存（Save）] をクリックします。
ステップ 6	CDO は、変更の影響を受けるポリシーを表示します。[確認（Confirm）] をクリックして、オブジェクトとその影響を受けるポリシーへの変更を確定します。これで、オブジェクトを Meraki ポリシーで使用する準備ができました。
ステップ 7	行った変更を今すぐレビューして展開するか、待機してから複数の変更を一度に展開します。

偏向のない言語

翻訳について

検索結果

章のタイトル： Cisco Defense Orchestrator の基本

Cisco Defense Orchestrator の基本

CDO と Meraki の通信方法

CDO テナントのリクエスト

はじめる前に

手順

追加の CDO テナントのリクエスト

ライセンス

ライセンスについて

サブスクリプション

ソフトウェア サブスクリプションのサポート

評価ライセンス

Cisco Defense Orchestrator トライアルライセンス

クラウド提供型 Firewall Management Center 評価ライセンス

クラウド提供型 Firewall Management Center および Threat Defense ライセンス

クラウド提供型 Firewall Management Center の Threat Defense ライセンス

その他のサポート対象デバイスとライセンス

Secure Device Connector（SDC）

管理対象デバイスへの Cisco Defense Orchestrator の接続

Cloud Connector を介したデバイスの CDO への接続

SDC を使用したデバイスの CDO への接続

ASA または Cisco Secure Firewall Cloud Native を SDC に接続する際の特別な考慮事項

ASA または Cisco Secure Firewall Cloud Native コマンドの例

CDO の VM イメージを使用した Secure Device Connector の展開

始める前に

手順

自身の VM 上での Secure Device Connector の展開

始める前に

手順

次のタスク

Terraform を使用した vSphere への Secure Device Connector の展開

始める前に

手順

例:

例:

例:

Terraform モジュールを使用した AWS VPC 上での Secure Device Connector の展開

始める前に

手順

次のタスク

Secure Device Connector の IP アドレスの変更

始める前に

手順

Secure Device Connector の削除

手順

ある SDC から別の SDC への ASA の移動

手順

Firepower の接続ログイン情報の更新

手順

Secure Device Connector の名前変更

手順

Secure Device Connector の更新

手順

単一の CDO テナントで複数の SDC を使用する

同一 SDC を使用した CDO に接続するすべてのデバイスを見つける

手順

Secure Device Connector オープンソースおよびサードパーティライセンス属性

CDO へのサインイン

新規 CDO テナントへの初回ログイン

はじめる前に

次の手順

ログインの失敗のトラブルシューティング

Cisco Security Cloud Sign On ID プロバイダーへの移行

はじめる前に

移行後のログイン失敗のトラブルシューティング

Cisco Security Cloud Sign On ダッシュボードからの CDO の起動

手順

テナントのネットワーク管理者の管理

CDO でサポートされるソフトウェアとハードウェア

クラウドデバイスのサポートの詳細

ブラウザ サポート

Cisco Defense Orchestrator プラットフォームのメンテナンススケジュール

Cisco Defense Orchestrator のメンテナンススケジュール

クラウド提供型 Firewall Management Center のメンテナンススケジュール

テナント管理

全般設定

ソフトウェアサブスクリプションのサポート

ブラウザサポート

アイデンティティプロバイダーアカウントと Cisco Defense Orchestrator ユーザーレコードとの関係

独自のアイデンティティプロバイダーをもつ顧客

シスコマネージドサービスプロバイダー