このリリースでは次の機能が導入されました。

機能	説明
Cisco Secure Web Appliance の必須スマートライセンス	AsyncOS 15.1 以降のリリースでは、スマート ソフトウェア ライセンスは必須です。スマートライセンスの導入には、次の機能が含まれます。 Secure Web Appliance イメージを CCO からインストールした場合、スマートライセンスはデフォルトで有効になります。 システム管理者がデバイスのスマート ソフトウェア ライセンスを有効にしていない場合は、AsyncOS 15.1 ビルドにアップグレードできません。 AsyncOS 15.1 以降のリリースでは、従来のライセンス コマンドと UI オプションはサポートされていません。これらのコマンドと UI オプションは、Cisco スマートライセンスポリシーでは無効です。 詳細については、『Smart Software Licensing』を参照してください。
Cisco Umbrella との Cisco Secure Web Appliance の統合	Cisco Umbrella と Cisco Secure Web Appliance の統合により、Umbrella から Secure Web Appliance への共通 Web ポリシーの展開が容易になります。また、Cisco Umbrella ダッシュボードを使用してポリシーを設定したり、ログを表示したりできます。 Cisco Umbrella ダッシュボードで共通 Web ポリシーを設定すると、ポリシーは Cisco Secure Web Appliance にプッシュされます。設定したこれらの Web ポリシーのレポートデータは Cisco Umbrella に送り返され、Cisco Umbrella ダッシュボードで使用できます。レポートデータには、参照された URL、その IP アドレス、URL が許可されたかブロックされたかなどの情報が含まれます。 統合が成功すると、次の Web ポリシーが変換され、Cisco Umbrella から Cisco Secure Web Appliance にプッシュされます。
	Cisco Umbrella から	Cisco Secure Web Appliance へ
	ルールセット アイデンティティ	グローバル識別プロファイル
	接続先リスト	カスタムおよび外部 URL カテゴリ
	Web ポリシー（ルール）	アクセス ポリシー（Access Policies）
	HTTPS 検査	復号ポリシー
	Microsoft 365 の互換性	カスタムおよび外部 URL カテゴリ
	ルールセットのブロックされているページの設定	ユーザ通知（End-User Notification）
	アプリケーション設定（CASI）	アプリケーション アクセス ポリシー
	詳細については、「Integrate Cisco Secure Web Appliance with Cisco Umbrella」を参照してください。

（注）	AsyncOS coeus-15-1-0-287（限定導入）ビルドに使用可能な SMA 互換ビルドはありません。

次に、このリリースの既知の動作を示します。

Secure Web Appliance と Umbrella の統合 - ハイブリッドポリシーの既知の動作

• デフォルトでは、Secure Web Appliance の Umbrella 設定のソースインターフェイスは [管理（Management）] に設定されています。ソースインターフェイスを [データ（Data）] に変更するには、ハイブリッドポリシーを有効にする前に、変更を送信してコミットする必要があります。

• ハイブリッドポリシーは、ルールアクションの [許可（Allow）]、[ブロック（Block）]、および [警告（Warn）] でサポートされています。

• 変換は、コンテンツカテゴリ、接続先リスト、アプリケーションでサポートされています。

• AD ユーザー、AD グループ、およびパブリックネットワークに関連付けられた内部ネットワークの変換がサポートされています。

• Secure Web Appliance では、1 つのグローバルな Umbrella がプッシュした識別プロファイルが常に使用可能です。

• Secure Web Appliance の管理者によって設定されたポリシーは、Umbrella からのポリシープッシュに従って優先されます。

• 登録済みアプライアンスページでポリシープッシュが有効になっている場合、Umbrella で設定されたポリシーは、Umbrella に登録されているすべての Secure Web Appliance にプッシュされます。

• Umbrella によってプッシュされた復号ポリシーでは、WBRS は無効になります。

• Umbrella によってプッシュされた復号ポリシーは、デフォルトでは [複合（Decrypt）] アクションに設定されています。

• [エンドユーザー通知（End-User Notification）] ページは、グローバル設定として Secure Web Appliance で常に有効になります。

• Secure Web Appliance では、[エンドユーザー通知（End-User Notification）] ページは、Umbrella の最初のルールセットで最初に選択されたブロックページにのみ設定されます。

• 最初のルールセットの選択されたブロックページの外観の変更は、3 時間ごとに変換されます。

• Umbrella によってプッシュされた識別プロファイルと顧客カテゴリでは、これらのプロファイルまたはカテゴリが Umbrella から削除されると、管理者が設定したポリシーは Secure Web Appliance 側から無効になります。

• Umbrella ORG への Secure Web Appliance 登録は、特定の ORG に割り当てられたシート数に制限されています。これは、Umbrella ユーザーインターフェイスの次のパスに表示されます：[管理者（Admin）] > [ライセンス（Licensing）] > [シート数（Number of seats）]。

• Umbrella ORG に登録されている場合は、SMA ポリシーを Secure Web Appliance にプッシュできません。

• Umbrella に統合された内部ネットワークと AD がない場合、Umbrella はプロファイル、ポリシー、およびカスタム URL カテゴリを Secure Web Appliance にプッシュできません。

• 登録およびハイブリッドサービスの有効化に使用された API キーが期限切れの場合、Umbrella でハイブリッドポリシーまたは登録された Secure Web Appliance を再度有効にするまで、接続が閉じられません。

• 次の Umbrella ルール設定は、ハイブリッド ポリシー プッシュではサポートされていません：[ルールスケジューリング（Rules Scheduling）] および [保護バイパス（Protected Bypass）]

• Secure Web Appliance が Umbrella によって管理されている場合、Secure Web Appliance にプッシュされた SMA ポリシーは受け入れられません。

• 設定の保存と読み込みの機能が、Umbrella の設定では機能しません。

• 次のルールセット設定では、変換はサポートされていません。

  • ルールセット アイデンティティ - Chromebook、G Suite OU、G Suite ユーザー、トンネル、ローミングコンピュータ、内部ネットワークのすべてのトンネル

  • テナント制御

  • ファイル分析

  • ファイルタイプ制御

  • HTTPS インスペクション - 選択的復号リストのアプリケーションのみ

  • PAC ファイル

  • SafeSearch

  • ルールセットロギング

  • SAML

  • セキュリティ設定

• Secure Web Appliance の HTTPS プロキシまたは AD レルムに加えられた変更は、Umbrella ポリシーには影響しません。

• アプリケーション設定（CASI）変換

  • ルールで選択したアプリケーション設定は、Secure Web Appliance の [セキュリティサービス（Security Services）] > [使用許可コントロール（Acceptable Use Control）] で ADC が有効になっている場合にのみ変換され、Secure Web Appliance のアクセスポリシーにプッシュされます。

  • ルールでアプリケーションを選択すると、選択したアプリケーションのドメインを含むカスタム URL カテゴリがそのルールにプッシュされます。これと同じカテゴリのカスタム URL が、アクセスポリシーの [URL フィルタリング（URL Filtering）] セクションで選択され、アクションとして [モニター（Monitor）] が選択されます。

  • Secure Web Appliance で使用可能で、Umbrella では使用できないアプリケーションは、グローバル設定アクションを継承します。Umbrella で使用可能で、Secure Web Appliance で使用できないアプリケーションは無視されます。

  • Secure Web Appliance では、ルール内で選択されていないアプリケーションはグローバル設定を継承します。

• 選択的ポリシープッシュ

  • Umbrella Web ポリシーは、ハイブリッドポリシーの状態が [アクティブ（Active）] で、ポリシープッシュが有効になっている場合にのみ、登録済みの Secure Web Appliance にプッシュされます。

• Umbrella UI エラーメッセージ

  • 最後のポリシープッシュの失敗に関するエラーメッセージは、[登録済みアプライアンス（Registered Appliance）] ページに表示されます。最大文字数は 1024 文字です。

• Umbrella プッシュポリシーのクリーンアップ

  • Umbrella によってプッシュされたポリシーがクリーンアップされると、管理者が設定したすべてのポリシーが無効になります。

Secure Web Appliance と Umbrella の統合 - ハイブリッドレポートの既知の動作

• Secure Web Appliance のハイブリッドレポート機能は、ハイブリッドポリシーが有効になっている場合にのみ有効にできます。

• Secure Web Appliance は、Umbrella が設定したポリシーレポートデータを Umbrella ダッシュボードに送信します。

• ローカルレポートディスク容量の約 25 % がハイブリッドレポートデータの保存に使用され、Umbrella にプッシュされます。

• Secure Web Appliance がレポートデータを Umbrella にプッシュしない場合、後でデバッグするためにそれらのレポートデータのみをディスクに保存します。

• Secure Web Appliance は、その SWA に対する選択的ポリシープッシュが無効になった後でも、Umbrella ポリシーによって評価されたレポートデータを送信し続けます。ルールが Umbrella ポリシーから削除されている場合、Umbrella ポリシー レポート ダッシュボードには、それらのレコードの削除されたルールが表示されることがあります。

このリリースでは、次の既知の制限事項があります。

Secure Web Appliance と Umbrella の統合 - ハイブリッドポリシーの既知の制限事項

• 次のシナリオでは、ポリシー変換がトリガーされません。

  • ルールセットの名前の変更。

  • ルールで選択された接続先リストの名前の変更。

  • ルールで選択されたアプリケーションリストの名前の変更。

  • HTTP インスペクション中に選択された選択的復号リストの名前の変更。

  • HTTPS インスペクションに使用される選択的復号リストのカテゴリの追加または削除。

  • HTTPs インスペクションでの、カテゴリのみを含む選択的復号リストの選択。

  • ルールセットまたはルールの AD ユーザーまたはグループの追加または削除。

  • Umbrella ダッシュボードの AD の統合または削除。

• ルールセット アイデンティティが複数のルールセットで同じである場合、同じアイデンティティの最初のルールセットのみが、一貫して HTTPS インスペクション設定を変換します。

• エンドユーザー通知の [カスタム URL へのリダイレクト（Redirect to Custom URL）] テキストボックスの形式で、整形式のホスト名または IPV4 アドレスのみがサポートされます。Umbrella のブロックページで構成された他の URL 形式を Secure Web Appliance にプッシュすると、ポリシープッシュが失敗し、次のエラーメッセージが表示されます：「http/https の URL は適切なホスト名または IPv4 アドレスで構成されていなければなりません。任意でポート番号を含めることはできますが、クエリ文字列（'?...'）は含めないでください。'コード'：'400'、'説明'：'400 = 不正なリクエスト構文またはサポートされていないメソッド'。（An http/https URL must consist of a well-formed hostname or IPv4 address, may optionally include a port, but may not contain a querystring ('?...').'.", 'code': '400', 'explanation': '400 = Bad request syntax or unsupported method.'）」

• ルールセットで AD グループが選択されていて、ルールが一致しない場合、そのルールに対してアクセスポリシーが作成されません。

• Umbrella から Secure Web Appliance にプッシュされる復号ポリシーについて、選択的復号リストで選択されたカテゴリとドメインがパススルーに設定されます。定義済みおよびカスタムの URL カテゴリの場合、Secure Web Appliance でアクセスポリシーは適用されませんが、ルールは Umbrella の同じ設定に適用されます。

• Umbrella で Microsoft 365 互換性が有効になっている場合、Umbrella から Secure Web Appliance にプッシュされる復号ポリシーがパススルーに設定されます。その結果、Microsoft 365 エンドポイントのすべてのカテゴリでパススルーが有効になります。

• 信頼できる AD が Secure Web Appliance で設定されておらず、この AD に対して Umbrella レベルでグループが選択されている場合、Secure Web Appliance レベルで設定する必要があることを示すエラーメッセージが表示されます。

• ルールセットとルールで異なるマスクを持つネットワークが選択されている場合、変換はサポートされません。

• ルール全体で多数のアプリケーションが選択されている場合、Secure Web Appliance のパフォーマンスが影響を受けます。

• 冗長な設定を避けるために、ルールで個々のアプリケーションを選択するのではなく、アプリケーションリストを使用することをお勧めします。

Secure Web Appliance と Umbrella の統合 - ハイブリッドレポートの既知の制限事項

• ユーザーが Umbrella ポリシーに含まれていない場合、AD ユーザーを Umbrella 送信元 ID にマッピングすることはできません。このタイプのイベントは、Secure Web Appliance の発信元 ID によって識別されます。

• フィルタリングのサポート

  • Secure Web Appliance ベースのフィルタリングでは、外部 IP アドレスのみがサポートされます。

  • 同じ管理 IP アドレスを持つ同じ組織（異なる場所）の Secure Web Appliance は、結合されたレポートデータになります。

  • LDAP/ISE/ゲストベースのアイデンティティの場合、Secure Web Appliance AD のユーザーベースのアイデンティティはサポートされていません。

• 場合によっては、レポートエントリが重複または失われることがあります。

• ハイブリッドレポートを有効または無効にすると、レポートされたヘルパーでアプリケーション障害が発生します。

（注）	アップグレード中は、デバイス（キーボード、マウス、管理デバイス（Raritan）など）をアプライアンスの USB ポートに接続しないでください。

次のバージョンから AsyncOS 15.1.0-287 バージョンにアップグレードできます。

11.8.0-453 11.8.4-004

12.0.1-334 12.0.5-011 12.5.1-043 12.5.6-008 12.7.0-033

14.0.1-053 14.0.4-005 14.1.0-047 14.5.0-537 14.5.0-673 14.5.1-016 14.6.0-108

15.0.0-355 15.1.0-238

このセクションの要件は AsyncOS 8.8 で導入されました。

次のセキュリティ脆弱性は、アプライアンスに存在する場合、アップグレード中に修正されます。

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150625-ironport

（注）	このパッチは、2015 年 6 月 25 日より前にダウンロードまたはアップグレードされた仮想アプライアンス リリースにのみ必要です。

アップグレード前にこの問題を修正しなかった場合は、修正されたことを示すメッセージがアップグレード中に表示されます。このメッセージが表示された場合、アップグレード後にアプライアンスを完全な動作順序に戻すには次のアクションを実行する必要があります。

• SSH ユーティリティの既知のホスト リストから、アプライアンスの既存のエントリを削除します。新しいキーが作成されたら、ssh 経由でアプライアンスに接続し、接続を承認します。

• SCP プッシュを使用して、リモートサーバ（Splunk を含む）にログを転送する場合は、リモートサーバからアプライアンスの古い SSH ホストキーをクリアします。

• 展開に Cisco コンテンツ セキュリティ管理アプライアンスが含まれている場合は、そのアプライアンスのリリース ノートに記載されている重要な手順を参照してください。

複数のコンテンツ セキュリティ アプライアンス（Web、電子メール、または管理）を展開しており、組織内の任意のアプライアンスからアップロードされたすべてのファイルについてクラウド内の詳細なファイル分析結果を表示する場合は、アップグレード後に各アプライアンスでアプライアンス グループを設定する必要があります。アプライアンスグループを設定するには、「File Reputation Filtering and File Analysis」を参照してください。

複数のコンテンツ セキュリティ アプライアンス（Web、電子メール、または管理）を展開しており、組織内の任意のアプライアンスからアップロードされたすべてのファイルについてクラウド内の詳細なファイル分析結果を表示する場合は、アップグレード後に各アプライアンスでアプライアンス グループを設定する必要があります。アプライアンスグループを設定するには、「File Reputation Filtering and File Analysis」を参照してください。

AsyncOS 8.8 でファイル分析クラウドサ ーバの URL が変更されました。その結果、分析可能なファイルタイプがアップグレード後に変更された可能性があります。変更がある場合は、アラートが表示されます。分析用に選択したファイルタイプを確認するには、[セキュリティサービス（Security Services）] > [マルウェア対策およびレピュテーション（Anti-Malware and Reputation）] を選択し、Advanced Malware Protection の設定を確認します。

正規表現のパターンマッチング エンジンにアップグレードすると、システムの更新後に既存のパターン定義でエスケープされていないドットに関するアラートが表示されることがあります。ドットの後に 64 文字以上を返すパターン内のエスケープされていないドットは、Velocity パターンマッチングエンジンによって無効化され、その影響についてのアラートがユーザーに送信されます。パターンを修正または置換するまで、更新のたびにアラートは送信され続けます。一般に、長い正規表現内のエスケープされていないドットは問題を引き起こす可能性があるため、避ける必要があります。

シスコ アカウントを持っていない場合は、登録します。https://identity.cisco.com/ui/tenants/global/v1.0/enrollment-ui に移動します。