ACS 5.8 での Active Directory の統合
改訂日：2016 年 2 月 24 日
ACS 5.8 の Active Directory の主要機能
認証 ド メ イ ン
ACS が Active Directory ド メ イ ンに参加 し ている場合は、Active Directory の信頼 ド メ イ ン を自動的に検出 し ます。 ただ し 、
すべての ド メ イ ンが認証 と 許可を行 う ために ACS に関係 し ている と は限 り ません。 ACS では認証 と 認可用に信頼 ド メ イ ン
か ら一部の ド メ イ ン を選択で き ます。 こ の ド メ イ ンのサブセ ッ ト は、認証 ド メ イ ン と 呼ばれます。 認証するユーザまたはマ シ
ンが存在する ド メ イ ン を認証 ド メ イ ン と し て定義する こ と を推奨 し ます。 認証 ド メ イ ン を定義する と 、ド メ イ ン を ブ ロ ッ ク
する こ と によ っ て、こ れ らの ド メ イ ン でのユーザ認証が行われないよ う にする ため、セキ ュ リ テ ィ が強化 さ れます。 また、ポ
リ シーおよび認証に関係 し ない ド メ イ ン を スキ ッ プ で き る ため、パフ ォ ーマ ン スの最適化や、ACS によ る ID 検索操作の実行
の効率化に も役立ち ます。
あいまいな ID の解決
ACS が受信 し たユーザ名またはマシ ン名があいまいな場合（一意ではない場合）、ユーザが認証を行お う と する と 問題が発生
する可能性があ り ます。 ユーザに ド メ イ ン マー ク ア ッ プがない場合や、複数の ド メ イ ンに同 じ ユーザ名の ID が複数ある場
合、ID ク ラ ッ シ ュが発生 し ます。 た と えば、userA が domain1 に存在 し 、別の userA が domain2 に存在する場合です。 ID の
解決設定を使用する と 、こ のよ う なユーザの解決範囲を定義で き ます。 UPN や NetBIOS な どの修飾名の使用を強 く 推奨 し ま
す。 修飾名によ っ て、あいまいにな る可能性が削減 さ れ、遅延を減ら す こ と でパフ ォ ーマ ン スが向上 し ます。
セキ ュ リ テ ィ ID に基づいたグループ メ ンバーシ ッ プ評価
グループ メ ンバーシ ッ プ評価を最適化する ためにセキ ュ リ テ ィ ID（SID）を使用 し ます。 グループ を評価する効率（ス ピー
ド ）、およびダウン し た ド メ イ ンに属するグループの メ ンバーであるユーザの遅延に対する復元力 と い う 2 つの理由から 、SID
は有益です。 グループ を削除 し て、元 と 同 じ 名前で新規グループ を作成する場合は、SID を更新 し て、新規作成 し たグループに
新 し い SID を割 り 当て る必要があ り ます。
診断ツール
診断ツールを使用する と 、一般的な接続問題について Active Directory 環境を自動的にテス ト および診断する こ と がで き ま
す。 こ のツールは、次の情報を提供 し ます。

テ ス ト を実行する ACS ノ ー ド

Active Directory への接続

ド メ イ ンの詳細なス テー タ ス

ACS-DNS サーバの接続に関する詳細なス テー タ ス
ツールは、実行する テ ス ト ご と に詳細な レ ポー ト を提供 し ます。
証明書認証プ ロ フ ァ イルの機能拡張
ACS 5.8 では、証明書認証プ ロ フ ァ イルに新 し い機能拡張が導入 さ れています。

ID のあいまい さ の解決専用のオプ シ ョ ン：こ のオプ シ ョ ン を使用する と 、EAP-TLS 認証の ID の問題を解決で き ます。
TLS 証明書から 複数の ID を設定で き ます。 ユーザ名があいまいな場合（た と えば、「jdoe」 が 2 つ取得 さ れる場合や、ク ラ
イ ア ン ト 証明書が Active Directory に存在する場合）、ACS はバイ ナ リ 比較を使用 し てあいまい さ を排除する こ と がで き
ます。
Cisco Systems, Inc.
1
www.cisco.com
ACS 5.8 での Active Directory の統合
Active Directory と Cisco の統合の前提条件
レポー ト およびア ラ ーム
ACS は、Active Directory 関連のア ク テ ィ ビ テ ィ のモニ タ リ ングお よび ト ラ ブルシ ュ ーテ ィ ングを実行する新 し い AD コ ネ ク
タ 操作レポー ト およびア ラ ームを ダ ッ シ ュ ボー ド に提供 し ます。
高度な調整
高度な調整機能によ り 、ノ ー ド 固有の変更および設定が可能 と な り 、シス テムの さ ら に深い レ ベルでパラ メ ー タ を調整で き ま
す。 こ のページでは、優先 DC、GC、DC フ ェ ールオーバー パラ メ ー タ 、および タ イ ムアウ ト を設定で き ます。 また、こ のページ
では、暗号の無効化な どの ト ラ ブルシ ュ ーテ ィ ング オプ シ ョ ン も提供 し ます。 こ れらの設定は、通常の管理フ ローを対象 と し
ていません。シス コ サポー ト のガ イ ダ ン スに従 っ て使用する必要があ り ます。
関連 タ ス ク
Active Directory のユーザ グループの設定
関連情報

認証 ド メ イ ンの設定

ID の書き換え

ID の解決の設定

サポー ト さ れるグループ タ イ プ

証明書ベースの認証のための Active Directory 証明書の取得

Active Directory の問題の診断

Active Directory のア ラ ームおよびレ ポー ト

ノ ー ド の Active Directory の参加の表示

Active Directory 認証のためのユーザのテ ス ト

Active Directory の高度な調整
Active Directory と Cisco の統合の前提条件
次に、Active Directory と ACS を統合する ための前提条件を示 し ます。

Network Time Protocol（NTP）サーバ設定を使用 し て、ACS サーバ と Active Directory 間の時間を同期 し ます。 ACS CLI
か ら NTP を設定で き ます。

Active Directory 構造にマルチ ド メ イ ンの フ ォ レ ス ト がある場合、または複数のフ ォ レ ス ト に分割 さ れている場合は、
ACS が接続 さ れる ド メ イ ン と 、ア ク セスする必要があるユーザおよびマシ ン情報がある その他の ド メ イ ン と の間に信頼
関係がある こ と を確認 し ます。 信頼関係の確立の詳細については、Microsoft Active Directory のマニ ュ アルを参照 し て
く だ さ い。

ACS を参加 さ せる ド メ イ ン では、少な く と も 1 つのグローバル カ タ ログ サーバが動作 し 、ACS から ア ク セス可能である
必要があ り ます。
2
ACS 5.8 での Active Directory の統合
Active Directory と Cisco の統合の前提条件
さ ま ざ ま な操作の実行に必要な Active Directory のア カ ウン ト 権限
表1
Active Directory に必要な ア カ ウ ン ト 権限
参加操作
脱退処理
ACS のマ シ ン ア カ ウン ト
参加操作の実行に使用する ア カ ウ
ン ト には、次の権限が必要です。
脱退操作の実行に使用する ア カ ウン ト
には、次の権限が必要です。


Active Directory と の通信に使用する ために新 し
く 作成する ACS のマ シ ン ア カ ウン ト には、次の
ア ク セス許可が必要です。


Active Directory を検索する
権限（ACS のマ シ ン ア カ ウ
ン ト がすでに存在するかど
う かの確認）
ド メ イ ンに ACS のマ シ ン ア
カ ウン ト を作成する権限（マ
シ ン ア カ ウン ト が存在 し な
い場合）

Active Directory を検索する権限
（ACS のマシ ン ア カ ウン ト がすで
に存在するかど う かの確認）
ド メ イ ンから ACS のマシ ン ア カ
ウン ト を削除する権限
強制脱退（パスワー ド な し での脱退）を
実行する場合、ド メ イ ンから マシ ン ア
カ ウン ト は削除 さ れません。
新 し いマシ ン ア カ ウン ト に
属性を設定する権限（ACS の
マシ ン ア カ ウン ト のパス
ワー ド 、SPN、dnsHostname
な ど）

自分のパスワー ド を変更する権限

認証 さ れるユーザ/マシ ンに対応するユーザ/
マシ ン オブ ジ ェ ク ト を読み取る権限

必要な情報（信頼 ド メ イ ン、代替 UPN サ
フ ィ ッ ク スな ど）を取得する ために Active
Directory の一部を照会する権限

tokenGroups 属性を読み取る権限
Active Directory でマシ ン ア カ ウン ト を事前に作
成で き ます。SAM の名前が ACS ア プ ラ イ ア ン ス
のホス ト 名 と 一致する場合は、参加操作中に検出
し て再利用する必要があ り ます。
参加操作を実行する ために、ド メ
イ ン管理者である必要はあ り ま
せん。
複数の参加操作を実行する と 、参加操作ご と に 1
つずつ、複数のマシ ン ア カ ウン ト が ACS 内で保
持 さ れます。
メ モ：参加操作または脱退操作に使用する ク レデン シ ャルは、ACS に保存 さ れません。 新 し く 作成 さ れた ACS のマシ ン ア カ
ウン ト の ク レデン シ ャルのみが保存 さ れます。
通信用に開 く 必要がある ネ ッ ト ワー ク ポー ト
表2
通信用に開 く 必要がある ネ ッ ト ワー ク ポー ト
プロ ト コル
ポー ト （ リ モー ト ロー カル）
タ ーゲ ッ ト
認証
注記
DNS（TCP/UDP）
49152 以上の乱数
DNS サーバ/AD ド メ イ ン コ ン
ト ロー ラ
なし
—
MSRPC
445
ド メ イ ン コ ン ト ロー ラ
可能
—
Kerberos
（TCP/UDP）
88 ド メ イ ン コ ン ト ロー ラ
可能（Kerberos）
MS AD/KDC
LDAP（TCP/UDP）
389
ド メ イ ン コ ン ト ロー ラ
可能
—
LDAP（GC）
3268
グローバル カ タ ログ サーバ
可能
—
NTP
123
NTP サーバ/ ド メ イ ン コ ン ト
ロー ラ
なし
—
IPC
80
展開内の他の ACS ノ ー ド
可能（RBAC ク レデ
ン シ ャルを使用）
—
3
ACS 5.8 での Active Directory の統合
ACS の Active Directory ド メ イ ンへの参加
DNS サーバ
DNS サーバを設定する場合は、次の こ と に注意 し て く だ さ い。

ACS に設定 さ れているすべての DNS サーバで、使用するすべての ド メ イ ンの正引き および逆引き DNS ク エ リ ーを解決
で き る よ う にする必要があ り ます。

すべての DNS サーバで、追加サイ ト 情報の有無に関係な く 、DC、GC、および KDC の SRV ク エ リ ーに回答で き る よ う に
する必要があ り ます。

パ フ ォ ーマ ン ス を向上 さ せる ために、SRV 応答にサーバ IP ア ド レ ス を追加する こ と を推奨 し ます。

パブ リ ッ ク イ ン タ ーネ ッ ト で ク エ リ ーを実行する DNS サーバを使用 し ないで く だ さ い。 不明な名前を解決する必要が
ある場合に、遅延やネ ッ ト ワー ク情報の漏洩を引き起こ す可能性があ り ます。
ACS の Active Directory ド メ イ ンへの参加
同 じ 展開の ACS ノ ー ド を異な る AD ド メ イ ンに参加 さ せる こ と がで き ます。 ただ し 、各 ノ ー ド が参加で き るのは 1 つの AD
ド メ イ ンのみです。 こ れ らの ACS ノ ー ド のポ リ シー定義は変更 さ れず、同 じ AD ID ス ト ア を使用 し ます。
AD の設定はデ フ ォル ト で表示 さ れません。AD の設定は、ACS を最初に イ ン ス ト ール し た時点では AD ド メ イ ンには参加 し
ていません。 AD の設定ページ を開 く と 、分散展開内のすべての ACS ノ ー ド の リ ス ト が表示 さ れます。
AD ID ス ト ア を設定する と 、ACS によ っ て次のものも作成 さ れます。

2 つの属性（ExternalGroup 属性 と 、[（デ ィ レ ク ト リ の属性（Directory Attributes）] ページから取得 さ れる属性用の別の属
性）を持つそのス ト ア用の新 し いデ ィ ク シ ョ ナ リ 。

新 し い属性 IdentityAccessRestricted。 この属性のカ ス タ ム条件を手動で作成で き ます。

ExternalGroup 属性か らのグループ マ ッ ピ ン グのカ ス タ ム条件（カ ス タ ム条件名は AD1:ExternalGroups）、および [デ ィ
レ ク ト リ 属性（Directory Attributes）] ページ で選択 さ れた各属性用の別のカ ス タ ム条件（AD1:cn な ど）。
事前定義済みの条件名を編集で き、[Custom condition] ページから カ ス タ ム条件を作成で き ます。 『Creating, Duplicating,
and Editing a Custom Session Condition（カ ス タ ム セ ッ シ ョ ンの条件の作成、複製、および編集）』を参照 し て く だ さ い。
AD ド メ イ ンに単一 ノ ー ド または複数 ノ ー ド を追加するには、次の手順を実行 し ます。
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し ます。
[Active Directory] ページが表示 さ れます。
2. 単一 ノ ー ド または複数の ノ ー ド を選択 し 、[参加（Join）] を ク リ ッ ク し ます。
[参加（Join）] ページが表示 さ れます。
3. 表 3 の説明に従 っ て、[参加（Join）] ページの フ ィ ール ド に入力 し ます。
4
ACS 5.8 での Active Directory の統合
ACS の Active Directory ド メ イ ンへの参加
表3
[参加/テ ス ト 接続（Join/Test Connection）] ページ
オプ シ ョ ン
説明
Active Directory Domain
Name
ACS を参加 さ せる AD ド メ イ ンの名前。
ユーザ名（Username）
事前定義 さ れた AD ユーザのユーザ名を入力 し ます。 ACS での ド メ イ ン ア ク セスに必要な AD
ア カ ウン ト には、次のいずれかが必要です。

対応する ド メ イ ンの ド メ イ ン ユーザにワー ク ス テーシ ョ ン を追加する権限。

ACS マシ ンのア カ ウン ト が事前に作成 さ れる（ACS マシ ン を ド メ イ ンに追加する前に作成
さ れる）対応する コ ン ピ ュ ー タ コ ン テナに対 し て コ ン ピ ュ ー タ オブ ジ ェ ク ト を作成する権
限または コ ン ピ ュ ー タ オブ ジ ェ ク ト を削除する権限。
ACS ア カ ウン ト のロ ッ ク アウ ト ポ リ シーを無効に し 、不正なパスワー ド が こ のア カ ウン ト に使
用 さ れた場合に管理者にア ラ ー ト を送信する よ う に AD イ ン フ ラ ス ト ラ ク チ ャ を設定する こ と を
推奨 し ます。 こ れは、誤っ たパスワー ド を入力 し た場合、ACS が必要な と き にマシ ン ア カ ウン ト
を作成または変更 し ないため、すべての認証が拒否 さ れる ためです。
[パスワー ド （Password）]
ユーザ パスワー ド を入力 し ます。 パスワー ド は、少な く と も 1 文字の小文字、1 文字の大文字、1
文字の数字、および 1 文字の特殊文字を組み合わせて、8 文字以上にする必要があ り ます。 すべて
の特殊文字がサポー ト さ れています。
4. 次を ク リ ッ ク し ます。

[参加（Join）]：AD ド メ イ ンに選択 し た ノ ー ド を参加 さ せます。 ノ ー ド のス テー タ スは、参加の結果によ っ て変化 し ます。

[キ ャ ン セル（Cancel）]：接続をキ ャ ン セル し ます。
AD ド メ イ ンからの ノ ー ド の接続解除
AD ド メ イ ンから 単一 ノ ー ド または複数の ノ ー ド の接続を解除するには、次の手順を実行 し ます。
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し ます。
[Active Directory] ページが表示 さ れます。
2. 単一 ノ ー ド または複数の ノ ー ド を選択 し 、[脱退（Leave）] を ク リ ッ ク し ます。
[接続の脱退（Leave Connection）] ページが表示 さ れます。
3. 表 4 の説明に従 っ て、[接続の脱退（Leave Connection）] ページのフ ィ ール ド に入力 し ます。
5
ACS 5.8 での Active Directory の統合
ACS の Active Directory ド メ イ ンへの参加
表4
[接続の脱退（Leave Connection）] ページ
オプ シ ョ ン
説明
ユーザ名（Username）
事前定義 さ れた AD ユーザのユーザ名を入力 し ます。 ACS での ド メ イ ン ア ク セスに必要な AD ア
カ ウン ト には、次のいずれかが必要です。

対応する ド メ イ ンの ド メ イ ン ユーザにワー ク ス テーシ ョ ン を追加する権限。

ACS マシ ンのア カ ウン ト が事前に作成 さ れる（ACS マシ ン を ド メ イ ンに追加する前に作成 さ
れる）対応する コ ン ピ ュ ー タ コ ン テナに対 し て コ ン ピ ュ ー タ オブ ジ ェ ク ト を作成する権限ま
たは コ ン ピ ュ ー タ オブ ジ ェ ク ト を削除する権限。
ACS ア カ ウン ト のロ ッ ク アウ ト ポ リ シーを無効に し 、不正なパスワー ド がこ のア カ ウン ト に使用
さ れた場合に管理者にア ラ ー ト を送信する よ う に AD イ ン フ ラ ス ト ラ ク チ ャ を設定する こ と を推
奨 し ます。 こ れは、誤 っ たパスワー ド を入力 し た場合、ACS が必要な と き にマシ ン ア カ ウン ト を作
成または変更 し ないため、すべての認証が拒否 さ れる ためです。
パスワー ド （Password）
ユーザ パスワー ド を入力 し ます。
マシ ン ア カ ウン ト の削除を試 ク レデン シ ャ ルがわから ない場合または DNS の問題がある場合に、選択 し た ノ ー ド を AD ド メ イ
行 し ない（Do not try to
ンから 接続解除するには、こ のチ ェ ッ ク ボ ッ ク ス を オンに し ます。
remove machine account）
こ の操作は、AD ド メ イ ンから ノ ー ド を切断 し 、デー タ ベースに こ の ノ ー ド のエ ン ト リ を そのま ま
残 し ます。 管理者だけが、デー タ ベースから こ の ノ ー ド エ ン ト リ を削除で き ます。
4. 次を ク リ ッ ク し ます。

[脱退（Leave）]：選択 し た ノ ー ド を AD ド メ イ ンから 切断 し ます。

[キ ャ ン セル（Cancel）]：操作をキ ャ ン セル し ます。
認証 ド メ イ ンの設定
ACS を Active Directory ド メ イ ンに追加する場合、ACS には信頼関係のある他の ド メ イ ンに対する可視性が必要です。 デ
フ ォル ト では、ACS はそのよ う なすべての信頼 ド メ イ ンに対する認証を許可 し ます。 Active Directory 展開 と 対話 し ている間
は、ACS を認証 ド メ イ ンのサブ セ ッ ト に限定する こ と も で き ます。 認証 ド メ イ ン を設定する と 、選択 し た ド メ イ ンに対 し ての
み認証が実行 さ れる よ う に、各参加ポ イ ン ト に固有の ド メ イ ン を選択で き ます。 認証 ド メ イ ン では、参加ポ イ ン ト から信頼 さ
れたすべての ド メ イ ン ではな く 、選択 さ れた ド メ イ ンのユーザのみを認証する よ う に ACS に指示する ため、セキ ュ リ テ ィ が
向上 し ます。 また、認証 ド メ イ ンは検索領域（つま り 、着信ユーザ名または ID に一致する ア カ ウン ト を検索する領域）を制限す
る ため、認証要求処理のパ フ ォ ーマ ン ス も向上 し 、遅延も減少 し ます。 こ れは、着信ユーザ名または ID に ド メ イ ン マー ク ア ッ
プ（プ レ フ ィ ク ス またはサ フ ィ ッ ク ス）が含まれていない場合に特に重要です。 こ れらの理由から、認証 ド メ イ ン を設定する
こ と をベス ト プ ラ ク テ ィ ス と し て強 く 推奨 し ます。
認証 ド メ イ ン を設定するには、次の手順を実行 し ます。
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し 、[認証 ド メ イ ン（Authentication Domains）] タ ブ を ク リ ッ ク し ます。
表に、信頼 ド メ イ ンの リ ス ト が表示さ れます。 デフ ォル ト では、ACS はすべての信頼 ド メ イ ンに対する認証を許可 し ます。
2. 指定 し た ド メ イ ンのみを許可するには、認証を許可する ド メ イ ンの隣にある チ ェ ッ ク ボ ッ ク ス を オン に し 、[選択対象の
有効化（Enable Selected）] を ク リ ッ ク し ます。
[認証（Authenticate）] 列の選択 し た ド メ イ ンのス テー タ スが [可（Yes）] に変わ り ます。
6
ACS 5.8 での Active Directory の統合
ACS の Active Directory ド メ イ ンへの参加
サポー ト さ れるグループ タ イ プ
ACS では、次のセキ ュ リ テ ィ グループ タ イ プがサポー ト さ れます。

ユニバーサル

全世界

内蔵
組み込みグループには、ド メ イ ン で一意のセキ ュ リ テ ィ ID（SID）があ り ません。こ れを解決する ために、Cisco はグループが属
する SID に ド メ イ ン名を使用 し て プ レ フ ィ ク ス を付けます。
ACS は、AD 属性の tokenGroups を使用 し て、ユーザのグループ メ ンバーシ ッ プ を評価 し ます。 ACS マシ ン ア カ ウン ト に
は、tokenGroups 属性を読み取る ための権限が必要です。 こ の属性には、ユーザが メ ンバーである可能性がある最初の約
1015 グループ を含める こ と がで き ます（実際の数は Active Directory 設定によ っ て異な り 、Active Directory を再設定する こ
と で増やす こ と がで き ます）。 ユーザが所属するグループの数がこ れを超え る場合、Cisco ではポ リ シー ルールで最初の
1015 ま で使用 し ます。
Active Directory のユーザ グループの設定
Active Directory ユーザ グループ を許可ポ リ シーで使用で き る よ う に設定する必要があ り ます。 内部的には、ACS はグルー
プ名のあいまい さ の問題を解決 し 、グループ マ ッ ピ ング を向上 さ せる ためにセキ ュ リ テ ィ ID（SID）を使用 し ます。 SID によ
り 、グループ割 り 当てが正確に一致 し ます。
は じ める前に
Active Directory ド メ イ ンに ACS が接続 さ れている こ と を確認 し ます。
手順
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し 、[デ ィ レ ク ト リ グループ（Directory Groups）] タ ブ を ク リ ッ ク し ます。
[デ ィ レ ク ト リ グループ（Directory Groups）] ページが表示 さ れます。 [Selected Directory Groups] フ ィ ール ド に、選択 し
て保存 し た AD グループが表示 さ れます。 [External User Groups] ページ で選択 し た AD グループが表示 さ れ、規則テー
ブルのグループ マ ッ ピ ング条件でオプ シ ョ ン と し て使用で き ます。
表示 さ れていない他の信頼 ド メ イ ン またはフ ォ レ ス ト に さ ら にグループがある場合は、検索フ ィ ル タ を使用 し て検索結
果を絞 り 込む こ と がで き ます。 [追加（Add）] ボ タ ン を使用 し て新 し い AD グループ を追加する こ と も で き ます。
注：ACS は、ド メ イ ン ロー カル グループ を取得 し ません。 ACS ポ リ シーで ド メ イ ン ロー カル グループ を使用する こ と
は推奨 さ れません。 その理由は、ド メ イ ン ロー カル グループ での メ ンバーシ ッ プ評価には時間がかかる場合があるから
です。 そのため、デ フ ォル ト では、ド メ イ ン ロー カル グループは評価 さ れません。
2. [Select] を ク リ ッ ク し て、ド メ イ ン（お よ び同 じ フ ォ レ ス ト 内の他の信頼 ド メ イ ン）で使用可能な AD グループ を表示
し ます。
[External User Groups] ダ イ ア ロ グボ ッ ク スが表示 さ れ、ド メ イ ンお よび同 じ フ ォ レ ス ト 内の他の信頼 ド メ イ ンの AD グ
ループの リ ス ト が表示 さ れます。
表示 さ れていないグループが さ ら にある場合は、検索フ ィ ル タ を使用 し て検索を絞 り 込み、[Go] を ク リ ッ ク し ます。
3. AD グループ を入力するか、リ ス ト から 選択 し 、[OK] を ク リ ッ ク し ます。
AD グループ を リ ス ト から 削除するには、AD グループ を ク リ ッ ク し て [Deselect] を ク リ ッ ク し ます。
4. 次を ク リ ッ ク し ます。

設定を保存するには、[変更内容を保存（Save Changes）]。

変更をすべて廃棄するには、[変更の破棄（Discard Changes）]。
7
ACS 5.8 での Active Directory の統合
ACS の Active Directory ド メ イ ンへの参加

AD がすでに設定 さ れてお り 、それを削除する場合は、AD デ ィ ク シ ョ ナ リ に基づ く カ ス タ ム条件を使用 し ているポ リ
シー規則がない こ と を確認 し たあ と で、[Clear Configuration] を ク リ ッ ク し ます。
注：グループ を削除 し 、そのグループ と 同 じ 名前で新 し いグループ を作成する場合は、[SID 値の更新（Update SID Values）] を
ク リ ッ ク し て、新 し く 作成 し たグループに新 し い SID を割 り 当て る必要があ り ます。 ア ッ プグ レー ド する と 、最初の参加の後
に SID が自動的に更新 さ れます。
注：ACS 5.x で AD ID ス ト ア を設定する場合、Active Directory に定義 さ れている セキ ュ リ テ ィ グループが列挙 さ れ、使用で
き ますが、分散グループは表示 さ れません。 Active Directory の分散グループはセキ ュ リ テ ィ 対応でないため、ユーザの集合
に電子 メ ールを送信する ために電子 メ ール ア プ リ ケーシ ョ ン で使用する こ と し かで き ません。 分散グループの詳細について
は、Microsoft のマニ ュ アルを参照 し て く だ さ い。
注：ACS が外部 ID ス ト アの 1015 グループ以上に属するユーザを認証 し よ う と する と 、Active Directory で ロ グ イ ン認証が失
敗する こ と があ り ます。 こ れは、Active Directory のロー カル セキ ュ リ テ ィ 認証（LSA）の制限によ る も のです。
Active Directory 属性の設定
許可ポ リ シーの条件で使用で き る よ う に Active Directory の属性を設定する必要があ り ます。
は じ める前に
Active Directory ド メ イ ンに ACS が接続 さ れている こ と を確認 し ます。
手順
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し 、[デ ィ レ ク ト リ 属性（Directory Attributes）] タ ブ を ク リ ッ ク し ます。
2. 表 5（P. 8） の説明に従 っ て、[Active Directory: Attributes] ページのフ ィ ール ド に入力 し ます。
表5
[Active Directory: Attributes] ページ
オプ シ ョ ン
説明
Name of example Subject to Select
Attributes
追加 さ れた ド メ イ ン で見つかっ たユーザまたはコ ン ピ ュ ー タ の名前を入力 し ます。
ユーザまたはコ ン ピ ュ ー タ の CN または識別名を入力で き ます。
表示 さ れる属性のセ ッ ト は、指定するサブ ジ ェ ク ト に所属 し ます。 属性のセ ッ ト は、
ユーザおよび コ ン ピ ュ ー タ ご と に異な り ます。
選択
[Attributes] セ カ ン ダ リ ウ ィ ン ド ウにア ク セスする場合に ク リ ッ ク し ます。このウ ィ
ン ド ウには、上記のフ ィ ール ド に入力 し た名前の属性が表示 さ れます。
属性名 リ ス ト
[選択 し た属性（Selected Attributes）] のセ カ ン ダ リ ウ ィ ン ド ウで選択 し た属性が表示 さ れます。 複数の属性を選択 し 、同時に送信
で き ます。
属性名（Attribute Name）


次のいずれかを実行 し ます。
—
属性の名前を入力 し ます。
—
リ ス ト から属性を選択 し 、[Edit] を ク リ ッ ク し て属性を編集する こ と も で き
ます。
[Add] を ク リ ッ ク し て、属性を [Attribute Name list] に追加 し ます。
8
ACS 5.8 での Active Directory の統合
ACS の Active Directory ド メ イ ンへの参加
表5
[Active Directory: Attributes] ページ （続き）
オプ シ ョ ン
説明
タ イプ
属性名に関連付け られた属性 タ イ プ。 有効なオプ シ ョ ンは次の と お り です。
デ フ ォル ト
Policy Condition Name

文字列

整数型 64

IP ア ド レ ス：IPv4 または IPv6 ア ド レ ス を指定で き ます。

符号な し 整数型 32

ブール
選択 し た属性に対 し て指定 さ れている属性デ フ ォル ト 値。

String：属性名。

整数型 64：0

Unsigned Integer 64：0。

IP ア ド レ ス：デ フ ォル ト 設定な し 。

ブール型：デ フ ォル ト 設定な し 。
こ の属性のカ ス タ ム条件名を入力 し ます。 た と えば、カ ス タ ム条件名が AAA の場合
は、こ のフ ィ ール ド に AAA を入力 し ます。AD1: att_name ではあ り ません。
[Select Attributes] セ カ ン ダ リ ウ ィ ン ド ウ
[Attributes] セ カ ン ダ リ ウ ィ ン ド ウから だけ使用で き ます。
Search Filter
ユーザ名またはマ シ ン名を指定 し ます。

ユーザ名の場合、認定者名、SAM、NetBios、または UPN フ ォ ーマ ッ ト を指定で
き ます。

マ シ ン名の場合、MACHINE$、NETBiosDomain\MACHINE$、host/MACHINE、ま
たは host/machine.domain のいずれかの形式を指定で き ます。 ユーザ名および
マ シ ン名には英語以外の文字を指定で き ます。
属性名（Attribute Name）
上記のフ ィ ール ド で入力 し たユーザ名またはマ シ ン名の属性の名前。
属性 タ イ プ
属性の タ イ プ。
属性値（Attribute Value）
指定 し たユーザまたはマ シ ンの属性の値。
3. 次のいずれかを実行 し ます。

[変更内容を保存（Save Changes）] を ク リ ッ ク し て、設定を保存 し ます。

すべての変更を破棄するには、[変更の破棄（Discard Changes）] を ク リ ッ ク し ます。

AD がすでに設定 さ れてお り 、それを削除する場合は、AD デ ィ ク シ ョ ナ リ に基づ く カ ス タ ム条件を使用 し ているポ リ
シー規則がない こ と を確認 し たあ と で、[設定を ク リ ア（Clear Configuration）] を ク リ ッ ク し ます。
Active Directory のマシ ン ア ク セス制限の設定
マ シ ン ア ク セス制限を設定するには、次の手順を実行 し て く だ さ い。
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し 、[マ シ ン ア ク セス制限（Machine Access Restrictions）] タ ブ を ク リ ッ ク し ます。
9
ACS 5.8 での Active Directory の統合
読み取 り 専用 ド メ イ ン コ ン ト ロー ラ
2. 表 6（P. 10） の説明に従っ て、[Active Directory のマシ ン ア ク セス制限（Active Directory: Machine Access Restrictions）]
ページのフ ィ ール ド に入力 し ます。
表6
[Active Directory のマ シ ン ア ク セス制限（Active Directory: Machine Access Restrictions）] ページ
オプ シ ョ ン
説明
Enable Machine Access
Restrictions
Web イ ン タ ー フ ェ イ スでのマ シ ン ア ク セス制限の制御を有効にする には、こ のチ ェ ッ ク
ボ ッ ク ス を オンに し ます。 こ れによ り 、マシ ン認証結果がユーザの認証および許可に結び
付け ら れます。 こ の機能を イ ネーブルに し た場合は、[Aging time] を設定する必要があ り
ます。
エージ ング タ イ ム（時間）
（Aging time (hours)）
マシ ンが認証さ れたあ と 、そのマシ ンからユーザを認証で き る時間。 この時間が経過する
と 、ユーザ認証は失敗し ます。 デフ ォル ト 値は 6 時間です。 有効範囲は 1 ～ 8760 時間です。
MAR のキ ャ ッ シ ュ配布（MAR Cache Distribution）
キャ ッ シュ エン ト リ レプ リ
ケーシ ョ ンの タ イ ムアウ ト
（Cache entry replication
timeout）
キ ャ ッ シ ュ エ ン ト リ のレ プ リ ケーシ ョ ンが タ イムアウ ト する時間を秒単位で入力 し ま
す。 デ フ ォル ト 値は 5 秒です。 有効な範囲は 1 ～ 10 です。
キャ ッ シュ エン ト リ レプ リ
ケーシ ョ ンの試行回数
（Cache entry replication
attempts）
ACS が MAR キ ャ ッ シ ュ エ ン ト リ のレ プ リ ケーシ ョ ン を実行 し なければな ら ない回数を
入力 し ます。 デ フ ォル ト 値は 2 です。 有効な範囲は 0 ～ 5 です。
キャ ッ シュ エン ト リ クエ
リ ーの タ イ ムアウ ト （Cache
entry query timeout）
キ ャ ッ シ ュ エ ン ト リ のク エ リ ーが タ イムアウ ト する時間を秒単位で入力 し ます。 デ フ ォ
ル ト 値は 2 秒です。 有効な範囲は 1 ～ 10 です。
キャ ッ シュ エン ト リ クエ
リ ーの試行回数（Cache entry
query attempts）
ACS がキ ャ ッ シ ュ エ ン ト リ のク エ リ ーを実行 し なければな ら ない回数を入力 し ます。 デ
フ ォル ト 値は 1 です。 有効な範囲は 0 ～ 5 です。
ノード
こ の AD ド メ イ ンに接続 さ れているすべての ノ ー ド が表示 さ れます。
キ ャ ッ シ ュ配布グループ
（Cache Distribution Group）
選択 し た ノ ー ド のキ ャ ッ シ ュ配布グループ を入力 し ます。 こ こ には、最大 64 文字のテキ
ス ト 文字列を入力で き ます。 キ ャ ッ シ ュ配布グループには特殊文字の「(」 と 「)」は使用で き
ません。
3. 次のいずれかを実行 し ます。

[変更内容を保存（Save Changes）] を ク リ ッ ク し て、設定を保存 し ます。

すべての変更を破棄するには、[変更の破棄（Discard Changes）] を ク リ ッ ク し ます。

AD がすでに設定 さ れてお り 、それを削除する場合は、AD デ ィ ク シ ョ ナ リ に基づ く カ ス タ ム条件を使用 し ているポ リ
シー規則がない こ と を確認 し たあ と で、[Clear Configuration] を ク リ ッ ク し ます。
読み取 り 専用 ド メ イ ン コ ン ト ロー ラ
読み取 り 専用の ド メ イ ン コ ン ト ロー ラ では次の操作がサポー ト さ れています。

Kerberos ユーザ認証

ユーザ ル ッ ク ア ッ プ

属性およびグループの取得
10
ACS 5.8 での Active Directory の統合
Active Directory でサポー ト さ れる認証プ ロ ト コ ルおよび機能
Active Directory でサポー ト さ れる認証プ ロ ト コ ルおよび機能
Active Directory は、い く つかのプ ロ ト コルを使用 し た、ユーザおよびマシ ン認証や Active Directory ユーザ パスワー ド 変更など
の機能をサポー ト し ます。 次の表に、Active Directory でサポー ト される認証プ ロ ト コルおよびそれぞれの機能を示 し ます。
表7
Active Directory でサポー ト さ れる認証プ ロ ト コ ル
Authentication Protocols
機能
EAP-FAST およびパスワー ド ベースの Protected
Extensible Authentication Protocol（PEAP）
MS-CHAPv2 および EAP-GTC の内部方式で EAP-FAST
と PEAP を使用するパスワー ド 変更機能を備えたユーザ と
マシ ンの認証
Password Authentication Protocol（PAP）
ユーザおよびマシ ンの認証
Microsoft Challenge Handshake Authentication Protocol
Version 1（MS-CHAPv1）
ユーザおよびマシ ンの認証
Microsoft Challenge Handshake Authentication Protocol
version 2（MS-CHAPv2）
ユーザおよびマシ ンの認証
Extensible Authentication Protocol-Generic Token Card
（EAP-GTC）
ユーザおよびマシ ンの認証
Extensible Authentication Protocol-Transport Layer
Security（EAP-TLS）

ユーザおよびマシ ンの認証

グループおよび属性の取得

証明書のバイ ナ リ 比較

ユーザおよびマシ ンの認証

グループおよび属性の取得

証明書のバイ ナ リ 比較

ユーザおよびマシ ンの認証

グループおよび属性の取得

証明書のバイ ナ リ 比較
Extensible Authentication Protocol：セキ ュ ア な ト ン ネ リ ン
グ転送レ イ ヤ セキ ュ リ テ ィ （EAP-FAST-TLS）によ る フ レキ
シ ブル認証
Protected Extensible Authentication Protocol-Transport
Layer Security（PEAP-TLS）
ユーザ認証
Lightweight Extensible Authentication Protocol（LEAP）
Active Directory のユーザ認証プ ロ セス フ ロー
ユーザの認証または問い合わせ時に、ACS は次のこ と を チ ェ ッ ク し ます。

MS-CHAP および PAP 認証では、ユーザが無効か、ロ ッ ク さ れているか、期限切れか、またはログ イ ン時間外かど う かが
確認 さ れ、こ れ らの条件のい く つかに一致する場合、認証は失敗 し ます。

EAP-TLS 認証では、ユーザが無効かど う かまたはロ ッ ク さ れているかど う かが確認 さ れ、こ れらの条件のい く つかに一
致する場合、認証は失敗 し ます。
また、上記の条件（ユーザが無効な ど）に一致する場合は、IdentityAccessRestricted 属性を設定で き ます。 従来のポ リ シーを
サポー ト する ために IdentityAccessRestricted 属性を設定 し ます。前述の条件に一致する場合（ユーザが無効な ど）は認証が
失敗する ため、ACS 5.8 では必要あ り ません。
サポー ト さ れるユーザ名の形式
次に、サポー ト さ れるユーザ名の タ イ プ を示 し ます。

SAM（例：jdoe）

NetBIOS プ レ フ ィ ク ス付きの SAM（例：ACME\jdoe）
11
ACS 5.8 での Active Directory の統合
Active Directory のユーザ認証プ ロ セス フ ロー

UPN（例：[email protected]）

Alt UPN（例：[email protected]）

サブ ツ リ ー（例：[email protected]）

SAM マシ ン（例：laptop$）

NetBIOS プ レ フ ィ ク ス付きのマ シ ン（例：ACME\laptop$）

FQDN DNS マ シ ン（例：host/laptop.acme.com）

ホス ト 名のみのマ シ ン（例：host/laptop）
Active Directory のパスワー ド ベース認証
パスワー ド 認証プ ロ ト コ ル（PAP） と Microsoft チ ャ レ ン ジ ハン ド シ ェ イ ク認証プ ロ ト コ ル（MS-CHAP）は、パスワー ド ベー
ス プ ロ ト コ ルです。 MS-CHAP ク レデン シ ャルは、MS-RPC によ っ てのみ認証で き ます。 ACS では PAP 認証に 2 つのオプ
シ ョ ン（MS-RPC および Kerberos）があ り ます。 MS-RPC も Kerberos も 同様にセキ ュ ア なオプ シ ョ ン です。 PAP 認証の
MS-RPC はデ フ ォル ト であ り 、次の理由か ら 推奨 さ れるオプ シ ョ ン です。

MS-CHAP と の一貫性

よ り 明確な エ ラ ー レポー ト の提供

Active Directory と のよ り 効率的な通信 MS-RPC の場合、ACS は参加 し ている ド メ イ ンのみから ド メ イ ン コ ン ト ロー ラ
に認証要求を送信 し 、その ド メ イ ン コ ン ト ロー ラが要求を処理 し ます。
Kerberos の場合、ACS は、参加 し ている ド メ イ ンから ユーザのア カ ウン ト ド メ イ ン ま で Kerberos の リ フ ェ ラルに従 う 必要
があ り ます（つま り 、ACS は参加 し ている ド メ イ ンから ユーザのア カ ウン ト ド メ イ ンへの信頼パスにあるすべての ド メ イ ン
と 通信する必要があ り ます）。
ACS は、ユーザ名の形式を確認 し 、ド メ イ ン マネージ ャ を呼び出 し て適切な接続を検索 し ます。 ア カ ウン ト ド メ イ ンの ド メ
イ ン コ ン ト ロー ラが検出 さ れる と 、ACS はそれに対 し てユーザを認証 し よ う と し ます。 パスワー ド が一致する と 、ユーザに
ネ ッ ト ワー クへのア ク セス権が付与 さ れます。
パスワー ド ベースのマ シ ン認証は、マ シ ン名がホス ト /プ レ フ ィ ク ス形式である こ と を除き、ユーザベース認証によ く 似てい
ます。 こ の形式（DNS ネームスペース）では、ACS はそのま ま認証する こ と はで き ません。認証する前に、NetBIOS のプ レ フ ィ
ク スが付いた SAM 形式に変換 し ます。
証明書ベースの認証のための Active Directory 証明書の取得
ACS では、EAP-TLS プ ロ ト コ ルを使用するユーザおよびマ シ ンの認証のための証明書取得がサポー ト さ れています。 Active
Directory 上のユーザまたはマシ ン レ コ ー ド には、バイ ナ リ デー タ 型の証明書属性が含まれています。 こ の証明書属性に 1 つ
以上の証明書を含める こ と がで き ます。 ACS ではこ の属性は userCertificate と し て識別 さ れ、こ の属性に対 し て他の名前を
設定する こ と はで き ません。 ACS は こ の証明書を取得 し 、バイ ナ リ 比較の実行に使用 し ます。
証明書認証プ ロ フ ァ イルは、証明書の取得に使用する Active Directory のユーザを検索する ためにユーザ名を取得する
フ ィ ール ド （た と えば、サブ ジ ェ ク ト 代替名（SAN）または一般名）を決定 し ます。 ACS は、証明書を取得 し たあ と 、こ の証明書
と ク ラ イ ア ン ト 証明書 と のバイ ナ リ 比較を実行 し ます。 複数の証明書が受信 さ れた場合、ACS は、いずれかが一致するかど う
かを チ ェ ッ ク する ために証明書を比較 し ます。 一致 し ている場合、ユーザまたはマ シ ンの認証が成功 し ます。
証明書認証プ ロ フ ァ イルの追加
Extensible Authentication Protocol-Transport Layer Security（EAP-TLS）証明書ベースの認証方式を使用する場合は、証明書
認証プ ロ フ ァ イルを作成する必要があ り ます。 従来のユーザ名 と パスワー ド の方法で認証する代わ り に、ACS はク ラ イ ア ン
ト か ら受信 し た証明書 と サーバの証明書を比較 し 、ユーザの信頼性を検証 し ます。
12
ACS 5.8 での Active Directory の統合
Active Directory のユーザ認証プ ロ セス フ ロー
証明書認証プ ロ フ ァ イルによ っ て、証明書ベースのア ク セス要求に使用 さ れる X509 証明書情報が定義 さ れます。 ユーザ名 と
し て使用 さ れる属性を証明書か ら選択で き ます。 証明書属性のサブセ ッ ト を選択 し て、要求のコ ン テキス ト にユーザ名
フ ィ ール ド を読み込む こ と がで き ます。 こ のユーザ名は、要求の残 り のユーザを識別する場合に使用 さ れます。ロ グで使用 さ
れる識別情報に も使用 さ れます。
証明書認証プ ロ フ ァ イルを使用 し て証明書デー タ を取得 し 、LDAP または AD ク ラ イ ア ン ト から提示 さ れる証明書を さ ら に確
認で き ます。 証明書認証プ ロ フ ァ イルのユーザ名を使用 し て、LDAP または AD ID ス ト アの問い合わせが行われます。 ACS
は、ク ラ イ ア ン ト 証明書を LDAP または AD ID ス ト アから取得 さ れたすべての証明書 と 1 つずつ比較 し 、いずれかが一致する
かど う かを確認 し ます。 ACS は、要求を受け入れるか、または拒否 し ます。
ACS が要求を受け入れるには、LDAP または AD ID ス ト アの証明書が 1 つだけ、ク ラ イ ア ン ト 証明書 と 一致する必要があ り
ます。
ACS が証明書ベースの認証要求を処理する と き に、次の 2 つの う ちのいずれかが行われます。証明書のユーザ名 と 、要求を処
理 し ている ACS のユーザ名 と が比較 さ れます。あるいは、選択 し た LDAP または AD ID ス ト アに定義 さ れている情報を使用
し て、ACS によ っ て証明書情報が確認 さ れます。
証明書認証プ ロ フ ァ イルを複製 し て、既存の証明書認証プ ロ フ ァ イル と 同 じ か、または類似 し た新 し いプ ロ フ ァ イルを作成で
き ます。 複製の完了後、各プ ロ フ ァ イル（元のプ ロ フ ァ イルおよび複製 さ れたプ ロ フ ァ イル）に個別にア ク セス し て、編集また
は削除 し ます。
ACS 5.8 では、証明書の名前制約拡張をサポー ト する よ う にな り ま し た。 これによ り 、発行元に名前制約拡張が含まれる ク ラ
イ ア ン ト 証明書を受け入れます。 また、CA およびサブ CA 証明書について ク ラ イ ア ン ト 認証を確認 し ます。 こ の拡張は、証明
書パスの後続の証明書におけるすべてのサブ ジ ェ ク ト 名の名前空間を定義 し ます。 こ れは、サブ ジ ェ ク ト 識別名 と サブ ジ ェ
ク ト 代替名の両方に適用 さ れます。 こ れ らの制約は、指定 さ れた名前形式がク ラ イ ア ン ト 証明書に存在する場合にのみ適用
さ れます。 ACS 認証は、ク ラ イ ア ン ト 証明書が名前空間によ り 除外 さ れている、または許可 さ れていない場合、失敗 し ます。
サポー ト さ れる名前制約：

デ ィ レ ク ト リ名

DNS

E メ ール

URL
サポー ト さ れない名前制約：

IP ア ド レ ス

その他の名前
証明書認証プ ロ フ ァ イルを作成、複製、または編集するには、次の手順を実行 し ます。
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [証明書認証プ ロ フ ァ イル（Certificate Authentication Profile）]
を選択 し ます。
[証明書認証プ ロ フ ァ イル（Certificate Authentication Profile）] ページが表示 さ れます。
2. 次のいずれかを実行 し ます。

[作成（Create）] を ク リ ッ ク し ます。

複製する証明書認証プ ロ フ ァ イルの隣にある チ ェ ッ ク ボ ッ ク ス を オン に し 、[Duplicate] を ク リ ッ ク し ます。

変更する証明書認証プ ロ フ ァ イルを ク リ ッ ク し ます。または、名前の隣にある チ ェ ッ ク ボ ッ ク ス を オン に し て [Edit] を ク
リ ッ ク し ます。
[Certificate Authentication Profile Properties] ページが表示 さ れます。
13
ACS 5.8 での Active Directory の統合
Active Directory のユーザ認証プ ロ セス フ ロー
3. 表 8（P. 14） の説明に従 っ て、[Certificate Authentication Profile Properties] ページのフ ィ ール ド に入力 し ます。
表8
[証明書認証プ ロ フ ァ イルのプ ロパテ ィ （Certificate Authentication Profile Properties）] ページ
オプ シ ョ ン
説明
全般
名前
証明書認証プ ロ フ ァ イルの名前を入力 し ます。
説明
証明書認証プ ロ フ ァ イルの説明を入力 し ます。
Certificate Definition
Principal Username X509
Attribute
Perform Binary Certificate
Comparison with Certificate
retrieved from LDAP or
Active Directory
x509 認証に使用で き る プ リ ン シパル ユーザ名属性のセ ッ ト 。 選択肢は次の と お り です。

共通名

Subject Alternative Name

Subject Serial Number

Subject

Subject Alternative Name - Other Name

Subject Alternative Name - EMail

Subject Alternative Name - DNS
選択 し た LDAP または AD ID ス ト アに対する認証のために証明書情報を確認する場合に、
こ のチ ェ ッ ク ボ ッ ク ス を オ ンに し ます。
こ のオプ シ ョ ン を選択する場合、LDAP または AD ID ス ト アの名前を入力するか、[選択
（Select）] を ク リ ッ ク し て使用可能な リ ス ト から LDAP または AD ID ス ト ア を選択する必
要があ り ます。
4. [送信（Submit）] を ク リ ッ ク し ます。
[Certificate Authentication Profile] ページが再表示 さ れます。
パスワー ド 変更、マシ ン認証、およびマシ ン ア ク セス制限の設定の変更
は じ める前に
Active Directory ド メ イ ンに ACS を参加 さ せる必要があ り ます。
手順
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し ます。
Active Directory の [全般（General）] タ ブが表示 さ れます。
2. 必要に応 じ て、[パスワー ド の変更（Password Change）]、[マ シ ン認証（Machine Authentication）]、[ダ イヤルイ ン チ ェ ッ
ク（dial-in check）]、[ダ イヤルイ ン ク ラ イ ア ン ト のコ ールバ ッ ク チ ェ ッ ク （call back check for dial-in clients）] を有効
に し ます。 デ フ ォル ト では、[パスワー ド の変更（Password Change）] と [マ シ ン認証（Machine Authentication）] は有効
にな っ ています。
3. プ レーン テキス ト 認証に Kerberos を使用する場合は、[プ レーン テキス ト 認証に Kerberos を使用（Use Kerberos for
Plain Text Authentications）] チ ェ ッ ク ボ ッ ク ス を オンに し ます。 デ フ ォル ト および推奨のオプ シ ョ ンは MS-RPC です。
14
ACS 5.8 での Active Directory の統合
ID の解決の設定
Active Directory イ ン ス タ ン スに対する認可
こ こ では、ACS が Active Directory に対するユーザまたはマシ ンの認可に使用する メ カ ニズムについて説明 し ます。
認可ポ リ シーで使用する Active Directory の属性およびグループの取得
ACS は、許可ポ リ シー ルールで使用する ために Active Directory から ユーザまたはマシ ンの属性およびグループ を取得 し ま
す。 こ れら の属性は ACS ポ リ シーで使用 さ れ、ユーザまたはマシ ンの承認レ ベルを決定 し ます。 ACS は、認証が成功 し た後
にユーザおよびマ シ ンの Active Directory 属性を取得 し ます。また、認証 と は別に、認可のために属性を取得する こ と も で き
ます。
ACS は、外部 ID ス ト ア内のグループ を使用 し てユーザまたは コ ン ピ ュ ー タ に権限を割 り 当て る こ と があ り ます（た と えば、
ユーザを スポンサー グループにマ ッ プ し ます）。 Active Directory のグループ メ ンバーシ ッ プの次の制限事項に注意 し て く だ
さ い。
ポ リ シー ルール条件は、ユーザまたは コ ン ピ ュ ー タ のプ ラ イ マ リ グループ、ユーザまたはコ ン ピ ュ ー タ が直接 メ ンバーであ
るグループ、または間接的な（ネス ト さ れた）グループのいずれかを参照 し ます。
ユーザまたは コ ン ピ ュ ー タ のア カ ウン ト ド メ イ ン外の ド メ イ ン ロー カル グループはサポー ト さ れません。
属性およびグループは、Active Directory ド メ イ ン ご と に取得 さ れ、管理 さ れます。 こ れらは許可ポ リ シーで使用 さ れます（ま
ず参加ポ イ ン ト を選択 し 、次に属性を選択 し ます）。 許可範囲ご と に属性またはグループ を定義する こ と はで き ませんが、認
証ポ リ シーに範囲を使用で き ます。 認証ポ リ シーで範囲を使用する場合、ユーザは 1 つの参加ポ イ ン ト で認証 さ れますが、
ユーザのア カ ウン ト ド メ イ ンへの信頼で き るパスがある別の参加ポ イ ン ト 経由で属性またはグループ を取得する こ と がで
き ます。 認証 ド メ イ ン を使用 し て、1 つの範囲内にある 2 つの参加ポ イ ン ト で認証 ド メ イ ンが重複 し ないよ う にする こ と がで
き ます。
使用可能な Active Directory グループの最大数に関する Microsoft の制限については、次の URL を参照 し て く だ さ い。
http://technet.microsoft.com/ja-JP/library/active-directory-maximum-limits-scalability(v=WS.10).aspx
/!@\#$%^&*()_+~ のよ う な特殊文字を使用 し た Active Directory グループ名がルールに含まれる場合、認可ポ リ シーは失敗
し ます。
ID の解決の設定
一部の タ イ プの ID には、プ レ フ ィ ク ス またはサフ ィ ッ ク スのよ う な ド メ イ ン マー ク ア ッ プが含まれます。 た と えば、
ACME\jdoe な どの NetBIOS ID では、「ACME」が ド メ イ ン マー ク ア ッ プのプ レ フ ィ ク スで、同様に [email protected] な どの
UPN ID では、「acme.com」が ド メ イ ン マー ク ア ッ プのサフ ィ ッ ク スです。 ド メ イ ン プ レ フ ィ ク スは、組織内の Active
Directory ド メ イ ンの NetBIOS（NTLM）名に一致 し 、ド メ イ ン サフ ィ ッ ク スは、組織内の Active Directory ド メ イ ンの DNS 名
または代替 UPN サフ ィ ッ ク スに一致する必要があ り ます。 た と えば、[email protected] は、gmail.com が Active Directory ド
メ イ ンの DNS 名でないため、ド メ イ ン マー ク ア ッ プ な し と し て処理 さ れます。
ID 解決の設定によ っ て、重要な設定を構成 し て、Active Directory 導入環境に対応する よ う にセキ ュ リ テ ィ およびパフ ォ ーマ ン
ス バラ ン ス を調整する こ と がで き ます。 これらの設定を使用する と 、ド メ イ ン マー ク ア ッ プのないユーザ名およびホス ト 名の
認証を調整で き ます。 ACS がユーザの ド メ イ ン を認識 し ない場合、すべての認証 ド メ イ ン でユーザを検索する よ う に設定する
こ と がで き ます。 ユーザが 1 つの ド メ イ ン で検出 さ れて も、ACS は ID のあいまい さ がない こ と を保証するためにすべての応
答を待ち ます。 このプ ロ セスには、ド メ イ ンの数、ネ ッ ト ワー クの遅延、負荷などに応 じ て時間がかかる場合があ り ます。
ID 解決の問題の回避
認証時にユーザおよびホス ト の完全修飾名（つま り 、ド メ イ ン マー ク ア ッ プ付き名前）を使用する こ と を強 く 推奨 し ます。 た
と えば、ユーザの UPN と NetBIOS 名、およびホス ト の FQDN SPN です。 複数の Active Directory ア カ ウン ト が着信ユーザ名
と 一致する（た と えば、jdoe が [email protected] および [email protected] と 一致する）な どのあいまいエ ラ ーが
頻繁に発生する場合には、こ の こ と が特に重要にな り ます。 場合によ っ ては、完全修飾名を使用する こ と が、問題を解決する
唯一の方法にな り ます。 また、ユーザのパスワー ド が一意である こ と を保証するのみで十分な場合も あ り ます。 し たがっ て、
一意の ID を最初から 使用する と 、効率が向上 し 、パスワー ド ロ ッ ク アウ ト の問題が減少 し ます。
15
ACS 5.8 での Active Directory の統合
ト ラ ブルシ ュ ーテ ィ ング ツール
ID 解決の設定
注： こ の設定 タ ス クは任意です。 あいまいな識別エ ラ ーな どの さ ま ざ ま な理由で発生する認証の失敗を減ら すために実行で
き ます。
は じ める前に
Active Directory ド メ イ ンに ACS を参加 さ せる必要があ り ます。 複数参加は ACS 5.8 ではサポー ト さ れません。
手順
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し ます。
ACS は Active Directory の [全般（General）] タ ブに詳細を表示 し ます。
2. [ID 解決（Identity Resolution）] セ ク シ ョ ン で、ユーザ名またはマ シ ン名の ID 解決についての次の設定を定義 し ます。 こ の
設定によ っ て、ユーザの検索 と 認証を詳細に制御で き ます。
最初に、マー ク ア ッ プ な し の ID に対する設定を行います。 こ のよ う な場合、次のオプ シ ョ ンのいずれかを選択で き ます。

[要求を拒否する（Reject the request）]： こ のオプ シ ョ ン を使用する と 、SAM 名な どの ド メ イ ン マー ク ア ッ プがないユー
ザの認証は失敗 し ます。 こ の こ と は、ACS が参加 し ているすべてのグローバル カ タ ログの ID を検索する必要がある た
め、安全性が低下する可能性がある複数参加 ド メ イ ンの場合に役立ち ます。 こ のオプ シ ョ ン では、ユーザは強制的に ド メ
イ ン マー ク ア ッ プ付きの名前を使用 し ます。

[結合 さ れた フ ォ レ ス ト の「認証 ド メ イ ン」のみで検索する（Only search in the “Authentication Domains” from the joined
forest）]： こ のオプ シ ョ ン を使用する と 、認証 ド メ イ ンの セ ク シ ョ ン で指定 し た、結合ポ イ ン ト のフ ォ レ ス ト 内の ド メ イ
ンのみで ID が検索 さ れます。 これはデ フ ォル ト オプ シ ョ ン で、SAM ア カ ウン ト 名に対する ACS 5.7 の動作 と 同 じ です。

[すべての「認証 ド メ イ ン」セ ク シ ョ ン で検索する（Search in all the “Authentication Domains” sections）]： こ のオプ シ ョ
ン を使用する と 、すべての信頼 さ れた フ ォ レ ス ト のすべての認証 ド メ イ ン で ID が検索 さ れます。 こ れによ り 、遅延が増加
し 、パ フ ォ ーマ ン スに影響する可能性があ り ます。
ACS で認証 ド メ イ ンがどのよ う に設定 さ れているかに基づいて選択 し ます。 特定の認証 ド メ イ ンのみが選択 さ れている
場合、（「参加 し ている フ ォ レ ス ト 」または「すべてのフ ォ レ ス ト 」選択の両方で）それらの ド メ イ ンのみが検索 さ れます。
2 番目の設定は、ACS が、[認証 ド メ イ ン（Authentication Domains）] セ ク シ ョ ン で指定 さ れた設定に準拠する ために必要 と な
るすべてのグローバル カ タ ログ（GC） と 通信で き ない場合に使用 し ます。 こ のよ う な場合、次のオプ シ ョ ンのいずれかを選択
で き ます。

[使用可能な ド メ イ ン で続行する（Proceed with available domains）]：こ のオプ シ ョ ン を使用する と 、使用可能ないずれか
の ド メ イ ン で一致が見つか っ た場合に認証が続行 さ れます。

[要求を ド ロ ッ プする（Drop the request）]： こ のオプ シ ョ ン を使用する と 、ID 解決で到達不能または使用で き ない ド メ イ
ンが検出 さ れた場合に認証要求が ド ロ ッ プ さ れます。
ト ラ ブルシ ュ ーテ ィ ング ツール
ACS には、Active Directory のエ ラ ーを診断および ト ラ ブルシ ュ ーテ ィ ングする複数のツールがあ り ます。
Active Directory の問題の診断
診断ツールは、すべての ACS ノ ー ド で実行 さ れるサービ スです。 診断ツールを使用 し て、Active Directory 展開を自動的にテ
ス ト および診断 し た り 、ACS が Active Directory を使用する と き に機能やパフ ォ ーマ ン スの障害の原因 と な る可能性がある
問題を検出する ための一連のテ ス ト を実行 し た り する こ と がで き ます。
ACS が Active Directory に参加で き ない、または Active Directory に対 し て認証で き ない理由は、複数あ り ます。 こ のツール
は、ACS を Active Directory に接続する ための前提条件が正 し く 設定 さ れている こ と を確認するのに役立ち ます。 また、ネ ッ
ト ワー ク、フ ァ イ アウ ォ ール設定、ク ロ ッ ク同期、ユーザ認証な どの問題の検出に役立ち ます。 こ のツールは、手順がス テ ッ プ
ご と に説明 さ れている ガ イ ド と し て機能 し 、必要に応 じ て途中でそれぞれのレ イ ヤの問題を修正するのに役立ち ます。
16
ACS 5.8 での Active Directory の統合
ト ラ ブルシ ュ ーテ ィ ング ツール
次の 3 つのテ ス ト は、ACS を Active Directory に参加 さ せずに実行で き、AD デーモ ンが正 し く 実行 し ているかど う かを確認
で き ます。

シス テムの健全性：AD サービ ス を確認 し ます。

シス テムの健全性：DNS 設定を確認 し ます。

シス テムの健全性：NTP を確認 し ます。
Active Directory の問題を診断するには、次の手順を実行 し ます。
1. [ユーザおよび ID ス ト ア（Users and Identity Stores）] > [外部 ID ス ト ア（External Identity Stores）] > [Active Directory]
を選択 し 、[診断ツール（Diagnostic Tools）] タ ブ を ク リ ッ ク し ます。
Active Directory の ド メ イ ン機能を確認する ために実行可能なすべてのテス ト の リ ス ト が [診断ツール（Diagnostic
Tools）] タ ブに表示 さ れます。
2. 実行する テ ス ト の横にある チ ェ ッ ク ボ ッ ク ス を オンに し ます。複数のボ ッ ク ス を選択で き ます。
3. 次を ク リ ッ ク し ます。

選択 し たテ ス ト のみを実行するには、[選択 し たテ ス ト を実行（Run Selected Tests）] を選択 し ます。

すべてのテ ス ト を実行するには、[すべてのテ ス ト を実行（Run All Tests）] を選択 し ます。

ACS ですべてのテ ス ト の実行を停止するには、[実行中のすべてのテ ス ト を停止] を選択 し ます。
[結果（Result）] 列 と [修復方法（Remedy）] 列にテ ス ト 結果が表示 さ れます。
Active Directory のア ラ ームおよびレ ポー ト
ア ラ ーム
ACS は、Active Directory に関連する ア ク テ ィ ビ テ ィ を モニ タ し て ト ラ ブルシ ュ ーテ ィ ング を実行する ための さ ま ざ ま な ア
ラ ームおよびレポー ト を提供 し ます。
次のよ う な Active Directory のエ ラ ーおよび問題に対 し て ア ラ ームが ト リ ガー さ れます。

設定 し たネーム サーバが使用で き ない

参加 し た ド メ イ ンが使用で き ない

認証 ド メ イ ンが使用で き ない

Active Directory フ ォ レ ス ト が使用で き ない

AD コ ネ ク タ を再起動する必要がある

AD：ACS ア カ ウン ト パスワー ド の更新に失敗 し た

AD：マシ ン TGT の更新に失敗 し た
レポー ト
次の 2 つのレポー ト で Active Directory に関連する ア ク テ ィ ビ テ ィ を モ ニ タ で き ます。

RADIUS 認証レポー ト （RADIUS Authentications Report）：こ のレ ポー ト は、Active Directory の認証お よび許可に関する
詳細な手順が示 さ れています。 こ のレ ポー ト は、[操作（Operations）] > [レポー ト （Reports）] > [認証サービ ス ス テー タ ス
（Auth Services Status）] > [RADIUS 認証（RADIUS Authentications）] にあ り ます。
17
ACS 5.8 での Active Directory の統合
AD コ ネ ク タ の内部操作

AD コ ネ ク タ 操作レポー ト （AD Connector Operations Report）：AD コ ネ ク タ 操作レポー ト には、ACS サーバのパスワー
ド 更新、Kerberos チケ ッ ト の管理、DNS ク エ リ ー、DC 検出、LDAP、および RPC 接続管理な ど、AD コ ネ ク タ によ っ て実行
さ れるバ ッ ク グ ラ ウン ド 操作のログが示 さ れています。 Active Directory の障害が発生 し た場合、こ のレ ポー ト の詳細を
確認 し て、考え られる原因を特定する こ と がで き ます。 このレ ポー ト は、[操作（Operations）] > [レポー ト （Reports）] > [認
証サービ ス ス テー タ ス（Auth Services Status）] > [AD コ ネ ク タ 操作（AD Connector Operations）] にあ り ます。
Active Directory の高度な調整
高度な調整機能では ノ ー ド 固有の設定が可能です。こ の設定は、シス テムのパラ メ ー タ の詳細な調整を伴 う 、シ ス コ のサポー
ト 担当者の指示に基づ く サポー ト ア ク シ ョ ンに使用 し ます。 こ れらの設定は、通常の管理フ ローを対象 と し ていないため、ガ
イ ダ ン スに従 っ て使用する必要があ り ます。
AD コ ネ ク タ の内部操作
こ こ では、AD コ ネ ク タ で行われる内部操作について説明 し ます。
ド メ イ ン検出アルゴ リ ズム
ACS は、次の 3 つの フ ェ ーズで ド メ イ ン検出を実行 し ます。
1. 参加 し ている ド メ イ ンの ク エ リ ー： フ ォ レ ス ト の ド メ イ ン、および参加 し ている ド メ イ ン に対 し て外部的に信頼で き る ド
メ イ ン を検出 し ます。
2. フ ォ レ ス ト 内のルー ト ド メ イ ンの ク エ リ ー：フ ォ レ ス ト で信頼を確立 し ます。
3. 信頼で き る フ ォ レ ス ト 内のルー ト ド メ イ ンのク エ リ ー：信頼で き る フ ォ レ ス ト から ド メ イ ン を検出 し ます。
さ ら に、ACS は DNS ド メ イ ン名（UPN サ フ ィ ッ ク ス）、代替の UPN サ フ ィ ッ ク スお よび NTLM ド メ イ ン名を検出 し ます。
デ フ ォル ト ド メ イ ンの検出頻度は、2 時間ご と です。 [高度な調整（Advanced Tuning）] ページから こ の値を変更で き ますが、
シス コ のサポー ト 担当者に相談 し て く だ さ い。
DC の検出
AD コ ネ ク タ は、次のよ う に特定 ド メ イ ンの ド メ イ ン コ ン ト ロー ラ（DC）を選択 し ます。
1. DNS SRV ク エ リ ー（サイ ト にス コ ープ さ れていない）を実行 し 、ド メ イ ン で完全な ド メ イ ン コ ン ト ロー ラ リ ス ト を取得
し ます。
2. IP ア ド レ スのない DNS SRV の DNS 解決を実行 し ます。
3. SRV レ コ ー ド の優先順位に従 っ て CLDAP ping 要求を ド メ イ ン コ ン ト ロー ラ に送信 し 、応答がある場合は最初の応答の
みを処理 し ます。 CLDAP 応答には、DC サイ ト と ク ラ イ ア ン ト サイ ト （シ ス コのマシ ンが割 り 当て られたサイ ト な ど）が
含まれます。
4. DC サイ ト と ク ラ イ ア ン ト サイ ト が同 じ 場合、応答の送信元（DC）が選択 さ れます。
5. DC サイ ト と ク ラ イ ア ン ト サイ ト が同 じ でない場合、AD コ ネ ク タ は、検出 さ れた ク ラ イ ア ン ト サイ ト にス コ ープ さ れた
DNS SRV ク エ リ ーを実行 し 、ク ラ イ ア ン ト サイ ト を使用する ド メ イ ン コ ン ト ロー ラの リ ス ト を取得 し 、こ れ らの ド メ イ
ン コ ン ト ロー ラ に CLDAP ping 要求を送信 し 、応答がある場合は最初の応答のみを処理 し ます。 応答の送信元（DC）が選
択 さ れます。 サイ ト を使用する ク ラ イ ア ン ト サイ ト に DC がない場合や、現在使用で き る DC がサイ ト にない場合は、手
順 2 で検出 さ れた DC が選択 さ れます。
Active Directory サイ ト を作成および使用する こ と で、ACS が使用する ド メ イ ン コ ン ト ロー ラ に影響を与え る場合があ り ま
す。 サイ ト の作成および使用方法については、Microsoft Active Directory のマニ ュ アルを参照 し て く だ さ い。
18
ACS 5.8 での Active Directory の統合
AD コ ネ ク タ の内部操作
ACS は、ド メ イ ン ご と に優先 DC の リ ス ト も定義で き ます。 DC の リ ス ト は、DNS SRV ク エ リ ーの前に選択の優先順位が付け
られます。 ただ し 、こ の優先 DC の リ ス ト は排他的 リ ス ト ではあ り ません。 優先 DC が使用で き ない場合は、その他の DC が
選択 さ れます。 優先 DC の リ ス ト は、次の場合に作成で き ます。

SRV レ コ ー ド が不良か、存在 し ないか、設定 さ れていない場合。

サイ ト 関連が間違 っ ているか、存在 し ないか、サイ ト を使用で き ない場合。

DNS 設定が間違 っ ているか、編集で き ない場合。
DC のフ ェ ールオーバー
ド メ イ ン コ ン ト ロー ラ（DC）の フ ェ ールオーバーは、次の条件によ っ て ト リ ガー さ れます。

AD コ ネ ク タ は、現在選択 し ている DC が LDAP、RPC、または Kerberos の通信試行時に使用で き な く な っ た場合に検出
し ます。 DC は、ダウン し ているかネ ッ ト ワー ク接続 さ れていないために使用で き ない可能性があ り ます。 こ のよ う な場
合、AD コ ネ ク タ は DC の選択を開始 し 、新 し く 選択 し た DC に フ ェ ールオーバー し ます。

DC が起動 し ていて CLDAP ping に応答 し ますが、AD コ ネ ク タはい く つかの理由で DC と 通信で き ません。た と えば、RPC
ポー ト がブ ロ ッ ク されている場合、DC は破損複製状態にな っ ているか、適切に使用停止されていません。 このよ う な場合、
AD コ ネ ク タ は、ブ ラ ッ ク リ ス ト を使用する DC の選択（「不良」DC はブ ラ ッ ク リ ス ト に置かれます）を開始し て、選択 し た
DC との通信を試 し ます。 ブ ラ ッ ク リ ス ト を使用し て選択し た DC と ブ ラ ッ ク リ ス ト のど ち ら もキャ ッ シ ュ されません。
DNS のフ ェ ールオーバー
最大 3 つの DNS サーバ と 1 つの ド メ イ ン サフ ィ ッ ク ス を設定で き ます。 ACS で Active Directory の ID ス ト ア順序を使用
し ている場合、すべての DNS サーバが、使用するすべての Active Directory DNS ド メ イ ンの正引き および逆引き DNS ク エ
リ ーに応答で き る よ う にする必要があ り ます。 DNS のフ ェ ールオーバーは、最初の DNS がダウン し ている と き にのみ発生 し
ます。フ ェ ールオーバー DNS には最初の DNS と 同 じ レ コ ーダが必要です。 DNS サーバがク エ リ ーの解決に失敗する場合、
DNS ク ラ イ ア ン ト は別の DNS サーバを試行 し ません。 デ フ ォル ト では、DNS サーバはク エ リ ーを 2 回再試行 し 、3 秒で ク エ
リ ーを タ イ ムアウ ト し ます。
ID アルゴ リ ズムの解決
ID に関 し ては、パスワー ド が入力 さ れているかど う か、任意の ド メ イ ン マー ク ア ッ プが ID に存在するかど う かに関係な く 、
ID の タ イ プに基づいて、さ ま ざ ま なアルゴ リ ズムがユーザまたはマシ ン オブ ジ ェ ク ト の検索に使用 さ れます。 次に、ACS が
さ ま ざ ま な ID タ イ プの解決に使用する さ ま ざ ま なアルゴ リ ズムを示 し ます。
注：ID が設定済みの ID リ ラ イ ト ルールに従っ て書き換え られている場合、ID 解決は書き換え られた ID に適用 さ れます。
SAM 名の解決
ID が SAM 名（ ド メ イ ン マー ク ア ッ プのないユーザ名またはマ シ ン名）の場合、ACS はフ ォ レ ス ト を検索 し て ID を探 し ます。
一意に一致 し た場合、ACS は ド メ イ ン または一意の名前を特定 し 、AAA フ ローに進みます。
SAM 名が一意ではな く 、ACS が EAP-TLS な どのパスワー ド のないプ ロ ト コルを使用する よ う に設定 さ れている場合は他に
適切なユーザを検索する基準がないため、ACS は「あいまいな ID」エ ラ ーで認証に失敗 し ます。 ただ し 、ユーザ証明書が
Active Directory に存在する場合、ACS はバイ ナ リ 比較を使用 し て ID を解決 し ます。
PAP な どのパスワー ド ベースのプ ロ ト コ ル、または MSCHAP を使用する よ う に ACS が設定 さ れている場合、シ ス コ は引き
続きパスワー ド を確認 し ます。 一意に一致 し た場合、ACS は AAA フ ローに進みます。 ただ し 、パスワー ド が同 じ ア カ ウン ト
が複数ある場合、ACS は「あいまいな ID」エ ラ ーで認証に失敗 し ます。
ユーザ名の競合を回避する必要があ り ます。 これによ り 、効率およびセキュ リ テ ィ が向上するだけでな く 、ア カウン ト がロ ッ ク
さ れる こ と も防止さ れます。 た と えば、パスワー ド が異なる 2 つの「Chris」が存在し、ACS は SAM 名の「Chris」のみを受信する と
し ます。 このシナ リ オでは、ACS は正し いア カウン ト を特定する前に、SAM 名が「Chris」である両方のア カウン ト を試行し 続け
ます。 このよ う な場合、Active Directory は間違っ たパスワー ド の試行によ っ ていずれかのア カ ウン ト を ロ ッ クする可能性があ
り ます。 このため、一意のユーザ名または ド メ イ ン マーク ア ッ プ付きのユーザ名を使用する よ う に し て く だ さ い。 また、各
Active Directory ド メ イ ンに特定のネ ッ ト ワーク デバイ ス を使用する場合、ID 書き換えを使用し て SAM 名を認定で き ます。
19
ACS 5.8 での Active Directory の統合
AD コ ネ ク タ の内部操作
UPN の解決
ID が UPN の場合、ACS は各フ ォ レ ス ト のグローバル カ タ ロ グを検索 し て、その UPN ID と の一致を確認 し ます。 一意に一致
し た場合、ACS は AAA フ ローに進みます。 同 じ UPN の参加ポ イ ン ト が複数あ り 、パスワー ド が入力 さ れていないか、適切な
ア カ ウン ト の特定に役立たない場合、ACS は「あいまいな ID」エ ラ ーで認証に失敗 し ます。
また、ACS は、UPN である ID にユーザの メ ール属性の照合も許可 し ます。つま り 、「identity=matching UPN or email」を検索
し ます。 一部のユーザは、実際の基盤 と な る UPN ではな く 、電子 メ ール名を使用 し て（多 く の場合、証明書経由で）ロ グ イ ン し
ます。 こ の こ と は、ID が電子 メ ール ア ド レ ス と 同 じ 形式の場合に、暗黙的に行われます。
マシ ン ID の解決
マ シ ン認証の場合、ACS は、ホス ト /プ レ フ ィ ク ス を持つ ID を使用 し て、一致する servicePrincipalName 属性がないかフ ォ レ
ス ト を検索 し ます。 完全修飾 ド メ イ ン サフ ィ ッ ク ス（host/machine.domain.com な ど）が ID で指定 さ れている場合、ACS は
その ド メ イ ンが存在する フ ォ レ ス ト を検索 し ます。 ID がホス ト /マシ ン形式の場合、ACS はサービ ス プ リ ン シパル名がない
かすべての フ ォ レ ス ト を検索 し ます。 一致が複数ある場合、ACS は「あいまいな ID」エ ラ ーで認証に失敗 し ます。
マ シ ンが別の ID 形式（[email protected]、ACME\laptop$、または laptop$ な ど）の場合、ACS は通常の UPN、NetBIOS、
または SAM の解決アルゴ リ ズムを使用 し ます。
NetBIOS ID の解決
ID に NetBIOS ド メ イ ン プ レ フ ィ ク ス（ACME\jdoe な ど）がある場合、ACS は NetBIOS ド メ イ ンがないかフ ォ レ ス ト を検索
し ます。 検出 さ れた ら 、検出 さ れた ド メ イ ン で指定の SAM 名（ この例では「jdoe」）を検索 し ます。 NetBIOS ド メ イ ンは、1 つの
フ ォ レ ス ト において も必ず し も一意ではないため、検索によ っ て同 じ 名前の NetBIOS ド メ イ ンが複数検出 さ れる場合があ り
ます。 こ のよ う な場合にパスワー ド が入力 さ れている と 、適切な ID を検索する ために、そのパスワー ド が使用 さ れます。 それ
で も あいまいな場合やパスワー ド が入力 さ れていない場合、ACS は「あいまいな ID」エ ラ ーで認証に失敗 し ます。
特記事項：
注：デバイ スの数が 100,000 を超え る導入環境では、4GB 以上の RAM プ ラ ッ ト フ ォ ームを使用する こ と を推奨 し ます。 デバ
イ スの数が 100,000 を超え る導入環境で 4GB 以下の RAM が搭載 さ れたマシ ン を使用する と ACS ラ ン タ イ ムがク ラ ッ シ ュ
し ます。
注：ACS の以前の リ リ ースでは、AD ク ラ イ ア ン ト プ ロ セス を ACS CLI から 手動で停止 さ せる と 、Active Directory ド メ イ ン
を切断 し 、「参加中だが切断済み（joined but disconnected）」 と い う ス テー タ スが Active Directory の [接続詳細情報
（Connection Details）] ページに表示 さ れます。 一方、ACS 5.8 では、ACS CLI から手動で AD ク ラ イ ア ン ト プ ロ セス を停止
する と 、ACS は Active Directory ド メ イ ン を切断 し 、Active Directory の [Connection Details（接続詳細情報）] ページに「な し
（None）」 と い う ス テー タ スが表示 さ れます。 ACS CLI から AD ク ラ イ ア ン ト プ ロ セス を再度起動する と 、ACS は Active
Directory ド メ イ ン に接続 さ れ、Active Directory の [接続詳細情報（Connection Details）] ページに「参加かつ接続済み（joined
and connected）] と い う ス テー タ スが表示 さ れます。
注：RSA ID サーバまたは RSA SecurID サーバに対 し てユーザおよび管理者を認証する と きは、次の場合に ACS によ っ て
ACS レポー ト に「パスワー ド が無効です（Invalid Password）」 と い う エ ラ ー メ ッ セージが表示 さ れます。
1) 無効なパスワー ド が入力 さ れている場合
2) 外部 ID ス ト ア でユーザが無効にな っ ている場合
3) 外部 ID ス ト アにユーザが存在 し ない場合
注：Active Directory ド メ イ ンから ACS ア カ ウン ト を無効に し た直後に認証が必ず し も 失敗するわけではあ り ません。 接続
または TGT チケ ッ ト が確立 さ れている限 り 、認証は実行 さ れます。 ACS への接続に使用する LDAP、Kerberos、または RPC
に基づ き、異な る エ ラ ー と と も に認証が失敗する こ と があ り ます。 また、ド メ イ ン コ ン ト ロー ラ間のレ プ リ ケーシ ョ ン によ っ
て も異な り ます。
注：以前の ACS の リ リ ースでは、ACS の Active Directory ド メ イ ン に参加 し た後にのみ、AD ク ラ イ ア ン ト プ ロ セスが起動 し
ま し た。 し か し ACS 5.8 では、イ ン ス ト ールする と す ぐ に AD ク ラ イ ア ン ト プ ロ セスが起動 し ます。
注：ACS 5.8 の場合、ACS 5.x か ら ACS 5.8 にア ッ プグ レー ド し た後に Active Directory を ACS に手動で参加 さ せる必要が
あ り ます。 ア ッ プグ レー ド 方法の詳細については、『Installation and Upgrade Guide for Cisco Secure Access Control
System（Cisco Secure Access Control System のイ ン ス ト ールおよびア ッ プグ レー ド ガ イ ド ）』を参照 し て く だ さ い。
注：AD ド メ イ ンに ACS を追加する Windows AD ア カ ウン ト は、独自の組織ユニ ッ ト (OU)で作成で き ます。 こ の AD ア カ ウ
ン ト は、作成時または後で独自の OU に置かれ、ア プ ラ イ ア ン ス名が AD ア カ ウン ト 名に一致する必要があ り ます。
20
ACS 5.8 での Active Directory の統合
AD コ ネ ク タ の内部操作
注：ACS では、ユーザ名が OU レ ベルで設定 し た代替 UPN サフ ィ ッ ク スで指定 さ れている場合は、AD のユーザ認証をサポー
ト し ません。 UPN サ フ ィ ッ ク スが ド メ イ ン レ ベルで設定 さ れている場合、認証は正常に動作 し ます。
注：管理者は、セ カ ン ダ リ サーバか ら参加または参加解除の操作を実行で き ます。 セ カ ン ダ リ サーバで次の操作を実行する
と 、セ カ ン ダ リ サーバだけに影響 し ます。
Cisco and the Cisco logo are trademarks or registered trademarks of Cisco and/or its affiliates in the U.S. and other
countries. To view a list of Cisco trademarks, go to this URL: http://www.cisco.com/go/trademarks Third-party
trademarks mentioned are the property of their respective owners. The use of the word partner does not imply a
partnership relationship between Cisco and any other company. (1110R)
こ のマニ ュ アルで使用 し ている IP ア ド レ スおよび電話番号は、実際のア ド レ スお よび電話番号を示す ものではあ り ません。
マニ ュ アル内の例、コ マ ン ド 出力、ネ ッ ト ワー ク ト ポロ ジ図、およびその他の図は、説明のみを目的 と し て使用 さ れています。
説明の中に実際のア ド レ スおよび電話番号が使用 さ れていた と し て も、それは意図的な ものではな く 、偶然の一致によ る もの
です。
Copyright © 2015, Cisco Systems, Inc. All rights reserved.
21
ACS 5.8 での Active Directory の統合
AD コ ネ ク タ の内部操作
22