Cisco Cisco Identity Services Engine 1.2 产品宣传页

さまざまな操作の実行に必要な Active Directory のアカウント権限

Cisco ISE マシンアカウント

脱退処理

参加操作

Active Directory との通信に使用され
る新しく作成された Cisco ISE マシン
アカウントには、次のアクセス許可
が必要です。

•

自分のパスワードの変更

•

認証されるユーザ/マシンに対応
するユーザ/マシンオブジェク
トの読み取り

•

必要な情報（信頼ドメイン、代
替 UPN サフィックスなど）取
得のための Active Directory の一
部のクエリー

• tokenGroups 属性の読み取り

Active Directory でマシンアカウント
を事前に作成できます。SAM の名前
が Cisco ISE アプライアンスのホスト
名と一致する場合、参加操作中に検
索して再利用する必要があります。

複数の参加操作を実行すると、Cisco
ISE 内でそれぞれの参加に 1 つずつ
複数のマシンアカウントが操作され
ます。

脱退処理の実行に使用されるアカウ
ントには、次のアクセス許可が必要
です。

• Active Directory の検索（Cisco

ISE マシンアカウントがすでに
存在するかどうかを確認するた
め）

•

ドメインからの Cisco ISE マシ
ンアカウントの削除

強制脱退（パスワードなしでの脱
退）を実行する場合、ドメインから
マシンアカウントは削除されませ
ん。

参加操作の実行に使用されるアカウ
ントには、次のアクセス許可が必要
です。

• Active Directory の検索（Cisco

ISE マシンアカウントがすでに
存在するかどうかを確認するた
め）

•

ドメインへの Cisco ISE マシン
アカウントの作成（マシンアカ
ウントが存在しない場合）

•

新しいマシンアカウントに対す
る属性の設定（Cisco ISE マシン
アカウントパスワード、SPN、
dnsHostname など）

参加操作を実行するために、ドメイ
ン管理者である必要はありません。

参加操作または脱退処理に使用するクレデンシャルは、Cisco ISE に保存されません。新しく
作成された Cisco ISE マシンアカウントのクレデンシャルのみが保存されます。

（注）

通信用に開く必要があるネットワークポート

注記

認証

ターゲット

ポート（リモート -
ローカル）

プロトコル

—

なし

DNS サーバ/AD ドメ
インコントローラ

49152 以上の乱数

DNS（TCP/UDP）