Configurar notificações por e-mail e SMS do ISE versão 1.4

Introdução

O documento descreve como configurar o Cisco Identity Services Engine (ISE) versão 1.4 para suportar e-mails e notificações de SMS (Short Message Service) para vários serviços.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha um conhecimento básico do Cisco ISE e dos serviços para convidados.

Componentes Utilizados

As informações neste documento são baseadas nas seguintes versões de hardware e software:

• Microsoft Windows versão 7 com Cisco AnyConnect Secure Mobility Client, versão 3.1
  
  
• Switch Cisco Catalyst 3750X Series que executa as versões de software 15.0.2 e posteriores
  
  
• Cisco ISE versões 1.3 e posteriores

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Configurar

Esta seção descreve como configurar o ISE para suportar notificações por e-mail e SMS para vários serviços.

Configurações de SMTP

Antes de poder usar qualquer serviço de e-mail, o ISE deve ter um servidor de retransmissão SMTP configurado. Para configurar o servidor, navegue até Administração > Sistema > Configurações > Servidor SMTP:

Esse servidor deve ter a capacidade de aceitar qualquer e-mail do ISE sem autenticação ou criptografia.

Observação: para a configuração do servidor de retransmissão SMTP, a Cisco recomenda que você adicione o endereço IP do ISE à lista de exceções (sem ou autenticação anônima) e exija a autenticação de todos os outros hosts.

Configurações de SMS

Para que os serviços SMS funcionem com o ISE, você deve configurar um gateway SMS específico. O ISE suporta os gateways Smtp2SMS e Http2SMS. Por padrão, existem nove gateways pré-configurados para provedores bem conhecidos (talvez seja necessário ajustá-los). Para configurá-los, navegue para Administração > Sistema > Configurações > Gateway SMS:

Gateway SMS via SMTP

Quando você configura o gateway SMS SMTP, o único campo obrigatório é o campo Domínio do provedor, conforme a seção Configurações do gateway SMS para gateway de e-mail SMS do Guia do Administrador do Cisco Identity Services Engine, Versão 1.4.

Com as configurações padrão (vazio), o valor do campo template de corpo da API SMTP é igual ao valor $message$.

O valor padrão da mensagem depende do serviço usado. Para serviços de notificação (quando você cria uma conta de convidado), ela pode ser configurada na página de personalização do portal do patrocinador (Notificar Convidado/Notificação SMS). Este é o valor padrão:

O valor do campo do modelo de corpo da API SMTP também pode ser personalizado. As substituições dinâmicas suportadas para o valor default são $mobilenumber$ e $message$. Por exemplo, quando você configura o valor de modelo de teste $message$, esses dados são enviados no payload SMTP:

Após a string do modelo de teste, o valor de $message$ será substituído (neste exemplo, para o serviço de notificação SMS).

Outro exemplo do valor do campo template de corpo da API SMTP é template2 $mobilenumber$. Esta é a carga útil que é enviada quando este valor é usado:

É importante observar uma pequena diferença entre as variáveis $mobilenumber$ e $message$. Normalmente, todos os caracteres de espaço em branco (espaços) têm escape e são substituídos pelo caractere +. Quando a variável $message$ é usada, esses caracteres de espaço em branco são mantidos.

Há um exemplo de um gateway SMTP SMS (ClickatellViaSMTP) configurado com vários valores no campo modelo de corpo da API SMTP. Todos esses valores são estáticos (exceto os valores $message$ e $mobilenumber$). Os valores são fornecidos para mostrar que é possível ajustar esse payload e fornecer dados adicionais, que podem ser exigidos pelo provedor de SMTP. Os valores que são exibidos em letras maiúsculas devem ser substituídos pelos valores corretos, que são fornecidos pelo provedor (e serão os mesmos para todos os e-mails enviados por esse provedor).

Aqui está um exemplo:

Gateway SMS Via HTTP

Para o gateway HTTP2SMS, insira SMS HTTP API para usar um método de solicitação Get HTTP:

Normalmente, o provedor de SMS deve indicar os atributos que são obrigatórios para enviar e aqueles que são opcionais, bem como o tipo de string que deve ser enviada e o número da porta (se for diferente de 80).

Aqui está um exemplo que é baseado no provedor de serviços de SMS AwalJawaly, e esta é a estrutura de URL que é usada: http://awaljawaly.awalservices.com.sa:8001/Send.aspx.

Estes são os parâmetros obrigatórios:

• Tipo de solicitação (SMSSubmitReq)
  
  
• Nome de usuário
  
  
• Senha
  
  
• Número do celular
  
  
• Mensagem

Estes são os parâmetros opcionais: 

• Endereço de origem
  
  
• Tipo
  
  
• Prazo de entrega
  
  
• Período de validade
  
  
• Piscando
  
  
• Confirmação
  
  
• Máximo de créditos
  
  
• ID da mensagem do cliente
  
  
• Cabeçalho de dados do usuário (UDH)

Esta é a URL usada neste exemplo:

http://awaljawaly.awalservices.com.sa:8001/Send.aspx?REQUESTTYPE=SMSSubmitReq&Username=&Test&&Password=123456&MOBILENO=$mobilenumber$&MESSAGE=$message$

Observação: todos os campos obrigatórios estão incluídos no URL anterior. Os campos opcionais podem ser adicionados à string, se necessário.

Aqui estão algumas observações sobre os campos opcionais:

1. O nome de usuário e a senha devem ser incluídos neste link (infelizmente, texto claro é usado).
   
   
2. O número do celular é retirado automaticamente do campo Número de telefone durante o exercício de criação de convidados no portal do patrocinador.
   
   
3. O campo mensagem é preenchido automaticamente neste local: Portal do patrocinador > Personalização da página do portal > Notificar convidados > notificação por SMS > Texto da mensagem.

Depois de ativar o método Usar HTTP POST para a parte de dados, a solicitação HTTP POST é usada:

Se você usar o método POST, especifique o tipo de conteúdo, como plain/text ou application/xml. Todas as outras informações devem ser compartilhadas pelo provedor de serviços SMS.

O campo Dados é usado principalmente com o método POST. Qualquer informação usada no campo Dados para o método GET é adicionada ao final do Uniform Resource Identifier (URI) para a solicitação HTTP GET.

Aqui está um exemplo do URI para a solicitação HTTP GET:

Quando a variável $message$ não é usada no link de URL, mas as informações são inseridas no campo Dados, essas informações ficam visíveis perto do início (campo de mensagem) do URI para a solicitação HTTP GET:

Aqui está um exemplo do URI para a solicitação HTTP GET:

Aqui estão algumas observações sobre a codificação:

• Campo URL â€Â“Este campo não é codificado por URL. O número de celular da conta de convidado é substituído na URL. As substituições dinâmicas suportadas são $mobilenumber$ e $message$.
  
  
• Campo de dados â€Â“Este campo é codificado por URL pelo sistema application/x-www-form-urlencoded. 
  
  
• Espaço €“ Há dois tipos de codificação de URLs, que diferem na maneira como tratam os espaços. O primeiro (especificado pelo RFC 1738) trata um espaço como apenas outro caractere ilegal em uma URL e o codifica como %20. O segundo (quando o sistema application/x-www-form-urlencoded é implementado) codifica um espaço como um caractere + e é usado para construir as strings de consulta. A segunda opção usa as funções urlencode( ) e urldecode( ) que diferem de suas contrapartes brutas (RFC 1738) apenas na medida em que codificam os espaços como sinais de adição (+) em vez de como a sequência %20. Como o ISE usa o sistema application/x-www-form-urlencoded para a criptografia do campo Dados, um espaço é criptografado como um caractere +.

Observação: se a variável $message$ for usada em um link de URL diretamente ou a variável $message$ for usada apenas no campo Dados, as informações serão obtidas do texto da mensagem na notificação SMS (Página de personalização do portal > notificação SMS). Todos os dados no campo Texto da mensagem são codificados por URL.

Aqui estão dois exemplos:

Aqui está um exemplo do URI para a solicitação HTTP GET:

Observação: o método GET não oferece suporte a HTTPS (é apenas pelo método POST).

Notificação de convidado com credenciais por e-mail

O usuário que cria contas de convidado por meio do portal Patrocinador tem a opção de enviar notificações de e-mail com credenciais para esse usuário específico:

Esse e-mail é enviado ao endereço de e-mail do convidado por meio do relay SMTP configurado anteriormente. O patrocinador pode fornecer qualquer e-mail usado como De. Se o patrocinador não fornecer o endereço de e-mail do convidado durante a criação da conta, o ISE retornará este erro de interface gráfica do usuário (GUI):

Unable to send email.

As políticas do servidor SMTP decidem se aceitam ou descartam tal e-mail. Por exemplo, o servidor pode ser configurado para aceitar e-mails somente do domínio example.com.

Notificação de convidado com credenciais via SMS

Para que essa opção funcione, o patrocinador deve estar no grupo de patrocinadores que ativou o privilégio:

Send SMS notifications with guests' credentials

O grupo patrocinador padrão (ALL_ACCOUNTS) tem esse privilégio desabilitado. Para alterar isso, navegue para Acesso de convidado > Configurar > Grupos de patrocinadores > ALL_ACCOUNTS:

Quando você escolhe uma notificação via SMS, por padrão, não há opção para escolher um provedor de SMS específico, de modo que um padrão é usado. Para alterar isso, você pode personalizar o portal do patrocinador. 

Para personalizar o portal do patrocinador, navegue até Acesso para convidado > Configurar > Portais do patrocinador > Portal do patrocinador. Em seguida, você pode escolher a opção Personalização da página do portal e rolar para baixo até Criar conta para convidados conhecidos:

No painel direito, altere o valor de Previous para Settings e selecione o provedor de SMS desejado para essa página:

Depois que a página Criar conta para convidado conhecido do portal do convidado é personalizada, o patrocinador que usa o portal tem a opção de selecionar um provedor de SMS durante a criação de uma conta de convidado. Este mesmo provedor é usado para outras notificações SMS:

Quando o gateway do SMS não está acessível ou retorna um erro, a GUI do ISE envia uma notificação:

Unable to send SMS.

Observação: um SMS não é enviado quando o usuário é criado, mas quando o botão Notificação é clicado após a criação do usuário ser concluída.

Usuários convidados (autorregistrados)

As contas de convidados podem ser criadas automaticamente através do portal de Convidado Registrado Automaticamente. Os usuários convidados podem criar suas próprias contas:

São fornecidas (por padrão) com credenciais na mesma página da Web:

Essas credenciais também podem ser fornecidas por e-mail ou SMS.

Navegue até Guest Access > Configure > Guest Portals > Self Registered Guest Portal > Self Registration Page Settings para permitir vários gateways SMS para convidados específicos com autorregistro:

Os convidados podem selecionar um provedor de SMS durante a criação da conta. Isso é usado para fornecer credenciais para seus telefones celulares:

Após a conclusão do registro, uma senha é apresentada na página seguinte. Se isso não for desejado, você poderá desabilitá-lo na seção Página de sucesso do autorregistro do portal. Na mesma página, você também pode permitir que o convidado entregue manualmente a notificação por e-mail ou SMS:

Para entregar automaticamente as credenciais por e-mail ou SMS (ou ambos), personalize a última seção das Configurações da página de autorregistro:

Nesse caso, um endereço de e-mail e um número de telefone devem ser inseridos durante a criação da conta de convidado.

Esse é o único fluxo de convidado em que as notificações podem ser enviadas automaticamente (imediatamente após o registro do usuário). Quando a conta de usuário convidado é criada por um patrocinador, essa opção não está disponível e uma notificação é enviada somente depois que o patrocinador clica manualmente no botão Notificação.

Aprovação De Convidado Por E-Mail

Conforme descrito na seção anterior, os convidados podem se registrar e ter uma conta automaticamente registrada. No entanto, também é possível habilitar a aprovação do patrocinador para esse processo.

Nesse caso, o patrocinador recebe um e-mail que deve ser aprovado (um link específico no e-mail é clicado). Somente então a conta de convidado é ativada. Para configurar esse recurso (por padrão, ele está desabilitado), navegue para Acesso de Convidado > Configurar > Portais de Convidado > Portal de Convidado Registrado Automaticamente > Configurações da Página de Registro Automático e habilite a opção Exigir que os convidados registrados automaticamente sejam aprovados:

Você também deve fornecer os endereços de e-mail dos patrocinadores que podem aprovar a conta do convidado.

Aqui estão algumas configurações adicionais que podem ser configuradas na página Configurações de e-mail de convidado:

Essas configurações se aplicam a todos os tipos de notificações de convidado (não apenas aprovadas pelo patrocinador).

Vencimento da conta de convidado via e-mail/SMS

Os usuários convidados podem ser informados quando a conta expirar em breve. Para configurar isso (por tipo de convidado), navegue para Acesso de convidado > Tipos de convidado > Contratante:

Todos os convidados que são contratados receberão uma notificação três dias antes do vencimento da conta. Esta notificação pode ser enviada por SMS e/ou e-mail. O provedor específico de SMS pode ser selecionado e será usado para todos os convidados (mesmo que o convidado específico seja registrado automaticamente e tenha permissão para usar um provedor de SMS diferente).

Na mesma seção, há uma opção Send test email to me at. Isso torna possível testar a disponibilidade e a configuração do servidor SMTP. Depois que você fornecer um endereço de email, esta mensagem de email será entregue:

Alarmes enviados por e-mail

O ISE pode enviar e-mails para alertas de sistema detectados. Para habilitar esse recurso, navegue para Administração > Sistema > Configurações de alarme > Notificação de alarme e forneça os endereços de e-mail De e Para:

Certifique-se de que um alarme específico esteja habilitado na seção Configuração do Alarme:

Uma vez ativado e disparado, um e- mail será enviado quando o alarme for disparado. @ info: whatsthis Aqui está um exemplo do alerta típico que é enviado:

ISE Alarm : Warning : No Accounting messages in the last 15 mins

No Accounting Start

Details :
No Accounting messages in the last 15 mins

Description :
No Accounting messages have been received from Network Device(s) in the past 15 minutes
 for any of the session(s) authorized by ISE Policy Service Nodes

Suggested Actions :
Ensure RADIUS accounting is configured on the Network Device(s), Check Network Device(s)
 configuration for local Authorization

*** This message is generated by Cisco Identity Services Engine (ISE) ***

Sent By Host : ise13

Enviar SMS via API REST

O ISE permite o uso de uma API REST de convidado para criar usuários convidados. Depois que um usuário convidado é criado com o provedor de SMS correto, é possível enviar um SMS com a API REST do convidado. Aqui está um exemplo:

PUT https://<ISE-ADMIN-NODE>:9060/ers/config/guestuser/sms/444/portalId/
 ff2d99e0-2101-11e4-b5cf-005056bf2f0a
Authorization: Basic xxxxxxxxxxxxxxxxxxx
Accept:a pplication/vnd.com.cisco.ise.identity.guestuser.2.0+xml

Neste exemplo, 444 é o ID de usuário convidado e a sequência longa (ff2d99e0-2101-11e4-b5cf-005056bf2f0a) é o ID do portal (portal do patrocinador).

Observação: é necessária a autorização HTTP básica para um usuário patrocinador correto. Para obter mais detalhes, consulte o Guia de Referência de API.

Verificar

No momento, não há procedimento de verificação disponível para esta configuração.

Troubleshooting

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.

Informações Relacionadas

• Guia do Administrador do Cisco Identity Services Engine, Versão 1.3
  
  
• Guia do Administrador do Cisco Identity Services Engine, Versão 1.4 €“ Configurar o Acesso de Convidado
  
  
• Guia de referência da API do Cisco Identity Services Engine, versão 1.4 €“ Enviar um texto SMS para um usuário convidado
  
  
• € “ Guia do Administrador do Cisco Identity Services Engine, Versão 1.3..............................................................................................................................................................................................................................................................................................
  
  
• Administrar o Cisco ISE
  
  
• Suporte Técnico e Documentação - Cisco Systems