فهم حجز الموارد حسب الطلب ل AD على تصحيح ISE 3.3 4

المقدمة

يصف هذا المستند حول حجز الموارد حسب الطلب ل Active Directory على تصحيح ISE 3.3 4

المتطلبات الأساسية

معرفة محرك خدمات الهوية من Cisco (ISE)

معرفة في Active Directory (AD)

المعرفة الخاصة بالتكامل بين معالج الإدخال والإخراج (ISE) و AD

المكونات المطلوبة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية

• البرنامج Cisco Identity Services Engine 3.3 Patch 4
• Microsoft Windows Active Directory 2016 أو إصدار أحدث

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تكون مصادقة AD بطيئة في بعض الأحيان وتفشل في نهاية المطاف. يمكن أن تكون الأسباب المحتملة هي قيام قائمة انتظار ADID بالبدء في التراكم أو استنفاد كافة مؤشرات ترابط تجمع ADID.

مزيد من التفاصيل حول ADID:

ADID، المعروف أيضا باسم مميز (DN)، عبارة عن سلسلة تعرف بشكل فريد كائنا داخل دليل Active Directory. يتم إستخدامها لتحديد موقع الكائنات وإدارتها ضمن مجال Active Directory. تعد معرفات الأجهزة الرقمية (ADID) أمرا بالغ الأهمية لإدارة حسابات المستخدمين والأذونات والموارد الأخرى داخل بيئة Active Directory.

يجب أن تبدو ADID النموذجية بهذا الشكل: CN=John Doe، OU=Sales،DC=example،DC=com؛ حيث,

س.ن=جون دو: يمثل الاسم الشائع للمستخدم، جون دو.
OU=المبيعات: يمثل الوحدة التنظيمية (OU) حيث ينتمي المستخدم، في هذه الحالة، قسم المبيعات.
DC=مثال،DC=com: يمثل مكونات المجال، وهو example.com.

على سبيل المثال: 

ارجع إلى الصورة 1: تكوين نموذجي لنقطة ربط AD

الصورة 1: نقاط ربط الإعلانات

ارجع إلى الصورة 2: مخطط تدفق AD نموذجي مع نقطتي ربط

الصورة الثانية: مخطط تدفق AD نموذجي

العرض

نقطة ربط بطيئة تحت تجمع مؤشر ترابط ADID نفسه

المشكلة

1. ما هي عواقب كون إحدى نقاط الانضمام بطيئة جدا؟ على سبيل المثال، إذا تم إرسال 15 مصادقة إلى ISE في نفس الوقت ل "demo.local" وكان "demo.local" بطيئا بشكل غير عادي، فسيتعين علينا انتظار الاستجابة من "demo.local" قبل معالجة مصادقة win-sparta اللاحقة.
2. ماذا لو أن كلا نقطتي الربط تشاركان نفس تجمع مؤشر ترابط ADID تحت نقطة ربط واحدة؟

ارجع إلى الصورة 3: مخطط تدفق نقطة المفصل البطيئة

الصورة 3: جريان إشكالي

ملاحظة: هنا، يتم شغل جميع مؤشرات الترابط ال 15 بواسطة win-sparta.com في نفس الوقت دون ترك أي مؤشر ترابط للعرض التوضيحي.local

الحل

• السلوك الافتراضي هو تجمع مؤشر ترابط مشترك لكل نقاط ربط AD
• ومع ذلك، يمكن للمسؤولين تقسيم كل نقطة ربط للحصول على الموارد الخاصة بها.

ملاحظة: عند تطبيق ترتيب أولويات AD، يكون الافتراضي 10 مؤشرات ترابط لكل تجمع مؤشرات الترابط.

ارجع إلى الصورة 4: مخطط تدفق النقطة المشتركة المحجوزة حسب الطلب

الصورة 4: تدفق الحل

التكوين خطوة بخطوة

الخطوة 1: إنشاء نقطتي ربط AD منفصلتين. هنا مثلا لدينا: نسخة تجريبية.local و win-sparta.com 

الخطوة 2: إنشاء ترتيب أولويات نقطة الربط بعد إنشاء نقطة ربط AD.

ارجع إلى الصورة 5:

الصورة 5: ترتيب أولويات نقطة الربط

الخطوة 3: تحت ترتيب أولويات نقطة الربط، حدد PSN الذي تفضل حجز موارد AD المخصصة له. انقر فوق تحرير.

ارجع إلى الصورة 6:

الصورة 6: تحرير PSN

الخطوة 4: حدد نقطة الربط المفضلة ل PSN المفضل.

ارجع إلى الصورة 7:

الصورة 7: نقطة الربط المحددة

ملاحظة: تستخدم أي نقاط ربط غير مضمنة في ترتيب الأولويات تجمع مؤشرات الترابط المشتركة، والذي له حد أقصى يبلغ 15 مؤشر ترابط.

الخطوة 5: تم الانتهاء من تحديد الأولويات

ارجع إلى الصورة 8:

الصورة 8: تكوين ترتيب الأولويات

تفاصيل إضافية

تلميح: إن يريد أنت أن يكرر ال نفسه عملية إعداد إلى PSNs آخر، أنت يستطيع استعملت ال مضاعفة خيار. حدد PSN المطلوب، واختر نقطة الربط التي سيتم تكرارها مع ترتيب الأولويات الأصلي.

ارجع إلى الصورة 9: تلميح التكوين:

الصورة 9: تكرار تكوين ترتيب الأولويات

الخطوة 6: القائمة النهائية بعد التكرار

ارجع إلى الصورة 10:

الصورة العاشرة: القائمة النهائية بعد ترتيب الأولويات

استكشاف الأخطاء وإصلاحها

التحقق

تحقق من تغييرات التكوين. انتقل إلى: العمليات > التقارير > التدقيقات > تغيير تدقيق التكوين

ارجع إلى الصورة 11:

الصورة 11: تكوين تقرير التدقيق

التسجيل

• قم بتمكين مستوى تصحيح الأخطاء لسجلات وقت التشغيل AAA.
• تحليل prrt-server.log
  ارجع إلى الصورة 12:

الصورة 12: تكوين سجل التصحيح

قصاصات السجل

prrt-server.log [debug]: السجل الافتراضي: 

EventHandler،2024-08-23 07:16:48،135،DEBUG،0x7fecd2ccc700، تجمع مؤشرات الترابط الافتراضية المخصصة : وصول ADIDS إلى النازحين داخليا : win-sparta.com_wxETlH16Pk_106

prrt-server.log [INFO]: عند تعيين الموارد المخصصة:

• ActiveDirectoryIDStore،2024-09-08 16:52:01،048،INFO، 0x7f2452ccf700، تجمع مؤشرات الترابط المخصص : ADThreadPool0 إلى IDP : win-sparta.com_wxETlH16Pk_106
• ActiveDirectoryIDStore،2024-09-08 16:57:11،258،INFO، 0x7f2452ccf700، تجمع مؤشرات الترابط المخصص : ADThreadPool1 إلى IDP : demo.local_6EcNs6UzwX_89

prrt-server.log [INFO]:

• قبل أن نحدد الموارد المخصصة:
  • EventHandler، 2024-09-02 08:45:54،673،INFO،0x7fafb793c700،تم تمرير الحدث إلى اسم تجمع مؤشر الترابط التالي=ADIDStore، حجم قائمة الانتظار=1،EventDispatcher.cpp:757

• بعد أن قمنا بتخصيص الموارد:
  • EventHandler،2024-09-02 08:45:54،673،INFO، 0x7f4867ff9700، تم تمرير الحدث إلى اسم تجمع مؤشرات الترابط التالي=ADThreadPool0، حجم قائمة الانتظار=1،EventDispatcher.cpp:841

لتعقب إستخدام تجمع مؤشرات الترابط ل "ADThreadPool0":

1.0x7f57792f7700، قام بتمرير حدث إلى اسم تجمع مؤشر الترابط التالي=ADThreadPool0 (عدد قليل من السجلات التي ترجع إلى StackID:0x7f57a4f761c0)

2. 0x7f57732c7700،Stack: 0x7f57a4f761c0 إستدعاء ActiveDirectoryIDStore: MethodCaller<ActiveDirectoryIDStore و PlainAuthenticateAndQueryEvent>

3. 0x7f57732c7700،cntx=0000210117،sesn=ifedida-1/51586362/5273،CPMSsessionID=c0A31430000000800018958،user=ABCD،CallStationID[CID=[CN0 ب.م] 956: تم إستدعاء CAD_PAPAuthenticate (ABCD)

4. 0x7f57732c7700،cntx=000210117،sesn=ifedida-1/51586362/5273،CPMSessionID=c0A3143000000080018958،user=،الاتصال StationID=[CAD] 1026: نجح CAD_PAPAuthenticate (ABCD)

5. 0x7f57732c7700، تم تمرير الحدث إلى اسم تجمع مؤشر الترابط التالي=Main

الأسئلة الشائعة

سؤال: كم عدد نقاط AD Join التي يمكن أن يدعمها ISE؟

الإجابة: يمكنك تكوين ما يصل إلى 50 نقطة ربط Active Directory على نشر ISE واحد.

سؤال: إذا كان لدي نقاط ربط AD متعددة، هل يمكنني إستخدام ترتيب الأولويات حسب الطلب؟

الإجابة: نعم

سؤال: ما هو حجم مؤشر الترابط الافتراضي بدون ترتيب الأولويات لمجال واحد؟

الإجابة: 15 مؤشر ترابط

سؤال: إذا قمت بتكوين ترتيب الأولويات، كيف يتم إجراء الحساب؟ ضع في الاعتبار، أن سيناريو 3 نقاط الربط - domain1.com و domain2.com و domain3.com مع domain1.com غير مكون لتحديد الأولويات و domain2.com و domain3.com يتم تكوينه لتحديد الأولويات.

الإجابة: إذا لم يتم تكوين المجال 1 لتحديد الأولوية، فإن domain1.com يستخدم مؤشرات الترابط 15 الشائعة المتوفرة - كل ذلك في نفس الوقت. ومع ذلك، نظرا لأنه يتم تكوين domain2.com و domain3.com باستخدام تحديد الأولوية، فإنهما يستخدمان 10 مؤشرات ترابط كل منهما بشكل افتراضي ولا يتبعان/يستفيدان من تجمع 15 مؤشر ترابط الشائع.