مشاكل أداء استعلام المجموعات الخارجية ل ISE 3.5 EntraID وحل إذن Microsoft Graph API

مسألة

يواجه تكوين مخزن معرف الراحة EntraID Rest Id من Cisco ISE 3.5 Patch2 تأخيرات كبيرة في المصادقة أثناء مصادقة EAP-TLS عند الاستعلام عن EntraID.ExternalGroups. تستغرق مرحلة PIP - EntraID.ExternalGroups أكثر من 30 ثانية للاكتمال، مما يتسبب في تعطيل عملاء EAP وإعادة تشغيل المصادقة، مما يمنع إكمال الجلسة بنجاح.

بالإضافة إلى ذلك، عند محاولة حفظ سمات المجموعة في تكوين مخزن معرف EntraID REST، تظهر رسالة الخطأ هذه:

java.rmi.RemoteException: null; nested exception is: java.lang.NullPointerException

تظهر سجلات المصادقة أخطاء PIP غير المتزامنة وتعليق محرك النهج أثناء عملية البحث عن المجموعات الخارجية. توضح المشكلة كمهام سير عمل مصادقة فاشلة حيث يتعذر على العملاء إكمال جلسات EAP بسبب أوقات الاستعلام الموسعة.

البيئة

• Cisco Identity Services Engine (ISE)، الإصدار 3.5.0.527 مع Patch 2

• تكامل Microsoft EntraID (Azure Active Directory) عبر مخزن REST ID

• تكوين مصادقة EAP-TLS

• مصدر الراحة المكون ل EntraID مع إسترداد سمة المجموعة

• تمت ملاحظة المشكلة على ISE 3.4 patch4/patch5 و ISE 3.5 patch2/patch3

قرار

يتضمن الحل منح أذونات Microsoft Graph API الصحيحة لتطبيق Azure المستخدم من قبل تكامل مخزن ISE EntraID REST ID.

الخطوة 1: منح أذونات واجهة برمجة التطبيقات (API) المطلوبة ل Microsoft Graph

انتقل إلى مدخل Azure وحدد موقع تسجيل التطبيق المستخدم لتكامل ISE. منح إذن واجهة برمجة التطبيقات هذا لنوع التطبيق:

Directory.Read.All

تأكد من منح موافقة المسؤول لهذا الإذن.

الخطوة 2: إعادة تشغيل خدمات ISE

بعد منح الإذن Directory.Read.All، قم بإعادة تشغيل الخدمات على كافة عقد ISE لضمان سريان الأذونات الجديدة.

الخطوة 3: التحقق من الدقة

اختبر عملية المصادقة لتأكيد اكتمال مرحلة PIP - EntraID.ExternalGroups ضمن إطارات زمنية مقبولة وإمكانية حفظ سمات المجموعة دون أخطاء.

يجب أن تظهر سجلات الدقة الإكمال الناجح بدون AsynchronousPIPError:

2026-05-26 14:21:47,981 DEBUG [I/O dispatcher 1][[]] cisco.ise.ropc.utilities.HttpClientWrapper -:::::- User attribute lookup - Thread name I/O dispatcher 1

السبب

سبب الإصدار Cisco بق id CSCwu13703، أي يؤثر على ISE 3.5 تصحيح 3 والإصدارات ذات الصلة. الخطأ متعلق بأذونات Microsoft Graph API غير كافية لتكامل EntraID. بدون إذن Directory.Read.All المناسب، لا يمكن ل ISE الاستعلام عن المجموعات الخارجية من EntraID بشكل فعال، مما يؤدي إلى حالات انتهاء المهلة وتعليق محرك النهج من خلال إستثناءات AsynchronousPIPError.

تفشل عملية المصادقة لأن كل تقييم غير ناجح يتسبب في قيام مشغل النهج برمي AsynchronousPIPError وتعليق سير عمل المصادقة، مما يؤدي إلى أوقات الاستعلام الموسعة وانتهاء مهلة العميل في نهاية المطاف.

المحتوى ذي الصلة

• معرف تصحيح الأخطاء من Cisco CSCwu13703

• Cisco ISE مع Microsoft Active Directory Entra ID و Intune Configuration Guide

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	08-Oct-2026	الإصدار الأولي