المقدمة

يصف هذا المستند الإجراءات المستخدمة بشكل متكرر التي يمكن أن يتخذها أي راع أو مسؤول ISE على بيانات الضيف الموجودة على ISE. توفر خدمات الضيوف لمحرك خدمات الهوية (ISE) من Cisco إمكانية الوصول الآمن إلى الشبكة للضيوف مثل الزوار والمتعاقدين والمستشارين والعملاء.

تمت المساهمة بواسطة شيفام كومار، مهندس TAC من Cisco.

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من هذا موضوع:

- محرك خدمات كشف الهوية (ISE)

- خدمات ISE Guest

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- Cisco ISE، الإصدار 2.6

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

ملاحظة: يكون الإجراء مماثلا أو متطابقا مع إصدارات ISE الأخرى. يمكن للمرء إستخدام هذه الخطوات على جميع إصدارات برنامج 2.x ISE Software ما لم ينص على خلاف ذلك.

التكوين

إستخدام كفيل لإدارة حسابات الضيوف

الكفلاء هم حسابات مستخدمين على ISE تتمتع بامتياز تسجيل الدخول إلى بوابة الكفيل حيث يمكنهم إنشاء حسابات ضيوف مؤقتة للزوار المخولين وإدارتها. يمكن أن يكون الكفيل مستخدما داخليا أو حسابا موجودا في مخزن هوية خارجي مثل Active Directory.

في هذا المثال، يتم تعريف حساب الكفيل داخليا في ISE وإضافته إلى المجموعة المحددة مسبقا: ALL_ACCOUNTS.

وبشكل افتراضي، يحتوي ISE على ثلاث مجموعات كفلاء يمكن تعيين الكفلاء لها:

All_ACCOUNTS (الافتراضي): يستطيع الكفلاء الذين تم تعيينهم لهذه المجموعة إدارة جميع حسابات المستخدمين الضيوف. بشكل افتراضي، يكون المستخدمون في مجموعة هوية المستخدم ALL_ACCOUNTS أعضاء في مجموعة الكفلاء هذه.

Group_ACCOUNTS (الافتراضي): يستطيع الكفلاء الذين تم تعيينهم لهذه المجموعة إدارة حسابات الضيف التي تم إنشاؤها بواسطة الكفلاء من نفس مجموعة الكفلاء. بشكل افتراضي، يكون المستخدمون في مجموعة هوية المستخدم GROUP_ACCOUNTS أعضاء في مجموعة الكفلاء هذه.

SELF_ACCOUNTS (الافتراضي): يمكن للرعاة المعينين لهذه المجموعة إدارة حسابات الضيوف التي قاموا بإنشائها فقط. بشكل افتراضي، يكون المستخدمون في مجموعة هوية مستخدم SELF_ACCOUNTS أعضاء في مجموعة الكفلاء هذه.

يتم تعيين حساب العميل المستخدم في هذا المثال على ALL_ACCOUNTS:

تتوفر الأذونات والامتيازات الخاصة بمجموعة الكفيل هذه في مراكز العمل> Guest Access (وصول الضيف) > Portal & Components > مجموعات الكفيل:

من أجل السماح للكفيل بالوصول إلى إدارة الضيوف عبر واجهة برمجة تطبيقات ERS REST، تتم إضافة إذن إلى مجموعة الكفيل كما هو موضح في الصورة.

إستخدام حساب Active Directory ككفيل

وإلى جانب حسابات المستخدمين الداخلية المعرفة كجهات راعية، يمكن أيضا إستخدام الحسابات الموجودة على مصادر الهوية الخارجية مثل Active Directory (AD) أو LDAP كجهات راعية لإدارة حسابات الضيوف.

تأكد من انضمام ISE إلى AD بالانتقال إلى الإدارة> الهويات > مصادر الهوية الخارجية > Active Directory. إذا لم يكن قد انضم بالفعل، انضم إلى أحد مجالات AD المتاحة.

إسترداد المجموعات من AD التي تحتوي على الحسابات:

يوضح هذا المثال إضافة مستخدم AD إلى مجموعة كفيل all_accounts.

انتقل إلى مراكز العمل> Guest Access (وصول الضيف) > Portal & Components (مدخل ومكونات) > مجموعات العملاء> All_ACCOUNTS ثم انقر فوق الأعضاء، كما هو موضح في هذه الصورة.

يعرض الأعضاء كافة المجموعات المتاحة للاختيار منها، ثم حدد مجموعة AD وانقلها إلى اليمين لإضافتها إلى المجموعة الراعية.

قم بحفظ التغييرات. يعمل تسجيل دخول بوابة الكفيل الآن مع حسابات مستخدمي AD التي تعد جزءا من مجموعة AD المحددة.

يمكن اتباع الخطوات نفسها أعلاه لإضافة مستخدمين عبر LDAP. كما تتوفر مجموعات هوية المستخدم المحددة داخليا كخيار لإضافتها إلى مجموعات العملاء.

أستخدم أحد حسابات الكفيل هذه لتسجيل الدخول إلى بوابة الكفيل. يمكن إستخدام بوابة الكفيل ل:

- تحرير حسابات الضيوف وحذفها

- تمديد مدة حساب الضيف

- إيقاف حساب الضيف مؤقتا

- إعادة إنشاء حسابات الضيوف المنتهية صلاحيتها

- إعادة إرسال كلمات المرور وتعيينها للضيوف

- الموافقة على حسابات الضيوف المعلقة

على بوابة الكفيل، حدد علامة التبويب إدارة الحسابات لعرض جميع حسابات الضيف المخول لهذا الكفيل بإدارتها، كما هو موضح في هذه الصورة.

يمكن تحرير حساب ضيف بغض النظر عن الحالة التي يكون فيها.

هناك خيار لإعادة إرسال كلمة مرور حساب الضيف في حالة نسيان صاحب الحساب لها أو فقدانها. يمكن أن تكون كلمة مرور حساب الضيف مستاءة فقط إذا كانت إما في حالة نشط أو تم إنشاؤه.

لا يمكن أن تستاء كلمات المرور للضيوف الذين قاموا بتغييرها. في هذه الحالة، يجب إستخدام خيار إعادة ضبط كلمة المرور أولا. لا يمكن إرسال كلمة المرور للحسابات التي تنتظر الموافقة أو معلقة أو منتهية الصلاحية أو مرفوضة.

قد يختار الكفيل الخيار أن يستلم نسخة من الكلمة التي تم تغييرها:

في حالة الحاجة إلى السماح بوصول الضيف إلى الشبكة لفترة أطول من المسموح به في الأصل، أستخدم الخيار الموسع لزيادة المدة. يمكن توسيع الحسابات الموجودة في الحالة "تم الإنشاء" أو "نشط" أو "انتهت صلاحيته".

لا يمكن توسيع حساب تم إيقافه مؤقتا أو رفضه، أستخدم خيار إعادة الحالة بدلا من ذلك.

يخضع الحد الأقصى لفترة التمديد المسموح بها لنوع ضيف الحساب.

تنتهي صلاحية حسابات الضيوف بمفردهم عندما تصل إلى نهاية مدة الحساب، بغض النظر عن حالتها. يتم إزالة حسابات الضيوف المعلقة أو المنتهية صلاحيتها تلقائيا استنادا إلى سياسة التطهير المحددة على النظام. وبشكل افتراضي، يتم إزالتها كل 15 يوما.

حالات حساب الضيوف ومعناها:

نشط: نجح الضيوف الذين لديهم هذه الحسابات في تسجيل الدخول من خلال بوابة Guest معتمدة، أو تجاوز بوابة Guest Captive المعتمدة. في الحالة الأخيرة، تنتمي الحسابات إلى أنواع الضيوف التي تم تكوينها لتجاوز مدخل Guest Captive المعتمد. ويمكن لهؤلاء الضيوف الوصول إلى الشبكة من خلال توفير بيانات اعتماد تسجيل الدخول الخاصة بهم للمطالب الأصلي الموجود على جهازك.

تم الإنشاء: تم إنشاء الحسابات، ولكن لم يقم الضيوف بتسجيل الدخول بعد إلى مدخل Guest معتمد. في هذه الحالة، يتم تعيين الحسابات لأنواع الضيف التي لم يتم تكوينها لتجاوز مدخل Guest Captive المعتمد. يجب على الضيوف تسجيل الدخول أولا من خلال بوابة Guest Captive المعتمدة قبل أن يتمكنوا من الوصول إلى أجزاء أخرى من الشبكة.

مرفوض: يتم رفض وصول الحسابات إلى الشبكة. لا تزال الحسابات التي انتهت صلاحيتها أثناء وجودها في حالة رفض مرفوضة.

بانتظار الموافقة: تنتظر الحسابات الموافقة للوصول إلى الشبكة.

معلق: يتم تعليق الحسابات من قبل كفيل له شرف القيام بذلك.

سياسات إزالة الضيف

وبشكل افتراضي، يقوم ISE تلقائيا بإزالة حسابات الضيف منتهية الصلاحية كل 15 يوما. يمكن رؤية هذه المعلومات ضمن مراكز العمل > الوصول إلى الضيوف > الإعدادات > سياسة إزالة حساب الضيوف.

يشير تاريخ عملية الإزالة التالية إلى وقت حدوث عملية الإزالة التالية. يمكن لمسؤول ISE:

- قم بجدولة عملية إزالة تتم كل X يوم. يحدد وقت التطهير متى تحدث عملية الإزالة الأولى في أيام X. وبعد ذلك، تجري عملية التطهير كل x يوم.

- حدد موعدا لعملية تطهير في يوم معين من الأسبوع، كل X أسابيع.

- فرض عملية إزالة حسب الطلب باستخدام عملية إزالة الخيار الآن.

عند إزالة حسابات الضيف منتهية الصلاحية، يتم الاحتفاظ بنقاط النهاية والتقارير ومعلومات التسجيل المرتبطة.

إزالة نقطة النهاية: الأيام غير النشطة مقابل الأيام المنقضية لنقاط النهاية

تصبح نقاط النهاية التي يستخدمها الضيوف للوصول إلى الشبكة جزء من نقاط GuestEndpoints بشكل افتراضي. يحتوي ISE على السياسة الخاصة بحذف نقاط نهاية الضيف والأجهزة المسجلة الأقدم من 30 يوما. يتم تشغيل مهمة الإزالة الافتراضية هذه عند الساعة 1 صباحا كل يوم استنادا إلى المنطقة الزمنية التي تم تكوينها على عقدة المسؤول الأساسية (PAN). يستخدم هذا النهج الافتراضي شرط ElapsedDays. الخيارات الأخرى المتاحة هي InactiveDays وPurgeDate.

ملاحظة: تعد وظيفة إزالة نقطة النهاية مستقلة عن سياسة إزالة حساب الضيف وانتهاء صلاحية حساب الضيف.

يتم تعريف السياسة تحت الإدارة>إدارة الهوية>الإعدادات>إزالة نقطة النهاية.

الأيام المنقضية: يشير هذا إلى عدد الأيام منذ إنشاء الكائن. يمكن إستخدام هذا الشرط لنقاط النهاية التي تم منحها وصول غير مصدق عليه أو مشروط لفترة زمنية معينة، مثل نقطة نهاية الضيف أو المقاول، أو الموظفين الذين يستفيدون من مصادقة الويب للوصول إلى الشبكة. بعد فترة سماح الاتصال المسموح بها، يجب إعادة المصادقة عليها بالكامل وتسجيلها.

الأيام غير النشطة: يشير إلى عدد الأيام منذ آخر نشاط لتوضيح البيانات أو التحديث على نقطة النهاية. تؤدي هذه الحالة إلى إزالة الأجهزة المعطلة التي تراكمت مع مرور الوقت أو الضيوف العابرين عادة أو الأجهزة الشخصية أو الأجهزة القديمة. تميل نقاط النهاية هذه إلى تمثيل الضوضاء في معظم عمليات النشر حيث إنها لم تعد نشطة على الشبكة أو من المرجح أن ترى في المستقبل القريب. وإذا حدث اتصال هذه العناصر مرة أخرى، فسوف يعاد اكتشافها، وتنزيلها، وتسجيلها، إلخ، حسب الحاجة.

عند وجود تحديثات من نقطة النهاية، سيتم إعادة تعيين InactivityDays إلى 0 فقط في حالة تمكين ميزة إنشاء ملفات التعريف.

تاريخ الإزالة: تاريخ إزالة نقطة النهاية. يمكن إستخدام هذا الخيار للأحداث الخاصة أو المجموعات التي يتم فيها منح حق الوصول لوقت معين، بغض النظر عن وقت الإنشاء أو البدء. وهذا يسمح بإزالة كل نقاط النهاية في الوقت نفسه. على سبيل المثال، معرض تجاري، أو مؤتمر، أو فصل تدريبي أسبوعي يضم أعضاء جدد كل أسبوع، حيث يتم منح حق الوصول لأسبوع أو شهر محدد بدلا من أيام/أسابيع/أشهر مطلقة.

يظهر هذا النموذج لملف profiler.log عندما تم إزالة نقاط النهاية التي كانت جزءا من GuestEndpoints والتي انقضت 30 يوما:

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :REGULAR

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- epPurgeRuleID is :3bfaffe0-8c01-11e6-996c-525400b48521

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- purging description: ENDPOINTPURGE:ElapsedDays EQUALS 30

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- purging expression: GuestInactivityCheck & GuestEndPointsPurgeRuleCheck5651c592-cbdb-4e60-aba1-cf415e2d4808

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- EPCondition name is : GuestInactivityCheck

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the condLabel are :ENDPOINTPURGE ElapsedDays EQUALS 30

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- rulename is : 3c119520-8c01-11e6-996c-525400b48521

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :EXCLUSION

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- rulename is : 3c2ac270-8c01-11e6-996c-525400b48521

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :REGULAR

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- epPurgeRuleID is :3c2ac270-8c01-11e6-996c-525400b48521

2

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- EPCondition name is : RegisteredInactivityCheck

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the condLabel are :ElapsedDays Greater than 30

2020-07-09 09:35:26,407 INFO [admin-http-pool13][] cisco.profiler.infrastructure.profiling.EPPurgeRuleEvaluator -::- Started to Update the ChildParentMappingMap

2020-07-09 09:35:26,408 INFO [admin-http-pool13][] cisco.profiler.infrastructure.profiling.EPPurgeRuleEvaluator -::- Completed to Update the ChildParentMappingMap

2020-07-09 09:35:26,512 INFO [admin-http-pool13][] cisco.profiler.infrastructure.notifications.ProfilerEDFNotificationAdapter -::- EPPurge policy notification.

2020-07-09 09:35:26,514 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Requesting purging.

2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- New TASK is running : 07-09-202009:35

2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Read profiler.endPointNumDaysOwnershipToPan from platform properties: null

2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Value of number days after which ownership of inactive end points change to PAN: 14

2020-07-09 09:35:26,525 INFO [PurgeImmediateOrphanEPOwnerThread][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Updating Orphan Endpoint Ownership to PAN.

2020-07-09 09:35:26,530 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Purge Endpoints for PurgeID 07-09-202009:35

2020-07-09 09:35:26,532 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- hostname of the node ise26-1.shivamk.local

2020-07-09 09:35:26,537 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Search Query page1 lastEpGUID. EndpointCount4

2020-07-09 09:35:26,538 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:FF IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue

2020-07-09 09:35:26,539 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:01 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue

2020-07-09 09:35:26,540 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:03 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue

2020-07-09 09:35:26,540 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:04 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue

2020-07-09 09:35:27,033 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Endpoints PurgeID '07-09-202009:35' purged 4

2020-07-09 09:35:27,034 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Endpoints PurgeID '07-09-202009:35' purged 4 in 504 millisec numberofEndpointsRead4

بعد اكتمال عملية التطهير:

أستكشاف مشكلات الضيف والإزالة وإصلاحها

من أجل التقاط السجلات المتعلقة بمشاكل الضيوف والإزالة، يمكن تعيين هذه المكونات على تصحيح الأخطاء. لتمكين تصحيح الأخطاء، انتقل إلى Administration> System > Debug Log Configuration> حدد عقدة.

بالنسبة لحسابات الضيف/الكفيل واستكشاف الأخطاء وإصلاحها المتعلقة بإزالة النقطة النهائية، قم بتعيين هذه المكونات على تصحيح الأخطاء:

- وصول للقيلولة

- guest-admin

- guest-access-admin

- محلل

- Runtime-AAA

بالنسبة للمشكلات المتعلقة بالمدخل، قم بتعيين هذه المكونات على تصحيح الأخطاء:

- مدخل إشعاعي

- بوابة

- مدير جلسة المدخل

- وصول للقيلولة

معلومات ذات صلة

- دليل النشر التعريفي ل ISE Guest Access

- أستكشاف أخطاء ISE وإصلاحها وتمكين تصحيح الأخطاء