Cisco IQ Virtual Appliance - Betriebshandbuch v1.2.4

Einleitung

Cisco ^IQTM bietet Kunden Funktionen, die darauf ausgelegt sind, die Transparenz ihrer Ressourcen zu verbessern und intelligentere Einblicke in ihre Umgebungen zu liefern. Darüber hinaus optimieren KI-Funktionen wie der KI-Assistent die Betriebsergebnisse und die Benutzererfahrung mit Cisco IQ, indem sie ein kontextbezogenes Verständnis bieten, das es den Benutzern ermöglicht, proaktive, fundierte Entscheidungen zu treffen, und Prozesse optimieren, die das Kundenengagement und den Erfolg fördern.

Cisco IQ On-Prem Air-Gap ist der Bereitstellungsmodus von Cisco IQ für Umgebungen, die keine Verbindung zur Cloud herstellen können. Sie wird als eigenständiges virtuelles System (VM) bereitgestellt, das als Cisco IQ Virtual Appliance (VA) bezeichnet wird und vollständig isoliert von externen Netzwerken am Kundenstandort ausgeführt wird. Die Software-Updates und Wartungspakete werden von Cisco IQ SaaS bezogen und über einen genehmigten manuellen Prozess in die VA übertragen.

Für Unternehmen, die in regulierten, hochsicheren und staatlichen Umgebungen tätig sind, beseitigt die VA den Kompromiss zwischen Transparenz und Kontrolle. Kunden implementieren Cisco IQ-Ressourcen und -Analysefunktionen in ihrem eigenen Netzwerk und behalten die vollständige Kontrolle über ihre Daten. Gleichzeitig erhalten sie die Einblicke und Empfehlungen, die sie von Cisco IQ erwarten. Der Air-Gap Bereitstellungsmodus erweitert die Funktionen von Cisco IQ SaaS auf isolierte Umgebungen, sodass geschäftskritische Teams mit der Geschwindigkeit und diagnostischen Intelligenz Cloud-verbundener Unternehmen arbeiten können.

Dieser Leitfaden enthält Anleitungen für den Betrieb, die Überwachung und die Wartung der VA sowie Verfahren für das Management der Netzwerkumgebung und die laufende Systemadministration.

Verbindungsverwaltung (Datensammlung) 

Cisco IQ VA ist eine standortbasierte Lösung für die Erfassung von Netzwerkdaten und sorgt so für umfassende Transparenz in Ihrer Infrastruktur. Es erfasst Daten über Catalyst Center und Direct Connection. Sie vereinfacht das Management der Netzwerkauthentifizierung und Geräteerkennung. Die Konfiguration der Datenerfassung umfasst:

• Erstellen von Anmeldeinformationssätzen: Richten Sie die Authentifizierungsprotokolle (z. B. Simple Network Management Protocol (SNMP) v1/v2c/v3) für die Kommunikation mit den Netzwerkgeräten ein. Durch die Zentralisierung der Anmeldeinformationen nach Sicherheitszone oder Standort (z. B. "SanJose-SNMPv3") können Sie Kennwörter an einem Standort aktualisieren, wobei die Änderungen automatisch auf alle verbundenen Geräte übertragen werden.
• Zuordnen von Anmeldeinformationen zum Bestand: Ordnen Sie Ihre Anmeldeinformationssätze den Bestands-Assets zu, um den Authentifizierungsprozess zu automatisieren. Durch das Erstellen von Regeln, die bestimmte IP-Bereiche mit definierten Berechtigungssätzen verknüpfen, wendet das System während der Datenerfassung automatisch die richtige Authentifizierung an. So werden manuelle Eingabefehler vermieden und sichergestellt, dass die Konfiguration mit wachsendem Netzwerk immer fehlerfrei abläuft.

Anmerkung: Für die Geräteerkennung sind SNMPv2c/SNMPv3 und SSH erforderlich, und vor der Konfiguration von Catalyst Center müssen HTTP/HTTPS-Anmeldeinformationen bereitgestellt werden.

Anmeldeinformationstypen nach Verbindungsmethode

Beispiel zur Auswahl von Anmeldeinformationen

Verbindungsmethode	Protokoll/Anmeldedaten	Erfasste Daten
Catalyst Center	HTTP/HTTPS (Administratorrolle)	Vollständige Bestandsaufnahme über Catalyst Center-APIs
Direkt zum Gerät (SNMP + SSH)	SNMPv2c/v3 (schreibgeschützt) + SSH	Full-Commit: Management Information Base (MIB)-Daten + CLI-Ausgabe
Direkt zum Gerät (nur SNMP)	SNMPv2c/v3 (schreibgeschützt)	Teilweise: Nur MIB-Daten

Anmerkung: SNMP (v2c oder v3) ist für die Geräteerkennung bei Verwendung der Direktverbindung erforderlich. Ohne SNMP werden Geräte unabhängig von der Verfügbarkeit von SSH als nicht verwaltet angesehen.

Catalyst Center-Verbindung

Wenn Cisco IQ VA Daten über Catalyst Center sammelt, kommuniziert es über HTTPS mit Catalyst Center. Die VA verbindet sich nicht direkt mit von Catalyst Center verwalteten Geräten über SSH oder SNMP. Stattdessen fungiert Catalyst Center als Vermittler und stellt der VA über seine APIs Gerätebestandsdaten zur Verfügung.

• Erforderliche Anmeldeinformationen: HTTP/HTTPS mit Administratorrechten auf Catalyst Center Der Zugriff auf Administratorebene ist erforderlich, damit die VA Catalyst Center-APIs abfragen und vollständige Gerätebestandsdaten abrufen kann.

• Nicht erforderlich: SSH- oder SNMP-Anmeldedaten für Geräte, die von Catalyst Center verwaltet werden

Anmerkung: Für die Datenerfassung sind die Rechte des Beobachters (schreibgeschützt) nicht ausreichend. Die VA erfordert Administratoranmeldeinformationen für Catalyst Center, um auf die Catalyst Center-APIs zugreifen zu können, die für den Bestandsabruf verwendet werden.

Hinzufügen von HTTP-/HTTPS-Anmeldeinformationen und -Konfigurationen für Catalyst Center

1. Wählen Sie unter Systemeinstellungen die Option Verbindungsverwaltung aus.

2. Klicken Sie auf die Registerkarte Anmeldedaten.

3. Klicken Sie auf Anmeldedaten hinzufügen.

4. Geben Sie einen Namen ein (z. B. "CatC-HTTPS-SiteA").

5. Aktivieren Sie das Kontrollkästchen HTTP/HTTPS-Protokoll.

6. Klicken Sie auf Next (Weiter).

7. Geben Sie die Anmeldedetails für Catalyst Center ein (Benutzername und Kennwort mit Administratorrolle).

8. Klicken Sie auf Next (Weiter).

9. Geben Sie die Catalyst Center-IP-Adresse oder den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) in die enthaltenen IP-Adressen ein.

10. Klicken Sie auf Speichern.

11. Konfigurieren Sie die Catalyst Center-Verbindung:

    1. Klicken Sie unter Connection Management auf die Registerkarte Catalyst Center.

    2. Klicken Sie auf Catalyst Center hinzufügen.

    3. Geben Sie die IP-Adresse oder den FQDN ein.

    4. Wählen Sie die von Ihnen erstellten HTTP-/HTTPS-Anmeldeinformationen aus der Dropdown-Liste Select credential (Anmeldeinformationen auswählen) aus.

    5. Klicken Sie auf Senden.

Anmerkung: Warten Sie nach dem Hinzufügen von Catalyst Center bis zu 75 Minuten, bis die erste Datensynchronisierung abgeschlossen ist.

Direkte Datenverbindung (Geräteebene)

Wenn die VA direkt mit Geräten ohne Catalyst Center verbunden ist, verwendet sie SNMP und SSH. Die Kombination der Anmeldeinformationen bestimmt den Umfang der Erkennung und Auflistungen:

Beispiel zur Auswahl von Anmeldeinformationen

Anmeldeinformationen angegeben	Ergebnis
SNMP + SSH	Erfolg - Vollständige Erkennung: MIB- und CLI-Sammlung
SNMP + SSH (SSH schlägt fehl)	Teilweise — nur MIB-Sammlung
Nur SNMP (kein SSH)	Teilweise — nur MIB-Sammlung
Nur SSH (kein SNMP)	Fehlschläge - Gerät wird nicht verwaltet
Weder	Fehlschläge - Gerät wird nicht verwaltet

Anmerkung: SNMP ist für die direkte Geräteerkennung obligatorisch. Wenn SNMP-Anmeldeinformationen fehlen oder fehlschlagen, wird das Gerät unabhängig von der Verfügbarkeit von SSH nicht erkannt.

Hinzufügen von SNMP-Anmeldeinformationen

1. Wählen Sie unter Systemeinstellungen die Option Verbindungsverwaltung aus.

2. Klicken Sie auf die Registerkarte Anmeldedaten.
3. Klicken Sie auf Anmeldedaten hinzufügen.
4. Geben Sie einen Namen ein (z. B. "Direct-SNMPv3-Core").
5. Aktivieren Sie das Kontrollkästchen SNMPv2c oder SNMPv3-Protokoll.
6. Klicken Sie auf Next (Weiter).
7. Geben Sie den SNMP Community String (v2c) oder die Authentifizierungs-/Verschlüsselungsdetails (v3) ein.

Anmerkung: Verwenden Sie schreibgeschützte (RO) Community-Strings. Der Schreibzugriff ist nicht erforderlich und wird nicht empfohlen.

8. Klicken Sie auf Weiter.

9. Geben Sie die enthaltenen IPs ein (d. h. die IP-Adressen oder Bereiche der Geräte, für die diese Anmeldeinformationen gelten).

10. Klicken Sie auf Speichern.

Hinzufügen von SSH-Anmeldedaten

1. Wählen Sie unter Systemeinstellungen die Option Verbindungsverwaltung aus.

2. Klicken Sie auf die Registerkarte Anmeldedaten.

3. Klicken Sie auf Anmeldedaten hinzufügen.

4. Geben Sie einen Namen ein (z. B. "Direct-SSH-Core").

5. Aktivieren Sie das Kontrollkästchen SSH-Protokoll.

Anmerkung: Sie können SNMP und SSH in einem einzigen Berechtigungssatz kombinieren, indem Sie beide Protokollkontrollkästchen aktivieren. Dies vereinfacht die Verwaltung, wenn beide Anmeldedaten für die gleichen IP-Bereiche gelten.

6. Klicken Sie auf Weiter.

7. Geben Sie den SSH-Benutzernamen und das Kennwort (oder die schlüsselbasierten Anmeldeinformationen) ein.

8. Klicken Sie auf Weiter.

9. Geben Sie die enthaltenen IPs ein, die den gleichen Geräten wie der SNMP-Berechtigungssatz entsprechen.

10. Klicken Sie auf Speichern.

Logik für die Auswahl und den Abgleich von Anmeldeinformationen

Die Telemetrie-Engine verwendet eine priorisierungsbasierte Abgleichlogik, um zu bestimmen, welche Anmeldeinformationen bei der Erkennung und Erfassung angewendet werden sollen. Wenn Sie diese Hierarchie verstehen, wird sichergestellt, dass die richtigen Anmeldeinformationen für die beabsichtigten Geräte verwendet werden.

• Rangfolge der Prioritäten: Wenn für ein Gerät mehrere Berechtigungssätze gelten, werden diese von Cisco IQ auf der Grundlage der Übereinstimmung mit dem Gerät ausgewertet. Das System wendet die folgende Priorität an, wobei spezifischere Übereinstimmungen Vorrang haben:

• Genaue IP-Übereinstimmung: Höchste Priorität

• Trailing Wildcard Match: Priorität hängt von der Anzahl der nachlaufenden Sterne; Weniger Sterne stehen für eine spezifischere Übereinstimmung und daher für eine höhere Priorität.

• Platzhalterformatierungsregeln: Platzhalter (*) werden nur als nachfolgende Zeichen in einer IP-Adresse unterstützt. Sie müssen von rechts nach links angewendet werden.
  • Unterstützte Formate:
    • 1.2.3.* (höchste Priorität)
    • 1.2.*
    • 1.*.*
    • *.*.*.* (niedrigste Priorität)
  • Nicht unterstützte Formate:
    • Platzhalter (z. B. *.1.2.3)
    • Platzhalter zwischen Oktetten (z. B. 10.10.*.20)
    • Verwendung von Bindestrichen oder anderen nicht standardmäßigen Trennzeichen

Beispiel zur Auswahl von Anmeldeinformationen

Geräte-IP	Verfügbare Berechtigungssätze	Ausgewählter Berechtigungssatz
10.10.1.5	10.10.1.5, 10.10.1., 10.10..*	10.10.1.5 (Genaue Übereinstimmung)
10.10.2.15	10.10.2., 10.10.*	10.10.2.* (Näheres)
10.10.5.50	10.10.	10.10.. (Genauere Angaben)

Anmerkung: Fällt ein Gerät in mehrere sich überschneidende Kategorien, wählt das System immer den Berechtigungssatz mit der höchsten Spezifität aus (d. h. mit den wenigsten Platzhaltern am Ende).

Datenerfassung mit Catalyst Center

Sie können bis zu 20 Catalyst Center (nicht-Cluster) für jede Instanz von Cisco IQ VA anschließen.

Datenerfassung mit Catalyst Center:

1. Wählen Sie unter Systemeinstellungen die Option Verbindungsverwaltung aus. Die Seite Connection Management (Verbindungsverwaltung) wird angezeigt.

Verbindungsmanagement

2. Klicken Sie auf die Option Catalyst Center.

Catalyst Center hinzufügen

3. Geben Sie die IP-Adresse oder den FQDN ein.
4. Wählen Sie in der Dropdown-Liste "Select credential" (Anmeldeinformationen auswählen) eine konfigurierte HTTP/HTTPS-Anmeldeinformation aus.
5. Klicken Sie auf Senden. Daraufhin wird eine Bestätigung angezeigt (kann bis zu 75 Minuten dauern). Sie können das neu hinzugefügte Catalyst Center unter Konfigurierte Verbindungen anzeigen.
6. Planen einer Sammlung. Weitere Informationen finden Sie unter Planen.

Manuelle Datenerfassung

So fügen Sie Geräte für direkte Datenverbindungen hinzu:

1. Wählen Sie unter Systemeinstellungen die Option Verbindungsverwaltung aus. Die Seite Connection Management (Verbindungsverwaltung) wird angezeigt.

Verbindungsmanagement

2. Klicken Sie auf Manuelle IP-Adresse. Die Seite "Direktverbindung" wird mit zwei (2) Optionen zum Sammeln von Daten angezeigt.

Datei hochladen

3. Klicken Sie unter Choose a Method of Entry (Eingabemethode auswählen) auf die bevorzugte Option, und geben Sie Ihre Geräteinformationen mit einer der folgenden Methoden an:

• Datei hochladen: Klicken Sie auf die Datei, oder ziehen Sie sie per Drag & Drop.

Individuelle Geräte angeben

•  Geben Sie einzelne Geräte an: Geben Sie einen Hostnamen, eine IP-Adresse oder eine kommagetrennte Liste mit Hostnamen und/oder IP-Adressen ein.

4. Klicken Sie auf Senden. Nach erfolgreicher Einsendung werden Sie auf die Registerkarte Ressourcen weitergeleitet.
5. Planen einer Sammlung. Weitere Informationen finden Sie unter Planen.

Netzwerk-Scan

1. Wählen Sie unter Systemeinstellungen die Option Verbindungsverwaltung aus. Die Seite Connection Management (Verbindungsverwaltung) wird angezeigt.

Netzwerk-Scan

2. Klicken Sie auf Netzwerksuche. Die Seite Ressourcen nach Netzwerkscan verbinden wird mit drei (3) Optionen angezeigt.

Vernetzen von Ressourcen durch Netzwerksuche mit IP-Bereich

• IP-Bereich angeben: Definieren eines Bereichs von IP-Adressen, um Geräte innerhalb dieses Bereichs für Netzwerkerkennungs- oder -verwaltungsaufgaben zu adressieren
• Discovery Protocol (CDP/LLDP) angeben: Wählen Sie das zu verwendende Netzwerkerkennungsprotokoll aus.
• Datei hochladen: Laden Sie eine Datei hoch, z. B. Konfigurationsdateien oder Daten.

3. Geben Sie einen Namen ein.
4. Geben Sie IP Start und IP End ein.
5. Wählen Sie unter Zeitplansuche die Option Häufigkeit und Uhrzeit aus.
6. Klicken Sie auf Ressourcen verbinden.

Terminplanung

Mithilfe der Zeitplanung können Sie festlegen, wann Cisco IQ VA die automatisierte Datenerfassung durchführt. So planen Sie die Erfassung:

1. Klicken Sie im Abschnitt "Planung" auf der Seite "Verbindungsverwaltung" auf Bearbeiten, um den Zeitplan zu ändern. Die Seite "Zeitplan bearbeiten" wird angezeigt.

Zeitplan bearbeiten

2. Wählen Sie im Abschnitt Schedule Discovery aus den Dropdown-Listen Ihre bevorzugte Häufigkeit und Ihren gewünschten Tag aus, und geben Sie die gewünschte Startzeit ein.
3. Wählen Sie im Abschnitt "Schedule Inventory Collection" (Bestandserfassung planen) aus den Dropdown-Listen Ihre bevorzugte Häufigkeit aus, und geben Sie die gewünschte Startzeit ein.
4. Klicken Sie auf Senden.

Installieren von Paketen (Module, Regeln und Berechtigungen)

Sie können den Software-Lebenszyklus (d. h. Installation und Konfiguration) von Betriebsmodulen, Regeln, Berechtigungen und speziellen KI-gestützten Funktionen innerhalb der VA verwalten. Sie können sie installieren, indem Sie die neuesten Versionen von Cisco IQ (SaaS) herunterladen. Rufen Sie dazu den Paketkatalog auf. Im Paketkatalog werden die Softwareinstanzen angezeigt, die Ihnen zur Verfügung stehen. Es ermöglicht Ihnen, Updates nahtlos zu überwachen und zu verwalten, um eine effiziente Nachverfolgung und Verwaltung Ihrer Systeminstanzen sicherzustellen.

Hinzufügen von Modulen

Ein Modul ist ein eigenständiges Softwarepaket, das Kernfunktionen innerhalb der VA bereitstellt. Hierbei handelt es sich um einen unabhängigen Service mit eigenem Lebenszyklus, der die Installation, Wartung und Größenanpassung ermöglicht. Die Ressourcenbelegung - einschließlich CPU, Grafikprozessor (GPU) und RAM - wird dynamisch auf Basis der bei der Erstinstallation ausgewählten Bereitstellungsgröße (klein, mittel oder groß) zugewiesen. Das Modul "Ressourcen" wird standardmäßig bereitgestellt.

1. Melden Sie sich bei Cisco IQ (SaaS) an.
2. Navigieren Sie zu Startseite > Systemeinstellungen > Paketkatalog.

Paketkatalog

3. Klicken Sie auf der gewünschten Modulkarte auf Download options > Installation packages. Das Fenster Download wird geöffnet.

Herunterladen

4. Wählen Sie eine Systemversion aus der Dropdown-Liste aus.
5. Klicken Sie auf Herunterladen, um die Datei lokal zu speichern.

6. Navigieren Sie zur Cisco IQ VA.
7. Navigieren Sie zu Startseite > Systemeinstellungen > Paketverwaltung. Die Seite Paketverwaltung wird mit den folgenden Registerkarten angezeigt:

• Module
• Regeln
• Ansprüche

Module

8. Klicken Sie auf Modul hinzufügen.

Modul hinzufügen

9. Wählen Sie Ihre bevorzugte Dateiauswahl-Option:

• SCP-Server: Geben Sie den genauen Dateinamen des Installationspakets ein (empfohlen für große Dateien).
• Upload der lokalen Datei: Ziehen Sie die heruntergeladene Installationsdatei per Drag-and-Drop (wird aufgrund der Uploadzeit für Dateien mit einer Größe von 30 GB oder mehr nicht empfohlen).

10. Klicken Sie auf Next (Weiter).

Bereitstellungsgröße auswählen

11. Wählen Sie die Bereitstellungsgröße (z. B. Klein, Mittel oder Groß). Diese Größen sind vordefiniert und geben die Ressourcenanforderungen vor.

12. Klicken Sie auf Modul hinzufügen. Das neu installierte Modul wird auf der Registerkarte Module in der Paketverwaltung angezeigt. Nach Abschluss des Vorgangs ändert sich der Modulstatus in "Running" (Wird ausgeführt), und die Schaltfläche Open (Öffnen) wird verfügbar.

Modul-Upgrade

Die neuesten Module werden fortlaufend im Paketkatalog (in Cisco IQ) aktualisiert. Upgrade auf die neueste Version:

1. Melden Sie sich bei Cisco IQ (SaaS) an.
2. Navigieren Sie zu Startseite > Systemeinstellungen > Paketkatalog.

Paketkatalog

3. Klicken Sie auf der gewünschten Modulkarte auf Download options > Upgrade packages. Das Fenster Download wird geöffnet.

Upgrade

4. Wählen Sie eine Systemversion aus der Dropdown-Liste aus.
5. Wählen Sie eine aktuelle Modulversion aus der Dropdown-Liste aus.
6. Klicken Sie auf Herunterladen, um die Datei lokal zu speichern.
7. Navigieren Sie zu VA, und schließen Sie die Installation der heruntergeladenen Datei ab.

Verwalten von Modulen

Nachdem Sie ein Modul hinzugefügt haben, können Sie es auf der Seite Paketverwaltung ändern, indem Sie auf Verwalten klicken. Zu den verfügbaren Änderungsoptionen gehören die Größenänderung und das Upgrade auf eine höhere Version. So verwalten Sie Module:

Aktualisierungstyp

1. Klicken Sie auf der Seite Paketverwaltung auf Verwalten > Aktualisieren für das gewünschte Modul.
2. Wählen Sie den Aktualisierungstyp aus:

• Nur Bereitstellungsgröße ändern
• Version aktualisieren

3. Wenn die Option Bereitstellungsgröße ändern ausgewählt ist, klicken Sie auf Weiter, und wählen Sie auf der folgenden Seite die neue Bereitstellungsgröße aus.

ODER

Wenn Version aktualisieren ausgewählt ist, wird die Option Dateiauswahl angezeigt. Wählen Sie entweder SCP Server und geben Sie den genauen Dateinamen des Installationspakets ein, oder wählen Sie Lokaler Datei-Upload und ziehen Sie die heruntergeladene Installationsdatei per Drag-and-Drop.

4. Klicken Sie auf Next (Weiter). Die Seite "Aktualisierungszeitplan auswählen" wird angezeigt.
5. Wählen Sie eine der folgenden Optionen aus, um den Zeitplan zu aktualisieren:

• Jetzt aktualisieren
• Später aktualisieren

6. Wenn die Option Später aktualisieren ausgewählt ist, geben Sie Datum und Uhrzeit ein.
7. Klicken Sie auf Next (Weiter). Die Aktualisierungsübersicht wird angezeigt.

8. Klicken Sie auf Modul aktualisieren, und navigieren Sie zur Registerkarte Modul. Das Modul zeigt den Status "Geplantes Update" an.

Zeitpläne bearbeiten

Sie können geplante Updates auch anzeigen, bearbeiten oder abbrechen. So bearbeiten oder stornieren Sie eine geplante Aktualisierung:

Bearbeitungszeitplan

1. Klicken Sie auf der Seite Paketverwaltung auf Verwalten > Geplante Aktualisierung des gewünschten Moduls anzeigen. Das Fenster "Geplante Updates anzeigen" wird angezeigt.

Updates planen

2. Klicken Sie ggf. auf Aktualisierung abbrechen oder Aktualisierung neu planen.
3. Befolgen Sie die Anweisungen auf dem Bildschirm, um die Vorgänge abzuschließen.

Installieren von Regeln

Eine Regel ist eine spezialisierte Komponente oder ein "Add-on", das die Funktionalität eines vorhandenen Moduls erweitert oder ändert. Regeln sind nicht für die Ausführung als eigenständige Programme konzipiert; Sie sind an ein Modul "angeschlossen", um bestimmte Regeln, Logik oder Funktionen bereitzustellen. Regeln sind an bestimmte Module gebunden. Wenn eine Regel installiert ist, wird sie mit dem Modul verknüpft, das sie unterstützt. Mit Regeln kann das System aktualisiert oder angepasst werden, ohne dass ein vollständiges Upgrade des Kernmoduls erforderlich ist. Wenn neue Regeln oder Funktionen benötigt werden, können Sie dem vorhandenen Modul einfach eine neue Regel hinzufügen. Regeln definieren kritische Sicherheits-Updates, und Kunden sollten diese proaktiv aktualisieren, um mit den Sicherheitsempfehlungen konsistent zu bleiben. Neue Regelpakete sind im Allgemeinen alle zwei (2) Wochen im SaaS-Portal verfügbar.

So laden Sie eine Regel:

1. Melden Sie sich bei Cisco IQ (SaaS) an.
2. Navigieren Sie zu Systemeinstellungen > Paketkatalog.
3. Klicken Sie auf der gewünschten Regelkarte auf Herunterladen.

Herunterladen

4. Wählen Sie eine Ziel-App-Version aus der Dropdown-Liste aus.
5. Klicken Sie auf Herunterladen, um die Datei lokal zu speichern.
6. Navigieren Sie zur Cisco IQ VA.
7. Navigieren Sie zu Startseite > Systemeinstellungen > Paketverwaltung. Die Seite Paketverwaltung wird mit den folgenden Registerkarten angezeigt.

• Module
• Regeln
• Ansprüche

8. Klicken Sie auf die Registerkarte Regeln.

Paketverwaltung

9. Klicken Sie auf Regel hinzufügen.

Regel hinzufügen

10. Wählen Sie Ihre bevorzugte Dateiauswahl-Option:

• SCP-Server (Secure Copy Protocol): Geben Sie den genauen Dateinamen des Installationspakets ein. Diese Methode wird für große Dateien empfohlen.
• Upload der lokalen Datei: Ziehen Sie die heruntergeladene Installationsdatei per Drag-and-Drop.

11. Klicken Sie auf Hinzufügen. Die hinzugefügte Regel wird in der Paketverwaltung angezeigt.

Regeln aktualisieren

So aktualisieren Sie Regeln:

1. Navigieren Sie zu Systemeinstellungen > Paketverwaltung in VA.

Upgrade

2. Klicken Sie in der gewünschten Regel auf Aktualisieren. Das Fenster Aktualisierungsregel wird geöffnet.

Aktualisierungsregel

3. Wählen Sie Ihre bevorzugte Dateiauswahl-Option:

• SCP-Server (Secure Copy Protocol): Geben Sie den genauen Dateinamen des Installationspakets ein. Diese Methode wird für große Dateien empfohlen.
• Upload der lokalen Datei: Ziehen Sie die heruntergeladene Installationsdatei per Drag-and-Drop.

4. Klicken Sie auf Hinzufügen.

Installieren von Berechtigungen

Mit einer Berechtigung wird das Recht Ihres Unternehmens zur Nutzung bestimmter Softwarefunktionen, -module oder -services validiert. Dies ermöglicht die richtigen Support-Stufen für Ihre Ressourcen sowie die Freigabe von Funktionen und Informationen. Ohne einen entsprechenden Anspruch wird eine Ressource unter "Kein Support" angezeigt und hat eingeschränkte Funktionen.

So installieren Sie eine Berechtigung:

1. Melden Sie sich bei Cisco IQ (SaaS) an.
2. Navigieren Sie zu Systemeinstellungen > Paketkatalog.
3. Klicken Sie auf der Berechtigungskarte auf Datensatz erstellen. Das Fenster "Berechtigungspaket erstellen" wird geöffnet.

Berechtigungspaket erstellen

4. Geben Sie ein Kennwort ein. Weitere Informationen finden Sie in den auf dem Bildschirm angezeigten Regeln zur Kennworterstellung.
5. Geben Sie das gleiche Kennwort unter Kennwort bestätigen erneut ein.
6. Wählen Sie das Optionsfeld für den bevorzugten Anlagenbereich.

• Alle Ressourcen: Beinhaltet alle mit Ihnen verknüpften Ressourcen
• Ausgewählte Ressourcen: Ermöglicht Ihnen die Auswahl bestimmter, auf Ihre Umgebung abgestimmter Geräte. Wenn diese Option aktiviert ist, aktivieren Sie die Kontrollkästchen aller zutreffenden Ressourcen.

7. Klicken Sie auf Datensatz erstellen, um die Datei lokal zu speichern.

8. Melden Sie sich bei Cisco IQ VA an.
9. Navigieren Sie zu Startseite > Systemeinstellungen > Paketverwaltung. Die Seite Paketverwaltung enthält die folgenden Registerkarten:

• Module
• Regeln
• Ansprüche

10. Klicken Sie auf die Registerkarte Berechtigungen.

Registerkarte Berechtigung

11. Klicken Sie auf Berechtigung hinzufügen.

Berechtigung hinzufügen

12. Wählen Sie Ihre bevorzugte Dateiauswahloption aus.

• SCP-Server (Secure Copy Protocol): Geben Sie den genauen Dateinamen des Installationspakets ein. Diese Methode wird für große Dateien empfohlen
• Upload der lokalen Datei: Ziehen und Ablegen der heruntergeladenen Installationsdatei

13. Geben Sie ein Kennwort ein.
14. Klicken Sie auf Hinzufügen. Die neu installierte Berechtigung wird auf der Registerkarte Berechtigung in der Paketverwaltung angezeigt.
15. Um Berechtigungen zu aktivieren, warten Sie nach dem Hinzufügen 5 bis 10 Minuten, und starten Sie dann die Telemetriesammlung des Geräts.

Aktualisieren von Ansprüchen

So aktualisieren Sie einen Anspruch:

Berechtigungs-Upgrade

1. Klicken Sie unter der gewünschten Berechtigung auf Aktualisieren.

Upgrade-Berechtigung

2. Wählen Sie Ihre bevorzugte Dateiauswahl-Option:

• SCP-Server (Secure Copy Protocol): Geben Sie den genauen Dateinamen des Installationspakets ein. Diese Methode wird für große Dateien empfohlen
• Upload der lokalen Datei: Ziehen und Ablegen der heruntergeladenen Installationsdatei

3. Geben Sie ein Kennwort ein.
4. Klicken Sie auf Hinzufügen.

Funktionen mit KI

Das standortbasierte KI-Inferenzinfrastrukturmodul ermöglicht standortbasierte KI-gestützte Funktionen in VA. Es führt lokal ein Small Language Model (SLM) aus, das es dem System ermöglicht, auf KI-gestützte Aufforderungen zu reagieren. Nach der Installation können Sie direkt über die VA-Schnittstelle mit dem System interagieren.

Folgende Abfragetypen werden unterstützt:

• Ressourcen: Identifizierung von Ressourcen, die aufgrund von End-of-Life-Status, Softwarewährungen oder Nichtkonformität, Sicherheitslücken und Lücken in der Vertragsabdeckung gefährdet sind
• Bestand: Fordern Sie eine KI-gestützte Analyse der Bestände an.

Das Installationspaket für die standortbasierte KI-Inferenzinfrastruktur ist im Cisco IQ-Paketkatalog verfügbar und wird wie andere Module (z. B. Ressourcen) verteilt.

Voraussetzungen für standortbasierte KI-Inferenzinfrastruktur

Vor der Installation der On-Prem AI Inference Infrastructure müssen folgende Voraussetzungen erfüllt sein:

• Die VA muss eine VM mit GPU-Zugang enthalten. Der SLM erfordert eine GPU und kann nicht ohne eine ausgeführt werden.
• Die GPU VM muss über mindestens 80 GB GPU VRAM verfügen.

Installation des Infrastrukturmoduls für die lokale KI-Inferenz

Um die standortbasierte KI-Inferenzinfrastruktur in der VA zu installieren, laden Sie das standortbasierte KI-Inferenzinfrastrukturmodul von Cisco IQ SaaS herunter:

1. Melden Sie sich bei Cisco IQ (SaaS) an.
2. Navigieren Sie zu Systemeinstellungen > Paketkatalog.

Paket installieren

3. Klicken Sie auf der Infrastruktur-Karte für standortbasierte KI-Inferenz auf Download options > Installation packages. Das Fenster Anwendung herunterladen wird geöffnet.

AI-Inferenzinfrastruktur herunterladen

4. Wählen Sie eine Systemversion aus der Dropdown-Liste aus.
5. Wählen Sie einen Buildtyp aus der Dropdown-Liste aus.
6. Klicken Sie auf Download (Herunterladen).
7. Navigieren Sie zu VA.

Paketverwaltung

8. Navigieren Sie zu Startseite > Systemeinstellungen > Paketverwaltung. Die Seite Paketverwaltung wird mit den folgenden Registerkarten angezeigt:

• Module
• Regeln
• Ansprüche

9. Klicken Sie auf der Registerkarte Module auf Module hinzufügen.

Modul auswählen

10. Wählen Sie Ihre bevorzugte Dateiauswahl-Option:

• SCP-Server: Geben Sie den genauen Dateinamen des Installationspakets ein (empfohlen für große Dateien).
• Upload der lokalen Datei: Ziehen Sie die heruntergeladene Installationsdatei per Drag-and-Drop (wird aufgrund der Uploadzeit für Dateien mit einer Größe von 30 GB oder mehr nicht empfohlen).

11. Klicken Sie auf Next (Weiter). Das System beginnt mit dem Hochladen der Datei.
12. Wählen Sie eine Bereitstellungsgröße (z. B. Klein, Mittel oder Groß).
13. Klicken Sie auf Modul hinzufügen. Die Installation beginnt und dauert ca. 40-45 Minuten.

Nach Abschluss der Installation wird auf der Registerkarte Module im Paketmanagement die standortbasierte KI-Inferenzinfrastruktur angezeigt.

Management des standortbasierten KI-Inferenzinfrastrukturmoduls

Nach der Installation kann das On-Prem AI Inference Infrastructure-Modul über die Registerkarte "Anwendungen" im Paketmanagement verwaltet werden.

Bearbeiten der AI-Inferenzinfrastruktur

Um das Modul zu verwalten, klicken Sie neben dem Modul "On-Prem AI Inference Infrastructure" auf Manage (Verwalten). Weitere Informationen finden Sie unter Module verwalten.

Verwenden von KI-basierten Funktionen

Nach der erfolgreichen Installation des On-Prem AI Inference Infrastructure-Moduls wird die Schaltfläche Ask AI (AI fragen) in der VA-Schnittstelle verfügbar.

Fragen Sie KI in Ressourcen

So verwenden Sie Ask AI in Ressourcen:

1. Wählen Sie das Menü Home (Startseite) > Assets (Ressourcen). Die Seite "Anlagen" wird angezeigt.

Seite "Ressourcen"

2. Klicken Sie auf AI fragen. Die standortbasierte KI-Inferenzinfrastruktur wird gestartet.
3. Klicken Sie entweder auf Aufforderungen durchsuchen, um verfügbare Aufforderungen anzuzeigen, oder geben Sie eine benutzerdefinierte Frage in das Feld Ask the AI Assistant a question (Fragen an den AI Assistant) ein.
4. Klicken Sie auf die gewünschte Eingabeaufforderung, oder drücken Sie die Eingabetaste. Das standortbasierte SLM generiert eine Antwort.

AI-Analyse

Das Modul der standortbasierten KI-Inferenz-Infrastruktur bietet eine automatisierte KI-gestützte Analyse im Bereich "Inventory" (Bestand). Die Analyseergebnisse werden automatisch angezeigt, sobald die Bestandsdaten eingegeben wurden.

So zeigen Sie die KI-Analyse im Bestand an:

1. Wählen Sie Home menu > Inventory. Die Seite "Bestand" wird angezeigt.

Bestand

2. Die KI-generierte Analyse anzeigen. Die Ergebnisse werden in der Inventaransicht angezeigt, sobald Daten verfügbar sind.

Allgemeine Funktionen für Module

In diesem Abschnitt werden die Kernfunktionen beschrieben, die von allen Modulen gemeinsam genutzt werden. Diese Funktionen sorgen für ein konsistentes Anwendererlebnis, optimieren die Systemleistung und straffen die administrativen Arbeitsabläufe

Datenanalyse

Das Bedienfeld Insights bietet eine KI-gestützte Analyse der Daten auf dieser Seite und liefert aussagekräftige Informationen zur Verbesserung der Sicherheit und des Zustands Ihrer Netzwerkumgebung.

Einblicke-Panel

Folgende Optionen sind im Einblicke-Panel verfügbar:

• Klicken Sie auf das Symbol Erweitern, um den Bereich zu erweitern und zusätzliche Einblicke anzuzeigen.
• Klicken Sie auf das Symbol Daumen hoch oder Daumen runter, um Feedback zu den von der KI generierten Informationen abzugeben.
• Klicken Sie auf Anzeigen, um weitere Details zu einer bestimmten Ansicht anzuzeigen.
• Klicken Sie auf Vollständige Analyse, um zusätzliche Informationen, tiefere Analysen und Visualisierungen wie Diagramme, Dashboards und Diagramme anzuzeigen.

Vollständige Analyse

Die folgenden Optionen sind im Rahmen einer vollständigen Analyse verfügbar:

• Klicken Sie auf PDF herunterladen, um eine Offline-Kopie der Analyse für Ihre Unterlagen oder für die Zusammenarbeit zu speichern.

Exportieren von Informationen

Mit der Exportfunktion können Sie benutzerdefinierte Ansichten für Ressourcen und Sicherheitsinformationen im XLS- oder CSV-Format exportieren.

So exportieren Sie Informationen von einer Seite:

1. Navigieren Sie zur Seite.

Exportieren von Beständen im Modul "Ressourcen"

2. Klicken Sie auf Exportieren. Die Exportoptionen werden angezeigt.

Exportoptionen

3. Wählen Sie einen Dateityp aus.
4. Aktivieren Sie das bzw. die Kontrollkästchen in der bzw. den gewünschten Spalten.
5. Klicken Sie auf Exportieren. Die Datei wird in den lokalen Downloadordner des Browsers heruntergeladen.

Tabelleneinstellungen

Sie können Tabelleneinstellungen konfigurieren, um benutzerdefinierte und verfeinerte Ansichten für verschiedene Modulfeatures zu erstellen.

Tabelleneinstellungen

Um die Spalten zu ändern, die auf ausgewählten Seiten angezeigt werden, klicken Sie auf das Symbol Tabelleneinstellungen. Die Tabelleneinstellungen werden angezeigt.

Optionen für Tabelleneinstellungen

Tabellenansicht ändern

So ändern Sie die Tabellenansicht:

1. Wählen Sie eine der folgenden Optionen für Tabellendichte:

• Zusammengefasst: Minimiert visuelle Elemente und Abstände zur Anzeige weiterer Informationen
• Kompakt: Verringert Leerzeichen und verringert den Abstand zwischen den Elementen der Benutzeroberfläche
• Komfort: Nutzt mehr Leerraum und größeren Abstand zwischen den Elementen
• Geräumig: Betont eine große Zahl von Leerzeichen und größeren Benutzeroberflächenelementen

2. Klicken Sie auf Apply (Anwenden).

Hinzufügen und Entfernen von Spalten

So fügen Sie Spalten hinzu oder entfernen sie:

1. Aktivieren bzw. deaktivieren Sie das Kontrollkästchen Spalteneinstellungen.
2. Klicken Sie auf Apply (Anwenden).

Ändern der Spaltenreihenfolge

So ändern Sie die Reihenfolge der Spalten:

1. Ziehen Sie den Spaltennamen per Drag-and-Drop, um die Elemente in der gewünschten Reihenfolge anzuordnen.
2. Klicken Sie auf Apply (Anwenden).

Anpassen von Dashboards

Mit der Funktion "Benutzerdefiniertes Dashboard" können Sie Standard-Dashboards durch eine Reihe intuitiver Anpassungsoptionen personalisieren:

• Neuanordnung von Dashboard-Widgets oder -Panels mithilfe der Drag-and-Drop-Funktion
• Entfernen Sie alle Komponenten, die für Ihren Workflow nicht relevant sind.
• Ihr persönliches Dashboard-Layout wird sicher in Ihrem Benutzerprofil gespeichert und automatisch auf alle Sitzungen und Geräte angewendet.
• Das ursprüngliche Dashboard-Layout mit einer einfachen Rücksetzoption wiederherstellen

So passen Sie ein Dashboard an:

1. Navigieren Sie zum Dashboard.

Anpassen

2. Klicken Sie auf Anpassen.

Dashboard bearbeiten

3. Ändern Sie das Dashboard wie gewünscht:

• Neu anordnen: Widgets per Drag-and-Drop in das gewünschte Layout verschieben
• Entfernen: Klicken Sie auf das Symbol Löschen, um ein Widget zu entfernen.
• Zurücksetzen: Klicken Sie auf Reset to default (Auf Standard zurücksetzen), um das Dashboard auf das ursprüngliche Layout zurückzusetzen.

4. Klicken Sie auf Speichern. Eine Meldung Gespeichertes Dashboard wird angezeigt.

Das Dashboard-Layout wird automatisch auf alle Sitzungen und Geräte angewendet.

Anpassen von Filtern

Sie können benutzerdefinierte Filterkonfigurationen für jede Dashboard-Ansicht speichern, sodass Sie ganz einfach nach Bedarf zu Ihren bevorzugten Einstellungen zurückkehren können. Alle Filtereinstellungen werden auf sichere Weise für jeden Benutzer und jedes Konto gespeichert. Dadurch wird bei jedem Zugriff auf Cisco IQ eine personalisierte und konsistente Benutzerumgebung sichergestellt.

Erstellen eines Filters

So erstellen Sie einen benutzerdefinierten Filter:

1. Navigieren Sie zum Dashboard.
2. Klicken Sie auf Filter.

Filter

3. Wählen Sie die gewünschten Filter aus den Dropdown-Listen aus.
4. Klicken Sie auf Filter speichern. Das Fenster Gespeicherter Filter Name wird geöffnet.

Filtername

5. Geben Sie einen Filternamen ein.
6. Klicken Sie zur Bestätigung auf Filter speichern.

Bearbeiten eines Filternamens

So bearbeiten Sie einen benutzerdefinierten Filter:

1. Klicken Sie auf Filter.

Gespeicherte Filter verwalten

2. Klicken Sie auf das Symbol Gespeicherte Filter verwalten.
3. Navigieren Sie zum Filter.

Filter bearbeiten

4. Klicken Sie auf das Symbol Bearbeiten. Das Fenster Name saved Filter wird geöffnet.
5. Bearbeiten Sie den Filternamen.
6. Klicken Sie zur Bestätigung auf Filter speichern.

Löschen eines Filters

So löschen Sie einen benutzerdefinierten Filter:

1. Klicken Sie auf Filter.
2. Klicken Sie auf das Symbol Verwaltete gespeicherte Filter.
3. Navigieren Sie zum Filter.

Gespeicherten Filter löschen

4. Klicken Sie auf das Symbol Löschen. Das Fenster Gespeicherten Filter löschen wird geöffnet.

Löschen des gespeicherten Filters bestätigen

5. Klicken Sie zur Bestätigung auf Ja, löschen.

Ressourcen-Modul

Das Assets-Modul bietet umfassende Transparenz- und Managementfunktionen für Cisco Ressourcen und dient als Grundlage für den Cisco IQ. Es bietet eine zentralisierte Liste aller Geräte in einer Organisation. Durch das Sammeln von Informationen aus mehreren Quellen wird der Gerätebestand als einheitliche Datenquelle genutzt. Die Pflege einer vollständigen und präzisen Ressourcenliste ist von entscheidender Bedeutung, da sich andere Module von Cisco IQ - wie z. B. das Assessments-Modul - bei der Beurteilung des Zustands und der Sicherheit Ihrer Geräte auf diese Daten verlassen.

Kernkonzepte

Das Modul "Ressourcen" basiert auf den folgenden Kernkonzepten:

• Ressource: Alle physischen Geräte, Hardware oder Software, die im Rahmen der Cisco Servicebereitstellung inventarisiert und verwaltet werden, mit detaillierter Nachverfolgung ihrer Identität, Funktion, Serviceabdeckung und ihres Lebenszyklus
• Vertragsbezogene Ressourcen: Ressourcen, die direkt aus verknüpften Servicevertragsdaten und nicht über Telemetrie in den Bestand aufgenommen werden. Cisco IQ bezieht die folgenden Gerätetypen aus Vertragsdaten ein: Chassis, Module, Netzteile und Lüfter. Diese Ressourcen sind im Bestand sichtbar, selbst wenn keine TelemetrieverBINDUNG besteht.
• Support-Ende (LDOS): Verfolgung von End-of-Life- und End-of-Support-Meilensteinen für Cisco Produkte
• Serviceabdeckung: Aktive Support-Verträge, Garantien und Berechtigungsstufen für eine bestimmte Hardware oder Software
• Ressourcen-Tag: Benutzerdefiniertes Label, das einer Ressource für Organisations-, Filter- und betriebliche Workflows zugewiesen wird
• Gerätesignal: bezieht sich auf die letzte Beobachtung eines Geräts (anhand seiner Seriennummer) durch Cisco, basierend auf Gerätetelemetrie, Supportfällen und Vertragsverlängerungen. Die Telemetriedaten der Ressourcen werden über eine mehrschichtige Daten-Pipeline aufgenommen und angereichert.

Modul Zugriff auf Ressourcen

Um auf die Bestandsverwaltungsfunktionen in Cisco IQ zuzugreifen, wählen Sie im Menü Home (Startseite) > Assets (Ressourcen) aus, oder klicken Sie im Abschnitt Application (Anwendung) der Startseite > Launchpad-Registerkarte auf Assets (Ressourcen). Die Seite Übersicht wird angezeigt.

Übersicht über Ressourcen

Auf der Seite Overview (Übersicht) wird ein Dashboard angezeigt, mit dem Sie den Status und Status von Geräten schnell bewerten können.

Übersicht über Ressourcen

Das Dashboard zeigt die folgenden Informationen an:

• Aktiva insgesamt: Die Gesamtzahl der Ressourcen des Cisco IQ-Kontos
• Wichtige Ressourcenmetriken: Zusätzliche wichtige Kennzahlen wie Telemetriestatus, wichtige Sicherheitsempfehlungen und LDOS-Informationen
• Abgedeckte Aktiva: Gesamtzahl und Prozentsatz der durch Serviceverträge abgedeckten Ressourcen
• Nicht abgedeckte Ressourcen: Gesamtzahl und Prozentsatz der nicht durch Serviceverträge abgedeckten Ressourcen
• Von Serviceverträgen abgedeckte Ressourcen: Eine Aufschlüsselung der Anzahl an Ressourcen (Hardware oder Software), die von Serviceverträgen abgedeckt werden, nach Berechtigungsstufe
• Letztes Datum für Support-Snapshot: Eine Aufschlüsselung der Anzahl an Ressourcen, die über LDOS hinausgehen oder LDOS erreichen
• Ressourcen mit aktivierter Telemetrie: Gesamtzahl und Prozentsatz der Ressourcen mit aktivierter Telemetrie
• Ressourcen ohne aktivierte Telemetrie: Gesamtzahl und Prozentsatz der Ressourcen ohne aktivierte Telemetrie
• Ressourcen mit kritischen oder hohen Sicherheitsempfehlungen: Prozentualer Anteil der Gesamtressourcen mit aktivierter Telemetrie, die kritische oder hohe Sicherheitsempfehlungen enthalten
• Vermögenswerte nach Wichtigkeit: Eine Aufteilung der einem Gerät zugewiesenen Priorität im Vergleich zu anderen Geräten im Netzwerk.
• Aufschlüsselung der Ressourcen: Detaillierte Anzeige von Anlagendaten, z. B. Produktfamilien, Installationsstandorte, Softwareversionen und Ressourcenrollen

Filtern von Ansichten für Ressourcen

Sie können die Dashboard-Ansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen.

Anzeigen von Details zu Ressourcen

Wenn Sie auf Details anzeigen klicken, wird die Seite zur Seite Inventar umgeleitet. Weitere Informationen finden Sie unter Bestand.

Einblicke in kritische Ressourcen

Cisco IQ beinhaltet Asset Criticality Insights, eine neue Funktion im Assets-Modul, die die funktionale Rolle und die geschäftliche Bedeutung von Netzwerkgeräten vorhersagt. Durch die Analyse von Gerätekonfigurationen und aktivierten Funktionen unterstützen Asset Criticality Insights Sie dabei, die Ressourcen mit den größten Auswirkungen auf Ihr Netzwerk zu identifizieren. So können Sie sie priorisieren, um Sicherheitskorrekturen, Software-Upgrades, EOL-Planung (End-of-Life) und Abdeckungsentscheidungen zu treffen.

Anmerkung: Ressourcen-Criticality-Informationen sind nur für Ressourcen mit Standard- oder Signaturstufen verfügbar, die über aktive Telemetrieverbindungen verfügen. Stellen Sie sicher, dass Ihre Ressourcen die Konfigurationsanforderungen erfüllen, um diese Informationen im Dashboard anzugeben.

Erkenntnisse zu Asset Criticality sind in der Ressourcen-App in den folgenden Bereichen verfügbar:

• Übersicht über Ressourcen: Filtern und Anzeigen von Zusammenfassungen nach Asset Criticality Insights-Attributen
• Bestand an Ressourcen: Anzeigen, Suchen, Filtern und Sortieren von Geräten nach Rolle und Bedeutung
• Ressourcendetails: Rolle und Bedeutung für einzelne Geräte anzeigen, mit informativen QuickInfos zu jedem Wert

Überschreiben von Rollen- und Wichtigkeitsklassifizierungen

Der Cisco IQ prognostiziert automatisch die Rolle und die Bedeutung der einzelnen Ressourcen anhand von Telemetriedaten. Kontoadministratoren können diese Klassifizierungen manuell korrigieren, wenn die automatisierte Prognose die Funktion oder Wichtigkeit der Ressource im Netzwerk nicht genau widerspiegelt.

Klassifizierungen aus der Inventartabelle überschreiben

So überschreiben Sie die Rolle oder die Bedeutung für eine oder mehrere Ressourcen:

1. Navigieren Sie zu Anlagen > Lager.
2. Aktivieren Sie das Kontrollkästchen der gewünschten Zeile mit der Ressource. Um mehrere Ressourcen gleichzeitig zu aktualisieren, aktivieren Sie mehrere Kontrollkästchen.

Rolle und Bedeutung

3. Wählen Sie in der Spalte Rolle oder Wichtigkeit den richtigen Wert aus der Dropdown-Liste für die Zeile Ressource aus.
4. Klicken Sie auf Apply, um die Außerkraftsetzung zu bestätigen.

Anlagen mit manuell überschriebenen Werten zeigen einen visuellen Indikator in der Spalte Rolle oder Wichtigkeit an.

Anmerkung: Um eine zuvor konfigurierte Überschreibung zu entfernen und zur automatisierten Vorhersage zurückzukehren, wählen Sie in der Dropdown-Liste Rolle oder Wichtigkeit die Option Bindestrich (—) aus.

Klassifizierungen aus Ressourcendetails überschreiben

So überschreiben Sie die Rolle oder die Bedeutung in der Ansicht "Asset-Details":

1. Navigieren Sie zu Anlagen > Bestand, und klicken Sie auf eine Anlage.
2. Suchen Sie im Bereich mit den Ressourcendetails die Felder Rolle und Wichtigkeit.
3. Klicken Sie auf das Dropdown-Menü für das Feld, das Sie aktualisieren möchten, und wählen Sie den korrekten Wert aus.
4. Klicken Sie zur Bestätigung auf Apply.

In der Detailansicht einer Ressource werden auch die Telemetrieattribute aufgeführt, die der ursprünglichen automatisierten Prognose zugrunde lagen. So kann leichter ermittelt werden, ob eine Außerkraftsetzung angemessen ist.

Anzeigen des Prüfpfads für Außerkraftsetzung

Alle Überschreibungen auf Rolle und Bedeutung werden in einem Prüfpfad auf Account-Ebene erfasst. So greifen Sie auf den Prüfpfad zu:

1. Wählen Sie Home > System Settings > Activity & Logs (Startseite > Systemeinstellungen > Aktivität und Protokolle).
2. Wählen Sie Filter > Aktionstyp > überschreiben, um nur überschreibende Ereignisse anzuzeigen.

Der Prüfpfad zeigt den Namen der Ressource, den vorherigen und den neuen Wert, den Benutzer, der die Änderung vorgenommen hat, sowie Datum und Uhrzeit der Änderung an. Der Prüfpfad kann mit der Option Exportieren exportiert werden.

Bestand

Die Seite "Inventory" (Bestand) enthält eine Liste aller Cisco Ressourcen des Cisco IQ-Kontos.

Bestand

Ansichten für Ressourcenbestand durchsuchen und filtern

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach Ressourcen suchen, indem Sie den Namen der Ressource in das Feld Suchen eingeben.

Bestandsanalyse

Im Bereich Einblicke auf der Seite Inventar wird eine KI-gestützte Analyse angezeigt, die eine Zusammenfassung der Ressourcen mit Schwerpunkt auf Support-Abdeckung, Konnektivität und Meilensteinen liefert. Klicken Sie auf Vollständige Analyse, um Visualisierungen wie Diagramme, Dashboards und Diagramme anzuzeigen, die zusätzliche Einblicke bieten. Weitere Informationen finden Sie unter Analysieren von Daten in allgemeinen Modulfunktionen.

Exportieren des Bestands

Klicken Sie auf Exportieren, um eine gefilterte Inventarliste im XLS- oder CSV-Format zu speichern. Weitere Informationen finden Sie unter Exportieren von Informationen unter Allgemeine Modulfunktionen.

Ressourcendetails anzeigen

Klicken Sie auf eine Ressource, um Details anzuzeigen. Die Detailansicht einer Ressource wird mit den folgenden Registerkarten angezeigt:

• Details: Zeigt Ressourcendetails an, z. B. Produkt-, Signal-, Identitäts-, Standort-, Garantie- und Abdeckungsinformationen.

Ressourcendetails

• Produktwarnungen: Zeigt Produktwarnungen wie Sicherheitsempfehlungen und Problemhinweise an.
• Hardware: Detaillierte Zeitplanansicht für das EOL der Hardware (z. B. End-of-Sale-, Last-Ship- und Last Date of Support-Daten)
• Software: Detaillierte Zeitplanansicht für den EOL der Software

Ressourcen-Tags

Asset-Tags sind benutzerdefinierte Labels, die Sie Inventarressourcen im Cisco IQ zuweisen. Ein Tag ist ein von Ihnen definiertes Schlüssel-Wert-Paar, z. B. Environment:Prod oder Label:Campus. Sie können einzelnen oder vielen Ressourcen gleichzeitig Tags zuweisen, und Sie können Ihren Bestand nach Tags filtern, um die für Sie wichtigen Ressourcen schnell zu finden.

Tags zuweisen

Durch das Zuweisen von Tags zu ausgewählten Ressourcen in der Inventaransicht können Ressourcen organisiert und kategorisiert werden, um eine bessere Filterung, Berichterstellung und Verwaltung zu ermöglichen.

So ordnen Sie einer Anlage ein Tag zu:

1. Navigieren Sie zu Anlagen > Lager.

Tagging von Ressourcen

2. Aktivieren Sie die Kontrollkästchen der gewünschten Ressourcen.

3. Klicken Sie auf Tags verwalten. Das Fenster Tags verwalten wird geöffnet.

Tags zuweisen

3. Geben Sie im Textfeld den Tag-Namen aus den vorhandenen Optionen ein, oder wählen Sie ihn aus, und drücken Sie die Eingabetaste.

4. Klicken Sie auf Apply (Anwenden).

Entfernen von Asset-Tags

So entfernen Sie ein Tag aus einer oder mehreren Ressourcen:

1. Navigieren Sie zu Anlagen > Lager.
2. Aktivieren Sie das Kontrollkästchen neben einer oder mehreren Ressourcen.
3. Klicken Sie auf Tags verwalten. Das Fenster Tags verwalten wird geöffnet.

Tags entfernen

4. Klicken Sie auf das X auf einem beliebigen Tag, um es aus der Auswahl zu entfernen.

5. Klicken Sie auf Anwenden.

Verwenden von Asset-Tags als Filter

Nachdem Sie ein Tag erstellt haben, können Sie das Tag als Filter verwenden.

So verwenden Sie ein Tag als Filter:

1. Navigieren Sie zur Seite "Bestand".

 Tag als Filter verwenden

2. Klicken Sie auf Filter. Das Fenster Filter wird geöffnet.

3. Aktivieren Sie in der Dropdown-Liste Tags die Kontrollkästchen der gewünschten Tags. Nach der Auswahl des Tags wird die Ansicht auf der Seite "Inventar" auf die gefilterte Ansicht aktualisiert.

Serviceverträge

Auf der Seite für Serviceverträge wird die Überwachung von Supportverträgen optimiert. Sie enthält Zusammenfassungen und detaillierte Vertragsinformationen, die eine effektive Planung von Vertragsverlängerungen und Abdeckungsstrategien unterstützen.

Serviceverträge

Ansichten für Serviceverträge suchen und filtern

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen. Sie können auch nach Serviceverträgen suchen, indem Sie die Vertragsnummer in das Feld Suchen eingeben.

Exportieren von Serviceverträgen

Klicken Sie auf Exportieren, um eine gefilterte Liste von Verträgen im XLS- oder CSV-Format zu speichern. Weitere Informationen finden Sie unter Exportieren von Informationen unter Allgemeine Modulfunktionen.

Services EA-Zusammenfassung

Die Seite Services Enterprise Agreement (EA)-Übersicht bietet eine konsolidierte Übersicht über das Wachstum der vorhandenen Installationen in Ihrem Portfolio. Die Daten stammen direkt aus Aufzeichnungen der vorhandenen Cisco Installationen. So erhalten Sie und Ihre Account Teams eine konsistente Übersicht über Portfolioänderungen im Laufe der Zeit.

Auf der Seite "Services EA-Übersicht" werden folgende Informationen angezeigt:

• Hinzugefügte Ressourcen: Neue Ressourcen, die während des Berichtszeitraums zur vorhandenen Installationen hinzugefügt wurden
• Nettoänderung: Die Gesamtänderung der Anzahl vorhandener Installationen für den Berichtszeitraum.

Ende des Lebenszyklus

Die Seiten End of Life für Hardware und End of Life für Software bieten detaillierte Informationen zum Lebenszyklusende, sodass Benutzer den nötigen Support erhalten, um Produktaktualisierungszyklen und Support-Abdeckung proaktiv zu verwalten. Durch Klicken auf eine Ressource auf den Seiten zum Ende der Lebensdauer gelangen Sie zur entsprechenden Ressource auf der Seite "Bestand".

Ende des Software-Lebenszyklus

Analyse am Ende des Lebenszyklus

Im Bereich Einblicke auf der Seite End of Life (Ende des Lebenszyklus) wird ein KI-gesteuerter Überblick über Ressourcen mit einem definierten Last Day of Support (Letzter Support-Tag) angezeigt. Klicken Sie auf Vollständige Analyse, um Visualisierungen wie Diagramme, Dashboards und Diagramme anzuzeigen, die zusätzliche Einblicke bieten. Weitere Informationen finden Sie unter Analysieren von Daten in allgemeinen Modulfunktionen.

Ende des Lebenszyklus exportieren

Klicken Sie auf Exportieren, um eine gefilterte Liste der EOL-Ressourcen im XLS- oder CSV-Format zu speichern. Weitere Informationen finden Sie unter Exportieren von Informationen unter Allgemeine Modulfunktionen.

Leistungsbeurteilungsmodul

Das Assessments-Modul bietet ein Bewertungs-Framework, mit dem Sie Risiken im Zusammenhang mit Sicherheit, Stabilität, Kapazität, Compliance und Alterung proaktiv untersuchen und mindern können, um die Sicherheit, Stabilität und Zuverlässigkeit von Netzwerken zu gewährleisten.

Kernkonzepte

Das Modul "Leistungsbeurteilungen" basiert auf den folgenden Kernkonzepten:

• Leistungsbeurteilung: eine systematische Bewertung von Infrastruktureinheiten anhand vordefinierter Kriterien zur Messung von Leistung, Compliance, Sicherheit oder Betriebsfähigkeit; Bewertungen werden bei Bedarf, nach einem Zeitplan oder durch ein Ereignis ausgelöst.
• Durchführung der Leistungsbeurteilung: eine Instanz oder ein einzelner Bewertungslauf; Bei jeder Ausführung wird ein neuer Ausführungsdatensatz erstellt, der den Bereich, den Triggermechanismus, den Zeitstempel und die von der Auswertung generierten Ergebnisdaten verfolgt.
• Suche: Eine validierte, aussagekräftige Beobachtung, die eine Lücke, ein Risiko, ein Problem oder einen bemerkenswerten Zustand identifiziert. Die Ergebnisse repräsentieren die grundlegenden Daten während einer Bewertung.
• Erkenntnis: Eine übergeordnete analytische Schlussfolgerung, die sich aus Mustern oder Trends über mehrere Befunde hinweg ableitet. Erkenntnisse interpretieren die Auswirkungen der Ergebnisse auf einen breiteren geschäftlichen oder betrieblichen Kontext
• Empfehlung: ein spezifisches, umsetzbares Rezept, das mit Befunden oder Erkenntnissen verknüpft ist; Die Empfehlungen enthalten klare Leitlinien für die erforderlichen Schritte zur Lösung der festgestellten Probleme oder zur Nutzung von Chancen.
• Bericht: Ein strukturiertes Dokument, das die Ergebnisse, Erkenntnisse und Empfehlungen für eine Zielgruppe zusammenfasst. In erster Linie liefern Berichte Informationen zu den Ergebnissen von Analysen an Kunden, Führungskräfte und technische Teams

Zugreifen auf Leistungsbeurteilungsmodule

Um auf die Sicherheits- und Bewertungsfunktionen in der virtuellen Appliance zuzugreifen, wählen Sie Home menu > Assessments aus, oder klicken Sie auf Assessments im Abschnitt Application (Anwendung) der Startseite > Launchpad-Registerkarte. Die Seite "Übersicht Leistungsbeurteilungen" wird angezeigt.

Leistungsbeurteilungen - Überblick

Auf der Seite Assessments Overview (Übersicht der Assessments) wird das folgende Dashboard angezeigt:

Leistungsbeurteilungen - Überblick

Das Dashboard zeigt die folgenden Informationen an:

• Sicherheitsratgeber-Analysen: Zeigt Bewertungen von Sicherheitsempfehlungen an, die nach kritischem und hohem Schweregrad kategorisiert sind.
• Bewertungen zur Sicherheitssicherung: Zeigt Ressourcen an, die die Sicherheitshärtungsregeln nicht erfüllen, kategorisiert nach Schweregrad Hoch, Mittel, Niedrig und Informativ
• Konfigurationsanalysen: Zeigt Ressourcen an, die die Compliance-Regeln für Konfigurationen nicht erfüllen, kategorisiert nach dem Schweregrad Kritisch, Hoch, Mittel, Niedrig und Informativ
• Bewertungen von Problemhinweisen: Zeigt Bewertungen von Problemhinweisen an, die nach dem Schweregrad Kritisch, Hoch und Nicht zutreffend kategorisiert sind.

Ergebnisse nach Ressource

Auf der Seite Ergebnisse nach Ressource finden Sie eine Liste der Ressourcen, die mit mindestens einer der folgenden Bewertungen bewertet wurden: Sicherheitsempfehlungen, Sicherheitshärtung, Konfiguration und Problemhinweise.

Ergebnisse nach Vermögenswerten

Suchen und Filtern von Ansichten nach Ergebnissen nach Ressource

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können im Feld Suchen auch nach Ergebnissen nach Ressource suchen.

Exportieren der Ergebnisse nach Ressource

Zum Exportieren der Listenansicht Ergebnisse nach Ressource klicken Sie auf Exportieren. Weitere Informationen finden Sie unter Exportieren von Informationen.

Ergebnisse nach Ressourcendetails anzeigen

Klicken Sie auf eine Ressource, um Ergebnisse nach Ressourcendetails anzuzeigen. Auf den folgenden Registerkarten werden Details zu der ausgewählten Ressource angezeigt:

• Zusammenfassung: Detaillierte Bestandsdaten, z. B. Anzahl der Sicherheitsempfehlungen, Sicherheitshärtung, Konfiguration und Problemhinweise
• Sicherheitsempfehlungen: Bietet eine Liste zugehöriger Bewertungen der Sicherheitsberatung
• Sicherheitssicherung: Liste der Ressourcen, die die Sicherheitsaushärtungsregeln nicht erfüllen (nur Standard- und Signaturressourcen)
• Konfiguration: Liste der Ressourcen, die nicht den Best Practice-Regeln für die Konfiguration entsprechen (nur Standard- und Signaturressourcen)
• Problemhinweise: Bietet eine Liste zugehöriger Analysen für Problemhinweise

Ergebnisse nach Ressourcendetails

Wenn Sie auf einer Kachel auf Details anzeigen klicken, wird die Seite zur entsprechenden Seite im Modul umgeleitet.

Wenn Sie auf Vollständige Anlagendetails anzeigen klicken, wird die Seite mit den Anlagendetails angezeigt.

Sicherheitsempfehlungen

Sicherheitsberatungs-Analysen identifizieren Schwachstellen und priorisieren sie basierend auf ihrem Risiko, Schweregrad und ihrer Wichtigkeit und verbessern so die Risikomanagementfunktionen des Unternehmens. Security Advisories bieten einen präzisen Einblick in Sicherheitslücken, beschleunigen die Eindämmung kritischer Bedrohungen und sorgen für die Abstimmung auf Compliance und Geschäftsziele. Dies stärkt die Sicherheit, optimiert die Ressourcenzuweisung und stärkt die Widerstandsfähigkeit gegen neue Bedrohungen im gesamten Unternehmen. Sicherheitsempfehlungen werden in Cisco IQ automatisch aktualisiert, sobald sie veröffentlicht werden.

Die Seite Security Advisories enthält eine Liste aller Security Advisories mit Sicherheitslücken, die in der Organisation entdeckt wurden. Durch Klicken auf eine Beratung aus der Liste der Sicherheitsberatungs-Einschätzungen wird die entsprechende Detailansicht angezeigt.

Sicherheitsempfehlungen

Suchen und Filtern von Ansichten nach Sicherheitsempfehlungen

Sie können die Listenansicht filtern, indem Sie einen Filter aus der Dropdown-Liste auswählen. Sie können auch nach Security Advisory-Bewertungen suchen, indem Sie den Namen der Bewertung in das Feld Suchen eingeben.

Exportieren von Sicherheitsempfehlungen

Klicken Sie zum Exportieren von Sicherheitsberatungsbewertungen auf Exportieren. Weitere Informationen finden Sie unter Exportieren von Informationen.

Anzeigen der Bewertungsdetails für Sicherheitsberatung

Klicken Sie auf eine Leistungsbeurteilung, um weitere Details anzuzeigen. Die Detailseite enthält Informationen wie Common Vulnerability Scoring System (CVSS) Score, Common Vulnerabilities and Exposures (CVE), Severity (Schweregrad) sowie einen Link zu dem referenzierten Cisco Security Advisory.

In der Tabelle mit den Leistungsbeurteilungsergebnissen können Sie die folgenden Arten von Ergebnissen anzeigen:

• Betroffen: Zeigt an, dass die Sicherheitslücke in der Ressource oder Komponente bestätigt wurde und von einem Angreifer ausgenutzt werden kann, sodass eine Behebung erforderlich ist.
• Potenziell betroffen: weist darauf hin, dass der Vermögenswert oder die Komponente Anzeichen aufweist, die zu Schwachstellen führen können, dies jedoch nicht definitiv bestätigt wird; Weitere Untersuchungen sind möglicherweise erforderlich

Details zu Sicherheitsempfehlungen

Anzeigen nach Ergebnissen der Ressourcenbewertung suchen und filtern

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach Ressourcen suchen, indem Sie den Namen der Ressource in das Feld Suchen eingeben.

Anzeigen der Ergebnisse der Ressourcenbewertung

Um Details zu einem Bewertungsergebnis anzuzeigen, klicken Sie in der Tabelle Bewertungsergebnis auf eine Ressource. Die Detailseite des Leistungsbeurteilungsergebnisses der Anlage wird angezeigt.

Ergebnisdetails

Exportieren von Ressourcenergebnissen für Sicherheitsempfehlungen

Zum Exportieren der Ressourcenergebnisse klicken Sie auf Exportieren. Weitere Informationen finden Sie unter Exportieren von Informationen.

Sichern

Die Sicherheitsfunktionen bieten einen automatisierten Überblick über den Sicherheitsstatus Ihrer Netzwerkinfrastruktur nahezu in Echtzeit, indem Router, Switches und Firewalls anhand von Branchenstandard-Benchmarks kontinuierlich evaluiert werden. Es identifiziert Konfigurationslücken und bietet Account-Administratoren praktische Anleitungen zur Problembehebung, mit denen sie die Angriffsfläche effektiv verringern und die konsistente Ausrichtung an den strikten Cisco Best Practices für die Sicherheit beibehalten können. Durch die Zentralisierung der Compliance-Überwachung und die Vereinfachung des Härtungsprozesses verwandelt das Modul das Sicherheitsmanagement von einer reaktiven Aufgabe in eine proaktive, datengesteuerte Strategie, die ein ausfallsicheres und sicheres Unternehmensnetzwerk gewährleistet.

Sicherheitsbewertungen anzeigen

Auf der Seite Sicherheitsbewertung werden folgende Informationen angezeigt:  

Sichern

• Informationen zur Leistungsbeurteilung: Zusätzliche Details durch Zusammenfassung des Zwecks der Leistungsbeurteilung
• Ergebnis der Durchführung: Bietet eine Zusammenfassung der Ergebnisse der Ressourcenbewertung, einschließlich der Gesamtzahl der Regelbewertungen und der enthaltenen Ressourcen
• Regelbewertungen: Detaillierte Informationen zur Regel, einschließlich Schweregrad, bewertete Ressourcen, nicht bestanden, bestanden, nicht schlüssig, nicht zutreffend und Softwaretyp
• Schweregrad: Legt den Grad der Bedeutung oder die Auswirkungen der Regelauswertung fest.
• Bewertete Ressourcen: Zeigt die Gesamtzahl der Ressourcen an, die anhand der Regelkriterien bewertet wurden.
• Nicht bestanden: Stellt die Ressourcen bereit, die während der Leistungsbeurteilung die Regelkriterien nicht erfüllt haben
• Bestanden: Stellt die Ressourcen bereit, die während der Leistungsbeurteilung die Regelkriterien erfüllt haben
• Nicht eindeutig: Stellt die Ressourcen bereit, für die die Analyse den Fehler nicht ermitteln konnte
• Nicht zutreffend: Angabe der Vermögenswerte oder Szenarien, bei denen die Regel nicht anwendbar oder nicht relevant ist
• Softwaretyp: Softwaretyp der Ressourcen

Suchen und Filtern von Ansichten nach Regeln

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach einer Regel suchen, indem Sie den Namen der Regel in das Feld Suchen eingeben.

Anzeigen von Regelauswertungsdetails

Klicken Sie auf eine Regel, um weitere Details zu einer Regelauswertung anzuzeigen. Die Seite mit den Evaluierungsdetails der Regel wird mit den folgenden Informationen angezeigt:

Regelansicht

• Über die Regel: Enthält Details zur Regel, z. B. Schweregrad, Softwaretyp, Version und bewertete Ressourcen, sowie beschreibende Links zur relevanten Quelldokumentation
• Zusammenfassung der Ergebnisse: Bietet eine Zusammenfassung der Anlagenergebnisse im Zusammenhang mit der Regel, z. B. Bestanden, Nicht bestanden, Nicht eindeutig und Nicht zutreffend
• Ergebnisse der Ressourcen: Bietet eine Liste der Ressourcen mit Details wie Ressource, Ergebnis, Produkt-ID, Seriennummer, IP-Adresse und Support-Stufe

Anmerkung: Cisco IQ bietet klare Richtlinien für den Fall, dass eine Bewertung zu "nicht eindeutig" gelangt, erklärt die Ursache (z. B. fehlende Telemetrie oder nicht unterstütztes Betriebssystem) und empfiehlt Schritte wie die Überprüfung der Datenerfassung, die Aktualisierung von Anmeldedaten oder die Aktualisierung von Daten. Bezeichnete Links zu relevanten Dokumentationen unterstützen Sie ebenfalls bei der Problembehebung.

Suchen und Filtern von Ansichten nach Asset-Regeln

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach Ergebnissen der Anlagenbewertung suchen, indem Sie den Namen der Anlage in das Feld Suchen eingeben.

Hinweise:

• Einige Filter werden je nach Vergrößerungseinstellung des Bildschirms möglicherweise ausgeblendet.
• Je nach Ihren Rollen und Berechtigungen stehen verschiedene Filter zur Verfügung.

Exportieren der Ressourcenergebnisse

Zum Exportieren der Analyseergebnisse für Regeln klicken Sie auf Exportieren. Weitere Informationen finden Sie unter Exportieren von Informationen.

Suchen und Filtern von Ansichten nach Ressourcenergebnissen

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach Bestandsergebnissen suchen, indem Sie den Namen der Ressource in das Feld Suchen eingeben.

Hinweise:

• Einige Filter werden je nach Vergrößerungseinstellung des Bildschirms möglicherweise ausgeblendet.
• Je nach Ihren Rollen und Berechtigungen stehen verschiedene Filter zur Verfügung.

Anzeigen von Ressourcenergebnissen für die Sicherheitssicherung

Klicken Sie in Asset Results auf eine Ressource, um deren Details anzuzeigen. Auf der Seite mit den Ergebnisdetails der Ressource werden Informationen entsprechend Ihrer Berechtigungsstufe oder -stufe angezeigt.

Standardstufe zur Sicherheitssicherung 

• Standard-Tier
• Details suchen: Stellt Informationen zu den bei der Bewertung identifizierten Konfigurationsabweichungen zusammen mit Evidenzprotokollen bereit
• Empfehlungen: Unterstützung bei der Auswertung der Ergebnisse und Sicherstellung konsistenter Konfigurationen

Anzeigen von Ressourcen- und Regelinformationen zur Sicherheitssicherung

Klicken Sie auf die Registerkarte Asset and Rule Info (Asset- und Regelinformationen), um die Details einer Ressource und ihrer Regeln anzuzeigen. Die Seite Asset and Rule Info (Ressourcen- und Regelinformationen) wird angezeigt.

 Informationen zum Asset: Beschreibt Details der Ressource wie Produkt-ID, Produkttyp, IP-Adresse, Seriennummer, Softwareversion, Standort und Support-Stufe

• Über die Regel: Enthält Regeldetails (einschließlich Schweregrad und Softwaretyp) und die Bedeutung dieser speziellen Härtungsprüfung

Konfiguration

Bei Konfigurationsanalysen werden Ihre Ressourcen anhand empfohlener Best Practices bewertet, die auf dem bewährten Know-how von Cisco basieren, um Konfigurationsabweichungen zu erkennen, die sich auf die Verfügbarkeit, die Sicherheit oder die Leistung in der gesamten Infrastruktur auswirken können. Jede Best Practice-Regel wird für alle abgedeckten Ressourcen bewertet, und die Ergebnisse werden nach Schweregrad priorisiert, um eine konsistente Konfiguration, verbesserte Ausfallsicherheit und ein geringeres betriebliches Risiko sicherzustellen.

Anmerkung: Konfigurationsbewertungen sind ausschließlich für Ressourcen mit standardmäßigen Supportstufen verfügbar.

Anzeigen von Konfigurationsanalysen

Auf der Seite Konfigurationsbewertung werden folgende Informationen angezeigt:

Konfigurationsbewertung 

• Informationen zur Leistungsbeurteilung: Zusätzliche Details durch Zusammenfassung des Zwecks der Leistungsbeurteilung
• Zusammenfassung: Bietet eine Zusammenfassung der Konfigurationsausführung wie evaluierte Regeln und evaluierte Ressourcen
• Insights: bietet Einblicke in identifizierte Konfigurationslücken, die durch eine Musteranalyse und eine Korrelation der Ergebnisse generiert wurden; Sie werden als intelligent gruppierte Schlüsselkarten angezeigt, um die wichtigsten Bereiche hervorzuheben, die Aufmerksamkeit erfordern.
• Regelauswertungen: Ausführliche Informationen zur Regel, einschließlich Schweregrad, bewertete Ressourcen, nicht bestanden, bestanden, nicht schlüssig, nicht zutreffend, Kategorie und Softwaretyp
• Schweregrad: Legt den Grad der Bedeutung oder die Auswirkungen der Regelauswertung fest.
• Bewertete Ressourcen: Zeigt die Gesamtzahl der Ressourcen an, die anhand der Regelkriterien bewertet wurden.
• Nicht bestanden: Zeigt die Gesamtzahl der Ressourcen an, die während der Leistungsbeurteilung die Regelkriterien nicht erfüllt haben.
• Nicht eindeutig: Zeigt die Gesamtzahl der Ressourcen an, für die die Leistungsbeurteilung nicht ausgeführt werden konnte.
• Bestanden: Stellt die Ressourcen bereit, die während der Leistungsbeurteilung die Regelkriterien erfüllt haben
• Nicht zutreffend: Angabe der Vermögenswerte oder Szenarien, bei denen die Regel nicht anwendbar oder nicht relevant ist
• Kategorie: Stellt den Domänenbereich bereit, zu dem die Regel gehört 
• Softwaretyp: Gibt den Typ der Softwareressourcen an, auf die die Regel angewendet wird.

Suchen und Filtern von Ansichten nach Regeln

Regelauswertungen 

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach einer Regel suchen, indem Sie den Namen der Regel in das Feld Suchen eingeben.

Hinweise:

• Einige Filter werden je nach Vergrößerungseinstellung des Bildschirms möglicherweise ausgeblendet.
• Je nach Ihren Rollen und Berechtigungen stehen verschiedene Filter zur Verfügung.

Anzeigen von Regelauswertungsdetails

Klicken Sie auf eine beliebige Regel, um weitere Details zu einer Regelauswertung anzuzeigen. Die Seite mit den Evaluierungsdetails der Regel wird mit den folgenden Informationen angezeigt:

Evaluierung 

• Über die Regel: Enthält Details zu einer Regel wie Schweregrad, Kategorie, Softwaretyp und bewertete Ressourcen sowie beschreibende Links zur relevanten Quelldokumentation
• Zusammenfassung der Ergebnisse: Zeigt die Gesamtergebnisse der Ressource an, indem die Anzahl der Ressourcen in den Status Bestanden, Nicht bestanden, Nicht schlüssig und Nicht zutreffend angezeigt wird.
• Ressourcenergebnisse: Bietet eine Liste der von der ausgewählten Regel betroffenen Ressourcen mit dem Ergebnisstatus

Hinweise:

• Cisco IQ bietet klare Richtlinien für den Fall, dass eine Bewertung zu "nicht eindeutig" gelangt, erklärt die Ursache (z. B. fehlende Telemetrie oder nicht unterstütztes Betriebssystem) und empfiehlt Schritte wie die Überprüfung der Datenerfassung, die Aktualisierung von Anmeldedaten oder die Aktualisierung von Daten. Bezeichnete Links zu relevanten Dokumentationen unterstützen Sie ebenfalls bei der Problembehebung.
• Das Bewertungsmodul unterstützt die Auswahl verschiedener Kategorien für Regeln und ermöglicht die gleichzeitige Verarbeitung und Bewertung über mehrere Regelkategorien hinweg.

Exportieren der Ressourcenergebnisse

Zum Exportieren der Ressourcenergebnisse für Regeln klicken Sie auf Exportieren. Weitere Informationen finden Sie unter Exportieren von Informationen.

Suchen und Filtern von Ansichten nach Ressourcenergebnissen

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach Bestandsergebnissen suchen, indem Sie den Namen der Ressource in das Feld Suchen eingeben.

Hinweise:

• Einige Filter werden je nach Bildschirmvergrößerungseinstellungen möglicherweise ausgeblendet.
• Je nach Ihren Rollen und Berechtigungen stehen unterschiedliche Filter zur Verfügung.

Anzeigen von Ressourcenergebnissen für Konfigurationsanalysen

Um Details der Asset-Ergebnisse anzuzeigen, klicken Sie in den Asset-Ergebnissen auf eine Ressource.

Auf der Seite mit den Ergebnisdetails der Ressource werden Informationen entsprechend Ihrer Berechtigungsstufe oder -stufe angezeigt.

Konfiguration der Standardstufe

• Standard-Tier
• Details suchen: Stellt Informationen zu den bei der Bewertung identifizierten Konfigurationsabweichungen zusammen mit Evidenzprotokollen bereit
• Empfehlungen: Unterstützung bei der Auswertung der Ergebnisse und Sicherstellung konsistenter Konfigurationen

Anzeigen von Ressourcen- und Regelinformationen für Konfigurationsbewertungen

Klicken Sie auf die Registerkarte Asset and Rule Info (Asset- und Regelinformationen), um Details zu Ressourcen und Regeln anzuzeigen.

Ressourcen- und Regelinformationen

Die Seite Asset and Rule Info (Ressourcen- und Regelinformationen) wird mit den folgenden Informationen angezeigt:

• Informationen zum Asset: Enthält Details zu Ressourcen wie Produkt-ID, Produkttyp, IP-Adresse, Seriennummer, Softwareversion, Standort und Support-Stufe
• Über die Regel: Enthält Details zu einer Regel wie Schweregrad, Kategorie und Softwaretyp

Einblicke anzeigen

Die Erkenntnisse werden durch KI generiert und dienen als intelligentes Dashboard, das Bewertungsdaten in priorisierte Schlüsselkarten integriert und so wichtige Konfigurationsunterschiede zwischen verschiedenen Ergebnissen aufzeigt. Mit der Lösung können Sie die größten Infrastrukturrisiken effizient angehen, indem Sie sich auf diese dringenden Bereiche konzentrieren. Außerdem werden Stärken hervorgehoben, indem Bereiche ermittelt werden, in denen Ihre Infrastruktur gute Leistung bringt, sowie Best Practices. 

Insights

So zeigen Sie Details zu Einblicken an:

1. Klicken Sie im Bereich "Einblicke" auf Alle anzeigen. Auf der Seite "Einblicke" werden alle Einblicke angezeigt.

Einblicke

2. Klicken Sie auf Details anzeigen oder klicken Sie auf eine Karte. Die Detailseite "Einblicke" wird mit den folgenden Informationen angezeigt:

Einblicke - Details

• Erkenntnis: Bietet eine Zusammenfassung, in der wiederkehrende Muster von Konfigurationsabweichungen hervorgehoben werden, die durch eine umfassende Analyse verschiedener Ergebnisse ermittelt wurden, sowie Bereiche Ihrer Infrastruktur, in denen Konfigurationen mit Best Practices übereinstimmen
• Empfehlung: Aussagekräftige Schritte zur Beseitigung der festgestellten Konfigurationslücken
• Betroffene Ressourcen: Bietet eine Liste spezifischer Geräte, bei denen die Konfigurationsabweichung gemäß den Definitionen im Abschnitt Insight identifiziert wurde.

3. Klicken Sie auf Quellenergebnisse. Auf der Seite "Source Findings" (Quellenergebnisse) werden die detaillierten individuellen Ergebnisse angezeigt, die Ihre Erkenntnisse unterstützen.

Ergebnisse

Sie können die Tabellenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen Schweregrad und Ergebnis auswählen.

Anmerkung: Empfehlungen und betroffene Ressourcen sind je nach Ergebnis der einzelnen Erkenntnisse optional.

Problemhinweise

In den Problemhinweisen werden erhebliche nicht sicherheitsrelevante Produktprobleme identifiziert und nach Schweregrad und Bedeutung der Auswirkungen geordnet, sodass Produktrisiken besser gehandhabt werden können. Problemhinweise liefern aussagekräftige Informationen zu Produktfehlern, beschleunigen die Risikominderung durch empfohlene Upgrades oder Workarounds und sorgen für die Abstimmung auf Betriebs- und Geschäftsziele. Dies erhöht die Produktzuverlässigkeit, optimiert die Ressourcenzuweisung und stärkt die Widerstandsfähigkeit gegen neue Produktherausforderungen im gesamten Unternehmen.

Problemhinweise

Suchen und Filtern von Ansichten nach Feldbenachrichtigungen

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen. Sie können auch nach Leistungsbeurteilungen für Feldanmerkungen suchen, indem Sie den Namen der Leistungsbeurteilung in das Feld Suchen eingeben.

Anzeigen von Leistungsbeurteilungen für Problemhinweise

Klicken Sie auf eine Leistungsbeurteilung, um weitere Details zu einem Problemhinweis anzuzeigen. Die folgenden Leistungsbeurteilungsdetails werden angezeigt:

• Über die Leistungsbeurteilungen: Zusätzliche Details durch Zusammenfassung des Zwecks der Leistungsbeurteilung
• Bewertung von Problemhinweisen: Zeigt eine Liste der Ressourcen an, die von der ausgewählten Problemmeldung betroffen sind, einschließlich Ressourcen mit erkannten Schwachstellen.

Anzeigen von Leistungsbeurteilungen für Problemhinweise

Suchen und Filtern von Ansichten nach Ressourcenergebnissen für Feldbenachrichtigungen

Sie können die Listenansicht filtern, indem Sie einen Filter aus den Dropdown-Listen auswählen oder auf Filter klicken und eine Option aus der Liste der verfügbaren Filter auswählen. Sie können auch nach Bestandsergebnissen suchen, indem Sie den Namen der Ressource in das Feld Suchen eingeben.

Hinweise:

• Einige Filter werden je nach Vergrößerungseinstellung des Bildschirms möglicherweise ausgeblendet.
• Je nach Ihren Rollen und Berechtigungen stehen verschiedene Filter zur Verfügung.

Exportieren von Ressourcenergebnissen für Feldbenachrichtigungen

Klicken Sie auf Exportieren, um die Ergebnisse der Leistungsbeurteilung für Feldhinweise zu exportieren. Weitere Informationen finden Sie unter Exportieren von Informationen.

Anzeigen der Ergebnisse der Ressourcenbewertung für Problemhinweise

Um die Bewertungsergebnisdetails einer Ressource anzuzeigen, klicken Sie in den Anlagenbewertungsergebnissen auf eine Ressource. Die Seite mit den Analyseergebnissen der Anlage wird angezeigt.

Sie können die folgenden Ergebnistypen anzeigen:

• Betroffen: Gibt Ressourcen an, die alle Kriterien erfüllen und automatisch auf eine Problembeschreibung hin geprüft werden und keine zusätzliche manuelle Überprüfung erfordern, um sicherzustellen, dass sie betroffen sind.
• Potenziell betroffen: Gibt Ressourcen an, die alle automatisch geprüften Kriterien für eine Problembeschreibung erfüllen, aber zusätzliche manuelle Prüfungen erfordern, um sicherzustellen, dass sie tatsächlich betroffen sind.

Die folgenden Aufforderungen sind auf der Registerkarte Assessments - Security Hardening verfügbar:

• Was sind Cisco Best Practices zur Erhöhung der Sicherheit für Netzwerkgeräte?
• Wie härte ich meine Cisco IOS XE-Geräte aus?
• Führen Sie die wichtigsten Schritte zur Sicherung von Routern und Switches auf.
• Welche grundlegenden Härtungseinstellungen werden für Cisco Geräte empfohlen?
• Wie viele Ressourcen verstoßen gegen Best Practices zur Sicherheitssicherung?

Lokale Authentifizierung

Kontoadministratoren sollten die folgenden Anmeldeinformationen verwenden, um sich erfolgreich bei der VA anzumelden:

• Standard-Benutzername: admin
• Standardkennwort: das Kennwort, das während der VA-Installation festgelegt wird; Weitere Informationen finden Sie im Handbuch "Erste Schritte".
• Standard-Kontenkontext: Standard-Kunde

Nach der Anmeldung werden auf der Startseite der Standardbenutzer "admin" und der Kontoname "Default-Customer" angezeigt.

Festlegen der lokalen Administratorsicherheit

Sie können Ihr Kennwort ändern und Sicherheitsfragen über das Menü Benutzerprofil auf der Startseite einrichten.

Sperreinstellungen

Die folgenden Kontosperrungseinstellungen können während der Bereitstellung konfiguriert werden:

• Lockout Status (Sperrstatus): Aktiviert oder deaktiviert die Kontosperrungsfunktion.
• Maximum Login Attempts (Maximale Anmeldeversuche): Legt die maximale Anzahl der aufeinander folgenden fehlgeschlagenen Anmeldeversuche fest, die vor dem Sperren eines Kontos zulässig sind (Standard: 3; Bereich: 0–10).
• Rolling Time Window: Definiert den Zeitraum für die Nachverfolgung fehlgeschlagener Versuche (Standard: 15 Minuten; Bereich: 0-60 Minuten).
• Duration (Dauer): Legt die Dauer fest, für die ein Konto gesperrt bleibt, nachdem die maximale Anzahl von Versuchen erreicht wurde (Standard: 30 Minuten; Bereich: 0-60 Minuten).

Hinweise:

Sie haben drei (3) Versuche, innerhalb von 15 Minuten das richtige Kennwort einzugeben. Wenn alle drei (3) Versuche nicht erfolgreich sind, wird Ihr Konto vorübergehend für 30 Minuten gesperrt, um Ihre Sicherheit zu schützen.

Sie können nicht versuchen, sich während der Sperrzeit anzumelden. Das System zeigt folgende Meldung an: "Das Konto wurde aufgrund zu vieler fehlgeschlagener Versuche gesperrt. Versuchen Sie es später erneut.", einschließlich der Zeit, zu der die Sperre abläuft.

Nach 30 Minuten wird Ihr Konto automatisch entsperrt. Sie können dann versuchen, sich anzumelden oder Ihr Kennwort zurückzusetzen.

Einrichten von Sicherheitsfragen und -antworten

Sicherheitsfragen helfen dabei, Ihre Identität zu verifizieren, wenn Sie Ihr Kennwort vergessen haben. Kontoadministratoren müssen Antworten auf fünf (5) Sicherheitsfragen einrichten, um die Funktion zum Zurücksetzen des Kennworts zu aktivieren. Dies ist eine einmalige Konfiguration.

So richten Sie Sicherheitsfragen ein:

1. Klicken Sie auf der Startseite auf das Symbol Benutzerprofil. Das Dropdown-Menü wird geöffnet.

Sicherheit verwenden

2. Klicken Sie auf Verwalten in der Benutzersicherheit. Die Seite User Security (Benutzersicherheit) wird angezeigt.

Sicherheitsfragen

3. Klicken Sie auf Sicherheitsfragen, um die Registerkarte zu öffnen.

Registerkarte "Sicherheitsfragen"

4. Klicken Sie auf Sicherheitsfragen konfigurieren.

Sicherheitsfragen konfigurieren

5. Wählen Sie aus den Dropdown-Listen fünf (5) Sicherheitsfragen aus.
6. Geben Sie Ihre Antwort für jede Frage ein.
7. Klicken Sie auf Speichern.

Hinweise:

• Bei den Antworten wird nicht zwischen Groß- und Kleinschreibung unterschieden, da z. B. "SMITH" und "Smith" als identisch angesehen werden.
• Zusätzliche Leerzeichen werden ignoriert, d. h. "Smith" und "Smith" werden identisch behandelt.
• Denken Sie daran, wie Sie Ihre Antwort eingegeben haben (z. B. vollständige Namen und Spitznamen).
• Verwenden Sie einfache Antworten, an die Sie sich Jahre später erinnern werden.
• Auswählen von Fragen mit Antworten, die sich im Laufe der Zeit nicht ändern

Anmerkung: Sie können Ihre Antworten bei Bedarf später aktualisieren. Wenn Sie Ihre Antworten aktualisieren, werden alle vorherigen Antworten ersetzt. Sie müssen daher alle fünf (5) Fragen erneut beantworten und nicht nur die, die Sie ändern möchten.

Verwalten von Kennwörtern

Kontoadministratoren und lokale Benutzer können das Kennwort für Cisco IQ verwalten.

Um die Sicherheit Ihres Kontos zu gewährleisten, werden die folgenden Kennwortrichtlinien durchgesetzt:

• Einschränkung der Wiederverwendung: Ihr neues Kennwort kann mit keinem Ihrer vorherigen fünf (5) Kennwörter übereinstimmen. Diese Richtlinie gilt für die Abläufe "Anmeldung", "Kennwort vergessen" und "Kennwort ändern".
• Zeichenvarianz: Wenn Sie Ihr Kennwort ändern, während Sie authentifiziert sind, müssen sich mindestens acht (8) Zeichen von Ihrem aktuellen Kennwort in Ihrem neuen Kennwort unterscheiden.
• Minimales Änderungsintervall: Standardmäßig müssen Sie 24 Stunden warten, bevor Sie Ihr Kennwort erneut ändern können. Wenn ein anderes Intervall konfiguriert wird, können Sie Ihr Kennwort erst nach Ablauf dieses Zeitraums aktualisieren.
• Kennwort läuft ab: Kennwörter laufen alle 60 Tage ab. Bei Ihrer ersten Anmeldung nach dem Ablaufdatum müssen Sie ein neues Kennwort festlegen, bevor Sie auf das System zugreifen können (wenn Sie für 0 konfiguriert sind, ist die Kennwortablaufzeit deaktiviert).

Voraussetzungen

Um Kennwörter zu verwalten, müssen die folgenden Bedingungen erfüllt sein:

• Sie sind ein lokaler Kontoadministrator oder Benutzer.
• Sie verwenden ein lokales Konto (kein Single Sign-On (SSO) oder externe Authentifizierung).
• Sie sind bei Cisco IQ angemeldet.
• Sie kennen das aktuelle Kennwort.

Kennwörter ändern

So ändern Sie das Kennwort:

1. Klicken Sie auf der Startseite auf das Symbol für Ihr Benutzerprofil. Das Dropdown-Menü wird geöffnet.

Benutzersicherheit verwalten

2. Klicken Sie auf Verwalten in der Benutzersicherheit. Die Seite User Security (Benutzersicherheit) wird angezeigt.

Kennwort ändern

3. Geben Sie das aktuelle Kennwort ein.
4. Geben Sie das neue Kennwort ein.
5. Geben Sie zur Bestätigung erneut das neue Kennwort ein.
6. Klicken Sie auf Speichern.

Das Kennwort wird im Cisco IQ-System einschließlich des Cisco IQ VM aktualisiert.

Zurücksetzen eines vergessenen Kennworts

Sie können ein Kennwort zurücksetzen, indem Sie die Sicherheitsfrage überprüfen.

So setzen Sie ein vergessenes Kennwort zurück:

1. Navigieren Sie zur Anmeldeseite von Cisco IQ VA.
2. Klicken Sie auf Kennwort vergessen.

Passwort vergessen

3. Geben Sie den Benutzernamen ein.
4. Klicken Sie auf Continue (Weiter). Auf der Seite Identität verifizieren werden drei (3) zufällige Sicherheitsfragen von den fünf (5) Fragen angezeigt, die zuvor konfiguriert wurden.

Identität überprüfen

5. Geben Sie die Antworten für alle drei (3) angezeigten Fragen ein.
6. Klicken Sie auf Verifizieren, und fahren Sie fort. Wenn die eingesendete Antwort mit den zuvor gespeicherten Antworten übereinstimmt, werden Sie aufgefordert, ein neues Kennwort einzugeben.

Kennwort zurücksetzen

7. Geben Sie das neue Kennwort ein.
8. Geben Sie zur Bestätigung erneut das Kennwort ein.
9. Klicken Sie auf Senden.

Hinzufügen von lokalen Benutzern

Kontoadministratoren können Benutzer zum Cisco IQ-Konto hinzufügen. So fügen Sie einen neuen Benutzer hinzu

1. Navigieren Sie zu Systemeinstellungen > Lokale Identität und Zugriff > Benutzer. Die Seite Benutzer wird angezeigt. Es listet alle vorhandenen lokalen Benutzer zusammen mit ihrem Status auf.

Seite Benutzer

2. Klicken Sie auf Benutzer hinzufügen. Die Seite Benutzer hinzufügen wird angezeigt.

Benutzer hinzufügen

3. Geben Sie die E-Mail-Adresse ein.

4. Geben Sie den Aktivierungscode ein.

5. Wählen Sie unter Benutzerzugriff die Benutzergruppe aus der Dropdown-Liste Benutzergruppen auswählen.

6. Wählen Sie unter Direktzugriff zuweisen in der Dropdown-Liste Rolle die Option Rolle aus. Es sind zwei (2) Rollen verfügbar:

• Viewer: Anzeigen und Zugreifen auf Anwendungen
• Kontoadministrator: Zugriff auf Module und Verwaltung von Systemeinstellungen mit Ausnahme von System Management und Identity Provider (IDP)

7. Klicken Sie auf Speichern. Der neue Benutzer wird erstellt und in der Benutzerliste im Status Ausstehend angezeigt. Pending (Ausstehend): Der Benutzer hat die Selbstaktivierung noch nicht abgeschlossen.

8. Suchen Sie den neu erstellten Benutzer in der Liste, und stellen Sie sicher, dass in der Spalte Status die Meldung Ausstehend angezeigt wird.

9. Klicken Sie auf das Symbol Weitere Optionen neben dem neu erstellten Benutzer.

Aktivierungscode kopieren

10. Wählen Sie den Aktivierungscode kopieren aus der Dropdown-Liste aus. Der Aktivierungscode wird in die Zwischenablage kopiert.

11. Geben Sie diesen Code sicher für den Benutzer frei (z. B. über einen sicheren internen Kanal). Der Aktivierungscode ist nur einmal verwendbar und für die vollständige Registrierung erforderlich.

12. Um sich abzumelden, klicken Sie auf das Symbol User Profile (Benutzerprofil) oben rechts, und wählen Sie Logout (Abmelden). Sie kehren zur Cisco IQ-Anmeldeseite zurück.

Registrieren neuer Benutzerkonten

So registrieren Sie das neue Benutzerkonto:

1. Klicken Sie auf der Anmeldeseite auf den Link Neues Benutzerkonto registrieren.

Neues Benutzerkonto

2. Geben Sie den Benutzernamen oder die E-Mail-Adresse ein, die bei der Erstellung des Benutzers verwendet wurde (z. B. user1@abc.com).
3. Geben Sie den vom Kontoadministrator freigegebenen Aktivierungscode ein.
4. Klicken Sie auf Konto registrieren. Das Fenster Neues Kennwort festlegen wird angezeigt.

Kennwort für neues Benutzerkonto

5. Geben Sie ein neues Kennwort ein.
6. Geben Sie das Kennwort unter Kennwort bestätigen erneut ein.
7. Bei der ersten erfolgreichen Anmeldung wird der Benutzer aufgefordert, fünf (5) Sicherheitsfragen zu konfigurieren. (Weitere Informationen finden Sie unter Sicherheitsfragen und -antworten einrichten).

Verwalten lokaler Benutzergruppen

Benutzergruppen ermöglichen es dem Kontoadministrator, Rollen für mehrere lokale Benutzer gleichzeitig zu verwalten. Anstatt jedem Benutzer einzeln eine Rolle zuzuweisen, können Sie eine Gruppe erstellen, eine Rolle und eine Gruppe von Benutzern hinzufügen und die Rolle oder Mitgliedschaft an einem Ort aktualisieren. Die gesamte Benutzergruppenverwaltung erfolgt über die Seite Lokale Identität und Zugriff.

Erstellen einer Benutzergruppe

Erstellen einer Benutzergruppe:

1. Wählen Sie in den Systemeinstellungen die Option Lokale Identität und lokaler Zugriff > Benutzergruppen aus. Die Seite Benutzergruppen wird angezeigt.

Benutzergruppen

2. Klicken Sie auf Benutzergruppe erstellen. Die Seite Benutzergruppe erstellen wird angezeigt.

Benutzergruppe erstellen

3. Füllen Sie die folgenden Abschnitte aus:

• Details
• Name: Geben Sie einen eindeutigen Namen für die Gruppe ein (z. B. Schreibgeschützte Operatoren).
• Beschreibung (optional): Eine kurze Beschreibung der Gruppe (maximal 50 Zeichen; alphanumerische Zeichen und + = @ - _ Zeichen sind zulässig)
• Benutzer zuweisen: Suchen Sie nach einem oder mehreren vorhandenen lokalen Benutzern, die der Gruppe hinzugefügt werden sollen, und wählen Sie sie aus.

• Zugriff zuweisen
• Rolle: Wählen Sie die Systemrolle aus, die allen Mitgliedern dieser Gruppe zugewiesen werden soll. Folgende Rollen sind verfügbar:
• Viewer: Anzeigen und Zugreifen auf Module (schreibgeschützt)
• Administrator: Zugriff auf Module und Verwaltung von Systemeinstellungen

4. Klicken Sie auf Speichern.

Die neue Benutzergruppe wird in der Liste Benutzergruppen zusammen mit der zugewiesenen Rolle und der Mitgliederanzahl angezeigt.

Bearbeiten einer Benutzergruppe

So bearbeiten Sie eine Benutzergruppe:

1. Suchen Sie in der Liste Benutzergruppen die Gruppe, die Sie ändern möchten.
2. Wählen Sie das Symbol Weitere Optionen > Bearbeiten der gewünschten Gruppe. Die Seite Benutzergruppe bearbeiten wird angezeigt.

Benutzergruppe bearbeiten

3. Nehmen Sie die gewünschten Änderungen vor.
4. Klicken Sie auf Speichern.

Die aktualisierte Gruppe wird in der Liste Benutzergruppen angezeigt. Die neue Rolle tritt für alle Mitglieder der Gruppe in Kraft.

Löschen einer Benutzergruppe

So löschen Sie eine Benutzergruppe:

1. Suchen Sie in der Liste Benutzergruppen nach der Gruppe, die Sie löschen möchten.
2. Klicken Sie auf das Symbol Weitere Optionen neben der Gruppe, und wählen Sie Löschen aus.

Benutzergruppe löschen 

3. Bestätigen Sie den Löschvorgang, wenn Sie dazu aufgefordert werden.

Die Gruppe wird aus der Liste Benutzergruppen entfernt.

Identitätsanbieter konfigurieren

Nach der Anmeldung bei der VA können Kontoadministratoren verschiedene Einstellungen konfigurieren. Kontoadministratoren können sich über die lokale Administration oder die IDP-Konfiguration anmelden.

Okta IDP SAML-Konfiguration für SSO  

Voraussetzungen für die Konfiguration von IDP SAML

• Lokaler Administratorzugriff auf Cisco IQ
• Zugang zum IDP-Portal

IDP SAML-Konfiguration für SSO

So konfigurieren Sie die IDP Security Assertion Markup Language (SAML) für SSO:

1. Navigieren Sie zu Ihrem IDP-Portal.
2. Legen Sie die folgenden Attribute für die Cisco IQ-Instanz fest.

 Cisco IQ-Attribute

Feld	Wert
Anwendungsname	<Anwendungsname>
Umwelt	ESP-Geschäftsanwendung
Anwendungsbesitzergruppen	Eigentümer der IDP-Einstellungen
Team-Mailer	Mailer für das Team
Zielgruppe	Nicht erwerbstätig
Onboarding-Kategorie	Wählen Sie "New Onboarding".

SAML-Konfigurationsparameter

Parameter	Konfiguration	Beispiel
Zielgruppe (Element-ID)	FQDN	mymanagementhost.mydomain.com
URL für einmalige Anmeldung	SAML Assertion Customer Service (ACS)-Endpunkt	https://mymanagementhost.mydomain.com /saml/acs
Name ID-Format	E-Mail-Adresse	NA
Anwendungsbenutzername	Benutzername	NA

3. Konfigurieren der Attributanweisungen

Anmerkung: Änderungen der IDP-Attribute hängen vom jeweiligen Anbieter und der jeweiligen Konfiguration ab. Cisco IDP und seine Attribute werden nachfolgend als Beispiel genannt.

• Erster Eintrag
• Name: Benutzername
• Wert: user.login
• Zweiter Eintrag
• Name: Primäre E-Mail
• Wert: Benutzer.E-Mail
• Gruppenattribut-Anweisungen
• Name: Gruppen
• Filter: REGELN
• Wert: .*

4. Konfigurieren der SLO-Einstellungen (Single Logout) in der Anwendung

•  SLO-Konfigurationseinstellungen

SLO-Konfigurationseinstellungen

Feld	Wert
Signaturzertifikat	Für Okta ist dieses Zertifikat nur erforderlich, wenn Sie SLO aktivieren. Laden Sie das Signaturzertifikat mithilfe von Download SP Certificate in Identity Providers herunter. Speichern Sie die Datei unter dem Namen sp-public-key.crt. Weitere Informationen finden Sie unter Single Logout Configuration (Einzelabmeldekonfiguration).
SP-Metadaten	Die Service Provider (SP)-Metadaten sind nur für ADFS-IDP (und nicht für Okta) erforderlich.
Möchten Sie Single Logout aktivieren?	Ja oder Nein
URL für einzelne Abmeldung	https://mymanagementhost.mydomain.com/saml/logout
SP-Aussteller (Zielgruppe/Objektkennung oder ACS-URL)	https://mymanagementhost.mydomain.com

5. Klicken Sie auf das Symbol Download, um die Datei "IDP Metadata XML" herunterzuladen.
6. Stellen Sie die Anwendung gemäß den Anforderungen des Anbieters bereit, oder erstellen Sie sie.

Hinzufügen von Okta IDP

So fügen Sie einen IDP in Cisco IQ hinzu:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Identitätsanbieter aus. Die Seite "Identitätsanbieter" wird angezeigt.

IDP-Startseite

2. Klicken Sie auf Identitätsanbieter hinzufügen. Die Seite Identitätsanbieter hinzufügen wird angezeigt.

Identitätsanbieter hinzufügen

3. Geben Sie den Namen des Identitätsanbieters ein.
4. Klicken Sie auf Add (Hinzufügen), um dem Feld Domain(s) einen von Cisco IQ konfigurierten Domänennamen hinzuzufügen.
5. Ziehen Sie die aus der IDP-Anwendung erhaltene SAML-Metadatendatei per Drag-and-Drop in das Feld Organization IDP-Metadaten, oder laden Sie sie hoch. Diese Datei enthält Zertifikatdetails und SP-Entitätsdetails.
6. (Optional) Aktivieren Sie die Umschaltfläche Einzelnes Abmelden aktivieren. Sie können das SLO auch später aktivieren.
7. Klicken Sie auf Speichern.

Konfiguration der Rollenzuordnung

1. Wählen Sie aus dem hinzugefügten IDP das Symbol More Options (Weitere Optionen) > Map Roles (Rollen zuordnen). Die Seite Benutzerrollen zuordnen wird angezeigt.

Benutzerrollen zuordnen

2. Geben Sie eine IDP-Rolle für die ausgewählte Systemrolle ein. Folgende Systemrollen werden unterstützt:

• Allgemeiner Kontoadministrator: Der allgemeine Kontoadministrator verfügt über die vollen Berechtigungen zum Ausführen aller Aktionen im Produkt.
• Allgemeine Kontoanzeige: Die allgemeine Kontoanzeige verfügt über schreibgeschützten Zugriff.

Referenz zur Rollenzuordnung

3. Ordnen Sie ggf. weitere Rollen zu, indem Sie auf Identitätsanbieterrolle hinzufügen klicken.
4. Klicken Sie auf Speichern. Nach der Konfiguration wird auf der Anmeldeseite eine Option zur Anmeldung mit SSO (über IDP) angezeigt.

Konfiguration für einmaliges Abmelden

Wenn Sie SLO aktivieren, müssen Sie Metadaten hochladen, die die SLO-URL enthalten. Sie können dies konfigurieren, indem Sie die Einstellungen für den Identitätsanbieter bearbeiten und den Umschalter für einmaliges Abmelden aktivieren aktivieren. SLO-Konfiguration abschließen:

1. Klicken Sie auf der Homepage der Identitätsanbieter auf Öffentliches SP-Zertifikat herunterladen.

Öffentliches SP-Zertifikat

2. Speichern Sie die heruntergeladene Datei als sp-public-key.crt.
3. Navigieren Sie zu Ihrem IDP-Portal.
4. Laden Sie die Signaturzertifikatdatei hoch, die in der IDP SAML-Konfiguration für SSO generiert wurde.
5. Geben Sie die SLO-URL ein (z. B. https://<fqdn-of-the-appliance>/saml/logout).
6. Geben Sie den SP-Aussteller ein (z. B. <fqdn-of-the-appliance>).
7. Klicken Sie auf Senden.
8. Laden Sie die IDP-Metadatendatei erneut herunter.
9. Wählen Sie auf der Seite Identity Providers (Identitätsanbieter) das Symbol More Options (Weitere Optionen) des hinzugefügten IDP aus > Edit (Bearbeiten).
10. Aktivieren Sie die Umschaltfläche Enable single log out (SLO).
11. Laden Sie die neu heruntergeladene Metadatendatei hoch.
12. Verwenden Sie die folgende Checkliste, um die SSO- und SLO-Funktionalität zu überprüfen:

Verifizierungs-Checkliste:

• Anmeldung beim lokalen Administrator erfolgreich
• IDP-Portal wird konfiguriert und bereitgestellt
• IDP wird dem Cisco IQ mit dem Status "Success" hinzugefügt
• Rollenzuordnungen werden konfiguriert und getestet.
• SP-Metadaten werden heruntergeladen, und das Zertifikat wird extrahiert.
• Wenn SLO aktiviert ist, ist die SLO-Konfiguration mit dem echten Signaturzertifikat abgeschlossen
• Der gesamte SSO- und SLO-Fluss wurde erfolgreich getestet.

Fehlerbehebung bei IDP-Problemen

In den folgenden Tabellen sind häufige Probleme und mögliche Lösungen aufgeführt, die bei der schnellen Identifizierung und Behebung von Problemen im Zusammenhang mit dem IDP-Status, Zertifikatfehlern, SSO-Anmeldefehlern und der SLO-Konfiguration helfen:

Fehlerbehebung

Problem	Lösung
Der IDP-Status wird als "Incomplete" (Unvollständig) angezeigt.	Überprüfen der Konfigurationen für die Rollenzuordnung
Zertifikatfehler	Format und Gültigkeit des Zertifikats überprüfen
SSO-Anmeldefehler	Attributzuordnung und Gruppenzuweisungen validieren
SLO funktioniert nicht wie erwartet	Stellen Sie sicher, dass das Zertifikat ordnungsgemäß hochgeladen und SLO-URLs konfiguriert wurden.

ADFS IDP SAML-Konfiguration für SSO

Dieser Abschnitt enthält Anleitungen zur Konfiguration von Microsoft Active Directory Federation Services (ADFS) als SAML IDP für Cisco IQ mit Unterstützung passwortbasierter und PKI- (Public Key Infrastructure) oder zertifikatbasierter Authentifizierung.

Voraussetzungen für die Konfiguration von ADFS IDP SAML für SSO

• ADFS 6.0+ wird empfohlen
• Windows Server 2022+
• Konfigurierte AD-Integration mit Benutzerkonten
• SSL/TLS-Zertifikate auf dem ADFS-Server
• Administratorzugriff auf Cisco IQ
• Administratorzugriff auf den ADFS-Server (Windows Server)
• PowerShell-Zugriff auf ADFS-Server
• Netzwerkverbindung zwischen ADFS und Cisco IQ        
• Enterprise Certificate Authority (CA) (installiert oder erreichbar)
• Domain Administrator- oder Enterprise Administrator-Berechtigungen (nur für PKI erforderlich)
• Details zur ADFS-Serverkonfiguration (wie in der unten stehenden Tabelle aufgeführt)

Übersicht über den Authentifizierungsfluss

Posten	Beschreibung	Beispiel
Cisco IQ-FQDN	Hostname der Benutzerbereitstellung	<Ihr CIQ-FQDN> Beispiel: dev35-23.cx-xxx-xxx.cisco.com
ADFS-Server-URL	Benutzer ADFS-Serveradresse	https://<Ihr-ADFS-HOSTNAME> Beispiel: https://ad-fs.dev.local
Firmendomäne	E-Mail-Domäne	<Ihre Domäne>
AD-Gruppen	Domänennamen (DN) der Active Directory-Gruppe	CN=Rolle - CXIQ-Entwickler OU = Gruppen, DC = dev, DC = lokal
Zertifizierungsstellenname (PKI)	Name der Enterprise CA	<Ihr-Zertifizierungsstellenname>
Zertifikatauthentifizierungs-Port (PKI)	ADFS alternativer TLS-Port	49443
SSL-Zertifikatfingerabdruck	ADFS-Server SSL-Zertifikat	<Ihr SSL-CERT-THUMBPRINT>

Basiskonfiguration von ADFS-SAML

ADFS konfigurieren:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Identitätsanbieter aus. Die Seite "Identitätsanbieter" wird angezeigt.

Download-Optionen

2. Klicken Sie auf Öffentliches SP-Zertifikat herunterladen und auf SP-Metadaten herunterladen, um diese Dateien herunterzuladen.
3. Kopieren Sie die Dateien service-provider-metadaten.xml und service-provider-certificate.crt auf den ADFS-Server (z. B. C:\certs\), und speichern Sie sie.
4.  Melden Sie sich beim ADFS-Server an.
5. Klicken Sie im Menü ADFS Management (ADFS-Verwaltung) auf Relying Party Trusts (Vertrauenswürdige Partei).
6. Klicken Sie im Menü Vertrauenswürdige Partei auf Vertrauenswürdige Partei hinzufügen. Der neue Assistent wird geöffnet.
7. Klicken Sie auf das Optionsfeld Claims Aware (Ansprüche bekannt).
8. Klicken Sie auf Start, um mit der Konfiguration fortzufahren.
9. Klicken Sie auf Daten über die vertrauende Partei aus einer Datei importieren, um Details aus der Datei abzurufen, die als Teil von Schritt 3 gespeichert wird.
10. Klicken Sie auf Durchsuchen, um die Metadatendatei des Dienstanbieters auszuwählen und den Dateiupload abzuschließen.
11. Klicken Sie auf Next (Weiter).
12. Geben Sie einen Anzeigenamen ein (z. B. "Cisco IQ"), fügen Sie relevante Anmerkungen hinzu, und klicken Sie auf "Weiter".
13. Klicken Sie auf der Seite Choose Access Control Policy (Zugriffskontrollrichtlinie auswählen) auf Permit everyone (Alle zulassen) (oder auf die Richtlinie, die für die Sicherheitskonfiguration Ihres Unternehmens erforderlich ist).
14. Klicken Sie durch die übrigen Bildschirme auf Weiter.
15. Klicken Sie auf Schließen, um die Vertrauensstellungskonfiguration für die vertrauende Seite abzuschließen.

Problem: Wählen Sie "Jeden Benutzer mit MFA zulassen" aus.

Problemumgehung: Überprüfen Sie in PowerShell die aktuelle Richtlinie, indem Sie den folgenden Befehl ausführen.

Get-AdfsRelyingPartyTrust -Name "<YOUR-RP-NAME>").AccessControlPolicyName

Führen Sie den folgenden Befehl aus, um "Allow everyone" (Alle zulassen) festzulegen (keine MFA-Anforderung):

Set-AdfsRelyingPartyTrust -TargetName "<YOUR-RP-NAME>" -AccessControlPolicyName "Jeden zulassen"

Sie können die Vertrauensstellung auch über PowerShell erstellen:

Add-AdfsRelyingPartyTrust `

  -Name "<IHR-RP-NAME>" `

  -Identifier "<IHRE-SP-ENTITY-ID>" `

  -SamlEndpoint (New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer -Uri "<YOUR-ACS-URL>") `

  -AccessControlPolicyName "Jeden zulassen" `

  -IssuanceAuthorizationRules '=> issue(Type = "http://schemas.microsoft.com/authorization/claims/permit", Value = "true");

ADFS-Anspruchsregeln konfigurieren

Führen Sie zum Konfigurieren der ADFS-Anspruchsregeln die in den folgenden Abschnitten aufgeführten Schritte aus.

Erforderliche Forderungen

Die erforderlichen Ansprüche finden Sie in der folgenden Tabelle.

Erforderliche Forderungen

Forderung	Zweck	Quelle
E-Mail	Benutzer-ID	AD-Mail
Anzeigename	Vollständiger Name des Benutzers	AD-Anzeigename
UPN	PKI/Zertifikatauthentifizierung	ADFS ordnet das Clientzertifikat einem AD-Benutzer über UPN zu.
NameID	SAML-Betreff	Aus E-Mail umgewandelt
Gruppen	Rollenbasierter Zugriff	AD-Gruppenmitgliedschaft (memberOf)

Anspruchsregeln anwenden

1. Definieren Sie den Namen Ihres Vertrauens der vertrauenden Partei (z. B. "Cisco IQ - Production").

 $relyingPartyName = "Ihr-RP-Name"

2. Definieren Sie Anspruchsregeln, um Benutzerinformationen und die Gruppenmitgliedschaft an Cisco IQ zu senden.

$claimRules = @'

@RuleTemplate = "LDAP-Ansprüche"

@RuleName = "E-Mail und Namen senden"

c:[Geben Sie == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY" ein.]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress", "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"), query = ";mail,displayName;{0}", param = c.Value);

@RuleTemplate = "LDAP-Ansprüche"

@RuleName = "UPN senden"

c:[Geben Sie == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY" ein.]

 => issue(store = "Active Directory",

    types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"),

    query = ";userPrincipalName;{0}", param = c.Value);

@RuleName = "E-Mail in NameID umwandeln"

c:[Geben Sie == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress" ein.]

 => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",

    Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType,

    Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");

@RuleName = "Gruppenmitgliedschaft senden"

c:[Geben Sie == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY" ein.]

 => issue(store = "Active Directory",

    types = ("http://schemas.xmlsoap.org/claims/Group"),

    query = ";memberOf;{0}", param = c.Value);

'@

3. Wenden Sie die Anspruchsregeln an, indem Sie den folgenden Befehl ausführen:

Set-AdfsRelyingPartyTrust -TargetName $relyingPartyName -IssuanceTransformRules $claimRules

Write-Host "Anspruchsregeln erfolgreich konfiguriert!" -Vordergrundfarbe Grün

Um die E-Mail-Adresse eines Benutzers zu aktualisieren, führen Sie den folgenden PowerShell-Befehl aus:

Set-ADUser -Identity "<USERNAME>" -EmailAddress "<USER-EMAIL>"

Überprüfen von Benutzergruppen

1. Geben Sie den folgenden Befehl ein, um die Gruppenmitgliedschaft des Benutzers zu überprüfen:

$username = "username"

2. Führen Sie die folgenden Befehle aus, um das Benutzerkonto zu finden:

$searcher = [adsisearcher]"(samaccountname=$username)"

$user = $searcher.FindOne()

3. Anzeigen der Gruppen, zu denen der Benutzer gehört, mithilfe des folgenden Befehls:

$user.Properties.Memberof

Beispiel:

CN=Role - CXIQ Entwickler,OU=Rollengruppen,DC=dev,DC=local

Konfigurieren von ADFS, um dem SP-Signaturzertifikat zu vertrauen

1. Importieren Sie das SP-Zertifikat im ADFS-Server in den TrustedPeople-Speicher:

Import-Certificate -FilePath "C:\certs\service-provider-certificate.crt" -CertStoreLocation "Cert:\LocalMachine\TrustedPeople"

2. Wählen Sie eine der folgenden Optionen aus:

• Globale Kettenvalidierung für diese vertrauende Partei deaktivieren

Set-AdfsRelyingPartyTrust"

    -TargetIdentifier "<Ihr_sp_entity_id>" `

    -SigningCertificateRevocationCheck Keine `

    -EncryptionCertificateRevocationCheck Keine

• Wenn das SP-Zertifikat von einer Zertifizierungsstelle ausgestellt wurde (nicht selbstsigniert), importieren Sie das ausstellende Zertifizierungsstellenzertifikat in den Stammzertifikatspeicher.

Import-Certificate -FilePath "C:\certs\issuing-ca.cer" -CertStoreLocation "Cert:\LocalMachine\Root"

3. Wenden Sie die Änderungen an, indem Sie den ADFS-Dienst neu starten.

ADFSrv für Neustart-Service

PKI-/Zertifikatauthentifizierung einrichten

In diesem Abschnitt wird beschrieben, wie Sie zertifikatbasierte (d. h. Smartcard- oder Softwarezertifikate) Authentifizierung neben Kennwörtern hinzufügen. Dieser Abschnitt kann übersprungen werden, wenn eine nur mit einem Kennwort durchgeführte Authentifizierung ausreichend ist.

Installieren der AD CS CA-Rolle

So installieren Sie die Zertifizierungsstellenrolle "AD Certificate Services (CS)":

1. Überprüfen Sie, ob in Ihrer Domäne bereits eine Enterprise CA vorhanden ist, indem Sie den folgenden Befehl ausführen:

certutil -config - -ping

Wenn der Befehl eine gültige Antwort zurückgibt, können Sie den Rest dieses Abschnitts überspringen. Ihre Umgebung ist bereits konfiguriert. Wenn der Befehl anzeigt, dass keine CA gefunden wurde, fahren Sie mit Schritt 2 fort.

2. Installieren Sie die Zertifizierungsstellenrolle, indem Sie den folgenden Befehl ausführen:

install-WindowsFeature AD-Zertifikat -IncludeManagementTools

3. Konfigurieren Sie die CA-Rolle mit dem folgenden Befehl:

Install-AdcsCertificationAuthority `

    -CAType EnterpriseRootCA `

    -CACommonName "<IHR-CA-NAME>" `

    -KeyLength 2048 `

    -HashAlgorithmName SHA256 `

    -CryptoProviderName "RSA#Microsoft Software Key Storage Provider" `

    -ValidityPeriod Jahre `

    -ValidityPeriodUnits 10 `

    - Force

4. Überprüfen Sie die Installation, indem Sie den folgenden Befehl ausführen:

certutil -ca

5. Bestätigen Sie mit dem folgenden Befehl, dass der Dienst aktiv und erreichbar ist:

certutil -config - -ping

Konfigurieren einer Zertifikatvorlage

So konfigurieren Sie eine Zertifikatvorlage mit der erweiterten Clientauthentifizierungsschlüsselverwendung (Client Authentication Enhanced Key Usage, EKU):

1. Öffnen Sie certsrv.msc, und erweitern Sie den CA-Knoten.
2. Klicken Sie mit der rechten Maustaste auf Zertifikatvorlagen > Verwalten.
3. Duplizieren Sie die Benutzervorlage.

4. Konfigurieren Sie die Einstellungen auf den folgenden Registerkarten:

• Allgemein: Geben Sie "CIQ User Authentication" in das Feld Name mit einer Gültigkeitsdauer von einem (1) Jahr ein.
• Anforderungsverarbeitung: Wählen Sie Signatur und Verschlüsselung aus der Dropdown-Liste Zweck aus, und aktivieren Sie das Kontrollkästchen Privaten Schlüssel exportieren zulassen.
• Betreffname: Wählen Sie Aus Active Directory-Informationen erstellen aus, und fügen Sie eine E-Mail in die Felder Betreff und SAN ein.

Warnung: Die Felder Betreff und SAN müssen den Benutzerprinzipalnamen (User Principal Name, UPN) oder eine E-Mail enthalten, die mit einem AD-Konto übereinstimmt. ADFS ordnet das Zertifikat mithilfe dieser Felder einem AD-Benutzer zu.

• Durchwahlen: Stellen Sie sicher, dass die Anwendungsrichtlinien "Client Authentication (1.3.6.1.5.5.7.3.2)" enthalten.
• Sicherheit: Hinzufügen von Domänenbenutzern und Gewähren von Lese- und Registrierungsberechtigungen

5. Veröffentlichen Sie die Vorlage mit dem folgenden Befehl:

Add-CATemplate -Name "CIQUserAuthentication" -Force

Registrieren eines Benutzerzertifikats

1. Melden Sie sich als Zielbenutzer an.
2. Registrieren Sie das Zertifikat mit dem folgenden Befehl:

certreq -enroll -user "CIQUserAuthentication"

3. Überprüfen Sie die Zertifikatinstallation, indem Sie den folgenden Befehl ausführen:

Get-ChildItem-Zertifikat:\CurrentUser\My | Where-Object {

    $_.EnhancedKeyUsageList.ObjectId - enthält "1.3.6.1.5.5.7.3.2"

} | Format-Tabellenbetreff, Fingerabdruck, NotAfter -AutoSize

Exportieren eines Benutzerzertifikats aus Windows und Installieren auf dem Client (Mac)

So exportieren Sie ein Benutzerzertifikat von Windows nach Mac:

1. Exportieren Sie das Zertifikat von Windows als PFX-Datei, indem Sie die folgenden Befehle ausführen:

$cert = Get-ChildItem-Zertifikat:\CurrentUser\My | Where-Object { $_.Subject -like "*<BENUTZERNAME>*" }

$password = ConvertTo-SecureString -String "<EXPORT-PASSWORD>" -Force -AsPlainText

Export-PfxCertificate -Cert $cert -FilePath "C:\temp\user-cert.pfx" -Password $password

2. Übertragen Sie die Datei user-cert.pfx auf Ihr Mac-Gerät.
3. Importieren Sie das Zertifikat in die Mac Keychain, indem Sie den folgenden Befehl ausführen:

security import user-cert.pfx -k ~/Library/Keychains/login.keychain-db -P "<EXPORT-PASSWORT>"

4. Vertrauen Sie der Zertifizierungsstelle auf dem Mac, indem Sie Folgendes ausführen:

sudo security add-trusted-cert -d -r trustRoot \

    -k /Library/Keychains/System.keychain ca-certificate.cer

Endpunkte für die Authentifizierung mit ADFS-Zertifikaten aktivieren

So aktivieren Sie Endpunkte für die ADFS-Zertifikatauthentifizierung:

1. Aktivieren Sie die erforderlichen ADFS-Zertifikatendpunkte, indem Sie die folgenden Befehle ausführen:

Enable-AdfsEndpoint - TargetAddressPath/adfs/services/trust/2005/certificate

Enable-AdfsEndpoint - TargetAddressPath/adfs/services/trust/2005/certificatetransport

Enable-AdfsEndpoint - TargetAddressPath/adfs/services/trust/13/certificate

Enable-AdfsEndpoint: TargetAddressPath/adfs/services/trust/13/certificatetransport

2. Stellen Sie sicher, dass alle Endpunkte aktiviert sind, indem Sie den folgenden Befehl ausführen:

Get-AdfsEndpunkt | Where-Object { $_.AddressPath -like "*cert*" } |

    Format-Tabelle AddressPath, Enabled, Proxy -AutoSize

Aktivieren der Zertifikatauthentifizierung als primäres Kriterium

So aktivieren Sie die Zertifikatsauthentifizierung als primäre Authentifizierung:

1. Konfigurieren Sie die primären Authentifizierungsanbieter für den Intranet- und Extranet-Zugriff mithilfe des folgenden Befehls:

Set-AdfsGlobalAuthenticationPolicy `

  -PrimaryIntranetAuthenticationProvider @("CertificateAuthentication", "WindowsAuthentication", "FormsAuthentication", "MicrosoftPassportAuthentication") `

  -PrimaryExtranetAuthenticationProvider @("CertificateAuthentication", "FormsAuthentication", "MicrosoftPassportAuthentication")

2. Stellen Sie mithilfe der folgenden Befehle sicher, dass beide Listen CertificateAuthentication und FormsAuthentication enthalten:

(Get-AdfsGlobalAuthenticationPolicy).PrimaryIntranetAuthenticationProvider

(Get-AdfsGlobalAuthenticationPolicy).PrimaryExtranetAuthenticationProvider

3. Überprüfen Sie die aktuelle TLS-Client-Port-Konfiguration mit dem folgenden Befehl:

Get-AdfsEigenschaften | Select-Object HostName, HttpsPort, TlsClientPort

4. Wenn TlsClientPort nicht 49443 ist, aktualisieren Sie den Port, und starten Sie den ADFS-Dienst mithilfe der folgenden Befehle neu:

Set-AdfsProperties -TlsClientPort 49443

ADFSrv für Neustart-Service

SChannel/TLS-Korrekturen (WICHTIG für PKI)

Mit den Schritten in den folgenden Abschnitten werden CERT_E_UNTRUSTEDROOT-Fehler (0x800B0109) behoben, die die Zertifikatauthentifizierung verhindern.

Binden von SSL-Zertifikaten an Port 49443

SSL-Zertifikate an Port 49443 binden:

1. Entfernen Sie alle vorhandenen SSL-Zertifikatsbindungen auf Port 49443, indem Sie den folgenden Befehl verwenden:

netsh http delete sslcert hostnamePort=<IHR-ADFS-HOSTNAME>:49443

2. Erstellen Sie eine neue Bindung mit aktivierter Clientzertifikataushandlung, indem Sie den folgenden Befehl verwenden:

netsh http add sslcert hostnamePort=<IHR-ADFS-HOSTNAME>:49443 `

    certhash=<IHR-SSL-CERT-THUMBPRINT> `

    appid="{5d89a20c-beab-4389-9447-324788eb944a}" `

    certstorename=MY `

    clientcertnegotiation=enable `

    verifyclientcertrevocation=disable

3. Überprüfen Sie, ob die Client-Zertifikataushandlung mit dem folgenden Befehl aktiviert ist:

netsh http show sslcert hostnamePort=<IHR-ADFS-HOSTNAME>:49443

Löschen des Zertifikatspeichers (KRITISCH)

So bereinigen Sie den Zertifikatspeicher:

1. Identifizieren Sie nicht selbstsignierte Zertifikate im Speicher für vertrauenswürdige Stammverzeichnisse, indem Sie den folgenden Befehl ausführen:

$bad = Get-ChildItem-Zertifikat:\LocalMachine\Root | Where-Object { $_.Issuer -ne $_.Subject }

$ schlecht | ForEach-Object { Write-Host "PROBLEM: $($_.Subject) | Aussteller: $($_.Issuer)" - Vordergrundfarbe Rot }

2. Verschieben Sie diese Zertifikate in den Zwischenspeicher der Zertifizierungsstelle, indem Sie den folgenden Befehl ausführen:

$ schlecht | Move-Item -Zielzertifikat:\LocalMachine\CA

Write-Host "Moved $($bad.Count) cert(s) from Root to Intermediate CA store" - ForegroundColor Grün

3. Vergewissern Sie sich, dass keine nicht selbstsignierten Zertifikate im Speicher für vertrauenswürdige Stammverzeichnisse verbleiben, indem Sie den folgenden Befehl ausführen:

Get-ChildItem-Zertifikat:\LocalMachine\Root | Where-Object { $_.Issuer -ne $_.Subject }

SChannel-Registrierungsreparaturen (KRITISCH)

So konfigurieren Sie die SChannel-Registrierungseinstellungen, um eine ordnungsgemäße Zertifikatsauthentifizierung sicherzustellen:

1. Definieren Sie die Registrierungspfadvariable mit dem folgenden Befehl:

$regPath = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL"

2. Wenden Sie die in der Tabelle unten definierten Registrierungseinstellungen mithilfe der folgenden Befehle an:

Set-ItemProperty -Path $regPath -Name "ClientAuthTrustMode" -Value 2 -Type DWord

Set-ItemProperty -Path $regPath -Name "SendTrustedIssuerList" -Value 0 -Type DWord

SChannel-Registrierungseinstellungen

Einstellung	Wert	Zweck
ClientAuthTrustMode	2	Aktiviert exklusive Zertifizierungsstellenvertrauensstellung, um den Standardüberprüfungspfad zu korrigieren.
VertrauenswürdigeAusstellerlisteSenden	0	Verhindert, dass der Server während des TLS-Handshakes die vollständige Liste vertrauenswürdiger Aussteller sendet.

Überprüfen des Zertifizierungsstellen-Zertifikatspeichers

So überprüfen Sie den Zertifikatspeicher der Zertifizierungsstelle:

Anmerkung: Das Zertifizierungsstellenzertifikat, das Benutzerzertifikate ausgibt, muss im SystemCertificates\Root-Speicher vorhanden sein, um sicherzustellen, dass es richtig erkannt wird.

1. Definieren Sie den Fingerabdruck Ihres Zertifizierungsstellenzertifikats mit dem folgenden Befehl:

$caThumbprint = "<IHR-CA-CERT-THUMBPRINT>"

2. Vergewissern Sie sich, dass das Zertifizierungsstellenzertifikat bereits im Speicher LocalMachine\Root vorhanden ist. Verwenden Sie hierzu den folgenden Befehl:

$exist = Testpfad "HKLM:\SOFTWARE\Microsoft\SystemCertificates\Root\Certificates\$caThumbprint"

Wenn das Zertifikat nicht gefunden wird, importieren Sie es in den LocalMachine\Root-Speicher:

if (-not $exist) {

    Import-Certificate -FilePath "C:\certs\<YOUR-CA-CERT>.cer" `

        -CertStoreLocation "Zertifikat:\LocalMachine\Root"

}

Neustarten des ADFS-Servers (OBLIGATORISCH)

Starten Sie den ADFS-Server mit dem folgenden Befehl neu:

Neustart - Computer erzwingen

ADFS-Metadaten exportieren

Sie können Ihre ADFS-Metadaten entweder über PowerShell oder Ihren Webbrowser herunterladen.

PowerShell

So exportieren Sie ADFS-Metadaten mit PowerShell:

1. Öffnen Sie PowerShell auf Ihrem ADFS-Server.
2. Führen Sie die folgenden Befehle aus, um die Metadatendatei herunterzuladen.

$metadatenUrl = (Get-AdfsEndpoint) | Where-Object {$_.Protocol -eq "Verbundmetadaten"}).FullUrl

Invoke-WebRequest -Uri $metadatenUrl.AbsoluteUri -OutFile "C:\temp\adfs-metadata.xml"

Write-Host "ADFS-Metadaten nach C:\temp\adfs-metadata.xml exportiert" - ForegroundColor Green

Nach der Ausführung der Befehle wird die Metadatendatei unter C:\temp\adfs-metadata.xml gespeichert.

Webbrowser

So exportieren Sie ADFS-Metadaten mit einem Webbrowser:

1. Navigieren Sie zu https://<your-adfs-server>/FederationMetadata/2007-06/FederationMetadata.xml, und ersetzen Sie "<your-adfs-server>" durch den Hostnamen Ihres ADFS-Servers.
2. Speichern Sie die XML-Metadatendatei auf Ihrem Computer, wenn Sie dazu aufgefordert werden.

Konfiguration im Cisco IQ

Konfiguration auf Cisco IQ:

1. Übertragen Sie adfs-metadaten.xml auf Ihre Workstation.
2. Navigieren Sie in Cisco IQ zu Systemeinstellungen > Systemkonfiguration > Identitätsanbieter.
3. Laden Sie die ADFS-Metadatendatei hoch, um das IDP-Zertifikat, die Element-ID und die SSO-URL automatisch zu extrahieren.
4. Speichern Sie die Konfiguration.

Hinzufügen von ADFS IDP

1. Klicken Sie auf der Seite Identitätsanbieter auf Identitätsanbieter hinzufügen.
2. Geben Sie den Namen des Identitätsanbieters ein. 
3. Geben Sie die Domäne(n) ein (z. B. company.com).
4. (Optional) Aktivieren Sie ggf. die Umschalttaste Enable single logout (Einmaliges Abmelden aktivieren).
5. Ziehen Sie die aus der IDP-Anwendung erhaltene SAML-Metadatendatei per Drag-and-Drop in das Feld Upload IDP Metadata (IDP-Metadaten hochladen).
6. Klicken Sie auf Speichern.

Konfigurieren der Rollenzuordnung für Systemrollen

Bevor Sie mit der Konfiguration der Rollenzuordnung fortfahren, stellen Sie sicher, dass Sie Gruppen von AD finden, die für die Zuordnung verwendet werden sollen. Führen Sie den folgenden PowerShell-Befehl aus, um Gruppen aus AD zu suchen:

$searcher = New-Object DirectoryServices.DirectorySearcher

$searcher.Filter = "(&(objectClass=group)(cn=Role - CXIQ*)"

$searcher.PropertiesToLoad.Add("DistinguishedName") | Aus Null

$searcher.PropertiesToLoad.Add(cn) | Aus Null

$searcher.FindAll() | ForEach-Object { $_.Properties["DistinguishedName"] }

Das System fragt AD direkt über das Lightweight Directory Access Protocol (LDAP) ab und benötigt keine zusätzlichen Module. Die Gruppeninformationen werden im vollständigen Distinguished Name-Format zurückgegeben, z. B.:

CN=Role - CXIQ Developers, OU=Groups, DC=dev, DC=example, DC=com CN=Role - CXIQ Viewers, OU=Groups, DC=dev, DC=example, DC=com

Wenn die erforderlichen Gruppen nicht aufgeführt sind, müssen sie von einem Kontoadministrator in AD erstellt werden, bevor Sie die ADFS-Rollenzuordnung abschließen können.

So konfigurieren Sie die Rollenzuordnung:

Rollenzuordnung

1. Wählen Sie aus dem hinzugefügten IDP das Symbol More Options (Weitere Optionen) > Map Roles (Rollen zuordnen). Die Seite Benutzerrollen zuordnen wird angezeigt.

Rollenzuordnung

2. Geben Sie eine IDP-Rolle für die ausgewählte Systemrolle ein. Folgende Systemrollen werden unterstützt:

• Allgemeiner Kontoadministrator: Der allgemeine Kontoadministrator verfügt über alle Berechtigungen zum Ausführen aller Aktionen im Produkt. Die IDP-Rolle (analysierter Name) lautet CXIQ Admins.
• Allgemeine Kontoanzeige: Die allgemeine Kontoanzeige verfügt über schreibgeschützten Zugriff. Die IDP-Rolle (analysierter Name) ist CXIQ-Entwickler und CXIQ-Viewer.

Anmerkung: Verwenden Sie analysierte Namen (z. B. CXIQ-Entwickler) und keine vollständigen DNs.

3. Klicken Sie auf Speichern. Der Status wird auf Erfolgreich aktualisiert.

SChannel-Clientzertifikattest

Öffnen Sie ein neues PowerShell-Fenster, und führen Sie den folgenden Befehl aus, um zu überprüfen, ob SChannel ordnungsgemäß für die Annahme von Client-Zertifikaten konfiguriert ist:

curl.exe —insecure `

  —cert "CurrentUser\My\<YOUR-USER-CERT-THUMBPRINT>" `

  -v "https://<IHR-ADFS-HOSTNAME>:49443/adfs/ls/"

Die erwartete Ausgabe ist eine HTTP-Antwort (z. B. eine Umleitung oder die ADFS-Seite). Tritt ein TLS-Handshake-Fehler auf, ist die Verbindung fehlgeschlagen.

End-to-End-Browsertest für PKI-Fluss

Bevor Sie mit End-to-End-Browser-Tests für den PKI-Fluss beginnen, stellen Sie sicher, dass das Benutzerzertifikat in MacOS Keychain installiert ist (siehe Importieren des Benutzerzertifikats auf dem Client-Computer (MacOS)). So testen Sie:

1. Navigieren Sie zur SAML-Anmelde-URL der Anwendung. Das ADFS stellt die Zertifikat- und Kennwortoptionen dar.
2. Wählen Sie Zertifikatsauthentifizierung aus.  Der Browser fordert Sie zur Eingabe des Zertifikats auf.
3. Zertifikat hochladen Das ADFS authentifiziert den Benutzer, leitet die Anforderung mit einer SAML-Antwort um und erstellt eine neue Sitzung.

End-to-End-Browser-Tests auf Passwortfluss

Bevor Sie mit dem End-to-End-Browsertest für den Kennwortfluss beginnen:

1. Navigieren Sie zur SAML-Anmelde-URL der Anwendung. Das ADFS stellt die Zertifikat- und Kennwortoptionen dar.
2. Wählen Sie Kennwort/Formularauthentifizierung aus.  
3. Geben Sie einen Benutzernamen ein.
4. Geben Sie ein Passwort ein.
5. Überprüfen Sie, ob die Anmeldung erfolgreich war.

Anmerkung: Beide Datenflüsse müssen gleichzeitig funktionieren.

Fehlerbehebung bei ADFS-Problemen

In der folgenden Liste werden häufige Probleme und mögliche Lösungen beschrieben, um Probleme im Zusammenhang mit dem ADFS-Status, Zertifikatfehlern, SSO-Anmeldefehlern und der SLO-Konfiguration schnell zu identifizieren und zu beheben.

 ADFS-Probleme

Problem	Symptome / Beschreibung	Ursachen/Prüfungen/Problemumgehungen und Korrekturen
Nicht extrahierte Gruppen	Keine Rollen nach der Anmeldung	Anspruchsregel fehlt: Führen Sie die Anweisungen unter Konfigurieren der ADFS-Anspruchsregeln erneut aus.
Entschlüsselung fehlgeschlagen	Fehler beim Entschlüsseln der Assertion in Protokollen.	Konfiguration der ADFS-Zertifikatkonfiguration überprüfen
Anmelde-Schleife	In Authentifizierungs- oder Anmelde-Schleife feststecken	● Ungültige ACS-URL: Überprüfung: https://your-fqdn/saml/acs ● Cookie-Diskrepanz: Browser-Cookies auf die richtige Domain überprüfen

Diagnosebefehle zur Fehlerbehebung

Um eine erfolgreiche Integration zwischen Ihrer ADFS-Umgebung und Cisco IQ sicherzustellen, verwenden Sie die folgenden Diagnosebefehle. Mit diesen Befehlen können der Zugriff auf Metadaten, die Zertifikatkonfigurationen und die Endpunkteinstellungen überprüft werden.

• Zugänglichkeit von ADFS-Metadaten überprüfen: bestätigt, dass die ADFS-Verbundmetadaten erreichbar und öffentlich zugänglich sind; Dies ist ein wichtiger Schritt zur Einrichtung des anfänglichen Vertrauens.

curl -k https://<Ihre-adfs-Domäne>/FederationMetadata/2007-06/FederationMetadata.xml

• Validieren Sie das Verschlüsselungszertifikat: Stellt sicher, dass das richtige Verschlüsselungszertifikat mit dem Cisco IQ Relying Party Trust verknüpft ist

Get-AdfsRelyingPartyTrust - Name "Cisco IQ - Produktion" | Select-Object EncryptionCertificate | Formatliste

• Überprüfen der SAML-Endpunktkonfiguration: Überprüft, ob die SAML-Endpunkte für die Cisco IQ-Vertrauensstellung richtig konfiguriert sind und Authentifizierungsanforderungen und -assertionen an die erwarteten URLs weitergeleitet werden

Get-AdfsRelyingPartyTrust - Name "Cisco IQ - Produktion" | Select-Object SamlEndpoints

Microsoft Entra ID SAML-Konfiguration für SSO

Dieser Abschnitt enthält Anleitungen zur Konfiguration der Microsoft Entra ID (Entra ID) als SAML IDP für Cisco IQ und unterstützt sowohl kennwortbasierte als auch PKI oder Certificate-Based Authentication (CBA).

Voraussetzungen für die Konfiguration von Entra ID SAML für SSO

• Entra ID-Tenant (z. B. "ciqtestdev.onmicrosoft.com")
• Globaler Administrator oder Anwendungsadministrator mit Rollenzugriff auf Cisco IQ
• Verbindung zwischen Entra ID (Cloud) und Cisco IQ
• Enterprise CA installiert oder erreichbar (nur für PKI erforderlich)
• CRL-Verteilungspunkt (Certificate Revocation List), der über das Internet erreichbar ist (nur für PKI erforderlich)

Konfiguration des Entra-ID-Servers

Posten	Beschreibung	Beispiel
Tenant-ID	Tenant-ID (Eingabe)	37352d8f-0ebe-4762-8161-8775ffe897cb
Cisco IQ-FQDN	Bereitstellungs-Hostname	<IHR CIQ-FQDN>
ID der IDP-Einheit	URL des Einwahl-Ausstellers	https://sts.windows.net/<TENANT-ID>/
IDP SSO-URL	SAML-Anmeldeendpunkt	https://login.microsoftonline.com/<TENANT-ID>/saml2
Firmendomäne	E-Mail-Domäne für Benutzer	<IHRE-DOMÄNE>

Konfiguration der Entra ID SAML-Anwendung

Erstellen einer Unternehmensanwendung

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Identität > Anwendungen > Unternehmensanwendungen.
3. Klicken Sie auf Neue Anwendung > Eigene Anwendung erstellen.
4. Geben Sie den Namen ein (z. B. "Cisco IQ").
5. Wählen Sie Alle anderen Anwendungen integrieren, die Sie nicht in der Galerie finden (Nicht-Galerie).
6. Klicken Sie auf Erstellen.

Konfigurieren der SAML-einmaligen Anmeldung

Um die SAML Single Sign-On zu konfigurieren, müssen Sie die SP-Metadatendatei hochladen. Sie können es erhalten, indem Sie die folgenden Schritte von VA ausführen:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Identitätsanbieter aus. Die Seite "Identitätsanbieter" wird angezeigt.

Download-Optionen

2. Klicken Sie auf SP-Metadaten herunterladen, um sie herunterzuladen. Diese heruntergeladene SP-Metadatendatei wird hochgeladen, um die Konfiguration der einmaligen Anmeldung (Single Sign-on, SAML) abzuschließen.
3. Klicken Sie auf die Schaltfläche Metadatendatei hochladen, um die SP-Metadatendatei hochzuladen. Die Daten aus der Metadatendatei des SP werden nach dem erfolgreichen Upload automatisch im SAML-basierten Bildschirm für einmalige Anmeldung angezeigt.

Sie können diese Angaben auch manuell eingeben, um die Einstellungen für die einmalige Anmeldung zu konfigurieren. So konfigurieren Sie die SAML-einmalige Anmeldung manuell:

1. Navigieren Sie in der Enterprise-Anwendung zu Single Sign-On, und wählen Sie SAML.
2. Klicken Sie im Abschnitt SAML-Basiskonfiguration auf Bearbeiten, und geben Sie Folgendes ein:

• Kennung (Element-ID): <IHR CIQ-FQDN>
• Antwort-URL (ACS-URL): https://<YOUR-CIQ-FQDN>/saml/acs
• Anmelde-URL: https://<YOUR-CIQ-FQDN>/saml/login
• Abmelde-URL: https://<YOUR-CIQ-FQDN>/saml/logout

3. Klicken Sie auf Speichern.

4. Um SAML-Attribute und -Ansprüche zu konfigurieren, klicken Sie im Abschnitt Attribute und Ansprüche auf Bearbeiten.
5. Konfigurieren Sie die folgenden Ansprüche:

Erforderliche SAML-Ansprüche

Forderung	Quellattribut	Namespace
Eindeutige Benutzerkennung (NameID)	user.userprincipalname	*(Standard)*
Email-Adresse	Benutzer.Mail	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
Givenname	user.givenname	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
Nachname	Benutzer.Nachname	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
name	user.userprincipalname	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
Gruppen	user.assignedroles	(LEER — leerer Namespace)

 

Konfigurieren von App-Rollen

App-Rollen werden in der App-Registrierung konfiguriert (nicht in der Enterprise-Anwendung). So konfigurieren Sie Anwendungsrollen:

1. Navigieren Sie zu Identität > Anwendungen > App-Registrierungen.
2. Suchen Sie Ihre Anwendung aus und wählen Sie sie aus.
3. Gehen Sie zu App-Rollen > App-Rolle erstellen.
4. Konfigurieren Sie für jede erforderliche Rolle Folgendes:

• Anzeigename: Cisco IQ-Administratoren beispielsweise
• Zulässige Membertypen: Benutzer/Gruppen
• Wert: Cisco IQ-Administratoren beispielsweise
• Beschreibung: Beispielsweise Cisco IQ-Administratoren

5. Klicken Sie auf Anwenden.

Anstelle von Gruppenansprüchen werden aus folgenden Gründen App-Rollen verwendet:

• Nur-Cloud-Tenants können Gruppen-Anzeigenamen ohne P1- oder P2-Lizenz nicht senden.
• sAMAccountName funktioniert nur für Gruppen, die von lokalen AD synchronisiert werden
• Die Group ID-Quelle sendet UUIDs (Universally Unique Identifier), deren Zuordnung schwierig ist.
• App-Rollen senden exakte Zeichenfolgenwerte, die den Erwartungen der Cisco IQ-Rolle entsprechen

Zuweisen von Benutzern zu Anwendungsrollen

So weisen Sie Benutzern App-Rollen zu:

1. Gehen Sie zurück zu Enterprise Application > Users and groups.
2. Klicken Sie auf Benutzer/Gruppe hinzufügen.
3. Wählen Sie die Benutzer aus, und weisen Sie die entsprechende App-Rolle zu.
4. Klicken Sie auf Zuweisen. Rollenwerte werden im SAML-Assertionsgruppenattribut als lesbare Zeichenfolgen angezeigt.

IDP-Metadaten und -Zertifikat herunterladen

IDP-Metadaten und -Zertifikate herunterladen:

1. Wählen Sie in der Enterprise-Anwendung Single Sign-On > SAML Signing Certificate aus.
2. Verbundmetadaten-XML herunterladen (als entra-id-metadaten.xml speichern).

ODER

Laden Sie das Zertifikat (Base64) für die manuelle Zertifikatseingabe herunter.

3. Beachten Sie die folgenden Werte aus dem Abschnitt Einrichtung:

• Anmelde-URL (IDP SSO-URL)
• Azure AD Identifier (IDP Entity ID)
• Abmelde-URL (IDP SLO-URL)

Hinzufügen von Entra ID IDP

So fügen Sie Entra ID IDP hinzu:

1. Melden Sie sich bei VA als Kontoadministrator an.
2. Navigieren Sie zu Systemeinstellungen > Systemkonfiguration > Identitätsanbieter.
3. Klicken Sie auf Identitätsanbieter hinzufügen.
4. Geben Sie den Namen des IDP ein (z. B. "Entra ID").
5. Geben Sie die Domäne(n) ein (z. B. "ciqtestdev.onmicrosoft.com" oder Ihre Unternehmensdomäne).
6. (Optional) Aktivieren Sie ggf. die Umschaltfläche Single Logout aktivieren.
7. Ziehen Sie die Datei entra-id-metadates.xml, die von Entra ID abgerufen wurde, per Drag-and-Drop in das Feld Upload IDP Metadata (IDP-Metadaten hochladen).
8. Klicken Sie auf Speichern.

Konfigurieren der Rollenzuordnung

So konfigurieren Sie die Rollenzuordnung:

1. Wählen Sie aus dem hinzugefügten IDP das Symbol More Options (Weitere Optionen) > Map Roles (Rollen zuordnen). Die Seite Benutzerrollen zuordnen wird angezeigt.
2. Geben Sie eine IDP-Rolle für jede Systemrolle ein. Folgende Systemrollen werden unterstützt:

•  Systemrollen

Systemrolle	IDP-Rolle (Wert der App-Rolle)	Beschreibung
Allgemeiner_Account_Administrator	CXIQ-Administratoren	Vollständige Berechtigungen für alle Aktionen
Allgemeiner_Account_Viewer	CXIQ-Entwickler	Schreibgeschützter Zugriff
Allgemeiner_Account_Viewer	CXIQ-Viewer	Schreibgeschützter Zugriff

3. Klicken Sie auf Speichern. Der Status wird auf Erfolgreich aktualisiert.

Überprüfen des SAML-Ablaufs (Kennwortauthentifizierung)

So überprüfen Sie den SAML-Fluss:

1. Öffnen Sie einen Browser im Inkognito- oder Privat-Modus.
2. Navigieren Sie zu https://<YOUR-CIQ-FQDN>/saml/login.
3. Stellen Sie sicher, dass Sie zur Microsoft-Anmeldeseite weitergeleitet werden.
4. Authentifizieren Sie sich mit Ihren Anmeldeinformationen (und MFA, wenn konfiguriert).
5. Überprüfen Sie nach der Authentifizierung, ob Sie zurück zu /saml/acs geleitet werden und die Cisco IQ-Anwendung angezeigt wird.
6. Überprüfen Sie die Gruppenextraktion, indem Sie den folgenden Befehl ausführen:

kubectl -ncxx protokolliert Deployment/apisix — seit=5m | grep -E "Authentifizierung erfolgreich|Extrahierte Gruppe|Insgesamt Gruppen"

Erwartete Ausgabe

SAML 2.0-kompatible Authentifizierung erfolgreich für Benutzer: user@domain.com mit vollständigem Namen: K/A und 1 Gruppe

Extrahierte Gruppe: CXIQ-Administratoren (ursprünglich: CXIQ-Administratoren)

Insgesamt extrahierte Gruppen: 1

Konfigurieren der zertifikatbasierten Authentifizierung

In diesem Abschnitt wird beschrieben, wie Sie neben Kennwörtern auch eine CBA hinzufügen. Dieser Abschnitt kann übersprungen werden, wenn eine nur mit einem Kennwort durchgeführte Authentifizierung ausreichend ist.

Voraussetzungen für CBA

• Windows Server mit AD CS mit konfigurierter Enterprise-CA (z. B. "DEV-ADCS-CA")
•  PowerShell-Administratorzugriff auf dem CA-Server
• Zertifikat-UPN muss mit der Entra-ID userPrincipalName übereinstimmen
• Der Zugriff auf den CRL Distribution Point muss über das Internet möglich sein.

Erstellen einer Zertifikatvorlage in AD CS

1. Öffnen Sie certtmpl.msc auf dem Zertifizierungsstellenserver.
2. Duplizieren Sie die Benutzervorlage, und nennen Sie sie "EntraUserCert".
3. Konfigurieren Sie die Vorlage:

• Allgemein: Anzeigename EntraUserCert, Gültigkeit 1-2 Jahre
• Anforderungsverarbeitung: Zweck = Signatur und Verschlüsselung
• Betreffname: Wählen Sie in der Anforderung "Bedarfsdeckung"
• Durchwahlen: Die Anwendungsrichtlinien müssen die Clientauthentifizierung (1.3.6.1.5.5.7.3.2) umfassen.
• Sicherheit: Authentifizierten Benutzern Lese- und Registrierungsberechtigungen gewähren

4. Veröffentlichen Sie die Vorlage mit dem folgenden Befehl:

Add-CATemplate -Name "EntraUserCert" -Force

Anfordern und Ausstellen eines Benutzerzertifikats

1. Erstellen Sie eine INF-Datei (Certificate Configuration) (z. B. C:\entra-cert.inf) mithilfe des folgenden PowerShell-Skripts:

@"

[Version]

Signatur = "`$Windows NT`$"

[NeueAnfrage]

Subject = "CN=<USER-UPN>"

Schlüssellänge = 2048

KeySpec = 1:

KeyUsage = 0xa0

MachineKeySet = FALSE

ProviderName = "Microsoft RSA SChannel Cryptographic Provider"

RequestType = PKCS10

[Anforderungsattribute]

CertificateTemplate = EntraUserCert

[EnhancedKeyUsageExtension]

OID = 1.3.6.1.5.5.7.3.2

OID = 1.3.6.1.4.1.311.20.2.2

[Durchwahlen]

2.5.29.17 = "{text}"

_continue_ = "upn=<USER-UPN>&"

_continue_ = "email=<USER-UPN>"

"@ | Out-File -FilePath C:\entra-cert.inf -Encoding ASCII

2. Ersetzen Sie <USER-UPN> durch Ihre Entra-ID UPN (z. B. user@ciqtestdev.onmicrosoft.com).
3. Führen Sie zum Generieren des Zertifikats die folgenden Befehle aus:

certreq -new C:\entra-cert.inf C:\entra-cert.csr

4. Führen Sie den folgenden Befehl aus, um die Anforderung an die Zertifizierungsstelle zu senden:

certreq -submit -config "<CA-SERVER>\<CA-NAME>" C:\entra-cert.csr C:\entra-cert.cer

5. Führen Sie den folgenden Befehl aus, um das Zertifikat in der Zertifizierungsstelle zu installieren:

certreq -accept C:\entra-cert.cer

Exportieren von Zertifikaten

Führen Sie das folgende Skript aus, um das Benutzerzertifikat als PFX-Datei (für den Client) zu exportieren:

$cert = Get-ChildItem-Zertifikat:\CurrentUser\My | Where-Object { $_.Subject -like "*<USER-UPN>*" }

$password = ConvertTo-SecureString -String "<EXPORT-PASSWORD>" -Force -AsPlainText

Export-PfxCertificate -Cert $cert -FilePath C:\entra-cert.pfx -Password $password

Führen Sie das folgende Skript aus, um das Zertifikat für den Zertifizierungsstellen-Stamm (für die Entra-ID) zu exportieren:

Get-ChildItem-Zertifikat:\LocalMachine\Root | Where-Object { $_.Subject -like "*<CA-NAME>*" } |

  Select-Object -First 1 | Export-Certificate -FilePath C:\ca-root.cer -Type CERT

Benutzerzertifikat auf Client-Computer (MacOS) importieren

Führen Sie den folgenden Befehl aus, um das Benutzerzertifikat (PFX) zu importieren:

Sicherheitsimport /path/to/entra-cert.pfx -k ~/Library/Keychains/login.keychain-db -P "<EXPORT-PASSWORT>"

Führen Sie den folgenden Befehl aus, um das CA-Stammzertifikat zu importieren:

Sicherheitsimport /path/to/ca-root.cer -k ~/Library/Keychains/login.keychain-db

So legen Sie das Zertifizierungsstellenzertifikat auf Always Trust in Keychain Access fest:

1. Öffnen Sie Keychain Access.
2. Suchen Sie das Zertifizierungsstellenzertifikat, und klicken Sie auf Informationen abrufen.
3. Wählen Sie unter Vertrauenswürdig die Option Immer vertrauen aus.

Hochladen des CA-Stammzertifikats in die Entra-ID

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Schutz > Sicherheit > Zertifizierungsstellen.
3. Klicken Sie auf Hochladen, und wählen Sie die Datei ca-root.cer aus.
4. Markieren Sie es als Stammzertifikat der Zertifizierungsstelle.
5. Geben Sie die URL des Zertifikatsperrlisten-Verteilungspunkts ein (muss öffentlich erreichbar sein).

Aktivieren von CBA bei Entra-ID-Authentifizierungsmethoden

1. Navigieren Sie zu Schutz > Authentifizierungsmethoden > Richtlinien.
2. Klicken Sie auf Zertifikatsbasierte Authentifizierung, um sie zu konfigurieren.
3. Aktivieren Sie CBA, und fügen Sie die Zielbenutzer oder -gruppen hinzu.
4. Legen Sie unter Konfigurieren die Schutzstufe auf Einzelfaktor-Authentifizierung fest.

Konfigurieren der Benutzernamenbindung

Wechseln Sie in der CBA-Konfiguration zur Registerkarte Username binding, und legen Sie die folgende Bindung fest:

• Zertifikatfeld: PrincipalName
• Benutzerattribut: BenutzerPrincipalName

Dadurch wird der UPN im SAN (Subject Alternative Name) des Zertifikats dem Entra-ID-Benutzer zugeordnet.

Überprüfen des CBA-Datenflusses

1. Öffnen Sie einen Browser im Inkognito- oder Privat-Modus.
2. Navigieren Sie zu https://<YOUR-CIQ-FQDN>/saml/login.
3. Geben Sie auf der Anmeldeseite von Microsoft die E-Mail-Adresse des Benutzers ein, und klicken Sie auf Weiter.
4. Wählen Sie Zertifikat oder Smartcard verwenden (oder Sie werden automatisch dazu aufgefordert).
5. Wählen Sie das entsprechende Benutzerzertifikat aus, wenn der Browser zur Zertifikatauswahl auffordert.
6. Überprüfen Sie, ob die Entra-ID das Zertifikat validiert, mit einer SAML-Antwort umleitet und eine Sitzung erstellt.

Fehlerbehebung bei Entra-ID-Problemen

Die folgende Liste enthält allgemeine Probleme und mögliche Lösungen, um Probleme im Zusammenhang mit der Entra ID SAML-Konfiguration schnell zu identifizieren und zu beheben.

Fehlerbehebung

Problem	Ursache	Beheben
Ungültige SAML-Antwort - fehlende E-Mail	SAML-Assertion hat keine NameID oder kein E-Mail-Attribut	Überprüfen Sie die Entra ID-Anspruchskonfiguration (weitere Informationen finden Sie unter Konfigurieren der SAML-einmaligen Anmeldung). Überprüfen Sie, ob das E-Mail-Attribut des Benutzers ausgefüllt ist.
Insgesamt extrahierte Gruppen: 0	Gruppenansprüche nicht konfiguriert oder falsche Quelle	Verwenden Sie user.assignedroles als Quelle. Stellen Sie sicher, dass der Benutzer einer App-Rolle zugewiesen ist (weitere Informationen finden Sie unter Zuweisen von Benutzern zu App-Rollen).
Doppelte Gruppenansprüche	Sowohl user.groups als auch user.assignedroles aktiv	Entfernen Sie den user.groups-Anspruch. Behalten Sie nur user.assignedroles bei.
Gruppen werden als UUIDs angezeigt	Quellattribut ist "Gruppen-ID"	Verwenden Sie den Ansatz "Anwendungsrollen" (weitere Informationen finden Sie unter Konfigurieren von Anwendungsrollen).
Attributname zeigt langen URI an	Namespace-Feld ist nicht leer.	Löschen Sie das Feld Namespace in den Gruppenanspruchseinstellungen.
Ungültige SAML-Signatur	IdP-Zertifikat gedreht oder stimmt nicht überein	Laden Sie die Metadaten erneut von der Entra-ID herunter, und laden Sie sie erneut in Cisco IQ hoch.
ADSTS500191	CRL vom Internet aus nicht erreichbar	Veröffentlichen Sie die Zertifikatsperrliste unter einer öffentlich zugänglichen URL, oder verwenden Sie den selbstsignierten Zertifizierungsstellenansatz (weitere Informationen finden Sie unter CRL Workaround for Reachability Issues (Umgehung der Verfügbarkeit)).
Zertifikat nicht angefordert	Zertifikat nicht in Schlüsselbund, CA auf Client nicht vertrauenswürdig oder CBA nicht aktiviert	Vergewissern Sie sich, dass das Benutzerzertifikat in MacOS Keychain Access importiert wird (weitere Informationen finden Sie unter Import the User Certificate on Client Machine (MacOS)), CBA wird in Entra ID mit den erforderlichen Einstellungen aktiviert (weitere Informationen finden Sie unter Entra ID Authentication Methods unter Entra ID Authentication Methods) und Chrome wird neu gestartet, um Änderungen anzuwenden.
SAML-Assertion abgelaufen	Schrägstellung der Uhr zwischen den Systemen	Erhöhen Sie clock_skew_seconds in der Plugin-Konfiguration (der Standardwert ist 300; 30000 für die Übung verwenden)
Status "Unvollständig" in virtueller Appliance	Rollenzuordnung noch nicht konfiguriert	Vollständige Rollenzuordnung (weitere Informationen finden Sie unter Konfigurieren der Rollenzuordnung).

Umgehung der Sperrliste für Probleme mit der Erreichbarkeit

Wenn der CRL Distribution Point Ihrer Zertifizierungsstelle nicht über das Internet erreichbar ist (was in Laborinstallationen üblich ist), verwenden Sie eine selbstsignierte Zertifizierungsstelle ohne CRL-Anforderungen:

Triebwerkshülse

# Selbst signierte Zertifizierungsstelle erstellen

$rootCA = New-SelfSignedCertificate `

  -Betreff "CN=CIQ-Test-CA" `

  -CertStoreLocation "Cert:\CurrentUser\My" `

  -KeyUsage CertSign, CRLSign `

  -KeyLength 2048 `

  -NotAfter (Get-Date).AddYears(5) `

  -TextExtension @("2.5.29.19={text}ca=TRUE")

# Erstellen eines von der Zertifizierungsstelle signierten Benutzerzertifikats

$userCert = New-SelfSignedCertificate `

  -Betreff "CN=<USER-UPN>" `

  -CertStoreLocation "Cert:\CurrentUser\My" `

  -Signierer $rootCA `

  -KeyUsage DigitalSignature `

  -KeyLength 2048 `

  -NotAfter (Get-Date).AddYears(2) `

  -TextExtension @(

    "2.5.29.37={text}1.3.6.1.5.5.7.3.2",

    "2.5.29.17={text}upn=<USER-UPN>&email=<USER-UPN>"

  )

Laden Sie nur das Zertifikat der Stammzertifizierungsstelle in die Entra-ID hoch. Da es selbstsigniert ist und über kein Cisco Discovery Protocol (CDP) verfügt, wird für Entra ID keine CRL-Validierung versucht.

Abschließen der Setup-Checkliste

In diesem Abschnitt wird eine vollständige Setup-Checkliste für die Konfiguration der VA mit der Microsoft Entra ID SAML-Anwendung und der optionalen CBA beschrieben.

Setup der Eingangs-ID-SAML-Anwendung

• Enterprise-Anwendung (ohne Galerie) in Entra-ID erstellen
• Konfigurieren einer SAML-Basiskonfiguration durch manuelle Eingabe von SP-Metadaten
• Konfigurieren von Attributen und Ansprüchen (einschließlich E-Mail, Name und Gruppen mit user.assignedroles)
• App-Rollen bei der App-Registrierung erstellen
• Zuweisen von Benutzern zu Anwendungsrollen
• Verbundmetadaten-XML herunterladen

Cisco IQ-Konfiguration

• Hinzufügen eines IDP in Cisco IQ durch Hochladen von Entra ID-Metadaten
• Konfigurieren Sie die Rollenzuordnung, um den Cisco IQ-Systemrollen App-Rollenwerte zuzuordnen.
• Überprüfung, ob die kennwortbasierte Anmeldung durchgängig funktioniert
• Überprüfen, ob Gruppen in Protokollen richtig extrahiert wurden

Zertifikatbasierte Authentifizierung (optional)

• Zertifikatvorlage auf AD CS mit Clientauthentifizierungs-EKU erstellen
• Geben Sie ein Benutzerzertifikat mit einer UPN aus, die mit dem Entra-ID-Benutzer übereinstimmt.
• Exportieren eines Benutzerzertifikats als PFX-Datei und Installation auf dem Client-Computer
• Vertraut dem Zertifizierungsstellenzertifikat auf dem Clientcomputer
• Laden Sie das CA-Stammzertifikat unter Schutz > Zertifizierungsstellen in die Entra-ID hoch.
• Aktivieren des CBA in den Authentifizierungsmethoden
• Konfigurieren der Bindung des Benutzernamens (PrincipalName und userPrincipalName)
• Überprüfung, ob die CBA-Anmeldung durchgängig funktioniert

SCP-Server hinzufügen

Ein SCP-Server ist eine Voraussetzung für den Import von Upgrade-Dateien, die zum Hinzufügen, Aktualisieren oder Reparieren der Cisco IQ-Installation erforderlich sind.

SCP-Server hinzufügen:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > SCP-Server aus. Die Seite SCP Server wird angezeigt.

SCP-Server-Startseite

2. Klicken Sie auf SCP-Server konfigurieren. Die Seite "SCP-Server konfigurieren" wird angezeigt.

SCP-Server konfigurieren

8. Geben Sie eine IP-Adresse/einen Hostnamen ein.
9. Geben Sie einen Port ein.
10. Geben Sie ein Remote-Verzeichnis ein.
11. Geben Sie einen Benutzernamen ein.
12. Geben Sie ein Kennwort ein.
13. Klicken Sie auf Speichern. Es wird eine Bestätigung angezeigt.

Bearbeiten eines vorhandenen SCP-Servers

So bearbeiten Sie einen vorhandenen SCP-Server:

1. Navigieren Sie zur Seite SCP-Server.

SCP-Server hinzugefügt

2. Klicken Sie auf Edit (Bearbeiten) des gewünschten vorhandenen SCP-Servers.

SCP-Server bearbeiten

3. Ändern Sie die Details nach Bedarf.
4. Klicken Sie auf Speichern.

Systemverwaltung

Sie können über die Benutzeroberfläche ein Upgrade auf die neueste Cisco IQ VA-Version durchführen. Sie können dies auch auf der Seite Cisco IQ Data Connectors überprüfen.

Neuplanung der Systemaktualisierung

So planen Sie die Systemaktualisierung neu:

1.  Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Systemverwaltung aus. Die Seite Systemverwaltung wird angezeigt. Auf dieser Seite wird die Systemversion angezeigt, die derzeit ausgeführt wird. Wenn keine Updates konfiguriert wurden, ist der Abschnitt Aktualisierungsverlauf leer.

2. Klicken Sie auf Update konfigurieren. Die Seite Update konfigurieren wird angezeigt.

 Update konfigurieren

3. Wählen Sie den Aktualisierungszeitplan aus, um einen anderen Zeitpunkt zu planen.
4. Warten Sie, bis der Datei-Upload abgeschlossen ist. Die Dauer hängt von der Paketgröße und der Netzwerkgeschwindigkeit ab.

Bestätigen Sie die erfolgreiche Aktualisierung, indem Sie das Häkchen in der Spalte Update Status (Aktualisierungsstatus) überprüfen.

Bearbeiten von Systemaktualisierungsplänen

Sie können einen benutzerdefinierten Zeitplan für System-Upgrades erstellen. Wenn ein benutzerdefinierter Zeitplan konfiguriert wird, erfolgen Upgrades zu benutzerdefinierten Daten, sofern sie innerhalb der maximalen Kulanzfrist erfolgen. So erstellen Sie einen Zeitplan für das System-Upgrade:

Wartung bearbeiten

1. Klicken Sie im Abschnitt Aktuelles System auf der Seite Systemverwaltung auf Wartungsfenster bearbeiten.

Wartungsfenster bearbeiten

2. Wählen Sie eine Option aus den Dropdown-Listen Tag und Uhrzeit aus.
3. Klicken Sie auf Speichern. Das Wartungsfenster wurde erfolgreich geplant. Die Aktualisierung wird entsprechend dem angezeigten Zeitplan ausgelöst.

Knotenverwaltung

1. Navigieren Sie zu Systemkonfiguration > Systemverwaltung > Knotenverwaltung, um die Knoten im Cluster anzuzeigen und zu verwalten.

Knotenverwaltung

2. In der Knotenliste werden der Status, der Hostname, der Knotentyp, die IP-Adresse, die Netzmaske, das Gateway und die letzte Synchronisierungszeit der einzelnen Knoten angezeigt.

Konfiguration von SSL-Zertifikaten

Ein standardmäßig selbst signiertes Zertifikat ist vorinstalliert und in Cisco IQ aktiviert, Sie können jedoch optional benutzerdefinierte SSL-Zertifikate hochladen. Wenn ein benutzerdefiniertes SSL-Zertifikat aktiviert ist, wird es für HTTPS-Verbindungen verwendet. Wenn das Zertifikat deaktiviert oder gelöscht wird, wird automatisch das Standardzertifikat wiederhergestellt. Das SSL-Standardzertifikat kann nicht bearbeitet oder gelöscht werden.

Hinzufügen eines benutzerdefinierten SSL-Zertifikats

So fügen Sie ein benutzerdefiniertes SSL-Zertifikat hinzu

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > SSL-Zertifikate aus. Die Seite SSL-Zertifikate wird angezeigt, auf der alle SSL-Zertifikate für Ihr System aufgeführt sind.

2. Klicken Sie auf Benutzerdefiniertes SSL-Zertifikat hinzufügen.

3. Ziehen Sie das benutzerdefinierte SSL-Zertifikat per Drag-and-Drop oder laden Sie es unter dem Abschnitt SSL-Zertifikat hoch.
4. Aktivieren Sie die Schaltfläche Benutzerdefiniertes SSL-Zertifikat aktivieren.

5. Klicken Sie auf Zertifikat aktivieren.
6. Klicken Sie auf Speichern.

Das benutzerdefinierte SSL-Zertifikat ist aktiviert und aktiv. Das Standard-Systemzertifikat wird automatisch deaktiviert.

Bearbeiten des benutzerdefinierten SSL-Zertifikats

Sie können das benutzerdefinierte SSL-Zertifikat bearbeiten, um ein neues Zertifikat hochzuladen oder das aktuell aktivierte Zertifikat zu deaktivieren. So bearbeiten Sie:

1. Navigieren Sie zum gewünschten benutzerdefinierten SSL-Zertifikat.
2. Wählen Sie das Symbol Weitere Optionen > Bearbeiten aus. Die Seite SSL-Zertifikat bearbeiten wird angezeigt.
3. Bearbeiten Sie die Zertifikatdetails nach Bedarf.
4. Klicken Sie auf Speichern.

Benutzerdefiniertes SSL-Zertifikat wird gelöscht

1. Navigieren Sie zum gewünschten persönlichen SSL-Zertifikat.
2. Wählen Sie das Symbol Weitere Optionen > Löschen aus.
3. Klicken Sie auf Zertifikat löschen. Das benutzerdefinierte Zertifikat wird gelöscht, und das Standardzertifikat wird automatisch wieder aktiviert.

Syslog-Serverkonfiguration

Benutzer mit der Kontoadministratorrolle können externe Syslog-Server für den Export von Systemprotokollen konfigurieren. Es können bis zu zwei (2) Syslog-Server konfiguriert werden.

Syslog-Server hinzufügen

Syslog-Server hinzufügen:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Syslog-Server aus. Die Seite Syslog-Server wird angezeigt.

Syslog-Server hinzufügen

2. Klicken Sie auf Syslog-Server hinzufügen. Die Seite Syslog-Server erstellen wird angezeigt.

Syslog-Server erstellen

3. Geben Sie die IP-Adresse/den Hostnamen ein.
4. Geben Sie Port ein.
5. Wählen Sie das entsprechende Protokoll aus der Dropdown-Liste "Protocol" (Protokoll) aus (z. B. UDP, TCP).
6. Aktivieren Sie die Umschaltfläche Syslog-Server aktivieren.
7. Klicken Sie auf Speichern. Es wird eine Bestätigung angezeigt, und der neu hinzugefügte Syslog-Server wird auf der Syslog-Server-Startseite angezeigt.

Bearbeiten des konfigurierten Syslog-Servers

So bearbeiten Sie einen konfigurierten Syslog-Server:

1. Navigieren Sie zum gewünschten Syslog-Server.
2. Wählen Sie das Symbol Weitere Optionen > Bearbeiten aus. Die Seite "Syslog-Server bearbeiten" wird angezeigt.
3. Bearbeiten Sie nach Bedarf Details, oder deaktivieren Sie den Umschalter Syslog-Server aktivieren.
4. Klicken Sie auf Speichern.

Konfigurierten Syslog-Server löschen

Einen konfigurierten Syslog-Server löschen:

1. Navigieren Sie zum gewünschten Syslog-Server.
2. Wählen Sie das Symbol Weitere Optionen > Löschen aus. Es wird eine Bestätigung angezeigt.
3. Klicken Sie auf Syslog-Server löschen.

Aktivität und Protokolle

Aktivität und Protokolle bieten eine detaillierte Aufzeichnung von Benutzeraktionen und Änderungen in Cisco IQ, sodass Kontoadministratoren Benutzeraktivitäten nachverfolgen und die Transparenz aufrechterhalten können.

Um Aktivitäten und Protokolle anzuzeigen, wählen Sie Aktivität und Protokolle aus dem Menü Systemeinstellungen.

Aktivität und Protokolle:

• Protokolliert alle API-Vorgänge auf Gateway-Ebene
• Unterstützt Filter, Paginierungs- und Suchfunktionen, die Ihnen das Auffinden und Verwalten von Informationen erleichtern

Folgende Filteroptionen sind verfügbar:

• Letztes Protokollierungsdatum: Filtert Protokolle auf einen bestimmten Zeitraum
• Protokollstufe: Filtert Protokolle nach Schweregrad (z. B. Fehler, Warnungen und Informationen)
• Aktivitätstyp: Filtert Protokolle nach Art der Systemaktivität
• Fehlercode: Filtert nach einem bestimmten Fehlercode

Banner

Kontoadministratoren können systemweite Banner konfigurieren, um Sicherheits- und Compliance-Standards zu erfüllen.

• Obligatorischer Anmeldemodus: Sie müssen das erforderliche Banner bestätigen, bevor Sie zum Anmeldebildschirm wechseln.
• Anwendungs-Banner: Hierbei handelt es sich um angepasste Banner, die nach der erfolgreichen Authentifizierung in der gesamten Anwendung angezeigt werden.

Konfigurieren von Modal-Bannern für obligatorische Anmeldung

So konfigurieren Sie ein obligatorisches Banner:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Banner aus. Die Seite Banner wird angezeigt.

Pflichtbanner konfigurieren

2. Klicken Sie im Modus für obligatorische Anmeldung auf Konfigurieren. Die Seite "Obligatorische Anmeldung bearbeiten" wird angezeigt.

3. Klicken Sie auf den Umschalter, um den Banner zu aktivieren oder zu deaktivieren.
4. Geben Sie den Titel Modal (Modal) ein.
5. Geben Sie den Modal-Inhalt ein.
6. Klicken Sie auf Speichern. Der Modus für die obligatorische Anmeldung wird gespeichert.

Konfigurieren von Anwendungsbannern

So konfigurieren Sie ein Anwendungsbanner:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Banner aus. Die Seite Banner wird angezeigt.

Banner konfigurieren

2. Klicken Sie auf In Anwendungs-Banner konfigurieren. Die Seite Bewerbungsbanner bearbeiten wird angezeigt.

3. Klicken Sie auf den Umschalter, um den Banner zu aktivieren oder zu deaktivieren.
4. Wählen Sie eine Farbe für das Banner aus.
5. Geben Sie den Bannertitel ein.
6. Geben Sie den Bannerinhalt ein.
7. Wählen Sie einen Bannerstandort aus.
8. Klicken Sie auf Speichern. Das Banner wird in der gesamten Anwendung angezeigt.

Banner bearbeiten

So bearbeiten Sie ein Banner:

1. Wählen Sie in den Systemeinstellungen die Option Systemkonfiguration > Banner aus. Die Seite Banner wird angezeigt.

Banner bearbeiten

2. Klicken Sie auf Bearbeiten. Die Seite Bewerbungsbanner bearbeiten wird angezeigt.

3. Bearbeiten Sie die gewünschten Details.
4. Klicken Sie auf den Umschalter, um den Banner zu aktivieren oder zu deaktivieren.
5. Klicken Sie auf Speichern.

Fehlerbehebung

Sie können Diagnose- und Protokolldateien vom Cisco IQ-System sammeln und sicher auf einen SCP-Server übertragen. Diese Dateien können für das Support-Team freigegeben werden, wenn Probleme gemeldet werden, um wertvollen Kontext zu schaffen und die Fehlerbehebung zu unterstützen.

So sammeln Sie Diagnose- und Protokolldateien:

1. Melden Sie sich bei Cisco IQ an.

2. Geben Sie im Cisco IQ-Hauptmenü "3" ein, und drücken Sie die Eingabetaste, um System Diagnostics auszuwählen.

3. Geben Sie die SCP-/SFTP-Serveradresse ein.
4. Geben Sie den SCP-/SFTP-Server-Port ein.
5. Geben Sie den SCP-/SFTP-Serverpfad ein.
6. Wählen Sie ein Protokoll aus.
7. Geben Sie den Benutzernamen ein.
8. Geben Sie das Kennwort ein.
9. Geben Sie "C" ein, und drücken Sie die Eingabetaste, um mit der Systemdiagnose fortzufahren.

Das System startet den Diagnoseprozess und führt die folgenden Aktionen aus:

• Überprüfen der Erreichbarkeit
• Erfassen von Systeminformationen
• Sammeln von Kubernetes-Informationen
• Protokolle werden gesammelt
• Vorbereiten des Systemdiagnosepakets
• Hochladen des Systemdiagnosepakets

Nach Abschluss des Vorgangs wird eine Bestätigungsmeldung mit dem generierten Paketnamen angezeigt.

Support-Modul

Sie können VA- und modulspezifische Support-Tickets über Cisco IQ SaaS erstellen. Das Support-Modul ist in Cisco IQ SaaS verfügbar und bietet eine konsolidierte Ansicht Ihrer Support-Tickets. Mit dieser Anwendung können Sie die Anfrageliste filtern, sortieren und anpassen. So erhalten Sie einen transparenten Überblick über alle offenen und abgeschlossenen Fälle, auf die Sie zugreifen können. Weitere Informationen zum Support-Modul in Cisco IQ SaaS finden Sie im Cisco IQ SaaS-Handbuch "Erste Schritte".

Erstellen eines Support-Tickets

Sie können VA- und modulspezifische Tickets in Cisco IQ SaaS erstellen. So erstellen Sie ein Ticket:

1. Melden Sie sich bei Cisco IQ (SaaS) an.
2. Klicken Sie auf das Symbol Hilfe > Problem melden. Das Fenster Problem melden wird geöffnet.

Problem melden

3. Geben Sie die erforderlichen Details an.
4. Klicken Sie auf Senden.