ISE 3.5 EntraID Externe Gruppen Abfragen von Leistungsproblemen und Microsoft Graph API-Berechtigungsauflösung

Problem

Bei der Konfiguration des Cisco ISE 3.5 patch2 mit EntraID REST ID Store treten bei der Abfrage von EntraID.ExternalGroups während der EAP-TLS-Authentifizierung erhebliche Authentifizierungsverzögerungen auf. Die Phase "Queried PIP - EntraID.ExternalGroups" dauert mehr als 30 Sekunden, was dazu führt, dass EAP-Clients das Timeout überschreiten und die Authentifizierung neu starten, wodurch der erfolgreiche Sitzungsabschluss verhindert wird.

Wenn Sie versuchen, Gruppenattribute in der EntraID REST ID Store-Konfiguration zu speichern, wird zusätzlich die folgende Fehlermeldung angezeigt:

java.rmi.RemoteException: null; nested exception is: java.lang.NullPointerException

Die Authentifizierungsprotokolle zeigen asynchrone PIP-Fehler und die Unterbrechung des Policy Engine während der Suche nach externen Gruppen an. Das Problem tritt als fehlgeschlagene Authentifizierungs-Workflows auf, bei denen Clients aufgrund der verlängerten Abfragezeiten keine EAP-Sitzungen abschließen können.

Umwelt

• Cisco Identity Services Engine (ISE) Version 3.5.0.527 mit Patch 2

• Microsoft EntraID (Azure Active Directory)-Integration über REST ID Store

• Konfiguration der EAP-TLS-Authentifizierung

• Für EntraID konfigurierte REST-Quelle mit Gruppenattributabruf

• Problem beobachtet bei ISE 3.4 Patch4/Patch5 und ISE 3.5 Patch2/Patch3

Auflösung

Die Auflösung beinhaltet die Vergabe der richtigen Microsoft Graph API-Berechtigungen für die Azure-Anwendung, die von der ISE EntraID REST ID Store-Integration verwendet wird.

Schritt 1: Erforderliche Microsoft Graph API-Berechtigungen gewähren

Navigieren Sie zum Azure-Portal, und suchen Sie nach der für die ISE-Integration verwendeten Anwendungsregistrierung. Erteilen der folgenden API-Berechtigung für Anwendungstypen:

Directory.Read.All

Stellen Sie sicher, dass die Administratorenberechtigung für diese Berechtigung erteilt wird.

Phase 2: ISE-Dienste neu starten

Führen Sie nach dem Gewähren der Directory.Read.All-Berechtigung einen Neustart der Dienste auf allen ISE-Knoten durch, um sicherzustellen, dass die neuen Berechtigungen wirksam werden.

Schritt 3: Auflösung überprüfen

Testen Sie den Authentifizierungsprozess, um sicherzustellen, dass die Phase "Abgefragte PIP - EntraID.ExternalGroups" innerhalb akzeptabler Zeitrahmen abgeschlossen wird und dass Gruppenattribute fehlerfrei gespeichert werden können.

Die Auflösungsprotokolle müssen den erfolgreichen Abschluss ohne den AsynchronousPIPError anzeigen:

2026-05-26 14:21:47,981 DEBUG [I/O dispatcher 1][[]] cisco.ise.ropc.utilities.HttpClientWrapper -:::::- User attribute lookup - Thread name I/O dispatcher 1

Ursache

Das Problem wird durch den Cisco Bug CSCwu13703 verursacht, der sich auf ISE 3.5 Patch 3 und verwandte Versionen auswirkt. Der Fehler ist auf unzureichende Microsoft Graph API-Berechtigungen für die EntraID-Integration zurückzuführen. Ohne die richtige Directory.Read.All-Berechtigung kann die ISE externe Gruppen nicht effizient von EntraID abfragen, was zu Timeout-Bedingungen und zum Aussetzen des Policy-Moduls durch AsynchronousPIPError-Ausnahmen führt.

Der Authentifizierungsprozess schlägt fehl, da jede nicht erfolgreiche Auswertung dazu führt, dass das Policy-Modul AsynchronousPIPError auslöst und den Authentifizierungs-Workflow aussetzt. Dies führt zu verlängerten Abfragezeiten und schließlich zu einer Client-Zeitüberschreitung.

Verwandte Inhalte

• Cisco Bug-ID CSCwu13703

• Cisco ISE mit Microsoft Active Directory - Leitfaden für die Eingabe von ID und Intune-Konfiguration

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	08-Oct-2026	Erstveröffentlichung