Implementierung und Konfiguration der ISE-Statusrichtlinie, Kulanzfrist und Hotfix

Problem

Es wurde ein Antrag auf Zugang zu einem Hotfix vor der Veröffentlichung oder einem vorläufigen Engineering-Build für Cisco ISE 3.4 gestellt, um den Fix für den Fehler zu validieren. Der Fehler wird mit der Cisco Bug-ID CSCwo52494 behoben, die die Anwendung einer individuellen Kulanzfrist pro Statusrichtlinie betrifft. Der Fix war für die Integration in ISE 3.4 Patch 8 geplant, es war jedoch eine Validierung vor der offiziellen Patch-Verfügbarkeit in einer Umgebung erforderlich, in der derzeit ISE 3.4 Patch 4 ausgeführt wird.

Das spezielle Problem, das mit der Cisco Bug-ID CSCwo52494 behoben wurde, war, dass die ISE den maximalen Kulanzzeitraum auch bei erfolgreicher Integritätsrichtlinie falsch sendete, anstatt nur den maximalen Kulanzzeitraum wie erwartet von fehlgeschlagenen Integritätsrichtlinien zu senden.

Umwelt

• Cisco Identity Services Engine (ISE) 3.4

• ISE-Status-Funktion

• Aktuelle Softwareversion: ISE 3.4 Patch 4

• Zielversion der Software: ISE 3.4 Patch 8 (zur offiziellen Korrektur)

• Fehlerhinweis: Cisco Bug-ID CSCwo52494

Auflösung

Ein Hotfix wurde bereitgestellt, um das Problem der ISE-Statusrichtlinie während des Kulanzzeitraums zu beheben. Der Hotfix korrigierte das Verhalten, bei dem die ISE den maximalen Kulanzzeitraum auch bei erfolgreichen Statusrichtlinien falsch sendete.

Hotfix-Implementierungsergebnisse

Nach der Installation des Hotfix sendet die ISE nun korrekt den maximalen Wert für die Kulanzfrist aus den fehlgeschlagenen Statusrichtlinien, was dem erwarteten Verhalten entspricht. Das System implementiert diese Logik nun ordnungsgemäß:

• Wenn ein Gerät mit mehreren Statusrichtlinien übereinstimmt, von denen jede einen anderen Kulanzzeitraum aufweist, erhält das Gerät den maximalen Kulanzzeitraum, der unter den fehlerhaften Richtlinien konfiguriert wurde.

• Wenn zwei Richtlinien fehlschlagen, wählt die ISE die maximale Kulanzfrist in Version 3.4 aus.

Zusätzliche Optimierungsinformationen

Für Umgebungen, die eine detailliertere Kontrolle über die Auswahl des Kulanzzeitraums erfordern, wurde eine zusätzliche Verbesserung ermittelt. Ab ISE 3.5 Patch 1 steht eine neue Einstellung für Benutzeroberflächen-Kacheln auf der Seite "Allgemeine Einstellungen für Status" zur Verfügung, die es Administratoren ermöglicht, unter den fehlgeschlagenen Statusrichtlinien die maximale oder minimale Nachfrist zu wählen. Diese Funktion kann nicht mithilfe von Patches auf 3.4-Versionen zurückportiert werden und wird unter der Cisco Bug-ID CSCwr60808 nachverfolgt.

Ursache

Die Ursache wurde als ISE identifiziert, die fälschlicherweise den maximalen Wert für den Kulanzzeitraum sendete, selbst wenn Statusrichtlinien erfolgreich waren. Es wird erwartet, dass die ISE nur den maximalen Wert für den Kulanzzeitraum aus fehlgeschlagenen Statusrichtlinien sendet. Dieses Verhalten wurde mit der Cisco Bug-ID CSCwo52494 behoben.

Verwandte Inhalte

• ISE 3.4 Administratorhandbuch - Compliance

• Cisco Bug-ID CSCwr60808

• Cisco ISE 3.5 - Versionshinweise

• Technischer Support und Downloads von Cisco