ISE 3.2 MDM-Compliance-Abfrage aufgrund von Client-Unterdrückung und Software-Defekt fehlgeschlagen

Problem

Einige Endpunkte, die über EAP-TLS auf der Cisco Identity Services Engine (ISE) authentifiziert werden, erhalten von Microsoft Intune nach und nach keinen Compliance-Status, obwohl sie im Intune-Dashboard als kompatibel angezeigt werden. Daher wird für diese Endgeräte eine Wireless-Autorisierungsrichtlinie anstatt der erwarteten Richtlinie "Posture Compliant" oder "Posture Non-Compliant" festgelegt. Die betroffenen Endgeräte zeigen keine MDM-Compliance-Attribute (Mobile Device Management) in ISE-Live-Protokollen oder externen MDM-Berichten an, und das Problem betrifft nur einen Teil der Clients in der Bereitstellung.

Zu den beobachteten spezifischen Symptomen gehören:

• Ungewöhnliche Clients haben keine Protokolle im ISE-Bericht beim externen Verwaltungsbericht für Mobilgeräte.

• Anormale Clients haben keine Attribute wie MDM-kompatiblen Status oder Geräte-kompatiblen Status in Live-Protokolldetails.

• Ungewöhnliche Clients treffen die 802.1x_EAP-TLS_toyotawifi-Autorisierungsrichtlinie anstatt der Richtlinie zur Einhaltung von Statusrichtlinien.

• Fehlermeldungen in Protokollen zeigen an, dass keine Verbindung zum MDM-Server hergestellt werden konnte: 404 Nicht gefunden".

Umwelt

• Cisco ISE Multi-Node Cluster Version 3.2 Patch 6

• 8 ISE-Knoten im Cluster, alle mit grünem Status

• 11.000 in Microsoft Intune integrierte Wireless-/kabelgebundene Clients

• Clients verwenden EAP-TLS-Authentifizierung (Machine Certificate)

• ISE verwendet die MAC-Adresse des Clients für Abfragen an Intune

• Alle Clients haben auf dem Microsoft Intune-Dashboard den Status "kompatibel".

• Das Problem betrifft einige Clients, aber nicht alle

Auflösung

Das Problem wurde mit diesen Schritten behoben.

Schritt 1: Identifizierung der Ursache

Die Analyse der ISE-Protokolle ergab, dass die betroffenen Endpunkte über eine veraltete MDM-Server-ID verfügen, die die Ausführung von MDM-Abfragen verhindert.

Die Protokolle zeigten:

2026-06-15 13:35:14,343 DEBUG [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.util.MDMUtil -:::::- MDM server id from Endpoint : ccb4559d-3943-4a21-bc8e-e2b8b3d20fcf
2026-06-15 13:35:14,343 DEBUG [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.util.MdmServersCache -:::::- isMultiMdmOptEnabledForRegDevices ==== multi mdm not enabled
2026-06-15 13:35:14,344 ERROR [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.pip.MdmPartnerPIPHandler -:::::- Error : null value for active MDM server for MDM server id : ccb4559d-3943-4a21-bc8e-e2b8b3d20fcf

Darüber hinaus wurde festgestellt, dass die Bereitstellung die Cisco Bug-ID CSCwv51917 aufweist, was sich auf die MDM-Compliance-Suche auswirkt, wenn die MAC-Adresse eine veraltete MDM-Server-ID aufweist.

Phase 2: Temporäre Problemumgehung

Als vorübergehende Lösung:

1.- Löschen Sie den Endpunkt aus der Kontextsichtbarkeit, und authentifizieren Sie sich erneut. Dies wurde beobachtet, um das Problem der Anfrage an den MDM-Server zu beheben und einen Compliance-Status zu erhalten.

2.- Navigieren Sie zu Kontexttransparenz.

3.- Wählen Sie die MAC-Adresse des Endpunkts aus, und löschen Sie sie.

4.- Endpunkt erneut authentifizieren.

Schritt 3: Permanente Lösung - Software-Upgrade

Die permanente Fehlerbehebung wird unter der Cisco Bug-ID CSCwv51917 verfolgt.

Ursache

Während der Authentifizierung versucht die ISE, den veralteten MDM-Serververweis abzufragen, aber das entsprechende MDM-Serverobjekt ist nicht mehr vorhanden oder inaktiv. Die ISE ruft daher keine MDM-Compliance-Attribute von Intune ab.

Verwandte Inhalte

• Cisco Bug-ID CSCwv519173134

• ISE 3.2 Versionshinweise - Gelöste Vorbehalte

• ISE 3.2 End-of-Life-Hinweis

• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	26-Oct-2026	Erstveröffentlichung