Installieren von ISE auf Azure Cloud Services

Einleitung

In diesem Dokument wird beschrieben, wie Sie eine Cisco ISE IOS®-Instanz mithilfe von Azure Virtual Machine installieren. Cisco ISE IOS® ist für Azure Cloud Services verfügbar.

---

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Abonnements und Ressourcengruppen

---

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der Cisco ISE Version 3.2 und Microsoft Azure Cloud Services.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Vorgehensweise

1. Navigieren Sie zu Alle Services > Abonnements. Stellen Sie sicher, dass ein Azure-Konto mit einem aktiven Abonnement und einer Enterprise-Vereinbarung mit Microsoft vorhanden ist.

---

2. Verwenden Sie die CLI des Microsoft PowerShell Azure-Moduls, um Befehle zum Reservieren von Speicherplatz auszuführen. Informationen zum Installieren von Power Shell und relevanten Paketen finden Sie unter How to install Azure PowerShell. 

3. Erfüllen Sie die Voraussetzungen bei Anfordern des Hostkontingents für die Azure VMware-Lösung. für weitere Informationen.

---

4. Erstellen Sie direkt nach dem Abonnement eine Ressourcengruppe. Navigieren Sie zu Alle Dienste > Ressourcengruppen. Klicken Sie auf Hinzufügen. Geben Sie den Namen der Ressourcengruppe ein.

---

---

Virtuelles Netzwerk und Sicherheitsgruppen

Für das Subnetz, das eine Interneterreichbarkeit erfordert, muss die Routing-Tabelle so konfiguriert sein, dass der nächste Hop als Internet konfiguriert wird. Sehen Sie sich die Beispiele des öffentlichen und privaten Subnetzes an. PAN mit öffentlicher IP-Adresse hat sowohl Offline- als auch Online-Feed-Updates im Einsatz, während PAN mit privater IP auf Offline-Feed-Updates angewiesen ist.

---

---

Erstellen eines SSH-Schlüsselpaars

1. Verwenden Sie die Suchleiste auf der Startseite des Azure-Webportals, und suchen Sie nach SSH-Schlüsseln.

---

---

2. Klicken Sie auf Erstellen.

---

---

3. Wählen Sie die Ressourcengruppe und den Schlüsselnamen. Klicken Sie dann auf Prüfen + Erstellen.

---

---

4. Klicken Sie dann auf Erstellen und laden Sie den privaten Schlüssel.

---

---

Von der Cisco ISE unterstützte Azure VM-Größen

---

• Die Azure VM-Größen der Fsv2-Serie sind für die Verarbeitung optimiert und eignen sich am besten als PSNs für rechenintensive Aufgaben und Anwendungen.
• Die Dsv4-Serie sind allgemeine Azure VM-Größen, die sich am besten als PAN- oder MnT-Knoten oder für beide eignen und für Datenverarbeitungsaufgaben und Datenbankoperationen vorgesehen sind.

Wenn Sie eine Allzweck-Instanz als PSN verwenden, sind die Leistungszahlen niedriger als die Leistung einer für Computing optimierten Instanz als PSN. Die VM-Größe Standard_D8s_v4 darf nur als extra kleines PSN verwendet werden.

Einschränkungen der Cisco ISE bei Microsoft Azure Cloud Services

• Wenn Sie die Cisco ISE mithilfe des virtuellen Azure-Computers erstellen, weist Microsoft Azure den VMs standardmäßig private IP-Adressen über DHCP-Server zu. Bevor Sie eine Cisco ISE-Bereitstellung auf Microsoft Azure erstellen, müssen Sie die DNS-Vorwärts- und -Rückwärtseinträge mit den von Microsoft Azure zugewiesenen IP-Adressen aktualisieren.

• Alternativ können Sie nach der Installation der Cisco ISE dem virtuellen System eine statische IP-Adresse zuweisen, indem Sie das Network Interface-Objekt in Microsoft Azure aktualisieren:

  1. Stoppen Sie das virtuelle System.

  2. Klicken Sie im Bereich Private IP address settings der VM im Bereich Assignment (Zuordnung) auf Static (Statisch).

  3. Starten Sie das virtuelle System neu.

  4. Weisen Sie in der seriellen Cisco ISE-Konsole die IP-Adresse als Gi0 zu.

  5. Starten Sie den Cisco ISE-Anwendungsserver neu.

• Eine duale NIC wird nur mit zwei NICs unterstützt - Gigabit Ethernet 0 und Gigabit Ethernet 1. Um eine sekundäre NIC in der Cisco ISE-Instanz zu konfigurieren, müssen Sie zunächst ein Netzwerkschnittstellenobjekt in Azure erstellen, die Cisco ISE-Instanz ausschalten und dieses Netzwerkschnittstellenobjekt dann mit der Cisco ISE verbinden. Nachdem Sie Cisco ISE auf Azure installiert und gestartet haben, konfigurieren Sie die IP-Adresse des Netzwerkschnittstellenobjekts mithilfe der Cisco ISE-CLI manuell als sekundäre NIC.

• Der Cisco ISE-Upgrade-Workflow ist in Cisco ISE auf Microsoft Azure nicht verfügbar. Nur Neuinstallationen werden unterstützt. Sie können jedoch eine Sicherung und Wiederherstellung der Konfigurationsdaten durchführen.
• Die Public Cloud unterstützt nur Layer-3-Funktionen. Cisco ISE-Knoten auf Microsoft Azure unterstützen keine Cisco ISE-Funktionen, die von Layer-2-Funktionen abhängen. Die Verwendung von DHCP-SPAN-Profilerproben und CDP-Protokollfunktionen über die Cisco ISE-CLI stellt beispielsweise Funktionen dar, die derzeit nicht unterstützt werden.
• Wenn Sie die Wiederherstellungs- und Sicherungsfunktion für Konfigurationsdaten ausführen, starten Sie nach Abschluss der Sicherung zuerst die Cisco ISE über die CLI neu. Starten Sie dann den Wiederherstellungsvorgang über die Cisco ISE-GUI.
• Der SSH-Zugriff auf die Cisco ISE CLI mithilfe der kennwortbasierten Authentifizierung wird in Azure nicht unterstützt. Sie können nur über ein Schlüsselpaar auf die Cisco ISE-CLI zugreifen, und dieses Schlüsselpaar muss sicher gespeichert werden. Wenn Sie eine Private Key-Datei (oder PEM-Datei) verwenden und die Datei verloren geht, können Sie nicht auf die Cisco ISE CLI zugreifen. Eine Integration, die eine kennwortbasierte Authentifizierungsmethode für den Zugriff auf die Cisco ISE CLI verwendet, wird nicht unterstützt (Cisco DNA Center Version 2.1.2 oder frühere Version).

• Cisco ISE IOS®-Bereitstellungen auf Azure nutzen in der Regel VPN-Lösungen wie Dynamic Multipoint Virtual Private Networks (DMVPN) und Software-Defined Wide Area Networks (SD-WAN), bei denen der IPSec-Tunneloverhead MTU- und Fragmentierungsprobleme verursachen kann. In solchen Szenarien empfängt Cisco ISE IOS® keine vollständigen RADIUS-Pakete, und es tritt ein Authentifizierungsfehler auf, ohne ein Fehlerprotokoll auszulösen.

  • Eine mögliche Problemumgehung besteht darin, den technischen Support von Microsoft in Anspruch zu nehmen, um Lösungen in Azure zu erkunden, bei denen außer Betrieb befindliche Fragmente an das Ziel weitergeleitet werden können, anstatt verworfen zu werden.

• Ein CLI-Administrator-Benutzer muss 'iseadmin' sein.

---

Konfigurieren

Beispiel einer mit Azure Cloud verbundenen ISE-Bereitstellung

---

Konfigurationen

1. Navigieren Sie zum Azure-Portal, und melden Sie sich bei Ihrem Microsoft Azure-Konto an.

---

---

2. Verwenden Sie das Suchfeld oben im Fenster, um nach Marketplace zu suchen.

---

---

3. Verwenden Sie das Suchfeld Marktplatz durchsuchen, um nach Cisco Identity Services Engine (ISE) zu suchen.

---

---

4. Klicken Sie auf Virtueller Computer.

---

---

5. Klicken Sie im neuen Fenster auf Erstellen.

---

---

6. Auf der Registerkarte Grundlagen:

• Wählen Sie im Bereich Projektdetails die erforderlichen Werte aus den Dropdown-Listen Abonnement und Ressourcengruppe.
• Geben Sie im Bereich Instance details (Instanzdetails) einen Wert in das Feld Virtual Machine Name (Name des virtuellen Computers) ein.
• Wählen Sie aus der Dropdown-Liste Image (Image) das Cisco ISE-Image aus. 
• Wählen Sie aus der Dropdown-Liste Size (Größe) die Instanzgröße aus, mit der die Cisco ISE installiert werden soll. Wählen Sie eine von der Cisco ISE unterstützte Instanz aus, wie in der Tabelle Azure Cloud aufgeführt.

---

Instanzen, die von der Cisco ISE unterstützt werden, sind im Abschnitt Cisco ISE on Azure Cloud aufgeführt.

    e. Klicken Sie im Bereich Administratorkonto > Authentifizierungstyp auf das Optionsfeld Öffentlicher SSH-Schlüssel.

    f.  Geben Sie im Feld Username (Benutzername) iseadmin ein. 

    g. Wählen Sie in der Dropdown-Liste SSH-Quelle für öffentlichen Schlüssel die Option Vorhandenen Schlüssel verwenden, der in Azure gespeichert ist. 

    h. Wählen Sie aus der Dropdown-Liste Gespeicherte Schlüssel das Schlüsselpaar aus, das Sie als Voraussetzung für diese Aufgabe erstellt haben.

    j)  Klicken Sie im Bereich Inbound port rules (Regeln für eingehenden Port) auf das Optionsfeld Allow selected ports (Ausgewählte Ports zulassen). 

    K. Wählen Sie im Bereich Licensing (Lizenzierung) in der Dropdown-Liste Licensing Type (Lizenztyp) die Option Other (Andere).

Erstellen eines virtuellen Systems

---

7. Klicken Sie auf Weiter: Festplatten.

---

---

8. Behalten Sie auf der Registerkarte Laufwerke die Standardwerte für die Pflichtfelder bei, und klicken Sie auf Weiter: Networking.

---

---

---

9. Wählen Sie im Bereich Netzwerkschnittstelle in den Dropdown-Listen Virtuelles Netzwerk, Subnetz und Netzwerksicherheitsgruppe konfigurieren das von Ihnen erstellte virtuelle Netzwerk und Subnetz aus.

---

---

---

10. Klicken Sie auf Weiter: Management.

---

---

11. Behalten Sie auf der Registerkarte Verwaltung die Standardwerte für die Pflichtfelder bei, und klicken Sie auf Weiter: Erweitert:

---

---

12. Aktivieren Sie im Bereich Benutzerdaten das Kontrollkästchen Benutzerdaten aktivieren.

• Geben Sie im Feld Benutzerdaten die folgenden Informationen ein:
  •     hostname=<Hostname der Cisco ISE> 
  •     primarynameserver=<IPv4-Adresse> 
  •     dnsdomain=<Domänenname> 
  •     ntpserver=<IPv4-Adresse oder FQDN des NTP-Servers> 
  •     timezone=<Zeitzone>
  •     password=<Kennwort> 
  •     ersapi=<ja/nein>
  •     openapi=<ja/nein>
  •     pxGrid=<ja/nein>
  •     pxgrid_cloud=<ja/nein>

---

---

Weitere Informationen zu den Konfigurationen, die Sie über das Feld für Benutzerdaten übermitteln müssen, finden Sie in den Richtlinien:

• hostname: Geben Sie einen Hostnamen ein, der nur alphanumerische Zeichen und Bindestriche (-) enthält. Der Hostname darf maximal 19 Zeichen lang sein und keine Unterstriche (_) enthalten.
• Primärer Namenserver: Geben Sie die IP-Adresse des primären Namenservers ein. Nur IPv4-Adressen werden unterstützt. In diesem Schritt können Sie nur einen DNS-Server hinzufügen. Sie können nach der Installation über die Cisco ISE-CLI weitere DNS-Server hinzufügen.
• dnsdomain: Geben Sie den FQDN der DNS-Domäne ein. Der Eintrag kann ASCII-Zeichen, Ziffern, Bindestriche (-) und Punkte (.) enthalten.
• ntpserver: Geben Sie die IPv4-Adresse oder den FQDN des NTP-Servers ein, der für die Synchronisierung verwendet werden soll. In diesem Schritt können Sie nur einen NTP-Server hinzufügen. Sie können nach der Installation über die Cisco ISE CLI weitere NTP-Server hinzufügen. Verwenden Sie einen gültigen und erreichbaren NTP-Server, da dieser für den ISE-Betrieb erforderlich ist.
• Zeitzone: Geben Sie eine Zeitzone ein, z. B. EST/UTC. Es wird empfohlen, alle Cisco ISE-Knoten auf die UTC-Zeitzone (Coordinated Universal Time) zu setzen, insbesondere wenn die Cisco ISE-Knoten in einer verteilten Bereitstellung installiert sind. Dieses Verfahren stellt sicher, dass die Zeitstempel von Berichten und Protokollen von verschiedenen Knoten in Ihrer Bereitstellung immer synchronisiert werden.
• password: Konfigurieren Sie ein Kennwort für die GUI-basierte Anmeldung bei der Cisco ISE. Das eingegebene Kennwort muss mit der Cisco ISE-Kennwortrichtlinie übereinstimmen. Das Passwort muss zwischen 6 und 25 Zeichen lang sein und mindestens eine Ziffer, einen Großbuchstaben und einen Kleinbuchstaben enthalten. Das Passwort darf nicht mit dem Benutzernamen oder dessen Umkehrung (iseadmin oder nimdaesi), cisco oder ocsic identisch sein. Die zulässigen Sonderzeichen lauten @~*!,+=_-. Weitere Informationen finden Sie im Abschnitt "Richtlinie für das Benutzerkennwort" im Kapitel "Grundlegende Einrichtung" des Cisco ISE Administratorhandbuchs für Ihre Version. 
• Versapi: Geben Sie Ja ein, um ERS zu aktivieren, oder Nein, um ERS zu deaktivieren.
• openapi: Geben Sie yes ein, um OpenAPI zu aktivieren, oder no, um OpenAPI zu deaktivieren. 
• pxGrid: Geben Sie yes ein, um pxGrid zu aktivieren, oder no, um pxGrid zu deaktivieren. 
• pxgrid_cloud: Geben Sie Ja ein, um pxGrid Cloud zu aktivieren, oder Nein, um pxGrid Cloud zu deaktivieren. Um pxGrid Cloud zu aktivieren, müssen Sie pxGrid aktivieren. Wenn Sie pxGrid nicht zulassen, aber pxGrid Cloud aktivieren, werden pxGrid Cloud-Services beim Start nicht aktiviert.

---

Abschnitt "Benutzerdaten"

---

13. Klicken Sie auf Weiter: Tags.

---

---

14. Um Name-Wert-Paare zu erstellen, mit denen Sie Ressourcen kategorisieren und mehrere Ressourcen und Ressourcengruppen konsolidieren können. Geben Sie Werte in die Felder Name und Wert ein. 

---

---

15. Klicken Sie auf Weiter: Prüfen + Erstellen.

---

---

16. Überprüfen Sie die bisher von Ihnen angegebenen Informationen, und klicken Sie auf Erstellen. Das Fenster Bereitstellung wird ausgeführt wird angezeigt. Es dauert ca. 30 Minuten, bis die Cisco ISE-Instanz erstellt wurde und einsatzbereit ist. Die Cisco ISE VM-Instanz wird im Fenster Virtuelle Systeme angezeigt (verwenden Sie das Hauptsuchfeld, um nach dem Fenster zu suchen).

---

---

---

Nächste Schritte

Aufgrund einer Microsoft Azure-Standardeinstellung ist die von Ihnen erstellte Cisco ISE VM mit nur 300 GB Festplattengröße konfiguriert. Cisco ISE-Knoten benötigen in der Regel mehr als 300 GB Festplattenkapazität. Der Alarm "Unzureichender virtueller Arbeitsspeicher" wird angezeigt, wenn Sie die Cisco ISE zum ersten Mal von Microsoft Azure aus starten.

Melden Sie sich nach Abschluss der Erstellung der Cisco ISE VM beim Cisco ISE-Administrationsportal an, um sicherzustellen, dass die Cisco ISE eingerichtet ist. Führen Sie dann im Microsoft Azure-Portal die Schritte im Fenster Virtuelle Maschinen aus, und führen Sie sie aus, um die Datenträgergröße zu bearbeiten:

---

1. Beenden Sie die Cisco ISE-Instanz.

---

---

2. Klicken Sie im linken Bereich auf Datenträger, und klicken Sie auf den Datenträger, den Sie mit Cisco ISE verwenden.

---

---

3. Klicken Sie im linken Bereich auf Größe + Leistung.

---

---

4. Geben Sie im Feld Benutzerdefinierte Datenträgergröße die gewünschte Datenträgergröße in GiB ein.

---

---

Aufgaben nach der Installation

Informationen zu Aufgaben nach der Installation, die Sie nach dem erfolgreichen Erstellen einer Cisco ISE-Instanz durchführen müssen, finden Sie in den Kapiteln "Verification and Post Installation Tasks" (Verifizierungs- und Nachinstallationsaufgaben bei der Installation) im Cisco ISE-Installationshandbuch für Ihre Cisco ISE-Version.

---

Kennwortwiederherstellung und -zurücksetzung in Azure Cloud

Führen Sie die Aufgaben aus, mit denen Sie Ihr Kennwort für die virtuelle Cisco ISE zurücksetzen oder wiederherstellen können. Wählen Sie die Aufgaben aus, die Sie benötigen, und führen Sie die detaillierten Schritte aus.

Zurücksetzen des Kennworts der Cisco ISE-Benutzeroberfläche über die serielle Konsole

1. Melden Sie sich bei Azure Cloud an, und wählen Sie die Ressourcengruppe aus, die die virtuelle Cisco ISE-Maschine enthält.

2. Klicken Sie in der Ressourcenliste auf die Cisco ISE-Instanz, für die Sie das Kennwort zurücksetzen möchten.

3. Klicken Sie im Menü auf der linken Seite im Abschnitt Support + Fehlerbehebung auf Serielle Konsole.

---

---

4. Wenn eine Fehlermeldung angezeigt wird, müssen Sie die Bootdiagnose aktivieren, indem Sie folgende Schritte ausführen:

• Klicken Sie im Menü auf der linken Seite auf Systemstart-Diagnose.

---

---

• Klicken Sie auf Mit einem benutzerdefinierten Speicherkonto aktivieren. Klicken Sie auf Speichern.

---

---

5. Klicken Sie im Menü auf der linken Seite im Abschnitt Support + Fehlerbehebung auf Serielle Konsole. Die Azure Cloud Shell wird in einem neuen Fenster angezeigt. Wenn der Bildschirm schwarz oder leer ist, drücken Sie die Eingabetaste, um die Anmeldeaufforderung anzuzeigen.

---

---

6. Melden Sie sich bei der seriellen Konsole an. Um sich bei der seriellen Konsole anzumelden, müssen Sie das ursprüngliche Kennwort verwenden, das bei der Installation der Instanz konfiguriert wurde.

---

7. Führen Sie den Befehl reset-passwd ise iseadmin aus, um ein neues GUI-Kennwort für das iseadmin-Konto zu konfigurieren.

---

Erstellen eines neuen Public Key-Paars für den SSH-Zugriff

Durch diese Aufgabe können Sie einem Repository zusätzliche Schlüsselpaare hinzufügen. Das vorhandene Schlüsselpaar, das zum Zeitpunkt der Cisco ISE-Instanzkonfiguration erstellt wurde, wird nicht durch den neuen öffentlichen Schlüssel ersetzt, den Sie erstellt haben.

---

1. Erstellen Sie einen neuen öffentlichen Schlüssel in Azure Cloud.

---

---

2. Sie erhalten ein Popup-Fenster, in dem Sie Privaten Schlüssel herunterladen und eine Ressource erstellen auswählen können, die den SSH-Schlüssel als .pem-Datei herunterlädt.

---

---

3. Informationen zum Erstellen eines neuen Repositorys, in dem der öffentliche Schlüssel gespeichert werden soll, finden Sie in der Azure Repos-Dokumentation. Wenn Sie bereits über ein Repository verfügen, auf das über die CLI zugegriffen werden kann, fahren Sie mit Schritt 3 fort.

---

4. Führen Sie zum Importieren des neuen öffentlichen Schlüssels den Befehl crypto key import <Dateiname des öffentlichen Schlüssels> repository <Projektarchivname> aus.

---

5. Nach Abschluss des Imports können Sie sich mit dem neuen öffentlichen Schlüssel über SSH bei der Cisco ISE anmelden.

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	08-Oct-2026	Aktualisierte Rechtschreibung, Grammatik, Abstände, eingelegte horizontale Abstände in einzelnen Abschnitten zur besseren Lesbarkeit, festgelegte CCW-Warnungen, aktualisierter Alternativtext.
1.0	04-Oct-2023	Erstveröffentlichung