Problemas de rendimiento de consultas de grupos externos EntraID de ISE 3.5 y resolución de permisos de API de Microsoft Graph

Problema

La configuración del almacén de ID de REST de Cisco ISE 3.5 patch2 con EntraID experimenta importantes retrasos de autenticación durante la autenticación EAP-TLS al consultar EntraID.ExternalGroups. La fase Consulta PIP - EntraID.ExternalGroups tarda más de 30 segundos en completarse, lo que hace que los clientes EAP agoten el tiempo de espera y reinicien la autenticación, lo que impide que la sesión se complete correctamente.

Además, al intentar guardar atributos de grupo en la configuración de EntraID REST ID Store, aparece este mensaje de error:

java.rmi.RemoteException: null; nested exception is: java.lang.NullPointerException

Los registros de autenticación muestran errores PIP asíncronos y suspensión del motor de políticas durante el proceso de búsqueda de grupos externos. El problema se manifiesta como flujos de trabajo de autenticación fallidos donde los clientes no pueden completar sesiones EAP debido a los tiempos de consulta extendidos.

Entorno

• Cisco Identity Services Engine (ISE) versión 3.5.0.527 con parche 2

• Integración de Microsoft EntraID (Azure Active Directory) mediante el almacén de ID de REST

• Autenticación EAP-TLS configurada

• Origen REST configurado para EntraID con recuperación de atributos de grupo

• Problema observado en ISE 3.4 patch4/patch5 e ISE 3.5 patch2/patch3

Resolución

La resolución implica la concesión de los permisos correctos de la API de Microsoft Graph a la aplicación de Azure utilizada por la integración de ISE EntraID REST ID Store.

Paso 1: Conceder permisos de API de Microsoft Graph necesarios

Navegue hasta el portal de Azure y localice el registro de aplicación utilizado para la integración con ISE. Conceder este permiso API de tipo de aplicación:

Directory.Read.All

Asegúrese de que se concede el consentimiento del administrador para este permiso.

Paso 2: Reiniciar servicios de ISE

Después de conceder el permiso Directory.Read.All, reinicie los servicios en todos los nodos ISE para asegurarse de que los nuevos permisos surtan efecto.

Paso 3: Verificar resolución

Pruebe el proceso de autenticación para confirmar que la fase Consultado PIP - EntraID.ExternalGroups se completa dentro de los plazos aceptables y que los atributos de grupo se pueden guardar sin errores.

Los registros de resolución deben mostrar una finalización satisfactoria sin AsynchronousPIPError:

2026-05-26 14:21:47,981 DEBUG [I/O dispatcher 1][[]] cisco.ise.ropc.utilities.HttpClientWrapper -:::::- User attribute lookup - Thread name I/O dispatcher 1

Causa

El problema es causado por el ID de bug de Cisco CSCwu13703, que afecta al parche 3 de ISE 3.5 y a las versiones relacionadas. El error está relacionado con la falta de permisos de la API de Microsoft Graph para la integración de EntraID. Sin el permiso adecuado de Directory.Read.All, ISE no puede consultar de forma eficaz grupos externos desde EntraID, lo que provoca condiciones de tiempo de espera y la suspensión del motor de políticas a través de excepciones AsynchronousPIPError.

El proceso de autenticación falla porque cada evaluación fallida hace que el motor de políticas arroje AsynchronousPIPError y suspenda el flujo de trabajo de autenticación, lo que lleva a los tiempos de consulta extendidos y al tiempo de espera final del cliente.

Contenido relacionado

• ID de bug de Cisco CSCwu13703

• Cisco ISE con ID de entrada de Microsoft Active Directory y guía de configuración de Intune

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	08-Oct-2026	Versión inicial