Gestión de cuentas de invitado de ISE

 Los Miembros muestran todos los grupos disponibles entre los que elegir; seleccione el grupo AD y muévalo a la derecha para agregarlo al grupo patrocinador.

Guarde los cambios. El inicio de sesión en el portal de patrocinadores funciona ahora con cuentas de usuario de AD que forman parte del grupo de AD seleccionado.

Se pueden seguir los mismos pasos anteriores para agregar usuarios a través de LDAP. Los grupos de identidad de usuarios definidos internamente también están disponibles como opción para agregar a los grupos de patrocinadores.

Utilice una de estas cuentas de patrocinador para iniciar sesión en el portal de patrocinadores. El portal del patrocinador se puede utilizar para:

• Editar y eliminar cuentas de invitados
• Ampliar la duración de la cuenta de invitado
• Suspender cuenta de invitado
• Restablecimiento de cuentas de invitados caducadas
• Volver a enviar y restablecer contraseñas para invitados
• Aprobar cuentas de invitados pendientes

En el portal del patrocinador, seleccione la pestaña Gestionar cuentas para ver todas las cuentas de invitados que este patrocinador está autorizado a administrar, como se muestra en esta imagen.

Una cuenta de invitado se puede editar independientemente del estado en el que se encuentre.

Existe la opción de reenviar la contraseña de la cuenta de invitado en caso de que el titular de la cuenta los olvide o pierda. La contraseña de una cuenta de invitado sólo se puede enviar si está en estado Activo o Creado.

No se pueden enviar contraseñas a los invitados que las hayan cambiado. En ese caso, primero debe utilizarse la opción reset password. No se puede enviar la contraseña para las cuentas pendientes de aprobación, suspendidas, vencidas o denegadas.

Un patrocinador puede elegir la opción de recibir una copia de la contraseña modificada:

En caso de que sea necesario permitir el acceso de invitado a la red durante un período superior al permitido originalmente, utilice la opción extendida para aumentar la duración. Las cuentas en estado Creado, Activo o Vencido se pueden ampliar.

Una cuenta que ha sido suspendida o denegada no puede ser extendida; utilice la opción de restablecimiento en su lugar.

El período de extensión máximo permitido se rige por el tipo de invitado de la cuenta.

Las cuentas de invitado caducan por sí mismas cuando llegan al final de la duración de la cuenta, independientemente de su estado. Las cuentas de invitados suspendidas o vencidas se depuran automáticamente en función de la política de depuración definida en el sistema. De forma predeterminada, se depuran cada 15 días.

Estados de cuenta de invitado y su significado:

Activo: Los invitados con estas cuentas han iniciado sesión correctamente a través de un portal de invitados con credenciales o han omitido el portal cautivo de invitado con credenciales. En este último caso, las cuentas pertenecen a tipos de invitados configurados para eludir el portal cautivo de invitado con credenciales. Estos invitados pueden acceder a la red proporcionando sus credenciales de inicio de sesión al suplicante nativo en su dispositivo.

Creado: Las cuentas se han creado, pero los invitados aún no han iniciado sesión en un portal de invitados con credenciales. En este caso, las cuentas se asignan a tipos de invitado que no están configurados para saltar el portal cautivo de invitado con credenciales. Los invitados primero deben iniciar sesión a través del portal cautivo de invitado identificado antes de poder acceder a otras partes de la red.

Denegado: A las cuentas se les niega el acceso a la red. Las cuentas que han caducado mientras se encontraban en un estado denegado permanecen como denegadas.

Pendiente de aprobación: Las cuentas están a la espera de aprobación para acceder a la red.

Suspendido: Las cuentas son suspendidas por un patrocinador que tiene el privilegio de hacerlo.

Políticas de depuración de invitados

De forma predeterminada, ISE elimina automáticamente las cuentas de invitados caducadas cada 15 días. Esta información se puede ver en Centros de trabajo > Acceso de invitado > Configuración > Política de depuración de cuenta de invitado.

La fecha de la depuración siguiente indica cuándo se producirá la siguiente depuración. El administrador de ISE puede:

• Programe una purga cada X días. El Tiempo de Depuración especifica cuándo se produce la primera depuración en X días. Después, la depuración se produce cada X días.
• Programe una depuración en un día determinado de la semana, cada X semanas.
• Forzar una depuración a petición usando la opción Purgar ahora.

Cuando se depuran las cuentas de invitados caducadas, se conservan los puntos finales, los informes y la información de registro asociados.

Depuración de terminales: Días inactivos frente a días transcurridos para terminales

Los terminales que utilizan los invitados para acceder a la red pasan a formar parte de GuestEndpoints de forma predeterminada. ISE tiene la política de eliminar los terminales de invitado y los dispositivos registrados con más de 30 días de antigüedad. Este trabajo de depuración predeterminado se ejecuta a las 1 AM todos los días en función de la zona horaria configurada en el nodo de administración principal (PAN). Esta política predeterminada utiliza la condición de ElapsedDays. Otras opciones disponibles son InactiveDays y PurgeDate.

Nota: La funcionalidad de depuración de terminales es independiente de la política de depuración de cuenta de invitado y de la de caducidad de cuenta de invitado.

La política se define en Administración > Administración de identidades > Configuración > Depuración de terminales.

Días transcurridos: Esto hace referencia al número de días transcurridos desde que se creó el objeto. Esta condición se puede utilizar para los terminales a los que se ha concedido acceso no autenticado o condicional durante un período de tiempo determinado, como un terminal de invitado o contratista, o empleados que aprovechan webauth para el acceso a la red. Después del período de gracia de conexión permitido, se deben volver a autenticar y registrar completamente.

Días inactivos: Hace referencia al número de días transcurridos desde la última actividad de generación de perfiles o la actualización en el terminal. Esta condición elimina los dispositivos obsoletos que se han acumulado con el tiempo, normalmente los invitados transitorios o los dispositivos personales, o los dispositivos retirados. Estos terminales tienden a representar ruido en la mayoría de las implementaciones, ya que ya no están activos en la red o es probable que se vean en un futuro próximo. Si se conectan de nuevo, se volverán a detectar, definir perfiles, registrar, etc según sea necesario. 

Cuando haya actualizaciones desde el terminal, InactivityDays se restablecerá a 0 sólo si está habilitada la creación de perfiles. 

Fecha de depuración: Fecha para purgar el terminal. Esta opción se puede utilizar para eventos especiales o grupos en los que se concede acceso para una hora específica, independientemente de la hora de creación o de inicio. Esto permite depurar todos los terminales al mismo tiempo. Por ejemplo, una muestra comercial, una conferencia o una clase de formación semanal con nuevos miembros cada semana, en la que se concede acceso para una semana o un mes específicos en lugar de días/semanas/meses absolutos. 

Este archivo profiler.log de ejemplo muestra cuándo se depuraron los terminales que formaban parte de GuestEndpoints y que habían transcurrido 30 días:

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :REGULAR
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- epPurgeRuleID is :3bfaffe0-8c01-11e6-996c-525400b48521
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- purging description: ENDPOINTPURGE:ElapsedDays EQUALS 30
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- purging expression: GuestInactivityCheck & GuestEndPointsPurgeRuleCheck5651c592-cbdb-4e60-aba1-cf415e2d4808
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- EPCondition name is : GuestInactivityCheck
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the condLabel are :ENDPOINTPURGE ElapsedDays EQUALS 30
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- rulename is : 3c119520-8c01-11e6-996c-525400b48521
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :EXCLUSION
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- rulename is : 3c2ac270-8c01-11e6-996c-525400b48521
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :REGULAR
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- epPurgeRuleID is :3c2ac270-8c01-11e6-996c-525400b48521
2

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- EPCondition name is : RegisteredInactivityCheck
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the condLabel are :ElapsedDays Greater than 30
2020-07-09 09:35:26,407 INFO [admin-http-pool13][] cisco.profiler.infrastructure.profiling.EPPurgeRuleEvaluator -::- Started to Update the ChildParentMappingMap
2020-07-09 09:35:26,408 INFO [admin-http-pool13][] cisco.profiler.infrastructure.profiling.EPPurgeRuleEvaluator -::- Completed to Update the ChildParentMappingMap
2020-07-09 09:35:26,512 INFO [admin-http-pool13][] cisco.profiler.infrastructure.notifications.ProfilerEDFNotificationAdapter -::- EPPurge policy notification.
2020-07-09 09:35:26,514 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Requesting purging.
2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- New TASK is running : 07-09-202009:35
2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Read profiler.endPointNumDaysOwnershipToPan from platform properties: null
2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Value of number days after which ownership of inactive end points change to PAN: 14
2020-07-09 09:35:26,525 INFO [PurgeImmediateOrphanEPOwnerThread][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Updating Orphan Endpoint Ownership to PAN.
2020-07-09 09:35:26,530 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Purge Endpoints for PurgeID 07-09-202009:35
2020-07-09 09:35:26,532 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- hostname of the node ise26-1.shivamk.local
2020-07-09 09:35:26,537 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Search Query page1 lastEpGUID. EndpointCount4
2020-07-09 09:35:26,538 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:FF IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:26,539 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:01 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:26,540 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:03 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:26,540 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:04 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:27,033 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Endpoints PurgeID '07-09-202009:35' purged 4
2020-07-09 09:35:27,034 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Endpoints PurgeID '07-09-202009:35' purged 4 in 504 millisec numberofEndpointsRead4

Una vez finalizada la depuración:

Solución de problemas de invitado y depuración

Para capturar registros relacionados con problemas de invitado y depuración, estos componentes se pueden configurar en debug. Para habilitar las depuraciones, navegue hasta Administration> System > Debug Log Configuration> Select node.

Para las cuentas de invitados/patrocinadores y la solución de problemas relacionados con la depuración de terminales, configure estos componentes en debug:

• acceso de invitado
• guest-admin
• guest-access-admin
• generador de perfiles
• Runtime-AAA

Para los problemas relacionados con el portal, configure estos componentes en debug:

• portal de patrocinio
• portal
• Portal-session-manager
• acceso de invitado

Información Relacionada

• Guía de implementación prescriptiva de ISE Guest Access
• Solución de problemas y habilitación de depuraciones en ISE