Implementación y configuración del período de gracia y la revisión de la política de estado de ISE

Problema

Se realizó una solicitud de acceso a una revisión preliminar o a una compilación de ingeniería provisional para Cisco ISE 3.4 con el fin de validar la corrección para la identificación de error de Cisco CSCwo52494, que aborda la aplicación de un período de gracia individual por política de estado. La corrección estaba prevista para su inclusión en ISE 3.4 Parche 8, pero era necesaria la validación antes de la disponibilidad oficial de los parches en un entorno que actualmente ejecuta ISE 3.4 Parche 4.

El problema específico que se estaba abordando con la ID de error de Cisco CSCwo52494 era que ISE estaba enviando incorrectamente el valor del período de gracia máximo incluso cuando la política de estado era correcta, en lugar de enviar solamente el valor del período de gracia máximo de las políticas de estado erróneas como se esperaba.

Entorno

• Cisco Identity Services Engine (ISE) 3.4

• Funcionalidad de estado de ISE

• Versión actual del software: Parche 4 de ISE 3.4

• Versión de software objetivo: ISE 3.4 Parche 8 (para corrección oficial)

• Referencia de defecto: ID de bug de Cisco CSCwo52494

Resolución

Se ha proporcionado una revisión para solucionar el problema del período de gracia de la política de estado de ISE. La revisión corrigió el comportamiento en el que ISE enviaba incorrectamente el valor máximo del período de gracia incluso cuando las políticas de estado eran correctas.

Resultados de implementación de revisiones

Después de instalar la revisión, ISE envía ahora correctamente el valor de período de gracia máximo de las políticas de estado fallidas, que es el comportamiento esperado. El sistema ahora implementa correctamente esta lógica:

• Cuando un dispositivo coincide con varias políticas de estado, cada una con un período de gracia diferente, el dispositivo recibe el período de gracia máximo configurado entre las políticas fallidas.

• Si existen dos políticas fallidas, ISE elige el período de gracia máximo en la versión 3.4.

Información adicional sobre la mejora

Para los entornos que requieren un control más granular sobre la selección del período de gracia, se identificó una mejora adicional. A partir del parche 1 de ISE 3.5 en adelante, existe una nueva configuración de mosaico de interfaz de usuario en la página Configuración general de postura que permite a los administradores elegir entre utilizar el período de gracia máximo o mínimo entre las políticas de estado que han fallado. Esta función no se puede adaptar a versiones 3.4 mediante parches y se realiza un seguimiento bajo el ID de bug de Cisco CSCwr60808.

Causa

La causa raíz se identificó como ISE enviando incorrectamente el valor máximo del período de gracia incluso cuando las políticas de estado eran correctas. El comportamiento esperado es que ISE envíe solo el valor máximo del período de gracia de las políticas de estado con errores. Este comportamiento fue abordado por el ID de bug de Cisco CSCwo52494.

Contenido relacionado

• Guía del administrador de ISE 3.4: cumplimiento

• ID de bug de Cisco CSCwr60808

• Notas de la versión de Cisco ISE 3.5

• Soporte técnico y descargas de Cisco