La consulta de conformidad con MDM de ISE 3.2 falla debido a la supresión del cliente y a un defecto de software

Problema

Algunos terminales autenticados mediante EAP-TLS en Cisco Identity Services Engine (ISE) no reciben de forma intermitente un estado de conformidad de Microsoft Intune, aunque se muestren como conformes en el panel de Intune. Como resultado, estos terminales alcanzan una política de autorización inalámbrica predeterminada en lugar de la esperada política de cumplimiento de condición o de no cumplimiento de condición. Los terminales afectados no muestran los atributos de cumplimiento de la gestión de dispositivos móviles (MDM) en los informes de MDM externos o los registros en directo de ISE, y el problema afecta solo a un subconjunto de clientes de la implementación.

Los síntomas específicos observados incluyen:

• Los clientes anómalos no tienen registros en el informe de ISE en el informe de gestión de dispositivos móviles externos.

• Los clientes anómalos no tienen atributos como el estado conforme con MDM o el estado conforme con el dispositivo en los detalles del registro activo.

• Los clientes anómalos alcanzaron la política de autorización inalámbrica 802.1x_EAP-TLS_toyotawifi en lugar de la política de cumplimiento de condición.

• Los mensajes de error en los registros muestran "Error al conectar con el servidor MDM: 404 No encontrado".

Entorno

• Cisco ISE Multi-Node Cluster versión 3.2, parche 6

• 8 nodos ISE en el clúster, todos con estado verde

• 11 000 clientes con cables/inalámbricos integrados con Microsoft Intune

• Los clientes utilizan autenticación EAP-TLS (certificado de equipo)

• ISE utiliza la dirección MAC del cliente para las consultas a Intune

• Todos los clientes tienen el estado de cumplimiento en el panel de Microsoft Intune

• El problema afecta a algunos clientes, pero no a todos

Resolución

El problema se resolvió mediante estos pasos.

Paso 1: Identificar la causa raíz

El análisis de los registros de ISE reveló que los terminales afectados tienen una ID de servidor de MDM obsoleta que impide que se ejecuten las consultas de MDM.

Los registros mostraron:

2026-06-15 13:35:14,343 DEBUG [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.util.MDMUtil -:::::- MDM server id from Endpoint : ccb4559d-3943-4a21-bc8e-e2b8b3d20fcf
2026-06-15 13:35:14,343 DEBUG [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.util.MdmServersCache -:::::- isMultiMdmOptEnabledForRegDevices ==== multi mdm not enabled
2026-06-15 13:35:14,344 ERROR [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.pip.MdmPartnerPIPHandler -:::::- Error : null value for active MDM server for MDM server id : ccb4559d-3943-4a21-bc8e-e2b8b3d20fcf

Además, se detectó que la implementación afectaba al ID de error de Cisco CSCwv51917, lo que afecta a las búsquedas de cumplimiento de MDM cuando la dirección MAC tiene un ID de servidor de MDM obsoleto.

Paso 2: Solución temporal

Como solución temporal:

1.- Eliminar el punto final de Visibilidad de contexto y volver a autenticar. Esto se observó para solucionar el problema de la consulta al servidor MDM y la obtención del estado de cumplimiento.

2.- Navegue hasta Visibilidad del contexto.

3.- Seleccione la dirección MAC del terminal y elimínela.

4.- Volver a autenticar el punto final.

Paso 3: Resolución permanente: actualización de software

Se está realizando un seguimiento de la resolución permanente con el Id. de error de Cisco CSCwv51917.

Causa

Durante la autenticación, ISE intenta consultar la referencia de servidor MDM obsoleta, pero el objeto de servidor MDM correspondiente ya no existe o está inactivo. Por consiguiente, ISE no recupera los atributos de cumplimiento de MDM de Intune.

Contenido relacionado

• Id. de error de Cisco CSCwv519173134

• Notas de la versión de ISE 3.2 - Advertencias resueltas

• Aviso de fin de vida útil de ISE 3.2

• Soporte técnico y descargas de Cisco

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	26-Oct-2026	Versión inicial