Problèmes de performances des requêtes de groupes externes EntraID ISE 3.5 et résolution des autorisations de l'API Microsoft Graph

Problème

Le correctif Cisco ISE 3.52 avec configuration EntraID REST ID Store subit des retards d'authentification importants lors de l'authentification EAP-TLS lors de l'interrogation de EntraID.ExternalGroups. La phase Queried PIP - EntraID.ExternalGroups prend plus de 30 secondes pour se terminer, provoquant le dépassement du délai d'attente des clients EAP et le redémarrage de l'authentification, empêchant la fin de session réussie.

En outre, lorsque vous tentez d'enregistrer les attributs de groupe dans la configuration EntraID REST ID Store, le message d'erreur suivant s'affiche :

java.rmi.RemoteException: null; nested exception is: java.lang.NullPointerException

Les journaux d'authentification affichent les erreurs PIP asynchrones et la suspension du moteur de stratégie pendant le processus de recherche des groupes externes. Le problème se manifeste sous la forme de workflows d'authentification en échec où les clients ne peuvent pas terminer les sessions EAP en raison des délais de requête étendus.

Environnement

• Cisco Identity Services Engine (ISE) version 3.5.0.527 avec patch 2

• Intégration de Microsoft EntraID (Azure Active Directory) via le magasin d'ID REST

• Authentification EAP-TLS configurée

• Source REST configurée pour EntraID avec récupération d'attribut de groupe

• Problème observé sur les correctifs ISE 3.4 4/5 et ISE 3.5 2/3

Résolution

La résolution implique l'octroi des autorisations API Microsoft Graph correctes à l'application Azure utilisée par l'intégration ISE EntraID REST ID Store.

Étape 1: Octroyer les autorisations requises pour l'API Microsoft Graph

Accédez au portail Azure et localisez l'enregistrement d'application utilisé pour l'intégration ISE. Accordez cette autorisation API de type application :

Directory.Read.All

Assurez-vous que le consentement de l'administrateur est accordé pour cette autorisation.

Étape 2: Redémarrer les services ISE

Après avoir accordé l'autorisation Directory.Read.All, redémarrez les services sur tous les noeuds ISE pour vous assurer que les nouvelles autorisations prennent effet.

Étape 3: Vérifier la résolution

Testez le processus d'authentification pour confirmer que la phase PIP interrogé - EntraID.ExternalGroups se termine dans des délais acceptables et que les attributs de groupe peuvent être enregistrés sans erreurs.

Les journaux de résolution doivent indiquer que l'opération s'est terminée sans AsynchronousPIPError :

2026-05-26 14:21:47,981 DEBUG [I/O dispatcher 1][[]] cisco.ise.ropc.utilities.HttpClientWrapper -:::::- User attribute lookup - Thread name I/O dispatcher 1

Motif

Le problème est causé par l'ID de bogue Cisco CSCwu13703, qui affecte le correctif 3 d'ISE 3.5 et les versions associées. Le bogue est lié à des autorisations API Microsoft Graph insuffisantes pour l'intégration EntraID. Sans l'autorisation Directory.Read.All appropriée, ISE ne peut pas interroger efficacement les groupes externes à partir d'EntraID, ce qui entraîne des conditions de délai d'attente et la suspension du moteur de stratégie via des exceptions AsynchronousPIPError.

Le processus d'authentification échoue, car chaque échec d'évaluation entraîne le renvoi d'AsynchronousPIPError par le moteur de stratégie et la suspension du flux de travail d'authentification, ce qui entraîne des délais d'interrogation étendus et un éventuel délai d'attente du client.

Autres informations utiles

• ID de bogue Cisco CSCwu13703

• Guide de configuration de Cisco ISE avec Microsoft Active Directory Entra ID et Intune

Historique de révision

Révision	Date de publication	Commentaires
1.0	08-Oct-2026	Première publication