Configuration des notifications par e-mail et SMS pour ISE version 1.4

Introduction

Le document décrit comment configurer Cisco Identity Services Engine (ISE) Version 1.4 afin de prendre en charge les notifications par e-mail et SMS (Short Message Service) pour plusieurs services.

Conditions préalables

Exigences

Cisco recommande que vous ayez une connaissance de base de Cisco ISE et des services invités.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Microsoft Windows version 7 avec Cisco AnyConnect Secure Mobility Client, version 3.1
  
  
• Commutateur de la gamme Cisco Catalyst 3750X qui exécute les versions logicielles 15.0.2 et ultérieures
  
  
• Cisco ISE versions 1.3 et ultérieures

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurer

Cette section décrit comment configurer l'ISE afin de prendre en charge les notifications par e-mail et SMS pour divers services.

Paramètres SMTP

Pour pouvoir utiliser des services de messagerie, l'ISE doit disposer d'un serveur relais SMTP (Simple Message Transfer Protocol) configuré. Afin de configurer le serveur, accédez à Administration > System > Settings > SMTP Server :

Ce serveur doit pouvoir accepter tous les e-mails provenant de l'ISE sans authentification ni cryptage.

Remarque : pour la configuration du serveur relais SMTP, Cisco recommande d'ajouter l'adresse IP ISE à la liste des exceptions (aucune authentification anonyme ou non) et d'exiger l'authentification de tous les autres hôtes.

Paramètres SMS

Pour que les services SMS fonctionnent avec l'ISE, vous devez configurer une passerelle SMS spécifique. ISE prend en charge les passerelles Smtp2SMS et Http2SMS. Par défaut, neuf passerelles sont préconfigurées pour les fournisseurs connus (vous devrez peut-être les régler). Afin de les configurer, accédez à Administration > System > Settings > SMS gateway :

Passerelle SMS via SMTP

Lorsque vous configurez la passerelle SMS SMTP, le seul champ requis est le champ Provider Domain, conformément à la section SMS Gateway Settings for SMS Email Gateway du Guide de l'administrateur de Cisco Identity Services Engine, version 1.4.

Avec les paramètres par défaut (vides), la valeur du champ de modèle de corps d'API SMTP est égale à la valeur $message$.

La valeur du message par défaut dépend du service utilisé. Pour les services de notification (lorsque vous créez un compte d'invité), il est configurable à partir de la page de personnalisation du portail de sponsor (Notify Guest/SMS Notification). C'est la valeur par défaut:

La valeur du champ Modèle de corps d'API SMTP peut également être personnalisée. Les substitutions dynamiques prises en charge pour la valeur par défaut sont $mobilenumber$ et $message$. Par exemple, lorsque vous configurez le modèle de test $message$value, ces données sont envoyées dans la charge utile SMTP :

Après la chaîne du modèle de test, la valeur de $message$ sera remplacée (dans cet exemple, pour le service de notification par SMS).

Un autre exemple de valeur du champ de modèle de corps de l'API SMTP est test template2 $mobilenumber$. Il s'agit de la charge utile qui est envoyée lorsque cette valeur est utilisée :

Il est important de noter une légère différence entre les variables $mobilenumber$ et $message$. Normalement, tous les espaces (espaces) sont protégés et remplacés par le caractère +. Lorsque la variable $message$ est utilisée, ces caractères d'espace blanc sont conservés.

Il existe un exemple de passerelle SMTP SMS (ClickatellViaSMTP) configurée avec plusieurs valeurs dans le champ SMTP API body template. Toutes ces valeurs sont statiques (à l'exception des valeurs $message$ et $mobilenumber$). Les valeurs sont fournies afin de montrer qu'il est possible d'ajuster cette charge utile et de fournir des données supplémentaires, qui pourraient être requises par le fournisseur SMTP. Les valeurs affichées en majuscules doivent être remplacées par les valeurs correctes, fournies par le fournisseur (et elles seront les mêmes pour tous les e-mails envoyés via ce fournisseur).

Voici un exemple :

Passerelle SMS via HTTP

Pour la passerelle HTTP2SMS, entrez SMS HTTP API afin d'utiliser une méthode de requête HTTP Get :

En général, le fournisseur SMS doit indiquer les attributs obligatoires à envoyer et ceux facultatifs, ainsi que le type de chaîne à envoyer et le numéro de port (s'il est différent de 80).

Voici un exemple basé sur le fournisseur de services SMS AwalJawaly, et c'est la structure d'URL qui est utilisée : http://awaljawaly.awalservices.com.sa:8001/Send.aspx.

Voici les paramètres obligatoires :

• Type de demande (SMSSubmitReq)
  
  
• Nom d’utilisateur
  
  
• Mot de passe
  
  
• Numéro de portable
  
  
• Message

Voici les paramètres facultatifs : 

• Adresse d'origine
  
  
• Type
  
  
• Délai de livraison
  
  
• Période de validité
  
  
• Clignotant
  
  
• Accusé de réception
  
  
• Crédits maximaux
  
  
• ID du message client
  
  
• En-tête de données utilisateur (UDH)

Il s'agit de l'URL utilisée dans cet exemple :

http://awaljawaly.awalservices.com.sa:8001/Send.aspx?REQUESTTYPE=SMSSubmitReq&Username=&Test&&Password=123456&MOBILENO=$mobilenumber$&MESSAGE=$message$

Remarque : tous les champs obligatoires sont inclus dans l'URL précédente. Les champs facultatifs peuvent être ajoutés à la chaîne si nécessaire.

Voici quelques remarques sur les champs facultatifs :

1. Le nom d'utilisateur et le mot de passe doivent être inclus dans ce lien (malheureusement, un texte clair est utilisé).
   
   
2. Le numéro de téléphone portable est automatiquement extrait du champ Numéro de téléphone lors de l'exercice de création d'invité à partir du portail du sponsor.
   
   
3. Le champ du message est rempli automatiquement à partir de cet emplacement : Portail du sponsor > Personnalisation de la page du portail > Notifier les invités > Notification SMS > Texte du message.

Une fois que vous avez activé la méthode Use HTTP POST pour la partie données, la requête HTTP POST est utilisée :

Si vous utilisez la méthode POST, spécifiez le type de contenu, tel que plain/text ou application/xml. Toutes les autres informations doivent être partagées par le fournisseur de services SMS.

Le champ Données est principalement utilisé avec la méthode POST. Toutes les informations utilisées dans le champ Données de la méthode GET sont ajoutées à la fin de l'URI (Uniform Resource Identifier) de la requête HTTP GET.

Voici un exemple d'URI pour la requête HTTP GET :

Lorsque la variable $message$ n'est pas utilisée dans le lien URL, mais que des informations sont entrées dans le champ Data, ces informations sont visibles près du début (champ message) de l'URI pour la requête HTTP GET :

Voici un exemple d'URI pour la requête HTTP GET :

Voici quelques remarques sur l'encodage :

• Champ URL €“ Ce champ n'est pas codé en URL. Le numéro de téléphone portable du compte invité est remplacé dans l'URL. Les substitutions dynamiques prises en charge sont $mobilenumber$ et $message$.
  
  
• Champ de données €“ Ce champ est codé en URL par le système application/x-www-form-urlencoded. 
  
  
• Espace €“ Il existe deux types de codage d'URL, qui diffèrent dans la façon dont ils traitent les espaces. Le premier (spécifié par RFC 1738) traite un espace comme un autre caractère non autorisé dans une URL et le code en tant que %20. Le second (lorsque le système application/x-www-form-urlencoded est implémenté) code un espace en tant que + et est utilisé afin de construire les chaînes de requête. La deuxième option utilise les fonctions urlencode( ) et urldecode( ) qui diffèrent de leurs homologues bruts (RFC 1738) seulement en ce qu'elles codent les espaces comme signes plus (+) au lieu de la séquence %20. Étant donné que l'ISE utilise le système application/x-www-form-urlencoded pour le chiffrement du champ Données, un espace est chiffré sous la forme d'un caractère +.

Remarque : si la variable $message$ est utilisée directement dans un lien URL ou si la variable $message$ est utilisée uniquement dans le champ Données, les informations proviennent du texte Message sous la notification SMS (Page de personnalisation du portail > notification SMS). Toutes les données du champ Texte du message sont codées en URL.

En voici deux exemples :

Voici un exemple d'URI pour la requête HTTP GET :

Remarque : la méthode GET ne prend pas en charge HTTPS (elle est uniquement prise en charge par la méthode POST).

Notification des invités avec informations d'identification par e-mail

L'utilisateur qui crée des comptes d'invité via le portail de sponsor a la possibilité d'envoyer des notifications par e-mail avec des informations d'identification à cet utilisateur spécifique :

Cet e-mail est envoyé à l'adresse e-mail de l'invité via le relais SMTP précédemment configuré. Le sponsor peut fournir n'importe quel e-mail utilisé comme De. Si le sponsor ne fournit pas l'adresse e-mail d'invité lors de la création du compte, l'ISE renvoie cette erreur d'interface graphique utilisateur :

Unable to send email.

Les stratégies du serveur SMTP décident d'accepter ou de supprimer un tel e-mail. Par exemple, le serveur peut être configuré afin d'accepter des e-mails seulement du domaine example.com.

Notification d'invité avec informations d'identification par SMS

Pour que cette option fonctionne, le commanditaire doit faire partie du groupe de commanditaires qui a permis le privilège :

Send SMS notifications with guests' credentials

Le privilège du groupe de sponsor par défaut (ALL_ACCOUNTS) est désactivé. Afin de changer ceci, naviguez à Guest Access > Configure > Sponsor Groups > ALL_ACCOUNTS :

Lorsque vous choisissez une notification via SMS, il n'y a pas d'option par défaut pour choisir un fournisseur SMS spécifique, donc un fournisseur par défaut est utilisé. Afin de changer cela, vous pouvez personnaliser le portail de sponsor. 

Afin de personnaliser le portail de sponsor, naviguez vers Guest Access > Configure > Sponsor Portals > Sponsor Portal. Vous pouvez ensuite choisir l'option Personnalisation de la page du portail et faire défiler jusqu'à Créer un compte pour les invités connus :

Dans le volet de droite, changez la valeur de Précédent à Paramètres et sélectionnez le (multiple) fournisseur SMS souhaité pour cette page :

Une fois la page Créer un compte d'invité pour un invité connu du portail personnalisée, le sponsor qui utilise le portail a la possibilité de sélectionner un fournisseur de SMS lors de la création d'un compte d'invité. Ce même fournisseur est utilisé pour d'autres notifications par SMS :

Lorsque la passerelle SMS n'est pas accessible ou renvoie une erreur, l'interface utilisateur graphique ISE envoie une notification :

Unable to send SMS.

Remarque : un SMS n'est pas envoyé lorsque l'utilisateur est créé, mais lorsque l'utilisateur clique sur le bouton Notification une fois la création terminée.

Utilisateurs invités (auto-inscrits)

Les comptes Invités peuvent être créés automatiquement via le portail Invité inscrit. Les utilisateurs invités peuvent créer leurs propres comptes :

Ils sont fournis (par défaut) avec des informations d'identification sur la même page Web :

Ces informations d'identification peuvent également être transmises par e-mail ou SMS.

Accédez à Guest Access > Configure > Guest Portals > Self Registered Guest Portal > Self Registration Page Settings afin d'autoriser plusieurs passerelles SMS pour des invités auto-enregistrés spécifiques :

Les invités peuvent sélectionner un fournisseur de SMS lors de la création du compte. Il est utilisé afin de fournir des informations d'identification à leurs téléphones mobiles :

Une fois l'enregistrement terminé, un mot de passe s'affiche sur la page suivante. Si cela n'est pas souhaité, vous pouvez le désactiver à partir de la section Self Registration Success Page du portail. Sur la même page, vous pouvez également autoriser l'invité à envoyer manuellement la notification par e-mail ou par SMS :

Afin de remettre automatiquement les informations d'identification par e-mail ou SMS (ou les deux), personnalisez la dernière section des Paramètres de la page d'inscription automatique :

Dans ce cas, une adresse e-mail et un numéro de téléphone doivent être saisis lors de la création du compte invité.

Il s'agit du seul flux invité où les notifications peuvent être envoyées automatiquement (immédiatement après l'inscription de l'utilisateur). Lorsque le compte d'utilisateur invité est créé par un sponsor, cette option n'est pas disponible et une notification n'est envoyée qu'une fois que le sponsor a cliqué manuellement sur le bouton Notification.

Approbation des invités par e-mail

Comme décrit dans la section précédente, les invités peuvent s'enregistrer eux-mêmes et avoir un compte automatiquement enregistré. Toutefois, il est également possible d'autoriser le promoteur à approuver ce processus.

Dans ce cas, le sponsor reçoit un e-mail qui doit être approuvé (un lien spécifique dans l'e-mail est cliqué). Ce n'est qu'alors que le compte invité est activé. Afin de configurer cette fonctionnalité (par défaut elle est désactivée) naviguez à Guest Access > Configure > Guest Portals > Self Registered Guest Portal > Self Registration Page Settings et activez l'option Require self-registered invités to be approved :

Vous devez également fournir les adresses e-mail du ou des sponsor(s) qui sont en mesure d'approuver le compte invité.

Voici quelques paramètres supplémentaires qui peuvent être configurés à partir de la page Paramètres d'e-mail des invités :

Ces paramètres s'appliquent à tous les types de notifications d'invité (pas seulement approuvées par le sponsor).

Expiration du compte invité par e-mail/SMS

Les utilisateurs invités peuvent être informés de l'expiration prochaine du compte. Afin de configurer ceci (par type d'invité), naviguez à Guest Access > Guest Types > Contractor :

Tous les invités qui sont des sous-traitants recevront une notification trois jours avant l'expiration du compte. Cette notification peut être envoyée par SMS et/ou e-mail. Le fournisseur SMS spécifique peut être sélectionné et sera utilisé pour tous les invités (même si l'invité spécifique est inscrit et est autorisé à utiliser un autre fournisseur SMS).

Dans la même section, il y a une option M'envoyer un e-mail test à. Cela permet de tester la disponibilité et la configuration du serveur SMTP. Une fois que vous avez fourni une adresse e-mail, ce message est envoyé :

Alarmes envoyées par e-mail

ISE peut envoyer des e-mails pour les alertes système détectées. Afin d'activer cette fonctionnalité, naviguez à Administration > System > Alarm Settings > Alarm Notification et fournissez les adresses e-mail From et To :

Assurez-vous qu'une alarme spécifique est activée dans la section Configuration d'alarme :

Une fois activée et déclenchée, un e-mail est envoyé lorsque l'alarme est déclenchée. Voici un exemple d'alerte type envoyée :

ISE Alarm : Warning : No Accounting messages in the last 15 mins

No Accounting Start

Details :
No Accounting messages in the last 15 mins

Description :
No Accounting messages have been received from Network Device(s) in the past 15 minutes
 for any of the session(s) authorized by ISE Policy Service Nodes

Suggested Actions :
Ensure RADIUS accounting is configured on the Network Device(s), Check Network Device(s)
 configuration for local Authorization

*** This message is generated by Cisco Identity Services Engine (ISE) ***

Sent By Host : ise13

Envoyer des SMS via l'API REST

ISE permet l'utilisation d'une API REST invitée afin de créer des utilisateurs invités. Une fois qu'un utilisateur invité est créé avec le fournisseur SMS approprié, il est possible d'envoyer un SMS avec l'API REST invitée. Voici un exemple :

PUT https://<ISE-ADMIN-NODE>:9060/ers/config/guestuser/sms/444/portalId/
 ff2d99e0-2101-11e4-b5cf-005056bf2f0a
Authorization: Basic xxxxxxxxxxxxxxxxxxx
Accept:a pplication/vnd.com.cisco.ise.identity.guestuser.2.0+xml

Dans cet exemple, 444 est l'ID utilisateur invité et la longue chaîne (ff2d99e0-2101-11e4-b5cf-005056bf2f0a) est l'ID de portail (portail sponsor).

Remarque : une autorisation HTTP de base est requise pour un utilisateur sponsor correct. Pour plus de détails, référez-vous au Guide de référence de l'API.

Vérifier

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.

Informations connexes

• Guide de l'administrateur de Cisco Identity Services Engine, version 1.3
  
  
• Guide de l'administrateur de Cisco Identity Services Engine, version 1.4 € Configurer “ accès invité
  
  
• Guide de référence de l'API Cisco Identity Services Engine, version 1.4 € envoyer un texte SMS à un utilisateur invité“
  
  
• Guide de l'administrateur de Cisco Identity Services Engine, version 1.3 € paramètres “ passerelle SMS
  
  
• Administrer Cisco ISE
  
  
• Assistance et documentation techniques - Cisco Systems