Gestion des comptes d'invités ISE

 Les membres affichent tous les groupes disponibles parmi lesquels choisir ; sélectionnez le groupe AD et déplacez-le vers la droite pour l'ajouter au groupe sponsor.

Enregistrez les modifications. La connexion au portail du sponsor fonctionne désormais avec les comptes d'utilisateurs AD qui font partie du groupe AD sélectionné.

Les mêmes étapes peuvent être suivies pour ajouter des utilisateurs via LDAP. Des groupes d'identité utilisateur définis en interne sont également disponibles en tant qu'option à ajouter aux groupes de sponsor.

Utilisez un de ces comptes de sponsor pour vous connecter au portail de sponsor. Le portail du sponsor peut être utilisé pour :

• Modifier et supprimer des comptes invités
• Prolonger la durée du compte invité
• Suspendre le compte invité
• Rétablir les comptes d'invité expirés
• Réinitialiser et réinitialiser les mots de passe des invités
• Approuver les comptes d'invité en attente

Sur le portail du sponsor, sélectionnez l'onglet Gérer les comptes pour afficher tous les comptes invités que ce sponsor est autorisé à gérer, comme illustré dans cette image.

Un compte invité peut être modifié quel que soit l'état dans lequel il se trouve.

Il est possible de renvoyer le mot de passe du compte invité au cas où le titulaire du compte les oublierait ou les perdrait. Le mot de passe d'un compte invité ne peut être renvoyé que s'il est à l'état Actif ou Créé.

Les mots de passe ne peuvent pas être renvoyés pour les invités qui les ont modifiés. Dans ce cas, l'option de réinitialisation du mot de passe doit être utilisée en premier. Impossible d'envoyer le mot de passe pour les comptes en attente d'approbation, suspendus, expirés ou refusés.

Un sponsor peut choisir l'option de recevoir une copie du mot de passe modifié :

Si vous devez autoriser l'accès invité au réseau pendant une période plus longue que celle autorisée à l'origine, utilisez l'option étendue pour augmenter la durée. Les comptes à l'état Créé, Actif ou Expiré peuvent être étendus.

Un compte suspendu ou refusé ne peut pas être prolongé ; utilisez plutôt l'option de rétablissement.

La période de prolongation maximale autorisée est régie par le type d'invité du compte.

Les comptes d'invité expirent seuls lorsqu'ils atteignent la fin de la durée du compte, quel que soit leur état. Les comptes invités suspendus ou expirés sont automatiquement purgés en fonction de la stratégie de purge définie sur le système. Par défaut, ils sont purgés tous les 15 jours.

Le compte d'invité indique et leur signification :

Actif : Les invités disposant de ces comptes se sont correctement connectés via un portail invité accrédité ou ont contourné le portail captif invité accrédité. Dans ce dernier cas, les comptes appartiennent à des types d'invités configurés pour contourner le portail captif invité accrédité. Ces invités peuvent accéder au réseau en fournissant leurs identifiants de connexion au demandeur natif sur leur périphérique.

Créé : Les comptes ont été créés, mais les invités ne se sont pas encore connectés à un portail invité accrédité. Dans ce cas, les comptes sont affectés aux types d'invités qui ne sont pas configurés pour contourner le portail captif invité accrédité. Les invités doivent d'abord se connecter via le portail dédié aux invités accrédités avant de pouvoir accéder à d'autres parties du réseau.

Refusé : L'accès au réseau est refusé aux comptes. Les comptes qui ont expiré alors qu'ils étaient dans un état refusé restent comme refusés.

En attente d'approbation : Les comptes sont en attente d'approbation pour accéder au réseau.

Suspendu : Les comptes sont suspendus par un parrain qui a le privilège de le faire.

Stratégies de purge des invités

Par défaut, ISE purge automatiquement les comptes d'invité expirés tous les 15 jours. Ces informations peuvent être affichées sous Centres de travail > Accès invité > Paramètres > Stratégie de purge de compte invité.

Date de la purge suivante indique quand la purge suivante aura lieu. L'administrateur ISE peut :

• Programmez une purge tous les X jours. La durée de la purge spécifie quand la première purge se produit en X jours. Après cela, la purge se produit tous les X jours.
• Programmez une purge un jour donné de la semaine, toutes les X semaines.
• Forcer une purge à la demande à l'aide de l'option Purger maintenant.

Lorsque des comptes d'invité expirés sont purgés, les informations de terminal, de rapport et de journalisation associées sont conservées.

Purger le point de terminaison : Jours inactifs par rapport aux jours écoulés pour les terminaux

Les points d'extrémité que les invités utilisent pour accéder au réseau deviennent par défaut partie de GuestEndpoints. ISE a pour politique de supprimer les terminaux invités et les périphériques enregistrés qui ont plus de 30 jours. Ce travail de purge par défaut s'exécute à 1 heure par jour en fonction du fuseau horaire configuré sur le noeud d'administration principal (PAN). Cette stratégie par défaut utilise la condition ElapsedDays. Les autres options disponibles sont InactiveDays et PurgeDate.

Note: La fonctionnalité de purge du point de terminaison est indépendante de la stratégie de purge du compte invité et de l'expiration du compte invité.

La stratégie est définie sous Administration > Identity Management > Settings > Endpoint Purge.

Jours écoulés : Cela se rapporte au nombre de jours depuis la création de l'objet. Cette condition peut être utilisée pour les points de terminaison auxquels un accès non authentifié ou conditionnel a été accordé pendant une période définie, par exemple un point de terminaison invité ou sous-traitant, ou pour les employés qui utilisent l'authentification Web pour accéder au réseau. Après la période de grâce de connexion autorisée, ils doivent être entièrement réauthentifiés et enregistrés.

Jours inactifs : Indique le nombre de jours écoulés depuis la dernière activité de profilage ou la dernière mise à jour du point de terminaison. Cette condition purge les périphériques obsolètes qui se sont accumulés au fil du temps, les invités ou les périphériques personnels généralement temporaires ou les périphériques retirés. Ces terminaux ont tendance à représenter du bruit dans la plupart des déploiements car ils ne sont plus actifs sur le réseau ou risquent d'être détectés dans un avenir proche. S'ils se connectent à nouveau, ils seront redécouverts, profilés, enregistrés, etc. selon les besoins. 

Lorsqu'il y a des mises à jour à partir du point de terminaison, InactivityDays sera réinitialisé à 0 uniquement si le profilage est activé. 

Date de purge : Date de suppression du point de terminaison. Cette option peut être utilisée pour des événements spéciaux ou des groupes où l'accès est accordé pour une heure spécifique, indépendamment de l'heure de création ou de début. Cela permet de purger tous les terminaux en même temps. Par exemple, un salon professionnel, une conférence ou un cours de formation hebdomadaire avec de nouveaux membres chaque semaine, où l'accès est accordé pour une semaine ou un mois spécifique plutôt que pour des jours/semaines/mois absolus. 

Cet exemple de fichier profiler.log montre quand les points de terminaison qui faisaient partie de GuestEndpoints et qui avaient expiré 30 jours ont été purgés :

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :REGULAR
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- epPurgeRuleID is :3bfaffe0-8c01-11e6-996c-525400b48521
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- purging description: ENDPOINTPURGE:ElapsedDays EQUALS 30
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- purging expression: GuestInactivityCheck & GuestEndPointsPurgeRuleCheck5651c592-cbdb-4e60-aba1-cf415e2d4808
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- EPCondition name is : GuestInactivityCheck
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the condLabel are :ENDPOINTPURGE ElapsedDays EQUALS 30
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- rulename is : 3c119520-8c01-11e6-996c-525400b48521
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :EXCLUSION
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- rulename is : 3c2ac270-8c01-11e6-996c-525400b48521
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the rule type is :REGULAR
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- epPurgeRuleID is :3c2ac270-8c01-11e6-996c-525400b48521
2

2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- EPCondition name is : RegisteredInactivityCheck
2020-07-09 09:35:21,983 INFO [admin-http-pool20][] cpm.admin.profiler.action.ProfilerEndpointsPurgingAction -::- the condLabel are :ElapsedDays Greater than 30
2020-07-09 09:35:26,407 INFO [admin-http-pool13][] cisco.profiler.infrastructure.profiling.EPPurgeRuleEvaluator -::- Started to Update the ChildParentMappingMap
2020-07-09 09:35:26,408 INFO [admin-http-pool13][] cisco.profiler.infrastructure.profiling.EPPurgeRuleEvaluator -::- Completed to Update the ChildParentMappingMap
2020-07-09 09:35:26,512 INFO [admin-http-pool13][] cisco.profiler.infrastructure.notifications.ProfilerEDFNotificationAdapter -::- EPPurge policy notification.
2020-07-09 09:35:26,514 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Requesting purging.
2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- New TASK is running : 07-09-202009:35
2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Read profiler.endPointNumDaysOwnershipToPan from platform properties: null
2020-07-09 09:35:26,524 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Value of number days after which ownership of inactive end points change to PAN: 14
2020-07-09 09:35:26,525 INFO [PurgeImmediateOrphanEPOwnerThread][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Updating Orphan Endpoint Ownership to PAN.
2020-07-09 09:35:26,530 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Purge Endpoints for PurgeID 07-09-202009:35
2020-07-09 09:35:26,532 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- hostname of the node ise26-1.shivamk.local
2020-07-09 09:35:26,537 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Search Query page1 lastEpGUID. EndpointCount4
2020-07-09 09:35:26,538 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:FF IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:26,539 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:01 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:26,540 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:03 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:26,540 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- EndpointAA:BB:CC:DD:EE:04 IdentityGroupIDaa178bd0-8bff-11e6-996c-525400b48521 identityGroupGuestEndpoints elapsedTime30 inactivityTime0 PurgeDeleteStatustrue CalledStationIDnull EndpointFetchedFromCachetrue
2020-07-09 09:35:27,033 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Endpoints PurgeID '07-09-202009:35' purged 4
2020-07-09 09:35:27,034 INFO [EPPurgeEventHandler-20-thread-1][] profiler.infrastructure.probemgr.event.EPPurgeEventHandler -::- Endpoints PurgeID '07-09-202009:35' purged 4 in 504 millisec numberofEndpointsRead4

Une fois la purge terminée :

Dépanner les problèmes d'invité et de purge

Afin de capturer les journaux liés aux problèmes d'invité et de purge, ces composants peuvent être définis sur debug. Pour activer les débogages, accédez à Administration > System > Debug Log Configuration > Select node.

Pour les comptes invité/sponsor et le dépannage lié à la purge des points d'extrémité, définissez ces composants sur debug :

• accès invité
• guest-admin
• guest-access-admin
• profileur
• runtime-AAA

Pour les problèmes liés au portail, définissez ces composants sur debug :

• portail de parrainage
• portail
• portal-session-manager
• accès invité

Informations connexes

• Guide de déploiement des conditions d'accès invité ISE
• Dépannage et activation des débogages sur ISE