Implémentation et configuration du délai de grâce et du correctif de la stratégie de position ISE

Problème

Une demande d'accès à un correctif de préversion ou à une version d'ingénierie provisoire pour Cisco ISE 3.4 a été faite afin de valider le correctif pour le bogue Cisco défectueux ID CSCwo52494, qui concerne l'application d'un délai de grâce individuel par politique de posture. Le correctif devait être inclus dans le correctif 8 d'ISE 3.4, mais une validation était nécessaire avant la disponibilité officielle du correctif dans un environnement exécutant actuellement le correctif 4 d'ISE 3.4.

Le problème spécifique résolu par l'ID de bogue Cisco CSCwo52494 était que ISE envoyait de manière incorrecte la valeur de délai de grâce maximum même lorsque la stratégie de posture était réussie, plutôt que d'envoyer uniquement la valeur de délai de grâce maximum à partir des stratégies de posture échouées comme prévu.

Environnement

• Cisco Identity Services Engine (ISE) 3.4

• Fonctionnalité de posture ISE

• Version actuelle du logiciel : Correctif 4 ISE 3.4

• Version du logiciel cible : ISE 3.4 Patch 8 (pour le correctif officiel)

• Référence du défaut : ID de bogue Cisco CSCwo52494

Résolution

Un correctif logiciel a été fourni pour résoudre le problème du délai de grâce de la stratégie de position ISE. Le correctif logiciel a corrigé le comportement selon lequel ISE envoyait de manière incorrecte la valeur de délai de grâce maximum même lorsque les stratégies de posture ont réussi.

Résultats de la mise en oeuvre

Après l'installation du correctif, ISE envoie désormais correctement la valeur de délai de grâce maximum à partir des stratégies de posture défaillantes, ce qui correspond au comportement attendu. Le système implémente maintenant correctement cette logique :

• Lorsqu'un périphérique correspond à plusieurs stratégies de posture, chacune avec une période de grâce différente, le périphérique reçoit la période de grâce maximale configurée parmi les stratégies ayant échoué.

• Si deux stratégies ont échoué, ISE choisit la période de grâce maximale dans la version 3.4.

Informations supplémentaires sur les améliorations

Pour les environnements nécessitant un contrôle plus granulaire sur la sélection de la période de grâce, une amélioration supplémentaire a été identifiée. Un nouveau paramètre de vignette d'interface utilisateur dans la page Paramètres généraux de posture qui permet aux administrateurs de choisir entre l'utilisation de la période de grâce maximale ou minimale parmi les stratégies de posture qui ont échoué est disponible à partir du correctif 1 d'ISE 3.5. Cette fonctionnalité ne peut pas être rétroportée vers les versions 3.4 à l'aide de correctifs et est suivie sous l'ID de bogue Cisco CSCwr60808.

Motif

La cause principale a été identifiée comme étant l'envoi incorrect de la valeur de délai de grâce maximum par ISE, même lorsque les stratégies de posture ont réussi. Le comportement attendu est qu'ISE envoie uniquement la valeur maximale de la période de grâce à partir des stratégies de posture ayant échoué. Ce comportement a été corrigé par l'ID de bogue Cisco CSCwo52494.

Autres informations utiles

• Guide de l'administrateur ISE 3.4 - Conformité

• ID de bogue Cisco CSCwr60808

• Notes de version de Cisco ISE 3.5

• Assistance technique de Cisco et téléchargements