Guida al funzionamento di Cisco IQ Virtual Appliance v1.2.4

Introduzione

Cisco ^IQTM offre ai clienti funzionalità progettate per migliorare la visibilità degli asset e offrire informazioni più dettagliate negli ambienti. Inoltre, le funzioni di AI, come l'Assistente AI, ottimizzano i risultati operativi e l'esperienza utente di Cisco IQ fornendo una comprensione contestuale che consente agli utenti di prendere decisioni proattive e informate e semplifica i processi per il coinvolgimento e il successo del cliente.

Cisco IQ On-Prem Air-Gapped è la modalità di installazione di Cisco IQ creata per ambienti che non possono connettersi al cloud. Viene fornita come macchina virtuale (VM) indipendente, nota come Cisco IQ Virtual Appliance (VA), che funziona interamente nella sede del cliente in totale isolamento dalle reti esterne, con aggiornamenti software e pacchetti di manutenzione ottenuti da Cisco IQ SaaS e trasferiti alla VA tramite un processo manuale approvato.

Per le organizzazioni che operano in ambienti regolamentati, ad alta sicurezza e sovrani, il VA elimina il compromesso tra insight e controllo. I clienti implementano le funzionalità Cisco IQ Assets and Assessment all'interno della propria rete e mantengono la proprietà completa dei dati, ottenendo comunque le informazioni dettagliate e i consigli che si aspettano da Cisco IQ. La modalità di installazione Air-Gapped estende le funzionalità di Cisco IQ SaaS agli ambienti isolati, consentendo ai team mission-critical di operare con la velocità e l'intelligenza diagnostica delle aziende connesse al cloud.

Questa guida fornisce istruzioni per il funzionamento, il monitoraggio e la manutenzione dell'ambiente virtuale, incluse le procedure per la gestione dell'ambiente di rete e l'amministrazione continua del sistema.

Gestione connessione (raccolta dati) 

Cisco IQ VA è una soluzione on-premises per la raccolta dei dati di rete che offre una visibilità completa sull'infrastruttura. Raccoglie i dati tramite Catalyst Center e Direct Connection. e semplifica la gestione dell'autenticazione di rete e dell'individuazione dei dispositivi. La configurazione della raccolta dati è costituita da:

• Creazione di set di credenziali: Stabilire i protocolli di autenticazione (ad esempio, SNMP (Simple Network Management Protocol) v1/v2c/v3) per comunicare con i dispositivi di rete. La centralizzazione delle credenziali in base all'area di protezione o alla posizione (ad esempio, "SanJose-SNMPv3") consente di aggiornare le password in un'unica posizione, con la propagazione automatica delle modifiche a tutti i dispositivi associati.
• Mapping delle credenziali sul magazzino: Mappare le serie di credenziali con le risorse di inventario per automatizzare il processo di autenticazione. Creando regole che collegano intervalli IP specifici a set di credenziali definiti, il sistema applica automaticamente l'autenticazione corretta durante la raccolta dei dati. In questo modo si eliminano gli errori di immissione manuali e si garantisce la precisione della configurazione in base alla crescita della rete.

Nota: Per l'individuazione dei dispositivi sono richiesti SNMPv2c/SNMPv3 e SSH. Prima di configurare Catalyst Center, è necessario fornire le credenziali HTTP/HTTPS.

Tipi di credenziali per metodo di connessione

Esempio di selezione delle credenziali

Metodo Connection	Protocollo/Credenziali	Dati raccolti
Catalyst Center	HTTP/HTTPS (ruolo Amministratore)	Inventario completo tramite le API di Catalyst Center
Direct to Device (SNMP + SSH)	SNMPv2c/v3 (sola lettura) + SSH	Full: Dati Management Information Base (MIB) + output CLI
Direct to Device (solo SNMP)	SNMPv2c/v3 (sola lettura)	Parziale: Solo dati MIB

Nota: SNMP (v2c o v3) è richiesto per il rilevamento dei dispositivi quando si utilizza la connessione diretta; senza l'SNMP, i dispositivi vengono considerati non gestiti indipendentemente dalla disponibilità del protocollo SSH.

Connessione Catalyst Center

Quando Cisco IQ VA raccoglie i dati tramite Catalyst Center, comunica con Catalyst Center utilizzando le credenziali HTTPS. il VSA non si connette direttamente ai dispositivi gestiti da Catalyst Center utilizzando SSH o SNMP; al contrario, Catalyst Center funge da intermediario e fornisce all'amministratore di sistema i dati di inventario dei dispositivi tramite le relative API.

• Credenziali richieste: HTTP/HTTPS con privilegi di amministratore su Catalyst Center. Per eseguire query sulle API di Catalyst Center e recuperare i dati di inventario completi dei dispositivi, è necessario l'accesso a livello di amministratore

• Non richiesto: Credenziali SSH o SNMP per dispositivi gestiti da Catalyst Center

Nota: I privilegi di osservatore (sola lettura) non sono sufficienti per la raccolta dei dati. Per accedere alle API di Catalyst Center utilizzate per il recupero dell'inventario, è necessario disporre delle credenziali di amministratore per Catalyst Center.

Aggiunta di credenziali e configurazioni HTTP/HTTPS per Catalyst Center

1. Da Impostazioni di sistema, scegliere Gestione connessione.

2. Fare clic sulla scheda Credenziali.

3. Fare clic su Aggiungi credenziali.

4. Immettere un nome, ad esempio "CatC-HTTPS-SiteA".

5. Selezionare la casella di controllo Protocollo HTTP/HTTPS.

6. Fare clic su Next (Avanti).

7. Immettere i dettagli di accesso a Catalyst Center (nome utente e password con ruolo Admin).

8. Fare clic su Next (Avanti).

9. Immettere l'indirizzo IP del Catalyst Center o il nome di dominio completo (FQDN) negli indirizzi IP inclusi.

10. Fare clic su Save (Salva).

11. Configurare la connessione di Catalyst Center:

    1. Da Gestione connessione, fare clic sulla scheda Catalyst Center.

    2. Fare clic su Add Catalyst Center.

    3. Immettere l'indirizzo IP o il FQDN.

    4. Selezionare le credenziali HTTP/HTTPS create dall'elenco a discesa Seleziona credenziali.

    5. Fare clic su Invia.

Nota: Dopo aver aggiunto Catalyst Center, attendere fino a 75 minuti per il completamento della sincronizzazione iniziale dei dati.

Connessione dati diretta (a livello di dispositivo)

Quando il VLAN si connette direttamente ai dispositivi senza Catalyst Center, utilizza SNMP e SSH. La combinazione di credenziali determina l'ambito dell'individuazione e delle raccolte:

Esempio di selezione delle credenziali

Credenziali fornite	Risultato
SNMP + SSH	Operazione riuscita: individuazione completa: Raccolta MIB e CLI
SNMP + SSH (errore SSH)	Parziale — solo raccolta MIB
Solo SNMP (senza SSH)	Parziale — solo raccolta MIB
Solo SSH (senza SNMP)	Errori: dispositivo non gestito
Nessuno	Errori: dispositivo non gestito

Nota: L'SNMP è obbligatorio per il rilevamento diretto dei dispositivi. Se le credenziali SNMP sono mancanti o si verificano errori, il dispositivo non verrà individuato, indipendentemente dalla disponibilità del protocollo SSH.

Aggiunta di credenziali SNMP

1. Da Impostazioni di sistema, scegliere Gestione connessione.

2. Fare clic sulla scheda Credenziali.
3. Fare clic su Aggiungi credenziali.
4. Immettere un nome, ad esempio "Direct-SNMPv3-Core".
5. Selezionare la casella di controllo Protocollo SNMPv2c o SNMPv3.
6. Fare clic su Next (Avanti).
7. Immettere la stringa della community SNMP (v2c) o i dettagli di autenticazione/crittografia (v3).

Nota: Utilizzare stringhe della community di sola lettura (RO). L'accesso in scrittura non è richiesto e non è consigliato.

8. Fare clic su Avanti.

9. Inserire gli indirizzi IP inclusi (ossia gli indirizzi IP o gli intervalli di dispositivi a cui si applicano le credenziali).

10. Fare clic su Salva.

Aggiunta delle credenziali SSH

1. Da Impostazioni di sistema, scegliere Gestione connessione.

2. Fare clic sulla scheda Credenziali.

3. Fare clic su Aggiungi credenziali.

4. Immettere un nome, ad esempio "Direct-SSH-Core".

5. Selezionare la casella di controllo SSH protocol.

Nota: È possibile combinare SNMP e SSH in un unico set di credenziali selezionando entrambe le caselle di controllo del protocollo. Ciò semplifica la gestione quando entrambe le credenziali si applicano agli stessi intervalli IP.

6. Fare clic su Avanti.

7. Immettere il nome utente e la password SSH (o le credenziali basate su chiave).

8. Fare clic su Avanti.

9. Immettere gli IP inclusi corrispondenti agli stessi dispositivi delle credenziali SNMP impostate.

10. Fare clic su Salva.

Selezione credenziali e logica di corrispondenza

Il motore di telemetria utilizza una logica di corrispondenza basata sulla priorità per determinare le credenziali da applicare durante l'individuazione e la raccolta. La comprensione di questa gerarchia garantisce l'utilizzo delle credenziali corrette per i dispositivi desiderati.

• Livello di priorità: Quando a un dispositivo vengono applicati più set di credenziali, Cisco IQ li valuta in base alla corrispondenza specifica con il dispositivo; il sistema applica la seguente priorità, con le corrispondenze più specifiche che hanno la precedenza:

• Corrispondenza esatta IP: Priorità massima

• Match con caratteri jolly: la priorità dipende dal numero di stelle finali; meno stelle indicano una corrispondenza più specifica e quindi una priorità più alta

• Regole di formattazione con caratteri jolly: I caratteri jolly (*) sono supportati solo come caratteri finali negli indirizzi IP. devono essere applicati da destra a sinistra.
  • Formati supportati:
    • 1.2.3.* (priorità massima)
    • 1.2.*
    • 1.*.*.*
    • *.*.*.* (priorità più bassa)
  • Formati non supportati:
    • Caratteri jolly iniziali (ad esempio, *.1.2.3)
    • Caratteri jolly tra ottetti (ad esempio, 10.10.*.20)
    • Utilizzo di trattini o altri delimitatori non standard

Esempio di selezione delle credenziali

IP dispositivo	Set di credenziali disponibili	Set di credenziali selezionato
10.10.1.5	10.10.1.5, 10.10.1., 10.10.*	10.10.1.5 (Corrispondenza Esatta)
10.10.2.15	10.10.2, 10.10.*	10.10.2.* (Più specifico)
10.10.5.50	10.10...	10.10. (Più specifico)

Nota: Se un dispositivo rientra in più categorie sovrapposte, il sistema seleziona sempre il set di credenziali con la più alta specificità (in altre parole, il minor numero di caratteri jolly finali).

Raccolta dei dati tramite Catalyst Center

È possibile connettere fino a 20 Catalyst Center (non cluster) per ciascuna istanza di Cisco IQ VA.

Per la raccolta dei dati con Catalyst Center:

1. Da Impostazioni di sistema, scegliere Gestione connessione. Viene visualizzata la pagina Gestione connessione.

Gestione connessione

2. Fare clic sull'opzione Catalyst Center.

Aggiungi Catalyst Center

3. Immettere l'indirizzo IP o il FQDN.
4. Scegliere una credenziale HTTP/HTTPS configurata dall'elenco a discesa Seleziona credenziale.
5. Fare clic su Invia. Viene visualizzata una schermata di conferma (può richiedere fino a 75 minuti). È possibile visualizzare il Catalyst Center appena aggiunto in Connessioni configurate.
6. Pianificare una raccolta. Per ulteriori informazioni, vedere Pianificazione.

Raccolta manuale dei dati

Per aggiungere dispositivi per la connessione dati diretta:

1. Da Impostazioni di sistema, scegliere Gestione connessione. Viene visualizzata la pagina Gestione connessione.

Gestione connessione

2. Fare clic su Manual IP Address (Indirizzo IP manuale). Viene visualizzata la pagina Connessione diretta con due (2) opzioni per la raccolta dei dati.

Carica file

3. Fare clic sull'opzione preferita da Choose a Method of Entry (Scegli metodo di immissione) e fornire le informazioni sul dispositivo utilizzando uno dei metodi seguenti:

• Carica file: Fare clic o trascinare il file

Specificare i singoli dispositivi

•  Specificare i singoli dispositivi: Immettere un nome host, un indirizzo IP o un elenco separato da virgole di nomi host e/o indirizzi IP

4. Fare clic su Invia. Dopo l'invio, l'utente viene reindirizzato alla scheda Asset.
5. Pianificare una raccolta. Per ulteriori informazioni, vedere Pianificazione.

Scansione della rete

1. Da Impostazioni di sistema, scegliere Gestione connessione. Viene visualizzata la pagina Gestione connessione.

Scansione della rete

2. Fare clic su Scansione rete. Viene visualizzata la pagina Connect Assets by Network Scan con tre (3) opzioni.

Connetti risorse tramite scansione di rete utilizzando intervallo IP

• Specifica intervallo IP: Definire un intervallo di indirizzi IP per i dispositivi di destinazione compresi nell'intervallo per l'individuazione della rete o le attività di gestione
• Specificare il protocollo Discovery Protocol (CDP/LLDP): Scegliere il protocollo di individuazione della rete da utilizzare
• Caricamento file: Caricare un file, ad esempio file di configurazione o dati

3. Immettere il nome.
4. Immettere IP Start e IP End.
5. In Pianifica scansione, scegliere Frequenza e ora.
6. Fare clic su Connetti risorse.

Programmazione

La programmazione consente di definire quando Cisco IQ VA esegue la raccolta automatizzata dei dati. Per pianificare la raccolta:

1. Nella sezione Pianificazione della pagina Gestione connessione fare clic su Modifica per la pianificazione che si desidera modificare. Viene visualizzata la pagina Modifica pianificazione.

Modifica pianificazione

2. Nella sezione Pianificazione rilevamento, scegliere la frequenza preferita e il giorno dagli elenchi a discesa e immettere l'ora di inizio desiderata.
3. Nella sezione Pianifica raccolta scorte, scegliere la frequenza preferita dagli elenchi a discesa e immettere l'ora di inizio desiderata.
4. Fare clic su Invia.

Installazione di pacchetti (moduli, regole e autorizzazioni)

È possibile gestire il ciclo di vita del software (ovvero l'installazione e la configurazione) di moduli operativi, regole, diritti e funzionalità specializzate basate su IA all'interno di VA. È possibile installarle scaricando le versioni più recenti da Cisco IQ (SaaS) e passando al catalogo pacchetti. Nel Catalogo pacchetti vengono visualizzate le istanze software disponibili. Consente di monitorare e gestire gli aggiornamenti senza problemi, garantendo un monitoraggio e una gestione efficienti delle istanze del sistema.

Aggiunta di moduli

Un modulo è un pacchetto software standalone che fornisce funzionalità di base all'interno del VA. Si tratta di un servizio indipendente con un proprio ciclo di vita, che consente l'installazione, la manutenzione e il ridimensionamento. L'utilizzo delle risorse, inclusi CPU, GPU (Graphics Processing Unit) e RAM, viene assegnato dinamicamente in base alle dimensioni di distribuzione (Piccola, Media o Grande) selezionate durante l'installazione iniziale. Il modulo Assets viene distribuito per impostazione predefinita.

1. Accedere a Cisco IQ (SaaS).
2. Passare a Home > Impostazioni di sistema > Catalogo package.

Catalogo pacchetto

3. Dalla scheda del modulo desiderata, fare clic su Download options > Installation packages (Opzioni di download > Pacchetti di installazione). Viene visualizzata la finestra Download.

Scarica

4. Selezionare una Versione sistema dall'elenco a discesa.
5. Fare clic su Download per salvare il file localmente.

6. Passare a Cisco IQ VA.
7. Passare a Home > Impostazioni di sistema > Gestione pacchetti. Viene visualizzata la pagina Gestione package con le schede riportate di seguito.

• Moduli
• Regole
• Diritti

Moduli

8. Fare clic su Aggiungi modulo.

Aggiungi modulo

9. Scegliere l'opzione di selezione dei file desiderata:

• Server SCP: Immettere il nome esatto del pacchetto di installazione (consigliato per i file di grandi dimensioni)
• Caricamento file locale: Trascina il file di installazione scaricato (non consigliato per file di 30 GB o superiori a causa del tempo di caricamento)

10. Fare clic su Next (Avanti).

Seleziona dimensioni distribuzione

11. Scegliere le dimensioni della distribuzione, ad esempio Piccola, Media o Grande. Queste dimensioni sono predefinite e determinano i requisiti delle risorse.

12. Fare clic su Aggiungi modulo. Il modulo appena installato viene visualizzato nella scheda Moduli in Gestione pacchetti. Una volta completato, lo stato del modulo cambia in "In esecuzione" e diventa disponibile il pulsante Apri.

Aggiornamento di un modulo

I moduli più recenti vengono continuamente aggiornati nel catalogo pacchetti (in Cisco IQ). Per eseguire l'aggiornamento alla versione più recente:

1. Accedere a Cisco IQ (SaaS).
2. Passare a Home > Impostazioni di sistema > Catalogo package.

Catalogo pacchetto

3. Dalla scheda del modulo desiderata, fare clic su Download options (Opzioni di download) > Upgrade packages (Pacchetti di aggiornamento). Viene visualizzata la finestra Download.

Aggiornamento

4. Selezionare una versione di sistema dall'elenco a discesa.
5. Selezionare una versione corrente del modulo dall'elenco a discesa
6. Fare clic su Download per salvare il file localmente.
7. Passare a VA e completare l'installazione del file scaricato.

Gestione dei moduli

Dopo aver aggiunto un modulo, è possibile modificarlo dalla pagina Gestione package facendo clic su Gestisci. Le opzioni di modifica disponibili includono il ridimensionamento e l'aggiornamento a una versione superiore. Per gestire un modulo:

Tipo di aggiornamento

1. Dalla pagina Gestione package, fare clic su Gestisci > Aggiorna per il modulo desiderato.
2. Scegliere il tipo di aggiornamento:

• Modifica solo le dimensioni della distribuzione
• Aggiorna versione

3. Se è selezionata l'opzione Cambia dimensioni distribuzione, fare clic su Avanti e scegliere le nuove dimensioni di distribuzione nella pagina seguente.

O

Se si seleziona Aggiorna versione, viene visualizzata l'opzione Selezione file. Scegliere SCP Server e immettere il nome esatto del pacchetto di installazione oppure scegliere Caricamento file locale e trascinare il file di installazione scaricato.

4. Fare clic su Next (Avanti). Viene visualizzata la pagina Seleziona pianificazione aggiornamento.
5. Per aggiornare la programmazione, scegliere una delle seguenti opzioni del pulsante di opzione:

• Aggiorna
• Aggiorna in seguito

6. Se si seleziona Aggiorna in seguito, immettere la data e l'ora.
7. Fare clic su Next (Avanti). Viene visualizzato il Riepilogo aggiornamento.

8. Fare clic su Aggiorna modulo e passare alla scheda Modulo. Nel modulo viene visualizzato lo stato "aggiornamento pianificato".

Modifica delle programmazioni

È inoltre possibile visualizzare, modificare o annullare gli aggiornamenti pianificati. Per modificare o annullare un aggiornamento pianificato:

Modifica della pianificazione

1. Dalla pagina Gestione package, fare clic su Gestisci > Visualizza aggiornamento pianificato del modulo desiderato. Viene visualizzata la finestra Visualizza aggiornamenti pianificati.

Pianifica aggiornamenti

2. Fare clic su Annulla aggiornamento o su Riprogramma aggiornamento come richiesto.
3. Seguire le istruzioni visualizzate sullo schermo per completare le operazioni.

Installazione delle regole

Una regola è un componente specializzato o un componente aggiuntivo che estende o modifica la funzionalità di un modulo esistente. Le regole non sono concepite per funzionare come programmi autonomi; sono "collegati" a un modulo per fornire regole, logiche o funzionalità specifiche. Le regole sono legate a moduli specifici. Quando una regola viene installata, viene collegata al modulo supportato. Le regole consentono di aggiornare o personalizzare il sistema senza richiedere un aggiornamento completo del modulo principale. Se è necessario un nuovo insieme di regole o funzionalità, è sufficiente aggiungere una nuova regola al modulo esistente. Le regole definiscono gli aggiornamenti critici per la sicurezza e i clienti devono pianificare l'aggiornamento proattivo per garantire la coerenza con gli avvisi di sicurezza. I nuovi pacchetti di regole sono generalmente disponibili ogni due (2) settimane nel portale SaaS.

Per scaricare una regola:

1. Accedere a Cisco IQ (SaaS).
2. Passare a Impostazioni di sistema > Catalogo package.
3. Dalla scheda regole desiderata, fare clic su Download.

Scarica

4. Scegliere una versione dell'app di destinazione dall'elenco a discesa.
5. Fare clic su Download per salvare il file localmente.
6. Passare a Cisco IQ VA.
7. Passare a Home > Impostazioni di sistema > Gestione pacchetti. Viene visualizzata la pagina Gestione package con le schede riportate di seguito.

• Moduli
• Regole
• Diritti

8. Fare clic sulla scheda Regole.

Gestione pacchetti

9. Fare clic su Aggiungi regola.

Aggiungi regola

10. Scegliere l'opzione di selezione dei file desiderata:

• Server SCP (Secure Copy Protocol): Immettere il nome esatto del file del pacchetto di installazione. Questo metodo è consigliato per i file di grandi dimensioni.
• Caricamento file locale: Trascinare il file di installazione scaricato.

11. Fare clic su Aggiungi. La regola aggiunta viene visualizzata in Gestione pacchetti.

Aggiornamento delle regole

Per aggiornare le regole:

1. Passare a Impostazioni di sistema > Gestione pacchetti in VA.

Aggiornamento

2. Dalla regola desiderata, fare clic su Aggiorna. Viene visualizzata la finestra Regola di aggiornamento.

Regola di aggiornamento

3. Scegliere l'opzione di selezione dei file desiderata:

• Server SCP (Secure Copy Protocol): Immettere il nome esatto del file del pacchetto di installazione. Questo metodo è consigliato per i file di grandi dimensioni.
• Caricamento file locale: Trascinare il file di installazione scaricato.

4. Fare clic su Add.

Installazione delle autorizzazioni

Le autorizzazioni confermano il diritto dell'organizzazione di utilizzare funzionalità software, moduli o servizi specifici, consentendo di disporre dei livelli di supporto corretti per le risorse, nonché di sbloccare funzionalità e informazioni dettagliate. Senza un diritto associato, una risorsa viene visualizzata in "Nessun supporto" e ha capacità limitate.

Per installare un diritto:

1. Accedere a Cisco IQ (SaaS).
2. Passare a Impostazioni di sistema > Catalogo package.
3. Dalla scheda dei diritti fare clic su Crea record. Viene visualizzata la finestra Crea aggregazione diritti.

Crea pacchetto di autorizzazioni

4. Immettere una password. Fare riferimento alle regole per la creazione della password visualizzate sullo schermo.
5. Immettere nuovamente la stessa password in Conferma password.
6. Scegliere il pulsante di scelta Ambito asset preferito.

• Tutti gli asset: Include tutti gli asset collegati all'utente
• Risorse selezionate: Consente di scegliere dispositivi specifici allineati all'ambiente; se questa opzione è selezionata, selezionare le caselle di controllo di tutte le risorse applicabili

7. Fare clic su Crea record per salvare il file localmente.

8. Accedere a Cisco IQ VA.
9. Passare a Home > Impostazioni di sistema > Gestione pacchetti. La pagina Gestione package contiene le schede riportate di seguito.

• Moduli
• Regole
• Diritti

10. Fare clic sulla scheda Diritti.

Scheda Diritto

11. Fare clic su Aggiungi diritto.

Aggiungi diritto

12. Scegliere l'opzione di selezione dei file desiderata.

• Server SCP (Secure Copy Protocol): Immettere il nome esatto del file del pacchetto di installazione; questo metodo è consigliato per i file di grandi dimensioni
• Caricamento file locale: Trascinare il file di installazione scaricato

13. Immettere una password.
14. Fare clic su Add. Il diritto appena installato viene visualizzato nella scheda Diritto in Gestione pacchetti.
15. Per abilitare i diritti, attendere da 5 a 10 minuti dopo averli aggiunti, quindi avviare la raccolta di telemetria del dispositivo.

Aggiornamento dei diritti

Per aggiornare un diritto:

Aggiornamento dei diritti

1. Dal diritto desiderato, fare clic su Aggiorna.

Aggiorna diritto

2. Scegliere l'opzione di selezione dei file desiderata:

• Server SCP (Secure Copy Protocol): Immettere il nome esatto del file del pacchetto di installazione; questo metodo è consigliato per i file di grandi dimensioni
• Caricamento file locale: Trascinare il file di installazione scaricato

3. Immettere una password.
4. Fare clic su Add.

Caratteristiche con tecnologia AI

Il modulo di infrastruttura di inferenza dell'IA locale consente funzionalità basate sull'IA locali in VA. Esegue un modello SLM (Small Language Model) localmente, consentendo al sistema di rispondere ai prompt basati su AI. Una volta installato, è possibile interagire con esso direttamente all'interno dell'interfaccia VA.

Sono supportati i seguenti tipi di query:

• Risorse: Identificazione delle risorse a rischio a causa di stato di fine ciclo di vita, valuta o non conformità del software, vulnerabilità della sicurezza e lacune nella copertura dei contratti
• Inventario: Richiedi analisi basata su AI sugli asset presenti nel tuo inventario

Il pacchetto di installazione dell'infrastruttura di inferenza AI locale è disponibile nel catalogo dei pacchetti Cisco IQ e viene distribuito come gli altri moduli, ad esempio Assets.

Prerequisiti per l'infrastruttura di inferenza dell'IA locale

Prima di installare l'infrastruttura di inferenza dell'IA locale, è necessario che siano soddisfatte le seguenti condizioni:

• La VA deve includere una VM con accesso GPU; il modulo SLM richiede una GPU e non può essere eseguito senza
• La VM GPU deve disporre di almeno 80 GB di VRAM GPU

Installazione del modulo infrastruttura inferenza IA locale

Per installare l'infrastruttura di inferenza AI locale sulla VA, scaricare il modulo dell'infrastruttura di inferenza AI locale da Cisco IQ SaaS:

1. Accedere a Cisco IQ (SaaS).
2. Passare a Impostazioni di sistema > Catalogo package.

Installa pacchetto

3. Dalla scheda Infrastruttura inferenza AI locale, fare clic su Opzioni di download > Pacchetti di installazione. Viene visualizzata la finestra Scarica applicazione.

Scarica infrastruttura di inferenza AI

4. Selezionare una versione di sistema dall'elenco a discesa.
5. Selezionare un tipo di generazione dall'elenco a discesa.
6. Fare clic su Download (Scarica).
7. Passare a VA.

Gestione pacchetti

8. Passare a Home > Impostazioni di sistema > Gestione pacchetti. Viene visualizzata la pagina Gestione package con le schede riportate di seguito.

• Moduli
• Regole
• Diritti

9. Dalla scheda Moduli, fare clic su Aggiungi moduli.

Seleziona modulo

10. Scegliere l'opzione di selezione dei file desiderata:

• Server SCP: Immettere il nome esatto del pacchetto di installazione (consigliato per i file di grandi dimensioni).
• Caricamento file locale: Trascinare il file di installazione scaricato (non consigliato per file di 30 GB o superiori a causa del tempo di caricamento).

11. Fare clic su Next (Avanti). Il sistema inizia a caricare il file.
12. Scegliere una Dimensione distribuzione (ad esempio, Piccola, Media o Grande).
13. Fare clic su Add Module. L'installazione ha inizio e richiede circa 40-45 minuti.

Una volta completata l'installazione, nella scheda Modulo di Gestione pacchetti viene visualizzato Infrastruttura inferenza IA locale.

Gestione del modulo sull'infrastruttura di inferenza dell'IA locale

Una volta installato, il modulo dell'infrastruttura di inferenza AI locale può essere gestito dalla scheda Applicazioni in Gestione pacchetti.

Modifica dell'infrastruttura di inferenza AI

Per gestire il modulo, fare clic su Gestisci accanto al modulo Infrastruttura inferenza IA locale. Per ulteriori informazioni, vedere Gestione dei moduli.

Utilizzo di funzioni basate su AI

Una volta installato correttamente il modulo Infrastruttura di inferenza AI locale, il pulsante Chiedi AI diventa disponibile nell'interfaccia VA.

Chiedi AI in Assets

Per utilizzare l'API Ask in Asset:

1. Scegliere il menu Home > Asset. Viene visualizzata la pagina Asset.

Pagina Asset

2. Fare clic su Chiedi AI. Viene avviata l'infrastruttura di inferenza dell'IA locale.
3. Fare clic su Sfoglia prompt per visualizzare i prompt disponibili oppure immettere una domanda personalizzata nel campo Fai una domanda all'Assistente AI.
4. Fare clic sul prompt desiderato o premere Invio. SLM locale genera una risposta.

Analisi AI

Il modulo Infrastruttura di inferenza IA locale fornisce l'analisi automatizzata basata sull'IA nella sezione Inventario. I risultati dell'analisi vengono visualizzati automaticamente dopo il popolamento dei dati di inventario.

Per visualizzare l'analisi AI in Inventory:

1. Scegliere il menu Home > Magazzino. Viene visualizzata la pagina Inventory.

Inventario

2. Visualizzare l'analisi generata dall'IA. I risultati vengono visualizzati nella vista inventario quando i dati sono disponibili.

Caratteristiche comuni dei moduli

In questa sezione vengono descritte in dettaglio le funzionalità di base condivise tra tutti i moduli. Queste funzionalità offrono un'esperienza utente coerente, ottimizzano le prestazioni del sistema e semplificano i workflow amministrativi

Analisi dei dati

Il pannello Insights fornisce un'analisi basata su AI dei dati presenti in quella pagina, fornendo informazioni pratiche per migliorare la sicurezza e lo stato dell'ambiente di rete.

Pannello informazioni approfondite

Nel pannello Informazioni approfondite sono disponibili le seguenti opzioni:

• Fare clic sull'icona Espandi per espandere il pannello e visualizzare ulteriori informazioni
• Fare clic sull'icona Thumbs Up o Thumbs Down per fornire un feedback sulle informazioni generate dall'AI
• Fare clic su Visualizza per visualizzare ulteriori dettagli su una particolare analisi
• Fare clic su Analisi completa per visualizzare informazioni aggiuntive, analisi più approfondite e visualizzazioni quali grafici, dashboard e grafici

Analisi completa

In un'analisi completa sono disponibili le seguenti opzioni:

• Fare clic su Scarica PDF per salvare una copia offline dell'analisi per i record o per la collaborazione

Esportazione delle informazioni

La funzionalità di esportazione consente di esportare visualizzazioni personalizzate per le informazioni relative a risorse e protezione in formato xls o csv.

Per esportare le informazioni da una pagina:

1. Passare alla pagina.

Esportazione delle scorte nel modulo Assets

2. Fare clic su Esporta. Viene visualizzata la finestra Opzioni di esportazione.

Opzioni di esportazione

3. Scegliere un tipo di file.
4. Selezionare le caselle di controllo nelle colonne desiderate.
5. Fare clic su Esporta. Il file viene scaricato nella cartella di download locale del browser.

Impostazioni tabella

È possibile configurare le impostazioni della tabella per creare visualizzazioni personalizzate e ottimizzate per le diverse funzionalità del modulo.

Impostazioni tabella

Per modificare le colonne visualizzate nelle pagine selezionate, fare clic sull'icona Impostazioni tabella. Vengono visualizzate le impostazioni della tabella.

Opzioni di impostazione della tabella

Modifica della vista tabella

Per modificare la vista tabella:

1. Selezionate una delle seguenti opzioni Densità tabella (Table Density):

• Ridotta: Riduce al minimo gli elementi visivi e la spaziatura per visualizzare più informazioni
• Compatto: Riduce lo spazio vuoto e riduce la spaziatura tra gli elementi dell'interfaccia utente
• Comfort: Utilizzo di più spazi e di una maggiore spaziatura tra gli elementi
• Spazioso: Enfatizza gli spazi vuoti e gli elementi di interfaccia più grandi

2. Fare clic su Apply (Applica).

Aggiunta e rimozione di colonne

Per aggiungere o rimuovere colonne:

1. Selezionare o deselezionare le caselle di controllo Impostazioni colonna.
2. Fare clic su Apply (Applica).

Modifica dell'ordine delle colonne

Per modificare l'ordine delle colonne:

1. Trascinare il nome della colonna per disporre gli elementi nell'ordine desiderato.
2. Fare clic su Apply (Applica).

Personalizzazione dei dashboard

La funzionalità Dashboard personalizzato consente di personalizzare i dashboard standard tramite una vasta gamma di opzioni di personalizzazione intuitive:

• Ridisporre i widget o i pannelli del quadro comandi mediante la funzionalità di trascinamento della selezione
• Rimuovere i componenti non rilevanti per il flusso di lavoro
• Il layout del dashboard personalizzato viene archiviato in modo sicuro nel profilo utente e applicato automaticamente a tutte le sessioni e i dispositivi
• Ripristinare il layout originale del dashboard con una semplice opzione di ripristino

Per personalizzare un dashboard:

1. Passare al dashboard.

Personalizza

2. Fare clic su Personalizza.

Modifica dashboard

3. Modificate il quadro comandi in base alle esigenze:

• Riorganizza: Trascinare i widget nel layout desiderato
• Rimuovi: Fare clic sull'icona Elimina per rimuovere un widget
• Reset: Fare clic su Ripristina valori predefiniti per ripristinare il layout originale del dashboard

4. Fare clic su Save (Salva). Viene visualizzato un messaggio Dashboard salvato.

Il layout del dashboard viene applicato automaticamente a tutte le sessioni e i dispositivi.

Personalizzazione dei filtri

È possibile salvare le configurazioni di filtro personalizzate per qualsiasi visualizzazione del dashboard, consentendo di ripristinare facilmente le impostazioni preferite in base alle esigenze. Tutte le preferenze dei filtri vengono archiviate in modo sicuro per singolo utente e account, garantendo un'esperienza personalizzata e coerente ogni volta che si accede a Cisco IQ.

Creazione di un filtro

Per creare un filtro personalizzato:

1. Passare al dashboard.
2. Fare clic su Filtri.

Filtri

3. Selezionare i filtri desiderati dagli elenchi a discesa.
4. Fare clic su Salva filtro. Viene visualizzata la finestra Filtro nome salvato.

Nome filtro

5. Immettere il nome di un filtro.
6. Fare clic su Salva filtro per confermare.

Modifica del nome di un filtro

Per modificare un filtro personalizzato:

1. Fare clic su Filtri.

Gestisci filtri salvati

2. Fare clic sull'icona Gestisci filtri salvati.
3. Passare al filtro.

Modifica filtro

4. Fare clic sull'icona Modifica. Verrà visualizzata la finestra Filtro salvato nome.
5. Modificare il nome del filtro.
6. Fare clic su Salva filtro per confermare.

Eliminazione di un filtro

Per eliminare un filtro personalizzato:

1. Fare clic su Filtri.
2. Fare clic sull'icona Filtri salvati gestiti
3. Passare al filtro.

Elimina filtro salvato

4. Fare clic sull'icona Elimina. Viene visualizzata la finestra Elimina filtro salvato.

Conferma eliminazione filtro salvato

5. Fare clic su Sì, elimina per confermare.

Modulo Assets

Il modulo Assets offre visibilità e funzionalità di gestione complete per gli asset Cisco e costituisce la base di Cisco IQ, fornendo un elenco centralizzato di tutti i dispositivi all'interno di un'organizzazione. Raccogliendo informazioni da più fonti, funge da fonte unica di informazioni per l'inventario dei dispositivi. La gestione di un elenco di risorse completo e accurato è essenziale, in quanto altri moduli di Cisco IQ, ad esempio il modulo Valutazioni, si basano su questi dati per valutare lo stato e la sicurezza dei dispositivi.

Concetti fondamentali

Il modulo Assets si basa sui seguenti concetti fondamentali:

• Bene: Tutti i dispositivi fisici, hardware o software inventariati e gestiti come parte dei servizi Cisco, con registrazione dettagliata di identità, funzione, copertura dei servizi e ciclo di vita
• Cespiti basati su contratto: Asset acquisiti in magazzino direttamente dai dati dei contratti di assistenza collegati, anziché tramite telemetria. Cisco IQ acquisisce i seguenti tipi di apparecchiature dai dati del contratto: Chassis, moduli, alimentatori e ventole. Queste risorse sono visibili nell'inventario anche se non è presente alcuna connessione telemetrica
• Ultima data di supporto (LDOS): Tracciamento di fine ciclo di vita e di fine supporto per i prodotti Cisco
• Copertura del servizio: Contratti di supporto attivi, garanzie e livelli di diritto associati a un componente hardware o software specifico
• Codice asset: Etichetta definita dall'utente assegnata a un cespite per l'organizzazione, i filtri e i flussi di lavoro operativi
• Segnale dispositivo: si riferisce a quando Cisco ha osservato per l'ultima volta un dispositivo (tramite il suo numero di serie) in base alla telemetria del dispositivo, ai casi di supporto e ai rinnovi del contratto; I dati di telemetria degli asset vengono acquisiti e arricchiti attraverso una pipeline di dati multilivello

Modulo di accesso agli asset

Per accedere alle funzioni di gestione degli asset in Cisco IQ, scegliere il menu Home > Asset o fare clic su Asset dalla sezione Applicazione della scheda Home > Launchpad. Verrà visualizzata la pagina Panoramica.

Panoramica sui cespiti

La pagina Panoramica visualizza un dashboard che consente di valutare rapidamente lo stato e lo stato dei dispositivi.

Panoramica sui cespiti

Nel quadro comandi vengono visualizzate le informazioni riportate di seguito.

• Totale asset: Numero totale di asset nell'account Cisco IQ
• Metriche principali degli asset: Metriche chiave aggiuntive, ad esempio lo stato della telemetria, gli advisory della sicurezza critici e le informazioni LDOS
• Cespiti coperti: Il numero totale e la percentuale di attività coperte da contratti di assistenza
• Attività non coperte: Il numero totale e la percentuale dei cespiti non coperti da contratti di assistenza
• Cespiti coperti da contratti di assistenza: Un'analisi del numero di risorse (hardware o software) coperte dai contratti di assistenza, suddivise per livello di diritto
• Data ultima istantanea di supporto: Ripartizione del numero di attività oltre le LDOS o che raggiungono le LDOS
• Asset con telemetria abilitata: Numero totale e percentuale di asset con telemetria abilitata
• Asset senza telemetria abilitata: Numero totale e percentuale di cespiti senza telemetria abilitata
• Asset con consulenze critiche o ad alta sicurezza: Percentuale degli asset totali con la telemetria abilitata e che dispongono di avvisi critici o di protezione elevata
• Asset per importanza: Priorità assegnata a un dispositivo in relazione agli altri dispositivi della rete.
• Analisi stratificata degli asset: Visualizzazione dettagliata delle informazioni sugli asset, ad esempio famiglie di prodotti, ubicazioni di installazione, versioni software e ruoli degli asset

Filtraggio delle viste per i cespiti

È possibile filtrare la visualizzazione del dashboard scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili.

Visualizzazione dei dettagli per i cespiti

Quando si fa clic su Visualizza dettagli, la pagina viene reindirizzata alla pagina Magazzino. Per ulteriori informazioni, vedere Inventario.

Asset Criticality Insights

Cisco IQ include Asset Criticality Insights, una nuova funzionalità del modulo Assets che prevede il ruolo funzionale e l'importanza aziendale dei dispositivi di rete. Analizzando le configurazioni dei dispositivi e le funzionalità abilitate, Asset Criticality Insights consente di identificare gli asset che hanno il maggiore impatto sulla rete, in modo da assegnare loro le priorità per il monitoraggio e l'aggiornamento del software, la pianificazione di fine ciclo di vita e le decisioni di copertura.

Nota: Asset Criticality Insights è disponibile esclusivamente per gli asset con livelli Standard o Signature che dispongono di connessioni telemetriche attive. Verificare che gli asset soddisfino i requisiti di configurazione per inserire informazioni dettagliate nel dashboard.

Asset Criticality Insights è disponibile nell'app Assets nelle seguenti aree:

• Panoramica sui cespiti: Filtra e visualizza le scomposizioni di riepilogo per attributi di Asset Criticality Insights
• Inventario delle risorse: Visualizzazione, ricerca, filtro e ordinamento dei dispositivi per ruolo e priorità
• Dettagli asset: Visualizzare il ruolo e l'importanza per i singoli dispositivi, con descrizioni comandi informative per ciascun valore

Sostituzione delle classificazioni di ruoli e priorità

Cisco IQ prevede automaticamente il ruolo e l'importanza di ciascuna risorsa in base ai dati di telemetria. Gli amministratori degli account possono correggere manualmente queste classificazioni quando la previsione automatica non riflette in modo accurato la funzione o la criticità dell'asset nella rete.

Sostituzione delle classificazioni dalla tabella Inventory

Per sostituire il ruolo o l'importanza per uno o più asset:

1. Passare a Cespiti > Magazzino.
2. Fare clic sulla casella di controllo della riga di risorsa desiderata. Per aggiornare più asset contemporaneamente, selezionare più caselle di controllo.

Ruolo e priorità

3. Nella colonna Ruolo o Importanza, scegliere il valore corretto dall'elenco a discesa della riga del bene.
4. Fare clic su Applica per confermare la sostituzione.

Le risorse con valori sostituiti manualmente visualizzano un indicatore visivo nella colonna Ruolo o Importanza.

Nota: Per rimuovere una sostituzione configurata in precedenza e tornare alla previsione automatica, selezionare l'opzione trattino (—) dall'elenco a discesa Ruolo o Importanza.

Sostituzione delle classificazioni dai dettagli dei cespiti

Per sostituire Ruolo o Importanza dalla vista dei dettagli dei cespiti:

1. Passare a Cespiti > Magazzino e fare clic su un cespite.
2. Nel pannello dei dettagli della risorsa, individuare i campi Ruolo e Importanza.
3. Fare clic sull'elenco a discesa del campo che si desidera aggiornare e selezionare il valore corretto.
4. Fare clic su Apply (Applica) per confermare.

La vista dettagliata di un bene mostra anche una spiegazione degli attributi di telemetria che hanno informato la previsione automatica originale, per aiutare a determinare se una sostituzione è appropriata.

Visualizzazione dell'audit trail di sostituzione

Tutte le sostituzioni di ruoli e priorità vengono registrate in un audit trail a livello di account. Per accedere all'audit trail:

1. Scegliete Home > Impostazioni di sistema > Attività e registri.
2. Scegliere Filtri > Tipo di azione > Sostituisci per visualizzare solo gli eventi di sostituzione.

L'audit trail visualizza il nome dell'asset, i valori precedenti e nuovi, l'utente che ha apportato la modifica e la data e l'ora della modifica. L'audit trail può essere esportato utilizzando l'opzione Esporta.

Inventario

La pagina Inventario fornisce un elenco di tutte le risorse Cisco nell'account Cisco IQ.

Inventario

Ricerca e filtraggio delle viste per inventario cespiti

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare le risorse immettendo il nome della risorsa nel campo Cerca.

Analisi magazzino

Il pannello Informazioni approfondite nella pagina Inventario visualizza un'analisi basata sull'IA che fornisce un riepilogo delle risorse con particolare attenzione alla copertura del supporto, alla connettività e alle fasi cardine. Fare clic su Analisi completa per visualizzare visualizzazioni quali grafici, dashboard e grafici che forniscono ulteriori informazioni. Per ulteriori informazioni, vedere Analisi dei dati nelle funzionalità comuni dei moduli.

Esportazione del magazzino

Fare clic su Esporta per salvare un elenco di inventario filtrato in formato xls o csv. Per ulteriori informazioni, vedere Esportazione delle informazioni nelle funzionalità comuni dei moduli.

Visualizzazione dei dettagli dei cespiti

Fare clic su una risorsa per visualizzarne i dettagli. Viene visualizzata la vista dettagliata di un cespite con le seguenti schede:

• Dettagli: Visualizza i dettagli degli asset, ad esempio il prodotto, i dati dei segnali, l'identità, l'ubicazione, la garanzia e le informazioni sulla copertura

Dettagli asset

• Avvisi sui prodotti: Visualizza avvisi sui prodotti correlati, ad esempio consigli sulla sicurezza e avvisi sui prodotti
• Hardware: Fornisce una visualizzazione dettagliata della tempistica per la fine del ciclo di vita dell'hardware (ad esempio, Fine vendita, Ultima spedizione e Ultima data di supporto)
• Software: Fornisce una visualizzazione dettagliata della cronologia per la fine del ciclo di vita del software

Codici di matricola

I codici di matricola sono etichette personalizzate assegnate alle risorse di magazzino in Cisco IQ. Un tag è una coppia chiave:valore, ad esempio Ambiente:Prod o Etichetta:Campus, che definite. È possibile assegnare i cartellini a singoli asset o a più asset contemporaneamente e filtrare il magazzino in base ai cartellini per trovare rapidamente gli asset desiderati.

Assegnazione di tag

L'assegnazione dei cartellini ai cespiti selezionati nella vista Magazzino consente di organizzare e classificare i cespiti in modo da migliorare il filtraggio, la creazione di rapporti e la gestione.

Per assegnare un'etichetta a un cespite:

1. Passare a Cespiti > Magazzino.

Applicazione di tag agli asset

2. Selezionare le caselle di controllo dei cespiti desiderati.

3. Fare clic su Gestisci etichette. Viene visualizzata la finestra Gestisci tag.

Assegnazione di tag

3. Nel campo di testo, immettere o selezionare il nome del tag dalle opzioni esistenti e premere Invio.

4. Fare clic su Apply (Applica).

Rimozione dei codici di matricola

Per rimuovere un tag da una o più risorse:

1. Passare a Cespiti > Magazzino.
2. Selezionare la casella di controllo accanto a una o più risorse.
3. Fare clic su Gestisci tag. Viene visualizzata la finestra Gestisci tag.

Rimozione di tag

4. Fare clic sulla X su un tag qualsiasi per rimuoverlo dalla selezione.

5. Fare clic su Applica.

Utilizzo dei tag delle risorse come filtri

Dopo aver creato un tag, è possibile utilizzarlo come filtro.

Per utilizzare un tag come filtro:

1. Passare alla pagina Magazzino.

 Utilizzo del tag come filtro

2. Fare clic su Filtri. Viene visualizzata la finestra Filtri.

3. Dall'elenco a discesa Etichette, selezionare le caselle di controllo delle etichette desiderate. Dopo aver selezionato il cartellino, la vista nella pagina Inventario viene aggiornata alla vista filtrata.

Contratti di assistenza

La pagina Contratti di assistenza semplifica la supervisione dei contratti di assistenza fornendo riepiloghi e informazioni dettagliate sui contratti, supportando una pianificazione del rinnovo efficace e strategie di copertura.

Contratti di assistenza

Ricerca e filtraggio delle viste per i contratti di assistenza

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa. È inoltre possibile cercare contratti di assistenza immettendo il numero di contratto nel campo Cerca.

Esportazione dei contratti di assistenza

Fare clic su Esporta per salvare un elenco filtrato di contratti in formato xls o csv. Per ulteriori informazioni, vedere Esportazione delle informazioni nelle funzionalità comuni dei moduli.

Riepilogo EA servizi

La pagina Riepilogo del contratto EA (Services Enterprise Agreement) fornisce una vista consolidata della crescita della base installata nel portafoglio di asset. I dati provengono direttamente dai record della base installata Cisco, offrendo all'utente e ai team degli account una visione coerente delle modifiche del portafoglio nel tempo.

La pagina Riepilogo EA servizi visualizza le informazioni riportate di seguito.

• Risorse aggiunte: Nuove risorse aggiunte alla base installata durante il periodo di creazione rapporti
• Variazione netta: Modifica complessiva delle dimensioni della base installata per il periodo di creazione rapporti

Fine del ciclo di vita

Le pagine Hardware End of Life e Software End of Life forniscono informazioni dettagliate sulla fine del ciclo di vita, fornendo agli utenti il supporto necessario per gestire in modo proattivo i cicli di aggiornamento dei prodotti e la copertura del supporto. Se si fa clic su una risorsa nella pagina Fine del ciclo di vita, si viene reindirizzati alla risorsa desiderata nella pagina Inventario.

Fine del ciclo di vita del software

Analisi alla fine del ciclo di vita

Il pannello Informazioni approfondite nella pagina Fine del ciclo di vita visualizza una panoramica delle risorse basata sull'IA con un ultimo giorno di supporto definito. Fare clic su Analisi completa per visualizzare visualizzazioni quali grafici, dashboard e grafici che forniscono ulteriori informazioni. Per ulteriori informazioni, vedere Analisi dei dati nelle funzionalità comuni dei moduli.

Esportazione della fine del ciclo di vita

Fate clic su Esporta (Export) per salvare un elenco filtrato di risorse di fine ciclo di vita in formato .xls o .csv. Per ulteriori informazioni, vedere Esportazione delle informazioni nelle funzionalità comuni dei moduli.

Modulo di valutazione

Il modulo Valutazioni fornisce una struttura di valutazione che consente di analizzare in modo proattivo e ridurre i rischi correlati a sicurezza, stabilità, capacità, conformità e invecchiamento, garantendo la sicurezza, la stabilità e l'affidabilità delle reti.

Concetti fondamentali

Il modulo Valutazioni è basato sui seguenti concetti fondamentali:

• Valutazione: una valutazione sistematica dei soggetti dell'infrastruttura sulla base di criteri predefiniti per misurare le prestazioni, la conformità, la sicurezza o la capacità operativa; Le valutazioni vengono attivate su richiesta, in base a un programma o da un evento
• Esecuzione della valutazione: un'istanza o un'unica esecuzione di una valutazione; Ogni esecuzione crea un nuovo record di esecuzione che tiene traccia dell'ambito, del meccanismo di attivazione, dell'indicatore orario e dei dati risultanti prodotti dalla valutazione
• Ricerca di: Osservazione convalidata e attivabile che identifica una lacuna, un rischio, un problema o uno stato degno di nota. I risultati rappresentano i dati a livello di suolo durante una valutazione
• Insight: Una conclusione analitica di livello superiore derivata da modelli o tendenze in più risultati. Le informazioni approfondite interpretano il significato dei risultati in un contesto aziendale o operativo più ampio
• Consiglio: una prescrizione specifica e praticabile collegata a constatazioni o conoscenze approfondite; Le raccomandazioni forniscono orientamenti chiari sulle misure necessarie per affrontare i problemi individuati o sfruttare le opportunità
• Rapporto: Un documento strutturato che raccoglie risultati, informazioni e raccomandazioni per un pubblico specifico; I report sono il principale strumento per comunicare i risultati delle valutazioni a clienti, dirigenti e team tecnici

Accesso al modulo Assessment

Per accedere alle funzioni di sicurezza e valutazione in Virtual Appliance, scegliere il menu Home > Valutazioni o fare clic su Valutazioni dalla sezione Applicazione della scheda Home page > Launchpad. Viene visualizzata la pagina Panoramica valutazioni.

Panoramica delle valutazioni

La pagina Panoramica valutazioni visualizza il dashboard riportato di seguito.

Panoramica delle valutazioni

Nel quadro comandi vengono visualizzate le informazioni riportate di seguito.

• Valutazioni di Security Advisory: Visualizza le valutazioni degli advisory della sicurezza, classificati in base alla criticità e all'alta gravità
• Valutazioni della protezione avanzata: Visualizza gli asset che non superano le regole di protezione avanzata, classificati in base alla gravità massima, media, bassa e informativa.
• Valutazione della configurazione: Visualizza gli asset che non soddisfano le regole di conformità della configurazione, suddivisi per livello di gravità critico, alto, medio, basso e informativo
• Valutazioni delle notifiche sul campo: Visualizza le valutazioni degli avvisi sui prodotti, ordinati per livello di gravità Critico, Elevato e Non applicabile

Risultati per cespite

La pagina Risultati per cespite fornisce un elenco di cespiti valutati utilizzando almeno una delle seguenti valutazioni: Consigli sulla sicurezza, protezione avanzata, configurazione e avvisi sui prodotti.

Risultati per asset

Ricerca e filtro di viste per risultati per asset

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare Risultati per cespite nel campo Cerca.

Esportazione dei risultati per asset

Per esportare la visualizzazione elenco Risultati per risorsa, fare clic su Esporta. Per ulteriori informazioni, vedere Esportazione delle informazioni.

Visualizzazione dei risultati per dettagli cespite

Per visualizzare i risultati per dettagli cespite, fare clic su un cespite. Nelle schede seguenti vengono visualizzati i dettagli relativi alla risorsa selezionata:

• Riepilogo: Fornisce informazioni dettagliate sugli asset, tra cui il numero di consigli sulla sicurezza, protezione avanzata, configurazione e avvisi sui prodotti
• Consulenze sulla sicurezza: Fornisce un elenco di valutazioni di Security Advisory correlate
• Protezione avanzata: Fornisce un elenco di asset che non soddisfano le regole di protezione avanzata (solo asset di livello Standard e Firma)
• Configurazione: Fornisce un elenco di asset che non superano le regole di best practice per la configurazione (solo asset di livello Standard e Firma)
• Notifiche sul campo: Fornisce un elenco di valutazioni di avvisi sui prodotti correlate

Risultati per dettagli cespite

Quando si fa clic su Visualizza dettagli in una tessera, la pagina viene reindirizzata alla pagina appropriata all'interno del modulo.

Quando si fa clic su Visualizza dettagli completi asset, viene visualizzata la pagina di visualizzazione dei dettagli asset.

Consulenze sulla sicurezza

Le valutazioni dei servizi di consulenza per la sicurezza identificano le vulnerabilità e ne assegnano la priorità in base al rischio, alla gravità e alla criticità, migliorando in tal modo le capacità di gestione dei rischi dell'organizzazione. I consulenti per la sicurezza forniscono informazioni dettagliate sulle vulnerabilità, aiutano a ridurre i rischi e garantiscono l'allineamento con gli obiettivi aziendali e di conformità. Ciò rafforza la postura di sicurezza, ottimizza l'allocazione delle risorse e promuove la resilienza contro l'evoluzione delle minacce all'interno dell'azienda. Gli avvisi di sicurezza vengono aggiornati automaticamente in Cisco IQ non appena vengono pubblicati.

La pagina Consigli di sicurezza fornisce una lista di tutti gli avvisi di sicurezza con vulnerabilità rilevate all'interno dell'organizzazione. Se si fa clic su un advisory dall'elenco delle valutazioni degli advisory della sicurezza, viene visualizzata la vista dei dettagli corrispondente.

Consulenze sulla sicurezza

Ricerca e filtraggio delle viste per i consigli sulla sicurezza

È possibile filtrare la visualizzazione elenco scegliendo un filtro dall'elenco a discesa. È inoltre possibile cercare le valutazioni di Security Advisory immettendo il nome della valutazione nel campo Cerca.

Esportazione degli avvisi di sicurezza

Per esportare le valutazioni di Security Advisory, fare clic su Esporta. Per ulteriori informazioni, vedere Esportazione delle informazioni.

Visualizzazione dei dettagli della valutazione di Security Advisory

Fare clic su una valutazione per visualizzarne ulteriori dettagli. La pagina dei dettagli fornisce informazioni come il punteggio CVSS (Common Vulnerability Scoring System), le vulnerabilità comuni e le esposizioni (CVE), la gravità e un collegamento all'advisory della sicurezza Cisco a cui si fa riferimento.

Nella tabella Risultati della valutazione è possibile visualizzare i tipi di risultati riportati di seguito.

• Interessato: Indica che l'asset o il componente presenta una vulnerabilità confermata che può essere sfruttata da un utente non autorizzato e che richiede la risoluzione del problema
• Potenzialmente interessati: indica che l’attività o il componente presenta segni che possono portare a vulnerabilità, ma non è definitivamente confermato; potrebbero essere necessarie ulteriori indagini

Dettagli consigli di sicurezza

Ricerca e filtraggio delle viste per i risultati della valutazione degli asset

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare le risorse immettendo il nome della risorsa nel campo Cerca.

Visualizzazione dei risultati della valutazione dei cespiti

Per visualizzare i dettagli di un risultato della valutazione, fare clic su un cespite nella tabella Risultato valutazione. Viene visualizzata la pagina dei dettagli Risultato valutazione.

Dettagli risultati

Esportazione dei risultati degli asset per i consigli sulla sicurezza

Per esportare i risultati delle risorse, fate clic su Esporta (Export). Per ulteriori informazioni, vedere Esportazione delle informazioni.

Protezione avanzata

La protezione avanzata offre una visibilità automatizzata in tempo reale sulla postura di sicurezza dell'infrastruttura di rete, grazie alla valutazione continua di router, switch e firewall rispetto ai benchmark standard del settore. Identifica le lacune nella configurazione e fornisce una guida per la risoluzione dei problemi praticabile, consentendo agli amministratori degli account di ridurre efficacemente la superficie di attacco e mantenere l'allineamento coerente con le rigorose best practice di Cisco in materia di sicurezza. Centralizzando il monitoraggio della conformità e semplificando il processo di protezione, il modulo trasforma la gestione della sicurezza da un'attività reattiva in una strategia proattiva basata sui dati, garantendo una rete aziendale sicura e resiliente.

Visualizzazione delle valutazioni di protezione avanzata

La pagina Valutazione protezione avanzata visualizza le informazioni riportate di seguito.  

Protezione avanzata

• Valutazione: Fornisce ulteriori dettagli riepilogando lo scopo della valutazione
• Risultato esecuzione: Fornisce un riepilogo dei risultati della valutazione dei cespiti, incluso il numero totale di valutazioni delle regole e di cespiti inclusi
• Valutazioni delle regole: Fornisce informazioni dettagliate sulla regola, inclusi gravità, asset valutati, non superati, superati, non concludenti, non applicabili e tipo di software
• Gravità: Fornisce il livello di importanza o impatto della valutazione delle regole
• Cespiti valutati: Fornisce il numero totale di cespiti valutati in base ai criteri della regola
• Non superato: Fornisce le risorse che non hanno soddisfatto i criteri della regola durante la valutazione
• Superato: Fornisce le risorse che soddisfano i criteri della regola durante la valutazione
• Senza risultati: Fornisce le risorse per le quali la valutazione non ha potuto determinare l'errore
• Non applicabile: Indica le risorse o gli scenari in cui la regola non è applicabile o non è rilevante
• Tipo di software: Fornisce il tipo di software delle risorse

Ricerca e filtraggio delle viste per le regole

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare una regola immettendo il nome della regola nel campo Cerca.

Visualizzazione dei dettagli di valutazione delle regole

Per visualizzare ulteriori dettagli sulla valutazione di una regola, fare clic su una regola. Viene visualizzata la pagina dei dettagli di valutazione della regola con le informazioni riportate di seguito.

Visualizzazione regole

• Informazioni sulla regola: Fornisce dettagli sulla regola, ad esempio Gravità, Tipo di software, Versione e Asset valutati e include collegamenti descrittivi con etichetta alla documentazione di origine rilevante
• Riepilogo risultati: Fornisce un riepilogo dei risultati dei cespiti correlati alla regola, ad esempio Superato, Non superato, Non conclusivo e Non applicabile
• Risultati degli asset: Fornisce un elenco di asset con dettagli quali asset, risultato, ID prodotto, numero di serie, indirizzo IP e livello di supporto

Nota: Cisco IQ fornisce una guida chiara quando un risultato della valutazione è "Non conclusivo", spiegando la causa (ad esempio, mancanza di dati di telemetria o sistema operativo non supportato) e consigliando procedure quali la verifica della raccolta dei dati, l'aggiornamento delle credenziali o l'aggiornamento dei dati. Per risolvere i problemi, sono inoltre disponibili collegamenti con etichetta alla documentazione pertinente.

Ricerca e filtraggio delle viste per le regole cespite

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare i risultati della valutazione dei cespiti immettendo il nome del cespite nel campo Cerca.

Note:

• Alcuni filtri possono essere nascosti a seconda delle impostazioni di zoom.
• Sono disponibili diversi filtri a seconda dei ruoli e delle autorizzazioni.

Esportazione dei risultati degli asset

Per esportare i risultati della valutazione per le regole, fare clic su Esporta. Per ulteriori informazioni, vedere Esportazione delle informazioni.

Ricerca e filtraggio delle viste per i risultati degli asset

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare i risultati dei cespiti immettendo il nome del cespite nel campo Cerca.

Note:

• Alcuni filtri possono essere nascosti a seconda delle impostazioni di zoom.
• Sono disponibili diversi filtri a seconda dei ruoli e delle autorizzazioni.

Visualizzazione dei risultati degli asset per la protezione avanzata

Fare clic su un cespite in Risultati cespite per visualizzarne i dettagli. Nella pagina dei dettagli del risultato del cespite vengono visualizzate le informazioni in base al livello o al livello di diritto.

Livello standard protezione avanzata 

• Livello standard
• Dettagli ricerca: Fornisce informazioni sulle deviazioni della configurazione identificate durante la valutazione, insieme ai registri delle prove
• Consigli: Fornisce indicazioni per risolvere i problemi e garantire la coerenza della configurazione

Visualizzazione delle informazioni sugli asset e sulle regole per la protezione avanzata

Per visualizzare i dettagli di un cespite e le relative regole, fate clic sulla scheda Info cespite e regola (Asset and Rule Info). Viene visualizzata la pagina Informazioni su cespiti e regole.

 Informazioni sulla risorsa: Fornisce i dettagli della risorsa, quali ID prodotto, tipo di prodotto, indirizzo IP, numero di serie, versione software, ubicazione e livello di supporto

• Informazioni sulla regola: Fornisce i dettagli della regola (tra cui gravità e tipo di software) e l'importanza di quel particolare controllo di protezione avanzata

Configurazione

Le valutazioni della configurazione confrontano le risorse con le best practice consigliate sulla base dell'esperienza comprovata di Cisco per rilevare le deviazioni della configurazione che possono influire sulla disponibilità, la sicurezza o le prestazioni dell'infrastruttura. Ciascuna regola delle procedure ottimali viene valutata a livello delle risorse coperte e i risultati vengono classificati in base alla gravità per garantire la coerenza della configurazione, una migliore resilienza e una riduzione del rischio operativo.

Nota: Le valutazioni della configurazione sono disponibili esclusivamente per gli asset con livelli di supporto standard.

Visualizzazione delle valutazioni della configurazione

La pagina Valutazione della configurazione visualizza le informazioni riportate di seguito.

Valutazione della configurazione 

• Valutazione: Fornisce ulteriori dettagli riepilogando lo scopo della valutazione
• Riepilogo: Fornisce un riepilogo dell'esecuzione della configurazione, ad esempio regole valutate e asset valutati
• Informazioni approfondite: Fornisce informazioni dettagliate sulle lacune di configurazione individuate generate mediante l'analisi dei modelli e una correlazione dei risultati. vengono visualizzate come schede principali raggruppate in modo intelligente per evidenziare le aree più critiche che richiedono attenzione
• Valutazioni regole: Fornisce informazioni dettagliate sulla regola, tra cui Gravità, Asset valutati, Non superato, Superato, Non conclusivo, Non applicabile, Categoria e Tipo di software
• Gravità: Fornisce il livello di importanza o impatto della valutazione delle regole
• Cespiti valutati: Fornisce il numero totale di cespiti valutati in base ai criteri della regola
• Non superato: Fornisce il numero totale di asset che non hanno soddisfatto i criteri della regola durante la valutazione
• Senza risultati: Indica il numero totale di asset per i quali non è stato possibile eseguire la valutazione
• Superato: Fornisce le risorse che soddisfano i criteri della regola durante la valutazione
• Non applicabile: Indica le risorse o gli scenari in cui la regola non è applicabile o non è rilevante
• Categoria: Fornisce l'area di dominio a cui appartiene la regola 
• Tipo di software: Indica il tipo di risorse software a cui si applica la regola

Ricerca e filtraggio delle viste per le regole

Valutazioni regole 

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare una regola immettendo il nome della regola nel campo Cerca.

Note:

• Alcuni filtri possono essere nascosti a seconda delle impostazioni di zoom.
• Sono disponibili diversi filtri a seconda dei ruoli e delle autorizzazioni.

Visualizzazione dei dettagli di valutazione delle regole

Per visualizzare ulteriori dettagli sulla valutazione di una regola, fare clic su qualsiasi regola. Viene visualizzata la pagina dei dettagli di valutazione della regola con le informazioni riportate di seguito.

Valutazione 

• Informazioni sulla regola: Fornisce dettagli su una regola come Gravità, Categoria, Tipo di software e Asset valutati e include collegamenti descrittivi con etichetta alla documentazione di origine rilevante
• Riepilogo risultati: Fornisce i risultati globali dei cespiti visualizzando il numero di cespiti negli stati Superato, Non superato, Non conclusivo e Non applicabile.
• Risultati degli asset: Fornisce un elenco degli asset interessati dalla regola selezionata con stato del risultato

Note:

• Cisco IQ fornisce una guida chiara quando un risultato della valutazione è "Non conclusivo", spiegando la causa (ad esempio, mancanza di dati di telemetria o sistema operativo non supportato) e consigliando procedure quali la verifica della raccolta dei dati, l'aggiornamento delle credenziali o l'aggiornamento dei dati. Per risolvere i problemi, sono inoltre disponibili collegamenti con etichetta alla documentazione pertinente.
• Il modulo Assessment supporta la selezione di più categorie per le regole, consentendo l'elaborazione e la valutazione simultanee tra più categorie di regole.

Esportazione dei risultati degli asset

Per esportare i risultati delle risorse per le regole, fate clic su Esporta. Per ulteriori informazioni, vedere Esportazione delle informazioni.

Ricerca e filtraggio delle viste per i risultati degli asset

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare i risultati dei cespiti immettendo il nome del cespite nel campo Cerca.

Note:

• Alcuni filtri possono essere nascosti a seconda delle impostazioni di zoom
• Sono disponibili filtri diversi a seconda dei ruoli e delle autorizzazioni

Visualizzazione dei risultati degli asset per le valutazioni della configurazione

Per visualizzare i dettagli dei risultati dei cespiti, fare clic su un cespite dai risultati dei cespiti.

Nella pagina dei dettagli del risultato del cespite vengono visualizzate le informazioni in base al livello o al livello di diritto.

Livello standard di configurazione

• Livello standard
• Dettagli ricerca: Fornisce informazioni sulle deviazioni della configurazione identificate durante la valutazione, insieme ai registri delle prove
• Consigli: Fornisce indicazioni per risolvere i problemi e garantire la coerenza della configurazione

Visualizzazione delle informazioni sugli asset e sulle regole per le valutazioni della configurazione

Per visualizzare i dettagli relativi alle informazioni su cespiti e regole, fate clic sulla scheda Informazioni su cespiti e regole (Asset and Rule Info).

Informazioni su cespiti e regole

Viene visualizzata la pagina Informazioni su cespiti e regole con le informazioni riportate di seguito.

• Informazioni sulla risorsa: Fornisce i dettagli di una risorsa, ad esempio ID prodotto, tipo di prodotto, indirizzo IP, numero di serie, versione software, ubicazione e livello di supporto
• Informazioni sulla regola: Fornisce i dettagli di una regola, ad esempio Gravità, Categoria e Tipo di software

Visualizzazione di informazioni approfondite

Le informazioni approfondite sono generate dall'intelligenza artificiale e fungono da dashboard intelligente che sintetizza i dati di valutazione in schede chiave con priorità, evidenziando le differenze di configurazione critiche tra più risultati. Consente di affrontare in modo efficiente i rischi di infrastruttura più impattanti concentrandosi su queste aree urgenti. Vengono inoltre evidenziati i punti di forza identificando le aree in cui l'infrastruttura funziona correttamente e le procedure ottimali. 

Informazioni approfondite

Per visualizzare i dettagli di Insights:

1. Nel pannello Informazioni approfondite, fare clic su Visualizza tutto. La pagina Insights visualizza tutte le informazioni dettagliate.

Pagina Informazioni approfondite

2. Fare clic su Visualizza dettagli o su una scheda qualsiasi. Viene visualizzata la pagina Dettagli di Insights con le informazioni riportate di seguito.

Dettagli informazioni approfondite

• Insight: Fornisce un riepilogo che evidenzia i modelli ricorrenti di deviazioni della configurazione identificati attraverso un'analisi completa su più risultati, nonché le aree di eccellenza dell'infrastruttura in cui le configurazioni sono allineate alle best practice
• Consiglio: Fornisce una serie di procedure per correggere le lacune di configurazione identificate
• Asset interessati: Fornisce un elenco di dispositivi specifici in cui la deviazione di configurazione è stata identificata come definito nella sezione Insight

3. Fare clic su Risultati origine. La pagina Risultati di origine visualizza i singoli risultati dettagliati che supportano le informazioni dettagliate dell'utente.

Risultati di origine

È possibile filtrare la vista tabella scegliendo un filtro dagli elenchi a discesa Gravità e Risultato.

Nota: I suggerimenti e le risorse interessate sono facoltativi a seconda dell'output di ciascuna analisi.

Notifiche sul campo

Gli avvisi sui prodotti identificano problemi significativi non correlati alla sicurezza e li organizzano in base alla gravità e alla criticità dell'impatto, migliorando la capacità dell'organizzazione di gestire i rischi dei prodotti. Gli avvisi sui prodotti forniscono informazioni utili sui difetti dei prodotti, riducono i tempi di attenuazione dei problemi tramite aggiornamenti consigliati o soluzioni alternative e garantiscono l'allineamento con gli obiettivi operativi e aziendali. In questo modo si rafforza l'affidabilità dei prodotti, si ottimizza l'allocazione delle risorse e si favorisce la resilienza contro le sfide in continua evoluzione dei prodotti all'interno dell'azienda.

Notifiche sul campo

Ricerca e filtro di visualizzazioni per avvisi sui prodotti

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa. È inoltre possibile cercare le valutazioni delle notifiche sul campo immettendo il nome della valutazione nel campo Cerca.

Visualizzazione delle valutazioni per gli avvisi sui prodotti

Per visualizzare ulteriori dettagli su un avviso sui prodotti, fare clic su una valutazione. Vengono visualizzati i seguenti dettagli della valutazione:

• Informazioni sulle valutazioni: Fornisce ulteriori dettagli riepilogando lo scopo della valutazione
• Valutazioni delle notifiche sul campo: Visualizza un elenco di asset interessati dall'avviso di campo selezionato, inclusi gli asset con vulnerabilità rilevate

Visualizzazione delle valutazioni per gli avvisi sui prodotti

Ricerca e filtraggio delle visualizzazioni per i risultati dei cespiti per gli avvisi sui prodotti

È possibile filtrare la visualizzazione elenco scegliendo un filtro dagli elenchi a discesa oppure facendo clic su Filtri e scegliendo un'opzione dall'elenco dei filtri disponibili. È inoltre possibile cercare i risultati dei cespiti immettendo il nome del cespite nel campo Cerca.

Note:

• Alcuni filtri possono essere nascosti a seconda delle impostazioni di zoom.
• Sono disponibili diversi filtri a seconda dei ruoli e delle autorizzazioni.

Esportazione dei risultati degli asset per gli avvisi sui prodotti

Per esportare i risultati degli asset di valutazione per gli avvisi sui prodotti, fare clic su Esporta. Per ulteriori informazioni, vedere Esportazione delle informazioni.

Visualizzazione dei risultati della valutazione dei cespiti per gli avvisi sui prodotti

Per visualizzare i dettagli dei risultati della valutazione di un cespite, fare clic su un cespite in Risultati valutazione cespite. Viene visualizzata la pagina dei dettagli del risultato della valutazione del cespite.

È possibile visualizzare i seguenti tipi di risultati:

• Interessato: Indica le risorse che soddisfano tutti i criteri controllati automaticamente per un avviso sui prodotti e che non richiedono ulteriori verifiche manuali per confermare l'impatto
• Potenzialmente interessati: Indica le risorse che soddisfano tutti i criteri controllati automaticamente per un avviso sui prodotti ma che richiedono ulteriori verifiche manuali per verificare se hanno un impatto reale

Nella scheda Valutazioni - Protezione avanzata sono disponibili i seguenti prompt:

• Quali sono le best practice di Cisco Security Hardening per i dispositivi di rete?
• Come fortificare i dispositivi Cisco IOS XE?
• Elencare le fasi di protezione avanzata per router e switch.
• Quali sono le impostazioni di protezione avanzata della linea di base consigliate per i dispositivi Cisco?
• Quanti asset violano le best practice per il rafforzamento della sicurezza?

Autenticazione locale

Per accedere correttamente a VA, gli amministratori account devono utilizzare le credenziali seguenti:

• Nome utente predefinito: admin
• Password predefinita: la password impostata durante il processo di installazione di VA; fare riferimento alla Guida introduttiva per ulteriori informazioni
• Contesto account predefinito: Default-Cliente

Al momento dell'accesso, l'utente predefinito, "admin", e il nome dell'account, "Default-Customer" vengono visualizzati nella home page.

Impostazione della protezione dell'amministratore locale

È possibile modificare la password e impostare le domande di sicurezza tramite il menu User Profile (Profilo utente) in Home page.

Impostazioni blocco

Durante la distribuzione è possibile configurare le impostazioni di blocco dell'account seguenti:

• Stato blocco: abilita o disabilita la funzione di blocco dell'account.
• Numero massimo tentativi di accesso: imposta il numero massimo di tentativi consecutivi non riusciti consentiti prima del blocco di un account (impostazione predefinita: 3; Intervallo: 0–10).
• Finestra temporale ricorrente: definisce il periodo di tempo per la registrazione dei tentativi non riusciti (impostazione predefinita: 15 minuti; Intervallo: 0-60 minuti).
• Durata: consente di impostare la durata per la quale un account rimane bloccato una volta raggiunto il numero massimo di tentativi (impostazione predefinita: 30 minuti Intervallo: 0-60 minuti).

Note:

Si hanno a disposizione tre (3) tentativi per immettere la password corretta entro un periodo di 15 minuti. Se tutti e tre (3) i tentativi hanno esito negativo, l'account viene temporaneamente bloccato per 30 minuti per proteggere la protezione.

Non è possibile tentare l'accesso durante il periodo di blocco. Viene visualizzato il messaggio: "Account bloccato a causa di troppi tentativi non riusciti. Riprova più tardi.", inclusa l'ora di scadenza del blocco.

L'account si sblocca automaticamente dopo 30 minuti. A questo punto è possibile tentare di accedere o reimpostare la password.

Impostazione di domande e risposte di sicurezza

Le domande di sicurezza aiutano a verificare la tua identità se dimentichi la password. Per abilitare la funzione di reimpostazione della password, gli amministratori degli account devono impostare le risposte a cinque (5) domande di sicurezza. Si tratta di un'installazione unica.

Per impostare le domande di sicurezza:

1. Dalla home page, fare clic sull'icona Profilo utente. Viene visualizzato il menu a discesa.

Usa protezione

2. Fare clic su Gestisci in Protezione utente. Verrà visualizzata la pagina Sicurezza utente.

Domande di sicurezza

3. Fare clic su Domande di sicurezza per aprire la scheda.

Scheda Domande di sicurezza

4. Fare clic su Configura domande di sicurezza.

Configura domande di sicurezza

5. Scegliere cinque (5) domande di sicurezza dagli elenchi a discesa.
6. Inserisci la tua risposta per ogni domanda.
7. Fare clic su Save (Salva).

Note:

• Nelle risposte non viene fatta distinzione tra maiuscole e minuscole. Ad esempio, "SMITH" e "smith" vengono considerati uguali
• Gli spazi aggiuntivi vengono ignorati, ovvero "Smith" e "Smith" vengono trattati in modo identico
• Ricorda come hai immesso la risposta (ad esempio, nomi completi o soprannomi)
• Usa risposte semplici che ti ricorderai anni dopo
• Scegli le domande con risposte che non cambieranno nel tempo

Nota: Se necessario, è possibile aggiornare le risposte in un secondo momento. Quando si aggiornano le risposte, tutte le risposte precedenti vengono sostituite, pertanto è necessario fornire di nuovo le risposte a tutte e cinque le domande (5) e non solo a quelle che si desidera modificare.

Gestione delle password

Gli amministratori di account e gli utenti locali possono gestire la password per Cisco IQ.

Per garantire la sicurezza dell'account, vengono applicati i seguenti criteri per le password:

• Restrizione al riutilizzo: la nuova password non può corrispondere a nessuna delle cinque (5) password precedenti. Questo criterio si applica ai flussi di registrazione, password dimenticata e modifica password.
• Variazione caratteri: quando si modifica la password durante l'autenticazione, almeno otto (8) caratteri della password corrente devono essere diversi nella nuova password.
• Intervallo minimo di modifica: per impostazione predefinita, è necessario attendere 24 ore prima di modificare di nuovo la password. Se è stato configurato un intervallo diverso, non sarà possibile aggiornare la password fino a quando non sarà trascorso tale intervallo.
• Scadenza password: Le password scadono ogni 60 giorni. Al primo accesso successivo alla data di scadenza, sarà necessario impostare una nuova password prima di poter accedere al sistema (se configurato su 0, la scadenza della password è disabilitata).

Prerequisiti

Per gestire le password, è necessario che siano soddisfatte le seguenti condizioni:

• L'utente corrente è un amministratore o un utente dell'account locale
• Si sta utilizzando un account locale (non Single Sign-On (SSO) o autenticazione esterna)
• Sei connesso a Cisco IQ
• Si conosce la password corrente

Modifica delle password

Per modificare la password:

1. Dalla home page, fare clic sull'icona Profilo utente. Viene visualizzato il menu a discesa.

Gestisci protezione utente

2. Fare clic su Gestisci in Protezione utente. Verrà visualizzata la pagina Sicurezza utente.

Cambia password

3. Immettere la password corrente.
4. Immettere la nuova password.
5. Immettere nuovamente la nuova password per confermarla.
6. Fare clic su Save (Salva).

La password viene aggiornata nel sistema Cisco IQ, inclusa la VM Cisco IQ.

Reimpostazione di una password dimenticata

È possibile reimpostare una password utilizzando il processo di verifica delle domande di sicurezza.

Per reimpostare una password dimenticata:

1. Passare alla pagina di accesso di Cisco IQ VA.
2. Fare clic su Password dimenticata.

Password dimenticata

3. Immettere il nome utente.
4. Fare clic su Continue (Continua). Nella pagina Verifica identità vengono visualizzate tre (3) domande di sicurezza casuali su cinque (5) domande configurate in precedenza.

Verifica identità

5. Inserire le risposte per tutte e tre (3) le domande visualizzate.
6. Fare clic su Verifica e continuare. Se la risposta inviata corrisponde alle risposte salvate in precedenza, verrà richiesto di immettere una nuova password.

Reimposta password

7. Immettere la nuova password.
8. Immettere nuovamente la password per confermarla.
9. Fare clic su Invia.

Aggiunta di utenti locali

Gli amministratori account possono aggiungere utenti all'account Cisco IQ. Per aggiungere un nuovo utente:

1. Passare a Impostazioni di sistema > Identità locale e accesso > Utenti. Verrà visualizzata la pagina Utenti. Vengono elencati tutti gli utenti locali esistenti con il relativo stato.

Pagina Utenti

2. Fare clic su Aggiungi utenti. Verrà visualizzata la pagina Aggiungi utente.

Aggiungi utente

3. Inserire l'indirizzo e-mail.

4. Inserire il codice di attivazione.

5. In Accesso utente, scegliere il gruppo di utenti dall'elenco a discesa Seleziona gruppi di utenti.

6. In Assegna accesso diretto, scegliere il ruolo dall'elenco a discesa Ruolo. Sono disponibili due (2) ruoli:

• Visualizzatore: Visualizza e accedi alle applicazioni
• Amministratore account: Accedere ai moduli e gestire le impostazioni di sistema, ad eccezione di IDP (System Management and Identity Provider)

7. Fare clic su Salva. Il nuovo utente viene creato e visualizzato nell'elenco degli utenti con lo stato In sospeso. In sospeso indica che l'utente non ha ancora completato l'attivazione automatica.

8. Individuare nell'elenco l'utente appena creato e verificare che nella colonna Stato sia visualizzato In sospeso.

9. Fare clic sull'icona Altre opzioni accanto all'utente appena creato.

Copia codice di attivazione

10. Selezionare il codice di attivazione Copia dall'elenco a discesa. Il codice di attivazione viene copiato negli Appunti.

11. Condividere questo codice con l'utente in modo sicuro, ad esempio tramite un canale interno protetto. Il codice di attivazione deve essere utilizzato una sola volta ed è necessario per completare la registrazione.

12. Per disconnettersi, fare clic sull'icona Profilo utente nell'angolo superiore destro e selezionare Disconnetti. Viene visualizzata di nuovo la pagina di accesso di Cisco IQ.

Registrazione di nuovi account utente

Per registrare il nuovo account utente:

1. Nella pagina di accesso, fare clic sul collegamento Registra un nuovo account utente.

Nuovo account utente

2. Immettere il Nome utente o l'indirizzo di posta elettronica utilizzato al momento della creazione dell'utente (ad esempio, user1@abc.com).
3. Immettere il codice di attivazione condiviso dall'amministratore account.
4. Fare clic su Registra account. Viene visualizzata la finestra Imposta nuova password.

Password nuovo account utente

5. Immettere una nuova password.
6. Immettere nuovamente la password in Conferma password.
7. Al primo accesso riuscito, all'utente viene richiesto di configurare cinque (5) domande di sicurezza. Per ulteriori informazioni, vedere Impostazione di domande e risposte di protezione.

Gestione dei gruppi di utenti locali

I gruppi di utenti consentono all'amministratore dell'account di gestire i ruoli per più utenti locali contemporaneamente. Anziché assegnare un ruolo a ogni singolo utente, è possibile creare un gruppo, associarvi un ruolo e un set di utenti e aggiornare il ruolo o l'appartenenza in un'unica posizione. La gestione di tutti i gruppi di utenti viene eseguita dalla pagina Identità locale e accesso.

Creazione di un gruppo di utenti

Per creare un gruppo di utenti:

1. Da Impostazioni di sistema, scegliere Identità locale e accesso > Gruppi di utenti. Viene visualizzata la pagina Gruppi di utenti.

Gruppi di utenti

2. Fare clic su Crea gruppo utenti. Viene visualizzata la pagina Crea gruppo utenti.

Crea gruppo utenti

3. Completare le sezioni seguenti:

• Dettagli
• Nome: Immettere un nome univoco per il gruppo, ad esempio Operatori di sola lettura
• Descrizione (facoltativa): Breve descrizione del gruppo (massimo 50 caratteri; caratteri alfanumerici e + = @ - _ consentiti)
• Assegna utenti: Cercare e selezionare uno o più utenti locali esistenti da aggiungere al gruppo.

• Assegna accesso
• Ruolo: Scegliere il ruolo di sistema da assegnare a tutti i membri di questo gruppo. Sono disponibili i seguenti ruoli:
• Visualizzatore: Visualizza e accedi ai moduli (sola lettura)
• Amministratore: Accedere ai moduli e gestire le impostazioni di sistema

4. Fare clic su Save (Salva).

Il nuovo gruppo di utenti viene visualizzato nell'elenco Gruppi di utenti insieme al ruolo assegnato e al numero di membri.

Modifica di un gruppo di utenti

Per modificare un gruppo di utenti:

1. Dalla lista Gruppi di utenti, individuare il gruppo che si desidera modificare.
2. Scegliere l'icona Altre opzioni > Modifica del gruppo desiderato. Viene visualizzata la pagina Modifica gruppo di utenti.

Modifica gruppo di utenti

3. Apportare le modifiche desiderate.
4. Fare clic su Save (Salva).

Il gruppo aggiornato viene visualizzato nell'elenco Gruppi utenti. Il nuovo ruolo diventa effettivo per tutti i membri del gruppo.

Eliminazione di un gruppo di utenti

Per eliminare un gruppo di utenti:

1. Dalla lista Gruppi di utenti, individuare il gruppo che si desidera eliminare.
2. Fare clic sull'icona Altre opzioni accanto al gruppo e selezionare Elimina.

Elimina gruppo di utenti 

3. Confermare l'eliminazione quando richiesto.

Il gruppo viene rimosso dall'elenco Gruppi utenti.

Configurazione del provider di identità

Una volta effettuato l'accesso a VA, gli amministratori account possono configurare varie impostazioni. Gli amministratori degli account possono eseguire l'accesso utilizzando l'amministrazione locale o la configurazione IDP.

Configurazione SAML IDP Okta per SSO  

Prerequisiti per la configurazione di SAML IDP

• Accesso come amministratore locale a Cisco IQ
• Accesso al portale IDP

Configurazione SAML IDP per SSO

Per configurare IDP Security Assertion Markup Language (SAML) per SSO:

1. Passare al portale IDP.
2. Impostare gli attributi seguenti per l'istanza di Cisco IQ.

 Attributi Cisco IQ

Campo	Valore
Nome applicazione	<Nome applicazione>
Ambiente	Applicazione aziendale ESP
Gruppi di proprietari applicazione	Proprietario delle impostazioni IDP
Mailer team	Mailer per il team
Destinatari	Non forza lavoro
Categoria caricamento	Selezionare "New Onboarding" (Nuovo caricamento)

Parametri di configurazione SAML

Parametro	Configurazione	Esempio
Destinatari (ID entità)	FQDN	mymanagementhost.mydomain.com
URL Single Sign-On	Endpoint SAML Assertion Customer Service (ACS)	https://mymanagementhost.mydomain.com /saml/acs
Formato ID nome	Indirizzo email	N/D
Nome utente applicazione	Username	N/D

3. Configurare le istruzioni degli attributi.

Nota: Le modifiche agli attributi IDP dipendono dal provider e dalla configurazione specifici. Di seguito vengono illustrati l'IDP Cisco e i relativi attributi.

• Prima voce
• Nome: Username
• Valore: user.login
• Seconda voce
• Nome: Posta elettronica primaria
• Valore: user.email
• Istruzioni di attributi di gruppo
• Nome: gruppi
• Filtro: REGEX
• Valore: .*

4. Configurare le impostazioni SLO (Single Logout) nell'applicazione.

•  Impostazioni di configurazione SLO

Impostazioni di configurazione SLO

Campo	Valore
Certificato di firma	Per Okta, questo certificato è necessario solo se si sceglie di abilitare SLO. Scaricare il certificato di firma utilizzando il download del certificato SP nei provider di identità. Salvare il file come sp-public-key.crt. Per ulteriori informazioni, vedere Configurazione della disconnessione singola.
Metadati SP	I metadati del provider di servizi (SP) sono necessari solo per l'IDP ADFS e non per Okta.
Abilitare la disconnessione singola?	Sì o No
URL di disconnessione singolo	https://mymanagementhost.mydomain.com/saml/logout
Autorità emittente SP (ID gruppo di destinatari/entità o URL ACS)	https://mymanagementhost.mydomain.com

5. Fare clic sull'icona Download per scaricare il file "IDP Metadata XML".
6. Eseguire il provisioning o creare l'applicazione come richiesto dal provider.

Aggiunta di IDP Okta

Per aggiungere un IDP in Cisco IQ:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Provider di identità. Viene visualizzata la pagina Provider di identità.

Home page di IDP

2. Fare clic su Aggiungi provider di identità. Viene visualizzata la pagina Aggiungi provider di identità.

Aggiungi provider di identità

3. Immettere il nome del provider di identità.
4. Fare clic su Add (Aggiungi) per aggiungere un nome di dominio configurato da Cisco IQ al campo Domain(s).
5. Trascinare o caricare il file di metadati SAML ottenuto dall'applicazione IDP nel campo metadati IDP organizzazione. Questo file contiene i dettagli del certificato e dell'entità SP.
6. (Facoltativo) attivare il pulsante Abilita disconnessione singola. È possibile attivare lo SLO anche in un secondo momento.
7. Fare clic su Save (Salva).

Configurazione mapping ruoli

1. Dall'IDP aggiunto, scegliere l'icona Altre opzioni > Mappa ruoli. Viene visualizzata la pagina Mappa ruoli utente.

Mapping ruoli utente

2. Immettere un ruolo IDP per il ruolo di sistema selezionato. Sono supportati i seguenti ruoli di sistema:

• Amministratore account generale: L'amministratore dell'account generale dispone di autorizzazioni complete per eseguire tutte le azioni nel prodotto
• Visualizzatore account generale: Il Visualizzatore account generale dispone di accesso in sola lettura

Riferimento mapping ruoli

3. Eseguire il mapping di ruoli aggiuntivi in base alle esigenze facendo clic su Aggiungi ruolo provider di identità.
4. Fare clic su Save (Salva). Una volta configurata, la pagina di login visualizza un'opzione per eseguire il login con SSO (tramite IDP).

Configurazione disconnessione singola

Se si sceglie di abilitare SLO, è necessario caricare i metadati che includono l'URL SLO. È possibile configurare questa impostazione modificando le impostazioni del provider di identità e attivando l'opzione Abilita disconnessione singola. Per completare la configurazione dello SLO:

1. Dalla home page dei provider di identità, fare clic su Scarica certificato pubblico SP.

Certificato pubblico SP

2. Salvare il file scaricato come sp-public-key.crt.
3. Passare al portale IDP.
4. Caricare il file del certificato di firma generato nella configurazione SAML IDP per SSO.
5. Immettere l'URL dello SLO (ad esempio, https://<fqdn-dell'accessorio>/saml/logout).
6. Immettere l'autorità emittente dell'SP (ad esempio, <fqdn-of-the-appliance>).
7. Fare clic su Invia.
8. Scaricate nuovamente il file di metadati IDP.
9. Nella pagina Provider di identità, scegliere l'icona Altre opzioni dell'IDP aggiunto > Modifica.
10. Attivare il pulsante Attiva disconnessione singola (SLO).
11. Caricare il file di metadati appena scaricato.
12. Utilizzare l'elenco di controllo seguente per verificare la funzionalità SSO e SLO:

Elenco di controllo per la verifica:

• Accesso dell'amministratore locale riuscito
• Il portale IDP è configurato e sottoposto a provisioning
• L'IDP viene aggiunto a Cisco IQ con lo stato "Operazione riuscita"
• I mapping dei ruoli vengono configurati e testati
• I metadati SP vengono scaricati ed estratti
• Se SLO è abilitato, la configurazione SLO è completata con il certificato di firma reale
• Test del flusso di SSO e SLO end-to-end completato

Risoluzione dei problemi relativi a IDP

Nella tabella seguente vengono elencati i problemi comuni e le possibili soluzioni per identificare e risolvere rapidamente i problemi relativi allo stato IDP, agli errori dei certificati, agli errori di accesso SSO e alla configurazione degli SLO:

Risoluzione dei problemi

Problema	Soluzione
Lo stato dell'IDP è "Incompleto"	Verificare le configurazioni di mapping dei ruoli
Errori certificato	Verifica del formato e della validità del certificato
Errori di accesso SSO	Convalida mapping di attributi e assegnazioni di gruppi
SLO non funzionante come previsto	Verificare che il certificato sia caricato correttamente e che gli URL SLO siano configurati

Configurazione SAML IDP ADFS per SSO

In questa sezione vengono fornite indicazioni per configurare Microsoft Active Directory Federation Services (ADFS) come provider di identità SAML per Cisco IQ, supportando l'autenticazione basata su password e PKI (Public Key Infrastructure) o basata su certificati.

Prerequisiti per configurare SAML IDP ADFS per SSO

• Si consiglia ADFS 6.0+
• Windows Server 2022+
• Integrazione di Active Directory configurata con gli account utente
• Certificati SSL/TLS sul server ADFS
• Accesso come amministratore a Cisco IQ
• Accesso amministrativo al server ADFS (Windows Server)
• Accesso PowerShell al server ADFS
• Connettività di rete tra ADFS e Cisco IQ        
• CA (Certification Authority) Enterprise (installata o raggiungibile)
• Privilegi di amministratore di dominio o di amministratore dell'organizzazione (necessari solo per PKI)
• Dettagli di configurazione del server ADFS (come indicato nella tabella seguente)

Panoramica sul flusso di autenticazione

Articolo	Descrizione	Esempio
FQDN Cisco IQ	Nome host distribuzione utente	<FQDN-CIQ-utente> Ad esempio, dev35-23.cx-xxx-xxx.cisco.com
URL server ADFS	Indirizzo server ADFS utente	https://<Nome-HOST-ADFS> Ad esempio, https://ad-fs.dev.local
Dominio società	Dominio e-mail	<Dominio-Utente>
Gruppi AD	Nomi di dominio (DN) del gruppo Active Directory	CN=Ruolo - Sviluppatori CXIQ OU=Gruppi, DC=dev, DC=locale
Nome CA (PKI)	Nome CA organizzazione	<Nome-CA-utente>
PKI (Cert Auth Port)	Porta TLS alternativa ADFS	49443
Identificazione personale certificato SSL	Certificato SSL del server ADFS	<IDENTIFICAZIONE PERSONALE-SSL-CERT>

Configurazione di SAML ADFS di base

Per configurare ADFS:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Provider di identità. Viene visualizzata la pagina Provider di identità.

Opzioni per il download

2. Fare clic su Scarica certificato pubblico SP e Scarica metadati SP per scaricare questi file.
3. Copiare e salvare i file service-provider-metadata.xml e service-provider-certificate.crt nel server ADFS, ad esempio C:\certs\.
4.  Accedere al server ADFS.
5. Dal menu Gestione ADFS, fare clic su Attendibilità componente.
6. Dal menu Trust relying party, fare clic su Aggiungi trust relying party. Verrà aperta la nuova procedura guidata.
7. Fare clic sul pulsante di opzione Claims Aware.
8. Fare clic su Start per procedere con la configurazione.
9. Fare clic su Importa dati sul componente da un file per ottenere i dettagli dal file salvato come parte del passaggio 3.
10. Fare clic su Sfoglia per selezionare il file dei metadati del provider di servizi e completare il caricamento del file.
11. Fare clic su Next (Avanti).
12. Immettere un nome visualizzato (ad esempio, "Cisco IQ"), aggiungere eventuali note pertinenti e fare clic su Avanti.
13. Nella pagina Scegli criterio di controllo di accesso fare clic su Autorizza tutti o sul criterio richiesto dalla configurazione di protezione dell'organizzazione.
14. Fare clic su Next (Avanti) nelle altre schermate.
15. Fare clic su Chiudi per completare la configurazione dell'attendibilità del componente.

Problema: Viene selezionata l'opzione "Permit Everyone with MFA".

Soluzione temporanea: In PowerShell, verificare il criterio corrente eseguendo il comando seguente.

Get-AdfsRelyingPartyTrust -Name "<NOME-RP-UTENTE>").AccessControlPolicyName

Per impostare "Permit Everyone" (nessun requisito MFA), eseguire il comando seguente:

Set-AdfsRelyingPartyTrust -TargetName "<NOME-RP-UTENTE>" -AccessControlPolicyName "Permetti a tutti"

È inoltre possibile creare il trust tramite PowerShell:

Add-AdfsRelyingPartyTrust `

  -Name "<NOME-RP>" `

  -Identifier "<ID-ENTITÀ-SP>" `

  -SamlEndpoint (New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer -Uri "<URL-ACS-UTENTE>") `

  -AccessControlPolicyName "Autorizza tutti" `

  -IssuanceAuthorizationRules '=> problema(Tipo = "http://schemas.microsoft.com/authorization/claims/permit", Valore = "true");

Configurazione delle regole attestazione ADFS

Per configurare le regole di attestazione ADFS, eseguire i passaggi elencati nelle sezioni seguenti.

Richieste di rimborso necessarie

Fare riferimento alla tabella seguente per le attestazioni obbligatorie.

Richieste di rimborso necessarie

Richiesta di rimborso	Scopo	Origine
Email	Identificatore utente	Posta elettronica
Nome visualizzato	Nome completo dell'utente	Nome visualizzato AD
UPN	Autenticazione PKI/certificati	ADFS mappa il certificato client a un utente AD tramite UPN
IDNome	Oggetto SAML	Trasformato da posta elettronica
Gruppi	Accesso basato sui ruoli	Appartenenza al gruppo AD (memberOf)

Applicazione delle regole attestazione

1. Definire il nome dell'attendibilità componente, ad esempio "Cisco IQ - Produzione".

 $relyingPartyName = "Nome-RP"

2. Definire le regole attestazione per inviare le informazioni sugli utenti e l'appartenenza ai gruppi a Cisco IQ.

$claimRules = @'

@RuleTemplate = "LdapClaims"

@RuleName = "Invia e-mail e nome"

c:[Tipo == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Emittente == "AUTORITÀ AD"]
=> problema(archivio = "Active Directory", tipi = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress", "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"), query = ";mail,displayName;{0}", parametro = c.Value);

@RuleTemplate = "LdapClaims"

@RuleName = "Invia UPN"

c:[Tipo == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Emittente == "AUTORITÀ AD"]

 => problema(store = "Active Directory",

    types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"),

    query = ";userPrincipalName;{0}", param = c.Value);

@RuleName = "Trasforma l'email in NameID"

c:[Tipo == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]

 => problema(Tipo = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",

    Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType,

    Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");

@RuleName = "Invia appartenenza al gruppo"

c:[Tipo == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Emittente == "AUTORITÀ AD"]

 => problema(store = "Active Directory",

    types = ("http://schemas.xmlsoap.org/claims/Group"),

    query = ";memberOf;{0}", param = c.Value);

'@

3. Applicare le regole attestazione eseguendo il comando seguente:

Set-AdfsRelyingPartyTrust - TargetName $relyingPartyName - IssuanceTransformRules $claimRules

Write-Host "Regole attestazione configurate correttamente" -ColorePrimoPiano Verde

Per aggiornare l'indirizzo di posta elettronica di un utente, eseguire il comando di PowerShell seguente:

Set-ADUser -Identity "<USERNAME>" -EmailAddress "<USER-EMAIL>"

Verifica dei gruppi di utenti

1. Impostare il nome utente per verificare l'appartenenza dell'utente ai gruppi eseguendo il comando seguente:

$username = "nomeutente"

2. Per individuare l'account dell'utente, eseguire i comandi seguenti:

$searcher = [adsisearcher]"(nomeaccount=$nomeutente)"

$user = $searcher.FindOne()

3. Per visualizzare i gruppi a cui appartiene l'utente, utilizzare il comando seguente:

$utente.Proprietà.memberof

Output di esempio:

CN=Ruolo - Sviluppatori CXIQ,OU=Gruppi di ruoli,DC=dev,DC=locale

Configurazione di ADFS per considerare attendibile il certificato di firma SP

1. Nel server ADFS, importare il certificato SP nell'archivio Persone attendibili:

Import-Certificate -FilePath "C:\certs\service-provider-certificate.crt" -CertStoreLocation "Cert:\LocalMachine\TrustedPeople"

2. Scegliere una delle opzioni seguenti:

• Disabilita convalida catena a livello globale per il componente

Set-AdfsRelyingPartyTrust `

    -TargetIdentifier "<Your_sp_entity_id>" `

    -SigningCertificateRevocationCheck None `

    -EncryptionCertificateRevocationCheck Nessuno

• Se il certificato SP è rilasciato da una CA (non autofirmato), importare il certificato CA emittente nell'archivio certificati radice

Import-Certificate -FilePath "C:\certs\issuing-ca.cer" -CertStoreLocation "Cert:\LocalMachine\Root"

3. Applicare le modifiche riavviando il servizio ADFS.

Restart-Service adfssrv

Impostazione dell'autenticazione PKI/certificato

In questa sezione viene descritto come aggiungere l'autenticazione basata su certificato, ovvero un certificato di smart card o software, insieme alle password. Questa sezione può essere ignorata se è sufficiente l'autenticazione basata solo su password.

Installazione del ruolo CA di Servizi certificati Active Directory

Per installare il ruolo CA Servizi certificati Active Directory:

1. Verificare se nel dominio esiste già una CA dell'organizzazione (Enterprise) eseguendo il comando seguente:

certutil -config - -ping

Se il comando restituisce una risposta valida, è possibile ignorare la parte restante di questa sezione. L'ambiente è già configurato. Se il comando indica che non è stata trovata alcuna CA, andare al passaggio 2.

2. Installare il ruolo CA eseguendo il comando seguente:

install-WindowsFeature AD-Certificate -IncludeManagementTools

3. Configurare il ruolo CA eseguendo il comando seguente:

Install-AdcsCertificationAuthority `

    -CAType EnterpriseRootCA `

    -CACommonName "<NOME-CA-UTENTE>" `

    -KeyLength 2048 `

    -HashAlgorithmName SHA256 `

    -CryptoProviderName "RSA#Microsoft Software Key Storage Provider" `

    -ValidityPeriod Years `

    -ValidityPeriodUnits 10 `

    -Forza

4. Verificare l'installazione eseguendo il comando seguente:

certutil -ca

5. Verificare che il servizio sia attivo e raggiungibile eseguendo il comando seguente:

certutil -config - -ping

Configurazione di un modello di certificato

Per configurare un modello di certificato con l'utilizzo chiavi avanzato per l'autenticazione client:

1. Aprire certsrv.msc ed espandere il nodo CA.
2. Fare clic con il pulsante destro del mouse su Modelli di certificato > Gestisci.
3. Duplicare il modello User.

4. Configurare le impostazioni nelle schede seguenti:

• Informazioni generali: Immettere "CIQ Autenticazione utente" nel campo Nome con un periodo di validità di un (1) anno
• Gestione richieste: Selezionare Firma e crittografia dall'elenco a discesa Scopo e selezionare la casella di controllo Consenti esportazione chiave privata
• Nome soggetto: Selezionare Genera da informazioni di Active Directory e includere un messaggio di posta elettronica nei campi Oggetto e SAN

Avviso: I campi Subject e SAN devono contenere il nome dell'entità utente (UPN) di un utente o un indirizzo di posta elettronica corrispondente a un account AD. ADFS mappa il certificato a un utente AD utilizzando questi campi.

• Interni: Verificare che i criteri dell'applicazione includano "Autenticazione client (1.3.6.1.5.5.7.3.2)"
• Security: Aggiungere utenti di dominio e concedere loro autorizzazioni di lettura e registrazione

5. Pubblicate il modello utilizzando il seguente comando:

Add-CATemplate -Name "CIQUserAuthentication" -Force

Registrazione di un certificato utente

1. Eseguire il login come utente di destinazione.
2. Registrare il certificato eseguendo il comando seguente:

certreq -enroll -utente "AutenticazioneUtenteCIQ"

3. Verificare l'installazione del certificato eseguendo il comando seguente:

Get-ChildItem Cert:\Utente corrente\Utente | Where-Object {

    $_.EnhancedKeyUsageList.ObjectId - contiene "1.3.6.1.5.5.7.3.2"

} | Formato-Tabella Oggetto, Identificazione personale, NonDopo -AutoSize

Esportazione di un certificato utente da Windows e installazione sul client (Mac)

Per esportare un certificato utente da Windows a Mac:

1. Esportare il certificato da Windows come file PFX eseguendo i comandi seguenti:

$cert = Get-ChildItem Cert:\UtenteCorrente\Utente | Where-Object { $_.Subject -like "*<NOMEUTENTE>*" }

$password = ConvertTo-SecureString -String "<EXPORT-PASSWORD>" -Force -AsPlainText

Export-PfxCertificate -Cert $cert -FilePath "C:\temp\user-cert.pfx" -Password $password

2. Trasferite il file user-cert.pfx sul dispositivo Mac.
3. Importare il certificato nel portachiavi Mac eseguendo il comando seguente:

security import user-cert.pfx -k ~/Library/Keychains/login.keychain-db -P "<EXPORT-PASSWORD>"

4. Affidare la CA su Mac eseguendo:

sudo security add-trusted-cert -d -r trustRoot \

    -k /Library/Keychains/System.keychain ca-certificate.cer

Abilitazione degli endpoint di autenticazione dei certificati ADFS

Per abilitare gli endpoint di autenticazione dei certificati ADFS:

1. Abilitare gli endpoint del certificato ADFS richiesti eseguendo i comandi seguenti:

Enable-AdfsEndpoint -TargetAddressPath /adfs/services/trust/2005/certificate

Enable-AdfsEndpoint -TargetAddressPath /adfs/services/trust/2005/certificatettransport

Enable-AdfsEndpoint -TargetAddressPath /adfs/services/trust/13/certificate

Enable-AdfsEndpoint -TargetAddressPath /adfs/services/trust/13/certificatettransport

2. Verificare che tutti gli endpoint siano abilitati eseguendo il comando seguente:

Get-AdfsEndpoint | Where-Object { $_.AddressPath -like "*cert*" } |

    Format-Table AddressPath, Abilitato, Proxy -AutoSize

Abilitazione dell'autenticazione del certificato come principale

Per abilitare l'autenticazione del certificato come principale:

1. Configurare i provider di autenticazione primari per l'accesso alla rete Intranet ed Extranet utilizzando il comando seguente:

Set-AdfsGlobalAuthenticationPolicy `

  -PrimaryIntranetAuthenticationProvider @("CertificateAuthentication", "WindowsAuthentication", "FormsAuthentication", "MicrosoftPassportAuthentication") `

  -PrimaryExtranetAuthenticationProvider @("CertificateAuthentication", "FormsAuthentication", "MicrosoftPassportAuthentication")

2. Verificare che entrambi gli elenchi includano CertificateAuthentication e FormsAuthentication utilizzando i comandi seguenti:

(Get-AdfsGlobalAuthenticationPolicy).PrimaryIntranetAuthenticationProvider

(Get-AdfsGlobalAuthenticationPolicy).PrimaryExtranetAuthenticationProvider

3. Controllare la configurazione corrente della porta del client TLS utilizzando il comando seguente:

Get-AdfsProperties | Select-Object NomeHost, PortaHTTPS, PortaClientTls

4. Se TlsClientPort non è 4943, aggiornare la porta e riavviare il servizio ADFS utilizzando i comandi seguenti:

Set-AdfsProperties - PortaClientTl 4943

Restart-Service adfssrv

Correzioni SChannel/TLS (CRITICHE per PKI)

La procedura descritta nelle sezioni seguenti consente di risolvere gli errori CERT_E_UNTRUSTEDROOT (0x800B0109) che impediscono il funzionamento dell'autenticazione dei certificati.

Binding dei certificati SSL sulla porta 49443

Per associare i certificati SSL alla porta 49443:

1. Rimuovere gli eventuali binding a certificati SSL esistenti sulla porta 49443 utilizzando il comando seguente:

netsh http delete sslcert hostnameport=<NOME-HOST-ADFS-UTENTE>:49443

2. Creare una nuova associazione con la negoziazione dei certificati client abilitata utilizzando il comando seguente:

netsh http add sslcert hostnameport=<NOME-HOST-ADFS-UTENTE>:49443 `

    certhash=<IDENTIFICAZIONE PERSONALE-SSL-CERT> `

    appid="{5d89a20c-beab-4389-9447-324788eb944a}"

    certstorename=MIO `

    clientcertnegotiation=abilita `

    verifyclientcertrevocation=disattiva

3. Verificare che la negoziazione dei certificati client sia abilitata utilizzando il comando seguente:

netsh http show sslcert hostnameport=<NOME-HOST-ADFS-IT>:49443

Pulizia dell'archivio certificati (CRITICAL)

Per pulire l'archivio certificati:

1. Identificare i certificati non autofirmati nell'archivio radice attendibile eseguendo il comando seguente:

$bad = Get-ChildItem Cert:\ComputerLocale\Radice | Where-Object { $_.Issuer -ne $_.Subject }

$non valido | ForEach-Object { Write-Host "PROBLEM: $($_.Oggetto) | Emittente: $($_.Issuer)" - ColorePrimoPiano Rosso }

2. Spostare questi certificati nell'archivio CA intermedio eseguendo il comando seguente:

$non valido | Move-Item -Certificato destinazione:\ComputerLocale\CA

Write-Host "Certificati $($bad.Count) spostati dall'archivio CA radice all'archivio CA intermedio" - ForegroundColor Green

3. Verificare che nessun certificato non autofirmato rimanga nell'archivio radice attendibile eseguendo il comando seguente:

Get-ChildItem Cert:\ComputerLocale\Radice | Where-Object { $_.Issuer -ne $_.Subject }

Correzioni al Registro di sistema SChannel (CRITICAL)

Per configurare le impostazioni del Registro di sistema di SChannel in modo da garantire la corretta autenticazione dei certificati:

1. Definire la variabile del percorso del Registro di sistema utilizzando il comando seguente:

$regPath = "M:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL"

2. Applicare le impostazioni del Registro di sistema definite nella tabella seguente utilizzando i comandi seguenti:

Set-ItemProperty -Path $regPath -Name "ClientAuthTrustMode" -Value 2 -Type DWord

Set-ItemProperty -Path $regPath -Name "SendTrustedIssuerList" -Value 0 -Type DWord

Impostazioni Registro di sistema SChannel

Impostazione	Valore	Scopo
ModalitàAttendibilitàAutenticazioneClient	2	Abilita il trust CA esclusivo per correggere il percorso di convalida predefinito.
InviaElencoEmittentiAttendibili	0	Impedisce al server di inviare l'elenco completo degli emittenti attendibili durante l'handshake TLS.

Verifica dell'archivio certificati CA

Per verificare l'archivio certificati CA:

Nota: Il certificato CA che rilascia i certificati utente deve trovarsi nell'archivio SystemCertificates\Root per garantire che venga riconosciuto correttamente.

1. Definire l'identificazione personale del certificato CA utilizzando il comando seguente:

$caThumbprint = "<IDENTIFICAZIONE PERSONALE-CA-CERT>"

2. Verificare che il certificato CA sia già presente nell'archivio LocalMachine\Root utilizzando il comando seguente:

$exist = Percorso-Test "HKLM:\SOFTWARE\Microsoft\SystemCertificates\Root\Certificates\$caThumbprint"

Se il certificato non viene trovato, importarlo nell'archivio LocalMachine\Root:

if (-not $existing) {

    Import-Certificate -FilePath "C:\certs\<YOUR-CA-CERT>.cer" `

        -CertStoreLocation "Cert:\ComputerLocale\Radice"

}

Riavvio del server ADFS (OBBLIGATORIO)

Riavviare il server ADFS utilizzando il comando seguente:

Restart-Computer -Force

Esportazione dei metadati ADFS

È possibile scaricare i metadati ADFS utilizzando PowerShell o il browser Web.

PowerShell

Per esportare i metadati ADFS utilizzando PowerShell:

1. Aprire PowerShell nel server ADFS.
2. Eseguire i comandi seguenti per scaricare il file di metadati.

$metadataUrl = (Get-AdfsEndpoint) | Where-Object {$_.Protocol -eq "Federation Metadata"}).FullUrl

Invoke-WebRequest -Uri $metadataUrl.AbsoluteUri -OutFile "C:\temp\adfs-metadata.xml"

Write-Host "Metadati ADFS esportati in C:\temp\adfs-metadata.xml" -ForegroundColor Green

Dopo aver eseguito i comandi, il file di metadati viene salvato in C:\temp\adfs-metadata.xml.

Browser Web

Per esportare i metadati ADFS utilizzando un browser Web:

1. Passare a https://<server-adfs>/FederationMetadata/2007-06/FederationMetadata.xml, sostituendo "<server-adfs>" con il nome host del server ADFS.
2. Quando richiesto, salvare il file XML dei metadati nel computer.

Configurazione su Cisco IQ

Per configurare su Cisco IQ:

1. Trasferire adfs-metadata.xml nella workstation.
2. In Cisco IQ, selezionare System Settings > System Configuration > Identity Providers (Impostazioni di sistema > Configurazione sistema > Provider di identità).
3. Caricare il file di metadati ADFS per estrarre automaticamente il certificato IDP, l'ID entità e l'URL SSO.
4. Salvare la configurazione.

Aggiunta di IDP ADFS

1. Nella pagina Provider di identità fare clic su Aggiungi provider di identità.
2. Immettere il nome del provider di identità. 
3. Immettere i domini (ad esempio, company.com).
4. (Facoltativo) Attivare il pulsante Abilita disconnessione singola, se necessario.
5. Trascinare o caricare il file di metadati SAML ottenuto dall'applicazione IDP nel campo Carica metadati IDP.
6. Fare clic su Save (Salva).

Configurazione del mapping dei ruoli per i ruoli di sistema

Prima di procedere alla configurazione del mapping dei ruoli, verificare di poter trovare i gruppi da AD da utilizzare per il mapping. Per trovare i gruppi da Active Directory, eseguire il comando di PowerShell seguente:

$searcher = DirectoryServices.DirectorySearcher New-Object

$searcher.Filter = "(&(objectClass=group)(cn=Role - CXIQ*))"

$searcher.PropertiesToLoad.Add("nomeDistinto") | Out-Null

$searcher.PropertiesToLoad.Add("cn") | Out-Null

$cercatore.TrovaTutto() | ForEach-Object { $_.Properties["nomedistinto"] }

Il sistema esegue query su Active Directory direttamente tramite il protocollo LDAP (Lightweight Directory Access Protocol), senza richiedere moduli aggiuntivi. Le informazioni sul gruppo vengono restituite nel formato Nome distinto completo, ad esempio:

CN=Ruolo - Sviluppatori CXIQ, OU=Gruppi, DC=dev, DC=esempio, DC=com CN=Ruolo - Visualizzatori CXIQ, OU=Gruppi, DC=dev, DC=esempio, DC=com

Se i gruppi richiesti non sono elencati, è necessario crearli in AD da un amministratore account prima di poter completare il mapping dei ruoli ADFS.

Per configurare il mapping dei ruoli:

Mapping ruoli

1. Dall'IDP aggiunto, scegliere l'icona Altre opzioni > Mappa ruoli. Viene visualizzata la pagina Mapping ruoli utente.

Mapping ruoli

2. Immettere un ruolo IDP per il ruolo di sistema selezionato. Sono supportati i seguenti ruoli di sistema:

• Amministratore account generale: L'amministratore dell'account generale dispone di autorizzazioni complete per eseguire tutte le azioni nel prodotto. Il ruolo IDP (nome analizzato) è CXIQ Admins.
• Visualizzatore account generale: Il Visualizzatore account generale dispone di accesso in sola lettura. Il ruolo IDP (nome analizzato) è Sviluppatori CXIQ e Visualizzatori CXIQ.

Nota: Utilizzare nomi analizzati (ad esempio, sviluppatori CXIQ) e non DN completi.

3. Fare clic su Save (Salva). Lo stato viene aggiornato a Operazione riuscita.

Test certificato client SChannel

Per verificare che SChannel sia configurato correttamente per accettare i certificati client, aprire una nuova finestra di PowerShell ed eseguire il comando seguente:

curl.exe —insecure `

  —cert "UtenteCorrente\Personale\<IDENTIFICAZIONE PERSONALE-UTENTE-CERT>" `

  -v "https://<NOME-HOST-ADFS>:49443/adfs/ls/"

L'output previsto è una risposta HTTP, ad esempio un reindirizzamento o la pagina ADFS. Se si verifica un errore di handshake TLS, la connessione non è riuscita.

Test completo del browser per il flusso PKI

Prima di iniziare il test end-to-end del browser per il flusso PKI, assicurarsi che il certificato utente sia installato nel portachiavi di MacOS (vedere Importazione del certificato utente sul computer client (MacOS)). Per provare:

1. Passare all'URL di accesso SAML applicazione. L'ADFS presenta le opzioni relative al certificato e alla password.
2. Scegliere Autenticazione certificato.  Il browser richiede il certificato.
3. Caricare il certificato. L'ADFS autentica l'utente, reindirizza la richiesta con una risposta SAML e stabilisce una nuova sessione.

Test completo del browser per il flusso delle password

Prima di iniziare il test completo del browser per il flusso di password:

1. Passare all'URL di accesso SAML applicazione. L'ADFS presenta le opzioni relative al certificato e alla password.
2. Selezionare Autenticazione password/moduli.  
3. Immettere il nome utente.
4. Immettere la password.
5. Verificare che l'accesso sia riuscito.

Nota: Entrambi i flussi devono funzionare contemporaneamente.

Risoluzione dei problemi relativi ad ADFS

L'elenco seguente descrive i problemi comuni e le possibili soluzioni per identificare e risolvere rapidamente i problemi relativi allo stato di ADFS, agli errori dei certificati, agli errori di accesso SSO e alla configurazione degli SLO.

 Problemi ADFS

Problema	Sintomi / Descrizione	Cause / Controlli / Soluzioni alternative e correzioni
Gruppi non estratti	Nessun ruolo dopo l'accesso	Regola attestazione mancante: Eseguire nuovamente le istruzioni in Configurazione delle regole attestazione ADFS
Decrittografia non riuscita	"Impossibile decrittografare l'asserzione" nei log	Controllare la configurazione del certificato ADFS
Loop di accesso	Bloccato nell'autenticazione o nel loop di accesso	● URL ACS non valido: Verifica: https://your-fqdn/saml/acs ● Mancata corrispondenza del cookie: Verificare i cookie del browser per il dominio corretto

Comandi di diagnostica per la risoluzione dei problemi

Per garantire una corretta integrazione tra l'ambiente ADFS e Cisco IQ, utilizzare i seguenti comandi diagnostici. Questi comandi consentono di verificare l'accessibilità dei metadati, le configurazioni dei certificati e le impostazioni degli endpoint.

• Verificare l'accessibilità dei metadati ADFS: conferma che i metadati federativi ADFS sono raggiungibili e accessibili al pubblico; si tratta di un passo fondamentale per stabilire la fiducia iniziale

curl -k https://<dominio-adfs>/FederationMetadata/2007-06/FederationMetadata.xml

• Convalida il certificato di crittografia: Assicura che il certificato di crittografia corretto sia associato all'attendibilità del componente Cisco IQ

Get-AdfsRelyingPartyTrust -Name "Cisco IQ - Produzione" | Select-Object Encryption Certificate | Formato-Elenco

• Verifica configurazione endpoint SAML: Verifica che gli endpoint SAML per il trust Cisco IQ siano configurati correttamente e che le richieste e le asserzioni di autenticazione vengano instradate agli URL previsti

Get-AdfsRelyingPartyTrust -Name "Cisco IQ - Produzione" | Select-Object SamlEndpoints

Configurazione SAML di Microsoft Entra ID per SSO

In questa sezione vengono fornite indicazioni per configurare Microsoft Entra ID (Entra ID) come provider di servizi Internet SAML per Cisco IQ, con supporto per l'autenticazione basata su password, PKI o CBA (Certificate-Based Authentication).

Prerequisiti per configurare Entra ID SAML per SSO

• Tenant ID Entra (ad esempio, "ciqtestdev.onmicrosoft.com")
• Accesso con ruolo Amministratore globale o Amministratore applicazioni a Cisco IQ
• Connettività tra Entra ID (cloud) e Cisco IQ
• CA Enterprise installata o raggiungibile (richiesta solo per PKI)
• Punto di distribuzione CRL (Certificate Revocation List) raggiungibile da Internet (richiesto solo per PKI)

Configurazione server Entra ID

Articolo	Descrizione	Esempio
ID tenant	Identificatore tenant ID entrante	37352d8f-0ebe-4762-8161-8775ffe897cb
FQDN Cisco IQ	Nome host distribuzione	<FQDN-CIQ-UTENTE>
ID entità IDP	URL autorità emittente ID entrante	https://sts.windows.net/<ID-TENANT>/
URL SSO IDP	Endpoint di accesso SAML	https://login.microsoftonline.com/<ID-TENANT>/saml2
Dominio società	Dominio e-mail per utenti	<DOMINIO-UTENTE>

Configurazione dell'applicazione SAML Entra ID

Creazione di un'applicazione enterprise

1. Accedere all'interfaccia di amministrazione di Microsoft Entra.
2. Passare a Identità > Applicazioni > Applicazioni aziendali.
3. Fare clic su Nuova applicazione > Crea applicazione personalizzata.
4. Immettere il nome (ad esempio, "Cisco IQ").
5. Scegliere Integra qualsiasi altra applicazione non presente nella raccolta (non presente nella raccolta).
6. Fare clic su Crea.

Configurazione di SAML Single Sign-On

Per configurare SAML Single Sign-On, è necessario caricare il file di metadati SP. È possibile ottenerlo eseguendo le seguenti operazioni da VA:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Provider di identità. Viene visualizzata la pagina Provider di identità.

Opzioni per il download

2. Fare clic su Scarica metadati SP per scaricarli. Questo file di metadati SP scaricato viene caricato per completare la configurazione SAML Single Sign-On.
3. Fare clic sul pulsante Upload Metadata file per caricare il file di metadati SP. Dopo il caricamento, i dati del file di metadati SP verranno automaticamente inseriti nella schermata Single Sign-on basata su SAML.

È inoltre possibile scegliere di immettere manualmente questi dettagli per configurare le impostazioni del servizio Single Sign-on. Per configurare manualmente il servizio Single Sign-on SAML:

1. Nell'applicazione enterprise, passare a Single Sign-On e scegliere SAML.
2. Nella sezione Configurazione SAML di base, fare clic su Modifica e immettere quanto segue:

• Identificatore (ID entità): <FQDN-CIQ-UTENTE>
• URL risposta (URL ACS): https://<FQDN-CIQ-UTENTE>/saml/acs
• URL di accesso: https://<FQDN-CIQ-UTENTE>/saml/login
• URL di disconnessione:https://<FQDN-CIQ-UTENTE>/saml/logout

3. Fare clic su Save (Salva).

4. Per configurare gli attributi e le attestazioni SAML, fare clic su Modifica nella sezione Attributi e attestazioni.
5. Configurare le attestazioni seguenti:

Attestazioni SAML richieste

Richiesta di rimborso	Attributo di origine	Spazio dei nomi
Identificatore utente univoco (NameID)	user.nomeprincipaleutente	*(predefinito)*
indirizzo email	user.mail	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
nomedato	user.nomedato	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
cognome	user.cognome	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
nome	user.nomeprincipaleutente	http://schemas.xmlsoap.org/ws/2005/05/identity/claims
gruppi	user.assignedroles	(VUOTO — cancella lo spazio dei nomi)

 

Configurazione dei ruoli applicazione

I ruoli dell'app sono configurati nella registrazione dell'app (non nell'applicazione enterprise); per configurare i ruoli applicazione:

1. Passare a Identità > Applicazioni > Registrazioni app.
2. Individuare e scegliere l'applicazione.
3. Vai a Ruoli app > Crea ruolo app.
4. Per ogni ruolo necessario, configurare quanto segue:

• Nome visualizzato: Ad esempio, Cisco IQ Admins
• Tipi di membro consentiti: Utenti/Gruppi
• Valore: Ad esempio, Cisco IQ Admins
• Descrizione: Ad esempio, Cisco IQ Administrators

5. Fare clic su Applica.

I ruoli applicazione vengono utilizzati al posto delle attestazioni basate su gruppo per i motivi seguenti:

• I tenant solo cloud non possono inviare nomi visualizzati di gruppi senza una licenza P1 o P2
• sAMAccountName funziona solo per i gruppi sincronizzati da Active Directory locale
• L'origine ID gruppo invia UUID (Universally Unique Identifier) difficili da mappare
• I ruoli applicazione inviano valori stringa esatti corrispondenti alle aspettative del ruolo Cisco IQ

Assegnazione di utenti ai ruoli applicazione

Per assegnare gli utenti ai ruoli applicazione:

1. Tornare a Applicazione enterprise > Utenti e gruppi.
2. Fare clic su Aggiungi utente/gruppo.
3. Scegliere gli utenti e assegnare il ruolo app appropriato.
4. Fare clic su Assegna. I valori dei ruoli vengono visualizzati come stringhe leggibili nell'attributo dei gruppi di asserzione SAML.

Download di metadati e certificati IDP

Per scaricare i metadati e il certificato IDP:

1. Dall'applicazione Enterprise, scegliere Single Sign-On > Certificato di firma SAML.
2. Scarica XML metadati federazione (salva come entra-id-metadata.xml).

O

Scaricare il certificato (Base64) per la voce manuale del certificato.

3. Osservate i seguenti valori dalla sezione Imposta (Set up):

• URL di accesso (URL SSO IDP)
• ID entità Azure AD (IDP)
• URL di disconnessione (URL SLO IDP)

Aggiunta di IDP ID entroide

Per aggiungere l'IDP ID Entra:

1. Accedere a VA come amministratore dell'account.
2. Passare a Impostazioni di sistema > Configurazione di sistema > Provider di identità.
3. Fare clic su Aggiungi provider di identità.
4. Immettere il nome dell'IDP (ad esempio, "Entra ID").
5. Immettere i domini (ad esempio, "ciqtestdev.onmicrosoft.com" o il dominio della società).
6. (Facoltativo) Attivare il pulsante di attivazione/disconnessione singolo, se necessario.
7. Trascinare o caricare il file entra-id-metadata.xml ottenuto da Entra ID nel campo Carica metadati IDP.
8. Fare clic su Save (Salva).

Configurazione del mapping dei ruoli

Per configurare il mapping dei ruoli:

1. Dall'IDP aggiunto, scegliere l'icona Altre opzioni > Mappa ruoli. Viene visualizzata la pagina Mapping ruoli utente.
2. Immettere un ruolo IDP per ogni ruolo di sistema. Sono supportati i seguenti ruoli di sistema:

•  Ruoli di sistema

Ruolo del sistema	Ruolo IDP (valore ruolo applicazione)	Descrizione
amministratore_account_generale	Amministratori CXIQ	Autorizzazioni complete per tutte le azioni
visualizzatore_account_generale	Sviluppatori CXIQ	Accesso in sola lettura
visualizzatore_account_generale	Visualizzatori CXIQ	Accesso in sola lettura

3. Fare clic su Save (Salva). Lo stato viene aggiornato a Operazione riuscita.

Verifica del flusso SAML (autenticazione password)

Per verificare il flusso SAML:

1. Aprire un browser in modalità Incognito o Private.
2. Accedere a https://<YOUR-CIQ-FQDN>/saml/login.
3. Verificare di essere reindirizzati alla pagina di accesso Microsoft.
4. Eseguire l'autenticazione con le credenziali (e con l'autenticazione a più fattori, se configurata).
5. Dopo l'autenticazione, verificare di essere reindirizzati a /saml/acs e che venga visualizzata l'applicazione Cisco IQ.
6. Verificare l'estrazione dei gruppi eseguendo il comando seguente:

kubectl -ncxue logs deployment/apisix —da=5m | grep -E "autenticazione riuscita|Gruppo estratto|Gruppi totali"

Output previsto

Autenticazione conforme a SAML 2.0 riuscita per l'utente: user@domain.com con nome completo: N/D e 1 gruppo

Gruppo estratto: CXIQ Admins (originale: Amministratori CXIQ)

Totale gruppi estratti: 1

Configurazione dell'autenticazione basata su certificati

In questa sezione viene descritto come aggiungere CBA insieme alle password. Questa sezione può essere ignorata se è sufficiente l'autenticazione basata solo su password.

Prerequisiti per l'analisi costi/benefici

• Windows Server con Servizi certificati Active Directory con CA Enterprise configurata (ad esempio, "DEV-ADCS-CA")
•  Accesso come amministratore di PowerShell sul server CA
• L'UPN del certificato deve corrispondere all'ID Entra userPrincipalName
• Il punto di distribuzione CRL deve essere accessibile da Internet

Creazione di un modello di certificato in Servizi certificati Active Directory

1. Aprire certtmpl.msc sul server CA.
2. Duplicare il modello User e denominarlo "EntraUserCert".
3. Configurare il modello:

• Informazioni generali: Nome visualizzato EntraUserCert, validità 1-2 anni
• Gestione richieste: Scopo = Firma e crittografia
• Nome soggetto: Selezionare Fornitura nella richiesta
• Interni: I criteri dell'applicazione devono includere l'autenticazione client (1.3.6.1.5.5.7.3.2)
• Security: Concedi autorizzazioni di lettura e registrazione a utenti autenticati

4. Pubblicate il modello utilizzando il seguente comando:

Add-CATemplate -Name "EntraUserCert" -Force

Richiesta e rilascio di un certificato utente

1. Creare un file di configurazione del certificato (INF) (ad esempio, C:\entra-cert.inf) utilizzando il seguente script di PowerShell:

@"

[Version]

Firma = "`$Windows NT`$"

[NuovaRichiesta]

Oggetto = "CN=<USER-UPN>"

Lunghezza chiave = 2048

KeySpec = 1

UtilizzoChiave = 0xa0

MachineKeySet = FALSO

ProviderName = "Provider di crittografia Microsoft RSA SChannel"

RequestType = PKCS10

[AttributiRichiesta]

CertificateTemplate = EntraUserCert

[EstensioneUtilizzoChiaveAvanzata]

OID = 1.3.6.1.5.7.3.2

OID = 1.3.6.1.4.1.31.20.2.2

[Interni]

2.5.29.17 = "{testo}"

_continue_ = "upn=<UPN-UTENTE>&"

_continue_ = "email=<UPN-UTENTE>"

"@ | Out-File -FilePath C:\entra-cert.inf -Codifica ASCII

2. Sostituire <USER-UPN> con l'UPN Entra ID, ad esempio user@ciqtestdev.onmicrosoft.com.
3. Per generare il certificato, eseguire i comandi seguenti:

certreq -new C:\entra-cert.inf C:\entra-cert.csr

4. Per inviare la richiesta alla CA, eseguire il comando seguente:

certreq -submit -config "<SERVER-CA>\<NOME-CA>" C:\entra-cert.csr C:\entra-cert.cer

5. Per installare il certificato nella CA, eseguire il comando seguente:

certreq -accept C:\entra-cert.cer

Esportazione dei certificati

Per esportare il certificato utente come file PFX (per il client), eseguire lo script seguente:

$cert = Get-ChildItem Cert:\UtenteCorrente\Utente | Where-Object { $_.Subject -like "*<USER-UPN>*" }

$password = ConvertTo-SecureString -String "<EXPORT-PASSWORD>" -Force -AsPlainText

Export-PfxCertificate -Cert $cert -FilePath C:\entra-cert.pfx -Password $password

Per esportare il certificato radice CA (per Entra ID), eseguire lo script seguente:

Get-ChildItem Cert:\ComputerLocale\Radice | Where-Object { $_.Subject -like "*<NOME-CA>*" } |

  Select-Object - Primo 1 | Export-Certificate -FilePath C:\ca-root.cer -Type CERT

Importazione del certificato utente sul computer client (MacOS)

Per importare il certificato utente (PFX), eseguire il comando seguente:

security import /path/to/entra-cert.pfx -k ~/Library/Keychains/login.keychain-db -P "<EXPORT-PASSWORD>"

Per importare il certificato radice CA, eseguire il comando seguente:

importazione protezione /path/to/ca-root.cer -k ~/Library/Keychains/login.keychain-db

Per impostare il certificato CA su Considera sempre attendibile l'accesso al portachiavi:

1. Aprire Keychain Access.
2. Individuare il certificato CA e fare clic su Get Info (Ottieni informazioni).
3. In Attendibilità, impostare su "Sempre attendibile".

Caricamento del certificato radice CA nell'ID Entra

1. Accedere all'interfaccia di amministrazione di Microsoft Entra.
2. Passare a Protezione > Sicurezza > Autorità di certificazione.
3. Fare clic su Upload (Carica) e selezionare il file ca-root.cer.
4. Contrassegnarlo come certificato CA radice.
5. Immettere l'URL del punto di distribuzione CRL (deve essere raggiungibile pubblicamente).

Abilitazione di CBA nei metodi di autenticazione Entra ID

1. Passare a Protezione > Metodi di autenticazione > Criteri.
2. Fare clic su Autenticazione basata su certificati per configurare.
3. Abilitare CBA e aggiungere gli utenti o i gruppi target.
4. In Configura impostare il livello di protezione su Autenticazione a fattore singolo.

Configurazione dell'associazione del nome utente

Nella configurazione CBA, andare alla scheda Binding nome utente e impostare il binding seguente:

• Campo certificato: NomePrincipale
• Attributo utente: NomePrincipaleUtente

In questo modo l'UPN nel nome alternativo del soggetto (SAN) del certificato viene mappato all'utente Entra ID.

Verifica del flusso CBA

1. Aprire un browser in modalità Incognito o Private.
2. Accedere a https://<YOUR-CIQ-FQDN>/saml/login.
3. Nella pagina di accesso a Microsoft, immettere l'indirizzo e-mail dell'utente e fare clic su Avanti.
4. Scegliere Usa un certificato o una smart card (o potrebbe essere richiesta automaticamente).
5. Scegliere il certificato utente applicabile quando il browser richiede la selezione del certificato.
6. Verificare che Entra ID convalidi il certificato, reindirizzi con una risposta SAML e crei una sessione.

Risoluzione dei problemi relativi agli ID interni

L'elenco seguente descrive i problemi comuni e le possibili soluzioni per identificare e risolvere rapidamente i problemi relativi alla configurazione SAML Entra ID.

Risoluzione dei problemi

Problema	Causa	Fix
Risposta SAML non valida - indirizzo di posta elettronica mancante	Asserzione SAML senza attributo NameID o email	Verificare la configurazione delle attestazioni Entra ID (per ulteriori informazioni, vedere Configurazione di SAML Single Sign-On). Verificare che l'attributo mail dell'utente sia compilato.
Totale gruppi estratti: 0	Attestazione basata su gruppi non configurata o origine errata	Utilizzare user.assignedroles come origine. Verificare che l'utente sia assegnato a un ruolo applicazione (per ulteriori informazioni, vedere Assegnazione di utenti ai ruoli applicazione).
Attestazioni gruppi duplicati	Sia user.groups che user.assignedroles attivi	Rimuovere l'attestazione user.groups. Mantieni solo user.assignedroles.
Gruppi visualizzati come UUID	L'attributo di origine è "ID gruppo"	Utilizzare l'approccio Ruoli applicazione (per ulteriori informazioni, vedere Configurazione dei ruoli applicazione).
Il nome dell'attributo mostra l'URI lungo	Il campo dello spazio dei nomi non è vuoto	Cancellare il campo Spazio dei nomi nelle impostazioni delle attestazioni basate su gruppi.
Firma SAML non valida	Certificato IdP ruotato o non corrispondente	Scaricare nuovamente i metadati dall'ID Entra e caricarli nuovamente in Cisco IQ.
ADSTS500191	CRL non raggiungibile da Internet	Pubblicare il CRL su un URL accessibile pubblicamente o utilizzare l'approccio CA autofirmato (per ulteriori informazioni, vedere Risoluzione dei problemi di raggiungibilità del CRL).
Certificato non richiesto	Certificato non incluso in portachiavi, CA non attendibile nel client o CBA non abilitato	Verificare che il certificato utente sia stato importato in MacOS Keychain Access (vedere Importazione del certificato utente sul computer client (MacOS) per ulteriori dettagli), CBA è abilitato in Entra ID con le impostazioni richieste (vedere Abilitazione di CBA in Entra ID Authentication Methods per ulteriori dettagli) e Chrome è riavviato per applicare le modifiche.
Asserzione SAML scaduta	Distanza di clock tra i sistemi	Aumentare clock_skew_seconds nella configurazione del plug-in (il valore predefinito è 300; utilizzare 30000 per il lab).
Stato "Incompleto" in Virtual Appliance	Mapping ruoli non ancora configurato	Completare il mapping dei ruoli (per ulteriori informazioni, vedere Configurazione del mapping dei ruoli).

Soluzione CRL per i problemi di raggiungibilità

Se il punto di distribuzione CRL della CA non è raggiungibile da Internet (comune nelle impostazioni lab), utilizzare una CA autofirmata senza requisiti CRL:

powershell

# Creazione di una CA autofirmata

$rootCA = New-SelfSignedCertificate `

  -Subject "CN=CIQ-Test-CA" `

  -CertStoreLocation "Cert:\CurrentUser\My" `

  -KeyUsage FirmaCerta, CRLSign `

  -KeyLength 2048 `

  -NotAfter (Get-Date).AddYears(5) `

  -TextExtension @("2.5.29.19={text}ca=TRUE")

# Creazione del certificato utente firmato dalla CA

$userCert = New-SelfSignedCertificate `

  -Subject "CN=<USER-UPN>" `

  -CertStoreLocation "Cert:\CurrentUser\My" `

  -Signer $rootCA `

  -KeyUsage FirmaDigitale `

  -KeyLength 2048 `

  -NotAfter (Get-Date).AddYears(2) `

  -TextExtension @(

    "2.5.29.37={text}1.3.6.1.5.5.7.3.2",

    "2.5.29.17={text}upn=<USER-UPN>&email=<USER-UPN>"

  )

Caricare solo il certificato CA radice in Entra ID. Poiché è autofirmato senza CDP (Cisco Discovery Protocol), Entra ID non tenta la convalida CRL.

Elenco di controllo per il completamento dell'installazione

In questa sezione viene descritto un elenco di controllo completo per la configurazione di VA con Microsoft Entra ID SAML Application e CBA opzionale.

Impostazione applicazione SAML ID voce

• Crea un'applicazione enterprise (diversa dalla raccolta) in Entra ID
• Configurare una configurazione SAML di base immettendo manualmente i metadati SP
• Configurazione di attributi e attestazioni (inclusi e-mail, nome e gruppi con user.assignedroles)
• Crea ruoli app nella registrazione app
• Assegna utenti a ruoli applicazione
• Scarica XML metadati federazione

Configurazione Cisco IQ

• Aggiungere un IDP in Cisco IQ caricando i metadati Entra ID
• Configurare il mapping dei ruoli per mappare i valori del ruolo applicazione ai ruoli di sistema Cisco IQ
• Verifica completa del funzionamento dell'accesso basato su password
• Verificare che i gruppi siano estratti correttamente nei registri

Autenticazione basata su certificati (facoltativa)

• Crea modello di certificato in Servizi certificati Active Directory con utilizzo chiavi avanzato di autenticazione client
• Rilasciare un certificato utente con un UPN corrispondente all'ID utente Entra
• Esportare un certificato utente come file PFX e installarlo nel computer client
• Considera attendibile il certificato CA nel computer client
• Caricare il certificato radice CA nell'ID Entra in Protezione > Autorità di certificazione
• Abilita CBA nei metodi di autenticazione
• Configurare l'associazione del nome utente (PrincipalName e userPrincipalName)
• Verifica completa del funzionamento dell'accesso CBA

Aggiunta del server SCP

Un server SCP è un prerequisito per l'importazione dei file di aggiornamento essenziali per aggiungere, aggiornare o correggere l'installazione di Cisco IQ.

Per aggiungere un server SCP:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Server SCP. Viene visualizzata la pagina SCP Server.

Home page del server SCP

2. Fare clic su Configura server SCP. Viene visualizzata la pagina Configura server SCP.

Configura server SCP

8. Immettere un indirizzo IP o un nome host.
9. Immettere una porta.
10. Immettere una directory remota.
11. Immettere un nome utente.
12. Immettere una password.
13. Fare clic su Save (Salva). Viene visualizzata una conferma.

Modifica di un server SCP esistente

Per modificare un server SCP esistente:

1. Passare alla pagina SCP Server.

Server SCP aggiunto

2. Fare clic su Edit (Modifica) del server SCP desiderato esistente.

Modifica del server SCP

3. Modificare i dettagli in base alle esigenze.
4. Fare clic su Save (Salva).

Gestione del sistema

È possibile eseguire l'aggiornamento alla versione più recente di Cisco IQ VA tramite l'interfaccia utente. È possibile effettuare la verifica anche dalla pagina Cisco IQ Data Connector.

Riprogrammazione dell'aggiornamento del sistema

Per riprogrammare l'aggiornamento del sistema:

1.  Da Impostazioni di sistema, scegliere Configurazione di sistema > Gestione sistema. Viene visualizzata la pagina Gestione sistema. In questa pagina viene visualizzata la versione del sistema attualmente in esecuzione; se non sono stati configurati aggiornamenti, la sezione Cronologia aggiornamenti è vuota.

2. Fare clic su Configura aggiornamento. Viene visualizzata la pagina Configura aggiornamento.

 Configura aggiornamento

3. Scegliere la pianificazione di aggiornamento per pianificare un'altra pianificazione.
4. Attendere il completamento del caricamento del file; la durata dipende dalle dimensioni del bundle e dalla velocità della rete.

Confermare l'esito positivo dell'aggiornamento verificando l'icona con il segno di spunta visualizzato nella colonna Aggiorna stato.

Modifica delle pianificazioni di aggiornamento del sistema

È possibile creare una pianificazione personalizzata per gli aggiornamenti del sistema. Se è stata configurata una pianificazione personalizzata, gli aggiornamenti vengono eseguiti alle date definite dall'utente purché rimangano entro il periodo di tolleranza massimo. Per creare una pianificazione di aggiornamento del sistema:

Modifica manutenzione

1. Dalla sezione Sistema corrente della pagina Gestione sistema, fare clic su Modifica finestra manutenzione.

Modifica finestra di manutenzione

2. Selezionare un'opzione dagli elenchi a discesa Giorno e Ora.
3. Fare clic su Salva. La finestra di manutenzione è stata pianificata correttamente. L'aggiornamento viene attivato in base alla pianificazione visualizzata.

Gestione dei nodi

1. Passare a Configurazione di sistema > Gestione sistema > Gestione nodi per visualizzare e gestire i nodi nel cluster.

Gestione dei nodi

2. Nell'elenco dei nodi vengono visualizzati lo stato, il nome host, il tipo di nodo, l'indirizzo IP, la netmask, il gateway e l'ora dell'ultima sincronizzazione di ogni nodo.

Configurazione certificati SSL

In Cisco IQ è preinstallato e abilitato un certificato autofirmato predefinito, ma è possibile caricare certificati SSL personalizzati. Quando un certificato SSL personalizzato è abilitato, viene utilizzato per le connessioni HTTPS; se il certificato viene disabilitato o eliminato, il sistema ripristina automaticamente il certificato predefinito. Impossibile modificare o eliminare il certificato SSL predefinito.

Aggiunta del certificato SSL personalizzato

Per aggiungere un certificato SSL personalizzato:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Certificati SSL. Viene visualizzata la pagina Certificati SSL, in cui sono elencati tutti i certificati SSL per il sistema in uso.

2. Fare clic su Aggiungi certificato SSL personalizzato.

3. Trascinare o caricare il certificato SSL personalizzato nella sezione Certificato SSL.
4. Attivare il pulsante Attiva/disattiva certificato SSL personalizzato.

5. Fare clic su Abilita certificato.
6. Fare clic su Save (Salva).

Il certificato SSL personalizzato è abilitato e attivo. Il certificato di sistema predefinito viene disattivato automaticamente.

Modifica del certificato SSL personalizzato

È possibile modificare il certificato SSL personalizzato per caricare un nuovo certificato o per disabilitare il certificato attualmente abilitato. Per modificare:

1. Passare al certificato SSL personalizzato desiderato.
2. Scegliere l'icona Altre opzioni > Modifica. Verrà visualizzata la pagina Modifica certificato SSL.
3. Modificare i dettagli del certificato come richiesto.
4. Fare clic su Save (Salva).

Eliminazione del certificato SSL personalizzato

1. Passare al certificato SSL personale desiderato.
2. Scegliere l'icona Altre opzioni > Elimina.
3. Fare clic su Elimina certificato. Il certificato personalizzato viene eliminato e il certificato predefinito viene riattivato automaticamente.

Configurazione server Syslog

Gli utenti con il ruolo Amministratore account possono configurare i server syslog esterni per esportare i registri di sistema. È possibile configurare fino a due (2) server syslog.

Aggiunta del server syslog

Per aggiungere un server syslog:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Syslog Server. Viene visualizzata la pagina Syslog Server.

Aggiungi server syslog

2. Fare clic su Add syslog server (Aggiungi server syslog). Viene visualizzata la pagina Crea Syslog Server.

Crea server syslog

3. Immettere l'indirizzo IP o il nome host.
4. Accedere a Port.
5. Selezionare il protocollo desiderato dall'elenco a discesa Protocollo (ad esempio, UDP, TCP).
6. Attivare il pulsante Abilita server syslog.
7. Fare clic su Save (Salva). Viene visualizzata una conferma e il server syslog appena aggiunto viene visualizzato nella home page del server syslog.

Modifica del server syslog configurato

Per modificare un server syslog configurato:

1. Passare al server syslog desiderato.
2. Scegliere l'icona Altre opzioni > Modifica. Viene visualizzata la pagina Modifica Syslog Server.
3. Modificare i dettagli o disattivare l'opzione Abilita server syslog, come richiesto.
4. Fare clic su Save (Salva).

Eliminazione del server syslog configurato

Per eliminare un server syslog configurato:

1. Passare al server syslog desiderato.
2. Scegliere l'icona Altre opzioni > Elimina. Viene visualizzata una conferma.
3. Fare clic su Delete syslog server (Elimina server syslog).

Registri attività

I registri delle attività e delle modifiche forniscono una registrazione dettagliata delle azioni degli utenti e delle modifiche in Cisco IQ, consentendo agli amministratori degli account di tenere traccia delle attività degli utenti e di mantenere la trasparenza.

Per visualizzare le attività e i log, selezionare Attività e log dal menu Impostazioni di sistema.

Log attività:

• Registra tutte le operazioni API a livello di gateway
• Supporta filtri, impaginazione e funzionalità di ricerca per semplificare l'individuazione e la gestione delle informazioni

Sono disponibili le seguenti opzioni di filtro:

• Data ultimo accesso: Filtra i log in un intervallo di tempo specifico
• Livello log: Filtra i registri in base alla gravità (ad esempio, errore, avviso e informazioni)
• Tipo di attività: Filtra i registri in base al tipo di attività del sistema
• Codice errore: Filtri per un codice di errore specifico

Banner

Gli amministratori degli account possono configurare banner a livello di sistema per soddisfare gli standard di sicurezza e conformità.

• Modalità di accesso obbligatoria: Prima di passare alla schermata di accesso, è necessario confermare la visualizzazione del banner obbligatorio.
• Banner applicazione: Si tratta di banner personalizzati che vengono visualizzati nell'applicazione dopo la corretta autenticazione.

Configurazione dei banner modali di login obbligatori

Per configurare un banner obbligatorio:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Banner. Verrà visualizzata la pagina Banner.

Configura banner obbligatorio

2. Fare clic su Configure (Configura) nel campo Mandatory login modal (Modalità di accesso obbligatoria). Viene visualizzata la pagina modale Modifica accesso obbligatorio.

3. Fare clic sull'interruttore per abilitare o disabilitare il banner.
4. Immettere il titolo modale.
5. Immettere il contenuto modale.
6. Fare clic su Save (Salva). La modalità di accesso obbligatoria è stata salvata.

Configurazione dei banner applicazione

Per configurare un banner applicazione:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Banner. Verrà visualizzata la pagina Banner.

Configura intestazione

2. Fare clic su Configure (Configura) nell'intestazione dell'applicazione. Viene visualizzata la pagina Modifica banner applicazione.

3. Fare clic sull'interruttore per abilitare o disabilitare il banner.
4. Scegliere un colore per l'intestazione.
5. Immettere il titolo dell'intestazione.
6. Immettere il contenuto del banner.
7. Selezionare una posizione per l'intestazione.
8. Fare clic su Save (Salva). Il banner viene visualizzato in tutta l'applicazione.

Modifica dei banner

Per modificare uno striscione:

1. Da Impostazioni di sistema, scegliere Configurazione di sistema > Banner. Verrà visualizzata la pagina Banner.

Modifica banner

2. Fare clic su Edit (Modifica). Viene visualizzata la pagina Modifica banner applicazione.

3. Modificare i dettagli desiderati.
4. Fare clic sull'interruttore per abilitare o disabilitare il banner.
5. Fare clic su Save (Salva).

Risoluzione dei problemi

È possibile raccogliere i file di diagnostica e di registro dal sistema Cisco IQ e trasferirli in modo sicuro su un server SCP. Questi file possono essere condivisi con il team di supporto durante la segnalazione di problemi per fornire un contesto utile e fornire assistenza nella risoluzione dei problemi.

Per raccogliere i file di log e di diagnostica:

1. Accedere a Cisco IQ.

2. Dal menu principale di Cisco IQ, immettere "3" e premere Invio per selezionare System Diagnostics (Diagnostica sistema).

3. Immettere l'indirizzo del server SCP/SFTP.
4. Immettere la porta del server SCP/SFTP.
5. Immettere il percorso del server SCP/SFTP.
6. Selezionare un protocollo.
7. Immettere il nome utente.
8. Immettere la password.
9. Immettere "C" e premere Invio per continuare con la diagnostica di sistema.

Il sistema avvia il processo diagnostico ed esegue le seguenti azioni:

• Verifica della raggiungibilità
• Raccolta di informazioni sul sistema
• Raccolta delle informazioni Kubernetes
• Raccolta dei log
• Preparazione del pacchetto di diagnostica di sistema
• Caricamento del pacchetto di diagnostica del sistema

Una volta completato, viene visualizzato un messaggio di conferma che indica il nome del bundle generato.

Modulo di supporto

È possibile creare richieste di supporto per VA e moduli specifici da Cisco IQ SaaS. Il modulo di supporto è disponibile in Cisco IQ SaaS e offre una visualizzazione consolidata delle richieste di supporto. Consente di filtrare, ordinare e personalizzare la visualizzazione dell'elenco di richieste, fornendo visibilità sia sulle richieste aperte che su quelle chiuse a cui si è autorizzati ad accedere. Per informazioni più dettagliate sul modulo di supporto in Cisco IQ SaaS, vedere la guida introduttiva a Cisco IQ SaaS.

Creazione di una richiesta di assistenza

È possibile creare richieste VA e specifiche per il modulo in Cisco IQ SaaS. Per creare una richiesta:

1. Accedere a Cisco IQ (SaaS).
2. Fare clic sull'icona Guida > Segnala un problema. Viene visualizzata la finestra Segnala un problema.

Segnala un problema

3. Fornire i dettagli richiesti.
4. Fare clic su Invia.