Integrare ISE con Smart Licensing Server

Introduzione

In questo documento viene descritto come configurare Smart Licensing su Cisco ISE.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• ISE versione 3.x
  
• Accesso a licenze Smart Software
  
• Cisco License Central per On-Prem (opzionale)

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

A partire da Cisco ISE 3.0, è necessario usare una licenza Smart. Cisco Smart Licensing semplifica l'approvvigionamento, l'installazione e la gestione delle licenze consentendo ai dispositivi di registrarsi automaticamente e segnalare l'utilizzo nei seguenti modi:

1. Quando un token di licenza intelligente è attivo e registrato nel portale di amministrazione di Cisco ISE, Cisco License Central monitora l'utilizzo delle licenze per ciascuna sessione dell'endpoint per ciascuna licenza del prodotto.
2. Smart Licensing informa l'amministratore dell'utilizzo della licenza per sessione dell'endpoint con un layout di tabella semplice in Cisco ISE.
3. Smart Licensing segnala quotidianamente al database centralizzato l'utilizzo massimo di ciascuna licenza abilitata.
4. Cisco ISE preleva campioni interni del consumo delle licenze ogni 30 minuti. La conformità e il consumo delle licenze vengono aggiornati di conseguenza.
5. Quando si registra il nodo PAN (Primary Administration) di Cisco ISE con Cisco License Central, Cisco ISE segnala i picchi di consumo delle licenze al server Cisco License Central ogni sei ore.
6. I rapporti sul numero di picchi garantiscono che il consumo delle licenze in Cisco ISE sia conforme alle licenze acquistate e registrate.
7. Cisco ISE comunica con il server Cisco License Central memorizzando una copia locale del certificato Cisco License Central.
8. Il certificato di Cisco License Central viene automaticamente riautorizzato durante la sincronizzazione giornaliera e quando si aggiorna la tabella Licenze. In genere, i certificati di Cisco License Central sono validi per sei mesi.
9. Di conseguenza, Cisco ISE ha bisogno della connettività di rete per raggiungere Cisco License Central.

Flusso consumo licenze

TACACS+

La licenza di amministrazione del dispositivo (PID: L-ISE-TACACS-ND=) attiva i servizi TACACS+ su un Policy Service Node (PSN). Ogni PSN che utilizza TACACS+ richiede una propria licenza Device Admin. L'amministrazione dei dispositivi TACACS+ non considera l'utilizzo degli endpoint e non impone limiti al numero di dispositivi di rete che è possibile gestire. Non è necessaria una licenza essenziale per gestire i dispositivi di accesso alla rete (NAD), quali router e switch.

Licenza per endpoint di accounting

Il numero di endpoint attivi può essere diverso dalle licenze utilizzate, in quanto ogni endpoint può avere più sessioni. Il consumo delle licenze si basa sul numero di sessioni attive, non solo sul numero di endpoint. Ad esempio, un sistema con 10 endpoint attivi con più sessioni può utilizzare più licenze.

Verificare che l'accounting sia abilitato sui punti di accesso wireless e sullo switch. Il consumo delle licenze è determinato dai messaggi Start - Stop inviati dal client AAA al server AAA.

Cisco ISE utilizza regole specifiche per gestire le sessioni di monitoraggio e risoluzione dei problemi (MnT), basandosi sui messaggi di accounting dei dispositivi di accesso alla rete (NAD). Di seguito viene riportata la procedura con cui Cisco ISE elabora le sessioni in base a questi messaggi di accounting:

• Se Cisco ISE riceve una richiesta di autenticazione RADIUS ma non un messaggio di accounting, mantiene la sessione attiva per 1 ora.
• Dopo aver ricevuto un messaggio di accounting, Cisco ISE mantiene la sessione per un massimo di 5 giorni o fino alla ricezione di un messaggio di arresto dell'accounting.
• La sessione di licenza viene rilasciata immediatamente dopo la ricezione di un messaggio di interruzione dell'accounting.
• Un aggiornamento provvisorio prolunga i 5 giorni.

Licenze ISE

Valutazione

Le licenze di valutazione vengono attivate per impostazione predefinita quando si installa o si esegue l'aggiornamento a Cisco ISE release 3.x e versioni successive. La licenza di valutazione è attiva per 90 giorni e durante questo periodo di tempo hai accesso a tutte le funzionalità di Cisco ISE. Cisco ISE è considerato in modalità di valutazione quando la licenza di valutazione è in uso. Nell'angolo in alto a destra del portale di amministrazione di Cisco ISE viene visualizzato un messaggio con il numero di giorni rimasti in modalità di valutazione.

Livello

Le licenze Tier sostituiscono le licenze Base, Apex e Plus utilizzate nelle versioni precedenti alla 3.x. Le licenze Tier includono tre licenze: Essentials, Advantage e Premier. Se al momento si dispone di licenze Base, Apex o Plus, usare Cisco License Central per convertirle nei nuovi tipi di licenze.

Amministratore del dispositivo

Una licenza di Device Administration consente di utilizzare i servizi TACACS su un nodo di Policy Service. In un'implementazione standalone ad alta disponibilità, una licenza di Device Administration consente di utilizzare i servizi TACACS su un singolo nodo di Policy Service nella coppia ad alta disponibilità. Su Cisco ISE, è definita come Device Admin e sul portale delle licenze Smart, è definita come numero massimo di nodi autorizzati alle transazioni TACACS+.

Licenze Virtual Appliance

A partire da Cisco ISE 3.x viene fornito un nuovo tipo di licenza VM, ovvero la licenza VM Common. Se si utilizzano licenze VM tradizionali, è necessario convertirle in licenze VM comuni.

Per informazioni sui tipi di licenza e sulla conversione, fare riferimento ai collegamenti seguenti:

• Caratteristiche della licenza
• Guida alle licenze Cisco

Modifiche chiave alle licenze Smart sulle nuove versioni ISE

• Modifica del metodo di connessione di Smart Licensing:
  Cisco ISE 3.4 ha rimosso il supporto per il metodo di connessione Transport Gateway utilizzato in Smart Licensing. Se si stava utilizzando Transport Gateway per le licenze intelligenti, è necessario aggiornare il metodo di connessione prima di eseguire l'aggiornamento alla versione 3.4. Se non viene aggiornato, il sistema passa automaticamente a Direct HTTPS durante l'aggiornamento, ma è possibile modificarlo in qualsiasi momento dopo l'aggiornamento.

• Miglioramenti della visibilità delle licenze nella versione 3.5:
  Cisco ISE 3.5 migliora il monitoraggio delle licenze per migliorare la visibilità e la precisione. I livelli delle licenze e le funzionalità rimangono gli stessi, ma l'utilizzo della licenza è ora allineato agli endpoint attivi di picco. L'applicazione non è ancora attiva nella versione 3.5. al contrario, gli avvisi di consumo senza interruzioni notificano se l'utilizzo supera i limiti concessi in licenza

Tipi di registrazione licenza

Per l'introduzione di Cisco ISE 3.1, sono disponibili tre opzioni per abilitare Smart Licensing.

Prenotazione Licenze Software Smart (Direct-Https, HTTP-Proxy, Cisco License Central On-Prem)

Prenotazione licenze software intelligente: facile ed efficiente da utilizzare con la registrazione di un singolo token. Le licenze acquistate vengono gestite in un database centralizzato denominato Cisco License Central. Accedere al portale Cisco License Central per tenere facilmente traccia delle licenze degli endpoint disponibili e delle statistiche di consumo. In questa modalità, Cisco ISE deve connettersi con Cisco License Central, direttamente (Direct HTTPS) o tramite proxy per scambiare le informazioni sul consumo e sulla conformità. La nuova opzione Cisco License Central On-Prem consente di usare ISE con interruzioni dell'alimentazione per utilizzare le funzionalità di Cisco License Central sotto forma di un server locale ospitato come server locale (satellite).

Prenotazione della licenza specifica (disponibile a partire da ISE 3.1)

SLR (Specific License Reservation) consente ai clienti in reti altamente sicure di utilizzare licenze Smart Licensing (e licenze Smart) senza comunicare le informazioni sulla licenza. SLR consente la prenotazione di licenze specifiche, incluse le licenze aggiuntive. SLR non richiede Cisco ISE per collegarsi a Cisco License Central e consente a Cisco ISE di usare le licenze presenti nello Smart Account fino alla scadenza.

Configurazione

Metodi di connessione (Direct HTTPS/HTTPS-Proxy) per l'integrazione di Cisco License Central con ISE

Passaggio 1. Passare a Administration > System > Licensing:

Passaggio 2. Scegliere Smart Software Licensing Reserving in Tipo di licenza e incollare il token di registrazione in Dettagli registrazione. Scegliere il livello applicabile come richiesto. Il processo differisce leggermente tra Direct HTTPS e Proxy HTTPS.

HTTPS diretto

Passaggio 3. Per HTTPS diretto, scegliere il metodo di connessione come HTTPS diretto e fare clic su Registra:

Proxy HTTPS

Passaggio 4. Per verificare che il proxy HTTPS sia preconfigurato, selezionare Amministrazione > Sistema > Impostazioni.

Aggiungi dettagli proxy > Host, ID utente e Password:

Passaggio 5. Tornando alla pagina Cisco ISE Licensing, selezionare Connection Method (Metodo di connessione) come proxy HTTPS e verificare che il proxy configurato sia visualizzato nella sezione HTTPS Proxy. Fare clic su Registra:

Infine, Cisco ISE è ora registrato in Cisco License Central e una voce per questo nodo ISE è disponibile nelle istanze del prodotto nell'account virtuale (da cui è stato generato il token).

Configurazione del server locale di Cisco License Central

Questa configurazione richiede la distribuzione nell'ambiente di un server Cisco License Central On-Prem (Satellite). Una volta distribuito e connesso, il server satellitare funge da server licenze locale, consentendo a Cisco ISE di eseguire le transazioni di licenza senza raggiungere Cisco License Central via Internet. I server satellitari possono a loro volta sincronizzarsi con Cisco License Central, sia in modalità online che offline (utilizzando file .yml). Ulteriori informazioni sul server Satellite sono disponibili in Cisco License Central.

Per questa procedura, si presume che il server satellite sia configurato e che al server satellite sia stato aggiunto un account virtuale in Cisco License Central contenente le licenze Cisco ISE. Per eseguire la stessa operazione, è possibile eseguire la traccia in Cisco License Central.

Passaggio 1. Accedere a Satellite Server e scegliere l'opzione Smart Licensing:

Passaggio 2. Dal magazzino, generare un token e copiare il valore del token. Tornando a Cisco ISE, selezionare Smart Software Licensing Reservation e as Connection Method (Metodo di connessione) come server locale Cisco License Central:

Passaggio 3. Il campo Cisco License Central On-Prem Server Host viene ricavato dal nome host configurato sul server locale. Lo stesso può essere confermato dal On-Prem Server Admin Workspace > Security > Certificates > Host Common Name:

Passaggio 4. Dopo aver confermato il nome host, aggiungerlo a Cisco ISE nell'host server locale Cisco License Central e fare clic su Register. Dopo aver completato la registrazione, Cisco ISE viene visualizzato nell'elenco di istanze del prodotto aggiunte all'account virtuale sul Satellite Server.

Metodi di integrazione per ISE e Cisco License Central

SLR

Passaggio 1. Passare a Administration > System > Licensingcome mostrato nell'immagine:

Passaggio 2. Per il tipo di licenza, scegliere SLR, quindi fare clic su Genera codice. Copiare il codice di prenotazione generato come richiesto da Cisco License Central per generare un codice di autorizzazione:

Passaggio 3. In Cisco License Central, scegliere l'account virtuale che contiene le licenze Cisco ISE (Essential, Advantage, Premier, VM, TACACS+). Nella sezione Licenze, scegliere:

L

Prenotazione licenza.

Passaggio 4. Inserire il codice autorizzato copiato da Cisco ISE e fare clic su Next (Avanti) per scegliere l'opzioneReserve a specific licensedesiderata. A seconda delle licenze disponibili, specificare il numero di licenze da riservare per Cisco ISE e fare clic su Next. Le licenze Tier e le licenze VM possono essere sostituite con licenze di livello superiore per soddisfare le richieste di licenze di livello inferiore. Controllare il modello Tier Cisco ISE 3.x .

Passaggio 5. Esaminare e scaricare il codice di autorizzazione generato utilizzando l'opzione Scarica come file. Tornare a Cisco ISE e fare clic su Upload SLR License Key per caricare il file. La data di scadenza delle licenze su Cisco ISE riflette la data di scadenza originale delle licenze sullo Smart Account.

Restituzione prenotazione per SLR

Passaggio 1. Fare clic su Restituisci prenotazione, copiare il codice di prenotazione fornito e mantenerlo sicuro.

Passaggio 2. Cercare Product Instances per l'account virtuale a cui Cisco ISE è stato aggiunto e cercare ISE utilizzando il relativo numero di serie. Fare clic su Actions > Remove, immettere il codice copiato nel passaggio 1 e fare clic su Return Product Reservation. In questo modo le licenze riservate vengono restituite all'account virtuale.

Risoluzione dei problemi

Indicazioni generali

• Per Cisco ISE 3.0 p7, 3.1 p5 e 3.2 o versioni successive, verificare la raggiungibilità di questo collegamento: https://smartreceiver.cisco.com/.
• Per le versioni ISE precedenti <= ISE 3.0, verificare la raggiungibilità dei seguenti collegamenti: tools.cisco.com, tools1.cisco.com e tools2.cisco.com.
• Questi collegamenti sono importanti perché svolgono un ruolo fondamentale nella comunicazione con Cisco License Central da e verso gli IP. Se si bloccano questi IP, Cisco ISE non sarà in grado di segnalare l'utilizzo della licenza a Cisco License Central. La mancanza di report comporta la perdita dell'accesso amministrativo a Cisco ISE e le restrizioni nelle funzionalità di Cisco ISE.

Attributi di log ISE da impostare sul livello di debug

• Licenza (ise-psc.log)

• licenza-amministratore (ise-psc.log)

Errori di registrazione e rinnovo

Per risolvere gli errori di registrazione, verificare innanzitutto che non vi siano problemi di comunicazione con Smart Licensing Cloud (https://tools.cisco.com/ o https://smartreceiver.cisco.com/). Diversi fattori possono interrompere la connessione tra Cisco ISE e Smart Licensing Cloud, tra cui:

• I firewall o altri dispositivi bloccano il traffico.
• Problemi DNS. Se Cisco ISE non è in grado di risolvere l'FQDN corrispondente per https://tools.cisco.com/ o https://smartreceiver.cisco.com/, non è in grado di inviare la chiamata API di registrazione.
• Problemi relativi al portale delle licenze Smart.

Richieste API per verificare lo stato delle licenze ISE

Per conoscere il numero di licenze usate su Cisco ISE, usare le chiamate HTTPS API direttamente dal browser:

• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveCount
• https://<MnTNodeIP>/admin/API/mnt/Session/License/LicenseCountsFromSessionDB
• https://<MnTNodeIP>/admin/API/mnt/License/Base
• https://<MnTNodeIP>/admin/API/mnt/License/Intermediate
• https://<MnTNodeIP>/admin/API/mnt/License/Premium
• https://<MnTNodeIP>/admin/API/mnt/Session/ActiveList

In Cisco ISE 3.1 o versioni successive, è possibile usare OpenAPI. Per ottenere ulteriori dati sullo stato di gestione licenze, è necessario passare alle Administration > Settings > API Settings. chiamate API.

Informazioni correlate

• Creazione di una SLR con Cisco License Central per Cisco ISE
• Principi base delle licenze Cisco ISE
• Risoluzione dei problemi relativi alle licenze ISE
• Cisco ISE Smart Licensing
  
• Supporto tecnico Cisco e download

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
4.0	01-Jun-2026	Formattazione, sostituire i riferimenti a "Cisco Smart Software Manager (SSM)" con "Cisco License Central".
3.0	23-Apr-2026	Formattazione, lingua, collegamenti.
1.0	03-Oct-2024	Versione iniziale