EVTベースのIdentity Services EngineパッシブIDエージェントの構成
概要
このドキュメントでは、ISE 3.0バージョンで導入された新しいIdentity Services Engine(ISE)Passive Identity Connector(ISE-PIC)エージェントについて説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- Cisco Identity Servicesの管理
- MS-RPC、WMIプロトコル
- Active Directoryの管理
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。
- Cisco Identity Services Engineバージョン3.0以降
- Microsoft Windows Server 2016 Standard
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
また、ISE-PICエージェントの利点と、ISE上でのこのエージェントの設定についても説明します。ISEパッシブIDエージェントは、Cisco FirePower Management Centerを使用するIDファイアウォールソリューションに不可欠な要素となっています。
新しいプロトコルの必要性
ISEのパッシブID（パッシブID）機能は、IDベースのファイアウォール、EasyConnectなど、多くの重要なユースケースを推進します。この機能は、Active Directoryドメインコントローラにログインするユーザをモニタし、そのユーザのユーザ名とIPアドレスを学習できるかどうかによって異なります。ドメインコントローラの監視に使用される現在のメインプロトコルはWMIです。ただし、設定は困難で侵略的であり、クライアントとサーバの両方にパフォーマンスの影響を与え、規模の大きい展開でログオンイベントを表示する際に非常に大きな遅延が発生する場合があります。Passive Identity Servicesに必要な情報をポーリングするための徹底的な調査と代替方法の後、このユースケースをより効率的に処理できる代替プロトコルであるEventing API(EVT)が決定されました。MS-EVEN6と呼ばれることもあり、これはEventing Remote Protocol（RPCベースのOn-the-Wireプロトコル）とも呼ばれます。
MS-EVEN6を使用する利点
高可用性
元のエージェントには高可用性(HA)オプションがありませんでした。エージェントが実行されていたサーバまたは停止したサーバでメンテナンスを行う必要がある場合、ログオンイベントは失われ、この期間にIDベースのファイアウォールなどの機能でデータが失われます。これは、このリリースより前のISE PICエージェントの使用に関する主な懸念事項の1つでした。このリリース以降、エージェントはハイアベイラビリティで作業できます。ISEはUDPポート9095を使用してエージェント間でハートビートを交換し、高可用性を確保します。異なるドメインコントローラをモニタするように設定できるエージェントのHAペアが複数ある場合があります。
拡張性
新しいエージェントでは、サポートされるドメインコントローラの数と処理できるイベントの数に応じてスケール数を増やすことで、サポートが向上しています。テストされたスケールの数値を次に示します（下記の例を参照）。
- 監視するドメインコントローラの最大数（エージェントが2ペア）:74
- テストされるマッピング/イベントの最大数：292,000（DCあたり3950イベント）
- テストされる最大TPS:500
スケールテストのセットアップアーキテクチャ
履歴イベントクエリ
フェールオーバーの場合、またはPIC-Agentに対してサービスの再起動が行われる場合、データが失われないように、設定された時間の間、過去に生成されたイベントが照会され、PSNノードに再度送信されます。デフォルトでは、サービスの開始時から60秒分に相当する過去のイベントがISEによって照会され、サービスが失われる間のデータ損失が無効にされます。
処理オーバーヘッドの削減
大規模または高負荷のCPU負荷のWMIとは異なり、EVTはWMIほど多くのリソースを消費しません。スケールテストでは、EVTを使用したクエリのパフォーマンスが大幅に向上しました。
設定
接続図
設定
PassiveID Agent用のISEの設定
PassiveIDサービスを設定するには、1つ以上のポリシーサービスノード(PSN)でPassive Identity Servicesを有効にする必要があります。 アクティブ/スタンバイモードで動作するパッシブIDサービスには、最大2つのノードを使用できます。また、ISEはActive Directoryドメインに参加する必要があり、そのドメインに存在するドメインコントローラだけがISEで設定されたエージェントによってモニタできます。ISEをActive Directoryドメインに参加させる方法については、『Active Directory統合ガイド』を参照してください。
次に示すように、Administration > System > Deployment > [Choose a PSN] > Editの順に移動し、Passive Identity Servicesを有効にします。
Work Centers > PassiveID > Providers > Agents > Addの順に移動し、次に示すように新しいエージェントを導入します。
導入が成功したら、別のサーバ上に別のエージェントを設定し、それをセカンダリエージェントとして追加し、次にプライマリピアを追加します（次の図を参照）。
エージェントを使用するドメインコントローラをモニタするには、Work Centers > PassiveID > Providers > Active Directory > [Click on the Join Point] > PassiveIDの順に移動します。Add DCsをクリックし、User-IP Mapping/eventsを取得するdomain controllersを選択して、OKをクリックし、次にSaveをクリックして変更内容を保存します（次の図を参照）。
イベントの取得元として使用できるエージェントを指定するには、Work Centers > PassiveID > Providers > Active Directory > [Click on the Join Point] > PassiveIDの順に移動します。domain controllersを選択して、Editをクリックします。ユーザ名とパスワードを入力します。Agentを選択し、次にダイアログボックスをSaveします。PassiveIDタブでSaveをクリックして、設定を完了します。
ドメインコントローラの監視
PassiveIDエージェントコンフィギュレーションファイルについて
PassiveIDエージェントのコンフィギュレーションファイルは、C:\Program Files (x86)\Cisco\Cisco ISE PassiveID Agent\PICAgent.exe.configにあります。設定ファイルの内容は次のとおりです。
<?xml version="1.0" encoding="utf-8"?>
<構成>
<構成セクション>
<section name="log4net" type="log4net.Config.Log4NetConfigurationSectionHandler, log4net"/>
</configSections>
<log4net>
<ルート>
<level value="DEBUG" /> <! – ロギングレベル：OFF、FATAL、ERROR、WARN、INFO、DEBUG、ALL —>
<! – これは、PassiveID Agentが実行されているサーバ上で、PassiveID Agent用に収集されるログのログレベルを設定します。-->
<appender-ref ref="RollingFileAppender" />
</root>
<appender name="RollingFileAppender" type="log4net.Appender.RollingFileAppender">
<file value="CiscoISEPICAgent.log" /> <! – これは変更しないでください – >
<appendToFile value="true" />
<rollingStyle value="サイズ" />
<maxSizeRollBackups value="5" /> <! – この数値は、ロールオーバー前に生成されるログファイルの最大数を設定します – >
<maximumFileSize value="10MB" /> <! – これにより、生成される各ログファイルの最大サイズが設定されます – >
<staticLogFileName value="true" />
<layout type="log4net.Layout.PatternLayout">
<conversionPattern value="%date %level - %message%newline" />
</layout>
</appender>
</log4net>
<スタートアップ>
<supportedRuntime version="v4.0"/>
<supportedRuntime version="v2.0.50727"/>
</startup>
<アプリの設定>
<add key="heartbeatFrequency" value="400" /> <! – この数値は、ISE上のペアで設定されている場合に、プライマリエージェントとセカンダリエージェント間で実行されるハートビートの頻度をミリ秒単位で定義します – >
<add key="heartbeatThreshold" value="1000"/> <! – この数値は、エージェントがハートビートを待機する最大時間をミリ秒単位で定義します。この時間が経過すると、他のエージェントがシャットダウンされます – >
<add key="showHeartbeats" value="false" /> <! – 値を"true"に変更して、ログファイルにハートビートのメッセージを記録します – >
<add key="maxRestThreads" value="200" /> <!— ISEにイベントを送信するために生成できるRESTスレッドの最大数を定義します。Cisco TACの指示がない限り、この値を変更しないでください。 —>
<add key="mappingTransport" value="rest" /> <!— ISEにマッピングを送信するために使用するメディアのタイプを定義します。この値は変更しないでください – >
<add key="maxHistorySeconds" value="60" /> <! – サービスを再起動した場合に履歴イベントを取得する必要がある期間を秒単位で定義します – >
<add key="restTimeout" value="5000" /> <!— ISEへのRESTコールのタイムアウト値を定義 – >
<add key="showTPS" value="false" /> <! – この値を"true"に変更して、受信されISEに送信されたイベントのTPSを表示 – >
<add key="showPOSTS" value="false" /> <! – この値を「true」に変更して、ISEに送信されたイベントを出力します – >
<add key="nodeFailoverTimeSpan" value="5000" /> <! – アクティブなPassiveID PSNノードとの通信で発生する可能性のあるエラーの数がフェールオーバーとしてカウントされるしきい値の条件（ミリ秒）を定義 – >
<add key="nodeFailoverMaxErrors" value="5" /> <! – スタンバイPassiveID PSNノードにフェールオーバーする前に、指定されたnodeFailoverTimeSpan内で許容されるエラーの最大数を定義します – >
</appSettings>
</configuration>
確認
ISEでのPassiveIDサービスの確認
1. PassiveIDサービスがGUIで有効になっているかどうかと、ISEのCLIのコマンドshow application status iseで「running」のマークが付いているかどうかを確認します。
ISE PROCESS NAME STATE PROCESS ID
--------------------------------------------------------------------
Database Listener running 129052
Database Server running 108 PROCESSES
Application Server running 9830
Profiler Database running 5127
ISE Indexing Engine running 13361
AD Connector running 20609
M&T Session Database running 4915
M&T Log Processor running 10041
Certificate Authority Service running 15493
EST Service running 41658
SXP Engine Service disabled
Docker Daemon running 815
TC-NAC Service disabled
pxGrid Infrastructure Service disabled
pxGrid Publisher Subscriber Service disabled
pxGrid Connection Manager disabled
pxGrid Controller disabled
PassiveID WMI Service running 15951
PassiveID Syslog Service running 16531
PassiveID API Service running 17093
PassiveID Agent Service running 17830
PassiveID Endpoint Service running 18281
PassiveID SPAN Service running 20253
DHCP Server (dhcpd) disabled
DNS Server (named) disabled
ISE Messaging Service running 1472
ISE API Gateway Database Service running 4026
ISE API Gateway Service running 7661
Segmentation Policy Service disabled
REST Auth Service disabled
SSE Connector disabled
2. ISE Active DirectoryプロバイダーがWork Centers > PassiveID > Providers > Active Directory > Connectionでドメインコントローラーに接続されているかどうかを確認します。
3. 必要なドメインコントローラがWork Centers > PassiveID > Providers > Active Directory > PassiveIDでエージェントによってモニタされているかどうかを確認します。
4. 監視対象のドメインコントローラのステータスがアップであるかどうかを確認します。たとえば、ダッシュボードのWork Centers > PassiveID > Overview > Dashboardにはgreenとマークされています。
5. ドメインコントローラのWork Centers > PassiveID > Overview > Live Sessionsで、Windowsログオンの登録時にライブセッションが設定されていることを確認します。
Windows Server上のエージェントサービスの確認
1. PICエージェントがインストールされているサーバ上のISEPICAgentサービスを確認します。
Windows ADドメインで必要な設定 – グループポリシーオブジェクト(GPO)
1. ISE PICエージェントがユーザログオンおよびログオフイベントエントリを読み取れるようにするには、使用するアカウントをサービスアカウント（パスワードの期限切れなし）と、通常のドメインアカウントおよびイベントログリーダーグループのメンバーにすることができます
2. – ドメインポリシーで、これらの設定が次のように設定されていることを確認します。
デフォルトのドメインポリシー（またはお客様がドメインマシンに使用しているポリシー） > Windows Settings > Security Settings > Local Policies > Audit Policyの順に選択し、次のエントリを有効にします。
一部のお客様は、従来のローカルポリシーを使用する代わりに、高度な監査ポリシー設定を使用します
.
その場合は、グループポリシー管理エディタでAdvanced 監査ポリシーを設定します。[コンピューターの構成]を展開→ポリシーに移動→ Windowsの設定に移動→セキュリティの設定に移動→監査ポリシーの詳細設定に移動→監査ポリシーに移動します。次の監査ポリシーを設定します。
アカウント管理
・ コンピュータアカウント管理の監査：成功
・ 配布グループ管理の監査：成功
・ 監査セキュリティ・グループ管理：成功
・ ユーザーアカウント管理の監査：成功
DSアクセス
・ ディレクトリサービスへのアクセスの監査：成功
ログオン/ログオフ
・ 監査ログオフ：成功
ISE PICのセッションエントリは、ユーザがログインした直後に表示されます。
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
3.0 |
20-Oct-2026
|
再認定 – 更新された代替テキスト、SEO、機械翻訳とフォーマット。 |
2.0 |
01-Aug-2024
|
代替テキストが追加されました。
「はじめに」、「機械翻訳と書式設定」を更新。 |
1.0 |
10-Dec-2020
|
初版 |
フィードバック