ERS APIを使用したISEネットワークデバイスの削除

概要

このドキュメントでは、RESTクライアントとしてPostManを使用して、ERS API経由でISE上のネットワークアクセスデバイス(NAD)を削除するプロセスについて説明します。 

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ISE(Identity Services Engine)
• ERS（外部RESTfulサービス）
• RESTクライアントには、Postman、REREST、Insomniaなどがあります。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアのバージョンに基づいています。

• Cisco ISE(Identity Services Engine)3.1パッチ6
• Postman RESTクライアントv10.16

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ERSの有効化（ポート9060）

ERS APIは、ポート443およびポート9060で動作するHTTPS専用のREST APIです。ポート9060はデフォルトで閉じられているため、最初に開く必要があります。このポートにアクセスしようとしているクライアントが最初にERSをイネーブルにしなかった場合、サーバからのタイムアウトが表示されます。したがって、最初の要件は、Cisco ISE管理UIからERSを有効にすることです。

Administration > Settings > API Settingsの順に移動し、ERS（読み取り/書き込み）トグルボタンを有効にします。

ERS管理者の作成

Cisco ISE管理者を作成し、パスワードを割り当て、ERS Adminとしてユーザをadminグループに追加します。残りの設定は空のままにしておくことができます。

Postmanの設定

Postmanのオンライン版をダウンロードするか、使用します。

1. ユーザを作成し、ワークスペースを作成するには、[ワークスペース] タブの下にある[ワークスペースの作成] をクリックします。

2. 「空白の作業領域」を選択し、作業領域に名前を割り当てます。説明を追加して公開することができます。この例では、Personalが選択されています。

ワークスペースを作成したら、API呼び出しを設定できます。

NADの名前とIDを取得する

NADの削除を開始する前に、NADの名前またはIDを知っておく必要があります。NAD名はISEのNADリストから簡単に取得できますが、IDはGET APIコールからのみ取得できます。同じAPIコールは、NAD IDだけでなく、NADの設定中に追加された名前と説明も返します。  

GETコールを設定するには、最初にISE ERS SDK(Software Developer Kit)にアクセスします。このツールは、ISEが実行できるAPIコールのリスト全体をコンパイルします。

1. https://{ise-ip}/ers/sdkに移動します
2. ISE管理者クレデンシャルを使用してログインします。
3. API Documentationを展開します。
4. Network Deviceが表示されるまでスクロールダウンして、これをクリックします。
5. このオプションでは、ISE上のネットワークデバイスに対して実行できるすべての操作を検索できます。Get-Allを選択します。

6. RestクライアントでAPI呼び出しを実行するために必要な設定と、想定される応答の例を確認できます。

7. Postmanに戻り、ISEへの基本認証を設定します。Authorizationタブで、認証タイプとしてBasic Authを選択し、ISEで以前に作成したISE ERSユーザクレデンシャルを追加します。

8. Headersタブに移動し、SDKに表示されるAPIコールに必要なヘッダーを設定します。この例ではJSONを使用しますが、xmlも使用できます。この例では、ヘッダー設定は次のようになります。

9. GETコールを実行します。方式としてGETを選択します。フィールドにhttps://{ISE-ip}/ers/config/networkdeviceを貼り付け、Sendをクリックします。すべてが正しく設定されていれば、200 Okメッセージと結果が表示されます。

TESTNAD1とTESTNAD2は、2つの異なるdeleteコールを使用して削除できます。

IDによるNADの削除

GETコールから収集されたIDを使用して、TESTNAD1を削除します。

1. SDKのNetwork DeviceタブでDeleteを選択します。前に見たように、コールを実行するために必要なヘッダーと予期される応答があります

2.ヘッダーがGETコールに似ていて、同じISEでDELETEコールを実行する場合は、前のコールを複製し、必要な変数を変更します。最後に、ヘッダー設定は次のようになります。

3.ここで、TESTNAD1を削除します。方式としてDELETEを選択します。フィールドにhttps://{ISE-ip}/ers/config/networkdevice/{id}を貼り付け、{id}をGETコールで確認できるNADの実際のIDで置き換えて、Sendをクリックします。すべてが正しく設定されている場合は、204 No Contentメッセージが表示され、結果が空になります。  

4. GETコールを再度実行するか、ISE NADリストを確認して、NADが削除されたかどうかを確認します。TESTNAD1はもう存在しないことに注意してください。 

名前によるNADの削除

GETコールまたはISE GUIのNADリストから収集した名前を使用して、TESTNAD2を削除します。

1. SDKのNetwork Deviceタブで、Delete-by-Nameを選択します。前に見たように、コールの実行に必要なヘッダーと予期される応答があります。

2.ヘッダーがGETコールに似ていて、同じISEでDELETEコールを実行する場合は、前のコールを複製し、必要な変数を変更します。最後に、ヘッダー設定は次のようになります。

3. TESTNAD2を削除します。方式としてDELETEを選択します。フィールドにhttps://{ISE-ip}/ers/config/networkdevice/name/{name}を貼り付け、{name}をGETコールまたはISE GUIで表示されるNADの実際の名前で置き換えて、Sendをクリックします。すべてが正しく設定されている場合は、204 No Contentメッセージが表示され、結果が空になります。  

4. GETコールを再度実行するか、ISE NADリストを確認して、NADが削除されたかどうかを確認します。 TESTNAD2はもう存在しないことに注意してください。

確認

 APIサービスのGUIページ(https://{iseip}:{port}/api/swagger-ui/index.htmlやhttps://{iseip}:9060/ers/sdkなど)にアクセスできる場合は、APIサービスが期待どおりに機能していることを意味します。

トラブルシュート

• すべてのREST操作が監査され、ログがシステムログに記録されます。
• Open APIに関連する問題をトラブルシューティングするには、Debug Log ConfigurationウィンドウでapiserviceコンポーネントのログレベルをDEBUGに設定します。
• ERS APIに関連する問題をトラブルシューティングするには、Debug Log ConfigurationウィンドウでersコンポーネントのログレベルをDEBUGに設定します。このウィンドウを表示するには、Cisco ISE GUIに移動し、メニューアイコンをクリックして、Operations > Troubleshoot > Debug Wizard > Debug Log Configurationの順に選択します。
• ログはDownload Logsウィンドウからダウンロードできます。このウィンドウを表示するには、Cisco ISE GUIに移動し、メニューアイコンをクリックして、Operations > Troubleshoot > Download Logsの順に選択します。
• Support Bundleタブの下のDownloadボタンをクリックしてSupport Bundleタブからサポートバンドルをダウンロードするか、api-serviceデバッグログのLog Fileの値をクリックしてDebug Logsタブからapi-serviceデバッグログをダウンロードするかを選択できます。