ISEサービスの目的とトラブルシューティングの理解
内容
はじめに
このドキュメントでは、ISEのサービス、目的、およびトラブルシューティングについて説明します。
前提条件
Radius
要件
次の項目に関する知識があることが推奨されます。
- Cisco Identity Services Engine
使用するコンポーネント
このドキュメントは、Cisco Identity Services Engineの特定のソフトウェアおよびハードウェアバージョンに限定されるものではありません。
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
バックグラウンド情報
Cisco Identity Services Engine(ISE)は、一元化されたポリシー管理、認証、許可、アカウンティング(AAA)を通じて高度なネットワークセキュリティを提供するように設計された包括的なソリューションです。 組織は、セキュリティ、コンプライアンス、シームレスなユーザエクスペリエンスを確保しながら、ユーザ、デバイス、アプリケーションのネットワークアクセスを管理できます。
これらの目標を達成するために、Cisco ISEは幅広いサービスを利用しています。それぞれのサービスは、システムが効率的に機能するための特定のタスクを担当します。これらのサービスは連携して、セキュアなネットワークアクセス、堅牢なポリシー適用、詳細なロギング、外部システムとのシームレスな統合、および効率的なデバイスプロファイリングを実現します。
ISEの各サービスは、ソリューションの整合性と可用性を維持するうえで重要な役割を果たします。データベース管理や認証などのコア機能を処理するサービスもあれば、デバイスのプロファイリング、証明書管理、モニタリングなどの高度な機能を有効にするサービスもあります。
この記事では、Cisco ISEのさまざまなサービスの概要を示し、サービスの目的、重要性、および問題が発生した場合の潜在的なトラブルシューティング手順について説明します。管理者でもネットワークセキュリティの専門家でも、これらのサービスを理解することで、ISE導入をスムーズかつ安全に実行できます。
ISEサービスの理解およびトラブルシューティング
次のスクリーンショットに示すサービスは、ISEがその機能をサポートするために使用されます。ISEノードのCLIからshow application status iseコマンドを実行して、ISEで使用できるステータスまたはサービスを確認します。ISEのステータスまたは使用可能なサービスを表示する出力例を次に示します。
ISEで利用できるサービス
次に、各サービスについて詳しく説明します。
データベースリスナー
Database Listenerサービスは、ISEとデータベースサーバ間の通信の管理を支援する重要なコンポーネントです。データベースに関連する要求をリッスンして処理し、ISEシステムが基盤となるデータベースに対して読み取りおよび書き込みを実行できるようにします。
ISEのデータベースリスナーサービスのキーポイント
-
通信インターフェイス：ISEとデータベースサーバ間の通信ブリッジとして機能し、ユーザクレデンシャル、セッション情報、ネットワークポリシーなどのデータを取得して保存できるようにします。
-
外部データベースサポート：ISEは、ユーザ認証とポリシー保存に外部データベース（OracleまたはMicrosoft SQL Serverなど）を使用するように設定できます。Database Listener Serviceにより、ISEがこの外部データベースに安全かつ効率的に接続し、通信できるようになります。
-
データ処理：サービスは、ISEシステムからのデータベースクエリをリッスンし、外部データベース上の適切なアクションに変換します。レコードの挿入、更新、削除、データベースからの情報の取得などの要求を処理できます。
-
データベースのヘルスモニタリング：通信チャネルの提供に加えて、外部データベースへの接続の安定性と運用の確保にも役立ちます。接続が失敗すると、ISEはローカルストレージにフォールバックするか、設定に応じて縮退モードになります。
データベースサーバ
データベースサーバサービスは、システムで使用されるデータの保存と取得を管理します。ISEが設定、ポリシー情報、ユーザデータ、認証ログ、デバイスプロファイル、およびその他の必要な情報を保存するために使用する、基盤となるデータベースとのインタラクションを処理します。
ISEのデータベースサーバサービスのキーポイント
1. 内部データストレージ：データベースサーバサービスは、ISEが運用データをローカルに保存するために使用する内部の組み込みデータベースを主に管理します。これには、認証および許可レコード、ユーザプロファイル、ネットワークアクセスポリシー、デバイスおよびエンドポイント情報、セッション情報などのデータが含まれます。
2. 組み込みデータベース：ほとんどのCisco ISE導入では、ローカルストレージに組み込みPostgreSQLデータベースが使用されます。Database Server Serviceは、このデータベースの円滑な運用を保証し、データベースに格納されているデータに関連するすべてのクエリ、更新、および管理タスクを処理します。
3. データベースの整合性：このサービスは、すべてのトランザクションが適切に処理され、データベースの整合性が維持されることを保証します。レコードのロック、データベース接続の管理、データベースクエリの実行などのタスクを処理します。
データベース・リスナーおよびデータベース・サーバー・サービスが初期化されているか実行されていない場合の検証およびトラブルシューティング
Database ListenerとDatabase Serverは、他のすべてのサービスが正常に機能するために一緒に実行する必要がある必須のサービスです。これらのサービスが実行されていない場合、または初期化中に停止した場合は、次のトラブルシューティング手順がリカバリに役立ちます。
1. application stop iseコマンドとapplication start iseコマンドを実行して、ISEサービスを再起動します。
2. VMノードの場合、VMからノードを再起動すると、サービスのリカバリに役立ちます。
3. ノードが物理ノードの場合、CIMCからノードを再起動/リロードすると、サービスの回復に役立つ必要があります。
4. データベースが破損している場合は、Cisco TACに連絡して、さらにトラブルシューティングを依頼してください。
通常、データベース・リスナーとデータベース・サーバは、データベースに不一致がある場合や、データベースを正しく初期化できない場合に停止するか、起動に失敗します。このような場合、application reset-config iseコマンドを使用してアプリケーションリセットを実行すると、データベースのリカバリと新規の開始に役立つ必要があります。 application reset-config iseコマンドを実行すると、設定と証明書が削除されますが、IPアドレスとドメイン名の詳細は保持されます。導入環境内の任意のノードにこのコマンドを適用する前に、詳細を確認し、潜在的な影響を理解するために、Cisco TACに問い合わせることをお勧めします。
アプリケーション サーバ
アプリケーションサーバは、ISEプラットフォームのコア機能およびサービスの実行と管理を担当する主要コンポーネントです。ISEがネットワークアクセスコントロール、認証、認可、アカウンティング、およびポリシー管理における役割を実行できるようにするビジネスロジック、ユーザインターフェイス、およびサービスをホストします。
ISEのアプリケーションサーバサービスのキーポイント
1. ユーザインターフェイス(UI)：アプリケーションサーバサービスは、ISEのWebベースのユーザインターフェイス(UI)のレンダリングを担当します。これにより、管理者はポリシーの設定と管理、ログとレポートの表示、ISEの他の機能との対話が可能になります。
2. サービス管理：ISEが提供するさまざまなサービスを処理する責任があります。これには、ポリシー管理、管理タスク、分散導入における他のISEノードとの通信が含まれます。
3. 集中処理：アプリケーションサーバサービスは、ISEアーキテクチャの中心的な役割を果たし、ネットワークデバイス、ディレクトリ、および外部サービスからのポリシー、認証要求、およびデータを解釈するロジックを提供します。
Application Serverの検証が初期化中または実行されていません
アプリケーションサーバは、証明書、リソース、導入、ライセンスなどのWebアプリケーションに依存します。いずれかのWebアプリケーションの初期化に失敗した場合、アプリケーションサーバは初期化状態のままになります。Application Serverは、ノードの構成データに応じて、Not running状態→Initializing状態→から約15 ～ 35分かかります。
- ISEの管理証明書がすべてのノードの導入で有効かつアクティブであることを確認します。
- 配置のすべてのノードがプライマリ管理ノードと同期していることを確認します。
- ノードがVMの場合、推奨リソースがノードに割り当てられていることを確認します。
ISEノードのCLIからshow application status iseコマンドを実行して、アプリケーションサーバのステータスを確認します。アプリケーションサーバに関連するほとんどのログは、Catalina.OutおよびLocalhost.logファイルで入手できます。
条件が満たされ、アプリケーションサーバが初期化状態のままである場合は、ISEのCLI/GUIからサポートバンドルを保護します。application stop iseコマンドおよびapplication start iseコマンドを実行して、サービスを回復/再起動します。
プロファイラデータベース
プロファイラデータベースは、プロファイラサービスによって検出されたネットワークデバイス、エンドポイント、およびデバイスプロファイルに関する情報を格納するために使用されます。これは、ネットワークの特性と動作に基づいて、ネットワークデバイス（コンピュータ、スマートフォン、プリンタ、IoTデバイスなど）を自動的に特定し、分類するISEの重要なコンポーネントです。
ISEのプロファイラデータベースサービスに関する重要なポイント
1. デバイスプロファイリング：プロファイラデータベースサービスの主な機能は、プロファイルプロセスをサポートすることです。ISEは、このサービスを使用して、プロファイリング中に収集した次のような情報を保存します。
- デバイスタイプ（スマートフォン、ラップトップ、プリンタ、IoTデバイスなど）
- デバイスオペレーティングシステム（Windows®、macOS®、Cisco IOS®、Android®など）
- デバイスの製造元
- デバイスの分類に役立つネットワークの動作またはパターン
2. プロファイラ情報：デバイスハードウェアやソフトウェアプロファイルなどのプロファイラ属性を格納します。プロファイラ属性は、デバイスを定義済みのポリシーに照合するために使用されます。この情報は、デバイスのプロファイルに基づいて、デバイスを適切なネットワークアクセスポリシーまたはVLANに動的に割り当てるために使用されます。
3. プロファイリング・プロセス：プロファイリング・プロセスは通常、次の基準に基づいて行われます。
- アクティブプロファイリング：ISEはネットワーク上のデバイスに情報をアクティブに照会します。
- パッシブプロファイリング：ISEは、DHCP要求、RADIUS属性、HTTPヘッダー、その他のネットワークプロトコルなどのネットワークトラフィックからデータを受動的に収集し、デバイスタイプを決定します。
ISEプロファイリングサービスの確認とトラブルシューティング
1. ISE CLIから、show application status iseコマンドを実行して、プロファイラデータベースサービスが実行されていることを確認します。
2. プライマリ管理ノードのGUIから、「管理」>「デプロイ」>「ノードの選択」に移動します。EditをクリックしてSession Servicesを確認し、Profiling Servicesが有効になっていることを確認します。
3. ここで、「管理」>「デプロイ」>「ノードの選択」に移動します。プロファイラの設定に移動し、必要なプローブがエンドポイントデータを保護するために有効になっていることを確認します。
4. 「管理」>「システム」>「プロファイリング」に移動し、Profiler設定がCoA用に構成されていることを確認します。
5. Context Visibility > Endpointsで、エンドポイントを選択し、エンドポイントの異なるプローブによって収集された属性を確認します。
プロファイルの問題のトラブルシューティングに役立つデバッグ：
- プロファイラ(profiler.log)
- ランタイムAAA (prrt-server.log)
- nsf(ise-psc.log)
- nsfセッション(ise.psc.log)
ISEインデックスエンジン
インデックスエンジンは、ISEデータベースに保存されているデータの検索、インデックス作成、および取得を効率的に行うサービスです。特に大量のデータを処理する場合や、認証、認可、モニタリング、およびレポーティングタスクに必要な情報にすばやくアクセスできる場合に、ISEのパフォーマンスとスケーラビリティが強化されます。
ISEのISEインデックスエンジンに関する要点
1. データインデックス：ISEインデックスエンジンは、認証ログ、セッションログ、ポリシーヒット、プロファイルデータ、ネットワークアクセスレコードなど、ISEに保存されるさまざまなタイプのデータのインデックスを作成します。インデックスを作成すると、検索とクエリがより効率的に行えるようにデータを整理できます。
2. ログ管理とレポート：このサービスは、レポートとログクエリのパフォーマンスを向上させることで、ログ管理において重要な役割を果たします。特定の認証イベントを検索する場合、インデックス作成エンジンを使用すると、目的のレコードを迅速に取得できます。これは、セキュリティの監視とコンプライアンスのレポート作成に不可欠です。
3. データの取得：インデックスエンジンは、ISEが必要に応じて基礎となるデータベースからインデックス付きデータを効率的に取得できるようにすることも担当します。これにより、ISEはユーザインターフェイス、外部ツール、またはAPIからのクエリに対して迅速な応答を提供できます。
ISEインデックスエンジンが実行されていないか、初期化されていないことを確認します。
- 前方参照と逆引きDNS参照が機能していること、またはCLI経由でクラスタ内のすべてのノードがnslookup <FQDN / IP address of the ISE node>コマンドを使用していることを確認します。
- ISE管理証明書がクラスタ内のすべてのノードに対して有効でアクティブであることを確認します。
- show ntpコマンドを実行して、CLI経由でNTPがISEノードと同期して動作していることを確認します。
インデックスエンジンはコンテキストの可視性によって使用されます。コンテキストの可視性を正しく実行するには、インデックスエンジンが起動して実行されている必要があります。トラブルシューティングに役立つ便利なログは、ADE.logファイルです。これらは、問題が発生した際にshow logging system ade/ADE.log tailコマンドを実行することで、サポートバンドルから保護するか、CLIを介して追跡することができます。
ADコネクタ
AD Connector(Active Directory Connector)は、ISEをMicrosoft Active Directory(AD)と統合できるようにするサービスです。このサービスにより、ISEはADクレデンシャルとグループメンバーシップに基づいてユーザを認証、認可、管理できます。ADコネクタは、ISEとActive Directory間のブリッジとして機能し、ISEがネットワークアクセスコントロール(NAC)とポリシー適用にADを活用できるようにします。
ISEでのADコネクタサービスの主要機能
- Active Directoryとの統合：ADコネクタサービスは、ISEとActive Directory間のブリッジとして機能します。これにより、ISEはADに安全に接続でき、ISEはADをユーザ認証とポリシー適用のための一元化されたIDストアとして利用できます。
- 同期：ADコネクタサービスは、Active DirectoryからISEへのユーザおよびグループのデータの同期をサポートします。これにより、ISEはユーザとグループに関する情報を更新します。これは、正確なポリシーを適用するために重要です。
- セキュアな通信：ADコネクタサービスは、ISEとActive Directory間にセキュアな通信チャネルを確立します。通常は、LDAP over SSL(LDAPS)などのプロトコルを使用して、認証およびクエリプロセス中のデータのプライバシーと整合性を確保します。
- 複数のActive Directoryドメインのサポート：このサービスでは、複数のActive Directoryドメインへの接続をサポートできます。これは、ISEが異なるADフォレストまたはドメインのユーザを認証する必要がある大規模またはマルチドメイン環境で特に役立ちます。
- ユーザおよびグループのルックアップ：これにより、ISEはユーザおよびグループ情報をADに照会できます。これには、ユーザ名、グループメンバーシップ、およびネットワークアクセスポリシーの適用に使用できるその他のユーザ属性などの詳細を含めることができます。たとえば、ネットワークアクセスポリシーをユーザのADグループメンバーシップに基づいて適用できます（たとえば、異なるアクセスレベルを異なるグループのユーザに付与するなど）。
-
NTPがノードと同期しているかどうか、およびADとISEの時間差が5分未満であることを確認します。
-
DNSサーバがADに関連するFQDNとドメインを解決できるかどうかを確認します。
-
[操作] > [レポート] > [レポート] > [診断] > [ADコネクタ操作]に移動し、ADに関連するイベントまたはレポートを確認します。
トラブルシューティングに役立つログは、ランタイムコンポーネントのデバッグログを含むad_agent.logです。
M&Tセッションデータベース
M&T Session Database(Monitoring and Troubleshooting Session Database)は、ネットワークアクセスイベントのセッション関連データの保存と管理において重要な役割を果たします。M&Tセッションデータベースは、アクティブなセッションに関する情報を保持します。これには、ユーザ認証、デバイス接続、およびネットワークアクセスイベントが含まれます。これらは、ネットワークアクティビティの監視、トラブルシューティング、および分析に不可欠です。
ISEにおけるM&T Session Database Serviceの主要機能
- セッションデータストレージ：M&Tセッションデータベースサービスは、ネットワーク上のユーザおよびデバイスデータセッションの保存とインデックス作成を行います。これには、セッションの開始時刻と終了時刻、認証結果、ユーザまたはデバイスのID、および関連付けられたポリシー（ロールの割り当てやVLANの割り当てなど）が含まれます。 このデータには、初期認証やセッションイベントを追跡するアカウンティングメッセージなど、セッションライフサイクルの詳細を示すRADIUSアカウンティング情報も含まれます。
- リアルタイムデータと履歴データ：このサービスでは、リアルタイムセッションデータ（アクティブセッション）と履歴セッションデータ（過去のセッション）へのアクセスが提供されます。 これにより、管理者は進行中のユーザー・アクセスを監視するだけでなく、過去のセッション・ログを参照して問題を調査したり、アクセス・イベントを検証したりできます。リアルタイムのセッションモニタリングにより、不正なデバイスが現在ネットワーク上に存在しないようにします。
- 強化されたモニタリング：セッションに適用されたポリシーなど、ユーザとデバイスのアクティビティを分析し、潜在的なセキュリティ上の懸念や不正アクセスの検出に役立てます。
- 監査とレポート：アクセスイベントのネットワーク履歴を保存し、規制レポート用のデータを提供することで、コンプライアンスの監査とレポートを容易にします。
ISEでのM&Tセッションデータベースの確認とトラブルシューティング
1. ノードに推奨リソースが割り当てられているかどうかを確認します。
2. 問題をさらに検証するために、ISE CLIからshow tech-supportを実行します。
3. ISE CLIでapplication configure iseコマンドを実行し、オプション1を選択して、M&Tセッションデータベースをリセットします。
注：M&Tデータベースのリセットは、導入における潜在的な影響を確認した後でのみ完了する必要があります。Cisco TACに連絡して、さらに検証を依頼してください。
既知の不具合:Cisco Bug ID 32364
M&Tログプロセッサ
M&Tログプロセッサ（モニタリングおよびトラブルシューティングログプロセッサ）は、ISE内のさまざまなサービスによって生成されたログデータの収集、処理、および管理を行うコンポーネントです。これは、管理者がISEシステム内のネットワークアクセスイベント、認証試行、ポリシーの適用、およびその他のアクティビティをモニタおよびトラブルシューティングするのに役立つ、モニタリングとトラブルシューティング(M&T)フレームワークの重要な部分です。M&T Log Processorは、特にログエントリの処理を処理し、ISEがレポート、監査、およびトラブルシューティングに必要な情報を保存、分析、および提示できるようにします。
ISEのM&T Log Processorサービスの主要機能
- ログの収集と処理：M&T Log Processorサービスは、認証要求、許可決定、アカウンティングメッセージ、ポリシー適用アクティビティなど、さまざまなISEコンポーネントによって生成されたログを収集して処理します。これらのログには、ユーザ、デバイス、ネットワークアクセス試行に関する詳細情報（タイムスタンプ、ユーザID、デバイスタイプ、適用されたポリシー、アクセス要求の成功または失敗、失敗の理由など）が含まれます。
- レポートとコンプライアンス：このサービスで処理されるログは、コンプライアンスレポートに不可欠です。多くの規制により、組織はユーザアクセスおよびセキュリティイベントのログを保持する必要があります。M&T Log Processorサービスは、関連するすべてのログが処理され、法規制のコンプライアンス監査に使用できることを保証します。ユーザアクセスログ、認証の成功率や失敗率、ポリシー適用ログなどのログデータに基づいて、詳細なレポートを生成できます。
ISEでのM&T Log Processorサービスの確認とトラブルシューティング
- ISEノードが、シスコインストールガイドに従って推奨リソースとともに導入されていることを確認します。
- 問題を確認するには、関連する例外またはエラーについてISE CLIからshow logging system ade/ADE.log tailコマンドを実行します。
既知の不具合:Cisco Bug ID15130
認証局サービス
認証局(CA)サービスは、通信を保護し、デバイス、ユーザ、ネットワークサービスを認証するためのデジタル証明書の管理を支援する重要なコンポーネントです。デジタル証明書は、信頼できる接続を確立し、クライアント（コンピュータ、スマートフォン、ネットワークデバイス）とネットワークインフラストラクチャコンポーネント（スイッチ、ワイヤレスアクセスポイント、VPNゲートウェイ）の間で安全な通信を確保するために不可欠です。 Cisco ISEのCAサービスは、X.509証明書と連携して動作します。この証明書は、802.1X認証、VPNアクセス、セキュア通信、およびSSL/TLS暗号化など、ネットワークセキュリティの目的で使用されます。
ISEの認証局サービスの主要機能
- 証明書管理：認証局サービスは、ISE内でのデジタル証明書の作成、発行、管理、および更新を処理します。これらの証明書は、ネットワーク全体のさまざまな認証プロトコルと暗号化目的に使用されます。証明書を発行するには、内部認証局(CA)として機能するか、外部CA（たとえば、Microsoft AD CS、VeriSignやDigiCertなどのパブリックCA）と統合することができます。
- 証明書の発行：EAP-TLSまたは同様の証明書ベースの認証方式を必要とする環境では、ISEはネットワークアクセスデバイス(NAD)、ユーザ、またはエンドポイントの証明書を発行できます。ISEは、デバイスおよびユーザを認証するための証明書を自動的に生成して展開するか、外部CAに証明書を要求できます。
- 証明書の登録： CAサービスは、証明書を使用してネットワークに対して認証を行う必要があるエンドポイント（ラップトップ、電話、その他のネットワークデバイスなど）の証明書の登録をサポートします。ISEは、SCEP(Simple Certificate Enrollment Protocol)やACME(Automated Certificate Management Environment)などのプロトコルを使用して、デバイスの証明書登録を容易にします。
- 証明書の更新：このサービスは、デバイスとユーザの両方の有効期限が切れる証明書の更新を自動化します。証明書が常に有効で最新の状態であることを保証し、期限切れの証明書によるサービスの中断を防止します。
- 外部認証局との統合：ISEは独自のCAとして機能できますが、外部CA（Microsoft Active Directory証明書サービスなど）と統合する方が一般的です。 CAサービスは、ISEと外部CA間のインタラクションを管理し、必要に応じてユーザ、デバイス、およびネットワークリソースの証明書を要求できます。
ESTサービス
Enrollment over Secure Transport(EST)サービスは、証明書ベースの認証環境でネットワークデバイスおよびユーザにデジタル証明書を安全に発行するために使用されるプロトコルです。ESTは、デバイスが安全かつ自動的な方法で認証局(CA)に証明書を要求できるようにする証明書登録プロトコルです。ESTサービスは、802.1X環境、VPN接続、またはBYOD(Bring Your Own Device)シナリオなど、デバイスが証明書を使用してネットワークに対して認証する必要があるデバイス認証に役立ちます。
ISEのESTサービスの主要機能
- 証明書登録：ESTサービスは、認証に証明書を必要とするデバイス（スイッチ、アクセスポイント、エンドポイントなど）のセキュアな証明書登録を可能にします。登録はHTTPSなどのセキュアな転送で行われ、プロセスは暗号化され、不正アクセスから保護されます。
- 証明書の失効と更新：証明書が登録されると、ESTサービスは証明書の失効または更新の管理にも役割を果たします。たとえば、デバイスは現在の証明書の有効期限が切れたときに新しい証明書を要求する必要があり、ESTはこのプロセスの自動化に役立ちます。
- ネットワークアクセス制御の向上：ESTサービスは、証明書を使用したデバイス認証を可能にすることで、802.1X認証を使用する環境におけるネットワークのセキュリティポスチャを強化します。
認証局(CA)およびESTサービスが実行されていない/初期化されていないことを確認します。
- Administration > System > Certificates > Certificate Authority > Internal CA settingsの順に選択します。CA、EST、およびOCSPレスポンダのステータスがソートされ、有効になっていることを確認します。
- トラブルシューティングに役立つデバッグには、est、provisioning、ca-service、およびca-service-certがあります。 ise-psc.log、catalina.out、caservice.log、およびerror.logファイルを参照してください。
- ISEルートCAおよびISEメッセージング証明書が展開で有効であることを確認します。ISEルートCAの更新が必要な場合は、Administration > Certificates > Certificate Signing Requests > Generate Certificate Signing Requestに移動し、ISEルートCAとしてusageを選択します。[renew ISE Root CA]をクリックします。
SXPエンジンサービス
SXPエンジンサービスは、セキュリティグループタグ(SGT)およびセキュリティグループエクスチェンジプロトコル(SXP)を使用したISEとネットワークデバイス間の通信の管理と促進を担当します。 IPアドレスやMACアドレスだけでなく、デバイスのセキュリティグループに基づいてネットワークアクセスコントロールを適用するために使用されるTrustSecポリシーのサポートにおいて、重要な役割を果たします。ISEのSXPエンジンは、主にセキュリティグループ情報の交換に使用され、ユーザまたはデバイスのID、アプリケーション、場所に基づいてポリシーを適用するのに役立ちます。これにより、デバイスはセキュリティグループタグ(SGT)を共有できるようになります。SGTは、ルータやスイッチなどのネットワークデバイス全体にセキュリティポリシーを適用するために使用されます。
ISEでのSXPエンジンサービスの主要機能
- TrustSecとの統合：SXPは、有線ネットワークとワイヤレスネットワークの両方に一貫したセキュリティポリシーを適用するソリューションであるCisco TrustSecを活用する環境で一般的に導入されます。SXPエンジンは、デバイス間のSGTの通信を容易にし、デバイスまたはユーザのセキュリティコンテキストに基づいて動的にポリシーを適用できるようにします。
- セキュリティグループタグ(SGT):TrustSecのポリシー適用の中心は、SGTにあります。これらのタグは、ネットワークトラフィックを分類するために使用されます。SXPプロトコルは、特定のユーザまたはデバイスに対するこれらのタグのマッピングを共有するのに役立ちます。これにより、ネットワークアクセスとトラフィックフローをきめ細かく、ポリシーに基づいて制御できます。
ISEでのSXPエンジンサービスの検証およびトラブルシューティング
- デフォルトでは、SXPエンジンサービスはISEで無効になっています。これを有効にするには、ISE GUI > Administration > Deploymentの順に選択し、ノードを選択します。Enable SXP Serviceボックスにチェックマークを入れて、インターフェイスを選択します。次に、show application status iseコマンドを実行して、ISE CLIからSXPエンジンサービスのステータスを確認します。
- ネットワーク通信の問題がある場合は、CLIでshow interfaceコマンドを実行して、SXPエンジンに割り当てられたインターフェイスに有効なIPアドレスがあることを確認し、そのIPサブネットがネットワークで許可されていることを確認します。
- RADIUSライブログを確認して、ISEのSXP接続イベントを確認します。
- ISEノードでSXPコンポーネントを有効にして、SXPに関連するログと例外をデバッグし、キャプチャします。
TC-NACサービス
TC-NACサービス(TrustSec Network Access Control)は、ネットワークデバイスへのTrustSecポリシーの適用を促進するコンポーネントで、アクセス制御が従来のIPアドレスやMACアドレスではなく、セキュリティグループタグ(SGT)に基づくようにします。
TrustSecはシスコが開発したフレームワークで、VLANやIPアドレスなどの従来のメカニズムを使用する代わりに、デバイスのロール、ユーザ、コンテキストに基づいて、ネットワーク全体にセキュリティポリシーを適用できます。デバイスを異なるセキュリティグループにグループ化し、SGTでタグ付けすることで、より詳細で動的なネットワークアクセス制御を提供します。
ISEでのTC-NACサービスの主要機能
- サードパーティ製NACシステムとの統合：TC-NACサービスにより、ISEはサードパーティ製ネットワークアクセスコントロールソリューションとの通信および対話が可能になります。この機能は、既存のNACインフラストラクチャを使用しているが、Cisco ISEと統合して機能を改善したり、追加のセキュリティポリシーを活用したり、シスコの他のネットワークセキュリティ機能を利用したい組織に役立ちます。
- シームレスなポリシー適用の提供：ISEは、サードパーティのNACソリューションと統合することで、ポリシー適用と意思決定の特定の側面を引き継ぐことができます。これにより、より統合されたポリシーフレームワークが可能になり、シスコとシスコ以外の両方のNACシステムによって適用されるポリシーがネットワーク全体で一貫したものになります。
- レガシーNACシステムのサポート：TC-NAC Serviceは、レガシーNACシステムを持つ組織が、強化されたセキュリティ機能のためにCisco ISEを採用する一方で、これらのシステムを引き続き使用できるように支援します。ISEは、古いNACソリューションと統合してライフサイクルを拡張し、アクセスコントロール、セキュリティ、およびコンプライアンスの適用を並行して提供できます。
- サードパーティNACベンダーコミュニケーションの促進：このサービスにより、ISEは独自のプロトコルまたは標準を使用するサードパーティNACソリューションとのコミュニケーションを促進できます。ISEは、使用されているNACソリューションに応じて、業界標準のプロトコル（RADIUS、TACACS+、SNMPなど）またはカスタマイズされたAPIを介してサードパーティ製NACシステムと対話できます。
ISEでのTC-NACサービスの確認とトラブルシューティング
- Administration > Deployment > PSN node > Enable Threat Centric NACの順に選択して、Threat Centric NACが有効になっていることを確認します。
- SourceFire FireAMPアダプタに問題がある場合は、ネットワークでポート443が許可されているかどうかを確認します。
- Operations > Threat-Centric NAC Live Logsでエンドポイントセッションの詳細を確認します。
Threat Centric NACによってトリガーされるアラーム：
-
アダプタ到達不能(syslog ID: 91002)：アダプタに到達できないことを示します。
-
アダプタ接続の失敗(syslog ID: 91018)：アダプタは到達可能ですが、アダプタとソースサーバ間の接続がダウンしています。
-
Adapter Stopped Due to Error(syslog ID: 91006)：このアラームは、アダプタが望ましい状態でない場合にトリガーされます。このアラームが表示された場合は、アダプタの設定とサーバの接続を確認します。詳細については、アダプタのログを参照してください。
-
アダプタエラー(syslog ID: 91009): QualysアダプタがQualysサイトとの接続を確立できないか、またはQualysサイトから情報をダウンロードできないことを示します。
TC-NACの問題のトラブルシューティングに役立つデバッグ：
- va-runtime (varuntime.log)
- va-service（varuntime.logおよびvaaggregation.log）
- TC-NAC(ise-psc.log)
- anc(ise-psc.log)
PassiveID WMIサービス
PassiveID WMIサービスは、ネットワーク内のエンドポイントを識別してプロファイリングするためのパッシブメカニズムとしてWindows Management Instrumentation(WMI)を使用してデバイスプロファイリングをISEが実行できるようにするサービスです。Windows OSを実行するデバイスを正確に特定してネットワークアクセス制御やポリシーを適用する必要がある環境では、デバイスのプロファイリングにおいて重要な役割を果たします。
ISEでのPassiveID WMIサービスの主な機能
- デバイスID収集：PassiveID WMIサービスを使用すると、ISEはWindows Management Instrumentation(WMI)を使用してWindowsデバイスからID情報をパッシブに収集できます。 デバイスのホスト名、OSのバージョン、その他の関連属性などのシステムの詳細を、デバイスがアクティブに参加する必要なしに収集します。
2. ISEポリシーとの統合：PassiveID WMIサービスによって収集された情報は、ISEポリシーフレームワークに統合されます。タイプ、OS、セキュリティ標準への準拠などのデバイス属性に基づいて、ポリシーを動的に適用できます。
PassiveID WMIサービスの確認とトラブルシューティング
安全性が高く正確なソースであり、ユーザ情報を受信する際に最も一般的に使用されます。プローブとして、ADはWMIテクノロジーと連携して、認証されたユーザIDを提供します。また、プローブではなくAD自体がソースシステム（プロバイダ）として機能し、そこから他のプローブもユーザデータを取得します。
トラブルシューティングに必要な便利なデバッグと情報。 PassiveID WMI問題のデバッグレベルに次の属性を設定します。
- PassiveID (passiveid*)
- ランタイムロギング(prrt-server.log)
- Active Directory (ad)_agent.log) – トレースレベル
- コレクタ(collector.log)（PassiveID、MnTノード、およびセッションがパブリッシュされている場合はアクティブpxGridノード）
- pxGrid(pxgrid/)（セッションが公開されている場合は、セカンダリMnTおよびアクティブpxGridノード上）
PassiveID WMIのトラブルシューティングに必要な情報：
- 以前は動作していましたか。最近行われた変更（アップグレード、パッチインストール、ISEへのアップグレード、DCへのアップグレードなど）
- テスト接続は正常に動作していますか（統合前に、テスト接続を確認してください）。
- ADへの参加に使用されるユーザ名とWMIに使用されるユーザ名の詳細（adminアカウントかnon adminアカウントか）
- DCのイベント(4768、4770)がログに記録されているかどうかを確認します（DCからイベントビューアのログを確認します）。
- ログのキャプチャ：パッシブIDとランタイムロギングのデバッグレベルを設定し、DCのwmi、タイムスタンプ付きのトレースレベルを使用したADの設定を完了します。
PassiveID Syslogサービス
PassiveID Syslog Serviceは、PassiveIDプロファイリング機能が環境内のネットワークデバイスからsyslogメッセージを収集して処理できるようにするサービスです。これらのsyslogメッセージには、ネットワークに接続されているエンドポイントに関する重要な情報が含まれています。ISEは、これらの情報を使用してデバイスのプロファイリングを行い、ネットワークアクセス制御とポリシー適用を行います。
パッシブID Syslogサービスの主な機能
1. パッシブ認証：パッシブID syslogサービスは、Cisco ISEがネットワークデバイス（スイッチやルータなど）からユーザとデバイスのアクティビティを示すsyslogメッセージを収集することによって、ユーザとデバイスをパッシブに認証できるようにします。これは、802.1Xなどの従来のアクティブな認証方式が適さない、または実行可能でない状況で役立ちます。
2. イベントロギング：パッシブID Syslogサービスは、ネットワーク上のユーザアクセスおよび動作を追跡するネットワークデバイスからログを受信するために、syslogプロトコルに依存します。これらのログに含まれる情報には、デバイスログインの試行、アクセスポイント、インターフェイスの詳細などが含まれ、ISEがデバイスまたはユーザを受動的に特定するために役立ちます。
PassiveID APIサービス
PassiveID APIサービスは、ネットワークに接続されたデバイスやユーザのアイデンティティ情報を必要とするシステムとの統合を可能にするサービスです。通常は、ネットワーク管理者が、すべてのデバイスに802.1Xなどのアクティブなネットワーク認証プロトコルを必要とせずに、IDベースのポリシーとアクションを実行する必要がある環境で使用されます。
パッシブID APIサービスの主要機能
- 外部システムとの統合：パッシブID APIを使用すると、ISEはサードパーティのシステムまたはネットワークデバイス（スイッチ、ルータ、ファイアウォール、またはID関連イベントを生成できるシステムなど）からID情報を受信できます。 これらの外部システムは、syslogメッセージ、認証ログ、またはISEがユーザやデバイスを受動的に識別するのに役立つその他の関連データなどの情報を送信できます。
- パッシブ認証：パッシブID APIサービスは、アクティブ認証を必要とせずに（たとえば、802.1X、MAB、またはWeb認証を必要とせずに）アイデンティティデータを収集することで、ユーザおよびデバイスをパッシブに認証するために使用されます。 ネットワークデバイス、Active Directoryログ、またはセキュリティアプライアンスから情報を取得し、それを使用してユーザまたはデバイスを特定できます。
- アイデンティティ情報のマッピング：パッシブID APIを使用して、アイデンティティデータを特定のセキュリティポリシーにマッピングできます。この情報は、セキュリティグループタグ(SGT)またはロールをユーザとデバイスに動的に割り当てるために使用され、ネットワークアクセスコントロール（セグメント化やファイアウォールポリシーなど）の適用に影響を与えます。
PassiveID Agentサービス
PassiveID Agent Serviceでは、エンドポイント（コンピュータ、ラップトップ、モバイルデバイスなど）にインストールされているPassiveID Agentを使用してデバイスのプロファイリングを行うことができます。 PassiveID Agentを使用すると、ISEはエンドポイントからのトラフィックをリッスンすることによって、ネットワーク上のデバイスに関するプロファイリング情報を収集できます。アクティブなスキャンやデバイスとの直接的な対話は必要ありません。
パッシブIDエージェントサービスの主な機能
- パッシブユーザおよびデバイスID：パッシブIDエージェントサービスは、ID関連の情報（通常はネットワークデバイスまたはエンドポイントから）をパッシブに収集し、そのデータをISEに送信します。このサービスにより、ISEは、デバイスからのアクティブな認証を必要とせずに（たとえば、802.1Xクレデンシャルが提供されることなく）、ユーザおよびデバイスの認証とそのアクティビティまたは特性に基づく識別を行うことができます。
- 他のシスココンポーネントとの統合：パッシブIDエージェントは、スイッチ、ワイヤレスコントローラ、アクセスポイントなどのシスコネットワークデバイスと密接に連携して、ネットワークトラフィック、syslogログ、またはその他の管理システムからIDに関連する情報を収集します。また、Cisco TrustSecおよびCisco Identity Servicesと統合して、このデータを特定のセキュリティグループタグ(SGT)またはその他のアイデンティティベースのポリシーにマッピングすることもできます。
- コンテキストネットワークアクセスコントロール：パッシブIDエージェントはこの情報をCisco ISEに送信し、ユーザまたはデバイスのアイデンティティとコンテキストに基づいて適切なアクセスコントロールポリシーを適用します。これには次のものが含まれます。
- ロールベースアクセスコントロール
- ダイナミックVLAN割り当て
- ネットワークの分割
- ユーザロールまたはデバイスのセキュリティポスチャに基づくセキュリティポリシーの適用
PassiveIDエンドポイントサービス
PassiveID Endpoint Serviceは、PassiveIDテクノロジーに基づいて、ネットワーク上のエンドポイント（デバイス）の識別とプロファイリングを行うサービスです。このサービスにより、ISEは、エンドポイント自体とのアクティブな対話を必要とせずに、ネットワークに接続されているデバイスに関する情報を収集、処理、分類できます。PassiveID Endpoint Serviceは、プロファイリング、ネットワークアクセス制御、およびセキュリティポリシーの適用において重要な役割を果たします。
PassiveIDエンドポイントサービスの主要機能
- パッシブユーザおよびデバイスの識別：PassiveID Endpoint Serviceを使用すると、ISEは、ネットワークアクティビティまたはシステムログからの情報を活用して、ネットワーク上のデバイスをパッシブに識別および認証できます。これには、MACアドレス、IPアドレス、Active Directory(AD)などの外部アイデンティティストアからのログイン情報など、ネットワークの動作または特性に基づいてユーザおよびデバイスを識別することが含まれます。
- エンドポイントからのデータ収集：エンドポイントサービスは、さまざまな種類のエンドポイント固有のデータをさまざまなソースから収集します。
- Active Directoryやその他のディレクトリなどの外部IDストアからのユーザログイン情報。
- IPアドレス、MACアドレス、デバイスタイプなどのデバイス特性（デバイスがWindows PC、携帯電話、IoTデバイスのいずれであるかなど）。
- DHCP要求、ARP要求、その他のネットワークレイヤ通信などのエンドポイントネットワークアクティビティ。
PassiveID SPANサービス
PassiveID SPANサービスは、ネットワークデバイス上のSPAN（スイッチドポートアナライザ）ポートミラーリングを利用して、ネットワークトラフィックをキャプチャおよび分析し、エンドポイントプロファイリングを行います。このサービスは、デバイスにインストールされたアクティブプローブやエージェントを必要とせずに、ネットワーク通信パターンを分析することで、ISEがネットワーク内のエンドポイントに関する情報を受動的に取得するのに役立ちます。
PassiveID SPANサービスの主要機能
- SPANトラフィックからのパッシブID収集：PassiveID SPANサービスにより、ISEは、スイッチ上のSPANポートを介してミラーリングまたはコピーされたネットワークトラフィックに基づいて、IDデータを収集できます。SPANポートは、他のポートまたはVLANからのネットワークトラフィックをミラーリングして、ネットワークを監視するために使用されます。このトラフィックをキャプチャすることにより、ISEは次のようなID情報を受動的に収集できます。
- デバイスのMACアドレス
- デバイスに関連付けられたIPアドレス
- キャプチャされたトラフィックからのDHCP要求またはその他のID関連情報
- スイッチやワイヤレスコントローラなどのネットワークデバイスからの認証ログ
2. ユーザおよびデバイスID情報のキャプチャ：SPANサービスは、ネットワークを通過するトラフィックをリッスンし、デバイスと直接やり取りする必要なく、ネットワークパケットから主要なID情報を識別します。これには、次のようなデータが含まれます。
- EAP(Extensible Authentication Protocol)などのプロトコルを使用して認証する際のユーザID
- MACアドレスとIPアドレスに基づくデバイスID
- 観察されたトラフィックパターンとイベントに基づくデバイスのロールと動作
PassiveIDスタックの検証とトラブルシューティング（PassiveID SPANサービス、PassiveID Syslogサービス、PassiveIDエンドポイントサービス、PassiveIDエージェント、PassiveID APIサービス）
- PassiveIDスタックはプロバイダーとすべてのサービスのリストであり、PassiveIDスタックはデフォルトで無効になっています。ISE GUI > Administration > Deployment >ノードを選択> Enable Passive Identity Serviceに移動し、Saveをクリックします。PassiveIDスタックのサービスステータスを確認するには、ISEノードのCLIにログインして、show application status iseコマンドを実行します。
- パッシブIDエージェントに問題がある場合は、エージェントのFQDNがISEノードから解決可能かどうかを確認します。これを実行するには、ISE CLIにログインし、nslookup < FQDN of Agent configured >コマンドを実行します。
- ISEインデックスエンジンがアクティブで、DNS逆引きおよび前方参照の両方がISEで設定されたDNSまたはネームサーバによって解決されていることを確認します。
- syslogプロバイダーとのシームレスな通信を確保するには、UDPポート40514およびTCPポート11468がネットワークで開いていることを確認します。
- ノードでSPANプロバイダーを設定するには、ISEパッシブIDサービスが有効になっていることを確認します。ISE CLIからshow interfaceコマンドを実行して、SPANプロバイダーに設定するインターフェイスがISEで使用できることを確認します。
- パッシブIDプロバイダーに基づいてログを確認するには、passiveid-syslog.log、passiveid-agent.log、passiveid-api.log、passiveid-endpoint.log、passiveid-span.logを確認する必要があります。前述のログは、ISEノードのサポートバンドルから保護できます。
DHCPサーバ(dhcpd)
DHCPサーバー(dhcpd)サービスは、ネットワークデバイスに動的ホスト構成プロトコル(DHCP)機能を提供します。主に、ネットワークに接続しようとしているデバイス（エンドポイント）にIPアドレスを割り当てるために使用されます。ISEでは、DHCPサーバは、ネットワークへの接続時にIPアドレスを要求するエンドポイントにIPアドレスを提供する際に重要な役割を果たします。このサービスでは、DNSサーバ、デフォルトゲートウェイ、その他のネットワーク設定など、追加の構成情報も提供できます。
ISEでのDHCPサーバ(dhcpd)サービスの主要機能
- ダイナミックIPアドレス割り当て：ISEのdhcpdサービスはDHCPサーバとして機能し、ネットワークへの接続時にIPアドレスを要求するデバイスにIPアドレスを割り当てます。これは、BYOD(Bring Your Own Device)環境でデバイスがネットワークに動的に参加するシナリオや、デバイスがIPアドレスを自動的に取得するように設定されているシナリオで重要です。
- プロファイルベースのDHCP: dhcpdサービスは、デバイスのプロファイルに基づいてIPアドレスを割り当てることができます。ISEがデバイス（スマートフォン、ラップトップ、IoTデバイス）をプロファイリングしている場合は、デバイスまたはロールのタイプに基づいて、適切なIPアドレスを割り当てたり、その他の設定を適用したりできます。
- DHCPリレーのサポート：ISEはDHCPリレーエージェントとして機能し、ISEが実際のIPアドレス割り当てを処理していない場合は、デバイスからのDHCP要求を外部DHCPサーバに転送できます。この場合、dhcpdサービスはデバイスからの要求を中央のDHCPサーバに転送できますが、ISEはネットワークポリシーとアクセスコントロールを引き続き適用します。
DHCPサーバ(dhcpd)の確認とトラブルシューティング
- DHCPサーバパッケージがISEにインストールされているかどうかを確認するには、Cisco TACにお問い合わせください。
- ISEのルートにログインします(rpm -qi dhcp)。
DNSサーバ（名前付き）
DNSサーバ（名前付き）サービスを使用すると、ISEをDNS（ドメインネームシステム）サーバまたはDNSリゾルバとして機能させることができます。主にドメイン名をIPアドレスに解決し、その逆も行い、ネットワーク内のデバイス間の通信を容易にします。
ISEのDNSサーバ（名前付き）サービスの主要機能
- ISE通信のDNS解決：ISEの名前付きサービスは、ドメイン名をIPアドレスに解決するのに役立ちます。これは、ISEがIPアドレスではなくドメイン名を使用して、他のネットワークデバイスまたは外部サービス（RADIUSサーバ、Active Directory、外部NTPサーバなど）に接続する必要がある場合に重要です。
- ISEがRadiusサーバまたは外部ディレクトリサービス（Active Directoryなど）に到達する必要がある場合、そのサーバのドメイン名をIPアドレスに解決する必要があります。
- ISEは、システム上に設定されているDNSサーバにこれらのドメイン名を解決するようクエリを送信し、円滑な通信を確保します。
2. 外部サービスのDNS解決：DNSサービスにより、ISEはドメイン名を必要とする外部サービスに接続できます。たとえば、ISEは次のような外部サービスの名前を解決する必要があります。
- クラウドベースサービス
- ネットワークタイムプロトコル(NTP)サーバ。
- 認証局(CA)またはLDAPサーバ
3. マルチドメインおよび冗長DNSサーバ：冗長性のために複数のDNSサーバを使用するようにISEを設定できます。あるDNSサーバが使用できなくなった場合、ISEは別のDNSサーバにフォールバックして、継続的な動作とDNS解決を保証できます。
DNSサーバ（名前付き）の確認とトラブルシューティング
- ISEノードのCLIから、ping <IP of DNS server / name server>コマンドを実行して、展開の名前付きサーバまたはDNSサーバへの到達可能性を確認します。
- ISE CLIでnslookup <FQDN / IP address of ISE nodes>コマンドを実行して、ISE FQDNのDNS解決を確認します。
ISEメッセージングサービス
ISEメッセージングサービスは、ISEシステム内のさまざまなサービスとコンポーネント間の非同期通信を容易にするコンポーネントです。ISEのシステムアーキテクチャ全体において重要な役割を果たし、プラットフォームのさまざまな部分で、メッセージの送受信、タスクの管理、およびアクティビティの同期を可能にします。
ISEメッセージングサービスの主な機能
- プロセス間通信(IPC):ISEメッセージングサービスは、さまざまなISEサービス間のプロセス間通信(IPC)を可能にします。認証、認可、ポリシーの適用など、さまざまなISEモジュールとサービスが、調整された方法でデータと命令を交換できることを確認します。
- 分散環境のサポート：大規模または分散型のISE導入（マルチノード構成や高可用性構成など）では、メッセージングサービスにより、さまざまなISEノード間の通信が容易になります。これにより、認証要求、ユーザセッション、ポリシー更新などのデータが、ISEシステム内の異なるノード間で正しく同期されます。
- ポリシーと設定の同期：メッセージングサービスは、ISEノード間の設定とポリシーの同期に関与します。プライマリノードに対して設定の変更が行われると、サービスはこれらの変更がシステム内のセカンダリノードまたはバックアップノードに伝播されることを保証します。これは、一貫性を維持し、異なる場所や分散したISEノードに適用されるネットワークアクセスポリシーの同期を維持するために不可欠です。
ISEメッセージングサービスが実行されていないか、初期化されているかを確認します。
- ポートTCP 8671がファイアウォールでブロックされていないことを確認します。このポートは、ISEデバイス間のノード間通信に使用されます。
- キューリンクエラーを確認し、見つかった場合は、ISEメッセージング証明書とISEルートCA証明書を更新します。内部の証明書の破損の問題が原因で、キューリンクエラーが発生する可能性があります。キューリンクエラーを解決するには、『ISE – キューリンクエラー』ドキュメントを参照して、ISEメッセージとISEルートCA証明書を更新してください。
- GUIで、Administration > Certificates > ISE Messaging Certificateの順に選択します。Viewをクリックして、証明書のステータスを確認します。
- ade.Jogログを使用して、ISEメッセージングサービスのトラブルシューティングを行うことができます。このサービスは、サポートバンドルに含まれています。また、問題が発生した際に、show logging system ade/ADE.Jog tailコマンドを実行することで、CLIからトラブルシューティングを行うこともできます。
- ADE.Jogログにrabbitmq:connection refusedエラーが表示された場合は、Cisco TACに連絡して、ISEルートからRabbitmqモジュールのロックを解除してください。
ISE API Gatewayデータベースサービス
ISE API Gateway Database Serviceは、ISEシステム内のAPI要求および応答に関連するデータを管理および処理するコンポーネントです。ISE API GatewayをISEデータベースに接続する中継要素として機能し、カスタムアプリケーションによるISE内のデータの更新または変更を保証します。たとえば、アクセスポリシーを調整したり、サービスによって管理されるAPI呼び出しを介してユーザを追加または削除したりします。
ISE API Gateway Database Serviceの主要機能
- ISEデータへのAPIアクセス：ISE API Gateway Database Serviceはブリッジとして機能し、外部アプリケーションがISEのRESTful APIを介してISEデータベースとやり取りできるようにします。これらのAPIを使用して、ISEデータベースに保存されている次のようなデータを取得または変更できます。
- ユーザ認証ログ
- ネットワークアクセスポリシー
- デバイスのプロファイル情報
- システムの構成と設定
2. 外部システム統合の実現：このサービスは、ISEを次のような外部システムと統合する際に重要な役割を果たします。
- 外部認証サーバ(LDAP、Active Directory、RADIUS)
- ネットワーク管理システム(NMS)
- Security Information and Event Management(SIEM)ソリューション
- ISEデータと対話する必要があるカスタムアプリケーションまたはサービス
API Gateway Database Serviceでは、APIアクセスを提供することにより、これらの外部システムが外部イベントに応答してISEデータのクエリ、ISEへの更新の送信、またはISE内での特定のアクションのトリガーを実行できます。
3. RESTful API通信のサポート：ISEは、HTTP/HTTPSで動作するように設計されたRESTful APIを公開します。APIゲートウェイデータベースサービスは、API要求および応答のフローを管理し、要求が認証されて処理され、応答でISEデータベースから適切なデータが返されることを保証します。
ISE API Gatewayサービス
ISE API Gatewayサービスは、ISEサービス、データ、および機能へのRESTful APIアクセスを提供する重要なコンポーネントです。ISEと外部システム間のブリッジとして機能し、これらのシステムがISEネットワークアクセスコントロール、ポリシー適用、認証、およびその他のサービスとプログラムでやりとりできるようにします。API Gatewayを使用すると、サードパーティ製アプリケーション、ネットワーク管理システム、およびカスタムアプリケーションが、手動による介入やISEユーザインターフェイスへの直接アクセスなしにCisco ISEと対話できるようになります。
ISE API Gatewayサービスの主要機能
- ISEへのAPIアクセスの有効化：ISE API Gateway Serviceにより、外部システムはRESTful APIを使用してCisco ISEのデータとポリシーに安全にアクセスし、やり取りすることができます。これにより、認証、ポリシーの適用、セッション管理などのISE機能へのプログラムによるアクセスが提供されます。
- プログラムによる制御の提供：API Gatewayサービスを使用すると、ISE機能をプログラムによって制御できます。管理者と開発者は、APIを使用して次の操作を実行できます。
- ネットワークポリシーの取得または変更
- ユーザー・セッションおよび認証ログのクエリーまたは管理
- ネットワークアクセス制御規則の作成と管理
- デバイスプロファイルへのアクセスまたは更新
- この制御は、リアルタイムデータに基づいてネットワークアクセスポリシーを動的に調整したり、ISEをより広範なセキュリティ自動化プラットフォームに統合するなど、自動化またはカスタムワークフローオーケストレーションに活用できます。
3. モニタリングとレポート：API Gateway Serviceにより、外部システムは運用ISEログ、セッション履歴、およびポリシー適用の詳細からデータを収集できます。これは次の場合に重要です。
- コンプライアンスレポート
- セキュリティモニタリング
- インシデント対応
APIコールを使用して、ログ、監査情報、イベントをプルできます。これにより、セキュリティチームは、一元化されたダッシュボードまたはレポートツールからISEアクティビティを監視できます。
ISE API GatewayサービスおよびISE API Gateway Databaseサービスの確認とトラブルシューティング
- ISEノードの管理証明書がアクティブで有効であることを確認します。Administration > Certificates > Select the node > Select Admin Certificateの順に移動します。Viewをクリックして、ISEノードの管理証明書のステータスを確認します。
- ise-api-gateway、api-gateway、apiserviceコンポーネントをデバッグに設定し、次のコマンドを実行してログを追跡できます。
- show logging application ise-psc.log tail（隠しコマンド）
- show logging application api-gateway.log tail（ベータ版）
ISE pxGridダイレクトサービス
ISE pxGrid Direct Serviceは、ISEでpxGrid(Platform Exchange Grid)機能をサポートする重要なコンポーネントです。pxGridは、シスコのネットワークセキュリティソリューションとサードパーティのアプリケーション、サービス、およびデバイスとの間で、セキュアで標準化されたスケーラブルなデータ共有および統合を促進するシスコテクノロジーです。ISE pxGrid Direct Serviceを使用すると、中継装置やサービスを必要とせずに、ISEと他のpxGrid互換システムとの間で直接通信を行うことができます。
ISE pxGridダイレクトサービスの主な機能
- サードパーティシステムとの直接統合：ISE pxGrid Directサービスにより、ISEは、ファイアウォール、ルータ、NACソリューション、SIEMプラットフォーム、およびその他のセキュリティアプライアンスなどのサードパーティネットワークセキュリティシステムと直接統合できます。これらのシステムは、ネットワークアクセスイベント、セキュリティインシデント、およびコンテキストに基づくネットワークデータに関する情報を交換できます。
- コンテキスト共有：pxGridの主な機能の1つは、コンテキスト情報（デバイスID、ユーザロール、セキュリティポスチャ、ネットワークアクセス情報など）の共有です。 pxGrid Direct Serviceを使用すると、ISEはRADIUSやTACACS+などの従来の方法に依存することなく、他のデバイスやアプリケーションとコンテキストを直接共有できます。
- コミュニケーションの簡素化：pxGridを使用することで、ISEは標準化されたプロトコルを使用してサードパーティソリューションとコミュニケーションを取り、情報を交換できます。システムは個々のサードパーティソリューションに対してカスタム統合を必要としないため、統合プロセスが簡素化されます。
- セキュリティとコンプライアンスの強化：pxGrid Direct Serviceは、ネットワークエコシステム内のすべてのシステムが、ユーザ、デバイス、およびセキュリティポリシーに関するリアルタイムのコンテキストデータにアクセスできるようにすることで、セキュリティポスチャとコンプライアンスを向上させます。これにより、環境全体にネットワークセキュリティポリシーを調整して適用できます。
ISEPxgrid Directサービスの確認とトラブルシューティング
- Cisco TACに連絡して、edda*.lock*が/tmpフォルダにあるかどうかを確認してください。ロックされている場合、Cisco TACはロックを解除し、Pxgrid Directサービスをルートから再起動できます。
- トラブルシューティングのために、ISEノードでデバッグするPxGrid Directコンポーネントを設定します。ログは、ISEサポートバンドルまたはISE CLIで次のコマンドを実行することで保護できます。
- ロギングアプリケーションpxgriddirect-service.logを表示します
- ロギングアプリケーションpxgriddirect-connector.logを表示する
- これらのログは、Cisco ISEによって取得および受信されたエンドポイントデータに関する情報と、Pxgridコネクタの接続ステータスを示します。
Segmentation Policyサービス
セグメンテーションポリシーサービスは、ユーザID、デバイスのポスチャ、またはその他の情報に基づいてネットワークセグメンテーションポリシーを適用するための主要コンポーネントです。特定のネットワークセグメントへのユーザ/デバイスのアクセスを制御し、許可されたユーザまたは準拠するデバイスのみがネットワークの特定の部分にアクセスできるようにします。ネットワークのセグメンテーションは、ネットワークの表面的な攻撃を軽減し、脅威の横移動を防止し、規制へのコンプライアンスを確保するために不可欠です。ISEのSegmentation Policy Serviceを使用して、これらのネットワークセグメンテーションルールを動的に適用し、ネットワーク全体に柔軟に提供します。
Segmentation Policy Serviceの主要機能
- ネットワークセグメントの定義：ISEのセグメンテーションポリシーサービスにより、管理者はユーザまたはデバイスの特性に基づいて、さまざまなネットワークセグメント（サブネットまたはVLAN）を定義できます。例：
- 異なるセキュリティポスチャを持つデバイスを異なるセグメントに割り当てることができます（あるVLANの信頼できるデバイスと別のVLANの信頼できないデバイス）。
- 権限を最小限に抑え、機密リソースへのアクセスを制限するために、異なる部門や役割のユーザを異なるネットワークセグメントに割り当てることができます。
2. 動的なセグメンテーション：このサービスは、動的なネットワークセグメンテーションを可能にします。これにより、ネットワークセグメントまたはVLANをリアルタイムの条件に基づいて変更できます。例：
- ユーザは、そのロールまたはデバイスのヘルスステータスに基づいて、特定のVLANに割り当てることができます。
- 準拠していないと見なされるデバイス、または古いオペレーティングシステムを実行しているデバイスは、修復されるまで隔離またはゲストVLANに移動できます。
3. ポリシーベースの適用：セグメンテーションポリシーサービスは、ポリシーを使用して、デバイスまたはユーザをどのセグメントに配置するかを決定します。これらのポリシーでは、次のようなさまざまな要因を考慮します。
- ユーザID：ユーザロールまたは属性に基づきます。
- デバイスポスチャ：デバイスのコンプライアンスステータスの状態（デバイスで最新のアンチウイルスソフトウェアが実行されている）。
- ロケーション：ネットワーク上のユーザまたはデバイスの物理的な場所（オフィス、ゲストエリア、リモートアクセス）。
- アクセス時間：アクセス要求が行われる日時または週。
4. セキュリティポリシーの適用：セグメンテーションポリシーは、RADIUSやVLAN割り当てなどの業界標準を利用することで、ネットワークデバイス（スイッチ、ルータ、ファイアウォールなど）全体にセキュリティポリシーを一貫して適用します。これにより、Cisco ISEはネットワークインフラストラクチャデバイスと通信して、必要なセグメンテーションポリシーを適用できます。
Segmentation Policy Serviceの確認とトラブルシューティング
- Work Centers > TrustSec > Overview > Dashboardの順に選択して、セグメンテーションが正しく設定されているかどうかを確認します。
- 次に、Work Centers > TrustSec > Reportsの順に選択し、TrustSec Reportsを選択して、セグメンテーションポリシーサービスのステータスとレポートを確認します。
REST認証サービス
REST認証サービスは、RESTful APIを使用して認証機能を提供します。標準のRESTプロトコルを使用してHTTP(S)経由でISEとやり取りすることで、外部のアプリケーションおよびシステムがユーザまたはデバイスを認証できるようになります。このサービスにより、Cisco ISE認証機能を、ユーザまたはデバイスを認証する必要があるが従来の方法（RADIUSやTACACS+など）を使用できないサードパーティのアプリケーションまたはシステムとシームレスに統合できます。
REST認証サービスの主な機能
- RESTful認証：REST認証サービスは、REST APIプロトコルを介した認証要求を可能にします。これにより、外部システム（アプリケーション、サードパーティのネットワークデバイス、またはサービス）は、認証サーバとしてISEを使用し、RADIUSやTACACS+などの従来の認証プロトコルではなく、RESTful Webサービスコールを介してユーザやデバイスを認証できます。
- 外部アプリケーションとの統合：このサービスは、ユーザまたはデバイスを認証する必要があるが、従来の認証方法（RADIUSやTACACS+など）を使用しない外部アプリケーション向けに設計されています。 代わりに、REST APIを介してISEと対話できます。これにより、ISE認証をWebベースまたはクラウドネイティブアプリケーションに簡単に統合できます。
- 柔軟でスケーラブルな認証：REST Auth Serviceは、ネットワークデバイスやオンプレミスソリューションに限定されない、スケーラブルな認証方法を提供します。ISEにクレデンシャルとポリシーを照会することでユーザ/デバイスを認証する必要があるクラウドサービス、モバイルアプリケーション、およびその他のWebベースのプラットフォームで使用できます。
- 適用が簡単：REST APIは標準化されたインターフェイスを提供します。このインターフェイスは、従来の方法と比べて、最新のソフトウェアおよびアプリケーションへの適用と統合が容易です。JSON形式の応答を提供し、GET、POST、PUT、およびDELETEなどのHTTPメソッドを使用します。これは、認証のためにISEを統合するWeb開発者やシステムにとってアクセスしやすいものです。
Rest認証の検証およびトラブルシューティング
- オープンAPI関連の問題をトラブルシューティングするには、apiserviceコンポーネントをdebugに設定します。
- ERS APIに関連する問題をトラブルシューティングするには、 ersコンポーネントをdebugに設定します。
- APIサービスのGUIページ（https://{iseip}:{port}/api/swagger-ui/index.htmlまたはhttps://{iseip}:9060/ers/sdk）にアクセスできれば、APIサービスが期待どおりに動作していると判断できます。
Cisco APIの詳細については、『APIドキュメント』を参照してください。
SSEコネクタ
SSE Connector(Secure Software-Defined Edge Connector)は、ISEとCisco Secure Software-Defined Access(SD-Access)ソリューションを統合します。SSE Connectorにより、ISEはCisco DNA Centerと安全に通信でき、SD-Access環境でのネットワークポリシー、セグメンテーション、およびエッジセキュリティ管理の自動化が可能になります。
SSEコネクタの主な機能
- サードパーティセキュリティシステムとの統合：SSEコネクタにより、Cisco ISEと、ファイアウォール、侵入防御システム(IPS)、ネットワークアクセスコントロール(NAC)ソリューション、セキュリティ情報およびイベント管理(SIEM)システムなどのサードパーティセキュリティシステムとの統合が容易になります。これらの外部システムは、ISEとの間で安全な方法でデータを送受信でき、これを使用してより動的なポリシーを適用できます。
- リアルタイムの脅威インテリジェンス：SSEコネクタは、ISEと他のセキュリティシステムを接続することで、リアルタイムの脅威インテリジェンスの交換を可能にします。この情報には、疑わしいアクティビティ、侵害されたエンドポイント、他のセキュリティシステムで検出された悪意のある動作などが含まれ、ISEは現在の脅威レベルやデバイスのステータスに基づいてアクセスポリシーを動的に調整できます。
- 自動修復：SSEコネクタによって実現される統合により、自動修復ワークフローをサポートできます。たとえば、システムに外部セキュリティアプライアンスによるセキュリティ侵害のフラグが立てられている場合、ISEはネットワークアクセスをブロックするポリシーを自動的に適用したり、さらなる調査のためにエンドポイントを修復ネットワークセグメントにリダイレクトしたりできます。
SSEコネクタの確認とトラブルシューティング
- SSEコネクタは、ISEでPassiveIDサービスが有効になっている場合にのみ有効になります。
- デバッグのsse-connector (connector.log)コンポーネントは、SSEコネクタに関連するメッセージの詳細を提供します。
Hermes(pxGrid Cloud Agent)
Hermes(pxGrid Cloud Agent)は、クラウド環境におけるISEとpxGrid(Platform Exchange Grid)エコシステムの統合を促進します。Hermesは、ISEとクラウドベースのサービスまたはプラットフォーム間の通信を可能にするために使用されるクラウドベースのエージェントです。さまざまなネットワークおよびセキュリティシステム間でコンテキスト情報を共有するpxGridフレームワークをサポートします。
Hermesの主な機能(pxGrid Cloud Agent)
- クラウドとオンプレミスの統合：Hermes(pxGrid Cloud Agent)は、クラウドベースのサービスとオンプレミスのISEインフラストラクチャをシームレスに統合できるように設計されています。pxGridの機能を従来のオンプレミスネットワーク環境の枠を超えて拡張し、クラウドベースのアプリケーションおよびサービス全体に対して安全なデータ交換とポリシー適用を可能にします。
- pxGridエコシステムサポート：pxGridは、ネットワークセキュリティソリューション間で情報を安全に共有するためのシスコプラットフォームです。HermesはpxGridのクラウドエージェントとして機能し、ISEとさまざまなクラウドベースサービス間のセキュアなリアルタイム通信を可能にします。この統合により、オンプレミス環境とクラウド環境の両方で一貫したネットワークセキュリティポリシーが可能になり、管理が容易になり、セキュリティが強化されます。
- クラウドベースのエンドポイントの可視性：Hermesの主な利点の1つは、ISEがオンプレミスのエンドポイントで可視性を提供するのと同様に、クラウドベースのエンドポイントを可視化できることです。コンプライアンスポスチャ、セキュリティステータス、ID情報など、クラウド内のデバイスとユーザに関するデータを収集できます。これにより、ISEはオンプレミスデバイスなどのクラウドエンドポイントでネットワークアクセスポリシーを適用できます。
- クラウド環境へのISEのシームレスな拡張：Hermesの主な利点の1つは、ISEのオンプレミス環境と、増え続けるクラウドネイティブアプリケーションとの間をシームレスに結び付けることです。これにより、既存のインフラストラクチャを全面的に見直すことなく、ISEセキュリティポリシー、認証方式、アクセスコントロールをクラウドサービスに簡単に拡張できます。
Hermesの検証およびトラブルシューティング(Pxgrid Cloud Agent)
- デフォルトでは、Hermesサービスは無効になっており、クラウドサービスがHermesで有効になっているため、ISEとCisco PxGridを接続します。ISEでHermesサービスが無効になっている場合は、ISE GUI > Administration > DeploymentでPxgrid Cloudオプションが有効になっていることを確認し、ISEノードを選択します。「編集」をクリックし、「Pxgridクラウドを有効化」をクリックします。
2. Pxgridクラウドに関連する問題のトラブルシューティングに役立つデバッグは、hermes.logとpxcloud.logです。 これらのデバッグは、Pxgridクラウドが有効になっているPxgridノードでのみ使用できます。
McTrust（Meraki同期サービス）
McTrust(Meraki Sync Service)を使用すると、Cisco ISEシステムとCisco Merakiシステムを統合して、ネットワークデバイスとアクセスポリシーの同期と管理を行うことができます。McTrustサービスは、MerakiのクラウドマネージドネットワークインフラストラクチャとISEオンプレミスIDおよびポリシー管理システムの間でユーザとデバイスの情報を同期するコネクタとして機能します。
McTrustの主な特長と機能（Meraki同期サービス）
- Merakiデバイスとのシームレスな統合：McTrustにより、ISEはMerakiのクラウド管理型デバイスと同期および統合できます。これには、Merakiのポートフォリオに含まれるMerakiアクセスポイント、スイッチ、セキュリティアプライアンスなどのデバイスが含まれます。ISEがMerakiのインフラストラクチャと直接通信できるようになるため、Merakiが管理するデバイスにネットワークアクセスコントロールポリシーを簡単に適用できます。
- 自動デバイス同期：Meraki同期サービスは、ISEポリシーをMerakiネットワークデバイスと自動的に同期します。ISEのネットワークアクセスコントロールポリシーに対する変更は、手動による介入を必要とせずに、Merakiデバイスに自動的に反映されます。これにより、管理者はMerakiとISEの両方のプラットフォームでネットワークアクセスを簡単に管理できます。
- Meraki管理対象デバイスに対するポリシー適用：McTrustにより、ISEは認証とデバイスポスチャに基づいてMerakiデバイスにネットワークアクセスポリシーを適用できます。アクセスを要求しているデバイスまたはユーザのセキュリティポスチャに応じて、VLAN割り当ての調整、アクセスコントロールリスト(ACL)の適用、特定のネットワークリソースへのアクセス制限などのポリシーをMerakiネットワーク要素に動的に割り当てます。
- Merakiダッシュボードの統合：McTrustはISEをMerakiダッシュボードと直接統合し、統合管理インターフェイスを提供します。この統合により、管理者はMerakiデバイスとISE管理リソースの両方に関するネットワークポリシーとアクセスコントロールルールを、Merakiクラウド管理インターフェイス内で表示および管理できます。
McTrust（Meraki同期サービス）の検証およびトラブルシューティング
- ISE GUI > Work Centers > TrustSec > Integrations > Sync Statusの順に選択してログインします。見つかった問題やエラーを確認します。
- ISEノードのすべての管理証明書がアクティブで有効であることを確認します。
- Meraki同期サービスを使用したデバッグの場合に役立つトラブルシューティングは、meraki-connector.logです。
ISEノードエクスポータ
ISEノードエクスポータは、ISEシステムでパフォーマンスメトリックをISEノード（管理ノード、モニタリングノード、ポリシーサービスノードなど）から監視および収集するために使用されるコンポーネントです。
ISEノードエクスポータの主な機能
- メトリックエクスポート：ISEノードエクスポータは、CPU使用率、メモリ使用率、ディスク使用率、ネットワーク統計情報、システム負荷、その他のオペレーティングシステムレベルのメトリックなど、さまざまなパフォーマンス関連のメトリックを提供します。これらのメトリックは、ISEノードの健全性とパフォーマンスのモニタリングに使用され、Grafanaなどのモニタリングダッシュボードで可視化できます。
- システムヘルスモニタリング：パフォーマンスデータをPrometheusにエクスポートすることで、ISEノードエクスポータはISEノードの健全性と動作ステータスを継続的にモニタリングできます。管理者は、事前定義されたしきい値に基づいてアラートを作成し、パフォーマンスの低下やシステムの問題を通知できます。
- Prometheusの統合：ISE Node Exporterは通常、信頼性と拡張性を目的として設計されたオープンソースの監視および警告ツールキットであるPrometheusと組み合わせて使用されます。Node Exporterは、Prometheusが時系列データを収集および保存するためにスクレイピングできるシステムレベルのメトリックを公開します。
ISE Prometheusサービス
ISE Prometheusサービスは、PrometheusとISEを統合してモニタリングを有効にし、ISEからパフォーマンスメトリックを収集します。Prometheusは、時系列データの収集、保存、分析に使用されるオープン・ソースの監視およびアラート・ツールキットであり、ISE Prometheusサービスにより、ISEは監視目的で内部メトリックをPrometheusに公開できます。
ISE Prometheusサービスの主な機能
- モニタリング用メトリック収集：ISE Prometheusサービスは、ISEに関連するさまざまな運用メトリックおよびパフォーマンスメトリックをエクスポートするように設計されています。これらのメトリックには通常、CPU使用率とシステム負荷、メモリ使用率、ディスク使用率とI/Oパフォーマンス、ネットワーク統計、認証要求統計、ポリシー適用統計、システムの健全性と稼働時間のデータが含まれますが、これらに限定されるわけではありません
- Prometheusの統合：Prometheusにより、ISEはPrometheusと互換性のある形式でデータを公開し、定期的にデータを消去できます。Prometheusは、ISEシステムのトレンドと履歴パフォーマンスを追跡する時系列データベースにデータを保存します。
- Grafanaによる可視化とレポート：ISEのPrometheusサービスは、一般的なオープンソースの可視化ツールであるGrafanaとシームレスに統合されます。メトリックをPrometheusにエクスポートした後、管理者はGrafanaダッシュボードを使用してデータをリアルタイムで視覚化できます。これにより、ISE導入におけるパフォーマンスのボトルネック、システムの傾向、潜在的な問題を簡単に特定できます。
ISE Grafanaサービス
ISE Grafanaは、システムパフォーマンスメトリックを提供し、モニタリングとデータ可視化のためのオープンソースプラットフォームです。Prometheusとの統合により、ISEから収集されたリアルタイムおよび履歴データを表示し、管理者がインタラクティブなダッシュボードを作成して、ISEシステムの健全性、パフォーマンス、使用状況に関する洞察を得られるようにします。
ISE Grafanaサービスの主な機能
- カスタマイズ可能なダッシュボード：Grafanaは高度なカスタマイズが可能なため、管理者はモニタリングニーズに基づいてダッシュボードを作成および変更できます。Prometheusから特定のデータポイントを抽出するためのカスタムクエリを作成できます。これらのクエリは、グラフ、表、ヒートマップなどのさまざまな形式で視覚化できます。
- 分散型ISE導入の集中型モニタリング：複数のISEノードが異なる場所に導入されている分散型ISE導入では、Grafanaは各ノードから収集されたすべてのシステムメトリックの一元化されたビューを提供します。これにより、管理者は単一の場所からISE環境全体のパフォーマンスを監視できます。
- 履歴データとトレンド分析：Grafanaは、Prometheusに保存されたデータを使用して、システムメトリックの履歴分析を可能にし、管理者が時間の経過とともにトレンドを追跡できるようにします。たとえば、管理者は、過去1か月間にCPU使用率がどのように変化したか、または認証成功率がどのように変動したかを監視できます。この履歴データは、キャパシティプランニング、傾向分析、および長期的な問題の特定に役立ちます。
ISE Grafanaサービス、ISE Prometheusサービス、ISEノードエクスポータの確認とトラブルシューティング
- ISE Grafanaサービス、ISE Prometheusサービス、およびISEノードエクスポータサービスは連携して動作し、Grafanaスタックサービスと呼ばれます。これらのサービスのトラブルシューティングを有効にする特定のデバッグはありません。ただし、これらのコマンドはトラブルシューティングに役立ちます。
- show logging application ise-prometheus/prometheus.log（登録ユーザ専用）
- show logging application ise-node-exporter/node-exporter.log（登録ユーザ専用）
- show logging application ise-grafana/grafana.log（登録ユーザ専用）
注：モニタリングを有効にした場合、ISE Node Exporter、ISE Prometheus Service、およびISE Grafana Serviceを実行する必要があります。これらのサービスが中断されると、データ収集時に問題が発生します。
ISE MNT LogAnalytics Elasticsearch
ISE MNT LogAnalytics Elasticsearchは、ElasticsearchとISEモニタリングおよびトラブルシューティング(MNT)機能を統合するコンポーネントです。ISEログおよびイベントに関連するログの集約、検索、分析に使用されます。Elasticsearchは、広く使用されている分散型検索および分析エンジンであり、ISEと統合すると、ISEコンポーネントによって生成されたログデータを保存、分析、および可視化するシステムが強化されます。
ISE MNT LogAnalytics Elasticsearchの主な機能
- ログの保存とインデックス作成：ISEのElasticsearchサービスは、ISEによって生成されたログデータの保存とインデックス作成を行います。Elasticsearchは分散型検索および分析エンジンです。ISEログを保存できるため、特定のイベント、エラー、またはシステムアクティビティを迅速に検索、照会、取得できます。
- ログ分析との統合：ISE MNT LogAnalytics Elasticsearchはログ分析と連携して、包括的なロギングソリューションを提供します。これにより、ISEは認証、ポリシーの適用、システム操作、およびその他のアクティビティに関連するログデータを収集できます。このデータはElasticsearchに保存され、ISEの動作に関する詳細な分析と洞察を提供します。
- 一元化されたロギング：ISEはElasticsearchと統合することで、一元化されたロギングソリューションを提供します。これは、分散されたログ収集を必要とする環境にとって重要です。これにより、管理者は単一の統合インターフェイスで複数のISEノードのログを表示および分析でき、ISEのパフォーマンスのトラブルシューティングとモニタリングが容易になります。
- ログ分析とトラブルシューティング：ISE MNT LogAnalytics Elasticsearchサービスは、管理者がシステムの動作を分析し、ログデータに簡単にアクセスできるように問題をトラブルシューティングするのに役立ちます。認証の失敗が突然急増したり、予期しないシステム停止が発生した場合は、Elasticsearchでログデータを迅速に照会して根本原因を特定できます。
ISE M&T LogAnalytics Elasticsearchの検証およびトラブルシューティング
- ISEのログ分析サービスを無効にして再度有効にすることが役立ちます。Operations > System 360 > Settings > Log analyticsの順に移動します（トグルオプションを使用して無効化および有効化します）。
- この問題を解決するには、ISEルートからM&T LogAnalyticsを再起動します。この操作を完了するには、Cisco TACにお問い合わせください。
既知の不具合:Cisco Bug ID ・66198
ISE Logstashサービス
ISE Logstashサービスは、オープンソースのデータ処理パイプラインであるLogstashとISEを統合し、ログの収集、変換、転送を行います。ISEログを構造化された形式で処理し、分析、ストレージ、およびモニタリングのために中央集中型のロギングシステムに送信します。
ISE Logstashサービスの主な機能
- ログ収集と転送：ISE Logstash Serviceは、さまざまなISEコンポーネント（認証ログ、システムログ、ポリシー適用ログなど）からログデータを収集し、中央の場所（通常はElasticsearchまたはその他のログ管理システム）に転送してストレージと分析を行います。
- ログの解析： Logstashは、収集されたログを構造化された形式に解析できます。未加工のログデータを処理して有用な情報を抽出し、ログエントリをクエリと分析が容易な形式に変換します。これには、Elasticsearchまたは他のシステムに転送する前のデータのフィルタリング、解析、および強化が含まれます。
ISE Logstashサービスの検証およびトラブルシューティング
- 有効にする特定のデバッグはありません。ただし、show logging application ise-logstash/logstash.logコマンドを実行すると、サービスの状態に関する情報が得られます。
- ISEでログ分析サービスを無効にし、再度有効にすると役立ちます。Operations > System 360 > Settings > Log Analyticsの順に移動します（トグルオプションを使用して無効化と再有効化を行います）。
Logstashに関連する既知の不具合:
ISE Kibanaサービス
ISE Kibana Serviceは、ISEロギングおよびモニタリングを備えたオープンソースのデータ仮想化ツールです。Kibanaは、ログデータの保存とインデックス作成を行うElasticsearchと連携し、ISEログとパフォーマンスメトリックを可視化、検索、分析する強力なプラットフォームです。
ISE Kibanaサービスの主な特長と機能
- データの可視化：ISE Kibanaを使用すると、管理者はISEから収集されたログデータを視覚的に表現できます。これには次のものが含まれます。
- 認証、ポリシーの適用、ユーザアクティビティ、およびシステム状態の傾向を示すグラフ、グラフ、および表。
- 円グラフ、折れ線グラフ、棒グラフを使用して、失敗したログイン数、セッション期間、エラーの推移など、特定のメトリックを追跡できます。
ISE Kibanaサービスの確認とトラブルシューティング
- ISE Kibanaサービスが実行されていない場合は、ISEでログ分析を無効にしてから再度有効にします。次に、Operations > System 360 > Settings, Log Analyticsの順に移動します（トグルオプションを使用して無効化と再有効化を行います）。
- 多くのシナリオでは、 /etc/hostsフォルダ内に重複するエントリがあり、それが問題の原因になっている可能性があります。重複したエントリを削除するには、TACにお問い合わせください。
Kibana問題に関連する既知の不具合:
注：ログ分析を有効にすると、ISE MNT LogAnalytics Elasticsearch、ISE Logstash Service、およびISE Kibana Serviceが実行されている必要があります。これらのサービスが中断されると、データ収集時に問題が発生します。
ISEネイティブIPSecサービス
ISEネイティブIPSecサービスは、IPSec（インターネットプロトコルセキュリティ）の組み込みサポートを参照します。このサービスは、ISEノード間、またはISEとその他のネットワークデバイス間でセキュアな通信を提供します。IPSecは、通信セッション内の各IPパケットを認証および暗号化することでネットワーク通信を保護するために使用されるプロトコルスイートです。ネイティブIPSecサービスは、より広範なセキュリティおよびネットワークアクセス管理フレームワークの一部です。IPSec VPN接続を処理および管理する機能を提供し、ISEシステムとリモートエンドポイント間で転送されるデータの安全性を確保します。これには、クライアントデバイス、ネットワークアクセスデバイス（ルータやファイアウォールなど）、または機密情報を保護するためにIPSec暗号化とトンネリングが必要なその他のISEノードとのインタラクションが含まれます。
ISEネイティブIPSecサービスの主な機能
- IPSecによるセキュア通信：ISEネイティブIPSecサービスの主な機能は、IPSecを使用して通信チャネルを維持および保護することです。これには、暗号化および認証メカニズムを使用して、ISEと他のデバイス間のデータ伝送を保証し、傍受、改ざん、不正アクセスから保護することが含まれます。
- IPSec VPN接続：ISEネイティブIPSecサービスは、IPSecプロトコルを使用するVPN接続を容易にし、データ伝送用の安全で暗号化されたトンネルを提供します。これは、リモートワーカー、ブランチオフィス、またはその他の場所から、従来のインターネットアクセスのような信頼できないネットワーク経由でISE環境に安全にアクセスする場合に役立ちます。
- リモートアクセスVPNのサポート：ネイティブIPSecサービスは、リモートアクセスVPN設定に含めることができます。この設定では、オフサイトにいるユーザまたはデバイス（リモート従業員やブランチオフィスなど）がIPSecトンネルを介してISEシステムに安全に接続します。このサービスは、ISE環境に到達する前に、すべてのリモートアクセストラフィックが暗号化および認証されることを保証します。
- IPsec VPNクライアントの互換性：ISEネイティブIPSecサービスにより、IPsec VPNクライアントとの互換性が確保されます。一般的なクライアント設定をサポートしているため、機密データをリスクにさらすことなく、デバイスを安全にネットワークに接続できます。
ネイティブIPSecサービスの確認とトラブルシューティング
- ネイティブIPSecサービスに対して有効にする特定のデバッグはありません。ISE CLIを使用して、show logging application strongswan/charon.log tailコマンドを実行しているログを確認します。
- トンネルに問題が見られた場合は、GUI > Administration > System > Settings > Protocols > IPSec > Native IPSecを使用して、トンネル確立のステータスを確認します。
MFCプロファイラ
MFCプロファイラは、ネットワークデバイスとエンドポイントのプロファイリングに使用される特殊なコンポーネントです。プロファイリングは、ISEがネットワーク上のデバイスを識別し、分類し、デバイスのタイプと動作に基づいて適切なネットワークポリシーを適用できるため、ネットワークアクセス制御の重要な部分です。
ISEのMFCプロファイラサービスの主な機能
- トラフィックプロファイリング：ISEのMFCプロファイラサービスは、トラフィックデータを収集してプロファイリングします。使用されるアプリケーションのタイプ、アクセスされるサービス、デバイスが示すトラフィックパターンなど、エンドポイントがネットワーク上でどのように動作するかを監視します。このデータは、各エンドポイントのプロファイルの作成に役立ちます。
- エンドポイントプロファイリング：MFCプロファイラサービスを使用すると、ISEは動作に基づいてエンドポイントを特定および分類できます。トラフィックパターンに基づいて、エンドポイントがプリンタ、コンピュータ、モバイルデバイスのいずれであるかを検出します。これにより、さまざまな種類のデバイスに特定のポリシーを適用し、セキュリティと運用効率を向上させることができます。
MFCプロファイラサービスの検証およびトラブルシューティング
- ISE GUI > Administration > Profiling > MFC Profiling and AI Rulesの順に移動します。 サービスが有効になっているかどうかを確認します。
- サービスが有効であるが、ISE CLIのshow application status iseコマンドで無効/非実行と表示される場合。 前の手順を参照して、ISEのMFCプロファイリングサービスを無効にしてから再度有効にします。
- デバッグの便利なトラブルシューティング手順については、デバッグのMFCプロファイラコンポーネントを参照してください。ログは、サポートバンドルから確認するか、ISE CLIからshow logging application ise-pi-profiler.log tailコマンドを実行してログを追跡できます。
MFCプロファイラの既知の不具合が、無効な状態ではなく、実行されていないことが示されます。
ISE 3.4に含まれるサービス
MFA(Duo Sync Service)
Cisco Identity Services Engine(ISE)3.4では、Duo Sync Serviceにより、外部のDuo認証プロキシを必要とせずに、Duo Multi-Factor Authentication(MFA)をシームレスに統合できます。このネイティブ統合により、VPNおよびTACACS+認証ワークフローのセキュリティが強化されます。
ISEにおけるMFA(Duo Sync Service)の主な特長と機能
- ネイティブDuo統合（Duoプロキシ不要）:Cisco ISE 3.4は、Duo認証プロキシを個別に導入および管理することなく、Duoとの直接統合をサポートします。これにより、導入が簡素化され、インフラストラクチャの複雑さが軽減されます。
- DuoとのID同期：ISE 3.4には、Active DirectoryからDuoへの自動ユーザ同期を可能にするDuo Sync Serviceが含まれており、Duoに手動でユーザを追加する必要はありません。同期はISE経由で処理されるため、必要ありません。
MFA(Duo Sync Service)の確認とトラブルシューティング
- デフォルトでは、MFA Duo Syncサービスは無効になっています。このサービスを有効にするには、Administration > Identity Management > Settings > External Identity Source Settings > Toggle MFAの順に選択します。
- サービスが有効であるが、ISE CLIのshow application status iseコマンドで無効/非実行と表示される場合。 前述の手順を参照して、ISEのMFA Duo Syncサービスを無効にしてから再度有効にします。
- デバッグの便利なトラブルシューティング手順は、デバッグのise-duoコマンドコンポーネントを実行することです。ログは、サポートバンドルから確認するか、ISE CLIからshow logging application ise-duo.log tailコマンドを実行してログを追跡します。
Aciconn（ACI接続サービス）
ACIconn(ACI Connector)サービスは、Cisco ISEとシスコアプリケーションセントリックインフラストラクチャ(ACI)の統合を担当します。 この統合により、ISEはエンドポイントのIDとポスチャ情報をCisco ACIと動的に共有し、ソフトウェア定義のセグメンテーションとポリシー適用を実現します。
ISEのAction Serviceの主な機能
- ACIとのコンテキスト共有：ACIconnは、Cisco APICとユーザID、認証ステータス、ポスチャ、セッションの詳細を共有します。ISEデータに基づいて、コンテキスト認識型のマイクロセグメンテーションとポリシー決定が可能になります。
- 動的なエンドポイントとEPGのマッピング：ISEで認証されたユーザ/デバイスをCisco ACIのエンドポイントグループ(EPG)に自動的にマッピングします。データセンター内でIDベースのセグメンテーションを有効にします。
- 双方向通信：ISEはアップデートをACIに送信でき、ACIはエンドポイントのステータスについてISEに問い合せることができるため、リアルタイムのアクセスコントロールとセグメンテーションの変更が可能になります。
アクションの確認とトラブルシューティング
- デフォルトでは、Aciconnサービスは無効になっています。このサービスを有効にするには、Workcenters > TrustSec > Settings -> ACI Settings > Enable ACI Integrationの順に選択し、接続を確立するために必要な詳細情報を入力します。
- サービスが有効であるが、ISE CLIのshow application status iseコマンドで無効/非実行と表示される場合。 前述の手順を参照して、ISEでACI統合サービスを無効にしてから再度有効にします。
- デバッグの便利なトラブルシューティング手順は、デバッグのACIコネクタコンポーネントを確認します。ログは、サポートバンドルから確認するか、ISE CLIからshow logging application aciconn.log tail & show logging application workloads.log tailコマンドを実行してログの末尾を表示します。
ISE Prometheusエクスポータ
ISE Prometheusエクスポータは、Cisco ISEメトリックを、一般的なオープンソースの監視および警告システムであるPrometheusと互換性のある形式でエクスポートするバックグラウンドサービスです。これにより、PrometheusやGrafanaなどのサードパーティ製モニタリングツールで、ダッシュボード、アラート、およびパフォーマンス分析用のISEメトリックを取り込むことができます。
ISEでのISE Prometheusサービスの主な機能
- 標準化されたメトリックのエクスポート：Cisco ISEのパフォーマンス、使用状況、および健全性のメトリックをPrometheusにエクスポートし、互換性のある形式で一貫した構造化されたモニタリングデータを使用できるようにします。
- サードパーティ製モニタリングの統合：Prometheus、Grafanaなどのモニタリングツールとシームレスに統合できます。
- アラートとレポートのサポート：メトリックを使用して、Prometheusまたは統合アラートプラットフォームでアラートを定義できます。時間の経過に伴う傾向や異常の特定に役立ちます。
ISE Prometheusエクスポータの確認とトラブルシューティング
- ISE Prometheusエクスポータは、ISEではデフォルトで有効になっています。サービスが実行されていない場合は、application stop iseコマンドおよびapplication start iseコマンドを実行してサービスを再起動します。
- デバッグの便利なトラブルシューティング手順については、デバッグのPrometheusコンポーネントを確認してください。ログは、サポートバンドルから確認するか、ISE CLIからshow logging application prometheus.log tailコマンドを実行してログを追跡できます。
3. ノードに高いリソース使用率のインスタンスがあるかどうかを確認します。これは、ISE Prometheusのパフォーマンスに影響を与えます。
ISE Prometheusアラートマネージャ
ISEのISE Prometheus Alert Managerは、Prometheusエクスポータサービスによってエクスポートされたメトリックに基づいてアラートを管理します。収集されたテレメトリデータを処理し、特定のしきい値または条件が満たされたときにアラームまたは通知をトリガーします。
ISEのISE Prometheus Alert Managerサービスの主な機能
- アラート処理：ISEメトリックを監視し、CPU使用率の上昇、メモリ、認証障害などの異常やしきい値違反を検出します。
- Prometheusエクスポータと連携：データに基づいてメトリックエクスポータを補完し、予防的な健全性管理を可能にします。
- 通知統合：アラートを電子メール、SNMPトラップ、またはその他のモニタリングシステムなどの外部ツールまたはダッシュボードに転送します。
ISE Prometheus Alert Managerの検証およびトラブルシューティング
- ISE Prometheusエクスポータは、ISEではデフォルトで有効になっています。サービスが実行されていない場合は、application stop iseコマンドおよびapplication start iseコマンドを実行してサービスを再起動します。
- デバッグの便利なトラブルシューティング手順については、デバッグのalertmanagerコンポーネントを確認してください。ログは、サポートバンドルから確認するか、ISE CLIからshow logging application alertmanager.log tailコマンドを実行してログを追跡できます。
- ISE Prometheusのパフォーマンスに影響を与えるため、ノードに高いリソース使用率のインスタンスがあるかどうかを確認します。
プロトコルエンジン
Protocols Engineは、RADIUS、TACACS+、Diameter、およびISEでサポートされるその他の認証およびアカウンティングプロトコルなどのネットワークプロトコルの相互作用を管理および処理するISEサービス/モジュールです。プロトコルエンジンが期待どおりに実行されていないと、ISEは認証要求を処理できず、ネットワークアクセスポリシーを適用できません。ネットワークデバイスとISEサーバの間の安全で信頼性の高い通信を保証する。
ISEのプロトコルエンジンサービスの主な機能
- Radius処理：ネットワークデバイスからの認証、許可、アカウンティング(AAA)要求を処理します。
- TACACS+処理：TACACS+、認証、およびデバイス管理用のコマンド許可を管理します。
- プロトコルの解析と検証：着信プロトコルパケットを解析し、正確性を検証します。
プロトコルエンジンの確認とトラブルシューティング
- ISEでは、ISEプロトコルエンジンがデフォルトで有効になっています。サービスが実行されていない場合は、application stop iseコマンドおよびapplication start iseコマンドを実行してサービスを再起動します。
2. デバッグの便利なトラブルシューティング手順は、デバッグでProtocolsEngine-AAA、ProtocolsEngine-config、ProtocolsEngine-GRPC、およびProtocolsEngine-loggingコンポーネントを確認することです。ログは、サポートバンドルから確認するか、ISE CLIからshow logging application protocols-engine.log tailコマンドを実行してログを追跡できます。
ISE 3.5に含まれるサービス
リモートサポート認証サービス
Remote Support Authorization Service(RRAS)は、Cisco Technical Assistance Center(TAC)のリモートサポートセッションの許可を安全に管理するISEサービスです。設定されたサポートポリシーに基づいてリモートサポートアクセスが許可されているかどうかを検証し、承認されたリモートトラブルシューティングセッションだけを確立できるようにします。このサービスは、リモートサポートが有効な場合にCisco TACエンジニアがトラブルシューティングを支援できるようにしながら、安全な管理アクセスを維持するのに役立ちます。
ISEのリモートサポート許可サービスの主な機能
- リモートサポートの許可：Cisco TACリモートサポートセッションを検証し、許可します。
- セキュアなアクセス制御：リモートアクセスは、リモートサポートが明示的に有効化および許可された場合にのみ許可されます。
- Support Session Management:ISEノードとシスコのリモートサポートインフラストラクチャ間の認証要求を調整します。
ISEでの確認とリモートサポート許可サービス
リモートサポート認証サービスは、リモートサポート機能が使用可能な場合にデフォルトで有効になります。サービスが実行されていない場合は、application stop iseコマンドおよびapplication start iseコマンドを実行してサービスを再起動します。
- デバッグの便利なトラブルシューティング手順には、デバッグモードのRemoteSupportAuthorization-config、RemoteSupportAuthorization-service、およびRemoteSupportAuthorization-loggingコンポーネントが含まれます。ログは、サポートバンドルから確認するか、CLIのshow logging application remote-support-authorization.log tailコマンドを実行して表示できます。
ISE Prometheous Alert Managerサービス
ISE Prometheus Alertmanager Serviceは、Prometheusから生成されたアラートを管理し、メトリックはCisco ISE内で収集されます。Prometheusモニタリングサービスからアラートを受信し、重複するアラートをグループ化して抑制し、設定された宛先に通知を転送します。このサービスにより、管理者はISEの運用状態を監視し、インフラストラクチャまたはアプリケーションの問題にプロアクティブに対応できます。
ISEのISE Prometheus Alert Managerサービスの主な機能
- アラート処理：Prometheusメトリックから生成されたアラートを受信します。
- アラートのグループ化と重複排除：同様のアラートをグループ化し、重複する通知を抑制して、アラートのノイズを軽減します。
- 通知管理：アラートポリシーに基づいて、アラートを設定済みの通知チャネルにルーティングします。
ISEでのISE Prometheous Alert Managerサービスの確認
ISE Prometheus Alert Manager Serviceは、モニタリングフレームワークの一部としてデフォルトで有効になっています。サービスが実行されていない場合は、application stop iseおよびapplication start iseを実行してサービスを再起動します。
デバッグの便利なトラブルシューティング手順には、デバッグモードでのAlertmanager-config、Alertmanager-service、およびAlertmanager-loggingコンポーネントがあります。ログは、サポートバンドルから確認するか、CLIのshow logging application alertmanager.log tailコマンドを実行して表示できます。
ISE DataGridサービス
ISE Data Grid Serviceは、Cisco ISEノード間で分散インメモリデータストレージと同期を提供します。複数のISEサービスが、セッションデータ、エンドポイント情報、キャッシュ、運用状態などのランタイム情報をノード間で安全に共有できるようになります。Data Grid Serviceは、サービスがプライマリデータベースだけに依存せずに共有データにアクセスできるようにすることで、スケーラビリティ、パフォーマンス、および高可用性を向上させます。
ISEでのISE DataGridサービスの主な機能
- 分散データストレージ：すべてのISEノードで共有インメモリデータを維持します。
- セッションとキャッシュの同期：ランタイム情報、エンドポイントデータ、およびサービスキャッシュをノード間で同期します。
- ハイアベイラビリティサポート：導入環境全体で復元力のあるデータ共有を実現することで、分散サービスの効率的な運用を継続できます。
ISEでのISE DataGridサービスの確認
- ISE Data Gridサービスはデフォルトで有効になっています。サービスが実行されていない場合は、application stop iseコマンドおよびapplication start iseコマンドを実行してサービスを再起動します。
- デバッグの便利なトラブルシューティング手順には、デバッグモードでのDataGrid-cluster、DataGrid-cache、DataGrid-config、およびDataGrid-loggingコンポーネントが含まれます。ログは、サポートバンドルから確認するか、CLIのshow logging application datagrid.log tailコマンドを実行して表示できます。
ISEの標準的な懸念事項
ISEサービスの問題とは別に、ISEノードで見られる問題と、基本的なトラブルシューティング手順を次に示します。
高負荷平均、リソース使用率の問題（CPU/メモリ/ディスク）、リソース不足の検証
1. ISE CLIからshow inventoryコマンドを実行して、シスコの推奨リソースがノードに割り当てられていることを確認します。
2. ISEノードのCLIからtech topコマンドを実行して、ISEのリソース使用率を確認します。
3. ISE CLIでshow diskコマンドを実行して、ディスク使用率を確認します。
4. 非アクティブなエンドポイントを消去し、ノードのローカルディスクを消去し、アップグレードのクリーンアップを実行します。
問題が解決しない場合は、Cisco TACに連絡し、問題が発生したノードのセキュアなサポートバンドル、ヒープダンプ、スレッドダンプを提供してください。
- ヒープダンプを保護するには、CLI ISEノードにログインし、application configure iseコマンドを実行します。オプション 22 を選択してください。
- スレッドダンプを保護するには、CLI ISEノードにログインし、application configure iseコマンドを実行します。オプション 23 を選択してください。スレッドダンプはサポートバンドルに含まれています。また、show logging application appserver/cataline.outコマンドを実行して、ISE CLIから取得することもできます。\
モニタリングの問題の確認とトラブルシューティング
ISEのモニタリングとトラブルシューティング(MnT)機能は、ISEアーキテクチャの主要なブロックの1つであり、モニタリング、レポート、およびアラート機能を提供します。 ISEは、次を含む多くの場所でモニタリング情報を表示します。
- Cisco ISEホームページ
- コンテキスト表示ビュー
- RADIUSライブログとライブセッション
- グローバル検索
- 脅威中心型NACライブログ
- TACACSライブログ
監視とトラブルシューティングのカテゴリで見られる一般的な問題：
- Radius/TACACSライブログが使用できない
- ライブセッションは利用できません
- 正常性の概要を利用できません
- （MnTノード）で見られるパフォーマンス（高いCPU/メモリ）の問題
問題を絞り込むためにMnTノードでイネーブルにするデバッグ：
- Cisco-mnt
- コレクタ
- Cpm-mnt
- ランタイムロギング
デバッグのコンポーネントに加えて、この情報はトラブルシューティングに役立ちます。
- ライブセッションも影響を受けるか、ライブログのみか。
- RadiusログまたはTACACSログのどちらか、あるいは両方が影響を受けますか。
- MnTノードで高いCPU使用率または高いスワップ領域使用率が発生していますか。
- MnTノード上にバッファファイルがいくつ表示されますか。バッファファイルは/opt/CSCOcpm/mnt/data/collectorにあります。
- メモリとCPUの予約は有効になっていますか。有効になっていない場合は、有効にしてください。
- MnT/config/session DBのリセットは、最近または過去に実行されましたか。
- SyslogはPSNからMnTノードに送信されていますか。
MnTのSyslogサービスを使用している場合、トラブルシューティングには次の情報が必要です。
- セキュリティ保護されたsyslogターゲットを使用していますか。使用していない場合は、無効にします。これは、スレッドにデッドロックが発生し、コレクタが機能しなくなる原因となることが判明しているためです。
- セキュアなsyslogターゲットを使用していますか。Administration > Logging > Remote Logging Targets > Secure Syslog Collector 1および2で、証明書マッピングが正しく設定されていることを確認してください
- ロギングカテゴリが適切に設定されているかどうか（未使用または不要なロギングカテゴリを削除することが推奨されるため、MnTノードの負荷が軽減されます）、およびロギングターゲットが正しく設定されているかどうかを確認します。
- サポートバンドルのawrrep*.htmlファイルを確認すると、どのコンポーネントがより頻繁にsyslogを送信しているかが分かります。たとえば、TACACSテーブルが挿入クエリまたは更新クエリで表示される場合、TACはコレクタログをチェックして、どのsyslogがより頻繁に送信されているかを関連付け、理解することができます。
MnTノードのパフォーマンスに関連する問題の場合、TACでは次の情報が必要です。
- MnTノードのISE CLIからのtech top出力。
- CPU使用率が高い場合、メモリ使用率が高いか、またはスワップ領域使用率が高いか。
- ヒープダンプとスレッドダンプを保護したサポートバンドル。
参考
- Cisco Identity Services Engine 管理ガイド リリース 3.3
- Cisco Identity Services Engine 管理ガイド リリース 3.4
- ISEでのデバッグのトラブルシューティングと有効化
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
06-Aug-2026
|
スペル、文法、代替テキスト、CCWアラート、セクションを区切る水平線の挿入、読みやすさの改善。 |
1.0 |
26-Mar-2025
|
初版 |
フィードバック