• Windows Server 2008 には次のパッチが必要です。

  • http://support.microsoft.com/kb/958124

    このパッチは Microsoft の WMI のメモリリークを修正し、ISE がドメインコントローラとの正常な接続を確立できないようにします。

  • http://support.microsoft.com/kb/973995

    このパッチは、Microsoft WMI の別のメモリ リークを解消します。このメモリ リークは、Active Directory ドメイン コントローラが必要なユーザー ログイン イベントをドメイン コントローラのセキュリティ ログに書き込むのを散発的に妨げます。

• Windows Server 2008 R2 では、（SP1 がインストールされていない場合）次のパッチが必要です。

  • http://support.microsoft.com/kb/981314

    このパッチは、Microsoft WMI のメモリ リークを解消します。このメモリ リークは、Active Directory ドメイン コントローラが必要なユーザー ログイン イベントをドメイン コントローラのセキュリティ ログに書き込むのを散発的に妨げます。

  • http://support.microsoft.com/kb/2617858

    このパッチは、Windows Server 2008 R2 での予期しない起動やログイン プロセスの遅れを解消します。

• Windows プラットフォームの WMI 関連問題には、次のリンクにリストされているパッチが必要です。

  • http://support.microsoft.com/kb/2591403

  これらのホット フィックスは、WMI サービスおよび関連コンポーネントの動作と機能に関連付けられます。

[監査ポリシー（Audit Policy ）]の設定（[グループポリシー管理（Group Policy Management）] の設定の一部）が、正常なログインによって Windows セキュリティログに必要なイベントが生成されるように設定されていることを確認します（これはデフォルトの Windows 設定ですが、この設定が適切であることを明示的に確認する必要があります）。

• Active Directory ユーザーが Domain Admin グループのメンバーである場合に必要な権限

• Active Directory ユーザーが Domain Admin グループのメンバーでない場合に必要な権限

ファイアウォールをオフにするか、または次のポートへの特定の IP（ISE-PIC IP アドレス）のアクセスを許可することができます。

• TCP 135：一般的な RPC ポート。非同期 RPC 発信をすると、このポートでリスニングしているサービスが、クライアントに、この要求を処理できるコンポーネントが使用しているポートを通知します。

• UDP 137：NetBIOS 名前解決

• UDP 138：NetBIOS データグラム サービス

• TCP 139：NetBIOS セッション サービス

• TCP 445：SMB

数値の大きいポートは動的に割り当てられ、手動で設定できます。ターゲットとして %SystemRoot%\System32\dllhost.exe を追加することを推奨します。このプログラムは、ポートを動的に管理します。

すべてのファイアウォール ルールを、特定の IP アドレス（ISE-PIC IP）に割り当てることができます。

グループ ポリシー管理エディターが表示されます。

• Windows Server 2003 または Windows Server 2008（R2 以外）の場合は [ローカルポリシー（Local Policies）] > [監査ポリシー（Audit Policy）] の順に選択します。2 つのポリシー項目（[Audit Account Logon Events] と [Audit Logon Events]）で、対応する [Policy Setting] に [Success] 状態が直接的または間接的に含まれていることを確認します。[Success] 状況を間接的に含めるには、[Policy Setting] に [Not Defined] を設定します。この場合、上位ドメインから有効値が継承されるため、[Success] 状態を明示的に含めるようにその上位ドメインの [Policy Setting] を設定する必要があります。

• Windows Server 2008 R2 および Windows 2012 の場合、[Advanced Audit Policy Configuration] > [Audit Policies] > [Account Logon] を選択します。2 つのポリシー項目（[Audit Kerberos Authentication Service] と [Audit Kerberos Service Ticket Operations]）に対応する [Policy Setting] に、前述のように [Success] 状態が直接または間接的に含まれていることを確認します。

  （注）	Active Directory ドメイン コントローラの設定で RC4 暗号が無効になっている場合を除き、Cisco ISE は Active Directory との通信に Kerberos プロトコルで RC4 暗号を使用します。Active Directory で [ネットワークセキュリティ：Kerberosで許可される暗号タイプを設定（Network Security: Configure Encryption Types Allowed for Kerberos）] オプションを使用すると、Kerberos プロトコルで許可される暗号タイプを設定できます。

wmic useraccount get name,sid 

特定のユーザー名とドメインに対して、次のコマンドを使用することもできます。

wmic useraccount where name=“iseUser” get domain,name,sid

たとえば、ise_agent アカウント（SID：S-1-5-21-1742827456-3351963980-3809373604-1107）への読み取りアクセスを許可するには、「(A;;0x1;;;S-1-5-21-1742827456-3351963980-3809373604-1107)」と入力します。