各展開タイプにおけるアクティブなエンドポイントの最大スケール数、個々の PSN ノードでサポートされるスケール、およびこのセクションで説明するその他の関連要因を考慮することで、適切な Cisco ISE 展開を選択できます。

一意の MAC アドレスを持つエンドポイントは、1 つのアクティブなセッションとしてカウントされます。同時アクティブセッションは、Dot1x、MAB、ゲスト、BYOD、およびポスチャを含むすべてのタイプのセッションでサポートされています。

以下の表に示されているアクティブセッションの最大数は、次の条件下で実行されたテストによって決定されました。

• Cisco ISE 展開は、同じリージョンに展開された単一のデータセンターで形成され、ISE ノード間通信が低遅延（5 ミリ秒未満）であり、Dot1x 認証およびアカウンティングイベントが 1 日あたり 2 〜 4 回の繰り返しの範囲でエンドポイントによって生成されます。

• セッションの大部分は、ローカル ID プロバイダーで認証する RADIUS プロトコルを使用しています。

Cisco ISE 展開のスケール

次の表は、PAN、MnT、または PAN/MnT として機能するさまざまな SNS アプライアンスを使用する展開での最大同時アクティブセッション数を示します。

（注）

Cisco SNS 3815、Cisco SNS 3855、および Cisco SNS 3895 は、Cisco ISE 3.3 パッチ 7 以降でサポートされています。 Cisco SNS 3595 は、Cisco ISE 3.2 以前のリリースでのみサポートされています。 RADIUS のみまたは TACACS+ のみのワークロードには、PAN/MnT として機能する 32 GB メモリインスタンス（Cisco SNS 3615 または Cisco SNS 3715）を使用する小規模または中規模の展開を推奨します。RADIUS と TACACS+ の両方が必要な大規模な展開の場合は、Cisco SNS 3655 以降のモデルなど、より多くのリソースを持つ Cisco ISE ノードを使用してください。AI/ML プロファイリング、Cisco ACI 統合、ワークロードコネクタ、システム 360（モニタリングとログ分析）などの高度な機能には、より多くのリソースが必要です。最適なパフォーマンスを得るために、Cisco SNS 3815、3655、3755、3855、3695、3795、または 3895 でのみこれらの機能を有効にしてください。

ポリシーサービスノードのスケール

*Cisco SNS 3795 および Cisco SNS 3895 にはより多くの RAM が搭載され、ディスクの読み取り/書き込みパフォーマンスが向上しています。これらのモデルは、専用 PAN、専用 MnT、または PAN/MnT ペルソナに最適であり、専用 PSN として展開しても付加価値はありません。

（注）	SNS 3595 は、Cisco ISE リリース 3.2 以前のバージョンでサポートされています。

展開を選択する際は、次の点を考慮してください。

• 最大 50,000 の同時アクティブセッションの小規模展開、および最大 150,000 の同時アクティブセッションの中規模展開を選択できます。

• 同時アクティブセッションが 150,000 を超える展開には、大規模な展開が必要です。大規模展開では、MnT ノードを専用 MnT ノードとして登録してください。

• パフォーマンスの影響を受けやすい負荷の場合は、ワークロードと ID プロバイダー（AD、LDAP など）の近くに PSN を展開してください。

• 類似のワークロード（RADIUS Dot1x、ゲスト、BYOD、TACACS+ など）の PSN をグループ化し、ロードバランサを介してトラフィックを分散してください。

• パフォーマンスを向上させるために、ロードバランサで Calling-Station-ID（MAC）ベースのスティッキ性を設定してください。

• ポスチャサービス、ゲストサービス、MDM など、URL リダイレクトが必要なサービスを使用する場合は、ノードグループに PSN を設定してください。

• 複数のデータセンターを設けて、データセンターごとに PSN をグループ化してください。NAS デバイスに RADIUS（プライマリ、セカンダリ、ターシャリ）フェールオーバーを設定してください。たとえば、プライマリデータセンター（DC-A）に障害が発生した場合、50% の NAD がセカンダリデータセンター（DC-B）にフェールオーバーし、残りの NAD がターシャリデータセンター（DC-C）にフェールオーバーできます。

• PSN グループ内に N+1 または N+2 の冗長性を実装してください。

• ISE 操作の遅延を回避するために、ゲストおよび非アクティブなエンドポイントを定期的に消去してください。

• 各展開に関する最大同時アクティブセッション値は、dot1x 認証を 1 日に最大 4 回生成する接続デバイスに適用されます。

• エンドポイントが繰り返し認証イベントおよびアカウンティングイベントを生成する展開の場合、大量のトラフィックが発生するシナリオ（多数のユーザーからの同時ログインイベント、ある場所から別の場所にローミングする Wi-Fi ユーザーなど）を処理するために PSN グループにより多くの PSN が必要となります。

• PSN ノードのバリエーションには、TACACS+ PSN、TC-NAC PSN、ゲスト PSN（GPSN）、Cisco TrustSec PSN、Security Group eXchange Protocol PSN、および PassiveID PSN があります。パフォーマンスを向上させるために、TACACS+、RADIUS、ゲスト、BYOD ワークロードを展開内の専用 PSN グループに予約してください。

• TrustSec 展開で TrustSec 機能を処理するために、個別の Cisco TrustSec PSN を割り当ててください。これにより、ポリシープッシュ時の RADIUS PSN の過負荷が防止されます。

• スクリプトの頻繁な使用やネットワーク管理システムなど、デバイス管理タスクが多い大規模な NAC 環境では、展開を分割し、デバイス管理（TACACS+）用に別の展開を使用してください。

この表は、Cisco ISE ノードが展開内の単一の専用 PSN として動作する場合の RADIUS プロトコルの認証レートを示しています。

次の表は、さまざまなシナリオで Cisco ISE ノードが展開内の単一の専用 PSN として動作する場合の 1 秒あたりのトランザクション数（TPS）を示しています。

この表に示す認証値には、実稼働環境で + または - 5% の偏差がある可能性があります。

（注）	RADIUS および TACACS+ フロー用の Cisco ISE と Duo MFA の統合は、Cisco ISE 3.3 パッチ 1 以降で適用されます。認証レートは、Cisco ISE と Duo 間の遅延が 4 秒または 5 秒の展開に適用されます。

**ゲストユーザーが 500,000 人を超えると、ユーザー認証で遅延が発生する可能性があります。

***ユースケースの例：Cisco SNS 3795 は、アクティブな最大 2,000,000 のエンドポイント/セッションをサポートできます（Cisco ISE 展開のサイズ設定ガイドライン に記載）。さらに、非アクティブな最大 2,000,000 のエンドポイントを処理できるため、大規模な展開では、Cisco ISE データベースで合計 4,000,000 のエンドポイントをサポートします。中規模の展開では、アクティブな最大 150,000 のエンドポイント/セッションと、非アクティブな 3,850,000 のエンドポイントを処理できます。小規模な展開では、アクティブな最大 50,000 のエンドポイント/セッションと、非アクティブな 3,950,000 のエンドポイントを処理できます。

****1 つのポリシーセットに 600 を超える許可ルールを含めることはお勧めしません。許可ルールあたりの条件数が増えると、パフォーマンスに影響する可能性があります。

このセクションでは、さまざまなスケールのエンドポイントについて、URL フェッチャおよび URL プッシャを介した Cisco ISE pxGrid Direct コネクタの統合にかかる時間について説明します。

（注）	これらの値は、Cisco ISE と CMDB 間のネットワーク遅延が 50 ミリ秒未満の場合にのみ適用されます。 このデータは、15 個の属性を持つエンドポイントそれぞれに適用されます。 各エンドポイントのデータサイズとその属性は 5 GB を超えないようにする必要があります。 完全同期ダウンロードのタイムアウトは 120 分です。 オフピーク時に同期をスケジュールすることを強くお勧めします。 Cisco ISE は、5 つのコネクタから同時にデータを取得できます。

この表に示されているデータは、次の条件に基づいています。

• リクエストの数：1

• リクエストあたりのエンドポイント数：10,000

• エンドポイントあたりの属性：17

• 合計ペイロード：<= 5 MB

• リクエスト間の遅延：各リクエスト間で 30 秒

パフォーマンスを最適化するためのベストプラクティス

• 合計リクエストペイロードサイズが 5 MB 以下であることを確認します。この制限を超過すると、次のエラーが表示されることがあります。

  「応答：サイズ制限の5 MBを超えています。不正なリクエストです（Response: Size limit exceeded 5 MB, Bad Request）」

• 各リクエスト間で遅延を 30 秒に維持することを推奨します。リクエスト間の遅延が不十分な場合、レート制限エラー（「応答：リクエストが多すぎます（Response: Too Many Requests）」など）が発生する可能性があります。

• 応答エラーをモニターし、それに応じてペイロードサイズとリクエスト頻度を調整してください。

（注）	URL プッシャのデータは、Cisco ISE リリース 3.4 からのみ適用されます。 オフピーク時に大規模な同期タスクをスケジュールすることをお勧めします。 pxGrid Direct URL プッシャは、2 つの同時接続のみをサポートします。

Cisco アプリケーション セントリック インフラストラクチャ（Cisco ACI）から学習したコンテキストは、Cisco Catalyst Center、ネットワークデバイス、SD-WAN コンポーネント、およびその他の pxGrid サブスクライバと共有できます。このセクションでは、Cisco ISE が Cisco ACI と統合されている場合のスケールとパフォーマンスの制限について説明します。

次の表に、さまざまな Cisco ISE クラスタでサポートされる Cisco ACI クラスタのスケールと、それぞれの展開でサポートされる SXP バインディングの最大数を示します。

Cisco ISE と Cisco ACI を統合する場合は、次の点に注意してください。

• スケールされた ACI ファブリックは、オフピーク時に統合することをお勧めします。Cisco ISE 展開で RADIUS トラフィックレートが高い場合、TrustSec トラフィックの適用が遅延する可能性があります。

• この表で指定されている SXP バインディングの最大数の値は、IPv4 アドレスのみを使用する展開と、IPv4 アドレスと IPv6 アドレスの組み合わせを使用する展開の両方に適用されます。

• 20,000 ～ 32,000 のエンドポイントを持つ ACI 接続が接続状態になるまでにかかる時間は最大 5 分で、バインディングのダウンロードにかかる時間は最大 10 分です。

• Cisco ISE システムの全体的な負荷が増加すると、EPG エンドポイントのダウンロードまたは SXP バインディングの作成にかかる初期時間が増加する可能性があります。

• Cisco ISE 展開内の SXP バインディングの総数は 1,400,000 を超えてはなりません。この数には次のものが含まれます。

  • RADIUS ワークロードの認証ポリシーでの SGT 割り当てによって作成された SXP バインディング

  • SXP スピーカーから受信した SXP バインディング

  • Cisco ACI から学習した IP-EPG マッピングからの SXP バインディング、またはすべてのワークロード接続からのワークロード用に作成された SXP バインディング

  • インバウンド SGT ドメインルールの評価によって作成された SXP バインディング

  • ワークロード分類ルールによって作成された SXP バインディング

以下に、スケールに基づいて Cisco ISE と統合できる Cisco ACI 接続の数を計算する例をいくつか示します。

例 1

RADIUS ワークロードの認証ポリシーの SGT 割り当てによって作成された SXP バインディングの総数が 1,000,000 の場合、作成できる ACI 接続の総数は次のようになります。

• 各 ACI ファブリックに Cisco ISE と共有する 20,000 のエンドポイントがある場合、統合できる ACI ファブリックの総数 =（1,400,000-1,000,000）/ 20,000 = 20

• 各 ACI ファブリックに Cisco ISE と共有する 32,000 のエンドポイントがある場合、統合できる ACI 接続の合計数 =（1,400,000-1,000,000）/ 32,000 = 12 または 13

例 2

RADIUS ワークロードの認証ポリシーの SGT 割り当てによって作成された SXP バインディングの総数が 50,000 の場合、作成できる ACI 接続の総数は次のようになります。

• 各 ACI ファブリックに Cisco ISE と共有する 20,000 のエンドポイントがある場合、統合できる ACI 接続の総数 =（1,400,000-50,000）/ 20,000 = 67 または 68

• 各 ACI ファブリックに Cisco ISE と共有する 32,000 のエンドポイントがある場合、統合できる ACI 接続の総数 =（1,400,000-50,000）/ 32000 = 42

例 3

Cisco SNS 3655/3755/3695/3795 を PAN/MnT として使用する小規模の展開で、次に該当する場合：

• RADIUS ワークロードの認証ポリシーの SGT 割り当てによって作成された SXP バインディングの合計数が 10,000

• この展開の SXP バインディングの合計数が 40,000

• ACI 接続の合計数が 3

ACI 接続あたりのエンドポイントの最大数 =（展開内の SXP バインディングの合計数 - SXP バインディングの合計数）/展開用コネクタの数 =（40,000-10,000）/3 = 10,000

Cisco ISE リリース 3.4 パッチ 1 以降、Cisco ISE は Cisco ACI に加えて次のワークロードコネクタと統合できます。

• AWS

• Azure

• GCP

• vCenter

*これは、AWS、GCP、Azure、vCenter などの異なるワークロード接続の組み合わせ、または同じタイプの組み合わせである可能性があります。たとえば、ワークロード接続の最大値が 10 に指定されている場合、この展開には 3 つの GCP 接続、4 つの AWS 接続、および 3 つの Azure 接続を含めたり、10 の Azure 接続を含めることができます。

Cisco ISE を Cisco ACI およびワークロードコネクタと統合する際の展開要件

• PAN/MnT として機能する Cisco SNS 3615 または 3715 を使用した中規模以下の展開は、実稼働環境での使用には推奨されません。

• 中規模および大規模の展開で最適なパフォーマンスを得るには、SXP ペルソナのインスタンスを専用ノードとして設定する必要があります。

• インバウンド SGT ドメインルールが設定されている場合、特定のエンドポイントに対して追加の SXP バインディングが作成される場合があります。

• アウトバウンド SGT ドメインルールを作成する際は、すべてのルールとフィルタの SGT の最大数が 500 を超えないようにしてください。たとえば、5 つのアウトバウンド SGT ドメインルールがある場合、ルールあたりの SGT の数は最大 100 です。展開内のアウトバウンド SGT ドメインルールは 10 未満にすることをお勧めします。

• SXP バインディングの最大数は次のとおりです。

  • RADIUS ワークロードの認証ポリシーでの SGT 割り当てによって作成された SXP バインディング

  • SXP スピーカーから受信した SXP バインディング

  • スタティック IP-SGT バインディング

  • Cisco ACI から学習した IP-EPG マッピングからの SXP バインディング、またはすべてのワークロード接続からのワークロード用に作成された SXP バインディング

  • インバウンド SGT ドメインルールの評価によって作成された SXP バインディング

  • ワークロード分類ルールによって作成された SXP バインディング

• オフピーク時に Cisco ISE にスケールされたワークロード接続を追加することを強くお勧めします。Cisco ISE 展開で RADIUS トラフィックレートが高い場合、SXP バインディングの作成が遅延する可能性があります。

このセクションでは、パフォーマンスを向上させるためにネットワークデバイスと Cisco ISE を設定する際に推奨されるベストプラクティスを示します。

認証に影響を与える要因には次のようなものがあります。

• ネットワークアダプタが切断または再接続され、新しい認証プロセスが発生する

• ネットワークスイッチに非常に短いセッション時間が設定されている

• 頻繁にアカウンティングの中間更新を行うようネットワークスイッチが設定されている

• 停電

• システムの一括再起動を必要とする自動スクリプト

上記のイベントにより、新しい認証（Access-Request）、アカウンティングの中間更新、またはアカウンティングの停止が発生します。

configure terminal service cache enable hosts ttl 180

Cisco SNS ハードウェアアプライアンスは、Unified Extensible Firmware Interface（UEFI）のセキュアブート機能をサポートしています。この機能は、Cisco の署名付き Cisco ISE イメージだけを SNS ハードウェアアプライアンスにインストールできるようにし、デバイスに物理アクセスしたとしても未署名のオペレーティングシステムはインストールできないようにします。

（注）

Cisco ISE リリース 3.1 パッチ 6 以降、および Cisco ISE リリース 3.2 パッチ 2 以降のバージョンは、Cisco SNS 3700 シリーズ アプライアンスをサポートしています。 Cisco SNS ハードウェアアプライアンスに、メモリ、プロセッサ、ストレージなどのハードウェアリソースを追加することはできません。 SAS/SATA ハードドライブと SAS/SATA SSD を混在させることはできません。SAS/SATA ハードドライブまたは SAS/SATA SSD のいずれかを使用する必要があります。 SSD は、ディスクの読み取り/書き込み操作、他の Cisco ISE の操作（起動、インストール、データベースのアップグレードなど、最大 10% 向上）、集約型タスク（バックアップ、レポート生成など、最大 20% 向上）のパフォーマンスを向上させます。RADIUS および TACACS+ 操作の PSN パフォーマンスは、上記のセクションで説明したものと同じままであることに注意してください。 追加の電源は、SNS 3615 および SNS 3715 用に個別に注文できます。コンポーネントの部品番号については、次を参照してください。 Cisco Secure Network Server データシート.

（注）

Cisco SNS 3800 シリーズ アプライアンスは、Cisco ISE リリース 3.3 パッチ 7 以降でサポートされています。 Cisco SNS ハードウェアアプライアンスに、メモリ、プロセッサ、ストレージなどのハードウェアリソースを追加することはできません。 NVMe は、ディスクの読み取り/書き込み操作、他の Cisco ISE の操作（起動、インストール、データベースのアップグレードなど、最大 10% 向上）、集約型タスク（バックアップ、レポート生成など、最大 20% 向上）のパフォーマンスを向上させます。RADIUS および TACACS+ 操作の PSN パフォーマンスは、上記のセクションで説明したものと同じままであることに注意してください。 コンポーネントの部品番号については、次を参照してください。 Cisco Secure Network Server データシート.

Cisco ISE は、VMware サーバー、KVM ハイパーバイザ、Hyper-V（Windows Server および Azure Stack HCI）、および Nutanix AHV にインストールできます。Cisco ISE ハードウェアアプライアンスと同等のパフォーマンスと拡張性を実現するには、仮想マシンに Cisco SNS アプライアンスと同等のシステムリソースが割り当てられている必要があります。

リソースの割り当てに合わせて CPU とメモリのリソースを予約することが推奨されます。これを行わない場合は Cisco ONE のパフォーマンスと安定性に大きく影響することがあります。

VM 展開では、ハイパースレッディングにより、コアの数は物理アプライアンスの場合の 2 倍になります。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3615 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てます。

専用の VM リソースを展開します（複数のゲスト VM 間でリソースを共有またはオーバーサブスクライブしない）。

Cisco ISE がクラウドから利用可能になったことにより、変化するビジネスニーズに合わせて、Cisco ISE 展開をすばやく簡単に拡張できるようになりました。

Cisco ISE は Infrastructure as Code ソリューションとして利用できるため、場所を問わずネットワークアクセスを迅速に展開し、サービスを制御できます。

ホームネットワークの Cisco ISE ポリシーを、Amazon Web Services（AWS）、Azure Cloud Services、または Oracle Cloud Infrastructure（OCI）を使用して、新しいリモート展開へと安全に拡張します。AWS は Cisco ISE リリース 3.1 以降をサポートします。

OCI および Azure Cloud のサポートは、Cisco ISE リリース 3.2 以降で利用できます。

サポートされるインスタンスのリソース仕様については、『Deploy Cisco ISE Natively on Cloud Platforms』 [英語] およびそれぞれのクラウドドキュメントを参照してください。

次の表に、VM の仕様、クラウドインスタンスと同等の Cisco SNS アプライアンスのマトリックスを示します。

Cisco ISE VM およびクラウドインスタンスのエクストラ スモール フォーム ファクタ

エクストラスモール VM 仕様は、VMware、KVM、Hyper-V、Nutanix AHV ハイパーバイザ、クラウドインスタンスなどの仮想化プラットフォームでのみ使用できます。

このフォームファクタは、SNS アプライアンスではサポートされていません。

エクストラ スモール フォーム ファクタは、次の 2 つの展開タイプをサポートしています。

• PSNLite：ノードは、最大 500,000 セッションをサポートする展開で専用 PSN ペルソナとして展開できます。

  RADIUS および TACACS+ 認証のパフォーマンスは、Cisco SNS 3615 の約 50% です。たとえば、内部ユーザーデータベースを使用する PEAP-MSCHAP2 の Cisco SNS 3615 の RADIUS 認証レートが 150 の場合、この値は PSNLite では 75（150 の 50%）になります。

• [ISELite]：ノードはスタンドアロンの Cisco ISE ノードとして展開できます。小規模（HA）の展開に ISELite を使用することは推奨されません。

  ISELite は、50 TPS の最適な RADIUS パフォーマンスで最大 1,000 の同時アクティブエンドポイントをサポートする小規模なオフィスのシナリオでのみ実行するように最適化されています。

  ISELite は、RADIUS または TACACS+ トラフィックにのみ推奨されます。ISELite ノードで SXP、PassiveID、pxGrid Direct、pxGrid Cloud、TC-NAC、Log Analytics、Cisco AI Analytics などのアドバンスドサービスを有効にすることは推奨されません。

  [Log Analytics] オプション（[Operations] > [System 360] の下）が ISELite ノードで無効になっていることを確認します。