特定の展開タイプによって提供されるアクティブなエンドポイントの最大スケール数、個々の PSN ノードでサポートされるアクティブなエンドポイントの最大スケール数、および以下のセクションで説明するその他の関連要因に基づいて、適切な ISE 展開を選択できます。

一意の MAC アドレスを持つすべてのエンドポイントは 1 つのアクティブセッションと見なされ、同時アクティブセッションのサポートは、Dot1x、Mab、ゲスト、BYOD、ポスチャを含むすべてのタイプのセッションに適用されます。

次の表のアクティブセッションの最大数は、次の条件下でのテストに基づいて導出されています。

ISE 展開は、同じリージョンに展開された単一のデータセンターで形成され、ISE ノード間通信間が低遅延（5 ミリ秒未満）であり、 dot1x 認証およびアカウンティングイベントが 1 日あたり 2 〜 4 回の繰り返しの範囲でエンドポイントによって生成されます。また、セッションの大部分は、ローカル ID プロバイダーで認証する RADIUS プロトコルです。

ISE 展開の規模

（注）

Cisco SNS 3595 は、Cisco ISE 3.2 以前のリリースでのみサポートされています。 RADIUS のみまたは TACACS+ のみのワークロードには、32 GB メモリインスタンス（Cisco SNS 3615 または Cisco SNS 3715）を使用する小規模の展開、または 32 GB メモリインスタンス（Cisco SNS 3615 または Cisco SNS 3715）を PAN/MnT として機能させる中規模の展開を強く推奨します。スケールされたワークロードで RADIUS と TACACS+ の両方が必要な展開の場合は、Cisco SNS 3655 以上のモデルなど、より多くのリソースを持つ Cisco ISE ノードを使用することをお勧めします。ログ分析、AI/ML プロファイリング、Cisco ACI 統合、ワークロードコネクタなどの高度な機能には、より多くのリソースが必要です。したがって、最適なパフォーマンスを得るには、Cisco SNS 3655、3755、3695、および 3795 でのみこれらの機能を有効にすることをお勧めします。

ポリシーサービスノードの規模

*Cisco SNS 3795 にはより多くの RAM が搭載され、ディスクの読み取り/書き込みパフォーマンスが向上しています。専用 PAN、専用 MnT、または PAN/MnT ペルソナに最適であり、専用 PSN として展開しても付加価値はありません。

（注）	SNS 3595 は、Cisco ISE リリース 3.2 以前のバージョンでサポートされています。 SNS 3515 は、Cisco ISE リリース 3.0 以前のバージョンでサポートされています。専用 PSN でサポートされる最大同時アクティブエンドポイント数は 7,500 で、共有 PSN では 5,000 です。

• 最大 50,000 の同時アクティブセッションの小規模展開、および最大 150,000 の同時アクティブセッションの中規模展開を選択できます。

• 150,000 を超える同時アクティブセッションには、大規模展開が必要です。大規模展開では、MnT ノードを専用 MnT ノードとして登録する必要があります。

• パフォーマンスの影響を受けやすい負荷の場合は、ワークロードと ID プロバイダー（AD、LDAP など）の近くに PSN を展開することをお勧めします。

• 類似のワークロード（RADIUS Dot1x、Guest/BYOD、TACACS+ など）の PSN をグループ化し、ロードバランサを介してトラフィックを分散することをお勧めします。

• パフォーマンスを向上させるには、ロードバランサで Calling-Station-ID（MAC）ベースのスティッキ性を設定することをお勧めします。

• URL リダイレクトが必要なサービス（ポスチャサービス、ゲストサービス、MDM など）を使用している場合は、ノードグループで PSN を設定することをお勧めします。

• 複数のデータセンターを設けて、データセンターごとに PSN をグループ化することをお勧めします。NAS デバイスに RADIUS（プライマリ/セカンダリ/ターシャリ）フェールオーバーを実装できます。たとえば、プライマリデータセンター（DC-A）に障害が発生した場合、50% の NAD がセカンダリデータセンター（DC-B）にフェールオーバーし、残りの NAD がターシャリデータセンター（DC-C）にフェールオーバーできます。

• PSN グループ内に N+1 または N+2 の冗長性を実装することをお勧めします。

• ISE 操作の遅延を回避するために、ゲストおよび非アクティブなエンドポイントを定期的に消去することを強くお勧めします。

• 各展開に関する上記の最大同時アクティブセッション値は、dot1x 認証を 1 日に最大 4 回生成する接続デバイスに適用されます。

• エンドポイントが繰り返し認証イベントおよびアカウンティングイベントを生成する展開の場合、大量のトラフィックが発生するシナリオ（多数のユーザーからの同時ログインイベント、ある場所から別の場所にローミングする Wi-Fi ユーザーなど）の処理を促進するために PSN グループにより多くの PSN が必要となります。

• PSN ノードのバリエーションには、TACACS+ PSN（T+PSN）、TC-NAC PSN（TCNPSN）、Guest PSN（GPSN）、Cisco TrustSec PSN（CTSPSN）、Security Group eXchange Protocol PSN（SXPSN）、および PassiveID PSN（PIDPSN）があります。パフォーマンスを向上させるには、TACACS+、RADIUS、ゲスト/BYOD ワークロードを展開内の専用 PSN グループに予約することをお勧めします。

• ポリシーのプッシュ中の RADIUS PSN の過負荷を回避するために、TrustSec 展開の TrustSec 機能を処理するための個別の Cisco TrustSec PSN（CTSPSN）を割り当てることをお勧めします。

• 膨大な数のデバイス管理タスク（たとえば、スクリプトやネットワーク管理システムを頻繁に使用する）を伴う大規模な NAC 環境では、展開を分割し、デバイス管理（TACACS+）用に独立した展開を使用することをお勧めします。

次の表は、Cisco ISE ノードが展開内の単一の専用 PSN として動作する場合の RADIUS プロトコルの認証レートを示しています。

次の表は、Cisco ISE ノードが展開内の単一の専用 PSN として動作する場合の TACACS+ プロトコルの認証レートを示しています。

次の表は、さまざまなシナリオで Cisco ISE ノードが展開内の単一の専用 PSN として動作する場合の 1 秒あたりのトランザクション数（TPS）を示しています。

以下に示す認証値には、実稼働環境で + または - 5% の偏差がある可能性があります。

（注）	RADIUS および TACACS+ フロー用の Cisco ISE と Duo MFA の統合は、Cisco ISE 3.3 パッチ 1 以降で適用されます。認証レートは、Cisco ISE と Duo 間の遅延が 4 秒または 5 秒の展開に適用されます。

* 最大 300,000 の NAD がサポートされます。 [Administration] > [Network Resources] > [Network Devices] ページで、ネットワークアドレスとサブネットを指定する必要があります。

**ゲストユーザーが 500,000 人を超えると、ユーザー認証で遅延が発生する可能性があります。

***1 つのポリシーセットに 600 を超える許可ルールを含めることはお勧めしません。許可ルールあたりの条件数が増えると、パフォーマンスに影響する可能性があります。

このセクションでは、さまざまなスケールのエンドポイントについて、URL フェッチャおよび URL プッシャを介した Cisco ISE pxGrid Direct コネクタの統合にかかる時間について説明します。

（注）	上記の値は、Cisco ISE と CMDB 間のネットワーク遅延が 50 ミリ秒未満の場合にのみ適用されます。 上記のデータは、それぞれ 15 個の属性を持つエンドポイントに適用されます。 各エンドポイントのデータサイズとその属性は 5 GB を超えないようにする必要があります。 完全同期ダウンロードのタイムアウトは 120 分です。 オフピーク時に同期をスケジュールすることを強くお勧めします。 Cisco ISE は、5 つのコネクタから同時にデータを取得できます。

（注）	URL プッシャのデータは、Cisco ISE リリース 3.4 からのみ適用されます。 各プッシュ API のリクエストペイロードサイズは 5 MB を超えることはできません。 オフピーク時に大規模な同期タスクをスケジュールすることをお勧めします。

Cisco アプリケーション セントリック インフラストラクチャ（Cisco ACI）から学習したコンテキストは、Cisco Catalyst Center、ネットワークデバイス、SD-WAN コンポーネント、およびその他の pxGrid サブスクライバと共有できます。このセクションでは、Cisco ISE が Cisco ACI と統合されている場合のスケールとパフォーマンスの制限について説明します。

次の表に、さまざまな Cisco ISE クラスタでサポートされる Cisco ACI クラスタのスケールと、それぞれの展開でサポートされる SXP バインディングの最大数を示します。

Cisco ISE と Cisco ACI を統合する場合は、次の点に注意してください。

• スケールされた ACI ファブリックは、オフピーク時に統合することをお勧めします。Cisco ISE 展開で RADIUS トラフィックレートが高い場合、TrustSec トラフィックの適用が遅延する可能性があります。

• 上記の表で指定されている SXP バインディングの最大数の値は、IPv4 アドレスのみを使用する展開と、IPv4 アドレスと IPv6 アドレスの組み合わせを使用する展開の両方に適用されます。

• 20,000 ～ 32,000 のエンドポイントを持つ ACI 接続が接続状態になるまでにかかる時間は最大 5 分で、バインディングのダウンロードにかかる時間は最大 10 分です。

• Cisco ISE システムの全体的な負荷が増加すると、EPG エンドポイントのダウンロードまたは SXP バインディングの作成にかかる初期時間が増加する可能性があります。

• Cisco ISE 展開内の SXP バインディングの総数は 1,400,000 を超えてはなりません。この数には次のものが含まれます。

  • RADIUS ワークロードの認証ポリシーでの SGT 割り当てによって作成された SXP バインディング

  • SXP スピーカーから受信した SXP バインディング

  • Cisco ACI から学習した IP-EPG マッピングからの SXP バインディング、またはすべてのワークロード接続からのワークロード用に作成された SXP バインディング

  • インバウンド SGT ドメインルールの評価によって作成された SXP バインディング

  • ワークロード分類ルールによって作成された SXP バインディング

次に、スケールに基づいて Cisco ISE と統合できる Cisco ACI 接続の数を計算する例をいくつか示します。

例 1

RADIUS ワークロードの認証ポリシーの SGT 割り当てによって作成された SXP バインディングの総数が 1,000,000 の場合、作成できる ACI 接続の総数は次のようになります。

• 各 ACI ファブリックに Cisco ISE と共有する 20,000 のエンドポイントがある場合、統合できる ACI ファブリックの総数 =（1,400,000-1,000,000）/ 20,000 = 20

• 各 ACI ファブリックに Cisco ISE と共有する 32,000 のエンドポイントがある場合、統合できる ACI 接続の合計数 =（1,400,000-1,000,000）/ 32,000 = 12 または 13

例 2

RADIUS ワークロードの認証ポリシーの SGT 割り当てによって作成された SXP バインディングの総数が 50,000 の場合、作成できる ACI 接続の総数は次のようになります。

• 各 ACI ファブリックに Cisco ISE と共有する 20,000 のエンドポイントがある場合、統合できる ACI 接続の総数 =（1,400,000-50,000）/ 20,000 = 67 または 68

• 各 ACI ファブリックに Cisco ISE と共有する 32,000 のエンドポイントがある場合、統合できる ACI 接続の総数 =（1,400,000-50,000）/ 32000 = 42

例 3

Cisco SNS 3655/3755/3695/3795 を PAN/MnT として使用する小規模の展開で、次に該当する場合：

• RADIUS ワークロードの認証ポリシーの SGT 割り当てによって作成された SXP バインディングの合計数が 10,000

• この展開の SXP バインディングの合計数が 40,000

• ACI 接続の合計数が 3

ACI 接続あたりのエンドポイントの最大数 =（展開内の SXP バインディングの合計数 - SXP バインディングの合計数）/展開用コネクタの数 =（40,000-10,000）/3 = 10,000

Cisco ISE リリース 3.4 パッチ 1 以降、Cisco ISE は Cisco ACI に加えて次のワークロードコネクタと統合できます。

• AWS

• Azure

• GCP

• vCenter

*これは、AWS、GCP、Azure、vCenter などの異なるワークロード接続の組み合わせ、または同じタイプの組み合わせである可能性があります。たとえば、ワークロード接続の最大値が 10 に指定されている場合、この展開には 3 つの GCP 接続、4 つの AWS 接続、および 3 つの Azure 接続を含めたり、10 の Azure 接続を含めることができます。

Cisco ISE を Cisco ACI およびワークロードコネクタと統合する際の展開要件

• Cisco SNS 3615/3715 を使用した小規模の展開、または PAN/MnT として機能する Cisco SNS 3615/3715 を使用した中規模の展開は、実稼働環境での使用には推奨されません。

• 中規模および大規模の展開で最適なパフォーマンスを得るには、SXP ペルソナのインスタンスを専用ノードとして設定する必要があります。

• インバウンド SGT ドメインルールが設定されている場合、特定のエンドポイントに対して追加の SXP バインディングが作成される場合があります。

• アウトバウンド SGT ドメインルールを作成する際は、すべてのルールとフィルタの SGT の最大数が 500 を超えないようにしてください。たとえば、5 つのアウトバウンド SGT ドメインルールがある場合、ルールあたりの SGT の数は最大 100 です。展開内のアウトバウンド SGT ドメインルールは 10 未満にすることをお勧めします。

• SXP バインディングの最大数は次のとおりです。

  • RADIUS ワークロードの認証ポリシーでの SGT 割り当てによって作成された SXP バインディング

  • SXP スピーカーから受信した SXP バインディング

  • スタティック IP-SGT バインディング

  • Cisco ACI から学習した IP-EPG マッピングからの SXP バインディング、またはすべてのワークロード接続からのワークロード用に作成された SXP バインディング

  • インバウンド SGT ドメインルールの評価によって作成された SXP バインディング

  • ワークロード分類ルールによって作成された SXP バインディング

• オフピーク時に Cisco ISE にスケールされたワークロード接続を追加することを強くお勧めします。Cisco ISE 展開で RADIUS トラフィックレートが高い場合、SXP バインディングの作成が遅延する可能性があります。

このセクションでは、パフォーマンスを向上させるためにネットワークデバイスと Cisco ISE を設定する際に推奨されるベストプラクティスを示します。

認証に影響を与える要因には次のようなものがあります。

• ネットワークアダプタが切断または再接続され、新しい認証プロセスが発生する

• ネットワークスイッチに非常に短いセッション時間が設定されている

• 頻繁にアカウンティングの中間更新を行うようネットワークスイッチが設定されている

• 停電

• システムの一括再起動を必要とする自動スクリプト

上記の各イベントにより、新しい認証（Access-Request）、アカウンティングの中間更新、またはアカウンティングの停止が発生します。

configure terminal
  service cache enable hosts ttl 180

Cisco SNS ハードウェアアプライアンスは、Unified Extensible Firmware Interface（UEFI）のセキュアブート機能をサポートしています。この機能は、Cisco の署名付き Cisco ISE イメージだけを SNS ハードウェアアプライアンスにインストールできるようにし、デバイスに物理アクセスしたとしても未署名のオペレーティングシステムはインストールできないようにします。

（注）

Cisco ISE リリース 3.1 パッチ 6 以降、および Cisco ISE リリース 3.2 パッチ 2 以降のバージョンは、Cisco SNS 3700 シリーズ アプライアンスをサポートしています。 Cisco SNS ハードウェアアプライアンスに、メモリ、プロセッサ、ストレージなどのハードウェアリソースを追加することはできません。 SAS/SATA ハードドライブと SAS/SATA SSD を混在させることはできません。SAS/SATA ハードドライブまたは SAS/SATA SSD のいずれかを使用する必要があります。 SSD は、ディスクの読み取り/書き込み操作、他の Cisco ISE の操作（起動、インストール、データベースのアップグレードなど、最大 10% 向上）、集約型タスク（バックアップ、レポート生成など、最大 20% 向上）のパフォーマンスを向上させます。RADIUS および TACACS+ 操作の PSN パフォーマンスは、上記のセクションで説明したものと同じままであることに注意してください。 追加の電源は、SNS 3615 および SNS 3715 用に個別に注文できます。コンポーネントの製品番号については、『Cisco Secure Network Server Data Sheet』を参照してください。

Cisco ISE は、VMware サーバー、KVM ハイパーバイザ、Hyper-V（Windows Server および Azure Stack HCI）、および Nutanix AHV にインストールできます。Cisco ISE ハードウェアアプライアンスと同等のパフォーマンスと拡張性を実現するには、仮想マシンに次の表に示す Cisco SNS アプライアンスと同等のシステムリソースが割り当てられている必要があります。

リソースの割り当てに合わせて CPU とメモリのリソースを予約することが推奨されます。これを行わない場合は Cisco ONE のパフォーマンスと安定性に大きく影響することがあります。

VM 展開では、ハイパースレッディングにより、コアの数は物理アプライアンスの場合の 2 倍になります。たとえば、小規模ネットワーク展開の場合、8 個の CPU コアまたは 16 個のスレッドを持つ SNS 3615 の CPU 仕様を満たすために、16 個の vCPU コアを割り当てます。

専用の VM リソースを展開します（複数のゲスト VM 間でリソースを共有またはオーバーサブスクライブしない）。

Cisco ISE がクラウドから利用可能になったことにより、変化するビジネスニーズに合わせて、Cisco ISE 展開をすばやく簡単に拡張できるようになりました。

Cisco ISE は Infrastructure as Code ソリューションとして利用できるため、場所を問わずネットワークアクセスを迅速に展開し、サービスを制御できます。

ホームネットワークの Cisco ISE ポリシーを、Amazon Web Services（AWS）、Azure Cloud Services、または Oracle Cloud Infrastructure（OCI）を使用して、新しいリモート展開へと安全に拡張します。AWS は Cisco ISE リリース 3.1 以降をサポートします。

OCI および Azure Cloud のサポートは、Cisco ISE リリース 3.2 以降で利用できます。

サポートされるインスタンスのリソース仕様については、『Deploy Cisco ISE Natively on Cloud Platforms』 [英語] およびそれぞれのクラウドドキュメントを参照してください。

次の表に、VM の仕様、クラウドインスタンスと同等の Cisco SNS アプライアンスのマトリックスを示します。

*このインスタンスはコンピューティングに最適化されており、汎用インスタンスよりも優れたパフォーマンスを提供します。

**OCI では、Oracle CPU（OCPU）に基づいて CPU を選択します。各 OCPU は、ハイパースレッディングが有効なインテル Xeon プロセッサーの物理コア 1 つに等しい CPU キャパシティを提供します。各 OCPU は、vCPU と呼ばれるハードウェア実行スレッド 2 つに相当します。

（注）	Cisco SNS 3755 に同等のクラウドプロファイルはありません。Cisco SNS 3795 に指定されているクラウドインスタンスを使用することを推奨します。

Cisco ISE VM およびクラウドインスタンスのエクストラ スモール フォーム ファクタ

エクストラスモール VM 仕様は、VMware、KVM、Hyper-V、Nutanix AHV ハイパーバイザ、クラウドインスタンスなどの仮想化プラットフォームでのみ使用できます。

このフォームファクタは、SNS アプライアンスではサポートされていません。

エクストラ スモール フォーム ファクタは、次の 2 つの展開タイプをサポートしています。

• [PSNLite]：ノードは、中規模展開の専用 PSN ペルソナとして展開できます。PSNLite は、大規模の展開ではサポートされていません。

  RADIUS および TACACS+ 認証のパフォーマンスは、Cisco SNS 3615 の約 50% です。たとえば、内部ユーザーデータベースを使用する PEAP-MSCHAP2 の Cisco SNS 3615 の RADIUS 認証レートが 150 の場合、この値は PSNLite では 75（150 の 50%）になります。

• [ISELite]：ノードはスタンドアロンの Cisco ISE ノードとして展開できます。小規模（HA）の展開に ISELite を使用することは推奨されません。

  ISELite は、50 TPS の最適な RADIUS パフォーマンスで最大 1,000 の同時アクティブエンドポイントをサポートする小規模なオフィスのシナリオでのみ実行するように最適化されています。

  ISELite は、RADIUS または TACACS+ トラフィックにのみ推奨されます。ISELite ノードで SXP、PassiveID、pxGrid Direct、pxGrid Cloud、TC-NAC、Log Analytics、Cisco AI Analytics などのアドバンスドサービスを有効にすることは推奨されません。

  [Log Analytics] オプション（[Operations] > [System 360] の下）が ISELite ノードで無効になっていることを確認します。