ISE 상태 정책 유예 기간 및 핫픽스 구현 및 구성

문제

Cisco ISE 3.4에 대한 사전 릴리스 핫픽스 또는 중간 엔지니어링 빌드에 대한 액세스를 요청하여 결함 Cisco 버그 ID CSCwo52494에 대한 수정을 검증했습니다. 이는 포스처 정책당 개별 유예 기간을 적용하는 것을 다룹니다. 이 수정은 ISE 3.4 패치 8에 포함될 예정이었지만, 현재 ISE 3.4 패치 4를 실행 중인 환경에서 공식 패치를 사용하기 전에 검증이 필요했습니다.

Cisco 버그 ID CSCwo52494에 의해 해결 되는 특정 문제는 ISE가 실패 한 상태 정책에서 최대 유예 기간 값을 기대 한 대로 전송 하는 대신 상태 정책 이 성공 할 때 최대 유예 기간 값을 잘못 전송 했다.

환경

• Cisco ISE(Identity Services Engine) 3.4

• ISE Posture 기능

• 현재 소프트웨어 버전: ISE 3.4 패치 4

• 대상 소프트웨어 버전: ISE 3.4 패치 8(공식 픽스용)

• 결함 참조: Cisco 버그 ID CSCwo52494

해결

ISE 상태 정책 유예 기간 문제를 해결하기 위해 핫픽스가 제공되었습니다. 핫픽스는 포스처 정책이 성공하더라도 ISE가 최대 유예 기간 값을 잘못 전송하는 동작을 수정했습니다.

핫픽스 구현 결과

핫픽스를 설치한 후 ISE는 이제 실패한 포스처 정책에서 최대 유예 기간 값을 올바르게 전송합니다. 이는 예상되는 동작입니다. 이제 시스템이 다음 논리를 제대로 구현합니다.

• 디바이스가 서로 다른 유예 기간을 갖는 여러 포스처 정책과 일치할 경우 디바이스는 실패한 정책 중에서 구성된 최대 유예 기간을 수신합니다.

• 실패한 정책이 2개 있는 경우 ISE는 3.4 버전에서 최대 유예 기간을 선택합니다.

추가 개선 정보

유예 기간 선택을 보다 세부적으로 제어해야 하는 환경에서는 추가적인 개선 사항이 확인되었습니다. 관리자가 실패한 포스처 정책 중에서 최대 또는 최소 유예 기간을 사용하도록 선택할 수 있는 포스처 일반 설정 페이지의 새 UI 타일 설정은 ISE 3.5 패치 1 이상에서 사용할 수 있습니다. 이 기능은 패치를 사용하여 3.4 버전으로 백포팅할 수 없으며 Cisco 버그 ID CSCwr60808에서 추적됩니다.

원인

포스처 정책이 성공하더라도 ISE가 최대 유예 기간 값을 잘못 전송한 것으로 근본 원인이 식별되었습니다. ISE가 실패한 포스처 정책에서 최대 유예 기간 값만 전송하는 동작이 필요합니다. 이 동작은 Cisco 버그 ID CSCwo52494을 통해 해결되었습니다.

관련 콘텐츠

• ISE 3.4 관리자 설명서 - 규정 준수

• Cisco 버그 ID CSCwr60808

• Cisco ISE 3.5 릴리스 정보

• Cisco 기술 지원 및 다운로드