Cisco ID 서비스 엔진 관리자 설명서, 릴리스 3.0

관리 포털

표 1. Cisco ISE 관리 포털의 구성 요소
1	메뉴 아이콘	다음 메뉴가 있는 슬라이드식 창에서 Menu(메뉴) 아이콘()을 클릭합니다. 슬라이드식 메뉴 창에는 필요한 창을 찾을 수 있는 검색 창도 포함되어 있습니다. 홈 페이지의 Dashboard(대시보드)를 클릭합니다. 그림 2. Cisco ISE 주 메뉴 Context Visibility(상황 가시성): 상황 가시성 창에는 엔드포인트, 사용자 및 NAD(Network Access Device)에 대한 정보가 표시됩니다. 상황 가시성 정보는 등록한 라이선스에 따라 기능, 애플리케이션, BYOD(Bring Your Own Device) 및 기타 범주별로 구분됩니다. 상황 가시성 창은 중앙 데이터베이스를 사용하며 데이터베이스 표, 캐시 및 버퍼에서 정보를 수집합니다. 따라서 상황 가시성 dashlet 및 목록의 콘텐츠가 빠르게 업데이트됩니다. 상황 가시성 창은 상단의 dashlet과 하단의 정보 목록으로 구성되어 있습니다. 목록에서 열 속성을 수정하여 데이터를 필터링하면 dashlet이 새로 고침되어 변경된 콘텐츠가 보여집니다. Policy(정책): 정책 창은 인증, 권한 부여, 프로파일링, 포스처 및 클라이언트 프로비저닝 영역에서 네트워크 보안을 관리할 수 있는 도구를 포함합니다. Administration(관리): 관리 창은 Cisco ISE 노드, 라이선스, 인증서, 네트워크 디바이스, 사용자, 엔드포인트 및 게스트 서비스를 관리할 수 있는 도구를 포함합니다.
2	오른쪽 상단 메뉴 아이콘	이 아이콘을 이용해 엔드포인트를 검색하고 프로파일, 장애, ID 저장소, 위치, 디바이스 유형 등을 기준으로 배포를 표시할 수 있습니다. 아이콘을 클릭하면 여러 리소스에 대한 액세스를 제공하는 Interactive Help(대화형 도움말) 메뉴가 표시됩니다. 다음 옵션에 액세스하려면 이 아이콘을 클릭합니다. PassiveID Setup(PassiveID 설정): PassiveID Setup(PassiveID 설정) 옵션은 Active Directory를 사용하여 수동 ID를 설정하기 위해 PassiveID Setup(PassiveID 설정) 마법사를 실행합니다. 외부 인증 서버에서 사용자 ID 및 IP 주소를 수집하고 인증된 IP 주소를 해당 가입자에게 전달하도록 서버를 구성합니다. Visibility Setup(가시성 설정 ): Visibility Setup(가시성 설정 )은 애플리케이션, 하드웨어 인벤토리, USB 상태, 방화벽 상태 및 Windows 엔드포인트의 전체 규정 준수 상태와 같은 엔드포인트 데이터를 수집하는 PoV(Proof of Value) 서비스입니다. 수집된 데이터는 이후 Cisco ISE로 전송됩니다. ISE Visibility Setup(ISE 가시성 설정) 마법사를 실행할 때, 네트워크의 선호되는 세그먼트 또는 엔드포인트 그룹에 대해 엔드포인트 검색을 실행할 IP 주소 범위를 지정할 수 있습니다. PoV 서비스는 Cisco Stealth Temporal 에이전트를 사용하여 엔드포인트 포스처 데이터를 수집합니다. Cisco ISE는 관리자 계정 유형으로 Windows를 실행하는 컴퓨터에 Cisco Stealth Temporal 에이전트를 푸시합니다. 에이전트는 자동으로 임시 실행 파일을 실행하여 상황을 수집합니다. 그 후 에이전트가 자동으로 제거됩니다. Cisco Stealth Temporal 에이전트의 디버그 기능(선택 사항)을 사용하려면 Endpoint Logging(엔드포인트 로깅) 확인란을 선택(Menu(메뉴) 아이콘()을 클릭하고 Visibility Setup(가시성 설정) > Posture(포스처) 선택)하여 디버그 로그를 엔드포인트 또는 여러 엔드 포인트에 저장합니다. 다음 위치 중 하나에서 로그를 볼 수 있습니다. C:\WINDOWS\syswow64\config\systemprofile\ (64비트 운영체제) C:\WINDOWS\system32\config\systemprofile\ (32비트 운영체제) Run Endpoint Scripts(엔드포인트 스크립트 실행): 연결된 엔드 포인트에서 스크립트를 실행하여 조직의 요건을 준수하는 관리 작업을 수행하려면 이 옵션을 선택합니다. 여기에는 더 이상 사용되지 않는 소프트웨어 제거, 프로세스 또는 애플리케이션의 시작 또는 종료, 특정 서비스의 활성화 또는 비활성화 작업이 포함됩니다. 온라인 도움말 실행 및 어카운트 설정 구성 등 시스템 활동에 대한 메뉴를 보려면 이 아이콘을 클릭합니다.

Cisco ISE 홈 대시보드

Cisco ISE Home(홈) 대시보드에는 상관 통계가 지정된 실시간 통합 데이터가 표시되는데, 이는 효과적인 모니터링 및 문제 해결을 위해 필수적입니다. 대시보드 요소는 일반적으로 24시간 동안의 활동을 표시합니다. 다음 그림에는 Cisco ISE 대시보드에서 사용할 수 있는 정보의 예가 나와 있습니다. 기본 PAN(Policy Administration Node) 포털에서만 Cisco ISE 대시보드 데이터를 볼 수 있습니다.

홈 페이지에는 Cisco ISE 데이터를 표시하는 5개의 기본 대시보드가 있습니다. 이러한 각 대시보드에는 사전 정의된 여러 dashlet이 있습니다.

Summary(요약): 이 대시보드에는 선형 메트릭 dashlet, 원형 차트 dashlet 및 목록 dashlet이 포함됩니다. 메트릭 dashlet은 구성할 수 없습니다. 기본적으로 이 대시보드에는 Status(상태) Endpoints(엔드포인트), Endpoint Categories(엔드포인트 범주) 및 Network Devices(네트워크 디바이스) dashlet이 포함됩니다.
Endpoints(엔드포인트): 기본적으로 이 대시보드에는 Status(상태), Endpoints(엔드포인트), Endpoint Categories(엔드포인트 범주) 및 Network Devices(네트워크 디바이스) dashlet이 포함됩니다.
Guests(게스트): 이 대시보드에는 게스트 사용자 유형, 로그인 실패 및 활동 위치에 대한 정보를 제공하는 dashlet이 포함됩니다.
Vulnerability(취약점): 이 대시보드에는 취약점 서버가 Cisco ISE에 보고하는 정보가 표시됩니다.
Threat(위협): 이 대시보드에는 Cisco ISE로 전송한 위협 서버 보고서의 정보가 표시됩니다.

홈 대시보드 구성

창 오른쪽 상단에 있는 Inverted Pyramid(역 피라미드) 아이콘를 클릭하여 홈 페이지 대시보드를 사용자 맞춤화할 수 있습니다.

드롭다운 목록에 다음과 같은 옵션이 표시됩니다.

Add New Dashboard(새 대시보드 추가)를 통해 새 대시보드를 추가할 수 있습니다. 표시되는 필드에 값을 입력하고 Apply(적용)를 클릭합니다.
Add Dashlet(s)(dashlet 추가)를 선택하면 사용 가능한 dashlet 목록이 포함된 대화 상자가 표시됩니다. 대시보드에서 dashlet을 추가하거나 제거하려면 dashlet 이름 옆에 있는 Add(추가) 또는 Remove(제거)를 클릭합니다.
Export(내보내기)를 사용하면 선택한 홈 페이지 보기가 PDF로 저장됩니다.
Layout Template(레이아웃 템플릿)을 통해 이 보기에 표시되는 열 수를 구성할 수 있습니다.
Manage Dashboards(대시 보드 관리)에는 두 가지 옵션이 있습니다.
- Mark as Default Dashboard(기본 대시보드로 표시): 현재 대시보드를 Home(홈)에 표시되는 기본 보기로 설정하려면 이 옵션을 선택합니다.
- Reset All Dashboards(모든 대시보드 재설정): 모든 대시보드를 재설정하고 모든 홈 대시보드에서 기존 구성을 제거하려면 이 옵션을 사용합니다.

상황 가시성 보기

Context Visibility(상황 가시성) 창의 구조는 다음을 제외하고 홈 페이지와 유사합니다.

표시된 데이터를 필터링할 때 현재 상황(브라우저 창) 유지
보다 사용자 맞춤화 가능
엔드포인트 데이터에 중점

기본 PAN에서만 상황 가시성 데이터를 볼 수 있습니다.

Context Visibility(상황 가시성) 창의 dashlet에는 엔드포인트 및 NAD에 대한 엔드포인트 연결 정보가 표시됩니다. 현재 표시되는 정보는 각 창의 dashlet 아래에 있는 데이터 목록 내용을 기반으로 합니다. 각 창에는 탭 이름을 기반으로 엔드포인트 데이터가 표시됩니다. 데이터를 필터링하면 목록과 dashlet이 모두 업데이트됩니다. 하나 이상의 원형 그래프 부분을 클릭하거나 표의 행을 필터링하거나 이러한 작업을 조합하여 데이터를 필터링할 수 있습니다. 필터를 선택하면 캐스케이딩 필터라고도 하는 효과가 추가로 표시되며, 이를 통해 원하는 특정 데이터를 찾을 수 있습니다. 또한 목록에서 엔드포인트를 클릭하면 해당 엔드포인트의 세부정보 보기가 표시됩니다.

Context Visibility(상황 가시성) 아래에는 4가지 기본 메뉴 옵션이 있습니다.

Endpoints(엔드포인트): 디바이스 유형, 규정 준수 상태, 인증 유형, 하드웨어 인벤토리 등에 따라 표시할 엔드포인트를 필터링합니다. 자세한 내용은 하드웨어 대시보드의 내용을 참조하십시오.

참고

NAD(네트워크 액세스 디바이스)에서 계정 관리 설정을 활성화하여 계정 관리 시작 및 업데이트 정보가 Cisco ISE로 전송되도록 하는 것이 좋습니다.

Cisco ISE는 계정 관리가 활성화된 경우에만 최신 IP 주소, 세션 상태(연결됨, 연결 해제됨 또는 거부됨), 엔드포인트가 비활성화된 일 수 등과 같은 계정 관리 정보를 수집할 수 있습니다. 이 정보는 Cisco ISE 관리 포털의 Live Logs(라이브 로그), Live Sessions(라이브 세션) 및 Context Visibility(상황 가시성) 창에 표시됩니다. NAD에서 계정 관리가 비활성화된 경우 Live Sessions(라이브 세션), Live Logs(라이브 로그) 및 Context Visibility(상황 가시성) 창 간에 계정 관리 정보가 누락되거나, 부정확하거나, 일치하지 않을 수 있습니다.

참고

Cisco ISE 관리 포털 홈 페이지에서 사용 가능한 Visibility Setup(가시성 설정) 워크플로우를 사용하면 엔드포인트 검색을 위한 IP 주소 범위 목록을 추가할 수 있습니다. 이 워크플로우를 구성하고 나면 Cisco ISE에서 엔드포인트를 인증하지만 구성된 IP 주소 범위에 포함되지 않은 엔드포인트가 Context Visibility(상황 가시성) > Endpoints(엔드포인트) 창 및 Endpoints(엔드포인트) 목록 페이지(Work Centers(작업 센터) > Network Access(네트워크 액세스) > Identities(ID) > Endpoints(엔드포인트))에 표시되지 않습니다.

Users(사용자): 사용자 ID 소스의 사용자 기반 정보를 표시합니다

사용자 이름 또는 비밀번호 속성이 변경된 경우 인증 상태가 변경되면 Users(사용자) 창에 반영됩니다.

Microsoft Active Directory에서 사용자 이름 이외의 속성이 변경된 경우에는 재인증 24시간 후에 업데이트된 속성이 Users(사용자) 창에 표시됩니다.

Microsoft Active Directory에서 사용자 이름 및 기타 속성을 변경하면 재인증 후 업데이트된 변경 사항이 즉시 Users(사용자) 창에 표시됩니다.

Network Devices(네트워크 디바이스): 이 창은 엔드포인트가 연결된 NAD의 목록을 표시합니다. NAD의 경우 해당 # of endpoints(엔드포인트 수) 열에 표시되는 엔드포인트 수를 클릭합니다. 해당 NAD로 필터링된 모든 디바이스를 나열하는 창이 표시됩니다.

참고

SNMPv3 매개변수를 사용하여 네트워크 디바이스를 구성한 경우에는 Cisco ISE 모니터링 서비스의 Operations(작업) > Reports(보고서) > Catalog(카탈로그) > Network Device(네트워크 디바이스) > Session Status Summary(세션 상태 요약)에서 제공되는 Network Device Session Status Summary(네트워크 디바이스 세션 상태 요약) 보고서를 생성할 수 없습니다. 네트워크 디바이스가 SNMPv1 또는 SNMPv2c 매개변수로 구성된 경우 이 보고서를 정상적으로 생성할 수 있습니다.

Application(애플리케이션): 이 창을 사용하여 특정 애플리케이션이 설치된 엔드포인트 수를 확인할 수 있습니다. 결과는 그래픽 및 표 형식으로 표시됩니다. 그래픽 표현은 비교 분석을 수행하는 데 유용합니다. 예를 들어 Google Chrome 소프트웨어가 있는 엔드포인트의 수와 버전, 벤더 및 범주(안티 피싱, 브라우저 등)를 표와 막대 그래프로 확인할 수 있습니다. 자세한 내용은 Application(애플리케이션) 탭을 참고하십시오.

Context Visibility(상황 가시성) 창에서 새 탭을 생성하여 추가 필터링을 위한 사용자 맞춤화 목록을 생성할 수 있습니다. 사용자 맞춤화 보기에서는 dashlet이 지원되지 않습니다.

dashlet에서 원형 그래프의 섹션을 클릭하여 해당 dashlet에서 필터링된 데이터가 포함된 새 창을 표시합니다. 이 새 창에서 보기에서 표시되는 데이터 필터링에 설명된 대로 표시된 데이터를 계속 필터링할 수 있습니다.

Context Visibility(상황 가시성) 창을 사용하여 엔드포인트 데이터를 찾는 방법에 대한 자세한 내용은 ISE 2.1을 사용하는 Cisco YouTube 비디오(https://www.youtube.com/watch?v=HvonGhrydfg)를 참고하십시오.

상황 가시성의 속성

상황 가시성에 대한 속성을 제공하는 시스템 및 서비스는 동일한 속성 이름에 대해 서로 다른 값을 가질 수 있습니다. 몇 가지 예를 들면 다음과 같습니다.

운영체제

OperatingSystem: 포스처 운영체제
operating-system: NMAP 운영체제
operating-system-result: 프로파일러 통합 운영체제

참고	Cisco ISE에서 엔드포인트에 대해 여러 프로브가 활성화된 경우 상황 가시성 창에 표시되는 엔드포인트 운영체제 데이터에 일부 불일치가 있을 수 있습니다.

포털 이름

Portal.Name: 디바이스 등록이 설정되어 있을 때의 게스트 포털 이름입니다.
PortalName: 디바이스 등록이 설정되어 있지 않을 때의 게스트 포털 이름입니다.

포털 사용자의 경우

User-Name: RADIUS 인증의 사용자 이름
GuestUserName: 게스트 사용자
PortalUser: 포털 사용자

애플리케이션 대시보드

표 2. 애플리케이션 대시보드에 대한 설명
라벨	설명
1	Summary(요약) 탭은 홈 페이지에 기본적으로 표시됩니다. 막대 차트가 포함된 Application Categories(애플리케이션 범주) 대시릿이 표시됩니다. 애플리케이션은 13개 범주로 분류됩니다. 이러한 범주에 속하지 않는 애플리케이션은 미분류로 그룹화됩니다. 사용 가능한 범주는 안티멀웨어, 안티피싱, 백업, 브라우저, 데이터 손실 방지, 데이터 스토리지, 암호화, 방화벽, 메신저, 패치 관리, 공용 파일 공유, 가상 머신 및 VPN 클라이언트입니다.
2	각 막대는 분류 범주를 나타냅니다. 각 막대 위로 마우스를 올려 선택한 애플리케이션 범주에 해당하는 총 애플리케이션 및 엔드포인트 수를 확인합니다.
3	분류 범주에 속하는 애플리케이션 및 엔드포인트는 파란색으로 표시됩니다. 미분류 애플리케이션 및 엔드포인트는 회색으로 표시됩니다. 분류 또는 미분류 범주 막대 위에 마우스를 올려 해당 범주에 속하는 총 애플리케이션 및 엔드포인트 수를 확인합니다. Classified(분류)를 클릭하고 막대 그래프 및 창의 표에서 결과를 볼 수 있습니다. Unclassified(미분류)를 클릭하면 막대 차트가 비활성화되고 결과가 창의 표에 표시됩니다.
4	선택한 필터에 따라 애플리케이션 및 엔드포인트가 표시됩니다. 다양한 필터를 클릭하여 Breadcrumb Trail을 볼 수 있습니다. Clear All Filters(모든 필터 지우기)를 클릭하여 모든 적용된 필터를 제거할 수 있습니다.
5	여러 막대를 클릭하면 해당하는 분류 애플리케이션 및 엔드포인트가 표에 표시됩니다. 예를 들어 안티멀웨어 및 패치 관리 범주를 선택하면 다음 결과가 표시됩니다.
	애플리케이션 이름	Version(버전)	Vendor(벤더)	카테고리	애플리케이션 OS	이 소프트웨어를 사용하는 엔드포인트
	게이트키퍼	9.9.5	Apple Inc.	악성코드 차단	windows 7 64비트, mac osx 10.10, mac osx 8, mac osx 9	5
	게이트키퍼	10.9.5	Apple Inc.	악성코드 차단	Windows 8 64비트, mac osx 10.10	3
	소프트웨어 업데이트	2.3	Apple Inc.	패치 관리	Windows 7 64비트, mac osx 10.10, mac osx 8, mac osx 9	5
6	표의 Endpoints With This Software(이 소프트웨어를 사용하는 엔드포인트) 열에서 엔드포인트를 클릭하면 Mac 주소, NAD IP 주소, NAD 포트 ID/SSID, IPv4 주소 등의 엔드포인트 세부정보가 표시됩니다.
7	애플리케이션 이름을 선택하고 Policy Actions(정책 작업) 드롭다운 목록에서 Create App Compliance(앱 규정 준수 생성) 옵션을 선택하여 애플리케이션 규정 준수 조건 및 교정을 생성할 수 있습니다.

하드웨어 대시보드

Context Visibility(상황 가시성) 아래의 Endpoint Hardware(엔드포인트 하드웨어) 탭을 사용하면 짧은 시간 내에 엔드포인트 하드웨어 인벤토리 정보를 수집, 분석 및 보고할 수 있습니다. 메모리 용량이 낮은 엔드포인트, 엔드포인트의 BIOS 모델/버전을 찾는 등 원하는 정보를 수집할 수 있습니다. 이러한 결과를 기반으로 메모리 용량을 늘리거나 BIOS 버전을 업그레이드할 수 있습니다. 자산 구매를 계획하기 전에 요건을 평가할 수 있습니다. 적시에 리소스를 교체할 수 있습니다. 모듈을 설치하거나 엔드포인트와 상호 작용하지 않고도 해당 정보를 수집할 수 있습니다. 요약하면, 자산 라이프 사이클의 효과적인 관리가 가능해집니다.

Context Visibility(상황 가시성) > Endpoints(엔드포인트) > Hardware(하드웨어) 페이지는 Manufacturers(제조업체) 및 Endpoint Utilizations(엔드포인트 사용률) dashlet에 표시됩니다. 이러한 dashlet에는 선택한 필터에 따라 변경사항이 반영됩니다. Manufacturers(제조업체) dashlet에는 Windows 및 Mac OS가 있는 엔드포인트의 하드웨어 인벤토리 세부정보가 표시됩니다. Endpoint Utilizations(엔드포인트 사용률) dashlet에는 엔드포인트의 CPU, 메모리 및 디스크 사용률이 표시됩니다. 3가지 옵션 중 하나를 선택하여 사용률을 백분율로 볼 수 있습니다.

n% 이상의 CPU 사용량을 보이는 디바이스
n% 이상의 메모리 사용량을 보이는 디바이스
n% 이상의 디스크 사용량을 보이는 디바이스

참고	하드웨어 인벤토리 데이터가 ISE GUI에 표시되는 데 120초가 걸립니다. 포스처 규정 준수 및 규정 미준수 상태에 대해 하드웨어 인벤토리 데이터가 수집됩니다.

참고	Hardware Visibility(하드웨어 가시성) 페이지의 빠른 필터를 적용하려면 3자 이상이어야 합니다. 빠른 필터가 효율적으로 작동하도록 하는 또 다른 방법은 문자를 입력한 후 다른 열 속성의 필터를 클릭하는 것입니다. 이 표는 하드웨어 관련 속성을 기준으로 필터링하는 데만 사용되므로 일부 열 속성은 회색으로 표시됩니다. 운영체제 필터는 Manufacturers(제조업체) 차트에만 적용됩니다. 아래 표와는 관련이 없습니다.

엔드포인트 및 연결된 외부 디바이스의 하드웨어 속성이 표 형식으로 표시됩니다. 다음과 같은 하드웨어 속성이 표시됩니다.

MAC 주소
BIOS 제조업체
BIOS 일련 번호
BIOS 모델
연결된 디바이스
CPU 이름
CPU 속도(GHz)
CPU 사용량(%)
코어 수
프로세스 수
메모리 크기(GB)
메모리 사용량(%)
총 내부 디스크 크기(GB)
사용 가능한 총 내부 디스크 크기(GB)
총 내부 디스크 사용량(%)
내부 디스크 수
NAD 포트 ID
상태
네트워크 디바이스 이름
위치
UDID
IPv4 주소
사용자 이름
호스트 이름
OS 유형
비정상적 동작
엔드포인트 프로파일
설명
엔드포인트 유형
ID 그룹
등록 날짜
ID 저장소
권한 부여 프로파일

엔드포인트에 해당하는 Attached Devices(연결된 디바이스) 열의 번호를 클릭하면 현재 엔드포인트에 연결된 USB 디바이스의 이름, 범주, 제조업체, 유형, 제품 ID 및 벤더 ID를 볼 수 있습니다.

참고	Cisco ISE는 클라이언트 시스템의 하드웨어 속성을 프로파일링하지만, Cisco ISE가 프로파일링하지 않는 몇 가지 하드웨어 속성이 있을 수 있습니다. 이러한 하드웨어 속성은 Hardware Context Visibility(하드웨어 상황 가시성) 페이지에 나타나지 않을 수 있습니다.

하드웨어 인벤토리 데이터 수집 간격은 Administration(관리) > System(시스템) > Settings(설정) > Posture(포스처) > General Settings(일반 설정) 페이지에서 제어할 수 있습니다. 기본 간격은 5분입니다.

Dashlet

다음 이미지는 dashlet의 예입니다.

열린 새 창 아이콘을 클릭하면 새 브라우저 창에서 이 dashlet이 열립니다. 파이 차트가 새로 고쳐집니다. 이 dashlet을 삭제하려면 X를 클릭합니다. 이 옵션은 홈 페이지에서만 사용할 수 있습니다. 화면 오른쪽 상단의 기어 기호를 사용하면 상황 가시성 창에서 dashlet이 삭제됩니다.
일부 dashlet은 데이터 범주가 서로 다릅니다. 해당 데이터 집합이 포함된 원형 차트를 보려면 범주를 클릭합니다.
원형 차트에는 선택한 데이터가 표시됩니다. 원 세그먼트 중 하나를 클릭하면 해당 원 세그먼트를 기준으로 필터링된 데이터를 포함한 새 탭이 열립니다.

홈 페이지 대시보드에서 원도표의 섹션을 클릭하여 새 브라우저 창에서 차트를 엽니다. 새 창에는 클릭한 원도표의 섹션을 기준으로 필터링된 데이터가 표시됩니다.

Context Visibility(상황 가시성) 창에서 원도표의 섹션을 클릭하면 표시되는 데이터는 필터링되지만 상황은 변경되지 않습니다. 필터링된 데이터를 동일한 브라우저 창에서 볼 수 있습니다.

보기에서 표시되는 데이터 필터링

Context Visibility(상황 가시성) 창에서 dashlet을 클릭하면 클릭하여 표시하는 항목을 기준으로 해당 데이터가 필터링됩니다. 예를 들어, 원도표의 섹션을 클릭하면 선택한 섹션의 데이터가 필터링되어 표시됩니다.

Network Devices(네트워크 디바이스)dashlet에서 defau...evice를 클릭하는 경우 다음 이미지와 같이 새 창이 데이터와 함께 나타납니다.

원도표의 추가 섹션을 클릭하여 데이터를 추가로 필터링합니다. Filter(필터) 드롭다운 목록 또는 데이터 목록의 오른쪽 상단 모서리에 있는 기어 아이콘을 사용하여 표시되는 데이터를 관리할 수도 있습니다.

맞춤형 필터를 저장합니다.

사용자 맞춤화 필터 생성

나만 액세스할 수 있는 사용자별 맞춤형 필터를 생성하고 저장합니다. Cisco ISE에 로그인하는 다른 사용자는 사용자가 생성하는 맞춤형 필터를 볼 수 없습니다. 사용자 정의 필터는 Cisco ISE 데이터베이스에 저장되지 않습니다. Cisco ISE에 로그인하는 모든 컴퓨터 또는 브라우저에서 액세스할 수 있습니다.

프로시저

단계 1	Filter(필터)를 클릭하고 Advanced Filter(고급 필터) 드롭다운 목록을 선택합니다.
단계 2	필터 메뉴에서 필드, 연산자, 값 등의 검색 속성을 지정합니다.
단계 3	조건을 더 추가하려면 +를 클릭합니다.
단계 4	Go(이동)를 클릭하여 지정한 속성과 일치하는 엔트리를 표시합니다.
단계 5	필터를 저장하려면 Save(저장)를 클릭합니다.
단계 6	이름을 입력하고 Save(저장)를 클릭합니다. 이제 필터가 Filter(필터) 드롭다운 목록에 표시됩니다.

고급 필터를 사용하여 조건별로 데이터 필터링

고급 필터를 사용하면 이름 = Mike, 사용자 그룹 = 직원과 같이 지정된 조건에 따라 정보를 필터링할 수 있습니다. 조건은 여러 개 지정할 수 있습니다.

프로시저

단계 1	Filter(필터)를 클릭하고 Advanced Filter(고급 필터) 드롭다운 목록을 선택합니다.
단계 2	Filter(필터) 메뉴에서 필드, 연산자, 값 등의 검색 속성을 지정합니다.
단계 3	조건을 더 추가하려면 +를 클릭합니다.
단계 4	Go(이동)를 클릭하여 지정한 속성과 일치하는 엔트리를 표시합니다.

빠른 필터를 사용하여 필드 속성을 기준으로 데이터 필터링

빠른 필터를 사용하면 목록 페이지에 표시되는 필드 속성에 대해 값을 입력하고, 페이지를 새로 고치고, 필터 기준과 일치하는 기록만 나열할 수 있습니다.

프로시저

단계 1	Filter(필터)를 클릭하고 드롭다운 목록에서 Quick Filter(빠른 필터)를 선택합니다.
단계 2	속성 필드 중 하나 이상에 검색 기준을 입력하면 지정한 속성과 일치하는 엔트리가 자동으로 표시됩니다.

Dashlet 보기의 엔드포인트 작업

목록 상단의 툴바를 사용하면 선택한 목록의 엔드포인트에 대한 작업을 수행할 수 있습니다. 모든 목록에 대해 모든 작업이 활성화되는 것은 아닙니다. 일부 작업은 사용하도록 설정된 기능에 따라 달라집니다. 다음 목록에는 Cisco ISE에서 사용하기 전에 활성화해야 하는 두 가지 엔드포인트 작업이 나와 있습니다.

Adaptive Network Control Actions(적응형 네트워크 제어 작업)

적응형 네트워크 제어가 활성화된 경우 목록에서 엔드포인트를 선택하고 네트워크 액세스를 할당하거나 취소할 수 있습니다. CoA(Change of Authorization)를 실행할 수도 있습니다.

Adaptive Network Service(적응형 네트워크 서비스) 창에서 Cisco ISE의 적응형 네트워크 서비스 또는 엔드포인트 보호 서비스를 활성화합니다. Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 클릭하고Administration(관리) > System(시스템) > Settings(설정) > Endpoint Protection Service(엔드포인트 보호 서비스) > Adaptive Network Control(적응형 네트워크 제어)를 선택합니다. 자세한 내용은 Cisco ISE 관리 가이드: 유지 관리 및 모니터링의 Cisco ISE에서 적응형 네트워크 제어 활성화 섹션을 참고하십시오 참고.

홈 페이지 dashlet에서 원도표를 클릭하면 표시되는 새 창에 ANC 및 Change Authorization(인증 변경) 옵션이 포함됩니다. 작업을 수행할 엔드포인트의 확인란을 선택하고 ANC 및 Change Authorization(인증 변경) 드롭다운 목록에서 필요한 작업을 선택합니다.

그림 5. Dashlet 보기의 엔드포인트 작업
MDM 작업

MDM 서버를 Cisco ISE에 연결하는 경우 선택한 엔드포인트에서 MDM 작업을 수행할 수 있습니다. MDM Actions(MDM 작업) 드롭다운 목록에서 필요한 작업을 선택합니다.

Cisco ISE 대시보드

Cisco ISE 대시보드 또는 홈 페이지(Menu(메뉴) 아이콘()을 클릭하고 대시보드를 선택)는 Cisco ISE 관리 포털에 로그인한 후에 표시되는 랜딩 페이지입니다. 대시보드는 창 위쪽에 메트릭 측정기가 표시되고 아래에는 dashlet이 구성된 중앙 집중식 관리 콘솔입니다. 기본 대시보드는 Summary(요약), Endpoints(엔드포인트), Guests(게스트), Vulnerability(취약점) 및 Threat(위협)입니다. Cisco ISE 홈 대시보드를 참조하십시오.

참고	Cisco ISE 기본 PAN 포털에서만 이 대시보드 데이터를 볼 수 있습니다.

대시보드의 실시간 데이터는 네트워크에 액세스하는 디바이스 및 사용자의 상태와 함께 시스템 상태 개요를 한눈에 볼 수 있도록 제공합니다.

대시보드 설정에 대한 드롭다운 목록을 보려면 두 번째 레벨 메뉴 모음에서 기어 아이콘을 클릭합니다. 다음 표에는 드롭다운 목록에서 사용 가능한 대시보드 설정 옵션에 대한 설명이 포함되어 있습니다.

드롭다운 목록 옵션

설명

Add New Dashboard(새 대시보드 추가)

기본 대시보드 5개를 포함하여 최대 20개의 대시보드를 구성할 수 있습니다.

Rename Dashboard(대시보드 이름 바꾸기)

(이 옵션은 사용자 지정 대시보드에만 사용 가능) 대시보드 이름을 바꾸려면 다음을 수행합니다.

Rename Dashboard(대시보드 이름 바꾸기)를 클릭합니다.
새 이름을 지정합니다.
Apply(적용)를 클릭합니다.

Add Dashlet(Dashlet 추가)

홈페이지 대시보드에 dashlet을 추가하려면 다음 단계를 수행합니다.

Add Dashlet(s)(dashlet 추가)를 클릭합니다.
Add Dashlets(dashlet 추가) 창에서 추가할 dashlet 옆에 있는 Add(추가)를 클릭합니다.

Save(저장)를 클릭합니다.

참고	대시보드당 최대 9개의 dashlet을 추가할 수 있습니다.

Export(내보내기)

대시보드 데이터를 PDF 또는 CSV 파일로 내보낼 수 있습니다.

Export(내보내기)를 클릭합니다.
Export(내보내기) 대화 상자에서 다음 파일 형식 중 하나의 옆에 있는 라디오 버튼을 선택합니다.
- PDF: 선택한 dashlet의 스냅샷을 볼 수 있는 PDF 형식을 선택합니다.
- CSV: 선택한 대시보드 데이터를 zip 파일로 다운로드할 수 있는 CSV 형식을 선택합니다.
Export(내보내기) 대화 상자에서 내보낼 dashlet 옆에 있는 확인란을 선택합니다.
Export(내보내기)를 클릭합니다.

zip 파일에는 선택한 대시보드의 개별 dashlet CSV 파일이 포함됩니다. dashlet의 각 탭과 관련된 데이터는 해당 dashlet CSV 파일에서 별도의 섹션으로 표시됩니다.

맞춤형 대시보드를 내보내면 zip 파일이 같은 이름으로 내보내집니다. 예를 들어 이름이 MyDashboard인 맞춤형 대시보드를 내보내는 경우 내보낸 파일 이름은 MyDashboard.zip입니다.

Layout Template(레이아웃 템플릿)

dashlet이 표시되는 템플릿의 레이아웃을 변경할 수 있습니다.

레이아웃을 변경하려면 다음을 수행합니다.

Layout Template(레이아웃 템플릿)을 클릭합니다.
사용 가능한 옵션에서 원하는 레이아웃을 선택합니다.

Manage Dashboards(대시보드 관리)

Manage Dashboards(대시보드 관리)를 클릭하고 다음 옵션 중 하나를 선택합니다.

Mark as Default Dashboard(기본 대시보드로 지정): 대시보드를 기본 대시보드(홈페이지)로 설정하려면 이 옵션을 사용합니다.
Reset all Dashboards(모든 대시보드 재설정): 모든 대시보드를 원래 설정으로 재설정하려면 이 옵션을 사용합니다.

해당하는 맞춤형 대시보드 옆의 닫기(x) 아이콘을 클릭하여 생성한 대시보드를 삭제할 수 있습니다.

참고	기본 대시보드는 이름을 바꾸거나 삭제할 수 없습니다.

각 dashlet의 오른쪽 상단에는 다음 작업을 수행할 수 있는 도구 모음이 있습니다.

Detach(분리): dashlet을 별도의 창에서 확인합니다.
Refresh(새로 고침): dashlet을 새로 고칩니다.
Remove(제거): 대시보드에서 dashlet을 제거합니다.

dashlet의 왼쪽 상단 모서리에 있는 위치 조정 아이콘을 사용하여 dashlet을 끌어다 놓을 수 있습니다.

알람 dashlet에는 Severity(심각도) 열에 대한 빠른 필터가 포함되어 있습니다. Severity(심각도) 드롭다운 목록에서 Critical(위험), Warning(경고) 또는 Info(정보)를 선택하여 심각도별로 알람을 필터링할 수 있습니다.

Cisco ISE 국제화 및 현지화

Cisco ISE 국제화를 통해 지원되는 언어에 맞게 사용자 인터페이스가 변경됩니다. 사용자 인터페이스의 현지화는 위치별 구성 요소와 번역된 텍스트를 통합합니다. Windows, MAC OSX 및 Android 디바이스에서는 기본 신청자 프로비저닝 마법사를 지원되는 다음 언어로 사용할 수 있습니다.

Cisco ISE의 국제화 및 현지화 지원에서는 최종 사용자가 접하는 포털 및 관리 포털의 선택적 필드에 대해 영어가 아닌 텍스트를 UTF-8 인코딩으로 지원하는 데 초점을 맞춥니다.

지원되는 언어

Cisco ISE는 다음 언어 및 브라우저 로캘에 대한 국제화와 현지화를 지원합니다.

표 3. 지원되는 언어 및 로캘
언어	브라우저 로캘
중국어(번체)	zh-tw
중국어(간체)	zh-cn
체코어	cs-cz
네덜란드어	nl-nl
영어	en
프랑스어	fr-fr
독일어	de-de
헝가리어	hu-hu
이탈리아어	it-it
일본어	ja-jp
한국어	ko-kr
폴란드어	pl-pl
포르투갈어(브라질)	pt-br
러시아어	ru-ru
스페인어	es-es

최종 사용자 웹 포털 현지화

게스트, 스폰서, 내 디바이스 및 클라이언트 프로비저닝 포털은 지원되는 모든 언어 및 로캘로 현지화됩니다. 현지화되는 항목에는 텍스트, 레이블, 메시지, 필드 이름 및 버튼 레이블이 포함됩니다. 클라이언트 브라우저가 Cisco ISE의 템플릿으로 매핑되지 않는 로캘을 요청하는 경우 포털에서는 영어 템플릿을 사용하여 콘텐츠를 표시합니다.

관리 포털을 사용하여 각 언어에 대해 게스트, 스폰서 및 내 디바이스 포털에 사용되는 필드를 수정할 수 있습니다. 다른 언어를 추가할 수도 있습니다. 현재 클라이언트 프로비저닝 포털의 경우에는 이러한 필드를 사용자 맞춤화할 수 없습니다.

Cisco ISE에 HTML 페이지를 업로드하여 게스트 포털을 추가로 사용자 맞춤화할 수 있습니다. 사용자 맞춤화된 페이지를 업로드할 때는 구축에 대해 적절한 현지화를 지원해야 합니다. Cisco ISE는 지침으로 사용 가능한 샘플 HTML 페이지가 포함된 현지화 지원 예제를 제공합니다. Cisco ISE는 사용자 맞춤화 다국어 HTML 페이지를 업로드, 저장 및 렌더링하는 기능도 제공합니다.

참고	NAC 및 MAC Agent 설치 프로그램과 WebAgent 페이지는 현지화되지 않습니다.

UTF-8 문자 데이터 입력 지원

Cisco 클라이언트 에이전트나 supplicant 또는 스폰서/게스트/내 디바이스/클라이언트 프로비저닝 포털을 통해 최종 사용자에게 표시되는 Cisco ISE 필드는 모든 언어에 대해 UTF-8 문자 집합을 지원합니다. UTF-8은 히브리어, 산스크리트어, 아랍어 등의 여러 언어 문자 집합을 포함하는 유니코드 문자 집합용 멀티바이트 문자 인코딩입니다.

문자 값은 관리 컨피그레이션 데이터베이스에 UTF-8로 저장되며 UTF-8 문자는 보고서 및 사용자 인터페이스 구성 요소에 올바르게 표시됩니다.

UTF-8 인증서 인증

네트워크 액세스 인증에서는 UTF-8 사용자 이름 및 비밀번호 자격 증명을 지원합니다. 여기에는 게스트 및 관리 포털 로그인 인증에서 사용되는 RADIUS, EAP(Extensible Authentication Protocol), RADIUS 프록시, RADIUS 토큰 및 웹 인증이 포함됩니다. 사용자 이름 및 비밀번호에 대한 UTF-8 지원은 로컬 ID 저장소에 대한 인증 및 외부 ID 저장소에 대한 인증에 모두 적용됩니다.

UTF-8 인증은 네트워크 로그인에 사용되는 클라이언트 신청자에 따라 달라집니다. 일부 Windows 기본 신청자는 UTF-8 자격 증명을 지원하지 않습니다.

참고	RSA는 UTF-8 사용자를 지원하지 않으므로 RSA를 사용하는 UTF-8 인증은 지원되지 않습니다. 또한 Cisco ISE와 호환되는 RSA 서버도 UTF-8을 지원하지 않습니다.

UTF-8 정책 및 Posture Assessment

속성 값에서 조건이 지정된 Cisco ISE의 정책 규칙은 UTF-8 텍스트를 포함할 수 있습니다. 규칙 평가에서는 UTF-8 속성 값이 지원됩니다. 또한 관리 포털을 통해 UTF-8 값으로 조건을 구성할 수 있습니다.

포스처 요건은 UTF-8 문자배열을 기준으로 파일, 애플리케이션 및 서비스 조건으로 수정할 수 있습니다.

신청자에게 전송되는 메시지에 대한 UTF-8 지원

RSA 프롬프트와 메시지는 RADIUS 속성 REPLY-MESSAGE를 사용하거나 EAP 데이터 내에 포함되어 신청자에게 전달됩니다. UTF-8 데이터를 포함하는 텍스트는 클라이언트의 로컬 운영체제 언어 지원을 기반으로 하여 신청자에게 표시됩니다. 일부 Windows 기본 신청자는 UTF-8 자격 증명을 지원하지 않습니다.

Cisco ISE 프롬프트 및 메시지는 supplicant를 실행 중인 클라이언트 운영체제의 로캘과 동기화되지 않을 수 있습니다. 그러므로 Cisco ISE에서 지원하는 언어에 맞게 최종 사용자 신청자 로캘을 조정해야 합니다.

보고서 및 경보 UTF-8 지원

모니터링 및 문제 해결 보고서와 경보는 Cisco ISE에서 지원하는 언어에 대해 관련 속성의 UTF-8 값을 지원합니다. 다음 활동이 지원됩니다.

라이브 인증 보기.
보고서 기록의 세부 페이지 보기.
보고서 내보내기 및 저장.
Cisco ISE 대시보드 보기.
경보 정보 보기.
tcpdump 데이터 보기.

포털의 UTF-8 문자 지원

Cisco ISE 필드에서는 포털 및 최종 사용자 메시지 현지화에 대해 현재 지원되는 것보다 훨씬 더 많은 문자 집합(UTF-8)이 지원됩니다. 예를 들어 Cisco ISE에서는 히브리어, 아랍어 등 오른쪽에서 왼쪽 방향의 언어를 지원하지 않습니다(해당 문자 집합 자체는 지원됨).

다음 표에는 데이터 입력 및 보기에 대해 UTF-8 문자를 지원하는 관리 및 최종 사용자 포털의 필드와 관련 제한 사항이 나와 있습니다.

Cisco ISE는 UTF-8 문자를 포함하는 게스트 사용자 이름 및 비밀번호를 지원하지 않습니다.
Cisco ISE는 인증서의 UTF-8 문자를 지원하지 않습니다.

표 4. 관리 포털 UTF-8 문자 필드
관리 포털 요소	UTF-8 필드
네트워크 액세스 사용자 컨피그레이션	Username(사용자 이름) 사용자 이름에는 대문자, 소문자, 숫자, 공백 및 특수 문자를 포함할 수 있습니다(`, %, ^, ;, :, [, {, \|, }, ], \, ‘, “, =, <, >, ?, !, 그리고 제어문자는 제외) 공백만 포함된 사용자 이름은 제출할 수 없습니다. 이름 성 이메일
사용자 목록	모든 필터 필드 User List(사용자 목록) 창에 값이 표시됩니다. 왼쪽 탐색 간단히 보기에 표시되는 값
사용자 비밀번호 정책	비밀번호는 대문자, 소문자, 숫자, 특수 문자를 포함할 수 있습니다(!, @, #, $, ^, &, *, (, and 포함). 비밀번호 필드는 UTF-8 문자를 포함한 모든 문자를 허용하지만 제어문자는 허용하지 않습니다. 일부 언어의 경우 대문자 또는 소문자 알파벳이 없습니다. 사용자 비밀번호 정책상 사용자가 대문자 또는 소문자로 비밀번호를 입력해야 하는데 사용자 언어가 이러한 문자를 지원하지 않는 경우 사용자는 비밀번호를 설정할 수 없습니다. 사용자 비밀번호 필드에서 UTF-8 문자를 지원하도록 하려면 사용자 비밀번호 정책 페이지(Menu(메뉴) 아이콘을 클릭하고 Administration(관리) > Identity Management(ID 관리) > Settings(설정) > User Authentication Settings(사용자 인증 설정) > Password Policy(비밀번호 정책)선택)에서 다음 확인란을 선택 취소해야 합니다. 소문자 알파벳 문자 대문자 알파벳 문자 사전상의 단어, 그 문자를 역순으로 배열한 단어 또는 그 문자를 다른 문자로 대체한 단어는 사용할 수 없습니다.
관리자 목록	모든 필터 필드 관리자 목록 창에 표시되는 값. 왼쪽 탐색 간단히 보기에 표시되는 값
관리자 로그인 페이지	Username(사용자 이름)
RSA	Messages(메시지) Prompts(프롬프트)
RADIUS 토큰	Authentication(인증) 탭 > Prompt(프롬프트)
포스처 요건	Name(이름) Remediation action(교정 작업) > Message shown to Agent User(에이전트 사용자에게 표시되는 메시지) Requirement(요건) 목록 표시
포스처 조건	Policy(정책) > Policy Elements(정책 요소) > Conditions(조건) > Posture(포스처) 창의 다음 필드: File Condition(파일 조건) > Add(추가) > File Path(파일 경로). Application Condition(애플리케이션 조건) > Add(추가) > Process Name(프로세스 이름). Service Condition(서비스 조건) > Add(추가) > Service Name(서비스 이름). Conditions(조건) 목록 표시
게스트 및 내 디바이스 설정	Sponsor(스폰서) > Language Template(언어 템플릿): 지원되는 모든 언어/모든 필드 Guest(게스트) > Language Template(언어 템플릿): 지원되는 모든 언어/모든 필드 My Devices(내 디바이스) >Language Template(언어 템플릿): 지원되는 모든 언어/모든 필드
시스템 설정	SMTP Server(SMTP 서버) > Default e-mail address(기본 이메일 주소)
Operations(작업) > Alarms(경보) > Rule(규칙)	Criteria(기준) > User(사용자) Notification(알림) > e-mail Notification(이메일 알림) 사용자 목록
Operations(작업) > Reports(보고서)	Operations(작업) > Live Authentications(라이브 인증) > Filter(필터) 필드 Operations(작업) > Reports(보고서) > Catalog(카탈로그) > Report(보고서) 필터 필드
Operations(작업) > Troubleshoot(문제 해결)	General Tools(일반 도구) > RADIUS Authentication Troubleshooting(RADIUS 인증 문제 해결) > Username(사용자 이름)
정책	Authentication(인증) > 정책 조건 내의 안티바이러스식의 값 Authorization or posture or client provisioning(권한 부여, 포스처, 또는 클라이언트 프로비저닝) > other conditions(기타 조건) > 정책 조건 내의 안티바이러스식의 값
정책 라이브러리 조건의 속성 값	Authentication(인증) > simple condition or compound condition(단순 조건 또는 복합 조건) > 안티바이러스식의 값 Authentication(인증) > simple condition(단순 조건) 목록 표시 Authentication(인증) > simple condition(단순 조건) 목록 > left navigation quick view(왼쪽 탐색 간단히 보기) 표시 Authorization(권한 부여) > simple condition or compound condition(단순 조건 또는 복합 조건) > 안티바이러스식의 값 Authorization(권한 부여) > simple condition(단순 조건) 목록 > left navigation quick view(왼쪽 탐색 간단히 보기) 표시 Posture(포스처) > Dictionary simple condition or Dictionary compound condition(사전 단순 조건 또는 사전 복합 조건) > 안티바이러스식의 값 Guest(게스트) > simple condition or compound condition(단순 조건 또는 복합 조건) > 안티바이러스식의 값

Cisco ISE 사용자 인터페이스 외부에서 UTF-8 지원

이 섹션에서는 UTF-8을 지원하는 Cisco ISE 사용자 인터페이스 외부의 영역에 대해 설명합니다.

디버그 로그 및 CLI 관련 UTF-8 지원

일부 디버그 로그에서는 속성 값 및 포스처 조건 세부정보가 표시됩니다. 모든 디버그 로그는 UTF-8 값을 허용합니다. 원시 UTF-8 데이터가 포함된 디버그 로그를 다운로드할 수 있으며, UTF-8을 지원하는 뷰어에서 이 로그를 볼 수 있습니다.

Cisco Secure ACS 마이그레이션 UTF-8 지원

Cisco ISE에서는 Cisco Secure ACS(Access Control Server) UTF-8 구성 개체와 값을 마이그레이션할 수 있습니다. 일부 UTF-8 개체의 마이그레이션은 Cisco ISE UTF-8 언어에서 지원되지 않을 수도 있으므로 관리 포털 또는 보고서를 사용하는 방법으로는 마이그레이션 중에 제공되는 일부 UTF-8 데이터를 읽지 못할 수 있습니다. Cisco Secure ACS에서 마이그레이션되는 읽을 수 없는 UTF-8 값을 ASCII 텍스트로 변환합니다. Cisco Secure ACS에서 Cisco ISE 로의 마이그레이션에 대한 자세한 내용은 사용 중인 Cisco ISE 버전의 Cisco Secure ACS to Cisco ISE Migration Tool을 참고하십시오.

UTF-8 값 가져오기 및 내보내기 지원

관리 및 스폰서 포털에서는 사용자 계정 세부정보를 가져올 때 UTF-8 값을 포함하는 .csv 파일과 일반 텍스트를 사용할 수 있습니다. 내보낸 파일은 csv 파일로 제공됩니다.

REST에 대한 UTF-8 지원

외부 REST(Representational State Transfer) 통신은 UTF-8 값을 지원합니다. 이 지원은 Cisco ISE 사용자 인터페이스에서 UTF-8이 지원되는 구성 가능한 항목(관리자 인증은 제외)에 적용됩니다. REST의 관리자 인증에서는 로그인에 ASCII 텍스트 자격 증명을 사용해야 합니다.

ID 저장소 권한 부여 데이터에 대한 UTF-8 지원

Cisco ISE에서는 Active Directory 및 LDAP(Active Directory 및 LDAP)가 정책 처리를 위해 권한 부여 정책에 UTF-8 데이터를 사용할 수 있도록 허용합니다.

MAC 주소 정규화

Cisco ISE는 다음 형식으로 입력되는 MAC 주소의 정규화를 지원합니다.

00-11-22-33-44-55
0011.2233.4455
00:11:22:33:44:55
001122334455
001122-334455

다음 Cisco ISE 창에서는 전체 또는 부분 MAC 주소를 제공합니다.

Policy(정책) > Policy Sets(정책 집합)
Policy(정책) > Policy Elements(정책 요소) > Conditions(조건) > Authorization(권한 부여)
Authentications(인증) > Filters(필터)(엔드포인트 및 ID 열)
글로벌 검색
Operations(작업) > Reports(보고서) > Reports Filters(보고서 필터)
Operations(작업) > Troubleshoot(문제 해결) > Diagnostic Tools(진단 도구) > General Tools(일반 도구) > Endpoint Debug(엔드포인트 디버그).

다음 Cisco ISE 창에서 전체 MAC 주소(‘:’ 또는 ‘-’ 또는 ‘.’로 구분된 6개 옥텟)를 제공합니다.

Operations(작업) > Endpoint Protection Services(엔드포인트 보호 서비스) Adaptive Network Control(적응형 네트워크 제어)
Operations(작업) > Troubleshoot(문제 해결) > Diagnostic Tools(진단 도구) > General Tools(일반 도구) > RADIUS Authentication Troubleshooting(RADIUS 인증 문제 해결)
Operations(작업) > Troubleshoot(문제 해결) > Diagnostic Tools(진단 도구) > General Tools(일반 도구) > Posture Troubleshooting(포스처 문제 해결)
Administration(관리) > Identities(ID) > Endpoints(엔드포인트)
Administration(관리) > System(시스템) > Deployment(구축)
Administration(관리) > Logging(로깅) > Collection Filter(수집 필터)

REST API는 전체 MAC 주소의 정규화도 지원합니다.

옥텟의 유효 범위는 0~9, a~f 또는 A~F입니다.

Cisco ISE 구축 업그레이드

Cisco ISE는 관리 포털에서 GUI 기반 중앙 집중식 업그레이드를 제공합니다. 업그레이드 진행률 및 노드의 상태가 Cisco ISE GUI에 표시됩니다. 사전 및 사후 업그레이드 작업에 대한 자세한 내용은 업그레이드하려는 Cisco ISE 릴리스에 대한 Cisco Identity Services Engine 업그레이드 가이드를 참고하십시오.

업그레이드 Overview(개요) 창(Administration(관리) > System(시스템) > Upgrade(업그레이드) > Overview(개요)) 구축의 모든 노드, 해당 노드에서 활성화된 페르소나, 현재 사용 중인 Cisco ISE 버전 및 각 노드의 상태(노드가 활성 상태인지 비활성 상태인지를 나타냄)가 나열됩니다. 노드가 Active(활성) 상태여야 업그레이드를 시작할 수 있습니다.

관리자 액세스 콘솔

다음 단계에서는 관리 포털에 로그인하는 방법을 설명합니다.

프로시저

단계 1

브라우저의 주소 표시줄에서 Cisco ISE URL을 입력합니다(예: https://<ise 호스트 이름 또는 IP 주소>/admin/).

단계 2

초기 Cisco ISE 설정 시 지정 및 구성한 대/소문자를 구분하는 비밀번호와 사용자 이름을 입력합니다.

단계 3

Login(로그인)을 클릭하거나 Enter를 누릅니다.

로그인이 실패하면 로그인 페이지에서 Problem logging in?(로그인하는 데 문제가 있나요?) 링크를 클릭하여 지침을 따릅니다.

관리자 로그인 브라우저 지원

Cisco ISE 관리 포털은 다음의 HTTPS 사용 가능 브라우저를 지원합니다.

Mozilla Firefox 79 이하 버전
Mozilla Firefox ESR 60.9 이하 버전
Google Chrome 84 이하 버전

ISE 커뮤니티 리소스

Adblock Plus 사용 시 ISE 페이지가 완전히 로드되지 않는 경우

실패한 로그인 시도 이후에 관리자 잠금

관리 사용자 ID의 비밀번호를 여러 번 잘못 입력하면 지정된 시간 동안 구성에 따라 계정이 일시 중단되거나 잠기게 됩니다. Cisco ISE가 사용자를 잠그도록 구성한 경우 관리 포털이 시스템에서 사용자를 잠급니다. Cisco ISE는 서버 관리자 로그인 보고서에 로그 항목을 추가하고 해당 관리자 ID의 자격 증명을 일시 중단합니다. Cisco Identity Services Engine 설치 가이드의 "관리자 잠금에 따라 비활성화된 비밀번호 재설정" 섹션에 설명된 대로 해당 관리자 ID의 비밀번호를 재설정합니다. 관리자 계정을 비활성화하기 전에 허용되는 로그인 시도 실패 횟수는 Cisco Identity Services Engine 관리자 가이드의 "Cisco ISE에 대한 관리 액세스" 섹션에 설명된 대로 구성됩니다. 관리 사용자 계정이 잠기면 Cisco ISE는 해당 정보가 구성된 경우 연결된 사용자에게 이메일을 보냅니다.

슈퍼 관리자 역할(Microsoft Active Directory 사용자 포함)의 관리자만 관리자 액세스 비활성화 옵션을 구성할 수 있습니다.

Cisco ISE의 프록시 설정 구성

기존 네트워크 토폴로지에서 프록시 서버를 사용해 Cisco ISE를 활성화하는 경우 클라이언트 프로비저닝 및 포스처 관련 리소스를 찾을 수 있는 원격 다운로드 사이트와 같은 외부 리소스에 액세스하려면 관리 포털을 사용하여 프록시 설정을 구성할 수 있습니다.

프록시 설정은 다음 Cisco ISE 기능에 영향을 줍니다.

파트너 모바일 관리
엔드포인트 프로파일러 피드 서비스 업데이트
엔드포인트 포스처 업데이트
엔드포인트 포스처 에이전트 리소스 다운로드
CRL(인증서 해지 목록) 다운로드
게스트 알림
SMS 메시지 전송
소셜 로그인

Cisco ISE 프록시 컨피그레이션은 프록시 서버에 대한 기본 인증을 지원합니다. NTLM(NT LAN Manager) 인증은 지원되지 않습니다.

프로시저

단계 1	Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 Administration(관리) > System(시스템) > Settings(설정) > Proxy(프록시)를 선택합니다.
단계 2	프록시 IP 주소 또는 DNS 확인 가능 호스트 이름을 입력하고, 프록시 트래픽이 Cisco ISE에서/Cisco ISE로 이동할 때 사용되는 포트를 Proxy host server : port(프록시 호스트 서버: 포트) 필드에 지정합니다.
단계 3	필요한 경우 Password required(비밀번호 필요) 확인란을 선택합니다.
단계 4	프록시 서버에 인증하는 데 사용되는 사용자 이름과 비밀번호를 User Name(사용자 이름) 및 Password(비밀번호) 필드에 입력합니다. Confirm Password(비밀번호 확인) 필드에 비밀번호를 다시 입력합니다.
단계 5	바이패스해야 하는 호스트나 도메인의 IP 주소 또는 주소 범위를 Bypass proxy for these hosts and domain(다음 호스트 및 도메인에 대해 프록시 바이패스) 텍스트 상자에 입력합니다.
단계 6	Save(저장)를 클릭합니다.

관리 포털에서 사용하는 포트

관리 포털은 HTTP 포트 80 및 HTTPS 포트 443을 사용하며 이러한 설정은 변경할 수 없습니다. 최종 사용자 포털은 어느 것도 직접 구성할 수 없으며 이는 관리 포털에 대한 위험을 줄이기 위함입니다.

Cisco ISE 애플리케이션 프로그래밍 인터페이스 게이트웨이 설정

Cisco ISE API 게이트웨이는 여러 Cisco ISE 서비스 API에 대한 단일 엔트리 포인트 역할을 하여 더 우수한 보안 및 트래픽 관리를 제공하는 API 관리 솔루션입니다. 외부 클라이언트의 API 요청은 Cisco ISE의 API 게이트웨이로 라우팅됩니다. 요청은 내부 알고리즘을 기반으로 서비스 API가 실행 중인 Cisco ISE 노드로 전달됩니다.

Cisco ISE 릴리스 3.0에서는 MnT(모니터링) API만 API 게이트웨이를 통해 라우팅됩니다.

API 게이트웨이를 활성화하려는 Cisco ISE 노드를 선택할 수 있습니다. Cisco ISE 구축의 2개 이상의 노드에서 API 게이트웨이를 실행하는 것이 좋습니다.

프로시저

단계 1	기본 PAN에 로그인합니다.
단계 2	Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Settings(설정) > API Gateway Settings(API 게이트웨이 설정).
단계 3	ISE API Gateway Nodes List(ISE API 게이트웨이 노드 목록) 영역에서 API 게이트웨이를 활성화할 노드 옆의 확인란을 선택합니다.
단계 4	Enable(활성화)을 클릭합니다.

문제 해결

API 게이트웨이와 관련된 문제를 해결하려면 Debug Log Configuration(디버그 로그 컨피그레이션) 창에서 다음 구성 요소의 Log Level(로그 레벨)을 DEBUG로 설정합니다. ( 이 창을 보려면 메뉴 아이콘()을 클릭하고 Operations(운영) > Troubleshoot(문제 해결) > Debug Wizard(디버그 마법사) > Debug Log Configuration(디버그 로그 컨피그레이션)을 선택합니다.)

ise-kong
kong

로그는 Download Logs(로그 다운로드) 창에서 다운로드할 수 있습니다. (이 창을 보려면 메뉴 아이콘()을 클릭하고 Operations(작업) > Troubleshoot(문제 해결) > Dowload Logs(로그 다운로드).) Support Bundle(지원 번들) 탭에 있는 Download(다운로드) 버튼을 클릭하여 지원 번들을 다운로드하거나 Debug Logs(디버그 로그) 탭에서 kong 디버그 로그의 로그 파일 값을 클릭하여 kong 디버그 로그를 다운로드할 수 있습니다.

확인

언제든지 Cisco ISE 기본 PAN에 로그인할 수 있다면 API 게이트웨이 설정이 정상적으로 작동하는 것입니다.

참고	UI가 로그인된 동일한 웹 브라우저의 다른 탭에서 API 게이트웨이를 통해 REST API에 액세스하는 경우 UI가 로그아웃됩니다. 이는 API 게이트웨이 노드가 아닌 원격 노드에서 API를 제공하는 경우에만 발생합니다.

외부 RESTful 서비스 애플리케이션 프로그래밍 인터페이스 활성화

외부 RESTful 서비스 API는 HTTPS 프로토콜 및 REST 방법론을 기반으로 하며 포트 9060을 사용합니다.

외부 RESTful 서비스 API는 기본 인증을 지원합니다. 인증 자격 증명은 암호화되어 있으며 요청 헤더의 일부입니다.

JAVA, cURL linux 명령, Python 또는 기타 모든 클라이언트와 같은 모든 REST 클라이언트를 사용하여 외부 RESTful 서비스 API 호출을 수행할 수 있습니다.

참고	ERS API는 TLS 1.1 및 TLS 1.2를 지원합니다. ERS API는 Security Settings(보안 설정) 창(Administration(관리) > System(시스템) > Settings(설정) > Security Settings(보안 설정))에서 TLS 1.0을 활성화하더라도 TLS 1.0을 지원하지 않습니다. Security Settings(보안 설정) 창에서 TLS 1.0을 활성화하면 EAP 프로토콜에만 관련이 있으며 ERS API에는 영향을 주지 않습니다.

사용자에게 외부 RESTful 서비스 API를 사용하여 작업을 수행하도록 특수 권한을 할당해야 합니다. Cisco ISE 릴리스 2.6 이상에서 외부 RESTful 서비스 사용자는 내부 사용자이거나 외부 Microsoft Active Directory 그룹에 속할 수 있습니다. 외부 사용자가 속한 Active Directory 그룹은 ERS 관리자 또는 ERS 운영자 그룹에 매핑되어야 합니다.

ERS 관리자: 이 사용자는 외부 RESTful 서비스 API 요청을 생성, 읽기, 업데이트 및 삭제할 수 있습니다. 이들은 모든 외부 RESTful 서비스 API(GET, POST, DELETE, PUT) 전체에 액세스할 수 있습니다.
ERS 운영자: 이 사용자에게는 읽기 전용 액세스 권한이 있습니다(GET 요청만 해당).

참고	슈퍼 관리자 역할의 사용자는 모든 외부 RESTful 서비스 API에 액세스할 수 있습니다. ERS 세션 유휴 시간 초과은 60초입니다. 이 기간 동안 여러 요청이 전송되는 경우 동일한 CSRF(Cross-Site Request Forgery) 토큰과 함께 동일한 세션이 사용됩니다. 세션이 60초 이상 유휴 상태인 경우 세션이 재설정되고 새 CSRF 토큰이 사용됩니다.

외부 RESTful 서비스 API는 기본적으로 활성화되어 있지 않습니다. 활성화하지 않고 외부 RESTful 서비스 API 호출을 시도하는 경우 오류 응답이 표시됩니다. Cisco ISE REST API용으로 개발된 애플리케이션에서 Cisco ISE에 액세스할 수 있도록 Cisco ISE REST API를 활성화합니다. Cisco REST API는 기본적으로 HTTPS 포트 9060을 사용합니다. Cisco ISE REST API가 Cisco ISE 관리자 서버에서 활성화되지 않은 경우, 클라이언트 애플리케이션은 모든 게스트 REST API 요청에 대해 서버에서 시간 초과 오류를 수신합니다.

프로시저

단계 1	Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 Administration(관리) > System(시스템) > Settings(설정) > ERS Settings(ERS 설정)를 선택합니다.
단계 2	Enable ERS for Read / Write (읽기 / 쓰기를 위해 ERS 활성화) 라디오 버튼을 클릭하여 PAN (Primary Administration Node)에서 외부 RESTful 서비스를 활성화합니다.
단계 3	구축에 보조 노드가 있는 경우 Enable ERS for Read for All Other Nodes(모든 기타 노드에서 읽기 위한 ERS 활성화) 라디오 버튼을 클릭합니다. 모든 유형의 외부 RESTful 서비스 요청은 기본 ISE 노드에만 유효합니다. 보조 노드에는 읽기-액세스 권한(GET 요청)이 있습니다.
단계 4	CSRF 확인 영역에서 다음 중 하나의 옵션에 해당하는 라디오 버튼을 클릭합니다. Use CSRF Check for Enhanced Security(보안 강화를 위해 CSRF 확인 사용): 이 옵션을 활성화하면 외부 RESTful 서비스 클라이언트는 GET 요청을 전송하여 Cisco ISE에서 CSRF 토큰을 가져오고 Cisco ISE로 전송되는 요청에 CSRF 토큰을 포함해야 합니다. Cisco ISE는 외부 RESTful 서비스 클라이언트에서 요청이 수신되면 CSRF 토큰을 검증합니다. Cisco ISE는 토큰이 유효한 경우에만 요청을 처리합니다. 이 옵션은 Cisco ISE 릴리스 2.3 이전의 외부 RESTful 서비스 클라이언트에는 적용되지 않습니다. Disable CSRF for ERS Request(ERS 요청에 대해 CSRF 비활성화): 이 옵션을 활성화하면 CSRF 검증이 수행되지 않습니다. 이 옵션은 Cisco ISE 2.3 이전의 외부 RESTful 서비스 클라이언트에 사용할 수 있습니다.
단계 5	Save(저장)를 클릭합니다.

모든 REST 작업이 감사되며 로그는 시스템 로그에 기록됩니다. 외부 RESTful 서비스 API에는 디버그 로깅 범주가 있으며 이는 Cisco ISE GUI의 디버그 로깅 창에서 활성화할 수 있습니다.

Cisco ISE에서 외부 RESTful 서비스를 비활성화하면 포트 9060은 열린 상태로 유지되지만 포트를 통한 통신은 허용되지 않습니다.

외부 RESTful 서비스 애플리케이션 프로그래밍 인터페이스에 대한 외부 AD 액세스 활성화

프로시저

단계 1	Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > Identity Management(ID 관리) > External Identity Sources(외부 ID 소스) > Active Directory를 선택합니다.
단계 2	외부 사용자가 속한 Active Directory 그룹을 외부 ID 소스로 추가합니다. Cisco ISE Administrator Guide의 "자산 가시성"장에서 "외부 ID 소스로서의 Active Directory"섹션을 참조하십시오.
단계 3	Active Directory에서 사용자 그룹을 추가합니다. Cisco ISE Administrator Guide의 "자산 가시성"장에서 "사용자 추가"섹션을 참조하십시오.
단계 4	Cisco ISE GUI 메뉴에서 Menu(메뉴) 아이콘()을 클릭한 뒤 Administration(관리) > Admin Access(관리자 액세스) > Authentication(인증) > Authentication Method(인증 방법).
단계 5	Identity Source(ID 소스) 드롭 다운 목록에서 AD:<Join Point Name> ID을 선택합니다.
단계 6	해당 라디오 버튼을 클릭하여 Password Based(비밀번호 기반) 또는 Client Certificate Based(클라이언트 인증서 기반) 인증을 선택합니다.
단계 7	Administration(관리) > System(시스템) > Admin Access(관리자 액세스) > Administrators(관리자) > Admin Groups(관리자 그룹)를 선택합니다.
단계 8	관리 그룹 목록에서 ERS Admin group(ERS 관리자 그룹) 또는 ERS Operator(ERS 운영자)를 클릭합니다.
단계 9	Add (추가)를 클릭하고 외부 사용자를 관리자 그룹에 구성원 사용자로 추가합니다.
단계 10	Save(저장)를 클릭합니다.

Cisco ISE 관리자는 사용자에게 외부 RESTful 서비스 API를 사용하여 작업을 수행하도록 특수 권한을 할당해야 합니다. Cisco ISE 릴리스 2.6 이상에서 외부 RESTful 서비스 사용자는 내부 사용자이거나 외부 Active Directory에 속할 수 있습니다. 외부 사용자가 속한 Active Directory 그룹은 ERS 관리자 또는 ERS 운영자 그룹에 매핑되어야 합니다.

ERS 관리자: 이 사용자는 외부 RESTful 서비스 API 요청을 생성, 읽기, 업데이트 및 삭제할 수 있습니다. 이들은 모든 외부 RESTful 서비스 API(GET, POST, DELETE, PUT) 전체에 액세스할 수 있습니다.
ERS 운영자: 이 사용자에게는 읽기 전용 액세스 권한이 있습니다(GET 요청만 해당).

참고	슈퍼 관리자 역할의 사용자는 모든 외부 RESTful 서비스 API에 액세스할 수 있습니다.

외부 RESTful 서비스 소프트웨어 개발 키트

ERS(외부 RESTful 서비스) SDK(소프트웨어 개발 키트)를 사용하여 고유한 툴을 구축할 수 있습니다. https://<ISE-ADMIN-NODE>:9060/ers/sdk URL에서 외부 RESTful 서비스 SDK에 액세스할 수 있습니다. ERS Admin(ERS 관리자) 역할의 사용자만 외부 RESTful 서비스 SDK에 액세스 할 수 있습니다.

SDK는 다음 구성 요소로 구성됩니다.

빠른 참조 API 설명서.
사용 가능한 모든 API 작업의 전체 목록.
다운로드에 사용 가능한 스키마 파일.
다운로드에 사용 가능한 Java의 샘플 애플리케이션.
cURL 스크립트 형식의 활용 사례.
Python 스크립트 형식의 활용 사례.
Chrome Postman 사용에 대한 지침.

시스템 시간 및 네트워크 시간 프로토콜 서버 설정 지정

Cisco ISE에서는 최대 3개의 NTP 서버를 구성할 수 있습니다. NTP 서버를 사용하면 정확한 시간을 유지하고 서로 다른 표준 시간대 간에 시간을 동기화할 수 있습니다. 또한 Cisco ISE가 인증된 NTP 서버만 사용해야 하는지 여부를 지정할 수 있으며 이를 위해 인증 키를 하나 이상 입력할 수 있습니다.

모든 Cisco ISE 노드는 UTC(협정 세계시) 표준 시간대로 설정하는 것이 좋습니다. 특히 Cisco ISE 노드가 분산형 구축에 설치되어 있는 경우에는 반드시 UTC 표준 시간대를 설정해야 합니다. 이 절차를 수행하면 구축 내 여러 노드의 보고서 및 로그의 타임스탬프가 항상 동기화됩니다.

Cisco ISE는 또한 NTP 서버에 대한 공개 키 인증을 지원합니다. NTPv 버전 4는 대칭 키 암호화를 사용하며, 공개 키 암호화를 기반으로 하는 새로운 Autokey 보안 모델도 제공합니다. 공개 키 암호화는 대칭 키 암호화보다 안전한 것으로 간주됩니다. 이 보안은 각 서버에서 생성되고 절대 공개되지 않는 개인 값을 기반으로 하기 때문입니다. Autokey 보안 모델을 사용하면 모든 키 배포 및 관리 기능에 공개 값만 포함되며, 따라서 키 배포 및 저장이 대폭 간소화됩니다.

Configuration Mode(구성 모드)에서 Cisco ISE CLI의 NTP 서버용 Autokey 보안 모델을 구성할 수 있습니다. 가장 많이 사용하는 IFF(Friend 또는 Foe 식별) 시스템을 이 시스템으로 사용하는 것이 좋습니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리 관리자 역할이 할당되어 있어야 합니다.

기본 및 보조 Cisco ISE 노드가 둘 다 있는 경우에는 각 노드의 사용자 인터페이스에 로그인한 다음 시스템 시간과 NTP(네트워크 시간 프로토콜) 서버 설정을 구성해야 합니다.

프로시저

단계 1

Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 클릭한 다음 Administration(관리) > System(시스템) > Settings(설정) > System Time(시스템 시간) .

단계 2

NTP Server Configuration(NTP 서버 컨피그레이션) 영역에서 NTP 서버의 고유한 IP 주소(IPv4 또는 IPv6 또는 FQDN(Fully Qualified Domain Name) 값)를 입력합니다.

단계 3

(선택 사항) 개인 키를 이용하여 NTP 서버를 인증하고 싶다면 NTP Authentication Keys(NTP 인증 키) 탭을 클릭하고, 지정하는 서버에서 인증 키를 통한 인증을 수행해야 하는 경우 인증 키를 하나 이상 지정합니다. 다음 단계를 수행합니다.

Add(추가)를 클릭합니다.
Key ID(키 ID) 및 Key Value(키 값) 필드에 필요한 값을 입력합니다. HMAC 드롭다운 목록에서 필요한 HMAC(해시 메시지 인증 코드) 값을 선택합니다.Key ID(키 ID) 필드에는 1~65,535 사이의 숫자 값을 입력할 수 있으며 Key Value(키 값) 필드에는 영숫자 문자를 15자까지 입력할 수 있습니다.
OK(확인)를 클릭합니다.
NTP Server Configuration(NTP 서버 컨피그레이션) 탭으로 돌아갑니다.

단계 4

(선택 사항) 공개 키 인증을 사용하여 NTP 서버를 인증하려는 경우 CLI에서 Cisco ISE에 대해 Autokey 보안 모델을 구성합니다. 해당되는 Cisco ISE 릴리스의 Cisco Identity Services Engine CLI 참조 가이드에서 ntp server 및 crypto 명령을 참조하십시오.

참고	Cisco ISE에서는 2개의 NTP 서버만 사용하지 않을 것을 권장합니다.

단계 5

Save(저장)를 클릭합니다.

시스템 표준 시간대 변경

표준 시간대는 설정하고 나면 관리 포털에서 편집할 수 없습니다. 표준 시간대 설정을 변경하려면 Cisco ISE CLI에서 다음 명령을 입력하십시오.

clock timezone timezone

clock timezone 명령에 대한 자세한 내용은 Cisco Identity Services Engine CLI Reference Guide에서 확인하십시오.

참고	Cisco ISE는 표준 시간대 이름 및 출력 약어에서 POSIX(Portable Operating System Interface) 스타일 기호를 사용합니다. 따라서 그리니치 서부 시간대에는 양수 기호가 붙고 그리니치 동부 시간대에는 음수 기호가 붙습니다. 예를 들어 TZ='Etc/GMT+4'는 UT(Universal Time)보다 4시간 늦은 시간에 해당합니다.

경고	설치 후에 Cisco ISE 어플라이언스에서 표준 시간대를 변경하려면 특정 노드에서 ISE 서비스를 다시 시작해야 합니다. 따라서 유지 관리 기간 내에 이러한 변경을 수행하는 것이 좋습니다. 또한 단일 Cisco ISE 구축의 모든 노드는 같은 표준 시간대로 구성해야 합니다. 지리적 위치나 표준 시간대가 다른 Cisco ISE 노드가 있는 경우에는 모든 Cisco ISE 노드에서 UTC 등의 전 세계 표준 시간대를 사용해야 합니다.

알림을 지원하도록 SMTP 서버 구성

Cisco ISE가 다음 목적으로 이메일 알림을 보낼 수 있도록 SMTP 서버를 구성합니다.

경보
스폰서가 로그인 자격 증명 및 비밀번호 재설정 지침이 포함된 이메일 알림을 게스트에게 전송
게스트가 자신을 성공적으로 등록한 후 자동으로 로그인 자격 증명을 수신하고 게스트 계정이 만료되기 전에 필요한 작업 수행

경보 알림의 수신자는 Include system alarms in emails(이메일에 시스템 경보 포함) 옵션이 활성화된 모든 내부 관리 사용자가 될 수 있습니다. 경보 알림을 보내기 위한 보낸 사람의 이메일 주소는 ise@<호스트 이름>으로 하드 코드됩니다.

다음 표에는 분산 Cisco ISE 환경에서 이메일을 전송하는 노드가 나와 있습니다.

표 5. 이메일을 전송하는 Cisco ISE 노드
이메일의 목적	이메일을 전송하는 노드
게스트 액세스 만료	기본 PAN(Policy Administration Node)
경보	활성 MnT(Monitoring and Troubleshooting) 노드
게스트 및 스폰서 포털의 스폰서 및 게스트 알림	PSN(Policy Service Node)
비밀번호 만료	기본 PAN

SMTP(Simple Mail Transfer Protocol) 서버를 구성하려면 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Settings(설정) > SMTP Server(SMTP 서버). 다음 필드를 구성합니다.

SMTP Server Settings(SMTP 서버 설정) 영역에서 다음을 수행합니다.
- SMTP server(SMTP 서버): 아웃바운드 SMTP 서버의 호스트 이름을 입력합니다.
- SMTP Port(SMTP 포트): SMTP 포트 번호를 입력합니다. SMTP 서버에 연결하려면 이 포트를 열어야 합니다.
- Connection Timeout(연결 시간 초과): Cisco ISE가 새 연결을 시작하기 전에 SMTP 서버에 대한 연결을 대기하는 최대 시간을 입력합니다. 시간 초과 값은 초 단위로 구성됩니다.
보안 SMTP 서버와 통신하도록 Encryption Settings(암호화 설정) 영역에서 Use TLS/SSL Encryption(TLS/SSL 암호화 사용) 확인란을 선택합니다. SSL(Secure Sockets Layer)을 사용하는 경우 SMTP 서버의 루트 인증서를 Cisco ISE의 신뢰할 수 있는 인증서에 추가합니다.
SSL 대신 인증에 사용자 이름과 비밀번호를 사용하도록 Authentication Settings(인증 설정) 영역에서 Use Password Authentication(비밀번호 인증 사용) 확인란을 선택합니다.

대화형 도움말

사용자는 인터랙티브 도움말을 사용하여 작업을 쉽게 완료 할 수있는 팁과 단계별 지침을 제공하여 Cisco ISE를 효율적으로 사용할 수 있습니다.

이 기능은 기본적으로 활성화되어 있습니다. 이 기능을 비활성화하려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Settings(설정) > Interactive Help(대화형 도움말)를 선택하고 Enable Interactive Help(대화형 도움말 활성화) 확인란의 선택을 취소합니다.

대화형 도움말 메뉴를 보려면 Show(표시) 버튼을 클릭합니다.

보안 잠금 해제 클라이언트 메커니즘 활성화

Secure Unlock Client 메커니즘은 특정 시간 동안 Cisco ISE CLI에서 루트 쉘(shell) 액세스를 제공합니다. 세션을 종료하거나 닫으면 루트 액세스도 취소됩니다.

Secure Unlock Client 기능은 Consent Token 툴을 사용하여 구현됩니다. Consent Token은 Cisco 제품에 대한 권한 있는 액세스를 신뢰할 수 있는 방식으로 안전하게 부여하기 위한 통합된 다단계 인증 스키마이며, 고객과 Cisco의 상호 동의가 있어야 합니다.

Cisco ISE CLI에서 루트 쉘(shell)을 활성화하려면 다음 단계를 수행합니다.

프로시저

단계 1	Cisco ISE CLI에서 permit rootaccess를 입력합니다. `ise/admin# permit rootaccess 1. Generate Challenge Token Request 2. Enter Challenge Response for Root Access 3. Show History 4. Exit Enter CLI Option:`
단계 2	옵션 1을 선택하여 Consent Token 챌린지를 생성합니다. 1. Generate Challenge Token Request 2. Enter Challenge Response for Root Access 3. Show History 4. Exit Enter CLI Option: 1 Generating Challenge..................................... Challenge String (Please copy everything between the asterisk lines exclusively): *************************************************************************************** GLOX7gAAAQEBAAQAAAABAgAEAAAAAAMACLmJxgub0hitBAAQiUwv+XeD3pnJ4HLnJy30YQUABAAADhAGAANJU0UHAAZJU0VfQ1QIAANJU0UJACcJIDU2NGQ5NjgwLTFmZmEtOWI0ZS0wZjY1LTdlZDllMGQ1M2UzNQo= *************************************************************************************** Starting background timer of 15mins 1. Generate Challenge Token Request 2. Enter Challenge Response for Root Access 3. Show History 4. Exit Enter CLI Option:
단계 3	Consent Token 챌린지를 Cisco TAC(Technical Assistance Center)에 전송합니다. Cisco TAC는 사용자가 제공하는 Consent Token 챌린지를 사용하여 Consent Token 응답을 생성합니다.
단계 4	옵션 2를 선택한 다음 Cisco TAC에서 제공하는 Consent Token 응답을 입력합니다. Enter CLI Option: 2 Please input the response when you are ready ......................... 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 Response Signature Verified successfully ! Granting shell access sh-4.2# ls

참고	응답 서명 확인에 성공하면 권한 있는 액세스가 활성화됩니다.

다음에 수행할 작업

쉘(shell) 모드를 종료하려면 exit 명령을 실행합니다.

sh-4.2# exit
exit
Root shell exited

옵션 3을 선택하여 루트 액세스 세션의 기록을 확인합니다.

1. Generate Challenge Token Request
2. Enter Challenge Response for Root Access
3. Show History
4. Exit
Enter CLI Option: 
3
************************************ 
        SN No : 1 
************************************ 
Challenge 3/WcyAAAAQEBAAQAAAABAgAEAAAAAAMACMt89YhCTVWWBAAQwo9lyianfhO4C5u1+v80AQUABAAADhAGAANJU0UHAAZJU0VfQ1QIAANJU0UJACcJIDU2NGQ5NjgwLTFmZmEtOWI0ZS0wZjY1LTdlZDllMGQ1M2UzNQo= generated at 2019-06-12 15:40:01.000
************************************ 
        SN No : 2 
************************************

FIPS(연방 정보 처리 표준) 모드 지원

Cisco ISE FIPS(연방 정보 처리 표준) 140 모드는 Cisco FIPS 개체 모듈 암호화 모듈을 FIPS 140-2 모드로 초기화합니다. Cisco ISE는 임베디드 FIPS 140-2 검증 암호화 모듈을 사용합니다. FIPS 규정 준수 클레임에 대한 자세한 내용은 FIPS 규정 준수 공문을 참고해 주십시오.

FIPS 모드가 활성화되면 Cisco ISE 관리자 인터페이스에서는 창 오른쪽 상단 모서리에 있는 노드 이름 왼쪽에 FIPS 모드 아이콘이 표시됩니다.

Cisco ISE에서 FIPS 140-2 표준으로 지원되지 않는 프로토콜 또는 인증서의 사용을 탐지하면 규정을 준수하지 않는 프로토콜 또는 인증서의 이름과 함께 경고가 표시되고, FIPS 모드가 활성화되지 않습니다. FIPS 모드를 활성화하기 전에 FIPS 규정 준수 프로토콜만 선택하고 비 FIPS 규정 준수 인증서를 변경해야 합니다.

FIPS에서 인증서에 사용된 암호화 방법을 지원하지 않는 경우 Cisco ISE에 설치된 인증서를 다시 발급받아야 합니다.

FIPS 모드를 활성화하는 경우 영향을 받는 기능은 다음과 같습니다.

SSL(Secure Sockets Layer)을 통한 LDAP(Lightweight Directory Access Protocol)

Cisco ISE는 RADIUS 공유 암호 및 키 관리 수단을 통해 FIPS 140-2 규정 준수를 지원합니다. FIPS 모드가 활성화되면 비 FIPS 규정 준수 알고리즘을 사용하는 기능이 실패합니다.

FIPS 모드를 활성화하는 경우:

모든 비 FIPS 규정 준수 암호 그룹은 EAP-TLS, PEAP 및 EAP-FAST에 대해 비활성화됩니다.
모든 비 FIPS 규정 준수 암호 그룹은 SSH에서 비활성화됩니다.
인증서 및 개인 키는 FIPS 규정 준수 해시 및 암호화 알고리즘만 사용해야 합니다.
RSA 개인 키는 2048 비트 이상이어야 합니다.
ECDSA 개인 키는 224 비트 이상이어야 합니다.
ECDSA 서버 인증서는 TLS 1.2에서만 사용할 수 있습니다.
DHE 암호는 모든 ISE TLS 클라이언트에 대해 2048 비트 이상의 DH 매개변수와 함께 사용할 수 있습니다.
3DES 암호는 Cisco ISE에서 서버로 사용할 수 없습니다.
SHA-1은 인증서 생성에 사용할 수 없습니다.
SHA-1은 클라이언트 인증서에서 사용할 수 없습니다.
EAP-FAST의 익명 PAC 프로비저닝 옵션이 비활성화되었습니다.
로컬 SSH 서버는 FIPS 모드에서 작동합니다.
다음 프로토콜은 RADIUS에서 지원되지 않습니다.
- EAP-MD5
- PAP
- CHAP
- MS-CHAPv1
- MS-CHAPv2
- LEAP

FIPS 모드가 활성화되면 구축의 모든 노드가 자동으로 재부팅됩니다. Cisco ISE는 먼저 기본 PAN을 다시 시작하고 나서 각 보조 노드를 한 번에 하나씩 다시 시작하는 방식으로 점진적 재시작을 자동 수행합니다. 따라서 컨피그레이션을 변경하기 전에 다운타임을 계획하는 것이 좋습니다.

팁	데이터베이스 마이그레이션 프로세스를 완료하기 전에 FIPS 모드를 활성화하는 것은 권장되지 않습니다.

Cisco ISE에서 연방 정보 처리 표준 모드 활성화

Cisco ISE에서 FIPS 모드를 활성화하려면

프로시저

단계 1	Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 Administration(관리) > System(시스템) > Settings(설정) > FIPS Mode(FIPS 모드)를 선택합니다.
단계 2	FIPS Mode(FIPS 모드) 드롭다운 목록에서 Enabled(활성화됨) 옵션을 선택합니다.
단계 3	Save(저장)를 클릭하고 머신을 다시 시작합니다.

다음에 수행할 작업

FIPS 모드를 활성화한 후 다음의 FIPS 140-2 준수 기능을 활성화하고 구성합니다.

셀프 서명 인증서 생성.
인증서 서명 요청을 생성하고 인증 기관에 제출.
네트워크 디바이스 정의 설정에서 RADIUS 인증 설정을 구성합니다.

또한 CAC(Common Access Card) 기능을 사용하여 관리자 계정 권한 부여를 활성화할 수도 있습니다. 권한 부여용으로 CAC 기능을 사용하는 것은 엄밀히 말하자면 FIPS 140-2 요건은 아니지만, FIPS 140-2 규정 준수를 강화하기 위해 다양한 환경에서 사용되는 널리 알려진 보안 액세스 방식입니다.

관리자 CAC(Common Access Car) 인증을 위한 Cisco ISE 구성

시작하기 전에

Cisco ISE에서 Active Directory에 대해 DNS(Domain Name Server)가 설정되어 있는지 확인합니다.
각 관리자 인증서에 대해 Active Directory 사용자 및 사용자 그룹 멤버십이 정의되었는지 확인합니다.

Cisco ISE가 브라우저에서 제출된 CAC(Common Access Card) 기반 클라이언트 인증서를 기반으로 관리자를 인증하고 권한을 부여할 수 있도록 하려면 다음을 구성합니다.

외부 ID 소스(다음 예에서는 Active Directory)
관리자가 속한 Active Directory의 사용자 그룹
인증서에서 사용자 ID를 찾는 방법
Cisco ISE RBAC 권한에 대한 Active Directory 사용자 그룹 매핑
클라이언트 인증서에 서명을 하는 인증 기관(신뢰) 인증서
클라이언트 인증서가 인증 기관에 의해 취소되었는지를 확인하는 방법

Cisco ISE에 로그인할 때 CAC(Common Access Card)를 사용하여 자격 증명을 인증할 수 있습니다.

프로시저

단계 1

Cisco ISE에서 Active Directory ID 소스를 구성 하고 모든 Cisco ISE 노드를 Active Directory에 가입시킵니다.

단계 2

지침에 따라 인증서 인증 프로파일을 구성합니다.

Principal Name X.509 Attribute(보안 주체 이름 X.509 속성) 필드에 관리자 사용자 이름이 포함되어 있는 인증서의 속성을 선택해야 합니다. CAC(Common Access Card) 카드의 경우 보통 카드의 서명 인증서를 사용하여 Active Directory의 사용자를 조회합니다. 이 인증서에서는 Subject Alternative Name(주체 대체 이름) 확장(구체적으로는 해당 확장 내의 Other Name(기타 이름) 필드)에서 보안 주체 이름을 확인할 수 있습니다. 그러므로 여기서는 Subject Alternative Name - Other Name(주체 대체 이름 - 기타 이름) 속성을 선택해야 합니다.

사용자의 Active Directory 기록에 사용자 인증서가 포함되어 있으며 브라우저에서 수신된 인증서를 AD의 인증서와 비교하려는 경우 Binary Certificate Comparison(이진 인증서 비교) 확인란을 선택하고 앞에서 지정한 Active Directory 인스턴스 이름을 선택합니다.

단계 3

비밀번호 기반 관리자 인증에 대해 Active Directory를 활성화합니다. 앞에서 Cisco ISE에 연결하고 가입시킨 Active Directory 인스턴스 이름을 선택합니다.

참고	다른 컨피그레이션을 완료할 때까지는 비밀번호 기반 인증을 사용해야 합니다. 그런 후에는 이 절차의 마지막 작업에 따라 인증 유형을 클라이언트 인증서로 변경할 수 있습니다.

단계 4

외부 관리자 그룹을 생성하여 Active Directory 그룹에 매핑합니다. Cisco ISE GUI 메뉴에서 Menu(메뉴) 아이콘()을 클릭한 뒤 Administration(관리) > System(시스템) > Admin Access(관리자 액세스) > Administrators(관리자) > Admin Groups(관리자 그룹)를 선택합니다. 외부 시스템 관리자 그룹을 생성합니다.

단계 5

외부 관리자 그룹에 대한 RBAC 권한을 할당할 관리자 권한 부여 정책을 구성합니다.

경고

외부 슈퍼 관리자 그룹을 생성하여 Active Directory 그룹에 매핑하고, 슈퍼 관리자 권한(메뉴 액세스 및 데이터 액세스)으로 관리자 권한 부여 정책을 구성한 후에 해당 Active Directory 그룹에서 사용자를 한 명 이상 생성하는 것이 좋습니다. 이 매핑을 사용하는 경우 Client Certificate-Based Authentication(클라이언트 인증서 기반 인증)을 활성화하면 외부 관리자 한 명 이상이 슈퍼 관리자 권한을 가지게 됩니다. 이렇게 하지 않으면 Cisco ISE 관리자가 관리 포털에서 중요한 기능을 사용하지 못하게 될 수도 있습니다.

단계 6

Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Store(인증서 저장소) > Trusted Certificates(신뢰할 수 있는 인증서) 인증 기관 인증서를 Cisco ISE 인증서 신뢰 저장소로 가져옵니다.

클라이언트 인증서 신뢰 체인의 인증 기관 인증서를 Cisco ISE 인증서 저장소에 저장하지 않으면 Cisco ISE는 클라이언트 인증서를 수락하지 않습니다. 적절한 인증 기관 인증서를 Cisco ISE 인증서 저장소로 가져와야 합니다.

Import(가져 오기)를 클릭하고 Certificate File(인증서 파일) 영역에서 Choose File(파일 선택)을 클릭합니다.
Trust for client authentication and Syslog(클라이언트 인증 및 시스템 로그용으로 신뢰) 확인란을 선택합니다.
Submit(제출)을 클릭합니다.

인증서를 가져오고 나면 구축의 모든 노드를 재시작하라는 메시지가 표시됩니다. 모든 인증서를 가져올 때까지 재시작을 연기할 수 있습니다. 그러나 모든 인증서를 가져온 후에는 계속 진행하기 전에 Cisco ISE를 재시작해야 합니다.

단계 7

취소 상태 확인용으로 인증 기관 인증서를 구성합니다.

Administration(관리) > System(시스템) > Certificates(인증서) > OSCP Client Profile(OSCP 클라이언트 프로파일).
Add(추가)를 클릭합니다.
OCSP 서버의 이름, 설명(선택 사항) 및 서버의 URL을 해당 필드에 입력합니다.
Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Store(인증서 저장소).
클라이언트 인증서에 서명을 할 수 있는 각 CA 인증서에 대해 해당 CA의 취소 상태 확인을 수행할 방법을 지정합니다. 목록에서 인증 기관 인증서를 선택하고 Edit(편집)를 클릭합니다. 편집 페이지에서 OCSP 또는 CRL(인증서 해지 목록) 검증 또는 둘 다를 선택합니다. OCSP를 선택하는 경우 해당 인증 기관에 사용할 OCSP 서비스를 선택합니다. CRL을 선택하는 경우에는 CRL 배포 URL 및 기타 컨피그레이션 파라미터를 지정합니다.

단계 8

클라이언트 인증서 기반 인증을 활성화합니다. Administration(관리) > System(시스템) > Admin Access(관리자 액세스) > Authentication(인증)을 선택합니다.

Authentication Method(인증 방법) 탭에서 Client Certificate Based(클라이언트 인증서 기반) 라디오 버튼을 클릭합니다.
이전에 구성한 인증서 인증 프로파일을 Certificate Authentication Profile(인증서 인증 프로파일) 드롭다운 목록에서 선택합니다.
Identity Source(ID 소스) 드롭 다운 목록에서 Active Directory 인스턴스 이름을 선택합니다.
Save(저장)를 클릭합니다.

여기서 패스워드 기반 인증을 클라이언트 인증서 기반 인증으로 전환합니다. 이전에 구성한 인증서 인증 프로파일에 따라 관리자 인증서를 인증하는 방법이 결정됩니다. 외부 ID 소스(이 예에서는 Active Directory)를 사용하여 관리자에게 권한을 부여합니다.

인증서 인증 프로파일의 보안 주체 이름 속성을 사용하여 Active Directory의 관리자를 조회합니다.

지원되는 CAC(Common Access Card) 표준

Cisco ISE는 CAC(Common Access Card) 인증 디바이스를 사용하여 자신을 인증하는 미국 정부 사용자를 지원합니다. CAC는 특정 직원을 식별하는 X.509 클라이언트 인증서 집합이 포함된 전자 칩을 사용하는 ID 배지입니다. CAC를 통해 액세스하려면 카드를 삽입하고 PIN을 입력할 수 있는 카드 판독기가 필요합니다. 그러면 카드에 있는 인증서가 Windows 인증서 저장소로 전송되어 Cisco ISE를 실행하는 로컬 브라우저 같은 애플리케이션에서 사용할 수 있게 됩니다.

Cisco ISE의 CAC(Common Access Card) 작업

Cisco ISE 인증이 클라이언트 인증서를 통해서만 발생하도록 관리 포털을 구성할 수 있습니다. 사용자 ID 또는 비밀번호가 필요한 자격 증명 기반 인증은 허용되지 않습니다. 클라이언트 인증서 기반 인증에서 CAC(Common Access Card) 카드를 삽입하고 PIN을 입력한 다음 Cisco ISE 관리 포털 URL을 브라우저 주소 필드에 입력합니다. 브라우저는 인증서를 Cisco ISE에 전달하며, Cisco ISE는 인증서 내용을 기반으로 로그인 세션을 인증하고 권한을 부여합니다. 이 프로세스에 성공한 경우 Cisco ISE 모니터링 및 문제 해결 홈 페이지가 표시되고 적절한 RBAC 권한이 부여됩니다.

Diffie-Hellman 알고리즘을 사용하여 SSH 키 교환 보호

Diffie-Hellman-Group14-SHA1 SSH 키 교환만 허용하도록 Cisco ISE를 구성할 수 있습니다. Cisco ISE CLI 구성 모드에서 다음 명령을 입력합니다.

service sshd key-exchange-algorithm diffie-hellman-group14-sha1

예를 들면 다음과 같습니다.

ise/admin#conf t

ise/admin (config)#service sshd key-exchange-algorithm diffie-hellman-group14-sha1

보안 시스템 로그를 전송하도록 Cisco ISE 구성

시작하기 전에

Cisco ISE가 Cisco ISE 노드 간에, 그리고 모니터링 노드에 TLS로 보호되는 보안 시스템 로그만 전송하도록 구성하려면 다음 작업을 수행합니다.

구축의 모든 Cisco ISE 노드가 적절한 서버 인증서를 사용하여 구성되어 있는지 확인해 주십시오.
기본 네트워크 액세스 인증 정책이 모든 SSL 프로토콜 버전을 허용하지 않도록 합니다.
구축의 모든 노드가 기본 PAN에 등록되어 있는지 확인합니다. 또한 구축 환경에 있는 하나 이상의 노드가 보안 시스템 로그 수신기(TLS 서버)로 작동하도록 모니터링 페르소나가 활성화되어 있는지 확인합니다.
시스템 로그에 지원되는 RFC 표준을 확인합니다. 사용 중인 Cisco ISE 릴리스에 대한 Cisco Identity Services Engine 네트워크 구성 요소 호환성을 참고하십시오.

프로시저

단계 1

보안 시스템 로그 원격 로깅 대상을 구성합니다.

단계 2

보안 시스템 로그 원격 로깅 대상으로 감사 가능한 이벤트를 보내도록 로깅 범주를 활성화합니다.

단계 3

TCP 시스템 로그 및 UDP 시스템 로그 컬렉터를 비활성화합니다. TLS로 보호되는 시스템 로그 컬렉터만 활성화해야 합니다.

참고	Cisco ISE Release 2.6 이상 릴리스에서는 UDP 시스템 로그를 MnT 노드로 전달하기 위해 Cisco ISE 메시징 서비스를 사용하도록 설정할 경우 TLS로 보호되는 UDP 시스템 로그가 포함됩니다.

보안 시스템 로그 원격 로깅 대상 구성

Cisco ISE 시스템 로그는 다양한 용도로 사용할 수 있도록 로그 컬렉터에 의해 수집되어 저장됩니다. 보안 시스템 로그 대상을 구성하려면 모니터링 페르소나가 활성화되어있는 Cisco ISE 노드를 로그 컬렉터로 선택합니다.

프로시저

단계 1	Cisco ISE 관리 포털에 로그인합니다.
단계 2	Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Logging(로깅) > Remote Logging Targets(원격 로깅 대상)을 선택합니다.
단계 3	Add(추가)를 클릭합니다.
단계 4	보안 시스템 로그 서버의 이름을 입력합니다.
단계 5	Target Type(대상 유형) 드롭다운 목록에서 Secure Syslog(보안 시스템 로그)를 선택합니다.
단계 6	Status(상태) 드롭다운 목록에서 Enabled(활성화됨)를 선택합니다.
단계 7	Host / IP Address(호스트/IP 주소) 필드에서 구축의 Cisco ISE 모니터링 노드 호스트 이름 또는 IP 주소를 입력합니다.
단계 8	Port(포트) 필드에서 포트 번호를 6514로 입력합니다. 보안 시스템 로그 수신기는 TCP 포트 6514에서 수신 대기합니다.
단계 9	Facility Code(기능 코드) 드롭다운 목록에서 시스템 로그 기능 코드를 선택합니다. 기본값은 LOCAL6입니다.
단계 10	다음 확인란을 선택하여 해당 컨피그레이션을 활성화합니다. Include Alarms For This Target(이 대상에 대한 경보 포함) Comply to RFC 3164(RFC 3164 준수) Enable Server Identity Check(서버 ID 확인 활성화)
단계 11	Buffer Messages When Server Down(서버가 다운되면 메시지 버퍼링) 확인란을 선택합니다. 이 옵션을 선택하면 Cisco ISE는 보안 시스템 로그 수신기에 연결할 수 없는 경우 로그를 저장하고, 보안 시스템 로그 수신기를 주기적으로 확인하며, 보안 시스템 로그 수신기가 작동하면 로그를 전달합니다. Buffer Size (MB)(버퍼 크기(MB)) 필드에 버퍼 크기를 입력합니다. Cisco ISE가 보안 시스템 로그 수신기를 정기적으로 확인하도록 하려면 Reconnect Time (Sec)(다시 연결 시간 초과(초)) 필드에서 다시 연결 시간 초과 값을 입력합니다. 시간 초과 값은 초 단위로 구성됩니다.
단계 12	Select CA Certificate(CA 인증서 선택) 드롭다운 목록에서 Cisco ISE가 보안 시스템 로그 서버에 제공해야 하는 CA 인증서를 선택합니다.
단계 13	보안 시스템 로그를 구성할 때 Ignore Server Certificate validation(서버 인증서 검증 무시) 확인란이 선택되지 않았는지 확인합니다.
단계 14	Submit(제출)을 클릭합니다.

원격 로깅 대상 설정

다음 표에서는 로깅 메시지를 저장하기 위한 외부 위치(시스템 로그 서버)를 생성하는 데 사용할 수 있는 Remote Logging Targets(원격 로깅 대상) 창의 필드에 대해 설명합니다. 이 창에 액세스하려면Administration(관리) > System(시스템) > Logging(로깅) > Remote Logging Targets(원격 로깅 대상)에서 Add(추가)를 클릭합니다.

표 6. 원격 로깅 대상 설정
필드 이름	사용 지침
Name(이름)	새 시스템 로그 대상의 이름을 입력합니다.
Target Type(대상 유형)	드롭다운 목록에서 대상 유형을 선택합니다. 기본값은 UDP 시스템 로그입니다.
Description(설명)	새 대상의 간략한 설명을 입력합니다.
IP Address(IP 주소)	로그를 저장할 대상 머신의 IP 주소 또는 호스트 이름을 입력합니다. Cisco ISE는 로깅에 IPv4 및 IPv6 형식을 지원합니다.
Port(포트)	대상 머신의 포트 번호를 입력합니다.
Facility Code(시설 코드)	드롭다운 목록에서 로깅에 사용할 시스템 로그 시설 코드를 선택합니다. 유효한 옵션은 Local0~Local7입니다.
Maximum Length(최대 길이)	원격 로그 대상 메시지의 최대 길이를 입력합니다. 유효한 값은 200~1024바이트입니다.
Buffer Message When Server Down(서버 다운 시 메시지 버퍼링)	이 확인란은 Target Type(대상 유형) 드롭다운 목록에서 TCP 시스템 로그 또는 Secure Syslog(보안 시스템 로그)를 선택할 때 표시됩니다. TCP 시스템 로그 대상 및 보안 시스템 로그 대상을 사용할 수 없을 때 Cisco ISE가 시스템 로그 메시지를 버퍼링하도록 하려면 이 확인란을 선택합니다. Cisco ISE는 대상에 연결을 재개할 때 대상에 대한 메시지 전송을 다시 시도합니다. 연결이 재개되면 메시지는 가장 오래된 것부터 시작하여 최신순으로 전송됩니다. 버퍼링된 메시지는 항상 새 메시지보다 먼저 전송됩니다. 버퍼가 가득 차면 오래된 메시지는 폐기됩니다.
Buffer Size (MB)(버퍼 크기(MB))	각 대상의 버퍼 크기를 설정합니다. 기본적으로 버퍼 크기는 100MB로 설정됩니다. 버퍼 크기를 변경하면 버퍼가 지워지며 특정 대상에 대해 기존에 버퍼링된 모든 메시지는 손실됩니다.
Reconnect Timeout (Sec)(다시 연결 시간 초과(초))	서버가 다운되었을 때 TCP 및 보안 시스템 로그를 폐기할 때까지 저장할 시간을 초 단위로 입력합니다.
Select CA Certificate(CA 인증서 선택)	이 드롭다운 목록은 Target Type(대상 유형) 드롭다운 목록에서 Secure Syslog(보안 시스템 로그)를 선택할 때 표시됩니다. 드롭다운 목록에서 클라이언트 인증서를 선택합니다.
Ignore Server Certificate Validation(서버 인증서 검증 무시)	이 확인란은 Target Type(대상 유형) 드롭다운 목록에서 Secure Syslog(보안 시스템 로그)를 선택할 때 표시됩니다. Cisco ISE가 서버 인증서 인증을 무시하고 모든 시스템 로그 서버를 수락하도록 하려면 이 확인란을 선택합니다.

보안 시스템 로그 대상으로 감사 가능 이벤트를 전송하기 위한 로깅 범주 활성화

감사 가능 이벤트를 보안 시스템 로그 대상으로 보내려면 Cisco ISE에 대해 로깅 범주를 활성화해야 합니다.

프로시저

단계 1	Cisco ISE 관리 포털에서 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Logging(로깅) > Logging Categories(로깅 범주)을 선택합니다.
단계 2	Administrative and Operational Audit(관리 및 운영 감사) 로깅 범주 옆의 라디오 버튼을 클릭하고 Edit(편집)를 클릭합니다.
단계 3	Log Severity Level(로그 심각도 레벨) 드롭다운 목록에서 WARN을 선택합니다.
단계 4	Targets(대상) 영역에서 앞서 생성한 보안 시스템 로그 원격 로깅 대상을 Selected(선택된) 영역으로 이동합니다.
단계 5	Save(저장)를 클릭합니다.
단계 6	이 절차를 반복하여 다음 로깅 범주를 활성화합니다. 이 두 로깅 범주 모두 기본 로그 심각도 레벨로 INFO를 가지며 수정할 수 없습니다. AAA 감사. Posture and Client Provisioning Audit(포스처 및 클라이언트 프로비저닝 감사).

로깅 범주 구성

다음 표에서는 로깅 범주를 구성하는 데 사용할 수 있는 필드에 대해 설명합니다. 로그 심각도 레벨을 설정하고 로깅 범주의 로그에 대한 로깅 대상을 선택합니다. Administration(관리) > System(시스템) > Logging(로깅) > Logging Categories(로깅 범주)입니다.이 창에 액세스하려면 Administration(관리) > System(시스템) > Logging(로깅) > Logging Categories(로깅 범주)를 클릭합니다.

보고자 하는 범주 옆의 라디오 버튼을 클릭하고 Edit(편집)를 클릭합니다. 다음 표에서는 로깅 범주의 편집 창에 표시되는 필드에 대해 설명합니다.

표 7. 로깅 범주 설정
필드 이름	사용 지침
Name(이름)	로깅 범주의 이름을 표시합니다.
Log Severity Level(로그 심각도 레벨)	일부 로깅 범주의 경우이 값은 기본적으로 설정되며 수정할 수 없습니다. 일부 로깅 범주의 경우 드롭다운 목록에서 다음 심각도 레벨 중 하나를 선택할 수 있습니다. FATAL: 긴급 범주입니다. 이 레벨은 Cisco ISE를 사용할 수 없으며 필요한 조치를 즉시 수행해야 함을 의미합니다. ERROR: 이 레벨은 심각한 오류 상태를 나타냅니다. WARN: 이 레벨은 정상적이기는 하지만 중요한 상태를 나타냅니다. 이 레벨은 여러 로깅 범주에 대해 설정되는 기본 수준입니다. INFO: 이 레벨은 정보 메시지를 나타냅니다. DEBUG: 이 레벨은 진단 버그 메시지를 나타냅니다.
Local Logging(로컬 로깅)	로컬 노드의 범주에 대한 이벤트 로깅을 활성화하려면 이 확인란을 선택합니다.
Targets(대상)	이 영역에서는 왼쪽 및 오른쪽 화살표 아이콘을 사용하여 Available(사용 가능) 영역과 Selected(선택됨 ) 영역 간에 대상을 전송하는 방식으로 로깅 범주에 대한 대상을 변경할 수 있습니다. Available(사용 가능) 상자에는 기존 로깅 대상이 포함되어 있습니다. 여기에는 미리 정의된 로컬 대상과 사용자가 정의한 외부 대상이 모두 포함됩니다. Selected(선택됨) 영역은 처음에는 비어 있으며, 이후에 이 범주에 대해 선택된 대상을 표시됩니다.

TCP 시스템 로그 및 UDP 시스템 로그 컬렉터 비활성화

Cisco ISE가 노드 간에 보안 시스템 로그만 전송하도록 하려는 경우 TCP 및 UDP 시스템 로그 컬렉터를 비활성화하고 보안 시스템 로그 컬렉터만 활성화하십시오.

참고	Cisco ISE Release 2.6 이상 릴리스에서는 UDP 시스템 로그를 MnT 노드로 전달하기 위해 Cisco ISE 메시징 서비스를 사용하도록 설정할 경우 TLS로 보호되는 UDP 시스템 로그가 포함됩니다. Cisco ISE 메시징 서비스의 시스템 로그의 내용을 참조하십시오.

프로시저

단계 1	Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Logging(로깅) > Remote Logging Targets(원격 로깅 대상)를 선택합니다.
단계 2	TCP 또는 UDP 시스템 로그 컬렉터 옆의 라디오 버튼을 클릭합니다.
단계 3	Edit(편집)를 클릭합니다.
단계 4	Status(상태) 드롭다운 목록에서 Disabled(비활성화됨)를 선택합니다.
단계 5	Save(저장)를 클릭합니다.
단계 6	이 절차를 반복하여 모든 TCP 또는 UDP 시스템 로그 컬렉터를 비활성화합니다.

기본 보안 시스템 로그 컬렉터

Cisco ISE는 MnT 노드에 대한 기본 보안 시스템 로그 컬렉터를 제공합니다. 기본적으로 로깅 범주는 이러한 기본 보안 시스템 로그 컬렉터에 매핑되지 않습니다. 기본 보안 시스템 로그 컬렉터의 이름은 다음과 같습니다.

기본 MnT node: SecureSyslogCollector
보조 MnT node: SecureSyslogCollector2

이 정보는 Remote Logging Targets(원격 로그인 대상) 창에서 Administration(관리) > System(시스템) > Logging(로그인) > Remote Logging Targets(원격 로그인 대상)을 선택합니다 에서 확인할 수 있습니다. 기본 시스템 로그 컬렉터는 삭제할 수 없으며 기본 시스템 로그 컬렉터에 대해서는 다음 필드를 업데이트할 수 없습니다.

Name(이름)
Target Type(대상 유형)
IP / 호스트 주소
Port(포트)

Cisco ISE를 새로 설치할 때 Default Self-signed Server Certificate(기본 자체 서명 서버 인증서)라는 이름의 인증서가 신뢰할 수 있는 인증서 저장소에 추가됩니다. 이 인증서는 Trust for Client authentication and Syslog(클라이언트 인증 및 시스템 로그에 대한 신뢰) 사용으로 표시되어 있으므로 안전한 시스템 로그 사용에 적용할 수 있습니다. 구축을 구성하거나 인증서를 업데이트하는 동안 보안 시스템 로그 대상에 관련 인증서를 할당해야 합니다.

Cisco ISE 업그레이드 중에 포트 6514의 MnT 노드를 가리키는 기존 보안 시스템 로그 대상이 있는 경우 대상의 이름과 컨피그레이션이 유지됩니다. 업그레이드 후에는 이러한 시스템 로그 대상을 삭제할 수 없으며 다음 필드를 편집할 수 없습니다.

Name(이름)
Target Type(대상 유형)
IP / 호스트 주소
Port(포트)

업그레이드 시점에 이러한 대상이 없는 경우 인증서 설치 없이 기본 보안 시스템 로그 대상이 신규 설치 시나리오와 유사하게 생성됩니다. 이러한 시스템 로그 대상에 관련 인증서를 할당할 수 있습니다. 인증서에 매핑되지 않은 보안 시스템 로그 대상을 로깅 범주에 매핑하려고 하면 Cisco ISE는 다음 메시지를 표시합니다.

Please configure the certificate for log_target_name

오프라인 유지 관리

유지 관리 기간이 1시간 미만인 경우 Cisco ISE 노드를 오프라인으로 전환하고 유지 관리 작업을 수행합니다. 노드를 다시 온라인 상태로 전환하면 PAN 노드는 유지 관리 기간 동안 발생한 모든 변경 사항을 자동으로 동기화합니다. 변경 사항이 자동으로 동기화되지 않으면 PAN과 수동으로 동기화 할 수 있습니다.

유지 관리 기간이 1시간을 초과하는 경우 유지 관리 시 노드를 등록 취소하고 노드를 다시 구축에 추가할 때 재등록합니다.

활동이 적은 기간에 유지 관리를 예약하는 것이 좋습니다.

참고	큐에 1,000,000개가 넘는 메시지가 포함되어 있거나 Cisco ISE 노드가 6시간 이상 오프라인 상태인 경우 데이터 복제 문제가 발생할 수 있습니다. 기본 MnT 노드에서 유지 관리를 수행하는 경우 유지 관리 활동을 수행하기 전에 MnT 노드의 운영 백업을 수행하는 것이 좋습니다.

엔드포인트 로그인 자격 증명 구성

Endpoint Login Configuration(엔드포인트 로그인 컨피그레이션) 창에서는 Cisco ISE가 클라이언트에 로그인할 수 있도록 로그인 자격 증명을 구성할 수 있습니다. 이 창에 구성된 로그인 자격 증명은 다음 Cisco ISE 기능에서 사용됩니다.

Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Settings(설정) > Endpoint Scripts(엔드포인트 스크립트) > Settings(설정)를 선택합니다.

다음 탭이 표시됩니다.

Windows Domain User(Windows 도메인 사용자): Cisco ISE가 SSH를 통해 클라이언트에 로그인하는 데 사용해야 하는 도메인 자격 증명을 구성합니다. 더하기 아이콘을 클릭하고 필요한 만큼 Windows 로그인을 입력합니다. 각 도메인에 대해 Domain(도메인), Username(사용자 이름) 및 Password(비밀번호) 필드에 필요한 값을 입력합니다. 도메인 자격 증명을 구성하는 경우 Windows Local User(Windows 로컬 사용자) 탭에 구성된 로컬 사용자 자격 증명이 무시됩니다.
Windows Local User(Windows 로컬 사용자): Cisco ISE가 SSH를 통해 클라이언트에 액세스하는 데 사용하는 로컬 계정을 구성합니다. 로컬 계정은 Powershell 및 Powershell 원격을 실행할 수 있어야 합니다.
MAC Local User(MAC 로컬 사용자): Cisco ISE가 SSH를 통해 클라이언트에 액세스하는 데 사용하는 로컬 계정입니다. 로컬 계정은 Powershell 및 Powershell 원격을 실행할 수 있어야 합니다.

Cisco ISE에서의 인증서 관리

인증서는 개인, 서버, 회사 또는 다른 엔터티를 식별하고 해당 엔터티를 공용 키에 연결하는 전자 문서입니다. 자가서명 인증서는 해당 생성자가 서명합니다. 인증서는 자가 서명하거나 외부 CA(Certificate Authority)가 디지털 서명할 수 있습니다. CA 서명 디지털 인증서는 업계 표준으로 자가서명 인증서보다 보안성이 더 높은 것으로 간주됩니다.

인증서는 네트워크에서 보안 액세스를 제공하기 위해 사용됩니다. 인증서는 엔드포인트에 대한 Cisco ISE 노드를 식별하고 엔드포인트와 Cisco ISE 노드 간 통신을 보호합니다.

Cisco ISE는 다음 용도로 인증서를 사용합니다.

Cisco ISE 노드 간의 통신.
Cisco ISE와 시스템 로그 및 피드 서버와 같은 외부 서버 간의 통신.
Cisco ISE와 최종 사용자 포털(예: 게스트, 스폰서 및 BYOD 포털) 간의 통신.

관리 포털을 사용하여 구축 환경의 모든 노드에 대한 인증서를 관리할 수 있습니다.

Cisco ISE에서 보안 액세스를 위한 인증서 구성

Cisco ISE는 PKI(Public Key Infrastructure)를 사용하여 엔드포인트 및 관리자 모두와의 보안 통신은 물론 다중 노드 구축 환경에서 Cisco ISE 노드 간 보안 통신을 제공합니다. PKI는 X.509 디지털 인증서를 사용하여 메시지의 암호화 및 암호 해독을 위한 공용 키를 전송하고 사용자 및 디바이스를 나타내는 다른 인증서의 신뢰성을 확인합니다. Cisco ISE 관리 포털을 통해 두 가지 X.509 인증서 범주를 관리할 수 있습니다.

시스템 인증서: 이는 클라이언트 애플리케이션에 대한 Cisco ISE 노드를 식별하는 서버 인증서입니다. 각 Cisco ISE 노드는 고유한 시스템 인증서를 가지고 있으며 각 인증서는 해당 개인 키와 함께 노드에 저장됩니다.
신뢰할 수 있는 인증서: 이는 사용자 및 디바이스로부터 받은 공개 키에 대한 신뢰 관계를 설정하는 데 사용되는 CA 인증서입니다. 신뢰할 수 있는 인증서 저장소에는 엔터프라이즈 네트워크에 모바일 디바이스를 등록할 수 있게 해주는 SCEP(Simple Certificate Enrollment Protocol)를 통해 배포된 인증서가 포함되어 있습니다. 신뢰할 수 있는 인증서는 기본 PAN에서 관리되며 Cisco ISE 구축 환경의 다른 모든 노드로 자동 복제됩니다.

분산형 구축 환경에서는 인증서를 PAN의 CTL(Certificate Trust List)로만 가져올 수 있습니다. 인증서는 보조 노드로 복제됩니다.

Cisco ISE의 인증서 인증이 인증서 기반 확인 기능의 소소한 차이에 따른 영향을 받지 않게 하려면 네트워크에 구축된 모든 Cisco ISE 노드에 대해 소문자 호스트 이름을 사용해 주십시오.

인증서 사용

Cisco ISE로 인증서를 가져오는 경우 인증서를 사용할 용도를 지정해야 합니다. Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(시스템 관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서) Import(가져오기)를 클릭합니다.

다음 용도 중 하나 이상을 선택합니다.

Admin(관리): 노드 간 통신 및 관리 포털 인증에 사용됩니다.
EAP Authentication(EAP 인증): TLS 기반 EAP 인증에 사용됩니다.
RADIUS DTLS: RADIUS DTLS 서버 인증에 사용됩니다.
Portal(포털): 모든 Cisco ISE 최종 사용자 포털과의 통신에 사용됩니다.
SAML: SAML 응답이 올바른 ID 제공자로부터 수신되고 있는지 확인하는 데 사용됩니다.
pxGrid: pxGrid 컨트롤러와의 통신에 사용됩니다.

각 노드의 다양한 인증서를 관리 포털(관리자 사용), pxGrid 컨트롤(pxGrid 사용) 및 TLS 기반 EAP 인증(EAP 인증 사용)과 통신할 수 있도록 연결할 수 있습니다. 그러나 각 노드에서 이러한 용도로 하나의 인증서만 연결할 수 있습니다.

구축에서 웹 포털 요청을 처리할 수 있는 PSN이 여러 개 있는 경우 Cisco ISE에는 포털 통신에 사용할 인증서를 식별할 수 있는 고유 식별자가 필요합니다. 포털에서 사용하도록 지정된 인증서를 추가하거나 가져오는 경우 인증서 그룹 태그를 정의하고 이를 구축의 각 노드에 있는 해당 인증서와 연결해야 합니다. 이 인증서 그룹 태그를 해당 최종 사용자 포털(게스트, 스폰서 및 개인 디바이스 포털)에 연결해야 합니다. 이 인증서 그룹 태그는 Cisco ISE가 이러한 각 포털과 통신할 때 사용해야 하는 인증서를 식별하도록 도와주는 고유 식별자입니다. 포털마다 각 노드의 인증서를 하나씩만 지정할 수 있습니다.

참고

EAP-TLS 클라이언트 인증서에는 다음 암호에 대해 KeyUsage=Key Agreement 및 ExtendedKeyUsage=Client Authentication이 있어야 합니다.

ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-ECDSA-AES128-SHA256
ECDHE-ECDSA-AES256-SHA384

EAP-TLS 클라이언트 인증서에는 다음 암호에 대해 KeyUsage=Key Encipherment 및 ExtendedKeyUsage=Client Authentication이 있어야 합니다.

AES256-SHA256
AES128-SHA256
AES256-SHA
AES128-SHA
DHE-RSA-AES128-SHA
DHE-RSA-AES256-SHA
DHE-RSA-AES128-SHA256
DHE-RSA-AES256-SHA256
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-AES256-SHA384
ECDHE-RSA-AES128-SHA256
ECDHE-RSA-AES256-SHA
ECDHE-RSA-AES128-SHA
EDH-RSA-DES-CBC3-SHA
DES-CBC3-SHA
RC4-SHA
RC4-MD5

Cisco ISE에서의 인증서 일치

구축에서 Cisco ISE 노드를 설정할 때 노드는 서로 통신합니다. 시스템은 각 Cisco ISE 노드의 FQDN이 일치하는지 확인합니다(예: ise1.cisco.com 및 ise2.cisco.com 또는 와일드카드 인증서를 사용하는 경우 *.cisco.com). 또한 외부 머신에서 Cisco ISE 서버에 인증서를 제공할 경우 Cisco ISE 서버의 인증서와 비교하여 인증을 위해 제공되는 외부 인증서를 확인하거나 일치시킵니다. 두 인증서가 일치하면 인증이 성공합니다.

Cisco 의 경우 노드 간(2개가 있는 경우), 그리고 Cisco 와 pxGrid 간에 일치가 수행됩니다.

Cisco ISE에서는 다음과 같이 일치하는 주체 이름을 확인합니다.

Cisco ISE에서 인증서의 대체 주체 이름 확장을 확인합니다. 대체 주체 이름에 하나 이상의 DNS 이름이 있는 경우 DNS 이름 중 하나를 Cisco ISE 노드의 FQDN과 일치시켜야 합니다. 와일드카드 인증서를 사용하는 경우 와일드카드 도메인 이름을 Cisco ISE 노드 FQDN의 도메인과 일치시켜야 합니다.
대체 주체 이름에 DNS 이름이 없거나 대체 주체 이름이 완전히 누락된 경우 인증서의 Subject(주체) 필드에 있는 공용 이름 또는 인증서의 Subject(주체) 필드에 있는 와일드카드 도메인을 노드의 FQDN과 일치시켜야 합니다.

일치 항목이 발견되지 않으면 인증서가 거부됩니다.

참고	Cisco ISE로 가져온 X.509 인증서는 PEM(Privacy-Enhanced Mail) 또는 식별 부호화 규칙 형식이어야 합니다. 인증서 체인(시스템 인증서와 여기에 서명하는 신뢰 인증서 시퀀스)이 포함된 파일은 특정 제한 사항에 따라 가져올 수 있습니다.

X.509 인증서의 유효성

X.509 인증서는 특정 날짜까지 유효합니다. 시스템 인증서가 만료되면 해당 인증서를 사용하는 Cisco ISE 기능이 영향을 받게 됩니다. Cisco ISE에서는 만료 날짜까지 남은 기간이 90일 미만이면 시스템 인증서의 보류 중인 만료에 대한 알림을 표시합니다. 이 알림은 다음과 같은 여러 가지 방법으로 표시됩니다.

System Certificates(시스템 인증서) 창에 색상이 지정된 만료 상태 아이콘이 나타납니다. 이 창을 보려면 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificate Management(시스템 관리) > Certificates(시스템 인증서)를 선택합니다.
Cisco ISE 시스템 진단 보고서에 만료 메시지가 나타납니다. 이 창을 보려면 Menu(메뉴) 아이콘()을 클릭하고 Operations(작업) > Reports(보고서) > Reports(보고서) > Diagnostics(진단) > System Diagnostics(시스템 진단)를 선택합니다.
만료 전 90일, 60일, 그리고 30일 시점에 만료 경보가 생성됩니다. 만료 전 30일부터는 매일 만료 경보가 생성됩니다.

만료되는 인증서가 셀프 서명 인증서인 경우에는 인증서를 편집하여 만료 날짜를 연장할 수 있습니다. 인증 기관이 서명한 인증서의 경우에는 만료 전에 충분한 여유를 두고 인증 기관으로부터 교체 인증서를 받아야 합니다.

Cisco ISE에서 공개 키 인프라 활성화

PKI는 보안 통신을 수행할 수 있도록 하고 디지털 서명을 사용 중인 사용자의 신원을 확인하는 암호화 기술입니다.

프로시저

단계 1

구축의 각 노드에서 다음을 위해 시스템 인증서를 구성합니다.

EAP-TLS와 같은 TLS 지원 인증 프로토콜
관리 포털 인증
브라우저 및 REST 클라이언트에서 Cisco ISE 웹 포털에 액세스할 수 있도록 허용
pxGrid 컨트롤러에 대한 액세스 허용

기본적으로 Cisco ISE 노드는 EAP 인증과 관리 포털, 최종 사용자 포털 및 pxGrid 컨트롤러 액세스에 사용되는 SSC(자가서명 인증서)와 함께 미리 설치됩니다. 일반적인 엔터프라이즈 환경에서 이 자가서명 인증서는 신뢰할 수 있는 CA가 서명한 서버 인증서로 교체됩니다.

단계 2

사용자와의 신뢰 관계를 설정하는 데 필요한 CA 인증서 및 Cisco ISE에 제공할 디바이스 인증서를 신뢰할 수 있는 인증서 저장소에 저장합니다.

루트 CA 인증서 하나와 중간 CA 인증서 하나 이상으로 구성된 인증서 체인을 사용하여 사용자 또는 디바이스 인증서의 신뢰성을 검증하려면 다음을 수행하십시오.

루트 CA에 대해 관련 신뢰 옵션을 활성화합니다.

Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) >Certificates(인증서) > Certificate Management(인증서 관리) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다. 이 창에서 루트 CA 인증서의 확인란을 선택하고 Edit(편집)를 클릭합니다. Usage(사용) 영역의 Trusted For(신뢰 대상) 영역에서 필요한 확인란을 선택합니다.
루트 CA에 대해 신뢰 옵션을 활성화하지 않으려면 전체 CA 서명 인증서 체인을 신뢰할 수 있는 인증서 저장소로 가져옵니다.

노드 간 통신의 경우에는 Cisco ISE 구축에 포함된 각 노드의 관리자 시스템 인증서를 검증하는 신뢰 인증서를 신뢰할 수 있는 인증서 저장소에 저장해야 합니다. 기본 자가서명 인증서를 노드 간 통신에 사용하려는 경우에는 각 Cisco ISE 노드의 System Certificates(시스템 인증서) 페이지에서 이 인증서를 내보낸 다음 신뢰할 수 있는 인증서 저장소로 가져옵니다. 자가서명 인증서를 CA에서 서명한 인증서로 교체하는 경우에는 적절한 루트 CA 및 중간 CA 인증서만 신뢰할 수 있는 인증서 저장소에 저장하면 됩니다. 이 단계를 완료할 때까지는 Cisco ISE 구축에서 노드를 등록할 수 없습니다.

구축의 클라이언트와 PSN 간 통신을 보호하기 위해 자가서명 인증서를 사용하는 경우 BYOD 사용자가 한 위치에서 다른 위치로 이동하면 EAP-TLS 사용자 인증이 실패합니다. 몇 개의 PSN 간에 서비스를 받아야 하는 인증 요청의 경우에는 외부에서 서명한 CA 인증서를 사용하여 클라이언트와 PSN 간의 통신을 보호하거나 외부 CA가 서명한 와일드카드 인증서를 사용해야 합니다.

참고	독립형 Cisco ISE 노드 또는 PAN에서 백업을 가져온 후 구축의 노드 하나 이상에서 인증서 컨피그레이션을 변경하는 경우에는 다른 백업을 가져와서 데이터를 복원해야 합니다. 이렇게 하지 않는 경우 이전 백업을 사용하여 데이터를 복원하려고 하면 노드 간의 통신이 실패할 수 있습니다.

와일드카드 인증서

와일드카드 인증서는 와일드카드 표기법(별표 및 도메인 이름 앞의 마침표)을 사용하므로 조직의 여러 호스트 간에 인증서를 공유할 수 있습니다. 예를 들어 인증서 주체의 CN 값은 aaa.ise.local과 같은 일반 호스트 이름이고, SAN 필드에는 동일한 일반 호스트 이름과 함께 DNS.1=aaa.ise.local 및 DNS.2=*.ise.local과 같은 와일드카드 표기법이 포함된다고 가정합니다.

*.ise.local을 사용하도록 와일드카드 인증서를 구성하는 경우 동일한 인증서를 사용하여 DNS 이름이 과 같이 ".ise.local"로 끝나는 다른 모든 호스트를 보호할 수 있습니다.:

aaa.ise.local
psn.ise.local
mydevices.ise.local
sponsor.ise.local

와일드카드 인증서는 일반 인증서와 동일한 방법으로 통신을 보호하며 요청은 동일한 검증 방법을 사용하여 처리됩니다.

다음 그림에는 웹사이트를 보호하는 데 사용되는 와일드카드 인증서의 예가 나와 있습니다.

Cisco ISE의 와일드카드 인증서 지원

Cisco ISE는 와일드카드 인증서를 지원합니다. 이전 릴리스에서 Cisco ISE는 HTTPS용으로 활성화된 모든 인증서를 확인하여 CN 필드가 호스트의 FQDN과 정확하게 일치하는지를 확인했습니다. 이 필드가 일치하지 않으면 인증서를 HTTPS 통신에 사용할 수 없었습니다.

이전 릴리스에서 Cisco ISE는 해당 CN 값을 사용하여 url-redirect A-V 쌍 문자열의 변수를 교체했습니다. 모든 CWA(Centralized Web Authentication), 온보딩, 포스처 리디렉션 등에 대해 CN 값이 사용되었습니다.

Cisco ISE는 ISE 노드의 호스트 이름을 CN으로 사용합니다.

HTTPS 및 Extensible Authentication Protocol 통신용 와일드카드 인증서

SSL 또는 TLS 터널링을 이용하는 EAP 프로토콜 및 관리용 Cisco ISE(웹 기반 서비스)에서 와일드카드 서버 인증서를 사용할 수 있습니다. 와일드카드 인증서를 사용하는 경우에는 각 Cisco ISE 노드에 대해 고유한 인증서를 생성하지 않아도 됩니다. 또한 인증서 경고가 표시되지 않도록 하기 위해 여러 FQDN 값을 SAN 필드에 입력할 필요도 없습니다. SAN 필드에 별표(*)를 사용하면 구축의 여러 노드 간에 단일 인증서를 공유할 수 있으며, 인증서 이름 불일치 경고가 표시되지 않습니다. 그러나 와일드카드 인증서를 사용하는 방식은 각 Cisco ISE 노드에 고유한 서버 인증서를 할당하는 방식보다 보안성이 낮은 것으로 간주됩니다.

공개 와일드카드 인증서를 게스트 포털에 할당하고 루트 CA 인증서가 포함된 하위 CA를 가져오는 경우 Cisco ISE 서비스가 재시작될 때까지 인증서 체인이 전송되지 않습니다.

참고	와일드카드 인증서를 사용하는 경우에는 보안 향상을 위해 도메인 공간을 분할하는 것이 좋습니다. 예를 들어 .example.com 대신 .amer.example.com으로 도메인을 분할할 수 있습니다. 도메인을 분할하지 않으면 심각한 보안 문제가 발생할 수 있습니다.

와일드카드 인증서에서는 도메인 이름 앞에 별표(*)와 기간이 사용됩니다. 인증서 주체 이름의 공용 이름 값은 aaa.ise.local과 같은 일반 호스트 이름이고 SAN 필드에 *.ise.local과 같은 와일드카드 문자를 사용하는 경우를 예로 들 수 있습니다. Cisco ISE는 와일드카드 문자(*)가 표시되는 식별자의 맨 왼쪽 문자인 와일드카드 인증서를 지원합니다. *.example.com 또는 *.ind.example.com 등을 예로 들 수 있습니다. Cisco ISE는 표시되는 식별자가 와일드카드 문자와 함께 다른 문자를 포함하는 인증서를 지원하지 않습니다. abc*.example.com, a*b.example.com, *abc.example.com 등을 예로 들 수 있습니다.

URL 리디렉션의 인증된 도메인 이름

중앙 웹 인증, 디바이스 등록 웹 인증, 기본 신청자 프로비저닝, 모바일 디바이스 관리, 클라이언트 프로비저닝 및 포스처 서비스용으로 권한 부여 프로파일 리디렉션이 수행됩니다. Cisco ISE가 권한 부여 프로파일 리디렉션을 구축할 때 결과로 생성된 cisco-av-pair에는 다음과 유사한 문자열이 포함됩니다.

url-redirect=https://ip:port/guestportal/gateway?sessionId=SessionIdValue&action=cwa와 같은 문자열이 포함됩니다.

이 요청을 처리할 때 Cisco ISE는 이 문자열의 일부 키워드를 실제 값으로 대체합니다. 예를 들어 SessionIdValue는 요청의 실제 세션 ID로 바뀝니다. eth0 인터페이스의 경우 Cisco ISE는 URL의 IP를 Cisco ISE 노드의 FQDN으로 바꿉니다. eth0가 아닌 인터페이스의 경우 Cisco ISE는 URL의 IP 주소를 사용합니다. eth1~eth3 인터페이스에 대해 호스트 별칭(이름)을 할당할 수 있습니다. Cisco ISE는 URL 리디렉션 중에 IP 주소를 이러한 별칭으로 대체할 수 있습니다.

이렇게 하려는 경우 Cisco ISE CLI ISE /admin(config)# 프롬프트의 컨피그레이션 모드에서 ip host 명령을 사용하면 됩니다.

ip host IP_address host-alias FQDN-string

여기서 IP_address는 네트워크 인터페이스의 IP 주소(eth1, eth2 또는 eth3)이고 host-alias는 네트워크 인터페이스에 할당하는 이름입니다. FQDN-string은 네트워크 인터페이스의 인증된 도메인 이름입니다. 이 명령을 사용하여 host-alias 또는 FQDN-string 중 하나 또는 둘 다를 네트워크 인터페이스에 할당할 수 있습니다.

ip host 명령을 사용하는 예는 ip host a.b.c.d sales sales.amerxyz.com과 같습니다.

eth0이 아닌 인터페이스에 호스트 별칭을 할당한 후에는 application start ise 명령을 사용하여 Cisco ISE에서 애플리케이션 서비스를 재시작해야 합니다.

네트워크 인터페이스와 호스트 별칭의 연결을 제거하려면 이 명령의 no 형식을 사용합니다.

no ip host IP_address host-alias FQDN-string

호스트 별칭 정의를 보려면 show running-config 명령을 사용합니다.

FQDN-string을 제공하는 경우 Cisco ISE는 URL의 IP 주소를 FQDN으로 바꿉니다. 호스트 별칭만 제공하는 경우 Cisco ISE는 호스트 별칭을 구성된 IP 도메인 이름과 결합하여 완전한 FQDN을 만든 다음 URL의 IP 주소를 FQDN으로 바꿉니다. 네트워크 인터페이스를 호스트 별칭에 매핑하지 않으면 Cisco ISE는 URL에 포함된 네트워크 인터페이스의 IP 주소를 사용합니다.

클라이언트 프로비저닝이나 기본 신청자 또는 게스트 플로우용으로 eth0이 아닌 인터페이스를 사용할 때는 PSN 인증서의 SAN 필드에서 eth0이 아닌 인터페이스의 IP 주소 또는 호스트 별칭을 적절하게 구성해야 합니다.

와일드카드 인증서를 사용하는 경우의 이점

비용 절감: 서드 파티 CA에서 서명한 인증서는 비용이 많이 들며 특히 서버 수가 증가할수록 비용이 큽니다. 와일드카드 인증서는 Cisco ISE 구축의 여러 노드에서 사용할 수 있습니다.
운영 효율성: 와일드카드 인증서를 사용하면 모든 PSN이 EAP 및 웹 서비스에 대해 동일한 인증서를 공유할 수 있습니다. 막대한 비용 절감 효과를 거둘 수 있을 뿐 아니라, 인증서를 한 번 생성하여 모든 PSN에 적용하는 방식으로 인증서 관리 작업도 간소화할 수 있습니다.
인증 오류 감소: 와일드카드 인증서는 클라이언트가 프로파일에 신뢰할 수 있는 인증서를 저장하지만 서명 루트를 신뢰할 수 있는 iOS 키 체인을 따르지 않는 Apple iOS 디바이스에서 발생하는 문제를 해결해 줍니다. PSN과 처음 통신하는 iOS 클라이언트는 신뢰할 수 있는 CA가 인증서에 서명한 경우에도 PSN 인증서를 명시적으로 신뢰하지 않습니다. 와일드카드 인증서를 사용하면 인증서가 모든 PSN에서 동일하게 유지되므로 사용자가 인증서를 수락하기만 하면 여러 PSN에 대한 이후의 인증은 오류 또는 메시지 없이 진행됩니다.
신청자 컨피그레이션 간소화: 예를 들어 PEAP-MSCHAPv2 및 신뢰할 수 있는 서버 인증서가 있는 Microsoft Windows 신청자에서는 각 서버 인증서를 신뢰하도록 지정해야 합니다. 아니면 클라이언트가 다른 PSN을 사용하여 연결할 때 사용자에게 각 PSN 인증서를 신뢰하는지 묻는 메시지가 표시될 수 있습니다. 와일드카드 인증서를 사용하면 각 PSN의 개별 인증서가 아니라 단일 서버 인증서를 신뢰할 수 있습니다.
와일드카드 인증서를 사용하면 메시지 수를 줄이고 원활한 연결을 진행할 수 있으므로 사용자 환경을 개선할 수 있습니다.

와일드카드 인증서를 사용하는 경우의 단점

다음은 와일드카드 인증서 사용과 관련된 몇 가지 보안 고려 사항입니다.

감사 기능 손실 및 미거부
개인 키의 노출 증가
일반적이지 않거나 관리자가 이해할 수 없음

와일드카드 인증서는 각 Cisco ISE 노드의 고유 서버 인증서보다 보안성이 낮은 것으로 간주됩니다. 그러나 보안 위험 문제보다 비용 및 다른 운영 관련 이점이 훨씬 큽니다.

Cisco Adaptive Security Appliance와 같은 보안 디바이스도 와일드카드 인증서를 지원합니다.

와일드카드 인증서를 구축할 때에는 주의해야 합니다. 예를 들어 *.company.local을 사용하여 인증서를 생성하는 경우 공격자가 개인 키를 복구할 수 있으면 공격자는 company.local 도메인의 서버를 스푸핑할 수 있습니다. 그러므로 이러한 종류의 문제를 방지하려면 도메인 공간을 분할하는 것이 좋습니다.

이러한 문제를 해결하고 사용 범위를 제한하려면 조직의 특정 하위 도메인을 보호하도록 와일드카드 인증서를 사용할 수 있습니다. 와일드카드를 지정하려는 공통 이름의 하위 도메인 영역에 별표(*)를 추가합니다.

예를 들어 *.ise.company.local에 대한 와일드카드 인증서를 구성하는 경우 다음과 같이 DNS 이름이 ".ise.company.local"로 끝나는 다른 모든 호스트를 해당 인증서를 사용하여 보호할 수 있습니다.

psn.ise.company.local
mydevices.ise.company.local
sponsor.ise.company.local

와일드카드 인증서 호환성

와일드카드 인증서는 일반적으로 인증서 주체의 CN(Common Name)으로 나열되는 와일드카드를 사용하여 생성됩니다. Cisco ISE에서는 이러한 생성 유형을 지원합니다. 그러나 모든 엔드포인트 신청자가 인증서 주체의 와일드카드 문자를 지원하는 것은 아닙니다.

테스트를 거친 모든 Microsoft 기본 신청자(현재 중단된 Windows Mobile 포함)는 인증서 주체에서 와일드카드 문자를 지원하지 않습니다.

Subject(주체) 필드에서 와일드카드 문자 사용을 허용할 수 있는 Cisco AnyConnect NAM(Network Access Manager) 등의 다른 신청자를 사용할 수 있습니다.

또한 인증서의 주체 대체 이름에 특정 하위 도메인을 포함하여 호환되지 않는 디바이스에서 사용 가능한 DigiCert의 Wildcard Plus와 같은 특수 와일드카드 인증서를 사용할 수도 있습니다.

Microsoft 신청자 제한으로 인해 와일드카드 인증서를 사용할 수 없다고 생각할 수도 있지만, Microsoft 기본 신청자를 포함하여 보안 액세스용으로 테스트된 모든 디바이스에서 사용할 수 있는 와일드카드 인증서를 생성하는 대체 방법이 있습니다.

이러한 인증서를 생성하려면 주체에 와일드카드 문자를 사용하는 대신 SAN(Subject Alterative Name) 필드에 와일드카드 문자를 사용해야 합니다. SAN 필드에서 도메인 이름(DNS 이름) 확인용 확장을 유지 관리할 수 있습니다. 자세한 내용은 RFC 6125 및 2128을 참고해 주십시오.

인증서 계층 구조

관리 포털에서 모든 엔드포인트, 시스템 및 신뢰할 수 있는 인증서의 인증서 계층 구조 또는 인증서 신뢰 체인을 확인할 수 있습니다. 인증서 계층 구조에는 인증서, 모든 중간 CA 인증서 및 루트 인증서가 포함됩니다. 예를 들어 관리 포털에서 시스템 인증서를 보도록 선택하면 해당 시스템 인증서의 세부정보가 표시됩니다. 인증서 계층 구조는 인증서의 상단에 나타납니다. 계층 구조에서 인증서를 클릭하면 해당 세부정보를 볼 수 있습니다. 셀프 서명 인증서에는 계층 구조 또는 신뢰 체인이 없습니다.

인증서 목록 창의 Status(상태) 열에는 다음 아이콘 중 하나가 표시됩니다.

녹색 아이콘: 유효한 인증서(유효한 신뢰 체인)를 나타냅니다.
빨간색 아이콘: 오류(예: 신뢰 인증서가 누락되었거나 만료됨)를 나타냅니다.
노란색 아이콘: 인증서가 곧 만료된다고 경고하며 갱신하라는 메시지가 표시됩니다.

시스템 인증서

Cisco ISE 시스템 인증서는 구축의 다른 노드 및 클라이언트 애플리케이션에 대해 Cisco ISE 노드를 식별하는 서버 인증서입니다. 시스템 인증서는 다음과 같이 사용됩니다.

Cisco ISE 구축에서 노드 간 통신에 사용됩니다. 이러한 인증서의 Usage(사용) 영역에서 Admin(관리) 확인란을 선택합니다.
브라우저 및 Cisco ISE 웹 포털에 연결되는 REST 클라이언트에 사용됩니다. 이러한 인증서의 Usage(사용) 영역에서 Portal(포털) 확인란을 선택합니다.
PEAP 및 EAP-FAST와 함께 외부 TLS 터널을 형성하는 데 사용됩니다. Usage(사용) 영역에서 EAP-TLS, PEAP 및 EAP-FAST와의 상호 인증을 위한 EAP Authentication(EAP 인증) 확인란을 선택합니다.
RADIUS DTLS 서버 인증에 사용됩니다.
SAML IdP(Identity Provider)와 통신하는 데 사용됩니다. 이러한 인증서의 Usage(사용) 영역에서 SAML 확인란을 선택합니다. SAML 옵션을 선택하는 경우 다른 서비스에 이 인증서를 사용할 수 없습니다.
pxGrid 컨트롤러와의 통신에 사용됩니다. 이러한 인증서의 Usage(사용) 영역에서 pxGrid 확인란을 선택합니다.

Cisco ISE 구축의 각 노드에 유효한 시스템 인증서를 설치합니다. 기본적으로 설치 중에 Cisco ISE 노드에 자체 서명 인증서 2개와 내부 Cisco ISE CA에서 서명 1개가 생성됩니다.

EAP, 관리자, 포털, RADIUS DTLS (키 크기는 2048이며 1년 동안 유효함)
SAML IdP와의 통신을 보호하는 데 사용할 수 있는 자체 서명 SAML 서버 인증서(키 크기는 2048이며 1년 동안 유효함)
pxGrid 클라이언트와의 통신을 보호하는 데 사용할 수 있는 내부 Cisco ISE CA 서명 서버 인증서(키 크기가 4096이고 1년 동안 유효함).

구축을 설정하고 보조 노드를 등록하면 pxGrid 컨트롤러용으로 지정된 인증서가 기본 노드의 CA에서 서명한 인증서로 자동 교체됩니다. 따라서 모든 pxGrid 인증서는 동일한 PKI 신뢰 계층 구조의 일부가 됩니다.

참고	가져온 와일드카드 시스템 인증서를 다른 노드(노드 간 통신을 위해)로 내보내는 경우 인증서 및 개인 키를 내보내고 암호화 비밀번호를 지정해야 합니다. 가져오는 동안 인증서, 개인 키 및 암호화 비밀번호가 필요합니다.

참고	릴리스에 대해 지원되는 키 및 암호 정보를 찾으려면 Cisco Identity Services Engine Network Component Compatibility의 해당 버전을 확인하십시오.

보안을 향상하기 위해 셀프 서명 인증서는 CA 서명 인증서로 대체하는 것이 좋습니다. CA 서명 인증서를 가져오려면 다음을 수행해야 합니다.

인증서 서명 요청을 생성하고 인증 기관에 제출
신뢰할 수 있는 인증서 저장소로 루트 인증서 가져오기
인증서 서명 요청에 대한 CA 서명 인증서 바인딩

ISE 커뮤니티 리소스

방법: ISE 서버 측 인증서 구현

Certificate Renewal on Cisco Identity Services Engine Configuration Guide

시스템 인증서 보기

System Certificate(시스템 인증서) 창에는 Cisco ISE에 추가된 모든 시스템 인증서가 나열됩니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1

Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서)를 선택합니다.

단계 2

다음 열이 System Certificates(시스템 인증서) 창에 표시됩니다.

Friendly Name(식별 이름): 인증서의 이름입니다.
Usage(사용): 이 인증서가 사용되는 서비스입니다.
Portal group tag(포털 그룹 태그): 포털에서 사용하도록 지정된 인증서에만 해당되며, 이 필드가 포털에 사용해야 하는 인증서를 지정합니다.
Issued To(발급 대상): 인증서 주체의 공용 이름입니다.
Issued By(발급자): 인증서 발급자의 공용 이름입니다.
Valid From(유효 기간 시작): 인증서가 생성된 날짜이며, "Not Before" 인증서 속성이라고도 합니다.
Valid To (Expiration)(만료 날짜): 인증서의 만료 날짜이며, "Not After" 인증서 속성이라고도 합니다. 만료 날짜 옆에 다음 아이콘이 표시됩니다.
- 녹색 아이콘: 만료 날짜까지 남은 기간이 90일 이상입니다.
- 파란색 아이콘: 90일 이내에 만료됩니다.
- 노란색 아이콘: 60일 이내에 만료됩니다.
- 주황색 아이콘: 30일 이내에 만료됩니다.
- 빨간색 아이콘: 만료되었습니다.

시스템 인증서 가져오기

관리 포털에서 Cisco ISE 노드의 시스템 인증서를 가져올 수 있습니다.

참고	기본 PAN 노드에서 관리 역할 인증서의 인증서를 변경하면 다른 모든 노드에서 서비스가 재시작됩니다. 시스템은 기본 PAN이 재시작되고 나면 노드를 한 번에 한 개씩 재시작합니다.

시작하기 전에

클라이언트 브라우저를 실행 중인 시스템에 시스템 인증서 및 개인 키 파일이 있는지 확인합니다.
가져오는 시스템 인증서에 외부 CA가 서명을 한 경우 관련 루트 및 중간 CA 인증서를 신뢰할 수 있는 인증서 저장소(Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서))로 가져옵니다.
가져오는 시스템 인증서에 CA 플래그가 true로 설정된 기본 제한 확장명이 포함되어 있으면 키 사용 확장이 있는지 확인하고, keyEncipherment 비트나 keyAgreement 중 하나 또는 두 비트가 모두 설정되어 있는지 확인합니다.
다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1
단계 2	Import(가져오기)를 클릭합니다. Import Server Certificate(서버 인증서 가져오기) 창이 표시됩니다.
단계 3	가져올 인증서에 대한 값을 입력합니다.
단계 4	Submit(제출)을 클릭합니다.

시스템 인증서 가져오기 설정

다음 표에서는 서버 인증서를 가져오는 데 사용할 수 있는 Import System Certificate(시스템 인증서 가져오기) 창의 필드에 대해 설명합니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서)입니다. Import(가져오기)를 클릭합니다.

표 8. 시스템 인증서 가져오기 설정

필드 이름

설명

Select Node(노드 선택)

(필수) 드롭다운 목록에서 시스템 인증서를 가져올 Cisco ISE 노드를 선택합니다.

Certificate File(인증서 파일)

(필수) Choose File(파일 선택)을 클릭하고 로컬 시스템에서 인증서 파일을 선택합니다.

Private Key File(개인 키 파일)

(필수) Choose File(파일 선택)을 클릭하고 로컬 시스템에서 개인 키 파일을 선택합니다.

Password(비밀번호)

(필수) 개인 키 파일의 암호를 해독하기 위한 비밀번호를 입력합니다.

Friendly Name(식별 이름)

인증서의 식별 이름을 입력합니다. 이름을 지정하지 않으면 Cisco ISE는 다음 형식으로 이름을 자동으로 생성합니다.

<common name> # <issuer> # <nnnnn>에서 <nnnnn>은 고유한 5자리 숫자입니다.

Allow Wildcard Certificates(와일드카드 인증서 허용)

와일드카드 인증서를 가져오려면 이 확인란을 선택합니다. 와일드카드 인증서에서는 와일드카드 표기법(도메인 이름 앞에 별표와 기간)이 사용됩니다. 와일드카드 인증서는 조직의 여러 호스트에서 공유됩니다.

이 확인란을 선택하는 경우 Cisco ISE는 구축의 기타 모든 노드로 이 인증서를 가져옵니다.

Validate Certificate Extensions(인증서 확장명 검증)

Cisco ISE가 인증서 확장명을 검증하도록 지정하려면 이 확인란을 선택합니다. 이 확인란을 선택하는 경우 가져오는 인증서에 CA 플래그가 true로 설정된 기본 제한 확장명이 포함되어 있으면 키 사용 확장이 있는지 확인합니다. keyEncipherment 비트나 keyAgreement 비트 중 하나 또는 둘 모두 설정되어야 합니다.

Usage(사용)

이 시스템 인증서를 사용할 서비스를 선택합니다.

Admin(관리): 구축의 Cisco ISE 노드 간 통신 및 관리 포털과의 통신을 보호하는 데 사용되는 서버 인증서입니다.

참고	기본 PAN에서 관리자 역할 인증서의 인증서를 변경하면 다른 모든 Cisco ISE 노드에서 서비스가 재시작됩니다.

EAP Authentication(EAP 인증): SSL 또는 TLS 터널링용 EAP 프로토콜을 사용하는 인증에 사용되는 서버 인증서입니다.
RADIUS DTLS: RADIUS DTLS 인증에 사용되는 서버 인증서입니다.
pxGrid: pxGrid 클라이언트와 서버 간의 통신을 보호하기 위한 클라이언트 및 서버 인증서입니다.
ISE Messaging Service(ISE 메시징 서비스): 내장 UDP 시스템 로그 수집 대상(LogCollector 및 LogCollector2)에 대해 MnT WAN 지속성을 지원하는 Syslog Over Cisco ISE Messaging(Cisco ISE 메시징을 통한 시스템 로그)에서 사용됩니다.
SAML: SAML ID 제공자와의 통신을 보호하는 데 사용되는 서버 인증서입니다. SAML에 사용하도록 지정된 인증서는 관리, EAP 인증 등의 기타 서비스에는 사용할 수 없습니다.
Portal(포털): 모든 Cisco ISE 웹 포털과의 통신을 보호하는 데 사용되는 서버 인증서입니다.

셀프 서명 인증서 생성

SSC(자가서명 인증서)를 생성하여 새 로컬 인증서를 추가할 수 있습니다. Cisco에서는 내부 테스트 및 평가에 필요한 SSC(자가서명 인증서)만 사용하기를 권장합니다. 생산 환경에서 Cisco ISE를 구축하려는 경우에는 생산 네트워크 전체에서 보다 균일하게 수락될 수 있도록 가능하면 항상 CA 서명 인증서를 사용하십시오.

참고	SSC(자가서명 인증서)를 사용 중일 때 Cisco ISE 노드의 호스트 이름을 변경해야 하는 경우에는 Cisco ISE 노드의 관리 포털에 로그인하여 이전 호스트 이름이 지정된 SSC(자가서명 인증서)를 삭제한 다음 새 SSC(자가서명 인증서)를 생성해야 합니다. 이렇게 하지 않으면 Cisco ISE는 이전 호스트 이름이 지정된 SSC(자가서명 인증서)를 계속 사용합니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

셀프 서명 인증서 설정

다음 표에서는 셀프 서명 인증서 생성 창의 필드에 대해 설명합니다. 이 창에서는 노드 간 통신, EAP-TLS 인증, Cisco ISE 웹 포털용 시스템 인증서를 생성하고 pxGrid 컨트롤러와 통신할 수 있습니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서)입니다. 셀프 서명 인증서 생성을 클릭합니다.

표 9. 셀프 서명 인증서 설정

필드 이름

사용 지침

Select Node(노드 선택)

(필수) 시스템 인증서를 생성할 노드입니다.

Common Name(공통 이름) (CN)

(SAN을 지정하지 않는 경우 필수) 기본적으로 일반 이름은 셀프 서명 인증서를 생성하는 Cisco ISE 노드의 FQDN입니다.

Organizational Unit(OU)(조직 단위)

조직 단위의 이름입니다. Engineering 등을 예로 들 수 있습니다.

Organization(O)(조직)

조직의 이름입니다. Cisco 등을 예로 들 수 있습니다.

City (L)(L(구/군/시))

(약어로 표기하지 않음) 구/군/시의 이름입니다. San Jose 등을 예로 들 수 있습니다.

State(ST)(시/도)

(약어로 표기하지 않음) 시/도의 이름입니다. California 등을 예로 들 수 있습니다.

Country(C)(국가)

국가의 이름입니다. 2자리 ISO 국가 코드를 입력해야 합니다. US 등을 예로 들 수 있습니다.

SAN(Subject Alternative Name)

인증서와 연결된 IP 주소, DNS 이름 또는 URI(Uniform Resource Identifier)

Key Type(키 유형)

공개 키(RSA 또는 ECDSA)를 생성하는 데 사용할 알고리즘입니다.

Key Length(키 길이)

공개 키의 비트 크기입니다. RSA를 위한 드롭다운 목록에서 다음 옵션 중 하나를 선택합니다.

512
1024
2048
4096

ECDSA를 위한 드롭다운 목록에서 다음 옵션 중 하나를 선택합니다.

256
384

참고	RSA 및 ECDSA 공개 키는 동일한 보안 레벨에서 키 길이가 다를 수 있습니다.

공용 CA 서명 인증서를 가져오거나 FIPS 호환 정책 관리 시스템으로 Cisco ISE를 구축하려면 2048을 선택합니다.

Digest to Sign With(서명에 사용할 다이제스트)

드롭다운 목록에서 다음 해싱 알고리즘 중 하나를 선택합니다.

SHA-1
SHA-256

인증서 정책

인증서가 준수해야 하는 인증서 정책 OID 또는 OID 목록을 입력합니다. 쉼표나 공백을 사용하여 OID를 구분합니다.

Expiration TTL(만료 TTL)

인증서가 만료될 때까지의 기간(일)을 지정합니다. 드롭다운 목록에서 필요한 값을 선택합니다.

Friendly Name(식별 이름)

인증서의 식별 이름을 입력합니다. 이름을 지정하지 않으면 Cisco ISE가 <common name> # <issuer> # <nnnnn> 형식으로 이름을 자동 생성합니다. 여기서 <nnnnn>은 고유한 5자리 숫자입니다.

Allow Wildcard Certificates(와일드카드 인증서 허용)

셀프 서명 와일드카드 인증서를 생성하려면 이 확인란을 선택합니다. 와일드카드 인증서는 와일드카드 표기법(별표 및 도메인 이름 앞의 마침표)을 사용하므로 조직의 여러 호스트 간에 인증서를 공유할 수 있습니다.

Usage(사용)

이 시스템 인증서를 사용할 서비스를 선택합니다.

Admin(관리): 구축의 Cisco ISE 노드 간 통신 및 관리 포털과의 통신을 보호하는 데 사용되는 서버 인증서입니다.
EAP Authentication(EAP 인증): SSL 또는 TLS 터널링용 EAP 프로토콜을 사용하는 인증에 사용되는 서버 인증서입니다.
RADIUS DTLS: RADIUS DTLS 인증에 사용되는 서버 인증서입니다.
pxGrid: pxGrid 클라이언트와 서버 간의 통신을 보호하기 위한 클라이언트 및 서버 인증서입니다.
SAML: SAML ID 제공자와의 통신을 보호하는 데 사용되는 서버 인증서입니다. SAML에 사용하도록 지정된 인증서는 관리, EAP 인증 등의 기타 서비스에는 사용할 수 없습니다.
Portal(포털): 모든 Cisco ISE 웹 포털과의 통신을 보호하는 데 사용되는 서버 인증서입니다.

시스템 인증서 편집

이 창을 사용하여 시스템 인증서를 편집하고 셀프 서명 인증서를 갱신할 수 있습니다. 와일드카드 인증서를 편집하면 변경사항이 구축의 모든 노드로 복제됩니다. 와일드카드 인증서를 삭제하면 구축의 모든 노드에서 해당 와일드카드 인증서가 제거됩니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1	선택Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서)를 선택합니다.
단계 2	편집할 인증서 옆의 확인란을 선택하고 Edit(편집)를 클릭합니다.
단계 3	셀프 서명 인증서를 갱신하려면 Renewal Period(갱신 기간) 확인란을 선택하고 만료 TTL(Time to Live)를 일, 주, 월 또는 연도 단위로 입력합니다. 드롭다운 목록에서 필요한 값을 를 선택합니다.
단계 4	Save(저장)를 클릭합니다. Admin(관리) 확인란을 선택하면 Cisco ISE 노드의 애플리케이션 서버가 다시 시작됩니다. 또한 Cisco ISE 노드가 구축의 PAN인 경우에는 구축 내 기타 모든 노드의 애플리케이션 서버도 다시 시작됩니다. 시스템은 기본 PAN이 재시작되고 나면 노드를 한 번에 한 개씩 재시작합니다.

참고

Chrome 65 이상을 사용하여 Cisco ISE를 시작하면 URL이 성공적으로 리디렉션되어도 브라우저에서 BYOD 포털 또는 게스트 포털이 시작되지 않을 수 있습니다. 이는 모든 인증서에 주체 대체 이름 필드를 요구하는 Google의 새로운 보안 기능 때문입니다. Cisco ISE 릴리스 2.4 이상의 경우 Subject Alternative Name(주체 대체 이름) 필드를 입력해야 합니다.

Chrome 65 이상에서 실행하려면 다음 단계를 수행합니다.

1. Subject Alternative Name(주체 대체 이름) 필드를 입력해 Cisco ISE GUI에서 새 자체 서명 인증서를 생성합니다. DNS 및 IP 주소를 모두 입력해야 합니다.

2. Cisco ISE 서비스가 다시 시작됩니다.

3. Chrome 브라우저에서 포털을 리디렉션합니다.

4. 브라우저에서 View Certificate(인증서보기)>Details(세부정보)>Copy the certificate by selecting base-64 encoded(base-64 인코딩을 선택하여 인증서 복사)를 실행합니다.

5. 신뢰할 수 있는 경로에 인증서를 설치합니다.

6. Chrome 브라우저를 닫고 포털 리디렉션을 시도합니다.

참고

운영체제 Win RS4 또는 RS5에서 브라우저 Firefox 64 이상 릴리스에 대해 무선 BYOD 설정을 구성할 때 인증서 예외를 추가하지 못할 수 있습니다. 이 동작은 Firefox 64 이상 릴리스를 새로 설치하는 경우에 예상되며, 이전 버전에서 Firefox 64 이상으로 업그레이드하는 경우에는 발생하지 않습니다. 이 경우 다음과 같은 단계를 통해 인증서 예외를 추가할 수 있습니다.

BYOD 플로우 단일 또는 이중 PEAP 또는 TLS를 구성합니다.
Windows ALL 옵션을 사용해 CP 정책을 구성합니다.
엔드 클라이언트 Windows RS4 또는 Windows RS5에서 Dot1.x 또는 MAB SSID를 연결합니다.
게스트 또는 BYOD 포털로의 리디렉션을 위해 FF64 브라우저에 1.1.1.1을 입력합니다.
Add Exception(예외 추가) > Unable to add certificate(인증서 추가 불가능)을 클릭한 다음 플로우를 진행합니다.

이를 해결하는 방법으로, Firefox 64용 인증서를 수동으로 추가합니다. Firefox 64 브라우저에서 Options(옵션) > Privacy & Settings(개인 정보 및 설정) > View Certificates(인증서 보기) > Servers(서버) > Add Exception(예외 추가)을 선택합니다.

시스템 인증서 삭제

더 이상 사용하지 않는 시스템 인증서는 삭제할 수 있습니다.

시스템 인증서 저장소에서 한 번에 여러 인증서를 삭제할 수는 있지만, 이 경우 관리 및 EAP 인증에 사용할 수 있는 인증서가 하나 이상 있어야 합니다. 또한 관리, EAP 인증, 포털 또는 pxGrid 컨트롤러에 사용되는 인증서는 삭제할 수 없습니다. 단, 서비스를 비활성화하는 경우 pxGrid 인증서는 삭제할 수 있습니다.

와일드카드 인증서를 삭제하도록 선택하는 경우에는 구축의 모든 Cisco ISE 노드에서 인증서가 제거됩니다.

프로시저

단계 1

선택Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서)를 선택합니다.

단계 2

삭제할 인증서 옆의 확인란을 선택하고 Delete(삭제)를 클릭합니다.

경고 메시지가 표시됩니다.

단계 3

Yes(예)를 클릭하여 인증서를 삭제합니다.

시스템 인증서 내보내기

시스템 인증서 또는 인증서와 그 연결된 개인 키를 내보낼 수 있습니다. 인증서 및 해당 개인 키를 백업용으로 내보내는 경우 나중에 필요하면 인증서와 키를 다시 가져올 수 있습니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1

선택Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서).

단계 2

내보낼 인증서 옆의 확인란을 선택하고 Export(내보내기)를 클릭합니다.

단계 3

인증서만 내보낼지 아니면 인증서 및 연결된 개인 키를 내보낼지를 선택합니다.

팁	인증서와 연결된 개인 키의 값이 노출될 수 있으므로 개인 키는 내보내지 않는 것이 좋습니다. 노드 간 통신용으로 와일드카드 시스템 인증서를 다른 Cisco ISE 노드로 가져오기 위해 내보내는 등의 경우와 같이 개인 키를 내보내야 하는 경우에는 개인 키용 암호화 비밀번호를 지정합니다. 개인 키의 암호를 해독하려면 이 인증서를 다른 Cisco ISE 노드로 가져오는 동안 이 비밀번호를 지정해야 합니다.

단계 4

개인 키를 내보내도록 선택한 경우 비밀번호를 입력합니다. 비밀번호는 8자 이상이어야 합니다.

단계 5

Export(내보내기)를 클릭하여 클라이언트 브라우저를 실행 중인 파일 시스템에 인증서를 저장합니다.

인증서만 내보내는 경우에는 PEM 형식으로 인증서가 저장됩니다. 인증서와 개인 키를 모두 내보내는 경우에는 PEM 형식 인증서와 암호화된 개인 키 파일을 포함하는 .zip 파일로 인증서가 내보내집니다.

신뢰할 수 있는 인증서 저장소

신뢰할 수 있는 인증서 저장소에는 신뢰 및 SCEP(Simple Certificate Enrollment Protocol)에 사용되는 X.509 인증서가 포함되어 있습니다.

신뢰할 수 있는 인증서 저장소의 인증서는 기본 PAN에서 관리되고 Cisco ISE 구축의 각 노드에 복제됩니다. Cisco ISE는 와일드카드 인증서를 지원합니다.

Cisco ISE는 다음과 같은 용도로 신뢰할 수 있는 인증서를 사용합니다.

인증서 기반 관리자 인증을 사용하여 ISE-PIC관리 포털에 액세스하는 Cisco ISE 관리자 및 엔드포인트에서 인증을 위해 사용하는 클라이언트 인증서 확인
구축에 있는 Cisco ISE 노드 간의 통신 보호 활성화. 신뢰할 수 있는 인증서 저장소는 구축의 각 노드에 있는 시스템 인증서와의 신뢰 관계를 설정하는 데 필요한 CA 인증서 체인을 포함해야 합니다.
- 셀프 서명 인증서는 시스템 인증서에 사용되고 각 노드의 셀프 서명 인증서는 PAN의 신뢰할 수 있는 인증서 저장소에 위치해야 합니다.
- CA 서명 인증서가 시스템 인증서로 사용되는 경우 CA 루트 인증서와 함께 신뢰 체인의 중간 인증서는 PAN의 신뢰할 수 있는 인증서 저장소에 위치해야 합니다.
보안 LDAP 인증을 활성화하려면 SSL을 통해 액세스하는 LDAP ID 소스를 정의할 때는 인증서 저장소의 인증서를 선택해야 합니다.

개인 디바이스 포털을 사용하여 네트워크에 등록할 수 있도록 개인 디바이스에 배포. Cisco ISE는 개인 디바이스 등록을 지원하기 위해 PSN에 SCEP를 구현합니다. 등록 디바이스는 SCEP 프로토콜을 사용하여 PSN에서 클라이언트 인증서를 요청할 수 있습니다. PSN에는 중개자 역할을 하는 RA(Registration Authority)가 포함되어 있습니다. RA는 등록 디바이스로부터 요청을 받고 검증한 다음 요청을 외부 CA 또는 내부 Cisco ISE CA로 전달하는데, 이 CA에서 클라이언트 인증서를 발급합니다. CA는 인증서를 다시 RA로 보내고 RA에서 디바이스로 인증서를 반환합니다.

Cisco ISE에 사용되는 각 SCEP CA는 SCEP RA 프로파일로 정의됩니다. SCEP RA 프로파일이 생성되면 다음 두 개의 인증서가 자동으로 신뢰할 수 있는 인증서 저장소에 추가됩니다.

CA 인증서(셀프 서명 인증서)
CA가 서명한 RA 인증서(인증서 요청 에이전트 인증서)

SCEP 프로토콜 요건에 따라 RA에서 이러한 두 인증서를 등록 디바이스에 제공해야 합니다. 신뢰할 수 있는 인증서 저장소에서 이러한 두 인증서를 대체하면 해당 노드의 RA에 사용되도록 인증서가 모든 PSN 노드로 복제됩니다.

참고	SCEP RA 프로파일이 제거되면 연결된 CA 체인도 신뢰할 수 있는 인증서 저장소에서 제거됩니다. 그러나 보안 시스템 로그, LDAP, 시스템 또는 신뢰 인증서에서 동일한 인증서를 참조하는 경우 SCEP 프로파일만 삭제됩니다.

참고	Cisco ISE로 가져온 X.509 인증서는 PEM(Privacy-Enhanced Mail) 또는 DER(Distinguished Encoding Rule) 형식이어야 합니다. 인증서 체인, 시스템 인증서와 여기에 서명하는 신뢰 인증서 시퀀스를 포함하는 파일은 특정 제한 사항에 따라 가져올 수 있습니다. 공개 와일드카드 인증서를 게스트 포털에 할당하고 루트 CA 인증서가 포함된 하위 CA를 가져오는 경우 Cisco ISE 서비스가 재시작될 때까지 인증서 체인이 전송되지 않습니다.

ISE 커뮤니티 리소스

ISE 2.0에 타사 CA 인증서 설치

신뢰할 수 있는 인증서 저장소의 인증서

신뢰할 수 있는 인증서 저장소는 신뢰할 수 있는 인증서, 즉 Manufacturing 인증서, 루트 인증서, 및 다른 신뢰할 수 있는 인증서로 미리 채워져 있습니다. 루트 인증서(Cisco 루트 CA)는 Manufacturing (Cisco CA Manufacturing) 인증서에 서명합니다. 이 인증서는 기본적으로 비활성화되어 있습니다. 구축에서 Cisco IP Phone을 엔드포인트로 사용하는 경우 이러한 두 인증서를 활성화해야 IP Phone에 대한 Cisco 서명 클라이언트 인증서를 인증할 수 있습니다.

신뢰할 수 있는 인증서 목록

다음 표에서는 관리 노드에 추가된 신뢰할 수 있는 인증서 목록이 표시되는 Trusted Certificates(신뢰할 수 있는 인증서) 창의 열에 대해 설명합니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)입니다.

표 10. 신뢰할 수 있는 인증서 창의 열
필드 이름	사용 지침
Friendly Name(식별 이름)	인증서의 이름을 표시합니다.
Status(상태)	이 열에는 Enabled(활성화됨) 또는 Disabled(비활성화됨)가 표시됩니다. 인증서가 비활성화되면 Cisco ISE가 신뢰를 설정하는 데 인증서를 사용하지 않습니다.
Trusted for(신뢰 대상)	인증서를 사용하는 다음 서비스를 하나 이상 표시합니다. Infrastructure(인프라) Cisco Services(시스코 서비스) Endpoints(엔드포인트)
Issued To(발급 대상)	인증서 주체의 CN(Common Name)을 표시합니다.
Issued By(발급자)	인증서 발급자의 CN(Common Name)을 표시합니다.
Valid From(유효 기간 시작)	인증서가 발급된 날짜와 시간을 표시합니다. 이 값은 "Not Before" 인증서 속성이라고도 합니다.
Expiration Date(만료일)	인증서가 만료되는 날짜와 시간을 표시합니다. 이 값은 "Not After" 인증서 속성이라고도 합니다.
Expiration Status(만료 상태)	인증서 만료의 상태에 대한 정보를 제공합니다. 이 열에는 정보 메시지의 범주와 5개 아이콘이 표시됩니다. 녹색: 만료일까지 남은 기간이 90일 이상입니다. 파란색: 90일 이내에 만료됩니다. 노란색: 60일 이내에 만료됩니다. 주황색: 30일 이내에 만료됩니다. 빨간색: 만료되었습니다.

신뢰할 수 있는 인증서 명명 제한

CTL의 신뢰할 수 있는 인증서는 이름 제한 확장명을 포함할 수 있습니다. 이 확장명은 인증서 체인 내 후속 인증서의 모든 주체 이름 및 대체 주체 이름 필드 값에 대한 네임스페이스를 정의합니다. Cisco ISE는 루트 인증서에 지정된 제한을 확인하지 않습니다.

Cisco ISE에서 지원되는 이름 제한은 다음과 같습니다.

디렉토리 이름

Subject(주체) 또는 Subject Alternative Name(대체 주체 이름) 필드에서 디렉토리 이름 접두사를 디렉토리 이름 제한으로 사용해야 합니다. 예를 들면 다음과 같습니다.
- 올바른 주체 접두사:
  
  CA 인증서 이름 제한: Permitted: O=Cisco
  
  클라이언트 인증서 주체: O=Cisco,CN=Salomon
- 잘못된 주체 접두사:
  
  CA 인증서 이름 제한: Permitted: O=Cisco
  
  클라이언트 인증서 주체: CN=Salomon,O=Cisco
DNS
이메일
URI(URI 제한은 http://, https://, ftp:// 또는 ldap://와 같은 URI 접두사로 시작되어야 함)

Cisco ISE는 다음 이름 제약 조건을 지원하지 않습니다.

IP 주소
기타 이름

신뢰할 수 있는 인증서에 지원되지 않는 제약 조건이 있고 확인 중인 인증서에 적절한 필드가 없는 경우 Cisco ISE는 지원되지 않는 제약 조건을 확인할 수 없으므로 인증서를 거부합니다.

신뢰할 수 있는 인증서 내의 이름 제한 정의 예제는 다음과 같습니다.


X509v3 Name Constraints: critical
                Permitted:
                  othername:<unsupported>
                  email:.abcde.at
                  email:.abcde.be
                  email:.abcde.bg
                  email:.abcde.by
                  DNS:.dir
                  DirName: DC = dir, DC = emea
                  DirName: C = AT, ST = EMEA, L = AT, O = ABCDE Group, OU = Domestic
                  DirName: C = BG, ST = EMEA, L = BG, O = ABCDE Group, OU = Domestic
                  DirName: C = BE, ST = EMEA, L = BN, O = ABCDE Group, OU = Domestic
                  DirName: C = CH, ST = EMEA, L = CH, O = ABCDE Group, OU = Service Z100
                  URI:.dir
                  IP:172.23.0.171/255.255.255.255
                Excluded:
                  DNS:.dir
                  URI:.dir

위의 정의와 일치하는 허용되는 클라이언트 인증서 주체는 다음과 같습니다.


           Subject: DC=dir, DC=emea, OU=+DE, OU=OU-Administration, OU=Users, OU=X1, 			CN=cwinwell

신뢰할 수 있는 인증서 보기

Trusted Certificates(신뢰할 수 있는 인증서) 창에는 Cisco ISE에서 사용 가능한 신뢰할 수 있는 인증서가 모두 나열됩니다. 신뢰할 수 있는 인증서를 보려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1	모든 인증서를 보려면 메뉴 아이콘()을 클릭합니다. 그런 다음Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다. Trusted Certificates(신뢰할 수 있는 인증서) 창이 표시되고 신뢰할 수 있는 인증서가 모두 나열됩니다.
단계 2	신뢰할 수 있는 인증서의 확인란을 선택하고 Edit(편집), View(보기), Export(내보내기) 또는 Delete(삭제)를 클릭하여 필요한 작업을 수행합니다.

신뢰할 수 있는 인증서 저장소의 상태 변경

Cisco ISE가 신뢰를 설정하는 데 인증서를 사용할 수 있도록 인증서의 상태를 활성화해야 합니다. 인증서는 신뢰할 수 있는 인증서 저장소로 가져올 때 자동으로 활성화됩니다.

프로시저

단계 1	Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다.
단계 2	ISE-PIC GUI에서 메뉴 아이콘()을 클릭하고 Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다.
단계 3	활성화하거나 비활성화할 인증서 옆의 확인란을 선택하고 Edit(편집)를 클릭합니다.
단계 4	Status(상태) 드롭다운 목록에서 상태를 선택합니다.
단계 5	Save(저장)를 클릭합니다.

신뢰할 수 있는 인증서 저장소에 인증서 추가

신뢰할 수 있는 인증서 저장소 창에서 Cisco ISE에 CA 인증서를 추가할 수 있습니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.
브라우저를 실행 중인 컴퓨터의 파일 시스템에 추가하고자 하는 인증서가 있어야 합니다. 인증서는 PEM 또는 DER 형식이어야 합니다.
관리자 또는 EAP 인증용으로 인증서를 사용하려는 경우 인증서에 기본 제한을 정의하고 CA 플래그를 true로 설정합니다.

신뢰할 수 있는 인증서 편집

신뢰할 수 있는 인증서 저장소에 추가한 인증서는 Edit(편집) 옵션을 사용하여 추가로 편집할 수 있습니다.

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1	선택Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted certificates(신뢰할 수 있는 인증서)를 선택합니다.
단계 2	편집할 인증서 옆의 확인란을 선택하고 Edit(편집)를 클릭합니다.
단계 3	(선택 사항) Friendly Name(식별 이름) 필드에 인증서의 이름을 입력합니다. 식별 이름을 지정하지 않으면 기본 이름이 다음 형식으로 생성됩니다. common-name#issuer#nnnnn
단계 4	Trusted For(신뢰 대상) 영역에서 필요한 확인란을 선택하여 인증서 사용을 정의합니다.
단계 5	(선택 사항) Description(설명) 필드에 인증서 설명을 입력합니다.
단계 6	Save(저장)를 클릭합니다.

신뢰할 수 있는 인증서 설정

다음 표에서는 신뢰할 수 있는 인증서의 Edit(편집) 창에 있는 필드에 대해 설명합니다. 이 창에서 CA 인증서 속성을 편집합니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)입니다. 편집할 신뢰할 수 있는 인증서 옆의 확인란을 선택하고 Edit(편집)를 클릭합니다.

표 11. 신뢰할 수 있는 인증서 편집 설정
필드 이름	사용 지침
인증서 발급자
Friendly Name(식별 이름)	인증서의 식별 이름을 입력합니다. 선택적 필드로, 식별 이름을 입력하지 않으면 기본 이름이 다음 형식으로 생성됩니다. common-name # issuer # nnnnn
Status(상태)	드롭다운 목록에서 Enabled(활성화됨) 또는 Disabled(비활성화됨)를 선택합니다. 인증서가 비활성화되면 Cisco ISE가 신뢰를 설정하는 데 인증서를 사용하지 않습니다.
Description(설명)	(선택 사항) 설명을 입력합니다.
사용
Trust for authentication within ISE(ISE 내의 인증 신뢰)	이 인증서가 다른 Cisco ISE 노드 또는 LDAP 서버의 서버 인증서를 확인하도록 하려면 이 확인란을 선택합니다.
Trust for client authentication and Syslog(클라이언트 인증 및 시스템 로그 신뢰)	(Trust for authentication within ISE(ISE 내의 인증 신뢰) 확인란을 선택하는 경우에만 해당함) 다음 용도로 이 인증서를 사용하려는 경우 확인란을 선택합니다. EAP 프로토콜을 사용하여 Cisco ISE에 연결하는 엔드포인트 인증 시스템 로그 서버 신뢰
Trust for authentication of Cisco Services(Cisco 서비스의 인증 신뢰)	피드 서비스와 같은 외부 Cisco 서비스를 신뢰하는 데 이 인증서를 사용하려는 경우 이 확인란을 선택합니다.
Certificate Status Validation(인증서 상태 검증)	Cisco ISE는 특정 CA가 발급한 클라이언트 또는 서버 인증서의 취소 상태를 확인하는 두 가지 방법을 지원합니다. 첫 번째 방법은 OCSP(Online Certificate Status Protocol)를 사용하여 인증서를 검증하는 것입니다. 이 경우 CA가 유지 관리하는 OCSP 서비스에 요청을 하게 됩니다. 두 번째 방법은 CA에서 Cisco ISE로 다운로드할 수 있는 CRL과 대조하여 인증서를 검증하는 것입니다. 이 두 방법은 모두 활성화할 수 있으며 이 경우 OCSP가 먼저 사용됩니다. 상태를 확인할 수 없는 경우에만 CRL이 사용됩니다.
Validate Against OCSP Service(OCSP 서비스와 대조하여 검증)	OCSP 서비스와 대조하여 인증서를 검증하려면 확인란을 선택합니다. 먼저 OCSP 서비스를 생성해야 이 확인란을 선택할 수 있습니다.
Reject the request if OCSP returns UNKNOWN status(OCSP에서 UNKNOWN 상태를 반환하는 경우 요청 거부)	OCSP 서비스에서 인증서 상태를 확인할 수 없는 경우 요청을 거부하려면 확인란을 선택합니다. 이 확인란을 선택하면 OCSP 서비스에서 알 수 없는 상태 값을 반환하는 경우 Cisco ISE가 현재 평가 중인 클라이언트 또는 서버 인증서를 거부합니다.
Reject the request if OCSP Responder is unreachable(OCSP 응답자에 연결할 수 없는 경우 요청 거부)	OCSP 응답자에 연결할 수 없는 경우 Cisco ISE가 요청을 거부하도록 하려면 이 확인란을 선택합니다.
Download CRL(CRL 다운로드)	Cisco ISE가 CRL을 다운로드하도록 하려면 확인란을 선택합니다.
CRL Distribution URL(CRL 배포 URL)	CA에서 CRL를 다운로드할 URL을 입력합니다. 인증 기관 인증서에 URL이 지정되어 있으면 이 필드는 자동으로 채워집니다. URL은 " http", "https" 또는 "ldap"로 시작해야 합니다.
Retrieve CRL(CRL 검색)	CRL은 자동으로 다운로드할 수도 있고 정기적으로 다운로드할 수도 있습니다. 이 필드에서 다운로드 간의 시간 간격을 구성합니다.
If download failed, wait(다운로드 실패 시 대기)	Cisco ISE가 다시 CRL 다운로드를 시도할 때까지 대기할 시간 간격을 구성합니다.
Bypass CRL Verification if CRL is not Received(CRL이 수신되지 않으면 CRL 확인 바이패스)	CRL이 수신되기 전에 클라이언트 요청을 수락하려면 이 확인란을 선택합니다. 이 확인란의 선택을 취소하면 선택한 CA가 서명을 한 인증서를 사용하는 모든 클라이언트 요청은 Cisco ISE가 CRL 파일을 받을 때까지 거부됩니다.
Ignore that CRL is not yet valid or expired(CRL이 아직 유효하지 않거나 만료된 경우 시작일/만료 날짜 무시)	Cisco ISE가 시작일과 만료 날짜를 무시하고 아직 활성화되지 않았거나 만료된 CRL을 계속 사용하도록 하고, CRL의 내용에 따라 EAP-TLS 인증을 허용하거나 거부하도록 하려면 이 확인란을 선택합니다. Cisco ISE가 CRL 파일에서 Effective Date(유효 날짜) 필드의 시작일과 Next Update(다음 업데이트) 필드의 만료 날짜를 확인하도록 하려면 이 확인란의 선택을 취소합니다. CRL이 아직 활성화되지 않았거나 만료된 경우에는 이 CA가 서명을 한 인증서를 사용하는 모든 인증은 거부됩니다.

신뢰할 수 있는 인증서 삭제

더 이상 필요하지 않은 신뢰할 수 있는 인증서는 삭제할 수 있습니다. 그러나 Cisco ISE 내부 CA 인증서를 삭제해서는 안 됩니다. Cisco ISE 내부 CA 인증서는 전체 구축에 대해 Cisco ISE 루트 인증서 체인을 교체할 때만 삭제할 수 있습니다.

프로시저

단계 1

Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다.

단계 2

삭제할 인증서 옆의 확인란을 선택하고 Delete(삭제)를 클릭합니다.

경고 메시지가 표시됩니다. Cisco ISE 내부 CA 인증서를 삭제하려면 다음 옵션 중 하나를 클릭합니다.

Delete(삭제): Cisco ISE 내부 CA 인증서를 삭제합니다. 이 경우 Cisco ISE 내부 CA가 서명한 모든 엔드포인트 인증서는 무효화되며 엔드포인트가 네트워크에 가입할 수 없게 됩니다. 엔드포인트가 네트워크에 다시 가입할 수 있게 하려면 신뢰할 수 있는 인증서 저장소에 동일한 Cisco ISE 내부 CA 인증서를 가져옵니다.
Delete & Revoke(삭제 및 취소): Cisco ISE 내부 CA 인증서를 삭제 및 취소합니다. 이 경우 Cisco ISE 내부 CA가 서명한 모든 엔드포인트 인증서는 무효화되며 엔드포인트가 네트워크에 연결할 수 없게 됩니다. 이 작업은 취소할 수 없으며, 전체 구축에 대해 Cisco ISE 루트 인증서 체인을 교체해야 합니다.

단계 3

Yes(예)를 클릭하여 인증서를 삭제합니다.

신뢰할 수 있는 인증서 저장소에서 인증서 내보내기

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

참고	내부 CA에서 인증서를 내보내는 경우 해당 내보내기를 사용하여 백업에서 복원하려는 경우 CLI 명령 `application configure ise`를 사용해야 합니다. Cisco ISE CA 인증서 및 키 내보내기의 내용을 참조하십시오.

프로시저

단계 1	메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다.
단계 2
단계 3	내보낼 인증서 옆의 확인란을 선택하고 Export(내보내기)를 클릭합니다. 인증서는 한 번에 하나씩만 내보낼 수 있습니다.
단계 4	선택한 인증서가 PEM 형식으로 클라이언트 브라우저를 실행중인 파일 시스템에 다운로드됩니다.

신뢰할 수 있는 인증서 저장소로 루트 인증서 가져오기

루트 CA 및 중간 CA 인증서를 가져오는 동안 신뢰할 수 있는 CA 인증서를 사용할 서비스를 지정할 수 있습니다.

시작하기 전에

인증서 서명 요청에 서명하고 디지털 서명 CA 인증서를 반환한 CA의 루트 인증서와 기타 중간 인증서가 있어야 합니다.

프로시저

단계 1	Cisco ISE GUI에서 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다.
단계 2
단계 3	Import(가져오기)를 클릭합니다.
단계 4	표시되는 Import a new Certificate into the Certificate Store(인증서 저장소에 새 인증서 가져오기) 창에서 Choose File(파일 선택)을 클릭하여 CA에서 서명하고 반환한 루트 CA 인증서를 선택합니다.
단계 5	식별 이름을 입력합니다. 식별 이름을 입력하지 않으면 Cisco ISE는 common-name#issuer#nnnnn 형식의 이름을 이 필드에 자동으로 채웁니다. 여기서 nnnnn은 고유한 번호입니다. 추후 인증서를 편집하여 식별 이름을 변경할 수 있습니다.
단계 6	이 신뢰할 수 있는 인증서를 사용할 서비스 옆의 확인란을 선택합니다.
단계 7	(선택 사항) Description(설명) 필드에 인증서 설명을 입력합니다.
단계 8	Submit(제출)을 클릭합니다.

다음에 수행할 작업

해당하는 경우 신뢰할 수 있는 인증서 저장소로 중간 CA 인증서를 가져옵니다.

신뢰할 수 있는 인증서 가져오기 설정

다음 표에서는 Cisco ISE에 CA 인증서를 추가하는 데 사용할 수 있는 Trusted Certificate Import(신뢰할 수 있는 인증서 가져오기) 창의 필드에 대해 설명합니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서) > Import(가져오기) 입니다.

표 12. 신뢰할 수 있는 인증서 가져오기 설정
필드 이름	설명
Certificate File(인증서 파일)	브라우저를 실행 중인 컴퓨터에서 인증서 파일을 선택하려면 Browse(찾아보기)를 클릭합니다.
Friendly Name(식별 이름)	인증서의 식별 이름을 입력합니다. 이름을 지정하지 않으면 Cisco ISE에서 <common name># <issuer># <nnnnn> 형식으로 이름을 자동 생성합니다. 여기서 <nnnnn>은 고유한 5자리 숫자입니다.
Trust for authentication within ISE(ISE 내의 인증 신뢰)	다른 ISE 노드 또는 LDAP 서버의 서버 인증서를 확인하는 데 이 인증서를 사용하려는 경우 확인란을 선택합니다.
Trust for client authentication and Syslog(클라이언트 인증 및 시스템 로그 신뢰)	(Trust for authentication within ISE(ISE 내의 인증 신뢰) 확인란을 선택하는 경우에만 해당함) 다음 용도로 이 인증서를 사용하려는 경우 확인란을 선택합니다. EAP 프로토콜을 사용하여 ISE에 연결하는 엔드포인트 인증 시스템 로그 서버 신뢰
Trust for authentication of Cisco Services(Cisco 서비스의 인증 신뢰)	피드 서비스와 같은 외부 Cisco 서비스를 신뢰하는 데 이 인증서를 사용하려는 경우 이 확인란을 선택합니다.
Validate Certificate Extensions(인증서 확장명 검증)	(Trust for client authentication(클라이언트 인증 신뢰) 및 Enable Validation of Certificate Extensions(인증서 확장명 검증 활성화) 옵션을 둘 다 선택하는 경우에만 해당함) "keyUsage" 확장명이 있고 "keyCertSign" 비트가 설정되어 있으며 CA 플래그가 true로 설정된 기본 제한 확장명이 있는지 확인합니다.
Description(설명)	필요에 따라 설명을 입력합니다.

인증서 체인 가져오기

인증서 저장소에서 수신한 인증서 체인이 들어 있는 단일 파일에서 여러 인증서를 가져올 수 있습니다. 파일의 모든 인증서는 PEM 형식이어야 하며, 인증서는 다음 순서로 정렬되어야 합니다.

파일의 마지막 인증서는 CA에서 발급된 클라이언트 또는 서버 인증서여야 합니다.
이전의 모든 인증서는 루트 CA 인증서이자 발급된 인증서의 서명 체인에 있는 중간 CA 인증서여야 합니다.

2단계 프로세스로 인증서 체인 가져오기:

Cisco ISE 관리 포털의 신뢰할 수 있는 인증서 저장소로 인증서 체인 파일을 가져옵니다. 이 작업은 마지막 인증서를 제외한 파일의 모든 인증서를 신뢰할 수 있는 인증서 저장소로 가져옵니다.
CA 서명 인증서 바인딩 작업을 사용하여 인증서 체인 파일을 가져옵니다. 이 작업은 파일에서 마지막 인증서를 로컬 인증서로 가져옵니다.

Cisco ISE 노드 간 통신용으로 신뢰할 수 있는 인증서 설치

구축을 설정할 때는 보조 노드를 등록하기 전에 보조 노드의 관리 인증서를 검증하는 데 사용되는 적절한 CA 인증서를 PAN의 CTL에 입력해야 합니다. PAN의 CTL에 인증서를 입력하는 절차는 시나리오마다 다릅니다.

보조 노드가 CA 서명 인증서를 사용하여 Cisco ISE 관리 포털과 통신하는 경우 보조 노드의 CA 서명 인증서, 관련 중간 인증서(있는 경우) 및 보조 노드 인증서에 서명을 한 CA의 루트 CA 인증서를 PAN의 CTL로 가져와야 합니다.

보조 노드가 SSC(자가서명 인증서)를 사용하여 Cisco ISE 관리 포털과 통신하는 경우에는 보조 노드의 해당 인증서를 PAN의 CTL로 가져올 수 있습니다.

참고

등록된 보조 노드에서 관리 인증서를 변경하는 경우에는 보조 노드 관리 인증서를 검증하는 데 사용할 수 있는 적절한 CA 인증서를 얻은 다음 PAN의 CTL로 가져와야 합니다.
구축의 클라이언트와 PSN 간 통신을 보호하기 위해 SSC(자가서명 인증서)를 사용하는 경우 BYOD 사용자가 한 위치에서 다른 위치로 이동하면 EAP-TLS 사용자 인증이 실패합니다. 몇 개의 PSN 간에 서비스를 받아야 하는 인증 요청의 경우에는 외부에서 서명한 CA 인증서로 클라이언트와 PSN 간의 통신을 보호하거나 외부 CA가 서명한 와일드카드 인증서를 사용해야 합니다.

외부 CA가 발급한 인증서에 기본 제한이 정의되어 있으며 CA 플래그가 true로 설정되어 있는지 확인합니다. 노드 간 통신을 위해 CA 서명 인증서를 설치하려면 다음 단계를 수행합니다. 이러한 작업에 대한 자세한 내용은 Cisco ISE 관리자 가이드의 "기본 설정" 장을 참조하십시오.

프로시저

단계 1	CSR(Certificate Signing Request)을 생성하고 CSR을 인증 기관에 제출합니다.
단계 2	신뢰할 수 있는 인증서 저장소로 루트 인증서를 가져옵니다.
단계 3	CSR에 CA 서명 인증서를 바인딩합니다.

Cisco ISE의 기본 신뢰할 수 있는 인증서

Cisco ISE의 신뢰할 수 있는 인증서 저장소(Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서))에는 기본적으로 사용 가능한 일부 인증서가 포함되어 있습니다. 이러한 인증서는 보안 요구 사항을 충족하기 위해 저장소로 자동으로 가져옵니다. 그러나 이 모두를 사용해야 하는 것은 아닙니다. 아래 표에서 달리 언급되지 않는 한, 이미 사용 가능한 인증서 대신 원하는 인증서를 사용할 수 있습니다.

표 13.
신뢰할 수 있는 인증서 이름	Serial Number(일련 번호)	인증서의 목적	인증서가 포함된 Cisco ISE 릴리스
Baltimore CyberTrust Root CA	02 00 00 B9	이 인증서는 일부 지역에서 cisco.com이 사용하는 CA 체인의 루트 CA 인증서로 사용할 수 있습니다. 인증서는 https://s3.amazonaws.com에서 호스팅될 때 ISE 2.4 Posture / CP 업데이트 XML 파일에도 사용되었습니다.	릴리스 2.4 이상.
DST Root CA X3 Certificate Authority	44 AF B0 80 D6 A3 27 BA 89 30 39 86 2E F8 40 6B	이 인증서는 cisco.com에서 사용하는 CA 체인의 루트 CA 인증서 역할을 할 수 있습니다.	릴리스 2.4 이상.
Thawte Primary Root CA	34 4E D5 57 20 D5 ED EC 49 F4 2F CE 37 DB 2B 6D	이 인증서는 루트 CA 역할을 할 수 있습니다. cisco.com 및 perfigo.com에서 사용하는 CA 체인용 인증서입니다.	릴리스 2.4 이상.
VeriSign Class 3 Public Primary Certification Authority	18 DA D1 9E 26 7D E8 BB 4A 21 58 CD CC 6B 3B 4A	이 인증서는 VeriSign Class 3 Secure Server CA-G3의 루트 CA 인증서 역할을 합니다. Cisco ISE에서 프로파일러 피드 서비스를 구성할 때 이 인증서를 사용해야 합니다.	릴리스 2.4 이상.
VeriSign Class 3 Secure Server CA - G3	6E CC 7A A5 A7 03 20 09 B8 CE BC F4 E9 52 D4 91	이는 2020년 2월 7일에 만료되는 중간 CA 인증서입니다. 이 인증서는 갱신할 필요가 없습니다. 아래 작업에 따라 인증서를 제거 할 수 있습니다.	릴리스 2.4 이상.
Cisco CA Manufacturing	6A 69 67 B3 00 00 00 00 00 03	이 인증서는 Cisco ISE에 연결하는 특정 Cisco 디바이스에서 사용할 수 있습니다. 이 인증서는 기본적으로 비활성화되어 있습니다.	릴리스 2.4 및 2.6.
Cisco Manufacturing CA SHA2	02	이 인증서는 CA 체인에서 관리자 인증, 엔드포인트 인증 및 구축 인프라 흐름에 사용할 수 있습니다.	릴리스 2.4 이상.
Cisco Root CA 2048	5F F8 7B 28 2B 54 DC 8D 42 A3 15 B5 68 C9 AD FF	이 인증서는 Cisco ISE에 연결하는 특정 Cisco 디바이스에서 사용할 수 있습니다. 이 인증서는 기본적으로 비활성화되어 있습니다.	릴리스 2.4 이상.
Cisco Root CA M2	01	이 인증서는 CA 체인에서 관리자 인증, 엔드포인트 인증 및 구축 인프라 흐름에 사용할 수 있습니다.	릴리스 2.4 이상.
DigiCert Root CA	02 AC 5C 26 6A 0B 40 9B 8F 0B 79 F2 AE 46 25 77	Facebook으로 게스트 로그인을 사용하는 플로우에 이 인증서를 사용해야 합니다.	릴리스 2.4 이상.
DigiCert SHA2 High Assurance Server CA	04 E1 E7 A4 DC 5C F2 F3 6D C0 2B 42 B8 5D 15 9F	Facebook으로 게스트 로그인을 사용하는 플로우에 이 인증서를 사용해야 합니다.	릴리스 2.4 이상.
HydrantID SSL ICA G2	75 17 16 77 83 D0 43 7E B5 56 C3 57 94 6E 45 63 B8 EB D3 AC	Cisco 서비스에 대해 신뢰됩니다.	릴리스 2.4 및 2.6.
QuoVadis Root CA 2	05 09	프로파일러, 포스처 및 클라이언트 프로비저닝 플로우에서 이 인증서를 사용해야 합니다.	릴리스 2.4 이상.
Cisco ECC Root CA	01	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6.
Cisco Licensing Root CA	01	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6 이상
Cisco Root CA 2099	01 9A 33 58 78 CE 16 C1 C1	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6 이상
Cisco Root CA M1	2E D2 0E 73 47 D3 33 83 4B 4F DD 0D D7 B6 96 7E	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6 이상
Cisco RXC-R2	01	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6 이상
DigiCert Global Root CA	08 3B E0 56 90 42 46 B1 A1 75 6A C9 59 91 C7 4A	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6 이상
Cisco ECC Root CA 2099	03	이 인증서는 Cisco ISE에서 사용되는 Cisco Trust 루트 저장소 번들의 일부입니다.	릴리스 2.6 이상

Cisco ISE에서 신뢰할 수 있는 기본 인증서 제거

Cisco ISE GUI에서 Menu(메뉴) 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서)를 선택합니다.
필요한 경우 다시 가져올 수 있도록 삭제할 인증서를 내보내고 저장합니다.

내보낼 인증서 확인란을 선택하고 위의 메뉴 모음에서 Export(내보내기)를 클릭합니다. 키 체인이 시스템에 다운로드됩니다.
인증서를 삭제합니다. 삭제할 인증서 확인란을 선택하고 위의 메뉴 모음에서 Delete(삭제)를 클릭합니다. CA 체인, 보안 시스템 로그 또는 보안 LDAP에서 인증서를 사용 중인 경우 해당 인증서를 삭제할 수 없습니다.
CA 체인, 보안 시스템 로그 및 그 일부인 시스템 로그에서 인증서를 제거하기 위래 필요한 컨피그레이션을 변경합니다. 그런 다음 인증서를 삭제합니다.
인증서를 삭제한 후 관련 서비스(인증서의 목적 참조)가 정상적으로 작동하는지 확인합니다.

인증서 서명 요청

서명된 인증서를 발급하는 CA의 경우 인증서 서명 요청을 생성하고 CA에 제출해야 합니다.

생성한 인증서 서명 요청 목록은 Certificate Signing Requests(인증서 서명 요청) 창에서 확인할 수 있습니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Signing Requests(인증서 서명 요청)를 선택합니다. CA에서 서명을 받으려면 인증서 서명 요청을 내보낸 다음, 인증서를 CA로 보내야 합니다. CA는 인증서에 서명하고 반환합니다.

Cisco ISE 관리 포털을 통해 중앙에서 인증서를 관리할 수 있습니다. 구축의 모든 노드에 사용할 인증서 서명 요청을 생성하고 내보낼 수 있습니다. 그런 다음 인증서 서명 요청을 CA에 제출하고, CA에서 CA 서명 인증서를 받고, CA에서 반환된 루트 및 중간 CA 인증서를 신뢰할 수 있는 인증서 저장소로 가져온 다음, CA 서명 인증서를 인증서 서명 요청에 바인딩해야 합니다.

인증서 서명 요청을 생성하고 인증 기관에 제출

CSR(Certificate Signing Request)을 생성하여 구축의 노드용으로 CA에서 서명한 인증서를 가져올 수 있습니다. 구축의 특정 노드 또는 구축의 모든 노드에 대해 CSR을 생성할 수 있습니다.

프로시저

단계 1	Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Signing Requests(인증서 서명 요청)를 선택합니다.
단계 2	Generate Certificate Signing Requests(CSR)(인증서 서명 요청 생성) 클릭하여 인증서 서명 요청을 생성합니다.
단계 3	인증서 서명 요청 생성에 대한 값 입력 표시된 창의 각 필드에 대한 자세한 내용은 인증서 서명 요청 설정을 참조하십시오.
단계 4	서명 요청 확인란을 선택하고 Export(내보내기)를 클릭하여 인증서 서명 요청을 다운로드합니다.
단계 5	"-----BEGIN CERTIFICATE REQUEST-----"부터 "-----END CERTIFICATE REQUEST-----"까지의 모든 텍스트를 복사합니다.”
단계 6	CSR의 내용을 선택한 CA의 인증서 요청에 붙여 넣습니다.
단계 7	서명된 인증서를 다운로드합니다. 일부 CA의 경우 서명된 인증서를 이메일로 전송할 수 있습니다. 서명된 인증서는 zip 파일 형식이며 새로 발급된 인증서와 CA의 공개 서명 인증서가 들어 있습니다. 이러한 인증서를 Cisco ISE 신뢰할 수 있는 인증서 저장소에 추가해야 합니다. 디지털 서명된 CA 인증서, 루트 CA 인증서 및 기타 중간 CA 인증서(해당하는 경우)가 클라이언트 브라우저를 실행 중인 로컬 시스템에 다운로드됩니다.

인증서 서명 요청에 대한 CA 서명 인증서 바인딩

CA가 디지털 서명된 인증서를 반환하고 나면 해당 인증서를 CSR(Certificate Signing Request)에 바인딩해야 합니다. 관리 포털에서 구축의 모든 노드에 대해 바인딩 작업을 수행할 수 있습니다.

시작하기 전에

디지털 서명된 인증서와 CA가 반환한 관련 루트 중간 CA 인증서가 있어야 합니다.
관련 루트 및 중간 CA 인증서를 신뢰할 수 있는 인증서 저장소(Menu(메뉴) 아이콘() 클릭 후 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted Certificates(신뢰할 수 있는 인증서) 선택)로 가져옵니다.

프로시저

단계 1

Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Signing Requests(인증서 서명 요청)를 선택합니다.

CA 서명 인증서에 바인딩해야 하는 인증서 서명 요청 옆의 확인란을 선택합니다.

단계 2

Bind Certificate(인증서 바인딩)를 클릭합니다.

단계 3

Bind CA Signed Certificate(CA 서명 인증서 바인딩) 창에서 Choose File(파일 선택)을 클릭하여 CA 서명 인증서를 선택합니다.

단계 4

Friendly Name(식별 이름) 필드에 값을 입력합니다.

단계 5

Cisco ISE가 인증서 확장명을 검증하도록 하려면 Validation of Certificate Extensions(인증서 확장명 검증) 확인란을 선택합니다.

Validation of Certificate Extensions(인증서 확장명 검증) 옵션을 활성화하는 경우 가져오는 인증서에 CA 플래그가 true로 설정된 기본 제한 확장명이 포함되어 있으면 키 사용 확장이 있는지 확인하고, keyEncipherment 비트나 keyAgreement 중 하나 또는 두 비트가 모두 설정되어 있는지도 확인합니다.

참고	Cisco ISE는 EAP-TLS 클라이언트 인증서가 있어야 디지털 서명 키 사용 확장명을 보유할 수 있습니다.

단계 6

(선택 사항) Usage(사용) 영역에서 이 인증서를 사용할 서비스를 확인합니다.

인증서 서명 요청을 생성하는 중에 Usage(사용) 옵션을 활성화한 경우 이 정보는 자동으로 채워집니다. 나중에 인증서를 편집하여 사용을 지정할 수도 있습니다.

기본 PAN에서 Admin(관리자) 사용 인증서를 변경하면 다른 모든 노드에서 서비스가 재시작됩니다. 시스템은 기본 PAN이 재시작한 뒤에 노드를 한 번에 한 개씩 재시작합니다.

단계 7

CA 서명 인증서에 인증서 서명 요청을 바인딩하려면 Submit(제출)을 클릭합니다.

이 인증서가 Cisco ISE 노드 간 통신 사용에 대해 표시되어 있는 경우 Cisco ISE 노드의 애플리케이션 서버가 다시 시작됩니다.

구축에서 다른 노드에 대해 이 프로세스를 반복하여 인증서 서명 요청을 CA 서명 인증서와 바인딩할 수 있습니다.

다음에 수행할 작업

신뢰할 수 있는 인증서 저장소로 루트 인증서 가져오기

인증서 서명 요청 내보내기

시작하기 전에

다음 작업을 수행하려면 슈퍼 관리자 또는 시스템 관리자여야 합니다.

프로시저

단계 1	Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Signing Requests(인증서 서명 요청)를 선택합니다.
단계 2	내보낼 인증서 옆의 확인란을 선택하고 Export(내보내기)를 클릭합니다.
단계 3	인증서 서명 요청이 로컬 파일 시스템에 다운로드됩니다.

인증서 서명 요청 설정

Cisco ISE에서는 관리 포털에서 단일 요청으로 구축의 모든 노드에 대한 인증서 서명 요청을 생성할 수 있습니다. 또한 필요에 따라 구축의 단일 노드 또는 여러 모든 노드에 대한 인증서 서명 요청도 생성할 수 있습니다. 여러 노드에 대한 인증서 서명 요청을 생성하도록 선택하는 경우 ISE는 인증서 주체의 CN= 필드에서 특정 노드의 FQDN(Fully Qualified Domain Name)을 자동으로 대체합니다. 인증서의 SAN(Subject Alternative Name) 필드에 항목을 포함하도록 선택하는 경우 다른 SAN 속성과 함께 ISE 노드의 FQDN을 입력해야 합니다. 구축의 모든 노드에 대해 인증서 서명 요청을 생성하도록 선택하는 경우 Allow Wildcard Certificates(와일드카드 인증서 허용) 확인란을 선택하고 SAN 필드(DNS 이름)에 와일드카드 FQDN 표기법(예: *.amer.example.com)을 입력합니다. EAP 인증에 인증서를 사용하려는 경우 CN= 필드에 와일드카드 값을 입력하지 마십시오.

와일드카드 인증서를 사용하는 경우에는 각 Cisco ISE 노드에 대해 고유한 인증서를 더 이상 생성하지 않아도 됩니다. 또한 인증서 경고가 표시되지 않도록 하기 위해 여러 FQDN 값을 SAN 필드에 입력할 필요도 없습니다. SAN 필드에 별표(*)를 사용하면 구축의 여러 모든 노드에 걸쳐 단일 인증서를 공유할 수 있으며, 인증서 이름 불일치 경고가 표시되지 않습니다. 그러나 와일드카드 인증서를 사용하는 방식은 각 Cisco ISE 노드용으로 고유한 서버 인증서를 할당하는 방식보다 보안성이 낮은 것으로 간주됩니다.

다음 표에서는 인증서 서명 요청 창의 필드에 대해 설명합니다. 이 창은 CA(Certificate Authority)에 의해 서명될 수 있는 인증서 서명 요청을 생성하는 데 사용할 수 있습니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Management(인증서 관리) > Certificate Signing Request(인증서 서명 요청) 입니다.

필드 사용 지침

Certificate(s) will be used for(인증서 사용 대상)

인증서를 사용할 서비스를 선택합니다.

Cisco ISE ID 인증서

Multi-Use(다용도): 여러 서비스(관리, EAP-TLS 인증, pxGrid 및 포털)에 사용됩니다. 다용도 인증서는 클라이언트 및 서버 키 사용을 모두 지원합니다. 서명 CA의 인증서 템플릿은 컴퓨터 또는 머신 인증서 템플릿이라고도 합니다. 이 템플릿에는 다음과 같은 속성이 있습니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1) 및 TLS 웹 클라이언트 인증(1.3.6.1.5.5.7.3.2)
Admin(관리): 구축의 ISE 노드 간 통신 및 관리 포털과의 통신을 보호하기 위한 서버 인증에 사용됩니다. 서명 CA의 인증서 템플릿은 웹 서버 템플릿이라고도 합니다. 이 템플릿에는 다음과 같은 속성이 있습니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)

EAP Authentication(EAP 인증): 서버 인증에 사용됩니다. 서명 CA의 인증서 템플릿은 컴퓨터 또는 머신 인증서 템플릿이라고도 합니다. 이 템플릿에는 다음과 같은 속성이 있습니다.

키 사용: 디지털 서명(서명)
확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)

참고	EAP-TLS 클라이언트 인증서에는 디지털 서명 키를 사용해야 합니다.

RADIUS DTLS: RADIUS DTLS 서버 인증에 사용됩니다. 이 템플릿에는 다음과 같은 속성이 있습니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)
ISE Messaging Service(ISE 메시징 서비스): Syslog Over Cisco ISE Messaging(Cisco ISE 메시징을 통한 시스템 로그) 기능에서 사용되며, 구축 당시 기본으로 내장된 UDP 시스템 로그 수집 대상(LogCollector 및 LogCollector2)에 대해 MnT WAN 존속성을 활성화합니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)
Portal(포털): 모든 ISE 웹 포털과의 통신을 보호하기 위한 서버 인증에 사용됩니다. 서명 CA의 인증서 템플릿은 컴퓨터 또는 머신 인증서 템플릿이라고도 합니다. 이 템플릿에는 다음과 같은 속성이 있습니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)
pxGrid: pxGrid 클라이언트와 서버 간의 통신을 보호하기 위해 클라이언트 및 서버 인증에 사용됩니다. 서명 CA의 인증서 템플릿은 컴퓨터 또는 머신 인증서 템플릿이라고도 합니다. 이 템플릿에는 다음과 같은 속성이 있습니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1) 및 TLS 웹 클라이언트 인증(1.3.6.1.5.5.7.3.2)
SAML: SAML IdP(Identity Provider)와의 통신을 보호하는 데 사용되는 서버 인증서입니다. SAML에 사용하도록 지정된 인증서는 관리, EAP, 인증 등의 기타 서비스에는 사용할 수 없습니다.
- 키 사용: 디지털 서명(서명)
- 확장 키 사용: TLS 웹 서버 인증(1.3.6.1.5.5.7.3.1)

참고	Extended Key Usage(확장 키 사용) 속성의 모든 용도 개체 식별자에 대해 2.5.29.37.0 값을 포함하는 인증서를 사용하지 않는 것이 좋습니다. Extended Key Usage(확장 키 사용) 속성에서 모든 용도 개체 식별자에 대해 2.5.29.37.0 값을 포함하는 인증서를 사용하는 경우 인증서가 유효하지 않은 것으로 간주되고, 다음 오류 메시지가 표시됩니다. `source=local ; type=fatal ; message="unsupported certificate"`

Cisco ISE 인증 기관 인증서

ISE Root CA(ISE 루트 CA): (내부 CA 서비스에만 해당함) 기본 PAN의 루트 CA 및 PSN의 하위 CA를 비롯하여 전체 내부 CA 인증서 체인을 재생성하는 데 사용됩니다.
ISE Intermediate CA(ISE 중간 CA): (ISE가 외부 PKI의 중간 CA로 작동하는 경우 내부 CA 서비스에만 해당함) 기본 PAN의 중간 CA 인증서 및 PSN의 하위 CA 인증서를 생성하는 데 사용됩니다. 서명 CA의 인증서 템플릿은 하위 인증 기관이라고도 합니다. 이 템플릿에는 다음과 같은 속성이 있습니다.
- 기본 제한: 위험, 인증 기관 여부
- 키 사용: 인증서 서명, 디지털 서명
- 확장 키 사용: OCSP 서명(1.3.6.1.5.5.7.3.9)
Renew ISE OCSP Responder Certificates(ISE OCSP 응답자 인증서 갱신): (내부 CA 서비스에만 해당함) 전체 구축에 대한 ISE OCSP 응답자 인증서를 갱신하는 데 사용되며, 인증서 서명 요청과는 다릅니다. 보안을 위해 ISE OCSP 응답자 인증서는 6개월에 한 번씩 갱신하는 것이 좋습니다.

Allow Wildcard Certificates(와일드카드 인증서 허용)

인증서의 SAN 필드에서 CN 및/또는 DNS 이름에 와일드카드 문자(*)를 사용하려면 이 확인란을 선택합니다. 이 확인란을 선택하면 구축의 모든 노드가 자동으로 선택됩니다. 맨 왼쪽 레이블 위치에 별표(*) 와일드카드 문자를 사용해야 합니다. 와일드카드 인증서를 사용하는 경우에는 보안 향상을 위해 도메인 공간을 분할하는 것이 좋습니다. 예를 들어 *.example.com 대신 *.amer.example.com으로 도메인을 분할할 수 있습니다. 도메인을 분할하지 않으면 심각한 보안 문제가 발생할 수 있습니다.

Generate CSRs for these Nodes(이 노드에 대해 CSR 생성)

인증서를 생성할 노드 옆에 있는 확인란을 선택합니다. 구축의 선택 노드에 대해 CSR을 생성하려면 Allow Wildcard Certificates(와일드카드 인증서 허용) 옵션의 선택을 취소해야 합니다.

Common Name(CN)(공용 이름)

기본적으로 공용 이름은 인증서 서명 요청을 생성하는 ISE 노드의 FQDN입니다. $FQDN$은 ISE 노드의 FQDN을 나타냅니다. 구축의 여러 노드에 대해 인증서 서명 요청을 생성하는 경우 인증서 서명 요청의 Common Name(공통 이름) 필드가 해당 ISE 노드의 FQDNdmfh 대체됩니다.

Organizational Unit(OU)(조직 단위)

조직 단위의 이름입니다. Engineering 등을 예로 들 수 있습니다.

Organization(O)(조직)

조직의 이름입니다. Cisco 등을 예로 들 수 있습니다.

City(L)(구/군/시)

(약어로 표기하지 않음) 구/군/시의 이름입니다. San Jose 등을 예로 들 수 있습니다.

State(ST)(시/도)

(약어로 표기하지 않음) 시/도의 이름입니다. California 등을 예로 들 수 있습니다.

Country(C)(국가)

국가의 이름입니다. 2자리 ISO 국가 코드를 입력해야 합니다. US 등을 예로 들 수 있습니다.

SAN(Subject Alternative Name)

IP 주소, DNS 이름, URI(Uniform Resource Identifier) 또는 인증서와 연결된 디렉토리 이름

DNS 이름: DNS 이름을 선택하는 경우 ISE 노드의 정규화된 도메인 이름을 입력합니다. Allow Wildcard Certificates(와일드카드 인증서 허용) 옵션을 활성화한 경우 와일드카드 표기법(별표 및 도메인 이름 앞의 마침표)을 지정합니다. 예: *.amer.example.com
IP 주소: 인증서와 연결할 ISE 노드의 IP 주소입니다.
Uniform Resource Identifier: 인증서와 연결할 URI입니다.
디렉토리 이름: RFC 2253에 따라 정의된 DN(Distinguished Name)의 문자열 표현입니다. 쉼표(,)를 사용하여 DN을 구분합니다. "dnQualifier" RDN의 경우 쉼표를 이스케이프하고 구분 기호로 백슬래시와 쉼표, 즉 "\,"를 사용합니다. 예: CN=AAA,dnQualifier=O=Example\,DC=COM,C=IL

Key Type(키 유형)

공개 키를 생성하는 데 사용할 알고리즘을 RSA 또는 ECDSA로 지정합니다.

Key Length(키 길이)

공개 키의 비트 크기를 지정합니다.

RSA에는 다음 옵션을 사용할 수 있습니다.

512
1024
2048
4096

ECDSA에는 다음 옵션을 사용할 수 있습니다.

256
384

참고	RSA 및 ECDSA 공개 키는 동일한 보안 레벨에서 키 길이가 다를 수 있습니다.

공용 CA 서명 인증서를 가져오거나 하려면 2048 이상을 선택합니다.

Digest to Sign With(서명에 사용할 다이제스트)

SHA-1 또는 SHA-256 해싱 알고리즘 중 하나를 선택합니다.

인증서 정책

인증서가 준수해야 하는 인증서 정책 OID 또는 OID 목록을 입력합니다. 쉼표나 공백을 사용하여 OID를 구분합니다.

포털 사용을 위한 인증서 설정

구축에서 웹 포털 요청을 처리할 수 있는 PSN이 여러 개 있는 경우 Cisco ISE에는 포털 통신에 사용할 인증서를 식별할 수 있는 고유 식별자가 필요합니다. 포털에서 사용하도록 지정된 인증서를 추가하거나 가져오는 경우 인증서 그룹 태그를 정의하고 이를 구축의 각 노드에 있는 해당 인증서와 연결해야 합니다. 이 인증서 그룹 태그를 해당 최종 사용자 포털(게스트, 스폰서 및 개인 디바이스 포털)에 연결해야 합니다. 이 인증서 그룹 태그는 Cisco ISE가 이러한 각 포털과 통신할 때 사용해야 하는 인증서를 식별하도록 도와주는 고유 식별자입니다. 포털마다 각 노드의 인증서를 하나씩만 지정할 수 있습니다.

참고	Cisco ISE는 TCP 포트 8443(또는 포털 사용을 위해 구성한 포트)에서 포털 인증서를 제공합니다.

프로시저

단계 1

인증서 서명 요청을 생성하고 인증 기관에 제출.

이미 정의한 인증서 그룹 태그를 선택하거나 포털용으로 새 태그를 생성해야 합니다. 예를 들어 mydevicesportal과 같은 태그를 생성할 수 있습니다.

단계 2

신뢰할 수 있는 인증서 저장소로 루트 인증서 가져오기.

단계 3

인증서 서명 요청에 대한 CA 서명 인증서 바인딩.

CA 서명 인증서에 기본 포털 인증서 그룹 태그 재할당

기본적으로 모든 Cisco ISE 포털은 셀프 서명 인증서를 사용합니다. 포털에 CA 서명 인증서를 사용하려는 경우 CA 서명 인증서에 기본 포털 인증서 그룹 태그를 할당할 수 있습니다. 기존의 CA 서명 인증서를 사용할 수도 있고, CSR을 생성하여 포털에서 사용할 새 CA 서명 인증서를 얻을 수도 있습니다. 인증서 간에 포털 그룹 태그를 재할당할 수 있습니다.

참고	기존 인증서를 편집할 때 해당 인증서에 연결되어 있는 포털 태그(게스트)를 이미 사용 중인 포털이 있으면 기본 포털 인증서 그룹 태그 또는 기타 포털 그룹 태그를 이 인증서에 재할당할 수 없습니다. 시스템에는 "게스트" 포털 태그를 사용하는 포털 목록이 나열됩니다.

다음 절차에서는 CA 서명 인증서에 기본 포털 인증서 그룹 태그를 재할당하는 방법을 설명합니다.

프로시저

단계 1	Administration(관리) > System(시스템) > Certificates(인증서) > System Certificates(시스템 인증서)를 선택합니다. 기본 포털 인증서 그룹 태그 옆의 i 아이콘을 마우스로 가리키면 해당 태그를 사용하는 포털 목록을 확인할 수 있습니다. 이 태그가 할당된 포털 인증서가 있는 구축 내 ISE 노드도 확인할 수 있습니다.
단계 2	포털에 사용할 CA 서명 인증서 옆의 확인란을 선택하고 Edit(편집)를 클릭합니다. 포털에서 사용하고 있지 않은 CA 서명 인증서를 선택해야 합니다.
단계 3	Usage(사용) 영역에서 Portal(포털) 확인란을 선택하고 기본 포털 인증서 그룹 태그를 선택합니다.
단계 4	Save(저장)를 클릭합니다. 경고 메시지가 표시됩니다.
단계 5	Yes(예)를 클릭하여 기본 포털 인증서 그룹 태그를 CA 서명 인증서에 재할당합니다.

노드 등록 전에 포털 인증서 태그 연결

구축의 모든 포털에 대해 "기본 포털 인증서 그룹" 태그를 사용하는 경우에는 새 ISE 노드를 등록하기 전에 관련 CA 서명 인증서를 가져오고 서비스로 "Portal(포털)"을 선택한 다음 "기본 포털 인증서 그룹" 태그를 이 인증서와 연결해야 합니다.

구축에 새 노드를 추가하면 기본 셀프 서명 인증서가 "기본 포털 인증서 그룹" 태그와 연결되며 이 태그를 사용하도록 포털이 구성됩니다.

새 노드를 등록한 후에는 인증서 그룹 태그 연결을 변경할 수 없습니다. 그러므로 구축에 노드를 등록하기 전에 다음을 수행해야 합니다.

프로시저

단계 1

셀프 서명된 인증서를 생성하고 서비스로 "Portal(포털)"을 선택한 후 tempportaltag 등의 다른 인증서 그룹 태그를 할당합니다.

단계 2

새로 생성한 인증서 그룹 태그(tempportaltag)를 사용하도록 포털 컨피그레이션을 변경합니다.

단계 3

기본 셀프 서명 인증서를 편집하여 Portal(포털) 역할을 제거합니다.

이 옵션을 사용하는 경우 기본 셀프 서명 인증서와의 "기본 포털 인증서 그룹" 태그 연결이 제거됩니다.

단계 4

다음 중 하나를 수행합니다.

옵션

설명

Generate a CSR(CSR 생성)

CSR 생성 시:

이 인증서를 사용할 서비스로 "Portal(포털)"을 선택하고 "기본 포털 인증서 그룹" 태그를 연결합니다.
CA에 CSR을 보내고 서명된 인증서를 가져옵니다.
인증서에 서명을 한 CA의 루트 및 기타 중간 인증서를 신뢰할 수 있는 인증서 저장소로 가져옵니다.
CA 서명 인증서를 CSR에 바인딩합니다.

Import the private key and the CA-signed certificate(개인 키 및 CA 서명 인증서 가져오기)

CA 서명 인증서를 가져올 때는 다음을 수행합니다.

이 인증서를 사용할 서비스로 "Portal(포털)"을 선택하고 "기본 포털 인증서 그룹" 태그를 연결합니다.
인증서에 서명을 한 CA의 루트 및 기타 중간 인증서를 신뢰할 수 있는 인증서 저장소로 가져옵니다.

기존 CA 서명 인증서를 편집합니다.

기존 CA 서명 인증서를 편집할 때는 다음을 수행합니다.

이 인증서를 사용할 서비스로 "Portal(포털)"을 선택하고 "기본 포털 인증서 그룹" 태그를 연결합니다.

단계 5

구축에 ISE 노드를 등록합니다.

구축의 포털 컨피그레이션이 "기본 포털 인증서 그룹" 태그로 구성되고 포털이 새 노드에서 "기본 포털 인증서 그룹" 태그와 연결된 CA 서명 인증서를 사용하도록 구성됩니다.

사용자 및 엔드포인트 인증서 갱신

기본적으로 Cisco ISE는 인증서가 만료된 디바이스에서 발생하는 요청을 거부합니다. 그러나 이 기본 동작을 변경하여 그러한 요청을 처리하고 사용자에게 인증서를 갱신할지 묻는 메시지를 표시하도록 ISE를 구성할 수 있습니다.

사용자가 인증서를 갱신하도록 허용하는 경우 요청을 추가로 처리하기 전에 인증서가 갱신되었는지 확인하는 권한 부여 정책 규칙을 구성하는 것이 좋습니다. 인증서가 만료된 디바이스에서 오는 요청을 처리하면 잠재적 보안 위협이 발생할 수 있습니다. 따라서 조직의 보안이 손상되지 않도록 적절한 권한 부여 프로파일 및 규칙을 구성해야 합니다.

일부 디바이스에서는 인증서가 만료되기 전과 후에 인증서를 갱신할 수 있습니다. 그러나 Windows 디바이스에서는 인증서가 만료되기 전에만 갱신할 수 있습니다. Apple iOS, Mac OSX 및 Android 디바이스에서는 인증서가 만료되기 전과 후에 인증서를 갱신할 수 있습니다.

인증서 갱신을 위해 정책 조건에 사용되는 사전 속성

Cisco ISE 인증서 사전에는 정책 조건에 사용되는 다음과 같은 속성이 있습니다. 사용자는 그러한 정책 조건을 통해 인증서를 갱신할 수 있습니다.

Days to Expiry(만료될 때까지 남은 일 수): 이 속성은 인증서가 유효한 기간(일)을 제공합니다. 이 속성을 사용하여 권한 부여 정책에 사용할 수 있는 조건을 생성할 수 있습니다. 이 속성은 0~15 범위의 값을 사용할 수 있습니다. 값 0은 인증서가 이미 만료되었음을 나타냅니다. 값 1은 인증서가 만료되기까지 1일이 채 남지 않았음을 나타냅니다.
Is Expired(만료됨): 이 부울 속성은 인증서가 만료되었는지 여부를 나타냅니다. 인증서 만료가 다가오는 경우 인증서가 만료되기 전에만 인증서 갱신을 허용하려면, 권한 부여 정책 조건에서 이 속성을 사용합니다.

인증서 갱신을 위한 권한 부여 정책 조건

권한 부여 정책에서 CertRenewalRequired 단순 조건(기본적으로 사용 가능)을 사용하여 Cisco ISE에서 요청을 추가로 처리하기에 앞서 인증서(만료됨 또는 만료 예정)가 갱신되었는지 확인할 수 있습니다.

인증서 갱신을 위해 CWA 리디렉션

사용자 인증서가 만료되기 전에 취소되면 Cisco ISE가 CA에서 게시한 CRL을 확인하고 인증 요청을 거부합니다. 취소된 인증서가 만료된 경우 CA는 CRL에 이 인증서를 게시하지 않을 수 있습니다. 이 시나리오에서 Cisco ISE는 취소된 인증서를 갱신할 수 있습니다. 이런 문제를 방지하려면 인증서를 갱신하기 전에 전체 인증을 위해 요청이 CWA(Centralized Web Authentication)로 리디렉션되는지 확인해 주십시오. 사용자를 CWA로 리디렉션하려면 권한 부여 프로파일을 생성해야 합니다.

사용자가 인증서를 갱신할 수 있도록 Cisco ISE 구성

사용자가 인증서를 갱신할 수 있도록 Cisco ISE를 구성하려면 이 절차에 나와 있는 작업을 완료해야 합니다.

시작하기 전에

CWA 요청을 리디렉션하도록 WLC에서 제한된 액세스 ACL을 구성합니다.

프로시저

단계 1	허용되는 프로토콜 컨피그레이션 업데이트
단계 2	CWA 리디렉션용 권한 부여 정책 프로파일 생성
단계 3	인증서 갱신용 권한 부여 정책 규칙 생성
단계 4	게스트 포털에서 BYOD 설정 활성화

허용되는 프로토콜 컨피그레이션 업데이트

프로시저

단계 1

Policy(정책) > Policy Elements(정책 요소) > Results(결과) > Authentication(인증) > Allowed Protocols(허용되는 프로토콜) > Default Network Access(기본 네트워크 액세스)를 선택합니다.

단계 2

EAP-TLS 프로토콜 아래에서 Allow Authentication of expired certificates to allow certificate renewal in Authorization Policy(만료된 인증서 인증을 허용하여 권한 부여 정책에서 인증서 갱신 허용) 확인란을 선택하고 PEAP 및 EAP-FAST 프로토콜용 EAP-TLS 내부 메서드를 선택합니다.

그러면 EAP-TLS를 사용하는 요청이 NSP 플로우를 통과하게 됩니다.

PEAP 및 EAP-FAST 프로토콜의 경우 Cisco ISE가 요청을 처리하도록 Cisco AnyConnect를 수동으로 구성해야 합니다.

단계 3

Submit(제출)을 클릭합니다.

다음에 수행할 작업

CWA 리디렉션용 권한 부여 정책 프로파일 생성

시작하기 전에

WLC에서 제한된 액세스 ACL을 구성했는지 확인합니다.

프로시저

단계 1	Policy(정책) > Policy Elements(정책 요소) > Results(결과) > Authorization(권한 부여) > Authorization Profiles(권한 부여 프로파일)를 선택합니다.
단계 2	Add(추가)를 클릭합니다.
단계 3	권한 부여 프로파일의 이름을 입력합니다. 예를 들어 CertRenewal_CWA와 같이 입력합니다.
단계 4	일반 작업 영역에서 Web Redirection (CWA, DRW, MDM, NSP, CPP)(웹 리디렉션(CWA, DRW, MDM, NSP, CPP)) 확인란을 선택합니다.
단계 5	드롭다운 목록에서 Centralized Web Auth(중앙 웹 인증)를 선택하고 제한된 액세스 ACL을 선택합니다.
단계 6	Display Certificates Renewal Message(인증서 갱신 메시지 표시) 확인란을 선택합니다. URL-redirect 속성 값이 변경되어 인증서가 유효한 기간(일)이 포함됩니다.
단계 7	Submit(제출)을 클릭합니다.

참고

Cisco ISE 1.2에서 무선 디바이스용으로 다음과 같은 DRW(Device Registration WebAuth) 정책을 구성한 경우:

조건 = (Wireless_MAB AND Network Access:UseCase EQUALS HostLookup) 및 프로파일 = Wireless-drw-redirect가 포함된 DRW-Redirect 정책
조건 = (Wireless_MAB AND Network Access:UseCase EQUALS HostLookup) 및 프로파일 = Wireless-Permit이 포함된 DRW-Allow 정책

ISE 1.3 이상 버전으로 업그레이드한 후 DRW-Allow 정책 조건을 다음과 같이 업데이트해야 합니다.

조건 = (Wireless_MAB AND Network Access:UseCase EQUALS Guest Flow) 및 프로파일 = Wireless-Permit

다음에 수행할 작업

인증서 갱신용 권한 부여 정책 규칙 생성

시작하기 전에

중앙 웹 인증 리디렉션용 권한 부여 프로파일을 생성했는지 확인합니다.

Administration(관리) > System(시스템) > Settings(설정) > Policy Settings(정책 집합)에서 정책 집합을 활성화합니다.

프로시저

단계 1

Work Centers(작업 센터) > Device Administration(디바이스 관리) > Policy Sets(정책 집합)를 선택합니다.

단계 2

Create Above(위에 생성)를 클릭합니다.

단계 3

새 규칙의 이름을 입력합니다.

단계 4

다음의 단순 조건 및 결과를 선택합니다.

CertRenewalRequired=True인 경우 권한에 대해 앞에서 생성한 권한 부여 프로파일(CertRenewal_CWA)을 선택합니다.

단계 5

Save(저장)를 클릭합니다.

참고	Cisco ISE에서는 한 번에 최대 50개의 권한 부여 정책을 로드할 수 있으며, 다음 정책 집합을 로드하는 데 약 10초가 지연됩니다.

참고	생성된 정책 목록에서 특정 권한 부여 정책을 검색하는 경우 검색 창에 제공된 정책 이름이 아래 정책 목록에서 강조 표시되지만 필터링되지는 않습니다.

다음에 수행할 작업

인증서가 만료된 디바이스를 사용하여 회사 네트워크에 액세스할 때는 Renew(갱신)를 클릭하여 디바이스를 재구성합니다.

게스트 포털에서 BYOD 설정 활성화

사용자가 개인 디바이스 인증서를 갱신할 수 있도록 하려면 선택한 게스트 포털에서 BYOD 설정을 활성화해야 합니다.

프로시저

단계 1

Work Centers(작업 센터) > Guest Access(게스트 액세스) > Portals and Components(포털 및 구성 요소) > Guest Portals(게스트 포털)를 선택합니다.

선택한 CWA 포털을 고르고 Edit(편집)를 클릭합니다.

단계 2

BYOD Settings(BYOD 설정)에서 Allow employees to use personal devices on the network(네트워크에서 직원의 개인 디바이스 사용 허용) 확인란을 선택합니다.

단계 3

Save(저장)를 클릭합니다.

Apple iOS 디바이스용 인증서 갱신 실패

ISE를 사용하여 Apple iOS 디바이스에서 엔드포인트 인증서를 갱신하는 경우 "Profiled Failed to Install(프로파일링 설치 실패)" 오류 메시지가 표시될 수 있습니다. 이 오류 메시지는 만료 예정이거나 만료된 네트워크 프로파일이 동일한 PSN(Policy Service Node)에서, 또는 다른 PSN에서 갱신 처리에 사용되는 것과 다른 관리 HTTPS 인증서로 서명된 경우에 나타납니다.

문제 해결을 위해서는 일반적으로 UCC(Unified Communications Certificate)라고 하는 다중 도메인 SSL 인증서, 또는 구축의 모든 PSN에서 관리 HTTPS에 대해 와일드카드 인증서를 사용해 주십시오.

인증서 정기 확인 설정

Cisco ISE는 CRL(Certificate Revocation List)을 정기적으로 확인합니다. 이 창에서는 자동으로 다운로드되는 CRL에 대해 진행 중인 세션을 확인하도록 Cisco ISE를 구성할 수 있습니다. 매일 OCSP 또는 CRL 확인을 시작해야 하는 시간과 Cisco ISE가 OCSP 서버 또는 CRL을 다시 확인할 때까지 대기하는 시간 간격을 시간 단위로 지정할 수 있습니다.

다음 표에서는 인증서(OCSP 또는 CRL)의 상태를 확인할 시간 간격을 지정할 수 있는 Certificate Periodic Check Settings(인증서 정기 확인 설정) 창의 필드에 대해 설명합니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Certificate Management(인증서 관리) > Certificate Periodic Check Settings(인증서 정기 확인 설정)입니다.

표 15. 인증서 정기 확인 설정
필드 이름	사용 지침
Certificate Check Settings(인증서 확인 설정)
Check ongoing sessions against automatically retrieved CRL(자동으로 검색된 CRL에 대해 진행 중인 세션 확인)	Cisco ISE가 자동으로 다운로드되는 CRL에 대해 진행 중인 세션을 확인하도록 지정하려면 이 확인란을 선택합니다.
CRL/OCSP Periodic Certificate Checks(CRL/OCSP 정기 인증서 확인)
First check at(첫 확인 시간)	매일 CRL 또는 OCSP 확인을 시작할 시간을 지정합니다. 00:00~23:59시간 사이의 값을 입력합니다.
Check every(확인 간격)	Cisco ISE가 CRL 또는 OCSP 서버를 다시 확인할 때까지 대기하는 시간 간격을 시간 단위로 지정합니다.

Cisco ISE CA 서비스

인증서는 자체 서명되거나 외부 CA(Certificate Authority)에 의해 디지털 서명될 수 있습니다. Cisco ISE Internal Certificate Authority(ISE CA)는 엔드포인트에 대한 디지털 인증서를 발급하고 중앙 집중식 콘솔에서 관리하므로 직원이 회사 네트워크에서 개인 디바이스를 사용할 수 있습니다. CA 서명 디지털 인증서는 업계 표준으로 보안성이 더 높은 것으로 간주됩니다. 기본 PAN은 루트 CA입니다. PSN(Policy Service Nodes)은 기본 PAN(SCEP RA)에 대한 하위 CA입니다. ISE CA는 다음과 같은 기능을 제공합니다.

Certificate Issuance: 네트워크에 연결되는 엔드포인트에 대한 CSR(Certificate Signing Requests)을 검증하고 서명합니다.
Key Management: 키와 인증서를 생성하고 PAN 및 PSN 노드에서 모두 안전하게 저장합니다.
Certificate Storage: 사용자 및 디바이스에 발급된 인증서를 저장합니다.
Support OCSP(Online Certificate Status Protocol): 인증서의 유효성을 확인하도록 OCSP 응답자를 제공합니다.

기본 관리 노드에서 CA 서비스가 비활성화된 경우에도 보조 관리 노드의 CLI에서 실행 중인 것으로 간주됩니다. CA 서비스는 비활성화된 상태로 표시하는 것이 가장 좋습니다. 이는 알려진 Cisco ISE 문제입니다.

Cisco ISE 인증서 핑거프린트

인증서 핑거프린트 프로세스는 신뢰할 수 있는 인증서와 일치하도록 인증서 즉시 발급 핑거프린트 SHA256을 평가하는 데 사용됩니다. 이렇게 하면 여러 CA가 서로 다른 도메인을 지원하도록 보안 메커니즘이 적용되며 802.1x 프로토콜용으로 신뢰할 수 있는 CA를 잠글 수도 있습니다.

정책 조건에서 인증서를 업데이트하기 전에 발급자 핑거프린트 SHA-256 인증서가 Cisco ISE 구축에 추가되었는지 확인하십시오.

참고

신뢰할 수 있는 인증서가 정책으로 구성된 후에는 인증서를 삭제할 수 없습니다. 다음 메시지가 Trusted Certificates(신뢰할 수 있는 인증서) 창의 This Trusted Certificate Refered by Policy Sets(정책 집합에서 참조하는 신뢰할 수 있는 인증서)에 표시됩니다. 이 창을 보려면 메뉴 아이콘()을 클릭하고 Administration(관리) > System(시스템) > Certificates(인증서) > Trusted certificates(신뢰할 수 있는 인증서)를 선택합니다.

인증서가 정책에서 사용되므로 인증서를 삭제할 수 없습니다. 인증서를 삭제하려면 먼저 정책 조건을 수정하십시오.

편견 없는 언어

번역에 관하여

결과

장: 기본 설정

기본 설정

관리 포털

Cisco ISE 홈 대시보드

홈 대시보드 구성

상황 가시성 보기

상황 가시성의 속성

애플리케이션 대시보드

하드웨어 대시보드

Dashlet

보기에서 표시되는 데이터 필터링

사용자 맞춤화 필터 생성

프로시저

고급 필터를 사용하여 조건별로 데이터 필터링

프로시저

빠른 필터를 사용하여 필드 속성을 기준으로 데이터 필터링

프로시저

Dashlet 보기의 엔드포인트 작업

Cisco ISE 대시보드

Cisco ISE 국제화 및 현지화

지원되는 언어

최종 사용자 웹 포털 현지화

UTF-8 문자 데이터 입력 지원

UTF-8 인증서 인증

UTF-8 정책 및 Posture Assessment

신청자에게 전송되는 메시지에 대한 UTF-8 지원

보고서 및 경보 UTF-8 지원

포털의 UTF-8 문자 지원

Cisco ISE 사용자 인터페이스 외부에서 UTF-8 지원

디버그 로그 및 CLI 관련 UTF-8 지원

Cisco Secure ACS 마이그레이션 UTF-8 지원

UTF-8 값 가져오기 및 내보내기 지원

REST에 대한 UTF-8 지원

ID 저장소 권한 부여 데이터에 대한 UTF-8 지원

MAC 주소 정규화

Cisco ISE 구축 업그레이드

관리자 액세스 콘솔

프로시저

관리자 로그인 브라우저 지원

실패한 로그인 시도 이후에 관리자 잠금

Cisco ISE의 프록시 설정 구성

프로시저

관리 포털에서 사용하는 포트

Cisco ISE 애플리케이션 프로그래밍 인터페이스 게이트웨이 설정

프로시저

외부 RESTful 서비스 애플리케이션 프로그래밍 인터페이스 활성화

프로시저

외부 RESTful 서비스 애플리케이션 프로그래밍 인터페이스에 대한 외부 AD 액세스 활성화

프로시저

외부 RESTful 서비스 소프트웨어 개발 키트

시스템 시간 및 네트워크 시간 프로토콜 서버 설정 지정

시작하기 전에

프로시저

시스템 표준 시간대 변경

알림을 지원하도록 SMTP 서버 구성

대화형 도움말

보안 잠금 해제 클라이언트 메커니즘 활성화

프로시저

다음에 수행할 작업

FIPS(연방 정보 처리 표준) 모드 지원

Cisco ISE에서 연방 정보 처리 표준 모드 활성화

프로시저

다음에 수행할 작업

관리자 CAC(Common Access Car) 인증을 위한 Cisco ISE 구성

시작하기 전에

프로시저

지원되는 CAC(Common Access Card) 표준

Cisco ISE의 CAC(Common Access Card) 작업

Diffie-Hellman 알고리즘을 사용하여 SSH 키 교환 보호

보안 시스템 로그를 전송하도록 Cisco ISE 구성

시작하기 전에

프로시저

보안 시스템 로그 원격 로깅 대상 구성

프로시저

원격 로깅 대상 설정

보안 시스템 로그 대상으로 감사 가능 이벤트를 전송하기 위한 로깅 범주 활성화