Cisco Identity Services Engine는, 1.3 마이그레이션 툴 가이드 릴리스

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

번역에 관하여

Cisco는 일부 지역에서 본 콘텐츠의 현지 언어 번역을 제공할 수 있습니다. 이러한 번역은 정보 제공의 목적으로만 제공되며, 불일치가 있는 경우 본 콘텐츠의 영어 버전이 우선합니다.

책 콘텐츠
이 책에서 일치하는 항목 찾기
제공되는 언어
Download Options

Book Title

Cisco Identity Services Engine는, 1.3 마이그레이션 툴 가이드 릴리스

Chapter Title

데이터 마이그레이션 원칙

결과

업데이트:
2021년 7월 16일 (금)

장: 데이터 마이그레이션 원칙

데이터 마이그레이션 원칙

이 장에서는 단일 어플라이언스에 구축하거나 Cisco ISE, 릴리스 1.3로 분산 구축할 때 Cisco Secure ACS, 릴리스 5.5, 5.6, 또는 5.8 데이터 마이그레이션을 설명합니다.

Data Migration and Deployment Scenarios

Cisco Secure ACS 및 Cisco ISE는 서로 다른 하드웨어 플랫폼에 있으며, 운영 체제, 데이터베이스 및 정보 모델이 서로 다릅니다. 따라서 Cisco Secure ACS에서 Cisco ISE로 표준 업그레이드를 수행할 수 없습니다. 그 대신 마이그레이션 툴은 Cisco Secure ACS에서 데이터를 읽고 Cisco ISE에서 해당 데이터를 생성합니다.

마이그레이션단일 Cisco Secure ACS Appliance에서 데이터

시작하기 전에

Cisco Secure ACS, 릴리스 5.5 이상의 데이터를 Cisco ISE, 릴리스 1.4으로 마이그레이션 할 준비가 되면, 독립형 Cisco ISE 노드에 대한 데이터인지 확인합니다. 마이그레이션이 성공적으로 완료되면, 모든 구축 컨피그레이션을 시작할 수 있습니다(예, 관리자 ISE 및 정책 서비스 ISE 페르소나 설정).

Cisco ISE 소프트웨어를 지원되는 하드웨어 어플라이언스에 "완전히" 새로 설치하는 경우, 마이그레이션 가져오기 단계를 수행해야 합니다. 지원되는 하드웨어 어플라이언스 목록은 Cisco ISE(Identity Services Engine) 하드웨어 설치 가이드, 릴리스 1.4을 참조하십시오.

사용자 환경에 단일 Cisco Secure ACS 어플라이언스가 있거나 분산된 설정이 아닌 여러 Cisco Secure ACS 어플라이언스가 있는 경우, Cisco Secure ACS 어플라이언스에 대해 마이그레이션 툴을 실행하십시오.

Cisco Secure ACS와 Cisco ISE가 CSACS-1121 어플라이언스라는 동일한 하드웨어를 사용하는 경우, 마이그레이션 툴과 다음 마이그레이션 절차를 사용할 수 있습니다.

프로시저

단계 1

독립형 Windows 또는 Linux 컴퓨터에 마이그레이션 툴을 설치합니다.

단계 2

Cisco Secure ACS, 릴리스 5.5 이상의 데이터를 Cisco Secure ACS-1121 하드웨어 어플라이언스에서 데이터베이스가 있는 보안 외부 서버로 내보냅니다.

단계 3

Cisco Secure ACS 데이터를 백업합니다.

단계 4

Cisco ISE 릴리스 1.4소프트웨어로 지원 Cisco ISE 어플라이언스와 동일한 물리적 하드웨어를 사용하는 Cisco Secure ACS-1121 하드웨어 어플라이언스를 다시 이미지화합니다.

단계 5

변환된 Cisco Secure ACS 데이터를 보안 외부 서버에서 Cisco ISE로 가져옵니다.

분산 환경에서 데이터 마이그레이션

시작하기 전에

대규모 내부 데이터베이스가 있는 경우, 여러 보조 어플라이언스에 연결된 기본 어플라이언스가 아닌 독립형 기본 어플라이언스에서 마이그레이션을 실행하는 것이 좋습니다. 마이그레이션 프로세스가 완료되면 모든 보조 어플라이언스를 등록 할 수 있습니다.

분산 환경에는 기본 Cisco Secure ACS 어플라이언스 및 기본 어플라이언스와 상호 운용되는 하나 이상의 보조 Cisco Secure ACS 어플라이언스가 있습니다.

분산 환경에서 Cisco Secure ACS를 실행하는 경우, 다음을 수행해야 합니다.

프로시저

단계 1

기본 Cisco Secure ACS 어플라이언스를 백업하고 마이그레이션 컴퓨터에서 복원합니다.

단계 2

기본 Cisco Secure ACS 어플라이언스에 대해 마이그레이션 툴을 실행합니다.

그림 1. 다른 어플라이언스에 설치된 Cisco Secure ACS 및 Cisco ISE

Cisco Secure ACS 릴리스 5.5 또는 5.6 마이그레이션 준비

Cisco Secure ACS에서 성공적으로 마이그레이션한 후에는 단순 모드로 변경하지 않는 것이 좋습니다. Cisco ISE에서 마이그레이션된 모든 정책이 손실될 수 있기 때문입니다. 마이그레이션된 정책은 검색할 수 없지만, Simple Mode(단순 모드)에서 Policy Set(정책 집합) 모드로 전환할 수 있습니다.

Cisco Secure ACS 데이터를 Cisco ISE로 마이그레이션하기 전에, 다음 사항을 고려해야 합니다.

  • Cisco ISE, 릴리스 1.4의 정책 설정 모드에서만 Cisco Secure ACS, 릴리스 5.5 이상의 데이터를 마이그레이션하십시오.

  • Cisco ISE 릴리스 1.4을 새로 설치하여 마이그레이션합니다. Cisco ISE에서 Administration(관리) > System(시스템) > Settings(설정) > Policy Sets(정책 집합)를 선택합니다.

  • SSP(Service Selection Policy)에서 활성화된 규칙 당 하나의 정책 집합을 생성하고, SSP 규칙의 순서에 따라 순서를 지정합니다.


참고

SSP 기본 규칙의 결과인 서비스는 Cisco ISE 릴리스 1.4의 기본 정책 집합이 됩니다. 마이그레이션 프로세스에서 생성 된 모든 정책 집합의 경우 첫 번째 일치 정책 집합은 일치 유형입니다.

정책 서비스 마이그레이션 지침

정책 서비스를 Cisco Secure ACS에서 Cisco ISE로 마이그레이션하는 동안, 다음 사항에 유의하십시오.

  • SSP(Service Selection Policies)에 Cisco Secure ACS, 릴리스 5.5 이상에서 비활성화되거나 모니터링되는 SSP 규칙이 포함되어 있으면, Cisco ISE로 마이그레이션되지 않습니다.

  • SSP(Service Selection Policy)에 Cisco Secure ACS, 릴리스 5.5 이상에서 활성화된 SSP 규칙이 포함된 경우:

    • 디바이스 관리 서비스를 요청합니다. Cisco ISE로 마이그레이션되지 않습니다. (Cisco ISE는 디바이스 관리를 지원하지 않습니다).

    • Group Mapping(그룹 매핑)정책이 포함된 서비스를 요청합니다. 이 서비스는 Cisco ISE로 마이그레이션되지 않습니다. Cisco ISE는 Group Mapping(그룹 매핑) 정책을 지원하지 않습니다.

    • 서비스를 요청하고 해당 ID 정책에 RADIUS ID 서버를 생성하는 규칙이 포함되어 있으면, Cisco ISE로 마이그레이션되지 않습니다(Cisco ISE는 RADIUS ID 서버를 인증에 사용하는 방식이 다릅니다).

    • Cisco ISE에서 지원되지 않는 특성 또는 정책 요소를 사용하는 정책이 있는 서비스를 요청합니다. 이 서비스는 Cisco ISE로 마이그레이션되지 않습니다.

정책별 서비스 마이그레이션 지침

Cisco ISE, 릴리스 1.32.1의 정책 집합 모드에서만 Cisco Secure ACS 데이터를 마이그레이션하므로, 이 섹션에서는 Cisco Secure ACS, 릴리스 5.5 또는 Cisco ISE 1.4로 마이그레이션하는 각 정책 서비스의 변경 사항에 대해 설명합니다.

Cisco Secure ACS 서비스 선택 정책 기본 규칙이 Cisco ISE 기본 정책 설정과 일치 함

Cisco ISE에서 서비스 이름으로 정책 집합을 생성할 수 있습니다. 정책 설정이 Cisco Secure ACS, 릴리스 5.5 또는 5.6 SSP 기본 규칙의 결과인 서비스와 일치하는 경우, 정책 집합은 Cisco ISE 릴리스 1.4의 기본 정책 집합이 됩니다. Cisco Secure ACS, 릴리스 5.5 또는 5.6 SSP 규칙의 조건은 Cisco ISE, 릴리스 1.4에서 정책 집합의 입력 조건이 됩니다. Cisco ISE, 릴리스 1.4 기본 정책 집합의 경우에는 입력 조건이 필요하지 않습니다.

Cisco Secure ACS DenyAccess Service-Cisco ISE 인증 및 권한 부여 정책 마이그레이션

Cisco Secure ACS, 릴리스 5.5 또는 5.6 DenyAccess 서비스를 Cisco ISE, 릴리스 1.4로 변환하면, 인증 및 권한 부여 정책이 다음으로 변경됩니다.
  • 인증 정책에는 허용되는 프로토콜에 대한 기본 네트워크 액세스 및 ID 소스에 대한 DenyAccess로 설정된 기본 외부 규칙만 있습니다.
  • 권한 부여 정책에는 DenyAccess(표준 권한)로 설정된 기본 규칙만 있습니다.

Cisco Secure ACS 서비스 ID 정책-정책 집합의 Cisco ISE 인증 정책 마이그레이션

Cisco Secure ACS, 릴리스 5.5 또는 5.6 서비스 ID 정책을 Cisco ISE, 릴리스 1.4에 설정된 정책의 인증 정책으로 변환하려면, 다음을 수행합니다.
  • 활성화된 단일 외부 규칙이 있는 인증 정책을 생성합니다.
  • Device:Location가 All Locations(모든 위치)로 시작하므로, 외부 규칙의 조건을 지정합니다(항상 일치하는 조건임).
  • 기본 외부 규칙의 결과를 Allowed Protocol(허용되는 프로토콜)의 경우에는 Default Network Access(기본 네트워크 액세스)로 설정하고 ID 소스의 경우에는 DenyAccess로 설정합니다.

    외부 규칙의 결과는 관련 서비스의 Allowed Protocol(허용되는 프로토콜)입니다. 인증 정책의 내부 규칙은 관련 ID 정책의 규칙입니다. 인증 정책의 내부 규칙 순서는 관련 ID 정책의 규칙 순서와 동일합니다. 인증 정책의 내부 규칙 상태(활성화됨, 비활성화됨 또는 모니터링됨)는 관련 ID 정책의 규칙 상태를 따릅니다.

Cisco Secure ACS Service Authorization Polcy-정책 집합의 Cisco ISE 권한 부여 정책 마이그레이션

Cisco Secure ACS, 릴리스 5.5 또는 5.6 서비스의 권한 부여 정책을 Cisco ISE, 릴리스 1.4에서 정책 집합의 권한 부여 정책으로 변환하려는 경우:
  • 정책 집합 Local Exception Authorization(로컬 예외 권한 부여) 정책의 규칙은 관련 서비스의 Exception Authorization(예외 권한 부여) 정책의 규칙입니다.
  • 정책 집합 Authorization(권한 부여) 정책의 규칙은 관련 서비스의 Authorization(권한 부여) 정책의 규칙입니다.
  • Local Exception Authorization(로컬 예외 권한 부여) 정책 및 Authorization(권한 부여) 정책에 설정된 정책의 규칙 순서는 관련 서비스의 Local Exception Authorization(로컬 예외 권한 부여) 정책 및 권한 부여 정책의 규칙 순서를 따릅니다.
  • 정책 설정 Local Exception Authorization(로컬 예외 권한 부여) 정책 및 Authorization(권한 부여) 정책의 규칙 상태(활성화 됨, 비활성화 됨, 모니터링 됨)는 관련 서비스의 Local Exception Authorization(로컬 예외 권한 부여) 정책 및 Authorization(권한 부여) 정책의 규칙 상태를 따릅니다.

Cisco Secure ACS 정책 규칙 마이그레이션 지침

규칙을 마이그레이션할 수 없는 경우, 보안 측면과 데이터 무결성 때문에 정책 모델 전체를 마이그레이션할 수 없습니다. Policy Gap Analysis Report(정책 간격 분석 보고서)에서 문제가 있는 규칙의 상세정보를 볼 수 있습니다. 지원되지 않는 규칙을 수정하거나 삭제하지 않으면, 정책이 Cisco ISE로 마이그레이션되지 않습니다.

일반적으로 Cisco Secure ACS, 릴리스 5.5 이상에서 Cisco ISE, 릴리스 1.4으로 데이터를 마이그레이션하는 동안 이러한 규칙을 고려해야 합니다.

  • 특수 문자가 포함된 개체는 마이그레이션되지 않습니다.

  • 열거형 유형의 속성(RADIUS, VSA, ID 및 호스트)은 허용되는 값을 가진 정수로 마이그레이션됩니다.

  • (속성 데이터 유형과 관계없이) 모든 엔드포인트 속성은 문자열 데이터 유형으로 마이그레이션됩니다.

  • RADIUS 속성 및 VSA 값은 필터링하여 Cisco ISE 로그에 추가할 수 없습니다.

지원되지 않는 규칙 요소

Cisco Secure ACS와 Cisco ISE는 서로 다른 정책 모델을 기반으로 하며, Cisco ISE로 마이그레이션할 때 Cisco Secure ACS 데이터 간에 차이가 있습니다. Cisco Secure ACS 및 Cisco ISE 릴리스 버전이 변경되면, 다음과 같은 이유로 모든 Cisco Secure ACS 정책 및 규칙을 마이그레이션할 수 있는 것은 아닙니다.

  • 정책에서 사용되는 지원되지 않는 속성

  • 지원되지 않는 AND/OR 조건 구조(주로 복잡한 조건이 구성되는 경우)

  • 지원되지 않는 연산자

표 1. 지원되지 않는 규칙 요소

규칙 요소

지원 상태

설명

날짜 및 시간

지원되지 않음

매주 반복 설정이 있는 권한 부여 정책의 날짜 및 시간 조건은 Cisco ISE로 마이그레이션되지 않습니다. 따라서 규칙도 마이그레이션되지 않습니다.

Date and Time(날짜 및 시간)

지원되지 않음

인증 정책의 날짜 및 시간 조건은 Cisco ISE로 마이그레이션되지 않습니다. 따라서 규칙도 마이그레이션되지 않습니다.

In

부분적으로 지원됨

"In" 연산자는 계층 구조에 사용되며, "Is"는 문자열 유형에만 사용됩니다. 이는 “STARTS_WITH”를 사용하여 변환할 수 있습니다.

Not In

부분적으로 지원됨

"Not In" 연산자는 계층 구조에 사용되며, "Is"는 문자열 유형에만 사용됩니다. 이는 "Matches"를 사용하여 변환할 수 있습니다.

Contains Any

지원되지 않음

"Contains Any" 연산자는 Active Directory 및 LDAP(Lightweight Directory Access Protocol)와 같은 외부 그룹에 대해서만 사용됩니다.

Contains All

지원되지 않음

"Contains All" 연산자는 Active Directory 및 LDAP(Lightweight Directory Access Protocol)와 같은 외부 그룹 전용입니다.

논리식의 조합

지원되지 않음

조건에서 이러한 연산자를 사용하는 규칙은 마이그레이션되지 않습니다.

  • (a || b) && c 같이 a || b || c || … 및/또는 a && b && c && … 이외의 논리식이 있는 다른 복합 조건을 포함하는 인증 정책.

  • && b && c && 이외의 로컬식이 있는 다른 복합 조건을 포함하는 권한 부여 정책은 규칙 조건의 일부로 마이그레이션되지 않습니다. 이를 해결하기 위해, 일부 고급 논리식에 대해 라이브러리 복합 조건을 수동으로 사용할 수 있습니다.

네트워크 조건

지원되지 않음

네트워크 조건만 포함하는 규칙은 마이그레이션되지 않습니다. 조건에 네트워크 조건 및 기타 지원되는 조건이 포함되는 경우, 네트워크 조건은 무시되며 규칙 조건의 일부로 마이그레이션되지 않습니다.

사용자 속성

부분적으로 지원됨

"String"데이터 유형이 아닌 데이터 유형의 사용자 속성을 포함하는 조건이 포함된 규칙은 마이그레이션되지 않습니다.

호스트 속성

지원되지 않음

조건이 호스트 속성을 참조하는 경우, 인증이 실패합니다.

호스트(엔드 포인트) 속성이 있는 조건을 포함하는 권한 부여 정책은 Cisco ISE 권한 부여 정책으로 마이그레이션되지 않습니다.

TACACS+ 속성

지원되지 않음

Cisco ISE는 TACACS(Terminal Access Controller Access Control System)를 지원하지 않습니다. TACACS 속성을 사용하는 Cisco Secure SSP(Service Selection Policy) 규칙은 마이그레이션되지 않습니다.

이 문서가 도움이 되셨습니까?

Feedback피드백

지원 문의