Op EVT gebaseerde engine voor identiteitsservices en passieve ID-agent configureren

Inleiding

Dit document beschrijft de nieuwe Identity Services Engine (ISE) Passive Identity Connector (ISE-PIC) Agent die werd geïntroduceerd in de ISE 3.0-versie.  

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Identity Services-beheer
• MS-RPC, WMI-protocollen
• Active Directory-beheer

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Identity Services Engine versie 3.0 en hoger
• Microsoft Windows Server 2016 Standard
  
  

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Dit artikel beschrijft ook de voordelen van ISE-PIC Agent en de configuratie van deze agent op de ISE. ISE Passive Identity Agent is een integraal onderdeel geworden van de Identity Firewall-oplossing die ook gebruik maakt van Cisco FirePower Management Center.

Noodzaak van een nieuw protocol

De passieve identiteitsfunctie (passieve id) van ISE stuurt een aantal belangrijke use cases aan, waaronder Identity-Based Firewall, EasyConnect, enzovoort. Deze functie is afhankelijk van de mogelijkheid om gebruikers te controleren die zich aanmelden bij Active Directory Domain Controllers en hun gebruikersnaam en IP-adressen te leren kennen. Het huidige protocol dat wordt gebruikt om de domeincontrollers te controleren, is WMI. Het is echter moeilijk/ingrijpend te configureren, heeft een impact op de prestaties van zowel clients als servers en heeft soms een extreem grote latentie bij het zien van aanmeldingsevenementen bij geschaalde implementaties. Na grondig onderzoek en alternatieve manieren om de informatie te verzamelen die nodig is voor Passive Identity Services, werd besloten tot een alternatief protocol - bekend als de Eventing API (EVT), die efficiënter is in het behandelen van deze use case. Het wordt soms aangeduid als MS-EVEN6, ook bekend als Eventing Remote Protocol, dat is de onderliggende RPC-gebaseerde on-the-wire protocol.

Voordelen van MS-EVEN6

Hoge beschikbaarheid

De oorspronkelijke agent had geen High Availability (HA) -optie en als het nodig is om onderhoud uit te voeren op de server waarop de agent actief was of een storing had, zouden aanmeldingsevenementen worden gemist en functies zoals Identity-based Firewall zouden in deze periode verlies van gegevens zien. Dit was een van de belangrijkste problemen met het gebruik van ISE PIC Agent voorafgaand aan deze release. Vanaf deze release kunnen agents in High Availability werken. ISE gebruikt UDP-poort 9095 om hartslagen uit te wisselen tussen de agenten om een hoge beschikbaarheid te garanderen. Er kunnen meerdere HA-paren van agents zijn die kunnen worden geconfigureerd om verschillende domeincontrollers te bewaken.

schaalbaarheid

De nieuwe agent biedt betere ondersteuning met verhoogde schaalnummers voor een ondersteund aantal domeincontrollers en het aantal gebeurtenissen dat deze aankan. Hier zijn de schaalnummers die zijn getest:

• Maximaal aantal gecontroleerde domeincontrollers (met 2 paar agents): 74
• Maximaal aantal Mappings/events getest: 292.000 (3950 events per DC)
• Maximale geteste TPS: 500

Installatiearchitectuur voor testen schalen

Query Historische gebeurtenissen

In het geval van failover of wanneer de PIC-Agent opnieuw wordt opgestart om ervoor te zorgen dat er geen gegevens verloren gaan, worden gebeurtenissen die in het verleden gedurende een geconfigureerde periode zijn gegenereerd, opgevraagd en opnieuw naar de PSN-knooppunten verzonden. Standaard worden 60 seconden aan gebeurtenissen uit het verleden vanaf het begin van de service door de ISE gevraagd om verlies van gegevens tijdens het serviceverlies te negeren.

Minder verwerkingsoverhead

In tegenstelling tot WMI dat CPU-intensief is bij grootschalige of zware belasting, verbruikt EVT niet zoveel bronnen als WMI. De schaaltests toonden een veel betere prestatie van de query's met het gebruik van EVT.

Configureren

connectiviteitsdiagram

Configuraties

ISE configureren voor PassiveID Agent

Als u PassiveID-services wilt configureren, moet u de Passive Identity Services op ten minste één Policy Service Node (PSN) hebben ingeschakeld. Er kunnen maximaal twee knooppunten worden gebruikt voor passieve identiteitsdiensten die in de actieve/standby-modus werken. ISE moet ook worden gekoppeld aan een Active Directory-domein en alleen die domeincontrollers die in dat domein aanwezig zijn, kunnen worden gecontroleerd door agents die op de ISE zijn geconfigureerd. Raadpleeg de Active Directory Integration Guide om ISE aan te sluiten bij een Active Directory-domein.

Navigeer naar Beheer > Systeem > Implementatie > [Kies een PSN] > Bewerken om passieve identiteitsservices in te schakelen, zoals hier wordt weergegeven:

Navigeer naar Work Centers > PassiveID > Providers > Agents > Toevoegen om een nieuwe Agent te implementeren, zoals hier wordt getoond:

Noot: 1. Als de agent door ISE op de domeincontroller moet worden geïnstalleerd, moet de hier gebruikte account voldoende rechten hebben om een programma te installeren en uit te voeren op de server die wordt vermeld in het veld Volledig gekwalificeerde domeinnaam (FQDN) van de host. De Host FQDN hier kan die van een ledenserver zijn in plaats van een domeincontroller.

2. Als een agent al handmatig is geïnstalleerd, of uit een eerdere implementatie van de ISE, met MSRPC, zijn de benodigde machtigingen en configuraties aan de Active Directory- of Windows-zijde minder dan WMI, het andere protocol (en het enige dat beschikbaar was vóór 3.0) dat door PIC-agents wordt gebruikt. De gebruikersaccount die in dit geval wordt gebruikt, kan een regulier domeinaccount zijn dat deel uitmaakt van de groep Lezers van het eventlogboek. Kies Bestaande agent registreren en gebruik deze accountgegevens om de agent te registreren die handmatig op de domeincontrollers is geïnstalleerd.

Configureer na een succesvolle implementatie een andere agent op een andere server en voeg deze toe als een secundaire agent en vervolgens de primaire peer, zoals weergegeven in dit image.

 Om de domeincontrollers te controleren die de agents gebruiken, navigeert u naar Werkcentra > Passieve ID > Providers > Active Directory > [Klik op het aansluitpunt] > Passieve ID. Klik op DC's toevoegen en kies de domeincontrollers waaruit de User-IP Mapping/events worden opgehaald, klik op OK en klik vervolgens op SaveØ om de wijzigingen op te slaan, zoals weergegeven in deze afbeelding.

Om de Agents op te geven die kunnen worden gebruikt om de gebeurtenissen op te halen, navigeert u naar Werkcentra > PassiveID > Providers > Active Directory > [Klik op het aanmeldpunt] > PassiveID. Kies de domein controllers en klik op Bewerken. Voer de gebruikersnaam en het wachtwoord in. Kies Agent en Sla het dialoogvenster op. Klik op Opslaan op het tabblad PassiveID om de configuratie te voltooien.

Controle van een domeincontroller

Opmerking: er kunnen hier in deze sectie configuratie- en testopties zijn tot versie 3.0 Patch 4.

Configuratiebestand voor PassiveID Agent begrijpen

Het configuratiebestand van de PassiveID Agent bevindt zich op C:\Program Files (x86)\Cisco\Cisco ISE PassiveID Agent\PICAgent.exe.config. De inhoud van het configuratiebestand wordt hier weergegeven:

<?xml version="1.0" encoding="utf-8"?>
<configuratie>
<configSections>
<section name="log4net" type="log4net.Config.Log4NetConfigurationSectionHandler, log4net"/>
</configSections>
<log4net>
<root>
<level value="DEBUG" /> <!-- Logniveaus: UIT, FATAAL, FOUT, WAARSCHUWING, INFO, DEBUG, ALL -->
<!-- Hiermee wordt het logniveau ingesteld van de logbestanden die zijn verzameld voor de PassiveID Agent op de server waarop deze wordt uitgevoerd. -->
<appender-ref="RollingFileAppender" />
</root>
<appender name="RollingFileAppender" type="log4net.Appender.RollingFileAppender">
<file value="CiscoISEPICAgent.log" /> <!-- Wijzig dit niet -->
<appendToFile value="true" />
<rollingStyle value="Size" />
<maxSizeRollBackups value="5" /> <!-- Met dit nummer wordt het maximale aantal logbestanden ingesteld dat wordt gegenereerd voordat deze worden overgezet -->
<maximumFileSize value="10MB" /> <!-- Hiermee wordt de maximale grootte ingesteld van elk logbestand dat wordt gegenereerd -->
<staticLogFileName value="true" />
<layout type="log4net.Layout.PatternLayout">
<conversionPattern value="%date %level - %message%newline" />
</layout>
</appender>
</log4net>
<opstarten>
<supportedRuntime version="v4.0"/>
<supportedRuntime version="v2.0.50727"/>
</startup>
<appSettings>
<add key="heartbeatFrequency" value="400" /> <!-- Dit getal definieert de frequentie van de hartslag in milli seconden die wordt uitgevoerd tussen de primaire agent en de secundaire agent, indien geconfigureerd in een paar op de ISE -->
<add key="heartbeatThreshold" value="1000"/> <!-- Dit getal definieert de maximale tijdsduur in milli seconden waarop de Agent wacht op hartslagen waarna de andere Agent is gemarkeerd -->
<add key="showHeartbeats" value="false" /> <!-- Wijzig de waarde in "true" om hartslagberichten in het logbestand te zien -->
<add key="maxRestThreads" value="200" /> <!-- Hiermee wordt het maximale aantal REST-threads gedefinieerd dat kan worden gegenereerd om de gebeurtenissen naar het ISE te verzenden. Wijzig deze waarde niet totdat en tenzij geadviseerd door Cisco TAC. -->
<add key="mappingTransport" value="rest" /> <!-- Hiermee definieert u het type medium dat wordt gebruikt om de mappings naar het ISE te verzenden. Wijzig deze waarde niet -->
<add key="maxHistorySeconds" value="60" /> <!-- Hiermee definieert u de duur in seconden in het verleden waarvoor de historische gebeurtenissen moeten worden opgehaald in het geval van een herstart van de service -->
<add key="restTimeout" value="5000" /> <!-- Hiermee definieert u de time-outwaarde voor een REST-oproep naar het ISE -->
<add key="showTPS" value="false" /> <!-- Wijzig deze waarde in "true" om de TPS te zien van gebeurtenissen die zijn ontvangen en naar de ISE zijn verzonden -->
<add key="showPOSTS" value="false" /> <!-- Wijzig deze waarde in "true" om de gebeurtenissen af te drukken die naar de ISE worden verzonden -->
<add key="nodeFailoverTimeSpan" value="5000" /> <!-- Hiermee definieert u de voorwaarde voor de drempelwaarde in milliseconden waarbinnen het aantal fouten dat kan optreden in de communicatie met de actieve PassiveID PSN-node wordt geteld voor failover -->
<add key="nodeFailoverMaxErrors" value="5" /> <!-- Hiermee definieert u het maximale aantal fouten dat binnen de opgegeven nodeFailoverTimeSpan wordt getolereerd voordat u de stand-by PassiveID PSN-node niet overschrijdt -->
</appInstellingen>
</configuratie>

Verifiëren

PassiveID-services op de ISE verifiëren

1. Controleer of de PassiveID-service is ingeschakeld op de gebruikersinterface en of deze ook is gemarkeerd vanaf de opdracht Toepassingsstatus weergeven op de CLI van de ISE.

ISE PROCESS NAME STATE PROCESS ID 
--------------------------------------------------------------------
Database Listener running 129052 
Database Server running 108 PROCESSES
Application Server running 9830 
Profiler Database running 5127 
ISE Indexing Engine running 13361 
AD Connector running 20609 
M&T Session Database running 4915 
M&T Log Processor running 10041 
Certificate Authority Service running 15493 
EST Service running 41658 
SXP Engine Service disabled 
Docker Daemon running 815 
TC-NAC Service disabled 
pxGrid Infrastructure Service disabled 
pxGrid Publisher Subscriber Service disabled 
pxGrid Connection Manager disabled 
pxGrid Controller disabled 
PassiveID WMI Service running 15951 
PassiveID Syslog Service running 16531 
PassiveID API Service running 17093 
PassiveID Agent Service running 17830 
PassiveID Endpoint Service running 18281 
PassiveID SPAN Service running 20253 
DHCP Server (dhcpd) disabled 
DNS Server (named) disabled 
ISE Messaging Service running 1472 
ISE API Gateway Database Service running 4026 
ISE API Gateway Service running 7661 
Segmentation Policy Service disabled 
REST Auth Service disabled 
SSE Connector disabled 

2. Controleer of de ISE Active Directory-provider is verbonden met de domeincontrollers in Work Centers > PassiveID > Providers > Active Directory > Connection.

3. Controleer of de vereiste domeincontrollers worden gecontroleerd door de Agent at Work Centers > PassiveID > Providers > Active Directory > PassiveID.

4. Controleer of de status van de domeincontrollers die worden gemonitord, is bijgewerkt. Bijvoorbeeld groen gemarkeerd op het dashboard van Work Centers > PassiveID > Overview > Dashboard.

  

5. Controleer of er live sessies worden ingevuld wanneer een Windows-aanmelding is geregistreerd op de domeincontroller in Work Centers > PassiveID > Overzicht > Live Sessions.

Agent-services op de Windows-server verifiëren

1. Controleer de ISEPICAgent-service op de server waarop PIC Agent is geïnstalleerd.

Vereiste instellingen in het Windows AD-domein - Groepsbeleidsobjecten (GPO)

1. De ISE PIC Agent kan de aanmeldings- en afmeldingsgegevens van de gebruiker lezen. De gebruikte account kan een serviceaccount zijn (zonder wachtwoord verlopen) en kan een normaal domeinaccount zijn en lid van de groep Lezers van het eventlogboek

2.- Bevestig in het Domeinbeleid dat deze instellingen zijn ingesteld op:

Standaarddomeinbeleid (of het beleid dat de klant voor zijn domeinsystemen gebruikt) > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Controlebeleid en schakel deze items in:

Sommige klanten vertrouwen op de configuratie van het geavanceerde controlebeleid in plaats van het bestaande lokale beleid te gebruiken

.

Als dit het geval is, stelt u Geavanceerd controlebeleid in: In de editor Groepsbeleid beheren. Computerconfiguratie uitbreiden → Naar beleid navigeren → Naar Windows-instellingen navigeren → Naar beveiligingsinstellingen → Naar geavanceerde controlebeleidsconfiguratie → Naar controlebeleid navigeren. Stel dit controlebeleid in:

accountbeheer

· Audit Computer Account Management: succes

· Audit Distribution Group Management: succes

· Audit Security Group Management: succes

· Controle van gebruikersaccountbeheer: succes

DS-toegang

· Toegang tot de auditdirectoryservice: succes

Aanmelden/afmelden

· Audit Logoff: succes

De sessie-vermelding op de ISE PIC kan onmiddellijk worden gezien, net nadat de gebruiker zich heeft aangemeld.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
3.0	20-Oct-2026	Hercertificering - bijgewerkte alt-tekst, SEO, machinevertaling en opmaak.
2.0	01-Aug-2024	Alt-tekst toegevoegd. Bijgewerkte introductie, machinevertaling en opmaak.
1.0	10-Dec-2020	Eerste vrijgave