ISE 3.2 Data Connect-integratie met Splunk configureren

Inleiding

Dit document beschrijft hoe u de integratie van Cisco Identity Services Engine (ISE) 3.2 met Splunk over Data Connect moet configureren om rapportagegegevens rechtstreeks uit de ISE-database op te halen. U kunt uw eigen vragen creëren en uw eigen rapporten maken dankzij het.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

1. Cisco ISE-lijnkaart 3.2
2. Basiskennis over Oracle-vragen
3. Splunk

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

1. Cisco ISE-lijnkaart 3.2
2. Splunk 9.0.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Configuraties

Stap 1. Configureer de ISE-instellingen voor gegevensverbindingen

1. Data Connect inschakelen

Ga op ISE naar Administration > System > Settings > Data Connecten de knop ingedrukt houden Data Connect. Voer het wachtwoord in en klik op Save .

Maak een notitie van de Data Connect-instellingen, waaronder User Name, Hostname, Port, and Service Name .Data Connect is standaard ingeschakeld op Secundaire MNT in een gedistribueerde implementatie. Meer informatie over failover-scenario's vindt u in de Administrator Guide.

2. Certificaat voor verbinding met exportgegevens

Bediening in Step 1.heeft de aanzet gegeven tot het creëren van het Data Connect-certificaat. Het moet worden vertrouwd door de cliënten die ISE over Data Connect vragen.

Als u het certificaat wilt exporteren, bladert u naar Administration > System > Settings > Cetificate Management > Trusted Certificates, selecteer Certificaat met Data Connect Certificate Vriendelijke Naam en klik op Export .

Het certificaat wordt geëxporteerd in PEM-formaat.

Stap 2. Splunk configureren

Opmerking: De installatie van Splunk valt buiten het bereik van dit document.

1. Installeer de Splunk DB Connect-app

Klik op + Find More Apps uit het hoofdmenu.

Voer in Splunk DB Connect in het zoekmenu en klik op Installtegen Splunk DB Connect App zoals in de afbeelding.

Voer Splunk-referenties in om de app te installeren. Klik op Agree and Install zoals in de afbeelding.

App Installatie vereist de herstart, klik op Restart Now.

2. Oracle-stuurprogramma’s installeren

Volgens de Splunk-documentatie moeten JDBC-stuurprogramma's worden geïnstalleerd. Installeer het Oracle-stuurprogramma via de Splunk-invoegtoepassingen voor DB Connect. Klik op Login to Download zoals in de afbeelding.

Klik op Download.

Klik in het menu Start op het pictogram Gear naast Apps zoals in de afbeelding.

Klik op Install App from File.

Selecteer Bestand eerder gedownload en klik op Uploadzoals in de afbeelding.

Navigeer naar Apps > Splunk DB Connect > Configuration > Settings > Driversklik op Reload.Oracle de bestuurder moet als Installed.

3. Splunk DB Connect App Identity configureren

Opmerking: Opdat Splunk DB Connect App werkt moet Java (SE) worden geïnstalleerd. Voor deze App Java (SE) wordt 11 geïnstalleerd.

C:\Users\Administrator>java --version
java 11.0.15.1 2022-04-22 LTS
Java(TM) SE Runtime Environment 18.9 (build 11.0.15.1+2-LTS-10)
Java HotSpot(TM) 64-Bit Server VM 18.9 (build 11.0.15.1+2-LTS-10, mixed mode)

C:\Users\Administrator>

Navigeer naar Apps > Splunk DB Connect > Configuration > Databases > Identities en klik op New Identity.

Configureer de Identity Name (willekeurige waarde), Username (dataconconnect) en Password van Step 1. en klik op Save.

4. Splunk DB Connect App Connection configureren

Navigeer naar Apps > Splunk DB Connect > Configuration > Databases > Connections en klik vervolgens op New Connection.

Configureer de Connection Name (willekeurige waarde). Kiezen Identity van Configure Splunk DB Connect App Identitystap. Kiezen Connection Type als Oracle. Vink het selectievakje aan op de Edit JDBC URL en plak de waarde:

jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=10.48.17.20)(PORT=2484))(CONNECT_DATA=(SID=cpm10)))

De HOST moet vanaf de stap worden vervangen door het IP-adres van het MNT-knooppunt Enable Data Connect zoals in de afbeelding.

Blader naar beneden naar het certificaatgedeelte en plak de inhoud van DataConnectCertificate.pem certificaatbestand en klik op Save zoals in de afbeelding.

5. Splunk DB Connect-ingangen configureren

Navigeer naar Apps > Splunk DB Connect > Data Lab > Inputs  andklikken New Input.

Selecteer de verbinding die in stap is geconfigureerd Configure Splunk DB Connect App Connection .Voer de query in die u wilt gebruiken voor de enquête. In dit voorbeeld wordt verificatie door ISE Node-query gebruikt:

select access_service as allowed_protocol, sum(passed_count) as passed, sum(failed_count) as failed, sum(passed_count) + sum(failed_count) as total, round(to_char(((sum(failed_count) / (sum(passed_count) + sum(failed_count))) * 100)), 2) as failed_percentage, round(to_char(sum(total_response_time)/(sum(passed_count) + sum(failed_count))), 2) as total_response_time, max(max_response_time) as max_response_time from radius_authentication_summary group by access_service;

Klik Execute SQL om ervoor te zorgen dat de query werkt, moet ook verder worden gegaan. Klik op Next zoals in de afbeelding.

De invoer configureren Name(willekeurige waarde). Kiezen Application als Splunk DB Connect. Stel de Execution Frequency (hoe vaak de zoekopdracht naar ISE wordt gestuurd).

Configureer de Source Type en Input.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Om de gegevens van reacties te verifiëren en te visualiseren, gaat u naar Apps > Splunk DB Connect > Data Lab > Inputs. Klik op Find Events.

Van de Events -menu kunt u navigeren naar Visualization.

U kunt het menu Zoeken aanpassen en de Visualisatie van uw keuze selecteren. De query in het voorbeeld gebruikt tijdsschema en bouwt de grafiek op basis van maximaal doorgegeven verificatiepogingen.

index=summary sourcetype=custom source=AuthenticationsbyISENode OR source=mi_input://AuthenticationsbyISENode| timechart span=5m max(PASSED)

Problemen oplossen

Er is momenteel geen specifieke troubleshooting-informatie beschikbaar voor deze configuratie.