ISE 3.2 MDM Compliance Query mislukt door onderdrukking van client en softwaredefect

Downloadopties

PDF (251.0 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (86.0 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (71.8 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:26 oktober 2026

Document-id:226479

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

uitgifte

Sommige eindpunten die via EAP-TLS op Cisco Identity Services Engine (ISE) zijn geverifieerd, krijgen van Microsoft Intune af en toe geen nalevingsstatus, hoewel ze in het Intune-dashboard als conform worden weergegeven. Als gevolg daarvan hebben deze eindpunten een standaard beleid voor draadloze autorisatie in plaats van het verwachte beleid voor Posture Compliant of Posture Non-Compliant. De betreffende eindpunten tonen geen compatibiliteitskenmerken voor Mobile Device Management (MDM) in ISE-livelogs of externe MDM-rapporten en het probleem heeft alleen invloed op een subset van clients in de implementatie.

Specifieke symptomen die zijn waargenomen zijn:

Abnormale clients hebben geen logs in ISE Report bij External Mobile Device Management Report.
Abnormale clients hebben geen kenmerken zoals MDM-compatibele status of apparaatcompatibele status in live loggegevens.
Abnormale clients hebben het beleid voor draadloze 802.1x_EAP-TLS_toyotawifi goedgekeurd in plaats van het beleid voor naleving van de houding.
Foutberichten in logboeken tonen "Kan geen verbinding maken met MDM Server: 404 niet gevonden".

milieu

Cisco ISE multi-node cluster versie 3.2 patch 6
8 ISE-nodes in het cluster, die allemaal de groene status weergeven
11.000 draadloze/bekabelde clients geïntegreerd met Microsoft Intune
Clients gebruiken EAP-TLS-verificatie (Machine Certificate)
ISE gebruikt het MAC-adres van de client voor query's naar Intune
Alle clients hebben de status 'compliant' op het Microsoft Intune-dashboard
Probleem treft sommige klanten, maar niet allemaal

resolutie

Het probleem is via deze stappen opgelost.

Stap 1: Identificeer de oorzaak

Analyse van de ISE-logs toonde aan dat de getroffen eindpunten een verouderde MDM-server-ID hebben die voorkomt dat MDM-query's worden uitgevoerd.

De logboeken toonden aan:

2026-06-15 13:35:14,343 DEBUG [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.util.MDMUtil -:::::- MDM server id from Endpoint : ccb4559d-3943-4a21-bc8e-e2b8b3d20fcf
2026-06-15 13:35:14,343 DEBUG [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.util.MdmServersCache -:::::- isMultiMdmOptEnabledForRegDevices ==== multi mdm not enabled
2026-06-15 13:35:14,344 ERROR [PolicyEngineEvaluationThread-4][[]] cisco.cpm.mdm.pip.MdmPartnerPIPHandler -:::::- Error : null value for active MDM server for MDM server id : ccb4559d-3943-4a21-bc8e-e2b8b3d20fcf

Bovendien bleek de implementatie Cisco bug ID CSCwv51917 te raken, wat van invloed is op MDM compliance lookups wanneer het gebruik van een MAC-adres een verouderde MDM server-ID heeft.

Stap 2: Tijdelijke workaround

Als tijdelijke workaround:

1.- Verwijder het eindpunt uit Context Visibility en authenticeer opnieuw. Dit werd waargenomen om het probleem van het vragen naar de MDM-server en het verkrijgen van de nalevingsstatus op te lossen.

2.- Navigeer naar Context Visibility.

3.- Selecteer het MAC-adres van het eindpunt en verwijder het.

4.- Verifieer het eindpunt opnieuw.

Stap 3: Permanente resolutie - Software-upgrade

De permanente resolutie wordt gevolgd onder Cisco bug ID CSCwv51917.

Oorzaak

Tijdens de verificatie probeert ISE de verouderde MDM-serverreferentie te bevragen, maar het corresponderende MDM-serverobject bestaat niet meer of is inactief. Bijgevolg haalt ISE geen MDM-conformiteitskenmerken op van Intune.