Instalar o ISE nos Serviços de Nuvem do Azure

Introdução

Este documento descreve como instalar uma instância do Cisco ISE IOS® usando a Máquina Virtual do Azure. O Cisco ISE IOS® está disponível nos Serviços em Nuvem do Azure.

---

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Inscrições e Grupos de Recursos

---

Componentes Utilizados

As informações neste documento são baseadas no Cisco ISE Versão 3.2 e nos Serviços em Nuvem do Microsoft Azure.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

---

Procedimento

1. Navegue até All Services > Subscriptions. Verifique se uma conta do Azure com uma assinatura ativa e um contrato empresarial com a Microsoft estão presentes.

---

2. Use a CLI do módulo Azure do Microsoft PowerShell para executar comandos para reservar espaço. Você pode consultar Como instalar o PowerShell do Azure para instalar o PowerShell e pacotes relevantes. 

3. Preencha os pré-requisitos em Solicitar cota de host para a Solução VMware do Azure para obter mais detalhes.

---

4. Crie um Grupo de Recursos logo após a assinatura. Navegando para Todos os serviços > Grupos de recursos. Clique em Add. Insira o nome do grupo de recursos.

---

---

Rede virtual e grupos de segurança

A sub-rede que requer acessibilidade à Internet deve ter a tabela de rota configurada com o próximo salto como Internet. Veja os exemplos de sub-rede pública e privada. O PAN com IP público tem atualização de feed offline e online funcionando, enquanto o PAN com IP privado deve depender de atualizações de feed offline.

---

---

Crie um par de chaves SSH

1. Use a barra de pesquisa da página inicial do Portal Web do Azure e pesquise por Chaves SSH.

---

---

2. Clique em Criar.

---

---

3. Escolha o Grupo de Recursos e o Nome da Chave. Em seguida, clique em Revisar + Criar.

---

---

4. Em seguida, clique em Criar e faça o download da Chave Privada.

---

---

Tamanhos de VM do Azure com Suporte do Cisco ISE

---

• Os tamanhos das VMs do Azure da série Fsv2 são otimizados para computação e são mais adequados para uso como PSNs para tarefas e aplicativos de computação intensa.
• Os Dsv4-series são tamanhos de VM Azure de uso geral que são mais adequados para uso como nós PAN ou MnT ou ambos e são destinados a tarefas de processamento de dados e operações de banco de dados.

Se você usar uma instância de uso geral como um PSN, os números de desempenho serão inferiores ao desempenho de uma instância otimizada para computação como um PSN. O tamanho da VM Standard_D8s_v4 deve ser usado apenas como uma PSN pequena extra.

Limitações do Cisco ISE nos Serviços em Nuvem do Microsoft Azure

• Se você criar o Cisco ISE Usando a Máquina Virtual do Azure, por padrão, o Microsoft Azure atribui endereços IP privados a VMs por meio de servidores DHCP. Antes de criar uma implantação do Cisco ISE no Microsoft Azure, você deve atualizar as entradas de DNS de encaminhamento e reversão com os endereços IP atribuídos pelo Microsoft Azure.

• Como alternativa, após instalar o Cisco ISE, atribua um endereço IP estático à sua VM atualizando o objeto de Interface de Rede no Microsoft Azure:

  1. Pare a VM.

  2. Na área Configurações do endereço IP privado da VM, na área Atribuição, clique em Estático.

  3. Reinicie a VM.

  4. No console serial do Cisco ISE, atribua o endereço IP como Gi0.

  5. Reinicie o servidor de aplicativos Cisco ISE.

• A NIC dupla é suportada com apenas duas NICs — Gigabit Ethernet 0 e Gigabit Ethernet 1. Para configurar uma NIC secundária em sua instância do Cisco ISE, você deve primeiro criar um objeto de interface de rede no Azure, desligar sua instância do Cisco ISE e, em seguida, anexar esse objeto de interface de rede ao Cisco ISE. Depois de instalar e iniciar o Cisco ISE no Azure, use a CLI do Cisco ISE para configurar manualmente o endereço IP do objeto de interface de rede como a NIC secundária.

• O fluxo de trabalho de atualização do Cisco ISE não está disponível no Cisco ISE no Microsoft Azure. Somente instalações novas são suportadas. No entanto, você pode fazer backup e restauração dos dados de configuração.
• A nuvem pública suporta apenas recursos da camada 3. Os nós do Cisco ISE no Microsoft Azure não oferecem suporte às funções do Cisco ISE que dependem dos recursos da Camada 2. Por exemplo, trabalhar com testes de perfil de SPAN de DHCP e funções de protocolo CDP através da CLI do Cisco ISE são funções que não são suportadas atualmente.
• Quando você executar a função de restauração e backup dos dados de configuração, após a conclusão da operação de backup, reinicie primeiro o Cisco ISE por meio da CLI. Em seguida, inicie a operação de restauração na GUI do Cisco ISE.
• O acesso SSH ao Cisco ISE CLI usando a autenticação baseada em senha não tem suporte no Azure. Você só pode acessar a CLI do Cisco ISE por meio de um par de chaves, e esse par de chaves deve ser armazenado com segurança. Se você estiver usando um arquivo de chave privada (ou PEM) e perder o arquivo, não poderá acessar a CLI do Cisco ISE. Não há suporte para qualquer integração que use um método de autenticação baseado em senha para acessar a CLI do Cisco ISE (Cisco DNA Center versão 2.1.2 e anterior).

• As implantações do Cisco ISE IOS® no Azure normalmente aproveitam soluções de VPN como Redes Virtuais Privadas Multiponto Dinâmicas (DMVPN) e Redes de Longa Distância Definidas por Software (SD-WAN), onde as sobrecargas de túnel IPSec podem causar problemas de MTU e fragmentação. Nesses cenários, o Cisco ISE IOS® não recebe pacotes RADIUS completos e ocorre uma falha de autenticação sem disparar um registro de erros de falha.

  • Uma solução possível é buscar o suporte técnico da Microsoft para explorar quaisquer soluções no Azure que possam permitir que fragmentos com problemas passem para o destino em vez de serem descartados.

• Um usuário Admin CLI deve ser 'iseadmin'.

---

Configurar

Exemplo de implantação do ISE conectada à nuvem do Azure

---

Configurações

1. Navegue até o Portal do Azure e faça logon em sua conta do Microsoft Azure.

---

---

2. Use o campo de pesquisa na parte superior da janela para procurar o Marketplace.

---

---

3. Use o campo de pesquisa Pesquisar no Marketplace para pesquisar o Cisco Identity Services Engine (ISE).

---

---

4. Clique em Máquina Virtual.

---

---

5. Na nova janela, clique em Criar.

---

---

6. Na guia Básico:

• Na área Detalhes do projeto, escolha os valores necessários nas listas suspensas Inscrição e Grupo de recursos.
• Na área Detalhes da instância, insira um valor no campo Nome da máquina virtual.
• Na lista suspensa Imagem, escolha a Imagem do Cisco ISE. 
• Na lista suspensa Size, escolha o tamanho da instância com a qual deseja instalar o Cisco ISE. Escolha uma instância com suporte do Cisco ISE, conforme listado na tabela intitulada Azure Cloud.

---

As instâncias suportadas pelo Cisco ISE estão listadas na seção Cisco ISE na Nuvem do Azure.

    e. Na área Administrator Account > Authentication type, clique no botão de opção SSH Public Key.

    f.  No campo Username, insira iseadmin. 

    g. Na lista suspensa Fonte de chave pública SSH, escolha Usar chave existente armazenada no Azure. 

    h. Na lista suspensa Chaves armazenadas, escolha o par de chaves que você criou como pré-requisito para essa tarefa.

    j)  Na área Inbound port rules, clique no botão de opção Allow seleted ports. 

    k) Na área Licenciamento, na lista suspensa Tipo de licenciamento, escolha Outro.

Criar uma Máquina Virtual

---

7. Clique em Próximo: Discos.

---

---

8. Na guia Discos, mantenha os valores padrão para os campos obrigatórios e clique em Próximo: Redes.

---

---

---

9. Na área Interface de Rede, nas listas suspensas Rede Virtual, Sub-rede e Configurar Grupo de Segurança de Rede, escolha a rede virtual e a sub-rede que você criou.

---

---

---

10. Clique em Próximo: Gerenciamento.

---

---

11. Na guia Gerenciamento, mantenha os valores padrão para os campos obrigatórios e clique em Próximo: Avançado.

---

---

12. Na área Dados do Usuário, marque a caixa de seleção Ativar Dados do Usuário.

• No campo Dados do usuário, preencha estas informações:
  •     hostname=<hostname do Cisco ISE> 
  •     primary nameserver=<endereço IPv4> 
  •     dnsdomain=<domain name> 
  •     ntpserver=<Endereço IPv4 ou FQDN do servidor NTP> 
  •     timezone=<timezone>
  •     password=<password> 
  •     ersapi=<yes/no>
  •     openapi=<yes/no>
  •     pxGrid=<yes/no>
  •     pxgrid_cloud=<yes/no>

---

---

Consulte as Diretrizes para as configurações que você deve enviar por meio do campo de dados do usuário:

• hostname: Digite um nome de host que contenha somente caracteres alfanuméricos e hífens (-). O comprimento do nome do host não deve exceder 19 caracteres e não pode conter sublinhados (_).
• servidor de nome principal: Insira o endereço IP do servidor de nome primário. Somente endereços IPv4 são suportados. Você pode adicionar apenas um servidor DNS nesta etapa. Você pode adicionar servidores DNS adicionais por meio da CLI do Cisco ISE após a instalação.
• dnsdomain: Insira o FQDN do domínio DNS. A entrada pode conter caracteres ASCII, numerais, hífens (-) e pontos (.).
• ntpserver: Insira o endereço IPv4 ou o FQDN do servidor NTP que deve ser usado para a sincronização. Você pode adicionar apenas um servidor NTP nesta etapa. Você pode adicionar servidores NTP adicionais por meio da CLI do Cisco ISE após a instalação. Use um Servidor NTP válido e acessível, pois ele é necessário para operações do ISE.
• fuso horário: Insira um fuso horário, por exemplo, EST/UTC. É recomendável que você configure todos os nós do Cisco ISE para o fuso horário UTC, especialmente se os nós do Cisco ISE estiverem instalados em uma implantação distribuída. Este procedimento garante que os timestamps de relatórios e logs de vários nós em sua implantação estejam sempre sincronizados.
• senha: configure uma senha para o login baseado em GUI no Cisco ISE. A senha inserida deve estar em conformidade com a política de senha do Cisco ISE. A senha deve conter de 6 a 25 caracteres e incluir pelo menos um número, uma letra maiúscula e uma letra minúscula. A senha não pode ser igual ao nome de usuário ou seu inverso (iseadmin ou nimdaesi), cisco ou ocsic. Os caracteres especiais permitidos são @~*!,+=_-. Consulte a seção 'User Password Policy' no capítulo 'Basic Setup' do Cisco ISE Administrator Guide para obter a sua versão. 
• ersapi: Insira yes para habilitar o ERS ou no para desabilitar o ERS.
• openapi: Insira yes para habilitar OpenAPI ou no para não permitir OpenAPI. 
• pxGrid: Digite yes para ativar o pxGrid ou no para não permitir o pxGrid. 
• pxgrid_cloud: Digite yes para habilitar a nuvem pxGrid ou no para não permitir a nuvem pxGrid. Para habilitar o pxGrid Cloud, você deve habilitar o pxGrid. Se você não permitir o pxGrid, mas ativar o pxGrid Cloud, os serviços do pxGrid Cloud não serão ativados na inicialização.

---

Seção Dados do Usuário

---

13. Clique em Próximo: Tags.

---

---

14. Criar pares nome-valor que permitam categorizar recursos e consolidar vários recursos e grupos de recursos; insira valores nos campos Nome e Valor. 

---

---

15. Clique em Próximo: Revisar + Criar.

---

---

16. Revise as informações fornecidas até agora e clique em Criar. A janela Disponibilização está em Andamento será exibida. Leva aproximadamente 30 minutos para a instância do Cisco ISE ser criada e disponibilizada para uso. A instância da VM do Cisco ISE é exibida na janela Virtual Machines (use o campo de pesquisa principal para localizar a janela).

---

---

---

O que fazer em seguida

Devido a uma configuração padrão do Microsoft Azure, a VM do Cisco ISE que você criou está configurada com apenas um tamanho de disco de 300 GB. Os nós do Cisco ISE normalmente exigem mais de 300 GB de tamanho de disco. Você pode ver o alarme Memória Virtual Insuficiente quando inicia o Cisco ISE pela primeira vez a partir do Microsoft Azure.

Após a conclusão da criação da VM do Cisco ISE, faça login no portal de administração do Cisco ISE para verificar se o Cisco ISE está configurado. Em seguida, no Portal do Microsoft Azure, execute e conclua as etapas na janela Máquinas Virtuais para editar o tamanho do disco:

---

1. Pare a instância do Cisco ISE.

---

---

2. Clique em Disco no painel esquerdo e clique no disco que você está usando com o Cisco ISE.

---

---

3. Clique em Tamanho + Desempenho no painel esquerdo.

---

---

4. No campo Tamanho de Disco Personalizado, informe o tamanho do disco desejado em GiB.

---

---

Tarefas de pós-instalação

Para obter informações sobre as tarefas de pós-instalação que você deve realizar após criar com êxito uma instância do Cisco ISE, consulte os capítulos 'Verificação da instalação e tarefas de pós-instalação' no Guia de instalação do Cisco ISE para sua versão do Cisco ISE.

---

Recuperação e Redefinição de Senha na Nuvem do Azure

Conclua as tarefas que ajudam você a redefinir ou recuperar sua senha da máquina virtual do Cisco ISE. Escolha as tarefas necessárias e execute as etapas detalhadas.

Redefina a senha da GUI do Cisco ISE através do console serial

1. Faça logon na Nuvem do Azure e escolha o grupo de recursos que contém sua Máquina Virtual do Cisco ISE.

2. Na lista de recursos, clique na instância do Cisco ISE para a qual deseja redefinir a senha.

3. No menu à esquerda, na seção Suporte + Solução de problemas, clique em Console Serial.

---

---

4. Se aparecer uma mensagem de erro, você deve ativar o diagnóstico de inicialização executando estas etapas:

• No menu do lado esquerdo, clique em Boot Diagnostics.

---

---

• Clique em Habilitar com uma Conta de Armazenamento Personalizada. Click Save.

---

---

5. No menu do lado esquerdo, na seção Suporte + Solução de Problemas, clique em Console Serial. O Shell de Nuvem do Azure é exibido em uma nova janela. Se a tela estiver preta ou em branco, pressione Enter para exibir o prompt de login.

---

---

6. Inicie sessão no console serial. Para fazer login no console serial, você deve usar a senha original que foi configurada na instalação da instância.

---

7. Execute o comando application reset-passwd ise iseadmin para configurar uma nova senha da GUI para a conta iseadmin.

---

Crie um novo par de chaves públicas para acesso SSH

Por meio dessa tarefa, você pode adicionar outros pares de chaves a um repositório. O par de chaves existente que foi criado no momento da configuração da instância do Cisco ISE não é substituído pela nova chave pública que você criou.

---

1. Crie uma nova chave pública na Nuvem do Azure.

---

---

2. Você recebe uma janela pop-up para escolher Baixar chave privada e criar um recurso que faz o download da chave SSH como um arquivo .pem.

---

---

3. Para criar um novo repositório para salvar a chave pública, consulte a documentação do Azure Repos. Se você já tiver um repositório que possa ser acessado através do CLI, vá para a Etapa 3.

---

4. Para importar a nova Chave Pública, execute o comando crypto key import <nome do arquivo da chave pública> repository <nome do repositório>.

---

5. Quando a importação estiver concluída, você poderá fazer login no Cisco ISE via SSH usando a nova chave pública.

Histórico de revisões

Revisão	Data de publicação	Comentários
2.0	08-Oct-2026	Ortografia, gramática e espaçamento atualizados, espaçamento horizontal inserido em seções separadas para facilitar a leitura, alertas fixos do CCW e texto alternativo atualizado.
1.0	04-Oct-2023	Versão inicial