配置与VMware vCenter的ISE工作负载连接器集成

简介

本文档介绍如何配置适用于VMware vCenter的Cisco ISE工作负载连接器以导入工作负载上下文和实施基于组的分段。

先决条件

要求

Cisco 建议您了解以下主题：

• Cisco ISE管理
• VMware vCenter管理
• Cisco TrustSec概念，包括安全组标记(SGT)、SGT交换协议(SXP)和pxGrid

添加vCenter工作负载连接之前，请确认满足这些条件。

思科ISE

• pxGrid在部署中的至少一个节点上启用。
• 在部署中的至少一个节点上启用SXP。

VMware vCenter

• 具有只读权限的vCenter帐户可用。连接器仅执行读取操作。
• 已确定要导入的vCenter属性或标记。本文档使用os属性作为示例。

连接性

• Cisco ISE可以使用稳定的互联网连接，因为Cisco ISE可以访问public.ecr.aws，这是工作负载连接器功能所必需的。如果路径中存在代理服务器或防火墙，则允许思科ISE和此URL之间的HTTPS（TCP端口443）流量。如果此URL无法访问，则工作负荷连接器将无法按预期工作。
• 如果代理用于互联网访问，并且vCenter部署在本地，请为vCenter IP地址配置代理旁路。

证书

• 如果使用证书验证，为vCenter输入的FQDN或IP地址必须与vCenter终端证书的主题备用名称(SAN)匹配。
• vCenter根证书必须可用于导入思科ISE受信任证书库。

使用的组件

本文档中的信息基于以下软件和硬件版本：

• 思科身份服务引擎(ISE)，版本3.4，用于连接器配置和验证过程
• 思科身份服务引擎(ISE)，版本3.5补丁3，仅用于情景可视性过程
• VMware vCenter Server 8.0更新3

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

现代数据中心是动态的。虚拟机(VM)会不断创建、移动和停用，其IP地址也会随之改变。依赖静态IP地址或子网的安全策略无法跟上这种变化速度，这就造成了实施和可见性方面的差距。

思科ISE通过通用策略框架及其工作负载连接器解决此问题。工作负载连接器可建立到数据中心或云平台的安全连接，导入在其中运行的应用工作负载的情景，将该情景规范化为SGT，并与网络的其余部分共享结果，以便针对该情景编写策略。

vCenter已经通过一组属性描述了每个虚拟机，例如访客操作系统、其连接的端口组及其电源状态。VMware管理员使用承载元数据（如环境、应用层、所有者或业务部门）的自定义标记扩展该描述。vCenter Workload Connector会导入这两个SGT，并将其转换为SGT。这带来了三种结果：

• 策略基于工作负载。当VM移动或重新寻址时，属性派生的SGT会保留在其中，因此分段将继续工作，无需手动更新。
• 现有情景将被重用。Cisco ISE使用vCenter已维护的属性和标记，因此无需新的分类方案。
• 分段是一致的。SGT分布于启用TrustSec的网络中，因此相同的策略应用于每个实施点。

本文档始终使用单个运行示例。vCenter为每个虚拟机报告的os属性(在本实验中读取CentOS 4/5（64位）)导入到Cisco ISE并与IP地址条件相结合，因此匹配的工作负载会自动放入Production_Servers安全组中。然后，这些工作负载按组成员资格划分，而不是通过手动跟踪的IP地址划分。相同的过程适用于vCenter公开的任何其他属性或自定义标记。

关键术语

期限	定义
Trustsec	思科基于组的分段技术，其中策略针对组而非IP地址编写。
SGT（安全组标记）	代表组（如生产工作负载）的标记，用作策略实施的基础。
SXP（SGT交换协议）	用于将IP到SGT绑定分发到实施设备的协议。
pxGrid	用于在Cisco ISE和其他系统之间共享情景（例如会话和SGT）的思科平台。
通用策略	思科ISE框架连接到数据中心和云，将其情景规范化为SGT，并在域之间共享它。
工作负载连接器	连接到vCenter、AWS、Azure、GCP或ACI并导入工作负载上下文的Cisco ISE组件。

使用的占位符

方括号中的值是占位符。用适用于您的环境的值替换它们。

占位符	描述
[VCENTER_FQDN]	vCenter服务器的完全限定域名。
[VCENTER_IP_ADDRESS]	vCenter服务器的IP地址。
[用户名]	vCenter只读帐户用户名。
[密码]	vCenter只读帐户密码。
[SGT_NAME]	由分类规则分配的安全组标记的名称。
[VM_NAME]	vCenter中虚拟机的名称。
[VM_UUID]	vCenter中虚拟机的UUID。
[VM_ID]	虚拟机的vCenter托管对象引用。
[主机ID]	ESXi主机的vCenter托管对象引用。
[NETWORK_NAME]	vCenter端口组或网络的名称。

本文档中的映像来自使用工作负载连接名称LAB_VCenter、vCenter地址192.168.1.50和工作负载子网192.168.10.0/24的实验。请替换适用于您的环境的命名和编址。

配置

网络图

该集成可在以下五个阶段将vCenter元数据转换为可执行的策略：

1. Cisco ISE vCenter工作负载连接器从vCenter读取工作负载属性和标记。
2. 所选属性将添加到思科ISE属性词典，以便在规则中引用它们。
3. 工作负载分类规则评估这些属性，并为每个工作负载分配一个主要SGT，或者一个或多个辅助SGT（可选）。
4. 思科ISE获取IP到SGT绑定，并通过SXP和pxGrid发布这些绑定。入站和出站SGT域规则控制接收绑定的SGT域及其共享位置。
5. 实施点应用SGT来允许或拒绝流量。

跨三个域的Cisco ISE vCenter工作负载连接器数据流。vCenter提供工作负载属性（IP、OS、VMID、VM名称）；思科ISE将其存储在属性词典中，应用工作负载分类规则分配主要和辅助SGT，并导出IP-SGT绑定；通过pxGrid和SXP将绑定共享到实施点
配置

步骤1.添加vCenter工作负载连接

1. 在Cisco ISE GUI中，单击Menu图标并选择Work Centers > TrustSec > Integrations > Workload Connectors > Workload Connections。
2. 单击Add Connection。

未配置任何连接的工作负载连接页面，显示Add Connection按钮

3. 单击开始执行操作。

工作量连接向导“欢迎”页，显示向导的欢迎、工作量平台、配置和摘要阶段

4. 在选择工作负载平台页面上，选择vCenter，然后单击下一步。

选择在ACI、AWS、Azure和GCP平台中选择了vCenter选项的工作负载平台页面

5. 在创建工作负载连接页面上，思科ISE检查工作负载连接器服务是否正在运行，然后接受任何连接详细信息。

如果服务尚未运行，该页会报告Workload Connector Services are not running。

“创建工作量连接”页报告工作量连接器服务未运行

然后Cisco ISE自动启动服务并显示进度。

显示Workload Connector服务启动的“创建工作负荷连接”页

等到页面报告工作负载连接器服务正在运行。连接详细信息字段只能在此检查成功后完成。

“创建工作量连接”页，确认工作量连接器服务正在运行

6. 输入连接详细信息：

字段	描述
工作负载连接名称	使用字母、数字和下划线的唯一名称。最多32个字符，无空格。本示例使用LAB_VCenter。
描述	连接的说明。
同步间隔	Cisco ISE从vCenter刷新数据的频率。有效范围为60秒至7天。默认值为15分钟。时间间隔越短，刷新数据的频率越高，但会影响性能。
FQDN或IP地址	vCenter的主机名或IP地址，例如[VCENTER_FQDN]或[VCENTER_IP_ADDRESS]。此值必须与vCenter终端证书的主题备用名称匹配。
用户	vCenter帐户用户名[USERNAME]。
密码	vCenter帐户密码[PASSWORD]。
验证vCenter证书	可选。验证证书并将vCenter根证书导入思科ISE受信任证书库。在导入过程中，还要选中Trust for authentication of Cisco Services。建议对生产环境进行证书验证。

“创建工作负荷连接”页，其中已填写的vCenter连接详细信息字段和已选中“验证vCenter证书”复选框
在此图像中，User字段显示占位符。输入适用于您的环境的凭证。

7. 单击 Next。思科ISE测试连接并确认结果消息Test connection is successful。

成功通知，确认与vCenter的测试连接成功
成功通知，确认与vCenter的测试连接成功

8. 在Manage Attributes页面上，选择要添加到Cisco ISE词典的vCenter属性。对于此示例，请确保包括os属性。然后，单击下一步。

• 要一次性包含每个学习的属性，请启用Include All in Dictionary切换。
• 要重命名属性，请编辑Attribute Name in Dictionary字段。
• 必须至少添加一个属性，然后才能继续。
• 包含特殊字符(如^、=、"、\、 |、:、[或]无效，无法添加。

“管理属性”页面，其中启用了“包括在字典中”切换并列出了已学习的vCenter属性

滚动列表以查看连接从vCenter获取的每个属性，例如vmid、uuid、os、网络、macAddress、VM名称、主机、电源和guest.guestFullName。

Manage Attributes页面滚动显示已学习的vCenter属性和记录计数的完整列表

9. 在摘要页面上，查看配置。单击任何部分旁边的Edit以更改其值。

显示所选V-CENTER工作负载平台和字典中包含的属性的摘要页面

10. Click Create.思科ISE确认结果消息Connection successfully created。

确认已创建工作负载连接的成功通知

新的vCenter连接器显示在“工作负载连接”页面上。当思科ISE与vCenter建立会话时，状态为Connecting。

“工作负荷连接”页列出处于连接状态的新vCenter连接器

步骤2.将vCenter属性添加到词典（可选）

仅当您想要添加自定义属性时完成此步骤。您在Manage Attributes步骤中选择的属性会自动添加到vCenter词典中，因此集成功能在此处没有任何操作。创建连接后，也可随时管理字典属性：

1. 选择Work Centers > TrustSec > Integrations > Workload Connectors。
2. 单击属性字典。
3. 单击Add Attribute。
4. 启用Include in Dictionary切换。
5. 在Workload Attribute字段中，输入属性名称，例如os。
6. 在Attribute Name in Dictionary字段中，输入要显示的名称。
7. Click Save.

请注意以下字典行为：

• 每个连接类型创建一个词典。所有vCenter连接器共享一个vCenter词典。
• 删除连接时，不会自动删除属性。任何未使用的属性都可以手动删除。
• 可以从提供程序导入属性，可以手动添加提供程序中不存在的属性。

步骤3.将工作负载分类到SGT

工作负载分类规则评估工作负载属性（包括已导入的vCenter标记）并分配SGT。此步骤提供集成的分段价值。

SGT分配行为如下所述：

• 主SGT在pxGrid会话主题中标记为Security Group，用于通过SXP发布IP到SGT的映射。
• 在pxGrid会话主题中，辅助SGT以有序数组的形式包含在辅助安全组中。
• 如果多个规则匹配并分配多个主要SGT，则只有第一个分配的SGT被视为主要。其余的SGT成为次要的。

要为此示例创建分类规则，请执行以下操作：

1. 选择Work Centers > TrustSec > Integrations > Workload Classification。
2. 点击添加分类规则。
3. 在RULE SETTINGS区域中，输入Rule Name，并将Status设置为Enabled。
4. 在AUTHORIZATION CONFIGURATION区域中，从Primary SGT下拉列表中，选择规则分配的SGT，例如[SGT_NAME]。此示例分配Production_Servers SGT。
5. 或者，从辅助SGT（可选）下拉列表中选择一个或多个辅助SGT。
6. 在RULE CONFIGURATION区域中，生成匹配条件。从attribute下拉列表中，选择导入的vCenter属性（例如Vcenter - os），选择Equals运算符，然后输入要匹配的值。此示例匹配CentOS 4/5（64位）。
7. 要进一步缩小规则范围，请单击Add Condition，并将条件与AND或OR组合起来。本示例添加一个IP Address条件，该条件使用IP Equals运算符将规则限制为单个主机地址192.168.10.33/32。
8. 或者，点击Preview查看规则匹配的SGT详细信息和工作负载。
9. 单击 Add。

当vCenter os属性等于CentOS 4/5（64位）且IP地址等于192.168.10.33/32时，添加“分类规则”(Add Classification Rule)页面分配Production_Servers主SGT

对要分类的每个其他工作负载组重复这些步骤，并为每个规则分配不同的主SGT。

请注意以下规则行为：

• 规则可通过拖放进行重新排序。顺序决定优先级。
• 可以在现有规则之前或之后插入新规则或重复规则。
• 默认分类规则始终位于列表底部，默认情况下处于禁用状态，并映射到Unknown主SGT。
• 使用Preview选项在保存之前查看SGT详细信息和匹配规则。

步骤4.使用入站和出站SGT域规则路由绑定

SGT域控制网络哪些部分接收特定的SGT绑定。如果未定义入站规则，将从工作负载连接器接收的绑定发送到默认SGT域。

添加入站SGT域规则：

1. 选择Work Centers > TrustSec > SXP > Inbound & Outbound SGT Domain Rules。
2. 在Inbound SGT Domain Rules选项卡上，点击Add Inbound Rule。
3. 在Rule Settings区域中，输入规则名称。
4. 单击Enabled。
5. 从Destination下拉列表中，选择必须接收绑定的SGT域。要添加域，请使用创建SGT域。
6. 在Rule Configuration区域中，从属性（例如SGT Name、Source、IP Address）或添加到字典的任何vCenter属性（例如os）构建条件。根据需要将条件与AND和OR相结合。
7. 单击Add，然后单击Save。

添加出站SGT域规则：

1. 在同一页面上，打开Outbound SGT Domain Rules选项卡，然后点击Add Outbound Rule。
2. 输入规则名称，然后单击Enabled。
3. 从Destination下拉列表中，选择SGT必须发送到的目标。
4. 在Rule Configuration区域中，从SGT Domains、SGT Name或IP Address构建条件。
5. 或者，在Contract Configuration区域中，为共享安全组分配已使用和已提供的合同。
6. 单击Add，然后单击Save。

在添加或编辑入站和出站规则时，使用Preview选项查看匹配的IP-SGT绑定。

验证

使用本部分可确认配置能否正常运行。

检验连接状态

选择Work Centers > TrustSec > Integrations > Workload Connectors > Workload Connections，并确认列出的vCenter连接状态为Connected。在此页面中，您还可以重新连接、暂停或删除连接。

显示“已连接”状态的vCenter连接器、收到的SGT绑定计数、同步间隔和上次更新时间的“工作负荷连接”页

Received SGT Bindings列在此映像中读取0，因为捕获是在任何分类规则与工作负载匹配之前获取的。Connected状态加上零绑定计数意味着思科ISE成功到达vCenter，但尚未为任何内容分配SGT。在规则匹配后，此列报告思科ISE派生的绑定数量。

检验安全组

选择Work Centers > TrustSec > Components > Security Groups，并确认存在预期的SGT。对于此示例，请确认Production_Servers SGT存在。

验证IP-SGT绑定

选择Work Centers > TrustSec > SXP > SGT Bindings，并确认工作负载IP地址已绑定到具有正确源和应用的分类规则的正确SGT。

验证工作负荷实时会话

选择Operations > Workloads > Live Session，这将打开Workload Live Sessions页面。只能在主要策略管理节点(PAN)上查看实时会话。 在此页面上，会话可以按连接器类型过滤，列可以显示、隐藏和重新排列，结果可以排序，过滤器可以保存，数据可以以CSV或PDF格式导出。

工作负荷实时会话表列出了每个已了解的工作负荷的一行，其中包含Initiated timestamp、SGT Bindings IP address、空SGT Name、Secondary SGTs和Destinations列、Source connection name LAB_VCenter以及读取Default Filter和default的入站SGT域规则和SGT域链接

每行代表思科ISE从连接器获知的一个工作负载。使用以下列确认集成：

列	确认的内容
已启动	思科ISE获知会话的时间。最近的时间戳确认连接器正在轮询。
SGT绑定	思科ISE从vCenter接收的工作负载IP地址。
来源	报告会话的工作负载连接。确认数据来自哪个连接器。
入站SGT域规则和SGT域	应用于会话的域规则和SGT域。选择链接以查看匹配的规则。
SGT名称、辅助SGT和工作负载分类规则	分配给工作负载的SGT和分配工作负载的规则。对于没有分类规则匹配的工作负载，这些列保持为空。

使用页面右上角裁剪区域右侧的Refresh、Show和Within控件设置刷新间隔、记录计数和时间窗口。

在此映像中，当SGT名称和辅助SGT在每一行都为空时，将完全填充SGT绑定列，因为捕获是在匹配分类规则之前进行的。位于裁剪区域外部的Workload Classification Rules列因相同原因为空。这种组合本身就是一种有用的诊断方法：它确认连接器正在从vCenter正确检索工作负载，并且问题出在规则条件而不是连接上。当您看到它时，请返回第3步并根据情景可视性报告的属性值检查匹配值，如该步骤中的“注意”中所述。

在情景可视性中验证工作负载可视性

版本要求:Workload Connector Endpoints控制面板可从思科ISE 3.5补丁3开始使用。在Cisco ISE 3.4上，使用上一节中描述的Workload Live Sessions页面。

思科ISE在情景可视性内提供专用的工作负载连接器终端控制面板。它在单个可过滤视图中收集、分析和报告从工作负载连接器收集的终端属性数据。

打开视图：

1. 在Cisco ISE GUI中，选择情景可视性>终端。
2. 打开Workload Connector Endpoints选项卡。如果选项卡在选项卡条中不可见，请单击More。
3. 从Connector下拉列表中，选择要查看其终端的工作负载连接。

该窗口列出从工作负荷连接器获取的终端属性数据。每行按IP Address、sourceType和Connector Name标识终端。

“情景可视性”(Context Visibility)下的“工作负荷连接器端点”(Workload Connector Endpoints)视图，按IP地址、源类型和连接器名称列出vCenter工作负荷端点，其中连接器下拉列表设置为LAB_VCenter、导出选项、行/页和分页控件，总行数为23行

从此视图中，您可以：

• 过滤列表。使用列标题下方的过滤器行按IP地址、源类型或连接器名称缩小结果范围。过滤器是累加的，因此应用的每个值都会进一步细化结果集。
• 浏览结果。使用Rows/Page控件和分页箭头更改页面大小并在页面之间移动。端点总数显示在箭头右侧，此处显示为23行。
• 导出数据。单击Export下载列出的终端数据。
• 检查终端。单击终端的IP地址以打开Details幻灯片窗格。

Details窗格列出思科ISE为所选终端保留的每个属性。单击Download保存属性详细信息，或单击Cancel关闭窗格。

Details（详细信息）幻灯片窗格，标题为Details above the connector name and endpoint address（连接器名称和终端地址上方的详细信息），其中包含Cisco ISE为该虚拟机收集的vCenter属性的ATTRIBUTES列表以及Cancel（取消）和Download（下载）控件

窗格由工作负载连接名称和终端地址标识，此处显示为LAB_VCenter_192.168.10.1。对于vCenter工作负载终端，属性包括从vCenter获取的虚拟机属性，例如Power、VM-Name、host、macAddress、network、os、uuuid、vmid和vmtype，以及连接器元数据correlationId、source、ipAddress、connectorType和SourceType。您添加到词典的所有自定义vCenter标记也会显示在此处。

此窗格是分类规则必须匹配的值的授权源，首先检查它可防止此工作流程中出现最常见的故障。在此图中，操作系统读取CentOS 4/5（64位），它是等式条件必须重复的完整字符串。在步骤3中编写规则之前，请在此处阅读该值，而不是采用CentOS等简写形式。

故障排除

本部分提供的信息可用于对配置进行故障排除。

常见问题

症状	可能的原因	操作
在连接器设置期间测试连接失败	一个或多个连接详细信息不正确，或者未满足必备条件	验证FQDN或IP地址并确认它与证书SAN匹配。验证用户名和密码，检查证书验证设置，并确认满足代理旁路和时间同步前提条件。
已创建连接器，但未导入数据	思科ISE无法访问public.ecr.aws	确认代理或防火墙允许TCP端口443上的HTTPS流量访问此URL。
导入工作负载，但未分配SGT，且已接收的SGT绑定将保持为0。	分类规则条件与实际属性值不匹配。针对部分值(例如CentOS而不是CentOS 4/5（64位）)测试的Equals条件是最常见的原因	在Context Visibility中打开Details窗格，读取确切的属性值，然后更正规则条件或将运算符更改为Contains。此失败是静默的：不会发出警报，因为连接器本身运行正常。
连接进入Suspended状态	已删除与连接关联的所有SGT	重新创建所需的SGT并重新建立连接。在连接暂停时，删除相关的SXP绑定和MnT会话数据。
PSN重新启动后缺少连接详细信息	未重新填充会话数据	暂停连接，然后重新连接。

启用调试日志

在PAN、SXP和pxGrid节点上，通过操作>故障排除>调试向导>调试配置文件配置，将工作负载连接器组件的调试日志严重性设置为DEBUG。

以下日志文件位于/opt/CSCOcpm/logs中：

日志文件	内容
workloads.log	工作负载连接器操作。
workload-conn/*.log	每个连接日志。
api-service.log	API服务活动。
ise-psc.log	思科ISE策略服务活动。
pxgriddirect-service.log	pxGrid直接服务活动。
sxp_appserver/sxp.log	SXP绑定分发。

警报

思科ISE为vCenter和其他云连接器生成以下警报：

警报	引发时间
工作负荷连接创建/连接失败	在恢复、促销或HA事件或升级等事件之后，连接器创建失败。
工作负荷连接删除失败	连接器删除失败。
工作负载连接服务错误	发生另一个相关的服务故障。

相关信息

• Cisco ISE通用策略和工作负载连接器
• Cisco ISE所需的互联网URL
• Cisco ISE 3.5管理员指南
• 思科技术支持和下载

修订历史记录

版本	发布日期	备注
1.0	26-Aug-2026	初始版本