???VMware vCenter?ISE?????????
Author: Cisco Systems, Inc.
Date: 2026-09-01T05:00:00+00:00
Description: ????????????VMware vCenter?Cisco ISE????????????????/?????????

目录

简介

先决条件

要求

思科ISE

VMware vCenter

连接性

证书

使用的组件

背景信息

关键术语

使用的占位符

配置

网络图

配置

步骤1.添加vCenter工作负载连接

步骤2.将vCenter属性添加到词典（可选）

步骤3.将工作负载分类到SGT

步骤4.使用入站和出站SGT域规则路由绑定

验证

检验连接状态

检验安全组

验证IP-SGT绑定

验证工作负荷实时会话

在情景可视性中验证工作负载可视性

故障排除

常见问题

启用调试日志

警报

相关信息

简介

本文档介绍如何配置适用于VMware vCenter的Cisco ISE工作负载连接器以导入工作负载环境/实施基于组的分段。

先决条件

要求

Cisco 建议您了解以下主题：

- Cisco ISE管理

- VMware vCenter管理

- Cisco TrustSec概念，包括安全组标记(SGT)、SGT交换协议(SXP)和pxGrid

添加vCenter工作负载连接之前，请确认满足这些条件。

思科ISE

- pxGrid在部署中的至少一个节点上启用。

- 在部署中的至少一个节点上启用SXP。

VMware vCenter

- 具有只读权限的vCenter帐户可用。连接器仅执行读取操作。

- 已确定要导入的vCenter属性或标记。本文档使用os属性作为示例。

连接性

- Cisco ISE可以使用稳定的互联网连接，因为Cisco ISE可以访问public.ecr.aws，这是工作负载连接器功能所必需的。如果路径中存在代理服务器或防火墙，则允许思科ISE和此URL之间的HTTPS（TCP端口443）流量。如果此URL无法访问，则工作负荷连接器将无法按预期工作。

- 如果代理用于互联网访问，并且vCenter部署在本地，请为vCenter IP地址配置代理旁路。

证书

- 如果使用证书验证，为vCenter输入的FQDN或IP地址必须与vCenter终端证书的主题备用名称(SAN)匹配。

- vCenter根证书必须可用于导入思科ISE受信任证书库。

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 思科身份服务引擎(ISE)，版本3.4，用于连接器配置和验证过程

- 思科身份服务引擎(ISE)，版本3.5补丁3，仅用于情景可视性过程

- VMware vCenter Server 8.0更新3

注意：情景可视性中的Workload Connector Endpoints控制面板需要Cisco ISE 3.5补丁3或更高版本，因此该版本捕获了该部分中的两个映像。本文档中的每个其他程序和映像都来自思科ISE 3.4。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

现代数据中心是动态的。虚拟机(VM)会不断创建、移动和停用，其IP地址也会随之改变。依赖静态IP地址或子网的安全策略无法跟上这种变化速度，这就造成了实施和可见性方面的差距。

思科ISE通过通用策略框架及其工作负载连接器解决此问题。工作负载连接器可建立到数据中心或云平台的安全连接，导入在其中运行的应用工作负载的情景，将该情景规范化为SGT，并与网络的其余部分共享结果，以便针对该情景编写策略。

vCenter已经通过一组属性描述了每个虚拟机，例如访客操作系统、其连接的端口组及其电源状态。VMware管理员使用承载元数据（如环境、应用层、所有者或业务部门）的自定义标记扩展该描述。vCenter Workload Connector会导入这两个SGT，并将其转换为SGT。这带来了三种结果：

- 策略基于工作负载。当VM移动或重新寻址时，属性派生的SGT会保留在其中，因此分段将继续工作，无需手动更新。

- 现有情景将被重用。Cisco ISE使用vCenter已维护的属性和标记，因此无需新的分类方案。

- 分段是一致的。SGT分布于启用TrustSec的网络中，因此相同的策略应用于每个实施点。

本文档始终使用单个运行示例。vCenter为每个虚拟机报告的OS属性(在本实验中读取CentOS 4/5（64位）)导入到Cisco ISE并与IP地址条件相结合，因此匹配的工作负载自动放入Production_Servers安全组中。然后，这些工作负载按组成员资格划分，而不是通过手动跟踪的IP地址划分。相同的过程适用于vCenter公开的任何其他属性或自定义标记。

关键术语

注意：VMware ESXi不支持标记。因此，只能将vCenter配置为工作负载连接器。独立ESXi主机不能。

期限 | 定义
Trustsec | 思科基于组的分段技术，其中策略针对组而非IP地址编写。
SGT（安全组标记） | 代表组（如生产工作负载）的标记，用作策略实施的基础。
SXP（SGT交换协议） | 用于将IP到SGT绑定分发到实施设备的协议。
pxGrid | 用于在Cisco ISE和其他系统之间共享情景（例如会话和SGT）的思科平台。
通用策略 | 思科ISE框架连接到数据中心和云，将其情景规范化为SGT，并在域之间共享它。
工作负载连接器 | 连接到vCenter、AWS、Azure、GCP或ACI并导入工作负载上下文的Cisco ISE组件。

使用的占位符

方括号中的值是占位符。用适用于您的环境的值替换它们。

占位符 | 描述
[VCENTER_FQDN] | vCenter服务器的完全限定域名。
[VCENTER_IP_ADDRESS] | vCenter服务器的IP地址。
[用户名] | vCenter只读帐户用户名。
[密码] | vCenter只读帐户密码。
[SGT_NAME] | 由分类规则分配的安全组标记的名称。
[VM_NAME] | vCenter中虚拟机的名称。
[VM_UUID] | vCenter中虚拟机的UUID。
[VM_ID] | 虚拟机的vCenter托管对象引用。
[主机ID] | ESXi主机的vCenter托管对象引用。
[NETWORK_NAME] | vCenter端口组或网络的名称。

本文档中的映像来自使用工作负载连接名称LAB_VCenter、vCenter地址192.168.1.50和工作负载子网192.168.10.0/24的实验。请替换适用于您的环境的命名和编址。

配置

网络图

该集成可在以下五个阶段将vCenter元数据转换为可执行的策略：

1. Cisco ISE vCenter工作负载连接器从vCenter读取工作负载属性和标记。

2. 所选属性将添加到思科ISE属性词典，以便在规则中引用它们。

3. 工作负载分类规则评估这些属性，并为每个工作负载分配一个主要SGT，或者一个或多个辅助SGT。

4. 思科ISE获取IP到SGT绑定，并通过SXP和pxGrid发布这些绑定。入站和出站SGT域规则控制接收绑定的SGT域及其共享位置。

5. 实施点应用SGT来允许或拒绝流量。

跨三个域的Cisco ISE vCenter工作负载连接器数据流。vCenter提供工作负载属性（IP、OS、VMID、VM名称）；思科ISE将其存储在属性词典中，应用工作负载分类规则分配主要和辅助SGT，并导出IP-SGT绑定；通过pxGrid和SXP将绑定共享到实施点

配置

步骤1.添加vCenter工作负载连接

1. 在Cisco ISE GUI中，单击Menu图标并选择Work Centers > TrustSec > Integrations > Workload Connectors > Workload Connections。

2. 单击Add Connection。

未配置任何连接的工作负载连接页面，显示Add Connection按钮

3. 单击开始执行操作。

工作量连接向导“欢迎”页，显示向导的欢迎、工作量平台、配置和摘要阶段

4. 在选择工作负载平台页面上，选择vCenter，然后单击下一步。

选择在ACI、AWS、Azure和GCP平台中选择了vCenter选项的工作负载平台页面

5. 在创建工作负载连接页面上，思科ISE检查工作负载连接器服务是否正在运行，然后接受任何连接详细信息。

如果服务尚未运行，该页会报告Workload Connector Services not running。

“创建工作量连接”页报告工作量连接器服务未运行

然后Cisco ISE自动启动服务并显示进度。

显示Workload Connector服务启动的“创建工作负荷连接”页

等到页面报告工作负荷连接器服务正在运行。连接详细信息字段只能在此检查成功后完成。

“创建工作量连接”页，确认工作量连接器服务正在运行

6. 输入连接详细信息：

字段 | 描述
工作负载连接名称 | 使用字母、数字和下划线的唯一名称。最多32个字符，无空格。本示例使用LAB_VCenter。
描述 | 连接的说明。
同步间隔 | Cisco ISE从vCenter刷新数据的频率。有效范围为60秒至7天。默认值为15分钟。时间间隔越短，刷新数据的频率越高，但会影响性能。
FQDN或IP地址 | vCenter的主机名或IP地址，例如[VCENTER_FQDN]或[VCENTER_IP_ADDRESS]。此值必须与vCenter终端证书的主题备用名称匹配。
用户 | vCenter帐户用户名[USERNAME]。
密码 | vCenter帐户密码[PASSWORD]。
验证vCenter证书 | 可选。验证证书并将vCenter根证书导入思科ISE受信任证书库。在导入过程中，还要选中Trust以对思科服务进行身份验证。建议对生产环境进行证书验证。

“创建工作负荷连接”页，其中已填写的vCenter连接详细信息字段和已选中“验证vCenter证书”复选框

在此图像中，“用户”字段显示占位符。输入适用于您的环境的凭证。

注意：思科ISE验证您输入的信息。如果任何详细信息不正确，思科ISE会返回错误“测试连接失败”。

7. 单击 Next。思科ISE测试连接并确认结果消息Test connection is successful。

成功通知，确认与vCenter的测试连接成功

成功通知，确认与vCenter的测试连接成功

8. 在Manage Attributes页面上，选择vCenter 属性以添加到Cisco ISE词典。对于此示例，请确保包括os属性。然后，单击下一步。

- 要一次性包含每个学习的属性，请启用Include All in Dictionary切换。

- 要重命名属性，请编辑Attribute Name in Dictionary字段。

- 必须至少添加一个属性，然后才能继续。

- 包含特殊字符(如^、=、"、\、 |、:、[或]无效，无法添加。

“管理属性”页面，其中启用了“包括在字典中”切换并列出了已学习的vCenter属性

滚动列表以查看连接从vCenter获取的每个属性，例如vmid、uuid、os、网络、macAddress、VM名称、主机、电源和guest.guestFullName。

Manage Attributes页面滚动显示已学习的vCenter属性和记录计数的完整列表

9. 在摘要页面上，查看配置。单击任何部分旁边的Edit以更改其值。

显示所选V-CENTER工作负载平台和字典中包含的属性的摘要页面

10. Click Create.思科ISE确认结果消息Connection successfully created。

确认已创建工作负载连接的成功通知

新的vCenter连接器显示在“工作负载连接”(Workload Connections)页面上。当思科ISE与vCenter建立会话时，状态为Connecting。

“工作负荷连接”页列出处于连接状态的新vCenter连接器

步骤2.将vCenter属性添加到词典（可选）

仅当您想要添加自定义属性时完成此步骤。您在“管理属性”步骤中选择的属性会自动添加到vCenter词典中，因此集成功能在此不执行任何操作。创建连接后，也可随时管理字典属性：

1. 选择Work Centers > TrustSec > Integrations > Workload Connectors。

2. 单击属性字典。

3. 单击Add Attribute。

4. 启用Include in Dictionary切换。

5. 在Workload Attribute字段中，输入attribute 名称，例如os。

6. 在Attribute Name in Dictionary字段中，输入要显示的名称。

7. Click Save.

注意：请注意以下字典行为：每个连接类型创建一个词典。所有vCenter连接器共享一个vCenter词典。删除连接时，不会自动删除属性。任何未使用的属性都可以手动删除。可以从提供程序导入属性，可以手动添加提供程序中不存在的属性。

步骤3.将工作负载分类到SGT

工作负载分类规则评估工作负载属性（包括已导入的vCenter标记）并分配SGT。此步骤提供集成的分段价值。

SGT分配行为如下所述：

- 主SGT在pxGrid会话主题中标记为“安全组”，用于通过SXP发布IP到SGT的映射。

- 辅助SGT以有序阵列（称为辅助安全组）的形式包含在pxGrid会话主题中。

- 如果多个规则匹配并分配多个主要SGT，则只有第一个分配的SGT被视为主要。其余的SGT成为次要的。

要为此示例创建分类规则，请执行以下操作：

1. 选择Work Centers > TrustSec > Integrations > Workload Classification。

2. 点击添加分类规则。

3. 在RULE SETTINGS区域中，输入Rule Name，并将Status设置为Enabled。

4. 在AUTHORIZATION CONFIGURATION区域中，从Primary SGT下拉列表中，选择规则分配的SGT，例如[SGT_NAME]。此示例分配Production_Servers SGT。

5. 或者，从Secondary SGTs(Optional)下拉列表中，选择一个或多个辅助SGTs。

6. 在RULE CONFIGURATION区域中，生成匹配条件。从attribute下拉列表中，选择导入的vCenter属性（例如Vcenter - os），选择Equals运算符，然后输入要匹配的值。此示例匹配CentOS 4/5（64位）。

7. 要进一步缩小规则范围，请单击Add Condition，并将条件与AND或OR组合起来。本示例添加一个IP Address条件，该条件使用IP Equals运算符将规则限制为单个主机地址192.168.10.33/32。

8. 或者，点击Preview查看规则匹配的SGT详细信息和工作负载。

9. 单击 Add。

警告：“等于”运算符要求完整的属性值。vCenter将访客操作系统报告为完整的描述性字符串，例如CentOS 4/5（64位），而不是短名称（例如CentOS）。根据该值测试Equals CentOS的规则永远不匹配，并且以静默方式失败：连接器继续导入工作负载，但未分配SGT。在构建规则之前（如Verify部分所述），请确认情景可视性中的确切值；如果要匹配访客操作系统系列，请使用运算符（如Contains）。

当vCenter os属性等于CentOS 4/5（64位）且IP地址等于192.168.10.33/32时，添加“分类规则”(Add Classification Rule)页面分配Production_Servers主SGT

对要分类的每个其他工作负载组重复这些步骤，并为每个规则分配不同的主SGT。

注意：了解规则行为：规则可通过拖放进行重新排序。顺序决定优先级。可以在现有规则之前或之后插入新规则或重复规则。默认分类规则始终位于列表底部，默认情况下禁用，并映射到未知主SGT。在保存之前，使用Preview选项查看SGT详细信息和匹配规则。

步骤4.使用入站和出站SGT域规则路由绑定

SGT域控制网络哪些部分接收特定的SGT绑定。如果未定义入站规则，将从工作负载连接器接收的绑定发送到默认SGT域。

添加入站SGT域规则：

1. 选择Work Centers > TrustSec > SXP > Inbound & Outbound SGT Domain Rules。

2. 在Inbound SGT Domain Rules选项卡上，点击Add Inbound Rule。

3. 在Rule Settings区域中，输入规则名称。

4. 单击Enabled。

5. 从Destination下拉列表中，选择必须接收绑定的SGT域。要添加域，请使用创建SGT域。

6. 在Rule Configuration区域中，从属性（例如SGT Name、Source、IP Address）或添加到字典的任何vCenter属性（例如os）构建条件。根据需要将条件与AND和OR相结合。

7. 单击Add，然后单击Save。

添加出站SGT域规则：

1. 在同一页面上，打开Outbound SGT Domain Rules选项卡，然后点击Add Outbound Rule。

2. 输入规则名称，然后单击Enabled。

3. 从Destination下拉列表中，选择SGT必须发送到的目标。

4. 在Rule Configuration区域中，从SGT Domains、SGT Name或IP Address构建条件。

5. 或者，在Contract Configuration区域中，为共享安全组分配Consumed和Provided合同。

6. 单击Add，然后单击Save。

在添加或编辑入站和出站规则时，使用Preview选项查看匹配的IP-SGT绑定。

验证

使用本部分可确认配置能否正常运行。

检验连接状态

选择Work Centers > TrustSec > Integrations > Workload Connectors > Workload Connections，并确认列出的vCenter连接状态为Connected。在此页面中，您还可以重新连接、暂停或删除连接。

显示“已连接”状态的vCenter连接器、收到的SGT绑定计数、同步间隔和上次更新时间的“工作负荷连接”页

Received SGT Bindings列在此映像中读作0，因为捕获是在任何分类规则与工作负载匹配之前进行的。“已连接”状态加上零绑定计数意味着思科ISE成功到达vCenter，但尚未为任何内容分配SGT。在规则匹配后，此列报告思科ISE派生的绑定数量。

检验安全组

选择Work Centers > TrustSec > Components > Security Groups，并确认存在预期的SGT。对于此示例，请确认Production_Servers SGT存在。

验证IP-SGT绑定

选择Work Centers > TrustSec > SXP > SGT Bindings，并确认工作负载IP地址已绑定到具有正确源和应用的分类规则的正确SGT。

验证工作负荷实时会话

选择Operations > Workloads > Live Session，这将打开Workload Live Sessions页面。只能在主要策略管理节点(PAN)上查看实时会话。 在此页面上，会话可以按连接器类型过滤，列可以显示、隐藏和重新排列，结果可以排序，过滤器可以保存，数据可以以CSV或PDF格式导出。

工作负荷实时会话表列出了每个已了解的工作负荷的一行，其中包含Initiated timestamp、SGT Bindings IP address、空SGT Name、Secondary SGTs和Destinations列、Source connection name LAB_VCenter以及读取Default Filter和default的入站SGT域规则和SGT域链接

注意：此捕获被裁剪到本示例中传输数据的列。出站SGT域规则和工作负载分类规则列继续位于可视区域的右侧，并且每行都为空，其外的ACI特定列也是如此。此页面是在比连接器配置页面更晚的实验会话中捕获的，因此其Initiated timestamps与之前在Workload Connections页面上显示的Last Updated Time不匹配。

每行代表思科ISE从连接器获知的一个工作负载。使用以下列确认集成：

列 | 确认的内容
已启动 | 思科ISE获知会话的时间。最近的时间戳确认连接器正在轮询。
SGT绑定 | 思科ISE从vCenter接收的工作负载IP地址。
来源 | 报告会话的工作负载连接。确认数据来自哪个连接器。
入站SGT域规则和SGT域 | 应用于会话的域规则和SGT域。选择链接以查看匹配的规则。
SGT名称、辅助SGT和工作负载分类规则 | 分配给工作负载的SGT和分配工作负载的规则。对于没有分类规则匹配的工作负载，这些列保持为空。

使用页面右上角裁剪区域右侧的Refresh、Show和Within控件设置刷新间隔、记录计数和时间窗口。

在此映像中，SGT绑定列完全填充，而SGT名称和辅助SGT在每一行都为空，因为捕获是在匹配分类规则之前获取的。位于裁剪区域之外的“工作负载分类规则”列因相同原因而为空。这种组合本身就是一种有用的诊断方法：它确认连接器正在从vCenter正确检索工作负载，并且问题出在规则条件而不是连接上。当您看到它时，请返回第3步并根据情景可视性报告的属性值检查匹配值，如该步骤中的“注意”中所述。

在情景可视性中验证工作负载可视性

版本要求：从Cisco ISE 3.5补丁3开始，可以使用Workload Connector Endpoints控制面板。在Cisco ISE 3.4上，使用上一节中描述的工作负载实时会话页面。

思科ISE在情景可视性内提供专用工作负载连接器终端控制面板。它在单个可过滤视图中收集、分析和报告从工作负载连接器收集的终端属性数据。

打开视图：

1. 在Cisco ISE GUI中，选择情景可视性>终端。

2. 打开Workload Connector Endpoints选项卡。如果选项卡在选项卡条中不可见，请单击More。

3. 从Connector下拉列表中，选择要查看其终端的工作负载连接。

该窗口列出从工作负荷连接器获取的终端属性数据。每行按IP地址、源类型和连接器名称标识终端。

“情景可视性”(Context Visibility)下的“工作负荷连接器端点”(Workload Connector Endpoints)视图，按IP地址、源类型和连接器名称列出vCenter工作负荷端点，其中连接器下拉列表设置为LAB_VCenter、导出选项、行/页和分页控件，总行数为23行

从此视图中，您可以：

- 过滤列表。使用列标题下方的过滤器行按IP地址、源类型或连接器名称缩小结果范围。过滤器是累加的，因此应用的每个值都会进一步细化结果集。

- 浏览结果。使用Rows/Page控件和分页箭头更改页面大小并在页面之间移动。端点总数显示在箭头右侧，此处显示为23行。

- 导出数据。单击Export下载列出的终端数据。

- 检查终端。单击终端的IP地址以打开详细信息幻灯片窗格。

详细信息窗格列出思科ISE为所选终端保留的每个属性。单击Download保存属性详细信息，或单击Cancel关闭窗格。

Details（详细信息）幻灯片窗格，标题为Details above the connector name and endpoint address（连接器名称和终端地址上方的详细信息），其中包含Cisco ISE为该虚拟机收集的vCenter属性的ATTRIBUTES列表以及Cancel（取消）和Download（下载）控件

窗格由工作负载连接名称和终端地址标识，此处显示为LAB_VCenter_192.168.10.1。对于vCenter工作负载终端，属性包括从vCenter获取的虚拟机属性，例如Power、VM-Name、host、macAddress、network、os、uuuid、vmid和vmtype，以及连接器元数据correlationId、source、ipAddress、connectorType和SourceType。您添加到词典的所有自定义vCenter标记也会显示在此处。

此窗格是分类规则必须匹配的值的授权源，首先检查它可防止此工作流程中出现最常见的故障。在该图中，操作系统读取CentOS 4/5（64位），这是等式条件必须复制的完整字符串。在步骤3中编写规则之前，请在此处阅读该值，而不是采用CentOS等简写形式。

注意：每个终端最多可显示50个属性。

故障排除

本部分提供的信息可用于对配置进行故障排除。

常见问题

症状 | 可能的原因 | 操作
在连接器设置期间出现“测试连接失败”。 | 一个或多个连接详细信息不正确，或者未满足必备条件。 | 验证FQDN或IP地址并确认它与证书SAN匹配。验证用户名和密码，检查证书验证设置，并确认满足代理旁路和时间同步前提条件。
连接器已创建，但未导入任何数据。 | 思科ISE无法访问public.ecr.aws。 | 确认代理或防火墙允许TCP端口443上的HTTPS流量访问此URL。
导入工作负载，但未分配SGT，且已接收的SGT绑定将保持为 0。 | 分类规则条件与实际属性值不匹配。针对部分值(例如CentOS而不是CentOS 4/5（64位）)测试的Equals条件是最常见的原因。 | 在Context Visibility中打开Details窗格，读取确切的属性值，然后更正规则条件或将运算符更改为Contains 。此失败是静默的：不会发出警报，因为连接器本身运行正常。
连接将变为“已暂停”状态。 | 与连接关联的所有SGT都已被删除。 | 重新创建所需的SGT并重新建立连接。在连接暂停时，删除相关的SXP绑定和MnT会话数据。
PSN重新启动后缺少连接详细信息。 | 未重新填充会话数据。 | 暂停连接，然后重新连接。

启用调试日志

在PAN、SXP和pxGrid节点上，通过操作>故障排除>调试向导>调试配置文件配置，将工作负载连接器组件的调试日志严重性设置为DEBUG。

以下日志文件位于/opt/CSCOcpm/logs中：

日志文件 | 内容
workloads.log | 工作负载连接器操作
workload-conn/*.log | 每连接日志
api-service.log | API服务活动
ise-psc.log | 思科ISE策略服务活动
pxgriddirect-service.log | pxGrid直接服务活动
sxp_appserver/sxp.log | SXP绑定分布

警报

思科ISE为vCenter和其他云连接器生成以下警报：

警报 | 引发时间
工作负荷连接创建/连接失败 | 在恢复、促销或HA事件或升级等事件之后，连接器创建失败。
工作负荷连接删除失败 | 连接器删除失败。
工作负载连接服务错误 | 发生另一个相关的服务故障。

相关信息

- Cisco ISE通用策略和工作负载连接器
- Cisco ISE所需的互联网URL
- Cisco ISE 3.5管理员指南
- 思科技术支持和下载