本指南在讨论 Cisco ISE-PIC 时使用以下术语：

被动身份连接器 (ISE-PIC) 提供集中的一站式安装和实施，使您能够轻松简单地配置网络，以便接收用户身份信息并与各种不同的安全产品用户（例如思科 Firepower 管理中心 [FMC] 和 Stealthwatch）进行共享。作为用于被动识别的全面代理，ISE-PIC 从不同提供程序源（例如 Active Directory 域控制器 [AD DC]）收集用户身份，将用户登录信息映射到使用中的相关 IP 地址，然后将该映射信息与已配置的任何用户安全产品进行共享。

被动身份连接器 (ISE-PIC) 流程

ISE-PIC 的流程如下：

1. 提供程序对用户或终端执行身份验证。

2. 提供程序将经过身份验证的用户信息发送到思科 ISE-PIC。

3. ISE-PIC 将用户信息规范化，执行查找、合并、解析并将其映射到 IP 地址，然后将映射的详细信息发布到 pxGrid。

4. pxGrid 用户接收映射的用户详细信息。

下图说明了ISE-PIC 提供的概要流程。

Cisco ISE-PIC 架构包括以下组件：

• 节点 - 在思科 ISE-PIC 部署中，最多可以配置两个节点，如下所述

• 网络资源

• 终端

具有单个 Cisco ISE-PIC 节点的部署称为独立部署。

具有两个思科 ISE-PIC 节点的部署称为高可用性部署，其中一个节点用作主要设备（主管理节点，即 PAN）。高可用性部署可提高服务可用性。

PAN 提供此网络模型所需的所有配置功能，并提供备份角色的辅助思科 ISE 节点（辅助 PAN）功能。辅助节点支持主节点，并在与主节点失去连接时恢复功能。

思科 ISE-PIC 会将位于主思科 ISE-PIC 节点上的所有内容与辅助思科 ISE-PIC 节点同步或进行复制，以确保您的辅助节点与主节点的状态一致（因此可用作备份）。

ISE-PIC 为您提供：

• 与各种不同提供程序交互的单一身份解决方案。

• 支持简单配置、监控和故障排除的友好 GUI

• 简单安装和配置

• 轻松升级到 ISE 以进行主动身份验证。从 ISE-PIC 升级到完整 ISE 部署并使用 ISE-PIC 节点创建独立 ISE 部署时，或者将此节点作为主节点添加到现有部署时，ISE 将继续提供升级之前在 ISE-PIC 中可用的所有功能，并将保留您的现有配置。

  注	要升级到 ISE，请下载试用版，或联系您的思科代表以讨论许可选项。 将已升级 ISE-PIC 添加到现有 ISE 部署，但不将其用作主节点时，将覆盖之前的 ISE-PIC 配置。 有关升级流程的完整说明，请参阅将 ISE-PIC 升级到完整 ISE 安装。

ISE-PIC 具备许多优势，包括能够平稳轻松地升级到 ISE。除 ISE-PIC 和 ISE 以外，思科还提供一种额外的安全机制，即 CDA。本节在下列表格中对这三种产品进行比较：

• ISE-PIC 与 ISE 的详细比较

• ISE-PIC 与 ISE 和 CDA 的概括比较