???VMware vCenter???ISE???????
Author: Cisco Systems, Inc.
Date: 2026-09-01T07:00:00+00:00
Description: ????????????VMware vCenter?Cisco ISE????????????????/?????????

目錄

簡介

必要條件

需求

思科ISE

VMware vCenter

連線

憑證

採用元件

背景資訊

關鍵術語

使用的佔位符

設定

網路圖表

組態

步驟1.新增vCenter工作負載連線

步驟2.將vCenter屬性新增到詞典（可選）

步驟3.將工作負載分類到SGT中

步驟4.具有入站和出站SGT域規則的路由繫結

驗證

驗證連線狀態

驗證安全組

驗證IP-SGT繫結

驗證工作負載即時會話

在情景可視性中驗證工作負載可視性

疑難排解

常見問題

啟用調試日誌

警報

相關資訊

簡介

本文檔介紹如何配置適用於VMware vCenter的Cisco ISE工作負載聯結器以匯入工作負載情景/實施基於組的分段。

必要條件

需求

思科建議您瞭解以下主題：

- Cisco ISE管理

- VMware vCenter管理

- Cisco TrustSec概念，包括安全組標籤(SGT)、SGT交換協定(SXP)和pxGrid

在新增vCenter工作負載連線之前，請確認滿足了這些條件。

思科ISE

- pxGrid在部署中的至少一個節點上啟用。

- 在部署中的至少一個節點上啟用SXP。

VMware vCenter

- 具有只讀權限的vCenter帳戶可用。聯結器僅執行讀取操作。

- 已確定要匯入的vCenter屬性或標籤。本檔案使用os屬性作為範例。

連線

- 思科ISE提供穩定的網際網路連線，因為思科ISE可以訪問工作負載聯結器功能所需的public.ecr.aws。如果路徑中包含代理伺服器或防火牆，則允許思科ISE和此URL之間的HTTPS（TCP埠443）流量。如果此URL無法訪問，則工作負載聯結器將無法按預期運行。

- 如果代理用於Internet訪問並且vCenter部署在本地，請為vCenter IP地址配置代理旁路。

憑證

- 如果使用證書驗證，為vCenter輸入的FQDN或IP地址必須與vCenter終端證書的使用者替代名稱(SAN)匹配。

- vCenter根證書必須可用於匯入思科ISE受信任證書庫。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 思科身份服務引擎(ISE)3.4版，用於聯結器配置和驗證程式

- Cisco Identity Services Engine(ISE)，版本3.5補丁3，僅用於情景可視性過程

- VMware vCenter Server 8.0更新3

附註：環境可視性中的工作負載聯結器終端控制面板需要思科ISE 3.5補丁3或更高版本，因此該版本捕獲了該部分中的兩個映像。本文檔中的每個其他程式和映像都來自思科ISE 3.4。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

現代資料中心是動態的。虛擬機器(VM)會不斷建立、移動和停用，而且它們的IP地址也會隨之改變。依賴靜態IP地址或子網的安全策略無法跟上這種變化速度，這就造成了實施和可見性方面的差距。

思科ISE通過通用策略框架及其工作負載聯結器解決此問題。工作負載聯結器可建立到資料中心或雲平台的安全連線，匯入運行於資料中心或雲平台的應用程式工作負載的上下文，將該上下文規範化為SGT，並與網路的其餘部分共用結果，以便可以針對它編寫策略。

vCenter已經通過一組屬性來描述每個虛擬機器，例如來賓作業系統、其連線的埠組及其電源狀態。VMware管理員使用帶有後設資料（如環境、應用層、所有者或業務部門）的自定義標籤擴展了這一描述。vCenter工作負載聯結器將匯入這兩個SGT，並將其轉換為SGT。這帶來了三個結果：

- 策略基於工作負載。當VM移動或重新定址時，屬性派生的SGT將保留在其中，因此分段無需手動更新即可繼續工作。

- 現有上下文將被重用。Cisco ISE使用vCenter已維護的屬性和標籤，因此無需新的分類方案。

- 分段是一致的。SGT分佈於啟用TrustSec的網路中，因此在每個實施點應用相同的策略。

本文檔在整個過程中使用單個運行示例。vCenter為每個虛擬機器報告的OS屬性(在本實驗中讀取的是CentOS 4/5（64位）)匯入到Cisco ISE並與IP地址條件相結合，因此匹配的工作負載會自動放入Production_Servers安全組中。然後，這些工作負載按組成員身份而不是手動跟蹤的IP地址進行分段。同樣的過程適用於vCenter公開的任何其他屬性或自定義標籤。

關鍵術語

附註：VMware ESXi不支援標籤。因此，只能將vCenter配置為工作負載聯結器。獨立ESXi主機不能。

字詞 | 定義
TrustSec | 思科基於組的分段技術，其中策略針對組而非IP地址編寫。
SGT（安全組標籤） | 代表組（如生產工作負載）的標籤，用作策略實施的基礎。
SXP（SGT交換協定） | 用於向實施裝置分發IP到SGT繫結的協定。
pxGrid | 思科平台用於在思科ISE和其他系統之間共用情景，如會話和SGT。
通用策略 | 思科ISE框架連線到資料中心和雲，將他們的上下文規範化為SGT，並在域間共用。
工作負載聯結器 | 連線到vCenter、AWS、Azure、GCP或ACI並匯入工作負載上下文的Cisco ISE元件。

使用的佔位符

方括弧中的值是佔位符。用適用於您環境的值替換它們。

佔位符 | 說明
[VCENTER_FQDN] | vCenter伺服器的完全限定域名。
[VCENTER_IP_ADDRESS] | vCenter伺服器的IP地址。
[使用者名稱] | vCenter只讀帳戶使用者名稱。
[密碼] | vCenter只讀帳戶密碼。
[SGT_NAME] | 由分類規則分配的安全組標籤的名稱。
[VM_NAME] | vCenter中虛擬機器的名稱。
[VM_UUID] | vCenter中虛擬機器的UUID。
[VM_ID] | 虛擬機器的vCenter託管對象引用。
[主機ID] | ESXi主機的vCenter託管對象引用。
[NETWORK_NAME] | vCenter埠組或網路的名稱。

本文檔中的映像來自使用工作負載連線名稱LAB_VCenter、vCenter地址192.168.1.50和工作負載子網192.168.10.0/24的實驗。請替換適用於您環境的命名和編址。

設定

網路圖表

該整合將vCenter後設資料轉變為可強制執行的策略，分為五個階段：

1. Cisco ISE vCenter工作負載聯結器從vCenter讀取工作負載屬性和標籤。

2. 所選屬性將新增到思科ISE屬性詞典，以便在規則中引用它們。

3. 工作負載分類規則評估這些屬性，並為每個工作負載分配一個主SGT，以及一個或多個輔助SGT（可選）。

4. 思科ISE獲取IP到SGT繫結，並通過SXP和pxGrid發佈它們。入站和出站SGT域規則控制接收繫結的SGT域和共用繫結的位置。

5. 實施點應用SGT來允許或拒絕流量。

思科ISE vCenter工作負載聯結器跨三個域的資料流。vCenter提供工作負載屬性（IP、作業系統、VMID、VM名稱）；思科ISE將其儲存在屬性字典中，應用工作負載分類規則來分配主要和輔助SGT，並匯出IP-SGT繫結；繫結通過pxGrid和SXP共用到實施點

組態

步驟1.新增vCenter工作負載連線

1. 在Cisco ISE GUI中，按一下Menu圖示並選擇Work Centers > TrustSec > Integrations > Workload Connectors > Workload Connections。

2. 按一下Add Connection。

「工作負載連線」頁（未配置任何連線），顯示「新增連線」按鈕

3. 按一下開始執行操作。

工作量連線嚮導「歡迎」頁，顯示嚮導的歡迎、工作量平台、配置和摘要階段

4. 在「選擇工作負載平台」頁面上，選擇vCenter，然後按一下下一步。

選擇工作負載平台頁面，並在ACI、AWS、Azure和GCP平台中選擇了vCenter選項

5. 在建立工作負載連線頁面上，思科ISE檢查工作負載聯結器服務是否正在運行，然後接受任何連線詳細資訊。

如果服務尚未運行，該頁會報告工作負載聯結器服務未運行。

「建立工作量連線」頁報告工作量聯結器服務未運行

然後Cisco ISE自動啟動服務並顯示進度。

顯示Workload Connector服務正在啟動的「建立工作量連線」頁

等待頁面報告工作負載聯結器服務正在運行。只有在此檢查成功之後，才能完成連線詳細資訊欄位。

「建立工作量連線」頁，確認工作量聯結器服務正在運行

6. 輸入連線詳細資訊：

欄位 | 說明
工作負載連線名稱 | 使用字母、數字和下劃線的唯一名稱。最多32個字元，無空格。此示例使用LAB_VCenter。
說明 | 連線的說明。
同步間隔 | Cisco ISE從vCenter刷新資料的頻率。有效範圍為60秒至7天。預設值為15分鐘。更短的間隔會更頻繁地刷新資料，但可能會影響效能。
FQDN或IP地址 | vCenter的主機名或IP地址，如[VCENTER_FQDN]或[VCENTER_IP_ADDRESS]。此值必須與vCenter終結點證書的使用者替代名稱匹配。
使用者 | vCenter帳戶使用者名稱[USERNAME]。
密碼 | vCenter帳戶密碼[PASSWORD]。
驗證vCenter證書 | 可選。驗證證書並將vCenter根證書匯入思科ISE受信任證書庫。在匯入過程中，還要檢查Trust以驗證思科服務。建議對生產環境進行證書驗證。

「建立工作負載連線」頁，其中已填寫的vCenter連線詳細資訊欄位和已選中「驗證vCenter證書」覈取方塊

在此影象中，「使用者」欄位顯示一個佔位符。輸入適用於您的環境的憑證。

附註：思科ISE驗證您輸入的資訊。如果任何詳細資訊不正確，思科ISE將返回錯誤「測試連線失敗」。

7. 按「Next」（下一步）。思科ISE測試連線，並使用消息Test connection is successful（測試連線成功）確認結果。

成功通知，確認與vCenter的測試連線成功

成功通知，確認與vCenter的測試連線成功

8. 在Manage Attributes頁面上，選擇vCenter 屬性以新增到Cisco ISE詞典。對於此示例，請確保包含os屬性。然後點選下一步。

- 要一次包含每個學習屬性，請啟用Include All in Dictionary切換。

- 要重新命名屬性，請編輯Attribute Name in Dictionary字段。

- 必須至少新增一個屬性，然後才能繼續。

- 包含特殊字元(如^、=、"、\、 |、:、[或]無效，無法新增。

啟用「在字典中包括所有」切換並列出已獲取的vCenter屬性的「管理屬性」頁

滾動清單以檢視連線從vCenter獲取的每個屬性，例如vmid、uuid、os、網路、macAddress、VM名稱、主機、電源和guest.guestFullName。

「管理屬性」頁滾動顯示已獲取的vCenter屬性和記錄計數的完整清單

9. 在Summary頁面上，檢視配置。按一下任何節旁邊的Edit以更改其值。

顯示所選V-CENTER工作負載平台和包括在字典中的屬性的摘要頁面

10. 按一下「Create」。思科ISE通過消息Connection successfully created確認結果。

確認已建立工作負載連線的成功通知

新的vCenter聯結器將出現在「工作負載連線」頁面上。當思科ISE與vCenter建立會話時，狀態為Connecting。

「工作負載連線」頁列出了處於連線狀態的新vCenter聯結器

步驟2.將vCenter屬性新增到詞典（可選）

僅當您想要新增自定義屬性時完成此步驟。在「管理屬性」步驟中選擇的屬性將自動新增到vCenter字典中，因此整合功能在此沒有任何操作。還可以在建立連線後的任何時間管理字典屬性：

1. 選擇Work Centers > TrustSec > Integrations > Workload Connectors。

2. 按一下屬性字典。

3. 按一下「Add Attribute」。

4. 啟用Include in Dictionary切換。

5. 在「Workload Attribute」欄位中，輸入attribute名稱，例如os。

6. 在「Attribute Name in Dictionary」欄位中，輸入要顯示的名稱。

7. 按一下「Save」。

附註：請注意以下字典行為：每個連線型別建立一個詞典。所有vCenter聯結器共用一個vCenter詞典。刪除連線時，不會自動刪除屬性。任何未使用的屬性都可以手動刪除。可以從提供程式匯入屬性，並且可以手動新增提供程式中不存在的屬性。

步驟3.將工作負載分類到SGT中

工作負載分類規則評估工作負載屬性（包括匯入的vCenter標籤），並分配SGT。此步驟提供了整合的分段價值。

SGT分配的行為如下所述：

- 主SGT在pxGrid會話主題中標籤為「安全組」，用於通過SXP發佈IP到SGT的對映。

- 輔助SGT作為名為Secondary Security Groups的有序陣列包含在pxGrid會話主題中。

- 如果多個規則匹配並分配多個主要SGT，則只有第一個分配的SGT被視為主要。其餘的SGT成為次要的。

要為此示例建立分類規則，請執行以下操作：

1. 選擇工作中心> TrustSec >整合>工作負載分類。

2. 按一下Add Classification Rule。

3. 在RULE SETTINGS區域中，輸入Rule Name，並將Status設定為Enabled。

4. 在AUTHORIZATION CONFIGURATION區域中，從Primary SGT下拉選單中，選擇規則分配的SGT，例如[SGT_NAME]。此示例分配Production_Servers SGT。

5. 或者，從輔助SGT（可選）下拉選單中，選擇一個或多個輔助SGT。

6. 在RULE CONFIGURATION區域中，生成匹配條件。從屬性下拉選單中，選擇匯入的vCenter屬性，例如Vcenter - os，選擇Equals運算子，然後輸入value匹配。此範例與CentOS 4/5（64位）相符。

7. 要進一步縮小規則範圍，請按一下Add Condition，然後將條件與AND或OR組合。此示例新增一個IP Address條件，該條件使用IP Equals運算子將規則限製為單個主機地址192.168.10.33/32。

8. 或者，點選Preview以檢視SGT詳細資訊以及規則匹配的工作負載。

9. 按一下「新增」。

注意：「等於」運算子需要完整的屬性值。vCenter將訪客作業系統報告為完整的描述性字串，如CentOS 4/5（64位），而不是短名稱，如CentOS。根據該值測試Equals CentOS的規則永遠不會匹配，並且將以靜默方式失敗：聯結器繼續匯入工作負載，但未分配SGT。在構建規則之前（如Verify部分所述），請確認Context Visibility中的確切值；如果要匹配一系列來賓作業系統，則使用Contains之類的運算子。

當vCenter os屬性等於CentOS 4/5（64位）且IP地址等於192.168.10.33/32時，「新增分類規則」(Add Classification Rule)頁面分配Production_Servers主SGT

對要分類的每個其他工作負荷組重複這些步驟，並為每個規則分配不同的主SGT。

附註：請注意規則行為：規則可以通過拖放重新排序。順序決定優先順序。可在現有規則之前或之後插入新規則或重複規則。預設分類規則始終位於清單底部，預設情況下禁用，並且對映到未知主SGT。在儲存之前，使用「預覽」選項檢視SGT詳細資訊和匹配規則。

步驟4.具有入站和出站SGT域規則的路由繫結

SGT域控制網路哪些部分接收特定的SGT繫結。如果未定義任何入站規則，將從工作負載聯結器接收的繫結傳送到預設SGT域。

新增入站SGT域規則：

1. 選擇Work Centers > TrustSec > SXP > Inbound & Outbound SGT Domain Rules。

2. 在Inbound SGT Domain Rules頁籤上，按一下Add Inbound Rule。

3. 在Rule Settings區域中，輸入rule 名稱。

4. 按一下「Enabled」。

5. 從Destination下拉選單中，選擇必須接收繫結的SGT域。要新增域，請使用建立SGT域。

6. 在Rule Configuration區域中，從屬性(例如SGT Name、Source、IP Address)或新增到字典的任何vCenter屬性（例如os）構建條件。根據需要，將條件與AND和OR結合使用。

7. 按一下「Add」，然後按一下「Save」。

新增出站SGT域規則：

1. 在同一頁面上，開啟Outbound SGT Domain Rules頁籤，然後點選Add Outbound Rule。

2. 輸入規則名稱，然後按一下Enabled。

3. 從Destination下拉選單中，選擇SGT必須傳送到的目標。

4. 在Rule Configuration區域中，從SGT Domains、SGT Name或IP Address構建條件。

5. 或者，在Contract Configuration區域中，為共用安全組分配Consumpted和Provided合約。

6. 按一下「Add」，然後按一下「Save」。

新增或編輯入站和出站規則時，使用Preview選項檢視匹配的IP-SGT繫結。

驗證

使用本節內容，確認您的組態是否正常運作。

驗證連線狀態

選擇Work Centers > TrustSec > Integrations > Workload Connectors > Workload Connections，並確認列出的vCenter連線狀態為Connected。在此頁面中，您還可以重新連線、暫停或刪除連線。

顯示「已連線」狀態的vCenter聯結器、接收的SGT繫結計數、同步間隔和上次更新時間的「工作量連線」頁

Received SGT Bindings列在此映像中讀取為0，因為捕獲是在任何分類規則與工作負載匹配之前進行的。連線狀態加上零繫結計數意味著思科ISE成功到達vCenter，但尚未為任何內容分配SGT。在規則匹配後，此列將報告思科ISE派生的繫結數量。

驗證安全組

選擇Work Centers > TrustSec > Components > Security Groups，並確認預期的SGT存在。在本示例中，請確認Production_Servers SGT存在。

驗證IP-SGT繫結

選擇Work Centers > TrustSec > SXP > SGT Bindings，並確認工作負載IP地址已繫結到具有正確源和應用的分類規則的正確SGT。

驗證工作負載即時會話

選擇Operations > Worklopes > Live Session，這將開啟Workload Live Sessions頁面。活動會話只能在主要策略管理節點(PAN)上檢視。 在此頁面上，可以按聯結器型別過濾會話，可以顯示、隱藏和重新排列列，可以排序結果，可以儲存過濾器，並且可以以CSV或PDF格式匯出資料。

工作負荷即時會話表列出了每個已學習的工作負荷一行，其中包含Initiated timestamp、SGT Bindings IP address、空SGT Name、Secondary SGTs和Destinations列、Source connection name LAB_VCenter以及讀取Default Filter和default的Inbound SGT Domain Rules和SGT Domains連結

附註：此捕獲被裁剪到本示例中承載資料的列中。「出站SGT域規則」和「工作負載分類規則」列繼續位於可見區域的右側，並且在每一行都是空的，超出它們的ACI特定列也是如此。此頁面是在比聯結器配置頁面更晚的實驗室會話中捕獲的，因此其Initiated timestamps與Last Updated Time不匹配，後者顯示在Workload Connections頁面上。

每行代表思科ISE從聯結器獲知的一個工作負載。使用以下列確認整合：

列 | 它確認的內容
已啟動 | 思科ISE獲知會話的時間。最近的時間戳確認聯結器正在輪詢。
SGT繫結 | 思科ISE從vCenter接收的工作負載IP地址。
來源 | 報告會話的工作負載連線。確認資料來自哪個聯結器。
入站SGT域規則和SGT域 | 應用於會話的域規則和SGT域。選擇一個連結以檢視匹配的規則。
SGT名稱、輔助SGT和工作負載分類規則 | 分配給工作負荷的SGT以及分配這些工作負荷的規則。對於沒有分類規則匹配的工作負載，這些列保持為空。

使用頁面右上角（裁剪區域右側）的Refresh、Show和Within控制元件來設定刷新間隔、記錄計數和時間視窗。

在此圖中，SGT繫結列已完全填充，而SGT名稱和輔助SGT在每一行上都是空的，因為捕獲是在匹配分類規則之前捕獲的。由於相同的原因，位於裁剪區域外部的「工作量分類規則」列為空。這種組合本身就是一種有用的診斷方法：它確認聯結器正在從vCenter中正確檢索工作負載，並且問題出在規則條件而不是連線上。當您看到它時，請返回步驟3，並根據「上下文可見性」報告的屬性值檢查匹配值，如該步驟中的「注意」中所述。

在情景可視性中驗證工作負載可視性

版本要求：Workload Connector Endpoints（工作負載聯結器終端）控制面板可從思科ISE 3.5補丁3開始使用。在Cisco ISE 3.4上，使用上一節中介紹的Workload Live Sessions頁面。

思科ISE在情景可視性內提供專用工作負載聯結器終端控制面板。它在單個可篩選檢視中收集、分析和報告從工作負載聯結器收集的端點屬性資料。

開啟檢視：

1. 在Cisco ISE GUI中，選擇情景可視性>終端。

2. 開啟「工作負載聯結器端點」頁籤。如果頁籤在頁籤條中不可見，請按一下More。

3. 在「Connector」下拉選單中，選擇要檢視其端點的工作負載連線。

該視窗列出從工作負載聯結器獲取的端點屬性資料。每行按IP地址、源型別和聯結器名稱標識一個端點。

「情景可視性」下的「工作負載聯結器端點」檢視，按IP地址、源型別和聯結器名稱列出了vCenter工作負載端點，「聯結器」下拉選單設定為LAB_VCenter、匯出選項、行/頁和分頁控制元件，以及總計23行

在此檢視中，您可以執行以下操作：

- 篩選清單。使用列標題下方的篩選器行按IP地址、源型別或聯結器名稱縮小結果範圍。過濾器是累加的，因此應用的每個值都會進一步細化結果集。

- 翻閱結果。使用行/頁控制元件和分頁箭頭可更改頁面大小並在頁面之間移動。端點總數顯示在箭頭右側，此處顯示為23總行。

- 匯出資料。按一下Export下載列出的終端資料。

- 檢查終結點。按一下終端的IP地址，開啟詳細資訊幻燈片窗格。

詳細資訊窗格列出思科ISE為所選終端保留的每個屬性。按一下Download儲存屬性詳細資訊，或按一下Cancel關閉窗格。

所選工作負載端點的詳細資訊幻燈片登入窗格，標題為聯結器名稱和端點地址上方的詳細資訊，以及思科ISE為該虛擬機器收集的vCenter屬性的ATTRIBUTES清單以及取消和下載控制元件

該窗格由工作負載連線名稱和終端地址標識，此處顯示為LAB_VCenter_192.168.10.1。對於vCenter工作負載終端，屬性包括從vCenter獲取的虛擬機器屬性，如Power、VM-Name、host、macAddress、network、os、uuuid、vmid和vmtype，以及聯結器後設資料correlationId、source、ipAddress、connectorType和SourceType。您新增到詞典的所有自定義vCenter標籤也會顯示在此處。

此窗格是分類規則必須匹配的值的授權來源，首先檢查它可防止此工作流中出現最常見的故障。在此圖中，os讀取CentOS 4/5（64位），這是等式條件必須複製的完整字串。在步驟3中編寫規則之前，請在此處讀取該值，而不是假定使用短格式（如CentOS）。

附註：每個端點最多顯示50個屬性。

疑難排解

本節提供的資訊可供您用來疑難排解組態問題。

常見問題

症狀 | 可能的原因 | 動作
在聯結器設定過程中「測試連線失敗」。 | 一個或多個連線詳細資訊不正確，或者未滿足前提條件。 | 驗證FQDN或IP地址並確認其與證書SAN匹配。驗證使用者名稱和密碼，檢查證書驗證設定，並確認滿足代理旁路和時間同步前提條件。
已建立聯結器，但未匯入任何資料。 | Cisco ISE無法訪問public.ecr.aws。 | 確認代理或防火牆允許TCP埠443上的此URL的HTTPS流量。
匯入工作負載，但未分配SGT，且接收的SGT繫結將保持為 0。 | 分類規則條件與實際屬性值不匹配。針對部分值測試的Equals條件，例如CentOS而不是CentOS 4/5（64位），是最常見的原因。 | 在Context Visibility中開啟Details窗格，讀取確切的屬性值，然後更正規則條件或將運算子更改為Contains 。此失敗是靜默的：不會發出警報，因為聯結器本身是健康的。
連線將變為「已掛起」狀態。 | 與連線關聯的所有SGT都已被刪除。 | 重新建立所需的SGT並重新建立連線。在連線掛起時，刪除相關的SXP繫結和MnT會話資料。
重新啟動PSN後缺少連線詳細資訊。 | 未重新填充會話資料。 | 暫停連線，然後重新連線。

啟用調試日誌

在操作>故障排除>調試嚮導>調試配置檔案配置中，將工作負載聯結器元件的調試日誌嚴重性設定為DEBUG，在PAN、SXP和pxGrid節點上。

以下日誌檔案位於/opt/CSCOcpm/logs中：

日誌檔案 | 內容
工作負載.log | 工作負載聯結器操作
workload-conn/*.log | 每個連線日誌
api-service.log | API服務活動
ise-psc.log | Cisco ISE策略服務活動
pxgriddirect-service.log | pxGrid Direct服務活動
sxp_appserver/sxp.log | SXP繫結分佈

警報

Cisco ISE為vCenter和其他雲聯結器生成以下警報：

警報 | 出現時間
工作負載連線建立/連線失敗 | 在某個事件（如恢復、升級或HA事件或升級）之後，聯結器建立失敗。
工作負荷連線刪除失敗 | 聯結器刪除失敗。
工作負載連線服務錯誤 | 發生另一個相關的服務故障。

相關資訊

- Cisco ISE通用策略和工作負載聯結器
- Cisco ISE所需的網際網路URL
- 思科ISE 3.5管理員指南
- 思科技術支援和下載