Plugin Cisco ISE pour Risk Exchange

Ce document explique comment configurer le plugin Cisco ISE v1.0.0 avec le module Risk Exchange de la plate-forme Netskope Cloud Exchange. Ce plugin récupère les mappages de balises de groupe de sécurité (SGT) vers des adresses IP à partir de Cisco Identity Services Engine (ISE) et les rend disponibles en tant qu’enregistrements d’ hôtes dans Netskope Cloud Exchange. Il extrait les données de session en direct de la page Opérations > RADIUS > Sessions en direct, ainsi que les données de mappage IP à SGT statiques de la page Centres de travail > TrustSec > Composants > Mappage statique IP SGT. Ce plugin ne prend pas en charge l’exécution d’actions sur Cisco ISE.

Conditions préalables

Pour compléter la configuration, vous devez

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un locataire Netskope Cloud Exchange avec le plugin Tenant et le plugin Risk Exchange déjà configurés.
• Une instance Cisco ISE avec un compte utilisateur.
• Les API ERS et pxGrid sont activées sur Cisco ISE.
• The ERS-Admin or ERS-Operator role assigned to the ERS user account on Cisco ISE.
• En cas d’instance Cisco ISE sur site, le mappage IP vers nom d’hôte doit être ajouté en tant qu’hôte supplémentaire dans le fichier docker-compose.yml de Cloud Exchange.
• Connectivité avec les hôtes suivants :
  • Nœud d'administration principal Cisco ISE sur le port 9060 (API ERS) et le port 8910 (API pxGrid)
• Pour la configuration du gestionnaire de secrets, reportez-vous à cette documentation, et pour configurer le gestionnaire de secrets Azure Key Vault, reportez-vous à cette documentation.

Prise en charge du plugin Cisco ISE

Ce plugin récupère les mappages de balises de groupe de sécurité (SGT) vers des adresses IP à partir de Cisco Identity Services Engine (ISE) et les rend disponibles en tant qu’enregistrements d’ hôtes dans Netskope Cloud Exchange. Il extrait les données de session en direct de la page Opérations > RADIUS > Sessions en direct, ainsi que les données de mappage IP à SGT statiques de la page Centres de travail > TrustSec > Composants > Mappage statique IP SGT.

Mises en correspondance

Les mappages sont utilisés pour afficher les détails des hôtes récupérés. Les champs mappés lors de la configuration du plugin seront visibles sur la page Enregistrements une fois les données récupérées. Voici les mappages suggérés à utiliser lors de la configuration du plugin.

Mappage par traction pour les hôtes

Permissions

The ERS-Admin or ERS-Operator role assigned to the ERS user account on Cisco ISE.

{
    "SearchResult": {
        "total": 1,
        "resources": [
            {
                "id": "934557f0-8c01-11e6-996c-525400b48521",
                "name": "Auditors",
                "description": "Auditor Security Group",
                "link": {
                    "rel": "self",
                    "href": "https://10.50.1.14:9060/ers/config/sgt/934557f0-8c01-11e6-996c-525400b48521",
                    "type": "application/json"
                }
            }
        ]
    }
}

{
    "Sgt": {
        "id": "93ad6890-8c01-11e6-996c-525400b48521",
        "name": "Employees",
        "description": "Employee Security Group",
        "value": 4,
        "generationId": "0",
        "propogateToApic": true,
        "link": {
            "rel": "self",
            "href": "https://10.50.1.14:9060/ers/config/sgt/93ad6890-8c01-11e6-996c-525400b48521",
            "type": "application/json"
        }
    }
}

{
    "SearchResult": {
        "total": 2,
        "resources": [
            {
                "id": "439afd13-a7e3-40cd-87f1-20a70069ed7e",
                "name": "10.50.2.120/32",
                "link": {
                    "rel": "self",
                    "href": "https://10.50.1.14:9060/ers/config/sgmapping/439afd13-a7e3-40cd-87f1-20a70069ed7e",
                    "type": "application/json"
                }
            }
        ]
    }
}

{
    "SGMapping": {
        "id": "439afd13-a7e3-40cd-87f1-20a70069ed7e",
        "name": "10.50.2.120/32",
        "sgt": "93837260-8c01-11e6-996c-525400b48521",
        "deployTo": "70c79c30-8bff-11e6-996c-525400b48521",
        "deployType": "NDG",
        "hostIp": "10.50.2.120/32",
        "sgtDomain": [],
        "link": {
            "rel": "self",
            "href": "https://10.50.1.14:9060/ers/config/sgmapping/439afd13-a7e3-40cd-87f1-20a70069ed7e",
            "type": "application/json"
        }
    }
}

{ "nodeName": "<node_name>" }

{
    "nodeName": "netskope-cre-postman-1",
    "password": "••••••••••••••••",
    "userName": "netskope-cre-postman-1"
}

{ "description": "Netskope CRE Integration" }

{
    "accountState": "ENABLED",
    "version": "2.0"
}

{ "name": "com.cisco.ise.session" }

{
    "services": [
        {
            "name": "com.cisco.ise.session",
            "nodeName": "~ise-mnt-ciscoise-50-1-14",
            "properties": {
                "sessionTopic": "/topic/com.cisco.ise.session",
                "groupTopic": "/topic/com.cisco.ise.session.group",
                "wsPubsubService": "com.cisco.ise.pubsub",
                "restBaseURL": "https://CiscoISE-50-1-14.domain.local:8910/pxgrid/mnt/sd",
                "restBaseUrl": "https://CiscoISE-50-1-14.domain.local:8910/pxgrid/mnt/sd",
                "sessionTopicAll": "/topic/com.cisco.ise.session.all"
            }
        }
    ]
}

{ "peerNodeName": "<provider_node_name>" }

{ "secret": "••••••••••••••••" }

{ "filter": "ctsSecurityGroup == '<sgt_name>'" }

{
  "sessions": [
    {
      "timestamp": "2026-09-14T08:48:02.248Z",
      "state": "AUTHENTICATED",
      "userName": "scanuser",
      "callingStationId": "AA:BB:CC:11:22:33",
      "calledStationId": "CORP-WIFI-AP1",
      "ipAddresses": ["192.168.100.10"],
      "macAddress": "AA:BB:CC:11:22:33",
      "nasIpAddress": "10.50.14.30",
      "nasPortType": "Wireless - IEEE 802.11",
      "endpointProfile": "Unknown",
      "ctsSecurityGroup": "Production_Users",
      "adNormalizedUser": "scanuser",
      "providers": ["None"],
      "endpointCheckResult": "none",
      "identitySourcePortStart": 0,
      "identitySourcePortEnd": 0,
      "identitySourcePortFirst": 0,
      "serviceType": "Framed",
      "networkDeviceProfileName": "Cisco",
      "radiusFlowType": "Wireless802_1x",
      "ssid": "CORP-WIFI-AP1",
      "mdmRegistered": false,
      "mdmCompliant": false,
      "mdmDiskEncrypted": false,
      "mdmJailBroken": false,
      "mdmPinLocked": false,
      "selectedAuthzProfiles": ["PermitAccess1"],
      "authMethod": "dot1x",
      "authProtocol": "PAP_ASCII",
      "ctsSecondarySecurityGroups": [],
      "sxpDomains": [],
      "inboundSgtDomainRules": [],
      "workloadClassification": [],
      "sessionSource": 0,
      "vrf": "",
      "destinationIPAddress": "10.50.1.14"
    }
  ]
}

Matrice de performance

Voici la matrice de performance réalisée sur une pile CE à grande échelle avec ces spécifications en tirant 500k hôtes.

Agent utilisateur

netskope-ce-7.0.0-cre-cisco-ise-v1.0.0

Workflow

1. Obtenez l’URL de base de votre nœud d’administration principal ISE.
2. Créer un utilisateur sur Cisco ISE.
3. Configurer le plugin Cisco ISE.
4. Approuver les clients pxGrid sur Cisco ISE pour le plugin configuré.
5. Configurez une règle de gestion.
6. Configurer les actions Risk Exchange.
7. Validez le plugin.

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Obtenir l'URL de base de votre nœud d'administration principal ISE

1. Connectez-vous à votre instance Cisco ISE et accédez à Administration > System > Deployment.
2. Utilisez le FQDN pour former l’URL de base du nœud d’administration principal d’ISE.

   

Créer un utilisateur sur Cisco ISE

1. Connectez-vous à votre instance Cisco ISE et accédez à Administration > Admin Access > Administrators > Admin Users.

   

2. Cliquez sur Add pour créer un New utilisateur.

   

3. Fournir le nom et l'e-mail selon vos besoins, puis définir le mot de passe de l'utilisateur.

   

4. Fournissez les informations utilisateur, puis définissez les groupes d’administration comme ERS Operator.

   

5. Cliquez sur Submit pour créer le New utilisateur. Copiez le nom d'utilisateur et le mot de passe car ils seront utilisés lors de la configuration du plugin Cisco ISE.

Configurer le plugin Cisco ISE

1. Dans Cloud Exchange, allez dans Settings > Plugin Store. Recherchez et sélectionnez le plugin Cisco ISE v1.0.0 (CRE).

   

2. Entrez un nom de configuration de plugin et modifiez l'intervalle de synchronisation si nécessaire.

   

3. Cliquez sur Next et entrez les paramètres de configuration :

   • ISE Primary Admin Node Base URL: URL de base du nœud d’administration principal de Cisco ISE. Notez que si vous disposez d’une instance Cisco ISE sur site, le mappage IP vers nom d’hôte doit être ajouté en tant qu’hôte supplémentaire dans le fichier docker-compose.yml de Cloud Exchange.
   • SGT-IP Mapping Source: Choisissez la source de données de mappage SGT-vers-IP pour ce plugin.
     Sessions actives récupère les données de session actives à l’aide de l’API pxGrid.
     Mappage statique IP SGT récupère les mappages statiques SGT-vers-IP configurés dans ISE à l’aide de l’API ERS. Vous pouvez sélectionner les deux ; en cas de conflit entre les deux pour la même adresse IP, les données de Sessions actives prévalent sur les données de Mappage statique IP SGT.
   • SGT Name Filter: Liste facultative séparée par des virgules des noms de balises de groupe de sécurité pour restreindre la collecte de données. S’applique aux sources Sessions en direct et Mappage statique IP SGT. Laissez vide pour extraire les données pour chaque balise de groupe de sécurité.
   • ERS Username: Nom d’utilisateur pour l’API Cisco ISE ERS. Disponible sous Administration > Gestion des identités > Identités > Utilisateurs dans la console d’administration ISE.
   • ERS Password: Mot de passe de l'utilisateur de l'API ERS Cisco ISE spécifié dans le nom d'utilisateur ERS.
   • SSL Validation: Contrôle la validation du certificat SSL/TLS pour chaque requête ERS et pxGrid vers le nœud d'administration principal ISE, indépendamment de la case à cocher de validation SSL de Cloud Exchange.
     Désactiver la validation SSL ignore entièrement la validation du certificat.
     Utiliser les valeurs par défaut du système valide par rapport au magasin de CA de confiance par défaut de l'hôte Cloud Exchange.
     Utiliser un certificat SSL personnalisé révèle une zone de texte de certificat ci-dessous, fournissez le(s) certificat(s) d'ISE là-bas, comme pour ses certificats auto-signés ou d'autorité de certification privée. Notez que si la validation SSL est activée, les certificats pour les sessions actives et le mappage statique IP SGT seront requis.
   • Certificate: Accédez à Administration > System > Certificates > Certificate Management > System Certificates dans la console d’administration ISE, recherchez le certificat dans le tableau dont la colonne Utilisé par indique Admin, puis exportez-le. Accédez à Administration > System > Certificates > Certificate Authority > Certificate Authority Certificates, recherchez le certificat dans le tableau dont le nom est semblable à Certificate Services Root CA - <ISE hostname>, puis exportez-le. Les deux certificats sont requis ; collez-les l’un après l’autre dans ce même champ. Collez uniquement le ou les blocs « —–BEGIN CERTIFICATE—– »/« —–END CERTIFICATE—– ». Supprimez tout texte supplémentaire que ISE ou votre navigateur peut ajouter avant ou après eux.

   

   

4. Cliquer sur Next. Select l'entité requise dans la liste déroulante Entité et fournir les mappages de champs en fonction de vos besoins. Vous pouvez créer une New entité en cliquant sur Add New Entity.

   

   Pour créer un champ New, cliquez sur Add Field.

   

   Fournissez l'étiquette de champ, le type de données, la normalisation et la stratégie d'agrégation selon vos besoins, puis cliquez sur Save.

   

   Map the created fields:

   

   

   Reportez-vous à la section Mappings avant de configurer le plugin.

5. Cliquez sur Save.

   

Approuver les clients pxGrid pour le plugin configuré

1. Dans Cisco ISE, allez à Administration > pxGrid Services > Client Management.

   

2. Vous pourrez y voir le client pxGrid déjà créé pour le plugin configuré en état en attente.

   

3. Select ce client pxGrid et cliquez sur Approve pour l’approuver.

   

Configurer une règle de gestion de Risk Exchange pour Cisco ISE

1. Dans Risk Exchange, allez à Business Rules.

2. Cliquez sur Create New Rule dans le coin supérieur droit.

3. Saisir un nom de règle. Select l'entité pour les champs configurés pour le plugin Cisco ISE et configurez la requête en fonction de vos besoins.

   

4. Voici un exemple de filtre des données récupérées à partir du plugin. Cliquer sur Save.

   

Configurer les actions de Risk Exchange pour Cisco ISE

Le plugin Cisco ISE prend en charge le type d’action suivant :

• Aucune action : aucune action ne sera effectuée pour cette action. Vous pouvez générer des alertes UBA dans Ticket Orchestrator en utilisant cette action et en activant le bouton Générer des alertes.

No Action

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select la règle de gestion, la configuration et l'action requises dans leurs listes déroulantes respectives.
3. Activez la case à cocher Exiger l' approbation si une approbation est nécessaire avant d'effectuer une action sur les enregistrements tirés.
4. Cliquez sur Save.

Valider le plugin Cisco ISE

Valider dans Cloud Exchange

Pour valider le tirage :

Dans Risk Exchange, allez à Records. Select l'entité qui a été sélectionnée lors de la configuration du mappage de champ pour afficher les enregistrements retirés.

Pour vérifier les journaux liés aux enregistrements récupérés. Allez dans Settings > Logging et appliquez le filtre avec le nom du plugin ou le nom de la configuration du plugin.

Validation de l'action

Journaux pour l'action No action effectuée :

Lorsqu’un enregistrement extrait correspond à l’une des règles de gestion configurées, l’action configurée est exécutée sur l’enregistrement. Cela peut être consulté à l’adresse Risk Exchange > Action Logs.

Valider dans Cisco ISE

Pour afficher les enregistrements disponibles sur Cisco ISE, connectez-vous à votre instance Cisco ISE.

Aller à Operations > RADIUS > Live Sessions. C’est à partir de cette page que les enregistrements de sessions actives seront extraits vers Cloud Exchange.

Allez à Work Centers > TrustSec > Components > IP SGT Static Mapping. C'est la page à partir de laquelle les données de mappage IP statique vers SGT seront extraites vers Cloud Exchange.

Dépannage du plugin Cisco ISE

Erreur d’obtention du compte de nœud pxGrid en attente de l’approbation de l’administrateur

Un utilisateur obtiendra une erreur de compte de nœud pxGrid en attente d'approbation de l'administrateur lors de la modification de la configuration du plugin si le compte de nœud pxGrid n'est pas activé sur l'instance Cisco ISE.

What to do: Vous devez activer le client pxGrid pour le plugin particulier à partir de Administration > pxGrid Services > Client Management. Consultez Approuver les clients pxGrid pour le plugin configuré.

Impossible de récupérer les enregistrements dans Cloud Exchange

Si vous ne pouvez pas extraire les enregistrements dans Cloud Exchange, cela peut être dû à des mappages vides dans la configuration du plugin, à l'absence d'enregistrements sur la plateforme Cisco ISE ou à l'absence d'approbation du client pxGrid sur l'instance Cisco ISE.

What to do:

1. Vérifiez que la configuration du plugin contient des champs mappés. Reportez-vous à la section Mappages.
2. Vérifiez que les enregistrements sont présents sur la plateforme Cisco ISE. Reportez-vous à la section Valider dans Cisco ISE.
3. Vérifiez que le client pxGrid pour le plugin configuré est approuvé sur l’instance Cisco ISE. Reportez-vous à la section approuver les clients pxGrid pour le plugin configuré.

Erreur « Impossible d’établir la connexion avec la plateforme Cisco ISE »

Si vous ne parvenez pas à établir une connexion avec l’erreur de plateforme Cisco ISE lors de la configuration du plugin avec une installation Cisco ISE sur site, cela peut être dû à des hôtes connus manquants dans le fichier docker-compose.yml pour Cloud Exchange.

What to do:

1. Connectez-vous en SSH à la machine virtuelle sur laquelle votre Cloud Exchange est installé.
2. Arrêtez l'instance Cloud Exchange en cours d'exécution.
3. Modifier le fichier docker-compose.yml et ajouter la section extra hosts sous la section core.
   Format :

   extra_hosts:
         - "<FQDN>:<IP>"

   

4. Démarrer Cloud Exchange et configurer le plugin.

Obtention de l'erreur SLError(SSLCertVerificationError(1, ‘[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed error

Vous pouvez rencontrer une erreur SLError(SSLCertVerificationError(1, ‘[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed lors de la configuration du plugin avec ‘Use System Default SSL Validation’. Cela peut être dû à l'absence de certificats dans le dossier data/ca_certs/ de Cloud Exchange.

What to do:

1. Connectez-vous à votre instance Cisco ISE.
2. Go to Administration > System > Certificates > Certificate Management > System Certificates in the ISE Admin Console, find the certificate in the table whose Used By column shows Admin, and export it.
3. Allez sur Administration > System > Certificates > Certificate Authority > Certificate Authority Certificates, trouvez le certificat dans le tableau dont le nom ressemble à Certificate Services Root CA - <ISE hostname>, et exportez-le.
4. Ajoutez les deux certificats au dossier data/ca_certs/ de Cloud Exchange comme indiqué ci-dessous, et redémarrez votre instance Cloud Exchange. Dans l’image ci-dessous, CertificateServicesRootCAC.crt et Defaultselfsignedservercerti.crt sont les 2 certificats exportés de Cisco ISE.

Accès non autorisé ou accès interdit

Si le plugin signale un accès non autorisé lors d’une extraction ou lors de la configuration du plugin, cela peut être dû à l’une des raisons suivantes :

• Le nom d’utilisateur ERS ou le mot de passe ERS configuré dans le plugin est incorrect.
• Le mot de passe du compte utilisateur ERS a changé ou a expiré.
• L’utilisateur ERS ne dispose pas des autorisations requises.

What to do:

1. Vérifiez que le nom d’utilisateur ERS et le mot de passe ERS dans la configuration du plugin correspondent aux identifiants du compte utilisateur ERS sur Cisco ISE.
2. Vérifiez si l’utilisateur dispose des autorisations requises. Reportez-vous aux sections Autorisations et Configuration sur la plateforme Cisco ISE.
3. Relancez le Test de connectivité pour confirmer que l’accès est rétabli.

Comportement connu

• Si le client pxGrid pour une configuration de plugin particulière est supprimé sur l’instance CISCO, vous devez alors configurer un New plugin.
• Si le plugin Cisco ISE est supprimé de votre instance Cloud Exchange, le client pxGrid associé à ce plugin ne sera pas supprimé. Il doit être supprimé manuellement.
• Lorsque la même adresse IP est signalée à la fois par les sessions actives et par le mappage statique SGT IP, l’enregistrement des sessions actives remplace complètement l’enregistrement du mappage statique SGT IP. Cela reflète l’état actuel et en temps réel du terminal.
• Les enregistrements de mappage statique IP SGT ne remplissent pas les champs suivants : adresse MAC, état de la session, adresse IP NAS, nom d'utilisateur, utilisateur AD, profils d'autorisation, dernière visite ou champs de posture MDM (conforme MDM, disque MDM chiffré, MDM Jail Broken, verrouillage par code PIN MDM). Ces champs sont définis sur Aucun pour tous les enregistrements de mappage statique IP SGT.
• Lors de l’extraction de données à partir de la page IP SGT Static Mapping, l’API ERS renvoie des adresses IP en notation CIDR (par exemple : 10.50.2.120/32). Si une adresse IP porte un préfixe /32, le plugin le supprime avant utilisation, de sorte que si la même adresse IP nue est également signalée par Live Sessions, les deux enregistrements fusionnent en un seul enregistrement d’hôte au lieu d’apparaître sous la forme de deux entrées distinctes. Toute autre longueur de préfixe (comme /24) est laissée telle quelle, car elle désigne un sous-réseau réel plutôt qu’un seul hôte.