Risk Exchange向けCisco ISEプラグイン

このドキュメントでは、Netskope Cloud ExchangeプラットフォームのRisk Exchangeモジュールを使用してCisco ISE v1.0.0プラグインを構成する方法について説明します。このプラグインは、Cisco Identity Services Engine（ISE）からIPアドレスマッピングへのセキュリティグループタグ（SGT）をフェッチし、それらをNetskope Cloud Exchangeのホストレコードとして利用できるようにします。これは、Operations > RADIUS > Live Sessionsページからライブセッションデータをプルし、Work Centers > TrustSec > Components > IP SGT Static Mappingページから静的IPからSGTへのマッピングデータをプルします。このプラグインは、Cisco ISEでアクションを実行することをサポートしていません。

前提条件

設定を完了するには、以下が必要です。

• Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
• Netskope Cloud Exchangeテナントには、テナントプラグインとリスクエクスチェンジプラグインが既に設定済みです。
• ユーザーアカウントを持つCisco ISEインスタンス。
• ERSおよびpxGrid APIはCisco ISEで有効になっています。
• The ERS-Admin or ERS-Operator role assigned to the ERS user account on Cisco ISE.
• オンプレミスのCisco ISEインスタンスの場合、IPからホスト名へのマッピングを、Cloud Exchangeのdocker-compose.ymlファイルに追加のホストとして追加する必要があります。
• 以下のホストへの接続性：
  • ポート 9060（ERS API）およびポート 8910（pxGrid API）上の Cisco ISE プライマリ管理ノード
• Secret Managerの構成については、こちらのドキュメントを参照してください。Azure Key Vault Secrets Managerのセットアップについては、こちらのドキュメントを参照してください。

Cisco ISEプラグインのサポート

このプラグインは、Cisco Identity Services Engine（ISE）からIPアドレスマッピングへのセキュリティグループタグ（SGT）をフェッチし、それらをNetskope Cloud Exchangeのホストレコードとして利用できるようにします。運用 > RADIUS > ライブセッション ページからライブセッションデータを、ワークセンター > TrustSec > コンポーネント > IP SGT静的マッピング ページから静的IP-SGTマッピングデータをプルします。

マッピング

マッピングは、プルされたホストの詳細を表示するために使う。プラグイン構成時にマッピングされたフィールドは、データがプルされた後にRecordsページに表示されます。プラグインを構成する際に使う推奨マッピングを次に示します。

ホストのマッピングの取得

権限

The ERS-Admin or ERS-Operator role assigned to the ERS user account on Cisco ISE.

{
    "SearchResult": {
        "total": 1,
        "resources": [
            {
                "id": "934557f0-8c01-11e6-996c-525400b48521",
                "name": "Auditors",
                "description": "Auditor Security Group",
                "link": {
                    "rel": "self",
                    "href": "https://10.50.1.14:9060/ers/config/sgt/934557f0-8c01-11e6-996c-525400b48521",
                    "type": "application/json"
                }
            }
        ]
    }
}

{
    "Sgt": {
        "id": "93ad6890-8c01-11e6-996c-525400b48521",
        "name": "Employees",
        "description": "Employee Security Group",
        "value": 4,
        "generationId": "0",
        "propogateToApic": true,
        "link": {
            "rel": "self",
            "href": "https://10.50.1.14:9060/ers/config/sgt/93ad6890-8c01-11e6-996c-525400b48521",
            "type": "application/json"
        }
    }
}

{
    "SearchResult": {
        "total": 2,
        "resources": [
            {
                "id": "439afd13-a7e3-40cd-87f1-20a70069ed7e",
                "name": "10.50.2.120/32",
                "link": {
                    "rel": "self",
                    "href": "https://10.50.1.14:9060/ers/config/sgmapping/439afd13-a7e3-40cd-87f1-20a70069ed7e",
                    "type": "application/json"
                }
            }
        ]
    }
}

{
    "SGMapping": {
        "id": "439afd13-a7e3-40cd-87f1-20a70069ed7e",
        "name": "10.50.2.120/32",
        "sgt": "93837260-8c01-11e6-996c-525400b48521",
        "deployTo": "70c79c30-8bff-11e6-996c-525400b48521",
        "deployType": "NDG",
        "hostIp": "10.50.2.120/32",
        "sgtDomain": [],
        "link": {
            "rel": "self",
            "href": "https://10.50.1.14:9060/ers/config/sgmapping/439afd13-a7e3-40cd-87f1-20a70069ed7e",
            "type": "application/json"
        }
    }
}

{ "nodeName": "<node_name>" }

{
    "nodeName": "netskope-cre-postman-1",
    "password": "••••••••••••••••",
    "userName": "netskope-cre-postman-1"
}

{ "description": "Netskope CRE Integration" }

{
    "accountState": "ENABLED",
    "version": "2.0"
}

{ "name": "com.cisco.ise.session" }

{
    "services": [
        {
            "name": "com.cisco.ise.session",
            "nodeName": "~ise-mnt-ciscoise-50-1-14",
            "properties": {
                "sessionTopic": "/topic/com.cisco.ise.session",
                "groupTopic": "/topic/com.cisco.ise.session.group",
                "wsPubsubService": "com.cisco.ise.pubsub",
                "restBaseURL": "https://CiscoISE-50-1-14.domain.local:8910/pxgrid/mnt/sd",
                "restBaseUrl": "https://CiscoISE-50-1-14.domain.local:8910/pxgrid/mnt/sd",
                "sessionTopicAll": "/topic/com.cisco.ise.session.all"
            }
        }
    ]
}

{ "peerNodeName": "<provider_node_name>" }

{ "secret": "••••••••••••••••" }

{ "filter": "ctsSecurityGroup == '<sgt_name>'" }

{
  "sessions": [
    {
      "timestamp": "2026-09-14T08:48:02.248Z",
      "state": "AUTHENTICATED",
      "userName": "scanuser",
      "callingStationId": "AA:BB:CC:11:22:33",
      "calledStationId": "CORP-WIFI-AP1",
      "ipAddresses": ["192.168.100.10"],
      "macAddress": "AA:BB:CC:11:22:33",
      "nasIpAddress": "10.50.14.30",
      "nasPortType": "Wireless - IEEE 802.11",
      "endpointProfile": "Unknown",
      "ctsSecurityGroup": "Production_Users",
      "adNormalizedUser": "scanuser",
      "providers": ["None"],
      "endpointCheckResult": "none",
      "identitySourcePortStart": 0,
      "identitySourcePortEnd": 0,
      "identitySourcePortFirst": 0,
      "serviceType": "Framed",
      "networkDeviceProfileName": "Cisco",
      "radiusFlowType": "Wireless802_1x",
      "ssid": "CORP-WIFI-AP1",
      "mdmRegistered": false,
      "mdmCompliant": false,
      "mdmDiskEncrypted": false,
      "mdmJailBroken": false,
      "mdmPinLocked": false,
      "selectedAuthzProfiles": ["PermitAccess1"],
      "authMethod": "dot1x",
      "authProtocol": "PAP_ASCII",
      "ctsSecondarySecurityGroups": [],
      "sxpDomains": [],
      "inboundSgtDomainRules": [],
      "workloadClassification": [],
      "sessionSource": 0,
      "vrf": "",
      "destinationIPAddress": "10.50.1.14"
    }
  ]
}

パフォーマンスマトリックス

次は、500kホストをプルすることでこれらの仕様を持つ大規模なCEスタックで実行されたパフォーマンス行列です。

ユーザーエージェント

netskope-ce-7.0.0-cre-cisco-ise-v1.0.0

ワークフロー

1. ISEプライマリ管理ノードのベースURLを取得します。
2. Cisco ISEでユーザーを作成します。
3. Cisco ISEプラグインを構成します。
4. 構成されたプラグインについて、Cisco ISE上のpxGridクライアントを承認します。
5. ビジネスルールを設定します。
6. Risk Exchange のアクションの構成
7. プラグインを検証してください。

動画を見る

再生ボタンをクリックして動画をご覧ください。

ISEプライマリ管理ノードのベースURLを取得する

1. Cisco ISEインスタンスにログインし、Administration > System > Deploymentに移動します。
2. FQDNを使ってISEプライマリ管理ノードのベースURLを形成してください。

   

Cisco ISEでユーザーを作成する

1. Cisco ISEインスタンスにログインし、Administration > Admin Access > Administrators > Admin Usersに移動します。

   

2. Addをクリックして、新しいユーザーを作成します。

   

3. 必要に応じて名前と電子メールを入力し、ユーザーのパスワードを設定します。

   

4. ユーザー情報を入力し、管理者グループをERS Operatorに設定します。

   

5. Submitをクリックして新しいユーザーを作成します。ユーザー名とパスワードをコピーします。これらはCisco ISEプラグインの設定時に使用します。

Cisco ISEプラグインの設定

1. Cloud Exchangeで、Settings > Plugin Storeに移動します。Cisco ISE v1.0.0 (CRE) プラグインを検索して選択します。

   

2. プラグイン構成名を入力し、必要に応じて同期間隔を変更します。

   

3. Nextをクリックして、設定パラメータを入力してください。

   • ISE Primary Admin Node Base URL: Cisco ISEプライマリ管理ノードのベースURL。オンプレミスのCisco ISEインスタンスがある場合、IPからホスト名へのマッピングをCloud Exchangeの docker-compose.yml ファイルに余分なホストとして追加する必要があることに注意してください。
   • SGT-IP Mapping Source: このプラグインがSGT-to-IPマッピングデータをどこから取得するかを選択します。
     Live Sessionsは、pxGrid APIを使用してライブセッションデータをプルします。
     IP SGT Static Mappingは、ERS APIを使用してISEで構成された静的SGT-to-IPマッピングをプルします。両方を選択できます。同じIPアドレスで2つの間に競合が発生した場合、Live SessionsデータがIP SGT Static Mappingデータよりも優先されます。
   • SGT Name Filter: データ収集を制限するためのセキュリティグループタグ名のカンマ区切りリスト（オプション）。「ライブセッション」と「IP SGTスタティックマッピング」の両方のソースに適用されます。すべてのセキュリティグループタグのデータを取得するには、空のままにしてください。
   • ERS Username: Cisco ISE ERS APIのユーザー名。ISE管理コンソールの Administration > Identity Management > Identities > Users で利用可能です。
   • ERS Password: ERSユーザー名に指定されたCisco ISE ERS APIユーザーのパスワード。
   • SSL Validation: Cloud Exchange独自のSSL検証チェックボックスとは無関係に、ISEプライマリ管理ノードへのすべてのERSおよびpxGridリクエストに対するSSL/TLS証明書検証を制御します。
     SSL検証を無効にするは、証明書の検証を完全にスキップします。
     システムデフォルトを使うは、Cloud Exchangeホストのデフォルトの信頼済みCAストアに対して検証します。
     カスタムSSL証明書を使うを選択すると、その下に証明書テキストエリアが表示されます。自己署名証明書やプライベートCA証明書など、ISEの証明書をそこに提供してください。SSL検証が有効になっている場合は、ライブセッションとIP SGT静的マッピングの両方の証明書が必要になることに注意してください。
   • Certificate: ISE管理コンソールのAdministration > System > Certificates > Certificate Management > System Certificatesに移動し、テーブルで使う By列がAdminになっている証明書を見つけてエクスポートします。Administration > System > Certificates > Certificate Authority > Certificate Authority Certificatesに移動し、テーブル内から名前がCertificate Services Root CA - <ISE hostname>のような証明書を見つけてエクスポートします。両方の証明書が必要です。これらをこのフィールドに続けて貼り付けてください。「—–BEGIN CERTIFICATE—–」/「—–END CERTIFICATE—–」ブロックのみを貼り付けてください。ISEまたはブラウザがそれらの前後に追加した追加テキストを削除します。

   

   

4. Nextをクリックします。Entity ドロップダウンから必要なエンティティを選択し、必要に応じてフィールドマッピングを提供してください。Add New Entity をクリックして新しいエンティティを作成できます。

   

   新しいフィールドを作成するには、 Add Fieldをクリックしてください。

   

   必要に応じてフィールドラベル、データ型、正規化、集計戦略を指定し、Saveをクリックします。

   

   作成したフィールドをマッピングします。

   

   

   プラグインを設定する前に、「マッピング」セクションを参照してください。

5. Saveをクリックしてください。

   

設定済みプラグインのpxGridクライアントを承認する

1. Cisco ISEで、Administration > pxGrid Services > Client Management に移動します。

   

2. ここで、構成されたプラグインに対して既に作成されたpxGridクライアントが保留状態で表示されます。

   

3. そのpxGridクライアントを選択し、Approveをクリックして承認します。

   

Cisco ISEのRisk Exchangeビジネスルールを設定する

1. Risk ExchangeでBusiness Rulesに移動してください。

2. 右上隅のCreate New Ruleクリックしてください。

3. ルール名を入力してください。Select Cisco ISEプラグイン用に構成されたフィールドのエンティティを選択し、要件に基づいてクエリを構成します。

   

4. プラグインから取得したデータをフィルタリングする例を次に示します。Saveをクリックします。

   

Cisco ISEのRisk Exchangeアクションを構成する

Cisco ISEプラグインは、次のアクションタイプをサポートしています。

• アクションなし: このアクションに対しては何も実行されません。このアクションを使用してアラートを生成トグルを有効にすると、Ticket OrchestratorでUBAアラートを生成できます。

No Action

1. Risk ExchangeでActionsに移動し、 Add Action Configurationをクリックします。
2. それぞれのドロップダウンメニューから、必要なビジネスルール、設定、およびアクションSelect 。
3. 取得したレコードに対して操作を実行する前に承認が必要な場合は、 「承認が必要」トグルを有効にしてください。
4. Saveをクリックしてください。

Cisco ISEプラグインを検証する

Cloud Exchangeで検証する

プルを検証するには：

Risk Exchangeで、Records に移動します。フィールドマッピングを構成する際に選択されたエンティティを選択して、プルされたレコードを表示します。

取得したレコードに関連するログを確認するため。Settings > Loggingに移動し、プラグイン名またはプラグイン設定名でフィルタを適用します。

アクション検証

実行された「アクションなし」のアクションのログ：

プルされたレコードが構成されたビジネスルールのいずれかに一致すると、構成されたアクションがそのレコードに対して実行されます。これは Risk Exchange > Action Logs で確認できます。

Cisco ISEで検証

Cisco ISEで利用可能なレコードを表示するには、Cisco ISEインスタンスにログインします。

Operations > RADIUS > Live Sessionsに移動します。ライブセッション記録をCloud Exchangeにプルするページです。

Work Centers > TrustSec > Components > IP SGT Static Mappingへ移動します。これは、静的IPからSGTへのマッピングデータをCloud Exchangeにプルするページです。

Cisco ISEプラグインのトラブルシューティング

pxGridノードアカウントを取得する際、管理者の承認待ちエラーが発生する

Cisco ISEインスタンスでpxGridノードアカウントが有効になっていない場合、プラグイン構成の編集中にユーザーに「pxGridノードアカウントが管理者による承認を待機中」というエラーが表示されます。

What to do: Administration > pxGrid Services > Client Management から特定のプラグインに対してpxGridクライアントを有効にする必要があります。構成済みプラグインのpxGridクライアントを承認するを参照してください。

Cloud Exchangeでレコードをプルできない

Cloud Exchangeでレコードをプルできない場合、プラグイン設定のマッピングが空であるか、Cisco ISEプラットフォームにレコードが存在しないか、pxGridクライアントがCisco ISEインスタンスで承認されていない可能性があります。

What to do:

1. プラグイン構成がフィールドをマッピングしたことを確認します。マッピングのセクションを参照してください。
2. レコードがCisco ISEプラットフォームに存在することを確認してください。Cisco ISEでの検証のセクションを参照してください。
3. 特定のプラグイン用に構成されたpxGridクライアントが、Cisco ISEインスタンスで承認されていることを確認します。構成されたプラグインのpxGridクライアントを承認するのセクションを参照してください。

Cisco ISEプラットフォームとの接続を確立できませんのエラーが発生する

オンプレミスのCisco ISEセットアップでプラグインを構成中にCisco ISEプラットフォームへの接続を確立できない場合、Cloud Exchangeの docker-compose.yml ファイルに既知のホストが欠落している可能性があります。

What to do:

1. Cloud ExchangeがインストールされているVMにSSHで接続します。
2. 実行中のCloud Exchangeインスタンスを停止します。
3. docker-compose.ymlファイルを編集し、coreセクションの下にextra hostsセクションを追加します。
   フォーマット:

   extra_hosts:
         - "<FQDN>:<IP>"

   

4. Cloud Exchangeを起動し、プラグインを設定します。

SLError(SSLCertVerificationError(1, ‘[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failedエラーが発生

「Use System Default SSL Validation（システムのデフォルトのSSL検証を使う）」でプラグインを構成中にSLError(SSLCertVerificationError(1, ‘[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed error（SSL：証明書検証エラー（1、‘[SSL：証明書の検証に失敗しました]証明書の検証に失敗しましたエラー）』が発生する可能性があります。Cloud Exchangeのdata/ca_certs/フォルダに証明書が存在しないことが原因である可能性があります。

What to do:

1. Cisco ISEインスタンスにログインします。
2. Go to Administration > System > Certificates > Certificate Management > System Certificates in the ISE Admin Console, find the certificate in the table whose Used By column shows Admin, and export it.
3. Administration > System > Certificates > Certificate Authority > Certificate Authority Certificates に移動し、テーブル内の名前が Certificate Services Root CA - <ISE hostname> のような証明書を見つけてエクスポートします。
4. 以下に示すように、両方の証明書をCloud Exchangeのdata/ca_certs/フォルダーに追加し、Cloud Exchangeインスタンスを再起動します。下の画像では、CertificateServicesRootCAC.crtとDefaultselfsignedservercerti.crtは、Cisco ISEからエクスポートされた2つの証明書です。

不正なアクセスまたはアクセス禁止

プラグインがプル中またはプラグインの設定中に「Unauthorized Access（不正なアクセス）」をレポートする場合、以下のいずれかの理由が考えられます。

• プラグインで設定されたERSユーザー名またはERSパスワードが正しくありません。
• ERSユーザーアカウントのパスワードが変更されたか、期限切れです。
• ERSユーザーには必要な権限がありません。

What to do:

1. プラグイン構成のERSユーザー名とERSパスワードが、Cisco ISEのERSユーザーアカウントのクレデンシャルと一致することを確認してください。
2. ユーザーに必要な権限があるかどうかを確認します。権限およびCisco ISEプラットフォームの設定のセクションを参照してください。
3. 「接続のテスト」を再実行して、アクセスが復旧したことを確認します。

既知の動作

• CISCOインスタンスで特定のプラグイン設定のpxGridクライアントが削除された場合は、新しいプラグインを設定する必要があります。
• Cloud ExchangeインスタンスからCisco ISEプラグインが削除された場合、そのプラグインに関連付けられたpxGridクライアントは削除されません。手動で削除する必要があります。
• Live SessionsとIP SGT Static Mappingの両方で同じIPアドレスが報告された場合、Live SessionsレコードはIP SGT Static Mappingレコードを完全に置き換えます。これは、エンドポイントのより最新のライブ状態を反映しています。
• IP SGT静的マッピングレコードは、以下のフィールドに入力されません：MACアドレス、セッション状態、NAS IPアドレス、ユーザー名、ADユーザー、承認プロファイル、最終確認、またはMDMポスチャフィールド（MDM準拠、MDMディスク暗号化、MDMジェイルブレイク、MDM PINロック）。これらのフィールドは、すべてのIP SGT静的マッピングレコードに対して「なし」に設定されます。
• IP SGT静的マッピングページからデータを取得する際、ERS APIはCIDR表記でIPアドレスを返します（例：10.50.2.120/32）。IPアドレスに/32プレフィックスが付いている場合、プラグインはそれを使う前に削除します。その結果、同じベアIPアドレスもLive Sessionsによってレポートされた場合、2つのエントリとして表示されるのではなく、2つのレコードが単一のホストレコードに統合されます。他のプレフィックス長（/24など）は、単一のホストではなく実際のサブネットを示すため、そのまま残されます。