Introducción
Este documento describe cómo configurar la integración de Cisco Identity Services Engine (ISE) 3.2 con Splunk over Data Connect para recuperar directamente los datos de informes de la base de datos de ISE. Puede crear sus propias consultas y crear sus propios informes gracias a él.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Cisco ISE 3.2
- Conocimientos básicos sobre consultas de Oracle
- Desplomarse
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- Cisco ISE 3.2
- Splunk 9.0.0
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Configurar
Configuraciones
Paso 1. Configuración de los parámetros de conexión de datos de ISE
1. Activar la conexión de datos
En ISE, navegue hasta Administration > System > Settings > Data Connect
y activar el botón Data Connect
. Introduzca la contraseña y haga clic en Save
.
Tome nota de la configuración de conexión de datos, que incluye User Name, Hostname, Port, and Service Name .
La conexión de datos está activada de forma predeterminada en MNT secundaria en una implementación distribuida. Encontrará más información sobre los escenarios de conmutación por fallo en la Guía del administrador.
2. Exportar certificado de conexión de datos
Funcionamiento en Step 1.
desencadenó la creación del certificado de conexión de datos. Los clientes que consultan ISE sobre Data Connect deben confiar en él.
Para exportar el certificado, vaya a Administration > System > Settings > Cetificate Management > Trusted Certificates
,seleccione Certificado con Data Connect Certificate
Nombre descriptivo y haga clic en Export
.
El certificado se exporta en formato PEM.
Paso 2. Configuración de Splunk
Nota: La instalación de Splunk está fuera del alcance de este documento.
1. Instale la aplicación Splunk DB Connect
Haga clic en + Find More Apps
en el menú principal.
ingrese Splunk DB Connect
en el menú de búsqueda y haga clic en Install
en contra Splunk DB Connect
Aplicación como se muestra en la imagen.
Ingrese las credenciales de Splunk para instalar la aplicación. Haga clic en Agree and Install
como se muestra en la imagen.
La instalación de la aplicación requiere reiniciar, haga clic en Restart Now.
2. Instalación de Controladores de Oracle
Según la documentación de Splunk, los controladores JDBC deben estar instalados. Instale el controlador Oracle a través de los complementos Splunk para DB Connect. Haga clic en Login to Download
como se muestra en la imagen.
Haga clic en Download.
En el menú Inicio, haga clic en el icono Engranaje situado junto a Apps
como se muestra en la imagen.
Haga clic en Install App from File.
Seleccione Archivo descargado anteriormente y haga clic en Upload
como se muestra en la imagen.
Vaya a Apps > Splunk DB Connect > Configuration > Settings > Drivers
haga clic en Reload
.Oracle
el controlador debe aparecer como Installed
.
3. Configuración de la identidad de la aplicación Splunk DB Connect
Nota: Para que la aplicación Splunk DB Connect funcione, Java (SE) debe estar instalado. A efectos de esta aplicación Java (SE), se ha instalado 11.
C:\Users\Administrator>java --version
java 11.0.15.1 2022-04-22 LTS
Java(TM) SE Runtime Environment 18.9 (build 11.0.15.1+2-LTS-10)
Java HotSpot(TM) 64-Bit Server VM 18.9 (build 11.0.15.1+2-LTS-10, mixed mode)
C:\Users\Administrator>
Vaya a Apps > Splunk DB Connect > Configuration > Databases > Identities
y haga clic en New Identity.
Configure el Identity Name
(valor arbitrario), Username
(dataconnect) y Password
desde Step 1.
y haga clic en Save
.
4. Configuración de Splunk DB Connect App Connection
Vaya a Apps > Splunk DB Connect > Configuration > Databases > Connections
y, a continuación, haga clic en New Connection.
Configure el Connection Name
(valor arbitrario). Seleccionar Identity
desde Configure Splunk DB Connect App Identity
paso. Seleccionar Connection Type
como Oracle
. Marque la casilla de verificación en el Edit JDBC URL
y pegue el valor:
jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=tcps)(HOST=10.48.17.20)(PORT=2484))(CONNECT_DATA=(SID=cpm10)))
El HOST se debe reemplazar con la dirección IP del nodo MNT del paso Enable Data Connect
como se muestra en la imagen.
Desplácese hasta la sección Certificado y pegue el contenido de DataConnectCertificate.pem
archivo de certificado y haga clic en Save
como se muestra en la imagen.
5. Configurar las entradas de conexión de Splunk DB
Vaya a Apps > Splunk DB Connect > Data Lab > Inputs and
clic New Input.
Seleccione Connection configurado en el paso Configure Splunk DB Connect App Connection .
Introduzca la consulta que desea utilizar para el sondeo. En este ejemplo, se utiliza la consulta Autenticación por nodo ISE:
select access_service as allowed_protocol, sum(passed_count) as passed, sum(failed_count) as failed, sum(passed_count) + sum(failed_count) as total, round(to_char(((sum(failed_count) / (sum(passed_count) + sum(failed_count))) * 100)), 2) as failed_percentage, round(to_char(sum(total_response_time)/(sum(passed_count) + sum(failed_count))), 2) as total_response_time, max(max_response_time) as max_response_time from radius_authentication_summary group by access_service;
Haga clic Execute SQL
para garantizar que la consulta funcione, también es necesario continuar. Haga clic en Next
como se muestra en la imagen.
Configurar la entrada Name
(valor arbitrario). Seleccionar Application
como Splunk DB Connect
. Establezca el Execution Frequency
(con qué frecuencia se envía la consulta a ISE).
Configure el Source Type
y Input
.
Verificación
Utilize esta sección para confirmar que su configuración funcione correctamente.
Para verificar y visualizar los datos de las respuestas, navegue hasta Apps > Splunk DB Connect > Data Lab > Inputs
. Haga clic en Find Events.
Desde Events
menú, puede desplazarse hasta Visualization.
Puede ajustar el menú Buscar y seleccionar la visualización que desee. La consulta del ejemplo utiliza un gráfico de tiempo y genera el gráfico basándose en el número máximo de intentos de autenticación pasados.
index=summary sourcetype=custom source=AuthenticationsbyISENode OR source=mi_input://AuthenticationsbyISENode| timechart span=5m max(PASSED)
Troubleshoot
Actualmente, no hay información específica de troubleshooting disponible para esta configuración.