Configurazione delle notifiche e-mail e SMS di ISE versione 1.4

Introduzione

Nel documento viene descritto come configurare Cisco Identity Services Engine (ISE) versione 1.4 per supportare le notifiche tramite e-mail e SMS (Short Message Service) per più servizi.

Prerequisiti

Requisiti

Cisco raccomanda una conoscenza di base dei servizi Cisco ISE e guest.

Componenti usati

Le informazioni di questo documento si basano sulle seguenti versioni hardware e software:

• Microsoft Windows versione 7 con Cisco AnyConnect Secure Mobility Client, versione 3.1
  
  
• Cisco Catalyst serie 3750X con software versione 15.0.2 e successive
  
  
• Cisco ISE versione 1.3 e successive

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

In questa sezione viene descritto come configurare l'ISE in modo da supportare le notifiche tramite e-mail e SMS per diversi servizi.

Impostazioni SMTP

Prima di poter utilizzare i servizi e-mail, ISE deve avere un server di inoltro SMTP (Simple Message Transfer Protocol) configurato. Per configurare il server, selezionare Amministrazione > Sistema > Impostazioni > Server SMTP:

Questo server deve essere in grado di accettare tutti i messaggi e-mail provenienti da ISE senza autenticazione o crittografia.

Nota: per la configurazione del server di inoltro SMTP, Cisco consiglia di aggiungere l'indirizzo IP ISE all'elenco delle eccezioni (autenticazione no o anonima) e di richiedere l'autenticazione da tutti gli altri host.

Impostazioni SMS

Affinché i servizi SMS funzionino con ISE, è necessario configurare un gateway SMS specifico. ISE supporta gateway Smtp2SMS e Http2SMS. Per impostazione predefinita, sono disponibili nove gateway preconfigurati per i provider noti (potrebbe essere necessario sintonizzarli). Per configurarli, selezionare Amministrazione > Sistema > Impostazioni > gateway SMS:

SMS Gateway tramite SMTP

Quando si configura il gateway SMS SMTP, l'unico campo obbligatorio è il campo Provider Domain, come indicato nella sezione SMS Gateway Settings for SMS Email Gateway della guida per l'amministratore di Cisco Identity Services Engine, versione 1.4.

Con le impostazioni predefinite (vuote), il valore del campo del modello del corpo dell'API SMTP è uguale al valore $message$.

Il valore predefinito del messaggio dipende dal servizio utilizzato. Per i servizi di notifica (quando si crea un account guest), è possibile configurarlo dalla pagina di personalizzazione del portale dello sponsor (Notifica notifica Guest/SMS). Questo è il valore predefinito:

È inoltre possibile personalizzare il valore del campo del modello del corpo dell'API SMTP. Le sostituzioni dinamiche supportate per il valore predefinito sono $mobilenumber$ e $message$. Ad esempio, quando si configura il valore $message$ del modello di test, questi dati vengono inviati nel payload SMTP:

Dopo la stringa del modello di test, il valore di $message$ verrà sostituito (in questo esempio per il servizio di notifica SMS).

Un altro esempio del valore del campo del modello del corpo dell'API SMTP è test template2 $mobilenumber$. Questo è il payload inviato quando viene utilizzato questo valore:

È importante notare una leggera differenza tra le variabili $mobilenumber$ e $message$. Normalmente, tutti i caratteri di spazio (spazi) vengono esclusi e sostituiti dal carattere +. Quando si utilizza la variabile $message$, vengono mantenuti i caratteri degli spazi vuoti.

Un esempio di gateway SMS SMTP (ClickatellViaSMTP) configurato con più valori nel campo del modello del corpo dell'API SMTP. Tutti questi valori sono statici (ad eccezione dei valori $message$ e $mobilenumber$). I valori vengono forniti per mostrare che è possibile regolare il payload e fornire dati aggiuntivi, che potrebbero essere richiesti dal provider SMTP. I valori visualizzati in lettere maiuscole devono essere sostituiti con i valori corretti, forniti dal provider (e saranno gli stessi per tutti i messaggi di posta elettronica inviati tramite questo provider).

Di seguito è riportato un esempio:

SMS Gateway tramite HTTP

Per il gateway HTTP2SMS, immettere SMS HTTP API per utilizzare un metodo di richiesta Get HTTP:

In genere, il provider SMS deve indicare gli attributi obbligatori da inviare e quelli facoltativi, nonché il tipo di stringa da inviare e il numero di porta (se diverso da 80).

Di seguito è riportato un esempio basato sul provider di servizi SMS AwalJawaly, e questa è la struttura dell'URL utilizzata: http://awaljawaly.awalservices.com.sa:8001/Send.aspx.

Questi sono i parametri obbligatori:

• Tipo di richiesta (SMSSubmitReq)
  
  
• Username
  
  
• Password
  
  
• Numero cellulare
  
  
• Messaggio

Di seguito sono riportati i parametri facoltativi: 

• Indirizzo di origine
  
  
• Tipo
  
  
• Ora di consegna
  
  
• Periodo di validità
  
  
• Lampeggiante
  
  
• Riconoscimento
  
  
• Crediti massimi
  
  
• ID messaggio client
  
  
• UDH (User Data Header)

Questo è l'URL utilizzato nell'esempio:

http://awaljawaly.awalservices.com.sa:8001/Send.aspx?REQUESTTYPE=SMSSubmitReq&Username=&Test&&Password=123456&MOBILENO=$mobilenumber$&MESSAGE=$message$

Nota: tutti i campi obbligatori sono inclusi nell'URL precedente. Se necessario, è possibile aggiungere alla stringa i campi facoltativi.

Di seguito sono riportate alcune note relative ai campi facoltativi:

1. Il nome utente e la password devono essere inclusi in questo collegamento (purtroppo, viene utilizzato testo non crittografato).
   
   
2. Il numero di cellulare viene preso automaticamente dal campo Numero di telefono durante l'esercizio di creazione guest dal portale degli sponsor.
   
   
3. Il campo del messaggio viene compilato automaticamente da questa posizione: Portale sponsor > Personalizzazione pagina portale > Notifica ospiti > Notifica SMS > Testo messaggio.

Dopo aver abilitato il metodo Use HTTP POST per la parte dati, viene utilizzata la richiesta HTTP POST:

Se si utilizza il metodo POST, specificare il tipo di contenuto, ad esempio testo normale o applicazione/xml. Tutte le altre informazioni devono essere condivise dal provider del servizio SMS.

Il campo Dati viene utilizzato principalmente con il metodo POST. Qualsiasi informazione utilizzata nel campo Dati per il metodo GET viene aggiunta alla fine dell'URI (Uniform Resource Identifier) per la richiesta HTTP GET.

Di seguito è riportato un esempio dell'URI per la richiesta GET HTTP:

Quando la variabile $message$ non viene utilizzata nel collegamento URL, ma le informazioni vengono immesse nel campo Dati, queste informazioni sono visibili accanto all'inizio (campo del messaggio) dell'URI per la richiesta GET HTTP:

Di seguito è riportato un esempio dell'URI per la richiesta GET HTTP:

Di seguito sono riportate alcune note sulla codifica:

• Campo URL – Questo campo non ha codifica URL. Il numero di cellulare dell'account guest viene sostituito nell'URL. Le sostituzioni dinamiche supportate sono $mobilenumber$ e $message$.
  
  
• Campo dati – Questo campo è codificato dall'URL dal sistema application/x-www-form-urlencoded. 
  
  
• Space – Ci sono due tipi di codifica URL, che differiscono nel modo in cui trattano gli spazi. Il primo (specificato da RFC 1738) tratta uno spazio come un altro carattere non valido in un URL e lo codifica come %20. Il secondo (quando il sistema application/x-www-form-urlencoded è implementato) codifica uno spazio come carattere + e viene utilizzato per creare le stringhe della query. La seconda opzione utilizza le funzioni urlencode( ) e urldecode( ) che differiscono dalle controparti raw (RFC 1738) solo in quanto codificano gli spazi come segni più (+) anziché come sequenza %20. Poiché ISE utilizza il sistema application/x-www-form-urlencoded per la crittografia del campo Data, lo spazio viene crittografato come carattere +.

Nota: se la variabile $message$ viene utilizzata direttamente in un collegamento URL o se la variabile $message$ viene utilizzata solo nel campo Dati, le informazioni vengono ricavate dal testo del messaggio sotto la notifica SMS (Pagina di personalizzazione del portale > notifica SMS). Tutti i dati nel campo di testo Messaggio sono codificati tramite URL.

Ecco due esempi:

Di seguito è riportato un esempio dell'URI per la richiesta GET HTTP:

Nota: il metodo GET non supporta HTTPS (è supportato solo dal metodo POST).

Notifica Guest con credenziali tramite posta elettronica

L'utente che crea gli account guest tramite il portale degli sponsor può inviare notifiche e-mail con le credenziali a tale utente specifico:

Questo messaggio e-mail viene inviato all'indirizzo e-mail del guest tramite l'inoltro SMTP configurato in precedenza. Lo sponsor può fornire qualsiasi e-mail utilizzata come Da. Se lo sponsor non fornisce l'indirizzo e-mail dell'ospite durante la creazione dell'account, ISE restituisce il seguente errore GUI (Graphic User Interface):

Unable to send email.

I criteri del server SMTP decidono se accettare o eliminare tale messaggio. Ad esempio, il server può essere configurato in modo da accettare messaggi e-mail solo dal dominio example.com.

Notifica Guest con credenziali tramite SMS

Affinché questa opzione funzioni, lo sponsor deve appartenere al gruppo sponsor che ha abilitato il privilegio:

Send SMS notifications with guests' credentials

Il gruppo sponsor predefinito (ALL_ACCOUNTS) non dispone di questo privilegio. Per modificare questa impostazione, selezionare Accesso guest > Configura > Gruppi di sponsor > ALL_ACCOUNTS:

Quando si sceglie una notifica tramite SMS, per impostazione predefinita non è disponibile alcuna opzione per scegliere un provider SMS specifico, pertanto viene utilizzato un provider predefinito. Per modificare questa impostazione, è possibile personalizzare il portale Sponsor. 

Per personalizzare il portale degli sponsor, selezionare Accesso guest > Configura > Portali sponsor > Portale sponsor. È quindi possibile scegliere l'opzione Personalizzazione pagina portale e scorrere verso il basso fino a Crea account per ospiti noti:

Nel riquadro di destra, modificare il valore da Precedente a Impostazioni, quindi selezionare il provider SMS desiderato (multiplo) per quella pagina:

Una volta personalizzata la pagina Crea account per guest noto del portale, lo sponsor che utilizza il portale ha la possibilità di selezionare un provider SMS durante la creazione di un account guest. Lo stesso provider viene utilizzato per ulteriori notifiche SMS:

Quando il gateway SMS non è raggiungibile o restituisce un errore, l'interfaccia grafica di ISE invia una notifica:

Unable to send SMS.

Nota: al momento della creazione dell'utente non viene inviato un SMS, ma quando viene selezionato il pulsante Notifica al termine della creazione dell'utente.

Utenti guest (registrazione automatica)

Gli account Guests possono essere creati automaticamente tramite il portale Guest con registrazione automatica. Gli utenti guest possono creare i propri account:

Per impostazione predefinita, le credenziali vengono fornite nella stessa pagina Web:

Le credenziali possono essere recapitate anche tramite e-mail o SMS.

Passare a Accesso guest > Configurazione > Portali guest > Portale guest con registrazione automatica > Impostazioni pagina registrazione automatica per consentire più gateway SMS per ospiti con registrazione automatica specifici:

Gli ospiti possono selezionare un provider SMS durante la creazione dell'account. Questa opzione viene utilizzata per fornire le credenziali ai telefoni cellulari:

Una volta completata la registrazione, nella pagina successiva viene visualizzata una password. Se non si desidera eseguire questa operazione, è possibile disattivarla dalla sezione Self Registration Success Page del portale. Dalla stessa pagina è inoltre possibile consentire all'ospite di recapitare manualmente la notifica via e-mail o SMS:

Per recapitare automaticamente le credenziali tramite e-mail o SMS (o entrambi), personalizzare l'ultima sezione delle impostazioni della pagina di autoregistrazione:

In questo caso, è necessario immettere un indirizzo e-mail e un numero di telefono durante la creazione dell'account guest.

Si tratta dell'unico flusso guest in cui le notifiche possono essere inviate automaticamente (subito dopo la registrazione dell'utente). Quando l'account utente guest viene creato da uno sponsor, questa opzione non è disponibile e la notifica viene inviata solo dopo che lo sponsor ha fatto clic manualmente sul pulsante Notifica.

Approvazione Guest Tramite E-Mail

Come descritto nella sezione precedente, gli ospiti possono registrarsi e avere un account registrato automaticamente. Tuttavia, è anche possibile abilitare l'approvazione dello sponsor per questo processo.

In questo caso, lo sponsor riceve un'e-mail che deve essere approvata (si fa clic su uno specifico link nell'e-mail). Solo allora l'account guest viene attivato. Per configurare questa funzione (per impostazione predefinita è disabilitata), selezionare Accesso guest > Configura > Portali guest > Portale guest con registrazione automatica > Impostazioni pagina registrazione automatica e abilitare l'opzione Richiedi utenti guest con registrazione automatica per l'approvazione:

È inoltre necessario fornire gli indirizzi di posta elettronica degli sponsor in grado di approvare l'account guest.

Di seguito sono riportate alcune impostazioni aggiuntive che è possibile configurare dalla pagina Impostazioni e-mail guest:

Queste impostazioni si applicano a tutti i tipi di notifiche guest (non solo alle notifiche approvate dallo sponsor).

Scadenza account guest tramite e-mail/SMS

Gli utenti guest possono essere informati quando l'account sta per scadere. Per configurare questa opzione (per tipo di ospite), selezionare Accesso ospite > Tipi di ospite > Appaltatore:

Tutti gli ospiti che sono contraenti riceveranno una notifica tre giorni prima della scadenza dell'account. La notifica può essere inviata tramite SMS e/o e-mail. Il provider specifico per SMS può essere selezionato e sarà utilizzato per tutti gli ospiti (anche se l'ospite specifico è registrato personalmente ed è autorizzato a utilizzare un provider SMS diverso).

Nella stessa sezione è disponibile l'opzione Invia messaggio di prova all'indirizzo. Ciò consente di verificare la disponibilità e la configurazione del server SMTP. Dopo aver fornito un indirizzo e-mail, viene recapitato questo messaggio:

Allarmi inviati tramite e-mail

L'ISE è in grado di inviare e-mail per gli allarmi di sistema rilevati. Per abilitare questa funzionalità, selezionare Amministrazione > Sistema > Impostazioni allarme > Notifica di allarme e fornire gli indirizzi e-mail Da e A:

Verificare che un allarme specifico sia abilitato dalla sezione Configurazione allarme:

Una volta attivato e attivato, all'attivazione dell'allarme verrà inviata un'e-mail. Di seguito è riportato un esempio del tipico avviso inviato:

ISE Alarm : Warning : No Accounting messages in the last 15 mins

No Accounting Start

Details :
No Accounting messages in the last 15 mins

Description :
No Accounting messages have been received from Network Device(s) in the past 15 minutes
 for any of the session(s) authorized by ISE Policy Service Nodes

Suggested Actions :
Ensure RADIUS accounting is configured on the Network Device(s), Check Network Device(s)
 configuration for local Authorization

*** This message is generated by Cisco Identity Services Engine (ISE) ***

Sent By Host : ise13

Invia SMS tramite API REST

L'ISE consente l'uso di un'API REST guest per creare utenti guest. Una volta creato un utente guest con il provider SMS corretto, è possibile inviare un SMS con l'API REST guest. Di seguito è riportato un esempio:

PUT https://<ISE-ADMIN-NODE>:9060/ers/config/guestuser/sms/444/portalId/
 ff2d99e0-2101-11e4-b5cf-005056bf2f0a
Authorization: Basic xxxxxxxxxxxxxxxxxxx
Accept:a pplication/vnd.com.cisco.ise.identity.guestuser.2.0+xml

Nell'esempio, 444 è l'ID utente guest e la stringa lunga (ff2d99e0-2101-11e4-b5cf-005056bf2f0a) è l'ID del portale (portale sponsor).

Nota: è necessaria l'autorizzazione HTTP di base per un utente sponsor corretto. Per ulteriori informazioni, consultare la guida di riferimento per le API.

Verifica

Attualmente non è disponibile una procedura di verifica per questa configurazione.

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.

Informazioni correlate

• Guida dell'amministratore di Cisco Identity Services Engine, versione 1.3
  
  
• Guida dell'amministratore di Cisco Identity Services Engine, versione 1.4€Â“ Configurazione dell'accesso guest
  
  
• Guida di riferimento all'API Cisco Identity Services Engine, versione 1.4€Â“ Invio di un SMS all'utente guest
  
  
• Guida per l'amministratore di Cisco Identity Services Engine, versione 1.3€Â“ Impostazioni di SMS Gateway
  
  
• Cisco ISE
  
  
• Documentazione e supporto tecnico – Cisco Systems