Cisco Identity Services Engine Release 1.1.x API リファレンス ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年5月29日
章のタイトル： Monitoring REST API の概要
Monitoring REST API の概要
『 Cisco Identity Services Engine API リファレンス ガイド 』には、サポート対象の 3 つのカテゴリの Representational State Transfer（REST）API および関連 API コール使用のガイドラインと使用例が記載されています。REST API とコールでは、ネットワークで Cisco Monitoring ISE ノードを使用することにより、セッションおよびノード固有の情報を収集することができます。セッションは、目的のノードへのアクセスの開始から情報の収集に必要なタスクまたは操作のセットの完了までの期間として定義されます。
Cisco ISE Release 1.1.1 でユーザが使用できる、サポート対象の Monitoring REST API のカテゴリは、次のとおりです。
（注） Monitoring ペルソナによって監視されているエンドポイントに関する情報を収集するためには、これらのサポート対象の REST API カテゴリだけを使用できます。Monitoring は、ISE のノード タイプが Cisco ISE リリース 1.1 の展開で実行できる、サポート対象の 3 つのペルソナの 1 つです。このガイドの残りの部分では、Cisco ISE ノードの Monitoring ペルソナを説明するため、「Monitoring ISE ノード」を使用します。
これらの API を Cisco ISE 展開における Cisco ISE アプライアンスの Policy service ペルソナに関する情報の収集に使用しようとすると、エラーが発生します。Cisco ISE ノードおよびペルソナに関する詳細については、『Cisco Identity Services Engine User Guide, Release 1.1.1』を参照してください。
REST API コールは、ユーザが Cisco Monitoring ISE ノードを通じてアクセスできるネットワークで、個々のエンド ポイントに格納されている重要なリアルタイムのセッション ベースの情報を検索、監視、収集する手段を提供します。
ユーザが収集するリアルタイムのセッション ベースの情報は、Cisco ISE 操作の理解、状態や問題の診断の支援に役立ちます。また、モニタリング業務に影響を与える可能性のあるエラー状態、アクティビティ、動作などのトラブルシューティングに使用することもできます。REST API が Cisco ISE 分散展開で果たす役割を図 1-1 に示します。
図 1-1 に示すように、REST（HTTPS）API コールは、サポートされているクライアントのタイプ（リモート Java、ブラウザ ベース、または PHP（ハイパーテキスト プリプロセッサ））によって使用され、Cisco Monitoring ISE ノードにアクセスして Cisco ISE 展開のエンド ポイントに格納されている重要なセッション ベースの情報を取得する目的で使用されます。
図 1-1 Cisco ISE の分散展開および REST API
Cisco Monitoring ISE ノードの確認
API コールを Cisco Monitoring ISE ノードで正常に呼び出す前に、監視するノードが有効な Cisco Monitoring ISE ノードであることを確認しておく必要があります。これを確認するには、正常にログインして、Cisco ISE ネットワークによって認証を受ける必要があります。
（注） パブリック REST API を使用できるようにするには、サポート対象の Cisco ISE 管理ロール（Helpdesk Admin、Identity Admin、Monitoring Admin、Network Device Admin、Policy Admin、RBAC Admin、Super Admin、System Admin）の有効なクレデンシャルを使用して、最初に Cisco ISE で認証を受ける必要があります。
ステップ 1
有効なログイン クレデンシャル（ユーザ名とパスワード）を [Cisco ISE ログイン（Cisco ISE Login）] ウィンドウに入力し、[ログイン（Login）] をクリックします。
Cisco ISE ダッシュボードとユーザ インターフェイスが表示されます。
ステップ 2 [許可（Authorization）] > [システム（System）] > [展開（Deployment）] の順に選択します。
展開されたすべての設定済みノードがリストされた [展開ノード（Deployment Nodes）] ページが表示されます。
ステップ 3 [展開ノード（Deployment Nodes）] ページの [ロール（Roles）] カラムに、監視するターゲット ノードのロールが Cisco Monitoring ISE ノード タイプとして表示されていることを確認します。
サポートされる API コール
ここでは、ノード固有またはセッション固有の情報を取得して表示するコールをプログラムで発行するためのインターフェイスを提供する REST API の概要を説明します。次の表に、API カテゴリと API コールのタイプ、API コールの形式の簡単な説明および例を示します。
• 表 1-1：セッション管理用のクエリー API コールを定義します。
• 表 1-2：トラブルシューティング用のクエリー API コールを定義します。
• 表 1-3：CoA API コールを定義します。
（注） このマニュアルで説明する API コールを実行するには、最初に Cisco ISE ネットワークにログインして認証を受けておく必要があります。パブリック REST API を使用するための認証要件については、「Cisco Monitoring ISE ノードの確認」を参照してください。
Cisco ISE でサポートされる REST API を使用して認証を受けるため、汎用プログラマチック インターフェイスを使用する計画の場合、Cisco ISE と使用するツールとの間を接続する REST ベースのクライアントを最初に作成する必要があります。次に、この REST クライアントを使用して Cisco ISE REST API での認証を実行し、API 要求を変換して Monitoring ISE ノードに送信します。そして、API 応答を再変換し、これらの応答を指定されたツールに引き渡します。
|
|
|
|---|---|
現在アクティブなポスチャ サービス セッションの数をリストします。 https://<ISEhost>/ise/mnt/api/Session/PostureCount （注） ポスチャとは、Cisco ISE ネットワークに接続しているすべてのエンドポイントの状態（またはポスチャ）の確認を支援するサービスです。 |
|
現在アクティブなプロファイラ サービス セッションの数をリストします。 https://<ISEhost>/ise/mnt/api/Session/ProfilerCount （注） プロファイラとは、Cisco ISE ネットワークにあるすべての接続エンドポイントの機能の識別、検索、確認を支援するサービスです。 |
|
| （注） 単純なセッション リストには、MAC アドレス、ネットワーク アクセス スイッチ（NAS）の IP アドレス、ユーザ名、セッションに関連付けられているセッション ID 情報が含まれます。Cisco Identity Services Engine Release 1.1.1 は、IPv6 に準拠していません。 （注） Cisco ISE における IPv6 のサポートの度合いは、IPv6 ネットワーク（IPv6 ステートレス自動設定および DHPv6 など）でアドレス指定されたノードに関係している場合だけです。ただし、Cisco ISE Release 1.1.1 プロトコル スタック（ランタイムや mgmt など）のいずれも IPv6 をサポートしません。 | |
| https://<ISEhost>/ise/mnt/api/Session/ActiveList （注） Cisco ISE のこのリリースでは、アクティブな認証済みエンドポイント セッションの表示可能な最大数は、100,000 に制限されています。 |
|
| https://<ISEhost>/ise/mnt/api/Session/AuthList/<parameteroptions> （注） starttime/endtime の形式は、yyyy-mm-dd hh24:MM:ss（例：2010-12-10 16:30:00）です。 （注） 異なる値を返す次のパラメータ オプションを指定できます。 • • • • 4 つのパラメータ オプションをすべて示すサンプルについては、「AuthList API コールから返されるサンプル データ」を参照してください。 （注） Cisco ISE のこのリリースでは、アクティブな認証済みエンドポイント セッションの表示可能な最大数は、100,000 に制限されています。 |
|
| （注） これは、指定された検索属性を含む最新のセッションのタイムスタンプに基づいた検索です。 | |
指定した MAC アドレスを含む最新のセッションについてデータベースを検索します。 https://<ISEhost>/ise/mnt/api/Session/MACAddress/<macaddress> （注） XX:XX:XX:XX:XX:XX は MAC アドレス形式です。大文字と小文字は区別されません（例：0a: 0B: 0c: 0D: 0e: 0F）。 （注） MAC アドレスは、監視対象の正しいセッションを検索する唯一の一意のキーとして機能します。MAC アドレスの検索のベースとすることが可能なアクティブなすべてのセッションと MAC アドレスをリストするには ActiveList API コールを使用します。 |
|
| 』の「User Password Policy」を参照してください。 | |
指定した NAS IP アドレスを含む最新のセッションについてデータベースを検索します。 https://<ISEhost>/ise/mnt/api/Session/IPAddress/<nasipaddress> （注） xxx.xxx.xxx.xxx は NAS IP アドレス形式（例：10.10.10.10）です。 |
|
セッション管理用の Cisco ISE クエリー API コールの詳細については、「セッション管理のためのクエリー API の使用」を参照してください。
|
|
|
|---|---|
| https://<ISEhost>/ise/mnt/api/Version ノードのタイプは、次の値（0 ～ 3）のいずれかです。 |
|
| https://<ISEhost>/ise/mnt/api/FailureReasons 各障害理由は、次の例に示すように、エラーコード（failureReason id）、簡単な説明（code）、障害理由（cause）、および可能な対処（resolution）を表示します。 <failureReason id="100009"> Cisco ISE 障害理由の完全なリストについては、 付録 A「Cisco ISE Failure Reasons Editor の使用」 を参照してください。 |
|
| https://<ISEhost>/ise/mnt/api/AuthStatus/MACAddress/<macaddress>/<numberofseconds>/<numberofrecordspermacaddress>/All （注） seconds パラメータ <numberofseconds> は、最短 0 秒から最長 432000 秒（5 日）の範囲でユーザが設定できます。 （注） 認証ステータスは、すべてのデータ フィールドが RADIUS_AUTH テーブルで使用可能なときに定義されます。 |
|
特定の期間内のすべてのセッションのアカウンティング ステータスを示します。 https://<ISEhost>/ise/mnt/api/Session/AcctStatusTT/MACAddress/ |
|
トラブルシューティング用の Cisco ISE クエリー API コールの詳細については、「セッション管理のためのクエリー API の使用」を参照してください。
Cisco ISE 認可変更 API コールに関する詳細については、「認可変更 REST API の使用」を参照してください。
HTTP PUT を使用したサポート対象の API コール
表 1-2 のセッションの認証ステータス取得 API コールと同様に、クライアントがアカウント ステータスを取得できるようにする REST API 実装の HTTP PUT バージョンがあります。REST API は、HTTP GET コールについて記述したこのマニュアルの例で示すように、HTTP PUT と HTTP GET の両方のコールをサポートします。HTTP PUT のバージョンは、パラメータの入力が必要な API の必要性に対処します。次のスキーマ ファイルの例は、アカウント ステータスの要求です。
フィードバック