catch-img

これ一台でアクセス管理！Cisco ISEの構成についての紹介

吉村 友喜(よしむら ともき)テクニカル

Tech_ネットワークCiscoネットワークネットワーキングソリューションVMwareサーバ

皆様こんにちは、Ciscoセキュリティ担当の吉村と申します。

本日は、ISEの構成についてご説明させていただきます。

ISE は、RADIUS サーバとして動作し、様々なセキュリティポリシーの管理・設定・適用・監視を行うサーバです。

スイッチや WLAN コントローラなどの NAD （Network Access Device）からみた AAA（Authentication, Authorization, Accounting / 認証、認可、アカウンティング） を行うサーバとして利用する位置づけになります。

目次[非表示]

  1. 1.ISEの構成
    1. 1.1.現行機種
    2. 1.2.導入にあたっての構成
  2. 2.構成の種類
    1. 2.1.小規模分散構成(スタンドアロン)
    2. 2.2.小規模分散構成(冗長構成)
    3. 2.3.中規模分散構成
    4. 2.4.大規模分散構成



ISEの構成

現行機種

現在、ISEの物理アプライアンスは以下の3種類があります。

型番の数字が大きくなるにつれてスペックが上がると考えていただいて問題ございません。

表1. ISE現行物理アプライアンス一覧

型番
Description
HW構成

SNS-3615-K9*

Small Secure Network Server for ISE Applications
32GB RAM , 600GB SAS 10k rpm and 8-Core CPU
SNS-3655-K9*

Medium Secure Server for ISE Applications

96GB RAM , 600GBx4 SAS 10k rpm and 12-Core CPU

SNS-3695-K9*

Large Secure Server for ISE Applications

256GB RAM , 600GBx8 SAS 10k rpm and 12-Core CPU

SNS-3715-K9**

Small Secure Network Server for ISE Applications

32-GB RAM, 600GB 12G SAS 10K RPM SFF HDD and 12-Core CPU

SNS-3755-K9**

Medium Secure Network Server for ISE Applications

96 GB RAM, 600GB 12G SAS 10K RPM SFF HDD and 20-Core CPU

SNS-3795-K9**

Large Secure Network Server for ISE Applications

256 GB RAM, 600GB 12G SAS 10K RPM SFF HDD and 20-Core CPU

SNS-3815-K9

Small Secure Network Server for ISE Applications

64-GB RAM, 960GB 2.5in U.3 15mm P7450 Hg Perf Med End NVMe and 16-Core CPU

SNS-3855-K9

Medium Secure Network Server for ISE Applications

64-GB RAM, 960GB 2.5in U.3 15mm P7450 Hg Perf Med End NVMe and 16-Core CPU

SNS-3895-K9

Large Secure Network Server for ISE Applications

64-GB RAM, 960GB 2.5in U.3 15mm P7450 Hg Perf Med End NVMe and 16-Core CPU

より詳細なスペックにつきましては、各データシート等をご参照ください。

また本記事の最後にもパフォーマンスシートのリンクを載せておりますので、そちらも併せてご参照ください。

*SNS-36XXシリーズはEoS：2023/8 （2025年11月追記）

**SNS-37XXシリーズはEoS：2025/12 （2025年11月追記）

 Cisco Identity Services Engine - End-of-Sale and End-of-Life Announcement for the Cisco Secure Network Server 3615, 3655 and 3695Cisco announces the end-of-sale and end-of-life dates for the Cisco Secure Network Server 3615, 3655 and 3695. The last day to order the affected product(s) is August 17, 2023. Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). Table 2 lists the product part numbers affected by this announcement. For customers with active and paid service and support contracts, support will be available under the terms and conditions of customers' service contract.<a href=' https://www.cisco.com/c/en/us/products/collateral/security/identity-services-engine/secure-network-server-3615-3655-3695-eol-fr.html'>Click here for the French Version of this Bulletin.</a>Cisco
 Cisco Identity Services Engine - End-of-Sale and End-of-Life Announcement for the Cisco Secure Network Server 3715, 3755 and 3795Cisco announces the end-of-sale and end-of-life dates for the Cisco Secure Network Server 3715, 3755 and 3795. The last day to order the affected product(s) is December 30, 2025. Customers with active service contracts will continue to receive support from the Cisco Technical Assistance Center (TAC) as shown in Table 1 of the EoL bulletin. Table 1 describes the end-of-life milestones, definitions, and dates for the affected product(s). Table 2 lists the product part numbers affected by this announcement. For customers with active and paid service and support contracts, support will be available under the terms and conditions of customers' service contract. <a href='https://www.cisco.com/c/en/us/products/collateral/security/identity-services-engine/secure-network-server-3715-3755-3795-eol-fr.html'>Click here for the French Version of this Bulletin.</a>Cisco

また、バーチャルアプライアンスもあり、ISE3.1～ではVMアプライアンスは以下のプラットフォームをサポートしています

・VMware ESXi 6.5 and later, 7.x

・Microsoft Hyper-V on Microsoft Windows Server 2012 R2 and later

・KVM on QEMU 2.12.0-99

・Nutanix AHV 20201105.2096

・VMware cloud in Amazon Web Service(AWS)

・Azure VMware solution

・AWSマーケットプレイス

※プラットフォームの対応状況はバージョンによって異なりますので、Release note等で必ずご確認ください。

3.4リリースノート(2025年11月時点推奨バージョン)

>Compatibility

>Supported virtual environments

 Cisco Identity Services Engine 3.4 - Release Notes for Cisco Identity Services Engine, Release 3.4Release Notes for Cisco Identity Services Engine, Release 3.4Cisco

導入にあたっての構成

ISEの導入構成ですが、検討にあたり役割ノードというのを考慮する必要があります。

役割ノードは以下の表のように4つあり、これらをペルソナと呼びます。

また、ペルソナによってはスタンドアロン、プライマリ、セカンダリなどの役割(ロール)を持つものもあります。

これらのペルソナをどのように動作させるかにより、導入構成が決まってきます。

表2. ペルソナ一覧

名前
役割
PSN(Policy services Node)
ポリシーに対する決定を行う。Radiusサーバとして動く認証そのもの。
Admin,PAN(Policy Administration Node)
GUIそのものを提供し、ポリシーの設定等を実施する。Primary/Secondaryのロールを持つ。
MnT(Monitoring and Troubleshooting Node)
レポーティングやロギングを行うもの。Primary/Secondaryのロールを持つ。
pxGrid Controller
pxGridの機能を使う際に使用するもの。

ペルソナ間の関係参考図

構成の種類

小規模分散構成(スタンドアロン)

ISE1台構成で4つのペルソナをすべて稼働させる構成となります。

本構成では、冗長性がないためISE障害時に認証がすべて止まってしまうため、あまり推奨しておりません。

サポートする最大エンドポイント数は、プラットフォームによって異なり、以下のようになっております。

  • 3615：最大10000
  • 3655：最大25000
  • 3695：最大50000
  • 3715：最大25000
  • 3755：最大50000
  • 3795：最大50000
  • 3815：最大25000
  • 3855：最大50000
  • 3895：最大50000

小規模分散構成(冗長構成)

ISE2台構成することで、それぞれに3つのペルソナをすべて稼働させ、冗長性を提供する構成となります。

PANとMnTはPrimary/Secondaryを指定することができ、PSNに関しましては、2台のISEで両アクティブとして動作致します。

サポートする最大エンドポイント数は、プラットフォームによって異なりますが、1のスタンドアロン構成でのサポート数と同じになることに注意してください。

  • 3615：最大10000
  • 3655：最大25000
  • 3695：最大50000
  • 3715：最大25000
  • 3755：最大50000
  • 3795：最大50000
  • 3815：最大25000
  • 3855：最大50000
  • 3895：最大50000

また本構成では、障害復旧後のタイミングで行われる切り戻し作業の際に認証断が発生するタイミングがありますため、認証断が許容できない場合は非推奨となります。

中規模分散構成

分散構成では、複数のISEを親と子というような関係性を作り冗長性を確保します。

ペルソナを異なるISEノードに分散させて提供する構成です。

親として、PANとMnTのPrimary/Secoundaryで2台用意し、その配下に子としてPSNノードを配置する形になります。

必ず親2台、子複数台という構成になり、親2台、子2台の計4台が最小構成となります。

またPSNは最大6台まで構成可能となっております。※ISE 3.0から

サポートする最大エンドポイント数は、PANとMnTを収容しているプラットフォームによって異なりますが、1のスタンドアロン構成でのサポート数と同じになることに注意してください。

  • 3615：最大10000
  • 3655：最大25000
  • 3695：最大50000
  • 3715：最大75000
  • 3755：最大150000
  • 3795：最大150000
  • 3815：最大75000
  • 3855：最大150000
  • 3895：最大150000

大規模分散構成

大規模分散構成では、親の関係であるPANとMnTノードのPrimaryとSecoundaryをそれぞれISE1台ずつ持たせ、親計4台とPSNを持つ子(2台から50台まで)で構成されます。

親4台、子2台の計6台が最小構成となります。

また、PSNは最大50台まで構成可能となっております

PANとMnTを収容しているプラットフォームは、3655/3695/3755/3795/3855/3895で構成する必要があります。(2025年11月追記)

サポートする最大エンドポイント数は、PANとMnTを収容しているプラットフォームによって異なります。

  • 3655：最大500000
  • 3695：最大2000000
  • 3755：最大750000
  • 3795：最大2000000
  • 3855：最大750000
  • 3895：最大2000000

ISEの構成について、より詳細な情報が欲しい場合につきましては、以下のメーカガイドをご参照いただければと思います。

ペルソナのより詳細な役割などが記載されております。

 Cisco Identity Services Engine Installation Guide, Release 3.4 - Network Deployments in Cisco ISE [Cisco Identity Services Engine 3.4]This chapter deals with various network deployments in Cisco ISE.Cisco

また、本記事で記載したエンドポイントサポート数などの数値につきましては、下記のパフォーマンスシートから抜粋しているものになっております。

あわせて、以下もご参照ください。

 Performance and Scalability Guide for Cisco Identity Services EnginePerformance and Scalability Guide for Cisco Identity Services Engine-Quick Start Guide: Performance and Scalability Guide for Cisco Identity Services EngineCisco

今回はISEの構成について、解説させていただきました。

次回はISEのライセンスについて紹介いたします。

■関連記事

https://solution.netone-pa.co.jp/blog/438

吉村 友喜(よしむら ともき)
吉村 友喜(よしむら ともき)
ネットワンパートナーズ　セールスエンジニアリング 第一チーム　エンタープライズ製品担当 3度の飯よりうどんが好き

前の記事

prev-article-image

これ一台でアクセス管理！Cisco ISEのライセンスの紹介

次の記事

next-article-image

Meraki MVでアイデア創出！Cisco D-1グランプリ受賞の裏側を参加メンバーに聞く

ご不明な点はお気軽に
お問い合わせください
お問い合わせ
ソリューション・カタログは
こちら
資料ダウンロード

新着記事一覧

製品/ソリューションカタログはこちら
nopとは？

サイト内検索

記事カテゴリ一覧

目的から探す

人気記事

footer_logo
上へ戻る

©2020 Net One Partners Co., Ltd.