Cisco Cisco Identity Services Engine 1.3 기술 매뉴얼
从 5.x 版本思科安全 ACS 迁移
如果您在您的环境中运行的是 5.5 版本思科安全 ACS 之前的 5.x 版本思科安全 ACS，您必须升级至
5.5 或 5.6 版本的思科安全 ACS。
5.5 或 5.6 版本的思科安全 ACS。
相关主题
从更低版本的思科安全 ACS 迁移至思科 ISE ，第 3 页
5.5/5.6 版本思科安全 ACS 和 1.4 版本思科 ISE 策略模型
思科安全 ACS 和思科 ISE 都具有简且单基于规则的身份验证模式，但是思科安全 ACS 和思科 ISE
是基于不同的策略模型，这使得从思科安全 ACS 将策略迁移至思科 ISE 有点复杂。
是基于不同的策略模型，这使得从思科安全 ACS 将策略迁移至思科 ISE 有点复杂。
身份验证和授权策略可从 5.5/5.6 版本思科安全 ACS 迁移至 1.4 版本思科 ISE。 但是，1.4 版本思科
ISE 支持叫做“策略集”的新策略模型，其类似于 5.5/5.6 版本思科安全 ACS 中的服务选择策略 (SSP)
而且有助于简化策略迁移过程。
ISE 支持叫做“策略集”的新策略模型，其类似于 5.5/5.6 版本思科安全 ACS 中的服务选择策略 (SSP)
而且有助于简化策略迁移过程。
相关主题
思科安全 ACS 服务选择策略和思科 ISE 策略集
5.5/5.6 版本思科安全 ACS 服务选择策略 (SSP) 根据 SSP 规则向相应的服务分配请求，其中思科 ISE
策略集保留一条规则，此规则包含策略集的输入条件。 策略集的顺序与此准入规则顺序相同，类似
于 SSP 规则的顺序。
策略集保留一条规则，此规则包含策略集的输入条件。 策略集的顺序与此准入规则顺序相同，类似
于 SSP 规则的顺序。
多个 SSP 规则可能会请求思科安全 ACS 中相同的服务或重新使用服务。 但是，每个策略集都带有
自己的输入条件，因此您无法在思科 ISE 中重新使用策略集。 如果您想要迁移多个 SSP 规则请求的
一个服务，则必须创建属于该服务副本的多个策略集，这意味着您必须在思科 ISE 中为请求思科安
全 ACS 中相同服务的每个 SSP 规则创建一个策略集。
自己的输入条件，因此您无法在思科 ISE 中重新使用策略集。 如果您想要迁移多个 SSP 规则请求的
一个服务，则必须创建属于该服务副本的多个策略集，这意味着您必须在思科 ISE 中为请求思科安
全 ACS 中相同服务的每个 SSP 规则创建一个策略集。
在思科安全 ACS 中，您可以将 SSP 规则定义为被禁用或监控，而在思科 ISE 中策略集的同等准入规
则始终处于启用状态。 如果在思科安全 ACS 中 SSP 规则被禁用或监控，则 SSP 所请求的策略服务
无法迁移至思科 ISE。
则始终处于启用状态。 如果在思科安全 ACS 中 SSP 规则被禁用或监控，则 SSP 所请求的策略服务
无法迁移至思科 ISE。
相关主题
思科安全 ACS 策略服务和思科 ISE 策略集
您无需请求某个策略服务即可定义该服务，这意味着您可以在思科安全 ACS 中按照 SSP 中的规则将
策略服务定义为非活动状态。 5.5/5.6 版本思科安全 ACS 具有一项立即可用的 DenyAccess 服务，对
策略服务定义为非活动状态。 5.5/5.6 版本思科安全 ACS 具有一项立即可用的 DenyAccess 服务，对
1.4 版本思科身份服务引擎迁移工具指南
5
思科安全 ACS 至思科 ISE 数据迁移
从 5.x 版本思科安全 ACS 迁移