説明
https://www.cisco.com/c/en/us/td/docs/security/ise/2-1/admin_guide/b_ise_admin_guide_21/b_ise_admin_guide エンドポイント用に作成されるデフォルトのエンドポイント ID グループCisco ISE は、デフォルトで次の 5 つのエンドポイント ID グループを作成します。 : ブラックリスト、ゲストエンドポイント、プロファイル済み、登録済みデバイス、および不明。さらに、プロファイルされた（親）アイデンティティ グループに関連付けられる、Cisco-IP-Phone や Workstation などのさらに 2 つのアイデンティティ グループを作成します。親グループは、システムに存在するデフォルトのアイデンティティ グループです。
Cisco ISE は、次のエンドポイント ID グループを作成します。
* ブラックリスト - このエンドポイント ID グループには、Cisco ISE でこのグループに静的に割り当てられているエンドポイントと、デバイス登録ポータルでブロック リストに登録されているエンドポイントが含まれます。Cisco ISE で認可プロファイルを定義して、このグループ内のエンドポイントへのネットワーク アクセスを許可または拒否できます。
* GuestEndpoints - このエンドポイント ID グループには、ゲスト ユーザーが使用するエンドポイントが含まれます。
* Profiled - このエンドポイント ID グループには、Cisco ISE の Cisco IP Phone とワークステーションを除く、エンドポイント プロファイリング ポリシーに一致するエンドポイントが含まれます。
* RegisteredDevices - このエンドポイント ID グループには、従業員がデバイス登録ポータルを通じて追加した登録済みデバイスであるエンドポイントが含まれます。プロファイリング サービスは、これらのデバイスがこのグループに割り当てられている場合、通常どおりプロファイリングを継続します。エンドポイントは Cisco ISE のこのグループに静的に割り当てられ、プロファイリング サービスはエンドポイントを他の ID グループに再割り当てすることはできません。
これらのデバイスは、エンドポイント リスト内の他のエンドポイントと同様に表示されます。デバイス登録ポータルを通じて追加したこれらのデバイスは、Cisco ISE の [エンドポイント] ページのエンドポイント リストから編集、削除、ブロックできます。デバイス登録ポータルでブロックしたデバイスは、ブラックリスト エンドポイント ID グループ、および Cisco ISE に存在する認可プロファイルに割り当てられます。
* ブロックされたデバイスを URL にリダイレクトします。この URL には、ブロックされたデバイスへのデフォルトのポータル ページである「不正なネットワーク アクセス」が表示されます。
* 不明 - このエンドポイント ID グループには、Cisco ISE のどのプロファイルにも一致しないエンドポイントが含まれています。
上記のシステム作成エンドポイント ID グループに加えて、Cisco ISE は次のエンドポイント ID グループを作成し、プロファイリングされた ID グループに関連付けます。
* Cisco-IP-Phone - ネットワーク上でプロファイルされたすべての Cisco IP Phone を含むアイデンティティ グループ。
* ワークステーション - ネットワーク上のプロファイルされたすべてのワークステーションを含む ID グループ。

説明
一致するプロファイリング ポリシーがない場合は、不明なプロファイリング ポリシーを割り当てることができます。したがって、エンドポイントは不明としてプロファイルされます。どのプロファイルにも一致しないエンドポイントは、不明な ID グループ内にグループ化されます。不明なプロファイルにプロファイルされたエンドポイントでは、そのエンドポイント用に収集された 1 つの属性または一連の属性を含むプロファイルを作成する必要があります。
https://www.cisco.com/en/US/docs/security/ise/1.0/user_guide/ise10_man_identities.html

参照：
https://www.cisco.com/c/en/us/td/docs/security/ise/2-3/admin_guide/b_ise_admin_guide_23/b_ise_admin_guide_23_chapter_010111.html