Inhoud

Inleiding

Achtergrondinformatie

Voorwaarden

Vereisten

Gebruikte componenten

Configuratie

Verifiëren

Problemen oplossen

Inleiding

Dit document beschrijft hoe u autorisatieregels kunt configureren voor passieve ID-gebeurtenissen om SGT's aan de sessies toe te wijzen.

Achtergrondinformatie

De passieve identiteitsdiensten (Passieve ID) verifiëren gebruikers niet direct, maar verzamelen gebruikersidentiteiten en IP-adressen van externe verificatieservers zoals Active Directory (AD), bekend als providers, en delen die informatie vervolgens met abonnees.

ISE 3.2 introduceert een nieuwe functie waarmee u een autorisatiebeleid kunt configureren om een Security Group Tag (SGT) toe te wijzen aan een gebruiker die is gebaseerd op het groepslidmaatschap van Active Directory.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Cisco ISE-lijnkaart 3.x

- Passieve ID-integratie met elke provider

- Active Directory (AD)-beheer

- Segmentatie (Trustsec)

- PxGrid (Platform Exchange Grid)

Gebruikte componenten

- Software voor Identity Service Engine (ISE), versie 3.2

- Microsoft Active Directory

- Syslogs

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configuratie

Stap 1. Schakel ISE-services in.

1. Ga op ISE naar Beheer > Implementatie, kies het ISE-knooppunt en klik op Bewerken, schakel de beleidsservice in en kies Passieve identiteitsservice inschakelen. Optioneel kunt u SXP en PxGrid inschakelen als de passieve id-sessies door elke sessie moeten worden gepubliceerd. Klik op Save (Opslaan).

Waarschuwing: SGT-gegevens van de PassiveID-gebruikers die door de API-provider zijn geverifieerd, kunnen niet in SXP worden gepubliceerd. De SGT-gegevens van deze gebruikers kunnen echter worden gepubliceerd via pxGrid en pxGrid Cloud.

Ingeschakeld voor services

Stap 2. Configureer de actieve map.

1. Ga naar Beheer > Identiteitsbeheer > Externe Identiteitsbronnen en kies Actieve map en klik vervolgens op de knop Toevoegen.

2. Voer de Join Point Name en Active Directory Domain in. Klik op Verzenden.

Actieve map toevoegen

3. Er verschijnt een pop-up om ISE aan te sluiten op de AD. Klik op Ja. Voer de gebruikersnaam en het wachtwoord in. Klik op OK.

Doorgaan met aanmelden bij ISE

Aanmelden bij actieve map

4. AD-groepen ophalen. Navigeer naar Groepen, klik op Toevoegen, klik vervolgens op Groepen ophalen en kies alle geïnteresseerde groepen en klik op OK.

AD-groepen ophalen

Opgevraagde groepen

5. Schakel de autorisatiestroom in. Navigeer naar Geavanceerde instellingen en controleer in het gedeelte PassiveID-instellingen het selectievakje Autorisation Flow. Klik op Save (Opslaan).

Autorisatiedoorloop inschakelen

Stap 3. Configureer de Syslog-provider.

1. Navigeer naar de werkcentra > PassiveID > Providers, kies Syslog Providers, klik op Toevoegen en vul de informatie in. Klik op Opslaan

Waarschuwing: in dit geval ontvangt ISE het syslogbericht van een succesvolle VPN-verbinding in een ASA, maar deze configuratie wordt in dit document niet beschreven.

Syslog-provider configureren

2. Klik op Aangepaste header. Plakt het voorbeeldsysteem en gebruik een Separator of Tab om het apparaat hostname te vinden. Als het juist is, wordt Hostname weergegeven. Klik op Opslaan

Aangepaste header configureren

Stap 4. Autorisatieregels configureren

1. Ga naar Beleid > Beleidssets. In dit geval wordt het Standaardbeleid gebruikt. Klik op het Standaardbeleid. Voeg in het autorisatiebeleid een nieuwe regel toe. In het PassiveID-beleid beschikt ISE over alle aanbieders. Je kan deze combineren met een PassiveID groep. Kies Toegang toestaan als profiel en kies in beveiligingsgroepen de behoefte aan SGT.

Autorisatieregels configureren

Verifiëren

Zodra ISE de Syslog ontvangt, kunt u de Radius Live Logs controleren om Autorisation Flow te zien. Navigeer naar Operations > Radius > Live logs.

In de logboeken kunt u de gebeurtenis van de Vergunning zien. Deze bevat de gebruikersnaam, het autorisatiebeleid en de beveiligingsgroeptag die aan de gebruikersnaam zijn gekoppeld.

Radius live log

Klik op het Detailrapport om meer details te controleren. Hier kunt u de stroom autoriseren-alleen zien die het beleid evalueert om de SGT toe te wijzen.

Radius Live log-rapport

Problemen oplossen

In dit geval worden twee stromen gebruikt: de passieve ID-sessies en de autorisatiestroom. Om de debugs in te schakelen, navigeer naar Operations > Probleemoplossing > Debug Wizard > Debug Log Configuration, kies vervolgens het ISE-knooppunt.

Voor PassiveID, laat de volgende componenten toe om niveau te ZUIVEREN:

- Passieve id

Om de logbestanden te controleren, op basis van de Passieve ID-provider, het bestand om te controleren op dit scenario, moet u het bestand passiveid-syslog.log bekijken, voor de andere providers:

- passiveid-agent.log

- passiveid-api.log

- gepassiveerd-endpoint.log

- passiveid-span.log

- passiveid-wmilog

Schakel de volgende componenten in voor het debug-niveau voor de autorisatiestroom:

- beleidsinstrument

- prt-JNI

Voorbeeld:

Debugs ingeschakeld