Velkommen til den anden publikation i serien af artikler om Cisco ISE. I den første blev fordelene og forskellene mellem Network Access Control (NAC) løsninger og standard AAA, Cisco ISEs unikke egenskaber, arkitektur og installationsprocessen beskrevet.
I denne artikel vil vi dykke ned i oprettelsen af brugerkonti, tilføjelsen af LDAP-servere og integrationen med Microsoft Active Directory, samt nuance ved arbejdet med PassiveID. Før du læser, anbefaler jeg stærkt at gøre dig fortrolig med .
1. Lidt terminologi
Brugeridentitet — en brugerkonto, der indeholder oplysninger om brugeren og danner brugerens legitimationsoplysninger til netadgang. Følgende parametre angives normalt i brugeridentiteten: brugernavn, e-mailadresse, adgangskode, beskrivelse af kontoen, brugergruppe og rolle.
Brugergrupper — brugergrupper er en samling af individuelle brugere, der har et fælles sæt af privilegier, som gør det muligt for dem at få adgang til et bestemt sæt af tjenester og funktioner i Cisco ISE.
Brugeridentitetsgrupper — forudindstillede brugergrupper, der allerede har specificerede oplysninger og roller. Følgende brugeridentitetsgrupper findes som standard, og brugere og brugergrupper kan tilføjes til dem: Employee (medarbejder), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (sponsorkonti til administration af gæsteportalen), Guest (gæst), ActivatedGuest (aktiveret gæst).
Brugerrolle — en brugerrolle er et sæt tilladelser, der definerer, hvilke opgaver brugeren kan udføre, og hvilke tjenester vedkommende har adgang til. Ofte er brugerrollen relateret til en brugergruppe.
Desuden har hver bruger og brugergruppe yderligere attributter, som gør det muligt at выделить и более конкретно определить данного пользователя (группу пользователей). Mere information i .
2. Oprettelse af lokale brugere
1) I Cisco ISE er der mulighed for at oprette lokale brugere og bruge dem i adgangspolitikken eller endda tildele dem en administrationsrolle over produktet. Vælg Administration → Identity Management → Identities → Users → Add.
Figur 1. Tilføjelse af lokal bruger i Cisco ISE
2) I det fremkomne vindue opretter du en lokal bruger, tildeler en adgangskode og andre relevante parametre.
Figur 2. Oprettelse af lokal bruger i Cisco ISE
3) Brugere kan også importeres. I denne fane Administration → Identitetsstyring → Identiteter → Brugere vælg muligheden Importér og upload en csv eller txt-fil med brugerne. For at få skabelonen skal du vælge Generer en skabelon, og derefter udfylde den med oplysninger om brugerne i det relevante format.
Figur 3. Import af brugere i Cisco ISE
3. Tilføjelse af LDAP-servere
Jeg vil minde om, at LDAP er en populær protokol på applikationsniveau, der giver mulighed for at hente information, autentificere, søge efter konti i LDAP-servere og fungerer på port 389 eller 636 (SSL). Eksponenter på LDAP-servere inkluderer Active Directory, Sun Directory, Novell eDirectory og OpenLDAP. Hver post i LDAP-kataloget defineres af DN (Distinguished Name), og for at danne adgangspolitik er opgaven at hente (retrieval) konti, brugergrupper og attributter.
I Cisco ISE er det muligt at konfigurere adgang til mange LDAP-servere, hvilket skaber redundans. I tilfælde af, at den primære LDAP-server ikke er tilgængelig, vil ISE forsøge at kontakte den sekundære og så videre. Derudover, hvis der er 2 PAN, kan man gøre en LDAP-server prioriteret for den primære PAN og en anden LDAP-server for den sekundære PAN.
ISE understøtter 2 typer opslag (lookup) ved arbejde med LDAP-servere: User Lookup og MAC Address Lookup. User Lookup giver mulighed for at søge efter brugere i LDAP-databasen og få følgende information uden autentificering: brugere og deres attributter, brugergrupper. MAC Address Lookup gør det også muligt at søge efter MAC-adressen i LDAP-kataloger uden autentificering og få information om enheden, enhedsgrupper efter MAC-adresser og andre specifikke attributter.
Som eksempel på integration vil vi tilføje Active Directory i Cisco ISE som en LDAP-server.
1) Gå til fanen Administration → Identitetsstyring → Eksterne identitetskilder → LDAP → Tilføj.
Figur 4. Tilføjelse af LDAP-server
2) I panelet Generelt angiv navnet på LDAP-serveren og skemaet (i vores tilfælde Active Directory).
Figur 5. Tilføjelse af LDAP-server med Active Directory-skemaet
3) Gå derefter til Connection fanen og angiv Værtens navn/IP-adresse på AD-serveren, port (389 — LDAP, 636 — SSL LDAP), legitimationsoplysninger for domæneadministratoren (Admin DN — fuld DN), de øvrige indstillinger kan efterlades som standard.
Bemærk: brug domæneadministratorens oplysninger for at undgå potentielle problemer.
Figur 6. Indtastning af LDAP-serveroplysninger
4) In the tab Katalogorganisation Du skal angive katalogområdet via DN, hvorfra brugere og brugergrupper skal hentes.
Figur 7. Bestemmelse af kataloger, hvorfra brugergrupper kan hentes
5) Gå til vinduet Groups → Add → Select Groups From Directory for at vælge at hente grupper fra LDAP-serveren.
Figur 8. Tilføjelse af grupper fra LDAP-serveren
6) I det fremkomne vindue klik på Retrieve Groups. Hvis grupperne er hentet, er de forudgående trin udført med succes. Ellers skal du prøve en anden administrator og kontrollere tilgængeligheden af ISE med LDAP-serveren via LDAP-protokollen.
Figur 9. Liste over hentede brugergrupper
7) På fanen Attributes kan du valgfrie angive, hvilke attributter fra LDAP-serveren der skal hentes, og i vinduet Advanced Settings aktivere indstillingen Enable Password Change, som tvinger brugerne til at ændre password, hvis det er udløbet eller blevet nulstillet. Klik på Indsend for at fortsætte.
8) LDAP-serveren vises i den relevante fane og kan fremover bruges til at oprette adgangspolitikker.
Figur 10. Liste over tilføjede LDAP-servere
4. Integration med Active Directory
1) Ved at tilføje Microsoft Active Directory-serveren som en LDAP-server, har vi fået brugere, brugergrupper, men ikke logs. Jeg foreslår, at vi opsætter en fuld integration af AD med Cisco ISE. Gå til fanen Administration → Identity Management → External Identity Sources → Active Directory → Add.
Bemærk: For en succesfuld integration med AD skal ISE være i domænet og have fuld forbindelse til DNS, NTP og AD-servere, ellers vil det ikke fungere.
Figur 11. Tilføjelse af Active Directory-server
2) I det fremkomne vindue indtast domæneadministratorens oplysninger og sæt flueben ved Store Credentials. Derudover kan du angive OU (Organizational Unit), hvis ISE er i en specifik OU. Derefter skal du vælge de Cisco ISE-noder, som du ønsker at forbinde til domænet.
Figur 12. Indtastning af loginoplysninger
3) Før du tilføjer domænecontrollere, skal du sikre dig, at indstillingen Administration → System → Deployment er aktiveret på PSN Passive Identity Service. PassiveID — en mulighed, der gør det muligt at oversætte bruger til IP og omvendt. PassiveID får oplysninger fra AD via WMI, specielle AD-agenter eller SPAN-porten på switchen (ikke den bedste mulighed).
Bemærk: For at tjekke status for Passive ID, indtast i ISE-konsollen show application status ise | include PassiveID.
Figur 13. Aktivering af indstillingen PassiveID
4) Gå til fanen Administration → Identity Management → External Identity Sources → Active Directory → PassiveID og vælg indstillingen Tilføj DC'er. Vælg derefter de nødvendige domænecontrollere med afkrydsningsfelter, og tryk på OK.
Figur 14. Tilføjelse af domænecontrollere
5) Vælg de tilføjede DC'er, og tryk på knappen Rediger. Angiv FQDN på din DC, domæne-login og adgangskode samt forbindelsesindstillingen WMI eller Agent. Vælg WMI, og tryk på OK.
Figur 15. Indtastning af domænecontrolleroplysninger
6) Hvis WMI ikke er den foretrukne metode til at kommunikere med Active Directory, kan du bruge ISE-agenter. Den agentbaserede metode indebærer, at du kan installere særlige agenter på serverne, som vil registrere login-hændelser. Der findes 2 installationsmetoder: automatisk og manuel. For automatisk installation af agenten i samme fane PassiveID vælg punktet Add Agent → Deploy New Agent (DC'en skal have internetadgang). Udfyld derefter de obligatoriske felter (agentnavn, FQDN for serveren, login/adgangskode til domæneadministrator) og tryk på OK.
Figur 16. Automatisk installation af ISE-agent
7) For manuel installation af Cisco ISE-agenten skal punktet vælges Register Existing Agent. Du kan downloade agenten under fanen Work Centers → PassiveID → Providers → Agents → Download Agent.
Figur 17. Download af ISE-agent
Vigtigt: PassiveID læser ikke hændelser logoff! Parameteret, der styrer timeout'en, kaldes user session aging time og er som standard 24 timer. Derfor bør du enten logge af selv ved slutningen af arbejdsdagen, eller skrive et script, der automatisk logger af alle indloggede brugere.
For at få oplysninger logoff bruges 'Endpoint probes' — endepunktsensorer. Der findes flere typer endpoint probes i Cisco ISE: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS probe ved hjælp af CoA (Change of Authorization) pakker giver oplysninger om ændringer i brugertilladelser (for dette kræves den indførte 802.1X), og den, der er konfigureret på adgangs-switchene via SNMP, vil give information om tilsluttede og frakoblede enheder.
Nedenfor er et eksempel, der er relevant for konfigurationen af Cisco ISE + AD uden 802.1X og RADIUS: brugeren er logget ind på en Windows-maskine, uden at logge af, logger ind fra en anden PC via WiFi. I dette tilfælde vil sessionen på den første PC stadig være aktiv, indtil der sker en timeout eller et tvunget logoff. Hvis enhederne har forskellige rettigheder, vil den senest indloggede enhed anvende sine rettigheder.
8) Yderligere under fanen Administration → Identitetsstyring → Eksterne identitetskilder → Active Directory → Grupper → Tilføj → Vælg grupper fra kataloget du kan vælge grupper fra AD, som du ønsker at hente til ISE (i vores tilfælde blev dette gjort i punkt 3 'Tilføjelse af LDAP-server'). Vælg mulighed Hent grupper → OK.
Figur 18 a). Hentning af brugergrupper fra Active Directory
9) Under fanen Arbejdscentre → PassiveID → Oversigt → Dashboard du kan observere antallet af aktive sessioner, antallet af datakilder, agenter og mere.
Figur 19. Overvågning af aktivitet for domænebrugere
10) I fanen Live-sessions vises de aktuelle sessioner. Integration med AD er konfigureret.
Figur 20. Aktive sessioner for domænebrugere
5. Konklusion
Denne artikel har dækket emnerne oprettelse af lokale brugere i Cisco ISE, tilføjelse af LDAP-servere og integration med Microsoft Active Directory. Den næste artikel vil omhandle gæsteadgang i en omfattende guide.
Hvis du har spørgsmål til dette emne eller har brug for hjælp til at teste produktet, så kontakt os venligst. .
Hold øje med opdateringer i vores kanaler (, , , , ).
Kilde: habr.com
