Cisco ISE: Benutzer erstellen, LDAP-Server hinzufügen, Integration mit AD. Teil 2

Willkommen zur zweiten Veröffentlichung der Artikelreihe über Cisco ISE. Im ersten Teil Artikel  wurden die Vorteile und Unterschiede von Network Access Control (NAC)-Lösungen im Vergleich zu Standard-AAAs, die Einzigartigkeit von Cisco ISE, die Architektur und der Installationsprozess des Produkts behandelt.

In diesem Artikel vertiefen wir uns in die Erstellung von Benutzerkonten, das Hinzufügen von LDAP-Servern und die Integration mit Microsoft Active Directory sowie in die Nuancen der Arbeit mit PassiveID. Vor der Lektüre empfehle ich dringend, sich mit dem ersten Teil.

1. Ein wenig Terminologie

Benutzeridentität – ein Benutzerkonto, das Informationen über den Benutzer enthält und seine Zugangsdaten zum Netzwerk bildet. In der Regel werden folgende Parameter in der Benutzeridentität angegeben: Benutzername, E-Mail-Adresse, Passwort, Beschreibung des Kontos, Benutzergruppe und Rolle.

Benutzergruppen – Benutzergruppen sind eine Ansammlung einzelner Benutzer, die einen gemeinsamen Satz von Privilegien haben, die es ihnen ermöglichen, auf einen bestimmten Satz von Diensten und Funktionen von Cisco ISE zuzugreifen.

Benutzeridentitätsgruppen – vorgedefinierte Benutzergruppen, die bereits über bestimmte Informationen und Rollen verfügen. Folgende Benutzeridentitätsgruppen existieren standardmäßig, in die Benutzer und Benutzergruppen hinzugefügt werden können: Employee (Mitarbeiter), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (Sponsor-Konten zur Verwaltung des Gastportals), Guest (Gast), ActivatedGuest (aktivierter Gast).

Benutzerrolle – eine Benutzerrolle ist eine Menge von Berechtigungen, die festlegt, welche Aufgaben ein Benutzer ausführen kann und auf welche Dienste er zugreifen kann. Oft ist die Benutzerrolle mit einer Benutzergruppe verbunden.

Darüber hinaus hat jeder Benutzer und jede Benutzergruppe zusätzliche Attribute, die es ermöglichen, diesen Benutzer (diese Benutzergruppe) hervorzuheben und genauer zu definieren. Mehr Informationen in der Dokumentation.

2. Erstellung lokaler Benutzer

1) In Cisco ISE besteht die Möglichkeit, lokale Benutzer zu erstellen und diese in der Zugriffspolitik zu verwenden oder ihnen sogar eine Administrationsrolle im Produkt zuzuweisen. Wählen Sie Administration → Identitätsmanagement → Identitäten → Benutzer → Hinzufügen.

Abbildung 1. Hinzufügen eines lokalen Benutzers in Cisco ISE

2) Erstellen Sie im erscheinenden Fenster einen lokalen Benutzer, legen Sie ein Passwort und andere verständliche Parameter fest.

Abbildung 2. Erstellung eines lokalen Benutzers in Cisco ISE

3) Benutzer können auch importiert werden. In demselben Tab Administration → Identitätsmanagement → Identitäten → Benutzer wählen Sie die Option Importieren und laden Sie eine csv- oder txt-Datei mit Benutzern hoch. Um eine Vorlage zu erhalten, wählen Sie Vorlage generieren, anschließend fügen Sie die Informationen zu den Benutzern im passenden Format hinzu.

Abbildung 3. Benutzerimport in Cisco ISE

3. Hinzufügen von LDAP-Servern

Ich erinnere daran, dass LDAP ein beliebtes Anwendungsprotokoll ist, das Informationen bereitstellt, Authentifizierungen durchführt und Konten in LDAP-Serververzeichnissen sucht. Es arbeitet über Port 389 oder 636 (SSL). Zu den typischsten Beispielen für LDAP-Server gehören Active Directory, Sun Directory, Novell eDirectory und OpenLDAP. Jeder Eintrag im LDAP-Verzeichnis wird durch einen DN (Distinguished Name) definiert, und zur Erstellung von Zugriffsrichtlinien müssen Benutzerkonten, Benutzergruppen und Attribute abgerufen werden.

In Cisco ISE können viele LDAP-Server konfiguriert werden, wodurch Redundanz erreicht wird. Wenn der primäre LDAP-Server nicht verfügbar ist, wird ISE versuchen, den sekundären zu kontaktieren und so weiter. Zusätzlich kann für die primäre PAN einer der beiden LDAP-Server priorisiert und für die sekundäre PAN ein anderer LDAP-Server ausgewählt werden.

ISE unterstützt zwei Arten von Abfragen (Lookup) beim Arbeiten mit LDAP-Servern: Benutzerabfrage und MAC-Adressenabfrage. Die Benutzerabfrage ermöglicht die Suche nach Benutzern in der LDAP-Datenbank und das Abrufen der folgenden Informationen ohne Authentifizierung: Benutzer und deren Attribute, Benutzergruppen. Die MAC-Adressenabfrage ermöglicht ebenfalls eine Suche nach MAC-Adressen in LDAP-Verzeichnissen ohne Authentifizierung und das Abrufen von Gerätespezifikationen, Gerätegruppen anhand von MAC-Adressen und anderen spezifischen Attributen.

Als Beispiel für eine Integration fügen wir Active Directory als LDAP-Server in Cisco ISE hinzu.

1) Gehen Sie zum Tab Administration → Identitätsmanagement → Externe Identitätsquellen → LDAP → Hinzufügen. 

Abbildung 4. Hinzufügen eines LDAP-Servers

2) Im Panel Allgemein geben Sie den Namen des LDAP-Servers und das Schema (in unserem Fall Active Directory) an. 

Abbildung 5. Hinzufügen eines LDAP-Servers mit dem Schema Active Directory

3) Gehen Sie dann zum Verbindung Tab und geben Sie Hostname/IP-Adresse des AD-Servers, den Port (389 — LDAP, 636 — SSL LDAP), die Anmeldedaten des Domain-Administrators (Admin DN — vollständiger DN) an. Die anderen Parameter können auf Standard belassen werden.

Hinweis: Verwenden Sie die Anmeldedaten des Administrators, um potenzielle Probleme zu vermeiden.

Abbildung 6. Eingabe der LDAP-Serverdaten

4) Im Tab Verzeichnisorganisation sollte der Bereich des Verzeichnisses über DN angegeben werden, von wo Benutzer und Benutzergruppen abgerufen werden.

Abbildung 7. Bestimmung der Verzeichnisse, aus denen die Benutzergruppen abgerufen werden

5) Gehen Sie zu dem Fenster Gruppen → Hinzufügen → Gruppen aus dem Verzeichnis auswählen um die Abrufung der Gruppen vom LDAP-Server auszuwählen.

Abbildung 8. Hinzufügen von Gruppen vom LDAP-Server

6) Klicken Sie im sich öffnenden Fenster auf Gruppen abrufen. Wenn die Gruppen abgerufen wurden, wurden die vorherigen Schritte erfolgreich ausgeführt. Andernfalls versuchen Sie einen anderen Administrator und überprüfen Sie die Erreichbarkeit von ISE mit dem LDAP-Server über das LDAP-Protokoll.

Abbildung 9. Liste der abgerufenen Benutzergruppen

7) Im Tab Attribute kann optional angegeben werden, welche Attribute vom LDAP-Server abgerufen werden sollen, und im Fenster Erweiterte Einstellungen aktivieren Sie die Option Passwortänderung aktivieren, die Benutzer zwingt, ihr Passwort zu ändern, wenn es abgelaufen oder zurückgesetzt wurde. Klicken Sie in jedem Fall auf Übermitteln um fortzufahren.

8) Der LDAP-Server ist im entsprechenden Tab erschienen und kann in Zukunft zur Erstellung von Zugriffspolitiken verwendet werden.

Abbildung 10. Liste der hinzugefügten LDAP-Server

4. Integration mit Active Directory

1) Nachdem Sie den Microsoft Active Directory-Server als LDAP-Server hinzugefügt haben, haben wir Benutzer, Benutzergruppen, aber keine Protokolle erhalten. Ich schlage vor, die vollständige Integration von AD mit Cisco ISE einzurichten. Gehen Sie zum Tab Verwaltung → Identitätsmanagement → Externe Identitätsquellen → Active Directory → Hinzufügen. 

Hinweis: Für eine erfolgreiche Integration mit AD muss ISE sich in der Domäne befinden und vollständige Konnektivität mit DNS, NTP und AD-Servern haben, andernfalls funktioniert es nicht.

Abbildung 11. Hinzufügen des Active Directory-Servers

2) Geben Sie im sich öffnenden Fenster die Anmeldedaten des Domänenadministrators ein und setzen Sie das Häkchen Anmeldedaten speichern. Zusätzlich können Sie die OU (Organizational Unit) angeben, wenn sich ISE in einer bestimmten OU befindet. Anschließend müssen die Cisco ISE-Knoten ausgewählt werden, die Sie mit der Domäne verbinden möchten.

Abbildung 12. Eingabe der Anmeldedaten

3) Stellen Sie vor dem Hinzufügen von Domänencontrollern sicher, dass die Option Verwaltung → System → Bereitstellung auf dem PSN aktiviert ist Passives Identitätsdienst. PassiveID — eine Option, die es ermöglicht, Benutzer in IP und umgekehrt zu übertragen. PassiveID erhält Informationen aus AD über WMI, spezielle AD-Agenten oder SPAN-Ports am Switch (nicht die beste Option).

Hinweis: Um den Status von Passive ID zu überprüfen, geben Sie in die ISE-Konsole ein show application status ise | include PassiveID.

Abbildung 13. Aktivierung der Option PassiveID

4) Gehen Sie zum Tab Administration → Identity Management → External Identity Sources → Active Directory → PassiveID und wählen Sie die Option Add DCs. Wählen Sie anschließend die erforderlichen Domänencontroller aus und klicken Sie auf OK.

Abbildung 14. Hinzufügen von Domänencontrollern

5) Wählen Sie die hinzugefügten DCs und klicken Sie auf die Schaltfläche Edit. Geben Sie FQDN Ihren DC, die Domänenanmeldung und das Passwort sowie die Verbindungsoption an. WMI oder Agent. Wählen Sie WMI und klicken Sie auf OK.

Abbildung 15. Eingabe der Daten des Domänencontrollers

6) Wenn WMI nicht die bevorzugte Verbindungsart mit Active Directory ist, können Sie ISE-Agenten verwenden. Die Agentenmethode besteht darin, dass Sie spezielle Agenten auf die Server installieren können, die Anmeldungen zurückgeben. Es gibt zwei Installationsvarianten: automatisch und manuell. Für die automatische Installation des Agenten wählen Sie im selben Tab PassiveID den Punkt Add Agent → Deploy New Agent (DC muss Internetzugang haben). Füllen Sie dann die erforderlichen Felder (Agentenname, FQDN des Servers, Anmeldename/Passwort des Domänenadministrators) aus und klicken Sie auf OK.

Abbildung 16. Automatische Installation des ISE-Agenten

7) Für die manuelle Installation des Cisco ISE-Agenten müssen Sie den Punkt wählen Register Existing Agent. Übrigens kann der Agent im Tab Work Centers → PassiveID → Providers → Agents → Download Agent heruntergeladen werden.

Abbildung 17. Herunterladen des ISE-Agenten

Wichtig: PassiveID liest die Ereignisse logoff! Der Parameter, der für das Timeout verantwortlich ist, heißt user session aging time und beträgt standardmäßig 24 Stunden. Daher sollten Sie sich am Ende des Arbeitstags selbst abmelden oder ein Skript schreiben, das allen angemeldeten Benutzern eine automatische Abmeldung vornimmt. 

Zur Informationsgewinnung logoff werden „Endpoint-Proben“ verwendet. In Cisco ISE gibt es mehrere Endpoint-Proben: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS Probe mithilfe von CoA Paketen gibt Informationen über die Rechteänderung von Benutzern zurück (dafür ist ein eingebetteter 802.1X), und die auf den Zugriffsswitches konfigurierte SNMP gibt Informationen über angeschlossene und getrennte Geräte zurück.

Im Folgenden finden Sie ein Beispiel, das für die Konfiguration von Cisco ISE + AD ohne 802.1X und RADIUS relevant ist: Der Benutzer ist an einem Windows-PC angemeldet, ohne sich abzumelden, und meldet sich von einem anderen PC über WLAN an. In diesem Fall bleibt die Sitzung auf dem ersten PC aktiv, bis eine Zeitüberschreitung eintritt oder eine erzwungene Abmeldung erfolgt. Wenn die Geräte unterschiedliche Berechtigungen haben, gelten die Berechtigungen des zuletzt angemeldeten Geräts.

8) Zusätzlich im Tab Administration → Identity Management → External Identity Sources → Active Directory → Groups → Add → Select Groups From Directory können Sie Gruppen aus AD auswählen, die Sie in ISE einfügen möchten (in unserem Fall wurde dies im Punkt 3 "Hinzufügen eines LDAP-Servers" durchgeführt). Wählen Sie die Option Retrieve Groups → OK. 

Abbildung 18 a). Abrufen von Benutzergruppen aus Active Directory

9) Im Tab Work Centers → PassiveID → Overview → Dashboard können Sie die Anzahl aktiver Sitzungen, die Anzahl der Datenquellen, Agenten und mehr überwachen.

Abbildung 19. Überwachung der Aktivität von Domänenbenutzern

10) Im Tab Live Sessions werden die aktuellen Sitzungen angezeigt. Die Integration mit AD ist eingerichtet.

Abbildung 20. Aktive Sitzungen von Domänenbenutzern

5. Fazit

In diesem Artikel wurden die Themen Erstellung lokaler Benutzer in Cisco ISE, Hinzufügen von LDAP-Servern und Integration mit Microsoft Active Directory behandelt. Im nächsten Artikel wird der Gastzugang in Form eines ausgedehnten Leitfadens behandelt.

Wenn Sie Fragen zu diesem Thema haben oder Unterstützung bei der Produktprüfung benötigen, wenden Sie sich bitte an dem Link.

Bleiben Sie über Updates in unseren Kanälen informiert (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Quelle: habr.com