{"id":95330,"date":"2020-09-28T07:42:51","date_gmt":"2020-09-28T05:42:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/cisco-ise-sozdanie-polzovatelej-dobavlenie-ldap-serverov-integracziya-s-ad-chast-2"},"modified":"2020-09-28T07:42:51","modified_gmt":"2020-09-28T05:42:51","slug":"cisco-ise-sozdanie-polzovatelej-dobavlenie-ldap-serverov-integracziya-s-ad-chast-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/cisco-ise-sozdanie-polzovatelej-dobavlenie-ldap-serverov-integracziya-s-ad-chast-2","title":{"rendered":"Cisco ISE: Benutzer erstellen, LDAP-Server hinzuf\u00fcgen, Integration mit AD. Teil 2","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Cisco<\/p>\n

Willkommen zur zweiten Ver\u00f6ffentlichung unserer Artikelreihe \u00fcber Cisco ISE. Im ersten Teil Artikel<\/u><\/a><\/noindex>  wurden die Vorteile und Unterschiede von Network Access Control (NAC)-L\u00f6sungen im Vergleich zu herk\u00f6mmlichen AAA, die Einzigartigkeit von Cisco ISE, die Architektur und der Installationsprozess des Produkts behandelt.<\/p>\n

In diesem Artikel vertiefen wir uns in die Erstellung von Benutzerkonten, das Hinzuf\u00fcgen von LDAP-Servern und die Integration mit Microsoft Active Directory sowie in die Feinheiten der Verwendung von PassiveID. Vor der Lekt\u00fcre empfehle ich dringend, sich mit dem ersten Teil<\/u><\/a><\/noindex>.<\/p>\n

1. Ein paar Begriffe<\/h2>\n

Benutzeridentit\u00e4t<\/strong> — \u0443\u0447\u0435\u0442\u043d\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435 \u0438 \u0444\u043e\u0440\u043c\u0438\u0440\u0443\u0435\u0442 \u0435\u0433\u043e \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043b\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0441\u0435\u0442\u0438. \u0421\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 User Identity: \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0430\u0434\u0440\u0435\u0441 \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u044b, \u043f\u0430\u0440\u043e\u043b\u044c, \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438, \u0433\u0440\u0443\u043f\u043f\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0440\u043e\u043b\u044c.<\/p>\n

Benutzergruppen <\/strong>— \u0433\u0440\u0443\u043f\u043f\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 — \u044d\u0442\u043e \u0441\u043e\u0432\u043e\u043a\u0443\u043f\u043d\u043e\u0441\u0442\u044c \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u043c\u0435\u044e\u0442 \u043e\u0431\u0449\u0438\u0439 \u043d\u0430\u0431\u043e\u0440 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0438\u043c \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u043c\u0443 \u043d\u0430\u0431\u043e\u0440\u0443 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 Cisco ISE.<\/p>\n

User Identity Groups — <\/strong>vorgedefinierte Benutzergruppen, die bereits bestimmte Informationen und Rollen haben. Die folgenden Benutzeridentit\u00e4tsgruppen sind standardm\u00e4\u00dfig vorhanden, in die Benutzer und Benutzergruppen hinzugef\u00fcgt werden k\u00f6nnen: Employee (Mitarbeiter), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (Sponsor-Konten zur Verwaltung des G\u00e4steportraits), Guest (Gast), ActivatedGuest (aktivierter Gast).<\/p>\n

User Role — <\/strong>\u0440\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f — \u044d\u0442\u043e \u043d\u0430\u0431\u043e\u0440 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0438\u0445, \u043a\u0430\u043a\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u043c\u043e\u0436\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0438 \u043a \u043a\u0430\u043a\u0438\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f. \u0417\u0430\u0447\u0430\u0441\u0442\u0443\u044e \u0440\u043e\u043b\u044c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441\u0432\u044f\u0437\u0430\u043d\u0430 \u0441 \u0433\u0440\u0443\u043f\u043f\u043e\u0439 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439.<\/p>\n

Dar\u00fcber hinaus verf\u00fcgt jeder Benutzer und jede Benutzergruppe \u00fcber zus\u00e4tzliche Attribute, die es erm\u00f6glichen, diesen Benutzer (oder diese Gruppe von Benutzern) zu kennzeichnen und genauer zu definieren. Weitere Informationen finden Sie im Leitfaden<\/u><\/a><\/noindex>.<\/p>\n

2. Erstellung von lokalen Benutzern<\/h2>\n

1) In Cisco ISE besteht die M\u00f6glichkeit, lokale Benutzer zu erstellen und sie in der Zugriffspolitik zu verwenden oder sogar eine Administrationsrolle f\u00fcr das Produkt zu vergeben. W\u00e4hlen Sie Administration \u2192 Identity Management \u2192 Identities \u2192 Users \u2192 Hinzuf\u00fcgen.<\/em><\/p>\n

\"CiscoAbbildung 1. Hinzuf\u00fcgen eines lokalen Benutzers in Cisco ISE<\/p>\n

2) Im erscheinenden Fenster erstellen Sie einen lokalen Benutzer, setzen ein Passwort und andere verst\u00e4ndliche Parameter.<\/p>\n

\"CiscoAbbildung 2. Erstellung eines lokalen Benutzers in Cisco ISE<\/p>\n

3) Benutzer k\u00f6nnen auch importiert werden. In diesem Tab Administration \u2192 Identity Management \u2192 Identities \u2192 Users <\/em>w\u00e4hlen Sie die Option Import <\/em>und laden Sie eine CSV- oder TXT-Datei mit den Benutzern hoch. Um eine Vorlage zu erhalten, w\u00e4hlen Sie Generate a Template<\/em>, danach f\u00fcllen Sie diese mit den Informationen \u00fcber die Benutzer in geeigneter Form aus.<\/p>\n

\"CiscoAbbildung 3. Benutzerimport in Cisco ISE<\/p>\n

3. Hinzuf\u00fcgen von LDAP-Servern<\/h2>\n

\u041d\u0430\u043f\u043e\u043c\u043d\u044e, \u0447\u0442\u043e LDAP — \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0439 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b \u043f\u0440\u0438\u043a\u043b\u0430\u0434\u043d\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e, \u0438\u0441\u043a\u0430\u0442\u044c \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430\u0445 LDAP \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432, \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e \u043f\u043e\u0440\u0442\u0443 389 \u0438\u043b\u0438 636 (SS). \u042f\u0440\u043a\u0438\u043c\u0438 \u043f\u0440\u0438\u043c\u0435\u0440\u0430\u043c\u0438 LDAP \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f Active Directory, Sun Directory, Novell eDirectory \u0438 OpenLDAP. \u041a\u0430\u0436\u0434\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0435 LDAP \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f DN (Distinguished Name) \u0438 \u0434\u043b\u044f \u0444\u043e\u0440\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0432\u0441\u0442\u0430\u0435\u0442 \u0437\u0430\u0434\u0430\u0447\u0430 \u043f\u043e\u0434\u0442\u044f\u0433\u0438\u0432\u0430\u043d\u0438\u044f (retrieval) \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0445 \u0433\u0440\u0443\u043f\u043f \u0438 \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u043e\u0432.<\/p>\n

\u0412 Cisco ISE \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u043e \u043c\u043d\u043e\u0433\u0438\u043c LDAP \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c, \u0442\u0435\u043c \u0441\u0430\u043c\u044b\u043c \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u044f \u0438\u0437\u0431\u044b\u0442\u043e\u0447\u043d\u043e\u0441\u0442\u044c. \u0412 \u0441\u043b\u0443\u0447\u0430\u0435, \u0435\u0441\u043b\u0438 \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u044b\u0439 (primary) LDAP \u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d, \u0442\u043e ISE \u043f\u043e\u043f\u0440\u043e\u0431\u0443\u0435\u0442 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f \u043a \u0432\u0442\u043e\u0440\u0438\u0447\u043d\u043e\u043c\u0443 (secondary) \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u0414\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0435\u0441\u043b\u0438 \u0438\u043c\u0435\u0435\u0442\u0441\u044f 2 PAN, \u0442\u043e \u0442\u043e \u0434\u043b\u044f \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u0439 PAN \u043c\u043e\u0436\u043d\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043f\u0440\u0438\u043e\u0440\u0438\u0442\u0435\u0442\u043d\u044b\u043c \u043e\u0434\u0438\u043d LDAP, \u0430 \u0434\u043b\u044f \u0432\u0442\u043e\u0440\u0438\u0447\u043d\u043e\u0439 PAN — \u0434\u0440\u0443\u0433\u043e\u0439 LDAP.<\/p>\n

ISE unterst\u00fctzt 2 Arten von Lookups bei der Zusammenarbeit mit LDAP-Servern: User Lookup und MAC Address Lookup. Der User Lookup erm\u00f6glicht die Suche nach Benutzern in der LDAP-Datenbank und das Abrufen folgender Informationen ohne Authentifizierung: Benutzer und deren Attribute, Benutzergruppen. Der MAC Address Lookup erm\u00f6glicht ebenfalls eine Suche nach MAC-Adressen in LDAP-Verzeichnissen ohne Authentifizierung, um Informationen \u00fcber das Ger\u00e4t, Ger\u00e4tegruppen nach MAC-Adressen und andere spezifische Attribute zu erhalten.<\/p>\n

Als Beispiel f\u00fcr eine Integration f\u00fcgen wir Active Directory in Cisco ISE als LDAP-Server hinzu.<\/p>\n

1) Gehen Sie zum Tab Administration \u2192 Identity Management \u2192 External Identity Sources \u2192 LDAP \u2192 Hinzuf\u00fcgen.<\/em> <\/p>\n

\"CiscoAbbildung 4. Hinzuf\u00fcgen eines LDAP-Servers<\/p>\n

2) Geben Sie im Bereich Allgemein <\/em>den Namen des LDAP-Servers und das Schema an (in unserem Fall Active Directory). <\/p>\n

\"CiscoAbbildung 5. Hinzuf\u00fcgen eines LDAP-Servers mit dem Schema Active Directory<\/p>\n

3) Gehen Sie dann zu Verbindung <\/em>Tab und geben Sie an Hostname\/IP-Adresse <\/em>AD \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043f\u043e\u0440\u0442 (389 — LDAP, 636 — SSL LDAP), \u0443\u0447\u0435\u0442\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 (Admin DN — \u043f\u043e\u043b\u043d\u044b\u0439 DN), \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u043c\u043e\u0436\u043d\u043e \u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e.<\/p>\n

Hinweis<\/strong><\/em>: verwenden Sie die Daten des Domain-Administrators, um potenzielle Probleme zu vermeiden.<\/p>\n

\"CiscoAbbildung 6. Eingabe der LDAP-Serverdaten<\/p>\n

4) Im Tab Verzeichnisorganisation <\/em>sollte der Verzeichnisbereich \u00fcber DN angegeben werden, aus dem Benutzer und Gruppen abgerufen werden sollen.<\/p>\n

\"CiscoAbbildung 7. Festlegung der Verzeichnisse, aus denen die Benutzergruppen abgerufen werden<\/p>\n

5) Gehen Sie zu dem Fenster Gruppen \u2192 Hinzuf\u00fcgen \u2192 Gruppen aus Verzeichnis ausw\u00e4hlen <\/em>zum Abrufen von Gruppen vom LDAP-Server. <\/p>\n

\"CiscoAbbildung 8. Gruppen vom LDAP-Server hinzuf\u00fcgen<\/p>\n

6) Klicken Sie im erscheinenden Fenster auf Gruppen abrufen. <\/em>Wenn Gruppen abgerufen wurden, wurden die vorherigen Schritte erfolgreich abgeschlossen. Andernfalls versuchen Sie einen anderen Administrator und \u00fcberpr\u00fcfen Sie die Verbindung zwischen ISE und dem LDAP-Server \u00fcber das LDAP-Protokoll.<\/p>\n

\"CiscoAbbildung 9. Liste der abgerufenen Benutzergruppen<\/p>\n

7) Im Tab Attribute <\/em>k\u00f6nnen optional die Attribute angegeben werden, die vom LDAP-Server abgerufen werden sollen, und im Fenster Erweiterte Einstellungen <\/em>aktivieren Sie die Option Passwort\u00e4nderung aktivieren<\/em>, die Benutzer dazu zwingt, ihr Passwort zu \u00e4ndern, wenn es abgelaufen oder zur\u00fcckgesetzt wurde. In jedem Fall klicken Sie auf Absenden <\/em>um fortzufahren.<\/p>\n

8) Der LDAP-Server wurde im entsprechenden Tab angezeigt und kann nun zur Formulierung von Zugriffsrichtlinien verwendet werden.<\/p>\n

\"CiscoAbbildung 10. Liste der hinzugef\u00fcgten LDAP-Server<\/p>\n

4. Integration mit Active Directory<\/h2>\n

1) Nachdem wir den Microsoft Active Directory-Server als LDAP-Server hinzugef\u00fcgt haben, erhielten wir Benutzer, Benutzergruppen, aber keine Protokolle. Ich schlage vor, die vollst\u00e4ndige Integration von AD mit Cisco ISE einzurichten. Gehen Sie zum Tab Administration \u2192 Identit\u00e4tsmanagement \u2192 Externe Identit\u00e4tsquellen \u2192 Active Directory \u2192 Hinzuf\u00fcgen. <\/em><\/p>\n

Hinweis: <\/strong><\/em>F\u00fcr eine erfolgreiche Integration mit AD muss ISE im Bereich und \u00fcber vollst\u00e4ndige Konnektivit\u00e4t mit den DNS-, NTP- und AD-Servern verf\u00fcgen, andernfalls wird es nicht funktionieren.<\/p>\n

\"CiscoAbbildung 11. Hinzuf\u00fcgen des Active Directory-Servers<\/p>\n

2) Geben Sie im angezeigten Fenster die Anmeldedaten des Dom\u00e4nenadministrators ein und aktivieren Sie das Kontrollk\u00e4stchen Anmeldedaten speichern. <\/em>Zus\u00e4tzlich k\u00f6nnen Sie die OU (Organisationseinheit) angeben, wenn sich ISE in einer bestimmten OU befindet. Danach m\u00fcssen Sie die Knoten von Cisco ISE ausw\u00e4hlen, die Sie mit der Dom\u00e4ne verbinden m\u00f6chten.<\/p>\n

\"CiscoAbbildung 12. Eingabe der Anmeldedaten<\/p>\n

3) Stellen Sie vor der Hinzuf\u00fcgung der Domaincontroller sicher, dass in PSN unter dem Reiter Administration \u2192 System \u2192 Deployment<\/em> die Option Passive Identity Service<\/em>. PassiveID <\/strong>— \u043e\u043f\u0446\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0442\u0440\u0430\u043d\u0441\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c User \u0432 IP \u0438 \u043d\u0430\u043e\u0431\u043e\u0440\u043e\u0442. PassiveID \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0438\u0437 AD \u0447\u0435\u0440\u0435\u0437 WMI, \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0445 AD \u0430\u0433\u0435\u043d\u0442\u043e\u0432 \u0438\u043b\u0438 SPAN \u043f\u043e\u0440\u0442 \u043d\u0430 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u0435 (\u043d\u0435 \u043b\u0443\u0447\u0448\u0438\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442).<\/p>\n

Hinweis: <\/strong><\/em>Um den Status von Passive ID zu \u00fcberpr\u00fcfen, geben Sie in der ISE-Konsole ein: show application status ise | include PassiveID.<\/strong><\/p>\n

\"CiscoAbbildung 13. Aktivierung der Option PassiveID <\/p>\n

4) Gehen Sie zum Reiter Administration \u2192 Identity Management \u2192 External Identity Sources \u2192 Active Directory \u2192 PassiveID <\/em>und w\u00e4hlen Sie die Option Add DCs<\/em>. W\u00e4hlen Sie die ben\u00f6tigten Domaincontroller aus und klicken Sie auf OK.<\/em><\/p>\n

\"CiscoAbbildung 14. Hinzuf\u00fcgen von Domaincontrollern<\/p>\n

5) W\u00e4hlen Sie die hinzugef\u00fcgten DCs aus und klicken Sie auf die Schaltfl\u00e4che Edit. <\/em>Geben Sie den FQDN <\/em>Ihres DC, Ihren Domain-Login und das Passwort sowie die Verbindungsoption WMI <\/em>oder Agent<\/em>. W\u00e4hlen Sie WMI aus und klicken Sie auf OK.<\/em><\/p>\n

\"CiscoAbbildung 15. Eingabe der Daten des Domaincontrollers<\/p>\n

6) Falls WMI nicht die bevorzugte Methode zur Kommunikation mit Active Directory ist, k\u00f6nnen ISE-Agenten verwendet werden. Der agentenbasierte Ansatz bedeutet, dass Sie spezielle Agenten auf den Servern installieren k\u00f6nnen, die Anmeldeereignisse zur\u00fcckmelden. Es gibt zwei Installationsvarianten: automatisiert und manuell. F\u00fcr die automatische Installation des Agenten auf demselben Reiter PassiveID <\/em>w\u00e4hlen Sie den Punkt Add Agent \u2192 Deploy New Agent<\/em> (Der DC muss Internetzugang haben). F\u00fcllen Sie dann die erforderlichen Felder aus (Name des Agenten, FQDN des Servers, Anmeldename\/Passwort des Domainadministrators) und klicken Sie auf OK.<\/em><\/p>\n

\"CiscoAbbildung 16. Automatische Installation des ISE-Agenten<\/p>\n

7) F\u00fcr die manuelle Installation des Cisco ISE-Agenten w\u00e4hlen Sie den Punkt Register Existing Agent<\/em>. \u00dcbrigens, den Agenten k\u00f6nnen Sie im Reiter Work Centers \u2192 PassiveID \u2192 Providers \u2192 Agents \u2192 Download Agent herunterladen.<\/em><\/p>\n

\"CiscoAbbildung 17. Download des ISE-Agenten<\/p>\n

Wichtig: <\/strong><\/em>PassiveID liest keine Ereignisse logoff<\/strong>! Der Parameter, der f\u00fcr das Timeout verantwortlich ist, hei\u00dft user session aging time<\/strong> und betr\u00e4gt standardm\u00e4\u00dfig 24 Stunden. Daher sollten Sie entweder selbst am Ende des Arbeitstags einen Logoff durchf\u00fchren oder ein Skript schreiben, das automatisch alle angemeldeten Benutzer abmeldet. <\/p>\n

Um Informationen zu erhalten logoff<\/strong> \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f «Endpoint probes» — \u043e\u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0435 \u0437\u043e\u043d\u0434\u044b. Endpoint probes \u0432 Cisco ISE \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS <\/strong>Probe mit Hilfe von CoA <\/strong>(Change of Authorization) Paketen liefert Informationen zur \u00c4nderung der Benutzerrechte (hierf\u00fcr wird ein eingebettetes 802.1X<\/strong>) erforderlich sein, w\u00e4hrend das auf den Zugangsswitches konfigurierte SNMP Informationen \u00fcber angeschlossene und getrennte Ger\u00e4te bereitstellt.<\/p>\n

Unten finden Sie ein Beispiel, das f\u00fcr die Konfiguration von Cisco ISE + AD ohne 802.1X und RADIUS relevant ist: Ein Benutzer ist an einem Windows-PC angemeldet, ohne sich abzumelden, und meldet sich von einem anderen PC \u00fcber WLAN an. In diesem Fall bleibt die Sitzung am ersten PC aktiv, bis ein Timeout auftritt oder eine erzwungene Abmeldung erfolgt. Wenn die Ger\u00e4te unterschiedliche Berechtigungen haben, werden die Berechtigungen des zuletzt angemeldeten Ger\u00e4ts angewendet.<\/p>\n

8) Zus\u00e4tzlich im Tab Administration \u2192 Identity Management \u2192 External Identity Sources \u2192 Active Directory \u2192 Gruppen \u2192 Hinzuf\u00fcgen \u2192 Gruppen aus dem Verzeichnis ausw\u00e4hlen <\/em>k\u00f6nnen Sie Gruppen aus AD ausw\u00e4hlen, die Sie auf ISE \u00fcbertragen m\u00f6chten (in unserem Fall wurde dies im Punkt 3 \u201eHinzuf\u00fcgen eines LDAP-Servers\u201c durchgef\u00fchrt). W\u00e4hlen Sie die Option Gruppen abrufen \u2192 OK<\/em>. <\/p>\n

\"CiscoAbbildung 18 a). Abrufen von Benutzergruppen aus Active Directory<\/p>\n

9) Im Tab Arbeitszentren \u2192 PassiveID \u2192 \u00dcbersicht \u2192 Dashboard<\/em> Sie k\u00f6nnen die Anzahl aktiver Sitzungen, die Anzahl der Datenquellen, Agents und mehr beobachten.<\/p>\n

\"CiscoAbbildung 19. \u00dcberwachung der Aktivit\u00e4t von Dom\u00e4nenbenutzern<\/p>\n

10) Im Tab Live-Sitzungen<\/em> werden die aktuellen Sitzungen angezeigt. Die Integration mit AD ist eingerichtet.<\/p>\n

\"CiscoAbbildung 20. Aktive Sitzungen von Dom\u00e4nenbenutzern<\/p>\n

5. Fazit<\/h2>\n

In diesem Artikel wurden die Themen der Erstellung lokaler Benutzer in Cisco ISE, das Hinzuf\u00fcgen von LDAP-Servern und die Integration mit Microsoft Active Directory behandelt. Im n\u00e4chsten Artikel wird der Gastzugang in Form eines umfassenden Leitfadens behandelt.<\/p>\n

Bei Fragen zu diesem Thema oder wenn Sie Hilfe beim Testen des Produkts ben\u00f6tigen, wenden Sie sich bitte an \u00fcber diesen Link verf\u00fcgbar<\/u><\/a><\/noindex>.<\/p>\n

Folgen Sie unseren Updates auf unseren Kan\u00e4len (Telegram<\/u><\/a><\/noindex>, Facebook<\/u><\/a><\/noindex>, VK<\/u><\/a><\/noindex>, TS Solution Blog<\/u><\/a><\/noindex>, Yandex.Zen<\/u><\/a><\/noindex>).<\/p>\n

Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041f\u0440\u0438\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u0439 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0446\u0438\u043a\u043b\u0430 \u0441\u0442\u0430\u0442\u0435\u0439, \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u043d\u043e\u043c\u0443 Cisco ISE. \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435  \u0431\u044b\u043b\u0438 \u043e\u0441\u0432\u0435\u0449\u0435\u043d\u044b \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u0438 \u043e\u0442\u043b\u0438\u0447\u0438\u044f Network Access Control (NAC) \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043e\u0442 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u0410\u0410\u0410, \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c Cisco ISE, \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430 \u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430. \u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0443\u0433\u043b\u0443\u0431\u0438\u043c\u0441\u044f \u0432 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044e LDAP \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044e \u0441 Microsoft Active Directory, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u043d\u044e\u0430\u043d\u0441\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":95331,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-95330","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Cisco ISE: Benutzererstellung, Hinzuf\u00fcgen von LDAP-Servern, Integration mit AD. Teil 2 | ProHoster","description":"Willkommen zur zweiten Ver\u00f6ffentlichung in unserer Artikelreihe \u00fcber Cisco ISE. Im ersten Artikel wurden die Vorteile und Unterschiede von Network Access Control (NAC) L\u00f6sungen im Vergleich zu herk\u00f6mmlichen AAA, die Einzigartigkeit von Cisco ISE, die Architektur und der Installationsprozess des Produkts behandelt. In diesem Artikel werden wir uns tiefgehend mit der Erstellung von Benutzerkonten, der Hinzuf\u00fcgung von LDAP-Servern und der Integration mit Microsoft Active Directory sowie den dabei auftretenden Feinheiten besch\u00e4ftigen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/cisco-ise-sozdanie-polzovatelej-dobavlenie-ldap-serverov-integracziya-s-ad-chast-2","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Cisco ISE: \u0421\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u0435 LDAP \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432, \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 AD. \u0427\u0430\u0441\u0442\u044c 2 | ProHoster","og:description":"\u041f\u0440\u0438\u0432\u0435\u0442\u0441\u0442\u0432\u0443\u044e \u0432\u043e \u0432\u0442\u043e\u0440\u043e\u0439 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0446\u0438\u043a\u043b\u0430 \u0441\u0442\u0430\u0442\u0435\u0439, \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u043d\u043e\u043c\u0443 Cisco ISE. \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u0431\u044b\u043b\u0438 \u043e\u0441\u0432\u0435\u0449\u0435\u043d\u044b \u043f\u0440\u0435\u0438\u043c\u0443\u0449\u0435\u0441\u0442\u0432\u0430 \u0438 \u043e\u0442\u043b\u0438\u0447\u0438\u044f Network Access Control (NAC) \u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043e\u0442 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u0410\u0410\u0410, \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c Cisco ISE, \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u0430 \u0438 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430.\u0412 \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0443\u0433\u043b\u0443\u0431\u0438\u043c\u0441\u044f \u0432 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0443\u0447\u0435\u0442\u043d\u044b\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0438\u044e LDAP \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044e \u0441 Microsoft Active Directory, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0432 \u043d\u044e\u0430\u043d\u0441\u044b \u043f\u0440\u0438","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/cisco-ise-sozdanie-polzovatelej-dobavlenie-ldap-serverov-integracziya-s-ad-chast-2","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-28T05:42:51+00:00","article:modified_time":"2020-09-28T05:42:51+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"95330","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:07:33","updated":"2022-09-28 09:57:17"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/95330","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=95330"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/95330\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/95331"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=95330"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=95330"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=95330"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}