Cisco ISE: Kasutajate loomine, LDAP-serverite lisamine, integreerimine AD-ga. Osa 2

Tere tulemast teise artikli avaldamisse, mis on pühendatud Cisco ISE-le. Esimeses artiklis  käsitleti võrgu juurdepääsu kontrolli (NAC) lahenduste eelist ja erinevusi standardsetest AAA lahendustest, Cisco ISE unikaalsust, arhitektuuri ja toote installimise protsessi.

Käesolevas artiklis keskendume kasutajakontode loomisele, LDAP-serverite lisamisele ja integreerimisele Microsoft Active Directoryga, samuti detailidele, mis on seotud PassiveID kasutamisega. Enne lugemist soovitan tungivalt tutvuda esimese osaga.

1. Mõned terminoloogiad

Kasutaja identiteet — kasutaja konto, mis sisaldab teavet kasutaja kohta ja moodustab tema mandaatide juurdepääsu võrku. Järgmised parameetrid on tavaliselt kaasatud kasutaja identiteeti: kasutajanimi, e-posti aadress, parool, konto kirjeldus, kasutajagrupp ja roll.

Kasutajagrupp — kasutajagrupp on eraldi kasutajate kogum, kellel on ühtne privileegide kogum, mis võimaldab neil pääseda juurde teatud teenuste ja Cisco ISE funktsioonide komplektile.

Kasutaja identiteedi grupid — eelnevalt määratletud kasutajagruppide rühm, kes omab juba teatud teavet ja rolle. Järgnevad kasutajaidentiteedi grupid eksisteerivad vaikimisi, neisse saab lisada kasutajaid ja kasutajagruppe: Employee (töötaja), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (sponsori kontod külalisportaali haldamiseks), Guest (külaline), ActivatedGuest (aktiveeritud külaline).

Kasutajaroll — kasutajaroll on õiguste kogum, mis määratleb, milliseid ülesandeid kasutaja täita saab ja millistele teenustele tal juurdepääs on. Sageli on kasutajaroll seotud kasutajagrupiga.

Lisaks on igal kasutajal ja kasutajagruppidel täiendavad atribuudi, mis võimaldavad neid eristada ja täpsemalt määratleda. Täiendavat teavet leiate juhendis.

2. Kohalikud kasutajad

1) Cisco ISE-s on võimalik luua kohalikke kasutajaid ja kasutada neid juurdepääsupoliitikates või isegi anda neile toote haldamise roll. Valige Administration → Identity Management → Identities → Users → Add.

Joonis 1. Kohaliku kasutaja lisamine Cisco ISE-s

2) Avanenud aknas looge kohaliku kasutaja, määrake talle parool ja muud arusaadavad parameetrid.

Joonis 2. Kohaliku kasutaja loomine Cisco ISE-s

3) Kasutajaid on võimalik ka importida. Samas vahekaardis Administration → Identity Management → Identities → Users valige valik Import ja laadige üles csv või txt fail kasutajatega. Malli saamiseks valige Generate a Template, seejärel täitke see kasutajate teabega sobivas vormingus.

Joonis 3. Kasutajate importimine Cisco ISE-s

3. LDAP serverite lisamine

Tuletan meelde, et LDAP on populaarne rakendusprotokoll, mis võimaldab saada teavet, autentida, otsida kontosid LDAP serverites, töötab pordil 389 või 636 (SS). Silmapaistvad LDAP serverite näited on Active Directory, Sun Directory, Novell eDirectory ja OpenLDAP. Iga LDAP kataloogis olev kirje on määratletud DN-iga (Distinguished Name) ja juurdepääsupoliitika koostamiseks on vajalik kontode, kasutajagruppide ja atribuutide hankimine.

Cisco ISE võimaldab seadistada juurdepääsu mitmele LDAP-serverile, luues seeläbi üleliigsuse. Kui esmane LDAP-server ei ole kättesaadav, proovib ISE ühendust võtta teise, ja nii edasi. Lisaks, kui on olemas 2 PAN-i, võib esmase PAN-i jaoks seada prioriteediks ühe LDAP-i ja teise LDAP-i teises PAN-is.

ISE toetab 2 tüüpi otsingut (lookup) LDAP-serverite kasutamisel: User Lookup ja MAC Address Lookup. User Lookup võimaldab otsida kasutajat LDAP-andmebaasist ja saada järgmised andmed ilma autentimata: kasutajad ja nende atribuudid, kasutajagruppide kohta. MAC Address Lookup võimaldab samuti ilma autentimata otsida MAC-aadresside järgi LDAP-kataloogides ning saada teavet seadme, seadmete grupi MAC-aadresside ja teiste spetsiifiliste atribuutide kohta.

Integreerimise näiteks lisame Active Directory Cisco ISE-s LDAP-serverina.

1) Minge vahekaardile Administration → Identity Management → External Identity Sources → LDAP → Add. 

Joonis 4. LDAP-serveri lisamine

2) Paneelis General märkige LDAP-serveri nimi ja skeem (meie juhul Active Directory). 

Joonis 5. LDAP-serveri lisamine Active Directory skeemiga

3) Seejärel minge Ühendus üksuse ja sisestage Hostname/IP aadress AD server, port (389 — LDAP, 636 — SSL LDAP), domeeni administraatori autentimise andmed (Admin DN — täielik DN), ülejäänud parameetrid võib jätta vaikimisi.

Märkus: kasutage domeeni admini andmeid, et vältida võimalikke probleeme.

Joonis 6. LDAP serveri andmete sisestamine

4) Vahekaardil Kataloogiorganisatsioon tuleb märkida katalooge DN kaudu, kust kasutajad ja kasutajagrupid välja tõmmatakse.

Joonis 7. Kataloogide määramine, kust grupid välja tõmmatakse

5) Liikuge aknasse Groups → Add → Select Groups From Directory et valida grupiväljatõmbamine LDAP serverist.

Joonis 8. Gruppide lisamine LDAP serverist

6) Avanevas aknas klõpsake Retrieve Groups. Kui grupid tõmmati, tähendab, et eelnevad sammud on edukalt sooritatud. Kui ei, proovige teist administraatorit ja kontrollige ISE juurdepääsetavust LDAP serveriga LDAP protokolli kaudu.

Joonis 9. Tõmmatud kasutajagruppide loetelu

7) Vahekaardil Attributes võite valikuliselt märkida, milliseid atribuute LDAP serverist tuleks välja tõmmata, ja aknas Advanced Settings lülitage sisse valik Enable Password Change, mis paneb kasutajad parooli muutma, kui see on aegunud või lähtestatud. Igal juhul klõpsake Esita edasi minemiseks.

8) LDAP-server on ilmunud vastavasse vahekaardile ja seda saab seejärel kasutada juurdepääsukavade koostamiseks.

Joonis 10. Lisatud LDAP-serverite nimekiri

4. Integreerimine Active Directoryga

1) Microsoft Active Directory serveri lisamisega LDAP-serverina saime kasutajad, kasutajarühmad, kuid mitte logisid. Edasi soovitan seadistada täielik AD integreerimine Cisco ISE-ga. Liikuge vahekaardile Administratsioon → Isiku haldus → Välistesse identiteedi allikatesse → Active Directory → Lisa. 

Märkus: AD-ga edukaks integreerimiseks peab ISE asuma domeenis ja omama täielikku ühenduvust DNS, NTP ja AD serveritega, vastasel juhul ei õnnestu.

Joonis 11. Active Directory serveri lisamine

2) Avanevas aknas sisestage domeeni administraatori andmed ja märkige ruudu Krediidide salvestamine. Lisaks saate märkida OU (organisatsiooniline üksus), kui ISE asub mõnes konkreetses OU-s. Edasi tuleb valida Cisco ISE sõlmed, mille soovite domeeniga ühendada.

Joonis 12. Kontode andmete sisestamine

3) Enne domeeni kontrollerite lisamist veenduge, et PSN oleks vahekaardil Halduse → Süsteem → Rakendamine on valik aktiivne Passiivne Identiteediteenus. PassiveID — valik, mis võimaldab edastada kasutaja IP-le ja tagasi. PassiveID saab teavet AD-st läbi WMI, spetsiaalsete AD-agendite või SPAN-porti lülitil (mida ei soovitata).

Märkus: Passiivse ID oleku kontrollimiseks sisestage ISE konsooli show application status ise | include PassiveID.

Joonis 13. PassiveID valiku lubamine

4) Liikuge vahelehele Halduse → Identiteedihaldus → Välist Identiteedi Allikad → Active Directory → PassiveID ja valige valik Lisa DC-d. Seejärel valige vajalikud domeeni kontrollijad ja vajutage OK.

Joonis 14. Domeeni kontrollijate lisamine

5) Valige lisatud DC ja vajutage nuppu Muutmine. Määrake FQDN teie DC, domeeni sisselogimise ja parooli, samuti ühenduse valik WMI või Agent. Valige WMI ja vajutage OK.

Joonis 15. Domeeni kontrollija andmete sisestamine

6) Kui WMI ei ole soovitatav meetod ühendamiseks Active Directory-ga, võite kasutada ISE-agente. Agentide meetod seisneb selles, et saate serveritesse installida spetsiaalsed agendid, mis edastavad sisenemise sündmusi. On kaks paigaldusvõimalust: automaatne ja käsitsi. Automaatse agendi paigaldamiseks valige samal vahelehel PassiveID punkt Lisa agent → Käivita uus agent (DC peab olema Interneti-ühendus). Täitke seejärel kohustuslikud väljad (agendi nimi, serveri FQDN, domeeni administraatori sisselogimise/varundamise parool) ja klõpsake OK.

Joonis 16. ISE agendi automaatne installimine

7) Cisco ISE agendi käsitsi installimiseks tuleb valida element Registreeri olemasolev agent. Lisaks, agenti saab alla laadida vahekaardilt Töökeskused → PassiveID → Pakkujad → Agendid → Laadi agent alla.

Joonis 17. ISE agendi allalaadimine

Oluline: PassiveID ei loe sündmusi logoff! Asetusega seotud parameeter, mis vastutab ajaülevaate eest, on kasutaja sessiooni aegumise aeg ja on vaikimisi 24 tundi. Seetõttu tuleb kas ise võtta logoff tööpäeva lõpus või kirjutada mõni skript, mis teeb automaatse logoff kõigile sisse logitud kasutajatele. 

Teabe saamiseks logoff kasutatakse "Endpoint probes" — lõpukohti. Cisco ISE-s on mitu erinevat Endpoint probe'i: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Skannimine. RADIUS probe, mis töötab CoA (Authorization Change) paketid edastavad teavet kasutaja õiguste muutmise kohta (selleks on vajalik rakendatud 802.1X), samas kui seadistatud juurdepääsu lülitites SNMP annab teavet ühendatud ja lahutatud seadmete kohta.

Allpool on Cisco ISE + AD konfigureerimise näide ilma 802.1X ja RADIUSeta: kasutaja on sisselogitud Windowsi masinas, logimata välja, ja logib sisse teiselt PC-lt WiFi kaudu. Sel juhul jääb esimene PC seanss endiselt aktiivseks, kuni toimub aja ületamine või sunnitud väljalogimine. Kui seadmetel on erinevad õigused, siis rakendatakse viimase sisselogitud seadme õigusi.

8) Täiendavalt vahekaardil Haldus → Identiteedihaldus → Välised identiteediallikad → Active Directory → Grupid → Lisa → Valige rühm muudest kataloogidest saate valida AD grupid, mida soovite tuua ISE-sse (meie puhul tehti see sammus 3 „LDAP serveri lisamine”). Valige valik Tõsta grupid → OK. 

Kujutis 18: Kasutajate gruppide tõmbamine Active Directoryst

9) Vahekaardil Töö keskused → PassiveID → Ülevaade → Armatuurlaud saate jälgida aktiivsete seansside arvu, andmeallikate arvu, agente jne.

Kujutis 19. Domeeni kasutajate aktiivsuse jälgimine

10) Vahekaardil Elavad seansid kuvatakse praegused sessioonid. Integreerimine AD-ga on seadistatud.

Kujutis 20. Domeeni kasutajate aktiivsed seansid

5. Kokkuvõte

Selles artiklis käsitleti kohalike kasutajate loomist Cisco ISE-s, LDAP-serverite lisamist ja integreerimist Microsoft Active Directoryga. Järgmisel artiklil on plaanis käsitleda külalise juurdepääsu, mis on ülevaatlik juhend.

Kui teil on selle teema kohta küsimusi või vajate toodete testimisel abi, võtke ühendust lingi kaudu.

Jälgige meie uuendusi kanalites (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Allikas: habr.com