Cisco ISE: Kasutajate loomine, LDAP serverite lisamine, AD integreerimine. Osa 2

Tere tulemast artiklite teise väljaandesse, mis on pühendatud Cisco ISE-le. Esimeses artiklis  oli kajastatud Network Access Control (NAC) lahenduste eelised ja erinevused tavalistest AAA-st, Cisco ISE unikaalsus, arhitektuur ja toote installimise protsess.

Selles artiklis süveneme kasutajakontode loomisse, LDAP serverite lisamisse ja integreerimisse Microsoft Active Directoryga, samuti tähelepanekutesse, mis on seotud PassiveID kasutamisega. Enne lugemist soovitan tungivalt tutvuda esimese osaga.

1. Veidi terminoloogiast

Kasutaja identiteet on kasutaja konto, mis sisaldab teavet kasutaja kohta ja moodustab tema sisselogimisandmed võrgu juurde pääsemiseks. Järgmised parameetrid on tavaliselt kirjas kasutaja identiteedis: kasutajanimi, e-posti aadress, parool, konto kirjeldus, kasutajate grupp ja roll.

Kasutajate grupid on kasutajate rühmad, mis on grupp eraldi kasutajatest, kellel on ühine privileegide kogum, mis võimaldab neil pääseda teatud teenuste ja funktsioonide juurde Cisco ISE-s.

Kasutaja identiteedi grupid — on eeldefineeritud kasutajagruppide kogum, mis sisaldab juba määratud teavet ja rolle. Järgmised kasutaja identiteedi grupid eksisteerivad vaikimisi, kuhu saab lisada kasutajaid ja kasutajagruppe: Employee (töötaja), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (kylaline konto, et hallata külaliste portaali), Guest (külaline), ActivatedGuest (aktiivne külaline).

Kasutaja roll — on kasutaja roll, mis määratleb õiguste kogumi, mida kasutaja saab täita ja millele ta juurde pääseb. Sageli on kasutaja roll seotud kasutajagruppidega.

Lisaks on igal kasutajal ja kasutajagrupil täiendavad atribuudid, mis võimaldavad neid eristada ja täpsemalt määratleda. Rohkem teavet leiate juhendis.

2. Kohalike kasutajate loomine

1) Cisco ISE-s on võimalus luua kohalikke kasutajaid ja kasutada neid turvapoliitikas või isegi anda neile toote halduri roll. Valige Administration → Identity Management → Identities → Users → Add.

Joonis 1. Kohaliku kasutaja lisamine Cisco ISE-sse

2) Ilmuvatel akendel looge kohalik kasutaja, määrake talle parool ja muud arusaadavad parameetrid.

Joonis 2. Kohalik kasutaja loomine Cisco ISE-s

3) Kasutajaid saab ka importida. Samas vahes Haldus → Identiteedihaldus → Identiteed → Kasutajad valige valik Importida ja laadige üles csv või txt fail kasutajatega. Malli saamiseks valige Genereeri mall, seejärel tuleb see täita kasutajate teabega sobivas vormis.

Joonis 3. Kasutajate importimine Cisco ISE-s

3. LDAP serverite lisamine

Meenutan, et LDAP on populaarne rakendusprotokoll, mis võimaldab saada teavet, teostada autentimist, otsida kontosid LDAP serverites, töötab portidel 389 või 636 (SSL). Tuntud LDAP serverite näited on Active Directory, Sun Directory, Novell eDirectory ja OpenLDAP. Iga LDAP katalooge kannab DN-i (Distinguished Name) ja juurdepääsupoliitika koostamiseks on vajalik kasutajate, kasutajagruppide ja atribuutide hankimine (retrieval).

Cisco ISE-s on võimalik seadistada juurdepääs paljudele LDAP serveritele, saavutades seeläbi ülekülluse. Kui peamine LDAP server on kättesaamatu, proovib ISE pöörduda teise ja nii edasi. Lisaks, kui on olemas 2 PANi, võib peamise PANi jaoks määrata ühe LDAP serveri prioriteetseks ja teise LDAP serveri teise PANi jaoks.

ISE toetab 2 tüüpi otsingut LDAP serveritega töötamisel: Kasutajaotsing ja MAC-aadressi otsing. Kasutajaotsing võimaldab otsida kasutajat LDAP andmebaasis ja saada järgmise teabe ilma autentimiseta: kasutajad ja nende atribuudid, kasutajagruppide. MAC-aadressi otsing võimaldab samuti ilma autentimiseta otsida MAC-aadresse LDAP kataloogides ja saada teavet seadme, seadmete grupi MAC-aadresside ja muude spetsiifiliste atribuutide kohta.

Integreerimise näitena lisame Active Directory Cisco ISE-s LDAP serverina.

1) Minge vahekaardile Haldus → Identiteedihaldus → Välistudengite allikad → LDAP → Lisa. 

Joonis 4. LDAP serveri lisamine

2) Paneelil Üldine määra LDAP serveri nimi ja skeem (meie juhul Active Directory). 

Joonis 5. LDAP serveri lisamine Active Directory skeemiga

3) Seejärel minge vahekaardile Ühendus ja määrake Hostnime/IP aadress AD server, port (389 — LDAP, 636 — SSL LDAP), domeeni administraatori mandaadid (Admin DN — täielik DN), ülejäänud parameetreid võib jätta vaikimisi.

Märkus: kasutage domeeni administraatori andmeid võimalike probleemide vältimiseks.

Joonis 6. LDAP serveri andmete sisestamine

4) Vahekaardil Katalooge organisatsioon peab määrama katalooge DN kaudu, millest kasutajaid ja kasutajagruppide andmeid tõmmata.

Joonis 7. Kataloogide määramine, kust kasutajagrupid tõmmatakse

5) Minge aknasse Grupid → Lisa → Valige grupid kataloogist kasutajagruppide tõmbamiseks LDAP serverist.

Joonis 8. Gruppide lisamine LDAP serverist

6) Ilmunud aknas vajutage Tõmba grupid. Kui grupid tõmmati, siis on eelnevad sammud edukalt teostatud. Kui ei, proovige teist administraatorit ja veenduge, et ISE oleks saadaval LDAP serveriga LDAP protokolli kaudu.

Joonis 9. Tõmmatud kasutajagruppide loetelu

7) Vahekaardil Atribuudid võib valikuliselt määrata, milliseid atribuute LDAP serverist tõmmata, ja aknas Täiendavad seaded lülitage sisse valik Luba parooli muutmine, mis sunnib kasutajaid parooli muutma, kui see on aegunud või lähtestatud. Igatahes vajutage Esita edasi minemiseks.

8) LDAP server ilmub vastava vahekaardi alla ja seda saab edaspidi kasutada juurdepääsupoliitikate koostamiseks.

Joonis 10. Lisatud LDAP serverite loetelu

4. Integreerimine Active Directoryga

1) Microsoft Active Directory serveri lisamisega LDAP serverina saime kasutajad, kasutajagruppide loetelu, kuid mitte logisid. Edasi soovitan seadistada täieliku AD integreerimise Cisco ISE-ga. Minge vahekaardile Administratsioon → Identiteedihaldus → Välistingimuste identiteediallikad → Active Directory → Lisa. 

Märkus: EDUks on, et ISE peab olema domeenis ja sellel peab olema täielik ühendus DNS, NTP ja AD serveritega, vastasel juhul ei toimi see.

Joonis 11. Active Directory serveri lisamine

2) Ilmunud aknas sisestage domeeni administraatori andmed ja märkige kast Salvesta mandaadid. Lisaks võite märgistada OU (Organisatsiooniline üksus), kui ISE asub konkreetses OU-s. Edasi tuleb valida Cisco ISE sõlmed, mida soovite domeeniga ühendada.

Joonis 12. Mandaadi andmete sisestamine

3) Enne domeenikontrollerite lisamist veenduge, et PSN-i vahekaardil Administratsioon → Süsteem → Rakendamine oleks valik Passiivne identiteeteenus. PassiveID — valik, mis võimaldab edastada kasutajat IP-le ja vastupidi. PassiveID saab teavet AD-st WMI kaudu, spetsiaalsete AD agentide või SPAN pordiga lülitil (mitte parim variant).

Märkus: Passive ID staatuse kontrollimiseks sisestage ISE konsooli show application status ise | include PassiveID.

Joonis 13. PassiveID valiku lubamine

4) Minge vahekaardile Administration → Identity Management → External Identity Sources → Active Directory → PassiveID ja valige valik Lisa DC-d. Seejärel valige linnukestega vajalikud domeenikontrollerid ja vajutage OK.

Joonis 14. Domeenikontrollerite lisamine

5) Valige lisatud DC-d ja vajutage nuppu Muuda. Määrake FQDN teie DC, domeeni sisselogimisandmed ja parool, samuti ühenduse valik WMI või Agent. Valige WMI ja vajutage OK.

Joonis 15. Domeenikontrolleri andmete sisestamine

6) Kui WMI ei ole eelistatud viis Active Directory-ga suhtlemiseks, siis võib kasutada ISE-agente. Agendi meetod seisneb selles, et saate serveritesse installida spetsiaalsedagendid, mis edastavad sisselogimise sündmusi. On olemas 2 installatsioonivõimalust: automaatne ja käsitsi. Agendi automaatseks installimiseks valige samal vahekaardil PassiveID valik Add Agent → Deploy New Agent (DC-l peab olema juurdepääs internetile). Seejärel täitke kohustuslikud väljad (agendi nimi, serveri FQDN, domeeni administraatori sisselogimisandmed/parool) ja vajutage OK.

Joonis 16. ISE agendi automaatne installatsioon

7) Cisco ISE agendi käsitsi installimiseks tuleb valida valik Registreeri olemasolev agent. Muide, agendi allalaadimiseks minge vahekaardile Work Centers → PassiveID → Providers → Agents → Download Agent.

Joonis 17. ISE agendi allalaadimine

Oluline: PassiveID ei loe sündmusi logoff! Asetäitmise parameeter on tuntud kui kasutajasessiooni vananemise aeg ja on vaikimisi 24 tundi. Seetõttu tuleb kas ise logida välja pärast tööpäeva lõppu või kirjutada mõni skript, mis logib automaatselt välja kõik sisse logitud kasutajad. 

Informatsiooni saamiseks logoff kasutatakse "Endpoint probes" — lõpp-punkti sondid. Cisco ISE-s on olemas mitu Endpoint probe’i: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS probe kaudu CoA (Change of Authorization) paketid edastavad teavet kasutaja õiguste muutmise kohta (selleks on vajalik juurutatud 802.1X), ning sisse lülitatud SNMP-lülitites pakub teavet ühendatud ja ühendusest eemaldatud seadmete kohta.

Allpool on näide, mis kehtib Cisco ISE + AD konfiguratsiooni kohta ilma 802.1X ja RADIUSeta: kasutaja on Windowsi masinas sisse logitud, jättes logimise vahele, ja logib sisse teise arvutisse WiFi kaudu. Sellisel juhul jääb esimeses arvutis seanss aktiivseks, kuni toimub ajaväli või sunnitud logimine välja. Seega, kui seadmetel on erinevad õigused, rakendab viimane sisse logitud seade oma õigusi.

8) Täiendavalt vahekaardil Haldus → Identiteedihaldus → Välimised identiteediallikad → Active Directory → Grupid → Lisa → Valige gruppid kataloogist võite valida AD grupid, mida soovite ISE-sse importida (meie puhul tehti see sammus 3 „LDAP-serveri lisamine”). Valige valik Tõsta grupid → OK. 

Joonis 18 a). Grupid kasutajatest Active Directoryst

9) Vahekaardil Töökeskused → PassiveID → Ülevaade → Armatuurlaud saate jälgida aktiivsete seansside arvu, andmeallikaid, agente ja muud.

Joonis 19. Domeeni kasutajate tegevuse jälgimine

10) Vahekaart Aktiivsed seansid kuvatakse aktiivsed seansid. Integreerimine AD-iga on seadistatud.

Joonis 20. Domeeni kasutajate aktiivsed seansid

5. Kokkuvõte

Selles artiklis käsitleti kohalike kasutajate loomist Cisco ISE-s, LDAP-serverite lisamist ja integreerimist Microsoft Active Directoryga. Järgmises artiklis arutatakse külaliseks pääsu nagu mahukas juhend.

Kui teil on selle teema kohta küsimusi või vajate toote testimisel abi, võtke ühendust lingil.

Jälgige meie kanaleid (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com