सिस्को आईएसई: उपयोगकर्ता बनाना, एलडीएपी सर्वर जोड़ना, एडी के साथ एकीकृत करना। भाग 2

सिस्को आईएसई श्रृंखला की दूसरी पोस्ट में आपका स्वागत है। पहले में लेख  मानक एएए से नेटवर्क एक्सेस कंट्रोल (एनएसी) समाधान के फायदे और अंतर, सिस्को आईएसई की विशिष्टता, उत्पाद की वास्तुकला और स्थापना प्रक्रिया पर प्रकाश डाला गया।

इस लेख में हम खाते बनाने, एलडीएपी सर्वर जोड़ने और माइक्रोसॉफ्ट एक्टिव डायरेक्ट्री के साथ एकीकरण के साथ-साथ पैसिवआईडी के साथ काम करने की बारीकियों पर विस्तार से चर्चा करेंगे। पढ़ने से पहले, मैं दृढ़तापूर्वक अनुशंसा करता हूं कि आप पढ़ें पहला भाग.

1. कुछ शब्दावली

उपयोगकर्ता की पहचान - एक उपयोगकर्ता खाता जिसमें उपयोगकर्ता के बारे में जानकारी होती है और नेटवर्क तक पहुंचने के लिए उसकी साख उत्पन्न होती है। निम्नलिखित पैरामीटर आम तौर पर उपयोगकर्ता पहचान में निर्दिष्ट होते हैं: उपयोगकर्ता नाम, ईमेल पता, पासवर्ड, खाता विवरण, उपयोगकर्ता समूह और भूमिका।

यूसर समूह - उपयोगकर्ता समूह व्यक्तिगत उपयोगकर्ताओं का एक संग्रह है जिनके पास विशेषाधिकारों का एक सामान्य सेट है जो उन्हें सिस्को आईएसई सेवाओं और कार्यों के एक विशिष्ट सेट तक पहुंचने की अनुमति देता है।

उपयोगकर्ता पहचान समूह - पूर्वनिर्धारित उपयोगकर्ता समूह जिनके पास पहले से ही कुछ जानकारी और भूमिकाएँ हैं। निम्नलिखित उपयोगकर्ता पहचान समूह डिफ़ॉल्ट रूप से मौजूद हैं, आप उनमें उपयोगकर्ता और उपयोगकर्ता समूह जोड़ सकते हैं: कर्मचारी (कर्मचारी), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (अतिथि पोर्टल के प्रबंधन के लिए प्रायोजक खाते), अतिथि (अतिथि), सक्रिय अतिथि (सक्रिय अतिथि)।

उपयोगकर्ता भूमिका - उपयोगकर्ता भूमिका अनुमतियों का एक सेट है जो यह निर्धारित करती है कि उपयोगकर्ता कौन से कार्य कर सकता है और किन सेवाओं तक पहुंच सकता है। अक्सर उपयोगकर्ता की भूमिका उपयोगकर्ताओं के समूह से जुड़ी होती है।

इसके अलावा, प्रत्येक उपयोगकर्ता और उपयोगकर्ता समूह में अतिरिक्त विशेषताएं होती हैं जो आपको इस उपयोगकर्ता (उपयोगकर्ता समूह) को चुनने और अधिक विशिष्ट रूप से परिभाषित करने की अनुमति देती हैं। अधिक जानकारी में मार्गदर्शक.

2. स्थानीय उपयोगकर्ता बनाएं

1) सिस्को आईएसई में स्थानीय उपयोगकर्ता बनाना और उन्हें एक्सेस नीतियों में उपयोग करना या यहां तक ​​कि उन्हें उत्पाद प्रशासन की भूमिका देना भी संभव है। चुनना प्रशासन → पहचान प्रबंधन → पहचान → उपयोगकर्ता → जोड़ें।

चित्र 1 सिस्को आईएसई में एक स्थानीय उपयोगकर्ता जोड़ना

2) दिखाई देने वाली विंडो में, एक स्थानीय उपयोगकर्ता बनाएं, एक पासवर्ड और अन्य समझने योग्य पैरामीटर सेट करें।

चित्र 2. सिस्को आईएसई में एक स्थानीय उपयोगकर्ता बनाना

3) उपयोगकर्ताओं को आयात भी किया जा सकता है। उसी टैब में प्रशासन → पहचान प्रबंधन → पहचान → उपयोगकर्ता कोई विकल्प चुनें आयात और उपयोगकर्ताओं के साथ सीएसवी या टीएक्सटी फ़ाइल अपलोड करें। टेम्पलेट प्राप्त करने के लिए चयन करें एक टेम्पलेट तैयार करें, तो इसे उपयुक्त फॉर्म में उपयोगकर्ताओं के बारे में जानकारी भरनी चाहिए।

चित्र 3. सिस्को आईएसई में उपयोगकर्ताओं को आयात करना

3. एलडीएपी सर्वर जोड़ना

मैं आपको याद दिला दूं कि एलडीएपी एक लोकप्रिय एप्लिकेशन-स्तरीय प्रोटोकॉल है जो आपको जानकारी प्राप्त करने, प्रमाणीकरण करने, एलडीएपी सर्वर निर्देशिकाओं में खातों की खोज करने और पोर्ट 389 या 636 (एसएस) पर काम करने की अनुमति देता है। एलडीएपी सर्वर के प्रमुख उदाहरण एक्टिव डायरेक्ट्री, सन डायरेक्ट्री, नोवेल ईडायरेक्टरी और ओपनएलडीएपी हैं। एलडीएपी निर्देशिका में प्रत्येक प्रविष्टि को एक डीएन (विशिष्ट नाम) द्वारा परिभाषित किया गया है और एक एक्सेस नीति तैयार करने के लिए, खातों, उपयोगकर्ता समूहों और विशेषताओं को पुनर्प्राप्त करने का कार्य सामने आता है।

सिस्को आईएसई में, कई एलडीएपी सर्वर तक पहुंच को कॉन्फ़िगर करना संभव है, जिससे अतिरेक लागू होता है। यदि प्राथमिक (प्राथमिक) एलडीएपी सर्वर उपलब्ध नहीं है, तो आईएसई द्वितीयक (माध्यमिक) इत्यादि तक पहुंचने का प्रयास करेगा। इसके अतिरिक्त, यदि 2 पैन हैं, तो एक एलडीएपी को प्राथमिक पैन के लिए और दूसरे एलडीएपी को द्वितीयक पैन के लिए प्राथमिकता दी जा सकती है।

एलडीएपी सर्वर के साथ काम करते समय आईएसई 2 प्रकार के लुकअप (लुकअप) का समर्थन करता है: उपयोगकर्ता लुकअप और मैक एड्रेस लुकअप। उपयोगकर्ता लुकअप आपको एलडीएपी डेटाबेस में एक उपयोगकर्ता को खोजने और प्रमाणीकरण के बिना निम्नलिखित जानकारी प्राप्त करने की अनुमति देता है: उपयोगकर्ता और उनकी विशेषताएं, उपयोगकर्ता समूह। मैक एड्रेस लुकअप आपको प्रमाणीकरण के बिना एलडीएपी निर्देशिकाओं में मैक पते द्वारा खोज करने और डिवाइस, मैक पते द्वारा उपकरणों के समूह और अन्य विशिष्ट विशेषताओं के बारे में जानकारी प्राप्त करने की अनुमति देता है।

एकीकरण के उदाहरण के रूप में, आइए एक एलडीएपी सर्वर के रूप में सिस्को आईएसई में सक्रिय निर्देशिका जोड़ें।

1) टैब पर जाएं प्रशासन → पहचान प्रबंधन → बाहरी पहचान स्रोत → एलडीएपी → जोड़ें। 

चित्र 4. एक एलडीएपी सर्वर जोड़ना

2) पैनल में सामान्य जानकारी एलडीएपी सर्वर नाम और योजना निर्दिष्ट करें (हमारे मामले में सक्रिय निर्देशिका)। 

चित्र 5. सक्रिय निर्देशिका स्कीमा के साथ एक एलडीएपी सर्वर जोड़ना

3) अगले पर जाएं संबंध टैब करें और चुनें होस्टनाम/आईपी पता सर्वर एडी, पोर्ट (389 - एलडीएपी, 636 - एसएसएल एलडीएपी), डोमेन प्रशासक क्रेडेंशियल (एडमिन डीएन - पूर्ण डीएन), अन्य पैरामीटर को डिफ़ॉल्ट के रूप में छोड़ा जा सकता है।

नोट: संभावित समस्याओं से बचने के लिए व्यवस्थापक डोमेन विवरण का उपयोग करें।

चित्र 6 एलडीएपी सर्वर डेटा दर्ज करना

4) एक टैब में निर्देशिका संगठन आपको डीएन के माध्यम से निर्देशिका क्षेत्र निर्दिष्ट करना चाहिए जहां से उपयोगकर्ताओं और उपयोगकर्ता समूहों को खींचना है।

चित्र 7. उन निर्देशिकाओं का निर्धारण जहां से उपयोगकर्ता समूह आगे बढ़ सकते हैं

5) विंडो पर जाएं समूह → जोड़ें → निर्देशिका से समूह चुनें एलडीएपी सर्वर से पुल समूहों का चयन करने के लिए।

चित्र 8. एलडीएपी सर्वर से समूह जोड़ना

6) दिखाई देने वाली विंडो में क्लिक करें समूह पुनः प्राप्त करें. यदि समूहों ने कमर कस ली है, तो प्रारंभिक चरण सफलतापूर्वक पूरे कर लिए गए हैं। अन्यथा, किसी अन्य व्यवस्थापक का प्रयास करें और एलडीएपी प्रोटोकॉल का उपयोग करके एलडीएपी सर्वर के साथ आईएसई की उपलब्धता की जांच करें।

चित्र 9. खींचे गए उपयोगकर्ता समूहों की सूची

7) एक टैब में गुण आप वैकल्पिक रूप से निर्दिष्ट कर सकते हैं कि एलडीएपी सर्वर से कौन सी विशेषताएँ खींची जानी चाहिए, और विंडो में उन्नत सेटिंग्स सक्षम विकल्प पासवर्ड परिवर्तन सक्षम करें, जो उपयोगकर्ताओं को अपना पासवर्ड बदलने के लिए बाध्य करेगा यदि इसकी समय सीमा समाप्त हो गई है या रीसेट कर दिया गया है। वैसे भी क्लिक करें सब्मिट जारी रखने के लिए।

8) एलडीएपी सर्वर संबंधित टैब में दिखाई दिया और भविष्य में एक्सेस नीतियां बनाने के लिए इसका उपयोग किया जा सकता है।

चित्र 10. जोड़े गए एलडीएपी सर्वरों की सूची

4. सक्रिय निर्देशिका के साथ एकीकरण

1) माइक्रोसॉफ्ट सक्रिय निर्देशिका सर्वर को एलडीएपी सर्वर के रूप में जोड़ने से, हमें उपयोगकर्ता, उपयोगकर्ता समूह मिले, लेकिन कोई लॉग नहीं मिला। इसके बाद, मैं सिस्को आईएसई के साथ पूर्ण एडी एकीकरण स्थापित करने का प्रस्ताव करता हूं। टैब पर जाएं प्रशासन → पहचान प्रबंधन → बाहरी पहचान स्रोत → सक्रिय निर्देशिका → जोड़ें। 

नोट: AD के साथ सफल एकीकरण के लिए, ISE को एक डोमेन में होना चाहिए और DNS, NTP और AD सर्वर के साथ पूर्ण कनेक्टिविटी होनी चाहिए, अन्यथा इससे कुछ नहीं होगा।

चित्र 11. एक सक्रिय निर्देशिका सर्वर जोड़ना

2) दिखाई देने वाली विंडो में, डोमेन व्यवस्थापक विवरण दर्ज करें और बॉक्स को चेक करें क्रेडेंशियल स्टोर करें. इसके अतिरिक्त, यदि आईएसई किसी विशिष्ट ओयू में स्थित है तो आप एक ओयू (संगठनात्मक इकाई) निर्दिष्ट कर सकते हैं। इसके बाद, आपको सिस्को आईएसई नोड्स का चयन करना होगा जिसे आप डोमेन से कनेक्ट करना चाहते हैं।

चित्र 12. क्रेडेंशियल दर्ज करना

3) डोमेन नियंत्रक जोड़ने से पहले, सुनिश्चित करें कि टैब में PSN पर है प्रशासन → सिस्टम → तैनाती विकल्प सक्षम निष्क्रिय पहचान सेवा. पैसिवआईडी - एक विकल्प जो आपको उपयोगकर्ता को आईपी में अनुवाद करने और इसके विपरीत करने की अनुमति देता है। PassiveID को WMI, विशेष AD एजेंटों या स्विच पर SPAN पोर्ट के माध्यम से AD से जानकारी मिलती है (सर्वोत्तम विकल्प नहीं)।

नोट: निष्क्रिय आईडी स्थिति की जांच करने के लिए, आईएसई कंसोल में प्रवेश करें आवेदन की स्थिति दिखाएँ | है पैसिवआईडी शामिल करें।

चित्र 13. पैसिवआईडी विकल्प को सक्षम करना

4) टैब पर जाएं प्रशासन → पहचान प्रबंधन → बाहरी पहचान स्रोत → सक्रिय निर्देशिका → पैसिवआईडी और विकल्प चुनें डीसी जोड़ें. इसके बाद, चेकबॉक्स के साथ आवश्यक डोमेन नियंत्रकों का चयन करें और क्लिक करें ठीक है.

चित्र 14. डोमेन नियंत्रक जोड़ना

5) जोड़े गए डीसी का चयन करें और बटन पर क्लिक करें संपादित करें। संकेत मिलता है FQDN आपका डीसी, डोमेन लॉगिन और पासवर्ड, साथ ही एक संचार विकल्प WMI या एजेंट. WMI चुनें और क्लिक करें ठीक है.

चित्र 15. डोमेन नियंत्रक जानकारी दर्ज करना

6) यदि WMI सक्रिय निर्देशिका के साथ संचार करने का पसंदीदा तरीका नहीं है, तो ISE एजेंटों का उपयोग किया जा सकता है। एजेंट विधि यह है कि आप सर्वर पर विशेष एजेंट स्थापित कर सकते हैं जो लॉगिन ईवेंट जारी करेंगे। 2 इंस्टॉलेशन विकल्प हैं: स्वचालित और मैन्युअल। एजेंट को उसी टैब में स्वचालित रूप से स्थापित करने के लिए पैसिवआईडी वस्तु चुनें एजेंट जोड़ें → नया एजेंट तैनात करें (डीसी के पास इंटरनेट का उपयोग होना चाहिए)। फिर आवश्यक फ़ील्ड भरें (एजेंट का नाम, सर्वर FQDN, डोमेन व्यवस्थापक लॉगिन/पासवर्ड) और क्लिक करें ठीक है.

चित्र 16. आईएसई एजेंट की स्वचालित स्थापना

7) सिस्को आईएसई एजेंट को मैन्युअल रूप से स्थापित करने के लिए, आइटम का चयन करें मौजूदा एजेंट को पंजीकृत करें. वैसे, आप एजेंट को टैब में डाउनलोड कर सकते हैं कार्य केंद्र → पैसिवआईडी → प्रदाता → एजेंट → डाउनलोड एजेंट।

चित्र 17. आईएसई एजेंट डाउनलोड करना

महत्वपूर्ण: PassiveID ईवेंट नहीं पढ़ता है लॉग ऑफ़! टाइमआउट के लिए जिम्मेदार पैरामीटर को कहा जाता है उपयोगकर्ता सत्र उम्र बढ़ने का समय और डिफ़ॉल्ट रूप से 24 घंटे के बराबर है। इसलिए, आपको या तो कार्य दिवस के अंत में खुद को लॉगऑफ करना चाहिए, या किसी प्रकार की स्क्रिप्ट लिखनी चाहिए जो स्वचालित रूप से सभी लॉग इन उपयोगकर्ताओं को लॉगऑफ कर देगी। 

जानकारी के लिए लॉग ऑफ़ "एंडपॉइंट जांच" का उपयोग किया जाता है - टर्मिनल जांच। सिस्को आईएसई में कई समापन बिंदु जांच हैं: रेडियस, एसएनएमपी ट्रैप, एसएनएमपी क्वेरी, डीएचसीपी, डीएनएस, HTTP, नेटफ्लो, एनएमएपी स्कैन। RADIUS का उपयोग कर जांच करें सीओए (प्राधिकरण में परिवर्तन) पैकेज उपयोगकर्ता अधिकारों को बदलने के बारे में जानकारी देता है (इसके लिए एक एम्बेडेड की आवश्यकता होती है 802.1X), और एक्सेस स्विच एसएनएमपी पर कॉन्फ़िगर किया गया, कनेक्टेड और डिस्कनेक्टेड डिवाइसों के बारे में जानकारी देगा।

निम्नलिखित उदाहरण 802.1X और RADIUS के बिना सिस्को ISE + AD कॉन्फ़िगरेशन के लिए प्रासंगिक है: एक उपयोगकर्ता विंडोज़ मशीन पर लॉग इन करता है, लॉगऑफ़ किए बिना, वाईफाई के माध्यम से दूसरे पीसी से लॉग इन करता है। इस स्थिति में, पहले पीसी पर सत्र तब तक सक्रिय रहेगा जब तक कि कोई टाइमआउट या जबरन लॉगऑफ़ न हो जाए। फिर यदि डिवाइस के पास अलग-अलग अधिकार हैं, तो अंतिम लॉग इन डिवाइस अपने अधिकार लागू करेगा।

8) टैब में अतिरिक्त प्रशासन → पहचान प्रबंधन → बाहरी पहचान स्रोत → सक्रिय निर्देशिका → समूह → जोड़ें → निर्देशिका से समूह चुनें आप AD से उन समूहों का चयन कर सकते हैं जिन्हें आप ISE में जोड़ना चाहते हैं (हमारे मामले में, यह चरण 3 "एलडीएपी सर्वर जोड़ना") में किया गया था। एक विकल्प चुनें समूह पुनः प्राप्त करें → ठीक है. 

चित्र 18 ए). सक्रिय निर्देशिका से उपयोगकर्ता समूहों को खींचना

9) एक टैब में कार्य केंद्र → पैसिवआईडी → अवलोकन → डैशबोर्ड आप सक्रिय सत्रों की संख्या, डेटा स्रोतों, एजेंटों की संख्या और बहुत कुछ देख सकते हैं।

चित्र 19. डोमेन उपयोगकर्ता गतिविधि की निगरानी करना

10) एक टैब में लाइव सत्र वर्तमान सत्र प्रदर्शित होते हैं. AD के साथ एकीकरण कॉन्फ़िगर किया गया है.

चित्र 20. डोमेन उपयोगकर्ताओं के सक्रिय सत्र

5। निष्कर्ष

इस आलेख में सिस्को आईएसई में स्थानीय उपयोगकर्ता बनाने, एलडीएपी सर्वर जोड़ने और माइक्रोसॉफ्ट सक्रिय निर्देशिका के साथ एकीकरण के विषयों को शामिल किया गया है। अगला लेख एक निरर्थक मार्गदर्शिका के रूप में अतिथि पहुंच पर प्रकाश डालेगा।

यदि इस विषय पर आपके कोई प्रश्न हैं या उत्पाद के परीक्षण में सहायता की आवश्यकता है, तो कृपया संपर्क करें लिंक.

हमारे चैनलों में अपडेट के लिए बने रहें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग, Yandeks.Dzen).

स्रोत: www.habr.com