Benvenuto alla seconda pubblicazione del ciclo di articoli dedicati a Cisco ISE. Nella prima sono stati trattati i vantaggi e le differenze delle soluzioni di Network Access Control (NAC) rispetto agli standard AAA, l'unicità di Cisco ISE, l'architettura e il processo di installazione del prodotto.
In questo articolo approfondiremo la creazione di account, l'aggiunta di server LDAP e l'integrazione con Microsoft Active Directory, oltre alle peculiarità nell'uso di PassiveID. Prima di leggere, ti consiglio vivamente di consultare la .
1. Alcuni termini
User Identity — è un account utente che contiene informazioni sull'utente e costituisce le sue credenziali per accedere alla rete. I seguenti parametri sono generalmente indicati nell'User Identity: nome utente, indirizzo e-mail, password, descrizione dell'account, gruppo di utenti e ruolo.
User Groups — i gruppi di utenti sono un insieme di singoli utenti che hanno un comune insieme di privilegi, che consente loro di accedere a determinati servizi e funzioni di Cisco ISE.
User Identity Groups — gruppi di utenti preimpostati che hanno già determinate informazioni e ruoli. Le seguenti User Identity Groups esistono per impostazione predefinita, è possibile aggiungere utenti e gruppi di utenti: Employee (dipendente), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (conti sponsor per la gestione del portale ospite), Guest (ospite), ActivatedGuest (ospite attivato).
Ruolo utente — un ruolo utente è un insieme di autorizzazioni che definiscono quali compiti può svolgere un utente e a quali servizi può accedere. Spesso il ruolo utente è collegato a un gruppo di utenti.
Inoltre, ogni utente e gruppo di utenti ha attributi aggiuntivi che permettono di distinguere e definire più specificamente questo utente (gruppo di utenti). Maggiori informazioni in .
2. Creazione di utenti locali
1) In Cisco ISE è possibile creare utenti locali e utilizzarli nella politica di accesso o anche assegnare un ruolo di amministrazione del prodotto. Selezionare Administration → Identity Management → Identities → Users → Add.
Figura 1. Aggiunta di un utente locale in Cisco ISE
2) Nella finestra che appare, crea un utente locale, assegnagli una password e altri parametri comprensibili.
Figura 2. Creazione di un utente locale in Cisco ISE
3) Gli utenti possono essere anche importati. Nella stessa scheda Administration → Identity Management → Identities → Users seleziona l'opzione Import e carica un file csv o txt con gli utenti. Per ottenere un modello, seleziona Generate a Template, quindi compila il modello con le informazioni sugli utenti in formato appropriato.
Figura 3. Importazione degli utenti in Cisco ISE
3. Aggiunta di server LDAP
Ricordo che LDAP è un protocollo di livello applicativo molto diffuso, che consente di ottenere informazioni, eseguire l'autenticazione e cercare conti nei server LDAP. Funziona sulle porte 389 o 636 (SS). Esempi noti di server LDAP includono Active Directory, Sun Directory, Novell eDirectory e OpenLDAP. Ogni record nel catalogo LDAP è definito da un DN (Distinguished Name) e per formare le politiche di accesso è necessario il recupero (retrieval) di registrazioni, gruppi di utenti e attributi.
In Cisco ISE puoi configurare l'accesso a molti server LDAP, creando così ridondanza. Se il server LDAP primario non è disponibile, ISE tenterà di connettersi al secondario e così via. Inoltre, se ci sono 2 PAN, per il PAN primario è possibile impostare come predefinito un LDAP e per il PAN secondario un altro LDAP.
ISE supporta 2 tipi di lookup quando interagisce con i server LDAP: User Lookup e MAC Address Lookup. User Lookup consente di cercare un utente nel database LDAP e di ottenere le seguenti informazioni senza autenticazione: utenti e i loro attributi, gruppi di utenti. MAC Address Lookup consente anch’esso di effettuare ricerche per MAC address nei cataloghi LDAP senza autenticazione, ottenendo informazioni sul dispositivo, gruppi di dispositivi per indirizzi MAC e altri attributi specifici.
Come esempio di integrazione, aggiungiamo Active Directory in Cisco ISE come server LDAP.
1) Vai alla scheda Amministrazione → Gestione Identità → Fonti d'Identità Esterne → LDAP → Aggiungi.
Figura 4. Aggiunta del server LDAP
2) Nella scheda Generale specifica il nome del server LDAP e lo schema (nel nostro caso Active Directory).
Figura 5. Aggiunta del server LDAP con schema Active Directory
3) Ora procedi a Connection sezione e specificare Hostname/indirizzo IP server AD, porta (389 — LDAP, 636 — SSL LDAP), credenziali dell'amministratore di dominio (Admin DN — DN completo), gli altri parametri possono rimanere predefiniti.
Nota: usa i dati dell'amministratore di dominio per evitare potenziali problemi.
Figura 6. Immissione dei dati del server LDAP
4) Nella scheda Organizzazione della Directory devi specificare l'area delle directory tramite DN, da cui estrarre utenti e gruppi di utenti.
Figura 7. Definizione delle directory da cui recuperare i gruppi di utenti
5) Vai alla finestra Gruppi → Aggiungi → Seleziona Gruppi dalla Directory per scegliere di recuperare gruppi dal server LDAP.
Figura 8. Aggiunta di gruppi dal server LDAP
6) Nella finestra che appare, fai clic su Recupera Gruppi. Se i gruppi sono stati recuperati, significa che i passaggi preliminari sono stati eseguiti con successo. In caso contrario, prova un altro amministratore e verifica la disponibilità di ISE con il server LDAP tramite il protocollo LDAP.
Figura 9. Elenco dei gruppi di utenti recuperati
7) Nella scheda Attributi puoi opzionalmente specificare quali attributi dal server LDAP devono essere recuperati, e nella finestra Impostazioni Avanzate attivare l'opzione Abilita Modifica Password, che costringerà gli utenti a modificare la password se è scaduta o è stata reimpostata. In ogni caso, fare clic su Invia per continuare.
8) Il server LDAP è apparso nella scheda corrispondente e può essere utilizzato in seguito per creare politiche di accesso.
Figura 10. Elenco dei server LDAP aggiunti
4. Integrazione con Active Directory
1) Aggiungendo un server Microsoft Active Directory come server LDAP, abbiamo ottenuto utenti, gruppi di utenti, ma non log. Proponiamo ora di configurare una piena integrazione di AD con Cisco ISE. Vai alla scheda Amministrazione → Gestione Identità → Fonti di Identità Esterni → Active Directory → Aggiungi.
Nota: per una corretta integrazione con AD, ISE deve trovarsi nel dominio e avere piena connettività con i server DNS, NTP e AD; in caso contrario, non funzionerà.
Figura 11. Aggiunta del server Active Directory
2) Nella finestra che appare, inserisci i dati dell'amministratore di dominio e seleziona la casella Memorizza Credenziali. Inoltre, puoi specificare un'OU (Unità Organizzativa), se ISE si trova in un'OU specifica. Successivamente, sarà necessario selezionare i nodi Cisco ISE che desideri collegare al dominio.
Figura 12. Inserimento delle credenziali
3) Prima di aggiungere i controllori di dominio, assicurati che su PSN nella scheda Amministrazione → Sistema → Distribuzione opzione attivata Servizio di Identità Passiva. PassiveID — un'opzione che consente di trasmettere l'User in IP e viceversa. PassiveID ottiene informazioni da AD tramite WMI, agenti AD speciali o porti SPAN su uno switch (non l'opzione migliore).
Nota: per controllare lo stato di Passive ID, immettere nella console ISE show application status ise | include PassiveID.
Figura 13. Abilitazione dell'opzione PassiveID
4) Passare alla scheda Amministrazione → Gestione Identità → Fonti di Identità Esterne → Active Directory → PassiveID e selezionare l'opzione Aggiungi DC. Successivamente, selezionare i controller di dominio necessari e fare clic su OK.
Figura 14. Aggiunta dei controller di dominio
5) Selezionare il DC aggiunto e fare clic sul pulsante Modifica. Specifica FQDN del tuo DC, le credenziali del dominio e la password, oltre all'opzione di connessione WMI o Agente. Selezionare WMI e fare clic su OK.
Figura 15. Inserimento dati del controller di dominio
6) Se WMI non è il modo preferito per connettersi ad Active Directory, è possibile utilizzare gli agenti ISE. Il metodo agente implica che è possibile installare su server agenti speciali che registreranno gli eventi di accesso. Ci sono 2 modalità di installazione: automatica e manuale. Per l'installazione automatica dell'agente nella stessa scheda PassiveID selezionare il punto Aggiungi Agente → Implementa Nuovo Agente (DC deve avere accesso a Internet). Quindi compila i campi obbligatori (nome dell'agente, FQDN del server, login/password dell'amministratore di dominio) e premi OK.
Figura 16. Installazione automatica dell'agente ISE
7) Per l'installazione manuale dell'agente Cisco ISE è necessario selezionare l'opzione Registra Agente Esistente. Per inciso, puoi scaricare l'agente nella scheda Work Centers → PassiveID → Providers → Agents → Scarica Agente.
Figura 17. Download dell'agente ISE
Importante: PassiveID non legge eventi disconnessione! Il parametro che gestisce il timeout si chiama tempo di invecchiamento della sessione utente ed è di 24 ore per impostazione predefinita. Pertanto, è necessario effettuare la disconnessione al termine della giornata lavorativa oppure scrivere uno script che effettui la disconnessione automatica a tutti gli utenti connessi.
Per ottenere informazioni disconnessione si utilizzano i "Endpoint probes" — sonde finali. In Cisco ISE esistono diverse endpoint probes: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS la sonda tramite CoA (Change of Authorization) restituisce informazioni sulla modifica dei diritti dell'utente (per questo è richiesta l'implementazione di 802.1X), mentre la configurazione SNMP sugli switch di accesso fornirà informazioni sui dispositivi connessi e disconnessi.
Di seguito è riportato un esempio attuale per la configurazione Cisco ISE + AD senza 802.1X e RADIUS: l'utente è connesso a un PC Windows, senza fare logoff, e si connette da un altro PC tramite WiFi. In questo caso, la sessione sul primo PC rimarrà attiva finché non si verificherà un timeout o non si procederà a un logoff forzato. Se i dispositivi hanno diritti diversi, l'ultimo dispositivo connesso applicherà i propri diritti.
8) Aggiuntivo nella scheda Amministrazione → Gestione Identità → Origini Identità Esterne → Active Directory → Gruppi → Aggiungi → Seleziona Gruppi Dal Direttorio puoi selezionare i gruppi dall'AD che desideri importare su ISE (nel nostro caso, questo è stato fatto nel punto 3 “Aggiunta del server LDAP”). Seleziona l'opzione Recupera Gruppi → OK.
Figura 18 a). Importazione dei gruppi utente da Active Directory
9) Nella scheda Centri di lavoro → PassiveID → Panoramica → Dashboard puoi osservare il numero di sessioni attive, il numero di fonti di dati, agenti e altro.
Figura 19. Monitoraggio dell'attività degli utenti di dominio
10) Nella scheda Sessioni Attive vengono visualizzate le sessioni attuali. L'integrazione con AD è configurata.
Figura 20. Sessioni attive degli utenti di dominio
5. Conclusione
In questo articolo sono stati trattati i temi della creazione di utenti locali in Cisco ISE, dell'aggiunta di server LDAP e dell'integrazione con Microsoft Active Directory. Nel prossimo articolo verrà discusso l'accesso guest come guida approfondita.
Se hai domande su questo argomento o hai bisogno di assistenza nel testare il prodotto, contattaci a .
Seguite gli aggiornamenti sui nostri canali (, , , , ).
Fonte: habr.com
