Cisco WLCのデバイス管理のためのTACACS+の設定

はじめに

このドキュメントでは、Identity Service Engine(ISE)を使用してCisco Wireless LAN Controller(WLC)のデバイス管理用にTACACS+を設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Identity Service Engine(ISE)の基礎知識
• CiscoワイヤレスLANコントローラ(WLC)に関する基本的な知識

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Cisco Identity Service Engine 2.4
• CiscoワイヤレスLANコントローラ8.5.135

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

コンフィギュレーション

ステップ 1：Device Administration Licenseを確認します。

Administration > System > Licensingタブに移動し、図に示すように、Device Adminライセンスがインストールされていることを確認します。

注:ISEでTACACS+機能を使用するには、デバイス管理者ライセンスが必要です。

ステップ 2：ISE PSNノードでデバイス管理を有効にします。

Work Centers > Device Administration > Overviewの順に移動し、Deploymentタブをクリックして、Specific PSN Nodeオプションボタンを選択します。次の図に示すように、チェックボックスを選択してISEノードでDevice Administrationを有効にし、Saveをクリックします。

ステップ 3：ネットワークデバイスグループを作成します。

ISEでネットワークデバイスとしてWLCを追加するには、図に示すように、Administration > Network Resources > Network Device Groups > All Device Typesの順に移動し、WLCの新しいグループを作成します。

ステップ 4：ネットワークデバイスとしてWLCを追加します。

[Work Centers] > [Device Administration] > [Network Resources] > [Network Devices] に移動します。次の図に示すように、Addをクリックし、Name、IP Addressを指定してデバイスタイプにWLCを選択し、TACACS+ Authentication Settingsチェックボックスを選択して、Shared Secret keyを指定します。

ステップ 5：WLC用のTACACSプロファイルを作成します。

Work Centers > Device Administration > Policy Elements > Results > TACACS Profilesの順に移動します。Addをクリックして、Nameを指定します。タスク属性ビュータブで、共通タスクタイプとしてWLCを選択します。 図に示すように、ユーザへの制限付きアクセスを許可するためにモニタを選択するデフォルトプロファイルが存在します。

次の図に示すように、ユーザへのフルアクセスを許可する別のデフォルトプロファイルAllがあります。

手順 6：ポリシー セットを作成します。

Work centers > Device administration > Device Admin Policy Setsの順に移動します。 (+)をクリックして、ポリシーセットに名前を付けます。図に示すように、ポリシー条件でWLCとしてDevice Typeを選択し、許可されるプロトコルはDefault Device Adminにすることができます。

手順 7：認証および認可ポリシーを作成します。

このドキュメントでは、2つのサンプルグループAdmin-Read-WriteおよびAdmin-Read-OnlyがActive Directoryと各グループadmin1、admin2内の1人のユーザにそれぞれ設定されています。Active Directoryは、AD-JointNameという名前のジョイポイントを介してISEと統合されます。

図に示すように、2つの認可ポリシーを作成します。

ステップ 8：デバイス管理用のWLCの設定

図に示すように、Security > AAA > TACACS+の順に移動し、Newをクリックして、Authentication, Accounting serverを追加します。

図に示すように、優先順位を変更し、TACACS+を上に、ローカルを下に変更します。

注意：現在のWLC GUIセッションを閉じないでください。異なるWebブラウザでWLC GUIを開き、TACACS+クレデンシャルでのログインが機能するかどうかを確認することを推奨します。そうでない場合は、TCPポート49でISEノードの設定と接続を確認します。

確認

Operations > TACACS > Live logsの順に移動し、Live Logsを監視します。図に示すように、WLC GUIを開き、Active Directoryユーザクレデンシャルでログインします

トラブルシュート

現在、この設定に関する特定のトラブルシューティング情報はありません。