تكوين نهج مجموعة SAML لجدار الحماية الآمن ومعرف الشبكة

المقدمة

يصف هذا المستند كيفية تعيين سياسات المجموعة باستخدام معرف بطاقة MS لمصادقة SAML ل Cisco Secure Client على جدار الحماية الآمن من Cisco.

---

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• Cisco Secure Client AnyConnect VPN
• تكوين موفر هوية معرف Microsoft Entra (IDp)
• Cisco Firepower Threat Defense (FTD) أو Cisco Secure Firewall ASA Remote Access VPN و Single Login (SSO) Server Object

---

المكونات المستخدمة

أسست المعلومة في هذا مرشد على هذا جهاز وبرمجية صيغة:

• FTD الإصدار 7.6
• FMC الإصدار 7.6
• MS Entra ID SAML IDp 

---

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

---

معلومات أساسية

SAML (لغة تمييز تأكيد الأمان) هي إطار عمل يستند إلى XML لتبادل بيانات المصادقة والتفويض بين مجالات الأمان. فهو يعمل على إنشاء دائرة من الثقة بين المستخدم ومزود الخدمة (SP) ومزود الهوية (IDp)، مما يسمح للمستخدمين بتسجيل الدخول مرة واحدة (SSO) للحصول على خدمات متعددة. يمكن إستخدام SAML لمصادقة الوصول عن بعد VPN ل Cisco Secure Client Connections to ASA و FTD VPN HeadEnd، حيث يكون ASA أو FTD هو SP من دائرة الأمان.

---

في هذا المستند، يتم إستخدام Microsoft Entra ID/Azure ك IdP. على أي حال، يمكنك تعيين سياسات المجموعة باستخدام معرفات أخرى لأنها تستند إلى سمات قياسية يمكن إرسالها في تأكيد SAML.

---

---

التكوين

تكوين FMC SAML

1. في FMC، انتقل إلى كائنات > إدارة الكائن > خادم AAA > خادم تسجيل الدخول الأحادي. يتم الحصول على معرف الوحدة وعنوان SSO URL وعنوان URL لتسجيل الخروج وشهادة موفر الهوية من IdP، راجع الخطوة 6 في قسم معرف Microsoft Entra. محدد موقع المعلومات (URL) الأساسي وشهادة مزود الخدمة محددان ل FTD الذي تتم إضافة التكوين إليه.

---

تكوين كائن SSO ل FMC

---

تكوين مجموعة النفق FMC RAPN

1. في FMC، انتقل إلى الأجهزة > VPN > الوصول عن بعد > ملف تعريف الاتصال وحدد، أو قم بإنشاء، سياسة VPN ل FTD الذي تقوم بتكوينه. بمجرد تحديده، قم بإنشاء توصيف توصيل مشابه لما يلي:

---

تعيين عنوان ملف تعريف اتصال FMC

تكوين AAA لملف تعريف اتصال FMC

---

تكوين نهج مجموعة RAPN ل FMC

1. يجب إنشاء نهج مجموعة بالخيارات المطلوبة لكل مجموعة مستخدمين على معرف Microsoft Entra وإضافة إلى نهج RAVPN ل FTD الذي تقوم بتكوينه.

---

2. انتقل إلى الأجهزة > VPN > الوصول عن بعد > خيارات متقدمة وحدد سياسات المجموعة من الجانب الأيسر. ثم انقر فوق + في أعلى اليمين لإضافة نهج مجموعة. 

---

FMC إضافة نهج مجموعة

---

3. انقر فوق + في القائمة المنبثقة لعرض مربع الحوار وإنشاء نهج مجموعة جديد. قم بتعبئة الخيارات المطلوبة ثم احفظها. 

---

---

إنشاء نهج مجموعة جديد

خيارات نهج المجموعة

---

4. حدد نهج المجموعة الذي تم إنشاؤه حديثا في القائمة الموجودة على اليسار، وانقر فوق الزر إضافة، ثم انقر فوق موافق لحفظ القائمة.

---

إضافة نهج المجموعة

---

بيانات تعريف FTD

1. بمجرد نشر التكوين في FTD، انتقل إلى واجهة سطر الأوامر (CLI) الخاصة ب FTD وأشغل الأمر show saml metadata <tunnel group name> وتجميع معرف كيان FTD وACS URL.

---

---

FTD# show saml metadata SAMLtest
SP Metadata
-----------
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<EntityDescriptor entityID="https://vpn.example.net/saml/sp/metadata/SAMLtest" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
<SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<KeyDescriptor use="signing">
<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:X509Data>
<ds:X509Certificate>
MIIFWzCCBEOgAwIBAgITRwAAAAgZ9Nmfv5mpJQAAAAAACDANBgkqhkiG9w0BAQsF
ADBJMRMwEQYKCZImiZPyLGQBGRYDY29tMRYwFAYKCZImiZPyLGQBGRYGcnRwdnBu
MRowGAYDVQQDExFydHB2cG4tV0lOQVVUSC1DQTAeFw0yNTAzMjUxNzU5NDZaFw0y
NzAzMjUxNzU5NDZaMDAxDzANBgNVBAoTBlJUUFZQTjEdMBsGA1UEAxMUcnRwdnBu
LWZ0ZC5jaXNjby5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC5
5B0tH9RIjvG0MxhpDT3/BpDEFfTcVE2w2fxu5m8gZFTeeezyF5B93rWx+N26V8JE
sB5I1KLTGRj8b9TK6L357cdbgr692Wl952TLFB3XC43gpe0fnN3+Uas/HJ3IudsF
N+QPC9FO4LE88attuGuVMquV+10DRPA06a6QNwkehB0Un7XzTNepJ02JQtxdNR2t

</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>
<AssertionConsumerService index="0" isDefault="true" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://vpn.example.net/+CSCOE+/saml/sp/acs?tgname=SAMLtest" />
<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://vpn.example.net/+CSCOE+/saml/sp/logout"/><SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://vpn.example.net/+CSCOE+/saml/sp/logout"/></SPSSODescriptor>
</EntityDescriptor>

---

معرف Microsoft Entra

1. في مدخل Microsoft Azure، حدد معرف Microsoft Entra من القائمة الموجودة على اليسار.

---

معرف Microsoft Entra

---

2. حدد تطبيقات المؤسسات.

---

تطبيقات المؤسسات

---

3. حدد تطبيق جديد.

---

---

تطبيق MS Entra ID Enterprise

---

4. حدد جدار الحماية الآمن من Cisco - مصادقة العميل الآمن (المعروفة سابقا باسم AnyConnect) ضمن التطبيقات المميزة. امنح التطبيق اسما وحدد إنشاء.

---

MS Entra ID تطبيق مصادقة Cisco Secure Firewall Client (المعروف سابقا باسم AnyConnect)

---

5. بمجرد أن تدخل التطبيق، حدد المستخدمين والمجموعات وقم بتعيين أسماء المستخدمين أو المجموعات المطلوبة للتطبيق.

---

المستخدمون والمجموعات

---

6. حدد تسجيل دخول واحد > SAML واسترد عنوان URL الخاص بتسجيل الدخول ومعرف معرف معرف معرف Microsoft Entra وعنوان URL لتسجيل الخروج لقسم تكوين FMC SAML في هذا الدليل.  

---

تسجيل دخول أحادي

عناوين URL ل IdP

---

7. قم بتكوين تكوين SAML الأساسي باستخدام معرف (معرف الكيان) وعنوان URL الخاص بالرد (ACS) الذي تم إسترداده من بيانات تعريف FTD والحفظ.

---

تكوين SAML الأساسي

---

8. حدد تحرير ل السمة والمطالبات وانقر فوق إضافة مطالبة جديدة.

---

السمات والمطالبات

---

9. يجب أن يكون للمطالبة الجديدة اسم Cisco_group_policy.

---

إدارة المطالبة

---

10 - توسيع القسم الخاص بشروط المطالبة. حدد نوع المستخدم والمجموعات ذات النطاق، ثم تحت المصدر، أختر سمة وأضف اسم نهج المجموعة الصحيح من تكوين FTD في القائمة المنسدلة القيمة وانقر فوق حفظ.

---

---

شرط مطالبة معرف MS Entra

---

التحقق من الصحة

نظام Firepower Threat Defense ‪(FTD)‬

للتحقق من سياسة المجموعة المطلوبة، تحقق من الإخراج من خلال تشغيل الأمر show vpn-sessionDB anyConnect:

FTD# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username : RTPVPNtest
Index : 7110
Assigned IP : 192.168.55.3 Public IP : 10.26.162.189
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA256
Bytes Tx : 105817 Bytes Rx : 63694
Group Policy : SAMLtest-GP Tunnel Group : SAMLtest
Login Time : 16:54:17 UTC Fri May 9 2025
Duration : 0h:11m:19s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : ac127ca101bc6000681e3339
Security Grp : none Tunnel Zone : 0

---

للتحقق من أن IdP يرسل المطالبة الصحيحة، قم باسترداد الإخراج عن طريق تشغيل الأمر debug webVPN saml 255 أثناء الاتصال بالشبكة الخاصة الظاهرية (VPN). قم بتحليل إخراج التأكيد في تصحيح الأخطاء وقارن قسم السمة بما تم تكوينه على IdP.

<Attribute Name="cisco_group_policy">
<AttributeValue>SAMLtest-GP</AttributeValue>
</Attribute>

---

استكشاف الأخطاء وإصلاحها

firepower# show run webvpn
firepower# show run tunnel-group
firepower# show crypto ca certificate
firepower# debug webvpn saml 255
firepower# debug webvpn 255
firepower# debug aaa authorization

---

معلومات ذات صلة

• الدعم الفني والتنزيلات من Cisco
• أدلة تكوين ASA
• أدلة تكوين FMC/FDM

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
2.0	01-Sep-2026	العنوان المحدث، المقدمة، التدقيق الإملائي/النحوي، إدراج أسطر أفقية لفصل المقاطع من أجل إمكانية القراءة، تنبيهات CCW الثابتة، ونص بديل.
1.0	04-Aug-2025	الإصدار الأولي