المقدمة

في الإصدارات المستقبلية، لم يعد وكيل مستخدم FirePOWER متوفرا. يتم إستبدالها بمحرك خدمات الهوية (ISE) أو محرك خدمات الهوية - موصل معرف الخامل (ISE-PIC). إذا كنت تستخدم حاليا "وكيل المستخدم" وتفكر في الترحيل إلى ISE، فإن هذا المستند يقدم اعتبارات واستراتيجيات للترحيل الخاص بك.

نظرة عامة على هوية المستخدم

توجد حاليا طريقتان لاستخراج معلومات هوية المستخدم من البنية الأساسية للهوية الموجودة: تكامل وكيل المستخدم و ISE.

وكيل المستخدم

عامل المستخدم هو تطبيق مثبت على نظام Windows الأساسي. يعتمد على بروتوكول Windows Management Instrumentation (WMI) للوصول إلى أحداث تسجيل دخول المستخدم (نوع الحدث 4624) ثم يقوم بحفظ البيانات في قاعدة بيانات محلية. هناك طريقتان لاسترداد "وكيل المستخدم" أحداث تسجيل الدخول: تم تحديثهما في الوقت الحقيقي عند دخول المستخدم (في Windows Server 2008 و 2012 فقط)، أو التحقق من البيانات لكل فاصل زمني قابل للتكوين. وبالمثل، يرسل "عميل المستخدم" البيانات المتلقاة من Active Directory (AD) إلى مركز إدارة FirePOWER (FMC) في الوقت الفعلي ويرسل دفعات من بيانات تسجيل الدخول إلى FMC بشكل منتظم.

تتضمن أنواع عمليات تسجيل الدخول التي يمكن اكتشافها بواسطة "وكيل المستخدم" تسجيل الدخول إلى المضيف مباشرة أو عبر "سطح المكتب البعيد"؛ تسجيل الدخول لمشاركة الملفات؛ تسجيل الدخول إلى حساب الكمبيوتر. أنواع أخرى من عمليات تسجيل الدخول مثل عمليات تسجيل الدخول إلى الشبكة و Kerberos التي لا يدعمها وكيل المستخدم.

لدى "وكيل المستخدم" ميزة إختيارية لاكتشاف ما إذا كان المستخدم المعين قد قام بتسجيل الخروج. إذا تم تمكين التحقق من تسجيل الخروج، فإنه يتحقق بشكل دوري مما إذا كانت عملية "explorer.exe" قيد التشغيل على كل نقطة نهاية معينة. إذا تعذر اكتشاف العملية التي يتم تشغيلها بعد 72 ساعة، فسيتم إزالة التعيين لهذا المستخدم.

محرك خدمات الهوية

Identity Services Engine (ISE) هو خادم AAA قوي يدير جلسات تسجيل الدخول إلى شبكة المستخدم. ونظرا لأن ISE يتصل مباشرة بأجهزة الشبكة مثل المحولات ووحدات التحكم اللاسلكية، فإنه يتمتع بالوصول إلى البيانات الحديثة المتعلقة بأنشطة المستخدم، مما يجعله مصدر هوية أفضل من وكيل المستخدم. عندما يقوم المستخدم بتسجيل الدخول إلى نقطة نهاية، عادة ما تتصل تلقائيا بالشبكة، وإذا تم تمكين مصادقة dot1x للشبكة، يقوم ISE بإنشاء جلسة مصادقة لهذا المستخدم ويبقيها على قيد الحياة حتى يقوم المستخدم بتسجيل الخروج من الشبكة. إذا تم دمج ISE مع FMC، فإنها تقوم بإعادة توجيه بيانات تعيين المستخدم-IP (بالإضافة إلى البيانات الأخرى التي يتم تجميعها بواسطة ISE) إلى FMC.

يمكن دمج ISE مع FMC عبر PxGrid. إن PxGrid عبارة عن بروتوكول مصمم ليجعل توزيع معلومات جلسة العمل مركزيا بين خوادم ISE ومع منتجات أخرى. وفي هذا الدمج، يعمل ISE كوحدة تحكم في الشبكة البينية ومشترك FMC في وحدة التحكم في إستقبال بيانات الجلسة (لا تنشر FMC أي بيانات إلى ISE إلا أثناء الإصلاح الذي تتم مناقشته لاحقا) ويمرر البيانات إلى أجهزة الاستشعار لزيادة وعي المستخدم.

Identity Connector (ISE-PIC) لمحرك خدمات الهوية هو أساسا مثيل ISE مع ترخيص مقيد. لا يقوم ISE-PIC بأي مصادقة، بل يعمل بدلا من ذلك كمركز مركزي لمختلف مصادر الهوية في الشبكة، ويجمع بيانات الهوية ويزودها للمشتركين. ISE-PIC مماثل لعامل المستخدم من حيث إنه يستخدم WMI أيضا لتجميع أحداث تسجيل الدخول من AD ولكن مع ميزات أكثر قوة تعرف باسم Passive Identity. كما يتم دمجه أيضا مع FMC عبر شبكة pxGrid.

اعتبارات الهجرة

متطلبات الترخيص

لا تتطلب FMC تراخيص إضافية. يتطلب Identity Services Engine ترخيصا إذا لم يكن قد تم نشره بالفعل في البنية الأساسية. يرجى الرجوع إلى مستند نموذج ترخيص Cisco ISE للحصول على تفاصيل. يعد موصل ISE Passive ID Connector مجموعة ميزات موجودة بالفعل في النشر الكامل ISE، لذلك لا يلزم توفر تراخيص إضافية في حالة وجود نشر ISE حالي. للحصول على نشر جديد أو منفصل لبطاقة ISE-PIC، يرجى الرجوع إلى مستند ترخيص Cisco ISE-PIC للحصول على تفاصيل.

شهادة SSL

بينما لا يتطلب "وكيل المستخدم" وجود "البنية الأساسية للمفتاح العام" (PKI) للاتصالات مع وحدة التحكم في إدارة اللوحة الأساسية (FMC) و Active Directory، فإن دمج ISE أو ISE-PIC يتطلب شهادات SSL المشتركة بين ISE و FMC لأغراض المصادقة فقط. يدعم التكامل الشهادات الموقعة من قبل هيئة الترخيص والتوقيع الذاتي، شريطة إضافة كل من "مصادقة الخادم" و"مصادقة العميل" EKU (إستخدام مفتاح الامتداد) إلى الشهادات.

تغطية مصدر الهوية

يغطي "عميل المستخدم" فقط أحداث تسجيل الدخول إلى Windows من أجهزة كمبيوتر سطح المكتب بنظام التشغيل Windows، مع اكتشاف تسجيل الخروج المستند إلى عملية التحقق. يغطي ISE-PIC تسجيل الدخول إلى سطح مكتب Windows بالإضافة إلى مصادر هوية إضافية مثل وكيل AD، ووكيل Kerberos SPAN، ومعالج syslog، ووكيل الخدمات الطرفية (TSA). تتضمن ميزة ISE الكاملة جميع تغطية ISE-PIC بالإضافة إلى مصادقة الشبكة من محطات العمل غير التابعة لنظام التشغيل Windows والأجهزة المحمولة من بين ميزات أخرى.

وكيل المستخدم

ISE-PIC

محرك خدمات كشف الهوية (ISE)

تسجيل الدخول إلى سطح المكتب ل Active Directory

نعم

نعم

نعم

تسجيل الدخول إلى الشبكة

لا

لا

نعم

Endpoint Probe

نعم

نعم

نعم

InfoBlox/IPAMs

لا

نعم

نعم

LDAP

لا

نعم

نعم

بوابات الويب الآمنة

لا

نعم

نعم

مصادر واجهة برمجة تطبيقات REST

لا

نعم

نعم

Syslog Parser

لا

نعم

نعم

فسحة بين دعامتين الشبكة

لا

نعم

نعم

نهاية العمر الافتراضي لعامل المستخدم

الإصدار الأخير من FirePOWER لدعم "عامل المستخدم" هو 6.6، والذي يوفر تحذيرا بأنه يجب تعطيل "عامل المستخدم" قبل الترقية إلى الإصدارات اللاحقة. إذا كان من الضروري إجراء ترقية إلى إصدار أعلى من 6.6، فيجب إتمام الترحيل من "وكيل المستخدم" إلى ISE أو ISE-PIC قبل الترقية. يرجى الرجوع إلى دليل تكوين وكيل المستخدم للحصول على مزيد من التفاصيل.

التوافق

يرجى مراجعة دليل توافق منتجات Firepower لضمان توافق إصدارات البرامج المشاركة في الدمج. يرجى ملاحظة أنه بالنسبة لإصدارات FirePOWER المستقبلية، قد يتطلب دعم إصدارات ISE اللاحقة مستويات تصحيح محددة.

إستراتيجية الهجرة

يتطلب الترحيل من "وكيل المستخدم" إلى ISE أو ISE-PIC التخطيط والتنفيذ والاختبار بعناية لضمان الانتقال السلس لمصدر هوية المستخدم ل FMC وتجنب أي تأثير على حركة مرور المستخدم. يقدم هذا القسم أفضل الممارسات والتوصيات لهذا النشاط.

التحضير للترحيل

يمكن تنفيذ الخطوات التالية قبل الانتقال من "وكيل المستخدم" إلى "تكامل ISE".

الخطوة 1. قم بتكوين ISE أو ISE-PIC لتمكين PassiveID وإنشاء اتصال WMI مع Active Directory. يرجى الرجوع إلى دليل إدارة ISE-PIC.

الخطوة 2. إعداد شهادة هوية FMC. يمكن أن تكون إما شهادة موقعة ذاتيا صادرة عن FMC أو طلب توقيع شهادة (CSR) منشأ على FMC، لتوقع من قبل هيئة شهادة خاصة أو عامة (CA). يجب تثبيت الشهادة الموقعة ذاتيا أو الشهادة الجذر الخاصة ب CA على ISE. يرجى الرجوع إلى دليل دمج ISE و FMC للحصول على مزيد من التفاصيل.

الخطوة 3. قم بتثبيت شهادة جذر CA التي وقعت شهادة ISE pxGrid (أو شهادة pxGrid إذا كانت موقعة ذاتيا) على FMC. يرجى الرجوع إلى دليل دمج ISE و FMC للحصول على مزيد من التفاصيل.

عملية القطع

لا يمكن تكوين تكامل FMC-ISE دون تعطيل تكوين وكيل المستخدم على FMC نظرا لأن التكوينين حصريين بشكل متبادل. من المحتمل أن يؤثر ذلك على المستخدمين أثناء التغيير. يوصى بإجراء هذه الخطوات أثناء نافذة الصيانة.

الخطوة 1. تمكين تكامل FMC-ISE والتحقق منه. يرجى الرجوع إلى دليل دمج ISE و FMC للحصول على تفاصيل.

الخطوة 2. تأكد من إبلاغ FMC عن أنشطة المستخدم أثناء التنقل إلى تحليل > مستخدم > أنشطة المستخدم صفحة على FMC.

الخطوة 3. راجع توفر تعيين المستخدم-IP وتخطيط مجموعة المستخدمين على الأجهزة المدارة على

تحليل > إتصالات > أحداث > عرض جدول لأحداث الاتصال.

الخطوة 4. قم بتعديل نهج التحكم في الوصول لتغيير الإجراء مؤقتا للمراقبة إلى أي قواعد تمنع حركة المرور وفقا لاسم المستخدم أو شرط مجموعة المستخدمين. بالنسبة للقواعد التي تسمح بحركة المرور المستندة إلى المستخدم أو المجموعة البادئ، قم بإنشاء قاعدة مكررة تسمح بحركة المرور بدون معايير المستخدم، ثم قم بتعطيل القاعدة الأصلية. الغرض من هذه الخطوة هو ضمان عدم تأثير حركة مرور البيانات الحيوية للشركات أثناء مرحلة الاختبار بعد إطار الصيانة.

الخطوة 5. بعد إطار الصيانة، وأثناء ساعات العمل العادية، لاحظ أحداث الاتصال على FMC لمراقبة تخطيط المستخدم-IP. لاحظ أن أحداث الاتصال تظهر معلومات المستخدم فقط في حالة وجود قاعدة ممكنة تتطلب بيانات المستخدم. وبالتالي لماذا تم اقتراح إجراء جهاز العرض في الخطوة السابقة.

الخطوة 6. بمجرد تحقيق الحالة المرغوبة، ما عليك سوى إرجاع التغييرات التي تم إجراؤها على سياسات التحكم في الوصول ودفع نشر السياسة إلى الأجهزة المدارة.

معلومات إضافية

- تمارين الفيديو: نقل وكيل المستخدم إلى ISE-PIC

- دليل مسؤول Cisco ISE 2.4: الترخيص

- تثبيت Identity Connector (ISE-PIC) Engine Identity Connector (محرك خدمات الهوية) ودليل المسؤول، الإصدار 2.2

- دليل تكوين وكيل المستخدم

- دليل توافق Cisco Firepower

- تكوين تكامل ISE 2.4 و FMC 6.2.3 PXgrid