فهم Identity Service Engine و Active Directory

المقدمة

يوضح هذا المستند كيفية اتصال Identity Service Engine (ISE) و Active Directory (AD)، والبروتوكولات المستخدمة، وعوامل تصفية AD، والتدفقات.

---

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة أساسية ب:

• مصادقة الهوية الخارجية على ISE
• دمج ISE 2.x و Active Directory

---

المكونات المستخدمة

• ISE 2.x 
• Windows Server (Active Directory) 

---

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

---

بروتوكولات AD

بروتوكول Kerberos  

يتكون الرؤساء الثلاثة ل Kerberos من مركز توزيع المفاتيح (KDC) ومستخدم العميل والخادم الذي يجب الوصول إليه. يتم تثبيت KDC كجزء من وحدة التحكم بالمجال (DC) ويقوم بوظيفتين للخدمات: خدمة المصادقة (AS) وخدمة منح التذاكر (TGS).

---

يتم تضمين ثلاث عمليات تبادل عندما يقوم العميل بالوصول في البداية إلى مورد خادم:

1. كبديل
2. تبادل TGS
3. تبادل العميل/الخادم (CS)

---

---

• وحدة التحكم بالمجال = KDC (AS + TGS)
• المصادقة على AS (مدخل SSO) باستخدام كلمة المرور الخاصة بك
• الحصول على تذكرة منح (TGT) (ملف تعريف إرتباط جلسة)
• طلب تسجيل الدخول إلى خدمة (SRV01)
• يقوم SRV01 بإعادة توجيهك إلى KDC
• إظهار TGT إلى KDC - (أنا مصدق عليه بالفعل)
• تقدم لك شركة KDC TGS ل SRV01
• إعادة التوجيه إلى SRV01
• إظهار تذكرة الخدمة إلى SRV01
• يقوم SRV01 بالتحقق من تذكرة الخدمة/الاعتماد عليها
• بطاقة الخدمة تحتوي على جميع المعلومات الخاصة بي
• SRV01 تسجيل دخولي

---

عند تسجيل الدخول مبدئيا إلى شبكة ما، يجب على المستخدمين التفاوض بشأن الوصول وتوفير اسم تسجيل الدخول وكلمة المرور للتحقق منهما بواسطة جزء AS من KDC داخل مجالهم. لدى KDC إمكانية الوصول إلى معلومات حساب مستخدم Active Directory. وبمجرد مصادقته، يتم منح المستخدم تذكرة منح (TGT) صالحة للمجال المحلي. يبلغ عمر TGT الافتراضي 10 ساعات ويتم تجديده خلال جلسة عمل تسجيل دخول المستخدم بدون الحاجة إلى إعادة إدخال كلمة المرور. يتم تخزين TGT مؤقتا على الجهاز المحلي في مساحة ذاكرة متطايرة ويتم إستخدامه لطلب جلسات العمل مع الخدمات عبر الشبكة.

---

يقدم المستخدم TGT إلى جزء TGS من KDC عند الحاجة إلى الوصول إلى خدمة الخادم. يقوم TGS الموجود على KDC بمصادقة TGT للمستخدم وإنشاء تذكرة ومفتاح جلسة عمل لكل من العميل والخادم البعيد. يتم بعد ذلك تخزين هذه المعلومات (بطاقة الخدمة) مؤقتا محليا على جهاز العميل. يتلقى TGS العميل TGT ويقرأ بمفتاحه الخاص. إذا وافق TGS على طلب العميل، يتم إنشاء تذكرة خدمة لكل من العميل والخادم الهدف. يقرأ العميل نصيبه مع مفتاح جلسة TGS الذي تم إسترداده مسبقا من رد AS. يقوم العميل بتقديم جزء الخادم الخاص برد TGS على الخادم الهدف في عملية تبادل العميل/الخادم التالية.

---

مثال:

---

التقاط الحزمة من ISE لمستخدم تتم مصادقته:

---

تحتوي AS-REQ على اسم المستخدم. إذا كانت كلمة المرور صحيحة، فإن خدمة AS توفر TGT مشفرا باستخدام كلمة مرور المستخدمين. وبعد ذلك يتم توفير خدمة TGT لتلقي تذكرة جلسة عمل. تكون المصادقة ناجحة عند إستلام تذكرة جلسة عمل.

---

هذا مثال حيث كلمة المرور المقدمة من العميل غير صحيحة:

---

إذا كانت كلمة المرور غير صحيحة، يفشل طلب AS ولا يتم تلقي TGT:

---

في هذا المثال التالي، تكون هذه السجلات موجودة في ملف ad_agent.log عندما تكون كلمة المرور غير صحيحة:

2020-01-14 13:36:05،442 تصحيح الأخطاء، 140574072981248،krb5: تم إرسال طلب (276 بايت) إلى RALMAAIT.COM،LwKrb5TraceCallback()،lwadvapi/threaded/lwkrb5.c:1325

2020-01-14 13:36:05،444 تصحيح الأخطاء، 140574072981248،krb5: تم تلقي خطأ من KDC: -1765328360/فشلت مصادقة مسبقة،LwKrb5TraceCallback()،lwadvapi/threaded/lwkrb5.c:1325

2020-01-14 13:36:05،444 تصحيح الأخطاء، 140574072981248،krb5: أنواع إدخال محاولة ما قبل التشغيل مرة أخرى: 16 و 14 و 19 و 2 و LwKrb5TraceCallback() و lwadvapi/threaded/lwkrb5.c:1325

2020-01-14 13:36:05،444 تحذير، 140574072981248،[LwKrb5GetTgtImpl ../../lwadvapi/threaded/krbtgt.c:329] KRB5 خطأ رمز: -1765328360 (الرسالة: فشلت عملية ما قبل المصادقة)،LwTranslateKrb5Error()،lwadvapi/threaded/lwkrb5.c:892

2020-01-14 13:36:05،444 تصحيح الأخطاء، 140574072981248،[LwKrb5InitializeUserLoginCredentials()] رمز الخطأ: 40022 (الرمز: LW_ERROR_PASSWORD_MISMATCH)،LwKrb5InitializeUserLoginCredentials()،lwadvapi/threaded/lwkrb5.c:1453

---

بروتوكول MS-RPC

يستخدم ISE MS-RPC عبر SMB، وتقوم SMB بتوفير المصادقة ولا تتطلب جلسة منفصلة للعثور على موقع خدمة RPC معينة. وهو يستخدم آلية تسمى "ممر البيانات المسمى" للاتصال بين العميل والخادم.

---

• إنشاء اتصال جلسة عمل SMB
• نقل رسائل RPC عبر SMB/CIFS.TCP منفذ 445 كنقل 
• تحدد جلسة عمل SMB المنفذ الذي تقوم خدمة RPC معينة بتشغيله وتعالج مصادقة المستخدم
• الاتصال بمشاركة IPC$ المخفية للاتصال بين العمليات
• فتح ممر البيانات المسمى المناسب لمورد/وظيفة RPC المطلوبة
• تبادل RPC عبر SMB

---

---

يفاوض سطر طلب/إستجابة بروتوكول التفاوض لهجة SMB ويقوم طلب/إستجابة إعداد جلسة العمل بتنفيذ المصادقة. اتصال طلب اتصال الشجرة والاستجابة بالمورد المطلوب. أنت متصل بمشاركة خاصة IPC$. وتوفر هذه المشاركة في الاتصال بين العمليات وسائل الاتصال بين الأجهزة المضيفة وكذلك كوسيلة نقل لوظائف MSRPC.

---

الحزمة 77 هي إنشاء ملف طلب واسم الملف هو اسم الخدمة المتصلة (خدمة تسجيل الدخول إلى الشبكة في هذا المثال).

الحزم 83 و 86 هي طلب NetrlogonSamLogonEX، وهو المكان الذي تقوم فيه بإرسال اسم المستخدم لمصادقة العميل على ISE إلى AD في الحقل network_info. تقوم حزمة إستجابة NetrlogonSamLogonEX بالرد مع النتائج.

---

بعض قيم العلامات لاستجابة NetrlogonSamLogonEX:

0xc00006a status_wrong_password
0x000000 هو status_success
0x0000103 هو status_pending

---

دمج ISE مع Active Directory (AD)

يستخدم ISE بروتوكول LDAP و KRB و MSRBC للاتصال بالإعلان أثناء عملية الانضمام/المغادرة والمصادقة. توفر الأقسام التالية البروتوكولات وتنسيق البحث والآليات المستخدمة للاتصال ب DC محدد في AD ومصادقة المستخدم مقابل DC هذا. وفي حالة عدم اتصال وحدة التحكم بالمجال (DC) لأي سبب من الأسباب، يفشل ISE في الوصول إلى وحدة التحكم بالمجال (DC) التالية المتاحة ولا تتأثر عملية المصادقة.

---

خادم الكتالوج العمومي (GC) هو وحدة تحكم بالمجال تقوم بتخزين نسخ من كافة كائنات Active Directory في الغابة. يقوم بتخزين نسخة كاملة من كافة الكائنات الموجودة في دليل مجالك ونسخة جزئية من كل الكائنات الموجودة في كافة مجالات الغابات الأخرى. يسمح "الكتالوج العمومي" للمستخدمين والتطبيقات بالبحث عن كائنات في أي مجال من مجالات الغابة الحالية مع البحث عن سمات مضمنة في "GC". يحتوي "الكتالوج العمومي" على مجموعة أساسية (غير كاملة) من السمات لكل كائن غابة في كل مجال (مجموعة سمات جزئية، PAT).

يستقبل GC بيانات من كافة أقسام دليل المجالات في الغابة ويتم نسخها باستخدام الخدمة القياسية للنسخ المتماثل ل AD.

---

انضمام ISE إلى AD

المتطلبات الأساسية لعمليات تكامل Active Directory و ISE.

1. دققت أنت يتلقى امتياز من سوبر مدير أو نظام مدير في ISE.
2. أستخدم إعدادات خادم بروتوكول وقت الشبكة (NTP) لمزامنة الوقت بين خادم Cisco وخدمة Active Directory. الحد الأقصى لفرق الوقت المسموح به بين ISE و AD هو 5 دقائق.
3. يجب أن يقوم DNS المكون على ISE بالإجابة على استعلامات SRV الخاصة ب DCs و GCs و KDCs مع معلومات الموقع الإضافية أو بدونها.
4. تأكد من أن كافة خوادم DNS يمكنها الرد على استعلامات DNS الأمامية والعكسية لأي مجال (مجالات) DNS محتملة ل Active Directory.
5. يجب أن يكون ل AD خادم كتالوج عمومي واحد على الأقل قيد التشغيل ويمكن الوصول إليه بواسطة Cisco، للمجال الذي تخطط للانضمام إليه مع Cisco.

---

الانضمام إلى مجال AD

يطبق ISE اكتشاف المجال للحصول على معلومات حول مجال الانضمام في ثلاث مراحل:

1. تم انضمام الاستعلامات إلى المجالات—اكتشاف المجالات من غابتها والمجالات الموثوق بها خارجيا للمجال المنضم.
2. يستعلم عن المجالات الجذرية في غابته - يؤسس الثقة مع الغابة.
3. استعلامات المجالات الجذرية في الغابات الموثوق بها—يكتشف المجالات من الغابات الموثوق بها.

وبالإضافة إلى ذلك، يكتشف Cisco ISE أسماء مجالات DNS (لاحقات UPN)، ولاحقات UPN البديلة، وأسماء مجال NTLM.

---

يطبق ISE اكتشاف DC للحصول على جميع المعلومات حول DCs و GCs المتوفرة.

1. تبدأ عملية الانضمام ببيانات اعتماد إدخال مسؤول فائق على AD موجودة في المجال نفسه. إذا كان موجودا في مجال أو مجال فرعي مختلف، فيجب ملاحظة اسم المستخدم في تدوين UPN (username@domain).
2. يقوم ISE بإرسال استعلام DNS لجميع سجلات DCs و GCs و KDCs. إذا لم يستلم الرد على DNS إجابة، يفشل التكامل مع خطأ متعلق DNS.
3. يستخدم ISE إختبار اتصال CLDAP لاكتشاف جميع DCs و GCs من خلال طلبات CLDAP المرسلة إلى DCs التي تتوافق مع أولوياتها في سجل SRV. يتم إستخدام إستجابة وحدة التحكم بالمجال (DC) الأولى، كما يتم توصيل ISE بهذا وحدة التحكم بالمجال DC.

يتمثل أحد العوامل المستخدمة لحساب أولوية وحدة التحكم بالمجال المباشر في الوقت الذي يستغرقه وحدة التحكم بالمجال للاستجابة لأدوات تجميع البيانات (CLDAP)؛ وتتلقى الاستجابة الأسرع أولوية أعلى.

---

---

4. يتلقى ISE TGT مع مسوغات "ضم المستخدم".
5. قم بإنشاء اسم حساب جهاز ISE باستخدام MSRPC (SAM و SPN.)
6. بحث AD بواسطة SPN إذا كان حساب جهاز ISE موجودا بالفعل. إذا لم يكن جهاز ISE موجودا، يقوم ISE بإنشاء جهاز جديد.
7. افتح حساب "الجهاز" وقم بتعيين كلمة مرور حساب "جهاز ISE"، وتحقق من إمكانية الوصول إلى حساب "جهاز ISE".
8. قم بتعيين سمات حساب جهاز ISE (SPN و dnsHostname وما إلى ذلك).
9. يمكنك تلقي TGT باستخدام بيانات اعتماد جهاز ISE باستخدام KRB5 واكتشاف جميع المجالات الموثوق بها.
10. عند اكتمال الانضمام، تقوم عقدة ISE بتحديث مجموعات AD و SIDS المقترنة بها وتبدأ عملية تحديث SID تلقائيا. تحقق من إمكانية إكمال هذه العملية على جانب AD.

---

ترك مجال AD

عندما يغادر ISE، يجب ان يأخذ الاعلان بعين الاعتبار:

1. أستخدم مستخدم مسؤول AD كامل لإجراء عمليات المغادرة. يتحقق هذا من إزالة حساب جهاز ISE من قاعدة بيانات Active Directory.
2. إذا تم ترك AD بدون بيانات اعتماد، فلن تتم إزالة حساب ISE من AD ويجب حذفه يدويا.
3. عند إعادة تعيين تكوين ISE من واجهة سطر الأوامر (CLI) أو إستعادة التكوين بعد النسخ الاحتياطي أو الترقية، فإنه يقوم بتنفيذ عملية خروج ويقطع اتصال عقدة ISE من مجال Active Directory. ومع ذلك، إذا تم الانضمام، لا تتم إزالة حساب عقدة ISE من مجال Active Directory.
4. يوصى بإجراء عملية خروج من مدخل المسؤول مع بيانات اعتماد Active Directory حيث أنها تقوم أيضا بإزالة حساب العقدة من مجال Active Directory. كما يوصى بذلك عند تغيير اسم مضيف ISE.

---

تجاوز فشل التيار المستمر

عند اتصال وحدة التحكم بالمجال (DC) ب ISE يصبح غير متصل أو يتعذر الوصول إليه لأي سبب من الأسباب، يتم تشغيل تجاوز فشل وحدة التحكم بالمجال DC تلقائيا على ISE. يمكن تشغيل تجاوز فشل التيار المستمر بواسطة الشروط التالية:

1. يكتشف موصل AD أن DC المحدد حاليا أصبح غير متوفر أثناء محاولة اتصال Cldap أو LDAP أو RPC أو Kerberos. في مثل هذه الحالات، يبدأ موصل AD تحديد DC ويفشل في الوصول إلى DC المحدد حديثا.
2. تم تشغيل وحدة التحكم بالمجال (DC) والاستجابة إلى إختبار اتصال CLDAP، ومع ذلك، يتعذر على موصل AD الاتصال به لسبب ما (على سبيل المثال، تم حظر منفذ RPC، وكانت وحدة التحكم بالمجال DC في حالة "النسخ المتماثل المعطل"، ولم يتم إيقاف تشغيل وحدة التحكم بالمجال DC بشكل صحيح.)

---

في مثل هذه الحالات، يقوم موصل AD بتهيئة تحديد DC بقائمة محظورة ( يتم وضع DC "سيئ" في القائمة المحظورة) ويحاول الاتصال ب DC المحدد. لم يتم تخزين وحدة التحكم بالمجال (DC) المحددة في القائمة المحظورة مؤقتا.

يجب أن يكمل موصل AD عملية تجاوز الفشل خلال فترة زمنية معقولة (أو يتعطل إن لم يكن ذلك ممكنا). ولهذا السبب، يحاول موصل AD تجربة عدد محدود من وحدات DC أثناء تجاوز الفشل. يقوم ISE بحظر وحدات التحكم بالمجال إذا كان هناك خطأ غير قابل للاسترداد في الشبكة أو الخادم لمنع ISE من إستخدام DC تالف. لا تتم إضافة DC إلى القائمة المحظورة إذا لم يستجب إلى إختبارات اتصال CLDAP. تعمل خدمة ISE على تقليل أولوية وحدة التحكم بالمجال DC فقط في حالة عدم إستجابتها.

---

اتصال ISE-AD من خلال LDAP

يبحث ISE عن جهاز أو مستخدم في AD بإحدى تنسيقات البحث هذه. إذا كان البحث عن جهاز، فإن ISE يضيف "$" في نهاية اسم الجهاز. هذه قائمة بأنواع الهوية التي تستخدم لتعريف مستخدم في AD:

---

• اسم سام: اسم المستخدم أو اسم الجهاز بدون أي علامة مجال، هذا هو اسم تسجيل دخول المستخدم في AD. مثال: ساجدة أو ساجدة$

• سي إن: هذا هو اسم عرض المستخدم على AD، يجب ألا يكون نفس SAM. مثال: ساجدة أحمد

• اسم المستخدم الأساسي (UPN): هذا مزيج من اسم SAM واسم المجال (SAM_NAME@domian). مثال: sajeda@cisco.com أو sajeda$@cisco.com

• UPN البديل: هذه لاحقات UPN إضافية/بديلة تم تكوينها في AD بخلاف اسم المجال. تتم إضافة هذا التكوين بشكل عام في AD (لم يتم تكوينه لكل مستخدم) وليس من الضروري أن يكون لاحقة اسم مجال حقيقية.
  • يمكن أن يكون لكل إعلان لاحقة UPN متعددة (@alt1.com و@alt2.com وما إلى ذلك). على سبيل المثال، Main UPN (sajeda@cisco.com)، Alternative UPN:sajeda@domain1، sajeda@domain2

• اسم NetBIOS الثابت مسبقا: هذا هو اسم المجال/اسم المستخدم لاسم الجهاز. على سبيل المثال، Cisco\sajeda أو Cisco\machine$

• المضيف/البادئة مع جهاز غير مؤهل: يستخدم هذا الأمر لمصادقة الجهاز عندما يكون اسم الجهاز مستخدما فقط ويكون هو اسم المضيف/الجهاز فقط. على سبيل المثال، المضيف/الجهاز.

• مضيف/بادئة مع جهاز مؤهل بالكامل: يستخدم هذا الأمر لمصادقة الجهاز عند إستخدام FQDN للجهاز، عادة في حالة مصادقة الشهادة. هو المضيف/FQDN الخاص بالجهاز. على سبيل المثال، host/machine.cisco.

• اسم SPN: يحدد اسم العميل بشكل فريد مثيل خدمة (على سبيل المثال، HTTP و LDAP و SSH) تستخدم للجهاز فقط.

---

مصادقة المستخدم مقابل تدفق AD:

1. حل الهوية وتحديد نوع الهوية - SAM و UPN و SPN. إذا استلم ISE الهوية كاسم مستخدم فقط، فإنه يبحث عن حساب SAM مقترن في AD. إذا كان ISE يتلقى الهوية على هيئة username@domain، فإنه يبحث عن UPN أو بريد متطابق في AD. وفي كلا السيناريوهين، يستخدم ISE عوامل تصفية إضافية للجهاز أو اسم مستخدم. 
2. البحث في المجال أو الغابة (حسب نوع الهوية.)
3. الاحتفاظ بالمعلومات على كافة الحسابات المقترنة (JP و DN و UPN و Domain.)
4. في حالة عدم العثور على أي حساب مقترن، تكون ردود AD مع المستخدم غير معروفة.
5. إجراء مصادقة MS-RPC (أو Kerberos) لكل حساب مقترن.
6. في حالة تطابق حساب واحد فقط مع هوية الإدخال وكلمة المرور، تنجح المصادقة.
7. وإذا تطابقت حسابات متعددة مع الهوية الواردة، يستخدم ISE كلمة المرور لحل الغموض، ويصادق الحساب مع كلمة المرور المقترنة بينما تزيد الحسابات الأخرى عداد كلمة المرور غير الصحيح بمقدار 1.
8. إذا لم يتطابق أي حساب مع الهوية وكلمة المرور الواردين، فإن ردود AD تكون بكلمة مرور غير صحيحة.

---

عوامل تصفية بحث ISE

يتم إستخدام عوامل التصفية لتعريف كيان للاتصال بالإعلان. تبحث ISE دائما عن كيان في مجموعة المستخدمين والآلات. أمثلة على عوامل تصفية البحث:

1. بحث SAM: إذا كان ISE يتلقى هوية ك username فقط دون أي مجال علامة، ISE يعامل ال username ك SAM ويبحث في AD لكل آلة مستخدم أو آلة أن يتلقى الهوية ك SAM إسم.
2. إذا لم يكن اسم SAM فريدا، فإن ISE يستخدم كلمة المرور للتمييز بين المستخدمين وكان ISE مكونا لاستخدام بروتوكول غير معرف كلمة مرور مثل EAP-TLS.
3. لا توجد معايير أخرى لتحديد موقع المستخدم الصحيح، لذلك، يفشل ISE في المصادقة مع حدوث خطأ "معرف ملتبس". ومع ذلك، إذا كانت شهادة المستخدم موجودة في Active Directory، يستخدم Cisco ISE مقارنة ثنائية لحل الهوية.

---

---

2. بحث UPN أو Mail: إذا كان ISE يتلقى هوية مثل username@domain، فإن ISE يبحث في الكتالوج العمومي للغابة عن تطابق مع هوية UPN أو هوية البريد "identity=match upn أو بريد إلكتروني". إذا كان هناك تطابق فريد، يستمر Cisco ISE مع تدفق AAA. إذا كانت هناك نقاط ربط متعددة لها نفس UPN وكلمة مرور، أو نفس UPN والبريد، فإن Cisco ISE يفشل في المصادقة مع خطأ "هوية غامضة".

---

---

3. بحث NetBIOS: إذا تلقت ISE هوية باستخدام بادئة مجال NetBIOS (على سبيل المثال، Cisco\Sajedah)، فإن ISE يبحث في الغابات عن مجال NetBIOS. بمجرد العثور عليها، تبحث عن اسم SAM المتوفر (على سبيل المثال، Sajeda).

---

---

4. البحث عن قاعدة الجهاز: إذا كان ISE يتلقى مصادقة جهاز بهوية مضيف/بادئة، يبحث ISE في الغابة عن سمة servicePrincipalName متطابقة. إذا تم تحديد لاحقة مجال مؤهلة بالكامل في الهوية، مثل host/machine.domain.com. يبحث Cisco ISE في الغابة حيث يوجد المجال. إذا كانت الهوية في شكل مضيف/جهاز، يقوم Cisco ISE بالبحث في جميع الغابات عن اسم الخدمة الأساسي. إذا كان هناك أكثر من تطابق واحد، يفشل Cisco ISE في المصادقة باستخدام خطأ "معرف ملتبس".

---

ملاحظة: يتم عرض نفس عوامل التصفية في ملفات ISE AD-agent.log.

ملاحظة: ISE 2.2 تصحيح 4، 2.3، 1، والمستخدمين المحددين مسبقا بالسمات SAM أو CN أو كلاهما. Cisco ISE، الإصدار 2.2 تصحيح 5 وأعلى، و 2.3 تصحيح 2 وأعلى، أستخدم سمة sAMAccountName فقط كسمة افتراضية.

---

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
3.0	04-Aug-2026	مقدمة محدثة، العنوان، التدقيق الإملائي، النحوي، أسطر أفقية مدرجة لفصل المقاطع/إمكانية القراءة، نص بديل محدث.
2.0	03-Aug-2022	القواعد، البنية، الترجمة الآلية، النمط، التنسيق
1.0	06-Feb-2020	الإصدار الأولي