المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

التكوين

الرسم التخطيطي للشبكة

الإجراء

التكوينات

تكوين ISE

تكوين ملف تعريف مصادقة الشهادة

تكوين المستخدم

التحقق من الصحة

التحقق من ISE

استكشاف الأخطاء وإصلاحها

تمكين تصحيح الأخطاء على ISE

قصاصات السجل

المقدمة

يصف هذا المستند كيفية تكوين سياسات التفويض في ISE واستكشاف أخطائها وإصلاحها استنادا إلى عضوية Azure AD في المجموعة باستخدام EAP-TLS أو TEAP.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- محرك خدمات كشف الهوية (ISE)

- Microsoft Azure AD والاشتراك والتطبيقات

- مصادقة EAP-TLS

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- Cisco ISE 3.2

- Microsoft Azure AD

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

في ISE 3.0، من الممكن الاستفادة من التكامل بين ISE و Azure Active Directory (AAD) لمصادقة المستخدمين استنادا إلى مجموعات Azure AD والسمات من خلال اتصال بيانات اعتماد كلمة مرور مالك المورد (ROPC). باستخدام ISE 3.2، يمكنك تكوين المصادقة المستندة إلى الشهادة ويمكن تخويل المستخدمين استنادا إلى عضوية مجموعة Azure AD والسمات الأخرى. يستعلم ISE Azure through Graph API لجلب مجموعات وسمات للمستخدم الذي تمت مصادقته، فإنه يستخدم اسم الشهادة الشائع (CN) مقابل اسم المستخدم الأساسي (UPN) على جانب Azure.

ملاحظة: يمكن أن تكون المصادقة المستندة إلى الشهادة إما EAP-TLS أو TEAP مع EAP-TLS كطريقة داخلية. بعد ذلك، يمكنك تحديد سمات من Azure Active Directory وإضافتها إلى قاموس Cisco ISE. يمكن إستخدام هذه السمات للتخويل. مصادقة المستخدم فقط هي المدعومة.

التكوين

الرسم التخطيطي للشبكة

توفر الصورة التالية مثالا لمخطط الشبكة وتدفق حركة مرور البيانات:

الإجراء

1. يتم إرسال الشهادة إلى ISE من خلال EAP-TLS أو TEAP مع EAP-TLS كطريقة داخلية.

2. يقيم ISE شهادة المستخدم (فترة الصلاحية، CA موثوق به، CRL، وهكذا.)

3. تأخذ ISE اسم موضوع الشهادة (CN) وتقوم بإجراء بحث على واجهة برمجة تطبيقات Microsoft Graph لجلب مجموعات المستخدم وسمات أخرى لذلك المستخدم. ويشار إليه باسم المستخدم الأساسي (UPN) على جانب Azure.

4. يتم تقييم نهج تخويل ISE مقابل سمات المستخدم التي تم إرجاعها من Azure.

ملاحظة: يجب تكوين أذونات واجهة برمجة تطبيقات الرسم البياني ومنحها لتطبيق ISE في Microsoft Azure كما هو موضح أدناه:

التكوينات

تكوين ISE

ملاحظة: وظيفة ROPC والدمج بين ISE مع Azure AD خارج نطاق هذا المستند. من المهم أن تتم إضافة المجموعات وسمات المستخدم من Azure. رأيت التشكيل مرشد.

تكوين ملف تعريف مصادقة الشهادة

الخطوة 1. انتقل إلى أيقونة القائمة موجود في الزاوية العلوية اليسرى وحدد إدارة > إدارة الهوية > مصادر الهوية الخارجية.

الخطوة 2. حدد توصيف مصادقة الشهادة ثم انقر على إضافة.

الخطوة 3. حدد الاسم. قم بتعيين مخزن الهوية على أنه [غير قابل للتطبيق]، ثم حدد الموضوع - الاسم الشائع على إستخدام الهوية من الحقل. حدد "لا" في شهادة عميل مطابقة للشهادة في حقل مخزن الهوية.

الخطوة 4. انقر فوق حفظ:

الخطوة 5. انتقل إلى أيقونة القائمة موجود في الزاوية العلوية اليسرى وحدد سياسة > مجموعات السياسات.

الخطوة 6. حدد علامة الجمع أيقونة لإنشاء مجموعة نهج جديدة. قم بتعريف اسم وحدد Wireless 802.1x أو 802.1x السلكي كشروط. يتم إستخدام الخيار الافتراضي للوصول إلى الشبكة في هذا المثال:

الخطوة 7. حدد السهم التالي إلى الوصول الافتراضي إلى الشبكة لتكوين سياسات المصادقة والتفويض.

الخطوة 8. حدد خيار سياسة المصادقة، حدد اسما وقم بإضافة EAP-TLS كمصادقة للوصول إلى الشبكة، من الممكن إضافة TEAP كمركز وصول إلى الشبكة إذا تم إستخدام TEAP كبروتوكول مصادقة. حدد ملف تعريف مصادقة الشهادة الذي تم إنشاؤه في الخطوة 3 وانقر على حفظ.

الخطوة 9. حدد خيار نهج التخويل، وقم بتحديد اسم وإضافة سمات Azure AD Group أو المستخدم كشرط. أختر ملف التخصيص أو مجموعة التأمين ضمن النتائج، حسب حالة الاستخدام، ثم انقر حفظ.

تكوين المستخدم

يجب أن يتطابق الاسم الشائع للموضوع (CN) من شهادة المستخدم مع اسم المستخدم الأساسي (UPN) على جانب Azure لاسترداد عضوية مجموعة AD وسمات المستخدم التي يتم إستخدامها في قواعد التخويل. لكي تكون المصادقة ناجحة، يجب أن يكون CA الجذر وأي شهادات CAs وسيطة في مخزن ISE الموثوق به.

التحقق من الصحة

التحقق من ISE

في واجهة المستخدم الرسومية Cisco ISE، انقر فوق رمز القائمة ثم أختر عمليات > RADIUS > السجلات المباشرة لمصادقة الشبكة (RADIUS).

انقر فوق أيقونة المكبر في عمود التفاصيل لعرض تقرير مصادقة مفصل وتأكيد ما إذا كان التدفق يعمل كما هو متوقع.

1. التحقق من سياسات المصادقة/التفويض.

2. أسلوب/بروتوكول المصادقة.

3. اسم موضوع المستخدم مأخوذ من الشهادة.

4. مجموعات المستخدمين والسمات الأخرى التي تم إحضارها من دليل Azure.

استكشاف الأخطاء وإصلاحها

تمكين تصحيح الأخطاء على ISE

انتقل إلى إدارة > نظام > تسجيل > تكوين سجل تصحيح الأخطاء لتعيين المكونات التالية على المستوى المحدد.

عقدة

اسم المكون

مستوى التسجيل

اسم ملف السجل

PSN

حفظ-معرف المخزن

تصحيح الأخطاء

rest-id-store.log

PSN

Runtime-AAA

تصحيح الأخطاء

prrt-server.log

ملاحظة: عند الانتهاء من أستكشاف الأخطاء وإصلاحها، تذكر إعادة تعيين تصحيح الأخطاء. للقيام بذلك، حدد العقدة ذات الصلة وانقر فوق إعادة التعيين إلى "افتراضي".

قصاصات السجل

تظهر المقتطفات التالية المرحلتين الأخيرتين في التدفق، كما هو مذكور سابقا في قسم الرسم التخطيطي للشبكة.

1. تأخذ ISE اسم موضوع الشهادة (CN) وتقوم بعمل بحث على API الخاص برسم Azure البياني لجلب مجموعات المستخدمين وسمات أخرى لذلك المستخدم. ويشار إليه باسم المستخدم الأساسي (UPN) على جانب Azure.

2. يتم تقييم نهج تخويل ISE مقابل سمات المستخدم التي تم إرجاعها من Azure.

سجلات معرف الراحة:

سجلات المنتج: