Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Konfigurieren von Microsoft Intune

Importieren Sie die Zertifikate aus dem Intune-Portal in den ISE Trusted Store.

Bereitstellen von ISE als Anwendung im Azure-Portal

Importieren von ISE-Zertifikaten in die Anwendung in Azure

Überprüfung und Fehlerbehebung

"Verbindung zum Server fehlgeschlagen", basierend auf sun.security.validatorException

Fehler beim Abrufen des Auth-Tokens aus Azure AD.

Fehler beim Abrufen des Auth-Tokens aus Azure AD.

Zugehörige Informationen

Einleitung

In diesem Dokument wird die Integration von Intune Mobile Device Management (MDM) in die Cisco Identity Services Engine (ISE) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Kenntnisse der MDM-Services der Cisco ISE

- Kenntnisse von Microsoft Azure Intune Services

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Cisco Identity Services Engine 3.0

- Microsoft Azure Intune-Anwendung

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

MDM-Server sorgen für die Sicherheit, Überwachung, Verwaltung und Unterstützung von Mobilgeräten bei Mobilnetzbetreibern, Service Providern und Unternehmen. Diese Server fungieren als Richtlinienserver, der die Verwendung einiger Anwendungen auf einem Mobilgerät (z. B. einer E-Mail-Anwendung) in der bereitgestellten Umgebung steuert. Das Netzwerk ist jedoch die einzige Einheit, die auf Basis von Zugriffskontrolllisten (Access Control Lists, ACLs) granularen Zugriff auf Endpunkte ermöglichen kann. Die ISE fragt die MDM-Server nach den erforderlichen Geräteattributen ab, um ACLs zu erstellen, die die Netzwerkzugriffskontrolle für diese Geräte ermöglichen. Die Cisco ISE lässt sich mit Microsoft Intune MDM Server integrieren, um Unternehmen beim Zugriff auf Ressourcen vor Ort beim Schutz ihrer Unternehmensdaten zu unterstützen.

Konfigurieren

Netzwerkdiagramm

Konfigurieren von Microsoft Intune

Importieren Sie die Zertifikate aus dem Intune-Portal in den ISE Trusted Store.

Melden Sie sich bei der Intune-Admin-Konsole oder der Azure-Admin-Konsole an, je nachdem, welcher Standort Ihren Tenant hat. Verwenden Sie den Browser, um die Zertifikatdetails abzurufen:

Schritt 1: Öffnen Sie Microsoft Azure portal über einen Webbrowser.

Schritt 2: Klicken Sie in der Browser-Symbolleiste auf das Sperrsymbol und anschließend auf View Certificates.

Schritt 3: Klicken Sie im Fenster Zertifikat auf die Schaltfläche Certification Path  aus. Hier sehen Sie ein Beispiel:

Schritt 4: Suchen Baltimore Cyber Trust root, die die übliche Stammzertifizierungsstelle ist. Wenn jedoch eine andere Stammzertifizierungsstelle vorhanden ist, klicken Sie auf dieses Stammzertifizierungsstelle-Zertifikat. Auf der Registerkarte Details dieses Root-Zertifizierungsstellenzertifikats können Sie es in die Datei kopieren und als BASE64-Zertifikat speichern.

Schritt 5: Navigieren Sie in der ISE zu Administration > System > Certificates > Trusted Certificates, und importieren Sie das soeben gespeicherte Stammzertifikat. Geben Sie dem Zertifikat einen aussagekräftigen Namen, z. B. Azure MDM. Wiederholen Sie auch das Verfahren für die Zwischenzertifikate.

Bereitstellen von ISE als Anwendung im Azure-Portal

Schritt 1: Navigieren Sie zum Azure Active Directory und wählen App registrations.

Schritt 2: Im App registrationserstellen Sie eine neue Anwendungsregistrierung mit dem ISE-Namen. Klicken Sie auf Create wie in diesem Bild dargestellt.

Schritt 3: Auswählen Settings um die Anwendung zu bearbeiten und die erforderlichen Komponenten hinzuzufügen.

Schritt 4: Unter Settings, wählen Sie die erforderlichen Berechtigungen aus, und wenden Sie die folgenden Optionen an:

1. Microsoft-Diagramm

- Anwendungsberechtigungen

- Verzeichnisdaten lesen

- Delegierte Berechtigungen

- Microsoft Intune-Gerätekonfiguration und -richtlinien lesen

- Microsoft Intune-Konfiguration lesen

- Benutzer anmelden

- Jederzeit Zugriff auf die Daten des Benutzers

2. Microsoft Intune-API

- Anwendungsberechtigungen

- Gerätestatus- und Compliance-Informationen von Microsoft Intune abrufen

3. Windows Azure Active Directory

- Anwendungsberechtigungen

- Verzeichnisdaten lesen

- Delegierte Berechtigungen

- Verzeichnisdaten lesen

- Anmelden und das Benutzerprofil lesen

Das Ergebnis der Konfiguration ähnelt dem hier gezeigten:

Schritt 5: Klicken Sie auf Grant Permissions um alle Anwendungsberechtigungen zu bestätigen. Dieser Vorgang dauert 5-10 Minuten. Bearbeiten Sie die Azure Manifest -Datei für die Anwendung, die zum Importieren interner ISE-Zertifizierungsstellenzertifikate erstellt wurde.

Importieren von ISE-Zertifikaten in die Anwendung in Azure

Schritt 1: Die Manifestdatei für die Anwendung herunterladen.

Hinweis: Es handelt sich um eine Datei mit der Erweiterung JSON. Bearbeiten Sie nicht den Dateinamen oder die Erweiterung, andernfalls schlägt sie fehl.

Schritt 2: Exportieren Sie das ISE-Systemzertifikat von allen Knoten. Navigieren Sie auf dem PAN zu Administration > System > Certificates > System Certificates, wählen Sie das selbstsignierte Standard-Serverzertifikat aus, und klicken Sie auf Export. Auswählen Export Certificate Only (Standard), und wählen Sie einen Speicherort aus. Löschen Sie die BEGIN- und END-Tags aus dem Zertifikat, und kopieren Sie den Rest des Texts in einer Zeile. Dies gilt für Versionen vor Juni 2020, die im Abschnitt zu Legacy-Optionen beschrieben werden.

Ab Juni 2020 können Sie Zertifikate direkt über das Portal hochladen.

Legacy-Option:

Schritt 1: Führen Sie eine PowerShell-Prozedur aus, um das Zertifikat in BASE64 umzuwandeln und es ordnungsgemäß in die Azure JSON-Manifestdatei zu importieren. Verwenden Sie die Windows PowerShell- oder Windows PowerShell ISE-Anwendung von Windows aus. Verwenden Sie folgende Befehle:

$cer = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2

$cer.Import(“mycer.cer”)

$bin = $cer.GetRawCertData()

$base64Value = [System.Convert]::ToBase64String($bin)

$bin = $cer.GetCertHash()

$base64Thumbprint = [System.Convert]::ToBase64String($bin)

$keyid = [System.Guid]::NewGuid().ToString()

Schritt 2: Werte beibehalten für $base64Thumbprint, $base64Valueund $keyid, die im nächsten Schritt verwendet werden. Alle diese Werte werden dem JSON-Feld hinzugefügt. keyCredentials da es standardmäßig wie folgt aussieht:

Verwenden Sie dazu die Werte in der folgenden Reihenfolge:

"keyCredentials": [

{

“customKeyIdentifier“: “$base64Thumbprint_from_powerShell_for_PPAN”,

“keyId“: “$keyid_from_above_PPAN“,

"type": "AsymmetricX509Cert",

"usage": "Verify",

"value": "Base64 Encoded String of ISE PPAN cert"

},

{

“customKeyIdentifier“: “$base64Thumbprint_from_powerShell_for_SPAN”,

“keyId“: “$keyid_from_above_SPAN“,

"type": "AsymmetricX509Cert",

"usage": "Verify",

"value": "Base64 Encoded String of ISE SPAN cert"

}

],

Schritt 3: Hochladen der bearbeiteten JSON in Azure Portal ein, um die keyCredentials von den auf der ISE verwendeten Zertifikaten.

Es muss ähnlich aussehen:

Schritt 4: Beachten Sie, dass nach dem Upload value Feld unter keyCredentials zeigt null da dies von der Microsoft-Seite erzwungen wird, damit diese Werte nach dem ersten Upload nicht mehr angezeigt werden.

Die zum Hinzufügen des MDM-Servers in der ISE erforderlichen Werte können kopiert werden von Microsoft Azure AD Graph API Endpoint und OAUTH 2.0 Token Endpoint.

Diese Werte müssen in die ISE-GUI eingegeben werden. Navigieren Sie zu Administration > Network Resources > External MDM   und einen neuen Server hinzufügen:

ISE

Intune

URL für automatische Erkennung

Endgeräte > Microsoft Azure AD Graph API-Endgeräte

Client-ID

{Registered-App-Name} > Anwendungs-ID

Tokenausstellungs-URL

Endpunkte > OAuth 2.0-Token-Endpunkt

Nach Abschluss der Konfiguration wird der Status als aktiviert angezeigt.

Überprüfung und Fehlerbehebung

"Verbindung zum Server fehlgeschlagen", basierend auf sun.security.validatorException

Schritt 1: Erfassen Sie das Support-Paket mit diesen Protokollen auf TRACE-Ebene:

- portal (guest.log)

- mdmportal (ise-psc.log)

- external-mdm (ise-psc.log)

Schritt 2: Überprüfen ise-psc.log für diese Protokolle:

- 2016-10-17 12:45:52,158 DEBUG [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmAzureActiveDirectoryClient -::::- ClientId - a46a6fd7-4a31-4471-9078-59cb2bb6a5ab, Token issuance endpoint - https://login

- microsoftonline.com/273106dc-2878-42eb-b7c8-069dcf334687/oauth2/token, ResourceId/App Id uri - https://graph.windows.net

- 2016-10-17 12:45:52,329 DEBUG [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmCertAndKeyUtil -::::- Certificate Friendly Name -USMEM-AM01-ISE.Sncorp.smith-nephew.com#USMEM-AM01-ISE.Sncorp.smith-nephew.c

- om#00003

- 2016-10-17 12:45:52,354 DEBUG [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmCertAndKeyUtil -::::- Result of command invocation

- 2016-10-17 12:45:52,363 DEBUG [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmCertAndKeyUtil -::::- Result of command invocation

- 2016-10-17 12:45:52,364 DEBUG [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmCertAndKeyUtil -::::- Successfuly decrypted private key

- 2016-10-17 12:45:52,794 ERROR [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmAzureActiveDirectoryClient -::::- There is a problem with the Azure certificates or ISE trust store. sun.security.validator

- .ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

- 2016-10-17 12:45:52,794 ERROR [admin-http-pool9300][] cisco.cpm.mdm.authtoken.MdmAzureActiveDirectoryClient -::::- Unable to acquire access token from Azure

- java.util.concurrent.ExecutionException: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException

- : unable to find valid certification path to requested target

Dies deutet darauf hin, dass die graph.microsoft.com -Zertifikat, das auf dieser Seite vorhanden ist.

Schritt 3: Klicken Sie auf locker und überprüfen Sie die Zertifikatdetails.

Schritt 4: Speichern Sie die Datei im BASE64-Format, und importieren Sie sie in den ISE Trusted Store. Stellen Sie sicher, dass Sie die gesamte Zertifikatskette importieren. Testen Sie anschließend die Verbindung zum MDM-Server erneut.

Fehler beim Abrufen des Auth-Tokens aus Azure AD.

In der Regel tritt dieser Fehler auf, wenn das Manifest JSON enthält die falsche ISE-Zertifikatkette. Bevor Sie die Manifestdatei in Azure hochladen, überprüfen Sie, ob mindestens diese Konfiguration vorhanden ist:

"keyCredentials": [

{

“customKeyIdentifier“: “$base64Thumbprint_from_powerShell_for_PPAN”,

“keyId“: “$keyid_from_above_PPAN“,

"type": "AsymmetricX509Cert",

"usage": "Verify",

"value": "Base64 Encoded String of ISE PPAN cert"

},

{

“customKeyIdentifier“: “$base64Thumbprint_from_powerShell_for_SPAN”,

“keyId“: “$keyid_from_above_SPAN“,

"type": "AsymmetricX509Cert",

"usage": "Verify",

"value": "Base64 Encoded String of ISE SPAN cert"

}

}

],

Das vorherige Beispiel basiert auf einem Szenario mit PAN und SAN. Führen Sie die Skripte aus PowerShell erneut aus, und importieren Sie die korrekten BASE64-Werte. Versuchen Sie, die Manifestdatei hochzuladen, und es dürfen keine Fehler auftreten.

$cer = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2

$cer.Import(“mycer.cer”)

$bin = $cer.GetRawCertData()

$base64Value = [System.Convert]::ToBase64String($bin)

$bin = $cer.GetCertHash()

$base64Thumbprint = [System.Convert]::ToBase64String($bin)

$keyid = [System.Guid]::NewGuid().ToString()

Denken Sie daran, die Werte für $base64Thumbprint, $base64Value  und $keyid wie in den Schritten im Abschnitt Konfigurieren beschrieben.

Fehler beim Abrufen des Auth-Tokens aus Azure AD.

Häufig tritt dieser Fehler auf, wenn der Azure-App nicht die richtigen Berechtigungen in portal.azure.com. Vergewissern Sie sich, dass Ihre App die richtigen Attribute aufweist, und klicken Sie auf Grant Permissions nach jeder Änderung.

Diese Meldung wird angezeigt, wenn die ISE versucht, auf die Token Issuing URL zuzugreifen, und ein Zertifikat zurückgibt, das die ISE nicht zurückgibt. Stellen Sie sicher, dass sich die vollständige Zertifizierungsstellenkette im ISE-Vertrauensspeicher befindet. Wenn das Problem nach der Installation des richtigen Zertifikats im vertrauenswürdigen ISE-Speicher weiterhin besteht, führen Sie eine Paketerfassung durch, und testen Sie die Verbindung, um festzustellen, was gesendet wird.

Zugehörige Informationen

- Dienst-zu-Dienst-Anrufe mit Client-Anmeldeinformationen

- Azure - Authentifizierung und Autorisierung

- Azure - Quickstart: Registrieren Sie eine Anwendung bei der Microsoft-Identitätsplattform.

- Azure Active Directory-App-Manifest

- Technischer Support und Dokumentation für Cisco Systeme