Konfigurieren der externen AsyncOS-Authentifizierung mithilfe von ISE (RADIUS)

Download-Optionen

  • PDF     (896.2 KB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (713.0 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (568.5 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:21. Juli 2026
Dokument-ID:217163

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

In diesem Dokument wird die Konfiguration der externen RADIUS-Authentifizierung zwischen dem Cisco Secure Email Gateway und der Cisco Identity Services Engine beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

  • Authentifizierung, Autorisierung und Abrechnung (AAA)
  • RADIUS CLASS-Attribut. 
  • Identitätsmanagement und Autorisierungsrichtlinien der Cisco ISE.
  • Cisco Secure Email Gateway (ESA) und Secure Email und Web Manager (SMA) Benutzerrollen

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

  • Cisco ISE 2.4
  • Cisco Secure Email Gateway (ESA) 13.5.1, 13.7.0
  • Cisco Secure Email und Web Manager (SMA) 13.6.2

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Verwandte Produkte

Versionen außerhalb der im Abschnitt Verwendete Komponenten aufgeführten wurden nicht getestet.

Hintergrundinformationen

RADIUS-Klassenattribut

Das Class-Attribut ist ein beliebiger Wert, den der RADIUS-Server in der Access-Accept-Antwort zurückgibt und der in Accounting-Paketen enthalten ist. Die Konfiguration erfolgt in der Cisco ISE auf Gruppenbasis.

Wenn ein Benutzer mit einer ISE-Gruppe übereinstimmt, an die das Attribut 25 gebunden ist, gibt ISE den Class-Wert auf Access-Accept zurück. Das sichere E-Mail-Gateway liest diesen Wert und wendet die in der Zuordnungstabelle definierte lokale Rolle an.

note-icon

Anmerkung: Im ISE-Autorisierungsprofil wird die allgemeine ASA-VPN-Aufgabe als Container verwendet, der das RADIUS-Attribut 25 (Class) füllt. Der dort eingegebene Wert entspricht dem, was die Appliance für die Rollenzuordnung liest.

Konfigurieren

Netzwerkdiagramm

Network Diagram

Die Cisco Identity Services Engine akzeptiert Authentifizierungsanforderungen von der Appliance und vergleicht sie mit einer Benutzeridentität und einer Benutzergruppe.

Schritt 1: Erstellen einer Identitätsgruppe für die Authentifizierung

Melden Sie sich beim ISE-Server an. Navigieren Sie zu Administration > Identity Management > Groups > User Identity Group, und erstellen Sie eine Identitätsgruppe.

User Identity Group

Anmerkung: Cisco empfiehlt für jede zuzuweisende Appliance-Rolle eine Identitätsgruppe in der ISE.

Schritt 2: Lokale Benutzer für die Authentifizierung erstellen


Erstellen Sie der in Schritt 1 erstellten Identitätsgruppe neue Benutzer, oder weisen Sie vorhandene Benutzer zu. Navigieren Sie zu Administration > Identity Management > Identities, und erstellen Sie Benutzer, oder weisen Sie sie der Gruppe zu.

Group Assignment

 

Schritt 3: Autorisierungsprofile erstellen

Die RADIUS-Authentifizierung kann ohne Autorisierungsprofil erfolgreich durchgeführt werden. Es werden jedoch keine Rollen zugewiesen. Um Rollen zuzuweisen, navigieren Sie zu Richtlinie > Richtlinienelemente > Ergebnisse > Autorisierung > Autorisierungsprofile.

Anmerkung: Erstellen Sie ein Autorisierungsprofil pro zuzuordnender Rolle.

Authorization Profile

Anmerkung: Stellen Sie sicher, dass Sie das RADIUS-Klassenattribut 25 verwenden und einen Namen angeben. Dieser Name muss mit der Konfiguration auf AsyncOS (ESA/SMA) übereinstimmen. In Abbildung 3 sehen Administratoren den Attributnamen CLASS.

Schritt 4: Erstellen einer Autorisierungsrichtlinie

In diesem Schritt kann die ISE Anmeldeversuche identifizieren und dem richtigen Autorisierungsprofil zuordnen. Bei einer erfolgreichen Übereinstimmung gibt ISE Access-Accept zusammen mit dem im Profil definierten Class-Wert zurück.

Navigieren Sie zu Richtlinie > Richtliniensätze, und wählen Sie Hinzufügen (+ Symbol) aus.

New Authorization Policy

Weisen Sie einen Namen zu, und wählen Sie das Pluszeichen, um die erforderlichen Bedingungen hinzuzufügen. In dieser Laborumgebung wird die Bedingung Radius NAS-IP-Adresse verwendet. Speichern Sie die neue Richtlinie.

New Authorization Policy with NAS Radius Auth


Fügen Sie die Bedingungen hinzu, um die Autorisierungsanfragen richtig abzugleichen. Wählen Sie das Symbol > und fügen Sie Bedingungen. In dieser Laborumgebung wird InternalUser-IdentityGroup verwendet und jedes Autorisierungsprofil zugeordnet.

Auth Policy for ESA Admins Final

Schritt 5: Aktivieren Sie die externe Authentifizierung auf der Appliance

Melden Sie sich bei der Appliance an. Navigieren Sie zu Systemverwaltung > Benutzer > Externe Authentifizierung, und wählen Sie Externe Authentifizierung aktivieren aus.

AsyncOS Exthernal Authentication

Geben Sie folgende Werte ein:

          • Hostname des RADIUS-Servers
          • Anschluss
          • Gemeinsamer geheimer Schlüssel
          • Timeoutwert (in Sekunden)
          • Authentifizierungsprotokoll

Wählen Sie Extern authentifizierte Benutzer mehreren lokalen Rollen zuordnen (empfohlen) aus.

Edit External Authentication

Hinweis: Der Wert für die RADIUS-Klasse muss mit dem Wert übereinstimmen, der in Schritt 3 (unter der gemeinsamen ASA VPN-Aufgabe eingegeben) definiert wurde, einschließlich Ticket.

note-icon

Anmerkung: Das hier ausgewählte Authentifizierungsprotokoll (z. B. PAP) muss mit den im ISE-Richtliniensatz zulässigen Protokollen übereinstimmen. Bei Nichtübereinstimmung schlägt die Authentifizierung fehl.

Senden und bestätigen Sie die Änderungen.

Überprüfung

In diesem Abschnitt können Sie überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

  1. Melden Sie sich bei der Appliance mit einem extern authentifizierten Benutzer an.
  2. Bestätigung des Zugriffs
  3. Bestätigen Sie, dass die zugewiesene Rolle mit der Rolle übereinstimmt, die vom zurückgegebenen Klassenwert erwartet wird.
  4. Vergewissern Sie sich in ISE, dass die erwartete Autorisierungsregel erreicht und der richtige Klassenwert zurückgegeben wurde (Operations > RADIUS > Live Logs).

Guest Role Assigned

Fehlerbehebung

In diesem Abschnitt finden Sie die Informationen, die Sie zur Fehlerbehebung bei Ihrer Konfiguration verwenden können.

Symptom: Die Anmeldung auf der Appliance schlägt mit der Meldung "Ungültiger Benutzername oder ungültiges Kennwort" fehl.

Mögliche Ursache: Eine Abweichung in der Autorisierungsrichtlinie, dem zurückgegebenen Class-Wert oder dem Authentifizierungsprotokoll.

Auflösung:

  1. Wählen Sie in den Einstellungen für die externe Authentifizierung der Appliance vorübergehend Alle extern authentifizierten Benutzer der Administratorrolle zuordnen. (Abbildung 11)
  2. Senden und bestätigen Sie die Änderungen, und versuchen Sie dann eine neue Anmeldung.
  3. Wenn die Anmeldung jetzt erfolgreich ist, liegt das Problem in der Rollenzuordnung. Überprüfen Sie das ISE-Autorisierungsprofil (Klasse/Attribut 25) und die Einrichtung der Autorisierungsrichtlinie erneut.
  4. ÜberprüfenOperationen > RADIUS > Live-Protokolle in ISE, um zu bestätigen, welches Autorisierungsprofil abgeglichen wurde und welcher Class-Wert zurückgegeben wurde.

Troubleshoot Map all as Admin

Zugehörige Informationen

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
2.0
21-Jul-2026
Aktualisierte maschinelle Übersetzung, SEO, Alternativer Text, Stilanforderungen und Formatierung.
1.0
26-May-2021
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Aaron Vega
    Technical Consulting Engineering Technical Leader
  • Emmanuel Cano Gutierrez
    Consulting Engineering Technical Leader
  • Horacio Arroyo
    PS Engineer

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren

Dieses Dokument gilt für folgende Produkte.