Azure Entra Captive-Portal auf sicherer Firewall konfigurieren

Einleitung

In diesem Dokument wird die Konfiguration der Microsoft Azure Entra-ID für die Verwendung mit dem Captive Portal (aktive Authentifizierung) in der Cisco Secure Firewall beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, sich mit folgenden Themen vertraut zu machen:

• Security Assertion Markup Language (SAML)
• Microsoft Azure
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defense (FTD)

Für die Erstellung des Event Hub muss in Azure die Standard-Preisebene verfügbar sein. Darüber hinaus müssen Geräte mit aktivierter Smart Licensing-Funktion und einer exportgesteuerten Funktion aktiviert werden.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco Secure FTD Version 10.0
• Cisco Secure FMC Version 10.0

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Da herkömmliche IP-basierte Sicherheitsarchitekturen Schwierigkeiten haben, mit dynamischen, hybriden Arbeitsumgebungen Schritt zu halten, bietet Cisco Secure Firewall Active Authentication mit SAML-Integration eine robuste, identitätsbasierte Lösung. Durch die Nutzung von Microsoft Entra ID (Azure AD) als zentralisierter Identitätsanbieter ermöglicht diese Konfiguration Administratoren, über statische Netzwerkregeln hinauszugehen und eine granulare Zugriffskontrolle auf der Grundlage einer verifizierten Benutzeridentität anstelle von flüchtigen Netzwerkadressen durchzusetzen. Diese Integration optimiert die Benutzerumgebung durch die nahtlose einmalige Anmeldung (Single Sign-On, SSO) und die obligatorische Multi-Factor-Authentifizierung (MFA). Gleichzeitig wird ein einheitlicher Sicherheitsstatus sichergestellt, der in einem Netzwerk ohne Perimeter für strenge Transparenz und Richtliniendurchsetzung sorgt.

Diagramm

Captive Portal zwischen Endgerät, FTD und Azure Entra

Captive Portal zwischen EndPoint und Azure Entra

Konfigurieren

Phase 1: Erstkonfiguration von FMC und DNS

Anmerkung: Bei dieser Übung wird ein über die Cloud bereitgestelltes Firewall Management Center (cdFMC) verwendet. Bei standortbasiertem FÜZ bleiben die Schritte jedoch unverändert.

Schritt 1: Aktivieren des Cisco Dynamic Attributes Connectors (CSDAC)

1) Wählen Sie Integrationen > Dynamic Attributes Connector.

Integrationen auswählen Dynamic Attributes Connector

2) Klicken Sie auf das Steuerelement neben der Zeichenfolge Disabled (Deaktiviert), um CSDAC zu aktivieren.

Cisco Dynamic Attributes Connector aktivieren

c) Klicken Sie auf Fertig, sobald die CSDAC-Aktivierung abgeschlossen ist.

Cisco Dynamic Attributes Connector-Status aktivieren

Phase 2: Vollqualifizierter Domänenname des Netzwerkobjektvertreters der FTD-Eingangsschnittstelle erstellen

1) Wählen Sie Objekte > Netzwerk hinzufügen > Objekt hinzufügen.

Neues vollständig qualifiziertes Domänennamennetzwerkobjekt erstellen

2) Nennen Sie das Netzwerkobjekt, das mit dem vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) konfiguriert wurde. Geben Sie den FQDN ein, und weisen Sie das Netzwerkobjekt als FQDN-Typ zu, indem Sie auf das entsprechende Optionsfeld klicken. Klicken Sie auf Speichern.

Konfigurieren von FQDN-Netzwerkobjektvariablen

Schritt 3: Konfigurieren des DNS-A-Datensatzes

1) Im hier gezeigten Beispiel wird Windows Server 2025 verwendet. bei Bedarf in der Dokumentation des jeweiligen Namensauflösungsservers nachsehen. 

Konfiguration von DNS A-Datensätzen in Windows Server

Anmerkung: Der Client, der die Active Authentication ausführt, muss in der Lage sein, diesen DNS-A-Eintrag aufzulösen.

Phase 2: Konfiguration der Public Key-Infrastruktur

Eine interne Zertifizierungsstelle (Certificate Authority, CA) kann als Public Key Infrastructure (PKI) für die Konfiguration der aktiven Authentifizierung verwendet werden. Cisco FMC und FTD erfordern, dass der interne öffentliche Schlüssel der CA und der gepaarte private Schlüssel als internes CA-Objekt hochgeladen werden, um die erforderlichen Vorgänge zum Abfangen und Entschlüsseln von SSL auszuführen. Darüber hinaus muss die interne CA innerhalb des Clientbrowsers, von dem aus die aktive Authentifizierung ausgeführt wird, vertrauenswürdig sein. In der Dokumentation des Client-Browsers finden Sie Informationen dazu, wie Sie überprüfen, ob der Browser dem Zertifikat vertraut.

Schritt 1: Importieren des internen Zertifizierungsstellenzertifikats in das FMC

1) Wählen Sie Objects > PKI > Internal CAs (Objekte > PKI > Interne Zertifizierungsstellen). Klicken Sie auf CA importieren.

Anmerkung: Die interne CA kann auch direkt auf dem FMC erstellt werden.

Interne Zertifizierungsstelle in Firewall-Verwaltungscenter importieren

Anmerkung: Innerhalb des Inhalts dieses Dokuments wird ein Leerraum angezeigt, der die verschiedenen Feldwerte in den Bildern abdeckt und gemäß der Veröffentlichung dieses Dokuments beabsichtigt ist. Die tatsächlichen Werte werden während der Konfiguration für die Umgebung übernommen.

Phase 2: Signieren des Dienstanbieterzertifikats mit der Zertifizierungsstelle

1) Das Service Provider-Zertifikat (SP-Zertifikat) muss von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA) signiert und in einem PKCS#12-Format (.p12) zurückgegeben werden.

Anmerkung: Diese Zertifizierungsstelle kann intern signiert werden. Der einzige Vorbehalt besteht darin, dass die interne Zertifizierungsstelle vom Clientgerät als vertrauenswürdig eingestuft werden muss.

Schritt 3: Bereitstellung des SP-Zertifikats für das FTD

1) Wählen Sie Geräte > Zertifikate aus.

Navigieren zu Geräten und Zertifikaten

2) Klicken Sie auf Zertifikate hinzufügen.

Neues Gerätezertifikat hinzufügen

3) Klicken Sie auf das Gerät in der Dropdown-Liste, das die aktive Authentifizierung ausführt, und klicken Sie dann auf das + Symbol, um eine neue Zertifikatregistrierung zu erstellen.

FTD auswählen und neue Zertifikatregistrierung hinzufügen

4) Nennen Sie die Zertifikatregistrierung, und wählen Sie in der Dropdown-Liste Registrierungstyp die Option PKCS12-Datei aus.

Einstellungen und Typ der Zertifikatregistrierung

5) Importieren Sie die PKCS#12-Datei, indem Sie auf PKCS12-Datei durchsuchen klicken und die erforderliche Passphrase eingeben. Klicken Sie auf Speichern.

PKCS12-Datei durchsuchen und importieren

6) Bestätigen Sie, dass die Registrierungsdetails korrekt sind, und klicken Sie auf Hinzufügen.

Zertifikatregistrierungsdetails bestätigen

7) Der Import spiegelt In Bearbeitung wider.

Wenn der Import abgeschlossen ist, können die SP-Zertifikatinformationen durch Klicken auf das ID-Symbol des konfigurierten Zertifikats validiert werden.

Status des Zertifikatimports wird ausgeführt

Phase 3: Azure-Konfiguration

Schritt 1: Erstellen der Enterprise-Anwendung für das SAML-Toolkit

1) Suchen Sie nach Unternehmensanwendungen, und klicken Sie auf.

Suchen nach und Zugreifen auf Unternehmensanwendungen

2) Klicken Sie auf + Neue Anwendung.

Neue Anwendung in Unternehmensanwendungen auswählen

3) Suchen Sie nach dem Microsoft Entra SAML Toolkit und klicken Sie auf die Miniaturansicht dafür.

Suche und Auswahl des Microsoft Entra SAML-Toolkits

4) Weisen Sie der Microsoft Entra SAML Toolkit Enterprise Application einen Namen zu, und klicken Sie auf Erstellen. (Microsoft-Referenz: Lesen Sie unser Schritt-für-Schritt-Tutorial zur Integration von Microsoft Entra SAML Toolkit).

Name der SAML-Toolkit-Anwendung zuweisen

5) Weisen Sie auf der Seite Overview (Übersicht) die spezifischen Benutzer und Gruppen der SAML Toolkit Enterprise Application (SAML-Toolkit-Enterprise-Anwendung) zu. In diesem Beispiel ist das Testkonto (captive-portal-user) ein Mitglied der Gruppe "active-auth-lab".

Zuweisen von Benutzern und Gruppen zu einer Anwendung

6) Die Konfiguration dieser Enterprise-Anwendung wird in späteren Schritten fortgesetzt.

Phase 2: App-Registrierungen für Entra-ID konfigurieren

1) Navigieren Sie zurück zu Entra ID, und wählen Sie im linken Navigationsmenü die Option App Registrations (App-Registrierungen). Klicken Sie auf den Filter Alle Anwendungen, und suchen Sie nach dem Namen, der der Enterprise-Anwendung zugewiesen wurde. Klicken Sie auf die entsprechende Anwendung.

Navigieren Sie zu Anwendungsregistrierungen und allen Anwendungen.

2) Sammeln und notieren Sie die Essentials-Werte unter der Enterprise App-Registrierung.

Wichtig: Bewegen Sie den Mauszeiger über die Werte, um In Zwischenablage kopieren anzuzeigen und die Werte unter Grundlagen auf der Seite Übersicht zu sammeln:

• Anzeigename
• Anwendungs-ID (Client)
• Verzeichnis-ID (Tenant)

Anzeige-, Anwendungs- und Verzeichnis-ID-Werte erfassen

3) Klicken Sie auf den Hyperlink Zertifikat oder geheimen Schlüssel hinzufügen.

Zertifikat oder geheimen Hyperlink hinzufügen

4) Klicken Sie auf + New client secret.

Neuen Clientschlüssel hinzufügen

5) Geben Sie eine Beschreibung für den geheimen Schlüssel an, und passen Sie den Ablauf bei Bedarf an. Klicken Sie auf Hinzufügen.

Beschreibung für geheimen Client bereitstellen

6) Kopieren Sie den Schlüssel.

Wichtig: Notieren Sie sich den geheimen Wert, der in die Zwischenablage kopiert wird.

Geheimen Wert des Clients kopieren

Schritt 3: Konfigurieren von Microsoft Graph API-Berechtigungen für die App-Registrierung

1) Wählen Sie API Permissions aus dem linken Navigationsmenü und klicken Sie dann auf + Add a Permission.

Konfigurieren von API-Berechtigungen

2) Klicken Sie auf Microsoft Graph API.

Microsoft Graph API auswählen

3) Gewähren Sie delegierten Benutzer.Read-Berechtigungen, und klicken Sie dann auf Berechtigungen hinzufügen.

Delegierten Benutzern Leseberechtigungen erteilen

4) Gewähren von Berechtigungen für Application User.Read.All (Aktivieren Sie das Kontrollkästchen).

Anwendung zum Lesen aller Berechtigungen gewähren

5) Suchen Sie nach dem Kontrollkästchen Group.Read.All, und aktivieren Sie es, um auch Group Read-Berechtigungen zu erteilen. Klicken Sie auf Berechtigungen hinzufügen.

API-Berechtigungen speichern

6) Bestätigen Sie, dass die konfigurierten Berechtigungen übereinstimmen, und erteilen Sie die administrative Zustimmung dazu.

Administratorzustimmung für Berechtigungen erteilen

7) Die Ausgabe wird angezeigt, sobald die Zustimmung des Administrators erteilt wurde.

Verwaltungszustimmung erteilt Ausgabe

Schritt 4: Konfigurieren des EH-Namespaces (Event Hub)

1) Suchen Sie nach Event Hubs, und klicken Sie auf Event Hubs.

Hub-Konfiguration für Suchereignisse

2) Erstellen Sie einen neuen EH-Namespace.

Ereignis-Hub-Namespace erstellen

3) Konfigurieren Sie den EH-Namespace.

Anmerkung: Wählen Sie die Standard-Preisstufe oder höher aus. Die einfache Preisstufe verhindert die Nutzung von Realms.

Weitere Informationen zur Bewertung der erweiterten Einstellungen des Event Hub und der Anwendbarkeit auf bestimmte Anforderungen finden Sie in der Azure Event Hub-Dokumentation.

Klicken Sie auf Prüfen + Erstellen.

Konfigurieren der Ereignis-Hub-Namespaceeinstellungen

4) Klicken Sie nach der erfolgreichen Validierung auf Erstellen.

Bereitstellung des Event Hub-Namespaces erstellen

5) Bestätigen Sie, dass die Bereitstellung abgeschlossen ist, und klicken Sie dann auf Zur Ressource wechseln.

Gehe zu Ereignishub-Namespaceressource

Schritt 5: Auswählen oder Erstellen von Richtlinien für gemeinsamen Zugriff im Event Hub-Namespace

1) Wählen Sie im linken Navigationsmenü Einstellungen > Richtlinien für gemeinsamen Zugriff aus.

Navigieren zu Richtlinien für gemeinsamen Zugriff

2) Klicken Sie auf + Hinzufügen, geben Sie den neuen Richtliniennamen ein, und aktivieren Sie das Kontrollkästchen Verwalten. Klicken Sie unten im Menübereich SAS-Richtlinie hinzufügen auf Erstellen.

Neue Richtlinie für gemeinsamen Zugriff hinzufügen

Erstellen einer gemeinsam genutzten Zugriffsrichtlinie

Schritt 6: Sammeln und Notieren von SAS-Informationen (Shared Access Signature) aus dem EH-Namespace

1) Klicken Sie auf die neue Richtlinie für gemeinsamen Zugriff. wird die EH SAS Policy (EH-SAS-Richtlinie) in der Seitenleiste rechts angezeigt.

Primäre Verbindungszeichenfolge kopieren

Wichtig: Kopieren Sie die primäre Verbindungszeichenfolge, und notieren Sie sie.

Schritt 7: Erstellen einer Event Hub-Instanz im Event Hub-Namespace

1) Wählen Sie im Menü Namespace die Option Entities > Event Hubs aus. Klicken Sie auf + Event Hub, um eine neue EH-Instanz zu erstellen.

Neue Ereignis-Hub-Instanz erstellen

2) Weisen Sie der neuen EH-Instanz einen Namen zu, und klicken Sie dann auf Prüfen + Erstellen.

Name der Ereignis-Hub-Instanz zuweisen

3) Klicken Sie nach erfolgreicher Validierung auf Erstellen, um die Event Hub-Instanz bereitzustellen.

Hub-Instanz des Bereitstellungsereignisses

Wichtig: Kopieren Sie den Event Hub-Instanznamen, und notieren Sie ihn.

Schritt 8: Erstellen einer Ereignishub-Instanzverbrauchergruppe im Ereignishub-Namespace

1) Klicken Sie auf die neue EH-Instanz, die im vorherigen Schritt konfiguriert wurde.

Konfiguration der Access Event Hub-Instanz

2) Wählen Sie in der EH-Instanz Entities > Consumer groups, und erstellen Sie eine neue Consumer-Gruppe.

Verbrauchergruppe erstellen

3) Nennen Sie die Verbrauchergruppe, und klicken Sie auf Erstellen.

Namen der Verbrauchergruppe zuweisen

Wichtig: Kopieren Sie den Namen der Consumer-Gruppe der Event Hub-Instanz, und notieren Sie ihn.

Schritt 9: Erfasste Werte überprüfen

1) An dieser Stelle sind diese Werte aus den vorhergehenden Schritten zu beachten. Wenn kein Wert erfasst wurde, verweisen Sie auf den entsprechenden Schritt, in dem der Wert erfasst wird:

• Phase 3 - Schritt 2 - App-Registrierung (der für diesen Prozess erstellten Enterprise-App, auf die der erfasste Anzeigename verweist)
  • Schritt 2, Unterschritt 2
    • Anzeigename 
    • Anwendungs-ID (Client)
    • Verzeichnis-ID (Tenant)
  • Schritt 2, Unterschritt 6
    • Client-Schlüssel
• Phase 3 - Schritt 6 - Event Hub
  • Schritt 6, Unterschritt 1
    • EH-Namespace
      • Primäre Verbindungszeichenfolge
  • Schritt 7, Unterschritt 3
    • EH-Instanzname (Event Hub)
  • Schritt 8, Unterschritt 3
    • Name der EH-Verbrauchergruppe

Phase 10: Konfigurieren des Streaming des Prüfprotokolls für die Entra-ID für den Event Hub

1) Navigieren Sie zurück zur Tenant-Konfiguration für die Entra-ID.

Suchen Sie nach der Tenant-Konfiguration für die Eingabe-ID, und navigieren Sie zu dieser.

2) Wählen Sie im Menü links Monitoring > Diagnostic Settings.

Überwachung der Diagnoseeinstellungen

3) Wählen Sie Diagnoseeinstellungen > Allgemein aus, und klicken Sie auf + Diagnoseeinstellung hinzufügen.

Neue Diagnoseeinstellung hinzufügen

4) Weisen Sie der Diagnoseeinstellung den erforderlichen Namen zu, aktivieren Sie das Kontrollkästchen AuditLogs (Überwachungsprotokolle) für die Protokollierung, und aktivieren Sie das Kontrollkästchen Stream to an einen Ereignishub (Stream an einen Ereignishub). Verweisen Sie auf die Werte aus den vorherigen Konfigurationen, und klicken Sie abschließend auf Speichern.

Überwachungsprotokolle an den Ereignis-Hub streamen

Phase 4: Azure und FMC/FTD Active Authentication-Konfiguration konsolidieren

Schritt 1: Konfigurieren des Azure SAML/Entra ID-Bereichs mithilfe des FMC-Assistenten

1) Wählen Sie im FMC "Integrations" > "Identity" > "Realms".

Konfiguration der Identitätsbereiche

2) Klicken Sie auf die Dropdown-Liste Add Realm (Bereich hinzufügen), und wählen Sie SAML - Azure AD aus.

SAML Azure AD-Bereich hinzufügen

3) Weisen Sie dem Azure-Bereich einen Namen und eine Beschreibung zu, um dessen Verwendung zu beschreiben, und stellen Sie sicher, dass die passive Authentifizierung mit Azure AD oder die Verwendung des Captive Portals mit Azure AD aus der Konfigurationstyp-Dropdown-Liste ausgewählt wird. Klicken Sie auf Next (Weiter).

Azure AD-Bereichseinstellungen konfigurieren

4) Wählen Sie das zuvor konfigurierte FQDN-Objekt als Basis-URL aus. Geben Sie die Entitäts-ID im angezeigten Zeichenfolgenformat ein:

https://<fqdn-base-url>/<uniqueSuffix>

• Wenn das Suffix "SAML Entity ID" konfiguriert ist (im nächsten Konfigurationsbeispiel grün unterstrichen), stellen Sie sicher, dass das Suffix bei anderen SSO-Implementierungen in der Umgebung eindeutig ist. Dieser Wert muss auch mit der Azure SAML-Konfiguration übereinstimmen. Die Basis-URL bleibt während der gesamten Konfiguration unverändert.
• Die ACS-URL (Assertion Consumer Services) wird automatisch ausgefüllt und ist unveränderlich.
• Wählen Sie das Service Provider (SP)-Zertifikat aus, das in den vorherigen Workflow-Schritten in FMC unter Geräte > Zertifikate registriert wurde.
• Klicken Sie nach der Eingabe dieser Werte auf Download Service Provider Metadata (Dienstanbieter-Metadaten herunterladen), um den Konfigurationsprozess zu vereinfachen und zu bestätigen, dass die erwarteten Werte in Azure geschrieben werden.

Basis-URL und Entitäts-ID konfigurieren und SAML-Metadaten herunterladen

5) Klicken Sie auf Weiter, um zu Sequenz 3 der Realm-Konfiguration zu gelangen.

Phase 2: Implementieren der FMC-konfigurierten SAML SP-Metadaten in der Azure Enterprise-Anwendung

1) Navigieren Sie zurück zu Azure, und wählen Sie Entra ID > Manage > Enterprise Applications. Suchen Sie nach der zuvor erstellten Instanz der Microsoft Entra SAML Toolkit Enterprise-Anwendung.

Suche nach Microsoft Entra SAML Toolkit-Anwendung

2) Wählen Sie im seitlichen Navigationsmenü Verwalten > Single Sign-On.

Konfiguration für einmaliges Anmelden verwalten

3) Klicken Sie auf den Modus SAML Single Sign-On (SSO).

Auswahl des SAML Single Sign On-Modus

4) Klicken Sie auf Metadatendatei hochladen und dann auf das blaue Ordnersymbol, um das lokale Dateisystem nach der SAML-Metadatendatei zu durchsuchen, die vom FMC heruntergeladen wurde.

Hochladen der Metadatendatei vom Firewall Management Center

5) Klicken Sie nach Abschluss des Uploads auf Hinzufügen.

SAML-Konfigurationsanwendung hinzufügen

6) Die Seite für die grundlegende SAML-Konfiguration wird angezeigt, und Werte wie der Identifier (Entity ID) und die ACS-URL werden aus der XML-Datei mit den FMC-Metadaten extrahiert, die automatisch hochgeladen und angewendet wird. Die Anmelde-URL wird jedoch nicht ausgefüllt und ist vor dem Speichern erforderlich.

Extraktion der grundlegenden SAML-Konfiguration

7) Verwenden Sie das angegebene Muster für die Anmelde-URL, kopieren Sie den Wert, fügen Sie ihn ein, und klicken Sie nach Abschluss des Vorgangs oben auf Speichern.

URL-Konfigurationseintrag für die Anmeldung

Blättern Sie nach unten zu SAML-Zertifikate, und exportieren Sie die Azure-generierte Verbundmetadaten-XML-Datei zum Importieren in Cisco Secure FMC.

Verbundmetadaten-XML-Datei exportieren

Schritt 3: Konfigurieren des Azure SAML-/Entra-ID-Bereichs mithilfe des FMC-Assistenten (Fortsetzung)

1) Navigieren Sie zurück zum FMC. Laden Sie unter "Sequence 3, SAML Identity Provider (IdP) Metadata" die exportierte Verbundmetadaten-XML-Datei, die von Azure heruntergeladen wurde, in das FMC hoch, um die erforderlichen Werte automatisch aufzufüllen.

Verbundmetadaten-XML-Datei hochladen

2) Nach dem Hochladen werden die Werte wie dargestellt angezeigt.

Automatisch ausgefüllte SAML-Identitätsanbieterwerte

Anmerkung: Eine teilweise Ausgabe wird im Bild angezeigt.

3) Geben Sie die während des gesamten Implementierungsprozesses gesammelten Werte bis zu diesem Punkt ein:

• App-Registrierung
  • Anwendungs-ID (Client)
  • Client-Schlüssel
  • Verzeichnis-ID (Tenant)
• Event-Hub
  • Hostname des EH-Namespaces
    • EH-Namespace Primäre Verbindungszeichenfolge
  • Name der EH-Instanz (Event Hub)
    • Name der EH-Verbrauchergruppe

Anwendungs- und Ereignis-Hub-Informationen eingeben

Klicken Sie nach der Eingabe auf Test, um die Verbindung zu überprüfen und zu bestätigen, dass Azure mit den bereitgestellten Informationen erreichbar ist.

Anmerkung: Stellen Sie ggf. sicher, dass die ausgeschlossenen/eingeschlossenen Benutzergruppen auf Ihre Entra-Konfiguration ausgerichtet sind.

4) Im letzten Schritt des Assistenten können Sie das Timeout für SAML Captive Portal Users konfigurieren. Der Standardwert ist 1440 Minuten.

Captive Portal-Timeout konfigurieren

5) Klicken Sie auf Weiter, um fortzufahren.

Vorwärts mit Azure AD Realm-Konfiguration

6) Der Assistent bietet eine Zusammenfassung der implementierten Konfiguration. Klicken Sie am Ende der Zusammenfassung auf Speichern, nachdem die eingegebenen Werte validiert und bestätigt wurden.

Schaltfläche zum Speichern der Bereichskonfigurationsübersicht

Schritt 4: Heruntergeladene Benutzer überprüfen

1) Bestätigen Sie, dass Benutzer von Azure Entra heruntergeladen werden können, indem Sie im Workflow "Integrations > Identity > Realms" auf die Schaltfläche Jetzt herunterladen klicken.

Benutzer aus Azure AD herunterladen

2) Klicken Sie auf Ja als Antwort auf die Dialogfeldaufforderung.

Download von Benutzern aus Azure AD bestätigen

3) Die Download-Aufgabe ergibt 1 Benutzer und 1 Gruppe heruntergeladen, wie unter Benachrichtigungen > Aufgaben bestätigt.

Benachrichtigungseintrag für den Download von Benutzern aus Azure AD

Phase 5: Konfigurieren von Richtlinien im FMC

Schritt 1: Entschlüsselungsrichtlinie konfigurieren

1) Wählen Sie im FMC Policies > Security Policies > Decryption (Richtlinien > Sicherheitsrichtlinien > Entschlüsselung).

Zur Entschlüsselungsrichtlinie navigieren

2) Klicken Sie auf die Dropdown-Liste Neu erstellen, und wählen Sie Entschlüsselungsrichtlinie (regelbasiert).

Neue regelbasierte Entschlüsselungsrichtlinie erstellen

3) Weisen Sie der neuen regelbasierten Entschlüsselungsrichtlinie einen Namen und, falls gewünscht, eine Beschreibung zu, und klicken Sie auf die Registerkarte Outbound Connections (User Protection), um die für die Captive Portal-Authentifizierung (Active Authentication) erforderliche Entschlüsseln-Zurückweisen-Funktion zu implementieren. 

Richtliniendetails für ausgehende Verbindungen implementieren

4) Wählen Sie die zuvor angewendete interne Zertifizierungsstelle aus der entsprechenden Dropdown-Liste im selben Dialogfeld aus. Klicken Sie auf Next (Weiter).

5) Passen Sie die Optionen nach Bedarf an.

Entschlüsselungsrichtlinienoptionen anpassen

6) In diesem Beispiel werden mit Ausnahme der erforderlichen Richtliniendetails Standardwerte verwendet. Schließen Sie den Konfigurationsassistenten durch Klicken auf Richtlinie erstellen ab.

Endgültige Entschlüsselungsrichtlinie erstellen

Phase 2: Entschlüsselungsrichtlinienregeln konfigurieren

1) Hier sehen Sie das Standardlayout einer regelbasierten Entschlüsselungsrichtlinie. Datenverkehr, der nicht mit den standardmäßig aktivierten Regeln übereinstimmt, z. B. Regel 3 (die auf eine vorab zugewiesene Liste nicht verschlüsselbarer Domänennamen verweist) und Regel 6 (die auf Anwendungen verweist, die als nicht verschlüsselbar gekennzeichnet sind), unterliegt der Aktion Entschlüsseln - Zuweisen gemäß Regel 7. Diese Standardwerte können zusammen mit der Standardaktion nach Bedarf geändert werden. Standardmäßig wird Datenverkehr, der keiner anderen Regel entspricht, mit der Option "Nicht entschlüsseln" konfiguriert.

Der Datenverkehr des Azure-Authentifizierungsdiensts darf nicht zur Überprüfung entschlüsselt werden. Daher wird eine dedizierte Regel dafür erstellt. Klicken Sie zum Starten auf + Regel hinzufügen.

Regel hinzufügen und standardmäßiges regelbasiertes Entschlüsselungslayout anzeigen

2) Weisen Sie dem neuen Eintrag der Entschlüsselungsrichtlinie einen Namen zu, wählen Sie Nicht entschlüsseln aus der Dropdown-Liste Aktion, und platzieren Sie die Regel an der Spitze der weniger spezifischen Regeln. Source/Destination-Zonen werden ebenfalls implementiert, um die Regel weiter einzugrenzen.

Konfigurieren der Regel "Nicht entschlüsseln"

3) Klicken Sie vor dem Hinzufügen der Regel auf die Registerkarte Anwendungen, suchen Sie nach der Azure-Authentifizierungsdienst-Anwendung, und klicken Sie auf Zur Regel hinzufügen, und klicken Sie dann auf Hinzufügen.

Anwendungsregel für Azure-Authentifizierungsdienst hinzufügen

4) Klicken Sie auf Speichern.

Entschlüsselungsrichtlinie speichern

Schritt 3: Identitätsrichtlinie erstellen

1) Wählen Sie Policies > Security Policies > Identity (Richtlinien > Sicherheitsrichtlinien > Identität), um eine Identitätsrichtlinie zu erstellen.

Identitätsrichtlinie erstellen

2) Erstellen Sie eine neue Identitätsrichtlinie, und klicken Sie auf Neue Richtlinie hinzufügen.

Neue Identitätsrichtlinienkonfiguration hinzufügen

3) Weisen Sie der neuen Identitätsrichtlinie einen Namen und gegebenenfalls eine Beschreibung zu. Klicken Sie auf Speichern.

Neue Identitätsrichtlinie benennen

Schritt 4: Identitätsrichtlinien-Regeln konfigurieren

1) Fügen Sie eine neue Regel hinzu, indem Sie auf + Regel hinzufügen klicken.

Neue Identitätsrichtlinienregel hinzufügen

2) Benennen Sie die neue Regel, wählen Sie Aktive Authentifizierung aus der Dropdown-Liste Aktion, und schränken Sie die spezifischen Zonen/Netzwerke ein, die der Regel entsprechen müssen, um die aktive Authentifizierung auszuführen.

Einstellungen für aktive Authentifizierungsregeln konfigurieren

3) Bevor Sie auf Hinzufügen klicken, klicken Sie im Regel-Editor auf die Registerkarte Bereich und Einstellungen. Bestätigen Sie, dass der in den vorherigen Schritten konfigurierte Bereich als Authentifizierungsbereich ausgewählt ist, und klicken Sie dann auf Hinzufügen.

Bereich und Einstellungen für Identitätsregel konfigurieren

4) Die Regel wird hinzugefügt und konfiguriert. Klicken Sie auf Speichern.

Identitätsrichtlinienregelkonfiguration speichern

Schritt 5: Konfigurieren der Zugriffskontrollrichtlinie

1) Wählen Sie Policies > Security Policies > Access Control aus, und klicken Sie auf die Access Control Policy, der das FTD zugewiesen ist.

Konfiguration der Zugriffskontrollrichtlinie

2) Vergewissern Sie sich, dass die in den vorherigen Schritten konfigurierte Entschlüsselungsrichtlinie auf die Zugriffskontrollrichtlinie angewendet wird.

Anwenden der Entschlüsselungsrichtlinie auf die Zugriffskontrolle

3) Vergewissern Sie sich, dass die in den vorherigen Schritten konfigurierte Identitätsrichtlinie auch auf die Zugriffskontrollrichtlinie angewendet wird. Speichern Sie die Richtlinienänderungen.

Anwendung der Identitätsrichtlinie auf die Zugriffskontrolle

4) Bestätigen Sie, dass Regeln vorhanden sind, die Datenverkehr auf Client-Datenebene durch die sichere Firewall nach erfolgreicher aktiver Authentifizierung zulassen. Im vorliegenden Beispiel wird ein breiterer Regelsatz verwendet, der auf die Laborumgebung abgestimmt ist.

Regelsatz für Datenverkehr auf Benutzerdatenebene

Schritt 6: Bereitstellung von Konfigurationen auf den Cisco Secure Firewall-Geräten

Nach der Bereitstellung werden Clients, die Datenverkehr senden, von einer Microsoft-Anmelde-Webseite aufgefordert, eine aktive Authentifizierung mit Azure Entra durchzuführen.

Weitere Informationen zum hier dokumentierten Prozess finden Sie unter Erstellen eines Microsoft Azure AD-Bereichs (SAML) für die aktive Authentifizierung (Captive Portal) - Kapitel: Bereiche im Konfigurationsleitfaden 10.x für FMC-Geräte.

Überprüfung

In diesem Abschnitt können Sie überprüfen, ob die Konfiguration ordnungsgemäß funktioniert.

GUI

Benutzersitzungen und -aktivitäten im FMC validieren:

• Wählen Sie Integrationen > Benutzer > Aktive Sitzungen aus.

FMC-Ausgabe für aktive Sitzungen

• Wählen Sie Integrationen > Benutzer > Benutzeraktivität aus.

Ausgabe der FMC-Benutzeraktivität

Navigieren Sie auf Azure zum Microsoft Entra-Admin-Center:

• Filtern Sie nach Enterprise-Apps, suchen Sie nach der entsprechenden App, und klicken Sie darauf.

Navigation zu Azure Entra Admin Center Enterprise-Anwendungen

• Wählen Sie Aktivität > Anmeldeprotokolle aus.

Azure Enterprise-Anwendung Anmelde-Aktivitätsprotokolle

CLI

• In der FTD-CLI werden Statistiken zu SAML- und Captive Portal-Antworten angezeigt:

> debug menu captive-portal 6
SAML passed requests captive-portal 14
SAML failed requests captive-portal 0
SAML passed responses captive-portal 4
SAML failed responses captive-portal 0
Total captive-portal bee-client messages processed 4
Total captive-portal bee-client messages successful 4
Total captive-portal bee-client messages failed 0
Total bee-client reconnects 0

Fehlerbehebung

Captive Portal-Debugging

• Der Befehl system support captive-portal-debug kann auf dem FTD verwendet werden. Die Ausgabe zeigt, wie das Debuggen aktiviert wird, und stellt wichtige Segmente der Ausgabe fest, um den Captive Portal-Fluss besser zu verstehen.

> system support captive-portal-debug

Enable firewall-debug too? [n]: y  
Enable identity-debug too? [n]: y  
Please specify an IP protocol: tcp  
Please specify a client IP address: 192.168.20.200  
Please specify a client port:  
Please specify a server IP address:  
Please specify a server port:  
Enable daq-debug too? (WARNING: current packet debug configs and logs will be overwritten) [n]:  
Monitoring captive_portal and firewall and identity debug messages

!--- Baseline output pending user Captive Portal authentication
...
192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 match rule order 1, id 1 action Captive portal, active auth realm id 2

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 didn't find active binding, initiating captive portal

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 captive portal authentication started

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 defer trust until captive portal redirect is sent.

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 Current state = S_INIT, Event = EVT_CP_RULE, Next state = S_PENDING_USER
...
!--- Captive Portal probe intercepted and redirected to SAML IdP (generate_204)
...
192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 AppID session with service_id: 676, url: http://browserportal.example.com

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_PENDING_USER, Event = EVT_APPID_HTTP_HEADERS, Next state = S_REDIRECTING

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 app event changes: service, client, host, url, user-agent, client-info

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 using ipv4 address 192.168.20.1 for redirect

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 encrypted redirect url: https://ftd-inside.example.com/+CSCOE+/saml/sp/login?tgname=azure-entra-saml&s=xxxx=http%3A%2F%2Fbrowserportal.example.com%2Fgenerate_204

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_REDIRECTING, Event = EVT_FINALIZE, Next state = S_REDIRECTED
...
!--- SAML authentication completes, identity binding created 
...

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 looked for user_id with realm_id 2 auth_type 2, returning realm_id 2 auth_type 8 user_id 0

192.168.20.200 54023 -> 198.51.100.280 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 IdentityFlowSetupEventHandler Retrieved identity info: user_id 0, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com, authRealmId 2, src sgt 0, src sgt type unknown, dst sgt 0, dst sgt type unknown, deviceType 0, locationIP ::

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 New firewall session

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 allow action
...
!--- Authenticated binding persists across subsequent, unrelated destinations (no further redirects)
...
192.168.20.200 54024 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54025 ->  198.51.100.1 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54026 ->  198.51.100.2 80 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54027 ->  198.51.100.3 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 19935 ->  198.51.100.4 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2
...

Benutzeridentitäts-Dump

• Führen Sie den Befehl system support firewall-engine-dump-user-identity-data in der FTD-CLI aus, um einen Snapshot des aktuellen Status der Benutzeridentität auf dem FTD zu erstellen:

> system support firewall-engine-dump-user-identity-data

Successfully commanded snort.

>

• Wenn Sie sich in der CLI des Expertenmodus mit den lokalen Administratoranmeldeinformationen des FTD-Geräts anmelden, zeigen Sie den Inhalt der gespeicherten Datei unter /ngfw/var/sf/user_enforcement/user_identity.dump an.

> expert
admin@ftd:~$ sudo su
Password:
root@ftd:/home/admin#
root@ftd:/home/admin# ls -lah /ngfw/var/sf/user_enforcement/user_identity.dump
-rw------- 1 root root 5.6K Oct  7 07:51 /ngfw/var/sf/user_enforcement/user_identity.dump
root@ftd:/home/admin# 
root@ftd:/home/admin# less /ngfw/var/sf/user_enforcement/user_identity.dump
...
----------------
IP:USER
----------------

!--- Host IP is aligned with the user authenticated via Captive Portal/Active Authentication
----------------
Host ::ffff:192.168.20.200
----------------
::ffff:192.168.20.200:0 realm 2 type 8, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com
::ffff:192.168.20.200: SXP initialized 0 sgt 0
ABP values: None

-------------------
SXP MAPPING:
-------------------

...

Mögliche Probleme

Captive Portal Unbekannte Zertifizierungsstelle

Problem: Der Client-Browser gibt einen unbekannten Ausstellerfehler zurück, wenn eine Authentifizierung versucht wird.

Mögliche Ursache: Die interne Zertifizierungsstelle im Clientbrowser ist nicht vertrauenswürdig.

Auflösung: Bestätigen Sie, dass die Zertifizierungsstelle im Browser vertrauenswürdig ist. Das hier gezeigte Beispiel bestätigt, dass das interne CA-Zertifikat vertrauenswürdig ist.

Captive Portal "Server nicht gefunden

Problem: Wenn der Client-Browser versucht, das Captive Portal zu laden, gibt er "Server Not Found" für die Basis-URL zurück, während er versucht, die Basis-URL oder Ähnliches zu erreichen.

Mögliche Ursache: DNS-Erreichbarkeit oder fehlerhafte DNS-Konfiguration

Auflösung: Vergewissern Sie sich, dass der entsprechende DNS-Server für die Auflösung des A-Eintrags auf dem Client konfiguriert ist. Vergewissern Sie sich, dass dem FQDN ein A-Eintrag zugeordnet ist und dass der Server erreichbar ist und reagiert.

Zugehörige Informationen

• Erstellen eines Microsoft Azure AD (SAML)-Bereichs für die aktive Authentifizierung (Captive Portal) - FMC Device Config Guide 10.x
• Azure Event Hub-Dokumentation
• Technischer Support und Dokumentation für Cisco Systeme