Externe Authentifizierung und Autorisierung über LDAPS für SNA Manager-Zugriff konfigurieren

Einleitung

In diesem Dokument wird die grundlegende Konfiguration eines Secure Network Analytics Manager mit Lightweight Directory Access Protocol (LDAP) über SSL beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco Secure Network Analytics (ehemals StealthWatch)
• Allgemeiner LDAP- und SSL-Vorgang
• Allgemeines Microsoft Active Directory-Management

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Komponenten:

• Cisco Secure Network Analytics Manager (ehemals SMC) Version 7.3.2
• Windows Server 2016 als Active Directory-Domänencontroller konfiguriert 

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Schritt A: Melden Sie sich beim AD-Domänencontroller an, und exportieren Sie das für LDAP verwendete SSL-Zertifikat.

1. Wählen Sie für Windows Server 2012 oder höher im Startmenü die Option Ausführen, geben Sie dann certlm.msc ein, und fahren Sie mit Schritt 8 fort. 
2. Bei älteren Windows Server-Versionen wählen Sie im Startmenü die Option Ausführen, und geben Sie dann mmc ein.
3. Wählen Sie im Menü Datei die Option Einrasten hinzufügen/entfernen.
4. Wählen Sie in der Liste Verfügbare Snap-Ins die Option Zertifikate aus, und klicken Sie dann auf Hinzufügen.

5. Wählen Sie im Fenster Zertifikate-Snap-In die Option Computerkonto und anschließend Weiter.

6. Lassen Sie Lokaler Computer ausgewählt, und wählen Sie dann Fertig stellen.

7. Wählen Sie im Fenster Snap-In hinzufügen oder entfernen die Option OK.

8. Navigieren Sie zu Zertifikate (Lokaler Computer) > Persönlich > Zertifikate

9. Wählen Sie das SSL-Zertifikat, das für die LDAPS-Authentifizierung verwendet wird, und klicken Sie mit der rechten Maustaste auf den Domänencontroller, und klicken Sie auf Öffnen.

10. Navigieren Sie zur Registerkarte Details > klicken Sie auf In Datei kopieren > Weiter

11. Stellen Sie sicher, dass Nein, privaten Schlüssel nicht exportieren ausgewählt ist, und klicken Sie auf Weiter

12. Wählen Sie Base-64-codiertes X.509-Format aus und klicken Sie auf Weiter.

13. Wählen Sie einen Speicherort für das Zertifikat, nennen Sie die Datei, und klicken Sie auf Weiter.

14. Klicken Sie auf Fertig stellen, um die Meldung "Der Export war erfolgreich" zu erhalten. Nachricht.

15. Kehren Sie zu dem für LDAPS verwendeten Zertifikat zurück, und wählen Sie dann die Registerkarte Zertifizierungspfad.

16. Wählen Sie den Aussteller der Stammzertifizierungsstelle oben im Zertifizierungspfad aus, und klicken Sie auf Zertifikat anzeigen.

17. Wiederholen Sie die Schritte 10-14, um das Zertifikat der Stammzertifizierungsstelle zu exportieren, die das für die LDAPS-Authentifizierung verwendete Zertifikat signiert hat.

Anmerkung: Die Bereitstellung kann über eine mehrstufige Zertifizierungsstellenhierarchie verfügen. In diesem Fall müssen Sie das gleiche Verfahren verwenden, um alle Zwischenzertifikate in der Vertrauenskette zu exportieren.

18. Bevor Sie fortfahren, stellen Sie sicher, dass Sie eine Zertifikatsdatei für den LDAPS-Server und für jede Ausstellerbehörde im Zertifizierungspfad haben: Stammzertifikat und ggf. Zwischenzertifikate.

Schritt B. Melden Sie sich beim SNA Manager an, um das Zertifikat des LDAP-Servers und die Root-Kette hinzuzufügen.

1. Navigieren Sie zu Zentrale Verwaltung > Bestand.
2. Suchen Sie die SNA Manager-Appliance, und klicken Sie auf Aktionen > Appliance-Konfiguration bearbeiten.
3. Navigieren Sie im Fenster "Appliance Configuration" zum Konfigurationsmenü > Trust Store > Add New.
4. Geben Sie den Anzeigenamen ein, klicken Sie auf Choose File (Datei auswählen), wählen Sie das Zertifikat des LDAP-Servers aus, und klicken Sie dann auf Add Certificate (Zertifikat hinzufügen).
5. Wiederholen Sie den vorherigen Schritt, um das Zertifikat der Stammzertifizierungsstelle und ggf. Zwischenzertifikate hinzuzufügen.
6. Vergewissern Sie sich, dass die hochgeladenen Zertifikate die richtigen sind, und klicken Sie auf Einstellungen übernehmen.

7. Warten Sie, bis die Änderungen übernommen wurden und der Manager-Status aktiv ist.

Schritt C. Hinzufügen der Konfiguration des externen LDAP-Diensts

SNA Version 7.2 oder höher

1. Öffnen Sie das Manager-Haupt-Dashboard, und navigieren Sie zu Globale Einstellungen > Benutzerverwaltung.

2. Wählen Sie im Fenster Benutzerverwaltung die Registerkarte Authentifizierung und Autorisierung.

3. Klicken Sie auf Erstellen > Authentifizierungsdienst.

4. Wählen Sie im Dropdown-Menü Authentifizierungsdienst die Option LDAP aus.

5. Füllen Sie die erforderlichen Felder aus.

Feld	Hinweise
Anzeigename	Geben Sie einen Namen für den LDAP-Server ein.
Beschreibung	Geben Sie eine Beschreibung für den LDAP-Server ein.
Serveradresse	Geben Sie den vollqualifizierten Domänennamen wie im Feld Subjekt alternativer Name (SAN) des LDAP-Serverzertifikats angegeben ein. Wenn das Feld SAN nur die IPv4-Adresse enthält, geben Sie die IPv4-Adresse in das Feld Server Address (Serveradresse) ein. Wenn das Feld SAN den DNS-Namen enthält, geben Sie den DNS-Namen in das Feld Server Address (Serveradresse) ein. Wenn das SAN-Feld sowohl DNS- als auch IPv4-Werte enthält, verwenden Sie den ersten aufgeführten Wert.
Anschluss	Geben Sie den für die sichere LDAP-Kommunikation (LDAP über TLS) festgelegten Port ein. Der bekannte TCP-Port für LDAPS ist 636.
Benutzer binden	Geben Sie die Benutzer-ID für die Verbindung zum LDAP-Server ein. Beispiele: CN=admin,OU=Firmenbenutzer,DC=Beispiel,DC=com Anmerkung: Wenn Sie die Benutzer einem integrierten AD-Container (z. B. "Benutzer") hinzugefügt haben, muss für die Bind-DN des Bind-Benutzers der kanonische Name (CN) auf den integrierten Ordner (z. B. CN=username, CN=Users, DC=domain, DC=com) festgelegt sein. Wenn Sie die Benutzer jedoch einem neuen Container hinzugefügt haben, muss für die Bind-DN die Organisationseinheit (OU) auf den neuen Containernamen festgelegt sein (z. B. CN=username, OU=Corporate Users, DC=domain, DC=com). Anmerkung: Eine nützliche Möglichkeit, den Bind-DN des Bind-Benutzers zu finden, besteht darin, das Active Directory auf einem Windows-Server abzufragen, der mit dem Active Directory-Server verbunden ist. Um diese Informationen abzurufen, können Sie eine Windows-Eingabeaufforderung öffnen und den Befehl dsquery user dc=<Distinguished>,dc=<Name> -name <Benutzer> eingeben. Beispiel: dsquery user dc=example,dc=com -name user1. Das Ergebnis sieht wie "CN=user1,OU=Corporate Users,DC=example,DC=com" aus.
Kennwort	Geben Sie das Kennwort für den Bind-Benutzer ein, mit dem die Verbindung zum LDAP-Server hergestellt wird.
Basiskonten	Geben Sie den Distinguished Name (DN) ein. Der DN gilt für die Verzweigung des Verzeichnisses, in dem die Suche nach Benutzern beginnen muss. Es ist oft der Anfang des Verzeichnisbaums (Ihre Domäne), aber Sie können auch einen Unterbaum innerhalb des Verzeichnisses angeben. Der Bind-Benutzer und die Benutzer, die authentifiziert werden sollen, müssen über Basiskonten erreichbar sein. Beispiele: RZ=Beispiel, RZ=com

6. Klicken Sie auf Speichern.

7. Wenn die eingegebenen Einstellungen und die Zertifikate, die dem Vertrauensspeicher hinzugefügt wurden, korrekt sind, erhalten Sie ein You've successfully saved your changes Banner.

8. Der konfigurierte Server muss unter User Management > Authentication and Authorization angezeigt werden.

SNA Version 7.1

1. Navigieren Sie zu Central Management > Inventory.
2. Suchen Sie die SMC-Appliance, und klicken Sie auf Aktionen > Appliance-Konfiguration bearbeiten.
3. Navigieren Sie im Fenster "Appliance Configuration" zum Konfigurationsmenü > LDAP Setup > Add New.
4. Füllen Sie die erforderlichen Felder wie in SNA Version 7.2 oder höher, Schritt 5 beschrieben aus.

5. Klicken Sie auf Hinzufügen.

6. Klicken Sie auf Einstellungen übernehmen.

7. Sobald die eingegebenen Einstellungen und die Zertifikate, die dem Vertrauensstellungsspeicher hinzugefügt wurden, korrekt sind, werden die Änderungen auf den Manager angewendet, und der Appliance-Status muss Up lauten.

Schritt D: Konfigurieren der Autorisierungseinstellungen

SNA unterstützt die lokale und die Remote-Autorisierung über LDAP. Mit dieser Konfiguration werden die LDAP-Gruppen vom AD-Server integrierten oder benutzerdefinierten SNA-Rollen zugeordnet.

Folgende Authentifizierungs- und Autorisierungsmethoden werden für SNA über LDAP unterstützt:

• Remote-Authentifizierung und lokale Autorisierung
• Remote-Authentifizierung und Remote-Autorisierung (wird nur für SNA Version 7.2.1 oder höher unterstützt)

Lokale Autorisierung

In diesem Fall müssen die Benutzer und ihre Rollen lokal definiert werden. Um dies zu erreichen, gehen Sie wie folgt vor.

1. Navigieren Sie erneut zu Benutzerverwaltung, und klicken Sie auf die Registerkarte Benutzer > Erstellen > Benutzer.

2. Definieren Sie den Benutzernamen für die Authentifizierung mit dem LDAP-Server, und wählen Sie den konfigurierten Server aus dem Dropdown-Menü Authentifizierungsdienst aus.

3. Legen Sie die Berechtigungen fest, die der Benutzer über den Manager haben muss, nachdem dieser vom LDAP-Server authentifiziert wurde, und klicken Sie auf Speichern.

Remote-Autorisierung über LDAP

Die Remote-Authentifizierung und -Autorisierung über LDAP wurde erstmals in Secure Network Analytics Version 7.2.1 unterstützt.

Anmerkung: Remote-Autorisierung mit LDAP wird in Version 7.1 nicht unterstützt.

Es ist wichtig zu erwähnen, dass ein Benutzer, der lokal (im Manager) definiert und aktiviert ist, sich remote authentifiziert, aber lokal autorisiert. Der Benutzer wird wie folgt ausgewählt:

1. Nachdem die Anmeldeinformationen auf der Willkommensseite eingegeben wurden, sucht der Manager nach einem lokalen Benutzer mit dem angegebenen Namen.
2. Wenn ein lokaler Benutzer gefunden und aktiviert wurde, wird er remote authentifiziert (wenn zuvor die Remote-Authentifizierung über LDAP mit lokaler Autorisierung konfiguriert wurde), jedoch mit den lokalen Einstellungen autorisiert.
3. Wenn die Remote-Autorisierung konfiguriert und aktiviert ist und der Benutzer nicht lokal gefunden wird (nicht konfiguriert oder deaktiviert), werden sowohl die Authentifizierung als auch die Autorisierung remote durchgeführt.

Aus diesem Grund werden die Schritte zum erfolgreichen Konfigurieren der Remote-Authentifizierung als Nächstes beschrieben.

Schritt D-1: Deaktivieren oder löschen Sie die Benutzer, die die Remote-Autorisierung verwenden sollen, aber lokal definiert sind.

1. Öffnen Sie das Manager-Haupt-Dashboard, und navigieren Sie zu Globale Einstellungen > Benutzerverwaltung.
2. Deaktivieren oder löschen Sie die Benutzer (sofern vorhanden), die die Remote-Authentifizierung und -Autorisierung über LDAP verwenden sollen, aber lokal konfiguriert sind.

Schritt D-2: Definieren Sie "cisco-stealthwatch Groups" im Microsoft AD-Server.

Für die externe Authentifizierung und Autorisierung über LDAP-Benutzer werden Kennwörter und cisco-stealthwatch-Gruppen remote in Microsoft Active Directory definiert. Die im AD-Server zu definierenden cisco-stealthwatch-Gruppen hängen mit den verschiedenen Rollen von SNA zusammen und müssen wie folgt definiert werden.

SNA-Rolle	Gruppenname
Primärer Administrator	cisco-stealthwatch-master-admin
Datenrolle	cisco-stealthwatch-all-data-lesen und schreiben cisco-stealthwatch-all-data-read-only cisco-stealthwatch-<benutzerdefiniert> (optional) Anmerkung: Stellen Sie sicher, dass die benutzerdefinierten Datenrollengruppen mit "cisco-stealthwatch-" beginnen.
Webfunktionale Rolle	cisco-stealthwatch-configuration-manager cisco-stealthwatch-power-analyst cisco-stealthwatch-analyst
Desktop-Funktionalität	cisco-stealthwatch-desktop-stealthwatch-power-user cisco-stealthwatch-desktop-configuration-manager cisco-stealthwatch-desktop-network-engineer cisco-stealthwatch-desktop-security-analyst cisco-stealthwatch-desktop-<benutzerdefiniert> (optional) Anmerkung: Vergewissern Sie sich, dass die benutzerdefinierten Desktop-Funktionsrollengruppen mit "cisco-stealthwatch-desktop-" beginnen.

Anmerkung: Wie bereits beschrieben, werden benutzerdefinierte Gruppen für "Data Role" und "Desktop Functional Role" unterstützt, solange dem Gruppennamen die entsprechende Zeichenfolge vorangestellt wird. Diese benutzerdefinierten Rollen und Gruppen müssen sowohl im SNA Manager als auch auf dem Active Directory-Server definiert werden. Wenn Sie z. B. im SNA Manager für eine Desktop-Client-Rolle eine benutzerdefinierte Rolle definieren, muss sie cisco-stealthwatch-desktop-custom in Active Directory zugeordnet werden.  Beachten Sie, dass es zwar möglich ist, Rollen und Gruppen mit numerischen Werten zu erstellen, dies jedoch das LDAP-/TACACS-Protokoll durch eine (IllegalRolesException) unterbricht.  Dieser Fehler ist dokumentiert unter Cisco Bug-ID CSCww00167 . .  Aus diesem Grund empfehlen wir, beim Erstellen dieser Rollen/Gruppen KEINE numerischen Werte zu verwenden.

Schritt D-3: LDAP-Autorisierungsgruppenzuordnungen für die Benutzer definieren

Nachdem die cisco-stealthwatch-Gruppen im AD-Server definiert wurden, können die Benutzer, die Zugriff auf den SNA Manager erhalten sollen, den erforderlichen Gruppen zugeordnet werden. Dies muss wie folgt geschehen.

• Ein primärer Admin-Benutzer muss der Gruppe cisco-stealthwatch-master-admin zugewiesen sein und darf kein Mitglied einer anderen cisco-stealthwatch-Gruppe sein.

• Jeder Benutzer, mit Ausnahme der primären Administrator-Benutzer, muss einer Gruppe jeder Rolle mit den nächsten Bedingungen zugewiesen werden.

1. Datenrolle: Der Benutzer darf nur einer Gruppe zugewiesen sein.
2. Webfunktionale Rolle: Der Benutzer muss mindestens einer Gruppe zugewiesen sein.
3. Desktop-Funktionalität: Der Benutzer muss mindestens einer Gruppe zugewiesen sein.

Schritt D-4: Aktivieren Sie die Remote-Autorisierung über LDAP im SNA-Manager.

1. Öffnen Sie das Manager-Haupt-Dashboard, und navigieren Sie zu Globale Einstellungen > Benutzerverwaltung.
2. Wählen Sie im Fenster Benutzerverwaltung die Registerkarte Authentifizierung und Autorisierung aus.
3. Suchen Sie nach dem LDAP-Authentifizierungsdienst, der in Schritt C konfiguriert wurde.
4. Klicken Sie auf Aktionen > Remote-Autorisierung aktivieren.

Anmerkung: Es kann jeweils nur ein externer Autorisierungsdienst verwendet werden. Wenn bereits ein anderer Autorisierungsdienst verwendet wird, wird dieser automatisch deaktiviert und der neue Dienst aktiviert. Alle Benutzer, die mit dem vorherigen externen Dienst autorisiert wurden, werden jedoch abgemeldet. Vor jeder Aktion wird eine Bestätigungsmeldung angezeigt.

Überprüfung

Verwenden Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Die Benutzer können sich mit den auf dem AD-Server definierten Anmeldeinformationen anmelden.

Der zweite Prüfschritt betrifft die Zulassung. In diesem Beispiel wurde der Benutzer "user20" zu einem Mitglied der Gruppe "cisco-stealthwatch-master-admin" im AD-Server gemacht, und Sie können bestätigen, dass der Benutzer über primäre Administratorberechtigungen verfügt. Der Benutzer ist in den lokalen Benutzern nicht definiert. Sie können daher überprüfen, ob die Autorisierungsattribute vom AD-Server gesendet wurden.

Die gleiche Überprüfung wird für den anderen Benutzer in diesem Beispiel "snauser10" durchgeführt. Sie können die erfolgreiche Authentifizierung mit den Anmeldeinformationen bestätigen, die auf dem AD-Server konfiguriert wurden.

Da dieser Benutzer nicht der Gruppe "Primärer Administrator" angehört, stehen einige Funktionen für die Autorisierungsüberprüfung nicht zur Verfügung.

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Wenn die Konfiguration des Authentifizierungsdiensts nicht erfolgreich gespeichert werden kann, stellen Sie Folgendes sicher:

1. Sie haben die richtigen Zertifikate des LDAP-Servers zum Vertrauensspeicher des Managers hinzugefügt.
2. Die konfigurierte Serveradresse entspricht der Angabe im Feld "Subject Alternative Name (SAN)" (Alternativer Antragstellername) des LDAP-Serverzertifikats.

   • Wenn das Feld SAN nur die IPv4-Adresse enthält, geben Sie die IPv4-Adresse in das Feld Server Address (Serveradresse) ein.

   • Wenn das Feld SAN den DNS-Namen enthält, geben Sie den DNS-Namen in das Feld Server Address (Serveradresse) ein.

   • Wenn das SAN-Feld sowohl DNS- als auch IPv4-Werte enthält, verwenden Sie den ersten aufgeführten Wert.

3. Die konfigurierten Felder Bind User und Base Account sind korrekt, wie vom AD Domain Controller angegeben.

Zugehörige Informationen

• Wenden Sie sich für weitere Unterstützung an das Cisco Technical Assistance Center (TAC). Ein gültiger Support-Vertrag ist erforderlich: Cisco Worldwide Support Contacts
• Technischer Support und Dokumentation für Cisco Systeme

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	02-Feb-2022	Erstveröffentlichung