Configuración de la política de grupo SAML para Secure Firewall e ID de entrada
Contenido
Introducción
Este documento describe cómo asignar políticas de grupo usando MS Entra ID para la autenticación SAML para Cisco Secure Client en Cisco Secure Firewall.
Prerequisites
Requirements
Cisco recomienda tener conocimientos de estos temas:
- VPN AnyConnect de Cisco Secure Client
- Configuración del proveedor de identidad (IdP) de Microsoft Entra ID
- Cisco Firepower Threat Defense (FTD) o Cisco Secure Firewall ASA Remote Access VPN and Single Sign-On (SSO) Server Object Configuration
Componentes Utilizados
La información de esta guía se basa en las siguientes versiones de hardware y software:
- FTD versión 7.6
- FMC Versión 7.6
- ID de entrada de MS ID de SAML
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
SAML (lenguaje de marcado de aserción de seguridad) es un marco basado en XML para intercambiar datos de autenticación y autorización entre dominios de seguridad. Crea un círculo de confianza entre el usuario, un proveedor de servicios (SP) y un proveedor de identidad (IdP), que permite a los usuarios iniciar sesión una vez (SSO) para varios servicios. SAML se puede utilizar para la autenticación VPN de acceso remoto para conexiones de Cisco Secure Client a cabeceras ASA y FTD VPN, donde ASA o FTD es el SP del círculo de confianza.
En este documento, se utiliza Microsoft Entra ID/Azure como IdP. Sin embargo, puede asignar políticas de grupo mediante otros IdPs, ya que se basa en atributos estándar que se pueden enviar en la afirmación SAML.
Nota: Tenga en cuenta que cada usuario solo debe pertenecer a un grupo de usuarios en MS Entra ID, ya que los múltiples atributos SAML que se envían al ASA o FTD pueden causar problemas con la asignación de políticas de grupo, como se detalla en Cisco bug ID CSCwm33613.
Configurar
Configuración SAML de FMC
1. En el FMC, navegue hasta Objetos > Gestión de Objetos > Servidor AAA > Servidor de Single Sign-on. El ID de entidad, la URL de SSO, la URL de cierre de sesión y el certificado del proveedor de identidad se obtienen del IdP; consulte el paso 6 de la sección ID de entrada de Microsoft. La URL base y el certificado del proveedor de servicios son específicos del FTD al que se agrega la configuración.
Configuración de objetos SSO de FMC
Configuración del Grupo de Túneles RAVPN FMC
1. En el FMC, navegue hasta Devices > VPN > Remote Access > Connection Profile y seleccione, o cree, la política VPN para el FTD que está configurando. Una vez seleccionado, cree un perfil de conexión similar al siguiente:
Asignación de dirección de perfil de conexión FMC
Configuración AAA del perfil de conexión FMC
Configuración de la Política de Grupo FMC RAVPN
1. Debe crear una directiva de grupo con las opciones necesarias para cada grupo de usuarios en Microsoft Entra ID y agregarla a la directiva RAVPN para el FTD que está configurando.
2. Navegue hasta Devices > VPN > Remote Access > Advanced y seleccione Group Policies en el lado izquierdo. A continuación, haga clic en + en la esquina superior derecha para agregar una directiva de grupo.
Política de agregar grupo de FMC
3. Haga clic en + en la ventana emergente para ver el cuadro de diálogo y crear una nueva directiva de grupo. Rellene las opciones necesarias y haga clic en Guardar.
Nota: Si ya ha creado la directiva de grupo necesaria, puede omitir este paso y continuar con el paso 4.
Crear nueva directiva de grupo
Opciones de Directiva de grupo
4. Seleccione la política de grupo recién creada en la lista de la izquierda, haga clic en el botón Agregar y, a continuación, haga clic en Aceptar para guardar la lista.
agregar directiva de grupo
Metadatos de FTD
1. Una vez implementada la configuración en el FTD, navegue hasta la CLI del FTD y ejecute el comando show saml metadata <tunnel group name> y recopile el Id. de entidad del FTD y la URL del ACS.
Nota: El certificado de los metadatos se truncó por motivos de brevedad.
FTD# show saml metadata SAMLtest
SP Metadata
-----------
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<EntityDescriptor entityID="https://vpn.example.net/saml/sp/metadata/SAMLtest" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
<SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<KeyDescriptor use="signing">
<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:X509Data>
<ds:X509Certificate>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</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>
<AssertionConsumerService index="0" isDefault="true" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://vpn.example.net/+CSCOE+/saml/sp/acs?tgname=SAMLtest" />
<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://vpn.example.net/+CSCOE+/saml/sp/logout"/><SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://vpn.example.net/+CSCOE+/saml/sp/logout"/></SPSSODescriptor>
</EntityDescriptor>
ID de Microsoft Entra
1. En el portal de Microsoft Azure, seleccione Microsoft Entra ID en el menú de la izquierda.
ID de Microsoft Entra
2. Seleccione Aplicaciones de Empresa.
Aplicaciones empresariales
3. Seleccione Nueva aplicación.
Nota: Si ya hay una aplicación empresarial configurada para el RAVPN FTD, omita los siguientes pasos y continúe en el paso 7.
Aplicación MS Entra ID Enterprise
4. Seleccione Cisco Secure Firewall - Secure Client (anteriormente AnyConnect) Authentication en Aplicaciones destacadas. Asigne un nombre a la aplicación y seleccione Create.
Aplicación de autenticación MS Entra ID Cisco Secure Firewall Secure Client (anteriormente AnyConnect)
5. Una vez en la aplicación, seleccione Usuarios y grupos y asigne los nombres de usuario o grupo necesarios a la aplicación.
Usuarios y grupos
6. Seleccione Single Sign-On > SAML y recupere la URL de inicio de sesión, el identificador Microsoft Entra y la URL de cierre de sesión para la sección Configuración SAML de FMC de esta guía.
Inicio de Sesión Único
URL de IdP
7. Configure la configuración básica de SAML con el identificador (ID de entidad) y la URL de respuesta (ACS) recuperados de los metadatos de FTD y guarde.
Configuración básica de SAML
8. Seleccione Editar para Atributo y Reclamaciones y haga clic en Agregar Nueva Reclamación.
Atributos y reclamaciones
9. La nueva reclamación debe tener el nombre cisco_group_policy.
Gestionar reclamación
10. Expanda la sección de Condiciones de reclamación. Seleccione el tipo de usuario y los grupos de ámbito, y en Origen, elija Atributo y agregue el nombre de política de grupo correcto desde la configuración de FTD en el menú desplegable Valor y haga clic en Guardar.
Nota: El nombre de política de grupo personalizado del FTD utilizado en este ejemplo es SAMLtest-GP, que se creó en la sección Configuración de Política de Grupo de RAVPN de FMC de esta guía. Este valor debe reemplazarse por el nombre de política de grupo del FTD que corresponde a cada grupo de usuarios en el IdP.
condición de reclamación de MS Entra ID
Verificación
FTD
Para verificar la política de grupo deseada, valide el resultado ejecutando el comando show vpn-sessiondb anyconnect:
FTD# show vpn-sessiondb anyconnect
Session Type: AnyConnect
Username : RTPVPNtest
Index : 7110
Assigned IP : 192.168.55.3 Public IP : 10.26.162.189
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA256
Bytes Tx : 105817 Bytes Rx : 63694
Group Policy : SAMLtest-GP Tunnel Group : SAMLtest
Login Time : 16:54:17 UTC Fri May 9 2025
Duration : 0h:11m:19s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : ac127ca101bc6000681e3339
Security Grp : none Tunnel Zone : 0
Para verificar que IdP está enviando la reclamación correcta, recupere la salida ejecutando el comando debug webvpn saml 255 mientras se conecta a la VPN. Analice la salida de aserción en los debugs y compare la sección de atributos con lo que está configurado en el IdP.
<Attribute Name="cisco_group_policy">
<AttributeValue>SAMLtest-GP</AttributeValue>
</Attribute>
Troubleshoot
firepower# show run webvpn
firepower# show run tunnel-group
firepower# show crypto ca certificate
firepower# debug webvpn saml 255
firepower# debug webvpn 255
firepower# debug aaa authorization
Información Relacionada
- Soporte técnico y descargas de Cisco
- Guías de configuración de ASA
- Guías de configuración de FMC/FDM
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
2.0 |
01-Sep-2026
|
Título actualizado, introducción, ortografía y gramática, líneas horizontales insertadas para separar secciones para facilitar su lectura, alertas fijas de CCW y texto alternativo. |
1.0 |
04-Aug-2025
|
Versión inicial |
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)