Configuración de ISE 3.2 EAP-TLS con Microsoft Azure Active Directory

Introducción

Este documento describe cómo configurar y solucionar problemas de políticas de autorización en ISE según la pertenencia al grupo de Azure AD con EAP-TLS o TEAP.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Identity Services Engine (ISE)
• Microsoft Azure AD, suscripción y aplicaciones
  
• EAP-TLS autenticación

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco ISE 3.2
• Microsoft Azure AD

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes 

En ISE 3.0 es posible aprovechar la integración entre ISE y Azure Active Directory (AAD) para autenticar a los usuarios basándose en los grupos y atributos de Azure AD a través de la comunicación de credenciales de contraseña de propietario de recurso (ROPC). Con ISE 3.2, puede configurar la autenticación basada en certificados y se puede autorizar a los usuarios en función de las pertenencias a grupos de Azure AD y otros atributos. ISE consulta a Azure a través de la API gráfica para obtener grupos y atributos para el usuario autenticado. Utiliza el nombre común de sujeto (CN) del certificado con el nombre principal de usuario (UPN) en el lado de Azure.

Nota: las autenticaciones basadas en certificados pueden ser EAP-TLS o TEAP con EAP-TLS como método interno. A continuación, puede seleccionar atributos de Azure Active Directory y agregarlos al diccionario de Cisco ISE. Estos atributos se pueden utilizar para la autorización. Sólo se admite la autenticación de usuario.

Configurar

Diagrama de la red

La siguiente imagen proporciona un ejemplo de un diagrama de red y flujo de tráfico

Procedimiento:

1. El certificado se envía a ISE a través de EAP-TLS o TEAP con EAP-TLS como método interno.
2. ISE evalúa el certificado del usuario (período de validez, CA de confianza, CRL, etc.).
3. ISE toma el nombre del sujeto del certificado (CN) y realiza una búsqueda en la API de Microsoft Graph para obtener los grupos del usuario y otros atributos de dicho usuario. Esto se conoce como Nombre principal de usuario (UPN) en el lado de Azure.
4. Las políticas de autorización de ISE se evalúan en función de los atributos del usuario devueltos desde Azure.

Nota: debe configurar y conceder permisos de la API de Graph a la aplicación ISE en Microsoft Azure, como se muestra a continuación:

Configuraciones

Configuración de ISE

Nota: la funcionalidad de ROPC y la integración entre ISE y Azure AD están fuera del alcance de este documento. Es importante que los grupos y los atributos de usuario se agreguen desde Azure. Consulte la guía de configuración aquí.

Configuración del perfil de autenticación de certificados  

Paso 1. Desplácese hasta el icono Menú situado en la esquina superior izquierda y seleccione Administration > Identity Management > External Identity Sources.

Paso 2. Seleccionar Autenticación de certificados Haga clic en Perfil y, a continuación, en Agregar. 

Paso 3. Defina el nombre, Defina el Almacén de identidades como [No aplicable] y seleccione Asunto - Nombre común en Usar identidad de campo. Seleccione Nunca al coincidir Certificado de cliente contra certificado en almacén de identidades Campo. 

Paso 4. Haga clic en Guardar

Paso 5. Desplácese hasta el icono Menú situado en la esquina superior izquierda y seleccione Directiva > Conjuntos de directivas.

Paso 6. Seleccione el signo más para crear un nuevo conjunto de directivas. Defina un nombre y seleccione Wireless 802.1x (Inalámbrico 802.1x) o Wired 802.1x (con cables 802.1x) como condiciones. En este ejemplo se utiliza la opción Default Network Access (Acceso a red predeterminado)

Paso 7. Seleccione la flecha junto a Acceso a red predeterminado para configurar las directivas de autenticación y autorización.

Paso 8. Seleccione la opción Authentication Policy , defina un nombre y agregue EAP-TLS como Network Access EAPuthentication , es posible agregar TEAP como Network Access EAPunnel si TEAP se utiliza como protocolo de autenticación. Seleccione el perfil de autenticación de certificado creado en el paso 3 y haga clic en Guardar.

Paso 9. Seleccione la opción de directiva de autorización, defina un nombre y agregue atributos de usuario o grupo de Azure AD como condición. Elija el perfil o el grupo de seguridad en Resultados, en función del caso práctico y, a continuación, haga clic en Guardar.  

Configuración de usuario.

El nombre común de sujeto (CN) del certificado de usuario debe coincidir con el nombre principal de usuario (UPN) en el lado de Azure para recuperar la pertenencia al grupo de AD y los atributos de usuario que se utilizarán en las reglas de autorización. Para que la autenticación sea correcta, la CA raíz y cualquier certificado de CA intermedia deben estar en el almacén de confianza de ISE.

Verificación

Verificación de ISE

En la GUI de Cisco ISE, haga clic en el icono Menu (Menú) y elija Operations > RADIUS > Live Logs para autenticaciones de red (RADIUS).

Haga clic en el icono de lupa de la columna Detalles para ver un informe de autenticación detallado y confirmar si el flujo funciona según lo esperado.

1. Verificar las políticas de autenticación/autorización
2. Método/protocolo de autenticación
3. Nombre de asunto del usuario tomado del certificado
4. Grupos de usuarios y otros atributos obtenidos del directorio de Azure

Troubleshoot

Habilitar depuraciones en ISE

Desplácese hasta Administration > System > Logging > Debug Log Configuration para establecer los componentes siguientes en el nivel especificado.

Nodo	Nombre del componente	Nivel de registro	Nombre de archivo de registro
PSN	rest-id-store	Depurar	rest-id-store.log
PSN	Runtime-AAA	Depurar	prrt-server.log

Nota: Cuando haya terminado con la resolución de problemas, recuerde reiniciar las depuraciones. Para ello, seleccione el nodo relacionado y haga clic en "Restablecer a valor predeterminado".

Fragmentos de registro

Los siguientes extractos muestran las dos últimas fases del flujo, como se mencionó anteriormente en la sección del diagrama de red.

1. ISE toma el nombre del sujeto del certificado (CN) y realiza una búsqueda en la API de Azure Graph para obtener los grupos de usuarios y otros atributos para ese usuario. Esto se conoce como Nombre principal de usuario (UPN) en el lado de Azure.
2. Las políticas de autorización de ISE se evalúan en función de los atributos del usuario devueltos desde Azure.

Registros de Rest-id:

Registros de puerto: