Configuración de la Autenticación y Autorización Externas a través de LDAPS para el Acceso al Administrador SNA

Introducción

Este documento describe la configuración básica de Secure Network Analytics Manager con protocolo ligero de acceso a directorios (LDAP) sobre SSL.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco Secure Network Analytics (anteriormente Stealthwatch)
• Operaciones generales de LDAP y SSL
• Administración general de Microsoft Active Directory

Componentes Utilizados

La información de este documento se basa en estos componentes:

• Cisco Secure Network Analytics Manager (anteriormente SMC) versión 7.3.2
• Windows Server 2016 configurado como controlador de dominio de Active Directory 

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Paso A. Inicie sesión en el controlador de dominio de AD y exporte el certificado SSL utilizado para LDAP

1. Para Windows Server 2012 o posterior, seleccione Ejecutar en el menú Inicio, introduzca certlm.msc y continúe con el Paso 8. 
2. Para versiones anteriores de Windows Server, seleccione Ejecutar en el menú Inicio y, a continuación, escriba mmc.
3. En el menú Archivo, seleccione Agregar o quitar complemento.
4. En la lista Complementos disponibles, seleccione Certificados y, a continuación, haga clic en Agregar.

5. En la ventana del complemento Certificados, seleccione Cuenta de equipo y, a continuación, seleccione Siguiente.

6. Deje Equipo local seleccionado y, a continuación, seleccione Finalizar.

7. En la ventana Agregar o quitar complemento, seleccione Aceptar.

8. Acceda a Certificados (Equipo local) > Personal > Certificados

9. Seleccione y haga clic con el botón derecho del ratón en el certificado SSL utilizado para la autenticación LDAP en el controlador de dominio y haga clic en Abrir.

10. Vaya a la pestaña Detalles > haga clic en Copiar a Archivo > Siguiente

11. Asegúrese de que No, no exportar clave privada está seleccionado y haga clic en Siguiente

12. Seleccione el formato X.509 codificado en Base-64 y haga clic en Next.

13. Seleccione una ubicación para almacenar el certificado, asigne un nombre al archivo y haga clic en Siguiente.

14. Haga clic en Finalizar, debe obtener un "La exportación se realizó correctamente." mensaje.

15. Vuelva al certificado utilizado para LDAPS y, a continuación, seleccione la pestaña Ruta de certificación.

16. Seleccione el emisor de la CA raíz en la parte superior de la ruta de certificación y haga clic en Ver certificado.

17. Repita los pasos 10-14 para exportar el certificado de la CA raíz que firmó el certificado utilizado para la autenticación LDAPS.

Nota: La implementación puede tener una jerarquía de CA de varios niveles, en cuyo caso debe utilizar el mismo procedimiento para exportar todos los certificados intermedios de la cadena de confianza.

18. Antes de continuar, asegúrese de que dispone de un archivo de certificado para el servidor LDAP y para cada entidad emisora de la ruta de certificación: Certificado raíz y certificados intermedios (si procede).

Paso B. Inicie sesión en el Administrador SNA para agregar el certificado del servidor LDAP y la cadena raíz

1. Vaya a Administración central > Inventario.
2. Localice el dispositivo SNA Manager y haga clic en Acciones > Editar configuración del dispositivo.
3. En la ventana Configuración del equipo, navegue hasta Menú de configuración > Almacén de confianza > Agregar nuevo.
4. Escriba el nombre descriptivo, haga clic en Choose File y seleccione el certificado del servidor LDAP, luego haga clic en Add Certificate.
5. Repita el paso anterior para agregar el certificado de CA raíz y los certificados intermedios (si corresponde).
6. Verifique que los certificados cargados sean los correctos y haga clic en Aplicar configuración.

7. Espere a que se apliquen los cambios y a que el estado del jefe sea Activo.

Paso C. Agregar la configuración del servicio LDAP externo

SNA versión 7.2 o posterior

1. Abra el panel principal del jefe y navegue hasta Configuración global > Administración de usuarios.

2. En la ventana Gestión de Usuarios, seleccione la pestaña Autenticación y Autorización.

3. Haga clic en Create > Authentication Service.

4. En el menú desplegable Authentication Service, seleccione LDAP.

5. Rellene los campos obligatorios.

Campo	Notas
Nombre descriptivo	Ingrese un nombre para el servidor LDAP.
Descripción	Introduzca una descripción para el servidor LDAP.
Dirección del servidor	Introduzca el nombre de dominio completo tal y como se especifica en el campo Nombre alternativo del sujeto (SAN) del certificado del servidor LDAP. Si el campo SAN contiene sólo la dirección IPv4, introduzca la dirección IPv4 en el campo Dirección del servidor. Si el campo SAN contiene el nombre DNS, introduzca el nombre DNS en el campo Dirección del servidor. Si el campo SAN contiene tanto valores DNS como IPv4, utilice el primer valor de la lista.
Puerto	Introduzca el puerto designado para la comunicación LDAP segura (LDAP sobre TLS). El puerto TCP conocido para LDAPS es 636.
Enlazar usuario	Introduzca el ID de usuario utilizado para conectarse al servidor LDAP. Por ejemplo: CN=admin,OU=Corporate Users,DC=ejemplo,DC=com Nota: Si ha agregado los usuarios a un contenedor de AD integrado (por ejemplo, "Usuarios"), el DN de enlace del usuario de enlace debe tener el nombre canónico (CN) establecido en la carpeta integrada (por ejemplo, CN=nombre de usuario, CN=Usuarios, DC=dominio, DC=com). Sin embargo, si ha agregado los usuarios a un nuevo contenedor, el DN de enlace debe tener la unidad organizativa (OU) establecida en el nuevo nombre de contenedor (por ejemplo, CN=nombre de usuario, OU=Usuarios corporativos, DC=dominio, DC=com). Nota: Una forma útil de encontrar el DN de enlace del usuario de enlace es consultar Active Directory en un servidor Windows que tenga conectividad con el servidor de Active Directory. Para obtener esta información, puede abrir un símbolo del sistema de Windows y escribir el comando dsquery user dc=<distinguido>,dc=<nombre> -name <usuario>. Por ejemplo: dsquery user dc=example,dc=com -name user1. El resultado es similar a "CN=user1,OU=Corporate Users,DC=example,DC=com"
Contraseña	Introduzca la contraseña de enlace de usuario utilizada para conectarse al servidor LDAP.
Cuentas Base	Introduzca el nombre distinguido (DN). El DN se aplica a la rama del directorio en la que deben comenzar las búsquedas de usuarios. Suele ser la parte superior del árbol de directorios (su dominio), pero también puede especificar un árbol secundario dentro del directorio. El usuario de enlace y los usuarios que se pretende autenticar deben ser accesibles desde Cuentas Base. Por ejemplo: DC=ejemplo,DC=com

6. Haga clic en Guardar.

7. Si la configuración introducida y los certificados agregados al almacén de confianza son correctos, recibirá un You've successfully saved your changes anuncio.

8. El servidor configurado debe mostrarse en User Management > Authentication and Authorization.

SNA versión 7.1

1. Vaya a Administración central > Inventario.
2. Localice el dispositivo SMC y haga clic en Acciones > Editar configuración del dispositivo.
3. En la ventana Configuración del equipo, navegue hasta Menú de configuración > Configuración LDAP > Agregar nuevo.
4. Complete los campos requeridos como se describe en SNA Versión 7.2 o posterior Paso 5.

5. Haga clic en Agregar.

6. Haga clic en Aplicar configuración.

7. Una vez que la configuración introducida y los certificados agregados al almacén de confianza son correctos, se aplican los cambios en el administrador y el estado del dispositivo debe ser Activo.

Paso D. Configuración de los parámetros de autorización.

SNA admite la autorización local y remota a través de LDAP. Con esta configuración, los grupos LDAP del servidor AD se asignan a roles SNA integrados o personalizados.

Los métodos de autenticación y autorización admitidos para SNA a través de LDAP son:

• Autenticación remota y autorización local
• Autenticación remota y autorización remota (sólo compatible con la versión 7.2.1 o posterior de SNA)

Autorización local

En este caso, los usuarios y sus roles deben definirse localmente. Para lograrlo, proceda como se indica a continuación.

1. Vaya a User Management nuevamente, haga clic en la pestaña Users > Create > User.

2. Defina el nombre de usuario para autenticar con el servidor LDAP y seleccione el servidor configurado del menú desplegable Authentication Service.

3. Defina los permisos que el usuario debe tener sobre el Administrador una vez que éste haya sido autenticado por el servidor LDAP y haga clic en Guardar.

Autorización remota a través de LDAP

La autenticación remota y la autorización a través de LDAP se admitieron por primera vez en Secure Network Analytics versión 7.2.1.

Nota: La versión 7.1 no admite la autorización remota con LDAP.

Es importante mencionar que si un usuario está definido y habilitado localmente (en el Administrador), entonces el usuario es autenticado remotamente, pero autorizado localmente. El proceso de selección de usuarios es el siguiente:

1. Una vez introducidas las credenciales en la página de bienvenida, el jefe busca un usuario local con el nombre especificado.
2. Si se encuentra un usuario local y está habilitado, se autentica de forma remota (si se configuró previamente la autenticación remota a través de LDAP con autorización local) pero se autoriza con la configuración local.
3. Si la autorización remota está configurada y habilitada, y el usuario no se encuentra localmente (no está configurado o deshabilitado), tanto la autenticación como la autorización se realizan de forma remota.

Por esta razón, los pasos para configurar con éxito la Autenticación remota se describen a continuación.

Paso D-1. Inhabilite o elimine los usuarios que pretenden utilizar la autorización remota pero que están definidos localmente

1. Abra el panel principal del administrador y navegue hasta Configuración global > Administración de usuarios.
2. Desactive o elimine los usuarios (si existen) que pretenden utilizar la autenticación y autorización remotas a través de LDAP, pero que están configurados localmente.

Paso D-2. Defina los grupos cisco-stealthwatch en el servidor de Microsoft AD.

Para la autenticación externa y la autorización a través de usuarios LDAP, las contraseñas y los grupos de cisco-stealthwatch se definen remotamente en Microsoft Active Directory. Los grupos cisco-stealthwatch que se definirán en el servidor de AD están relacionados con las diferentes funciones que SNA tiene, deben definirse de la siguiente manera.

Función SNA	Nombre de grupo(s)
Administrador principal	cisco-stealthwatch-master-admin
Función de datos	cisco-stealthwatch-all-data-read-and-write cisco-stealthwatch-all-data-read-only cisco-stealthwatch-<custom> (opcional) Nota: Asegúrese de que los grupos de funciones de datos personalizados comiencen por "cisco-stealthwatch-".
Función funcional web	cisco-stealthwatch-configuration-manager cisco-stealthwatch-power-analyst cisco-stealthwatch-analyst
Función funcional de escritorio	cisco-stealthwatch-desktop-stealthwatch-power-user cisco-stealthwatch-desktop-configuration-manager cisco-stealthwatch-desktop-network-engineering cisco-stealthwatch-desktop-security-analyst cisco-stealthwatch-desktop-<custom> (opcional) Nota: Asegúrese de que los grupos de funciones funcionales de escritorio personalizados comiencen por "cisco-stealthwatch-desktop-".

Nota: Como se ha descrito anteriormente, se admiten grupos personalizados para "Rol de datos" y "Rol funcional de escritorio" siempre que el nombre del grupo vaya precedido de la cadena adecuada. Estos roles y grupos personalizados deben definirse tanto en el Administrador SNA como en el servidor de Active Directory. Por ejemplo, si define una función personalizada "custom" en el Administrador de SNA para una función de cliente de escritorio, se debe asignar a cisco-stealthwatch-desktop-custom en Active Directory.  Tenga en cuenta que, aunque es posible crear roles y grupos con valores numéricos presentes en este, esto interrumpe el registro LDAP/TACACS con una excepción (IllegalRolesException).  Este defecto se documenta con el ID de bug de Cisco CSCww00167 . .  Por este motivo, se recomienda NO utilizar valores numéricos al crear estos roles o grupos.

Paso D-3. Defina las asignaciones de grupos de autorización LDAP para los usuarios

Una vez que se han definido los grupos cisco-stealthwatch en el servidor de AD, podemos asignar los usuarios que pretenden tener acceso al Administrador de SNA a los grupos necesarios. Esto debe hacerse de la siguiente manera.

• Un usuario Primary Admin debe asignarse al grupo cisco-stealthwatch-master-admin y no debe ser miembro de ningún otro grupo cisco-stealthwatch.

• Cada usuario, que no sea el administrador principal, debe asignarse a un grupo de cada función con las siguientes condiciones.

1. Función de datos: El usuario sólo debe estar asignado a un grupo.
2. Rol funcional del Web: El usuario debe estar asignado a al menos un grupo.
3. Función funcional del escritorio: El usuario debe estar asignado a al menos un grupo.

Paso D-4. Habilite la autorización remota vía LDAP en el Administrador SNA.

1. Abra el panel principal del administrador y navegue hasta Configuración global > Administración de usuarios.
2. En la ventana Administración de usuarios, seleccione la pestaña Autenticación y autorización.
3. Localice el servicio de autenticación LDAP que fue configurado en el Paso C.
4. Haga clic en Acciones > Habilitar Autorización Remota.

Nota: Solo puede haber un servicio de autorización externo en uso a la vez. Si otro servicio de autorización ya está en uso, se deshabilita automáticamente y se habilita el nuevo; sin embargo, todos los usuarios autorizados con el servicio externo anterior finalizan la sesión. Se muestra un mensaje de confirmación antes de que se lleve a cabo cualquier acción.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Los usuarios pueden iniciar sesión con las credenciales definidas en el servidor de AD.

La segunda etapa de verificación se refiere a la autorización. En este ejemplo, el usuario "user20" se convirtió en miembro del grupo cisco-stealthwatch-master-admin en el servidor de AD y puede confirmar que el usuario tiene permisos de administrador principal. El usuario no está definido en los usuarios locales, por lo que puede confirmar que el servidor de AD envió los atributos de autorización.

La misma verificación se realiza para el otro usuario en este ejemplo "snauser10". Puede confirmar la autenticación correcta con las credenciales configuradas en el servidor de AD.

Para la verificación de la autorización, dado que este usuario no pertenece al grupo de administradores principal, algunas características no están disponibles.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

Si la configuración del servicio de autenticación no se puede guardar correctamente, compruebe que:

1. Ha agregado los certificados adecuados del servidor LDAP al almacén de confianza del administrador.
2. La dirección del servidor configurada es la especificada en el campo Nombre alternativo del sujeto (SAN) del certificado del servidor LDAP.

   • Si el campo SAN contiene sólo la dirección IPv4, introduzca la dirección IPv4 en el campo Dirección del servidor.

   • Si el campo SAN contiene el nombre DNS, introduzca el nombre DNS en el campo Dirección del servidor.

   • Si el campo SAN contiene tanto valores DNS como IPv4, utilice el primer valor de la lista.

3. Los campos Bind User y Base Account configurados son correctos, según lo especificado por el controlador de dominio de AD.

Información Relacionada

• Para obtener asistencia adicional, póngase en contacto con el centro de asistencia técnica Cisco Technical Assistance Center (TAC). Se necesita un contrato de asistencia válido: Contactos de asistencia globales de Cisco.
• Soporte Técnico y Documentación - Cisco Systems

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	02-Feb-2022	Versión inicial