Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Configurar

Paso 1. Agregue el WCS a los clientes ACS AAA.

Paso 2. Agregue Cisco Secure ACS como servidor TACACS+ en WCS.

Paso 3. Configure el perfil de shell correcto en ACS.

Paso 4. Configure Cisco Secure ACS para devolver los atributos.

Verificación

Troubleshoot

Información Relacionada

Introducción

Este documento describe cómo utilizar Cisco Secure Access Control Server (ACS) 5.x para configurar la administración de Cisco Wireless Control System (WCS) y de Cisco Prime Network Control System (NCS).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Cisco Wireless Control System

- Sistema de control de red Cisco Prime

- Servidor de control de acceso seguro de Cisco

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco Wireless Control System 7.0.172.0

- Cisco Secure ACS 5.x

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Configurar

Esta configuración de ejemplo describe cómo autenticar a un usuario con TACACS+.

Nota: Aunque existen varias opciones y posibilidades cuando autentica usuarios de WCS/NCS con Cisco Secure ACS 5.x, no todas las combinaciones se describen en este documento. Sin embargo, este ejemplo le proporciona la información necesaria para comprender cómo modificar el ejemplo a la configuración precisa que desea alcanzar.

Paso 1. Agregue el WCS a los clientes ACS AAA.

1. En Cisco Secure ACS, elija Network Resources > Network Devices and AAA Clients.

2. Introduzca un nombre en el campo Nombre.

3. Introduzca la dirección IP de WCS en el campo Dirección IP.

4. En el área Opciones de autenticación, haga clic en la casilla de verificación TACACS+ para habilitar TACACS+, y luego ingrese un término que se utilizará como secreto compartido.

Nota: Este ejemplo utiliza cisco como secreto compartido; sin embargo, por razones de seguridad, debería utilizar un término menos obvio.

Paso 2. Agregue Cisco Secure ACS como servidor TACACS+ en WCS.

1. Inicie sesión en WCS y elija Administration > AAA.

2. Haga clic en TACACS+.

3. Introduzca el término secreto compartido en los campos Secreto compartido y Confirmar secreto compartido.

4. Elija la dirección IP de Cisco ACS en el campo Local Interface IP .

5. En el área de navegación izquierda, haga clic en Modo AAA.

6. Haga clic en el botón de opción TACACS+.

Nota: Por razones de seguridad, Cisco recomienda que elija en caso de fallo de autenticación o ausencia de respuesta del servidor en la lista desplegable Activar a local. Si selecciona esta opción, no podrá quedar bloqueado en caso de que se produzcan problemas. Puede cambiar la opción una vez que todo funcione correctamente.

Paso 3. Configure el perfil de shell correcto en ACS.

Este paso describe cómo configurar Cisco Secure ACS para devolver los atributos correctos para determinar los privilegios de usuario en WCS.

1. En el área de navegación izquierda, haga clic en Grupos.

Aparece una lista de tipos de usuario. En este ejemplo se autentica un usuario del tipo Embajador de vestíbulo.

2. Haga clic en el enlace Lista de tareas situado junto al grupo Embajador de vestíbulo.

Nota: Debe configurar la función de usuario (Embajador de vestíbulo para este ejemplo) y una lista de las tareas que pueden realizar y los elementos de menú a los que pueden acceder. Si utiliza una versión reciente de WCS, también debe configurar el dominio virtual al que pertenecerá el usuario.

3. Elija Administration > Virtual Domain.

4. Haga clic en Exportar.

5. Elija Elementos de Política > Autorización y Permisos > Administración de Dispositivo > Perfiles de Shell para crear un nuevo perfil de shell.

6. Introduzca un nombre significativo (como WCS) y, a continuación, haga clic en la ficha Atributos personalizados.

7. Configure los atributos tal como existen en WCS.

Nota: En las versiones de ACS anteriores al parche 7 de la versión 5.2, puede que tenga problemas al ingresar una tarea que contenga la palabra "alerta". Esto se corrige en las versiones posteriores de ACS. El mismo problema existe en las versiones de Identity Services Engine (ISE) anteriores a la 1.2.

A continuación se muestra un ejemplo de cómo introducir manualmente los atributos:

-type “role0” in the “Attribute” field

-type “LobbyAmbassador” in the Value field

-click the “add” button.

Etc… for the other attributes.

Nota: En ACS 4, fue posible copiar/pegar la lista de atributos desde la GUI de WCS a la GUI de ACS 4. En ACS 5, se deben ingresar uno por uno.

En NCS y Prime Infrastructure, el atributo debe introducirse en un orden muy específico. El pedido es dominio virtual, función y la lista de tareas. Si se introduce en el orden incorrecto, NCS/Prime rechaza la autenticación.

NCS:virtual-domain0=ROOT-DOMAIN

NCS:role0=Super Users

NCS:task0=View Alerts and Events

Paso 4. Configure Cisco Secure ACS para devolver los atributos.

1. Configure un usuario (este ejemplo utiliza Lobbyad) como usuario en ACS.

Nota: Para facilitar la configuración, en este ejemplo se agrega el usuario Lobbyad al grupo de usuarios de WCS. (Este paso es opcional).

2. En Políticas de acceso, en Default Device Admin > Authorization, configure una regla para que coincida con la autenticación de WCS.

3. Si el nombre de usuario pertenece al grupo usuarios de WCS, devuelva el perfil del shell de WCS (que contiene los atributos del grupo).

4. Si desea configurar otros tipos de usuarios (como administradores), debe configurar otro perfil de shell para devolver atributos diferentes. A partir de entonces, debe agrupar administradores en un grupo diferente para diferenciar y saber qué perfil de shell devolver.

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.

Información Relacionada

- Guía de Configuración de Cisco Wireless Control System, Versión 7.0.172.0

- Guía del usuario de Cisco Secure Access Control System 5.2

- Soporte Técnico y Documentación - Cisco Systems