Configurer TACACS+ pour l'administration de périphériques de Cisco WLC

Introduction

Ce document décrit comment configurer TACACS+ pour l'administration de périphériques du contrôleur LAN sans fil (WLC) Cisco avec Identity Service Engine (ISE).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Connaissances de base d'Identity Service Engine (ISE)
• Connaissances de base du contrôleur LAN sans fil (WLC) Cisco

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Cisco Identity Service Engine 2.4
• Contrôleur LAN sans fil Cisco 8.5.135

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Étape 1. Vérifiez la licence Device Administration.

Accédez à Administration > System > Licensing onglet et vérifiez que la licence Device Admin est installée, comme indiqué dans l'image.

Remarque : une licence d'administration de périphérique est requise pour utiliser la fonctionnalité TACACS+ sur ISE.

Étape 2. Activez l'administration des périphériques sur les noeuds PSN ISE.

Accédez à Work Centers > Device Administration > Overview, cliquez sur Deployment tab, sélectionnez la case d'option Specific PSN Node. Activez Device Administration sur le noeud ISE en cochant la case et cliquez sur Save, comme indiqué dans l'image :

Étape 3. Créez un groupe de périphériques réseau.

Afin d'ajouter le WLC en tant que périphérique réseau sur l'ISE, accédez à Administration > Network Resources > Network Device Groups > All Device Types, créez un nouveau groupe pour le WLC, comme indiqué dans l'image :

Étape 4. Ajoutez le WLC en tant que périphérique réseau.

Accédez à Work Centers > Device Administration > Network Resources > Network Devices. Cliquez sur Add, fournissez Name, IP Address et sélectionnez le type de périphérique comme WLC, sélectionnez la case à cocher TACACS+ Authentication Settings et fournissez la clé Shared Secret, comme indiqué dans l'image :

Étape 5. Créez un profil TACACS pour WLC.

Accédez à Work Centers > Device Administration > Policy Elements > Results > TACACS Profiles. Cliquez sur Add et indiquez un Name. Dans l'onglet Affichage de l'attribut de tâche, sélectionnez WLC pour le type de tâche commun. Il y a des profils par défaut présents à partir desquels sélectionner Monitor pour permettre un accès limité aux utilisateurs, comme montré dans l'image.

Il y a un autre profil par défaut All qui permet l'accès complet à l'utilisateur comme montré dans l'image.

Étape 6. Créer un ensemble de stratégies.

Accédez à Centres de travail > Administration des périphériques > Ensembles de politiques d'administration des périphériques. Cliquez sur (+) et donnez un nom à l'ensemble de stratégies. Dans la condition de stratégie, sélectionnez Device Type comme WLC, les protocoles autorisés peuvent être Default Device Admin, comme illustré dans l'image.

Étape 7. Créez des stratégies d'authentification et d'autorisation.

Dans ce document, deux exemples de groupes Admin-Read-Write et Admin-Read-Only sont configurés sur Active Directory et un utilisateur à l'intérieur de chaque groupe admin1, admin2 respectivement. Active Directory est intégré à l'ISE via un point de jointure nommé AD-JointName.

Créez deux stratégies d’autorisation, comme illustré dans l’image :

Étape 8. Configurez le WLC pour l'administration des périphériques.

Accédez à Security > AAA > TACACS+ cliquez sur New et ajoutez Authentication, Accounting server, comme indiqué dans l'image.

Modifiez l'ordre de priorité et faites TACACS+ en haut et Local en bas, comme illustré dans l'image :

Attention : ne fermez pas la session actuelle de l'interface graphique WLC. Il est recommandé d'ouvrir l'interface utilisateur graphique du WLC dans un navigateur Web différent et de vérifier si la connexion avec les informations d'identification TACACS+ fonctionne ou non. Si ce n'est pas le cas, vérifiez la configuration et la connectivité au noeud ISE sur le port TCP 49.

Vérifier

Accédez à Operations > TACACS > Live logs et surveillez les Live Logs. Ouvrez l'interface graphique WLC et connectez-vous avec les informations d'identification utilisateur Active Directory, comme indiqué dans l'image

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.