Configuration de Passive Identity Agent à l'aide de FMC

Options de téléchargement

  • PDF     (4.8 MB)
    Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
  • ePub     (4.7 MB)
    Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
  • Mobi (Kindle)     (3.1 MB)
    Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils
Mis à jour:16 juillet 2026
ID du document:226169

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Introduction

Ce document décrit comment configurer l'agent d'identité passif Source qui envoie des données de session à FMC

Conditions préalables

Exigences

  • Cisco Secure Firewall Management Center version 7.6+
  • Cisco Secure Firewall version 7.6+
  • Serveur Windows Active Directory, le serveur doit exécuter Windows Server 2008 ou version ultérieure.
  • Vous devez activer Snort 3 sur les périphériques Secure Firewall Threat Defense.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

  • Cisco Secure Firewall Management Center 7.6.5
  • Cisco Secure Firewall 7.6.5
  • Microsoft Active Directory exécuté sur Windows Server 2022.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configurations

Avant de configurer l'agent, veuillez terminer l'intégration d'AD et de FMC.

Configuration d'une source d'agent d'identité passive

Dans l'interface utilisateur de FMC, accédez à Intégration > Autres intégrations > Sources d'identité, cliquez sur Agent d'identité passif.  Si le connecteur d'attributs dynamiques sécurisés Cisco n'a pas encore été activé, vous êtes invité à le faire en cliquant sur Activer CSDAC.

Passive Identity AgentAgent d'identité passif

Cliquez sur le bouton Activer pour activer le CSDAC.

Enable CSDACActiver CSDAC

Cette étape prend environ 10 minutes. Une fois que le CSDAC est correctement activé, cliquez sur le bouton Terminer pour continuer.

CSDAC EnabledCSDAC activé

Cliquez sur le bouton Créer un agent.

Create AgentCréer un agent

Définissez un nom pour l'agent, sélectionnez l'option Autonome et associez-la au contrôleur de domaine approprié créé dans la tâche précédente.

Configure AgentConfigurer l'agent

Cliquez sur le bouton Enregistrer.

Save the ConfigurationEnregistrez la configuration

Le résultat .

Verify the StatusVérifier l'état

note-icon

Remarque : L'agent d'identité passif indique l'état à l'aide de lignes, l'orange signifie que l'agent n'a jamais communiqué avec le Centre de gestion du pare-feu sécurisé. Une ligne d'agent nouvellement créée est orange et le reste jusqu'à ce que la configuration soit terminée.

Création d'un utilisateur d'Identity Agent passif sur le Secure Firewall Management Center

Créez un utilisateur Secure Firewall Management Center disposant des autorisations suffisantes pour communiquer avec l'agent d'identité passif. Cet utilisateur dispose de privilèges limités pour effectuer d'autres tâches ; l'utilisateur doit uniquement activer la communication avec l'agent d'identité passif.

Dans l'interface utilisateur de FMC, accédez à Système > Utilisateurs et cliquez sur Créer un utilisateur. Renseignez les détails de l'utilisateur en fonction des exigences de la tâche.

Create UserCréer un utilisateur

Attribuez uniquement le rôle d'utilisateur Identité passive. Cliquez sur le bouton Enregistrer.

Select the Passive Identity Usersélectionnez l'utilisateur d'identité passive

Installation et configuration du logiciel Passive Identity Agent

Installez et configurez le logiciel Passive Identity Agent sur le contrôleur de domaine désigné.

Téléchargez l'agent d'identité passif depuis software.cisco.com.

Download the Softwaretélécharger le logiciel

Après avoir téléchargé l'agent, commencez le processus d'installation sur le contrôleur de domaine.

Agent Downloadspréposé]

Reportez-vous aux instructions d'installation fournies pour terminer la configuration.

InstallInstall 

Une fois l'installation terminée, ouvrez le logiciel Passive Identity Agent et entrez les informations requises comme indiqué dans les exigences de la tâche. Cliquez sur le bouton Test pour vérifier la connectivité avec le FMC.

Configure the Agentconfigurez l'agent.

Après avoir testé la connectivité, cliquez sur le bouton Enregistrer.

Testépreuve

Cliquez sur le bouton OK pour terminer la configuration de l'agent.

Agent is Runningl'agent est en cours

Dans l'interface utilisateur de FMC, accédez à Intégration > Autres intégrations > Sources d'identité > Agent d'identité passif. Vérifiez que l'agent d'identité passif affiche un état vert.

Verify the Communication from FMCvérification de la communication de fmc

Configurer les stratégies d'identité

Créez une politique d'identité basée sur la table fournie.

Nom de stratégie

Nom de règle

Domaine d'authentification

Paramètres restants

LAB-Identity-Policy

Règle1

Domaine de travaux pratiques

Laisser par défaut

Dans l'interface utilisateur de FMC, accédez à Politiques > Contrôle d'accès > Identité. Cliquez sur le bouton Nouvelle stratégie.

Create New Policynouvelle police

Entrez le nom de la stratégie en fonction des exigences de la tâche.

New Identity Policynouvelle police

Cliquez sur le bouton Ajouter une règle.

Create Rulecréer une règle

Accédez à l'ongletDomaine et paramètres et sélectionnez le domaine d'authentification en fonction des exigences de tâche. Enfin, cliquez sur le bouton Ajouter.

Realm SettingParamètre du domaine

Cliquez sur le bouton Enregistrer.

Save the Configenregistrez la configuration

Configurer les stratégies de contrôle d'accès

Liez la stratégie d'identité à la stratégie de contrôle d'accès et créez une règle de stratégie d'accès avec les attributs suivants :

Nom d'attribut

Valeur

Nom de règle

Règle1

Action

Allow

Zone source

Intérieur

Zone de destination

Extérieur

Réseaux sources

10.10.10.0/24

Réseaux de destination

10.48.62.98/32

Service

Port de destination TCP 80 (HTTP)

Utilisateurs

LAB-Realm/GROUPE1

Journalisation

À la fin de la connexion

Étape 1. Lier la stratégie d’identité à la stratégie de contrôle d’accès

Dans l'interface utilisateur de FMC, accédez à Politiques > Contrôle d'accès > Contrôle d'accès. Cliquez sur le bouton Modifier correspondant à votre stratégie.

Edit PolicyModifier la stratégie

Accédez à la section Identité et liez la politique d'identité créée dans la tâche précédente.

Add Identity Policyajouter une stratégie d'identité

Cliquez sur le bouton Appliquer

Étape 2 : création de la règle de contrôle d’accès.

Create ACPcréer ACP

Entrez les détails en fonction des exigences de la tâche et, plus important encore, sous l'onglet Utilisateurs, addGROUP1fromLAB-Realm.

Add Users in the Ruleajouter des utilisateurs à la règle

Activez la journalisation pour la règle en sélectionnant Log à la fin de la connexion.

Enable Loggingactiver la journalisation

Étape 3 : activation de la journalisation de l'action par défaut

Cliquez sur cette icône pour modifier les paramètres de consignation des actions par défaut.

Apply Enable LoggingActiver la journalisation

Enregistrer et déployer la configuration sur le FTD.

Vérification

Vérifiez l'opération d'identité passive en confirmant que le trafic est autorisé exclusivement pour ftd.

Connectez-vous à l'utilisateur du domaine à partir de l'ordinateur utilisateur.

User Log Inlogin utilisateur

Une fois qu'un utilisateur s'est connecté avec succès, vérifiez à partir de FMC sous Analysis> user >active session pour afficher les détails de l'utilisateur actif.

Active SessionsSessions actives

Après avoir initié une vérification du trafic à partir des événements de connexion, consultez les détails de l'utilisateur dans les événements de connexion.

Active Sessions Table ViewSessions actives

Dépannage

Vérification des journaux des agents

Sur l'ordinateur Windows hébergeant l'agent, ouvrez Task Manager et vérifiez que le processus en arrière-planCiscoPassiveIdentityAgentService est en cours d'exécution.

Running TaskTâche en cours

Les journaux de l'agent se trouvent dans les fichiers CiscoPassiveIdentityAgent, situés par défaut à l'adresse suivante : "C:\Program Fichiers (x86)\Cisco\Cisco Passive Identity Agent\".

Agentpréposé

Par défaut, les journaux de l'agent sont définis sur le niveauINFO. Pour activer la journalisation de niveau DEBUG, modifiez le fichierCiscoPassiveIdentityAgentService.exe.configfile et définissez le niveau de journalisation sur ALLouDEBUG.

Agent Configconfiguration de l'agent

 

Info Logjournal d'information

Vérification des journaux des agents - Récupérer la configuration des agents.

INFO Rest Client, Bulk Events : [f"domain":"games.cisco.com", "srcIpAddress": "X.X.X.X", "utilisateur" : "fdm", "timestamp" : "01/07/2026

INFO Rest Client, état du mappage : OK

INFO Rest Client, REST post successful for userBatch fdm, latency = 0, current DC TIME in UTC : 01/07/2026 19:47:34 UTILISATEUR connecté

INFO Rest Client, Demande de configuration de l'agent

Journaux FMC

Exécutez cette commande pour vérifier si le mappage utilisateur-IP a été reçu de l'agent.

FMC Outputsortie fmc

Si la commande précédente n'affiche aucun mappage, collectez ces journaux et contactez le centre d'assistance technique Cisco.

Il s’agit d’une liste de journaux pertinents pour l’API FMC. La grue de quenouilles les englobe toutes.

  • /var/log/auth-daemon.log
  • /var/log/messages
  • /var/log/process_stdout.log
  • /var/log/process_stderr.log

Historique de révision

Révision Date de publication Commentaires
1.0
16-Jul-2026
Première publication
TAC Authored

Contribution d’experts de Cisco

  • Sakthivel Thirupathy
    Ingénieur-conseil technique

Ce document vous est-il utile?

FeedbackCommentaires

Contacter Cisco

Ce document s’applique à ces produits