Configurer Azure Entra Captive Portal sur Secure Firewall

Introduction

Ce document décrit la configuration de Microsoft Azure Entra ID pour une utilisation avec un portail captif (authentification active) sur Cisco Secure Firewall.

Conditions préalables

Exigences

Cisco recommande de connaître les sujets suivants :

• SAML (Security Assertion Markup Language)
• Microsoft Azure
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defense (FTD)

Vous devez disposer du niveau tarifaire Standard dans Azure pour la création du hub d'événements. En outre, les périphériques doivent être activés avec Smart Licensing activé avec la fonctionnalité de contrôle des exportations.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Cisco Secure FTD version 10.0
• Cisco Secure FMC version 10.0

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Alors que les architectures de sécurité IP traditionnelles ont du mal à s'adapter aux environnements de travail hybrides et dynamiques, l'authentification active Cisco Secure Firewall avec intégration SAML offre une solution robuste et axée sur l'identité. En utilisant Microsoft Entra ID (Azure AD) comme fournisseur d'identité centralisé, cette configuration permet aux administrateurs de dépasser les règles réseau statiques et d'appliquer un contrôle d'accès granulaire basé sur l'identité vérifiée de l'utilisateur plutôt que sur des adresses réseau volatiles. Cette intégration rationalise l'expérience utilisateur grâce à l'authentification unique (SSO) transparente et à l'authentification multifacteur (MFA) obligatoire, tout en garantissant une position de sécurité unifiée qui maintient une visibilité et une application des politiques strictes sur un réseau sans périmètre.

Diagramme

Portail captif entre Endpoint, FTD et Azure Entra

Portail Captif Entre EndPoint Et Azure Entra

Configurer

Phase 1 : Configuration initiale de FMC et DNS

Remarque : Ces travaux pratiques utilisent le centre de gestion des pare-feu (cdFMC) fourni dans le cloud ; toutefois, les étapes restent les mêmes pour le FMC sur site.

Étape 1: Activer le connecteur d'attributs dynamiques Cisco (CSDAC)

1) Choisissez Integrations > Dynamic Attributes Connector.

Choisir des intégrations Attributs dynamiques Connecteur

2) Cliquez sur le contrôle adjacent à la chaîne Disabled pour activer CSDAC.

Activer le connecteur d'attributs dynamiques Cisco

c) Cliquez sur Done une fois l'activation CSDAC terminée.

État du connecteur Activer les attributs dynamiques Cisco

Étape 2: Créer un objet réseau de nom de domaine complet représentatif de l'interface d'entrée FTD

1) Choisissez Objects > Add Network > Add Object.

Créer un nouvel objet réseau de nom de domaine complet

2) Nommez l'objet réseau configuré avec le nom de domaine complet (FQDN). Saisissez le nom de domaine complet et affectez l'objet réseau comme type de nom de domaine complet en cliquant sur la case d'option appropriée. Cliquez sur Save.

Configurer les variables d'objet réseau FQDN

Étape 3: Configuration de l'enregistrement DNS A

1) L'exemple présenté ici utilise Windows Server 2025 ; reportez-vous à la documentation du serveur de résolution de noms spécifique, si nécessaire. 

Configuration de l'enregistrement DNS A de Windows Server

Remarque : Le client qui effectue l'authentification active doit être en mesure de résoudre cet enregistrement DNS A.

Phase 2 : Configuration d'infrastructure à clé publique

Une autorité de certification (CA) interne peut être utilisée comme infrastructure à clé publique (PKI) pour la configuration d'authentification active. Cisco FMC et FTD exigent que la clé publique d'autorité de certification interne et la clé privée appariée soient téléchargées en tant qu'objet d'autorité de certification interne pour effectuer les opérations d'interception SSL et de déchiffrement-déconnexion nécessaires. En outre, l'autorité de certification interne doit être approuvée dans le navigateur client à partir duquel l'authentification active est effectuée. Reportez-vous à la documentation du navigateur client pour vérifier comment confirmer que le navigateur approuve le certificat.

Étape 1: Importer le certificat CA interne dans le FMC

1) Choisissez Objects > PKI > Internal CAs. Cliquez sur Import CA.

Remarque : L'autorité de certification interne peut également être créée directement sur le FMC.

Importer L'Autorité De Certification Interne Vers Le Centre De Gestion Du Pare-Feu

Remarque : Dans le contenu de ce document, un espace blanc apparaît couvrant les différentes valeurs de champ dans les images et est intentionnel par la publication de ce document. Les valeurs réelles sont reflétées pour votre environnement lors de la configuration.

Étape 2: Signer le certificat du fournisseur de services avec l'autorité de certification

1) Le certificat du fournisseur de services (SP) doit être signé par une autorité de certification (CA) approuvée et renvoyé dans un format PKCS#12 (.p12).

Remarque : Cette CA peut être signée en interne. La seule mise en garde est que l'autorité de certification interne doit être approuvée par le périphérique client.

Étape 3: Déployer le certificat SP sur le FTD

1) Choisissez Devices > Certificates.

Accédez À Périphériques Et Certificats

2) Cliquez sur Add Certificates.

Ajouter un nouveau certificat de périphérique

3) Cliquez sur le périphérique dans la liste déroulante qui exécute l'authentification active, puis cliquez sur l'icône + pour créer une nouvelle inscription de certificat.

Sélectionner FTD et ajouter une nouvelle inscription de certificat

4) Attribuez un nom à l'inscription de certificat et, dans la liste déroulante Type d'inscription, sélectionnez Fichier PKCS12.

Paramètres Et Type D'Inscription De Certificat

5) Importez le fichier PKCS#12 en cliquant sur Browse PKCS12 File et en saisissant la phrase de passe requise. Cliquez sur Save.

Parcourir et importer un fichier PKCS12

6) Confirmez que les détails de l'inscription sont corrects et cliquez sur Add.

Confirmer les détails d'inscription de certificat

7) L'importation reflète En cours.

Une fois l'importation terminée, les informations de certificat SP peuvent être validées en cliquant sur l'icône ID du certificat configuré.

État d'importation de certificat en cours

Phase 3 : Configuration Azure

Étape 1: Création de l'application Entreprise Entra pour le kit d'outils SAML

1) Recherchez et cliquez sur Applications d'entreprise.

Rechercher Et Accéder Aux Applications D'Entreprise

2) Cliquez sur + Nouvelle application.

Sélectionner une nouvelle application dans les applications d'entreprise

3) Recherchez le Microsoft Entra SAML Toolkit et cliquez sur la miniature correspondante.

Rechercher et sélectionner Microsoft Entra SAML Toolkit

4) Attribuez un nom à l'application Microsoft Entra SAML Toolkit Enterprise et cliquez sur Créer. (Référence de Microsoft : Lisez notre didacticiel détaillé sur l'intégration de Microsoft Entra SAML Toolkit).

Attribuer un nom à l'application SAML Toolkit

5) Sur la page Overview, affectez les utilisateurs et groupes spécifiques à l'application d'entreprise SAML Toolkit. Dans cet exemple, le compte de test (captive-portal-user) est membre du groupe active-auth-lab.

Affecter Des Utilisateurs Et Des Groupes À L'Application

6) La configuration de cette application d'entreprise se poursuit dans les étapes suivantes.

Étape 2: Configurer les inscriptions d'application Entra ID

1) Revenez à Entra ID et dans le menu de navigation de gauche, choisissez App registrations. Cliquez sur le filtre Toutes les applications et recherchez le nom donné à l'application d'entreprise. Cliquez sur l'application appropriée.

Accédez Aux Inscriptions D'Applications Et À Toutes Les Applications

2) Collectez et notez les valeurs Essentials sous l'enregistrement de l'application d'entreprise.

Important : Passez le curseur sur les valeurs pour afficher Copier dans le Presse-papiers et collecter les valeurs sous Essentials sur la page Overview :

• Nom d’affichage
• ID d'application (client)
• ID de répertoire (locataire)

Collecter Les Valeurs D'Affichage, D'Application Et D'ID Répertoire

3) Cliquez sur le lien hypertexte Ajouter un certificat ou un secret.

Ajouter Un Lien Hypertexte Certificat Ou Secret

4) Cliquez sur + New client secret.

Ajouter un nouveau secret client

5) Fournissez une description du secret et ajustez l'expiration si nécessaire. Cliquez sur Ajouter.

Fournir Une Description Pour Le Secret Client

6) Copiez le secret.

Important : Notez la valeur secrète copiée dans le Presse-papiers.

Copier la valeur secrète du client

Étape 3 : configuration des autorisations de l'API Microsoft Graph pour l'enregistrement des applications

1) Choisissez API Permissions dans le menu de navigation de gauche, puis cliquez sur + Add a permission.

Configurer les autorisations API

2) Cliquez sur Microsoft Graph API.

Sélectionnez l'API Microsoft Graph

3) Octroyer des autorisations d'utilisateur délégué.Lisez, puis cliquez sur Ajouter des autorisations.

Accorder des autorisations de lecture aux utilisateurs délégués

4) Accordez à Application User.Read.All les autorisations (cochez la case).

Accorder toutes les autorisations de lecture de demande

5) Recherchez et cochez la case Group.Read.All pour accorder également des autorisations de lecture au groupe. Cliquez sur Ajouter des autorisations.

Enregistrer les autorisations API

6) Confirmez que les autorisations configurées sont alignées et accordez-leur le consentement administratif.

Accorder Le Consentement Administratif Pour Les Autorisations

7) Le résultat, une fois le consentement de l'administrateur accordé, est affiché.

Résultat du consentement administratif accordé

Étape 4: Configuration de l'espace de noms Event Hub (EH)

1) Recherchez et cliquez sur Event Hubs.

Configuration du concentrateur d'événements

2) Créez un nouvel espace de noms EH.

Créer un espace de noms Event Hub

3) Configurez l'espace de noms EH.

Remarque : Le niveau de tarification Standard ou supérieur doit être sélectionné. Le niveau de tarification de base empêche l'utilisation du domaine.

Consultez la documentation Azure Event Hub pour plus d'informations sur les paramètres avancés du hub d'événements et leur applicabilité à des besoins spécifiques.

Cliquez sur Vérifier + Créer.

Configuration des paramètres d'espace de noms Event Hub

4) Une fois la validation réussie, cliquez sur Créer.

Déploiement de l'espace de noms Event Hub

5) Confirmez que le déploiement est terminé, puis cliquez sur Accéder à la ressource.

Accéder à la ressource Espace de noms Event Hub

Étape 5: Choisir ou créer des politiques d'accès partagé dans l'espace de noms Event Hub

1) Dans le menu de navigation de gauche, choisissez Settings > Shared access policies.

Accéder Aux Stratégies D'Accès Partagé

2) Cliquez sur + Add et entrez le nouveau nom de stratégie, puis cochez la case Manage. Cliquez sur Create au bas du panneau de menu Add SAS Policy.

Ajouter une nouvelle stratégie d'accès partagé

Créer une stratégie d'accès partagé

Étape 6: Collecter et noter les informations de signature d'accès partagé (SAS) de l'espace de noms EH

1) Cliquez sur la nouvelle politique d'accès partagé ; la politique EH SAS apparaît dans le panneau latéral de droite.

Copier la chaîne de connexion principale

Important : Copiez et notez la chaîne de connexion principale.

Étape 7: Création d'une instance Event Hub dans l'espace de noms Event Hub

1) Dans le menu Namespace, choisissez Entities > Event Hubs. Cliquez sur + Event Hub pour créer une nouvelle instance EH.

Créer une nouvelle instance Event Hub

2) Attribuez un nom à la nouvelle instance EH, puis cliquez sur Vérifier + créer.

Attribuer un nom à l'instance Event Hub

3) Une fois la validation réussie, cliquez sur Create pour provisionner l'instance Event Hub.

Provisionner l'instance Event Hub

Important : Copiez et notez le nom de l'instance Event Hub.

Étape 8: Créer un groupe de consommateurs d'instances Event Hub dans l'espace de noms Event Hub

1) Cliquez sur la nouvelle instance EH configurée à l'étape précédente.

Configuration de l'instance du concentrateur d'événements Access

2) Dans l'instance EH, choisissez Entités > Groupes de consommateurs, puis créez un nouveau groupe de consommateurs.

Créer un groupe de consommateurs

3) Nommez le groupe de consommateurs et cliquez sur Créer.

Attribuer un nom au groupe de consommateurs

Important : Copiez et notez le nom du groupe de consommateurs de l'instance Event Hub.

Étape 9: Vérifier les valeurs collectées

1) A ce stade, ces valeurs des étapes précédentes sont à noter. Si aucune valeur n'a été enregistrée, veuillez indiquer l'étape applicable où elle est collectée :

• Phase 3 Étape 2 - Enregistrement de l'application (de l'application d'entreprise créée pour ce processus, référencée par le nom d'affichage collecté)
  • Étape 2, sous-étape 2
    • Nom d’affichage 
    • ID d'application (client)
    • ID du répertoire (locataire)
  • Étape 2, sous-étape 6
    • Secret client
• Phase 3 Étape 6 - Event Hub
  • Étape 6, sous-étape 1
    • Espace de noms EH
      • Chaîne de connexion principale
  • Étape 7, sous-étape 3
    • Nom de l'instance EH (Event Hub)
  • Étape 8, sous-étape 3
    • Nom du groupe de consommateurs EH

Étape 10: Configuration de la diffusion en continu du journal d'audit Entra ID vers Event Hub

1) Revenez à la configuration du client Entra ID.

Rechercher Et Accéder À La Configuration De L'ID Client

2) Dans le menu de gauche, choisissez Monitoring > Diagnostic Settings.

Surveillance des paramètres de diagnostic

3) Choisissez Diagnostic settings > General et cliquez sur + Add diagnostic setting.

Ajouter un nouveau paramètre de diagnostic

4) Attribuez le nom requis au paramètre de diagnostic, cochez la case AuditLogs pour consigner et la case Stream to an event hub. Référez-vous aux valeurs notées dans les configurations précédentes et cliquez sur Save lorsque vous avez terminé.

Diffuser Les Journaux D'Audit Vers Event Hub

Phase 4 : Consolider la configuration d'authentification active Azure et FMC/FTD

Étape 1: Configurer le domaine Azure SAML/Entra ID à l'aide de l'Assistant FMC

1) Dans FMC, choisissez Integrations > Identity > Realms.

Configuration des domaines d'identité

2) Cliquez sur la liste déroulante Ajouter un domaine, et choisissez SAML - Azure AD.

Ajouter un domaine SAML Azure AD

3) Attribuez un nom et une description au domaine Azure pour décrire son utilisation et assurez-vous que l'option S'authentifier passivement avec Azure AD ou utiliser un portail captif avec Azure AD est sélectionnée dans la liste déroulante Type de configuration. Cliquez sur Suivant.

Configurer les paramètres du domaine Azure AD

4) Sélectionnez l'objet FQDN précédemment configuré comme URL de base. Entrez l'ID d'entité avec le format de chaîne affiché :

https://<fqdn-base-url>/<uniqueSuffix>

• Lorsque le suffixe ID d'entité SAML est configuré (souligné en vert dans l'exemple de configuration suivant), assurez-vous que le suffixe est unique parmi les autres implémentations SSO de l'environnement. Cette valeur doit également correspondre à la configuration Azure SAML. L'URL de base reste la même dans toute la configuration.
• L'URL ACS (Assertion Consumer Services) est renseignée automatiquement et est immuable.
• Sélectionnez le certificat de fournisseur de services (SP) inscrit aux étapes précédentes du workflow dans FMC sous Périphériques > Certificats.
• Une fois ces valeurs entrées, cliquez sur Download Service Provider Metadata pour faciliter le processus de configuration et confirmer que les valeurs attendues sont écrites dans Azure.

Configurer l'URL de base et l'ID d'entité et télécharger les métadonnées SAML

5) Cliquez sur Next pour passer à la séquence 3 de la configuration du domaine.

Étape 2: Implémenter les métadonnées SAML SP configurées par FMC dans l'application Azure Enterprise

1) Revenez à Azure et choisissez Entra ID > Manage > Enterprise Applications. Recherchez l'instance précédemment créée de l'application d'entreprise Microsoft Entra SAML Toolkit.

Localiser l'application Microsoft Entra SAML Toolkit

2) Dans le menu de navigation latérale, sélectionnez Manage > Single Sign-On.

Gérer la configuration SSO

3) Cliquez sur le mode SSO (Single Sign-On) SAML.

Sélection du mode d'authentification unique SAML

4) Cliquez sur Upload metadata file et cliquez sur l'icône de dossier bleue pour parcourir votre système de fichiers local et rechercher le fichier de métadonnées SAML téléchargé depuis FMC.

Télécharger un fichier de métadonnées depuis Firewall Management Center

5) Une fois le téléchargement terminé, cliquez sur Add.

Ajouter une application de configuration SAML

6) Le panneau latéral de la configuration SAML de base s'affiche et des valeurs telles que l'identificateur (ID d'entité) et l'URL ACS sont extraites du fichier XML de métadonnées SP généré par FMC et téléchargées et appliquées automatiquement. Cependant, l'URL de connexion n'est pas renseignée et est requise avant l'enregistrement.

Extraction de la configuration SAML de base

7) Utilisez le modèle d'URL de connexion fourni, copiez et collez la valeur, puis cliquez sur Save en haut lorsque vous avez terminé.

Entrée de configuration d'URL de connexion

Faites défiler jusqu'à Certificats SAML, et exportez le fichier XML de métadonnées de fédération généré par Azure pour l'importer dans Cisco Secure FMC.

Exporter le fichier XML des métadonnées de fédération

Étape 3: Configurer le domaine Azure SAML/Entra ID à l'aide de l'Assistant FMC (suite)

1) Revenez au FMC. Sous Sequence 3, Métadonnées du fournisseur d'identité SAML (IdP), téléchargez le fichier XML de métadonnées de fédération exporté téléchargé depuis Azure vers le FMC pour remplir automatiquement les valeurs nécessaires.

Télécharger le fichier XML de métadonnées de fédération

2) Une fois téléchargées, les valeurs sont renseignées comme indiqué.

Valeurs du fournisseur d'identité SAML renseignées automatiquement

Remarque : Une sortie partielle est affichée dans l'image.

3) Entrez les valeurs collectées tout au long du processus de mise en oeuvre jusqu'à ce point :

• Enregistrement des applications
  • ID d'application (client)
  • Secret client
  • ID de répertoire (locataire)
• Event Hub
  • Espace de noms EH Hostname
    • Espace de noms EH Chaîne de connexion principale
  • Nom de l'instance EH (Event Hub)
    • Nom du groupe de consommateurs EH

Saisir Les Informations Application Et Event Hub

Une fois entré, cliquez sur Test pour vérifier la connexion et confirmer qu'Azure est accessible avec les informations fournies.

Remarque : Le cas échéant, assurez-vous que les groupes d'utilisateurs exclus/inclus correspondent à votre configuration d'entrée

4) La dernière étape de l'assistant vous permet de configurer le délai d'expiration SAML Captive Portal Users. La valeur par défaut est 1 440 minutes.

Configuration du délai du portail captif

5) Cliquez sur Next pour continuer.

Avancer avec la configuration du domaine Azure AD

6) L'assistant fournit un résumé de la configuration implémentée. Cliquez sur Enregistrer à la fin du résumé une fois que les valeurs entrées ont été validées et confirmées.

Bouton Enregistrer le résumé de la configuration du domaine

Étape 4: Vérifier les utilisateurs téléchargés

1) Vérifiez que les utilisateurs peuvent être téléchargés à partir d'Azure Entra à l'aide du bouton Télécharger maintenant dans le workflow Intégrations > Identité > Domaines.

Télécharger des utilisateurs à partir d'Azure AD

2) Cliquez sur Yes en réponse à l'invite de dialogue.

Confirmer le téléchargement des utilisateurs à partir d'Azure AD

3) La tâche de téléchargement génère 1 utilisateur et 1 groupe téléchargés, comme le confirme la section Notifications > Tâches.

Entrée de notification pour le téléchargement d'utilisateurs à partir d'Azure AD

Phase 5 : Configuration des stratégies dans le FMC

Étape 1: Configurer la stratégie de déchiffrement

1) Dans le FMC, choisissez Policies > Security Policies > Decryption.

Accéder À La Stratégie De Décryptage

2) Cliquez sur la liste déroulante Create New et choisissez Decryption Policy (Rule-Based).

Créer une nouvelle stratégie de décodage basée sur des règles

3) Attribuez un nom et, si vous le souhaitez, une description à la nouvelle stratégie de décodage basée sur des règles, puis cliquez sur l'option de l'onglet Connexions sortantes (Protection de l'utilisateur) pour implémenter la fonctionnalité de décodage-résignation requise pour l'authentification du portail captif (Authentification active). 

Implémenter les détails de stratégie de connexions sortantes

4) Choisissez l'autorité de certification interne précédemment appliquée dans la liste déroulante correspondante de la même boîte de dialogue. Cliquez sur Suivant.

5) Personnalisez les options selon vos besoins.

Personnaliser les options de stratégie de décodage

6) Dans cet exemple, les valeurs par défaut sont utilisées à l'exception des détails de stratégie requis. Terminez l'assistant de configuration en cliquant sur Create Policy.

Créer une politique de déchiffrement final

Étape 2: Configurer les règles de stratégie de déchiffrement

1) La disposition par défaut d'une politique de décodage basée sur des règles est indiquée ici. Le trafic qui ne correspond pas aux règles activées par défaut, telles que la règle 3 (qui fait référence à une liste pré-allouée de noms de domaine non décryptables) et la règle 6 (qui fait référence à des applications étiquetées comme non décryptables), est soumis à l'action Déchiffrer - Désigner sous la règle 7. Ces valeurs par défaut, ainsi que l'action par défaut, peuvent être modifiées si nécessaire. Par défaut, le trafic qui ne correspond à aucune autre règle est configuré comme Ne pas déchiffrer.

Le trafic Azure Authentication Service ne doit pas être décrypté pour inspection, de sorte qu'une règle dédiée est créée pour lui. Cliquez sur + Ajouter une règle pour commencer.

Ajouter Une Règle Et Afficher La Disposition De Déchiffrement Basée Sur Une Règle Par Défaut

2) Attribuez un nom à la nouvelle entrée de règle de stratégie de déchiffrement, choisissez Ne pas déchiffrer dans la liste déroulante Action, et placez la règle en haut des règles moins spécifiques. Des zones source/destination sont également implémentées pour affiner la règle.

Configurer la règle Ne pas déchiffrer

3) Avant d'ajouter la règle, cliquez sur l'onglet Applications, recherchez et cliquez sur l'application Azure Authentication Service. Cliquez sur Ajouter à la règle, puis cliquez sur Ajouter.

Ajouter une règle d'application Azure Authentication Service

4) Cliquez sur Enregistrer.

Enregistrer la stratégie de décodage

Étape 3: Créer une stratégie d'identité

1) Choisissez Policies > Security Policies > Identity pour créer une politique d'identité.

Créer une stratégie d'identité

2) Créez une nouvelle stratégie d'identité et cliquez sur Add a new policy.

Ajouter une nouvelle configuration de stratégie d'identité

3) Attribuez un nom et, le cas échéant, une description à la nouvelle politique d'identité. Cliquez sur Save.

Nommer la nouvelle stratégie d'identité

Étape 4: Configurer les règles de stratégie d'identité

1) Ajoutez une nouvelle règle en cliquant sur + Ajouter une règle.

Ajouter une nouvelle règle de stratégie d'identité

2) Attribuez un nom à la nouvelle règle, choisissez Active Authentication dans la liste déroulante Action, et limitez les zones/réseaux spécifiques qui doivent correspondre à la règle pour effectuer l'authentification active.

Configurer les paramètres de règle d'authentification active

3) Avant de cliquer sur Ajouter, cliquez sur l'onglet Domaine et paramètres dans l'Éditeur de règles. Vérifiez que le domaine configuré dans les étapes précédentes est sélectionné comme domaine d'authentification, puis cliquez sur Ajouter.

Configurer Le Domaine Et Les Paramètres De La Règle D'Identité

4) La règle est ajoutée et configurée. Cliquez sur Save.

Enregistrer la configuration de règle de stratégie d'identité

Étape 5: Configurer la stratégie de contrôle d'accès

1) Choisissez Policies > Security Policies > Access Control, puis cliquez sur la politique de contrôle d'accès à laquelle le FTD est affecté.

Configuration de la stratégie de contrôle d'accès

2) Vérifiez que la stratégie de décodage configurée dans les étapes précédentes est appliquée à la stratégie de contrôle d'accès.

Appliquer La Stratégie De Déchiffrement Au Contrôle D'Accès

3) Vérifiez que la stratégie d'identité configurée dans les étapes précédentes est également appliquée à la stratégie de contrôle d'accès. Enregistrez les modifications de stratégie.

Appliquer Une Stratégie D'Identité Au Contrôle D'Accès

4) Vérifiez qu'il existe des règles qui autorisent le trafic du plan de données client via le pare-feu sécurisé après une authentification active réussie. L’exemple ci-dessous utilise un ensemble de règles plus large dans l’environnement des travaux pratiques.

Ensemble de règles de trafic du plan de données utilisateur

Étape 6: Déployer des configurations sur les périphériques Cisco Secure Firewall

Une fois déployés, les clients qui envoient du trafic sont invités à utiliser une page Web de connexion Microsoft pour effectuer l'authentification active avec Azure Entra.

Pour plus d'informations sur le processus décrit ici, consultez Créer un domaine Microsoft Azure AD (SAML) pour l'authentification active (portail captif) - Chapitre : Domaines du Guide de configuration des périphériques FMC 10.x.

Vérifier

Utilisez cette section pour vérifier que la configuration fonctionne correctement.

IUG

Validez les sessions utilisateur et l'activité dans FMC :

• Choisissez Integrations > Users > Active Sessions.

Sortie des sessions actives FMC

• Choisissez Integrations > Users > User Activity.

Résultat de l'activité utilisateur FMC

Sur Azure, accédez au Centre d'administration Microsoft Entra :

• Filtrez les applications d'entreprise, recherchez/cliquez sur l'application appropriée.

Navigation des applications d'Azure Entra Admin Center Enterprise

• Choisissez Exercice > Journaux de connexion.

Journaux d'activité de connexion aux applications Azure Enterprise

CLI 

• Dans l'interface de ligne de commande FTD, vous pouvez voir les statistiques relatives aux réponses SAML et au portail captif :

> debug menu captive-portal 6
SAML passed requests captive-portal 14
SAML failed requests captive-portal 0
SAML passed responses captive-portal 4
SAML failed responses captive-portal 0
Total captive-portal bee-client messages processed 4
Total captive-portal bee-client messages successful 4
Total captive-portal bee-client messages failed 0
Total bee-client reconnects 0

Dépannage

Débogage du portail captif

• La commande system support captive-portal-debug peut être utilisée sur le FTD. Le résultat montre comment activer le débogage et note également des segments clés du résultat pour aider à comprendre le flux Captive Portal.

> system support captive-portal-debug

Enable firewall-debug too? [n]: y  
Enable identity-debug too? [n]: y  
Please specify an IP protocol: tcp  
Please specify a client IP address: 192.168.20.200  
Please specify a client port:  
Please specify a server IP address:  
Please specify a server port:  
Enable daq-debug too? (WARNING: current packet debug configs and logs will be overwritten) [n]:  
Monitoring captive_portal and firewall and identity debug messages

!--- Baseline output pending user Captive Portal authentication
...
192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 match rule order 1, id 1 action Captive portal, active auth realm id 2

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 didn't find active binding, initiating captive portal

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 captive portal authentication started

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 defer trust until captive portal redirect is sent.

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 Current state = S_INIT, Event = EVT_CP_RULE, Next state = S_PENDING_USER
...
!--- Captive Portal probe intercepted and redirected to SAML IdP (generate_204)
...
192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 AppID session with service_id: 676, url: http://browserportal.example.com

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_PENDING_USER, Event = EVT_APPID_HTTP_HEADERS, Next state = S_REDIRECTING

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 app event changes: service, client, host, url, user-agent, client-info

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 using ipv4 address 192.168.20.1 for redirect

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 encrypted redirect url: https://ftd-inside.example.com/+CSCOE+/saml/sp/login?tgname=azure-entra-saml&s=xxxx=http%3A%2F%2Fbrowserportal.example.com%2Fgenerate_204

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_REDIRECTING, Event = EVT_FINALIZE, Next state = S_REDIRECTED
...
!--- SAML authentication completes, identity binding created 
...

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 looked for user_id with realm_id 2 auth_type 2, returning realm_id 2 auth_type 8 user_id 0

192.168.20.200 54023 -> 198.51.100.280 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 IdentityFlowSetupEventHandler Retrieved identity info: user_id 0, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com, authRealmId 2, src sgt 0, src sgt type unknown, dst sgt 0, dst sgt type unknown, deviceType 0, locationIP ::

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 New firewall session

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 allow action
...
!--- Authenticated binding persists across subsequent, unrelated destinations (no further redirects)
...
192.168.20.200 54024 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54025 ->  198.51.100.1 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54026 ->  198.51.100.2 80 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54027 ->  198.51.100.3 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 19935 ->  198.51.100.4 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2
...

Vidage des identités utilisateur

• Pour prendre un instantané des données d'état d'identité d'utilisateur actuelles sur le FTD, exécutez la commande system support firewall-engine-dump-user-identity-data sur l'interface de ligne de commande du FTD :

> system support firewall-engine-dump-user-identity-data

Successfully commanded snort.

>

• En mode expert CLI, lors de la connexion avec les identifiants d'administration locaux du périphérique FTD, affichez le contenu du fichier vidé dans /ngfw/var/sf/user_enforcement/user_identity.dump

> expert
admin@ftd:~$ sudo su
Password:
root@ftd:/home/admin#
root@ftd:/home/admin# ls -lah /ngfw/var/sf/user_enforcement/user_identity.dump
-rw------- 1 root root 5.6K Oct  7 07:51 /ngfw/var/sf/user_enforcement/user_identity.dump
root@ftd:/home/admin# 
root@ftd:/home/admin# less /ngfw/var/sf/user_enforcement/user_identity.dump
...
----------------
IP:USER
----------------

!--- Host IP is aligned with the user authenticated via Captive Portal/Active Authentication
----------------
Host ::ffff:192.168.20.200
----------------
::ffff:192.168.20.200:0 realm 2 type 8, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com
::ffff:192.168.20.200: SXP initialized 0 sgt 0
ABP values: None

-------------------
SXP MAPPING:
-------------------

...

Problèmes possibles

Autorité de certification inconnue du portail captif

Problème : Le navigateur client renvoie une erreur d'émetteur inconnu lorsque l'authentification est tentée.

Cause probable : L'autorité de certification interne n'est pas approuvée dans le navigateur client.

Résolution : Vérifiez que l'autorité de certification est approuvée dans le navigateur. L'exemple présenté ici confirme que le certificat d'autorité de certification interne est approuvé.

Portail captif « Serveur introuvable »

Problème : Lorsque le navigateur client tente de charger le portail captif, il renvoie « Serveur introuvable » pour l'URL de base lors de la tentative d'accès à l'URL de base ou similaire.

Cause probable : Accessibilité DNS ou configuration DNS incorrecte.

Résolution : Vérifiez que le client dispose du serveur DNS approprié configuré pour résoudre l'enregistrement A. Vérifiez que le serveur dispose d'un enregistrement A mappé au nom de domaine complet et qu'il est accessible et réactif.

Informations connexes

• Créer un domaine Microsoft Azure AD (SAML) pour l'authentification active (portail captif) - Guide de configuration du périphérique FMC 10.x
• Documentation Azure Event Hub
• Assistance et documentation techniques - Cisco Systems