L’activation de l’installation permanente du client désactive la fonction de désinstallation automatique du client. Le client reste installé sur l’ordinateur distant pour les connexions ultérieures, ce qui réduit le temps de connexion pour l’utilisateur distant.

Pour activer l’installation permanente du client pour un groupe ou un utilisateur spécifique, utilisez la commande anyconnect keep-installer à partir des modes de stratégie de groupe ou de nom d’utilisateur webvpn.

La valeur par défaut est que l’installation permanente du client est activée. Le client reste sur l’ordinateur distant à la fin de la session. L’exemple suivant configure la stratégie de groupe existante sales pour supprimer le client sur l’ordinateur distant à la fin de la session :

hostname(config)# group-policy sales attributes
hostname(config-group-policy)# webvpn
hostname(config-group-policy)# anyconnect keep-installer installed none

Pour minimiser le temps de téléchargement, le client ne demande les téléchargements (à partir de l’ASA ou de l’ISE) que des modules principaux dont il a besoin. À mesure que des fonctionnalités supplémentaires deviennent disponibles pour le Secure Client (services client sécurisés), vous devez mettre à jour les clients distants pour qu’ils utilisent les fonctionnalités.

Pour activer de nouvelles fonctionnalités, vous devez spécifier les nouveaux noms de module à l’aide de la commande anyconnect modules à partir du mode de configuration de la stratégie de groupe webvpn ou du nom d’utilisateur webvpn :

[no]anyconnect modules {none | value string}

Séparez plusieurs chaînes par des virgules.

• ASA prend en charge les signatures suivantes pour l’authentification SAML :

  • SHA1 avec RSA et HMAC

  • SHA2 avec RSA et HMAC

• ASA prend en charge la liaison Redirect-POST SAML 2.0, qui est prise en charge par tous les fournisseurs d’identité SAML.

• L’ASA fonctionne uniquement comme fournisseur de service SAML. Il ne peut pas servir de fournisseur d’identité en mode passerelle ou en mode homologue.

• Cette fonctionnalité SAML SSO SP est une méthode d’authentification d’exclusion mutuelle. Elle ne peut pas être utilisée conjointement avec AAA et le certificat.

• Les fonctionnalités basées sur l’authentification par nom d’utilisateur/mot de passe, l’authentification de certificats et le KCD ne sont pas prises en charge. Par exemple, la fonction de préremplissage du nom d’utilisateur et du mot de passe, la connexion automatique basée sur un formulaire, la connexion automatique basée sur la substitution de macros, KCD SSO, etc.

• L’ASA prend en charge l’équilibrage de charges VPN avec l’authentification SAML AnyConnect.

• Lorsque vous utilisez Safari pour l’authentification SAML, assurez-vous de disposer de la mise à jour de Safari 14.1.2 ou ultérieure.

• Les administrateurs ASA doivent assurer la synchronisation de l’horloge entre l’ASA et le fournisseur d’identité SAML pour une gestion appropriée des déclarations d’authentification et un comportement correct du délai d’expiration.

• Les administrateurs ASA ont la responsabilité de maintenir un certificat de signature valide sur l’ASA et sur le fournisseur d’identité en tenant compte des éléments suivants :

  • Le certificat de signature du fournisseur d’identité est obligatoire lors de la configuration d’un fournisseur d’identité sur l’ASA.

  • L’ASA n’effectue pas de vérification de révocation sur le certificat de signature reçu du fournisseur d’identité.

• Dans les assertions SAML, il existe des conditions NotBefore et NotOnOrAfter . Le délai d’expiration configuré pour la SAML interagit avec ces conditions comme suit :

  • Le délai d'expiration remplace NotOnOrAfter si la somme de NotBefore et du délai d'expiration est antérieure à NotOnOrAfter.

  • Si NotBefore + le délai d’expiration est postérieur à NotOnOrWith, NotOnOrAfter prend effet.

  • Si l’attribut NotBefore est absent, l’ASA refuse la demande de connexion. Si l’attribut NotOnOrAfter est absent et que le délai d’expiration SAML n’est pas défini, l’ASA refuse la demande de connexion.

• L’ASA ne fonctionne pas avec Duo dans un déploiement utilisant SAML interne, ce qui oblige l’ASA à passer par le proxy pour que le client s’authentifie, en raison du changement de nom de domaine complet qui se produit lors de la demande/réponse pour l’authentification à deux facteurs (push, code, mot de passe).

• Les certificats de serveur non fiable ne sont pas autorisés dans le navigateur intégré.

• L’intégration SAML au navigateur intégré n’est pas prise en charge en modes CLI ou SBL.

• L’authentification SAML établie dans un navigateur Web n’est pas partagée avec AnyConnect, et inversement.

• Selon la configuration, diverses méthodes sont utilisées lors de la connexion à la tête de réseau avec le navigateur intégré. Par exemple, alors qu’AnyConnect peut préférer une connexion IPv4 à une connexion IPv6, le navigateur intégré peut préférer IPv6, ou inversement. De même, AnyConnect peut avoir recours à l’absence de proxy après avoir essayé de passer par un proxy et obtenu un échec, tandis que le navigateur intégré peut arrêter la navigation après avoir essayé de passer par un mandataire et obtenu un échec.

• Vous devez synchroniser le serveur NTP (Protocole de temps réseau) de votre ASA avec le serveur NTP du fournisseur d’identité pour utiliser la fonctionnalité SAML.

• L’assistant VPN sur ASDM ne prend actuellement pas en charge les configurations SAML.

• Vous ne pouvez pas accéder aux serveurs internes avec la SSO après vous être connecté à l’aide d’un fournisseur d’identité interne.

• L’attribut NameID du fournisseur d’identité SAML détermine le nom d’utilisateur de l’utilisateur et est utilisé pour l’autorisation, la comptabilité et la base de données des sessions VPN.

• SAML n’est pas pris en charge en mode multicontexte.

• Plusieurs attributs reçus avec une validation SAML ne sont pas pris en charge.

• Les Chromebook ne prennent pas en charge Secure Client SAML avec l’authentification par navigateur externe.

• Assurez-vous que le fournisseur d’identité comprend le paramètre d’état de relais dans la réponse SAML, tel qu’il a été reçu dans la demande SAML correspondante.

Suivez cet exemple en utilisant votre fournisseur d’identité SAML 2.0 tiers à la place des informations et de la dénomination Onelogin.

1. Définissez la synchronisation de l’horloge entre le fournisseur d’identité et l’ASA (SP).

   ciscoasa(config)# ntp server 209.244.0.4
   

2. Obtenez les métadonnées SAML du fournisseur d’identité en suivant les procédures fournies par votre fournisseur d’identité tiers.

3. Importez le certificat de signature du fournisseur d’identité dans un point de confiance.

   ciscoasa(config)# crypto ca trustpoint onelogin
   ciscoasa(config-ca-trustpoint)# enrollment terminal
   ciscoasa(config-ca-trustpoint)# no ca-check
   ciscoasa(config-ca-trustpoint)# crypto ca authenticate onelogin
   Enter the base 64 encoded CA certificate.
   End with the word "quit" on a line by itself
   quit
   INFO: Certificate has the following attributes:
   Fingerprint:     85de3781 07388f5b d92d9d14 1e22a549
   Do you accept this certificate? [yes/no]: yes
   Trustpoint CA certificate accepted.
   % Certificate successfully imported

4. Importez le certificat de signature PKCS12 du SP (ASA) dans un point de confiance

   ciscoasa(config)# crypto ca import asa_saml_sp pkcs12 password
   Enter the base 64 encoded pkcs12.
   End with the word "quit" on a line by itself:
   quit
   INFO: Import PKCS12 operation completed successfully

5. Ajoutez un fournisseur d’identité de SAML :

   ciscoasa(config-webvpn)# saml idp https://app.onelogin.com/saml/metadata/462950
   

6. Configurez les attributs en sous-mode saml-idp :

   Configurez l’URL de connexion et l’URL de déconnexion du fournisseur d’identité :

   ciscoasa(config-webvpn-saml-idp)# url sign-in https://ross.onelogin.com/trust/saml2/http-post/sso/462950 
   ciscoasa(config-webvpn-saml-idp)# url sign-out https://ross.onelogin.com/trust/saml2/http-redirect/slo/462950
   

   Configurez le point de confiance du fournisseur d’identité et le point de confiance du fournisseur de services (SP)

   ciscoasa(config-webvpn-saml-idp)# trustpoint idp onelogin
   ciscoasa(config-webvpn-saml-idp)# trustpoint sp asa_saml_sp
   

   Configurez l’URL de base du VPN sans client, la signature de requête SAML et le délai d’expiration (timeout) de l’assertion SAML :

   ciscoasa(config-webvpn-saml-idp)# base-url https://172.23.34.222      
   ciscoasa(config-webvpn-saml-idp)# signature
   ciscoasa(config-webvpn-saml-idp)# timeout assertion 7200
   

7. Configurez un fournisseur d’identité pour un groupe de tunnels et activez l’authentification SAML.

   ciscoasa(config)# webvpn
   ciscoasa(config-webvpn)# tunnel-group-list enable
   ciscoasa(config)# tunnel-group cloud_idp_onelogin type remote-access
   ciscoasa(config)# tunnel-group cloud_idp_onelogin webvpn-attributes
   ciscoasa(config-tunnel-webvpn)# authentication saml
   ciscoasa(config-tunnel-webvpn)# group-alias cloud_idp enable
   ciscoasa(config-tunnel-webvpn)# saml identity-provider https://app.onelogin.com/saml/metadata/462950
   

8. Affichez les métadonnées SAML SP de l’ASA :

   Vous pouvez obtenir les métadonnées SAML SP de l’ASA à l’adresse https://172.23.34.222/saml/sp/metadata/cloud_idp_onelogin. Dans l’URL, cloud_idp_onelogin est le nom du groupe de tunnels.

9. Configurez un fournisseur de services SAML sur votre fournisseur d’identité tiers en suivant les procédures fournies par votre fournisseur d’identité tiers.