Configurazione dell'accesso TACACS+ temporizzato per i dispositivi di rete con ISE

Introduzione

In questo documento viene descritto come configurare l'autorizzazione basata su ora e data per il criterio Device Admin in Cisco Identity Services Engine (ISE).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza del protocollo Tacacs e della configurazione di Identity Services Engine (ISE).

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Switch Cisco Catalyst 9300 con software Cisco IOS® XE 17.12.5 e versioni successive
• Cisco ISE versione 3.3 e successive

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

I criteri di autorizzazione sono un componente chiave di Cisco Identity Services Engine (ISE) e consentono di definire regole e configurare profili di autorizzazione per utenti o gruppi specifici che accedono alle risorse di rete. Questi criteri valutano le condizioni per determinare quale profilo applicare. Quando le condizioni di una regola sono soddisfatte, viene restituito il profilo di autorizzazione corrispondente, che consente l'accesso alla rete appropriato.

Cisco ISE supporta anche le condizioni di ora e data, che consentono di applicare le policy solo in determinati orari o giorni. Ciò è particolarmente utile per applicare controlli di accesso basati su requisiti aziendali temporizzati.

Questo documento descrive la configurazione per consentire l'accesso amministrativo TACACS+ ai dispositivi di rete solo durante l'orario di lavoro (dal lunedì al venerdì, 08:00-17:00) e per negare l'accesso al di fuori di questo intervallo di tempo.

Configurazione

Esempio di rete

Configurare ISE

Passaggio 1: Crea condizione data e ora

Passare a Criterio > Elementi criterio > Condizioni > Ora e data, quindi fare clic su Aggiungi.

Nome condizione: Orario di ufficio

Imposta l'intervallo di tempo Impostazioni standard > Ore specifiche : 09:00 AM - 06:00 PM 

Giorni specifici: Da lunedì a venerdì

Passaggio 2: Creare un set di comandi TACACS+

Passare a Centri di lavoro > Amministrazione dispositivi > Elementi criteri > Risultati > Set di comandi TACACS.

Creare un set di comandi selezionando la casella di controllo Consenti comandi non elencati di seguito e facendo clic su Invia o aggiungendo i Comandi limitati se si desidera limitare alcuni comandi CLI.

Passaggio 3: Crea un profilo TACACS+

Selezionare Centri di lavoro > Amministrazione dispositivi > Elementi della policy > Risultati > Profili TACACS. Fare clic su Add.

Selezionare Tipo task comando come shell, quindi casella di controllo Privilegio predefinito e immettere il valore 15. Fare clic su Invia.

Passaggio 4:  Crea criterio di autorizzazione TACACS

Passare a Centri di lavoro > Amministrazione dispositivi > Set di criteri di amministrazione dispositivi.

Selezionare il set di criteri attivo.

Configurare il criterio di autenticazione in base agli utenti interni o di Active Directory.

Nella sezione Criteri di autorizzazione fare clic su Aggiungi regola per specificare il nome della regola e quindi fare clic su + per aggiungere le condizioni di autorizzazione.

Viene visualizzata una nuova finestra di Condition Studio. Nel campo Cerca per nome immettere il nome creato nel passaggio 1 e trascinarlo nell'editor.

Aggiungere ulteriori condizioni in base al gruppo di utenti e fare clic su Salva.

In Risultati, selezionare il set di comandi TACACS e il profilo di shell creati al passaggio 2 e al passaggio 3, quindi fare clic su Salva.

Configura switch

Verifica

L'utente che sta tentando di usare il protocollo SSH sullo switch fuori dall'orario di lavoro ha ricevuto da ISE il rifiuto di accesso.

I log di ISE Live indicano che l'autorizzazione non è riuscita perché la condizione di data e ora nei criteri di autorizzazione non corrispondeva. Di conseguenza, la sessione ha raggiunto la regola di accesso negato predefinita.

L'utente sta tentando di usare il protocollo SSH nello switch durante l'orario di lavoro e di ottenere l'accesso in lettura/scrittura:

Il registro ISE Live indica che l'accesso durante l'orario di lavoro ha soddisfatto le condizioni di ora e data e ha soddisfatto la policy corretta.

Risoluzione dei problemi

Debug su ISE

Raccogliere il bundle di supporto ISE con questi attributi da impostare al livello di debug:

• RuleEngine-Policy-IDGroups
• Attributi Motore regole
• Policy-Engine
• epm-pdp
• epm-pip

Quando l'utente che tenta di connettersi al protocollo SSH al di fuori dell'orario di lavoro a causa di una condizione di data e ora non corrisponde all'orario di lavoro configurato.

show logging application ise-psc.log

Quando l'utente che ha tentato di passare al protocollo SSH durante l'orario di lavoro ha soddisfatto le condizioni di ora e data.

show logging application ise-psc.log

Informazioni correlate

• Guida all'implementazione prescrittiva di Cisco ISE Device Administration

Domande frequenti

• È possibile applicare diversi livelli di accesso in base al tempo?
  Sì. È possibile creare criteri di autorizzazione diversi e collegarli alle condizioni temporali.

Ad esempio:
Accesso completo durante l'orario di lavoro
Accesso in sola lettura fuori orario
Nessun accesso durante il fine settimana

• Cosa succede se l'ora di sistema non è corretta o non è sincronizzata?
  ISE può applicare policy errate o non applicare regole basate sul tempo in modo affidabile. Accertarsi che tutti i dispositivi e i nodi ISE utilizzino un'origine NTP sincronizzata.

• È possibile utilizzare i criteri basati sul tempo insieme ad altre condizioni, ad esempio il ruolo utente o il tipo di dispositivo?
  Sì. Le condizioni temporali possono essere combinate con altri attributi nelle regole dei criteri per creare controlli di accesso granulari e sicuri.

• L'accesso a tempo è supportato sia per la shell che per i set di comandi in TACACS+?
  Sì. Le condizioni basate sul tempo possono controllare l'accesso alla shell del dispositivo o a specifici set di comandi, a seconda della struttura dei profili e dei criteri di autorizzazione.