Configurazione di più gruppi di tunnel con SAML su ASA

Introduzione

In questo documento viene descritta l'autenticazione SAML con Azure Identity Provider per più gruppi di tunnel su Cisco ASA.

---

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Microsoft Azure

• Adaptive Security Appliance (ASA)
• Certificati SSL (Secure Sockets Layer)
• SAML (Security Assertion Markup Language)

---

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• ASA 9.2(1)1
• Cisco Secure Client 5.1.7.80
• ID Entra di Microsoft Azure con SAML 2.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

---

Premesse

Microsoft Azure può supportare più applicazioni per lo stesso ID entità. Ogni applicazione (mappata a un gruppo di tunnel diverso) richiede un certificato univoco. Sull'appliance ASA, è possibile configurare più gruppi di tunnel per usare applicazioni protette con Override Identity Provider (IdP) diverse a causa della funzionalità del certificato IdP. Questa funzionalità consente agli amministratori di eseguire l'override del certificato IdP primario nell'oggetto server Single Sign-On (SSO) con un certificato IdP specifico per ogni gruppo di tunnel. Questa funzione è stata introdotta sull'appliance ASA a partire dalla versione 9.17.1.

---

SSO avviato da SP SAML

Quando l'utente finale avvia il login accedendo all'appliance ASA, il comportamento dell'accesso procede come segue:

1. Quando l'utente VPN accede o sceglie un gruppo di tunnel abilitato SAML, viene reindirizzato all'ID SAML per l'autenticazione. Se l'utente non accede direttamente all'URL del gruppo, viene visualizzato un messaggio che indica che il reindirizzamento è invisibile all'utente.

2. L'ASA genera una richiesta di autenticazione SAML che il browser reindirizza all'IdP SAML.

3. L'IdP chiede all'utente finale di immettere le credenziali e di eseguire l'accesso. Le credenziali immesse devono soddisfare la configurazione di autenticazione IdP.

4. La risposta IdP viene inviata nuovamente al browser e viene inviata all'URL di accesso all'ASA. L'ASA verifica la risposta per completare l'accesso.

---

Configurazioni

Aggiungi Cisco Secure Firewall - Secure Client dalla raccolta

In questo esempio, viene aggiunta l'integrazione Microsoft Entra SSO con Cisco Secure Firewall - Secure Client in Azure per due gruppi di tunnel configurati su ASA:

• SAML1
• SAML2

---

Per configurare l'integrazione di Cisco Secure Firewall - Secure Client in Microsoft Entra ID, è necessario aggiungere Cisco Secure Firewall - Secure Client dalla raccolta all'elenco delle app SaaS gestite.

Passaggio 1. Accedere al portale di Azure e scegliere Microsoft Entra ID.

ID Entra Microsoft

---

Passaggio 2. Come mostrato nell'immagine, scegliere Applicazioni enterprise.

Applicazione aziendale

---

Passaggio 3. Scegliere Nuova applicazione.

Nuova applicazione

---

Passaggio 4. Nella sezione Aggiungi dalla raccolta, digitare Cisco Secure Firewall - Secure Client nella casella di ricerca, scegliere Cisco Secure Firewall - Secure Client dal pannello dei risultati, quindi aggiungere l'app.

Cisco Secure Firewall - Client protetto

---

Passaggio 5. Scegliere la voce di menu Single Sign-On.

Configura Single Sign-On

---

Passaggio 6. Nella pagina Selezionare un metodo Single Sign-On, scegliere SAML.

SAML

---

Passaggio 7. Nella pagina Configurazione del servizio Single Sign-on con SAML, fare clic sull'icona Modifica/Apri per Configurazione SAML di base per modificare le impostazioni.

Configurazione Saml Di Base

---

Passaggio 8. Nella pagina Imposta servizio Single Sign-on con SAML immettere i valori nei campi seguenti:

• Nella casella di testo Identificatore digitare un URL utilizzando il modello seguente:

https://<URL VPN>/saml/sp/metadata/<Nome_Gruppo_Tunnel>

• Nella casella di testo URL di risposta digitare un URL utilizzando il modello seguente:

https://<URL VPN>/+CSCOE+/saml/sp/acs?tgname=<Nome_Gruppo_Tunnel> [Nome_Gruppo_Tunnel = SAML1]

---

---

Passaggio 9. Nella sezione Certificato di firma SAML della pagina Configurazione del servizio Single Sign-on con SAML individuare Certificato (Base64) e scegliere Scarica per scaricare il file del certificato e salvarlo nel computer.

Download certificato (Base64)

---

---

Passaggio 10. Nella sezione Configurazione di Cisco Secure Firewall - Client sicuro, copiare gli URL appropriati in base ai requisiti dell'utente. Questi URL vengono utilizzati per configurare l'oggetto server SSO sull'appliance ASA.

• Identificatore Intra Microsoft: Questo è l'IDP SAML nella configurazione VPN.
• URL di accesso: Questo è l'URL di accesso.
• URL di disconnessione: Questo è l'URL di uscita.

URL SSO

---

---

Assegna utenti di Azure AD all'app

In questa sezione, Test1 e Test2 sono abilitati per l'utilizzo di Azure SSO quando si concede l'accesso all'app Cisco Secure Client.

Per la prima applicazione IdP:

Passaggio 1. Nella prima pagina di panoramica dell'applicazione IdP, scegliere Utenti e gruppi, quindi Aggiungi utente.

Utenti e gruppi

---

Passaggio 2. Scegliere Utenti o gruppi nella finestra di dialogo Aggiungi assegnazione.

Aggiungi assegnazione 1

---

Passaggio 3.  Nella finestra di dialogo Add Assignment (Aggiungi assegnazione), fare clic sul pulsante Assign (Assegna). 

Test1 Assegnazione utente

---

Per la seconda applicazione IdP:

Ripetere i passaggi precedenti per la seconda applicazione Idp come mostrato nelle seguenti immagini:

Aggiungi assegnazione 2

Test2 Assegnazione utente

---

Assegnazione utente Test1:

Test 1 assegnazione utente

---

Assegnazione utente Test2:

Test 2 assegnazione utenti

---

Configurazione ASA tramite CLI

Passaggio 1. Creare punti di fiducia e importare certificati SAML.

Configurare due Trustpoint e importare i rispettivi certificati SAML per ogni gruppo di tunnel:

config t 

 crypto ca trustpoint AzureAD-AC-SAML1 
   revocation-check none 
   no id-usage 
   enrollment terminal 
   no ca-check 
 crypto ca authenticate AzureAD-AC-SAML1 
 -----BEGIN CERTIFICATE----- 
 … 
 PEM Certificate Text you downloaded from AzureAD goes here 
 … 
 -----END CERTIFICATE----- 
 quit

!
!

crypto ca trustpoint AzureAD-AC-SAML2 
   revocation-check none 
   no id-usage 
   enrollment terminal 
   no ca-check 
 crypto ca authenticate AzureAD-AC-SAML2 
 -----BEGIN CERTIFICATE----- 
 … 
 PEM Certificate Text you downloaded from AzureAD goes here 
 … 
 -----END CERTIFICATE----- 
 quit 

---

Passaggio 2. Configurare il provider di identità SAML.

Eseguire questi comandi per effettuare il provisioning delle impostazioni del provider di identità SAML.

webvpn 

 saml idp https://xxx.windows.net/xxxxxxxxxxxxx/ - [Azure AD Identifier] 
 url sign-in https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxxxx/saml2 - [Login URL] 
 url sign-out https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxxxx/saml2  – [Logout URL] 
 trustpoint idp AzureAD-AC-SAML1 - [IdP Trustpoint] 
 trustpoint sp ASA-EXTERNAL-CERT - [SP Trustpoint] 
 no force re-authentication 
 no signature 
 base-url https://asa.example.com

---

Passaggio 3. Applicare l'autenticazione SAML al primo gruppo di tunnel VPN.

Configurare il gruppo di tunnel SAML1 con il trust point AzureAD-AC-SAML1 IdP.

tunnel-group SAML1 webvpn-attributes 
authentication saml 
group-alias SAML1 enable 
saml identity-provider https://xxx.windows.net/xxxxxxxxxxxxx/
saml idp-trustpoint AzureAD-AC-SAML1 <---- Overrides the primary IDP certificate in the Single Sign-On (SSO) Server object

---

Passaggio 4. Applicare l'autenticazione SAML al secondo gruppo di tunnel VPN.

Configurare il gruppo di tunnel SAML2 con il trust point AzureAD-AC-SAML2 IdP.

tunnel-group SAML2 webvpn-attributes 
authentication saml 
group-alias SAML2 enable 
saml identity-provider https://xxx.windows.net/xxxxxxxxxxxxx/
saml idp-trustpoint AzureAD-AC-SAML2 <---- Overrides the primary IDP certificate in the Single Sign-On (SSO) Server object

---

Passaggio 5: Salvare la configurazione.

write memory 

---

Verifica

Test di AnyConnect con autenticazione SAML.

Passaggio 1. Connettersi all'URL della VPN e immettere il log nei dettagli di Azure AD.

Passaggio 2. (Facoltativo) Approvare la richiesta di accesso.

Passaggio 3.  AnyConnect è connesso.

---

Risoluzione dei problemi

La maggior parte delle procedure di risoluzione dei problemi per SAML implica una configurazione errata che può essere rilevata quando si controlla la configurazione SAML o quando vengono eseguiti i debug. Il comando debug webvpn saml 255 può essere usato per risolvere la maggior parte dei problemi, ma negli scenari in cui il debug non fornisce informazioni utili, è possibile eseguire altri debug, ad esempio:

debug webvpn saml 255 
debug webvpn 255  
debug webvpn session 255 
debug webvpn request 255 

---

Informazioni correlate

• Documentazione e supporto tecnico – Cisco Systems
• Configurazione di ASA AnyConnect VPN con l'autenticazione a più fattori (MFA) di Microsoft Azure tramite SAML

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	08-Jul-2026	Controllo ortografico, grammaticale e spaziatura aggiornati, righe aggiunte per la leggibilità e la separazione delle sezioni e aggiornamenti per gli avvisi CCW.
1.0	28-Mar-2025	Versione iniziale