Configurazione dell'autenticazione esterna AsyncOS con ISE (RADIUS)

Introduzione

In questo documento viene descritta la configurazione dell'autenticazione esterna RADIUS tra Cisco Secure Email Gateway e Cisco Identity Services Engine.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Autenticazione, autorizzazione e accounting (AAA)
• Attributo RADIUS CLASS. 
• Cisco ISE Identity Management and Authorization Policies (Policy di autorizzazione e gestione delle identità ISE).
• Ruoli utente Cisco Secure Email Gateway (ESA) e Secure Email and Web Manager (SMA)

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco ISE 2.4
• Cisco Secure Email Gateway (ESA) 13.5.1, 13.7.0
• Cisco Secure Email e Web Manager (SMA) 13.6.2

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Prodotti correlati

Le versioni non elencate nella sezione Componenti usati non sono state testate.

Premesse

Attributo classe RADIUS

L'attributo Class è un valore arbitrario restituito dal server RADIUS nella risposta Access-Accept e incluso nei pacchetti di accounting. È configurato in Cisco ISE per ciascun gruppo.

Quando un utente corrisponde a un gruppo ISE a cui è associato l'attributo 25, ISE restituisce il valore Class in Access-Accept. Il gateway di posta elettronica sicura legge quindi tale valore e applica il ruolo locale definito nella relativa tabella di mapping.

Configurazione

Esempio di rete

Cisco Identity Services Engine accetta le richieste di autenticazione dell'accessorio e le confronta con l'identità e il gruppo di utenti.

Passaggio 1. Creazione di un gruppo di identità per l'autenticazione

Accedere al server ISE. Passare a Amministrazione > Gestione delle identità > Gruppi > Gruppo di identità utente e creare un gruppo di identità.

Nota: Cisco consiglia di assegnare un gruppo di identità in ISE a ciascun ruolo dell'accessorio.

Passaggio 2. Creazione di utenti locali per l'autenticazione

Creare nuovi utenti o assegnare utenti esistenti al gruppo di identità creato nel passo 1. Passare a Amministrazione > Gestione delle identità > Identità e creare o assegnare utenti al gruppo.

 

Passaggio 3. Creazione di profili di autorizzazione

L'autenticazione RADIUS può avere esito positivo senza un profilo di autorizzazione. tuttavia, non viene assegnato alcun ruolo. Per assegnare i ruoli, passare a Criteri > Elementi criteri > Risultati > Autorizzazione > Profili di autorizzazione.

Nota: Creare un profilo di autorizzazione per ruolo da assegnare.

Nota: Assicurarsi di utilizzare l'attributo 25 della classe radius e assegnare un nome. Questo nome deve corrispondere alla configurazione su AsyncOS (ESA/SMA). Nella Figura 3, Amministratori è riportato il nome dell'attributo CLASS.

Passaggio 4. Creare un criterio di autorizzazione

Questo passaggio consente a ISE di identificare i tentativi di accesso e di mapparli al profilo di autorizzazione corretto. Se la corrispondenza ha esito positivo, ISE restituisce Access-Accept insieme al valore Class definito nel profilo.

Passare a Criterio > Set di criteri e selezionare Aggiungi (+ simbolo).

Assegnate un nome e selezionate il simbolo più per aggiungere le condizioni richieste. Questo ambiente lab utilizza una condizione Radius NAS-IP-Address. Salvare il nuovo criterio.

Per soddisfare correttamente le richieste di autorizzazione, aggiungere le condizioni. Selezionate il simbolo > e aggiungete le condizioni. Questo ambiente lab utilizza InternalUser-IdentityGroup e corrisponde a ciascun profilo di autorizzazione.

Passaggio 5. Abilitare l'autenticazione esterna sull'accessorio

Accedere all'accessorio. Passare a Amministrazione sistema > Utenti > Autenticazione esterna e selezionare Abilita autenticazione esterna.

Immettere i seguenti valori:

• Nome host server RADIUS
• Port
• Segreto condiviso
• Valore timeout (in secondi)
• Protocollo di autenticazione

Selezionare Esegui mapping degli utenti autenticati esternamente a più ruoli locali (scelta consigliata).

Nota: il valore della classe RADIUS deve corrispondere al valore definito nel passaggio 3 (immesso nell'attività comune di ASA VPN), compresa la distinzione tra maiuscole e minuscole.

Inviare e confermare le modifiche.

Verifica

Per verificare che la configurazione funzioni correttamente, consultare questa sezione.

1. Accedere all'accessorio con un utente autenticato esternamente.
2. Confermare che l'accesso è concesso.
3. Verificare che il ruolo assegnato corrisponda al ruolo previsto dal valore Class restituito.
4. In ISE, verificare che sia stata trovata la regola di autorizzazione prevista e che sia stato restituito il valore di Class corretto (Operations > RADIUS > Live Logs).

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Sintomo: L'accesso all'accessorio non riesce e viene visualizzato il messaggio "Nome utente o password non validi".

Probabile causa: Mancata corrispondenza nei criteri di autorizzazione, nel valore Class restituito o nel protocollo di autenticazione.

Risoluzione:

1. Nelle impostazioni Autenticazione esterna dell'accessorio selezionare temporaneamente Mappa tutti gli utenti autenticati esternamente al ruolo Amministratore. (Immagine 11)
2. Inviare e confermare le modifiche, quindi tentare un nuovo accesso.
3. Se l'accesso ha esito positivo, il problema è nella mappatura dei ruoli. Ricontrollare il profilo di autorizzazione ISE (classe/attributo 25) e l'impostazione dei criteri di autorizzazione.
4. ReviewOperations > RADIUS > Live Login ISE per confermare quale profilo di autorizzazione è stato abbinato e quale valore Class è stato restituito.

Informazioni correlate

• Guida per l'utente di ISE 2.4
• Guida per l'utente di AsyncOS

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	21-Jul-2026	Traduzione automatica, SEO, Alt Text, Requisiti di stile e formattazione aggiornati.
1.0	26-May-2021	Versione iniziale