Configura Azure Entra Captive Portal su Secure Firewall

Introduzione

In questo documento viene descritta la configurazione di Microsoft Azure Entra ID per l'utilizzo con il portale captive (autenticazione attiva) su Cisco Secure Firewall.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• SAML (Security Assertion Markup Language)
• Microsoft Azure
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defense (FTD)

È necessario che il piano tariffario Standard sia disponibile in Azure per la creazione di hub eventi. Inoltre, i dispositivi devono essere attivati con Smart Licensing abilitato con funzionalità di controllo dell'esportazione.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco Secure FTD versione 10.0
• Cisco Secure FMC versione 10.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Poiché le tradizionali architetture di sicurezza basate su IP faticano a tenere il passo con ambienti di lavoro dinamici e ibridi, Cisco Secure Firewall Active Authentication con integrazione SAML offre una soluzione solida e incentrata sull'identità. Utilizzando Microsoft Entra ID (Azure AD) come provider di identità centralizzato, questa configurazione consente agli amministratori di superare le regole di rete statiche e applicare un controllo di accesso granulare basato sull'identità utente verificata anziché sugli indirizzi di rete volatili. Questa integrazione semplifica l'esperienza dell'utente tramite SSO (Single Sign-On) e MFA (Multi-Factor Authentication) obbligatori, garantendo al contempo una postura di sicurezza unificata che mantiene una rigida visibilità e l'applicazione delle policy su una rete senza perimetro.

Diagramma

Portale vincolato tra endpoint, FTD e Azure Entra

Portale vincolato tra EndPoint e Azure Entra

Configurazione

Fase 1: Configurazione iniziale di FMC e DNS

Nota: Questa esercitazione utilizza un centro di gestione dei firewall (cdFMC) distribuito su cloud; le misure restano tuttavia invariate per i CCP locali.

Passaggio 1: Abilitare Cisco Dynamic Attributes Connector (CSDAC)

1) Scegliere Integrations > Dynamic Attributes Connector.

Scegli connettore attributi dinamici integrazioni

2) Fare clic sul controllo adiacente alla stringa Disabled per abilitare CSDAC.

Abilita Cisco Dynamic Attributes Connector

c) Fare clic su Done (Fine) una volta completata l'attivazione di CSDAC.

Abilita stato Cisco Dynamic Attributes Connector

Passaggio 2: Creazione di un oggetto di rete con nome di dominio completo rappresentativo dell'interfaccia in ingresso FTD

1) Scegliere Oggetti > Aggiungi rete > Aggiungi oggetto.

Crea nuovo oggetto di rete con nome di dominio completo

2) Assegnare un nome all'oggetto di rete configurato con il nome di dominio completo (FQDN). Immettere il nome di dominio completo e assegnare l'oggetto di rete come tipo di nome di dominio completo facendo clic sul pulsante di opzione appropriato. Fare clic su Save (Salva).

Configura variabili oggetto di rete FQDN

Passaggio 3: Configurare il record A DNS

1) Nell'esempio riportato viene utilizzato Windows Server 2025; consultare la documentazione relativa al server di risoluzione dei nomi specifico, se necessario. 

Configurazione record A DNS Windows Server

Nota: Il client che esegue l'autenticazione attiva deve essere in grado di risolvere questo record A DNS.

Fase 2: Configurazione infrastruttura a chiave pubblica

È possibile utilizzare un'Autorità di certificazione (CA) interna come infrastruttura a chiave pubblica (PKI) per la configurazione di autenticazione attiva. Cisco FMC e FTD richiedono il caricamento della chiave pubblica della CA interna e della chiave privata associata come oggetto CA interno per eseguire le necessarie operazioni di intercettazione SSL e di revoca della crittografia. Inoltre, la CA interna deve essere considerata attendibile nel browser client da cui viene eseguita l'autenticazione attiva. Vedere la documentazione del browser client per verificare come il browser consideri attendibile il certificato.

Passaggio 1: Importare il certificato CA interno nel CCP

1) Scegliere Oggetti > PKI > CA interne. Fare clic su Importa CA.

Nota: La CA interna può anche essere creata direttamente sul CCP.

Importa Autorità Di Certificazione Interna In Centro Gestione Firewall

Nota: All'interno del contenuto di questo documento, viene visualizzato uno spazio bianco che copre i vari valori dei campi nelle immagini ed è intenzionale per la pubblicazione di questo documento. I valori effettivi vengono rispecchiati per l'ambiente in uso durante la configurazione.

Passaggio 2: Firmare il certificato del provider di servizi con la CA

1) Il certificato del provider di servizi (SP) deve essere firmato da un'Autorità di certificazione (CA) attendibile e restituito in formato PKCS#12 (.p12).

Nota: Questa CA può essere firmata internamente. L'unica avvertenza è che la CA interna deve essere considerata attendibile dal dispositivo client.

Passaggio 3: Distribuire il certificato SP nell'FTD

1) Scegliere Dispositivi > Certificati.

Passa A Dispositivi E Certificati

2) Fare clic su Add Certificates (Aggiungi certificati).

Aggiungi nuovo certificato dispositivo

3) Selezionare il dispositivo dall'elenco a discesa che esegue l'autenticazione attiva, quindi fare clic sull'icona + per creare una nuova registrazione certificati.

Selezionare FTD e Aggiungi nuova registrazione certificato

4) Assegnare un nome alla registrazione certificato e dall'elenco a discesa Tipo di registrazione scegliere file PKCS12.

Impostazioni E Tipo Di Registrazione Certificati

5) Importare il file PKCS#12 facendo clic su Sfoglia file PKCS12 e immettere la passphrase richiesta. Fare clic su Save (Salva).

Sfoglia e importa file PKCS12

6) Confermare che i dettagli dell'iscrizione siano corretti e fare clic su Aggiungi.

Conferma dettagli registrazione certificato

7) L'importazione riflette in corso.

Al termine dell'importazione, le informazioni del certificato SP possono essere convalidate facendo clic sull'icona ID del certificato configurato.

Stato importazione certificati in corso

Fase 3: Configurazione di Azure

Passaggio 1: Creare l'applicazione Entra Enterprise per il toolkit SAML

1) Cercare e fare clic su Applicazioni aziendali.

Ricerca E Accesso Alle Applicazioni Aziendali

2) Fare clic su + Nuova applicazione.

Seleziona nuova applicazione nelle applicazioni enterprise

3) Cercare Microsoft Entra SAML Toolkit e fare clic sulla miniatura corrispondente.

Cerca e seleziona Microsoft Entra SAML Toolkit

4) Assegnare un nome all'applicazione Microsoft Entra SAML Toolkit Enterprise e fare clic su Crea. (Riferimento da Microsoft: Leggi l'esercitazione dettagliata sull'integrazione di Microsoft Entra SAML Toolkit (esercitazione).

Assegna nome all'applicazione SAML Toolkit

5) Nella pagina Panoramica, assegnare gli utenti e i gruppi specifici all'applicazione SAML Toolkit Enterprise. In questo esempio, l'account di test (utente-portale vincolato) è un membro del gruppo active-auth-lab.

Assegna Utenti E Gruppi All'Applicazione

6) La configurazione di questa applicazione enterprise continua nei passi successivi.

Passaggio 2: Configura registrazioni app Entra ID

1) Tornare a Entra ID e dal menu di navigazione a sinistra, scegliere Registrazioni app. Fare clic sul filtro Tutte le applicazioni e cercare il nome assegnato all'applicazione enterprise. Fare clic sull'applicazione appropriata.

Passa Alle Registrazioni Dell'App E A Tutte Le Applicazioni

2) Raccogliere e annotare i valori Essentials nella registrazione dell'app aziendale.

Importante: Passare il mouse sui valori per visualizzare Copia negli Appunti e raccogliere i valori in Essentials nella pagina Panoramica:

• Nome visualizzato
• ID applicazione (client)
• ID directory (tenant)

Raccogli Valori Di ID Di Applicazioni E Directory Di Visualizzazione E

3) Fare clic sul collegamento ipertestuale Aggiungi certificato o segreto.

Aggiungi certificato o collegamento ipertestuale segreto

4) Fare clic su + Nuovo segreto client.

Aggiungi nuovo segreto client

5) Fornire una descrizione per il segreto e modificare la scadenza se necessario. Fare clic su Add.

Fornire Una Descrizione Per Il Segreto Client

6) Copiare il segreto.

Importante: Prendere nota del valore segreto copiato negli Appunti.

Copia valore segreto client

Passaggio 3. Configurare le autorizzazioni API di Microsoft Graph per la registrazione dell'app.

1) Scegliere API Permissions dal menu di navigazione a sinistra, quindi fare clic su + Add a permission.

Configura autorizzazioni API

2) Fare clic su Microsoft Graph API.

Seleziona API di Microsoft Graph

3) Concedere le autorizzazioni Utente delegato.Lettura, quindi fare clic su Aggiungi autorizzazioni.

Concedi autorizzazioni di lettura agli utenti delegati

4) Concedi utente applicazione.Leggi.Tutte le autorizzazioni (selezionare la casella di controllo).

Concedi all'applicazione tutte le autorizzazioni

5) Cercare e selezionare la casella di controllo Group.Read.All per concedere anche le autorizzazioni di lettura di gruppo. Fare clic su Aggiungi autorizzazioni.

Salva autorizzazioni API

6) Confermare che le autorizzazioni configurate siano allineate e concedere il consenso amministrativo.

Concedi Consenso Amministrativo Per Le Autorizzazioni

7) Viene mostrato l'output, una volta ottenuto il consenso dell'amministratore.

Output concesso consenso amministrativo

Passaggio 4: Configurare lo spazio dei nomi EH (Event Hub)

1) Cercare e fare clic su Hub eventi.

Configurazione hub eventi di ricerca

2) Creare un nuovo spazio dei nomi EH.

Crea spazio dei nomi hub eventi

3) Configurare lo spazio dei nomi EH.

Nota: È necessario scegliere il piano tariffario Standard o superiore. Il piano tariffario di base impedisce l'utilizzo del realm.

Vedere la documentazione di Hub eventi di Azure per un'ulteriore valutazione delle impostazioni avanzate di Hub eventi e dell'applicabilità alle esigenze specifiche.

Fare clic su Rivedi + Crea.

Configura impostazioni spazio dei nomi hub eventi

4) Una volta completata la convalida, fare clic su Crea.

Crea distribuzione spazio dei nomi hub eventi

5) Confermare il completamento della distribuzione, quindi fare clic su Vai alla risorsa.

Vai a risorsa spazio dei nomi hub eventi

Passaggio 5: Scegliere o creare criteri di accesso condiviso nello spazio dei nomi dell'hub eventi

1) Dal menu di navigazione a sinistra, scegliere Impostazioni > Criteri di accesso condiviso.

Passa A Criteri Di Accesso Condiviso

2) Fare clic su + Aggiungi e immettere il nuovo nome del criterio, quindi selezionare la casella di controllo Gestisci. Fare clic su Crea nella parte inferiore del pannello dei menu Aggiungi criterio di firma di accesso condiviso.

Aggiungi nuovo criterio di accesso condiviso

Crea criteri di accesso condiviso

Passaggio 6: Raccogliere e annotare informazioni sulla firma di accesso condiviso (SAS) dallo spazio dei nomi EH

1) Fare clic sul nuovo criterio di accesso condiviso; la policy EH SAS viene visualizzata nel pannello laterale a destra.

Copia stringa di connessione primaria

Importante: Copiare e annotare la stringa di connessione Primary.

Passaggio 7: Creare un'istanza dell'hub eventi nello spazio dei nomi dell'hub eventi

1) Dal menu Spazio dei nomi, scegliere Entità > Hub eventi. Fare clic su + Hub eventi per creare una nuova istanza EH.

Crea nuova istanza hub eventi

2) Assegnare un nome alla nuova istanza EH, quindi fare clic su Rivedi + crea.

Assegna nome all'istanza dell'hub eventi

3) Una volta completata la convalida, fare clic su Crea per effettuare il provisioning dell'istanza dell'hub eventi.

Istanza hub eventi di provisioning

Importante: Copiare e annotare il nome dell'istanza dell'hub eventi.

Passaggio 8: Creare un gruppo di consumer dell'istanza dell'hub eventi nello spazio dei nomi dell'hub eventi

1) Fare clic sulla nuova istanza EH configurata nel passaggio precedente.

Configurazione istanza hub eventi di Access

2) Dall'istanza EH, scegliere Entità > Gruppi di consumer, quindi creare un nuovo gruppo di consumer.

Crea gruppo di consumer

3) Assegnare un nome al gruppo di consumer e fare clic su Crea.

Assegna nome al gruppo di consumer

Importante: Copiare e annotare il nome del gruppo di consumer dell'istanza dell'hub eventi.

Passaggio 9: Verifica valori raccolti

1) A questo punto, si devono prendere in considerazione i valori indicati nei punti precedenti. Se non è stato registrato alcun valore, fare riferimento alla fase in cui è stato raccolto:

• Fase 3, passaggio 2 - Registrazione dell'app (dell'app Enterprise creata per questo processo, a cui fa riferimento il nome visualizzato raccolto)
  • Fase 2, Fase secondaria 2
    • Nome visualizzato 
    • ID applicazione (client)
    • ID directory (tenant)
  • Fase 2, Fase secondaria 6
    • Segreto client
• Fase 3, passaggio 6 - Hub eventi
  • Fase 6, Fase secondaria 1
    • Spazio dei nomi EH
      • Stringa di connessione primaria
  • Fase 7, Fase secondaria 3
    • Nome istanza EH (hub eventi)
  • Passaggio 8, Passaggio Secondario 3
    • Nome gruppo di consumer EH

Passaggio 10: Configura streaming registro di controllo ID entri nell'hub eventi

1) Tornare alla configurazione Entra ID tenant.

Cerca E Passa Alla Configurazione Del Tenant Dell'ID Entra

2) Dal menu a sinistra, scegliere Monitoraggio > Impostazioni diagnostiche.

Monitoraggio delle impostazioni di diagnostica

3) Scegliere Impostazioni diagnostica > Generale e fare clic su + Aggiungi impostazione diagnostica.

Aggiungi nuova impostazione diagnostica

4) Assegnare il nome richiesto all'impostazione di diagnostica, selezionare la casella di controllo AuditLogs per eseguire il log e selezionare la casella di controllo Stream to an event hub. Fare riferimento ai valori annotati nelle configurazioni precedenti e al termine fare clic su Salva.

Esegui Streaming Dei Registri Di Controllo In Hub Eventi

Fase 4: Consolidamento della configurazione di Azure e dell'autenticazione attiva FMC/FTD

Passaggio 1: Configurare il realm di Azure SAML/Entra ID utilizzando la procedura guidata FMC

1) In FMC, scegliere Integrazioni > Identità > Realm.

Configurazione realm di identità

2) Fare clic su Aggiungi realm nell'elenco a discesa e scegliere SAML - Azure AD.

Aggiungi area di autenticazione di Azure AD SAML

3) Assegnare un nome e una descrizione all'area di autenticazione di Azure per descriverne l'utilizzo e assicurarsi che l'autenticazione passiva con Azure AD o l'utilizzo del portale captive con Azure AD sia selezionata dall'elenco a discesa Tipo di configurazione. Fare clic su Next (Avanti).

Configurare le impostazioni del realm di Azure AD

4) Scegliere l'oggetto FQDN configurato in precedenza come URL di base. Immettere l'ID entità nel formato di stringa indicato:

https://<fqdn-base-url>/<uniqueSuffix>

• Quando viene configurato il suffisso ID entità SAML (sottolineato in verde nell'esempio di configurazione seguente), assicurarsi che il suffisso sia univoco tra le altre implementazioni SSO all'interno dell'ambiente. Questo valore deve corrispondere anche alla configurazione SAML di Azure. L'URL di base rimane lo stesso per tutta la configurazione.
• L'URL di Assertion Consumer Services (ACS) viene popolato automaticamente e non è modificabile.
• Scegliere il certificato del provider di servizi (SP) registrato nei passaggi precedenti del flusso di lavoro in FMC in Dispositivi > Certificati.
• Dopo aver immesso questi valori, fare clic su Scarica metadati provider di servizi per semplificare il processo di configurazione e confermare che i valori previsti sono stati scritti in Azure.

Configurazione dell'URL di base e dell'ID entità e download dei metadati SAML

5) Fare clic su Next (Avanti) per passare alla sequenza 3 della configurazione del realm.

Passaggio 2: Implementare i metadati di SP SAML configurati da FMC nell'applicazione Azure Enterprise

1) Tornare ad Azure e scegliere Entra ID > Gestisci > Applicazioni enterprise. Cercare l'istanza creata in precedenza dell'applicazione Microsoft Entra SAML Toolkit Enterprise.

Individuazione applicazione Microsoft Entra SAML Toolkit

2) Dal menu di navigazione laterale, scegliere Gestisci > Single Sign-On.

Gestisci configurazione Single Sign-On

3) Fare clic sulla modalità SAML Single Sign-On (SSO).

Selezione modalità Single Sign-On SAML

4) Fare clic su Upload metadata file (Carica file metadati) e fare clic sull'icona blu della cartella per cercare nel file system locale il file di metadati SAML scaricato dal FMC.

Caricamento Di File Di Metadati Da Centro Gestione Firewall

5) Una volta completato il caricamento, fare clic su Add (Aggiungi).

Aggiungi applicazione di configurazione SAML

6) Viene visualizzato il pannello laterale per la configurazione SAML di base e valori quali l'identificatore (ID entità) e l'URL ACS vengono estratti dal file XML dei metadati SP originato da FMC caricato e applicato automaticamente. Tuttavia, l'URL di accesso non viene popolato ed è obbligatorio prima del salvataggio.

Estrazione configurazione SAML di base

7) Usare il modello di URL per l'accesso fornito, copiare e incollare il valore, quindi fare clic su Salva in alto al termine dell'operazione.

Voce di configurazione URL di accesso

Scorrere verso il basso fino a Certificati SAML ed esportare il file XML dei metadati federativi generati da Azure per l'importazione in Cisco Secure FMC.

Esporta file XML metadati federazione

Passaggio 3: Configurare il realm di Azure SAML/Entra ID utilizzando la procedura guidata di Gestione risorse cluster (continua)

1) Tornare al CCP. Nella sequenza 3, Metadati IdP (SAML Identity Provider), caricare il file XML dei metadati federativi esportati scaricato da Azure in FMC per popolare automaticamente i valori necessari.

Carica file XML metadati federazione

2) Una volta caricati, i valori vengono popolati come mostrato.

Valori provider di identità SAML popolati automaticamente

Nota: Nell'immagine viene visualizzata un'uscita parziale.

3) Inserire i valori raccolti durante l'intero processo di implementazione fino a questo punto:

• Registrazione app
  • ID applicazione (client)
  • Segreto client
  • ID directory (tenant)
• Hub eventi
  • Nome host spazio dei nomi EH
    • Stringa di connessione primaria dello spazio dei nomi EH
  • Nome istanza EH (hub eventi)
    • Nome gruppo di consumer EH

Immettere Le Informazioni Dell'Hub Eventi E Dell'Applicazione

Dopo l'immissione, fare clic su Test per verificare la connessione e verificare che Azure sia raggiungibile con le informazioni fornite.

Nota: Se applicabile, verificare che i gruppi di utenti esclusi/inclusi siano allineati alla configurazione Entra

4) Il passaggio finale della procedura guidata consente di configurare il timeout di SAML Captive Portal Users. L'impostazione predefinita è 1440 minuti.

Configura timeout Captive Portal

5) Fare clic su Next (Avanti) per continuare.

Sposta avanti con la configurazione del realm di Azure AD

6) La procedura guidata fornisce un riepilogo della configurazione implementata. Fare clic su Salva alla fine del riepilogo dopo che i valori immessi sono stati convalidati e confermati.

Pulsante Salva riepilogo configurazione realm

Passaggio 4: Controlla utenti scaricati

1) Confermare che gli utenti possano essere scaricati da Azure Entra con il pulsante Scarica ora nel flusso di lavoro Integrations > Identity > Realms.

Scarica utenti da Azure AD

2) Fare clic su Yes (Sì) in risposta al prompt della finestra di dialogo.

Conferma download utenti da Azure AD

3) L'operazione di download produce 1 utente e 1 gruppo scaricati, come confermato in Notifiche > Operazioni.

Voce di notifica per il download di utenti da Azure AD

Fase 5: Configurare i criteri in FMC

Passaggio 1: Configura criterio di decrittografia

1) In FMC, scegliere Policies > Security Policies > Decryption (Policy di sicurezza > Decrittografia).

Passa Al Criterio Di Decrittografia

2) Fare clic sull'elenco a discesa Crea nuovo e scegliere Criterio di decrittografia (basato su regole).

Crea nuovo criterio di decrittografia basato su regole

3) Assegnare un nome e, se si desidera, una descrizione al nuovo criterio di decrittografia basato su regole e fare clic sull'opzione della scheda Connessioni in uscita (protezione utente) per implementare la funzionalità Decrittografia-abbandono necessaria per l'autenticazione del portale vincolato (autenticazione attiva). 

Implementa dettagli criteri connessioni in uscita

4) Scegliere la CA interna applicata in precedenza dall'elenco a discesa applicabile nella stessa finestra di dialogo. Fare clic su Next (Avanti).

5) Personalizzare le opzioni in base alle esigenze.

Personalizza opzioni criteri di decrittografia

6) Nell'esempio, vengono utilizzati i valori predefiniti, ad eccezione dei dettagli di policy obbligatori. Completare la configurazione guidata facendo clic su Crea criterio.

Crea criterio di decrittografia finale

Passaggio 2: Configura regole dei criteri di decrittografia

1) Di seguito è illustrato il layout predefinito di un criterio di decrittografia basato su regole. Il traffico che non corrisponde alle regole abilitate predefinite, ad esempio la regola 3 (che fa riferimento a un elenco preallocato di nomi di dominio non decrittografabili) e la regola 6 (che fa riferimento ad applicazioni contrassegnate come non decrittografabili), è soggetto all'azione Decrittografa - abbandona in base alla regola 7. Queste impostazioni predefinite, insieme all'azione predefinita, possono essere modificate in base alle esigenze. Per impostazione predefinita, il traffico che non soddisfa nessun'altra regola è configurato come Non decrittografare.

Il traffico del servizio di autenticazione di Azure non deve essere decrittografato per l'ispezione, quindi è stata creata una regola dedicata. Fare clic su + Aggiungi regola per iniziare.

Aggiungi Regola E Visualizzazione Del Layout Di Decrittografia Predefinito Basato Su Regola

2) Assegnare un nome alla nuova voce della regola di decrittografia, scegliere Non decrittografare dall'elenco a discesa Azione e posizionare la regola nella parte superiore, con regole meno specifiche. Per restringere ulteriormente la regola, vengono implementate anche le zone di origine/destinazione.

Configura regola di non decrittografia

3) Prima di aggiungere la regola, fare clic sulla scheda Applicazioni, cercare e fare clic sull'applicazione del servizio di autenticazione di Azure. Fare clic su Aggiungi alla regola, quindi su Aggiungi.

Aggiungi regola applicazione del servizio di autenticazione di Azure

4) Fare clic su Save (Salva).

Salva criterio di decrittografia

Passaggio 3: Crea criterio di identità

1) Scegliere Criteri > Criteri di sicurezza > Identità per creare un criterio di identità.

Crea criterio di identità

2) Creare un nuovo criterio di identità e fare clic su Aggiungi nuovo criterio.

Aggiungi nuova configurazione dei criteri di identità

3) Assegnare un nome e, se applicabile, una descrizione alla nuova politica di identità. Fare clic su Save (Salva).

Nome nuovo criterio di identità

Passaggio 4: Configura regole dei criteri di identità

1) Aggiungere una nuova regola facendo clic su + Aggiungi regola.

Aggiungi nuova regola dei criteri di identità

2) Assegnare un nome alla nuova regola, scegliere Autenticazione attiva dall'elenco a discesa Azione e limitare le zone/reti specifiche che devono corrispondere alla regola per eseguire l'Autenticazione attiva.

Configura impostazioni regole di autenticazione attive

3) Prima di fare clic su Aggiungi, fare clic sulla scheda Realm and Settings (Area di autenticazione e impostazioni) all'interno dell'editor delle regole. Confermare che il realm configurato nei passaggi precedenti sia stato scelto come realm di autenticazione, quindi fare clic su Aggiungi.

Configura Realm E Impostazioni Per La Regola Di Identità

4) La regola viene aggiunta e configurata. Fare clic su Save (Salva).

Salva configurazione regole dei criteri di identità

Passaggio 5: Configurare i criteri di controllo di accesso

1) Scegliere Criteri > Criteri di sicurezza > Controllo di accesso, quindi fare clic sulla Policy di controllo di accesso a cui è assegnato l'FTD.

Configurazione dei criteri di controllo dell'accesso

2) Confermare che i criteri di decrittografia configurati nei passaggi precedenti siano applicati ai criteri di controllo dell'accesso.

Applica Criterio Di Decrittografia Al Controllo Di Accesso

3) Confermare che i criteri di identità configurati nei passaggi precedenti siano applicati anche ai criteri di controllo di accesso. Salvare le modifiche ai criteri.

Applica criterio di identità al controllo di accesso

4) Confermare l'esistenza di regole che consentano il traffico dei data plane client attraverso il firewall protetto dopo la riuscita dell'autenticazione attiva. Nell'esempio riportato di seguito viene utilizzato un set di regole più ampio in base all'ambiente lab.

Set di regole di traffico del piano dati utente

Passaggio 6: Distribuire le configurazioni sui dispositivi Cisco Secure Firewall

Dopo la distribuzione, ai client che inviano traffico viene richiesta una pagina Web di accesso Microsoft per eseguire l'autenticazione attiva con Azure Entra.

Per ulteriori informazioni sul processo documentato qui, vedere Creare un'area di autenticazione SAML (Microsoft Azure AD) per l'autenticazione attiva (portale captive) - Capitolo: Realm nella Guida alla configurazione dei dispositivi di FMC 10.x.

Verifica

Per verificare che la configurazione funzioni correttamente, consultare questa sezione.

GUI

Convalida sessioni utente e attività nel CCP:

• Scegliere Integrazioni > Utenti > Sessioni attive.

Output sessioni attive FMC

• Scegliere Integrazioni > Utenti > Attività utente.

Output attività utente FMC

In Azure, passare all'interfaccia di amministrazione di Microsoft Entra:

• Filtra app aziendali, cerca/fai clic sull'app applicabile.

Esplorazione app aziendali Entra Admin Center di Azure

• Scegliere Attività > Log di accesso.

Registri attività di accesso applicazione aziendale di Azure

CLI

• Nella CLI FTD è possibile visualizzare le statistiche relative alle risposte SAML e captive portal:

> debug menu captive-portal 6
SAML passed requests captive-portal 14
SAML failed requests captive-portal 0
SAML passed responses captive-portal 4
SAML failed responses captive-portal 0
Total captive-portal bee-client messages processed 4
Total captive-portal bee-client messages successful 4
Total captive-portal bee-client messages failed 0
Total bee-client reconnects 0

Risoluzione dei problemi

Debug Captive Portal

• Il comando system support captive-portal-debug può essere usato sull'FTD. Nell'output viene illustrato come abilitare il debug e vengono annotati i segmenti chiave dell'output per comprendere il flusso del portale vincolato.

> system support captive-portal-debug

Enable firewall-debug too? [n]: y  
Enable identity-debug too? [n]: y  
Please specify an IP protocol: tcp  
Please specify a client IP address: 192.168.20.200  
Please specify a client port:  
Please specify a server IP address:  
Please specify a server port:  
Enable daq-debug too? (WARNING: current packet debug configs and logs will be overwritten) [n]:  
Monitoring captive_portal and firewall and identity debug messages

!--- Baseline output pending user Captive Portal authentication
...
192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 match rule order 1, id 1 action Captive portal, active auth realm id 2

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 didn't find active binding, initiating captive portal

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 captive portal authentication started

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 defer trust until captive portal redirect is sent.

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 Current state = S_INIT, Event = EVT_CP_RULE, Next state = S_PENDING_USER
...
!--- Captive Portal probe intercepted and redirected to SAML IdP (generate_204)
...
192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 AppID session with service_id: 676, url: http://browserportal.example.com

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_PENDING_USER, Event = EVT_APPID_HTTP_HEADERS, Next state = S_REDIRECTING

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 app event changes: service, client, host, url, user-agent, client-info

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 using ipv4 address 192.168.20.1 for redirect

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 encrypted redirect url: https://ftd-inside.example.com/+CSCOE+/saml/sp/login?tgname=azure-entra-saml&s=xxxx=http%3A%2F%2Fbrowserportal.example.com%2Fgenerate_204

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_REDIRECTING, Event = EVT_FINALIZE, Next state = S_REDIRECTED
...
!--- SAML authentication completes, identity binding created 
...

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 looked for user_id with realm_id 2 auth_type 2, returning realm_id 2 auth_type 8 user_id 0

192.168.20.200 54023 -> 198.51.100.280 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 IdentityFlowSetupEventHandler Retrieved identity info: user_id 0, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com, authRealmId 2, src sgt 0, src sgt type unknown, dst sgt 0, dst sgt type unknown, deviceType 0, locationIP ::

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 New firewall session

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 allow action
...
!--- Authenticated binding persists across subsequent, unrelated destinations (no further redirects)
...
192.168.20.200 54024 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54025 ->  198.51.100.1 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54026 ->  198.51.100.2 80 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54027 ->  198.51.100.3 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 19935 ->  198.51.100.4 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2
...

Dump identità utente

• Per creare un'istantanea dei dati sullo stato dell'identità dell'utente corrente sull'FTD, eseguire il comando system support firewall-engine-dump-user-identity-data sulla CLI dell'FTD:

> system support firewall-engine-dump-user-identity-data

Successfully commanded snort.

>

• Nella CLI in modalità expert, durante l'accesso con le credenziali di amministratore locale del dispositivo FTD, visualizzare il contenuto del file scaricato in /ngfw/var/sf/user_enforcement/user_identity.dump

> expert
admin@ftd:~$ sudo su
Password:
root@ftd:/home/admin#
root@ftd:/home/admin# ls -lah /ngfw/var/sf/user_enforcement/user_identity.dump
-rw------- 1 root root 5.6K Oct  7 07:51 /ngfw/var/sf/user_enforcement/user_identity.dump
root@ftd:/home/admin# 
root@ftd:/home/admin# less /ngfw/var/sf/user_enforcement/user_identity.dump
...
----------------
IP:USER
----------------

!--- Host IP is aligned with the user authenticated via Captive Portal/Active Authentication
----------------
Host ::ffff:192.168.20.200
----------------
::ffff:192.168.20.200:0 realm 2 type 8, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com
::ffff:192.168.20.200: SXP initialized 0 sgt 0
ABP values: None

-------------------
SXP MAPPING:
-------------------

...

Problemi possibili

Autorità di certificazione sconosciuta del portale vincolato

Problema: Il browser client restituisce un errore dell'autorità emittente sconosciuta quando viene tentata l'autenticazione.

Probabile causa: L'autorità di certificazione interna non è attendibile nel browser client.

Risoluzione: Verificare che la CA sia attendibile nel browser. L'esempio riportato conferma che il certificato CA interno è attendibile.

Portale vincolato "Server non trovato

Problema: Quando il browser client tenta di caricare il portale vincolato, restituisce "Server Not Found" (Server non trovato) per l'URL di base durante il tentativo di raggiungere l'URL di base o simili.

Probabile causa: Raggiungibilità DNS o configurazione errata DNS.

Risoluzione: Verificare che il client disponga del server DNS appropriato configurato per risolvere il record A. Verificare che il server disponga di un record A mappato all'FQDN e che sia raggiungibile e reattivo.

Informazioni correlate

• Creare un'area di autenticazione di Microsoft Azure AD (SAML) per l'autenticazione attiva (portale captive) - Guida alla configurazione del dispositivo FMC 10.x
• Documentazione di Hub eventi di Azure
• Documentazione e supporto tecnico – Cisco Systems