ISE管理のための証明書またはスマートカードベースの認証の設定

はじめに

このドキュメントでは、Identity Services Engine(ISE)管理アクセスのクライアント証明書ベースの認証を設定する方法について説明します。この例では、ISE管理者はユーザ証明書に対して認証を行い、Cisco Identity Services Engine(ISE)管理GUIへの管理者アクセスを取得します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• パスワードおよび証明書認証用のISE設定。
• Microsoft Active Directory(AD)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Cisco Identity Services Engine(ISE)バージョン2.6
• Windows Active Directory(AD)Server 2008リリース2
• 証明書

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。稼働中のネットワークで作業を行う場合、設定による潜在的な影響を十分に理解しておく必要があります。

設定

このセクションでは、Cisco ISE管理GUIへの管理アクセスの外部IDとしてクライアント証明書またはスマートカードを設定します。

ネットワーク図

ISEのActive Directoryへの参加

1. Administration を選択します> Identity Management > External Identity Sources > Active Directoryの順に選択します。
   
   
2. Cisco ISEで、参加ポイント名、ADドメインを使用してActive Directoryインスタンスを作成します。
   
   
3. [Submit] をクリックします。
   
   
   
   
4. プロンプトで適切なユーザ名とパスワードを使用してすべてのノードに参加します。
   
   
   
   
5. [Save] をクリックします。

ディレクトリ グループの選択

1. 外部管理者グループを作成し、Active Directoryグループにマッピングします。
   
   
2. Administration > を選択します。Identity Management > External Identity Sources > Active Directory > Groups > Select Groups from Directoryの順に選択します。
   
   
3. 管理者が属するADグループを少なくとも1つ取得します。
   
   
   
   
4. [Save] をクリックします。

管理アクセスのActive Directoryパスワードベース認証を有効にする

1. 以前にISEに参加したパスワードベースの認証方式としてActive Directoryインスタンスを有効にします。
   
   
2. 図に示すように、Administration > System > Admin access > Authenticationの順に選択します。
   
   
   
   
3. [Save] をクリックします。

注：証明書ベースの認証を有効にするには、パスワードベースの認証の設定が必要です。この設定は、証明書ベースの認証の設定が正常に行われた後で元に戻す必要があります。

外部IDグループの管理グループへのマッピング

この例では、外部ADグループはデフォルトの管理グループにマッピングされます。

1. Administration >System >Admin Access > Administrators >の順に選択します。管理グループ>スーパー管理者。
   
   
2. Type as Externalにチェックマークを付けて、External groupsの下でADグループを選択します。
   
   
   
   
3. [Save] をクリックします。
   
   
4. Administration > System > Admin Access > Administrators > Admin Groups > Read Only Adminの順に選択します。
   
   
5. 図に示すように、Type as Externalにチェックマークを付けて、External groupsの下でADグループを選択します。
   
   
   
   
6. [Save] をクリックします。

信頼できる証明書のインポート

1. クライアント証明書に署名する認証局(CA)証明書をインポートします。
   
   
2. 選択 Administrator > System > Certificates > Trusted Certificate > Import
   
   
3. browseをクリックし、CA証明書を選択します。
   
   
4. 図に示すように、Trust for client authentication and Syslogチェックボックスにチェックマークを付けます。
   
   
   
   
5. [Submit] をクリックします。
   

証明書認証プロファイルの設定

1. クライアント証明書ベースの認証用の証明書認証プロファイルを作成するには、Administration >Identity Management > External Identity Sources > Certificate Authentication Profile > Addの順に選択します。
   
   
2. プロファイル名を追加します。
   
   
3. 証明書属性に管理者ユーザ名を含む適切な属性を選択します。
   
   
4. ユーザのADレコードにユーザの証明書が含まれており、ブラウザから受信した証明書をADの証明書と比較する場合は、Always perform binary comparisonチェックボックスにチェックマークを入れて、先ほど指定したActive Directoryインスタンス名を選択します。
   
   
   
   
5. [Submit] をクリックします。

注：エンドポイントのIDベースの認証にも、同じ証明書認証プロファイルを使用できます。 

クライアント証明書ベースの認証を有効にする

1. 選択 Administration > System > Admin Access > Authentication > Authentication Method Client Certificate Based.
   
   
   
   
2. [OK] をクリックします。
   
   
3. 以前に設定したCertificate Authentication Profileを選択します。
   
   
4. Active Directoryインスタンス名を選択します。
   
   
   
   
5. [Save] をクリックします。
   
   
6. 導入環境のすべてのノード上のISEサービスが再起動します。
   
   

確認

アプリケーションサーバ(ACS)サービスステータスが実行に変更された後のISE GUIへのアクセスを確認します。

Super Adminユーザ：証明書がSuper Admin外部IDグループのユーザ部分の証明書である場合は、ISE GUIにログインするために証明書を選択するように求めるプロンプトがユーザに表示され、Super Admin権限が付与されていることを確認します。

Read-only Admin User:ISE GUIにログインするために証明書を選択するように求めるプロンプトがユーザに表示されていること、および証明書がRead-only Admin External Identityグループのユーザ部分に属している場合はRead-only Admin権限がユーザに付与されていることを確認します。

注：Common Access Card(CAC)を使用している場合、ユーザが有効なスーパーPINを入力すると、スマートカードはユーザ証明書をISEに提示します。

トラブルシュート

1. application start ise safeコマンドを使用して、Cisco ISEをセーフモードで起動します。このモードでは、管理ポータルへのアクセス制御を一時的に無効にできます。設定を修正し、application stop iseコマンドの後にapplication start iseコマンドを使用してISEのサービスを再起動します。.
   
2. セーフオプションを使用すると、管理者が誤ってすべてのユーザのCisco ISE Adminポータルへのアクセスをロックアウトした場合に、回復する手段が提供されます。このイベントは、管理者がAdministration > Admin Access > Settings > Access pageで誤ったIP Accessリストを設定している場合に発生することがあります。safeオプションも証明書ベースの認証をバイパスし、Cisco ISE Adminポータルにログインするためのデフォルトのユーザ名とパスワードの認証に戻ります。