内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

設定

確認

トラブルシュート

概要

このドキュメントでは、Azure ADグループメンバーシップと、認証プロトコルとしてEAP-TLSまたはTEAPを使用するその他のユーザ属性に基づいて、ISEで認証ポリシーを設定し、トラブルシューティングする方法について説明します。

著者：Emmanuel Cano、セキュリティコンサルティングエンジニア、Romeo Migisha、テクニカルコンサルティングエンジニア

前提条件

要件

次の項目に関する知識があることが推奨されます。

- Identity Services Engine（ISE）

- Microsoft Azure AD、サブスクリプション、アプリ

- EAP-TLS CA1 を関連付けます

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco ISE 3.2

- Microsoft Azure AD

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

ISE 3.0では、ISEとAzure Active Directory (AAD)の統合を活用して、リソース所有者のパスワード資格情報(ROPC)通信を通じて、Azure ADのグループと属性に基づいてユーザーを認証することができます。ISE 3.2では、証明書ベースの認証を設定でき、Azure ADグループメンバーシップやその他の属性に基づいてユーザを認証できます。ISEはGraph APIを使用してAzureにクエリを実行し、認証されたユーザーのグループと属性を取得します。Azure側のユーザープリンシパル名(UPN)に対して証明書のサブジェクト共通名(CN)を使用します。

注：証明書ベースの認証は、内部方式としてEAP-TLSまたはEAP-TLSを使用したTEAPのいずれかになります。次に、Azure Active Directoryから属性を選択し、Cisco ISEディクショナリに追加できます。これらの属性は認可に使用できます。ユーザ認証のみがサポートされます。

設定

ネットワーク図

次の図に、ネットワークダイアグラムとトラフィックフローの例を示します

手順：

1. 証明書は、内部方式としてEAP-TLSまたはEAP-TLSを使用するTEAPを介してISEに送信されます。

2. ISEはユーザの証明書（有効期間、信頼できるCA、CRLなど）を評価します。

3. ISEは証明書サブジェクト名(CN)を取得し、Microsoft Graph APIをルックアップして、そのユーザのグループおよびその他の属性を取得します。これは、Azure側ではユーザープリンシパル名(UPN)と呼ばれます。

4. ISE認証ポリシーは、Azureから返されたユーザーの属性に対して評価されます。

注：次に示すように、Graph API権限を設定し、Microsoft AzureのISEアプリケーションに付与する必要があります。

設定

ISE の設定

注:ROPCの機能とISEとAzure ADの統合については、このドキュメントの対象外です。グループとユーザー属性をAzureから追加することが重要です。設定ガイドhereを参照してください。

証明書認証プロファイルの設定

ステップ 1： 移動先 Menuアイコン を選択します。 [Administration] > [Identity Management] > [External Identity sources]

ステップ 2： 選択 証明書認証 [Profile]をクリックし、 追加.

ステップ 3： 名前を定義し、 IDストア [Not applicable]を選択し、[Subject - Common Name on]を選択します [Use Identity From] フィールドにプローブ間隔値を入力します。[Never on Match]を選択します。 IDストア内の証明書に対するクライアント証明書 フィールドにプローブ間隔値を入力します。

ステップ 4： クリック 保存します。

ステップ 5： 移動先 Menuアイコン を選択します。 [Policy] > [Policy Sets]。

手順 6： プラス記号を選択します アイコンをクリックして、新しいポリシーセットを作成します。名前を定義し、条件として[Wireless 802.1x]または[Wired 802.1x]を選択します。この例では、[Default Network Access]オプションを使用します

手順 7： 矢印を選択します [Default Network Access]の横に表示され、認証ポリシーと許可ポリシーを設定します。

ステップ 8： [Authentication Policy]オプションを選択し、名前を定義してEAP-TLSを[Network Access EAPAuthentication]として追加します。TEAPが認証プロトコルとして使用されている場合、TEAPを[Network Access EAPTunnel]として追加できます。ステップ3で作成した証明書認証プロファイルを選択し、 保存します。.

ステップ 9： [Authorization Policy]オプションを選択し、名前を定義して、Azure ADグループまたはユーザー属性を条件として追加します。[結果(Results)]でプロファイルまたはセキュリティグループを選択し、使用例に応じて、 保存します。.

ユーザ設定.

認証ルールで使用されるADグループメンバーシップとユーザー属性を取得するには、ユーザー証明書のサブジェクト共通名(CN)がAzure側のユーザープリンシパル名(UPN)と一致する必要があります。認証を成功させるには、ルートCAおよび中間CA証明書がISE信頼ストアに存在する必要があります。

確認

ISEの検証

Cisco ISE GUIで、[Menu] アイコンをクリックします を選択し、 [Operations] > [RADIUS] > [Live Logs for network authentications (RADIUS)]。

[Details]列の拡大鏡アイコンをクリックして詳細な認証レポートを表示し、フローが期待どおりに機能するかどうかを確認します。

1. 認証/認可ポリシーの確認

2. 認証方式/プロトコル

3. 証明書から取得されたユーザのサブジェクト名

4. Azureディレクトリからフェッチされたユーザーグループおよびその他の属性

トラブルシュート

ISEでのデバッグの有効化

移動先 Administration > System > Logging > Debug Log Configuration をクリックして、次の構成部品を指定したレベルに設定します。

ノード

コンポーネント名

ログ レベル

ログファイル名

PSN

rest-id-store

デバッグ

rest-id-store.log

PSN

runtime-AAA

デバッグ

prrt-server.log

注：トラブルシューティングが終了したら、必ずデバッグをリセットしてください。これを行うには、関連するノードを選択し、「デフォルトにリセット」をクリックします。

ログのスニペット

次の抜粋は、「ネットワークダイアグラム」セクションで前述したように、フローの最後の2つのフェーズを示しています。

1. ISEは証明書のサブジェクト名(CN)を取得し、Azure Graph APIのルックアップを実行して、そのユーザのグループおよびその他の属性を取得します。これは、Azure側ではユーザープリンシパル名(UPN)と呼ばれます。

2. ISE認証ポリシーは、Azureから返されたユーザーの属性に対して評価されます。

Rest-idログ:

Prrtログ: