ISE(RADIUS)を使用したAsyncOS外部認証の設定
はじめに
このドキュメントでは、Cisco Secure Email GatewayとCisco Identity Services Engineの間のRADIUS外部認証の設定について説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- 認証、許可、アカウンティング（AAA）
- RADIUSクラス属性。
- Cisco ISEアイデンティティ管理および認可ポリシー
- Cisco Secure Email Gateway(ESA)およびSecure Email and Web Manager(SMA)のユーザロール
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- Cisco ISE 2.4
- Cisco Secure Email Gateway(ESA)13.5.1、13.7.0
- Cisco Secure Email and Web Manager(SMA)13.6.2
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
関連製品
「使用するコンポーネント」セクションに記載されているバージョン以外のバージョンはテストされていません。
バックグラウンド情報
RADIUSクラス属性
Class属性は、RADIUSサーバがAccess-Accept応答で返す任意の値であり、アカウンティングパケットに含まれます。Cisco ISEでは、グループ単位で設定されます。
ユーザが、属性25が関連付けられているISEグループに一致すると、ISEはAccess-Acceptでクラス値を返します。次に、Secure Email Gatewayはその値を読み取り、マッピングテーブルで定義されているローカルロールを適用します。
注:ISE認可プロファイルでは、RADIUS属性25（クラス）を入力するコンテナとしてASA VPN共通タスクが使用されます。 入力された値は、ロールマッピングのためにアプライアンスが読み取る値です。
設定
ネットワーク図
Cisco Identity Services Engine(ISE)は、アプライアンスからの認証要求を受け入れ、ユーザIDおよびグループと照合します。
ステップ 1：認証用のIDグループの作成
ISE サーバにログインします。Administration > Identity Management > Groups > User Identity Groupの順に移動し、IDグループを作成します。
ステップ 2認証用のローカルユーザの作成
新しいユーザを作成するか、ステップ1で作成したアイデンティティグループに既存のユーザを割り当てます。Administration > Identity Management > Identitiesの順に移動し、ユーザを作成するか、グループに割り当てます。
ステップ 3認可プロファイルの作成
RADIUS認証は許可プロファイルなしで成功できますが、ロールは割り当てられません。ロールを割り当てるには、Policy > Policy Elements > Results > Authorization > Authorization Profilesの順に移動します。
ステップ 4認可ポリシーの作成
この手順により、ISEはログイン試行を識別し、正しい認可プロファイルにマッピングできます。一致が成功すると、ISEはプロファイルで定義されているクラス値とともにAccess-Acceptを返します。
Policy > Policy Setsの順に移動し、Add （+記号）を選択します。
名前を割り当て、プラス記号を選択して必要な条件を追加します。このラボ環境では、Radius NAS-IP-Address条件を使用します。新しいポリシーを保存します。
許可要求を正しく一致させるには、条件を追加します。シンボル>を選択し、条件を追加します。このラボ環境ではInternalUser-IdentityGroupを使用し、各認可プロファイルを照合します。
ステップ 5アプライアンスでの外部認証の有効化
アプライアンスにログインします。System Administration > Users > External Authenticationの順に移動し、Enable External Authenticationを選択します。
次の値を入力してください。
- RADIUSサーバホスト名
- ポート
- 共有秘密
- タイムアウト値（秒）
- Authentication Protocol
Map externally authenticated users to multiple local roles (recommended)を選択します。
注：ここで選択した認証プロトコル（PAPなど）は、ISEポリシーセットで許可されているプロトコルと一致している必要があります。不一致があると、認証が失敗します。
変更を送信し、保存します。
確認
ここでは、設定が正常に動作していることを確認します。
- 外部認証ユーザを使用してアプライアンスにログインします。
- アクセスが許可されたことを確認します。
- 割り当てられたロールが、返されたClass値から期待されるロールと一致することを確認します。
- ISEで、予想される認可ルールが一致し、正しいクラス値(Operations > RADIUS > Live Logs)が返されたことを確認します。
トラブルシュート
このセクションでは、設定のトラブルシューティングに役立つ情報を説明します。
症状：アプライアンスでログインが失敗し、「Invalid username or password」というメッセージが表示されます。
考えられる原因：認証ポリシー、返されたクラス値、または認証プロトコルの不一致。
解決策：
- アプライアンスの外部認証設定で、一時的にMap all external authenticated users to the Administrator roleを選択します（図11）。
- 変更を送信して確定し、新しいログインを試行します。
- ログインが成功した場合、問題はロールマッピングにあります。ISE認可プロファイル（クラス/属性25）と認可ポリシーの設定を再確認します。
- ISEでOperations > RADIUS > Live Loggingの順に選択し、一致した許可プロファイルと、返されたクラス値を確認します。
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
21-Jul-2026
|
機械翻訳、SEO、代替テキスト、スタイル要件、およびフォーマットが更新されました。 |
1.0 |
26-May-2021
|
初版 |
フィードバック