SNAマネージャアクセスのためのLDAPSを介した外部認証および許可の設定

はじめに

このドキュメントでは、Lightweight Directory Access Protocol(LDAP)over SSLを使用したSecure Network Analytics Manager(NAM)の基本設定について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Cisco Secure Network Analytics（旧Stealthwatch）
• 一般的なLDAPおよびSSLの動作
• 一般的なMicrosoft Active Directory管理

使用するコンポーネント

このドキュメントの情報は、次のコンポーネントに基づくものです。

• Cisco Secure Network Analytics Manager（旧称SMC）バージョン7.3.2
• Active Directoryドメインコントローラとして構成されたWindows Server 2016 

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

設定

ステップA:ADドメインコントローラにログインし、LDAPに使用されるSSL証明書をエクスポートします

1. Windows Server 2012以降の場合は、StartメニューからRunを選択し、certlm.mscと入力してステップ8に進みます。 
2. 以前のバージョンのWindows Serverの場合は、StartメニューからRunを選択し、mmcと入力します。
3. FileメニューからAdd/Remove Snap Inを選択します。
4. Available snap-insリストからCertificatesを選択し、Addをクリックします。

5. Certificates snap-inウィンドウで、Computer accountを選択し、Nextを選択します。

6. Local computerを選択したままにし、Finishを選択します。

7. Add or Remove Snap-inウィンドウで、OKを選択します。

8. 「証明書（ローカル・コンピュータ）」>「個人」>「証明書」に移動します

9. ドメインコントローラのLDAPS認証に使用するSSL証明書を選択して右クリックし、Openをクリックします。

10. Detailsタブに移動> Copy to File > Nextの順にクリックします

11. No, do not export private keyが選択されていることを確認し、Nextをクリックします。

12. Base-64 encoded X.509 formatを選択し、Nextをクリックします。

13. 証明書を保存する場所を選択し、ファイルに名前を付けてNextをクリックします。

14. Finishをクリックすると、「The export was successful.」というメッセージが表示されます。

15. LDAPSに使用される証明書に戻り、Certification Pathタブを選択します。

16. 認証パスの最上部でルートCA発行者を選択し、View Certificateをクリックします。

17. ステップ10 ～ 14を繰り返し、LDAPS認証に使用する証明書に署名したルートCAの証明書をエクスポートします。

注：導入環境では多層CA階層を使用できます。この場合、同じ手順を使用して、信頼チェーン内のすべての中間証明書をエクスポートする必要があります。

18. 続行する前に、LDAPSサーバー用の証明書ファイル、および証明書パス内の発行機関ごとに、ルート証明書と中間証明書（該当する場合）が1つあることを確認してください。

ステップB:SNAマネージャにログインし、LDAPサーバとルートチェーンの証明書を追加します

1. Central Management > Inventoryの順に移動します。
2. SNAマネージャアプライアンスを探し、Actions > Edit Appliance Configurationの順にクリックします。
3. Appliance Configurationウィンドウで、Configuration Menu > Trust Store > Add Newの順に選択します。
4. Friendly Nameを入力し、Choose FileをクリックしてLDAPサーバの証明書を選択し、Add Certificateをクリックします。
5. 前の手順を繰り返して、ルートCA証明書と中間証明書（該当する場合）を追加します。
6. アップロードされた証明書が正しいことを確認し、Apply Settingsをクリックします。

7. 変更が適用され、マネージャ・ステータスがUpになるまで待機します。

手順C. LDAP外部サービス設定の追加

SNAバージョン7.2以降

1. マネージャのメインダッシュボードを開き、グローバル設定>ユーザ管理に移動します。

2. 「ユーザー管理」ウィンドウで、「認証および認可」タブを選択します。

3. Create > Authentication Serviceの順にクリックします。

4. Authentication ServiceドロップダウンメニューからLDAPを選択します。

5. 必須フィールドに入力します。

フィールド	注意事項
フレンドリ名	LDAPサーバの名前を入力します。
説明	LDAPサーバの説明を入力します。
Server address	LDAPサーバ証明書のサブジェクト代替名(SAN)フィールドで指定された完全修飾ドメイン名(FQDN)を入力します。 SANフィールドにIPv4アドレスだけが含まれている場合は、Server AddressフィールドにIPv4アドレスを入力します。 SANフィールドにDNS名が含まれている場合は、Server AddressフィールドにDNS名を入力します。 SANフィールドにDNS値とIPv4値の両方が含まれている場合は、リストの最初の値を使用します。
ポート	セキュアLDAP通信(LDAP over TLS)に指定されたポートを入力します。 LDAPSの既知のTCPポートは636です。
ユーザーのバインド	LDAPサーバへの接続に使用するユーザIDを入力します。例：CN=admin,OU=Corporate Users,DC=example,DC=com 注：ユーザを組み込みのADコンテナ（「Users」など）に追加した場合、バインドユーザのバインドDNでは、正規名(CN)を組み込みフォルダ（たとえば、CN=username、CN=Users、DC=domain、DC=com）に設定する必要があります。 ただし、ユーザを新しいコンテナに追加した場合、バインドDNでは組織単位(OU)を新しいコンテナ名に設定する必要があります（たとえば、CN=username、OU=Corporate Users、DC=domain、DC=com）。 注：バインドユーザのバインド(BIND)DNを見つける便利な方法は、Active Directoryサーバへの接続があるWindowsサーバでActive Directoryに照会することです。この情報を取得するには、Windowsのコマンドプロンプトを開き、コマンドdsquery user dc=<distinguished>,dc=<name> -name <user>を入力します。例：dsquery user dc=example,dc=com -name user1。結果は「CN=user1,OU=Corporate Users,DC=example,DC=com」のようになります。
[パスワード（Password）]	LDAPサーバへの接続に使用するバインドユーザのパスワードを入力します。
基本アカウント	識別名(DN)を入力します。 DNは、ユーザの検索を開始する必要があるディレクトリのブランチに適用されます。多くの場合、ディレクトリツリー（ドメイン）の最上位ですが、ディレクトリ内のサブツリーを指定することもできます。バインドユーザと、認証を受けるユーザは、ベースアカウントからアクセスできる必要があります。 例：DC=example,DC=com

6. Saveをクリックします。

7. 入力した設定と信頼ストアに追加した証明書が正しければ、「You've successfully saved your changes」バナーが表示されます。

8. 設定されたサーバは、User Management > Authentication and Authorizationの下に表示される必要があります。

SNAバージョン7.1

1. Central Management > Inventoryの順に移動します。
2. SMCアプライアンスを見つけて、Actions > Edit Appliance Configurationの順にクリックします。
3. Appliance Configurationウィンドウで、Configuration Menu > LDAP Setup > Add Newの順に選択します。
4. SNAバージョン7.2以降のステップ5の説明に従って、必須フィールドを入力します。

5. Addをクリックします。

6. Apply Settingsをクリックします。

7. 設定を入力し、信頼ストアに追加された証明書が正しければ、Managerでの変更が適用され、アプライアンスの状態がUpである必要があります。

ステップD：許可設定を設定します。

SNAは、LDAP経由のローカルおよびリモートの両方の認可をサポートします。この設定では、ADサーバのLDAPグループが組み込みSNAロールまたはカスタムSNAロールにマッピングされます。

LDAPを介したSNAでサポートされている認証および許可方式は次のとおりです。

• リモート認証とローカル認証
• リモート認証とリモート許可（SNAバージョン7.2.1以降でのみサポート）

ローカル認証

この場合、ユーザとそのロールはローカルに定義する必要があります。これを実現するには、次の手順に従います。

1. User Managementに再び移動し、Usersタブ> Create > Userの順にクリックします。

2. LDAPサーバで認証するユーザ名を定義し、Authentication Serviceドロップダウンメニューから設定されたサーバを選択します。

3. LDAPサーバによって認証されたユーザがマネージャに対して持つ権限を定義し、Saveをクリックします。

LDAPを介したリモート認証

LDAPを介したリモート認証と認可は、Secure Network Analyticsバージョン7.2.1で最初にサポートされました。

注:LDAPを使用したリモート認証は、バージョン7.1ではサポートされていません。

ユーザが（Managerで）ローカルに定義され有効にされている場合、ユーザはリモートで認証されますが、ローカルで認証されることに注意してください。ユーザの選択プロセスは次のとおりです。

1. ウェルカムページにクレデンシャルを入力すると、マネージャは指定された名前を持つローカルユーザを検索します。
2. ローカルユーザが見つかり、それが有効になっている場合、リモートで認証されますが（ローカル認証を伴うLDAP経由のリモート認証が以前に設定されていた場合）、ローカル設定で認証されます。
3. リモート認証が設定されて有効になっており、ユーザがローカルに見つからない（設定されていない、または無効になっていない）場合、認証と許可の両方がリモートで実行されます。

このため、リモート認証を正常に設定する手順を次に説明します。

ステップD-1:リモート認証を使用するユーザのうち、ローカルで定義されたユーザを無効または削除する

1. Managerのメインダッシュボードを開き、Global Settings > User Managementの順に選択します。
2. LDAPを介したリモート認証および許可を使用するユーザが存在する場合は、それらのユーザを無効にするか、削除します。ただし、これらのユーザはローカルで設定します。

ステップD-2:Microsoft ADサーバでcisco-stealthwatchグループを定義します。

LDAPユーザを介した外部認証および許可の場合、パスワードとcisco-stealthwatchグループはMicrosoft Active Directoryでリモートで定義されます。ADサーバで定義されるcisco-stealthwatchグループは、SNAで保持されているさまざまなロールに関連付けられており、次のように定義する必要があります。

SNAロール	グループ名
プライマリ管理者	cisco-stealthwatch-master-admin
データロール	cisco-stealthwatch-all-data-read-and-write（データの読み取りと書き込み） cisco-stealthwatch-all-data-read-only（全データ読み取り専用） cisco-stealthwatch-<custom>（オプション） 注：カスタムデータロールグループが「cisco-stealthwatch – 」で始まっていることを確認してください。
Web機能の役割	Cisco StealthWatch設定マネージャ Cisco StealthWatch電力アナリスト Cisco StealthWatchアナリスト
デスクトップ機能の役割	cisco-stealthwatch-desktop-stealthwatch-power-user cisco-stealthwatch-desktop-configuration-manager cisco-stealthwatch-desktop-network-engineer cisco-stealthwatch-desktop-security-analyst cisco-stealthwatch-desktop-<custom>（オプション） 注：カスタムデスクトップ機能役割グループが「cisco-stealthwatch-desktop – 」で始まっていることを確認してください。

注：前述のとおり、カスタムグループは、グループ名の先頭に適切な文字列が付加されている限り、「データロール」および「デスクトップ機能ロール」でサポートされます。これらのカスタムの役割とグループは、SNAマネージャとActive Directoryサーバの両方で定義する必要があります。たとえば、SNAマネージャでデスクトップクライアントロールに対してカスタムロール「custom」を定義した場合、そのカスタムロールをActive Directoryでcisco-stealthwatch-desktop-customにマッピングする必要があります。  この中に数値を含むロールとグループを作成することは可能ですが、(IllegalRolesException)を使用するとLDAP/TACACSログが壊れることに注意してください。  この不具合は、Cisco Bug ID CSCww00167 . .  このため、これらのロール/グループを作成するときは数値を使用しないことをお勧めします。

ステップD-3:ユーザのLDAP許可グループマッピングの定義

ADサーバでcisco-stealthwatchグループを定義すると、SNAマネージャへのアクセスを意図したユーザを必要なグループにマッピングできます。これは次のように行う必要があります。

• プライマリ管理ユーザは、cisco-stealthwatch-master-adminグループに割り当てる必要があり、他のcisco-stealthwatchグループのメンバーであってはなりません。

• Primary Adminユーザ以外の各ユーザは、次の条件で各ロールのグループに割り当てる必要があります。

1. データロール：ユーザは1つのグループにのみ割り当てる必要があります。
2. Web機能ロール：ユーザーは少なくとも1つのグループに割り当てられている必要があります。
3. デスクトップ機能ロール：ユーザは少なくとも1つのグループに割り当てられている必要があります。

ステップD-4:SNAマネージャでLDAPによるリモート認証を有効にします。

1. Managerのメインダッシュボードを開き、Global Settings > User Managementに移動します。
2. User Managementウィンドウで、Authentication and Authorizationタブを選択します。
3. 手順Cで設定したLDAP認証サービスを見つけます。
4. Actions > Enable Remote Authorizationの順にクリックします。

注：同時に使用できる外部承認サービスは1つだけです。別の認証サービスがすでに使用されている場合、その認証サービスは自動的に無効になり、新しい認証サービスが有効になりますが、以前の外部サービスで認証されたすべてのユーザはログアウトされます。アクションが実行される前に、確認メッセージが表示されます。

確認

この項では、設定が正常に機能していることを確認します。

ユーザは、ADサーバで定義されたクレデンシャルを使用してログインできます。

2番目の検証ステップは、許可に関するものです。この例では、ユーザ「user20」はADサーバのcisco-stealthwatch-master-adminグループのメンバーになっており、ユーザにプライマリ管理者権限があることを確認できます。ローカルユーザでユーザが定義されていないため、認可属性がADサーバによって送信されたことを確認できます。

この「snauser10」の例でも、もう一方のユーザに対して同じ検証が行われます。 ADサーバで設定されたクレデンシャルを使用して、認証の成功を確認できます。

認証の検証では、このユーザはプライマリ管理者グループに属していないため、一部の機能は使用できません。

トラブルシュート

ここでは、設定のトラブルシューティングに役立つ情報を提供します。

認証サービスの設定を正常に保存できない場合は、次の点を確認します。

1. Managerの信頼ストアにLDAPサーバの適切な証明書を追加しました。
2. 設定されているサーバアドレスは、LDAPサーバ証明書のサブジェクト代替名(SAN)フィールドで指定されているとおりです。

   • SANフィールドにIPv4アドレスだけが含まれている場合は、Server AddressフィールドにIPv4アドレスを入力します。

   • SANフィールドにDNS名が含まれている場合は、Server AddressフィールドにDNS名を入力します。

   • SANフィールドにDNS値とIPv4値の両方が含まれている場合は、リストの最初の値を使用します。

3. 設定済みのバインドユーザフィールドとベースアカウントフィールドは、ADドメインコントローラでの指定に従って正しく設定されています。

関連情報

• 詳細については、Cisco Technical Assistance Center(TAC)にお問い合わせください。 有効なサポート契約が必要です。シスコワールドワイドサポートの連絡先です。
• テクニカル サポートとドキュメント – Cisco Systems

更新履歴

改定	発行日	コメント
1.0	02-Feb-2022	初版