ISE 관리를 위한 인증서 또는 스마트 카드 기반 인증 구성

다운로드 옵션

  • PDF     (2.0 MB)
    다양한 디바이스에서 Adobe Reader로 보기
업데이트:2020년 3월 4일
문서 ID:215308

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

    소개

    이 문서에서는 ISE(Identity Services Engine) 관리 액세스를 위한 클라이언트 인증서 기반 인증을 구성하는 방법에 대해 설명합니다. 이 예에서 ISE 관리자는 Cisco ISE(Identity Services Engine) 관리 GUI에 대한 관리자 액세스 권한을 얻기 위해 사용자 인증서에 대해 인증합니다.

    사전 요구 사항

    요구 사항

    Cisco에서는 다음 항목에 대해 알고 있는 것이 좋습니다.

    • 비밀번호 및 인증서 인증을 위한 ISE 컨피그레이션
    • Microsoft AD(Active Directory)

    사용되는 구성 요소

    이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

    • Cisco ISE(Identity Services Engine) 버전 2.6
    • Windows AD(Active Directory) Server 2008 릴리스 2
    • 인증서

    이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 네트워크가 가동 중인 경우 모든 컨피그레이션이 미칠 수 있는 영향을 이해해야 합니다.


    구성

    이 섹션에서는 Cisco ISE 관리 GUI에 대한 관리 액세스를 위해 클라이언트 인증서 또는 스마트 카드를 외부 ID로 구성할 수 있습니다.

    네트워크 다이어그램

    ISE를 Active Directory에 가입

    1. 관리를 > Identity Management(ID 관리) > External Identity Sources(외부 ID 소스) > Active Directory.

    2. Cisco ISE에서 가입 포인트 이름 및 AD 도메인으로 Active Directory 인스턴스를 생성합니다.

    3. Submit(제출)을 클릭합니다.



    4. 프롬프트에서 모든 노드에 적절한 사용자 이름 및 비밀번호를 추가합니다.



    5. 저장을 클릭합니다.

    디렉터리 그룹 선택

    1. 외부 관리자 그룹을 생성하고 Active Directory 그룹에 매핑합니다.

    2. 관리 >Identity Management(ID 관리) > External Identity Sources(외부 ID 소스) > Active Directory > Groups(그룹) > Select Groups from Directory(디렉토리에서 그룹 선택)를 선택합니다.

    3. 관리자가 속한 하나 이상의 AD 그룹을 검색합니다.



    4. 저장을 클릭합니다.

    관리 액세스에 Active Directory 비밀번호 기반 인증 사용

    1. Active directory 인스턴스를 이전에 ISE에 가입된 비밀번호 기반 인증 방법으로 활성화합니다.

    2. 이미지에 표시된 대로 Administration(관리) > System(시스템) > Admin access(관리자 액세스) > Authentication(인증)을 선택합니다.



    3. 저장을 클릭합니다.

    참고: 인증서 기반 인증을 활성화하려면 비밀번호 기반 인증 컨피그레이션이 필요합니다. 이 컨피그레이션은 인증서 기반 인증의 컨피그레이션에 성공한 후 되돌려야 합니다.

    외부 ID 그룹을 관리 그룹에 매핑

    이 예에서는 외부 AD 그룹이 기본 Admin 그룹에 매핑됩니다.

    1. Administration(관리) > System(시스템) > Admin Access(관리자 액세스) > Administrators(관리자) >를 선택합니다.Admin Groups(관리자 그룹) > Super admin(슈퍼 관리자)입니다.

    2. Type as External(유형으로 외부)을 선택하고 External groups(외부 그룹) 아래에서 AD 그룹을 선택합니다.



    3. 저장을 클릭합니다.

    4. 관리 > 시스템 > 관리 액세스 > 관리자 > 관리 그룹 > 읽기 전용 관리자를 선택 합니다.

    5. Type as External(유형을 외부로)을 선택하고 이미지에 표시된 대로 External groups(외부 그룹) 아래에서 AD 그룹을 선택합니다.



    6. 저장을 클릭합니다.

    신뢰할 수 있는 인증서 가져오기

    1. 클라이언트 인증서에 서명하는 CA(Certificate Authority) 인증서를 가져옵니다.

    2. 선택 Administrator(관리자) > System(시스템) > Certificates(인증서) > Trusted Certificate(신뢰할 수 있는 인증서) > Import(가져오기)

    3. Browse(찾아보기)를 클릭하고 CA 인증서를 선택합니다.

    4. 이미지에 표시된 대로 Trust for client authentication and Syslog(클라이언트 인증 및 Syslog 신뢰) 확인란을 선택합니다.



    5. Submit(제출)을 클릭합니다.

    인증서 인증 프로파일 구성

    1. 클라이언트 인증서 기반 인증을 위한 인증서 인증 프로파일을 생성하려면 관리 >Identity Management(ID 관리) > External Identity Sources(외부 ID 소스) > Certificate Authentication Profile(인증서 인증 프로파일) > Add(추가)

    2. 프로필 이름을 추가합니다.

    3. 인증서 특성에 관리자 사용자 이름을 포함 하는 적절 한 특성을 선택 합니다.

    4. 사용자의 AD 레코드에 사용자의 인증서가 포함되어 있고 브라우저에서 받은 인증서를 AD의 인증서와 비교하려면 항상 이진 비교 수행 확인란을 선택하고 앞서 지정한 Active Directory 인스턴스 이름을 선택합니다.



    5. Submit(제출)을 클릭합니다.

    참고: 엔드포인트 ID 기반 인증에도 동일한 인증서 인증 프로파일을 사용할 수 있습니다. 

    클라이언트 인증서 기반 인증 활성화

    1. 선택 Administration(관리) > System(시스템) > Admin Access(관리자 액세스) > Authentication(인증) > Authentication Method(인증 방법) > Client Certificate Based(클라이언트 인증서 기반).



    2. OK(확인)를 클릭합니다.

    3. 이전에 구성된 인증서 인증 프로파일을 선택합니다.

    4. Active Directory 인스턴스 이름을 선택합니다.



    5. 저장을 클릭합니다.

    6. 구축의 모든 노드에서 ISE 서비스가 다시 시작됩니다.

    다음을 확인합니다.

    Application Server 서비스 상태가 running으로 변경된 후 ISE GUI에 대한 액세스를 확인합니다.

    수퍼 관리자 사용자: 사용자가 ISE GUI에 로그인할 인증서를 선택하라는 메시지가 표시되고 인증서가 수퍼 관리자 외부 ID 그룹의 사용자 일부인 경우 수퍼 관리자 권한이 부여되는지 확인합니다.

    읽기 전용 관리자 사용자: ISE GUI에 로그인할 인증서를 선택하라는 메시지가 표시되고 인증서가 읽기 전용 관리자 외부 ID 그룹의 사용자 일부인 경우 사용자에게 읽기 전용 관리자 권한이 부여되는지 확인합니다.

    참고: CAC(Common Access Card)를 사용 중인 경우, Smartcard는 사용자가 유효한 슈퍼 PIN을 입력한 후 ISE에 사용자 인증서를 제공합니다.

    문제 해결

    1. application start ise safe 명령을 사용하여 관리 포털에 대한 액세스 제어를 일시적으로 비활성화할 수 있는 안전 모드에서 Cisco ISE를 시작하고 컨피그레이션을 수정하고 application stop ise 및 application start ise 명령을 사용하여 ISE의 서비스를 다시 시작합니다.
    2. 안전 옵션은 관리자가 실수로 모든 사용자에 대한 Cisco ISE 관리 포털에 대한 액세스를 잠근 경우 복구 방법을 제공합니다. 관리자가 Administration(관리) > Admin Access(관리자 액세스) > Settings(설정) > Access(액세스) 페이지에서 잘못된 IP 액세스 목록을 구성한 경우 이 이벤트가 발생할 수 있습니다. 안전 옵션은 또한 인증서 기반 인증을 우회하고 Cisco ISE 관리 포털에 로그인하기 위해 기본 사용자 이름 및 비밀번호 인증으로 돌아갑니다.

    기고자

    • 아라빈드 라비찬란
      Cisco 고급 서비스

    이 문서가 도움이 되셨습니까?

    Feedback피드백

    지원 문의

    이 문서가 적용되는 제품