Firepower Management Center Access via SSO-verificatie met Okta configureren

Inleiding

In dit document wordt beschreven hoe u het FireSIGHT Management Center (FMC) kunt configureren om te bevestigen met behulp van Single Sign-On (SSO) voor beheertoegang.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Basis begrip van single aanmelding en SAML
• Inzicht in de configuratie van de Identity Provider (iDP)

Gebruikte componenten

De informatie in dit document is gebaseerd op deze softwareversies:

• Cisco Firepower Management Center (FMC) versie 6.7.0
• Okta als Identity Provider

Opmerking: de informatie in dit document is gemaakt van apparatuur in een specifieke labomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg ervoor dat u de potentiële impact van elke configuratie verandering begrijpt.

Achtergrondinformatie

Single Sign-on (SSO) is een eigenschap van identiteit en toegangsbeheer (IAM), die gebruikers in staat stelt om beveiligd te authenticeren met meerdere toepassingen en websites door slechts eenmaal in te loggen met één reeks aanmeldingsgegevens (gebruikersnaam en wachtwoord). Met SSO is de toepassing of website die de gebruiker probeert te bereiken afhankelijk van een vertrouwde derde om te controleren of de gebruikers zijn wie ze zeggen dat ze zijn.

SAML (Security Assertion Markup Language) is een op XML gebaseerd kader voor het uitwisselen van gegevens over authenticatie en autorisatie tussen veiligheidsdomeinen. Er wordt een vertrouwenscirkel gecreëerd tussen de gebruiker, een dienstverlener (SP) en een Identity Provider (IDP) waardoor de gebruiker op één moment voor meerdere diensten kan tekenen

Een serviceprovider (SP) is een entiteit die een door een Identity Provider (iDP) afgegeven verklaring van echtheidscontrole ontvangt en accepteert. Zoals door hun namen wordt beschreven, bieden dienstverleners diensten aan terwijl identiteitsaanbieders de identiteit van gebruikers verschaffen (authenticatie).

Deze iDP's worden ondersteund en getest op authenticatie:

• Okta
• OneLogin
• PingID
• AD
• Overige (elke iDP die voldoet aan SAML 2.0)

Opmerking: Geen nieuwe vergunning vereist. Deze optie werkt onder licentie en in de evaluatiemodus.

Beperkingen en beperkingen

Dit zijn bekende beperkingen en beperkingen voor SSO-authenticatie voor FMC-toegang:

• SSO kan alleen worden ingesteld voor het Global Domain
• FMC's in HA-paar moeten individueel worden geconfigureren
• Alleen lokale/AD-managers kunnen de SSO op FMC configureren (SSO-beheergebruikers kunnen geen SSO-instellingen op FMC configureren of bijwerken).

Configuratiestappen

Configuratiestappen op de Identity Provider (Okta)

Stap 1. Meld u aan bij het Okta-portaal. Navigeer naar Toepassingen > Toepassingen, zoals in deze afbeelding.

Stap 2. Zoals in deze afbeelding, klik op AddApplication.

Stap 3. Zoals in deze afbeelding, klik op Create NewApp.

Stap 4. Kies het platform als web. Kies de inlogmethode als SAML 2.0. Klik op Maken, zoals in deze afbeelding.

Stap 5. Geef een naam van de app, App-logo (optioneel), en klik op Volgende, zoals in deze afbeelding.

Stap 6. Voer de SAML-instellingen in.

Enkelvoudig teken op URL: https://<fmc URL>/saml/acs

Publiek URI (SP Entiteit ID): https://<fmc URL>/saml/metadata

Standaard RelayState: /ui/aanmelding

Stap 7. Navigeer terug naar Toepassingen > Toepassingen, zoals in deze afbeelding.

Stap 8. Klik op de App-naam die is gemaakt.

Stap 9. Navigeer naar opdrachten. Klik op Toewijzen.

U kunt ervoor kiezen afzonderlijke gebruikers of groepen toe te wijzen aan de App-naam die gemaakt is.

Stap 10. Navigeer om aan te tekenen. Klik op Instellen-instructies bekijken. Klik op de metagegevens van Identity Provider om de iDP-metagegevens te bekijken.

Sla het bestand op als een bestand .xml dat op het FMC moet worden gebruikt.

Configuratiestappen op FMC

Stap 1. Meld u aan bij de FMC met Admin-rechten. Blader naar systeem > gebruikers.

Stap 2. Klik op Enkelvoudige aanmelding, zoals in deze afbeelding.

Stap 3. Schakel de optie Eén aanmelding in (standaard uitgeschakeld).

Stap 4. Klik op Configureren SSO om de SSO-configuratie op FMC te starten.

Stap 5. Selecteer de FMC SAML Provider. Klik op Volgende.

Voor deze demonstratie wordt Okta gebruikt.

Stap 6. U kunt Handmatige configuratie kiezen en de iDP-gegevens handmatig invoeren. Klik op Volgende, zoals 

U kunt ook het XML-bestand uploaden en het XML-bestand uploaden dat u in Stap 10 van de Okta-configuratie hebt opgeroepen.

Zodra het bestand is geüpload, geeft het FMC de metagegevens weer. Klik op Volgende, zoals in deze afbeelding weergegeven.

Stap 7. Controleer de metagegevens. Klik op Opslaan, zoals in deze afbeelding.

Stap 8. Configureer de rol van de gebruiker in kaart brengen/standaardinstellen bij geavanceerde configuratie.

Stap 9. Klik om de configuratie te testen op Test Configuration, zoals in deze afbeelding.

Als de test een succes is, zou u de pagina moeten zien die in deze afbeelding wordt getoond, op een nieuw tabblad in de browser.

Stap 10. Klik op Toepassen om de configuratie op te slaan.

SSO moet worden ingeschakeld.

Verifiëren

Navigeer naar de FMC URL van uw browser: https://<fmc URL>. Klik op Enkelvoudige aanmelding.

U wordt terugverwezen naar de logpagina iDP (Okta). Geef uw SSO-gegevens op. Klik op Inloggen.

Indien geslaagd, zou u in staat moeten zijn om in te loggen en de standaardpagina van FMC te zien.

Op FMC, navigeer naar Systeem > Gebruikers om de SSO-gebruiker aan de database te zien toevoegen.