Configuratie van autorisatiestroom voor passieve ID-sessies in ISE 3.2

Downloadopties

  • PDF     (588.0 KB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (303.2 KB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (339.8 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:16 februari 2023
Document-id:220239

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

    Inleiding

    Dit document beschrijft hoe u autorisatieregels kunt configureren voor passieve ID-gebeurtenissen om SGT's aan de sessies toe te wijzen.

    Achtergrondinformatie

    De passieve identiteitsdiensten (Passieve ID) verifiëren gebruikers niet direct, maar verzamelen gebruikersidentiteiten en IP-adressen van externe verificatieservers zoals Active Directory (AD), bekend als providers, en delen die informatie vervolgens met abonnees.

    ISE 3.2 introduceert een nieuwe functie waarmee u een autorisatiebeleid kunt configureren om een Security Group Tag (SGT) toe te wijzen aan een gebruiker die is gebaseerd op het groepslidmaatschap van Active Directory.

    Voorwaarden

    Vereisten

    Cisco raadt kennis van de volgende onderwerpen aan:

    • Cisco ISE-lijnkaart 3.x
    • Passieve ID-integratie met elke provider
    • Active Directory (AD)-beheer
    • Segmentatie (Trustsec)
    • PxGrid (Platform Exchange Grid)

    Gebruikte componenten

    • Software voor Identity Service Engine (ISE), versie 3.2
    • Microsoft Active Directory
    • Syslogs

    De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

    Configuratie

    Stap 1. Schakel ISE-services in.

    1. Ga op ISE naar Beheer > Implementatie, kies het ISE-knooppunt en klik op Bewerken, schakel de beleidsservice in en kies Passieve identiteitsservice inschakelen. Optioneel kunt u SXP en PxGrid inschakelen als de passieve id-sessies door elke sessie moeten worden gepubliceerd. Klik op Save (Opslaan).

    Waarschuwing: SGT-gegevens van de PassiveID-gebruikers die door de API-provider zijn geverifieerd, kunnen niet in SXP worden gepubliceerd. De SGT-gegevens van deze gebruikers kunnen echter worden gepubliceerd via pxGrid en pxGrid Cloud.

    Services EnabledIngeschakeld voor services

    Stap 2. Configureer de actieve map.

    1. Ga naar Beheer > Identiteitsbeheer > Externe Identiteitsbronnen en kies Actieve map en klik vervolgens op de knop Toevoegen.
    2. Voer de Join Point Name en Active Directory Domain in. Klik op Verzenden.

    Add Active DirectoryActieve map toevoegen

    3. Er verschijnt een pop-up om ISE aan te sluiten op de AD. Klik op Ja. Voer de gebruikersnaam en het wachtwoord in. Klik op OK.

    Continue to join ISEDoorgaan met aanmelden bij ISE  Join Active DirectoryAanmelden bij actieve map

    4. AD-groepen ophalen. Navigeer naar Groepen, klik op Toevoegen, klik vervolgens op Groepen ophalen en kies alle geïnteresseerde groepen en klik op OK.

    Retrieve AD groupsAD-groepen ophalen

    Retrieved GroupsOpgevraagde groepen

    5. Schakel de autorisatiestroom in. Navigeer naar Geavanceerde instellingen en controleer in het gedeelte PassiveID-instellingen het selectievakje Autorisation Flow. Klik op Save (Opslaan).

    Enable Authorization FlowAutorisatiedoorloop inschakelen

    Stap 3. Configureer de Syslog-provider.

    1. Navigeer naar de werkcentra > PassiveID > Providers, kies Syslog Providers, klik op Toevoegen en vul de informatie in. Klik op Opslaan

    Waarschuwing: in dit geval ontvangt ISE het syslogbericht van een succesvolle VPN-verbinding in een ASA, maar deze configuratie wordt in dit document niet beschreven.

    Configure Syslog providerSyslog-provider configureren

     

    1. Klik op Aangepaste header. Plakt het voorbeeldsysteem en gebruik een Separator of Tab om het apparaat hostname te vinden. Als het juist is, wordt Hostname weergegeven. Klik op Opslaan

    Configure Custom HeaderAangepaste header configureren

     

    Stap 4. Autorisatieregels configureren

    1. Ga naar Beleid > Beleidssets. In dit geval wordt het Standaardbeleid gebruikt. Klik op het Standaardbeleid. Voeg in het autorisatiebeleid een nieuwe regel toe. In het PassiveID-beleid beschikt ISE over alle aanbieders. Je kan deze combineren met een PassiveID groep. Kies Toegang toestaan als profiel en kies in beveiligingsgroepen de behoefte aan SGT.

    Configure Authorization RulesAutorisatieregels configureren

     

    Verifiëren

    Zodra ISE de Syslog ontvangt, kunt u de Radius Live Logs controleren om Autorisation Flow te zien. Navigeer naar Operations > Radius > Live logs.

    In de logboeken kunt u de gebeurtenis van de Vergunning zien. Deze bevat de gebruikersnaam, het autorisatiebeleid en de beveiligingsgroeptag die aan de gebruikersnaam zijn gekoppeld.

    Radius Live LogRadius live log

    Klik op het Detailrapport om meer details te controleren. Hier kunt u de stroom autoriseren-alleen zien die het beleid evalueert om de SGT toe te wijzen.

    Radius Live log ReportRadius Live log-rapport

    Problemen oplossen

    In dit geval worden twee stromen gebruikt: de passieve ID-sessies en de autorisatiestroom. Om de debugs in te schakelen, navigeer naar Operations > Probleemoplossing > Debug Wizard > Debug Log Configuration, kies vervolgens het ISE-knooppunt.

    Voor PassiveID, laat de volgende componenten toe om niveau te ZUIVEREN:

    • Passieve id

    Om de logbestanden te controleren, op basis van de Passieve ID-provider, het bestand om te controleren op dit scenario, moet u het bestand passiveid-syslog.log bekijken, voor de andere providers:

    • passiveid-agent.log
    • passiveid-api.log
    • gepassiveerd-endpoint.log
    • passiveid-span.log
    • passiveid-wmilog

    Schakel de volgende componenten in voor het debug-niveau voor de autorisatiestroom:

    • beleidsinstrument
    • prt-JNI

    Voorbeeld:

    Debugs enabledDebugs ingeschakeld

     

    Revisiegeschiedenis

    Revisie Publicatiedatum Opmerkingen
    1.0
    17-Feb-2023
    Eerste vrijgave
    TAC Authored

    Bijgedragen door Cisco-engineers

    • Ruben De La Vega
      Technisch adviseur-engineer

    Was dit document nuttig?

    FeedbackFeedback

    Contact Cisco

    Dit document is van toepassing op deze producten