Certificaat- of smartcardgebaseerde verificatie configureren voor ISE-beheer

Inleiding

In dit document wordt beschreven hoe u op een clientcertificaat gebaseerde verificatie configureert voor toegang tot het beheer van de Identity Services Engine (ISE). In dit voorbeeld verifieert de ISE-beheerder zich aan de hand van het gebruikerscertificaat om beheerder toegang te geven tot de beheerinterface van de Cisco Identity Services Engine (ISE).

Voorwaarden

Vereisten

Cisco raadt aan om kennis te hebben van deze onderwerpen:

• ISE-configuratie voor wachtwoord- en certificaatverificatie.
• Microsoft Active Directory (AD)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Identity Services Engine (ISE) versie 2.6
• Windows Active Directory (AD) Server 2008 Release 2
• getuigschrift

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als het netwerk actief is, moet u de potentiële impact van een configuratie begrijpen.

Configureren

Gebruik deze sectie om het clientcertificaat of de smartcard te configureren als een externe identiteit voor administratieve toegang tot de Cisco ISE-beheerinterface.

Netwerkdiagram

Sluit je aan bij ISE Active Directory

1. Kies Administratie > Identiteitsbeheer > Externe bronnen > Active Directory.
   
   
2. Maak een Active Directory-instantie met Join Point-naam en AD-domein in Cisco ISE.
   
   
3. Klik op Verzenden.
   
   
   
   
4. Sluit u aan bij alle knooppunten met de juiste gebruikersnaam en het juiste wachtwoord in de prompt.
   
   
   
   
5. Klik op Save (Opslaan).

Directorygroepen selecteren

1. Maak een externe beheerdersgroep en wijs deze toe aan de actieve directorygroep.
   
   
2. Kies Beheer >Identiteitsbeheer > Externe identiteitsbronnen > Active Directory > Groepen > Groepen uit directory selecteren.
   
   
3. Ten minste één AD-groep waartoe de beheerder behoort, ophalen.
   
   
   
   
4. Klik op Save (Opslaan).

Active Directory-wachtwoordgebaseerde verificatie inschakelen voor beheerderstoegang

1. Activeer Active Directory-instantie als wachtwoordgebaseerde verificatiemethode die eerder is toegevoegd aan ISE.
   
   
2. Kies Beheer > Systeem > Beheerderstoegang > Verificatie, zoals in de afbeelding wordt weergegeven.
   
   
   
   
3. Klik op Save (Opslaan).

Opmerking: een wachtwoordgebaseerde verificatieconfiguratie is vereist om certificaatgebaseerde verificatie mogelijk te maken. Deze configuratie moet worden teruggedraaid na een geslaagde configuratie van op certificaten gebaseerde verificatie.

Externe identiteitsgroepen toewijzen aan beheergroepen

In dit voorbeeld wordt de externe AD-groep toegewezen aan de standaardbeheerdersgroep.

1. Kies Beheer > Systeem > Beheerderstoegang > Beheerders >Beheerdersgroepen > Superbeheerder.
   
   
2. Controleer het type als extern en selecteer de AD-groep onder Externe groepen.
   
   
   
   
3. Klik op Save (Opslaan).
   
   
4. Kies Beheer > Systeem > Beheerderstoegang > Beheerders > Beheerdersgroepen > Alleen-lezen-beheer.
   
   
5. Controleer het type als extern en selecteer de AD-groep onder Externe groepen, zoals weergegeven in de afbeelding.
   
   
   
   
6. Klik op Save (Opslaan).

Vertrouwd certificaat importeren

1. Importeer het Certificate Authority (CA)-certificaat dat het clientcertificaat ondertekent.
   
   
2. kiezen Beheerder > Systeem > Certificaten > Vertrouwd certificaat > Importeren.
   
   
3. Klik op Bladeren en kies het CA-certificaat.
   
   
4. Schakel het selectievakje Vertrouwen voor clientverificatie en Syslog in, zoals weergegeven in de afbeelding.
   
   
   
   
5. Klik op Indienen.
   

Certificaatverificatieprofiel configureren

1. Als u een certificaatverificatieprofiel wilt maken voor verificatie op basis van een clientcertificaat, kiest u Beheer >Identiteitsbeheer > Externe identiteitsbronnen > Certificaatverificatieprofiel > Toevoegen.
   
   
2. Profielnaam toevoegen.
   
   
3. Selecteer het juiste kenmerk dat de gebruikersnaam van de beheerder in het certificaatkenmerk bevat.
   
   
4. Als het AD-record voor de gebruiker het certificaat van de gebruiker bevat en het certificaat dat is ontvangen van de browser wilt vergelijken met het certificaat in AD, vinkt u het selectievakje Altijd binaire vergelijking uitvoeren aan en selecteert u de Active Directory-instantienaam die eerder is opgegeven.
   
   
   
   
5. Klik op Indienen.

Opmerking: hetzelfde certificaatverificatieprofiel kan ook worden gebruikt voor verificatie op basis van eindpunt-identiteit. 

Verificatie op basis van clientcertificaat inschakelen

1. kiezen Beheer > Systeem > Beheerderstoegang > Verificatie > Verificatiemethode Client Certificate Based.
   
   
   
   
2. Klik op OK.
   
   
3. Kies het certificaatverificatieprofiel dat eerder is geconfigureerd.
   
   
4. Selecteer de naam van de Active Directory-instantie.
   
   
   
   
5. Klik op Save (Opslaan).
   
   
6. ISE-services op alle knooppunten in de implementatie worden opnieuw gestart.
   
   

Verifiëren

Controleer de toegang tot de ISE GUI nadat de servicestatus van de Application Server is gewijzigd in actief.

Super Admin-gebruiker: Controleer of de gebruiker wordt gevraagd een certificaat te kiezen om in te loggen op de ISE GUI en Super Admin-bevoegdheden krijgt als het certificaat deel uitmaakt van een gebruiker die deel uitmaakt van de Super Admin-groep Externe identiteit.

Alleen-lezen Beheerder Gebruiker: Controleer of de gebruiker wordt gevraagd een certificaat te kiezen om in te loggen op de ISE GUI en alleen-lezen Beheerdersrechten krijgt als het certificaat deel uitmaakt van een gebruikersonderdeel van de groep Externe identiteit van alleen-lezen Beheerder.

Opmerking: als Common Access Card (CAC) in gebruik is, presenteert Smartcard het gebruikerscertificaat aan ISE nadat de gebruiker zijn geldige superpin heeft ingevoerd.

Problemen oplossen

1. Gebruik de opdracht start ise safe van de toepassing om Cisco ISE te starten in een veilige modus waarmee toegangscontrole tijdelijk kan worden uitgeschakeld naar het beheerportaal en de configuratie kan worden gecorrigeerd en de services van ISE opnieuw kunnen worden gestart met de opdracht applicatie stop ise gevolgd door applicatie start ise.
   
2. De veilige optie biedt een manier van herstel als een beheerder per ongeluk de toegang tot het Cisco ISE Admin-portaal voor alle gebruikers blokkeert. Deze gebeurtenis kan zich voordoen als de beheerder een onjuiste IP-toegangslijst heeft geconfigureerd in Beheer > Beheerderstoegang > Instellingen > Toegangspagina. De veilige optie omzeilt ook certificaatgebaseerde verificatie en keert terug naar de standaard gebruikersnaam- en wachtwoordverificatie voor het aanmelden bij het Cisco ISE Admin-portaal.