Externe verificatie en autorisatie configureren via LDAPS voor toegang tot SNA Manager

Inleiding

Dit document beschrijft de basisconfiguratie van een Secure Network Analytics Manager met Lightweight Directory Access Protocol (LDAP) via SSL.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Cisco Secure Network Analytics (voorheen Stealthwatch)
• Algemene LDAP- en SSL-werking
• Algemeen Microsoft Active Directory-beheer

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende onderdelen:

• Cisco Secure Network Analytics Manager (voorheen SMC) versie 7.3.2
• Windows Server 2016 geconfigureerd als Active Directory Domain Controller 

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Stap A. Log in op de AD-domeincontroller en exporteer het SSL-certificaat dat voor LDAP wordt gebruikt

1. Voor Windows Server 2012 of hoger selecteert u Uitvoeren in het menu Start, voert u certlm.msc in en gaat u verder met stap 8. 
2. Voor oudere Windows Server-versies selecteert u Uitvoeren in het menu Start en voert u vervolgens mmc in.
3. Selecteer in het menu Bestand de optie Magnetisch toevoegen/verwijderen.
4. Selecteer in de lijst Beschikbare invoegtoepassingen Certificaten en klik vervolgens op Toevoegen.

5. Selecteer in het venster Certificaten de optie Computeraccount en selecteer Volgende.

6. Laat de lokale computer geselecteerd en selecteer vervolgens Voltooien.

7. Selecteer in het venster Magnetisch toevoegen of verwijderen de optie OK.

8. Navigeer naar Certificaten (lokale computer) > Persoonlijk > Certificaten

9. Selecteer en klik met de rechtermuisknop op het SSL-certificaat dat wordt gebruikt voor LDAPS-verificatie op de domeincontroller en klik op Openen.

10. Navigeer naar het tabblad Details > klik op Kopiëren naar bestand > Volgende

11. Zorg ervoor dat Nee, niet exporteren private key is geselecteerd en klik op Volgende

12. Selecteer Base-64 gecodeerd X.509 formaat en klik op Volgende.

13. Selecteer een locatie om het certificaat op te slaan, geef het bestand een naam en klik op Volgende.

14. Klik op Voltooien, u moet een bericht "Het exporteren is gelukt" krijgen.

15. Ga terug naar het certificaat dat wordt gebruikt voor LDAPS en selecteer vervolgens het tabblad Certificeringspad.

16. Selecteer de hoofdcertificeringsinstantie bovenaan het certificeringspad en klik op Certificaat weergeven.

17. Herhaal stap 10-14 om het certificaat van de root-CA te exporteren dat het certificaat heeft ondertekend dat wordt gebruikt voor LDAPS-verificatie.

Opmerking: uw implementatie kan een meerlagige CA-hiërarchie hebben, in welk geval u dezelfde procedure moet gebruiken om alle intermediaire certificaten in de vertrouwensketen te exporteren.

18. Zorg er voordat u doorgaat voor dat u één certificaatbestand hebt voor de LDAPS-server en voor elke instantie van de uitgevende instelling in het certificeringspad: basiscertificaat en tussentijdse certificaten (indien van toepassing).

Stap B. Log in bij SNA Manager om het certificaat van de LDAP-server en de root chain toe te voegen

1. Navigeer naar Centraal beheer > Inventaris.
2. Zoek het SNA Manager-toestel en klik op Acties > Toestelconfiguratie bewerken.
3. Ga in het venster Toestelconfiguratie naar Configuratiemenu > Vertrouwenswinkel > Nieuw toevoegen.
4. Typ de Vriendelijke naam, klik op Bestand kiezen en selecteer het certificaat van de LDAP-server en klik vervolgens op Certificaat toevoegen.
5. Herhaal de vorige stap om het CA-basiscertificaat en de tussentijdse certificaten toe te voegen (indien van toepassing).
6. Controleer of de certificaten die zijn geüpload de juiste zijn en klik op Instellingen toepassen.

7. Wacht tot de wijzigingen zijn toegepast en totdat de status van de manager is opgeheven.

Stap C. Voeg de configuratie van de externe LDAP-service toe

SNA versie 7.2 of hoger

1. Open het hoofddashboard van Manager en navigeer naar Globale instellingen > Gebruikersbeheer.

2. Selecteer in het venster Gebruikersbeheer het tabblad Verificatie en autorisatie.

3. Klik op Aanmaken > Verificatieservice.

4. Selecteer LDAP in het vervolgkeuzemenu van de verificatieservice.

5. Vul de vereiste velden in.

Veld	Opmerkingen
vriendelijke naam	Voer een naam in voor de LDAP-server.
Beschrijving	Voer een beschrijving in voor de LDAP-server.
serveradres	Voer de volledig gekwalificeerde domeinnaam in zoals gespecificeerd in het veld Alternatieve onderwerpnaam (SAN) van het LDAP-servercertificaat. Als het SAN-veld alleen het IPv4-adres bevat, voert u het IPv4-adres in het veld Serveradres in. Als het SAN-veld de DNS-naam bevat, voert u de DNS-naam in het veld Serveradres in. Als het SAN-veld zowel DNS- als IPv4-waarden bevat, gebruikt u de eerste vermelde waarde.
Port	Voer de poort in die is aangewezen voor beveiligde LDAP-communicatie (LDAP via TLS). De bekende TCP-poort voor LDAPS is 636.
Gebruiker binden	Voer de gebruikersnaam in die wordt gebruikt om verbinding te maken met de LDAP-server. Bijvoorbeeld: CN=admin, OU=Corporate Users, DC=example, DC=com Opmerking: Als u uw gebruikers hebt toegevoegd aan een ingebouwde AD-container (bijvoorbeeld "Gebruikers"), moet op het Bind DN van de Bind-gebruiker de canonieke naam (CN) zijn ingesteld op de ingebouwde map (bijvoorbeeld CN=gebruikersnaam, CN=Gebruikers, DC=domein, DC=com). Als u echter uw gebruikers aan een nieuwe container hebt toegevoegd, moet de Bind DN de organisatorische eenheid (OU) hebben ingesteld op de nieuwe containernaam (bijvoorbeeld CN=gebruikersnaam, OU=Corporate Users, DC=domein, DC=com). Opmerking: Een handige manier om de Bind DN van de Bind-gebruiker te vinden, is door de Active Directory te bevragen op een Windows-server die verbinding heeft met de Active Directory-server. Om deze informatie te krijgen, kunt u een Windows-opdrachtprompt openen en de opdracht dsquery-gebruiker dc=<distinguished>,dc=<name> -name <user> typen. Bijvoorbeeld: dsquery gebruiker dc=voorbeeld, dc=com -name gebruiker1. Het resultaat ziet eruit als "CN=user1, OU=Corporate Users, DC=example, DC=com"
wachtwoord	Voer het wachtwoord voor de gebruiker die wordt gebruikt om verbinding te maken met de LDAP-server in.
Basisaccounts	Voer de Distinguished Name (DN) in. De DN is van toepassing op de tak van de directory waarin het zoeken naar gebruikers moet beginnen. Het is vaak de bovenkant van de directorystructuur (uw domein), maar u kunt ook een substructuur in de directory opgeven. De Bind-gebruiker en de gebruikers die bestemd zijn om te worden geverifieerd, moeten toegankelijk zijn via Base-accounts. Bijvoorbeeld: DC=voorbeeld, DC=com

6. Klik op Opslaan.

7. Als de ingevoerde instellingen en de certificaten die aan de vertrouwenswinkel zijn toegevoegd correct zijn, ontvangt u een You've successfully saved your changes banner.

8. De geconfigureerde server moet worden weergegeven onder User Management > Authentication and Authorisation.

SNA versie 7.1

1. Navigeer naar Centraal beheer > Inventaris.
2. Zoek het SMC-toestel en klik op Acties > Toestelconfiguratie bewerken.
3. Ga in het venster Toestelconfiguratie naar Configuratiemenu > LDAP-instellingen > Nieuw toevoegen.
4. Vul de vereiste velden in zoals beschreven in SNA versie 7.2 of later stap 5.

5. Klik op Toevoegen.

6. Klik op Instellingen toepassen.

7. Zodra de ingevoerde instellingen en de certificaten die aan het vertrouwensarchief zijn toegevoegd correct zijn, worden de wijzigingen in het beheerprogramma toegepast en moet de toestelstatus Up zijn.

Stap D. Instellingen voor autorisatie configureren.

SNA ondersteunt zowel lokale als externe autorisatie via LDAP. Met deze configuratie worden de LDAP-groepen van de AD-server toegewezen aan ingebouwde of aangepaste SNA-rollen.

De ondersteunde authenticatie- en autorisatiemethoden voor SNA via LDAP zijn:

• Verificatie op afstand en lokale autorisatie
• Verificatie op afstand en externe autorisatie (alleen ondersteund voor SNA versie 7.2.1 of hoger)

lokale machtiging

In dit geval moeten de gebruikers en hun rollen lokaal worden gedefinieerd. Om dit te bereiken, gaat u als volgt te werk.

1. Navigeer opnieuw naar Gebruikersbeheer, klik op het Gebruikers tabblad > Aanmaken > Gebruiker.

2. Definieer de gebruikersnaam die moet worden geverifieerd met de LDAP-server en selecteer de geconfigureerde server in het vervolgkeuzemenu Verificatieservice.

3. Definieer de rechten die de gebruiker moet hebben over het beheer zodra het is geverifieerd door de LDAP-server en klik op Opslaan.

Externe autorisatie via LDAP

Verificatie en autorisatie op afstand via LDAP werd voor het eerst ondersteund in Secure Network Analytics versie 7.2.1.

Opmerking: externe autorisatie met LDAP wordt niet ondersteund in versie 7.1.

Het is relevant om te vermelden dat als een gebruiker lokaal is gedefinieerd en ingeschakeld (in de Manager), de gebruiker op afstand is geverifieerd, maar lokaal is geautoriseerd. Het gebruikersselectieproces is als volgt:

1. Zodra de referenties zijn ingevoerd op de welkomstpagina, zoekt de Manager naar een lokale gebruiker met de opgegeven naam.
2. Als een lokale gebruiker wordt gevonden en deze is ingeschakeld, wordt deze op afstand geverifieerd (als externe verificatie via LDAP met lokale autorisatie eerder was geconfigureerd), maar geautoriseerd met de lokale instellingen.
3. Als externe autorisatie is geconfigureerd en ingeschakeld en de gebruiker niet lokaal wordt gevonden (niet geconfigureerd of uitgeschakeld), worden zowel de verificatie als de autorisatie op afstand uitgevoerd.

Daarom worden de stappen voor het succesvol configureren van externe verificatie hieronder beschreven.

Stap D-1. De gebruikers die bedoeld zijn om externe autorisatie te gebruiken, maar die lokaal zijn gedefinieerd, uitschakelen of verwijderen

1. Open het hoofddashboard van Manager en navigeer naar Algemene instellingen > Gebruikersbeheer.
2. Schakel de gebruikers uit of verwijder ze (als ze bestaan) die bedoeld zijn om externe verificatie en autorisatie via LDAP te gebruiken, maar die lokaal zijn geconfigureerd.

Stap D-2. Cisco-stealthwatch-groepen definiëren in de Microsoft AD-server.

Voor externe verificatie en autorisatie via LDAP-gebruikers worden wachtwoorden en cisco-stealthwatch-groepen op afstand gedefinieerd in Microsoft Active Directory. De in de AD-server te definiëren cisco-stealthwatch-groepen zijn gerelateerd aan de verschillende rollen die SNA heeft, ze moeten als volgt worden gedefinieerd.

SNA-rol	Naam van groep(en)
Primaire beheerder	Cisco-Stealthwatch-Master-Admin
gegevensrol	Cisco-Stealthwatch-All-Data-Read-and-Write Cisco-Stealthwatch-All-Data-Read-Only Cisco-Stealthwatch-<Custom> (optioneel) Opmerking: Zorg ervoor dat aangepaste gegevensrolgroepen beginnen met "cisco-stealthwatch-".
Functionele webrol	Cisco-Stealthwatch-Configuration-Manager cisco-stealthwatch-power-analyst cisco-stealthwatch-analist
Functionele desktoprol	Cisco-Stealthwatch-Desktop-Stealthwatch-Power-gebruiker Cisco-Stealthwatch-Desktop-Configuration-Manager Cisco-Stealthwatch-Desktop-Network-Engineer cisco-stealthwatch-desktop-security-analyst Cisco-Stealthwatch-Desktop-<Custom> (optioneel) Opmerking: Zorg ervoor dat aangepaste functionele desktoprolgroepen beginnen met "cisco-stealthwatch-desktop-desktop".

Opmerking: zoals eerder beschreven, worden aangepaste groepen ondersteund voor "Gegevensrol" en "Functionele rol voor bureaublad" zolang de groepsnaam is gekoppeld aan de juiste tekenreeks. Deze aangepaste rollen en groepen moeten zowel in SNA Manager als in Active Directory worden gedefinieerd. Als u bijvoorbeeld een aangepaste rol "aangepast" in SNA Manager definieert voor een desktopclientrol, moet deze worden toegewezen aan cisco-stealthwatch-desktop-custom in Active Directory.  Merk op dat, hoewel het mogelijk is om rollen en groepen te maken met numerieke waarden die hierin aanwezig zijn, dit het LDAP / TACACS-log breekt met een (IllegalRolesException).  Dit defect is gedocumenteerd onder Cisco bug ID CSCww00167 . .  Om deze reden raden we aan GEEN numerieke waarden te gebruiken bij het maken van deze rollen / groepen.

Stap D-3. LDAP-autorisatiegroeptoewijzingen voor de gebruikers definiëren

Zodra de cisco-stealthwatch-groepen zijn gedefinieerd in de AD-server, kunnen we de gebruikers die toegang tot de SNA Manager willen hebben, toewijzen aan de benodigde groepen. Dit moet als volgt gebeuren.

• Een primaire gebruiker van Admin moet worden toegewezen aan de cisco-stealthwatch-master-admin-groep en mag geen lid zijn van andere cisco-stealthwatch-groepen.

• Elke gebruiker, anders dan primaire beheerdersgebruikers, moet worden toegewezen aan een groep van elke rol met de volgende voorwaarden.

1. Gegevensrol: De gebruiker moet slechts aan één groep worden toegewezen.
2. Functionele rol: De gebruiker moet aan ten minste één groep worden toegewezen.
3. Functionele rol voor het bureaublad: de gebruiker moet aan ten minste één groep worden toegewezen.

Stap D-4. Schakel externe autorisatie via LDAP in op de SNA Manager.

1. Open het hoofddashboard van Manager en navigeer naar Globale instellingen > Gebruikersbeheer.
2. Selecteer in het venster Gebruikersbeheer het tabblad Verificatie en autorisatie.
3. Zoek de LDAP-verificatieservice die is geconfigureerd in stap C.
4. Klik op Acties > Externe autorisatie inschakelen.

Opmerking: er kan slechts één externe autorisatieservice tegelijk worden gebruikt. Als een andere autorisatieservice al in gebruik is, wordt deze automatisch uitgeschakeld en wordt de nieuwe ingeschakeld, maar alle gebruikers die met de vorige externe service zijn geautoriseerd, worden uitgelogd. Er wordt een bevestigingsbericht weergegeven voordat een actie plaatsvindt.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

De gebruikers kunnen inloggen met de referenties die op de AD-server zijn gedefinieerd.

De tweede controlestap betreft de autorisatie. In dit voorbeeld is gebruiker "user20" lid gemaakt van de groep cisco-stealthwatch-master-admin in de AD-server en kunt u bevestigen dat de gebruiker primaire beheerdersrechten heeft. De gebruiker is niet gedefinieerd in de lokale gebruikers, dus u kunt bevestigen dat de toestemmingsattributen door de AD-server zijn verzonden.

Dezelfde verificatie wordt gedaan voor de andere gebruiker in dit voorbeeld "snauser10". U kunt een succesvolle verificatie bevestigen met de referenties die zijn geconfigureerd op de AD-server.

Voor de verificatie van de autorisatie zijn sommige functies niet beschikbaar omdat deze gebruiker niet tot de groep van de primaire beheerder behoort.

Problemen oplossen

Deze sectie bevat informatie die u kunt gebruiken om problemen met de configuratie te troubleshooten.

Als de configuratie van de verificatieservice niet kan worden opgeslagen, controleert u of:

1. U hebt de juiste certificaten van de LDAP-server toegevoegd aan de vertrouwensopslag van de Manager.
2. Het geconfigureerde serveradres is zoals opgegeven in het veld Alternatieve onderwerpnaam (SAN) van het LDAP-servercertificaat.

   • Als het SAN-veld alleen het IPv4-adres bevat, voert u het IPv4-adres in het veld Serveradres in.

   • Als het SAN-veld de DNS-naam bevat, voert u de DNS-naam in het veld Serveradres in.

   • Als het SAN-veld zowel DNS- als IPv4-waarden bevat, gebruikt u de eerste vermelde waarde.

3. De geconfigureerde velden Bind User en Base Account zijn correct, zoals opgegeven door de AD Domain Controller.

Gerelateerde informatie

• Voor extra hulp kunt u contact opnemen met Cisco Technical Assistance Center (TAC). Een geldig supportcontract is vereist: Cisco Worldwide Support Contacts.
• Technische ondersteuning en documentatie – Cisco Systems

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	02-Feb-2022	Eerste vrijgave