Configureer de externe verificatie van SWA met ISE als RADIUS-server

Inleiding

Dit document beschrijft de stappen om externe verificatie op Secure Web Access (SWA) te configureren met Cisco ISE als RADIUS-server.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Basiskennis in Cisco Secure Web Applicatie.
• Kennis van de configuratie van het authenticatie- en autorisatiebeleid op ISE.
• Basiskennis van RADIUS.

Cisco raadt u ook aan het volgende te hebben:

• Toegang tot SWA- en ISE-administratie.
• Compatibele WSA en ISE versies.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

• SWA 14.0.2-012
  
• ISE 3.0.0
  

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Wanneer u externe verificatie inschakelt voor administratieve gebruikers van uw SWA, verifieert het apparaat de gebruikersreferenties met een Lichtgewicht Directory Access Protocol (LDAP) of RADIUS-server zoals gespecificeerd in externe verificatieconfiguratie.

Netwerktopologie

Netwerktopologiediagram

Administratieve gebruikers hebben toegang tot SWA op poort 443 met hun referenties. SWA verifieert de referenties met de RADIUS-server.

Configureren

ISE-configuratie

Stap 1. Voeg een nieuw netwerkapparaat toe. Ga naar Beheer > Netwerkbronnen > Netwerkapparaten > +Add.

SWA als netwerkapparaat toevoegen in ISE

Stap 2. Wijs een naam toe aan het object van het netwerkapparaat en voer het SWA IP-adres in.

Controleer het aanvinkvakje RADIUS en stel een gedeeld geheim in.

gedeelde sleutel voor netwerkapparaat configureren

Stap 2.1. Klik op Verzenden.

Configuratie van netwerkapparaat verzenden

Stap 3. Maak de gewenste gebruikers-identiteitsgroepen. Ga naar Beheer > Identiteitsbeheer > Groepen > Gebruikersidentiteitsgroepen > + Toevoegen.

Gebruikersidentiteitsgroep toevoegen

Stap 4. Voer de naam van de groep in, beschrijving (optioneel) en Verzenden. Herhaal deze stappen voor elke groep. In dit voorbeeld maakt u een groep voor beheerders en een groep voor alleen-lezen gebruikers.

Gebruikersidentiteitsgroep toevoegenGebruikersidentiteitsgroep toevoegen voor SWA Lees alleen gebruikers

Stap 5. U moet gebruikers voor netwerktoegang maken die overeenkomen met de gebruikersnaam die in SWA is ingesteld.

Maak de Network Access Gebruikers en voeg ze toe aan hun correspondentgroep. Navigeren naar Administratie > Identiteitsbeheer > Identiteiten > + Toevoegen.

Voeg lokale gebruikers toe in ISE

Stap 5.1. U moet een gebruiker voor netwerktoegang aanmaken met beheerdersrechten. Ken een naam en wachtwoord toe.

Admin-gebruiker toevoegen

Stap 5.2. Kies SWA Admin in het gedeelte Gebruikersgroepen.Wijs een beheergroep toe aan de beheerder(s)

Stap 5.3. U moet een gebruiker met de rechten Alleen lezen aanmaken. Ken een naam en wachtwoord toe.

Alleen-lezen gebruiker toevoegen

Stap 5.4. Kies SWA ReadOnly in de sectie Gebruikersgroepen.

Wijs alleen-lezen gebruikersgroep toe aan de alleen-lezen gebruiker

Stap 6. Maak het autorisatieprofiel aan voor de beheerder.

Navigeer naar Beleid > Beleidselementen > Resultaten > Vergunningprofielen > +Add.

Definieer een naam voor het autorisatieprofiel en zorg ervoor dat het toegangstype is ingesteld op ACCESS_ACCEPTEREN.

Vergunningsprofiel voor beheerder-gebruikers toevoegen

Stap 6.1. Navigeer in de instellingen voor geavanceerde kenmerken naar RADIUS > Class—[25], voer de waarde Administrator in en klik op Submit.Vergunningsprofiel voor beheerder-gebruikers toevoegen

Stap 7. Herhaal stap 6 om het autorisatieprofiel voor de alleen-lezen gebruiker te maken.

Vergunningsprofiel voor alleen-lezen gebruikers toevoegen

STAP 7.1. Maak de straal:Klasse met de waarde ReadUser in plaats van Administrator dit keer.

Vergunningsprofiel voor alleen-lezen gebruikers toevoegen

Stap 8. Maak beleidssets die overeenkomen met het SWA IP-adres. Dit is om toegang tot andere apparaten met deze gebruikersreferenties te voorkomen.

Navigeer naar Policy > PolicySets en klik op +pictogram in de linkerbovenhoek.

Beleidsset toevoegen in ISE

Stap 8.1. Een nieuwe regel wordt bovenaan uw Policy Sets geplaatst.

Noem het nieuwe beleid en voeg een voorwaarde voor RADIUS NAS-IP-Adres attribuut toe om het SWA IP-adres aan te passen.

Klik op Gebruik om de wijzigingen te bewaren en de editor te verlaten.

Voeg beleid toe aan kaart SWA Network Device

Stap 8.2. Klik op Save (Opslaan).

Beleidsbesparing

Stap 9. Als u de nieuwe beleidssets wilt weergeven, klikt u op het >-pictogram in de kolom Weergave. Breid het menu Beleid voor autorisatie uit en klik op het + pictogram om een nieuwe regel toe te voegen die de gebruiker met beheerdersrechten toegang geeft.

Stel een naam in.

Stap 9.1. Klik op het pictogram + om een voorwaarde te maken voor het overeenkomen met een beheerdersgroep.Voorwaarden voor autorisatiebeleid toevoegen

Stap 9.2. Stel de voorwaarden in om de Dictionary Identity Group met Attribute Name gelijk te stellen aan User Identity Groups: SWA admin.Selecteer Identiteitsgroep als voorwaarde

Stap 9.3. Scroll naar beneden en selecteer Gebruikersidentiteitsgroepen: SWA-beheerder.Blader naar beneden bij Naam van identiteitsgroep selecteren

Stap 9.4. Klik op Gebruik.

Selecteer Autorisatiebeleid voor SWA Admin User Group

Stap 10. Klik op het pictogram + om een tweede regel toe te voegen, zodat de gebruiker toegang heeft tot alleen-lezen rechten.

Stel een naam in.

Stel de voorwaarden in om de Dictionary Identity Group met Attribute Name gelijk te stellen aan User Identity Groups: SWA ReadOnly en klik op Use.

Selecteer Autorisatiebeleid voor alleen-lezen gebruikersgroep

Stap 11. Stel voor elke regel het autorisatieprofiel in en klik op Opslaan.

Selecteer een autorisatieprofiel

Configuratie SWA

Stap 1. Van SWA GUI navigeer aan Systeembeheer en klik Gebruikers. 

Stap 2. Klik op Inschakelen in externe verificatie.

Externe verificatie in SWA inschakelen

Stap 3. Voer IP-adres of FQDN van de ISE in het veld RADIUS-server Hostname in en voer hetzelfde gedeelde geheim in dat is geconfigureerd in stap 2, ISE-configuratie.

Stap 4. Selecteer Buiten geverifieerde gebruikers toewijzen aan meerdere lokale rollen in groepstoewijzing.

Stap 4.1. Voer in het veld RADIUS-klassekenmerken een beheerder in en selecteer de beheerder Rol.

Stap 4.2. Voer in het veld RADIUS-KLASSENKENMERKEN een ReadUser-waarde in en selecteer de operator Alleen-lezen rol. 

Externe verificatieconfiguratie voor RADIUS-server

Stap 5: Om Gebruikers in SWA te configureren, klikt u op Add User. Voer een gebruikersnaam in en selecteer het gebruikerstype dat vereist is voor de gewenste rol. Voer een wachtwoordgroep in en typ een wachtwoordgroep opnieuw. Dit is vereist voor GUI-toegang als het apparaat geen verbinding kan maken met een externe RADIUS-server.

Gebruikersconfiguratie in SWA

Stap 6: Klik op Indienen en Wijzigingen vastleggen.

Verifiëren

Open de SWA GUI met de geconfigureerde gebruikersreferenties en controleer de bewegende inloggegevens van ISE. Om de live logs in ISE te controleren, navigeer je naar Operations > Live Logs:

Controleer de gebruikersaanmelding bij ISE

Gerelateerde informatie

• Gebruikershandleiding voor AsyncOS 14.0 voor Cisco Secure Web applicatie
• ISE 3.0 beheerdershandleiding
• ISE-compatibiliteitsmatrix voor beveiligde web applicatie
• Cisco Technical Support en downloads