Kerberos Single-Sign-On Authentication configureren in SWA

Inleiding

In dit document worden de stappen beschreven voor het configureren van proxygebruikers met SSO-verificatie (Single Sign-On) via Kerberos in Secure Web Appliance (SWA).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• SWA-administratie.
• Basic Active Directory-beheer.

Cisco raadt u aan deze tools te installeren:

• Fysieke of virtuele SWA.

• Administratieve toegang tot de grafische gebruikersinterface (GUI) van SWA.
• Administratieve toegang tot de Active Directory.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Voordat u begint 

Als de proxyclient wordt gevraagd om de referenties handmatig in te voeren bij het openen van een website, gebruikt u deze stappen om problemen op te lossen.

Afbeelding - Vragen voor gebruikersverificatie

Stap 1. Controleer de Accesslogs met betrekking tot de client.

Stap 1.1. Log in op de CLI.

Stap 1.2. Run grep.

Stap 1.3. Selecteer het nummer dat is gekoppeld aan de. acceslogs.

Stap 1.4. Typ in het vak Voer de reguliere expressie in om het client-IP-adres te typen.

Stap 1.5. Druk op Enter totdat je Do you want to tail the logs ziet, Typ "Y" en druk op enter totdat je de Accesslogs ziet.

Stap 1.6. Reproduceer het probleem door te proberen toegang te krijgen tot een website vanaf de client-pc.

Stap 1.7. bevestig het identificatieprofiel dat het verkeer raakt.

In dit voorbeeld is het identificatieprofiel Auth_ID:

1776248928.353 0 10.48.48.195 TCP_DENIED/407 0 GET http://cisco.com/ - NONE/- - OTHER-NONE-Auth_ID-NONE-NONE-NONE-NONE-NONE <"-",-,-,"-",-,-,-,-,"-",-,-,-,"-",-,-,"-","-",-,-,"-",-,"-","-","-","-","-","-","-",0.00,0,-,"-","-",-,"-",-,-,"-","-",-,-,"-",-,-> - -

Stap 2. Controleer het identificatieprofiel.

Stap 2.1. Log in op de SWA GUI.

Stap 2.2. Selecteer Identificatieprofielen in Web Security Manager.

Stap 2.3. Klik op de naam van het identificatieprofiel dat door het verkeer werd getroffen.

Stap 2.4. Bevestig dat dat verificatieschema niet is ingesteld op Basis.

Afbeelding - Verificatieschema

Stap 3. SWA- en Active Directory-connectiviteit testen.

Stap 3.1. Navigeer vanuit de SWA GUI naar Network en selecteer Authentication.

Stap 3.2. Klik op de naam van het verificatierijk.

Stap 3.3. Klik op Test starten om de connectiviteitsstatus van de SWA- en Active Directory te bekijken.

Als er geen fouten worden gevonden, controleert u de configuratie van de client-pc zoals beschreven in dit artikel.

De client-pc configureren

Voer de volgende stappen uit om de configuratie van de client-pc te verifiëren:

Stappen	Details
Stap 1. Lokale intranetsites	Stap 1.1. Typ in het menu Start Internet Option en druk op Enter. Stap 1.2. Klik in het venster Internet Properties op het tabblad Security. Stap 1.3. Selecteer Lokaal intranet. Stap 1.4. Klik op de sites. Stap 1.5. Zorg ervoor dat het selectievakje Intranetnetwerk automatisch detecteren niet is ingeschakeld. Stap 1.6. Selecteer al deze drie opties: Inclusief alle lokale (intranet) sites die niet in andere zones worden vermeld Voeg alle sites toe die de proxyserver omzeilen Alle netwerkpaden (UNC's) opnemen Stap 1.7. Klik op Advanced (Geavanceerd). Stap 1.8. Vul de Fully Qualified Domain Name (FQDN) of het IP-adres van uw SWA in en voeg dit toe aan de lijst. Stap 1.9. (Optioneel) Afhankelijk van uw interne beveiligingsbeleid kunt u Serververificatie vereisen uitschakelen.  Afbeelding - De lokale internetsites configureren Stap 1.10. Klik op Sluiten en OK. Stap 1.11. Klik op het tabblad Beveiliging op Aangepast niveau. Stap 1.12. Scroll naar Gebruikersverificatie. Stap 1.13. Zorg ervoor dat de automatische aanmelding alleen in de intranetzone is geselecteerd. Afbeelding - Automatische aanmelding voor intranetgebruikers
Stap 2. Verzamel de logs	Als stap 1 de SSO-verificatie niet heeft verholpen via Kerberos: Stap 2.1. Wijzig de SWA Auth-logs in Trace en bekijk de logs. Stap 2.2. Voeg [Auth-Method = %m ] toe als een aangepast veld aan de acceslogs. voor meer informatie gaat u naar: Prestatieparameter configureren in toegangslogs.  Stap 2.3. Voer een pakketopnamefilter uit voor client-IP en Active Directory-IP-adres en bevestig dat de client-pc het Kerberos-serviceticket naar de SWA verzendt.

Opmerking: Zorg ervoor dat u het FQDN van de SWA hebt geconfigureerd in de proxyinstellingen van uw browser.

Gerelateerde inhoud

• Gebruikershandleiding voor AsyncOS 15.0 voor Cisco Secure Web Appliance
• Firewall configureren voor beveiligd webtoestel 
• Packet Capture configureren op apparaat voor contentbeveiliging 
• Prestatieparameter configureren in toegangslogboeken 
• Toegang tot logboeken voor beveiligde webtoepassingen 
• Best practices voor veilige webtoepassingen gebruiken - Cisco
• Verificatie omzeilen in beveiligd webtoestel - Cisco

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	21-Oct-2026	modernisering
1.0	28-Apr-2026	Eerste vrijgave