Active Directory-verificatie configureren in SWA

Inleiding

In dit document worden de stappen beschreven voor het configureren van Active Directory-verificatie in Secure Web Appliance (SWA).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• SWA-administratie.
• Basisprotocollen voor netwerken en proxy.
• Basic Active Directory-beheer.

Cisco raadt u aan deze tools te installeren:

• Fysieke of virtuele SWA.

• Administratieve toegang tot de grafische gebruikersinterface (GUI) van SWA.
• Administratieve toegang tot de Active Directory.

Gebruikte componenten

Dit document is niet beperkt tot specifieke software- en hardware-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Checklist

Voordat u SWA op Active Directory aansluit, moet u ervoor zorgen dat alle vereiste controles zijn voltooid:

• SWA heeft de juiste netwerktoegang tot de Active Directory. voor meer informatie, surf naar: Firewall configureren voor een beveiligd webtoestel. 
• DNS-record voor SWA-hostnaam wordt gemaakt in de Active Directory. (CLI > sethostnaam).

Opmerking: Zorg ervoor dat de hostnaam van het Secure Web Appliance in de transparante modus overeenkomt met de hostnaam van Redirect.

• DNS-records voor SWA-interfaces worden gemaakt in de Active Directory.

• Vergelijk de huidige tijd op het Secure Web Appliance met de tijd op de Active Directory-server en zorg ervoor dat het verschil niet groter is dan de waarde die is gedefinieerd in de instelling "Maximale tolerantie voor computerkloksynchronisatie" op de Active Directory-server.

• Bevestig dat u beschikt over de vereiste machtigingen en domeingegevens om lid te worden van de Secure Web Appliance voor het Active Directory-domein dat u wilt gebruiken voor verificatie.

  • Maak een gebruiker op de Active Directory-server die lid is van de groep Domeinbeheerders of Accountbeheerders.

  • Als alternatief kunt u een gebruiker maken met de minimaal vereiste rechten: Wachtwoord opnieuw instellen, Gevalideerd schrijven naar servicePrincipalName, accountbeperkingen schrijven, Schrijven dNSHostName en Schrijven servicePrincipalName. Deze machtigingen zijn voldoende om het toestel aan te sluiten bij het domein en volledige functionaliteit te garanderen.

• Zorg ervoor dat SWA de Active Directory FQDN kan oplossen.

De Active Directory configureren

Gebruik deze stappen om Active Directory-verificatie in SWA te configureren.

Stappen	Details
Stap 1. Verzamel de informatie van SWA	Stap 1.1. Voer vanuit SWA CLI sethostname uit om de huidige SWA-hostnaam te bekijken. Opmerking: Als u de huidige hostnaam wilt wijzigen, typt u de nieuwe hostnaam en drukt u op Enter en voert u vervolgens wijzigingen door met de commando commit. Stap 1.2. Navigeer vanuit SWA GUI naar Network, selecteer Interfaces, om de FQDN-interfaces te bekijken. Als u de huidige FQDN-interfaces wilt wijzigen, klikt u op Instellingen bewerken en voert u de wijzigingen vervolgens in.  Stap 1.3. Vanuit de SWA GUI navigeert u naar Systeembeheer en klikt u op Tijdinstellingen, controleert u of de NTP-instellingen juist zijn. Stap 1.4. Navigeer vanuit de SWA GUI naar Netwerk, selecteer DNS, zorg ervoor dat de juiste DNS-server is gedefinieerd. Tip: Als SWA is geconfigureerd met een openbare DNS-server, klikt u op Instelling bewerken om verschillende DNS-servers voor uw Active Directory-domein te definiëren en in het gedeelte Alternatieve DNS-servers overschrijven (optioneel), definieert u de Active Directory-domeinnaam en het IP-adres van de DNS-server en dient u wijzigingen in en doet u dit. Afbeelding - Alternatieve DNS-servers toevoegen
Stap 2. De DNS-records in Active Directory configureren	Stap 2.1. Maak verbinding met uw Active Directory-server en navigeer naar de DNS Manager-console. Stap 2.2. Selecteer de gewenste domeinnaam in het linkerdeelvenster. Stap 2.3. Klik in het rechterdeelvenster met de rechtermuisknop en kies Nieuwe host (A of AAAA) Afbeelding - Een nieuw A-record maken Stap 2.4. Definieer het DNS-record voor de SWA-hostnaam (verzameld bij stap 1.1) Waarschuwing: Als de Active Directory via de beheerinterface verbinding maakt met de SWA, definieert u het IP-adres van het beheer en definieert u het juiste IP-adres van de SWA waartoe Active Directory toegang heeft (IP-adres P1-interface of IP-adres P2-interface) Stap 2.5. Definieer het DNS-record voor elke SWA-interfaces. Stap 2.6. (Optioneel) Als u High Availability gebruikt, definieert u een DNS-record voor het High Availability FQDN met het gedefinieerde virtuele IP-adres.
Stap 3. Active Directory Realm configureren	Stap 3.1. Navigeer vanuit SWA GUI naar Network, selecteer Authentication. Stap 3.2. Klik op Realm toevoegen. Stap 3.3. Definieer een domeinnaam. Stap 3.4. Kies Active Directory uit het type verificatieserver en schema(s). Stap 3.5. Standaard gebruikt SWA de beheerinterface om verbinding te maken met de Active Directory, om deze instellingen te wijzigen, klikt u op Broninterface instellen en kiest u de gewenste interface.  Stap 3.6. Definieer de hostnaam of het IP-adres van de Active Directory Domain Controller(s). Stap 3.7. Voer de naam van het Active Directory-domein in.  Stap 3.8. (Optioneel) Om de Computeraccount op te slaan in een andere Organisatie-eenheid (OU) in de Active Directory, definieert u de gewenste locatie Stap 3.9. Klik op Domeinnaam toevoegen. Afbeelding - Realm toevoegen Stap 3.10. Voer de gebruikersnaam en het wachtwoord in en klik op Join.  Tip: Voeg de domeinnaam niet toe aan de gebruikersnaam (voer bijvoorbeeld "SWA_ADMIN" in plaats van "DOMAIN\SWA_ADMIN" of "SWA_ADMIN@domain"). Afbeelding - SWA is succesvol toegetreden tot het AD Stap 3.11. Verzenden. Stap 3.12. Verbind de veranderingen.

Probleemoplossing

Deze fout geeft aan dat de tijd tussen de Active Directory en de SWA niet is gesynchroniseerd. gebruik stap 1.3. om de tijd op de SWA te corrigeren

Warning: Clock skew between WSA 'Thu Apr 16 08:25:17 2026' and AD server 'Wed Apr 15 08:30:30 2026' is too great
Warning: Clock skew between WSA 'Thu Apr 16 08:25:17 2026' and AD server 'Wed Apr 15 08:30:30 2026' is too great

Kan swa1 niet oplossen.*.* "Onbekende hostnaam" Fout

Deze fout geeft aan dat de SWA zijn eigen interface en de hostnaam niet via de DNS-server kan oplossen. Bevestig dat de SWA is geconfigureerd met de juiste DNS-server (stap 1.4 en stap 2) om de ontbrekende DNS-records te maken.

Failure: Unable to resolve 'swa1.amojarra.amojarra' : Unknown hostname

Tip: Als u na het corrigeren van de DNS-server of DNS-records nog steeds dezelfde fout ontvangt, verwijdert u de DNS-cache van GUI > Netwerk > DNS > DNS-cache wissen.

Kan ADD1 niet oplossen.*.*: "Onbekende hostnaam" Fout

Deze fout geeft aan dat de SWA de DNS-records met betrekking tot de Active Directory niet kan oplossen. Gebruik stap 1.4 om de juiste DNS-server voor uw Active Directory-domein te configureren.

Failure: Unable to resolve 'ADD1.amojarra.amojarra' : Unknown hostname

Tip: Als u na het corrigeren van de DNS-server of DNS-records nog steeds dezelfde fout ontvangt, verwijdert u de DNS-cache van GUI > Netwerk > DNS > DNS-cache wissen.

Fout bij ophalen Kerberos-tickets van server: "kinit: wachtwoord incorrect" Fout

Deze fout geeft aan dat de gebruikersnaam of het wachtwoord dat wordt gebruikt om verbinding te maken met de Active-directory onjuist is.

Failure: Error while fetching Kerberos Tickets from server '10.48.48.17' : kinit: Password incorrect

Kan niet deelnemen aan domein: account kan niet vooraf worden gemaakt: "Onvoldoende toegang"

Deze fout geeft aan dat de gebruiker niet over de minimaal vereiste bevoegdheden beschikt om de computeraccount aan te maken. Controleer de gebruikersrechten volgens de sectie Check List in dit artikel.

Failure: Error while joining WSA onto server '10.48.48.17' : ads_print_error: AD LDAP ERROR: 50 (Insufficient access): 00000005: SecErr: DSID-031A11E3, problem 4003 (INSUFF_ACCESS_RIGHTS), data 0 Failed to join domain: failed to precreate account in ou cn=Computers,dc=AMOJARRA,dc=AMOJARRA: Insufficient access

Gerelateerde inhoud

• Gebruikershandleiding voor AsyncOS 15.0 voor Cisco Secure Web Appliance
• Firewall configureren voor beveiligd webtoestel 
• Aangepaste URL-rubrieken configureren in Secure Web Appliance - Cisco
• Hoe Office 365-verkeer vrij te stellen van verificatie en decodering op Cisco Web Security Appliance (WSA) - Cisco
• Best practices voor veilige webtoepassingen gebruiken - Cisco
• Verkeer blokkeren in beveiligd webtoestel 
• Uploadverkeer blokkeren in beveiligd webtoestel 
• Executable File Download blokkeren in SWA 
• Microsoft-updates voor verkeer in beveiligd webtoestel omzeilen 
• Verificatie omzeilen in beveiligd webtoestel - Cisco

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	21-Oct-2026	hercertificering
1.0	29-Apr-2026	Eerste vrijgave