Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Configurar

Diagrama de fluxo

Configurações

Selecionar aplicativos para proteger

Integrar o ISE com o Ative Diretory

Habilitar API aberta

Habilitar fonte de identidade MFA

Configurar fonte de identidade externa MFA

Registrar Usuário no DUO

Configurar conjuntos de políticas

Limitações

Verificar

Troubleshooting

Introdução

Este documento descreve como integrar o patch 1 do Identity Services Engine (ISE) 3.3 com o DUO para Multi-fator Authentication. A partir da versão 3.3, o patch 1 do ISE pode ser configurado para integração nativa com serviços DUO, eliminando assim a necessidade de proxy de autenticação.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento básico destes tópicos:

- ISE

- DUO

Componentes Utilizados

As informações neste documento são baseadas em:

- Patch 1 do Cisco ISE versão 3.3

- DUO

- Cisco ASA versão 9.16(4)

- Cisco Secure Client versão 5.0.04032

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Diagrama de fluxo

Diagrama de fluxo

Etapas

0. A Fase de Configuração inclui a seleção dos Grupos do Ative Diretory, a partir dos quais os usuários são sincronizados, e a sincronização ocorre quando o assistente de MFA é concluído. Ele consiste em duas etapas. Pesquisa no Ative Diretory para obter a lista de usuários e determinados atributos. Uma chamada para o DUO Cloud com API de Administração é feita para enviar os usuários para lá. Os administradores são solicitados a registrar usuários. A inscrição pode incluir a etapa opcional de ativação do usuário do Duo Mobile, que permite que seus usuários usem a autenticação de um toque com o Duo Push

1. A conexão VPN é iniciada, o usuário insere o nome de usuário e a senha e clica em OK. O dispositivo de rede envia a solicitação de acesso RADIUS é enviada à PSN

2. O nó PSN autentica o usuário através do Ative Diretory

3. Quando a autenticação é bem-sucedida e a política de MFA é configurada, a PSN envolve a PAN para entrar em contato com a nuvem DUO

4. Uma chamada para a nuvem DUO com API Auth é feita para invocar uma autenticação de segundo fator com DUO

5. Ocorre a autenticação de segundo fator. O usuário conclui o processo de autenticação de segundo fator

6. O DUO responde ao PAN com o resultado da autenticação de segundo fator

7. O PAN responde ao PSN com o resultado da autenticação de segundo fator

8. Access-Accept é enviado ao Dispositivo de Rede, a Conexão VPN é estabelecida

Configurações

Selecionar aplicativos para proteger

Navegue até Painel de administração do DUO https://admin.duosecurity.com/login. Faça login com credenciais de administrador.

Navegue até Painel de Controle > Aplicativos > Proteger um Aplicativo. Procure Auth API e selecione Protect.

API de autenticação 1

Anote a chave Integration e a chave Secret.

API de autenticação 2

Navegue até Painel de Controle > Aplicativos > Proteger um Aplicativo. Procure Admin API e selecione Proteger.

Observação: somente administradores com a função Proprietário podem criar ou modificar um aplicativo API de administração no Painel de administração do Duo.

API de autenticação 1

Anote a chave de integração e a chave secreta e o nome de host da API.

API de administração 2

Configurar Permissões de API

Navegue até Painel de Controle > Aplicativos > Aplicativo. Selecione Admin API.

Marque Conceder recursos de leitura e Conceder recursos de gravação. Clique em Save Changes (Salvar alterações).

API de administração 3

Integrar o ISE com o Ative Diretory

1. Navegue até Administração > Gerenciamento de identidades > Repositórios de identidades externos > Ative Diretory > Adicionar. Forneça o Join Point Name (Nome do ponto de ingresso), Ative Diretory Domain (Domínio do Ative Diretory) e clique em Submit (Enviar).

Ative Diretory 1

2. Quando for solicitado a Ingressar em todos os Nós do ISE neste Domínio do Ative Diretory, clique em Sim.

Ative Diretory 2

3. Forneça o Nome de usuário e a Senha do AD e clique em OK.

Ative Diretory 3

A conta do AD necessária para o acesso ao domínio no ISE pode ter um destes:

- Adicionar estações de trabalho ao domínio do direito do usuário no respectivo domínio

- Criar Objetos do Computador ou Excluir Objetos do Computador no respectivo contêiner de computadores onde a conta da máquina do ISE é criada antes de ela ingressar na máquina do ISE para o domínio

Observação: a Cisco recomenda desabilitar a política de bloqueio para a conta do ISE e configurar a infraestrutura do AD para enviar alertas ao administrador se uma senha incorreta for usada para essa conta. Quando a senha incorreta é inserida, o ISE não cria nem modifica sua conta de máquina quando necessário e, portanto, possivelmente nega todas as autenticações.

4. O status do AD é Operacional.

Ative Diretory 4

5. Navegue até Groups > Add > Select Groups From Diretory > Retrieve Groups. Marque as caixas de seleção em Grupos do AD de sua escolha (que são usadas para sincronizar usuários e para Política de autorização), conforme mostrado nesta imagem.

Ative Diretory 5

6. Clique em Salvar para salvar os Grupos do AD recuperados.

Ative Diretory 6

Habilitar API aberta

Navegue até Administration > System > Settings > API Settings > API Service Settings. Habilite Open API e clique em Save.

API aberta

Habilitar fonte de identidade MFA

Navegue até Administração > Gerenciamento de identidades > Configurações > Configurações de fontes de identidade externas. Habilite MFA e clique em Save.

MFA 1 do ISE

Configurar fonte de identidade externa MFA

Navegue até Administração > Gerenciamento de identidades > Fontes de identidade externas. Clique em Add. Na tela Welcome (Bem-vindo), clique em Let's Do It.

Assistente ISE DUO 1

Na próxima tela, configure Connection Name e clique em Next.

Assistente ISE DUO 2

Etapa Configure os valores de Nome de Host da API, Integração da API de Administração e Chaves Secretas, Integração da API de Autenticação e Chaves Secretas de Selecionar Aplicativos para Proteger.

Assistente do ISE DUO 3

Clique em Test Connection. Depois que o Teste de conexão for bem sucedido, você pode clicar em Avançar.

Assistente ISE DUO 4

Configure a Sincronização de Identidades. Este processo sincroniza usuários dos grupos do Ative Diretory que você selecionou na Conta DUO usando as credenciais de API fornecidas anteriormente. Selecione Ative Diretory Join Point. Clique em Next.

Observação: a configuração do Ative Diretory está fora do escopo do documento. Siga este documento para integrar o ISE ao Ative Diretory.

Assistente ISE DUO 5

Selecione Grupos do Ative Diretory dos quais você deseja que os usuários sejam sincronizados com o DUO. Clique em Next.

Assistente ISE DUO 6

Verifique se as configurações estão corretas e clique em Done.

Assistente ISE DUO 7

Registrar Usuário no DUO

Observação: a Inscrição de Usuário DUO está fora do escopo do documento. Considere este documento para saber mais sobre a inscrição dos usuários. Para os fins deste documento, o registro manual de usuário é usado.

Abra o Painel de Administração do DUO. Navegue até Painel > Usuários. Clique no usuário sincronizado no ISE.

Inscrição DUO 1

Role para baixo até Telefones. Clique em Adicionar telefone.

Inscrição DUO 2

Digite o número de telefone e clique em Add Phone.

Configurar conjuntos de políticas

1. Configurar Política de Autenticação

Navegue até Política > Conjunto de políticas. Selecione o conjunto de políticas para o qual você deseja habilitar a MFA. Configure a Política de Autenticação com o Repositório de Identidades de Autenticação Primária como Ative Diretory.

Conjunto de políticas 1

2. Configurar a Política de MFA

Quando o MFA estiver habilitado no ISE, uma nova seção em Conjuntos de políticas do ISE estará disponível. Expanda MFA Policy e clique em + para adicionar MFA Policy. Configure MFA Conditions (Configurar condições de MFA) de sua escolha, selecione DUO-MFA configurado anteriormente na seção Use. Clique em Save.

Política do ISE

Observação: a política configurada acima depende do grupo de túneis chamado RA. Os usuários conectados ao grupo de túneis RA são forçados a executar o MFA. A configuração do ASA/FTD está fora do escopo deste documento. Use este documento para configurar o ASA/FTD

3. Configurar Política de Autorização

Configure a Diretiva de Autorização com a condição Grupo do Ative Diretory e as permissões de sua escolha.

Conjunto de políticas 3

Limitações

No momento em que este documento foi escrito:

1. Apenas push e telefone DUO são suportados como um método de autenticação de segundo fator

2. Nenhum grupo é enviado para a nuvem DUO, somente a sincronização do usuário é suportada

3. Somente os seguintes casos de uso de autenticação multifator são suportados:

- Autenticação de usuário VPN

- Autenticação de acesso de administrador TACACS+

Verificar

Abra o Cisco Secure Client, clique em Connect. Forneça Username e Password e clique em OK.

Cliente de VPN

O Dispositivo Móvel do Usuário deve receber uma Notificação por Push DUO. Aprove-o. Conexão VPN estabelecida.

Push DUO

Navegue até ISE Operations > Live Logs para confirmar a autenticação do usuário.

Logs ao vivo 1

Clique em Details Authentication Report, verifique Authentication Policy, Authorization Policy e Authorization Result. Percorra as Etapas à direita. Para confirmar que a AMF foi bem-sucedida, a seguinte linha deve estar presente:

A Autenticação Multifator foi Bem-sucedida

Logs ao vivo 2

Troubleshooting

Depurações para ativar no ISE.

Caso de uso

Componente de Log

Arquivo de log

Principais mensagens de log

Logs relacionados a MFA

mecanismo de política

ise-psc.log

DuoMfaAuthApiUtils -:::::- Solicitação enviada ao gerenciador de cliente Duo

DuoMfaAuthApiUtils —> Resposta Duo

Logs relacionados à política

prrt-JNI

prt-management.log

ProcessadorDeSolicitaçãoDePolíticaDeMfaDeRaio

TacacsMfaPolicyRequestProcessor

Logs relacionados à autenticação

runtime-AAA

prt-server.log

MfaAuthenticator::onAuthenticateEvent

MfaAuthenticator::sendAuthenticateEvent

MfaAuthenticator::onResponseEvaluatePolicyEvent

Autenticação DUO, logs relacionados à Sincronização de ID

duo-sync-service.log