Configurar listas de controle de acesso dinâmico por usuário no ISE

Introduction

Este documento descreve a configuração de uma lista de controle de acesso dinâmico (dACL - Dynamic Access Control List) por usuário para usuários presentes no repositório de identidade interno do ISE ou em um repositório de identidade externo. 

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento da configuração de política no Identity Services Engine (ISE).

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

•  Identity Services Engine 3.0
•  Microsoft Windows Ative Diretory 2016

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

O dACL por usuário pode ser configurado para qualquer usuário na loja interna usando um atributo de usuário personalizado. Para um usuário no Ative Diretory (AD), qualquer atributo do tipo string pode ser usado para alcançar o mesmo. Esta seção fornece as informações necessárias para configurar os atributos no ISE e no AD juntamente com a configuração necessária no ISE para que esse recurso funcione. 

Configurar um novo atributo de usuário personalizado no ISE

Navegue até Administration > Identity Management > Settings > User Custom Attributes. Clique no + botão, como mostrado na imagem, para adicionar um novo atributo e salvar as alterações. Neste exemplo, o nome do atributo personalizado é ACL.

Configurar dACL

Para configurar ACLs que podem ser baixadas, navegue para Política > Elementos de política > Resultados > Autorização > ACLs que podem ser baixadas. Clique em Add. Forneça um nome, conteúdo do dACL e salve as alterações. Como mostrado na imagem, o nome do dACL é NotMuchAccess.

Configurar uma conta de usuário interna com o atributo personalizado

Navegue até Administração > Gerenciamento de identidades > Identidades > Usuários > Adicionar. Crie um usuário e configure o valor do atributo personalizado com o nome do dACL que o usuário precisa obter quando autorizado. Neste exemplo, o nome do dACL é NotMuchAccess. 

Configurar uma conta de usuário do AD 

No Ative Diretory, navegue para as propriedades da conta de usuário e, em seguida, para a guia Editor de atributos. Como mostrado na imagem, aCSPolicyName é o atributo usado para especificar o nome dACL. No entanto, como mencionado anteriormente, qualquer atributo que possa aceitar um valor de string também pode ser usado.

Importar o atributo do AD para o ISE 

Para usar o atributo configurado no AD, o ISE precisa importá-lo. Para importar o atributo, navegue até a guia Administration > Identity Management > External Identity Sources > Ative Diretory > [Join point configure] > Attributes. Clique em Adicionar e, em seguida, em Selecionar atributos do diretório. Forneça o nome da conta de usuário no AD e clique em Recolocar atributos. Selecione o atributo configurado para dACL, clique em OK e clique em Salvar. Como mostrado na imagem, CSPolicyName é o atributo.

Configurar perfis de autorização para usuários internos e externos

Para configurar Perfis de autorização, navegue para Política > Elementos de política > Resultados > Autorização > Perfis de autorização. Clique em Add. Forneça um nome e escolha o nome dACL como InternalUser:<nome do atributo personalizado criado> para usuário interno. Como mostrado na imagem, para o usuário interno, o perfil InternalUserAttributeTest é configurado com o dACL configurado como InternalUser:ACL.

Para usuário externo, use <Join point name>:<attribute configurado no AD> como o nome dACL. Neste exemplo, o perfil ExternalUserAttributeTest é configurado com o dACL configurado como RiniAD:aCSPolicyName, onde RiniAD é o nome do ponto de junção.

Configurar políticas de autorização

As políticas de autorização podem ser configuradas em Política > Conjuntos de políticas com base nos grupos nos quais o usuário externo está presente no AD e também com base no nome de usuário no repositório de identidade interno do ISE. Neste exemplo, testuserexternal é um usuário presente no grupo rinsantr.lab/Users/Test Group e testuserinternal é um usuário presente no repositório de identidade interna do ISE.

Verificar

Use esta seção para verificar se a configuração funciona.

Verifique os registros ao vivo RADIUS para verificar as autenticações do usuário.

Usuário interno:

Usuário externo:

Clique no ícone de lupa nas autenticações de usuário bem-sucedidas para verificar se as solicitações atingem as políticas corretas na seção Visão geral dos registros ao vivo detalhados.

Usuário interno:

Usuário externo:

Verifique a seção Outros atributos dos registros ao vivo detalhados para verificar se os atributos do usuário foram recuperados.

Usuário interno:

Usuário externo:

Verifique a seção Resultado dos registros em direto detalhados para verificar se o atributo dACL está sendo enviado como parte do Access-Accept.

Além disso, verifique os registros ao vivo do RADIUS para verificar se o dACL foi baixado após a autenticação do usuário.

Clique no ícone de lupa no registro de download dACL bem-sucedido e verifique a seção Visão geral para confirmar o download do dACL.

Verifique a seção Resultado deste relatório detalhado para verificar o conteúdo do dACL.

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.