Configurar Autenticação Externa e Autorização via LDAPS para Acesso ao SNA Manager

Introdução

Este documento descreve a configuração básica de um Secure Network Analytics Manager com Lightweight Diretory Access Protocol (LDAP) sobre SSL.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco Secure Network Analytics (antigo Stealthwatch)
• Operação geral LDAP e SSL
• Gerenciamento geral do Microsoft Ative Diretory

Componentes Utilizados

As informações neste documento são baseadas nestes componentes:

• Cisco Secure Network Analytics Manager (anteriormente SMC) versão 7.3.2
• Windows Server 2016 configurado como Controlador de Domínio do Ative Diretory 

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Etapa A. Faça login no controlador de domínio do AD e exporte o certificado SSL usado para LDAP

1. No Windows Server 2012 ou posterior, selecione Executar no menu Iniciar, insira certlm.msc e continue com a Etapa 8. 
2. Para versões mais antigas do Windows Server, selecione Run no menu Start e digite mmc.
3. No menu Arquivo, selecione Adicionar/remover snap-in.
4. Na lista Snap-ins disponíveis, selecione Certificados e clique em Adicionar.

5. Na janela snap-in Certificados, selecione Conta do computador e selecione Próximo.

6. Deixe Computador local selecionado e, em seguida, selecione Concluir.

7. Na janela Adicionar ou Remover Snap-in, selecione OK.

8. Navegue até Certificados (Computador Local) > Pessoal > Certificados

9. Selecione e clique com o botão direito do mouse no certificado SSL usado para autenticação LDAPS no controlador de domínio e clique em Abrir.

10. Navegue até a guia Detalhes > clique em Copiar para Arquivo > Próximo

11. Certifique-se de que Não, não exportar chave privada esteja selecionado e clique em Próximo

12. Selecione o formato X.509 codificado na Base 64 e clique em Próximo.

13. Selecione um local para armazenar o certificado, nomeie o arquivo e clique em Próximo.

14. Clique em Finalizar, você deve obter um "A exportação foi bem-sucedida." mensagem.

15. Volte para o certificado usado para LDAPS e selecione a guia Caminho de Certificação.

16. Selecione o emissor da CA raiz no caminho de certificação e clique em Exibir certificado.

17. Repita as etapas 10-14 para exportar o certificado da CA raiz que assinou o certificado usado para autenticação LDAPS.

Note: Sua implantação pode ter uma Hierarquia de CA multicamada; nesse caso, você precisará usar o mesmo procedimento para exportar todos os certificados intermediários na cadeia de confiança.

18. Antes de continuar, certifique-se de que você tenha um arquivo de certificado para o servidor LDAPS e para cada autoridade emissora no caminho de certificação: Certificado raiz e certificados intermediários (se aplicável).

Etapa B. Efetue login no SNA Manager para adicionar o certificado do servidor LDAP e a cadeia raiz

1. Navegue até Central Management > Inventory.
2. Localize o aplicativo SNA Manager e clique em Actions > Edit Appliance Configuration.
3. Na janela Configuração do equipamento, navegue até Menu Configuração > Armazenamento confiável > Adicionar novo.
4. Digite o Nome amigável, clique em Escolher arquivo, selecione o certificado do servidor LDAP e clique em Adicionar certificado.
5. Repita a etapa anterior para adicionar o certificado de CA raiz e os certificados intermediários (se aplicável).
6. Verifique se os certificados carregados estão corretos e clique em Aplicar configurações.

7. Aguarde até que as alterações sejam aplicadas e que o status do Gerente seja Ativo.

Etapa C. Adicionar a configuração do serviço externo LDAP

SNA Versão 7.2 ou posterior

1. Abra o painel principal do Gerenciador e navegue até Configurações globais > Gerenciamento de usuários.

2. Na janela Gerenciamento de Usuários, selecione a guia Autenticação e Autorização.

3. Clique em Criar > Serviço de Autenticação.

4. No menu suspenso Authentication Service, selecione LDAP.

5. Preencha os campos obrigatórios.

Campo	Notas
Nome Amigável	Insira um nome para o servidor LDAP.
Descrição	Digite uma descrição para o servidor LDAP.
Endereço do servidor	Digite o nome de domínio totalmente qualificado conforme especificado no campo Nome alternativo do assunto (SAN) do certificado do servidor LDAP. Se o campo SAN contiver apenas o endereço IPv4, insira o endereço IPv4 no campo Server Address (Endereço do servidor). Se o campo SAN contiver o nome DNS, insira o nome DNS no campo Server Address (Endereço do servidor). Se o campo SAN contiver valores DNS e IPv4, use o primeiro valor listado.
Porta	Insira a porta designada para comunicação LDAP segura (LDAP sobre TLS). A porta TCP bem conhecida para LDAPS é 636.
Vincular usuário	Digite a ID de usuário usada para se conectar ao servidor LDAP. Por exemplo: CN=admin,OU=Usuários corporativos,DC=exemplo,DC=com Note: Se você tiver adicionado os usuários a um contêiner interno do AD (Por exemplo, "Usuários"), o DN de vinculação do Usuário de vinculação deverá ter o nome canônico (CN) definido para a pasta interna (Por exemplo, CN=username, CN=Users, DC=domain, DC=com). No entanto, se você tiver adicionado seus usuários a um novo contêiner, o DN de vinculação deverá ter a unidade organizacional (OU) definida como o novo nome do contêiner (Por exemplo, CN=username, OU=Corporate Users, DC=domain, DC=com). Note: Uma maneira útil de localizar o DN de Ligação do Usuário de Ligação é consultar o Ative Diretory em um Windows Server que tenha conectividade com o Ative Diretory Server. Para obter essas informações, você pode abrir um prompt de comando do Windows e digitar o comando dsquery user dc=<distinguished>,dc=<name> -name <user>. Por exemplo: dsquery user dc=example,dc=com -name user1. O resultado será "CN=user1,OU=Corporate Users,DC=example,DC=com"
Senha	Insira a senha de usuário de vinculação usada para conectar-se ao servidor LDAP.
Contas-base	Digite o DN (Distinguished Name - Nome Distinto). O DN aplica-se à ramificação do diretório em que as pesquisas de usuários devem começar. Geralmente é o topo da árvore de diretórios (seu domínio), mas você também pode especificar uma subárvore dentro do diretório. O usuário de vinculação e os usuários que devem ser autenticados devem estar acessíveis a partir de contas base. Por exemplo: dc=example,dc=com

6. Clique em Salvar.

7. Se as configurações inseridas e os certificados adicionados ao armazenamento confiável estiverem corretos, você receberá um You've successfully saved your changes banner.

8. O servidor configurado deve ser exibido em User Management > Authentication and Authorization.

SNA Versão 7.1

1. Navegue até Central Management > Inventory.
2. Localize o equipamento SMC e clique em Actions > Edit Appliance Configuration.
3. Na janela Configuração do equipamento, navegue até Menu Configuração > Configuração LDAP > Adicionar novo.
4. Preencha os campos obrigatórios conforme descrito na Versão 7.2 do SNA ou na Etapa 5 posterior.

5. Clique em Adicionar.

6. Clique em Aplicar Configurações.

7. Quando as configurações inseridas e os certificados adicionados ao armazenamento confiável estiverem corretos, as alterações no Gerenciador serão aplicadas e o estado do equipamento deverá ser Ativo.

Etapa D. Definir as configurações de Autorização.

O SNA suporta Autorização Local e Remota via LDAP. Com essa configuração, os grupos LDAP do servidor AD são mapeados para funções SNA internas ou personalizadas.

Os métodos de autenticação e autorização suportados para SNA via LDAP são:

• Autenticação remota e autorização local
• Autenticação remota e autorização remota (somente com suporte para SNA versão 7.2.1 ou posterior)

Autorização local

Nesse caso, os usuários e suas funções precisam ser definidos localmente. Para isso, faça o seguinte.

1. Navegue para Gerenciamento de usuários novamente, clique na guia Usuários > Criar > Usuário.

2. Defina o nome de usuário para autenticar com o servidor LDAP e selecione o servidor configurado no menu suspenso Authentication Service.

3. Defina as permissões que o usuário deve ter sobre o Gerenciador depois que ele for autenticado pelo servidor LDAP e clique em Salvar.

Autorização remota via LDAP

A Autenticação e Autorização Remotas via LDAP teve suporte pela primeira vez no Secure Network Analytics versão 7.2.1.

Note: Autorização remota com LDAP não é suportada na versão 7.1.

É importante mencionar que se um usuário for definido e habilitado localmente (no Gerenciador), o usuário será autenticado remotamente, mas autorizado localmente. O processo de seleção do usuário é o seguinte:

1. Depois que as credenciais são inseridas na página de boas-vindas, o Gerenciador procura um usuário local com o nome especificado.
2. Se um usuário local for encontrado e estiver habilitado, ele será autenticado remotamente (se a autenticação remota via LDAP com autorização local tiver sido configurada anteriormente), mas autorizado com as configurações locais.
3. Se a autorização remota estiver configurada e habilitada, e o usuário não for encontrado localmente (não configurado ou desabilitado), a autenticação e a autorização serão executadas remotamente.

Por esse motivo, as etapas para configurar com êxito a autenticação remota são descritas a seguir.

Etapa D-1. Desabilite ou exclua os usuários que pretendem usar autorização remota, mas que estão definidos localmente

1. Abra o painel principal do Gerenciador e navegue até Configurações globais > Gerenciamento de usuário.
2. Desabilite ou exclua os usuários (se existirem) que pretendem usar autenticação e autorização remotas via LDAP, mas que estão configurados localmente.

Etapa D-2. Defina os grupos cisco-stealthwatch no servidor Microsoft AD.

Para Autenticação e autorização externas via usuários LDAP, as senhas e os grupos cisco-stealthwatch são definidos remotamente no Microsoft Ative Diretory. Os grupos cisco-stealthwatch a serem definidos no servidor do AD estão relacionados às diferentes funções que o SNA tem; eles devem ser definidos da seguinte forma.

Função SNA	Nome do(s) grupo(s)
Administrador principal	cisco-stealthwatch-master-admin
Função de dados	cisco-stealthwatch-all-data-read-and-write cisco-stealthwatch-all-data-read-only cisco-stealthwatch-<custom> (opcional) Note: Certifique-se de que os grupos de função de dados personalizados comecem com "cisco-stealthwatch-".
Função funcional da Web	cisco-stealthwatch-configuration-manager cisco-stealthwatch-power-analyst cisco-stealthwatch-analyst
Função funcional da área de trabalho	cisco-stealthwatch-desktop-stealthwatch-power-user cisco-stealthwatch-desktop-configuration-manager cisco-stealthwatch-desktop-network-engineering cisco-stealthwatch-desktop-security-analyst cisco-stealthwatch-desktop-<custom> (opcional) Note: Certifique-se de que os grupos de funções funcionais de desktop personalizados comecem com "cisco-stealthwatch-desktop-".

Note: Conforme descrito anteriormente, os grupos personalizados são suportados para "Função de dados" e "Função funcional de desktop", desde que o nome do grupo seja precedido pela string apropriada. Essas funções e grupos personalizados devem ser definidos no SNA Manager e no servidor do Ative Diretory. Por exemplo, se você definir uma função personalizada "personalizada" no Gerenciador SNA para uma função de cliente de desktop, ela deverá ser mapeada para cisco-stealthwatch-desktop-custom no Ative Diretory.  Observe que, embora seja possível criar funções e grupos com valores numéricos presentes, isso quebra o log LDAP/TACACS com uma (IllegalRolesException).  Este defeito está documentado sob a ID de bug Cisco CSCww00167 . .  Por esse motivo, recomendamos NÃO usar valores numéricos ao criar essas funções/grupos.

Etapa D-3. Definir Mapeamentos do Grupo de Autorização LDAP para os usuários

Depois que os grupos cisco-stealthwatch forem definidos no servidor AD, podemos mapear os usuários que pretendem ter acesso ao SNA Manager para os grupos necessários. Isso deve ser feito da seguinte maneira.

• Um usuário Primary Admin deve ser atribuído ao grupo cisco-stealthwatch-master-admin e não deve ser membro de nenhum outro grupo cisco-stealthwatch.

• Cada usuário, exceto os usuários do Administrador principal, deve ser atribuído a um grupo de cada função com as próximas condições.

1. Função de dados: O usuário deve ser atribuído a apenas um grupo.
2. Função funcional da Web: O usuário deve ser atribuído a pelo menos um grupo.
3. Função funcional da área de trabalho: O usuário deve ser atribuído a pelo menos um grupo.

Etapa D-4. Ativar a Autorização Remota via LDAP no Gerenciador SNA.

1. Abra o painel principal do Gerenciador e navegue até Configurações globais > Gerenciamento de usuários.
2. Na janela User Management, selecione a guia Authentication and Authorization.
3. Localize o serviço de autenticação LDAP que foi configurado na Etapa C.
4. Clique em Actions > Enable Remote Authorization.

Note: Apenas um serviço de Autorização externo pode estar em uso por vez. Se outro serviço de Autorização já estiver em uso, ele será automaticamente desabilitado e o novo será habilitado. No entanto, todos os usuários que foram autorizados com o serviço externo anterior serão desconectados. Uma mensagem de confirmação é exibida antes que qualquer ação ocorra.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Os usuários podem fazer logon com as credenciais definidas no servidor do AD.

A segunda etapa de verificação diz respeito à autorização. Neste exemplo, o usuário "user20" tornou-se membro do grupo cisco-stealthwatch-master-admin no servidor do AD e você pode confirmar que o usuário tem permissões de administrador principal. O usuário não está definido nos usuários locais, portanto, você pode confirmar se os atributos de autorização foram enviados pelo servidor do AD.

A mesma verificação é feita para o outro usuário neste exemplo "snauser10". Você pode confirmar a autenticação bem-sucedida com as credenciais configuradas no servidor AD.

Para a verificação de autorização, como este usuário não pertence ao grupo Admin primário, alguns recursos não estão disponíveis.

Troubleshooting

Esta seção disponibiliza informações para a solução de problemas de configuração.

Se a configuração do Serviço de Autenticação não puder ser salva com êxito, verifique se:

1. Você adicionou os certificados apropriados do servidor LDAP ao repositório de confiança do Gerenciador.
2. O endereço do servidor configurado é como especificado no campo Nome alternativo do assunto (SAN) do certificado do servidor LDAP.

   • Se o campo SAN contiver apenas o endereço IPv4, insira o endereço IPv4 no campo Server Address (Endereço do servidor).

   • Se o campo SAN contiver o nome DNS, insira o nome DNS no campo Server Address (Endereço do servidor).

   • Se o campo SAN contiver valores DNS e IPv4, use o primeiro valor listado.

3. Os campos Bind User e Base Account configurados estão corretos, conforme especificado pelo controlador de domínio do AD.

Informações Relacionadas

• Para obter assistência adicional, entre em contato com o Cisco Technical Assistance Center (TAC). É necessário um contrato de suporte válido: Cisco Worldwide Support Contacts.
• Suporte Técnico e Documentação - Cisco Systems

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	02-Feb-2022	Versão inicial