使用Windows Server在Catalyst Center上配置外部身份验证

简介

本文档介绍如何在Cisco DNA Center中使用Windows Server中的网络策略服务器(NPS)作为RADIUS来配置外部身份验证。

先决条件

要求

基本知识：

• Cisco DNA Center用户和角色
• Windows Server网络策略服务器、RADIUS和Active Directory

使用的组件

• 思科DNA Center 2.3.5.x
• Microsoft Windows Server Version 2019充当域控制器、DNS服务器、NPS和Active Directory

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

注意：思科技术支持中心(TAC)不为Microsoft Windows Server提供技术支持。 如果Microsoft Windows Server配置遇到问题，请与Microsoft支持联系以获取技术支持。

配置

管理员角色策略

1. 单击Windows Start菜单并搜索NPS。然后选择Network Policy Server：
   Windows开始菜单
2. 从左侧的导航面板中，在NPS (Local) 选项中执行右键单击，然后选择Register server in Active Directory：
   Windows网络策略服务
   
   
3. 单击OK两次。
   
   
4. 展开RADIUS Clients and Servers，右键单击RADIUS Clients，然后选择New：
   添加RADIUS客户端
   
   
5. 输入友好名称、Cisco DNA中心管理IP地址和共享密钥（这一点可在以后使用）：
   Radius客户端配置
6. 单击OK保存它。
   
   
7. 展开Policies，右键单击Network Policies并选择New：
   添加新网络策略
   
   
8. 为规则输入策略名称，然后点击下一步：
   策略名称
   
   
9. 要允许特定域组，请添加以下两个条件并单击Next：
   • User Group -添加您的在Cisco DNA Center上可以具有管理员角色的域组（例如，使用Sup_Ad_NPS组）。
   • ClientIPv4Address -添加您的Cisco DNA Center管理IP地址。
     策略条件
     
     
10. 选择Access Granted并单击Next：
    使用授予的访问权限
    
    
11. 仅选择Unencrypted authentication (PAP， SPAP)：
    选择未加密的身份验证
    
    
12. 由于使用了默认值，请选择Next：
    配置约束窗口
    
    
13. 删除标准属性：
    定义要使用的属性
    
    
14. 在RADIUS属性上，选择Vendor Specific，然后点击Add，选择Cisco作为供应商，然后点击Add：
    添加思科AV对
    
    
15. 单击Add，写入Role=SUPER-ADMIN-ROLE，然后单击OK两次：
    添加了Cisco AV-Pair属性
    
    
16. 选择关闭，然后选择下一步。 
17. 检查策略设置，然后选择完成保存策略。

策略摘要

观察者角色策略。

1. 单击Windows Start菜单并搜索NPS。然后选择Network Policy Server。
2. 从左侧的导航面板中，在NPS (Local) 选项中执行右键单击，然后选择Register server in Active Directory。
3. 单击OK两次。
4. 展开RADIUS Clients and Servers，右键单击RADIUS Clients，然后选择New。
5. 输入友好名称、Cisco DNA中心管理IP地址和共享密钥（这一点可以在以后使用）。
6. 单击OK保存它。
7. 展开Policies，右键单击Network Policies，然后选择New。
8. 为规则输入策略名称，然后单击Next。
9. 要允许特定域组，需要添加这两个条件并选择Next。
   • 用户组- 添加您的域组以在Cisco DNA Center上分配观察者角色（例如，使用Observer_NPS组）。
   • ClientIPv4Address -添加您的Cisco DNA Center管理IP。
10. 选择Access Granted，然后选择Next。
11. 仅选择Unencrypted authentication (PAP， SPAP)。
12. 由于使用了默认值，请选择Next。
13. 删除Standard属性。
14. 在RADIUS属性上，选择Vendor Specific，然后单击Add，选择Cisco作为供应商，然后单击Add。
15. 选择Add，写入ROLE=OBSERVER-ROLE，然后OK两次。
16. 选择关闭，然后选择下一步。
17. 检查策略设置并选择Finish保存设置。

启用外部身份验证

1. 在Web浏览器中打开Cisco DNA Center图形用户界面(GUI)，然后使用管理员特权帐户登录：
   

   Cisco DNA Center登录页

2. 导航到菜单>系统>设置> 身份验证和策略服务器，然后选择添加> AAA：
   添加Windows服务器
   
   
3. 键入您在前面的步骤中使用的Windows Server IP地址和共享密钥，然后单击Save：
   Windows服务器值
   
   
4. 验证您的Windows Server状态为Active：
   Windows Server摘要
5. 导航到菜单 > 系统 > 用户和角色 > 外部身份验证，然后选择AAA服务器：
   Windows Server作为AAA服务器
   
   
6. 键入Cisco-AVPair作为AAA属性，然后单击Update：
   外部用户上的AV对
   
   
7. 单击Enable External User 复选框以启用外部身份验证：
   

验证

您可以在Web浏览器中打开Cisco DNA Center Graphical User Interface (GUI)，并使用Windows Server中配置的外部用户登录，以验证您可以使用外部身份验证成功登录。 

Cisco DNA Center登录页