使用Duo SSO配置Secure Firewall Management Center Access

简介

本文档介绍如何配置安全防火墙管理中心(FMC)，使其通过单点登录(SSO)进行管理访问身份验证。

先决条件

要求

Cisco 建议您了解以下主题：
·对单点登录和SAML的基本了解
·了解身份提供程序(iDP)上的配置

使用的组件

本文档中的信息基于以下软件版本：
·思科安全防火墙管理中心(FMC)版本7.2.4
· Duo作为身份提供者

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

这些iDP受支持并经过身份验证测试：
· Okta
· OneLogin
· PingID
· Azure AD
·其他（符合SAML 2.0的任何iDP）

限制和限制
以下是FMC访问SSO身份验证的已知限制和限制：
·只能为全局域配置SSO。
·参与HA对的FMC设备需要单独配置。
·只有本地/AD管理员可以配置FMC上的SSO（SSO管理员用户无法配置/更新FMC上的SSO设置）。

网络图

身份提供程序（双核）的配置步骤

从控制面板导航至应用:

示例url:https://admin-debXXXXX.duosecurity.com/applications

选择保护应用。

搜索通用SAML服务提供商。

下载证书和XML。

配置服务提供商。

输入SAML设置：
单点登录URL:https://<fmc URL>/saml/acs
受众URI（SP实体ID）：https://<fmc URL>/saml/metadata
默认RelayState: /ui/login

配置对所有用户应用策略。

详细应用策略。

从相应的自定义策略中选择所需的管理员组。

配置必要的管理设置。

保存应用。

Secure Firewall Management Center的配置步骤

使用管理员权限登录FMC。导航到System > Users。

单击单点登录，如图所示。

启用Single Sign-On选项（默认情况下禁用）。

单击Configure SSO开始在FMC上配置SSO。

选择防火墙管理中心SAML提供程序。单击 Next。

在本演示中，使用“其他”。

您还可以选择上传XML文件，并上传之前从Duo配置检索的XML文件。

文件上传后，FMC将显示元数据。单击下一步，如图所示。

验证元数据。单击Save，如下图所示。

在Advanced Configuration下配置Role Mapping/Default User Role。

要测试配置，请点击测试配置，如下图所示。

显示的测试连接成功的示例。

单击Apply保存配置。

已成功启用SSO。

验证

从浏览器导航至FMC URL:https://<fmc URL>。单击Single Sign-On。

系统会将您引导至iDP（双核）登录页面。提供您的SSO凭据。单击登录。

如果成功，您可以登录并查看FMC默认页面。
在FMC中，导航到System > Users以查看添加到数据库的SSO用户。