本主题讨论用户身份和用户控制的常用术语。

用户感知

使用身份源（如或 TS 代理）标识网络中的用户。通过用户感知，您可以从授权（例如 Active Directory）和非授权（基于应用）源中识别用户。要使用 Active Directory 作为身份源，必须配置领域和目录。有关详细信息，请参阅关于用户身份源。

用户控制

配置与访问控制策略关联的身份策略。（然后，身份策略将作为访问控制子策略引用。）身份策略指定身份源以及（可选）属于该源的用户和组。

通过将身份策略与访问控制策略相关联，可以确定在网络中是监控、信任、阻止还是允许流量中的用户或用户活动。有关详细信息，请参阅访问控制策略。

授权身份源

验证了用户登录的受信任服务器（例如，Active Directory）。您可以使用从授权登录获取的数据执行用户感知和用户控制。授权用户登录是从被动和主动身份验证中获取：

• 被动身份验证发生在用户通过外部源进行身份验证时。ISE/ISE-PIC 和 TS 代理是 Firepower 系统支持的被动身份验证方法。

• 主动身份验证发生在用户通过预先配置的受管设备进行身份验证时。强制网络门户和远程接入访问 VPN 是 Firepower 系统支持的主动身份验证方法。

非授权身份源

未知或不受信任的服务器已验证用户登录。基于流量的检测是 Firepower 系统唯一支持的未授权身份源。您可以使用从非授权登录获取的数据执行用户感知。

下表提供系统支持的用户身份源的简要概述。每个身份源都提供一个用户存储库以获取用户感知。然后，可以使用身份和访问控制策略来控制这些用户。

当选择要部署的身份源时，请考虑以下事项：

• 必须使用基于流量的检测来检测非 LDAP 用户登录。

• 必须使用基于流量的检测或强制网络门户来记录失败的登录或身份验证活动。如果登录或身份验证尝试失败，则不会将新用户添加到数据库的用户列表中。

• 强制网络门户身份源需要具有路由接口的受管设备。您不能使用具有强制网络门户的内联（也称为分路模式）接口。

这些身份源的数据存储在 Cisco Secure Firewall Management Center的用户数据库和用户活动数据库中。您可以配置 管理中心服务器用户下载，以将新用户数据定期自动下载到您的数据库中。

在使用所需的身份源配置身份规则之后，必须将每个规则与访问控制策略相关联，并将策略部署到受管设备，策略才能产生效果。有关访问控制策略和部署的详细信息，请参阅将其他策略与访问控制相关联。

有关用户身份的常规信息，请参阅 关于用户身份。

系统从任何身份源检测到用户登录的用户数据时，会将登录用户与 管理中心用户数据库中的用户列表进行比对。如果登录用户与现有用户匹配，则登录数据将会分配给该用户。如果登录信息与现有用户不匹配，则会创建新用户，除非登录信息位于 SMTP 流量中。SMTP 流量中不匹配的登录信息将被丢弃。

一旦用户被 管理中心 发现，用户所属的组就会与用户关联。

下图展示了系统如何收集和存储用户数据。

Cisco Secure Firewall Management Center上的用户活动数据库包含已配置的所有身份源检测或报告的网络上的用户活动记录。系统会在以下情况下记录事件：

• 检测到单独的登录或注销时。

• 检测到新用户时。

• 系统管理员手动删除用户时。

• 系统检测到不在数据库中的用户，但因已达到用户限制而无法添加该用户时。

• 您解决与用户关联的危害表现，或者为用户启用或禁用危害表现规则时。

注	如果 TS 代理监控与其他被动身份验证身份源（如 ISE/ISE-PIC）相同的用户，则 管理中心 会划分 TS 代理数据的优先级。如果 TS 代理和 ISE 报告来自同一 IP 地址的相同活动，则仅会将 TS 代理数据记录到 管理中心。

可以使用 Cisco Secure Firewall Management Center查看系统检测到的用户活动。（分析 (Analysis) > 用户 (Users) > 用户活动 (User Activity)。）

Cisco Secure Firewall Management Center中的用户数据库包含所有已配置身份源检测或报告的每个用户的记录。您可以使用从授权源获取的数据进行用户控制。

有关受支持的非授权和授权身份源的详细信息，请参阅关于用户身份源。

如 Microsoft Active Directory 的用户限制所述， Cisco Secure Firewall Management Center 可以存储的用户总数取决于 Cisco Secure Firewall Management Center 型号。达到此用户限制后，系统将基于其身份源对以前未检测到的用户数据划分优先级，如下所示：

• 如果新用户来自非授权身份源，则系统不会将该用户添加到数据库。要允许添加新用户，您必须手动或使用数据库清除删除用户。

• 如果新用户来自授权身份源，则系统会删除非活动时间最长的非授权用户，并将新用户添加到数据库。

如果身份源配置为排除特定用户名，则这些用户名的用户活动数据将不会报告给 Cisco Secure Firewall Management Center。这些已排除的用户名仍保留在数据库中，但不与 IP 地址关联。有关系统存储的数据类型的详细信息，请参阅《Cisco Secure Firewall Management Center 管理指南》中的用户数据。

如果已配置 管理中心高可用性且主连接失败，则在故障切换停机期间无法识别强制网络门户、ISE/ISE-PIC、TS 代理、远程接入 VPN 报告的所有登录，即便以前查看过这些用户并已将他们下载到 管理中心也是如此。无法识别的用户在 管理中心上记录为“未知”(Unknown) 未知用户。停机时间过后，系统将根据身份策略中的规则重新识别和处理“未知”(Unknown) 用户。

注	如果 TS 代理监控与其他被动身份验证身份源（ISE/ISE-PIC）相同的用户，则 管理中心 会划分 TS 代理数据的优先级。如果 TS 代理和 ISE 报告来自同一 IP 地址的相同活动，则仅会将 TS 代理数据记录到 管理中心。

系统检测到新用户会话时，用户会话数据会保留在用户数据库中，直至出现以下其中一种情形：

• 管理中心 的用户将手动删除用户会话。

• 某个身份源报告该用户会话的注销操作。

• 某个领域结束其用户会话超时：通过验证的用户、 用户会话超时：未通过验证的用户或 用户会话超时：访客用户设置指定的用户会话。

当在监控网络中检测到与 IP 地址相关联的活动时，系统会将主机添加到网络映射，如网络发现策略中所定义。Cisco Secure Firewall Management Center可以监控因而存储在网络映射中的主机数取决于其型号。

您无法查看不在网络映射中的主机的情景数据。但是，您可以执行访问控制。例如，您可以对不在网络映射中的主机接收和发出的流量进行应用控制，即使您无法使用合规 allow 名单监控主机的网络合规性。

注	系统分别从 IP 地址和 MAC 地址识别的主机对仅 MAC 主机进行计数。与一台主机关联的所有 IP 地址均视为一台主机共同计数。