用户身份概述

以下主题讨论用户身份：

关于用户身份

用户身份信息可以帮助识别政策违规、攻击或网络漏洞的来源，并跟踪它们到具体用户。例如，您可以确定：

谁拥有作为影响程度为“易受攻击”（级别 1：红色）的入侵事件的目标的主机。
谁发起了内部攻击或端口扫描。
谁正在尝试对指定主机进行未经授权的访问。
谁正在耗用异常大量的带宽。
谁尚未应用关键操作系统更新。
谁正在违反公司政策使用即时消息软件或 P2P 文件共享应用。
谁与您网络中的每个危害表现相关。

借助这些信息，您可以使用系统的其他功能降低风险，执行访问控制以及采取措施防止中断他人的活动。这些功能还可以大大改善审核控制并提高合规性。

在配置用户身份源以收集用户数据后，您可以执行用户感知和用户控制。

有关身份源的详细信息，请参阅关于用户身份源。

身份术语

本主题讨论用户身份和用户控制的常用术语。

用户感知

使用身份源（如或 TS 代理）标识网络中的用户。通过用户感知，您可以从授权（例如 Active Directory）和非授权（基于应用）源中识别用户。要使用 Active Directory 作为身份源，必须配置领域和目录。有关详细信息，请参阅关于用户身份源。

用户控制

配置与访问控制策略关联的身份策略。（然后，身份策略将作为访问控制子策略引用。）身份策略指定身份源以及（可选）属于该源的用户和组。

通过将身份策略与访问控制策略相关联，可以确定在网络中是监控、信任、阻止还是允许流量中的用户或用户活动。有关详细信息，请参阅访问控制策略。

授权身份源

验证了用户登录的受信任服务器（例如，Active Directory）。您可以使用从授权登录获取的数据执行用户感知和用户控制。授权用户登录是从被动和主动身份验证中获取：

被动身份验证发生在用户利用 Cisco ISE 进行身份验证时。
主动身份验证发生在用户通过预先配置的托管设备进行身份验证时。强制网络门户又称为主动身份验证。主动身份验证通常使用与被动身份验证相同的用户存储库（ISE/ISE-PIC TS 代理和被动身份代理例外，它们仅是被动身份验证）。

非授权身份源

未知或不受信任的服务器已验证用户登录。基于流量的检测是系统唯一支持的未授权身份源。您可以使用从非授权登录获取的数据执行用户感知。

关于用户身份源

下表提供系统支持的用户身份源的简要概述。每个身份源都提供一个用户存储库以获取用户感知。然后，可以使用身份和访问控制策略来控制这些用户。


用户身份源	服务器要求	登录类型	身份验证类型	用户控制	有关详细信息，请参阅...
强制网络门户	OpenLDAP Microsoft Active Directory Microsoft Azure Active Directory	权威	主用	是	强制网络门户身份源创建一个用于主动身份验证的 Microsoft Azure AD (SAML) 领域（强制网络门户）
被动身份验证	OpenLDAP Microsoft Active Directory	非授权	主用	是	创建 LDAP 领域或 Active Directory 领域和领域目录
被动身份验证	Microsoft Azure Active Directory	被动	无源	是	为被动身份验证配置 Microsoft Azure Active Directory
使用被动身份代理进行被动身份验证	Microsoft Active Directory	非授权	无源	是	被动身份代理身份源
使用 TS 代理进行被动身份验证	Microsoft Windows 终端服务器	权威	无源	是	终端服务 (TS) 代理身份源
远程访问 VPN	OpenLDAP 或 Microsoft Active 目录	权威	主用	是	远程访问 VPN 身份源
远程访问 VPN	RADIUS	权威	主用	否，仅感知	远程访问 VPN 身份源
ISE/ISE-PIC	Microsoft Active Directory	权威	无源	是	ISE/ISE-PIC 身份源
基于流量的检测（在网络发现策略中配置。）	-	非授权	-	否，仅感知	基于流量的检测身份源

当选择要部署的身份源时，请考虑以下事项：

必须使用基于流量的检测来检测非 LDAP 用户登录。
必须使用基于流量的检测或强制网络门户来记录失败的登录或身份验证活动。如果登录或身份验证尝试失败，则不会将新用户添加到数据库的用户列表中。
强制网络门户身份源需要具有路由接口的托管设备。您不能使用具有强制网络门户的内联（也称为分路模式）接口。

这些身份源的数据存储在 Cisco Secure Firewall Management Center的用户数据库和用户活动数据库中。您可以配置 Cisco Secure Firewall Management Center服务器用户下载，以将新用户数据定期自动下载到您的数据库中。

在使用所需的身份源配置身份规则之后，必须将每个规则与访问控制策略相关联，并将策略部署到托管设备，策略才能产生效果。有关访问控制策略和部署的详细信息，请参阅将其他策略与访问控制相关联。

有关用户身份的常规信息，请参阅关于用户身份。

用户身份的最佳实践

我们建议您在设置身份策略之前查看以下信息。

了解用户限制
运行状况监控
使用最新版本的 ISE/ISE-PIC，两种类型的补救
6.7 中的用户代理支持丢弃
强制网络门户需要路由接口，多个单独的任务

Microsoft Active Directory 和 LDAP

系统支持 Active Directory、LDAP 和其他用户存储库，以实现用户感知和控制。Active Directory 或 LDAP 存储库与 Cisco Secure Firewall Management Center 之间的关联被称为领域。您应为每个 LDAP 服务器或 Active Directory 域创建一个领域。有关支持版本的详细信息，请参阅领域支持的服务器。

LDAP 支持的唯一用户身份源是强制网络门户。要使用其他身份源（ISE/ISE-PIC 除外），您必须使用 Active Directory。

仅适用于 Active Directory：

为每个域控制器创建一个目录。

有关详细信息，请参阅创建 LDAP 领域或 Active Directory 领域和领域目录
如果将所有 Active Directory 域和域控制器分别添加为领域和目录，则支持两个域之间存在信任关系的用户和组。

有关详细信息，请参阅领域和受信任的域。

被动身份代理身份源

被动身份代理软件可以监控多个 Microsoft Active Directory 服务器和域控制器，并向 Cisco Secure Firewall Management Center 发送用户名和 IP 地址信息。

有关详细信息，请参阅被动身份代理身份源。

运行状况监控

Cisco Secure Firewall Management Center 运行状况监控器提供有关各种 Cisco Secure Firewall Management Center 功能状态的重要信息，包括：

用户/领域不匹配
Snort 内存使用情况
ISE 连接状态

有关运行状况模块的详细信息，请参阅《Cisco Secure Firewall Management Center 管理指南》中的运行状况模块。

要设置策略以监控运行状况模块，请参阅《Cisco Secure Firewall Management Center 管理指南》中的创建运行状况策略。

设备特定的用户限制

每个物理或虚拟管理中心设备对可下载的用户数量都存在限制。如果达到用户限制，管理中心可能会耗尽内存，并因此无法可靠地运行。

Microsoft Active Directory 的用户限制中讨论了用户限制。

如果使用 ISE/ISE-PIC 身份源，则可以选择使用身份映射过滤器限制管理中心监控的子网，如创建身份策略中所述。

使用最新版本的 ISE/ISE-PIC

如果您希望使用 ISE/ISE-PIC 身份源，则强烈建议您始终使用最新版本，以确保获得最新的功能和漏洞修复。

pxGrid 2.0（版本 2.6 补丁 6 或更高版本使用；或 2.7 补丁 2 或更高版本）还将 ISE/ISE-PIC 使用的补救从终端保护服务 (EPS) 更改为自适应网络控制 (ANC)。如果升级 ISE/ISE-PIC，您必须将中介策略从 EPS 迁移到 ANC。

有关使用 ISE/ISE-PIC 的更多信息，请参阅ISE/ISE-PIC 准则和限制。

要设置 ISE/ISE-PIC 身份源，请参阅如何为用户控制配置 ISE/ISE-PIC。

强制网络门户信息

您可以通过以下任何一种方式使用强制网络门户主动身份验证：

LDAP

有关详细信息，请参阅强制网络门户身份源。
Microsoft AD

有关详细信息，请参阅强制网络门户身份源。
Microsoft Azure AD (SAML)

有关详细信息，请参阅创建 Microsoft Azure AD (SAML) 领域。

有关强制网络门户身份源的详细信息，请参阅强制网络门户身份源。

TS 代理信息

需要 TS 代理用户身份源来识别 Windows 终端服务器上的用户会话。TS 代理软件必须安装在终端服务器计算机上，如《思科终端服务 (TS) 代理指南》中所述。此外，您必须将 TS 代理服务器上的时间与 Cisco Secure Firewall Management Center上的时间进行同步。

TS 代理数据显示在“用户”(Users)、“用户活动”(User Activity) 和“连接事件”(Connection Event) 表中，并可用于用户感知和用户控制。

有关详细信息，请参阅TS 代理准则。

将身份策略与访问控制策略相关联

在配置领域、目录和用户身份源后，您必须在身份策略中设置身份规则。要让策略生效，您必须将身份策略与访问控制策略相关联。

有关创建身份策略的详细信息，请参阅创建身份策略。

有关创建身份规则的详细信息，请参阅创建身份规则。

要将身份策略与访问控制策略相关联，请参阅将其他策略与访问控制相关联。

身份部署

系统从任何身份源检测到用户登录的用户数据时，会将登录用户与 Cisco Secure Firewall Management Center用户数据库中的用户列表进行比对。如果登录用户与现有用户匹配，则登录数据将会分配给该用户。如果登录信息与现有用户不匹配，则会创建新用户，除非登录信息位于 SMTP 流量中。SMTP 流量中不匹配的登录信息将被丢弃。

一旦用户被 Cisco Secure Firewall Management Center 发现，用户所属的组就会与用户关联。

下图展示了系统如何收集和存储用户数据。

简单身份部署

在上图中，Cisco Secure Firewall Management Center 和一个托管设备会被部署到 AWS，而其他设备位于本地。这些设备可以是物理设备，也可以是虚拟设备；它们只需要能够相互通信。

只有 TS 代理和强制网络门户需要 LDAP 或 Active Directory，如以下段落所述。

有关设置此类系统的详细信息，请参阅如何设置身份策略。

ISE/ISE-PIC 身份源

当您部署 ISE/ISE-PIC 身份源时，ISE/ISE-PIC 服务器会将用户、组和订用发送到 Cisco Secure Firewall Management Center。

您可以选择在 ISE/ISE-PIC 部署中使用 LDAP 服务器，但由于它是可选的，因此并未在下图中显示。

有关 ISE / ISE-PIC 的详细信息，请参阅 ISE/ISE-PIC 身份源。

被动身份代理身份源

用于监控一个或多个 Microsoft AD 域控制器，并将用户名和 IP 地址信息发送到 Cisco Secure Firewall Management Center 的软件。

有关详细信息，请参阅被动身份代理身份源。

TS 代理身份源

终端服务 (TS) 代理软件可在 Microsoft 服务器上运行，并会根据用户登录服务器所用的端口范围来发送 Cisco Secure Firewall Management Center 用户信息。TS 代理会从 LDAP 或 Active Directory 获取用户身份信息，然后将它们发送到 Cisco Secure Firewall Management Center。

有关 TS 代理身份源的详细信息，请参阅终端服务 (TS) 代理身份源。

强制网络门户

您可以通过以下任何一种方式使用强制网络门户主动身份验证：

LDAP

有关详细信息，请参阅强制网络门户身份源。
Microsoft AD

有关详细信息，请参阅强制网络门户身份源。
Microsoft Azure AD (SAML)

有关详细信息，请参阅创建 Microsoft Azure AD (SAML) 领域。

有关强制网络门户身份源的详细信息，请参阅强制网络门户身份源。

如何设置身份策略

本主题提供了使用任何可用的用户身份源（TS 代理、ISE/ISE-PIC、Microsoft Azure AD (SAML)、强制网络门户）设置身份策略的高级概述。

过程

命令或操作

目的

步骤 1

选择身份源。

要使用 Microsoft Active Directory 或 LDAP，请继续执行下一步。
要使用 Microsoft Azure AD (SAML) 领域，请参阅创建 Microsoft Azure AD (SAML) 领域。
要使用 Cisco ISE 身份源，请参阅配置思科身份服务引擎 (Cisco ISE) 身份源的方法。
要使用被动身份代理身份源，请参阅被动身份代理身份源。

步骤 2

（可选。）创建领域和目录，林中包含要在用户控制中使用的用户的每个域都要创建一个领域。还为每个域控制器创建一个目录。只有具有相应管理中心领域和目录的用户和组才能用于身份策略中。

如果满足以下任一条件，则创建领域、领域目录为可选：

您使用的 SGT ISE 属性条件而不是用户、组、领域、终端位置或终端配置文件条件。
您仅使用身份策略来过滤网络流量。

领域是受信任的用户和组存储区，通常是 Microsoft Active Directory 存储库。管理中心会按您指定的间隔时间下载用户和组。您可以包括或排除用户和组来进行下载。

请参阅创建 LDAP 领域或 Active Directory 领域和领域目录。有关创建领域的选项的详细信息，请参阅领域字段。

目录是一个 Active Directory 域控制器，它组织有关计算机网络的用户和网络共享的信息。Active Directory 控制器将为该领域提供目录服务。Active Directory 将跨域控制器分发用户和组对象，这些控制器是通过使用目录服务传播相互之间的本地更改的对等体。有关详细信息，请参阅 MSDN 上的 Active Directory 技术规范术语表。

您可以为某个领域指定多个目录，在这种情况下，每个域控制器都按该领域的目录选项卡页面上列出的顺序进行查询，以匹配进行用户控制的用户和组凭证。

注	如果您计划配置 SGT ISE 属性条件而不是用户、组、领域、终端位置或终端配置文件条件，则可自行决定是否配置领域或领域序列。

步骤 3

从领域同步用户和组。

要想能够控制用户和组，您必须将它们与管理中心同步。您可以随时将其与用户和组同步，也可以将系统配置为按指定的时间间隔进行同步。

同步用户和组时，可以指定例外；例如，您可以从该领域的所有用户控制中排除“工程”组，也可以从应用于“工程”组的用户控制中排除用户 joe.smith。

请参阅同步用户和组

步骤 4

（可选。）创建领域序列。

领域序列是一个有序的领域列表，如果用于身份策略中，则会导致系统按指定顺序搜索领域，以查找与规则匹配的用户。请参阅创建领域序列。

步骤 5

创建检索用户和组数据的方法（身份源）。

设置一个具有其独特配置的身份源，以便能够使用存储在该领域中的数据控制用户和组。身份源包括 TS 代理、网络强制门户或远程 VPN。请参见以下选项之一：

步骤 6

创建身份策略。

身份策略包含一个或多个身份规则，可选择按类别对其进行组织。请参阅创建身份策略。

注	如果您计划配置 SGT ISE 属性条件而不是用户、组、领域、终端位置或终端配置文件条件；或者，如果您只使用自己的身份策略来过滤网络流量，则可自行决定是否配置领域或领域序列。

步骤 7

创建一个或多个身份规则。

身份规则使您能够指定许多匹配条件，包括身份验证类型、网络区域、网络或地理位置、领域、领域序列等。请参阅创建身份规则。

步骤 8

请将您身份策略与访问控制策略关联起来。

访问控制策略将会过滤并（可选）检查流量。身份策略必须与访问控制策略相关联方可生效。请参阅将其他策略与访问控制相关联。

步骤 9

将访问控制策略部署到至少一个托管设备。

要使用策略控制用户活动，必须将该策略部署到客户端所连接到的托管设备。请参阅部署配置更改。

步骤 10

监控用户活动

查看由用户身份源收集的活动会话列表或由用户身份源收集的用户信息列表。请参阅《Cisco Secure Firewall Management Center 管理指南》中的使用工作流程。

如果满足以下所有条件，则不需要身份策略：

您使用 ISE/ISE-PIC 身份源。
您未在访问控制策略中使用用户或组。
您在访问控制策略中使用安全组标记 (SGT)。有关详细信息，请参阅 ISE SGT 与自定义 SGT 规则条件。

用户活动数据库

Cisco Secure Firewall Management Center上的用户活动数据库包含已配置的所有身份源检测或报告的网络上的用户活动记录。系统会在以下情况下记录事件：

检测到单独的登录或注销时。
检测到新用户时。
系统管理员手动删除用户时。
系统检测到不在数据库中的用户，但因已达到用户限制而无法添加该用户时。
您解决与用户关联的危害表现，或者为用户启用或禁用危害表现规则时。

注	如果 TS 代理监控与其他被动身份验证身份源（如 ISE/ISE-PIC）相同的用户，则管理中心会划分 TS 代理数据的优先级。如果 TS 代理和 ISE 报告来自同一 IP 地址的相同活动，则仅会将 TS 代理数据记录到管理中心。

可以使用 Cisco Secure Firewall Management Center查看系统检测到的用户活动。（分析 > 用户标题 > 用户活动。）

用户数据库

Cisco Secure Firewall Management Center中的用户数据库包含所有已配置身份源检测或报告的每个用户的记录。您可以使用从授权源获取的数据进行用户控制。

有关受支持的非授权和授权身份源的详细信息，请参阅关于用户身份源。

如 Microsoft Active Directory 的用户限制所述， Cisco Secure Firewall Management Center 可以存储的用户总数取决于 Cisco Secure Firewall Management Center 型号。达到此用户限制后，系统将基于其身份源对以前未检测到的用户数据划分优先级，如下所示：

如果新用户来自非授权身份源，则系统不会将该用户添加到数据库。要允许添加新用户，您必须手动或使用数据库清除删除用户。
如果新用户来自授权身份源，则系统会删除非活动时间最长的非授权用户，并将新用户添加到数据库。

如果身份源配置为排除特定用户名，则这些用户名的用户活动数据将不会报告给 Cisco Secure Firewall Management Center。这些已排除的用户名仍保留在数据库中，但不与 IP 地址关联。有关系统存储的数据类型的详细信息，请参阅《Cisco Secure Firewall Management Center 管理指南》中的用户数据。

如果已配置管理中心高可用性且主连接失败，则在故障转移停机期间无法识别强制网络门户、ISE/ISE-PIC、TS 代理、远程接入 VPN 报告的所有登录，即便以前查看过这些用户并已将他们下载到管理中心也是如此。无法识别的用户在管理中心上记录为“未知”(Unknown) 未知用户。停机时间过后，系统将根据身份策略中的规则重新识别和处理“未知”(Unknown) 用户。

注	如果 TS 代理监控与其他被动身份验证身份源（ISE/ISE-PIC）相同的用户，则管理中心会划分 TS 代理数据的优先级。如果 TS 代理和 ISE 报告来自同一 IP 地址的相同活动，则仅会将 TS 代理数据记录到管理中心。

系统检测到新用户会话时，用户会话数据会保留在用户数据库中，直至出现以下其中一种情形：

管理中心的用户将手动删除用户会话。
某个身份源报告该用户会话的注销操作。
某个领域结束其用户会话超时：通过验证的用户、用户会话超时：未通过验证的用户或用户会话超时：访客用户设置指定的用户会话。

Firepower 系统主机和用户限制

您的 Cisco Secure Firewall Management Center型号确定您可以通过部署监控的单独主机数量，以及可以您可以监控和用于执行用户控制的用户数。

主机限制

当在监控网络中检测到与 IP 地址相关联的活动时，系统会将主机添加到网络映射，如网络发现策略中所定义。Cisco Secure Firewall Management Center可以监控因而存储在网络映射中的主机数取决于其型号。

表 1. 按 Cisco Secure Firewall Management Center型号列出的主机限制
管理中心型号	主机数
MC1000	50,000
MC1600	50000
MC2500	150,000
MC2600	150,000
MC4500	600000
MC4600	600,000
虚拟	50,000

您无法查看不在网络映射中的主机的情景数据。但是，您可以执行访问控制。例如，您可以对不在网络映射中的主机接收和发出的流量进行应用控制，即使您无法使用合规 allow 名单监控主机的网络合规性。

注	系统分别从 IP 地址和 MAC 地址识别的主机对仅 MAC 主机进行计数。与一台主机关联的所有 IP 地址均视为一台主机共同计数。

达到主机限制与删除主机

网络发现策略控制在您达到主机限制后检测到新主机时发生的情况；您可以丢弃新主机或替代非活动时间最长的主机。您也可以设置系统在主机处于非活动状态多长时间后将其从网络映射中删除的时间段。虽然您可以从网络映射中手动删除主机、整个子网或所有主机，但如果系统检测到与已删除主机相关的活动，它会重新添加该主机。

Microsoft Active Directory 的用户限制

关于用户限制

管理中心型号确定可监控的个人用户数量。用户会在以下情况时被添加到管理中心用户数据库：

从领域下载用户。
强制网络门户或 RA-VPN 用户登录。
从任何身份源（例如，TS 代理）检测到用户。

仅授权用户才能使用访问控制策略进行用户控制。

请注意以下提示：

下载用户的最大数目取决于您的管理中心型号。

并发用户会话（即登录）的最大数量取决于您的托管设备型号。一个用户可以拥有来自不同的唯一 IP 地址的多个会话。

注	系统将所有用户会话下载到所有威胁防御设备。如果您的设备具有不同的用户并发用户会话限制，则具有最小限制的威胁防御会在其内存达到配置的限制时报告运行状况警告。（例如，如果您的管理中心管理 Firepower 2110 和 4125，则当并发用户会话数接近其最大值 64,000 时，2110 会报告运行状况警告。）

Microsoft Active Directory 的用户限制

表 2. 威胁防御的并发用户登录的最大数量限制
威胁防御型号	每个领域的并发用户登录最大数量
Threat Defense Virtual 5, 10, 20, 30, 50 （任何受支持的虚拟机监控程序）	64,000
Firepower 1010、1120、1140、1150 Cisco Secure Firewall 1210, 1220 Cisco Secure Firewall 3105、3110、3120	64,000
Cisco Secure Firewall 3130、3140 Firepower 4112、 4115、 4125	150,000
Firepower 4145 Firepower 9300	300,000
Cisco Secure Firewall 4215	300,000
Cisco Secure Firewall 4225、4245	315,000

用户限制按 Microsoft Active Directory 领域应用。也就是说，如果尝试下载的用户数量超过了单个领域的最大用户数量，下载就会停止，同时显示运行状况警告。但是，如果您尝试下载的用户数量超过了分布在不同领域的最大用户数量，则下载会成功（除非任何一个领域的用户数量超过 150,000 个，在这种情况下，该领域的下载会失败）。

表 3. 按管理中心型号划分的最大下载用户数
管理中心型号	最大下载用户数
FMC 1000	50,000
FMC 1600	50,000
FMC 1700	50,000
FMC 2500	150,000
FMC 2600	150,000
FMC 2700	150,000
FMC 4500	600,000
FMC 4600	600,000
FMC 4700	600,000
Management Center Virtual （任何受支持的虚拟机监控程序）	50,000
Management Center Virtual 300（任何受支持的虚拟机监控程序）	150,000

达到限制后，当系统检测到之前未检测到的新用户时，会根据其身份源确定用户数据的优先级：

如果新用户来自非授权源，则系统不会将该非授权用户添加到数据库。要允许添加新用户，您必须手动删除用户或清除数据库。
如果新用户来自授权身份源，则系统会删除非活动时间最长的非授权用户，并将新授权用户添加到数据库。

如果只有授权用户，则系统会删除非活动时间最长的授权用户，并将新用户添加到数据库。

故障排除信息可在用户控制故障排除中看到。

提示	请注意，如果使用的是基于流量的检测，则您可按协议限制客户日志记录，以最大程度低减少用户名干扰并保留数据库空间。例如，您可以防止系统添加在 AIM、POP3 和 IMAP 流量中发现的用户，因为您了解此流量来自您不想监控的特定承包商或访客。

Microsoft Azure Active Directory 领域的用户限制

Microsoft Azure Active Directory 用户限制

关于用户限制

管理中心型号确定可监控的个人用户数量。

请注意以下提示：

下载用户的最大数目取决于您的管理中心型号。

并发用户会话（即登录）的最大数量取决于您的托管设备型号。一个用户可以拥有来自不同的唯一 IP 地址的多个会话。

注	系统将所有用户会话下载到所有威胁防御设备。如果您的设备具有不同的用户并发用户会话限制，则具有最小限制的威胁防御会在其内存达到配置的限制时报告运行状况警告。（例如，如果您的管理中心管理 Firepower 2110 和 4125，则当并发用户会话数接近其最大值 64,000 时，2110 会报告运行状况警告。）

请参阅下表。

表 4. 按管理中心型号 ¹ 划分的最大下载用户数
管理中心型号	Cisco Secure Dynamic Attributes Connector 连接器数量	最大下载用户数
FMC1600、FMC1700	10	50,000
FMC2600、FMC2700	20	150,000
FMC4600、FMC4700	30	600,000
Management Center Virtual （任何受支持的虚拟机监控程序）	10	50,000
Management Center Virtual 300（任何受支持的虚拟机监控程序）	20	150,000

¹-管理中心型号可能会终止销售。有关详细信息，请参阅生命周期终止和销售终止通知。

表 5. 威胁防御的并发用户登录的最大数量限制
威胁防御型号	并发用户登录的最大数量
Threat Defense Virtual 5, 10, 20, 30, 50 （任何受支持的虚拟机监控程序）	50,000
Firepower 1010、1120、1140、1150 Cisco Secure Firewall 3110, 3120, 3130, 3140	50,000
Cisco Secure Firewall 3130、3140	150,000
Firepower 4140、 4145、 4150 Firepower 9300 Cisco Secure Firewall 4215	225,000
Cisco Secure Firewall 4225、4245	300,000

Microsoft Azure Active Directory 领域的用户限制

Microsoft Azure Active Directory 用户限制

关于用户限制

管理中心型号确定可监控的个人用户数量。

请注意以下提示：

下载用户的最大数目取决于您的管理中心型号。

并发用户会话（即登录）的最大数量取决于您的托管设备型号。一个用户可以拥有来自不同的唯一 IP 地址的多个会话。

注	系统将所有用户会话下载到所有威胁防御设备。如果您的设备具有不同的用户并发用户会话限制，则具有最小限制的威胁防御会在其内存达到配置的限制时报告运行状况警告。（例如，如果您的管理中心管理 Firepower 2110 和 4125，则当并发用户会话数接近其最大值 64,000 时，2110 会报告运行状况警告。）

请参阅下表。

表 6. 按管理中心型号 ¹ 划分的最大下载用户数
管理中心型号	Cisco Secure Dynamic Attributes Connector 连接器数量	最大下载用户数
FMC1600、FMC1700	10	50,000
FMC2600、FMC2700	20	150,000
FMC4600、FMC4700	30	600,000
Management Center Virtual （任何受支持的虚拟机监控程序）	10	50,000
Management Center Virtual 300（任何受支持的虚拟机监控程序）	20	150,000

¹-管理中心型号可能会终止销售。有关详细信息，请参阅生命周期终止和销售终止通知。

表 7. 威胁防御的并发用户登录的最大数量限制
威胁防御型号	并发用户登录的最大数量
Threat Defense Virtual 5, 10, 20, 30, 50 （任何受支持的虚拟机监控程序）	50,000
Firepower 1010、1120、1140、1150 Cisco Secure Firewall 3110, 3120, 3130, 3140	50,000
Cisco Secure Firewall 3130、3140	150,000
Firepower 4140、 4145、 4150 Firepower 9300 Cisco Secure Firewall 4215	225,000
Cisco Secure Firewall 4225、4245	300,000

Cisco Secure Firewall Management Center 设备配置指南，7.6

非歧视性语言

当地语言翻译版本说明

Book Title

Cisco Secure Firewall Management Center 设备配置指南，7.6

Chapter Title