使用Windows Server在Catalyst Center上配置外部身份驗證

簡介

本文檔介紹如何在Cisco DNA Center中使用Windows Server中的網路策略伺服器(NPS)作為RADIUS配置外部身份驗證。

必要條件

需求

基本知識：

• Cisco DNA Center使用者和角色
• Windows Server網路策略伺服器、RADIUS和Active Directory

採用元件

• Cisco DNA Center 2.3.5.x
• Microsoft Windows Server 2019版充當域控制器、DNS伺服器、NPS和Active Directory

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

注意：思科技術支援中心(TAC)不向Microsoft Windows Server提供技術支援。 如果Microsoft Windows Server配置遇到問題，請與Microsoft支援部門聯絡以獲得技術支援。

設定

管理員角色策略

1. 按一下Windows Start選單並搜尋NPS。然後選擇Network Policy Server：
   Windows開始功能表
2. 從左側的導航面板中，按一下右鍵NPS (Local) 選項，然後選擇Register server in Active Directory：
   Windows網路策略服務
   
   
3. 按一下OK兩次。
   
   
4. 展開RADIUS Clients and Servers，按一下右鍵RADIUS Clients，然後選擇New：
   增加RADIUS客戶端
   
   
5. 輸入友好名稱、Cisco DNA Center管理IP地址和共用金鑰（以後可以使用）：
   Radius客戶端配置
6. 按一下OK儲存它。
   
   
7. 展開策略，按一下右鍵網路策略並選擇新建：
   增加新網路策略
   
   
8. 為規則輸入策略名稱，然後按一下Next：
   策略名稱
   
   
9. 要允許特定域組，請增加以下兩個條件並按一下Next：
   • User Group -增加您在Cisco DNA Center上可以具有管理員角色的域組（例如，使用Sup_Ad_NPS組）。
   • ClientIPv4Address -增加您的Cisco DNA Center管理IP地址。
     政策條件
     
     
10. 選擇已授予訪問許可權，然後按一下下一步：
    使用授予的訪問許可權
    
    
11. 僅選擇Unencrypted authentication (PAP， SPAP)：
    選取未加密的驗證
    
    
12. 由於使用了預設值，請選擇Next：
    配置約束窗口
    
    
13. 移除標準屬性：
    定義要使用的屬性
    
    
14. 在RADIUS屬性上，選擇Vendor Specific，然後按一下Add，選擇Cisco作為供應商，然後按一下Add：
    增加Cisco AV對
    
    
15. 按一下Add，寫入Role=SUPER-ADMIN-ROLE，然後按一下OK兩次：
    增加了Cisco AV對屬性
    
    
16. 選擇關閉，然後選擇下一步。 
17. 檢查策略設定，然後選擇Finish儲存策略。

策略摘要

觀察者角色策略。

1. 按一下Windows Start選單並搜尋NPS。然後選擇Network Policy Server。
2. 從左側的導航面板中，按一下右鍵NPS (Local) 選項，然後選擇Register server in Active Directory。
3. 按一下OK兩次。
4. 展開RADIUS Clients and Servers，按一下右鍵RADIUS Clients，然後選擇New。
5. 輸入友好名稱、Cisco DNA Center管理IP地址和共用金鑰（以後可以使用）。
6. 按一下OK儲存它。
7. 展開策略，按一下右鍵網路策略，然後選擇新建。
8. 為規則輸入策略名稱，然後按一下Next。
9. 要允許特定域組，需要增加這兩個條件並選擇Next。
   • User Group -增加您的域組，以便在Cisco DNA Center上分配觀察者角色（本示例使用Observer_NPS組）。
   • ClientIPv4Address -增加您的Cisco DNA Center管理IP。
10. 選擇授予訪問許可權，然後選擇下一步。
11. 僅選擇Unencrypted authentication (PAP， SPAP)。
12. 由於使用了預設值，請選擇Next。
13. 移除標準屬性。
14. 在RADIUS屬性上，選擇Vendor Specific，然後按一下Add，選擇Cisco作為供應商，然後按一下Add。
15. 選擇Add，寫入ROLE=OBSERVER-ROLE，然後兩次選擇OK。
16. 選擇關閉，然後選擇下一步。
17. 檢查策略設定，然後選擇Finish儲存策略。

啟用外部身份驗證

1. 在Web瀏覽器中打開Cisco DNA Center Graphical User Interface (GUI)，然後使用管理員特權帳戶登入：
   

   Cisco DNA Center登入頁面

2. 導航到選單>系統>設定> 身份驗證和策略伺服器，然後選擇增加> AAA：
   新增Windows Server
   
   
3. 鍵入您的Windows Server IP地址和前面步驟中使用的共用金鑰，然後按一下Save：
   Windows Server值
   
   
4. 驗證您的Windows Server狀態為Active：
   Windows Server摘要
5. 導航到選單 > 系統 > 使用者和角色 > 外部身份驗證，然後選擇您的AAA伺服器：
   Windows Server作為AAA伺服器
   
   
6. 鍵入Cisco-AVPair作為AAA屬性，然後按一下Update：
   外部使用者上的AV對
   
   
7. 按一下Enable External User 覈取方塊以啟用外部身份驗證：
   

驗證

您可以在Web瀏覽器中打開Cisco DNA Center圖形使用者介面(GUI)，然後使用在Windows Server中配置的外部使用者登入，以驗證可以使用外部身份驗證成功登入。 

Cisco DNA Center登入頁面