目錄

簡介

必要條件

需求

採用元件

背景資訊

IdP配置

SP配置

FMC上的SAML

限制和警告

設定

身份提供程式上的配置

Firepower管理中心上的配置

高級配置 — RBAC with Azure

驗證

疑難排解

瀏覽器SAML日誌

FMC SAML日誌

簡介

本文檔介紹如何使用Azure作為身份提供程式(idP)配置Firepower管理中心(FMC)單一登入(SSO)。

安全斷言標籤語言(SAML)是實現SSO的最常見的基礎協定。公司維護一個登入頁面，在其後面是一個身份儲存庫和各種身份驗證規則。它可以輕鬆配置任何支援SAML的Web應用，從而讓您登入到所有Web應用。它也有安全方面的好處，既不會強迫使用者為其需要訪問的每個Web應用保留（並可能重複使用）密碼，也不會將密碼暴露給這些Web應用。

必要條件

需求

思科建議您瞭解以下主題：

- 對Firepower管理中心的基本瞭解

- 對單點登入的基本瞭解

採用元件

本檔案中的資訊是根據以下軟體版本：

- 思科Firepower管理中心(FMC)版本6.7.0

- Azure - IdP

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

SAML術語

SAML的配置必須在兩個位置完成：在IdP和SP上。需要配置IdP，使其瞭解使用者想要登入到特定SP時向何處傳送以及如何傳送該資訊。  需要配置SP，使其知道可以信任由IdP簽名的SAML斷言。

對SAML至關重要的幾個術語的定義：

- 身份提供程式(IdP) — 執行身份驗證的軟體工具或服務（通常通過登入頁和/或儀表板進行視覺化）；檢查使用者名稱和密碼、驗證帳戶狀態、呼叫雙因素等。

- 服務提供商(SP) — 使用者嘗試獲取訪問許可權的Web應用程式。

- SAML斷言 — 通過瀏覽器重定向通過HTTP傳送的斷言使用者身份和通常為其他屬性的消息

IdP配置

SAML斷言的規範、斷言應包含的內容以及斷言的格式設定由SP提供並在IdP中設定。

- EntityID - SP的全域性唯一名稱。格式各異，但看到此值格式化為URL的情況越來越常見。

範例：  <https://<FQDN-or-IPaddress>/saml/metadata>

- 斷言使用者服務(ACS)驗證器 — 正規表示式(regex)形式的安全措施，用於確保SAML斷言傳送到正確的ACS。這僅在由SP發起的登入期間起作用，其中SAML請求包含ACS位置，因此，此ACS驗證程式將確保SAML請求提供的ACS位置是合法的。

示例：https://<FQDN-or-IPaddress>/saml/acs

- Attributes — 屬性的數量和格式可能大不相同。通常至少有一個屬性nameID，它通常是嘗試登入的使用者的使用者名稱。

- SAML簽名演算法 — SHA-1或SHA-256。不太常用的SHA-384或SHA-512。此處提到此演算法與X.509證書結合使用。

SP配置

與上面部分相反，本節介紹IdP提供的資訊並在SP上設定。

- 頒發者URL - IdP的唯一識別符號。格式化為包含有關IdP資訊的URL，以便SP可以驗證其收到的SAML斷言是從正確的IdP發出的。

示例： <saml:Issuer https://sts.windows.net/0djgedfasklf-sfadsj123fsdv-c80d8aa/ >

- SAML SSO終結點/服務提供商登入URL — 一個IdP終結點，當SP在此使用SAML請求重定向時啟動身份驗證。

示例： https://login.microsoftonline.com/023480840129412-824812/saml2

- SAML SLO（單一註銷）終結點 — 一個IdP終結點，它在SP重定向到此處時關閉IdP會話，通常是在按一下註銷之後。

示例： https://access.wristbandtent.com/logout

FMC上的SAML

FMC中的SSO功能是從6.7開始引入的。新功能簡化了FMC授權(RBAC)，因為它將現有資訊對映到FMC角色。它適用於所有FMC UI使用者和FMC角色。目前，它支援SAML 2.0規範以及這些支援的IDP

- OKTA

- OneLogin

- PingID

- Azure AD

- 其他（符合SAML 2.0的任何IDP）

限制和警告

- 只能為全域性域配置SSO。

- HA配對中的FMC需要個別組態。

- 只有本地/AD管理員可以配置單一登入。

- 不支援從Idp啟動的SSO。

設定

身份提供程式上的配置

步驟1.登入Microsoft Azure。導航到Azure Active Directory >企業應用程式。

- 步驟2.在「Non-Gallery Application」下建立新應用程式，如下圖所示。

步驟3.編輯已建立的應用程式，然後導覽至Set up single sign on > SAML，如下圖所示。

步驟4.編輯基本SAML配置並提供FMC詳細資訊：

- FMC URL: https://<FMC-FQDN-or-IPaddress>

- 識別符號（實體ID）： https://<FMC-FQDN-or-IPaddress>/saml/metadata

- 回覆URL: https://<FMC-FQDN-or-IPaddress>/saml/acs

- 登入URL: /https://<FMC-QDN-or-IPaddress>/saml/acs

- RelayState:/ui/login

將剩餘部分保留為預設值 — 對於基於角色的訪問，將對此進行進一步討論。

這標籤身份提供程式配置的結束。下載將用於FMC配置的聯合後設資料XML。

Firepower管理中心上的配置

步驟1.登入到FMC，導航到設定>使用者>單點登入並啟用SSO。選擇Azure作為提供程式。

步驟2.在此處上載從Azure下載的XML檔案。它會自動填充所需的所有詳細資訊。

步驟3.驗證組態並按一下Save，如下圖所示。

高級配置 — RBAC with Azure

若要使用各種角色型別對映到FMC的角色 — 您需要編輯Azure上的應用程式清單以將值分配給角色。預設情況下，角色具有Null值。

步驟1.導航到建立的Application，然後按一下Single sign-on。

步驟2.編輯使用者屬性和宣告。新增名為：角色並選擇值作為user.assignedroles。

步驟3.導覽至<Application-Name> > Manifest。 編輯清單。檔案採用JSON格式，預設使用者可供複製。例如 — 此處建立了2個角色：使用者和分析師。

步驟4.導航到<Application-Name> > Users and Groups。編輯使用者並分配新建立的角色，如下圖所示。

步驟4.登入到FMC並在SSO中編輯高級配置。對於， 組成員屬性：答 將您在應用程式清單中提供的顯示名稱分配給角色。

完成後，您應該能夠登入到他們的指定角色。

驗證

步驟1.從瀏覽器導航至FMC URL:https://<FMC URL>。按一下「Single Sign-On」，如下圖所示。

系統會將您重新導向至Microsoft登入頁面，且成功登入將返回FMC預設頁面。

步驟2.在FMC上，導航到System > Users，檢視新增到資料庫的SSO使用者。

疑難排解

驗證SAML身份驗證，這是成功授權所實現的工作流程（此映像為實驗室環境）：

瀏覽器SAML日誌

FMC SAML日誌

在/var/log/auth-daemon.log上驗證FMC上的SAML日志