在ISE 3.2中配置被動ID會話的授權流

簡介

本文檔介紹如何配置被動ID事件的授權規則以將SGT分配給會話。

背景資訊

被動身份服務（被動ID）不會直接對使用者進行身份驗證，而是從外部身份驗證伺服器(例如Active Directory(AD)，即提供商收集使用者身份和IP地址，然後與訂閱者共用該資訊。

ISE 3.2引入了一項新功能，允許您配置授權策略以根據Active Directory組成員資格向使用者分配安全組標籤(SGT)。

必要條件

需求

思科建議您瞭解以下主題：

• Cisco ISE 3.X
• 與任何提供商的無源ID整合
• Active Directory(AD)管理
• 分段(Trustsec)
• PxGrid（平台交換網格）

採用元件

• 身分識別服務引擎(ISE)軟體版本3.2
• Microsoft Active Directory
• 系統日誌

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

組態

步驟1.啟用ISE服務。

1. 在ISE上，導航到Administration > Deployment，選擇ISE節點並按一下Edit，啟用Policy Service，然後選擇Enable Passive Identity Service。可選，如果需要通過每個SXP和PxGrid發佈被動ID會話，則可以啟用SXP和PxGrid。按一下「Save」。

警告：無法向SXP發佈由API提供程式驗證的PassiveID登入使用者的SGT詳細資訊。但是，這些使用者的SGT詳細資訊可以通過pxGrid和pxGrid Cloud發佈。

已啟用服務

步驟2.配置Active Directory。

1. 導航到Administration > Identity Management > External Identity Sources，然後選擇Active directory，然後點選Add按鈕。
2. 輸入加入點名稱和Active Directory域。按一下「Submit」。

新增Active Directory

3.彈出視窗會將ISE加入AD。按一下「Yes」。輸入Username和Password。按一下「OK」（確定）。

繼續加入ISE  加入Active Directory

4.檢索AD組導航到Groups，按一下Add，然後按一下Retrieve Groups，然後選擇所有感興趣的組，然後按一下OK。

檢索AD組

檢索的組

5.啟用授權流。導航到高級設定，然後在PassiveID設定部分中選中Authorization Flow覈取方塊。按一下「Save」。

啟用授權流

步驟3.配置Syslog提供程式。

1. 導航到Work Centers > PassiveID > Providers，選擇Syslog Providers，按一下Add並填寫資訊。按一下「Save」

注意：在這種情況下，ISE從ASA中成功的VPN連線收到系統日誌消息，但本文檔不描述該配置。

配置系統日誌提供程式

 

2. 按一下Custom Header。貼上示例系統日誌並使用分隔符或頁籤查詢裝置主機名。如果正確，則顯示主機名。按一下「Save」

配置自定義報頭

 

步驟4.設定授權規則

1. 導覽至Policy > Policy Sets。 在這種情況下，它使用預設策略。按一下Default策略。在Authorization Policy中新增新規則。在PassiveID策略中，ISE具有所有提供程式。可以將此組與PassiveID組組合。選擇Permit Access as Profile，然後在Security Groups中選擇need it SGT。

設定授權規則

 

驗證

ISE收到系統日誌後，您可以檢查Radius Live Logs以檢視授權流。導覽至Operations > Radius > Live logs。

在日誌中，您可以看到Authorization事件。該標籤包含與其關聯的使用者名稱、授權策略和安全組標籤。

Radius即時日誌

要檢查更多詳細資訊，請按一下Detail Report。此處您可以看到評估策略以分配SGT的Authorize-Only流。

Radius即時日誌報告

疑難排解

在本例中，它使用兩個流：passiveID會話和授權流。要啟用調試，請導航到操作 > 故障排除 > 調試嚮導> 調試日誌配置，然後選擇ISE節點。

對於PassiveID，將下一個元件啟用到DEBUG級別：

• 被動ID

要根據被動ID提供方和要檢查此情況的檔案檢查日誌，您需要檢視其他提供方的檔案passiveid-syslog.log:

• passiveid-agent.log
• passiveid-api.log
• passiveid-endpoint.log
• passiveid-span.log
• passiveid-wmilog

對於授權流，啟用下一個元件到DEBUG級別：

• policy-engine
• prrt-JNI

範例：

啟用調試