目錄

簡介

背景資訊

必要條件

需求

採用元件

組態

驗證

疑難排解

簡介

本文檔介紹如何配置被動ID事件的授權規則以將SGT分配給會話。

背景資訊

被動身份服務（被動ID）不會直接對使用者進行身份驗證，而是從外部身份驗證伺服器(例如Active Directory(AD)，即提供商收集使用者身份和IP地址，然後與訂閱者共用該資訊。

ISE 3.2引入了一項新功能，允許您配置授權策略以根據Active Directory組成員資格向使用者分配安全組標籤(SGT)。

必要條件

需求

思科建議您瞭解以下主題：

- Cisco ISE 3.X

- 與任何提供商的無源ID整合

- Active Directory(AD)管理

- 分段(Trustsec)

- PxGrid（平台交換網格）

採用元件

- 身分識別服務引擎(ISE)軟體版本3.2

- Microsoft Active Directory

- 系統日誌

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

組態

步驟1.啟用ISE服務。

1. 在ISE上，導航到Administration > Deployment，選擇ISE節點並按一下Edit，啟用Policy Service，然後選擇Enable Passive Identity Service。可選，如果需要通過每個SXP和PxGrid發佈被動ID會話，則可以啟用SXP和PxGrid。按一下「Save」。

警告：無法向SXP發佈由API提供程式驗證的PassiveID登入使用者的SGT詳細資訊。但是，這些使用者的SGT詳細資訊可以通過pxGrid和pxGrid Cloud發佈。

已啟用服務

步驟2.配置Active Directory。

1. 導航到Administration > Identity Management > External Identity Sources，然後選擇Active directory，然後點選Add按鈕。

2. 輸入加入點名稱和Active Directory域。按一下「Submit」。

新增Active Directory

3.彈出視窗會將ISE加入AD。按一下「Yes」。輸入Username和Password。按一下「OK」（確定）。

繼續加入ISE

加入Active Directory

4.檢索AD組導航到Groups，按一下Add，然後按一下Retrieve Groups，然後選擇所有感興趣的組，然後按一下OK。

檢索AD組

檢索的組

5.啟用授權流。導航到高級設定，然後在PassiveID設定部分中選中Authorization Flow覈取方塊。按一下「Save」。

啟用授權流

步驟3.配置Syslog提供程式。

1. 導航到Work Centers > PassiveID > Providers，選擇Syslog Providers，按一下Add並填寫資訊。按一下「Save」

注意：在這種情況下，ISE從ASA中成功的VPN連線收到系統日誌消息，但本文檔不描述該配置。

配置系統日誌提供程式

2. 按一下Custom Header。貼上示例系統日誌並使用分隔符或頁籤查詢裝置主機名。如果正確，則顯示主機名。按一下「Save」

配置自定義報頭

步驟4.設定授權規則

1. 導覽至Policy > Policy Sets。 在這種情況下，它使用預設策略。按一下Default策略。在Authorization Policy中新增新規則。在PassiveID策略中，ISE具有所有提供程式。可以將此組與PassiveID組組合。選擇Permit Access as Profile，然後在Security Groups中選擇need it SGT。

設定授權規則

驗證

ISE收到系統日誌後，您可以檢查Radius Live Logs以檢視授權流。導覽至Operations > Radius > Live logs。

在日誌中，您可以看到Authorization事件。該標籤包含與其關聯的使用者名稱、授權策略和安全組標籤。

Radius即時日誌

要檢查更多詳細資訊，請按一下Detail Report。此處您可以看到評估策略以分配SGT的Authorize-Only流。

Radius即時日誌報告

疑難排解

在本例中，它使用兩個流：passiveID會話和授權流。要啟用調試，請導航到操作 > 故障排除 > 調試嚮導> 調試日誌配置，然後選擇ISE節點。

對於PassiveID，將下一個元件啟用到DEBUG級別：

- 被動ID

要根據被動ID提供方和要檢查此情況的檔案檢查日誌，您需要檢視其他提供方的檔案passiveid-syslog.log:

- passiveid-agent.log

- passiveid-api.log

- passiveid-endpoint.log

- passiveid-span.log

- passiveid-wmilog

對於授權流，啟用下一個元件到DEBUG級別：

- policy-engine

- prrt-JNI

範例：

啟用調試