使用Microsoft Azure Active Directory配置ISE 3.2 EAP-TLS

簡介

本文檔介紹如何根據EAP-TLS或TEAP的Azure AD組成員身份在ISE中配置授權策略並對其進行故障排除。

必要條件

需求

思科建議您瞭解以下主題：

• 身分識別服務引擎 (ISE)
• Microsoft Azure AD、訂閱和應用
  
• EAP-TLS身份驗證

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• Cisco ISE 3.2
• Microsoft Azure AD

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊 

在ISE 3.0中，可以利用ISE與Azure Active Directory(AAD)之間的整合，通過資源所有者密碼憑證(ROPC)通訊基於Azure AD組和屬性對使用者進行身份驗證。使用ISE 3.2，您可以配置基於證書的身份驗證，並且使用者可以基於azure AD組成員身份和其他屬性獲得授權。ISE通過圖形API查詢Azure來獲取經過身份驗證的使用者的組和屬性，它根據Azure端的使用者主體名稱(UPN)使用證書的使用者公用名(CN)。

附註：基於證書的身份驗證可以是EAP-TLS或EAP-TLS作為內部方法。然後，您可以從Azure Active Directory選擇屬性並將其新增到思科ISE詞典。這些屬性可用於授權。僅支援使用者身份驗證。

設定

網路圖表

下一張圖提供網路圖表和流量傳輸的範例:

程式

1. 證書通過EAP-TLS或TEAP傳送到ISE，EAP-TLS作為內部方法。
2. ISE評估使用者證書（有效期、受信任CA、CRL等。）
3. ISE獲取證書使用者名稱(CN)並執行查詢Microsoft Graph API以獲取該使用者的組和其他屬性。這在Azure端稱為使用者主體名稱(UPN)。
4. 根據從Azure返回的使用者屬性評估ISE授權策略。

附註：您必須在Microsoft Azure中配置並授予ISE應用的圖形API許可權，如下所示：

組態

ISE 組態

附註：ROPC功能和ISE與Azure AD之間的整合不在本文檔的範圍之內。從Azure新增組和使用者屬性很重要。請參閱配置指南。

配置證書身份驗證配置檔案  

步驟1.導覽至Menu icon 位於左上角，然後選擇管理>身份管理>外部身份源。 

步驟2.選擇Certificate Authentication Profile，然後點選Add。 

步驟3.定義名稱。將Identity Store設定為[不適用]，然後在Use Identity From欄位中選擇Subject - Common Name。選擇Never on Match Client Certificate against Certificate in Identity Store欄位。 

步驟4.按一下Save:

步驟5.導覽至Menu圖標 位於左上角，然後選擇Policy > Policy Sets。 

步驟6.選擇加號 圖示以建立新的策略集。定義名稱並選擇無線802.1x或有線802.1x作為條件。本示例中使用了Default Network Access選項:

步驟7.選取箭頭 在Default Network Access旁，配置身份驗證和授權策略。

步驟8.選擇Authentication Policy選項，定義名稱並新增EAP-TLS作為網路訪問EAPAuthentication，如果將TEAP用作身份驗證協定，則可以新增TEAP作為網路訪問EAPTunnel。選擇步驟3中建立的證書身份驗證配置檔案，然後點選Save。

步驟9.選擇「授權策略」選項，定義名稱並將Azure AD組或使用者屬性新增為條件。在「結果」(Results)下選擇配置檔案或安全組，具體取決於用例，然後按一下儲存。  

使用者配置

使用者證書中的使用者公用名稱(CN)必須與Azure端上的使用者主體名稱(UPN)匹配，才能檢索在授權規則中使用的AD組成員身份和使用者屬性。為使身份驗證成功，根CA和任何中間CA證書必須位於ISE受信任儲存中。

驗證

ISE驗證

在Cisco ISE GUI中，按一下Menu圖示 ，然後選擇Operations > RADIUS > Live Logs以進行網路身份驗證(RADIUS)。

按一下Details列中的放大鏡圖示以檢視詳細的身份驗證報告，並確認流是否按預期運行。

1. 驗證身份驗證/授權策略。
   
2. 身份驗證方法/協定。
   
3. 從證書中獲取的使用者使用者名稱。
4. 從Azure目錄提取的使用者組和其他屬性。
   

疑難排解

在ISE上啟用調試

導航到Administration > System > Logging > Debug Log Configuration，將後續元件設定為指定級別。

附註：完成故障排除後，請記得重置調試。要執行此操作，請選擇相關節點，然後按一下重置為預設值。

日誌片段

接下來的摘錄顯示了流程的最後兩個階段，如前面網路圖部分所述。

1. ISE獲取證書使用者名稱(CN)並執行對Azure Graph API的查詢，以獲取該使用者的組和其他屬性。這在Azure端稱為使用者主體名稱(UPN)。
2. 根據從Azure返回的使用者屬性評估ISE授權策略。

Rest-id日誌：

埠日誌：