使用ISE(RADIUS)配置AsyncOS外部身份驗證

簡介

本檔案介紹在思科安全電子郵件閘道與思科身分識別服務引擎之間設定RADIUS外部驗證。

必要條件

需求

思科建議您瞭解以下主題：

• 驗證、授權及記帳(AAA)
• RADIUS類屬性。 
• 思科ISE身份管理和授權策略。
• Cisco Secure Email Gateway(ESA)和Secure Email and Web Manager(SMA)使用者角色

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• Cisco ISE 2.4
• 思科安全電子郵件閘道(ESA)13.5.1、13.7.0
• 思科安全電子郵件和網路管理員(SMA)13.6.2

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

相關產品

未測試「已用元件」部分中列出的版本以外的版本。

背景資訊

RADIUS類別屬性

Class屬性是RADIUS伺服器在Access-Accept響應中返回並包括在記帳資料包中的任意值。在思科ISE中按組進行配置。

當使用者匹配繫結了屬性25的ISE組時，ISE在訪問接受時返回類值。然後，安全電子郵件網關讀取該值並應用在其對映表中定義的本地角色。

設定

網路圖表

思科身份服務引擎接受來自裝置的身份驗證請求，並將其與使用者身份和組進行匹配。

步驟1.建立身份驗證的身份組

登入到ISE服務器。導航到Administration > Identity Management > Groups > User Identity Group，然後建立身份組。

附註：思科建議在ISE中為每個裝置角色分配一個身份組。

步驟2.建立本地使用者以進行身份驗證

建立新使用者，或分配現有使用者到步驟1中建立的身份組。導航到管理>身份管理>身份，然後建立或分配使用者到該組。

 

步驟3.建立授權配置檔案

RADIUS驗證可以在沒有授權設定檔的情況下成功；但是，未分配任何角色。要分配角色，請導航到Policy > Policy Elements > Results > Authorization > Authorization Profiles。

附註：為每個要分配的角色建立一個授權配置檔案。

附註：確保使用radius類屬性25並指定名稱。此名稱必須與AsyncOS(ESA/SMA)上的配置匹配。 在圖3中，管理員是CLASS屬性名稱。

步驟4.建立授權策略

此步驟允許ISE識別登入嘗試並將其對映到正確的授權配置檔案。如果匹配成功，ISE將返回Access-Accept以及配置檔案中定義的Class值。

導航到Policy > Policy Sets，然後選擇Add（+符號）。

指定名稱並選擇plus符號以新增所需的條件。本實驗環境使用Radius NAS-IP-Address條件。儲存新策略。

要正確匹配授權請求，請新增條件。選擇符號>並新增條件。本實驗環境使用InternalUser-IdentityGroup並匹配每個授權配置檔案。

步驟5.在裝置上啟用外部身份驗證

登入到裝置。導覽至System Administration > Users > External Authentication，然後選擇Enable External Authentication。

輸入以下值：

• RADIUS伺服器主機名
• 連接埠
• 共用金鑰
• 超時值（以秒為單位）
• 驗證通訊協定

選擇Map external authenticated users to multiple local roles(recommended)。

注意:RADIUS類值必須與步驟3中定義的值（在ASA VPN公共任務下輸入）（包括大小寫）匹配。

提交並提交更改。

驗證

使用本節內容，確認您的組態是否正常運作。

1. 使用經過外部身份驗證的使用者登入到裝置。
2. 確認已授予訪問許可權。
3. 確認分配的角色與返回類值中預期的角色匹配。
4. 在ISE中，確認已命中預期的授權規則並返回正確的類值(操作> RADIUS >即時日誌)。

疑難排解

本節提供的資訊用於對組態進行疑難排解。

症狀：在裝置上登入失敗，並顯示消息「使用者名稱或密碼無效」。

可能的原因：授權策略、返回的Class值或身份驗證協定不匹配。

解析度：

1. 在裝置外部身份驗證設定中，臨時選擇將所有外部身份驗證的使用者對映到管理員角色。（圖11）
2. 提交並提交更改，然後嘗試新登入。
3. 如果現在登入成功，則問題出在角色對映上。重新檢查ISE授權配置檔案（類/屬性25）和授權策略設定。
4. 檢視Operations > RADIUS > Live Login ISE，確認已匹配哪個授權配置檔案以及返回哪個類值。

相關資訊

• ISE 2.4使用手冊
• AsyncOS使用手冊

修訂記錄

修訂	發佈日期	意見
2.0	21-Jul-2026	已更新機器翻譯、SEO、Alt文本、樣式要求和格式。
1.0	26-May-2021	初始版本