將ISE配置為RADIUS伺服器的SWA外部身份驗證

下載選項

  • PDF     (2.7 MB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (2.6 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (2.1 MB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2026 年 10 月 22 日
文件 ID:221602

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹在將Cisco ISE®作為RADIUS伺服器的安全Web訪問(SWA)上配置外部身份驗證的步驟。

必要條件

需求

思科建議您瞭解以下主題：

  • 基本RADIUS知識
  • 思科SWA基礎知識
  • 思科身份服務引擎®(ISE)上的身份驗證和授權配置策略知識

思科建議您同時擁有：

  • 相容的SWA和ISE版本
  • SWA和ISE管理訪問許可權

採用元件

本文件的資訊是以下列軟體版本為依據：

  • ISE 3.0.0
  • SWA 14.0.2-012

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

當您為SWA的管理使用者啟用外部身份驗證時，裝置會使用外部身份驗證配置中指定的輕型目錄訪問協定(LDAP)或RADIUS伺服器驗證使用者憑據。

網路拓撲

Network Topology Diagram網路拓撲圖

管理使用者使用其憑據訪問埠443上的SWA，SWA將通過RADIUS伺服器驗證憑據。

設定

ISE 組態

1.新增新網路裝置並導航到管理>網路資源>網路裝置> +新增。

Add SWA as Network Device in ISE在ISE中將SWA新增為網路裝置

2.為網路裝置對象分配Name，並插入SWA IP Address。

2.1.選中RADIUS 覈取方塊並定義共用金鑰。

note-icon

附註：以後必須在SWA中配置相同的RADIUS伺服器。

Configure SWA Network Device Shared Key配置SWA網路裝置共用金鑰

2.2.按一下Submit。

Submit Network Device Configuration提交網路裝置配置

3.建立所需的使用者身份組，然後導航至管理>身份管理>組>使用者身份組> +Add。

note-icon

附註：您必須配置不同的使用者組以匹配不同型別的使用者。

Add User Identity Group新增使用者身份組

4.輸入組名稱、說明（可選）和提交。對每個組重複這些步驟。在本示例中，為管理員使用者建立一個組，為只讀使用者建立一個組。

Add User Identity Group for SWA Admin Users新增使用者身份組Add User Identity Group for SWA ReadOnly Users為SWA只讀使用者新增使用者身份組

5.您必須建立與SWA中配置的使用者名稱匹配的網路訪問使用者。

5.1.建立網路訪問使用者，並將其新增到其往來行組。導航到Administration > Identity Management > Identities > +Add。

Add Local Users in ISE在ISE中新增本地使用者

5.2.您必須建立具有管理員許可權的網路訪問用戶，並分配一個名稱和密碼。

Add Admin User新增管理員使用者

5.3.在使用者組部分中選擇SWA Admin。

Assign Admin Group to the Admin User將管理員組分配給管理員使用者

5.4.建立具有只讀許可權的使用者，並分配名稱和密碼。

Add ReadOnly User新增只讀使用者

5.5.在使用者組部分中選擇SWA ReadOnly。

Assign ReadOnly User group to the ReadOnly User將只讀使用者組分配給只讀使用者

6.為管理員使用者建立Authorization Profile。

6.1.導航至Policy > Policy Elements > Results > Authorization > Authorization Profiles > +Add。

6.2.定義授權配置檔案的名稱，並確保訪問型別設定為ACCESS_ACCEPT。

Add Authorization Profile for Admin Users為管理員使用者新增授權配置檔案

6.3.在「高級屬性設定」中，導航到Radius > Class—[25]，然後輸入值Administrator，然後按一下Submit。

Add Authorization Profile for Admin Users為管理員使用者新增授權配置檔案

7.重複步驟6，為只讀使用者建立授權配置檔案。

Add Authorization Profile for ReadOnly Users為只讀使用者新增授權配置檔案

7.1.這次使用ReadUser而不是Administrator值建立Radius:Class。

Add Authorization Profile for ReadOnly Users為只讀使用者新增授權配置檔案

8.建立與SWA IP地址匹配的策略集。這是為了阻止使用這些使用者憑據訪問其他裝置。

8.1.導航至Policy > Policy Sets，然後單擊位於左上角的+圖示。

Add Policy Set in ISE在ISE中新增策略集

8.2.新行位於策略集的頂部。

8.3.輸入新策略的名稱，並為RADIUS NAS-IP-Address屬性新增條件以匹配SWA IP地址。

8.4.按一下Use以保留更改並退出編輯器。

Add Policy to Map SWA Network Device新增策略以對映SWA網路裝置

8.5.按一下Save。

Policy Save策略儲存

tip-icon

提示：在本文中，允許使用預設網路訪問協定清單。您可以建立新清單並根據需要縮小範圍。

9.要檢視新的策略集，請按一下檢視列中的> 圖示。展開Authorization Policy選單，然後按一下+ 圖示以新增新的規則，以允許訪問具有管理員許可權的使用者。

9.1.輸入名稱。

9.2.要建立與管理員使用者組匹配的條件，請按一下+圖示。

Add Authorization Policy Condition新增授權策略條件

9.3.設定條件以匹配Dictionary Identity Group與Attribute Name Equals User Identity Groups:SWA管理員

Select Identity Group as Condition選擇身份組作為條件

9.4.向下滾動並選擇User Identity Groups:SWA管理員

Scroll Down and Select Identity Group Name向下滾動Select Identity Group Name

9.5.按一下Use。

Select Authorization Policy for SWA Admin User Group為SWA管理員使用者組選擇授權策略

10.按一下+圖示可新增第二個規則，以允許訪問具有只讀許可權的使用者。

10.1.輸入名稱。

10.2.設定條件以匹配Dictionary Identity Group與Attribute Name Equals User Identity Groups:SWA ReadOnly並單擊Use(使用)。

Select Authorization Policy for ReadOnly User Group為只讀使用者組選擇授權策略

11.分別為每個規則設定Authorization Profile，然後按一下Save。

Select Authorization Profile選擇授權配置檔案

SWA配置

1.在SWA GUI中選擇System Administration，然後選擇Users。 

2.按一下外部身份驗證中的啟用。

Enable External Authentication in SWA在SWA中啟用外部身份驗證

3.在RADIUS伺服器主機名欄位中輸入ISE的IP地址或完全限定域名(FQDN)，並輸入在步驟2（ISE配置）中配置的共用金鑰。

4.在「組對映」中選擇「將外部身份驗證的使用者對映到多個本地角色」。

4.1.在「RADIUS CLASS Attribute」欄位中輸入Administrator，然後選擇Role Administrator。

4.2.在「RADIUS CLASS Attribute」欄位中輸入ReadUser，然後選擇Role Read-Only Operator。 

External Authentication Configuration for RADIUS ServerRADIUS伺服器的外部身份驗證配置

5.要在SWA中配置使用者，請按一下Add User。輸入使用者名稱並選擇使用者型別，這是所需角色所必需的。如果裝置無法連線到任何外部RADIUS伺服器，請輸入密碼短語和重新鍵入密碼短語，這是GUI訪問所必需的。

note-icon

附註：如果裝置無法連線到任何外部伺服器，它將嘗試將使用者驗證為安全網路裝置上定義的本地使用者。

User Configuration in SWASWA中的使用者配置

6.按一下提交和提交更改。

驗證

使用配置的使用者憑據訪問SWA GUI並檢查ISE中的即時日誌。要檢查ISE中的即時日誌，請導航到操作>即時日誌:

Verify User Login ISE驗證使用者登入ISE

相關內容

修訂記錄

修訂 發佈日期 意見
2.0
22-Oct-2026
已更新簡介、拼寫、語法、間距、插入的水平線以分隔各個部分，以實現可讀性、替代文字、固定CCW警報。
1.0
05-Feb-2024
初始版本
TAC Authored

由思科工程師貢獻

  • Anil Rajan
    Cisco TAC Engineer

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品