Kerberos를 사용하여 캡티브 포털(captive portal) 사용자를 인증하는 경우 다음 사항에 유의하십시오.

호스트 이름 문자 제한

Kerberos 인증을 사용하는 경우 매니지드 디바이스의 호스트 이름은 15자 미만이어야 합니다(Windows에서 설정한 NetBIOS 제한). 그렇지 않으면 캡티브 포털 인증이 실패합니다. 디바이스를 설정할 때 매니지드 디바이스 호스트 이름을 설정합니다. 자세한 내용은 Microsoft 설명서 사이트에서 컴퓨터, 도메인, 사이트 및 OU에 대한 Active Directory의 명명 규칙과 유사한 문서를 참조하십시오.

DNS 응답 문자 제한

DNS는 호스트 이름에 대해 64KB 이하의 응답을 반환해야 합니다. 그렇지 않으면 연결 테스트에서 AD 연결이 실패합니다. 이 제한은 양방향으로 적용되며 RFC 6891 섹션-6.2.5에 설명되어 있습니다.

다음 필드는 영역을 구성하는 데 사용됩니다.

영역 컨피그레이션 필드

이러한 설정은 영역의 모든 Active Directory 서버 또는 (디렉터리라고도 하는) 도메인 컨트롤러에 적용됩니다.

이름

영역의 고유한 이름입니다.

• ID 정책에 영역을 사용하려는 경우, 시스템은 영숫자 및 특수 문자를 지원합니다.

• RA VPN 설정에서 영역을 사용하려는 경우, 시스템에서는 영숫자와 하이픈(-), 밑줄(_), 더하기(+) 문자를 지원합니다.

설명

(선택 사항). 영역에 대한 설명을 입력합니다.

유형

영역의 유형으로, Microsoft Active Directory의 경우에는 AD이며 다른 지원되는 저장소의 경우에는 LDAP 또는 Local(로컬)입니다. 지원되는 LDAP 저장소 목록은 영역에 지원되는 서버 섹션을 참조하십시오. LDAP 리포지토리를 사용하여 캡티브 포털 사용자를 인증할 수 있습니다. 다른 모든 경우에는 Active Directory가 필요합니다.

참고	캡티브 포털만 LDAP 영역을 지원합니다.

영역 유형 LOCAL은 로컬 사용자 설정을 설정하는 데 사용됩니다. LOCAL 영역은 원격 액세스 사용자 인증에 사용됩니다.

LOCAL 영역에 대해 다음 로컬 사용자 정보를 추가합니다.

• Username(사용자 이름) - 로컬 사용자의 이름입니다.

• Password(암호)—로컬 사용자 암호입니다.

• Confirm Password(암호 확인) - 로컬 사용자 암호를 확인합니다.

참고	LOCAL 영역에 사용자를 더 추가하려면 Add another local user(다른 로컬 사용자 추가)를 클릭합니다. 영역을 생성한 후 사용자를 추가하고 로컬 사용자의 암호를 업데이트할 수 있습니다. 여러 LOCAL 영역을 생성할 수도 있지만 비활성화할 수는 없습니다.

AD Primary Domain(AD 기본 도메인)

Microsoft Active Directory 영역에만 해당됩니다. 사용자가 인증해야 하는 Active Directory 서버의 도메인입니다.

참고

모든 Microsoft Active Directory(AD) 영역에 대한 고유 AD Primary Domain(AD 기본 도메인)을 지정해야 합니다. 다른 AD 영역에 동일한 AD Primary Domain(AD 기본 도메인)을 지정할 수는 있지만, 시스템이 제대로 작동하지 않습니다. 이러한 상황이 발생하는 이유는 시스템이 고유 ID를 각 영역에 있는 모든 사용자에게 할당하기 때문입니다. 따라서 시스템은 특정 사용자 또는 그룹을 확실히 식별할 수 없습니다. 시스템에서 사용자와 그룹을 적절히 식별하지 못하기 때문에 AD Primary Domain(AD 기본 도메인)이 동일한 영역 하나 이상을 지정할 수 없습니다. 이러한 상황이 발생하는 이유는 시스템이 고유 ID를 각 영역에 있는 모든 사용자에게 할당하기 때문입니다. 따라서 시스템은 특정 사용자 또는 그룹을 확실히 식별할 수 없습니다.

AD Join Username(AD 죠인 사용자 이름) 및 AD Join Password(AD 죠인 비밀번호)

(영역을 편집 할 때 Realm Configuration(영역 설정) 탭 페이지에서 사용할 수 있습니다.)

Kerberos 캡티브 포털 액티브 인증을 위한 Microsoft Active Directory 영역으로, Active Directory 도메인에서 도메인 컴퓨터 계정을 생성할 권한이 있는 모든 Active Directory 사용자의 고유 사용자 이름 및 비밀번호입니다.

다음에 유의해야 합니다.

• DNS는 Active Directory 도메인 컨트롤러의 IP 주소에 대한 도메인 이름을 확인할 수 있어야 합니다.

• 지정하는 사용자는 컴퓨터를 Active Directory 도메인에 가입시킬 수 있어야 합니다.

• 사용자 이름은 온전한 이름이어야 합니다(예: administrator)가 아닌 administrator@mydomain.com.

Kerberos(Kerberos를 옵션으로 사용하려는 경우에는 HTTP Negotiate(HTTP 협상))를 ID 규칙의 Authentication Protocol(인증 프로토콜)로 선택하는 경우, Kerberos 캡티브 포털 액티브 인증을 수행하려면 AD Join Username(AD 죠인 사용자 이름)과 AD Join Password(AD 죠인 비밀번호)를 사용하여 선택한 Realm(영역)을 구성해야 합니다.

참고	SHA-1 해시 알고리즘은 Active Directory 서버에 암호를 저장하는 데 안전하지 않으므로 사용할 수 없습니다. 자세한 내용은 Microsoft TechNet의 SHA1에서 SHA2로 인증 기관 해싱 알고리즘 마이그레이션 또는 오픈 웹 애플리케이션 보안 프로젝트 웹 사이트의 암호 스토리지 치트 시트와 같은 참조를 참조하십시오. Active Directory와의 통신에는 SHA-256을 사용하는 것이 좋습니다.

Directory Username and Directory Password(디렉토리 사용자 이름 및 디렉토리 비밀번호)

검색하려는 사용자 정보에 대한 적절한 액세스 권한이 있는 사용자의 고유 사용자 이름 및 비밀번호입니다.

다음에 유의하십시오.

• Microsoft Active Directory의 경우 사용자는 상승된 권한이 없어도 됩니다. 도메인에 어떤 사용자라도 지정할 수 있습니다.

• OpenLDAP의 경우 사용자의 액세스 권한은 OpenLDAP 사양 섹션 8에서 설명하는 <level> 파라미터에 의해 결정됩니다. 사용자의 <level>은 auth 이상이어야 합니다.

• 사용자 이름은 완전 해야 합니다 (예: administrator@mydomain.com, 관리자 아님 ).

참고	SHA-1 해시 알고리즘은 Active Directory 서버에 암호를 저장하는 데 안전하지 않으므로 사용할 수 없습니다. 자세한 내용은 Microsoft TechNet의 SHA1에서 SHA2로 인증 기관 해싱 알고리즘 마이그레이션 또는 오픈 웹 애플리케이션 보안 프로젝트 웹 사이트의 암호 스토리지 치트 시트와 같은 참조를 참조하십시오. Active Directory와의 통신에는 SHA-256을 사용하는 것이 좋습니다.

Base DN(기본 DN)

(선택 사항) Firepower Management Center이 사용자 데이터 검색을 시작해야 하는 서버의 디렉토리 트리입니다. Base DN(기본 DN)을 지정하지 않으면 시스템은 서버에 연결할 수 있는 경우 최상위 DN을 검색합니다.

일반적으로, 기본 DN(distinguished name)은 회사 도메인 이름 및 운영 단위를 나타내는 기본 구조를 가지고 있습니다. 예를 들어, 예시 회사의 보안 조직은 ou=security,dc=example,dc=com의 기본 DN을 가질 수 있습니다.

Group DN(그룹 DN)

(선택 사항) Firepower Management Center이 그룹 속성으로 사용자를 검색해야 하는 서버의 디렉토리 트리입니다. 지원되는 그룹 속성 목록은 지원되는 서버 개체 클래스 및 속성 이름에서 확인할 수 있습니다. Group DN(그룹 DN)을 지정하지 않으면 시스템은 서버에 연결할 수 있는 경우 최상위 DN을 검색합니다.

참고

다음은 디렉토리 서버의 사용자, 그룹, DN에서 Firepower System이 지원하는 문자의 목록입니다. 다음 이외의 문자를 사용하면 Firepower System에서 사용자 및 그룹을 다운로드하지 못할 수 있습니다. 엔티티 지원되는 문자 User name(사용자 이름) a-z A-Z 0-9 ! # $ % ^ & ( ) _ - { } ' . ~ ` 그룹 이름 a-z A-Z 0-9 ! # $ % ^ & ( ) _ - { } ' . ~ ` 기본 DN 및 그룹 DN a-z A-Z 0-9 ! @ $ % ^ & * ( ) _ - . ~ `

아래 필드는 기존 영역을 편집할 때만 사용할 수 있습니다.

사용자 세션 시간 초과

(영역을 편집 할 때 Realm Configuration(영역 설정) 탭 페이지에서 사용할 수 있습니다.)

사용자 세션이 시간 초과될 때까지의 시간을 분 단위로 입력합니다. 기본값은 사용자 로그인 이벤트 후 1,440(24시간)입니다. 시간이 초과되면 사용자의 세션은 종료됩니다. 사용자가 다시 로그인하지 않고 계속 액세스하면, 해당 사용자는 FMC가 Unknown(알 수 없음)으로 간주합니다(Failed Captive Portal Users(실패한 캡티브 포털 사용자) 제외).

다음에 대한 시간 초과 값을 설정할 수 있습니다.

• 사용자 에이전트 및 ISE/ISE-PIC 사용자: 사용자 에이전트 또는 ISE/ISE-PIC가 추적하는 사용자의 시간 초과 값으로, 패시브 인증의 유형입니다.

  지정하는 시간 초과 값은 pxGrid SXP 세션 주제 구독(예: 대상 SGT 매핑)에 적용되지 않습니다. 대신 ISE에서 지정된 매핑에 대한 삭제 또는 업데이트 메시지가 없는 한 세션 주제 매핑이 유지됩니다.

  ISE/ISE-PIC에 대한 자세한 내용은 ISE/ISE-PIC ID 소스의 내용을 참조하십시오.

• 터미널 서비스 에이전트 사용자: TS 에이전트가 추적하는 사용자의 시간 초과 값으로, 패시브 인증의 유형입니다. 자세한 내용은 TS(Terminal Services) 에이전트 ID 소스를 참고하십시오.

• 캡티브 포털 사용자: 캡티브 포털을 이용해 무사히 로그인한 사용자의 시간 초과 값으로, 액티브 인증의 유형입니다. 자세한 내용은 캡티브 포털 ID 소스를 참고하십시오.

• 실패한 캡티브 포털 사용자: 캡티브 포털을 사용하여 무사히 로그인하지 못한 사용자의 시간 초과 값입니다. FMC가 사용자를 Failed Auth User(실패한 인증 사용자)로 간주하기 전의 최대 로그인 시도 횟수를 설정할 수 있습니다. Failed Auth User(실패한 인증 사용자)는 액세스 컨트롤 정책을 이용해 네트워크에 대한 액세스를 받을 수 있으며, 이 경우 이 시간 초과 값이 해당 사용자에게 적용됩니다.

  캡티브 포털 로그인에 대한 자세한 내용은 캡티브 포털(captive portal) 필드 섹션을 참조하십시오.

• 게스트 캡티브 포털 사용자: 게스트 사용자로 캡티브 포털에 로그인한 사용자의 시간 초과 값입니다. 자세한 내용은 캡티브 포털 ID 소스를 참고하십시오.

영역 디렉토리 필드

이러한 설정은 영역의 개별 서버(Active Directory 도메인 컨트롤러 등)에 적용됩니다.

Hostname / IP Address(호스트 이름/IP 주소)

Active Directory 도메인 컨트롤러 시스템의 정규화된 호스트 이름입니다. 정규화된 이름을 찾으려면 Active Directory 서버 이름 찾기의 내용을 참조하십시오.

캡티브 포털을 인증하는 데 Kerberos를 사용하는 경우 다음 사항도 이해해야 합니다.

Kerberos 인증을 사용하는 경우 매니지드 디바이스의 호스트 이름은 15자 미만이어야 합니다(Windows에서 설정한 NetBIOS 제한). 그렇지 않으면 캡티브 포털 인증이 실패합니다. 디바이스를 설정할 때 매니지드 디바이스 호스트 이름을 설정합니다. 자세한 내용은 Microsoft 설명서 사이트에서 컴퓨터, 도메인, 사이트 및 OU에 대한 Active Directory의 명명 규칙과 유사한 문서를 참조하십시오.

DNS는 호스트 이름에 대해 64KB 이하의 응답을 반환해야 합니다. 그렇지 않으면 연결 테스트에서 AD 연결이 실패합니다. 이 제한은 양방향으로 적용되며 RFC 6891 섹션-6.2.5에 설명되어 있습니다.

Port(포트)

서버의 포트입니다.

암호화

(적극 권장함.) 사용할 암호화 방법:

• STARTTLS — 암호화된 LDAP 연결

• LDAPS — 암호화된 LDAP 연결

• None(없음) — 암호화되지 않은 LDAP 연결(안전하지 않은 트래픽)

Active Directory 서버와 안전하게 통신하려면 Active Directory에 안전하게 연결의 내용을 참조하십시오.

CA 인증서

서버에 인증하는 데 사용할 SSL 인증서입니다. SSL 인증서를 사용하려면 STARTTLS 또는 LDAPS를 Encryption(암호화) 유형으로 구성해야 합니다.

인증서를 사용하여 인증하는 경우에는 인증서의 서버 이름이 서버 Hostname / IP Address(호스트 이름/IP 주소)와 일치해야 합니다. 예를 들어 IP 주소로 10.10.10.250을 사용하는데 인증서에서 computer1.example.com을 사용하면, 연결이 실패합니다.

디렉토리 서버에 연결하는 데 사용된 인터페이스

다음 중 하나를 클릭합니다.

• Resolve via route lookup(경로 조회를 통해 확인): 라우팅을 사용하여 Active Directory 서버에 연결합니다.

• Choose an interface(인터페이스 선택): Active Directory 서버에 연결할 특정 매니지드 디바이스 인터페이스를 선택합니다.

사용자 동기화 필드

AD Primary Domain(AD 기본 도메인)

Microsoft Active Directory 영역에만 해당됩니다. 사용자가 인증해야 하는 Active Directory 서버의 도메인입니다.

참고

모든 Microsoft Active Directory(AD) 영역에 대한 고유 AD Primary Domain(AD 기본 도메인)을 지정해야 합니다. 다른 AD 영역에 동일한 AD Primary Domain(AD 기본 도메인)을 지정할 수는 있지만, 시스템이 제대로 작동하지 않습니다. 이러한 상황이 발생하는 이유는 시스템이 고유 ID를 각 영역에 있는 모든 사용자에게 할당하기 때문입니다. 따라서 시스템은 특정 사용자 또는 그룹을 확실히 식별할 수 없습니다. 시스템에서 사용자와 그룹을 적절히 식별하지 못하기 때문에 AD Primary Domain(AD 기본 도메인)이 동일한 영역 하나 이상을 지정할 수 없습니다. 이러한 상황이 발생하는 이유는 시스템이 고유 ID를 각 영역에 있는 모든 사용자에게 할당하기 때문입니다. 따라서 시스템은 특정 사용자 또는 그룹을 확실히 식별할 수 없습니다.

사용자 및 그룹을 찾기 위한 쿼리 입력

Base DN(기본 DN):

(선택 사항) Firepower Management Center이 사용자 데이터 검색을 시작해야 하는 서버의 디렉토리 트리입니다.

일반적으로, 기본 DN(distinguished name)은 회사 도메인 이름 및 운영 단위를 나타내는 기본 구조를 가지고 있습니다. 예를 들어, 예시 회사의 보안 조직은 ou=security,dc=example,dc=com의 기본 DN을 가질 수 있습니다.

Group DN(그룹 DN):

(선택 사항) Firepower Management Center이 그룹 속성으로 사용자를 검색해야 하는 서버의 디렉토리 트리입니다. 지원되는 그룹 속성 목록은 지원되는 서버 개체 클래스 및 속성 이름에서 확인할 수 있습니다.

참고	그룹 이름과 조직 단위 이름에는 별표(*), 등호(=), 백슬래시(\) 같은 특수문자가 있으면 안 됩니다. 해당 그룹의 사용자는 다운로드되지 않으며 ID 정책에 사용할 수 없기 때문입니다.

그룹 로드

사용자 인식 및 사용자 제어를 위해 사용자와 그룹을 다운로드할 수 있습니다.

Available Groups(사용 가능한 그룹), Add to Include(포함에 추가), Add to Exclude(제외에 추가)

정책에서 사용할 수 있는 그룹을 제한합니다.

• 그룹을 Add to Include(포함에 추가) 또는 Add to Exclude(제외에 추가) 필드로 이동하지 않는 한 Available Groups(사용 가능한 그룹) 필드에 표시되는 그룹은 정책에 사용할 수 있습니다.

• 그룹을 Add to Include(포함에 추가) 필드로 이동하면 이러한 그룹만 다운로드되고 사용자 데이터를 사용자 인식 및 사용자 제어에 사용할 수 있습니다.

• 그룹을 Add to Exclude(제외에 추가) 필드로 이동하면 이러한 그룹을 제외한 모든 그룹이 다운로드되고 사용자 데이터를 사용자 인식 및 사용자 제어에 사용할 수 있습니다.

• 포함되지 않은 그룹에 있는 사용자를 포함하려면, 아래 Groups to Include(포함할 그룹) 필드에 사용자 이름을 입력하고 Add(추가)를 클릭합니다.

• 제외되지 않은 그룹에 있는 사용자를 제외하려면, 아래 Groups to Exclude(제외할 그룹) 필드에 사용자 이름을 입력하고 Add(추가)를 클릭합니다.

  참고	FMC에 다운로드한 사용자는 R = I - (E+e) + i 수식으로 계산하며, 수식의 항목은 다음과 같습니다. R은 다운로드한 사용자의 목록입니다. I는 포함된 그룹입니다. E는 제외된 그룹입니다. e는 제외된 사용자입니다. i는 포함된 사용자입니다.

지금 동기화

그룹 및 사용자를 AD와 동기화하려면 클릭합니다.

다음 위치에서 자동 동기화 시작

AD에서 사용자 및 그룹을 다운로드할 시간 및 시간 간격을 입력합니다.