ISE 3.2 EAP-TLS configureren met Microsoft Azure Active Directory

Inleiding

In dit document wordt beschreven hoe u autorisatiebeleid in ISE kunt configureren en oplossen op basis van Azure AD-groepslidmaatschap met EAP-TLS of TEAP.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Identity Services Engine (ISE)
• Microsoft Azure AD, abonnement en apps
  
• EAP-TLS verificatie

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco ISE-lijnkaart 3.2
• Microsoft Azure AD

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie 

In ISE 3.0 kan gebruik worden gemaakt van de integratie tussen ISE en Azure Active Directory (AAD) om gebruikers te verifiëren op basis van Azure AD-groepen en -kenmerken via ROPC-communicatie (Resource Owner Password Credentials). Met ISE 3.2 kunt u op certificaat gebaseerde verificatie configureren en kunnen gebruikers worden geautoriseerd op basis van azure AD-groepslidmaatschap en andere kenmerken. ISE vraagt Azure via grafiek API om groepen en attributen voor de geauthenticeerde gebruiker op te halen, het gebruikt de onderwerpnaam (Onderwerp Common Name, CN) van het certificaat tegen Gebruiker Principal Name (UPN) aan de Azure-kant.

Opmerking: de op certificaten gebaseerde verificaties kunnen EAP-TLS of TEAP zijn met EAP-TLS als binnenmethode. Vervolgens kunt u kenmerken selecteren uit Azure Active Directory en deze toevoegen aan het Cisco ISE-woordenboek. Deze eigenschappen kunnen voor vergunning worden gebruikt. Alleen gebruikersverificatie wordt ondersteund.

Configureren

Netwerkdiagram

Het volgende beeld verstrekt een voorbeeld van een netwerkdiagram en een verkeersstroom

Procedure:

1. Het certificaat wordt naar ISE verzonden via EAP-TLS of TEAP met EAP-TLS als binnenmethode.
2. ISE evalueert het gebruikerscertificaat (geldigheidsperiode, vertrouwde CA, CRL enzovoort).
3. ISE neemt de certificaatonderwerpnaam (CN) en voert een raadpleging uit naar de Microsoft Graph API om de gebruikersgroepen en andere kenmerken voor die gebruiker te halen. Dit staat bekend als User Principal Name (UPN) aan de kant van Azure.
4. ISE-autorisatiebeleid wordt beoordeeld aan de hand van de gebruikerskenmerken die door Azure zijn geretourneerd.

Opmerking: U moet de Graph API-rechten configureren en verlenen aan de ISE-app in Microsoft Azure, zoals hieronder wordt getoond:

Configuraties

ISE-configuratie

Opmerking: ROPC-functionaliteit en integratie tussen ISE en Azure AD valt buiten het bereik van dit document. Het is belangrijk dat groepen en gebruikerskenmerken worden toegevoegd van Azure. Zie hier de configuratiehandleiding.

Het profiel voor certificaatverificatie configureren  

Stap 1. Naar navigeren het menu-pictogram in de linkerbovenhoek en selecteer Administratie > Identiteitsbeheer > Externe identiteitsbronnen.

Stap 2. Kiezen Certificaatverificatie Profiel en klik op Toevoegen. 

Stap 3. Bepaal de naam, Stel de Identity Store als [Niet van toepassing], en selecteer Onderwerp - Gemeenschappelijke naam op Identiteit gebruiken van veld. Selecteer nooit op overeenkomst Clientcertificaat tegen certificaat in Identity Store Veld. 

Stap 4. Klik op Opslaan

Stap 5. Naar navigeren het menu-pictogram in de linkerbovenhoek en selecteer Beleid > Beleidssets.

Stap 6. Selecteer de plus pictogram om een nieuwe beleidsset te maken. Definieer een naam en selecteer Wireless 802.1x of bekabeld 802.1x als voorwaarden. De optie Standaard netwerktoegang wordt in dit voorbeeld gebruikt

Stap 7. Selecteer de pijl naast Default Network Access om verificatie- en autorisatiebeleid te configureren.

Stap 8. Selecteer de optie Verificatiebeleid, definieer een naam en voeg EAP-TLS toe als EAPA-verificatie voor netwerktoegang. Het is mogelijk om TEAP toe te voegen als EAPT-tunnel voor netwerktoegang als TEAP wordt gebruikt als verificatieprotocol. Selecteer het certificaatverificatieprofiel dat in stap 3 is gemaakt en klik op Opslaan.

Stap 9. Selecteer de optie Autorisatiebeleid, definieer een naam en voeg Azure AD-groep of gebruikerskenmerken als voorwaarde toe. Kies het profiel of de beveiligingsgroep onder Resultaten, hangt af van de gebruikscase en klik vervolgens op Opslaan.  

Gebruikersconfiguratie.

De onderwerpnaam (CN) uit het gebruikerscertificaat moet overeenkomen met de hoofdnaam van de gebruiker (UPN) aan de kant van Azure om het lidmaatschap van de AD-groep en gebruikerskenmerken op te halen die in de machtigingsregels worden gebruikt. De authenticatie kan alleen succesvol zijn als de root-CA en alle tussenliggende CA’s-certificaten zich in de ISE Trusted Store bevinden.

Verifiëren

ISE-verificatie

Klik in de Cisco ISE GUI op het pictogram Menu en kiezen Operations > RADIUS > Live logs voor netwerkverificatie (RADIUS).

Klik in de kolom Details op het pictogram vergrootglas om een gedetailleerd verificatierapport te bekijken en te bevestigen of de stroom werkt zoals verwacht.

1. Verifieer het verificatie-/autorisatiebeleid
2. Verificatiemethode/protocol
3. Onderwerpnaam van de gebruiker overgenomen van het certificaat
4. Gebruikersgroepen en andere kenmerken gehaald uit Azure-directory

Problemen oplossen

Debugs inschakelen op ISE

Naar navigeren Beheer > Systeem > Vastlegging > Configuratie debug-log om de volgende onderdelen op het opgegeven niveau in te stellen.

Knooppunt	Naam van component	Logniveau	Logbestandsnaam
PSN	winkel voor ruilhandel	Debuggen	rest-id-store.log
PSN	runtime-AAA	Debuggen	prtserver.log

Opmerking: wanneer u klaar bent met probleemoplossing, vergeet niet de debugs opnieuw in te stellen. Hiertoe selecteert u het betreffende knooppunt en klikt u op "Standaard opnieuw instellen".

Logs-fragmenten

De volgende uittreksels tonen de laatste twee fasen in de stroom, zoals eerder vermeld in de sectie van het netwerkdiagram.

1. ISE neemt de certificaatonderwerpnaam (CN) en voert een opzoekactie uit naar de Azure Graph API om gebruikersgroepen en andere kenmerken voor die gebruiker te halen. Dit staat bekend als User Principal Name (UPN) aan Azure-zijde.
2. ISE-autorisatiebeleid wordt beoordeeld aan de hand van de gebruikerskenmerken die door Azure zijn geretourneerd.

logbestanden van rest-id's:

Printerlogboeken: