ISE 2.0：ASA CLI TACACS+身份验证和命令授权配置示例

简介

本文档介绍如何在具有身份服务引擎(ISE) 2.0及更高版本的思科自适应安全设备(ASA)上配置TACACS+身份验证和命令授权。ISE使用本地身份库存储用户、组和终端等资源。

先决条件

要求

Cisco 建议您了解以下主题：

•  ASA防火墙完全正常运行
• ASA和ISE之间的连接
• ISE服务器已引导

使用的组件

本文档中的信息基于以下软件和硬件版本：

• 思科身份服务引擎2.0
• 思科ASA软件版本9.5(1)

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

配置

配置的目标是：

• 通过内部身份库验证SSH用户
• 授权ssh用户，使其在登录后进入特权执行模式
• 检查并将每个执行的命令发送到ISE进行验证

网络图

配置

配置ISE进行身份验证和授权

创建两个用户。用户administrator是ISE上网络管理员本地身份组的一部分。此用户具有完全的CLI权限。用户user是ISE上网络维护团队本地身份组的一部分。此用户只能执行show命令和ping。

添加网络设备

导航到工作中心>设备管理>网络资源>网络设备。单击 Add。提供名称、IP地址，选中TACACS+ Authentication Settings复选框并提供共享密钥。可以选择指定设备类型/位置。

配置用户身份组

导航到工作中心(Work Centers) >设备管理(Device Administration) >用户身份组(User Identity Groups)。单击 Add。提供名称并点击提交。

重复相同步骤以配置网络维护团队用户身份组。

配置用户

导航到工作中心(Work Centers) >设备管理(Device Administration) >身份(Identities) >用户(Users)。单击 Add。提供名称，登录密码，指定用户组，然后单击提交。

重复这些步骤以配置用户用户并分配网络维护团队用户身份组。

启用设备管理服务

导航到管理>系统>部署。选择所需的节点。选中Enable Device Admin Service 复选框并单击Save。

注意：对于TACACS，您需要安装单独的许可证。

配置TACACS命令集

配置了两个命令集。首先对administrator 用户执行PermitAllCommands，该用户允许设备上的所有命令。第二个PermitPingShowCommands用于user，它仅允许show和ping命令。

1. 导航到工作中心>设备管理>策略结果> TACACS命令集。单击 Add。提供名称PermitAllCommands，选中Permit any command that not listed below 复选框，然后单击Submit。

2. 导航到工作中心>设备管理>策略结果> TACACS命令集。单击 Add。提供名称PermitPingShowCommands，单击Add，然后允许show、ping和exit命令。默认情况下，如果Arguments留空，则包括所有参数。单击“Submit”。 

配置TACACS配置文件

将配置单个TACACS配置文件。实际的命令实施将通过命令集完成。导航到工作中心(Work Centers) >设备管理(Device Administration) >策略结果(Policy Results) > TACACS配置文件(TACACS Profiles)。单击 Add。提供名称ShellProfile，选中Default Privilege复选框，然后输入值15。单击“Submit”。

配置TACACS授权策略

默认情况下，“身份验证策略”(Authentication Policy)指向All_User_ID_Stores（包括本地存储），因此它保持不变。

导航到工作中心(Work Centers) >设备管理(Device Administration) >策略集(Policy Sets) >默认(Default) >授权策略(Authorization Policy) >编辑(Edit) >上述插入新规则(Insert New Rule Above)。

 配置两个授权规则，第一个规则根据Network Admins用户身份组成员身份分配TACACS配置文件ShellProfile和命令Set PermitAllCommands。第二条 规则根据网络维护团队用户身份组成员资格分配TACACS配置文件ShellProfile和命令集PermitPingShowCommands。

配置Cisco ASA防火墙进行身份验证和授权

1. 使用username命令创建具有完全回退权限的本地用户，如下所示

ciscoasa(config)# username cisco password cisco privilege 15

2. 定义TACACS服务器ISE，指定接口、协议IP地址和tacacs密钥。

aaa-server ISE protocol tacacs+
aaa-server ISE (mgmt) host 10.48.17.88
 key cisco

注意：服务器密钥应与之前在ISE服务器上定义的密钥相匹配。

3. 如图所示，使用test aaa命令测试TACACS服务器的可达性。

ciscoasa# test aaa authentication ISE host 10.48.17.88 username administrator Krakow123
INFO: Attempting Authentication test to IP address <10.48.17.88> (timeout: 12 seconds)
INFO: Authentication Successful

上述命令的输出显示TACACS服务器可访问，并且用户已成功通过身份验证。

4. 配置ssh、exec授权和命令授权的身份验证，如下所示。使用aaa authorization exec authentication-server auto-enable时，将自动置于特权EXEC模式。

aaa authentication ssh console ISE 
aaa authorization command ISE 
aaa authorization exec authentication-server auto-enable

注意：使用上述命令，身份验证在ISE上完成，用户直接进入特权模式并进行命令授权。

5. 在管理接口上允许shh。

ssh 0.0.0.0 0.0.0.0 mgmt

验证

Cisco ASA防火墙验证

1. 以属于完全访问用户身份组的administrator身份通过SSH连接到ASA防火墙。网络管理员组映射到ISE上设置的ShellProfile和PermitAllCommands命令。尝试运行任何命令以确保完全访问。

EKORNEYC-M-K04E:~ ekorneyc$ ssh administrator@10.48.66.202
administrator@10.48.66.202's password:
Type help or '?' for a list of available commands.
ciscoasa#
ciscoasa# configure terminal
ciscoasa(config)# crypto ikev1 policy 10
ciscoasa(config-ikev1-policy)# encryption aes
ciscoasa(config-ikev1-policy)# exit
ciscoasa(config)# exit
ciscoasa#

2. 以属于有限访问用户身份组的用户身份通过SSH连接到ASA防火墙。网络维护组映射到ISE上设置的ShellProfile和PermitPingShowCommands命令。尝试运行任何命令以确保只能发出show和ping命令。

EKORNEYC-M-K04E:~ ekorneyc$ ssh user@10.48.66.202
administrator@10.48.66.202's password:
Type help or '?' for a list of available commands.
ciscoasa#
ciscoasa# show version | include Software
Cisco Adaptive Security Appliance Software Version 9.5(1)
ciscoasa# ping 8.8.8.8
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/24/30 ms
ciscoasa# configure terminal
Command authorization failed
ciscoasa# traceroute 8.8.8.8
Command authorization failed

ISE 2.0验证

1. 导航到操作> TACACS实时日志。确保看到上面所做的尝试。

2. 单击其中一个红色报告的详细信息，即可看到之前执行的失败命令。

故障排除

错误： Failed-Attempt：命令授权失败

检查SelectedCommandSet属性以验证授权策略是否选择了预期命令集

相关信息

技术支持和文档 - Cisco Systems

ISE 2.0版本说明

ISE 2.0硬件安装指南

ISE 2.0升级指南

ACS至ISE迁移工具指南

ISE 2.0 Active Directory集成指南

《 ISE 2.0引擎管理员指南》