단계 1

시스템 ( ) > Users(사용자)을 선택합니다.

단계 2

External Authentication(외부 인증) 탭을 클릭합니다.

단계 3

Add External Authentication Object(외부 인증 개체 추가)를 클릭합니다.

단계 4

Authentication Method(인증 방법)을 LDAP로 설정합니다.

단계 5

Name(이름)과 Description(설명)(선택 사항)을 입력합니다.

단계 6

드롭다운 목록에서 Server Type(서버 유형)을 선택합니다.

단계 7

Primary Server(기본 서버)에 Host Name/IP Address(호스트 이름/IP 주소)를 입력합니다.

단계 8

(선택 사항) Port(포트)를 기본값에서 변경합니다.

단계 9

(선택 사항) Backup Server(백업 서버) 파라미터를 입력합니다.

단계 10

LDAP-Specific Parameters(LDAP 전용 파라미터)를 입력합니다.

1. 액세스를 원하는 LDAP 디렉터리에 대해 Base DNs(기본 DN)를 입력합니다. 예를 들어, 예시 회사의 보안 조직에서 이름을 인증하려면 ou=security,dc=example,dc=com을 입력합니다. 아니면 Fetch DN(DN 가져오기)을 클릭하고, 드롭다운 목록에서 적절한 기본 고유 이름을 선택합니다.

2. (선택 사항) Base Filter(기본 필터)를 입력합니다. 예를 들어 디렉토리 트리의 사용자 개체에 physicalDeliveryOfficeName 속성이 있고 뉴욕 사무실의 사용자는 그 속성 값이 NewYork인 경우 뉴욕 사무실의 사용자만 가져오려면 (physicalDeliveryOfficeName=NewYork)이라고 입력합니다.

   CAC 인증을 사용하는 경우 활성 사용자 계정만 필터링하려면(비활성화된 사용자 계정 제외) (!(userAccountControl:1.2.840.113556.1.4.803:=2))를 입력합니다. 이 기준은 ldpgrp 그룹에 속하는 AD 내에서 사용자 계정을 검색하며 userAccountControl 속성 값이 2(비활성화됨)가 아닙니다.

3. LDAP 서버를 검색하기에 크리덴셜이 충분한 사용자의 경우, User Name(사용자 이름)을 입력합니다. 예를 들어 OpenLDAP 서버에 연결하려는 경우, 해당 사용자 개체에 uid 속성이 있으며 예시 회사 보안 부서 관리자 개체의 uid값이 NetworkAdmin이라면 uid=NetworkAdmin,ou=security,dc=example,dc=com과 같이 입력할 수 있습니다.

4. Password(비밀번호) 및 Confirm Password(비밀번호 확인) 필드에 사용자 비밀번호를 입력합니다.

5. (선택 사항) Show Advanced Options(고급 옵션 표시)를 클릭하고 다음 고급 옵션을 구성합니다.

   • Encryption(암호화)- None (해당 없음), TLS또는 SSL을 클릭 합니다.

     포트를 지정한 다음 암호화 방식을 변경할 경우, 그 방법에 대해서는 포트가 기본값으로 재설정됩니다. None(해당 없음) 또는 TLS인 경우, 포트는 기본값인 389로 재설정됩니다. SSL 암호화를 선택할 경우 포트는 636로 재설정됩니다.

   • SSL Certificate Upload Path(SSL 인증서 업로드 경로)—SSL 또는 TLS 암호화인 경우, Choose File(파일 선택)을 클릭하여 인증서를 선택해야 합니다.

     이전에 업로드한 인증서를 대체하려는 경우, 새 인증서를 업로드하고 구성을 디바이스에 다시 적용하여 새 인증서로 복사합니다.

     참고	TLS 암호화는 모든 플랫폼에서 인증서가 필요합니다. 항상 끼어들기 공격을 방지하기 위해 SSL에 대한 인증서를 업로드하는 것이 좋습니다.

   • User Name Template(사용자 이름 템플릿)— UI Access Attribute(UI 액세스 속성)에 해당하는 템플릿을 제공합니다. 예를 들어 예시 회사의 보안 조직에서 근무하는 모든 사용자를 인증하기 위해 UI 액세스 속성이 uid인 OpenLDP 서버에 연결하는 경우, uid=%s,ou=security,dc=example,dc=com를 User Name Template(사용자 이름 템플릿) 필드에 입력합니다. Microsoft Active Directory 서버에서는 %s@security.example.com이라고 입력할 수 있습니다.

     이 필드는 CAC 인증을 위해 필요합니다.

   • Shell User Name Template(쉘 사용자 이름 템플릿)— CLI 사용자 인증을 위해 CLI Access Attribute(CLI 액세스 속성)에 해당하는 템플릿을 제공합니다. 예를 들어 보안 조직에서 근무하는 모든 사용자를 인증하기 위해 CLI 액세스 속성이 sAMAccountName인 OpenLDP 서버에 연결하는 경우, %s를 Shell User Name Template(쉘 사용자 이름 템플릿) 필드에 입력합니다.

   • Timeout(시간 초과)—백업 연결로 전환하기 전 시간(초)을 1과 1024 사이로 입력합니다. 기본값은 30입니다.

     참고	시간 초과 범위는 threat defense와 management center에 따라 다르므로 개체를 공유하는 경우 threat defense의 더 작은 시간 초과 범위 (1 ~ 30초)를 초과하지 않아야 합니다. 시간 초과 값을 더 높은 값으로 설정하면 threat defense LDAP 구성이 작동하지 않습니다.

단계 11

(선택 사항) Attribute Mapping(속성 매핑)을 구성하고 속성에 따라 사용자를 검색합니다.

단계 12

(선택 사항) Group Controlled Access Roles(그룹 제어 액세스 역할)를 구성합니다.

1. (선택 사항) 사용자 역할에 해당하는 필드에 해당 역할이 부여되는 사용자를 포함하는 LDAP 그룹의 DN을 입력합니다.

   참조하는 모든 그룹이 LDAP 서버에 있어야 합니다. 고정 LDAP 그룹 또는 동적 LDAP 그룹을 참조할 수 있습니다. 고정 LDAP 그룹은 특정 사용자를 가리키는 그룹 개체 특성에 의해 멤버십이 결정되며, 동적 LDAP 그룹에서는 사용자 개체 특성에 따라 그룹 사용자를 가져오는 LDAP 검색을 생성하여 멤버십을 결정합니다. 어떤 역할에 대한 그룹 액세스 권한은 그룹의 멤버인 사용자에게만 영향을 미칩니다.

   동적 그룹을 사용하는 경우 LDAP 서버에 구성된 대로 LDAP 쿼리가 사용됩니다. 이런 이유로 Firepower 디바이스는 검색 반복 횟수를 4회로 제한하여 검색 구문 오류로 인한 무한 루프를 방지합니다.

   예:

   Administrator(관리자) 필드에 다음과 같이 입력하여 예시 회사의 정보 기술 조직에서 이름을 인증할 수 있습니다.

   
   cn=itgroup,ou=groups, dc=example,dc=com
   
   

2. 지정된 어떤 그룹에도 속하지 않는 사용자에 대해 Default User Role(기본 사용자 역할)을 선택합니다.

3. 정적 그룹을 사용하는 경우, Group Member Attribute(그룹 멤버 속성)을 입력합니다.

   예:

   기본 Security Analyst 액세스에 대한 고정 그룹의 멤버십을 표시하기 위해 member(멤버) 속성을 사용하는 경우 member(멤버)라고 입력합니다.

4. 동적 그룹을 사용하는 경우, Group Member URL Attribute(그룹 멤버 URL 속성)을 입력합니다.

   예:

   memberURL 속성이 기본 관리자 액세스에 대해 지정한 동적 그룹의 멤버를 가져오는 LDAP 검색을 포함할 경우 memberURL이라고 입력합니다.

단계 13

(선택 사항) CLI 사용자를 허용하도록 CLI Access Filter(CLI 액세스 필터)를 설정합니다.

단계 14

(선택 사항) Test(테스트)를 클릭하고 LDAP 서버와의 연결을 테스트합니다.

단계 15

(선택 사항) Additional Test Parameters(추가 테스트 파라미터)를 입력하고 인증 가능한 사용자의 크리덴셜을 테스트할 수도 있습니다. User Name(사용자 이름) uid 및 Password(비밀번호)를 입력한 다음 Test(테스트)를 클릭합니다.

단계 16

Save(저장)를 클릭합니다.

단계 17

이 서버의 사용을 활성화합니다. CDO 사용자에 대한 외부 인증 활성화를 참조하십시오.

단계 1

시스템 ( ) > Users(사용자)를 선택합니다.

단계 2

External Authentication(외부 인증)을 클릭합니다.

단계 3

Add External Authentication Object(외부 인증 개체 추가)를 클릭합니다.

단계 4

Authentication Method(인증 방법)을 RADIUS로 설정합니다.

단계 5

Name(이름)과 Description(설명)(선택 사항)을 입력합니다.

단계 6

Primary Server(기본 서버)에 Host Name/IP Address(호스트 이름/IP 주소)를 입력합니다.

단계 7

(선택 사항) Port(포트)를 기본값에서 변경합니다.

단계 8

RADIUS Secret Key(RADIUS 비밀 키)를 입력합니다.

단계 9

(선택 사항) Backup Server(백업 서버) 파라미터를 입력합니다.

단계 10

(선택 사항) RADIUS-Specific Parameters(RADUIS 특정 파라미터)를 입력합니다.

1. Timeout(시간 초과)을 초 단위(1~1024)로 입력하고 기본 서버를 다시 시도합니다. 기본값은 30입니다.

2. Retries(재시도)를 입력하고 백업 서버로 이동합니다. 기본값은 3입니다.

3. 사용자 역할에 해당하는 필드에 각 사용자의 이름을 입력하거나 해당 역할에 지정될 식별 특성-값 쌍을 입력합니다.

   사용자 이름과 속성-값 쌍은 쉼표로 구분합니다.

   예:

   보안 분석가인 모든 사용자가 Analyst(분석가)를 User-Category(사용자-카테고리) 속성 값으로 갖는 경우, User-Category=Analyst를 Security Analyst(보안 분석가 목록) 필드에 입력하고 해당 사용자에게 해당 역할을 부여할 수 있습니다.

   예:

   Administrator(관리자) 역할을 사용자인jsmith와 jdoe에게 부여하려면 jsmith, jdoe를 Administrator(관리자) 필드에 입력합니다.

   예:

   Maintenance User(유지 보수 사용자) 역할을 User-Category(사용자-카테고리) 값이 Maintenance(유지 보수)인 모든 사용자에게 부여하려면 User-Category=Maintenance를 Maintenance User(유지 보수 사용자) 필드에 입력합니다.

4. 지정된 어떤 그룹에도 속하지 않는 사용자에 대해 Default User Role(기본 사용자 역할)을 선택합니다.

단계 11

(선택 사항) Define Custom RADIUS Attributes(맞춤형 RADIUS 속성 정의).

1. Attribute Name(속성 이름)을 입력합니다.

   속성을 정의할 때 영숫자로 구성된 속성의 이름을 제공합니다. 속성 이름의 단어는 공백이 아닌 대시로 구분해야 합니다.

2. 정수로 Attribute ID(속성 ID)를 입력합니다.

   속성 ID는 정수이며 etc/radiusclient/dictionary 파일에 있는 기존 속성 ID와 충돌해서는 안 됩니다.

3. Attribute Type(속성 유형) 드롭다운 목록에서 선택합니다.

   속성의 유형을 문자열, IP 주소, 정수 또는 날짜로 지정합니다.

4. Add(추가)를 클릭하고 맞춤형 속성을 추가합니다.

단계 12

(선택 사항) CLI Access Filter(CLI 액세스 필터) 영역 Administrator CLI Access User List(관리자 CLI 액세스 사용자 목록) 필드에 CLI 액세스 권한이 있어야 하는 사용자 이름을 쉼표로 구분하여 입력합니다.

단계 13

(선택 사항) Test(테스트)를 클릭해 RADIUS 서버와 management center 연결을 테스트합니다.

단계 14

(선택 사항) Additional Test Parameters(추가 테스트 파라미터)를 입력하고 인증 가능한 사용자의 크리덴셜을 테스트할 수 있습니다. User Name(사용자 이름) 및 Passowrd(비밀번호)를 입력한 다음 Test(테스트)를 클릭합니다.

단계 15

Save(저장)를 클릭합니다.

단계 16

이 서버의 사용을 활성화합니다. CDO 사용자에 대한 외부 인증 활성화를 참조하십시오.

단계 1

시스템 ( ) > Users(사용자)를 선택합니다.

단계 2

External Authentication(외부 인증)을 클릭합니다.

단계 3

외부 웹 인터페이스 사용자에 대한 기본 사용자 역할을 설정합니다.

1. Default User Roles(기본 사용자 역할) 값을 클릭합니다(기본적으로 none(해당 없음) 선택됨).

1. Default User Role Configuration(기본 사용자 역할 구성) 대화 상자에서 사용하려는 역할(복수 가능)을 선택합니다.

2. Save(저장)를 클릭합니다.

단계 4

사용하려는 각 외부 인증 개체 옆 Slider enabled(슬라이더 활성화됨) ()를 클릭합니다. 개체를 1개 이상 활성화하는 경우, 사용자가 지정된 순서대로 서버와 비교됩니다. 다음 단계를 참조하고 서버를 재정렬합니다.

단계 5

(선택 사항) 인증 요청이 발생한 경우 서버를 드래그 앤 드롭하고 인증 순서를 변경합니다.

단계 6

외부 사용자에 대해 CLI 액세스를 허용하려면, Shell Authentication(셸 인증) > Enabled(활성화)를 선택합니다.

단계 7

Save and Apply(저장 및 적용)를 클릭합니다.