Привет всем, В настоящее время я изучаю варианты интеграции ISE с Azure AD. Насколько я понимаю, Azure AD Domain Services поддерживает традиционные операции присоединения для поддержки устаревших служб. Если мы перейдем на Azure AD, сможет ли ISE присоединиться к службам Azure AD Directory так же, как и к локальному серверу AD? Поддерживается ли это?

]]>https://sla247.ru/forum/topic/2258/ise-присоединяется-к-службам-каталогов-azure-adRSS for NodeFri, 15 May 2026 11:01:36 GMTMon, 02 Mar 2026 12:20:32 GMT60Entra DS по сути является AD в облаке, поэтому теоретически ISE должен быть способен интегрироваться с ним так же, как и AD. Если это так, то вы должны иметь возможность использовать PEAP (MSCHAPv2) так же, как и с AD. Я не имел возможности протестировать интеграцию с Entra DS из-за ограничений по подписке/лицензированию, поэтому все это только теория. Однако, как ранее заявил
@ahollifield
, MSCHAPv2 следует избегать. Он использует несовершенное шифрование, и MS активно работает над его отказом в пользу более безопасных методов, таких как EAP-TLS.

]]>https://sla247.ru/forum/post/15925https://sla247.ru/forum/post/15925Mon, 02 Mar 2026 12:20:47 GMTНет. Также не используйте MS-Chapv2 в 2026 году.

]]>https://sla247.ru/forum/post/15924https://sla247.ru/forum/post/15924Mon, 02 Mar 2026 12:20:46 GMT@Greg Gibbs
Я пытаюсь интегрировать ISE с ENTRA ID.
Если я использую AADDS (Entra Domain Service), сможет ли клиент использовать MSCHAPv2?

]]>https://sla247.ru/forum/post/15923https://sla247.ru/forum/post/15923Mon, 02 Mar 2026 12:20:45 GMTЯ не совсем понимаю ваш вопрос. Entra ID Connector синхронизирует только традиционные группы Active Directory с Entra ID. Синхронизация пользователей/групп, созданных непосредственно в Entra ID, обратно в Active Directory не осуществляется.

]]>https://sla247.ru/forum/post/15922https://sla247.ru/forum/post/15922Mon, 02 Mar 2026 12:20:44 GMTПривет, Грег, Как ты смог выполнить пункт № 2? Я использую локальную службу AD, присоединенную к Entra ID. Моя ISE присоединена к локальной службе AD, и я могу извлечь группу AD, доступную только в облаке и определенную в Azure AD, в мою точку присоединения к локальной службе AD. Сейчас я могу присоединиться к Entra ID через REST ROPC, но не могу извлечь группы. Я подозреваю, что это связано с тем, что я вошел в графический интерфейс ISE через локального администратора и использую эту учетную запись для попытки извлечь группу, которая не находится в Azure. Я считаю, что ваше решение решит эту проблему, но мне не ясно, как извлечь группу AD, доступную только в облаке, чтобы я мог использовать пользователя в этой группе для входа в ISE. Пожалуйста, объясните, как я могу это сделать... Я уже несколько дней не могу решить эту проблему. Спасибо.

]]>https://sla247.ru/forum/post/15921https://sla247.ru/forum/post/15921Mon, 02 Mar 2026 12:20:43 GMTВсе поддерживаемые в настоящее время варианты аутентификации/авторизации ISE с использованием Entra ID описаны в документе, который я поделился в предыдущей ветке. [Cisco ISE с Microsoft Active Directory, Entra ID и Intune]

]]>https://sla247.ru/forum/post/15920https://sla247.ru/forum/post/15920Mon, 02 Mar 2026 12:20:42 GMTЯ имею в виду entra id join. Я использую ISE 3.3 в Azure для NAC. Нужно ли мне присоединять их к entra id или я могу обойтись без этого? Я использую сертификат машины 802.1x EAP-TLS для аутентификации с помощью соединителя сертификатов. Так нужно ли мне присоединять entra id в ISE или я могу обойтись без этого? Как мне интегрировать Entra ID с Cisco ISE? Если я не буду интегрировать, как будет происходить аутентификация?

]]>https://sla247.ru/forum/post/15919https://sla247.ru/forum/post/15919Mon, 02 Mar 2026 12:20:41 GMTВы имеете в виду
Entra Domain Services
(о чем шла речь в исходном обсуждении) или Entra ID? Если вы имеете в виду Entra ID, то нет никакого «домена», к которому можно присоединиться. Entra ID
не
является Active Directory. Поддерживаемые варианты использования ISE в связи с Entra ID см.
[в Cisco ISE с Microsoft Active Directory, Entra ID и Intune.]

]]>https://sla247.ru/forum/post/15918https://sla247.ru/forum/post/15918Mon, 02 Mar 2026 12:20:40 GMTЭто все еще актуально? Я пытаюсь добавить entra id в качестве точки соединения в Cisco ISE и получаю следующую ошибку. Я пытаюсь добавить это в ext identity -> active directory. Для entra id нет контроллера домена, и я получаю эту ошибку, что не может найти доменное имя. Мне нужно добавить entra другим способом? Сведения о поддержке...
Название ошибки: LW_ERROR_FAILED_FIND_DC
Код ошибки: 40049 Подробный журнал: Описание ошибки:
Не удалось найти контроллер домена в домене xyz.COM: домен не существует в DNS

]]>https://sla247.ru/forum/post/15917https://sla247.ru/forum/post/15917Mon, 02 Mar 2026 12:20:39 GMTЭто будет в случае отсутствия локальной AD, то есть только облачная версия, без гибридной. Таким образом, у нас будет Azure AD с
доменом, управляемым Azure AD Domain Services. Серверы Windows могут присоединяться к управляемому домену Azure AD DS, поэтому мне было бы интересно узнать, может ли ISE делать то же самое.

]]>https://sla247.ru/forum/post/15916https://sla247.ru/forum/post/15916Mon, 02 Mar 2026 12:20:38 GMTОтличный вопрос. Это то же самое, что «гибридная» среда Azure AD, или это совершенно отдельная вещь? Остается ли локальная AD?

]]>https://sla247.ru/forum/post/15915https://sla247.ru/forum/post/15915Mon, 02 Mar 2026 12:20:37 GMTПривет
[, @dalbanil] Спасибо за ответ, но это не совсем то, о чем я спрашиваю. Вышеуказанный документ посвящен интеграции ISE с Azure AD с помощью REST и ROPC. Мне интересно, можно ли присоединить ISE к Azure AD Domain Services так же, как мы делаем это сегодня с традиционным локальным AD (настроенным в разделе «Внешние источники идентификации» -> «Active Directory»)? Я знаю, что Azure AD DS имеет некоторые ограничения, но влияют ли они на присоединение ISE?

]]>https://sla247.ru/forum/post/15914https://sla247.ru/forum/post/15914Mon, 02 Mar 2026 12:20:36 GMTЗдравствуйте, packet2020, это возможно, здесь у вас есть отличный документ, который поможет вам в этом, он также содержит примеры политик ISE, которые вы можете использовать для авторизации. Дайте мне знать, помогло ли это. https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/216182-configure-ise-3-0-rest-id-with-azure-act.pdf

]]>https://sla247.ru/forum/post/15913https://sla247.ru/forum/post/15913Mon, 02 Mar 2026 12:20:35 GMTСудя по документации и результатам установки Azure AD DS в моей лаборатории, AADDS — это просто SaaS-предложение Azure для традиционного Active Directory. В отличие от IaaS-развертывания в облаке, где вы управляете ОС и развертываете собственные традиционные службы Active Directory, в AADDS ОС управляется MS, а вы имеете лишь ограниченный контроль над традиционными службами AD. Мне удалось успешно выполнить следующие действия в ISE, используя мой управляемый домен AADDS. Функциональность работала так же, как и при обычном традиционном развертывании AD на месте или в облаке (IaaS). Создать точку присоединения AD и присоединить мой узел ISE к домену
Добавление групп AD, определенных только в облаке, в Azure AD
Выполнить поиск тестового пользователя для учетной записи пользователя, доступной только в облаке, в Azure AD
Настройка доступа администратора для ISE GUI с использованием моей точки присоединения AD, сопоставление группы Azure AD с ролью суперпользователя RBAC и вход в ISE GUI с использованием учетной записи пользователя AD, доступной только в облаке (член группы).

]]>https://sla247.ru/forum/post/15912https://sla247.ru/forum/post/15912Mon, 02 Mar 2026 12:20:34 GMThttps://youtu.be/iAKyIHFqbgE

]]>https://sla247.ru/forum/post/15911https://sla247.ru/forum/post/15911Mon, 02 Mar 2026 12:20:33 GMT