ISE присоединяется к службам каталогов Azure AD

[Greg Gibbs]

Судя по документации и результатам установки Azure AD DS в моей лаборатории, AADDS — это просто SaaS-предложение Azure для традиционного Active Directory. В отличие от IaaS-развертывания в облаке, где вы управляете ОС и развертываете собственные традиционные службы Active Directory, в AADDS ОС управляется MS, а вы имеете лишь ограниченный контроль над традиционными службами AD. Мне удалось успешно выполнить следующие действия в ISE, используя мой управляемый домен AADDS. Функциональность работала так же, как и при обычном традиционном развертывании AD на месте или в облаке (IaaS). Создать точку присоединения AD и присоединить мой узел ISE к домену
Добавление групп AD, определенных только в облаке, в Azure AD
Выполнить поиск тестового пользователя для учетной записи пользователя, доступной только в облаке, в Azure AD
Настройка доступа администратора для ISE GUI с использованием моей точки присоединения AD, сопоставление группы Azure AD с ролью суперпользователя RBAC и вход в ISE GUI с использованием учетной записи пользователя AD, доступной только в облаке (член группы).

[dalbanil]

Здравствуйте, packet2020, это возможно, здесь у вас есть отличный документ, который поможет вам в этом, он также содержит примеры политик ISE, которые вы можете использовать для авторизации. Дайте мне знать, помогло ли это. https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/216182-configure-ise-3-0-rest-id-with-azure-act.pdf

[packet2020]

Привет
[, @dalbanil] Спасибо за ответ, но это не совсем то, о чем я спрашиваю. Вышеуказанный документ посвящен интеграции ISE с Azure AD с помощью REST и ROPC. Мне интересно, можно ли присоединить ISE к Azure AD Domain Services так же, как мы делаем это сегодня с традиционным локальным AD (настроенным в разделе «Внешние источники идентификации» -> «Active Directory»)? Я знаю, что Azure AD DS имеет некоторые ограничения, но влияют ли они на присоединение ISE?

[ahollifield]

Отличный вопрос. Это то же самое, что «гибридная» среда Azure AD, или это совершенно отдельная вещь? Остается ли локальная AD?

[packet2020]

Это будет в случае отсутствия локальной AD, то есть только облачная версия, без гибридной. Таким образом, у нас будет Azure AD с
доменом, управляемым Azure AD Domain Services. Серверы Windows могут присоединяться к управляемому домену Azure AD DS, поэтому мне было бы интересно узнать, может ли ISE делать то же самое.

[shujath-syed]

Это все еще актуально? Я пытаюсь добавить entra id в качестве точки соединения в Cisco ISE и получаю следующую ошибку. Я пытаюсь добавить это в ext identity -> active directory. Для entra id нет контроллера домена, и я получаю эту ошибку, что не может найти доменное имя. Мне нужно добавить entra другим способом? Сведения о поддержке...
Название ошибки: LW_ERROR_FAILED_FIND_DC
Код ошибки: 40049 Подробный журнал: Описание ошибки:
Не удалось найти контроллер домена в домене xyz.COM: домен не существует в DNS

[Greg Gibbs]

Вы имеете в виду
Entra Domain Services
(о чем шла речь в исходном обсуждении) или Entra ID? Если вы имеете в виду Entra ID, то нет никакого «домена», к которому можно присоединиться. Entra ID
не
является Active Directory. Поддерживаемые варианты использования ISE в связи с Entra ID см.
[в Cisco ISE с Microsoft Active Directory, Entra ID и Intune.]

[shujath-syed]

Я имею в виду entra id join. Я использую ISE 3.3 в Azure для NAC. Нужно ли мне присоединять их к entra id или я могу обойтись без этого? Я использую сертификат машины 802.1x EAP-TLS для аутентификации с помощью соединителя сертификатов. Так нужно ли мне присоединять entra id в ISE или я могу обойтись без этого? Как мне интегрировать Entra ID с Cisco ISE? Если я не буду интегрировать, как будет происходить аутентификация?

[Greg Gibbs]

Все поддерживаемые в настоящее время варианты аутентификации/авторизации ISE с использованием Entra ID описаны в документе, который я поделился в предыдущей ветке. [Cisco ISE с Microsoft Active Directory, Entra ID и Intune]

[anu-fatokun]

Привет, Грег, Как ты смог выполнить пункт № 2? Я использую локальную службу AD, присоединенную к Entra ID. Моя ISE присоединена к локальной службе AD, и я могу извлечь группу AD, доступную только в облаке и определенную в Azure AD, в мою точку присоединения к локальной службе AD. Сейчас я могу присоединиться к Entra ID через REST ROPC, но не могу извлечь группы. Я подозреваю, что это связано с тем, что я вошел в графический интерфейс ISE через локального администратора и использую эту учетную запись для попытки извлечь группу, которая не находится в Azure. Я считаю, что ваше решение решит эту проблему, но мне не ясно, как извлечь группу AD, доступную только в облаке, чтобы я мог использовать пользователя в этой группе для входа в ISE. Пожалуйста, объясните, как я могу это сделать... Я уже несколько дней не могу решить эту проблему. Спасибо.

[Greg Gibbs]

Я не совсем понимаю ваш вопрос. Entra ID Connector синхронизирует только традиционные группы Active Directory с Entra ID. Синхронизация пользователей/групп, созданных непосредственно в Entra ID, обратно в Active Directory не осуществляется.

[JustTakeTheFirstStep]

@Greg Gibbs
Я пытаюсь интегрировать ISE с ENTRA ID.
Если я использую AADDS (Entra Domain Service), сможет ли клиент использовать MSCHAPv2?

[ahollifield]

Нет. Также не используйте MS-Chapv2 в 2026 году.

[Greg Gibbs]

Entra DS по сути является AD в облаке, поэтому теоретически ISE должен быть способен интегрироваться с ним так же, как и AD. Если это так, то вы должны иметь возможность использовать PEAP (MSCHAPv2) так же, как и с AD. Я не имел возможности протестировать интеграцию с Entra DS из-за ограничений по подписке/лицензированию, поэтому все это только теория. Однако, как ранее заявил
@ahollifield
, MSCHAPv2 следует избегать. Он использует несовершенное шифрование, и MS активно работает над его отказом в пользу более безопасных методов, таких как EAP-TLS.