ISE присоединяется к службам каталогов Azure AD
-
Привет
[, @dalbanil] Спасибо за ответ, но это не совсем то, о чем я спрашиваю. Вышеуказанный документ посвящен интеграции ISE с Azure AD с помощью REST и ROPC. Мне интересно, можно ли присоединить ISE к Azure AD Domain Services так же, как мы делаем это сегодня с традиционным локальным AD (настроенным в разделе «Внешние источники идентификации» -> «Active Directory»)? Я знаю, что Azure AD DS имеет некоторые ограничения, но влияют ли они на присоединение ISE? -
Отличный вопрос. Это то же самое, что «гибридная» среда Azure AD, или это совершенно отдельная вещь? Остается ли локальная AD?
-
Это будет в случае отсутствия локальной AD, то есть только облачная версия, без гибридной. Таким образом, у нас будет Azure AD с
доменом, управляемым Azure AD Domain Services. Серверы Windows могут присоединяться к управляемому домену Azure AD DS, поэтому мне было бы интересно узнать, может ли ISE делать то же самое. -
Это все еще актуально? Я пытаюсь добавить entra id в качестве точки соединения в Cisco ISE и получаю следующую ошибку. Я пытаюсь добавить это в ext identity -> active directory. Для entra id нет контроллера домена, и я получаю эту ошибку, что не может найти доменное имя. Мне нужно добавить entra другим способом? Сведения о поддержке...
Название ошибки: LW_ERROR_FAILED_FIND_DC
Код ошибки: 40049 Подробный журнал: Описание ошибки:
Не удалось найти контроллер домена в домене xyz.COM: домен не существует в DNS -
Вы имеете в виду
Entra Domain Services
(о чем шла речь в исходном обсуждении) или Entra ID? Если вы имеете в виду Entra ID, то нет никакого «домена», к которому можно присоединиться. Entra ID
не
является Active Directory. Поддерживаемые варианты использования ISE в связи с Entra ID см.
[в Cisco ISE с Microsoft Active Directory, Entra ID и Intune.] -
Я имею в виду entra id join. Я использую ISE 3.3 в Azure для NAC. Нужно ли мне присоединять их к entra id или я могу обойтись без этого? Я использую сертификат машины 802.1x EAP-TLS для аутентификации с помощью соединителя сертификатов. Так нужно ли мне присоединять entra id в ISE или я могу обойтись без этого? Как мне интегрировать Entra ID с Cisco ISE? Если я не буду интегрировать, как будет происходить аутентификация?
-
Все поддерживаемые в настоящее время варианты аутентификации/авторизации ISE с использованием Entra ID описаны в документе, который я поделился в предыдущей ветке. [Cisco ISE с Microsoft Active Directory, Entra ID и Intune]
-
Привет, Грег, Как ты смог выполнить пункт № 2? Я использую локальную службу AD, присоединенную к Entra ID. Моя ISE присоединена к локальной службе AD, и я могу извлечь группу AD, доступную только в облаке и определенную в Azure AD, в мою точку присоединения к локальной службе AD. Сейчас я могу присоединиться к Entra ID через REST ROPC, но не могу извлечь группы. Я подозреваю, что это связано с тем, что я вошел в графический интерфейс ISE через локального администратора и использую эту учетную запись для попытки извлечь группу, которая не находится в Azure. Я считаю, что ваше решение решит эту проблему, но мне не ясно, как извлечь группу AD, доступную только в облаке, чтобы я мог использовать пользователя в этой группе для входа в ISE. Пожалуйста, объясните, как я могу это сделать... Я уже несколько дней не могу решить эту проблему. Спасибо.
-
Я не совсем понимаю ваш вопрос. Entra ID Connector синхронизирует только традиционные группы Active Directory с Entra ID. Синхронизация пользователей/групп, созданных непосредственно в Entra ID, обратно в Active Directory не осуществляется.
-
@Greg Gibbs
Я пытаюсь интегрировать ISE с ENTRA ID.
Если я использую AADDS (Entra Domain Service), сможет ли клиент использовать MSCHAPv2? -
Нет. Также не используйте MS-Chapv2 в 2026 году.
-
Entra DS по сути является AD в облаке, поэтому теоретически ISE должен быть способен интегрироваться с ним так же, как и AD. Если это так, то вы должны иметь возможность использовать PEAP (MSCHAPv2) так же, как и с AD. Я не имел возможности протестировать интеграцию с Entra DS из-за ограничений по подписке/лицензированию, поэтому все это только теория. Однако, как ранее заявил
@ahollifield
, MSCHAPv2 следует избегать. Он использует несовершенное шифрование, и MS активно работает над его отказом в пользу более безопасных методов, таких как EAP-TLS.
Здравствуйте! Похоже, вам интересна эта беседа, но у вас пока нет учетной записи.
Вы устали просматривать одни и те же посты каждый раз, когда заходите на сайт? После регистрации, вам не придётся искать обсуждения в которых вы принимали участие, настройте уведомления о новых сообщениях так как вам это удобно (по электронной почте или уведомлением). У вас появится возможность сохранять закладки и ставить лайки постам, чтобы выразить свою благодарность другим участникам сообщества.
С вашими комментариями этот пост может стать ещё лучше 💗
Зарегистрироваться Войти