ISE присоединяется к службам каталогов Azure AD

[packet2020]

Это будет в случае отсутствия локальной AD, то есть только облачная версия, без гибридной. Таким образом, у нас будет Azure AD с
доменом, управляемым Azure AD Domain Services. Серверы Windows могут присоединяться к управляемому домену Azure AD DS, поэтому мне было бы интересно узнать, может ли ISE делать то же самое.

[shujath-syed]

Это все еще актуально? Я пытаюсь добавить entra id в качестве точки соединения в Cisco ISE и получаю следующую ошибку. Я пытаюсь добавить это в ext identity -> active directory. Для entra id нет контроллера домена, и я получаю эту ошибку, что не может найти доменное имя. Мне нужно добавить entra другим способом? Сведения о поддержке...
Название ошибки: LW_ERROR_FAILED_FIND_DC
Код ошибки: 40049 Подробный журнал: Описание ошибки:
Не удалось найти контроллер домена в домене xyz.COM: домен не существует в DNS

[Greg Gibbs]

Вы имеете в виду
Entra Domain Services
(о чем шла речь в исходном обсуждении) или Entra ID? Если вы имеете в виду Entra ID, то нет никакого «домена», к которому можно присоединиться. Entra ID
не
является Active Directory. Поддерживаемые варианты использования ISE в связи с Entra ID см.
[в Cisco ISE с Microsoft Active Directory, Entra ID и Intune.]

[shujath-syed]

Я имею в виду entra id join. Я использую ISE 3.3 в Azure для NAC. Нужно ли мне присоединять их к entra id или я могу обойтись без этого? Я использую сертификат машины 802.1x EAP-TLS для аутентификации с помощью соединителя сертификатов. Так нужно ли мне присоединять entra id в ISE или я могу обойтись без этого? Как мне интегрировать Entra ID с Cisco ISE? Если я не буду интегрировать, как будет происходить аутентификация?

[Greg Gibbs]

Все поддерживаемые в настоящее время варианты аутентификации/авторизации ISE с использованием Entra ID описаны в документе, который я поделился в предыдущей ветке. [Cisco ISE с Microsoft Active Directory, Entra ID и Intune]

[anu-fatokun]

Привет, Грег, Как ты смог выполнить пункт № 2? Я использую локальную службу AD, присоединенную к Entra ID. Моя ISE присоединена к локальной службе AD, и я могу извлечь группу AD, доступную только в облаке и определенную в Azure AD, в мою точку присоединения к локальной службе AD. Сейчас я могу присоединиться к Entra ID через REST ROPC, но не могу извлечь группы. Я подозреваю, что это связано с тем, что я вошел в графический интерфейс ISE через локального администратора и использую эту учетную запись для попытки извлечь группу, которая не находится в Azure. Я считаю, что ваше решение решит эту проблему, но мне не ясно, как извлечь группу AD, доступную только в облаке, чтобы я мог использовать пользователя в этой группе для входа в ISE. Пожалуйста, объясните, как я могу это сделать... Я уже несколько дней не могу решить эту проблему. Спасибо.

[Greg Gibbs]

Я не совсем понимаю ваш вопрос. Entra ID Connector синхронизирует только традиционные группы Active Directory с Entra ID. Синхронизация пользователей/групп, созданных непосредственно в Entra ID, обратно в Active Directory не осуществляется.

[JustTakeTheFirstStep]

@Greg Gibbs
Я пытаюсь интегрировать ISE с ENTRA ID.
Если я использую AADDS (Entra Domain Service), сможет ли клиент использовать MSCHAPv2?

[ahollifield]

Нет. Также не используйте MS-Chapv2 в 2026 году.

[Greg Gibbs]

Entra DS по сути является AD в облаке, поэтому теоретически ISE должен быть способен интегрироваться с ним так же, как и AD. Если это так, то вы должны иметь возможность использовать PEAP (MSCHAPv2) так же, как и с AD. Я не имел возможности протестировать интеграцию с Entra DS из-за ограничений по подписке/лицензированию, поэтому все это только теория. Однако, как ранее заявил
@ahollifield
, MSCHAPv2 следует избегать. Он использует несовершенное шифрование, и MS активно работает над его отказом в пользу более безопасных методов, таких как EAP-TLS.