documentsn.com

Konfigurieren von ISE 2.1 mit MS SQL mithilfevon erwendete KomponentenKonfigurierenSchritt 1: MS SQL-BasiskonfigurationSchritt 2: ISE - BasiskonfigurationSchritt 3: Benutzerauthentifizierung konfigurierenSchritt 4: Gruppenabruf konfigurierenSchritt 5: Konfigurieren des Abrufen von AttributenFehlerbehebungEinführungIn diesem Dokument wird beschrieben, wie Identity Services Engine (ISE) mit Microsoft StandardQuery Language (SQL) Server für die ISE-Authentifizierung mithilfe von Open DatabaseConnectivity (ODBC) konfiguriert wird.Hinweis: Für die Open Database Connectivity (ODBC)-Authentifizierung muss die ISE einNur-Text-Benutzerkennwort abrufen können. Das Kennwort kann in der Datenbankverschlüsselt werden, muss jedoch von der gespeicherten Prozedur entschlüsselt werden.VoraussetzungenAnforderungenCisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen: Datenbank- und ODBC-KonzepteMicrosoft SQL ServerVerwendete KomponentenDie Informationen in diesem Dokument basieren auf den folgenden Software- undHardwareversionen: Identity Services Engine 2.1MSSQL Server 2008 R2

KonfigurierenSchritt 1: MS SQL-BasiskonfigurationZu den Konfigurationsschritten gehören das Erstellen einer Datenbank und eines Benutzers fürdie ISE mit Zugriffsberechtigungen auf diese Datenbank.Hinweis: Die ISE unterstützt nur die SQL-Authentifizierung, nicht das Windows-Konto. WennSie den Authentifizierungsmodus ändern müssen, finden Sie weitere Informationen unterChange Server Authentication Mode (Serverauthentifizierungsmodus ändern).1. Öffnen Sie SQL Server Management Studio (Startmenü Microsoft SQL Server 2008 R2), understellen Sie eine Datenbank:2. Lassen Sie die Standardoptionen unverändert, oder passen Sie die Datenbankeinstellungenwie in diesem Bild gezeigt an:

3. Erstellen Sie einen Benutzer, und legen Sie die Berechtigungen wie in den folgenden Bilderngezeigt fest:

Schritt 2: ISE - BasiskonfigurationErstellen einer ODBC-Identitätsquelle unter Administration External Identity Source ODBC undTestverbindung:

Schritt 3: Benutzerauthentifizierung konfigurierenDie ISE-Authentifizierung an ODBC verwendet gespeicherte Prozeduren.Die gespeicherteProzedur für die Authentifizierung gibt Ergebnismenge mit dieser Syntax zurück:WertErgebnisGruppe (nur zur Kompatibilität mitACS er oder varchar(255)varchar(255)varchar(255)Weitere Verfahren finden Sie im Cisco Identity Services Engine 2.1-Administrationsleitfaden.Tipp: Sie können benannte Parameter anstelle von Resultset zurückgeben. Es ist nur einanderer Ausgabetyp, die Funktionalität ist die gleiche.1. Navigieren Sie zu Optionen, und deaktivieren Sie das Kontrollkästchen Speichern vonÄnderungen, die eine Neuerstellung der Tabelle erfordern, verhindern (optional):

2. Erstellen Sie die Tabelle. Stellen Sie sicher, dass Sie die Identitätseinstellungen für denPrimärschlüssel festlegen. Um user id als Primärschlüssel festzulegen, klicken Sie mit der rechtenMaustaste auf den Spaltennamen:Letzte SQL-Version:CREATE TABLE [dbo].[ISE Users]([user id] [int] IDENTITY(1,1) NOT NULL,[username] [varchar](max) NOT NULL,[password] [varchar](max) NOT NULL,

CONSTRAINT [PK ISE Users] PRIMARY KEY CLUSTERED([user id] ASC)WITH (PAD INDEX OFF, STATISTICS NORECOMPUTE OFF, IGNORE DUP KEY OFF, ALLOW ROW LOCKS ON, ALLOW PAGE LOCKS ON) ON [PRIMARY]) ON [PRIMARY]3. Führen Sie diese Abfrage aus, um einen Benutzer einzufügen:insert into ISE Users(username,password) values('odbcuser1','odbcpass');4. Erstellen Sie eine Prozedur für die unverschlüsselte Kennwortauthentifizierung (für PAP, EAPGTC innere Methode, TACACS):CREATE PROCEDURE [dbo].[ISEAuthUserPlainReturnsRecordset]@username varchar(255), @password varchar(255)ASBEGINIF EXISTS( SELECT usernameFROM ISE UsersWHERE username @usernameAND password @password )SELECT 0,11,'This is a very good user, give him all access','No Error'FROM ISE UsersWHERE username @usernameELSESELECT 3,0,'odbc','ODBC Authen Error'END5. Erstellen Sie eine Prozedur zum Abrufen von unverschlüsselten Kennwörtern (für CHAP,MSCHAPv1/v2, EAP-MD5, LEAP, EAP-MSCHAPv2 innere Methode, TACACS):CREATE PROCEDURE [dbo].[ISEFetchPasswordReturnsRecordset]@username varchar(255)ASBEGINIF EXISTS( SELECT usernameFROM ISE UsersWHERE username @username)SELECT 0,11,'This is a very good user, give him all access','No Error',passwordFROM ISE UsersWHERE username @usernameELSESELECT 3,0,'odbc','ODBC Authen Error'END6. Erstellen Sie eine Prozedur zur Prüfung des Benutzernamens oder des Rechners (für MABverwendet, schnelle Wiederverbindung von PEAP, EAP-FAST und EAP-TTLS):CREATE PROCEDURE [dbo].[ISEUserLookupReturnsRecordset]@username varchar(255)

ASBEGINIF EXISTS( SELECT usernameFROM ISE UsersWHERE username @username)SELECT 0,11,'This is a very good user, give him all access','No Error'FROM ISE UsersWHERE username @usernameELSESELECT 3,0,'odbc','ODBC Authen Error'END7. Testerstellte Prozeduren:

Testen Sie andere Verfahren auf die gleiche Weise.8. Konfigurieren von Prozeduren auf der ISE und Speichern:9. Erstellen Sie eine einfache Authentifizierungsregel mit ODBC, und testen Sie sie:b3560#test aaa group ISE236 odbcuser1 odbcpass legacyAttempting authentication test to server-group ISE236 using radiusUser was successfully authenticated.

Schritt 4: Gruppenabruf konfigurieren1. Erstellen Sie Tabellen mit Benutzergruppen und eine andere Tabelle für die Many-to-ManyZuordnung:CREATE TABLE [dbo].[Groups]([Group ID] [int] IDENTITY(1,1) NOT NULL,[Group Name] [varchar](max) NOT NULL,[Group Desc] [text] NOT NULL,CONSTRAINT [PK Groups] PRIMARY KEY CLUSTERED([Group ID] ASC)WITH (PAD INDEX OFF, STATISTICS NORECOMPUTE OFF, IGNORE DUP KEY OFF, ALLOW ROW LOCKS ON, ALLOW PAGE LOCKS ON) ON [PRIMARY]) ON [PRIMARY] TEXTIMAGE ON [PRIMARCREATE TABLE [dbo].[User Groups Mapping]([user id] [int] NOT NULL,[group id] [int] NOT NULL) ON [PRIMARY]ALTER TABLE dbo.User Groups Mapping ADD CONSTRAINTFK User Groups Mapping Groups FOREIGN KEY(group id) REFERENCES dbo.Groups(Group ID) ON UPDATE CASCADEON DELETE CASCADEGOALTER TABLE dbo.User Groups Mapping ADD CONSTRAINTFK User Groups Mapping ISE Users FOREIGN KEY(

user id) REFERENCES dbo.ISE Users(user id) ON UPDATE CASCADEON DELETE CASCADE2. Fügen Sie Gruppen und Zuordnungen hinzu, sodass ODBCUSER1 zu beiden Gruppen gehört:INSERT [dbo].[Groups] ([Group ID],Nice Group1')INSERT [dbo].[User Groups Mapping]INSERT [dbo].[Groups] ([Group ID],Nice Group2')INSERT [dbo].[User Groups Mapping][Group Name], [Group Desc]) VALUES (1, N'ODBCGroup1', N'My([user id], [group id]) VALUES (1, 1)[Group Name], [Group Desc]) VALUES (2, N'ODBCGroup2', N'My([user id], [group id]) VALUES (1, 2)3. Vorgang zum Abrufen von Gruppen erstellen:CREATE PROCEDURE [dbo].[ISEGroupsRetrieval]@username varchar(255), @result int outputASBEGINif exists (select * from ISE Users where username @username)beginset @result 0select Group Name from Groups where group id in (select group ID from User Groups Mapping whereUser Groups Mapping.USER ID IN (select USER ID from ISE Users where username @username ) )endelseset @result 1END4. Zuordnen zu Fetch-Gruppen:5. Abrufen der Gruppen und Hinzufügen dieser Gruppen zur ODBC-Identitätsquelle:

6. Fügen Sie einen anderen Benutzer hinzu, der keiner Gruppe angehört:insert into ISE Users(username,password) values('odbcuser2','odbcpass');7. Erstellen eines spezifischen Policy Set und Tests:b3560#test aaa group ISE236 odbcuser2 odbcpass legacyAttempting authentication test to server-group ISE236 using radiusUser authentication request was rejected by server.b3560#test aaa group ISE236 odbcuser1 odbcpass legacyAttempting authentication test to server-group ISE236 using radiusUser was successfully authenticated.

Schritt 5: Konfigurieren des Abrufen von Attributen1. Um dieses Beispiel zu vereinfachen, wird eine flache Tabelle für Attribute verwendet:CREATE TABLE [dbo].[User Attributes]([user id] [int] NOT NULL,[Attribute Name] [varchar](max) NOT NULL,[Attribute Value] [varchar](max) NOT NULL) ON [PRIMARY]GOALTER TABLE [dbo].[User Attributes] WITH CHECK ADD CONSTRAINT [FK User Attributes ISE Users]FOREIGN KEY([user id])REFERENCES [dbo].[ISE Users] ([user id])ON UPDATE CASCADEON DELETE CASCADEGO2. Erstellen Sie ein Attribut für einen der Benutzer:INSERT [dbo].[User Attributes] ([user id], [Attribute Name], [Attribute Value]) VALUES (2,N'AwsomenessLevel', N'100')INSERT [dbo].[User Attributes] ([user id], [Attribute Name], [Attribute Value]) VALUES (2,N'UserType', N'admin')3. Erstellen einer gespeicherten Prozedur:CREATE PROCEDURE [dbo].[ISEAttrsRetrieval]@username varchar(255), @result int outputASBEGINif exists (select * from ISE Users where username @username)begin

set @result 0select attribute name , attribute value from user attributes where USER ID in(SELECT USER IDfrom ISE Users where username @username)endelseset @result 1END4. Zuordnen zu Attributen abrufen:5. Abrufen der Attribute:

6. Ändern Sie die ISE-Regeln:FehlerbehebungWenn die Verbindung nicht erfolgreich hergestellt werden kann, überprüfen Sie dasEreignisprotokoll von Windows. Verwenden Sie bei der ISE den Befehl show logging applicationprt-management.log tail beim Verbindungsversuch.Beispiel für einen schlechten Authentifizierungsmodus:bise236/admin# sh logg app prrt-management.log tail2016-06-08 09:03:59,822 WARN SSQLServerDbAccess -:bastien::- Connection to ODBC DB failed.Exception: com.microsoft.sqlserver.jdbc.SQLServerException: Login failed for user 'babaland\administrator'. n: Login failed for user r(SQLServerException.java:216)at (tdsparser.java:254)at rser.java:84)at endLogon(SQLServerConnection.java:2908)at ogon(SQLServerConnection.java:2234)at ccess lserver.jdbc.SQLServerConnection 20)at on.java:1715)at onnectHelper(SQLServerConnection.java:1326)

Beispiel für Benutzer, die keine Berechtigungen zum Öffnen der Datenbank besitzen:2016-06-08 09:13:57,842 WARN SSQLServerDbAccess -:bastien::- Connection to ODBC DB failed.Exception: com.microsoft.sqlserver.jdbc.SQLServerException: Cannot open database "ISEDB"requested by the login. The login failed. n: Cannot open database "ISEDB" requested by thelogin. The login failed. :216)at (tdsparser.java:254)at rser.java:84)at endLogon(SQLServerConnection.java:2908)at ogon(SQLServerConnection.java:2234)at ccess 000(SQLServerConnection.java:41)