Configurar ISE 2.2 para a integração com server de MySQL

Transcrição

1 Configurar ISE 2.2 para a integração com server de MySQL Índice Introdução Pré-requisitos Requisitos Componentes Utilizados Informações de fundo Configurar Diagrama de Rede Configurações 1. Configurar MySQL em Ubuntu: 2. Configurar o base de dados e as tabelas: 3. Configurar procedimentos armazenados 4. Integre o ISE com MySQL: 5. Configurar políticas da authentication e autorização: Verificar Troubleshooting Debuga no ISE Informação relacionada Introdução Este documento descreve como configurar um Cisco Identity Services Engine (ISE) 2.2 para a integração com origem externa da conectividade de bases de dados aberto (ODBC) de MySQL. Este documento é válido para as instalações que usam MySQL como a fonte externo da identidade para a authentication e autorização ISE. Pré-requisitos Requisitos A Cisco recomenda que você tenha conhecimento destes tópicos: Configuração do Identity Services Engine (ISE) Configuração básica de MySQL Componentes Utilizados A informação este documento é baseada nestes versão de software e hardware: Versão 2.2 de Cisco ISE

2 Ubuntu Linux com MySQL instalou Versão do controlador de LAN do Cisco Wireless (WLC) Versão 7x64 de Microsoft Windows As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando. Informações de fundo O ISE 2.2 apoia origens externa múltiplos ODBC, um deles é MySQL. Você pode usar o ODBC como a fonte externo da identidade para autenticar os usuários e os valores-limite similares ao diretório ativo (AD). A fonte da identidade ODBC pode ser usada em uma sequência da loja da identidade e para autenticações do convidado e do patrocinador. Este é motores de base de dados de uma lista apoiados em ISE 2.2: MySQL Oracle PostgreSQL Microsoft SQL server Sybase Mais informação pode ser encontrada aqui: B4875CBB47D79168E329696E2C65 Configurar Diagrama de Rede Neste exemplo de configuração, o valor-limite usa um adaptador Wireless a fim associar com a rede Wireless. O Wireless LAN (WLAN) no WLC é configurado a fim autenticar os usuários através do ISE. No ISE, MySQL é configurado como uma loja externo da identidade. Esta imagem ilustra a topologia de rede que é usada:

3 Configurações A configuração de MySQL apresentada é um exemplo. Não trate é como uma recomendação da Cisco. 1. Configurar MySQL em Ubuntu: Atualize seu sistema: sudo apt-get update sudo apt-get upgrade Instale MySQL (você deve ser alertado para uma senha para o usuário de raiz durante a instalação): sudo apt-get install mysql-server Para alcançar o base de dados de MySQL: mysql -u root -p 2. Configurar o base de dados e as tabelas: Crie o base de dados: CREATE DATABASE demo_db; Query OK, 1 row affected (0.00 sec) use demo_db; Reading table information for completion of table and column names You can turn off this feature to get a quicker startup with -A Database changed Crie o usuário do base de dados e conceda-lhe privilégios: CREATE USER 'cisco' IDENTIFIED BY 'cisco'; GRANT USAGE ON *.* TO 'cisco'@'%'; GRANT ALL PRIVILEGES ON `demo_db`.* TO 'cisco'@'%'; GRANT SELECT ON *.* TO 'cisco'@'%'; Crie a tabela dos usuários: CREATE TABLE users ( -> `user_id` int(10) unsigned NOT NULL AUTO_INCREMENT, -> `username` varchar(50) NOT NULL, -> `password` varchar(50) NOT NULL, -> PRIMARY KEY (`user_id`), -> UNIQUE KEY `username_unique` (`username`) -> ) ENGINE=InnoDB DEFAULT CHARSET=utf8; Query OK, 0 rows affected (0.01 sec) Crie usuários e adicionar-los na tabela: INSERT INTO users -> (user_id, username, password) -> VALUES -> (1, "alice", "Krakow123"); Query OK, 1 row affected (0.00 sec)

4 Você pode adicionar outros usuários similarmente e alistar o índice da tabela (a mesma maneira que usuários, adiciona o MAC address para a senha de autenticação MAB pode ficar vazia): select * from users; user_id username password alice Krakow123 2 bob Krakow123 3 oscar Krakow Crie a tabela dos grupos: CREATE TABLE `groups` ( -> `group_id` int(10) unsigned NOT NULL AUTO_INCREMENT, -> `groupname` varchar(50) NOT NULL, -> PRIMARY KEY (`group_id`), -> UNIQUE KEY `groupname_unique` (`groupname`) -> ) ENGINE=InnoDB DEFAULT CHARSET=utf8; Query OK, 0 rows affected (0.01 sec) Crie grupos e adicionar-los na tabela: INSERT INTO groups -> (group_id, groupname) -> VALUES -> (1, "everyone"); Query OK, 1 row affected (0.00 sec) Você pode adicionar outros grupos similarmente e alistar o índice da tabela: select * from groups; group_id groupname contractor 2 employee 1 everyone Crie a tabela para mapeamentos entre usuários e grupos CREATE TABLE `user_group` ( -> `user_id` int(10) unsigned NOT NULL, -> `group_id` int(10) unsigned NOT NULL, -> PRIMARY KEY (`user_id`,`group_id`), -> KEY `group_id` (`group_id`), -> CONSTRAINT `user_group_ibfk_1` FOREIGN KEY (`user_id`) REFERENCES `users` (`user_id`) -> ON DELETE CASCADE, -> CONSTRAINT `user_group_ibfk_2` FOREIGN KEY (`group_id`) REFERENCES `groups` -> (`group_id`) ON DELETE CASCADE ) ENGINE=InnoDB DEFAULT CHARSET=utf8; Query OK, 0 rows affected (0.01 sec) Encha a tabela para mapeamentos entre usuários e grupos

5 INSERT INTO user_group -> (user_id, group_id) -> VALUES -> (1, 1); Query OK, 1 row affected (0.00 sec) Você pode adicionar outros mapeamentos similarmente e alistar o índice da tabela: select * from user_group; user_id group_id rows in set (0.00 sec) 3. Configurar procedimentos armazenados Você tem que configurar os procedimentos armazenados exigidos para autenticar usuários contra uma fonte da identidade ODBC. As tarefas que são executadas pelo procedimento variam, com base no protocolo de autenticação. O ISE apoia três tipos diferentes de verificação credencial contra a loja externo ODBC. Você precisa de configurar o procedimento armazenado separado para cada tipo de verificação. O ISE chama o procedimento armazenado apropriado com parâmetros de entrada e recebe a saída. O base de dados pode retornar um recordset ou um grupo de parâmetros Nomeados em resposta a uma pergunta ODBC. Autenticação de senha do texto simples na base de dados ODBC - A autenticação para o PAP e o PEAP ocorre dentro do base de dados. Se o procedimento encontra uma combinação de nome de usuário/senha que combine a entrada, o usuário é autenticado com sucesso. Senha do texto simples que busca da base de dados ODBC - A autenticação para a RACHADURA, o MS-CHAPv1/v2, o EAP-MD5, o PULO, e o EAP-MSCHAPv2 (como o método interno do PEAP ou EAP-FAST) ocorre dentro de Cisco ISE (o ISE verifica a senha fornecida pelo usuário e a compara com a senha recebida do procedimento armazenado). Os retornos de procedimento armazenado a senha se o username está correto. Se o username não é encontrado, retorna um código de erro. Consulta - A autenticação para o MAB ocorre dentro do base de dados. Se o username exigido é encontrado, os parâmetros relevantes estão retornados ao ISE. Cada um daqueles procedimentos deve ser definido com o delimitador para que MySQL aceite a sintaxe da pergunta: DELIMITER // CREATE DEFINER=`root`@`localhost` PROCEDURE `ISEGroups`(username varchar(64), OUT result INT) begin CASE username WHEN '*' THEN select distinct groupname from groups; ELSE select groupname from user_group inner join users ON users.user_id = user_group.user_id inner join groups ON groups.group_id = user_group.group_id where users.username = username;

6 END CASE; SET result = 0; end //DELIMITER // CREATE DEFINER=`root`@`localhost` PROCEDURE `ISEAuthUserPlainReturnsRecordset`(username varchar(64), password varchar(255)) begin IF EXISTS (select * from users where users.username = username and users.password = password ) THEN select 0,11,'This is a very good user, give him all access','no error'; ELSE select 3, 0, 'odbc','odbc Authen Error'; END IF; end //DELIMITER // CREATE DEFINER=`root`@`localhost` PROCEDURE `ISEFetchPasswordReturnsRecordset`(username varchar(64)) begin IF EXISTS (select * from users where users.username = username) THEN select 0,11,'This is a very good user, give him all access','no error',password from users where users.username = username; ELSE select 3, 0, 'odbc','odbc Authen Error'; END IF; end //DELIMITER // CREATE DEFINER=`root`@`localhost` PROCEDURE `ISEUserLookupReturnsRecordset`(username varchar(64)) begin IF EXISTS (select * from users where users.username = username) THEN select 0,11,'This is a very good user, give him all access','no error'; ELSE select 3, 0, 'odbc','odbc Authen Error'; END IF; end // 4. Integre o ISE com MySQL: Use a informação mencionada abaixo a fim integrar MySQL com Cisco ISE. Navegue à administração > ao Gerenciamento de identidades > fontes externos da identidade > ODBC e adicionar a loja nova: Use o endereço IP de Um ou Mais Servidores Cisco ICM NT de Ubuntu que é base de dados de MySQL running como um hostname/endereço IP de Um ou Mais Servidores Cisco ICM NT abaixo. Especifique o tipo de base de dados (MySQL é usado nesta situação), da inserção de

7 nome do base de dados igualmente e de credenciais do usuário do base de dados que foram criados mais cedo: Especifique os nomes dos procedimentos que foram criados em MySQL você necessidade de ser cuidadosos com formato do MAC address (neste exemplo foi mudado ao formato diferente): Uma vez que feito, vá para trás à aba e à conexão de teste da conexão:

8 Busque atributos de MySQL, clique sobre a aba dos atributos: Busque a grupos a mesma maneira:

9 5. Configurar políticas da authentication e autorização: Configurar o ISE para autenticar e autorizar usuários do base de dados de MySQL. Navegue à política > à autenticação e a política > a autorização:

10 Verificar Dois fluxos da autenticação foram testados: PEAP-MSCHAPv2 e MAB. Alice é parte de grupo do empregado em MySQL, Bob é parte de grupo de contratante: Troubleshooting Debuga no ISE A fim permitir debuga no ISE, navegam à administração > ao sistema > registrando > debugam a configuração do log, nó seleto PSN e mudam o log em nível do componente da ODBCidentificação-loja PARA DEBUGAR:

11 Logs a ser verificados - prrt-server.log e prrt-management.log. Você pode atá-los diretamente do CLI do ISE: cauda de registro de prrt-management.log do aplicativo da mostra vchrenek-ise22-1/admin# Durante a autenticação do prumo do usuário, o ISE tem que buscar a senha do texto simples e depois do procedimento armazenado é ISEFetchPasswordReturnsRecordset usado: :13:37,565 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- ODBC ID Store Operation: Fetch Plain Text Password. Username=bob, SessionID=0a3e a8487f :13:37,566 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: :13:37,567 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - get connection :13:37,567 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - use existing connection :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - connections in use: :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Fetch plain text password :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Prepare stored procedure call, procname=isefetchpasswordreturnsrecordset :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Using recordset to obtain stored procedure result values :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Text: {call ISEFetchPasswordReturnsRecordset(?)} :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Setup stored procedure input parameters, username=bob :13:37,568 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Execute stored procedure call :13:37,571 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Process stored procedure results :13:37,571 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Obtain stored procedure results from recordset :13:37,571 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Received result recordset, number of columns= :13:37,571 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Results successfully parsed from recordset :13:37,572 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - release connection :13:37,572 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - connections in use: :13:37,572 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- Call to ODBC DB succeeded :13:37,572 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.odbcauthresult -:::- Authentication result: code=0, Conection succeeded=false, odbcdberrorstring=no error, odbcstoredprocedurecustomererrorstring=null, accountinfo=this is a very good user, give him all

12 access, group=11 Desde que o ISE tem que verificar a atribuição do grupo ODBC, tem que recuperar os grupos: :13:37,572 DEBUG [Thread-493][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: :13:37,728 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- ODBC ID Store Operation: Get all user groups. Username=bob, SessionID=0a3e a8487f :13:37,728 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- ODBC ID Store Operation: Fetch user groups. Username=bob, SessionID=0a3e a8487f :13:37,728 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: :13:37,729 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - get connection :13:37,729 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - use existing connection :13:37,729 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - connections in use: :13:37,729 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Fetch user groups :13:37,729 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Prepare stored procedure call, procname=isegroups :13:37,729 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Text: {call ISEGroups(?,?)} :13:37,733 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Setup stored procedure input parameters, username=bob :13:37,733 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Execute stored procedure call Process stored procedure results Received result recordset, total number of columns=1 According to column number expect multiple rows (vertical attributes/groups retured result) Fetched data: ExternalGroup=everyone Fetched data: ExternalGroup=contractor Results successfully parsed from recordset Result code indicates success :13:37,740 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - release connection :13:37,740 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - connections in use: :13:37,740 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- Call to ODBC DB succeeded :13:37,740 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: ID Store Operation: Get all user groups. Got groups... ID Store Operation: Get all user groups. Got groups(0) = everyone ID Store Operation: Get all user groups. Setting Internal groups(0) = everyone ID Store Operation: Get all user groups. Got groups(1) = contractor ID Store Operation: Get all user groups. Setting Internal groups(1) = contractor ID Store Operation: Get all user groups. Username=bob, ExternalGroups=[everyone, contractor] ID Store Operation: Fetch user attributes. Username=bob, SessionID=0a3e a8487f

13 :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - get connection :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - use existing connection :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - connections in use: 1 O mesmo aplica-se para atributos: :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Fetch user attributes :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Prepare stored procedure call, procname=iseattrsh :13:37,741 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Text: {call ISEAttrsH(?,?)} :13:37,745 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Setup stored procedure input parameters, username=bob :13:37,746 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnection -:::- Execute stored procedure call Process stored procedure results Received result recordset, total number of columns=3 According to column number expect multiple columns (hotizontal attributes/groups retured result) Fetched data: eye_color=green Fetched data: floor=1 Fetched data: is_certified=true Results successfully parsed from recordset Result code indicates success :13:37,749 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - release connection :13:37,749 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcconnectionpool - :::- OdbcConnectionPool - connections in use: :13:37,749 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- Call to ODBC DB succeeded :13:37,749 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.customerlog -:::- Write customer log message: :13:37,750 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- ODBC ID Store Operation: Get all user attrs. Username=bob, Setting myodbc.eye_color to green :13:37,750 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- ODBC ID Store Operation: Get all user attrs. Username=bob, Setting myodbc.floor to :13:37,750 DEBUG [Thread-259][] cisco.cpm.odbcidstore.impl.odbcidstore -:::- ODBC ID Store Operation: Get all user attrs. Username=bob, Setting myodbc.is_certified to true Informação relacionada Suporte Técnico e Documentação - Cisco Systems Release Note ISE 2.2 Guia de instalação de hardware ISE 2.2 Guia da elevação ISE 2.2 Guia do administrador do motor ISE 2.2