Konfigurieren des Juniper Identity Management-Service zum Abrufen von Benutzeridentitätsinformationen

Übersicht

Juniper Identity Management Service (JIMS) dient sowohl als Software-Agent als auch als Repository zum Sammeln von Benutzernamen, Geräteidentitäten und Gruppeninformationen aus verschiedenen Quellen. JIMS lässt sich nahtlos in Microsoft Active Directory und Microsoft Exchange Server integrieren.

Bei Geräten der SRX- oder NFX-Serie spielt JIMS eine entscheidende Rolle beim Abrufen von Benutzeridentitätsinformationen wie LDAP. Durch die Konfiguration der erweiterten Benutzerabfragefunktion erhält das Gerät folgende Möglichkeiten:

Wenn Sie die erweiterte Benutzerabfragefunktion konfigurieren, wird das Gerät:

• Fragen Sie JIMS nach Identitätsinformationen ab.

• Füllen Sie die Authentifizierungstabelle für das Identitätsmanagement mit den von JIMS erfassten Informationen.

• Verwenden Sie die ausgefüllte Authentifizierungstabelle für das Identitätsmanagement, um Benutzer oder Geräte zu authentifizieren, die Zugriff auf geschützte Ressourcen suchen.

In Fällen, in denen JIMS keine Informationen für einen bestimmten Benutzer hat, können Sie diese Informationen per Push auf das Gerät übertragen. Dazu muss sich der Benutzer jedoch zunächst über das Captive Portal des Geräts authentifizieren.

Darüber hinaus ermöglicht die erweiterte Abfragefunktion dem Gerät, Authentifizierungseinträge für Benutzer, die keine vorhandenen Einträge in JIMS haben, sich aber erfolgreich über das Captive Portal authentifiziert haben, an den JIMS-Server zu übertragen.

Zu den Benutzeridentitätsinformationen, die von JIMS als Antwort auf Geräteabfragen bereitgestellt werden, gehören:

• IP-Adresse des Geräts des Benutzers.

• Benutzername.

• Domäne, zu der das Gerät des Benutzers gehört.

• Rollen, denen der Benutzer angehört, z. B. mycompany-pc, CEO, benutzerauthentifiziert.

• Onlinestatus des Geräts und dessen Status, z. B. "Fehlerfrei".

• Endbenutzerattribute, z. B. Geräteidentität, Wert (Gerätename) und Gruppen, zu denen das Gerät gehört.

Herstellen einer Verbindung zu JIMS zum Abrufen von Informationen zur Benutzeridentität

Um Benutzeridentitätsinformationen von JIMS zu erhalten, kann das Gerät JIMS entweder im Batch-Modus für Benutzergruppen oder einzeln für bestimmte Benutzer abfragen. Für die Abfrage von JIMS ist der Aufbau einer HTTPS-Verbindung zwischen dem Gerät und dem JIMS-Server erforderlich. Es ist wichtig zu beachten, dass HTTP-Verbindungen nur zu Debugging-Zwecken verwendet werden.

Zum Definieren der Verbindung müssen die folgenden Informationen konfiguriert werden:

• Verbindungsparameter.

• Authentifizierungsinformationen für das Gerät zur Authentifizierung bei JIMS.

  Das Gerät erhält ein Zugriffstoken, nachdem es sich beim JIMS-Server authentifiziert hat. Das Gerät muss dieses Token verwenden, um JIMS nach Benutzerinformationen abzufragen.

Nach erfolgreicher Authentifizierung beim JIMS-Server erhält das Gerät ein Zugriffstoken, mit dem es JIMS nach Benutzerinformationen abfragen muss. Sie können diese Verbindungsinformationen auch für einen sekundären Sicherungsserver konfigurieren.

Ab Junos OS Version 18.3R1 unterstützen primäre und sekundäre JIMS-Server zusätzlich zur vorhandenen IPv4-Adressunterstützung IPv6-Adressen. Das Gerät versucht zunächst, eine Verbindung mit dem primären Server herzustellen, und wechselt zum sekundären Server, wenn der Versuch fehlschlägt. Selbst wenn eine Verbindung mit dem sekundären Server besteht, überprüft das Gerät in regelmäßigen Abständen den ausgefallenen primären Server und kehrt zu ihm zurück, sobald er wieder verfügbar ist.

Ab Junos OS Version 18.1R1 können Sie eine IPv6-Adresse für die Web-API-Funktion konfigurieren, sodass JIMS eine sichere Verbindung initiieren und herstellen kann. Die Web-API unterstützt jetzt IPv6-Benutzer- oder Geräteeinträge, die von JIMS abgerufen werden. Vor Junos OS Version 18.1R1 wurden nur IPv4-Adressen unterstützt.

Abfragen von JIMS nach Informationen zur Benutzeridentität

Es gibt drei Möglichkeiten, Informationen zur Benutzeridentität von JIMS abzurufen:

• Erste Batch-Abfrage beim Start: Wenn das Gerät gestartet wird, sendet es eine Batch-Abfragenachricht an JIMS, um alle verfügbaren Benutzeridentitätsinformationen für Active Directory-Benutzer basierend auf der konfigurierten Geräteverbindung zum JIMS-Server abzurufen.

• Anschließende Batch-Abfragen: Nach Erhalt der anfänglichen Benutzeridentitätsinformationen fragt das Gerät JIMS regelmäßig nach neu generierten Benutzeridentitätsinformationen ab. Sie können das Intervall zwischen diesen Abfragen konfigurieren und die Anzahl der Benutzeridentitätsdatensätze angeben, die in jeden Batch aufgenommen werden sollen. Ab Junos OS Version 18.1R1 kann das Gerät auch JIMS nach IPv6-Benutzer- oder -Geräteinformationen abfragen.

• Abfrage einzelner Benutzerinformationen: Nach Erhalt der anfänglichen Benutzeridentitätsinformationen fragt das Gerät JIMS regelmäßig nach neu generierten Benutzeridentitätsinformationen ab. Sie können das Intervall zwischen diesen Abfragen konfigurieren und die Anzahl der Benutzeridentitätsdatensätze angeben, die in jeden Batch aufgenommen werden sollen. Ab Junos OS Version 18.1R1 kann das Gerät auch JIMS nach IPv6-Benutzer- oder -Geräteinformationen abfragen.

  Wenn JIMS keinen Eintrag für die angegebene IP-Adresse enthält, antwortet es mit der HTTP 404-Meldung "Not Found".

Wenn das Gerät zum ersten Mal Benutzerinformationen von JIMS anfordert, enthält es einen Zeitstempel. Als Antwort sendet JIMS Benutzerinformationen, die bis zum angegebenen Zeitstempel zurückgehen, und fügt ein Cookie in die Antwort ein, um den Kontext anzugeben. Das Gerät schließt dieses Cookie mit nachfolgenden Abfragen anstelle eines Zeitstempels ein.

Sie können die Benutzeridentitätsinformationen in der Authentifizierungstabelle für das Identitätsmanagement, die Sie von JIMS erhalten haben, aktualisieren. Darin enthalten sind alle Informationen, die beim Gerätestart und von nachfolgenden Batch-Abfragen und individuellen IP-Abfragen bis heute automatisch empfangen werden.

Um dies zu erreichen, können Sie die Authentifizierungstabelle löschen, indem Sie die Konfiguration der erweiterten Abfragefunktion deaktivieren. Anschließend können Sie die erweiterte Abfragefunktion neu konfigurieren, um alle verfügbaren Benutzeridentitäten abzurufen.

Ab Junos OS Version 18.1R1 können Geräte die Authentifizierungstabelle des Identitätsmanagements nach Informationen durchsuchen, die auf IPv6-Adressen basieren, wodurch die bisherige Unterstützung für IPv4-Adressen erweitert wird. Das Gerät unterstützt auch die Verwendung von IPv6-Adressen, die Quellidentitäten in Sicherheitsrichtlinien zugeordnet sind. Datenverkehr, der mit einem IPv4- oder IPv6-Eintrag in der Tabelle übereinstimmt, unterliegt Richtlinien, die den Zugriff entsprechend zulassen oder verweigern.

Ab Junos OS Version 20.2R1 können Sie Benutzeridentitätsinformationen wie angemeldete Benutzer, verbundene Geräte und Gruppenlisten sowohl in JIMS- (Juniper Identity Management Service) als auch in Active Directory (AD)-Domänen suchen und anzeigen. Die Firewall der SRX-Serie nutzt JIMS, um Informationen zur Benutzeridentität abzurufen. Sie können nach Benutzeridentitätsinformationen suchen und die Authentifizierungsquelle validieren, um Zugriff auf das Gerät zu gewähren. Darüber hinaus können Sie JIMS auffordern, die Gruppenliste für einen einzelnen Benutzer aus der Active Directory-Domäne abzurufen.

Filter

Die erweiterte Abfragefunktion bietet eine optionale Filterfunktion, die eine granulare Kontrolle über die Benutzerinformationsdatensätze ermöglicht, die als Antwort auf Abfragen zurückgegeben werden. Sie können Filter basierend auf IP-Adressen und Domänen konfigurieren. Mit Filtern können Sie spezifisch definieren, welche Benutzerinformationen JIMS in die Abfrageantworten aufnehmen soll.

Filter können konfiguriert werden mit:

• Ein Bereich von IP-Adressen. Sie können einen Bereich von IP-Adressen angeben für:

  • Benutzer, deren Informationen Sie erhalten möchten.

  • Benutzer, über die Sie keine Informationen wünschen.

  Ab Junos OS Version 18.3R1 unterstützen Firewalls der SRX-Serie IPv6-Adressen, um die Filter zusätzlich zu den vorhandenen IPv4-Adressen auf der Grundlage von IP-Adressen zu konfigurieren.

  Sie verwenden Adressbücher, um die IP-Adressfilter zu erstellen. Sie konfigurieren Adressgruppen, von denen jede nicht mehr als zwanzig IP-Adressen enthalten darf, um in das Adressbuch aufgenommen zu werden.

• Domänennamen.

  Sie können die Namen von bis zu fünfundzwanzig Active Directory-Domänen angeben.

Sie können Filter erstellen, die alle drei Spezifikationen enthalten: einzuschließende IP-Adressbereiche, auszuschließende IP-Adressbereiche und einen oder mehrere Domänennamen.

Filter sind kontextspezifisch und ermöglichen unterschiedliche Filterkonfigurationen für unterschiedliche Anforderungen. Wenn Sie die Filterkonfiguration ändern, gilt der neue Filter ausschließlich für nachfolgende Abfragen und wirkt sich nicht auf vorherige Abfrageanforderungen aus.

Vorsichtsmaßnahmen und Einschränkungen

Die folgenden Warnungen, Vorbehalte und Einschränkungen sind mit der erweiterten Abfragefunktion verbunden:

• Bevor Sie diese Funktion verwenden können, müssen die Optionen active-directory-access und authentication-source in der Benutzeridentifikationshierarchie deaktiviert werden. Wenn die Active Directory-Authentifizierung oder die ClearPass-Abfrage- und Web-API-Funktionen konfiguriert und festgeschrieben sind, kann diese Konfiguration nicht angewendet werden.

• Das Lesen und Verarbeiten von Benutzeridentitätsdatensätzen kann sich auf die CPU-Auslastung und den Ressourcenverbrauch auf dem Gerät auswirken. Diese Auswirkungen können mehrere Minuten anhalten.

• Wenn Informationen zur Benutzeridentität aus JIMS gelöscht werden oder aus anderen Gründen fehlen oder verzögert werden, erhält das Gerät möglicherweise ungenaue IP-Adress- und Benutzerzuordnungsinformationen.

• Wenn die Firewall-Authentifizierungsfunktion des Geräts Einträge für Benutzer, die erfolgreich über das Captive Portal authentifiziert wurden, an JIMS sendet, wird der Timeout-Status des Authentifizierungseintrags für den Juniper Identity Management Service-Server nicht aktualisiert.

• Die Generierung von Authentifizierungseinträgen in der Authentifizierungstabelle für das Identitätsmanagement kann durch die Antwortzeit des JIMS-Servers oder die Anzahl der abzurufenden Benutzeridentitätsdatensätze beeinflusst werden.

• Das Ändern der Konfiguration eines Filters gilt nur für nachfolgende Abrufe von Benutzeridentitäten. Sie wirkt sich nicht auf zuvor abgerufene Identitäten aus.

• Die Adressbereiche in den Filtern können nur mit IPv4-Adressen konfiguriert werden. Ab Junos OS Version 18.3R1 unterstützt die Firewall der SRX-Serie auch IPv6-Adressen für die Filterkonfiguration.

Diese Details vermitteln ein umfassendes Verständnis des Juniper Identity Management Service (JIMS) und seiner Funktionen zum Abrufen von Informationen zur Benutzeridentität, einschließlich der Verwendung erweiterter Abfragefunktionen, des Verbindungsaufbaus und der Anwendung von Filtern.

Vorsichtsmaßnahmen und Einschränkungen

Die folgenden Warnungen und Einschränkungen gelten für die UPN-Unterstützungsfunktion:

• sAMAccountName sollte in der Suchfilteroption für das Zugriffsprofil konfiguriert werden, um Namenskonflikte zwischen cn und UPN eines anderen Benutzers zu vermeiden.

• Das UPN-Suffix kann sich von dem Domänennamen unterscheiden, zu dem der Benutzer gehört. In solchen Fällen muss eine zusätzliche Quellidentität der Sicherheitsrichtlinie für den Domänennamen hinzugefügt werden.

• UPN-Unterstützung ist nur verfügbar, wenn ein LDAP-Zugriffsprofil für die Firewall-Authentifizierung konfiguriert wird.