用Oracle数据库配置在ISE 2.3的ODBC

Size: px

Start display at page:

Download "用Oracle数据库配置在ISE 2.3的ODBC"

敢储
5 years ago
Views:

1 用 Oracle 数据库配置在 ISE 2.3 的 ODBC 目录简介先决条件要求使用的组件配置步骤 1. Oracle 基本配置步骤 2. ISE 基本配置步骤 3. 配置用户认证步骤 4. 配置组检索步骤 5. 配置属性检索步骤 6. 配置认证 / 授权策略步骤 7. 添加 Oracle ODBC 到身份来源顺序验证 RADIUS 实际日志详细资料报表故障排除使用不正确证件错误的 DB 名字 ( 服务名称 ) 排除用户认证故障参考简介本文描述如何用 ISE 认证的 Oracle 数据库配置身份服务引擎 (ISE) 使用开放数据库连接 (ODBC) 开放数据库连接 (ODBC) 认证要求 ISE 能拿来一个纯文本用户密码密码在数据库被加密, 但是必须由存储过程解码先决条件要求 Cisco 建议您了解以下主题 : 思科身份服务引擎 2.3 数据库和 ODBC 概念 Oracle 使用的组件本文档中的信息基于以下软件和硬件版本 :

2 身份服务引擎 Centos 7 Oracle 数据库 Oracle SQL 开发者配置注意 : 对待在本文提交的 SQL 存储过程作为示例这不是 Oracle DB 配置一个正式和推荐的方式保证您了解您做每次 SQL 查询的结果和影响步骤 1. Oracle 基本配置在本例中 Oracle 配置有以下参数 : DB 名字 :ORCL 服务名称 :orcl.vkumov.local 端口 :1521 ( 默认值 ) ISE 的被创建的帐户与用户名 ise 在将来发生前配置您的 Oracle 数据库步骤 2. ISE 基本配置创建一个 ODBC 身份来源在 Administration > 外部身份来源 > ODBC 和测试连接 :

3 注意 : 使用服务名称, ISE 连接到 Oracle, 因此在 Oracle 中存在, 不是 SID 应该充满的 [Database name] 字段服务名称 ( 或 DB 名字 ) 由于 Bug CSCvf06497 小点 ( ) 不能用于 [Database name] 字段此 Bug 在 ISE 2.3 被修复步骤 3. 配置用户认证对 ODBC 用途存储过程的 ISE 认证选择程序的类型是可能的在本例中我们使用 recordsets 作为回归关于其他程序, 请参见思科身份服务引擎管理员指南, 版本 2.3 提示 : 返回已命名参数而不是 resultset 是可能的它是不同种输出, 功能是相同的 1. 用用户的证件创建表确定您设了在主密钥的身份设置 -- DDL for Table USERS CREATE TABLE "ISE"."USERS" ("USER_ID" NUMBER(*,0) GENERATED ALWAYS AS IDENTITY MINVALUE 1 MAXVALUE

4 INCREMENT BY 1 START WITH 1 CACHE 20 NOORDER NOCYCLE NOKEEP NOSCALE, "USERNAME" VARCHAR2(120 BYTE), "PASSWORD" VARCHAR2(120 BYTE) ) SEGMENT CREATION IMMEDIATE PCTFREE 10 PCTUSED 40 INITRANS 1 MAXTRANS 255 NOCOMPRESS LOGGING TABLESPACE "USERS" ; -- DDL for Index USERS_PK CREATE UNIQUE INDEX "ISE"."USERS_PK" ON "ISE"."USERS" ("USER_ID") PCTFREE 10 INITRANS 2 MAXTRANS 255 TABLESPACE "USERS" ; -- Constraints for Table USERS ALTER TABLE "ISE"."USERS" MODIFY ("USER_ID" NOT NULL ENABLE); ALTER TABLE "ISE"."USERS" MODIFY ("USERNAME" NOT NULL ENABLE); ALTER TABLE "ISE"."USERS" MODIFY ("PASSWORD" NOT NULL ENABLE); ALTER TABLE "ISE"."USERS" ADD CONSTRAINT "USERS_PK" PRIMARY KEY ("USER_ID") USING INDEX PCTFREE 10 INITRANS 2 MAXTRANS 255 TABLESPACE "USERS" ENABLE; 或者从 SQL 开发者 GUI :

2. 添加用户 INSERT INTO "ISE"."USERS" (USERNAME, PASSWORD) VALUES ('alice', 'password1') INSERT INTO "ISE"."USERS" (USERNAME, PASSWORD) VALUES ('bob', 'password1') INSERT INTO "ISE".

5 2. 添加用户 INSERT INTO "ISE"."USERS" (USERNAME, PASSWORD) VALUES ('alice', 'password1') INSERT INTO "ISE"."USERS" (USERNAME, PASSWORD) VALUES ('bob', 'password1') INSERT INTO "ISE"."USERS" (USERNAME, PASSWORD) VALUES ('admin', 'password1') 3. 创建纯文本密码验证一个程序 ( 用于 PAP, EAP-GTC 内在方法, TACACS) create or replace function ISEAUTH_R ( ise_username IN VARCHAR2, ise_userpassword IN VARCHAR2 ) return sys_refcursor AS BEGIN declare c integer; resultset SYS_REFCURSOR; begin select count(*) into c from USERS where USERS.USERNAME = ise_username and USERS.PASSWORD = ise_userpassword; if c > 0 then open resultset for select 0 as code, 11, 'good user', 'no error' from dual; ELSE open resultset for select 3, 0, 'odbc','odbc Authen Error' from dual; END IF; return resultset;

6 end; END ISEAUTH_R; 4. 创建纯文本密码拿来一个程序 ( 用于 CHAP, MSCHAPv1/v2, EAP-MD5, LEAP, EAP- MSCHAPv2 内在方法, TACACS) create or replace function ISEFETCH_R ( ise_username IN VARCHAR2 ) return sys_refcursor AS BEGIN declare c integer; resultset SYS_REFCURSOR; begin select count(*) into c from USERS where USERS.USERNAME = ise_username; if c > 0 then open resultset for select 0, 11, 'good user', 'no error', password from USERS where USERS.USERNAME = ise_username; DBMS_OUTPUT.PUT_LINE('found'); ELSE open resultset for select 3, 0, 'odbc','odbc Authen Error' from dual; DBMS_OUTPUT.PUT_LINE('not found'); END IF; return resultset; end; END; 5. 创建检查用户名一个程序或机器存在 ( 使用 MAB, 快速地请重新连接 PEAP EAP-FAST 和 EAP- TTLS) create or replace function ISELOOKUP_R ( ise_username IN VARCHAR2 ) return sys_refcursor AS BEGIN declare c integer; resultset SYS_REFCURSOR; begin select count(*) into c from USERS where USERS.USERNAME = ise_username; if c > 0 then open resultset for select 0, 11, 'good user', 'no error' from USERS where USERS.USERNAME = ise_username; ELSE open resultset for select 3, 0, 'odbc','odbc Authen Error' from dual; END IF; return resultset; end; END; 6. 配置在 ISE 的程序并且保存

"GROUPS" ("GROUP_ID" NUMBER(*,0) GENERATED ALWAYS AS IDENTITY MINVALUE

7 7. 回到 Connection 选项并且点击测试连接按钮步骤 4. 配置组检索 1. 创建用于越来越多的映射的表包含用户组的和别的 -- DDL for Table GROUPS CREATE TABLE "ISE"."GROUPS" ("GROUP_ID" NUMBER(*,0) GENERATED ALWAYS AS IDENTITY MINVALUE 1 MAXVALUE INCREMENT BY 1 START WITH 1 CACHE 20 NOORDER NOCYCLE NOKEEP

8 NOSCALE, "GROUP_NAME" VARCHAR2(255 BYTE), "DESCRIPTION" CLOB ) SEGMENT CREATION IMMEDIATE PCTFREE 10 PCTUSED 40 INITRANS 1 MAXTRANS 255 NOCOMPRESS LOGGING TABLESPACE "USERS" LOB ("DESCRIPTION") STORE AS SECUREFILE ( TABLESPACE "USERS" ENABLE STORAGE IN ROW CHUNK 8192 NOCACHE LOGGING NOCOMPRESS KEEP_DUPLICATES STORAGE(INITIAL NEXT MINEXTENTS 1 MAXEXTENTS PCTINCREASE 0 ) ; -- DDL for Table USER_GROUPS_MAPPING CREATE TABLE "ISE"."USER_GROUPS_MAPPING" ("USER_ID" NUMBER(*,0), "GROUP_ID" NUMBER(*,0) ) SEGMENT CREATION IMMEDIATE PCTFREE 10 PCTUSED 40 INITRANS 1 MAXTRANS 255 NOCOMPRESS LOGGING TABLESPACE "USERS" ; -- DDL for Index GROUPS_PK CREATE UNIQUE INDEX "ISE"."GROUPS_PK" ON "ISE"."GROUPS" ("GROUP_ID") PCTFREE 10 INITRANS 2 MAXTRANS 255 TABLESPACE "USERS" ; -- DDL for Index USER_GROUPS_MAPPING_UK1 CREATE UNIQUE INDEX "ISE"."USER_GROUPS_MAPPING_UK1" ON "ISE"."USER_GROUPS_MAPPING" ("USER_ID", "GROUP_ID") PCTFREE 10 INITRANS 2 MAXTRANS 255 COMPUTE STATISTICS TABLESPACE "USERS" ; -- Constraints for Table GROUPS ALTER TABLE "ISE"."GROUPS" MODIFY ("GROUP_ID" NOT NULL ENABLE); ALTER TABLE "ISE"."GROUPS" MODIFY ("GROUP_NAME" NOT NULL ENABLE); ALTER TABLE "ISE"."GROUPS" ADD CONSTRAINT "GROUPS_PK" PRIMARY KEY ("GROUP_ID") USING INDEX PCTFREE 10 INITRANS 2 MAXTRANS 255 TABLESPACE "USERS" ENABLE;

9 -- Constraints for Table USER_GROUPS_MAPPING ALTER TABLE "ISE"."USER_GROUPS_MAPPING" MODIFY ("USER_ID" NOT NULL ENABLE); ALTER TABLE "ISE"."USER_GROUPS_MAPPING" MODIFY ("GROUP_ID" NOT NULL ENABLE); ALTER TABLE "ISE"."USER_GROUPS_MAPPING" ADD CONSTRAINT "USER_GROUPS_MAPPING_UK1" UNIQUE ("USER_ID", "GROUP_ID") USING INDEX PCTFREE 10 INITRANS 2 MAXTRANS 255 COMPUTE STATISTICS TABLESPACE "USERS" ENABLE; 从 GUI :

2. 添加组和映射, 因此阿丽斯和突然移动属于组队用户, 并且 admin 属于组队管理员 -- Adding groups INSERT INTO "ISE"."GROUPS" (GROUP_NAME, DESCRIPTION) VALUES ('Admins', 'Group for administrators') INSERT INTO "ISE".

10 2. 添加组和映射, 因此阿丽斯和突然移动属于组队用户, 并且 admin 属于组队管理员 -- Adding groups INSERT INTO "ISE"."GROUPS" (GROUP_NAME, DESCRIPTION) VALUES ('Admins', 'Group for administrators') INSERT INTO "ISE"."GROUPS" (GROUP_NAME, DESCRIPTION) VALUES ('Users', 'Corporate users') -- Alice and Bob are users INSERT INTO "ISE"."USER_GROUPS_MAPPING" (USER_ID, GROUP_ID) VALUES ('1', '2') INSERT INTO "ISE"."USER_GROUPS_MAPPING" (USER_ID, GROUP_ID) VALUES ('2', '2') -- Admin is in Admins group INSERT INTO "ISE"."USER_GROUPS_MAPPING" (USER_ID, GROUP_ID) VALUES ('3', '1') 3. 创建一个组检索程序它返回所有组, 如果用户名是 * create or replace function ISEGROUPSH ( ise_username IN VARCHAR2, ise_result OUT int ) return sys_refcursor as BEGIN declare c integer; userid integer; resultset SYS_REFCURSOR;

11 begin IF ise_username = '*' then ise_result := 0; open resultset for select GROUP_NAME from GROUPS; ELSE select count(*) into c from USERS where USERS.USERNAME = ise_username; select USER_ID into userid from USERS where USERS.USERNAME = ise_username; IF c > 0 then ise_result := 0; open resultset for select GROUP_NAME from GROUPS where GROUP_ID IN ( SELECT m.group_id from USER_GROUPS_MAPPING m where m.user_id = userid ); ELSE ise_result := 3; open resultset for select 0 from dual where 1=2; END IF; END IF; return resultset; end; END ; 4. 映射它拿来组 5. 拿来组并且添加他们到 ODBC 身份来源

"ATTRIBUTES" ("USER_ID" NUMBER(*,0), "ATTR_NAME" VARCHAR2(255 BYTE), "VALUE"

12 select 需要组并且点击 OK 键, 他们将出现在组选项步骤 5. 配置属性检索 1. 为了简化此示例, 一张平面的表使用属性 -- DDL for Table ATTRIBUTES CREATE TABLE "ISE"."ATTRIBUTES" ("USER_ID" NUMBER(*,0), "ATTR_NAME" VARCHAR2(255 BYTE), "VALUE" VARCHAR2(255 BYTE) ) SEGMENT CREATION IMMEDIATE PCTFREE 10 PCTUSED 40 INITRANS 1 MAXTRANS 255 NOCOMPRESS LOGGING TABLESPACE "USERS" ;

13 -- DDL for Index ATTRIBUTES_PK CREATE UNIQUE INDEX "ISE"."ATTRIBUTES_PK" ON "ISE"."ATTRIBUTES" ("ATTR_NAME", "USER_ID") PCTFREE 10 INITRANS 2 MAXTRANS 255 TABLESPACE "USERS" ; -- Constraints for Table ATTRIBUTES ALTER TABLE "ISE"."ATTRIBUTES" MODIFY ("USER_ID" NOT NULL ENABLE); ALTER TABLE "ISE"."ATTRIBUTES" MODIFY ("ATTR_NAME" NOT NULL ENABLE); ALTER TABLE "ISE"."ATTRIBUTES" ADD CONSTRAINT "ATTRIBUTES_PK" PRIMARY KEY ("ATTR_NAME", "USER_ID") USING INDEX PCTFREE 10 INITRANS 2 MAXTRANS 255 TABLESPACE "USERS" ENABLE; 从 GUI : 2. 创建用户的一些属性 INSERT INTO "ISE"."ATTRIBUTES" (USER_ID, ATTR_NAME, VALUE) VALUES ('3', 'SecurityLevel', '15')

14 INSERT INTO "ISE"."ATTRIBUTES" (USER_ID, ATTR_NAME, VALUE) VALUES ('1', 'SecurityLevel', '5') INSERT INTO "ISE"."ATTRIBUTES" (USER_ID, ATTR_NAME, VALUE) VALUES ('2', 'SecurityLevel', '10') 3. 创建一个程序同一样与组检索, 它将返回所有明显的属性, 如果用户名是 * create or replace function ISEATTRSH ( ise_username IN VARCHAR2, ise_result OUT int ) return sys_refcursor as BEGIN declare c integer; userid integer; resultset SYS_REFCURSOR; begin IF ise_username = '*' then ise_result := 0; open resultset for select DISTINCT ATTR_NAME, '0' as "VAL" from ATTRIBUTES; ELSE select count(*) into c from USERS where USERS.USERNAME = ise_username; select USER_ID into userid from USERS where USERS.USERNAME = ise_username; if c > 0 then ise_result := 0; open resultset for select ATTR_NAME, VALUE from ATTRIBUTES where USER_ID = userid; ELSE ise_result := 3; open resultset for select 0 from dual where 1=2; END IF; END IF; return resultset; end; END ; 4. 映射它拿来属性 5. 拿来属性

15 选择属性并且点击 OK 键步骤 6. 配置认证 / 授权策略在本例中配置了以下简单的授权策略 : 有 SecurityLevel 的用户 = 5 将被拒绝步骤 7. 添加 Oracle ODBC 到身份来源顺序连接对 Administration > 身份管理 > 身份来源顺序, 选择您的顺序并且添加 ODBC 到顺序 :

16 保存它验证您应该当前能利用 ODBC 现在验证用户和检索他们的组和属性 RADIUS 实际日志进行一些认证并且连接对操作 > RADIUS> 实际日志

17 正如你看到的用户阿丽斯有 SecurityLevel = 5, 因此访问被拒绝了详细资料报表点击在 Details 列的详细资料报表有趣会话的检查流用户的阿丽斯 ( 被拒绝的由于详细资料报表低 SecurityLevel) :

配置集成的ISE 2.2用MySQL服务器

配置集成的ISE 2.2用MySQL服务器配置集成的 ISE 2.2 用 MySQL 服务器目录简介先决条件要求使用的组件背景信息配置网络图配置 1. 配置在 Ubuntu 的 MySQL : 2. 配置数据库和表 : 3. 配置存储过程 4. 集成与 MySQL 的 ISE : 5. 配置认证和授权策略 : 验证故障排除在 ISE 的调试相关信息简介本文描述如何配置思科身份服务引擎 (ISE) 2.2 与 MySQL 开放数据库连接