Bu yazımda sizlere Microsoft Intune Mobil cihaz yönetimi (MDM) ile Cisco Kimlik Hizmetleri Motoru (ISE) entegrasyonunu anlatmaya çalışacağım. Cisco ISE, cihazlar şirket içi kaynaklara erişmeye çalıştığında kuruluşların kurumsal verileri güvence altına alınmasına yardımcı olur. Bu entegrasyonda Cisco ISE, Microsoft Graph API üzerinden Intune’a bağlanarak cihazların compliance durumunu sorgular ve bu bilgiye göre ağ erişim kararları verir. Cisco ISE ile Microsoft Intune MDM entegrasyonunu gerçekleştirebilmek için aşağıdaki gereksinimlerin sağlanması gerekmektedir:
- Cisco ISE’da MDM hizmetleri hakkında bilgi sahibi olmak
- Microsoft Intune hizmetleri hakkında bilgi sahibi olmak
Microsoft Graph API desteği için Cisco ISE’in aşağıdaki sürümlerden biri olması gerekmektedir:
- Cisco ISE Release 2.7 Patch 7 and later
- Cisco ISE Release 3.0 Patch 5 and later
- Cisco ISE Release 3.1 Patch 3 and later
- Cisco ISE Release 3.2 and later releases
Microsoft Intune ile entegrasyon için Microsoft Graph API kullanılmalıdır. Eski Azure AD Graph’ın endpoint’i desteklememesi nedeni ile Cisco ISE üzerinde aşağıdaki güncellemenin yapılması gerekmektedir:
(https://graph.windows.net yerine https://graph.microsoft.com)
Import the certificate from the Intune Portal to the ISE Trusted Store
Bir web tarayıcısı aracılığıyla Microsoft Azure Portal açılmalı; ardından tarayıcı araç çubuğunda yer alan kilit simgesine tıklanarak “sertifikaları görüntüle” seçeneği seçilmelidir. Açılan pencerede genellikle kök sertifika otoritesi (Root CA) olarak tanımlanan sertifika tespit edilerek, ilgili sertifikanın “ayrıntılar” sekmesi üzerinden dosyaya aktarım işlemi gerçekleştirilip Base64 formatındaki sertifika kaydedilmelidir.
Devamında, Cisco Identity Services Engine (ISE) yönetim konsolunda yer alan “Certificates” bölümüne erişilerek, “Trusted Certificates” alanına söz konusu kök sertifika import edilmelidir. Eğer kök sertifika dışında ara (intermediate) bir sertifika mevcut ise, aynı işlemlerin bu sertifika için de uygulanması gerekmektedir.
Deploy ISE as an Application in Azure Portal
Azure Active Directory uygulamasına gelip App Registration seçeneğini seçip ilerleyelim. App Registration içerisinde ISE adına uygun bir uygulama oluşturalım. Supported Account Type alanında “Accounts in this organizational directory only” seçeneğini seçip Register butonu ile uygulamayı kaydedebilirsiniz. Uygulama oluşturulduktan sonra Cisco ISE GUI uygulamasına girip sırasıyla Administration > System > Certificates > System Certificates ekranında görüntülenen sertifikalar listesinden “Default self-signed server certificates” onay kutusunu işaretleyip yönetici kullanımı için yapılandırdığınız diğer sertifikaların yanındaki onay kutusunu işaretleyin. Export butonuna tıklayıp “Export Certificate Only” butonuna tıklayıp sertifikayı dışa aktarabilirsiniz. Bu sertifikanın ayrıntılarını görmek için “Certificate Hierarchy dialog box to the Fingerprint area” seçeneğine tıklayın. Microsoft Azure Active Directory portalında sol bölümde Certificates&Secrets bölümüne tıklayın. Sertifikayı yükleyin ve Cisco IE’dan dışa aktarılan sertifikayı yüklemelisiniz. Sertifika yüklendikten sonra pencerede görüntülenen Thumprint value değerinin Cisco ISE sertifikasındaki parmak izi değeriyle eşleştiğini doğrulamalısınız. Uygulamanın ayarlar bölümünden gerekli yetkilendirmeleri ve izinleri yapılandırmalısınız. Gerekli izinleri ve yetkilendirmeleri aşağıdaki gibi seçmelisiniz.
- Microsoft Graph
- Application Permissions
- Read directory data
- Delegated Permissions
- Read Microsoft Intune Device Configuration and Policies
- Read Microsoft Intune Configuration
- Sign users in
- Access the data of the user anytime
- Application Permissions
- Microsoft Intune API
- Application Permissions
- Get device state and compliance information from Microsoft Intune
- Application Permissions
- Windows Azure Active Directory
- Application Permissions
- Read directory data
- Delegated Permissions
- Read directory data
- Sign in and read the user profile
- Application Permissions
Resim-1
Tüm uygulama izinlerini onaylamak için Grant Permission seçeneğini seçip ilerlemelisiniz. Bu işlemin geçerli olması için 5-10 dakika süreye ihtiyacınız olabilir. Uygulama yaratılıp tüm konfigürasyonları tamamladıktan sonra Overview sayfasında yer alan Application (Client) ID ve Directory (Tenant) ID değerlerini not alıp entegrasyon için kullanacaksınız.
Sertifikaları https://www.digicert.com/kb/digicert-root-certificates.htm adresinden PEM zinciri şeklinde indirmelisiniz.
- Baltimore CyberTrust Root
- DigiCert SHA2 Secure Server CA
- DigiCert Global Root CA
- DigiCert Global Root G2
- Microsoft Azure TLS Issuing CA 01
- Microsoft Azure TLS Issuing CA 02
- Microsoft Azure TLS Issuing CA 05
- Microsoft Azure TLS Issuing CA 06
Microsoft Azure TLS Issuing CA sertifikalarını Microsoft PKI Repository adresinden indirebilirsiniz. Cisco ISE yukarıdaki sertifikaları kullanarak Microsoft Intune ile güvenilir iletişim kurmayı gerektirir. Cisco ISE ve Microsoft Intune arasında güvenilir iletişim için gerekli sertifikaların olduğundan emin olmalısınız. Microsoft periyodik olarak yeni sertifikalar yayınlamaktadır ve daha yeni sertifikalar mevcut olabilir.
Cisco ISE Administration portalında, Menü simgesine tıklayıp sırasıyla Administration > System Certificates > Trusted Certificates seçeneğini seçelim. Daha önceden indirdiğiniz sertifikaları sisteme Import etmelisiniz. Click Choose File bölümünde sisteminizden indirdiğiniz ilgili sertifikayı seçin. Allow the certificate to be trusted for use by Infrastructure and Cisco Services seçeneği ile sertifikanın alt yapı ve Cisco hizmetleri tarafından kullanılmak üzere güvenilir olmasına izin vermelisiniz. Kullanım alanında ISE içinde kimlik doğrulama için Trust for authentication within ISE and Trust for authentication of Cisco Services doğrulaması için güven onay kutusunu işaretleyip kaydetmelisiniz.
Menu simgesine tıklayıp Administration > Network Resources > External MDM seçeneğini seçelim. Add butonunu kullanarak MDM kaynağını ekleyebilirsiniz. Name alanında ilgili MDM yapısının adını girelim. Authentication Type listesinden OAuth-Client Credential seçeneği seçilir. Microsoft Azure Active Directory’deki Microsoft Intune uygulamasından gelen bilgileri gerektirir. Auto Discovery URL’si alanına https://graph.microsoft.com adresini girelim. Client ID alanına Microsoft Intune uygulamasından Application (Client) ID değerlerini giriniz. Token Issue URL alanına “Oauth 2.0 Token Endpoint (v2) değerini giriniz. Token Audience alanına aşağıdaki Cisco ISE sürümlerini kullanıyorsanız https://api.manage.microsoft.com//.default adresini girebilirsiniz.
- Cisco ISE Release 3.0 Patch 8 and later releases
- Cisco ISE Release 3.1 Patch 8 and later releases
- Cisco ISE Release 3.2 Patch 3 and later releases
- Cisco ISE Release 3.3 and later releases
“Polling Interval” ve “Compliance Device ReAuth Query” alanları için gerekli parametreler uygun biçimde girilmelidir. Cisco Identity Services Engine (Cisco ISE)’nin Microsoft sunucusuna başarılı bir şekilde bağlanabildiğini doğrulamak amacıyla bağlantı testi gerçekleştirilmelidir. Bağlantı testi başarılı olduğunda durum açılır listesinden Enabled seçip kaydet butonu ile işleminizi kaydedebilirsiniz.
Cisco ISE Administration Portal üzerinde Menü simgesine tıklayıp sırasıyla Administration > Network Resources > External MDM seçeneğini seçip eklediğiniz Microsoft Intune sunucusunu görüntülenen MDM sunucuları listesinden görüp seçmelisiniz.
Cisco ISE ve Intune MDM entegrasyonunda Intune genelinde uygulanan kuralların cihaz ya da kullanıcı attribute değerlerine göre kural yazılabilmesi içinde Cisco ISE sürümlerinin incelenmesi gereklidir. Bazı attribute değerleri sadece Cisco ISE’ın belirli sürümlerinde geçerli olduğu unutulmamalıdır.
Bu konuyla ilgili sorularınızı https://forum.mshowto.org linkini kullanarak ulaşacağınız forum sayfamızda sorabilirsiniz.
Referanslar
TAGs: Microsoft Intune, Mobile Device Management, Mobile Application Management, Microsoft Endpoint Manager Admin Center, Cisco Identity Services Engine (Cisco ISE), Azure Active Directory, App Registration, Microsoft Graph API, Microsoft PKI Repository, Delegated Permissions
Faydalı Olması Dileğiyle…