Cisco ISE の認可ポリシーにおいて、ISE内部DBに登録されたMACアドレスを条件とする方法

[cja56910tf]

下記を実現するためのCisco ISEの設定方法についてご存じの方がおられましたらご教授いただけませんでしょうか。

[環境]

VPN装置にCisco ASA 5515-X、VPN装置の認証サーバとしてCisco ISE 2.7 を使用しています。

[要件]

AnyConnectの接続時にISEに登録されたUsernameとPasswordで認証したい。

さらにそのオプションとして、AnyConnect接続に使用している装置のネットワークカードのMACアドレスが、ISEに登録されたMACアドレスに含まれていれば許可、含まれていなければ拒否するようにしたい。

上記を実現する場合は、ポリシーセットの認可ポリシーで条件を設定すれば良いと思うのですが、どのような設定としたら良いかが分からずに困っています。

(IdentityGroupでEndpoint Identity Groupsを指定するといった感じではないかと思うのですが・・・)

　

有識者の方からの設定例など、参考例を交えてご指南・ご教示いただけましたら幸いです。

[yuzhan4 · Accepted solution]

こんにちは

こちらはIdentity Groupを指定することで、期待動作にならないかご確認いただけますか

よろしくおねがいします。

[cja56910tf]

投稿ありがとうございます。

ご教示いただいた通り、IdentityGroupでEndpoint Identity Groups（←許可MACアドレスが含まれるEndpointグループを別途作成）を指定することで要件・要望を満たすことが出来ました。

おかげさまで助かりました。

ご回答いただきましてありがとうございました。