RSA, ACS5.X 集成配置

目的是RSA和ACS集成，ACS作为RADIUS服务器提供二次验证服务.

①配置RSA SecurID Token Servers  

按照如下网址配置：

http://www.cisco.com/c/en/us/support/docs/security/secure-access-control-system/117038-config-securid-00.html

②  配置RADIUS Identity Servers

Users and Identity Stores  >  External Identity Stores >  RADIUS Identity Servers

（关于 Identify Store

Internal User：这个就是一个ACS自带的用户数据库, 可以配置成用自己密码验证,也可以通过third party验证密码

External Identify Server： 就是第三方验证服务器,可以配置RSA, Radius, AD….）

③ 配置 Identity Store Sequence （这一步可以不需要）

配置Sequence的目的是为了验证的时候有多种方式,没有需求的话可以不配置.

把 internet user 和 RSA identity store 移到右边框 ，再点submit

④配置Default Network Device（这一步还可以通过配置Network Devices and AAA Client在Network Resources >Network Devices and AAA Client 或者 自己新建一个services在Access Policies > Access Services）

这一步的目的是Cisco ACS可以做为Radius server.

配置Default Network Device如下图:

配置AAA client的方法没有试过，下面是自己新建一个services的方法:

点击Access Policies -> Access Services，点击Create，输入Service名称，然后选择User Selected Service Type（Network Access），Policy Structure 选择 Identity，Group Mapping和Authorization. 点击下一步.

配置Radius需要支持的协议，点击Finish

如果相关的EAP需要额外配置，系统会提示，例如下图PEAP的配置

配置完后，再点击 finish，系统图示Access Service创建成功，是否激活，选择yes.

⑤ 配置Access Policies -> Service Selection Rules

点击Access Policies -> Service Selection Rules，选择Rule based result selection

点击creat，输入name, conditions 项使之 match RADIUS,

Service 选择刚才创建的service或者默认的service, 点击ok 完成。这里以自己创建的service为例，如下图:

创建完后通过下面的 move to 移到第一个位置：

⑥配置Access  Policies 的 identity

Access Policies  >  Access Services >  RSAservice >  Identity   选择 Single result selection .

Identity Source 选择 RSA identity. 配置完后 save change.

在这里，也可以选择 RSA identity sequence

注意：如果我配置的identify server 是 Radius 或者 RSA 或任何第三方

那ACS是不会查internal user的,他直接把信息发给Radius 或者 RSA 或者 其他

就是说,就算用户没在internal user里面, 也可以验证通过。

如果配置的identify  是 internal user,那用户必须在里面,但会根据这个用户的密码设置,ACS去找对应的Auth Server 去验证。

⑦  创建用户（配置的Access Policies  >  Access Services >  RSAservice >  Identity  是 internal user才会用到）

Users and Identity Stores >  Internal Identity Stores >  Users点击 create ，输入用户名，这里用户名需要和RSA上需要二次验证的用户名一样，达到绑定效果。

Password Type 选择 步骤① 配置好的 RSA SecurID Token Servers。 创建完毕，点击submit。

如图创建了一个ryan用户，并为他设定了RSA SecurID Token Servers作为验证方式.

如上，配置已完成，用户就可以通过相关的验证工具进行验证了.