Cisco ACS (Access Control Server) : Fonctions cœur & Architecture

Cisco Secure ACS (maintenant remplacé par Cisco Identity Services Engine — ISE) était le serveur de politiques RADIUS/TACACS+ phare pour le contrôle d'accès réseau entreprise. Ses fonctions restent le plan de référence pour le NAC moderne.

1. Authentification (Qui êtes-vous ?)

• Protocoles : RADIUS, TACACS+, RADIUS-DTLS, Kerberos, LDAP bind, SAML/OIDC (versions récentes).
• Stores d'identité : Base interne, Active Directory, LDAP (OpenLDAP, AD LDS), ODBC, RSA SecurID, serveurs tokens.
• Méthodes : PAP, CHAP, MS-CHAPv2, EAP-TLS, EAP-PEAP, EAP-FAST, EAP-TTLS.

2. Autorisation (Que pouvez-vous faire ?)

• Éléments politique : Groupes identité, conditions réseau (heure, lieu, posture appareil), NDGs (Network Device Groups).
• Attributs résultat : Cisco-AVPairs → VLAN, ACL, dACL, redirection URL, timer reauth, timeout session.
• RBAC : Autorisation commandes shell (TACACS+) pour admin équipement (privilège 0-15).

3. Gestion politiques

• Objets politiques centralisés (services, conditions, résultats) réutilisables sur NADs (Network Access Devices).
• Simulation/test politiques (simuler requête RADIUS sans trafic réel).
• Import/export bulk via CSV, API ERS (External RESTful Services).

4. Accès invités & BYOD

• Portail auto-enregistrement (personnalisable, multi-langues).
• Workflows approbation parrain.
• Attribution VLAN/ACL invités ; acceptation CGU.
• Enregistrement appareil (intégration MDM) → vérification posture → profilage.

5. Embarquement appareils (BYOD)

• Enrôlement certificats SCEP/EST pour EAP-TLS.
• Provisionnement supplicant natif (iOS .mobileconfig, Android Wi-Fi config, Windows XML).
• Embarquement zero-touch via QR code / lien email.

6. Supervision, Rapports & Dépannage

• Logs temps réel : Flux RADIUS/TACACS+ live (auth, authz, acct).
• Rapports : Top échecs, top utilisateurs, utilisation équipements, tendances posture.
• Piste audit : Changements admin, déploiements politiques.
• Dépannage : Capture paquets (pcap), logs debug par service.

7. Intégration & Extensibilité

• Intégration NAD : Catalyst, Nexus, Meraki, AireOS, IOS-XE — config client RADIUS/TACACS+.
• MDM/EMM : AirWatch, MobileIron, Intune, Jamf — attributs posture via ERS.
• SIEM : Splunk, QRadar, Elastic — streaming syslog/CEF/JSON.
• API : ERS (REST) pour CRUD sur tous objets ; pxGrid pour partage menaces.

Note migration

ACS 5.8 a atteint Fin de vente (2017) et Fin de support (2022). Migrer vers Cisco ISE 3.x — parité fonctionnelle plus pxGrid, TrustSec, intégration SD-Access, et développement actif.