Tích hợp hệ thống ngoài qua API của ClearPass

Ghi chú đọc tài liệu, không phải kết quả thử trên hệ thật. Nguồn chính: Deployment Guide tích hợp Infoblox với Aruba ClearPass (01/2020). Mỗi ý có chú thích số trang ở cuối bài; đoạn nào chưa kiểm chứng được thì ghi rõ.

Hệ thống ngoài muốn đẩy dữ liệu vào ClearPass để chính sách dùng được thì phía ClearPass cần bốn mảnh. Trong bộ quyền mẫu, dòng đáng soi nhất là Identity – Endpoints: Read, Write — quyền ghi vào hồ sơ endpoint; các dòng còn lại hẹp hơn hoặc chỉ đọc.

Bốn mảnh¹:

1. Thuộc tính endpoint tự định nghĩa — chỗ chứa dữ liệu hệ thống kia gửi sang.
2. Operator Profile — bộ quyền tối thiểu cho việc tích hợp.
3. API Client — danh tính máy-với-máy, dùng OAuth 2.0 client_credentials.
4. Bật Insight — điều kiện bắt buộc.

Ghi chú này mô tả khung đó; ví dụ cụ thể lấy từ tích hợp Infoblox (DNS security và IPAM), nhưng ba bước đầu là thứ dùng lại cho mọi tích hợp kiểu này.

Chi tiết

1. Thuộc tính endpoint tự định nghĩa

Dữ liệu từ bên ngoài không tự có chỗ chứa — phải tạo trước. Mỗi thuộc tính khai với Entity = Endpoint, chọn kiểu dữ liệu, và trong ví dụ Infoblox đều đặt Is Mandatory = No cùng Allow Multiple = No¹.

Bộ thuộc tính mà Infoblox ghi sang minh hoạ rõ dạng dữ liệu hay gặp — một phần là ngữ cảnh mạng, một phần là kết quả đánh giá mối đe doạ¹:

Thuộc tính	Kiểu	Nội dung
Infoblox DHCP Fingerprint	String	fingerprint DHCP của thiết bị nếu biết
Infoblox Last Known IP	String	địa chỉ IP đăng ký trong IPAM
Infoblox Managed	Boolean	IPAM có quản thiết bị này không
Infoblox Threat Category	String	loại mối đe doạ xảy ra trên thiết bị
Infoblox Threat Detection Device IP	String	IP của máy chủ DNS đã phát hiện
Infoblox Threat Name	String	tên miền được yêu cầu
Infoblox Threat Severity	List	mức nghiêm trọng
Infoblox Threat Status	List	đã xử lý hay chưa
Infoblox RuleId · Infoblox RuleCategory	Integer · Text	luật nào khớp và thuộc nhóm nào

Các thuộc tính này sau đó dùng được như mọi thuộc tính endpoint khác trong role mapping và enforcement — cùng cách dùng với thuộc tính do profiling sinh ra.

2. Operator Profile — cấp quyền tối thiểu

Tạo tại Administration → Operator Logins → Profiles trong ClearPass Guest, chọn mức Custom rồi bật đúng các quyền cần¹. Bộ quyền cho Infoblox:

Nhóm	Quyền	Mức
Administrator	Plugin Manager	Full
API services	Allow API Access	Allow Access
Guest Manager	Active Sessions	Full
Guest Manager	Active Sessions History	Read Only
Guest Manager	Create Multiple Guest Accounts	Full
Guest Manager	Create New Guest Account	Read Only
Guest Manager	Full User Control	Read Only
Insight	Administration	Read
Policy Manager	Identity – Endpoints	Read, Write

Dòng quyết định là Identity – Endpoints: Read, Write — đó là quyền cho phép hệ thống ngoài ghi vào hồ sơ endpoint. Những dòng còn lại hẹp hơn hoặc chỉ đọc.

3. API Client

Tạo tại Administration → API Services → API Clients¹:

• Đặt Client ID.
• Gán Operator Profile đã dựng ở bước 2 — đây là chỗ quyền được gắn vào danh tính máy.
• Grant Type: Client credentials (grant_type=client_credentials) — luồng máy-với-máy, không có người dùng nào đăng nhập.
• Ghi lại Client Secret; nó chỉ hiện một lần và phía kia sẽ cần.

Chưa kiểm chứng. Tài liệu không nói Client Secret có xoay vòng được không, hết hạn ra sao, hay thu hồi thế nào. Tôi chưa có nguồn nào cho vòng đời của khoá này.

4. Bật Insight

Administration → Server Manager → Server Configuration → chọn máy chủ → tab System → tích Enable Insight Current → Save¹.

Phía hệ thống ngoài (ví dụ Infoblox)

Hình dạng chung: sự kiện → bộ lọc → template → REST API endpoint → ClearPass¹.

• Cần Security Ecosystem License, loại Grid Wide (kích hoạt dịch vụ trên mọi appliance trong cùng Grid).
• Nhóm quản trị phải bật interface API.
• Template tải lên ở Grid → Ecosystem → Templates; Client ID và Client Secret nhét vào Aruba_Session.json (tên biến Client_ID và KEY, phân biệt hoa thường).
• REST API Endpoint: URI phải là FQDN của ClearPass, Vendor Type chọn Aruba ClearPass, kèm tài khoản truy cập API hai phía. Chứng thư client và kiểm chứng thư máy chủ là tuỳ chọn, dùng khi muốn mã hoá đường truyền.
• Notification gắn sự kiện với template.

Các sự kiện được hỗ trợ: DNS RPZ (truy vấn DNS độc hại hoặc không mong muốn) · DNS Tunneling (rò rỉ dữ liệu) · DHCP Leases · Object Change cho Fixed Address IPv4/IPv6 và Host Address · Security ADP · Network Discovery¹.

Infoblox cũng dùng extensible attribute ở chiều của nó để điều khiển hành vi: Aruba_Sync (có đẩy tài sản này sang ClearPass không), Aruba_Secure (có cập nhật thuộc tính bảo mật không), Aruba_Location, cùng hai dấu thời gian Aruba_LastSecurityEvent và Aruba_SyncedAt¹.

Thực hành tốt và cách kiểm

Tài liệu nêu rõ¹:

• Production để log level Info trở lên (Warning, Error); Debug chỉ dùng lúc thử.
• Bộ lọc của notification càng hẹp càng tốt — đây là lời khuyên về hiệu năng, và cũng tránh dội sự kiện sang ClearPass.
• Với RPZ thì bật “Enable RPZ event deduplication”.

Cách thử không cần dựng tấn công thật: vào Dashboards → Status → Security, nhập một tên miền đang bị chặn trong danh sách RPZ có mặt trong notification, bấm Perform Dig; rồi xem kết quả ở Grid → Ecosystem → Outbound Endpoint → View Debug Log¹.

Lưu ý về nguồn. Tài liệu này có lỗi biên tập thật: trang 11 còn sót đoạn “Lorem ipsum” chen giữa các bước, và mục lục có một mục tên “Heading Level 2”. Dù ghi là phát triển cùng HPE Aruba, nên xếp độ tin cậy dưới tài liệu hãng đã biên tập kỹ, và kiểm lại trước khi làm theo từng bước.

Tài liệu còn trỏ tới ba tích hợp Infoblox khác bằng URL ngoài (Endpoint Context Server trong CPPM 6.7; cập nhật MAC Address Filter; và mã mẫu trong repo aruba/clearpass-exchange-snippets để phân quyền theo IPAM)¹ — tôi chưa mở các nguồn đó, nên chưa kiểm được.

Liên quan

• ClearPass Access Tracker
• Vận hành ClearPass qua CLI (appadmin) — system create-api-client tạo được API client thẳng từ CLI, không cần qua giao diện

Nguồn

Footnotes

1. Infoblox Integration with Aruba ClearPass — Deployment Guide (01/2020), tr. PDF 3–23 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹²