Cisco Cisco Identity Services Engine 1.3

To allow only specified domains, uncheck Use all Active Directory domains for authentication check box.

Check the check box next to the domains for which you want to allow authentication, and click Enable Selected. In the
Authenticate column, the status of this domain changes to Yes.
You can also disable selected domains.

Click Show Unusable Domains to view a list of domains that cannot be used. Unusable domains are domains that Cisco
ISE cannot use for authentication due to reasons such as one-way trust, selective authentication and so on.

Configure Active Directory user groups.

Cisco ISE supports the following security group types:

• Universal

• Global

• Builtin

Builtin groups do not have a unique security identifier (SID) across domains and to overcome this, Cisco ISE prefixes their
SIDs with the domain name to which they belong.

Cisco ISE uses the AD attribute tokenGroups to evaluate a user’s group membership. Cisco ISE machine account must have permission
to read tokenGroups attribute. This attribute can contain approximately the first 1015 groups that a user may be a member of (the
actual number depends on Active Directory configuration and can be increased by reconfiguring Active Directory.) If a user is a
member of more groups than this, Cisco ISE does not use more than the first 1015 in policy rules.

You must configure Active Directory user groups for them to be available for use in authorization policies. Internally, Cisco ISE uses
security identifiers (SIDs) to help resolve group name ambiguity issues and to enhance group mappings. SID provides accurate group
assignment matching.

Choose Administration > Identity Management > External Identity Sources > Active Directory.

Click the Groups tab.

Do one of the following:

a) Choose Add > Select Groups From Directory to choose an existing group.
b) Choose Add > Add Group to manually add a group. You can either provide both group name and SID or provide only

the group name and press Fetch SID.