Konfigurieren von Akamai für einmaliges Anmelden mit Microsoft Entra-ID

In diesem Artikel erfahren Sie, wie Sie Akamai mit Microsoft Entra ID integrieren. Wenn Sie Akamai mit Microsoft Entra ID integrieren, ist Folgendes möglich:

• In Microsoft Entra ID steuern, wer Zugriff auf Akamai hat
• Ihren Benutzer*innen ermöglichen, sich mit ihren Microsoft Entra-Konten automatisch bei Akamai anzumelden
• Verwalten Sie Ihre Konten an einem zentralen Ort.

Die Integration von Microsoft Entra ID mit Akamai Enterprise Application Access ermöglicht den nahtlosen Zugriff auf in der Cloud oder lokal gehostete Legacyanwendungen. Die integrierte Lösung nutzt vorteile aller modernen Funktionen von Microsoft Entra ID wie Microsoft Entra Conditional Access, Microsoft Entra ID Protection und Microsoft Entra ID Governance für den Zugriff auf ältere Anwendungen ohne App-Änderungen oder Agents-Installation.

Die folgende Abbildung beschreibt, wo Akamai EAA in das umfassendere Szenario für hybriden sicheren Zugriff passt.

Wichtige Authentifizierungsszenarien

Neben der nativen Microsoft Entra-Integrationsunterstützung für moderne Authentifizierungsprotokolle wie OpenID Connect, SAML und WS-Fed erweitert Akamai EAA den sicheren Zugriff für legacybasierte Authentifizierungs-Apps sowohl für den internen als auch für den externen Zugriff mit Microsoft Entra ID. So werden für diese Anwendungen moderne Szenarien wie etwa der kennwortlose Zugriff ermöglicht. Dies schließt Folgendes ein:

• Apps mit headerbasierter Authentifizierung
• Remotedesktop
• SSH (Secure Shell)
• Apps mit Kerberos-Authentifizierung
• VNC (Virtual Network Computing)
• Apps mit anonymer Authentifizierung oder ohne integrierte Authentifizierung
• Apps mit NTLM-Authentifizierung (Schutz mit doppelten Eingabeaufforderungen für den Benutzer)
• Formularbasierte Anwendung (Schutz mit doppelten Eingabeaufforderungen für den Benutzer)

Integrationsszenarien

Die Partnerschaft zwischen Microsoft und Akamai EAA ermöglicht eine flexible Erfüllung Ihrer geschäftlichen Anforderungen. Hierzu werden basierend auf Ihrer geschäftlichen Anforderung verschiedene Integrationsszenarien unterstützt. Dies ermöglicht eine Zero-Day-Abdeckung für sämtliche Anwendungen mit anschließender schrittweiser Klassifizierung und Konfiguration geeigneter Richtlinienklassifizierungen.

Integrationsszenario 1

Akamai EAA wird als einzelne Anwendung in der Microsoft Entra ID-Instanz konfiguriert. Der Administrator kann die Richtlinie für bedingten Zugriff für die Anwendung konfigurieren, und Benutzer können auf das Akamai EAA-Portal zugreifen, sobald die Bedingungen erfüllt sind.

Vorteile:

• Der IDP muss nur einmal konfiguriert werden.

Nachteile:

• Benutzer verfügen über zwei Anwendungsportale.

• Abdeckung aller Anwendungen durch eine einzelne allgemeine Richtlinie für bedingten Zugriff

Integrationsszenario 2

Die Akamai EAA-Anwendung wird individuell im Azure-Portal eingerichtet. Der Administrator kann die Richtlinie für den individuellen bedingten Zugriff für die Anwendung(en) konfigurieren, und sobald die Bedingungen erfüllt sind, können Benutzer direkt an die jeweilige Anwendung umgeleitet werden.

Vorteile:

• Sie können einzelne Richtlinien für bedingten Zugriff definieren.

• Alle Apps werden im Office 365-Waffelmenü und im Bereich „myApps.microsoft.com“ dargestellt.

Nachteile:

• Sie müssen mehrere IDPs konfigurieren.

Voraussetzungen

In diesem Artikel wird davon ausgegangen, dass Sie bereits über die folgenden Voraussetzungen verfügen:

• Ein Microsoft Entra-Benutzerkonto mit einem aktiven Abonnement. Wenn Sie noch kein Konto besitzen, können Sie kostenlos ein Konto erstellen.
• Eine der folgenden Rollen:
  • Anwendungsadministrator
  • Cloudanwendungsadministrator
  • Anwendungsbesitzer.

• Ein Akamai-Abonnement, für das einmaliges Anmelden (Single Sign-On, SSO) aktiviert ist

Beschreibung des Szenarios

In diesem Artikel konfigurieren und testen Sie Microsoft Entra SSO in einer Testumgebung.

• Akamai unterstützt IDP-initiiertes einmaliges Anmelden.

Wichtig

Alle unten aufgeführten Setups sind für das Integrationsszenario 1 und Szenario 2 identisch. Für das Integrationsszenario 2 müssen Sie individuelle IDP im Akamai EAA einrichten und die URL-Eigenschaft muss so geändert werden, dass sie auf die Anwendungs-URL verweist.

Hinzufügen von Akamai über den Katalog

Zum Konfigurieren der Integration von Akamai mit Microsoft Entra ID müssen Sie Akamai aus dem Katalog Ihrer Liste mit den verwalteten SaaS-Apps hinzufügen.

1. Melden Sie sich mindestens als Cloudanwendungsadministrator beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Entra ID>Enterprise-Apps>Neue Anwendung.
3. Geben Sie im Abschnitt "Aus katalog hinzufügen " das Suchfeld "Akamai " ein.
4. Wählen Sie Akamai im Ergebnisbereich aus, und fügen Sie die App hinzu. Warten Sie einige Sekunden, während die App Ihrem Mandanten hinzugefügt wird.

Alternativ können Sie auch den Konfigurations-Assistenten für Enterprise-Apps verwenden. In diesem Assistenten können Sie Ihrem Mandanten eine Anwendung hinzufügen, der App Benutzer und Gruppen hinzufügen, Rollen zuweisen sowie die SSO-Konfiguration durchlaufen. Weitere Informationen zu Microsoft 365-Assistenten.

Konfigurieren und Testen von Microsoft Entra-SSO für Akamai

Konfigurieren und testen Sie Microsoft Entra SSO mit Akamai mithilfe eines Testbenutzers namens B.Simon. Damit einmaliges Anmelden funktioniert, muss eine Linkbeziehung zwischen Microsoft Entra-Benutzenden und den entsprechenden Benutzenden in Akamai eingerichtet werden.

Führen Sie zum Konfigurieren und Testen von Microsoft Entra-SSO mit Akamai die folgenden Schritte aus:

1. Konfigurieren Sie Microsoft Entra SSO – damit Ihre Benutzer dieses Feature verwenden können.
   • Erstellen Sie einen Microsoft Entra-Testbenutzer – um microsoft Entra Single Sign-On mit B.Simon zu testen.
   • Weisen Sie den Microsoft Entra-Testbenutzer zu – damit B.Simon das Einmalige Anmelden von Microsoft Entra verwenden kann.
2. Konfigurieren Sie Akamai SSO – um die Einstellungen für einmaliges Anmelden auf Anwendungsseite zu konfigurieren.
   • Einrichten von IDP
   • Headerbasierte Authentifizierung
   • Remotedesktop
   • SSH
   • Kerberos-Authentifizierung
   • Erstellen Sie Einen Akamai-Testbenutzer – um ein Gegenstück von B.Simon in Akamai zu haben, das mit der Microsoft Entra-Darstellung des Benutzers verknüpft ist.
3. Testen Sie SSO – um zu überprüfen, ob die Konfiguration funktioniert.

Konfigurieren des einmaligen Anmeldens (SSO) von Microsoft Entra

Führen Sie die folgenden Schritte aus, um einmaliges Anmelden von Microsoft Entra zu aktivieren.

1. Melden Sie sich mindestens als Cloudanwendungsadministrator beim Microsoft Entra Admin Center an.

2. Navigieren Sie zu Entra ID>Enterprise-Apps>Akamai>Single Sign-On.

3. Wählen Sie auf der Seite " Single Sign-On-Methode auswählen " SAML aus.

4. Wählen Sie auf der Seite " Einmaliges Anmelden mit SAML einrichten " das Stiftsymbol für die grundlegende SAML-Konfiguration aus, um die Einstellungen zu bearbeiten.

   

5. Geben Sie im Abschnitt "Grundlegende SAML-Konfiguration " die Werte für die folgenden Felder ein, wenn Sie die Anwendung im initiierten IDP-Modus konfigurieren möchten:

   a) Geben Sie im Textfeld Bezeichner eine URL nach dem folgenden Muster ein: https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

   b. Geben Sie im Textfeld "Antwort-URL " eine URL mit dem folgenden Muster ein: https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

   Hinweis

   Diese Werte sind nicht real. Aktualisieren Sie diese Werte mit dem eigentlichen Bezeichner und der Antwort-URL. Wenden Sie sich an das Akamai Client-Supportteam , um diese Werte zu erhalten. Sie können auch auf die Muster verweisen, die im Abschnitt "Grundlegende SAML-Konfiguration " angezeigt werden.

6. Suchen Sie auf der Seite "Einmaliges Anmelden mit SAML einrichten " im Abschnitt "SAML-Signaturzertifikat " die Partnerverbundmetadaten-XML , und wählen Sie "Herunterladen " aus, um das Zertifikat herunterzuladen und auf Ihrem Computer zu speichern.

   

7. Kopieren Sie im Abschnitt "Akamai einrichten " die entsprechenden URLs basierend auf Ihrer Anforderung.

   

Erstellen und Zuweisen eines Microsoft Entra-Testbenutzers

Befolgen Sie die Richtlinien im Erstellen und Zuweisen eines Benutzerkontos Schnellstart zum Erstellen eines Testbenutzerkontos namens B.Simon.

Konfigurieren des einmaligen Anmeldens für Akamai

Einrichten des IDP

AKAMAI EAA IDP-Konfiguration

1. Melden Sie sich bei der Akamai Enterprise Application Access-Konsole an .

2. Wählen Sie auf der Akamai EAA-KonsoleIdentitätsanbieter> aus, und wählen Sie "Identitätsanbieter hinzufügen" aus.

   

3. Führen Sie im Dialogfeld Create New Identity Provider (Neuen Identitätsanbieter erstellen) die folgenden Schritte aus:

   a) Geben Sie den eindeutigen Namen an.

   b. Wählen Sie SAML von Drittanbietern und dann "Identitätsanbieter erstellen" und "Konfigurieren" aus.

Allgemeine Einstellungen

Geben Sie auf der Registerkarte " Allgemein " die folgenden Informationen ein:

1. Identity Intercept – Geben Sie den Namen der Domäne an (SP-Basis-URL– wird für die Microsoft Entra-Konfiguration verwendet).

   Hinweis

   Sie können ihre eigene benutzerdefinierte Domäne verwenden (erfordert einen DNS-Eintrag und ein Zertifikat). In diesem Beispiel verwenden wir die Akamai Domain.

2. Akamai Cloud Zone – Wählen Sie die entsprechende Cloudzone aus.

3. Zertifikatüberprüfung – Überprüfen Sie die Akamai-Dokumentation (optional).

Authentifizierungskonfiguration

1. URL: Geben Sie die gleiche URL wie unter „Identity Intercept“ (Identität abfangen) ein. (An diese URL werden Benutzende nach der Authentifizierung weitergeleitet.)

2. Logout URL (Abmelde-URL): Aktualisieren Sie die Abmelde-URL.

3. Sign SAML Request (SAML-Anforderung signieren): Diese Option ist standardmäßig deaktiviert.

4. Fügen Sie für die IdP-Metadatendatei die Anwendung in der Microsoft Entra ID-Konsole hinzu.

   

Sitzungseinstellungen

Übernehmen Sie die Standardeinstellungen.

Verzeichnisse

Überspringen Sie auf der Registerkarte "Verzeichnisse " die Verzeichniskonfiguration.

Benutzeroberfläche für die Anpassung

Der IDP kann auf Wunsch angepasst werden. Auf der Registerkarte " Anpassung " gibt es Einstellungen für "Ui anpassen", "Spracheinstellungen" und "Designs".

Erweiterte Einstellungen

Übernehmen Sie auf der Registerkarte "Erweiterte Einstellungen " die Standardwerte. Weitere Informationen hierzu finden Sie in der Akamai-Dokumentation.

Bereitstellung

1. Wählen Sie auf der Registerkarte "Bereitstellung" die Option " Identitätsanbieter bereitstellen" aus.

2. Vergewissern Sie sich, dass die Bereitstellung erfolgreich war.

Headerbasierte Authentifizierung

Headerbasierte Authentifizierung von Akamai

1. Wählen Sie Benutzerdefiniertes HTTP im Assistenten zum Hinzufügen von Anwendungen aus.

   

2. Geben Sie den Anwendungsnamen und die Beschreibung ein.

   

   

   

Authentifizierung

1. Wählen Sie die Registerkarte "Authentifizierung " aus.

   

2. Wählen Sie Identitätsanbieter zuweisen aus.

Dienste

Wählen Sie "Speichern" und "Zur Authentifizierung wechseln" aus.

Erweiterte Einstellungen

1. Geben Sie unter den HTTP-Headern des Kunden das CustomerHeader-Attribut und das SAML-Attribut an.

   

2. Wählen Sie die Schaltfläche "Speichern und zur Bereitstellung wechseln" aus.

   

Bereitstellen der Anwendung

1. Wählen Sie die Schaltfläche " Anwendung bereitstellen " aus.

   

2. Vergewissern Sie sich, dass die Anwendung erfolgreich bereitgestellt wurde.

   

3. Endbenutzererfahrung:

   

   

4. Bedingter Zugriff:

   

   

Remotedesktop

1. Wählen Sie im Assistenten zum Hinzufügen von Anwendungen die Option RDP aus.

   

2. Geben Sie den Anwendungsnamen ein, z. B. SecretRDPApp.

3. Wählen Sie eine Beschreibung aus, z. B. RDP-Sitzung mit bedingtem Microsoft Entra-Zugriff schützen.

4. Geben Sie den Connector dafür an.

   

Authentifizierung

Wählen Sie auf der Registerkarte "Authentifizierung " die Option " Speichern" aus, und wechseln Sie zu "Dienste".

Dienste

Wählen Sie "Speichern" aus, und wechseln Sie zu "Erweiterte Einstellungen".

Erweiterte Einstellungen

1. Wählen Sie "Speichern" aus, und wechseln Sie zur Bereitstellung.

   

   

   

2. Endbenutzererfahrung

   

   

3. Bedingter Zugriff

   

   

   

4. Alternativ können Sie die RDP-Anwendungs-URL auch direkt eingeben.

SSH

1. Wechseln Sie zu "Anwendungen hinzufügen", wählen Sie SSH aus.

   

2. Geben Sie den Anwendungsnamen und die Beschreibung ein, z. B. die moderne Microsoft Entra-Authentifizierung bei SSH.

3. Konfigurieren Sie die Anwendungsidentität.

   a) Geben Sie einen Namen und eine Beschreibung ein.

   b. Geben Sie die Anwendungsserver-IP bzw. den FQDN und Port für SSH an.

   c. Geben Sie den SSH-Benutzernamen und die SSH-Passphrase an. *Diese finden Sie in Akamai EAA.

   d. Geben Sie den Namen des externen Hosts an.

   e. Geben Sie den Speicherort für den Connector an, und wählen Sie den Connector aus.

Authentifizierung

Wählen Sie auf der Registerkarte "Authentifizierung " die Option " Speichern" aus, und wechseln Sie zu "Dienste".

Dienste

Wählen Sie "Speichern" aus, und wechseln Sie zu "Erweiterte Einstellungen".

Erweiterte Einstellungen

Klicken Sie auf „Save and go to Deployment“ (Speichern und zur Bereitstellung wechseln).

Bereitstellung

1. Wählen Sie "Anwendung bereitstellen" aus.

   

2. Endbenutzererfahrung

   

   

3. Bedingter Zugriff

   

   

   

   

Kerberos-Authentifizierung

Im folgenden Beispiel veröffentlichen wir einen internen Webserver bei http://frp-app1.superdemo.live und aktivieren die SSO-Funktion mithilfe von KCD.

Registerkarte Allgemein

Registerkarte „Authentication“

Weisen Sie auf der Registerkarte " Authentifizierung " den Identitätsanbieter zu.

Registerkarte „Services“ (Dienste)

Erweiterte Einstellungen

Hinweis

Der SPN für den Webserver wurde in SPN@Domain Format ex: HTTP/frp-app1.superdemo.live@SUPERDEMO.LIVE für diese Demo verwendet. Lassen Sie die restlichen Einstellungen unverändert.

Registerkarte „Deployment“

Hinzufügen eines Verzeichnisses

1. Wählen Sie AD aus der Dropdownliste aus.

   

2. Geben Sie die erforderlichen Daten an.

   

3. Überprüfen Sie die Verzeichniserstellung.

   

4. Fügen Sie die Gruppen/OUs hinzu, die Zugriff benötigen.

   

5. Hier heißt die Gruppe „EAAGroup“ und hat ein einzelnes Mitglied.

   

6. Fügen Sie das Verzeichnis zu Ihrem Identitätsanbieter hinzu, indem Sie Identität, >Identitätsanbieter auswählen und die Registerkarte Verzeichnisse und Verzeichnis zuweisen auswählen.

Konfigurieren der KCD-Delegierung für EAA: Exemplarische Vorgehensweise

Schritt 1: Erstellen eines Kontos

1. Im Beispiel verwenden wir ein Konto namens EAADelegation. Sie können hierzu das Snap-In Active Directory-Benutzende und -Computer verwenden.

   Hinweis

   Der Benutzername muss ein bestimmtes Format aufweisen, das auf dem Identity Intercept Name basiert. In Abbildung 1 sehen wir, dass es corpapps.login.go.akamai-access.com ist.

2. Der Benutzeranmeldungsname lautet:HTTP/corpapps.login.go.akamai-access.com

   

Schritt 2: Konfigurieren des SPN für dieses Konto

1. Basierend auf diesem Beispiel ist der SPN wie unten dargestellt.

2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

   

Schritt 3: Konfigurieren der Delegierung

1. Wählen Sie für das EAADelegation-Konto die Registerkarte "Delegierung" aus.

   

   • Wählen Sie die Option „Beliebiges Authentifizierungsprotokoll verwenden“ aus.
   • Wählen Sie "Hinzufügen" aus, und fügen Sie das App-Poolkonto für die Kerberos-Website hinzu. Bei korrekter Konfiguration sollte es automatisch in den korrekten SPN aufgelöst werden.

Schritt 4: Erstellen einer Schlüsseltabellendatei für Akamai EAA

1. Dies ist die generische Syntax.

2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

3. Erläuterung des Beispiels

   Codeschnipsel	Erklärung
   Ktpass /out EAADemo.keytab	// Der Name der ausgegebenen Schlüsseltabellendatei.
   /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live	HTTP/yourIDPName@YourdomainName
   /mapuser eaadelegation@superdemo.live	// EAA-Delegierungskonto
   /pass RANDOMPASS	// Kennwort des EAA-Delegierungskontos
   /crypto All ptype KRB5_NT_PRINCIPAL	// Siehe Akamai EAA-Dokumentation

4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

   

Schritt 5: Importieren der Schlüsseltabelle in der Akamai EAA-Konsole

1. Wählen Sie System>Keytabs aus.

   

2. Wählen Sie im Keytabtyp die Kerberos-Delegierung aus.

   

3. Vergewissern Sie sich, dass die Schlüsseltabelle als bereitgestellt und überprüft angezeigt wird.

   

4. Benutzererfahrung

   

   

5. Bedingter Zugriff

   

   

   

Erstellen eines Akamai-Testbenutzers

In diesem Abschnitt erstellen Sie in Akamai einen Benutzer namens B. Simon. Arbeiten Sie mit dem Akamai Client-Supportteam zusammen, um die Benutzer in der Akamai-Plattform hinzuzufügen. Benutzende müssen erstellt und aktiviert werden, damit Sie einmaliges Anmelden verwenden können.

Testen des einmaligen Anmeldens (SSO)

In diesem Abschnitt testen Sie die Microsoft Entra-Konfiguration für einmaliges Anmelden mit den folgenden Optionen.

• Wählen Sie "Diese Anwendung testen" aus, und Sie sollten automatisch bei Akamai angemeldet sein, für das Sie das SSO einrichten.

• Sie können „Meine Apps“ von Microsoft verwenden. Wenn Sie die Akamai-Kachel in den "Meine Apps" auswählen, sollten Sie automatisch beim Akamai angemeldet sein, für das Sie das SSO einrichten. Weitere Informationen zu "Meine Apps" finden Sie in der Einführung in "Meine Apps".

Verwandte Inhalte

Nach dem Konfigurieren von Akamai können Sie die Sitzungssteuerung erzwingen, die in Echtzeit vor der Exfiltration und Infiltration vertraulicher Unternehmensdaten schützt. Die Sitzungssteuerung basiert auf bedingtem Zugriff. Erfahren Sie, wie Sie die Sitzungssteuerung mit Microsoft Defender für Cloud-Apps erzwingen.