Configuración de la delegación restringida de F5 Kerberos para una aplicación SaaS de un solo nivel

En este artículo, aprenderá a integrar F5 con Microsoft Entra ID. Al integrar F5 con Microsoft Entra ID, puede hacer lo siguiente:

• Controlar en Microsoft Entra ID quién tiene acceso a F5.
• Permitir que los usuarios puedan iniciar sesión automáticamente en F5 con sus cuentas de Microsoft Entra.
• Administre sus cuentas en una ubicación central.

Para más información sobre la integración de aplicaciones SaaS con Microsoft Entra ID, consulte Qué es el acceso a aplicaciones y el inicio de sesión único con Microsoft Entra ID.

Requisitos previos

En el escenario descrito en este artículo se supone que ya tiene los siguientes requisitos previos:

• Una cuenta de usuario de Microsoft Entra con una suscripción activa. Si no la tiene, puede crear una cuenta gratis.
• Uno de los siguientes roles:
  • Administrador de aplicaciones
  • Administrador de aplicaciones en la nube
  • Propietario de la aplicación.

• Una suscripción habilitada para el inicio de sesión único (SSO) en F5.

• La implementación de la solución conjunta requiere la licencia siguiente:

  • F5 BIG-IP® Best bundle (o)

  • Licencia independiente de F5 BIG-IP Access Policy Manager™ (APM).

  • Licencia del complemento F5 BIG-IP Access Policy Manager™ (APM) en una instalación de F5 BIG-IP® Local Traffic Manager™ (LTM) ya existente.

  • Además de la licencia anterior, el sistema F5 también puede tener licencia con:

    • Una suscripción de filtrado de direcciones URL para usar la base de datos de categorías de URL

    • Una suscripción a F5 IP Intelligence para detectar y bloquear a atacantes conocidos y tráfico malintencionado.

    • Un módulo de seguridad de hardware (HSM) de red para proteger y administrar claves digitales para la autenticación segura.

• El sistema F5 BIG-IP se aprovisiona con módulos de APM (LTM es opcional).

• Aunque es opcional, se recomienda encarecidamente desplegar los sistemas F5 en un grupo de dispositivos de sincronización/conmutación por error (S/F DG), que incluye el par activo en espera, con una dirección IP flotante para alta disponibilidad (HA). Se puede lograr una mayor redundancia de la interfaz mediante el protocolo de control de agregación de vínculos (LACP). LACP administra las interfaces físicas conectadas como una sola interfaz virtual (grupo agregado) y detecta cualquier error de interfaz dentro del grupo.

• En el caso de las aplicaciones Kerberos, una cuenta de servicio de AD local para la delegación restringida. Consulte Documentación de F5 para crear una cuenta de delegación de AD.

Configuración de acceso guiado

• La configuración de acceso guiado es compatible con F5 TMOS versión 13.1.0.8 y posteriores. Si el sistema de BIG-IP ejecuta una versión inferior a la 13.1.0.8, consulte la sección Configuración avanzada .

• La configuración guiada de acceso presenta una experiencia de usuario nueva y simplificada. Esta arquitectura basada en el flujo de trabajo proporciona pasos de configuración intuitivos y reentrantes adaptados a la topología seleccionada.

• Antes de continuar con la configuración, actualice la configuración guiada; para ello, descargue el último paquete de casos de uso desde downloads.f5.com. Para actualizar, siga el procedimiento siguiente.

  Nota

  Las capturas de pantalla siguientes corresponden a la versión más reciente (BIG-IP 15.0 con AGC versión 5.0). Los pasos de configuración siguientes son válidos para este caso de uso desde la versión 13.1.0.8 hasta la última versión de BIG-IP.

1. En la interfaz de usuario web de F5 BIG-IP, seleccione Configuración de la guía de acceso>>.

2. En la página Configuración guiada , seleccione Actualizar configuración guiada en la esquina superior izquierda.

   

3. En la pantalla emergente Configuración de la guía de actualización, seleccione Elegir archivo para cargar el paquete de casos de uso descargado y seleccione el botón Cargar e instalar .

   

4. Cuando se complete la actualización, seleccione el botón Continuar .

   

Descripción del escenario

En este artículo, configura y prueba Microsoft Entra SSO en un entorno de prueba.

• F5 admite el inicio de sesión único iniciado por SP e IDP
• El inicio de sesión único de F5 se puede configurar de tres maneras diferentes.

• Configuración del inicio de sesión único de F5 para la aplicación Kerberos

• Configuración del inicio de sesión único en F5 para la aplicación basada en encabezados

• Configuración del inicio de sesión único de F5 para la aplicación Kerberos avanzada

Escenarios de autenticación de claves

Además de la compatibilidad con la integración nativa de Microsoft Entra de los protocolos de autenticación modernos, como Open ID Connect, SAML y WS-Fed, F5 amplía el acceso seguro para las aplicaciones de autenticación heredadas tanto en el acceso interno como en el externo con Microsoft Entra ID, lo que posibilita escenarios modernos (por ejemplo, el acceso sin contraseña) en estas aplicaciones. Esto incluye:

• Aplicaciones de autenticación basadas en encabezados

• Aplicaciones de autenticación Kerberos

• Autenticación anónima o aplicaciones sin autenticación integrada

• Aplicaciones de autenticación NTLM (protección con dos preguntas para el usuario)

• Aplicaciones basadas en formularios (protección con dos preguntas para el usuario)

Adición de F5 desde la galería

Para configurar la integración de F5 en Microsoft Entra ID, deberá agregar F5 desde la galería a la lista de aplicaciones SaaS administradas.

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.
2. Navegue a Entra ID>Aplicaciones empresariales>Nueva aplicación.
3. En la sección Agregar desde la galería, escriba F5 en el cuadro de búsqueda.
4. Seleccione F5 en el panel de resultados y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega al inquilino.

Como alternativa, también puede usar el Asistente para configuración de aplicaciones empresariales. En este asistente, puede agregar una aplicación a su cliente, agregar usuarios o grupos a la aplicación, asignar roles y completar la configuración de SSO. Más información sobre los asistentes de Microsoft 365.

Configurar y probar el inicio de sesión único de Microsoft Entra para F5

Configure y pruebe el inicio de sesión único (SSO) de Microsoft Entra con F5 mediante un usuario de prueba llamado B.Simon. Para que el inicio de sesión único funcione, es necesario establecer una relación de vínculo entre un usuario de Microsoft Entra y el usuario relacionado de F5.

Para configurar y probar el inicio de sesión único de Microsoft Entra con F5, complete los siguientes bloques de creación:

1. Configuración del inicio de sesión único en Microsoft Entra: para que los usuarios puedan utilizar esta característica.
   1. Creación de un usuario de prueba de Microsoft Entra : para probar el inicio de sesión único de Microsoft Entra con B.Simon.
   2. Asigne el usuario de prueba de Microsoft Entra : para permitir que B.Simon use el inicio de sesión único de Microsoft Entra.
2. Configuración del inicio de sesión único en F5: para configurar los valores del inicio de sesión único en la aplicación.
   1. Creación de un usuario de prueba de F5: para tener un homólogo de B.Simon en F5 que esté vinculado a la representación del usuario en Microsoft Entra.
3. Prueba del inicio de sesión único: para comprobar si la configuración funciona.

Configuración del SSO de Microsoft Entra

Siga estos pasos para habilitar el inicio de sesión único de Microsoft Entra.

1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.

2. Vaya a Entra ID>Aplicaciones empresariales>F5>Inicio de sesión único.

3. En la página Seleccionar un método de inicio de sesión único, elija SAML.

4. En la página Set up single sign-on with SAML (Configurar inicio de sesión único con SAML ), seleccione el icono de edición y lápiz de Configuración básica de SAML para editar la configuración.

   

5. En la sección Configuración básica de SAML, si desea configurar la aplicación en modo iniciado por IDP, escriba los valores de los siguientes campos:

   a) En el cuadro de texto Identificador, escriba una dirección URL con el patrón siguiente: https://<YourCustomFQDN>.f5.com/

   b. En el cuadro de texto URL de respuesta, escriba una dirección URL con el siguiente patrón: https://<YourCustomFQDN>.f5.com/

6. Seleccione Establecer direcciones URL adicionales y realice el paso siguiente si desea configurar la aplicación en modo iniciado por SP :

   En el cuadro de texto URL de inicio de sesión, escriba una dirección URL con el siguiente patrón: https://<YourCustomFQDN>.f5.com/

   Nota

   Estos valores no son reales. Actualice estos valores con el identificador real, la dirección URL de respuesta y la dirección URL de inicio de sesión. Póngase en contacto con el equipo de soporte técnico de F5 para obtener estos valores. También puede consultar los patrones que se muestran en la sección Configuración básica de SAML.

7. En la página Configurar el inicio de sesión único con SAML, en la sección Certificado de firma de SAML, busque XML de metadatos de federación y Certificado (Base 64) y seleccione Descargar para descargar y guardar el certificado en su equipo.

   

8. En la sección Configurar F5, copie las direcciones URL adecuadas según sus necesidades.

   

Creación y asignación de un usuario de prueba de Microsoft Entra

Siga las instrucciones de creación y asignación de una cuenta de usuario de inicio rápido para crear una cuenta de usuario de prueba llamada B.Simon.

Configuración del inicio de sesión único de F5

• Configuración del inicio de sesión único en F5 para la aplicación basada en encabezados

• Configuración del inicio de sesión único de F5 para la aplicación Kerberos avanzada

Configuración del inicio de sesión único de F5 para la aplicación Kerberos

Configuración guiada

1. Abra una nueva ventana del explorador web e inicie sesión en el sitio de empresa de F5 (Kerberos) como administrador y haga lo siguiente:

2. Debe importar el certificado de metadatos en el F5 que se utilizará más adelante en el proceso de configuración.

3. Vaya a Sistema > Administración de certificados > Administración de certificados de tráfico > Lista de certificados SSL. Seleccione Import (Importar) en la esquina derecha. Especifique un nombre de certificado (se hace referencia más adelante en la configuración). En Certificate Source (Origen del certificado), seleccione Upload file (Cargar archivo) y especifique el certificado descargado de Azure al configurar el inicio de sesión único de SAML. Seleccione Importar.

   

4. Además, necesita un certificado SSL para el nombre de host de la aplicación. Vaya a Administración de certificados del sistema > Administración de certificados de tráfico > Lista de certificados SSL >. Seleccione Import (Importar) en la esquina derecha. El tipo de importación es PKCS 12(IIS). Especifique un nombre de clave (al que se hace referencia más adelante en la configuración) y especifique el archivo PFX. Especifique el campo Password (Contraseña) del archivo PFX. Seleccione Importar.

   Nota

   En el ejemplo, el nombre de nuestra aplicación es Kerbapp.superdemo.live y estamos usando un certificado comodín, nuestro nombre de clave es WildCard-SuperDemo.live.

   

5. Usamos la experiencia guiada para configurar la federación y el acceso a aplicaciones de Microsoft Entra. Vaya a la página principal de F5 BIG-IP y seleccione Acceso > Configuración guiada > Federación > Proveedor de servicio SAML. Seleccione Siguiente y, a continuación, seleccione Siguiente para comenzar la configuración.

   

   

6. Proporcione un valor para Configuration Name (Nombre de configuración). Especifique el valor de id. de entidad (el mismo que configuró en la configuración de la aplicación de Microsoft Entra). Especifique el campo Host name (Nombre de host). Agregue un valor para Description (Descripción) como referencia. Acepte las entradas predeterminadas restantes y seleccione y, a continuación, seleccione Guardar y siguiente.

   

7. En este ejemplo vamos a crear un nuevo servidor virtual como 192.168.30.200 con el puerto 443. Especifique la dirección IP del servidor virtual en el campo Destination Address (Dirección de destino). Seleccione el campo SSL Profile (Perfil SSL) del cliente y seleccione Create new (Crear nuevo). Especifique el certificado de aplicación cargado anteriormente (el certificado de comodín en este ejemplo) y la clave asociada y, a continuación, seleccione Guardar y siguiente.

   Nota

   En este ejemplo, el servidor web interno se ejecuta en el puerto 80 y queremos publicarlo en el 443.

   

8. En Seleccionar método para configurar el conector de IdP, especifique Metadatos, seleccione Elegir archivo y cargue el archivo XML de metadatos descargado anteriormente de Microsoft Entra ID. Especifique un campo Name (Nombre) único para el conector del proveedor de identidades de SAML. Elija el Certificado de firma de metadatos que cargó anteriormente. Seleccione Guardar y siguiente.

   

9. En Select a Pool (Seleccionar un grupo), especifique Create New (Crear nuevo) (también puede seleccionar un grupo que ya existe). Deje los otros valores como predeterminados. En Pool Servers (Servidores de grupo), escriba la dirección IP en IP Address/Node Name (Dirección IP/Nombre de nodo). Especifique el campo Puerto. Seleccione Guardar y siguiente.

   

10. En la pantalla Single Sign-On Settings (Configuración de inicio de sesión único), seleccione Enable Single Sign-On (Habilitar inicio de sesión único).

11. En Selected Single Sign-On Type (Tipo de inicio de sesión único seleccionado), elija Kerberos. Reemplace session.saml.last.Identity por session.saml.last.attr.name.Identity en Username Source (esta variable se establece mediante la asignación de notificaciones en Microsoft Entra ID)

12. Seleccione Mostrar configuración avanzada

13. En Kerberos Realm (Dominio kerberos), escriba el nombre de dominio.

14. En Nombre y contraseña de cuenta especifique la cuenta y la contraseña de delegación de APM.

15. Especifique la dirección IP del controlador de dominio en el campo KDC.

16. Seleccione Guardar y siguiente.

17. Para los fines de esta guía, omitiremos las comprobaciones de puntos de conexión. Consulte la documentación de F5 para más información. En pantalla, seleccione Guardar y siguiente.

18. Acepte los valores predeterminados y seleccione Guardar y siguiente. Consulte la documentación de F5 para más información sobre la configuración de la administración de sesiones de SAML.

    

19. Revise la pantalla de resumen y seleccione Deploy (Implementar) para configurar BIG-IP.

    

20. Una vez configurada la aplicación, seleccione Finalizar.

    

Configuración avanzada

Nota

Para obtener referencia, seleccione aquí.

Configuración de un servidor de AAA de Active Directory

Configure un servidor de AAA de Active Directory en el Administrador de directivas de acceso (APM) para especificar los controladores de dominio y las credenciales que usará APM para autenticar a los usuarios.

1. En la pestaña Principal, seleccione Directiva de Acceso > Servidores AAA > Active Directory. Se abre la pantalla con la lista de servidores de Active Directory.

2. Seleccione Crear. Se abre la pantalla New Server properties (Propiedades del nuevo servidor).

3. En el campo Name (Nombre), escriba un nombre único para el servidor de autenticación.

4. En el campo Domain Name (Nombre de dominio), escriba el nombre del dominio de Windows.

5. Para la configuración de Server Connection (Conexión del servidor), seleccione una de estas opciones:

   • Seleccione Use Pool (Usar grupo) para configurar la alta disponibilidad del servidor de AAA.

   • Seleccione Direct (Directo) para configurar el servidor de AAA para la funcionalidad independiente.

6. Si ha seleccionado Direct (Directo), escriba un nombre en el campo Domain Controller (Controlador de dominio).

7. Si ha seleccionado Use Pool (Usar grupo), configure el grupo:

   • Escriba un nombre en el campo Domain Controller Pool Name (Nombre del grupo del controlador de dominio).

   • Especifique los controladores de dominio del grupo escribiendo la dirección IP y el nombre de host de cada uno y seleccionando el botón Agregar .

   • Para supervisar el estado del servidor de AAA, tiene la opción de seleccionar un monitor de estado: en este caso, solo es adecuado el monitor gateway_icmp; puede seleccionarlo en la lista Server Pool Monitor (Monitor del grupo de servidores).

8. En el campo Admin Name (Nombre del administrador), escriba un nombre con distinción entre mayúsculas y minúsculas para un administrador que tenga permisos administrativos en Active Directory. APM usa la información de los campos Admin Name (Nombre del administrador) y Admin Password (Contraseña del administrador) para la consulta de AD. Si Active Directory está configurado para consultas anónimas, no es necesario proporcionar un nombre de administrador. De lo contrario, APM necesita una cuenta con privilegios suficientes para enlazar a un servidor de Active Directory, capturar información del grupo de usuarios y capturar las directivas de contraseñas de Active Directory para admitir la funcionalidad relacionada con la contraseña. (APM debe capturar directivas de contraseña, por ejemplo, si selecciona la opción Preguntar al usuario para cambiar la contraseña antes de la expiración en una acción Consulta de AD). Si no proporciona información de la cuenta de administrador en esta configuración, APM usa la cuenta de usuario para capturar información. Esto funciona si la cuenta de usuario tiene privilegios suficientes.

9. En el campo Admin Password (Contraseña del administrador), escriba la contraseña del administrador asociada con el nombre de dominio.

10. En el campo Verify Admin Password (Verificar contraseña del administrador), vuelva a escribir la contraseña del administrador asociada con la configuración del nombre de dominio.

11. En el campo Group Cache Lifetime (Duración de la memoria caché de grupo), escriba el número de días. La duración predeterminada es de 30 días.

12. En el campo Password Security Object Cache Lifetime (Duración de la memoria caché del objeto de seguridad de contraseñas), escriba el número de días. La duración predeterminada es de 30 días.

13. En la lista Kerberos Preauthentication Encryption Type (Tipo de cifrado de la autenticación previa de Kerberos), seleccione un tipo de cifrado. El valor predeterminado es None (Ninguno). Si especifica un tipo de cifrado, el sistema BIG-IP incluye los datos de la autenticación previa de Kerberos en el primer paquete de solicitud del servicio de autenticación (AS-REQ).

14. En el campo Timeout (Tiempo de expiración), escriba un intervalo de tiempo de espera (en segundos) para el servidor de AAA. (Esta configuración es opcional).

15. Seleccione Finished (Finalizado). El nuevo servidor se muestra en la lista. Esto agrega el nuevo servidor de Active Directory a la lista servidores de Active Directory.

    

Configuración de SAML

1. Debe importar el certificado de metadatos en el F5 que se utilizará más adelante en el proceso de configuración. Vaya a Sistema > Administración de certificados > Administración de certificados de tráfico > Lista de certificados SSL. Seleccione Import (Importar) en la esquina derecha.

   

2. Para configurar el IDP de SAML, vaya a Acceso > Federación > SAML: Proveedor de servicio > Conectores de IDP externos y seleccione Crear > desde metadatos.

   

   

   

   

   

   

3. Para configurar el SP de SAML, vaya a Acceso > Federación > SAML Service Provider (Proveedor de servicio SAML) > Local SP Services (Servicios del SP local) y seleccione Crear. Complete la siguiente información y seleccione Aceptar.

   • Nombre de tipo: KerbApp200SAML
   • Identificador de entidad*: https://kerb-app.com.cutestat.com
   • Configuración del nombre del SP
   • Esquema: https
   • Host: kerbapp200.superdemo.live
   • Descripción: kerbapp200.superdemo.live

   

   b. Seleccione la configuración de SP, KerbApp200SAML y seleccione Bind/UnBind IdP Connectors (Enlazar/Desenlazar conectores del IdP).

   

   

   c. Seleccione Agregar nueva fila y Seleccione el conector de IdP externo creado en el paso anterior, seleccione Actualizar y, a continuación, seleccione Aceptar.

   

4. Para configurar Kerberos SSO, vaya a Acceso > inicio de sesión único > Kerberos, complete la información y seleccione Finalizar.

   Nota

   Necesita que se cree y especifique la cuenta de delegación de Kerberos. Consulte la sección KCD (consulte el apéndice para las referencias de variables).

   • Username Source (Origen del nombre de usuario): session.saml.last.attr.name.http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname

   • Origen del dominio del usuario: session.logon.last.domain

     

5. Para configurar el Perfil de Acceso, vaya a Perfil/Políticas > Perfil de Acceso > (por políticas de sesión), seleccione Crear, complete la siguiente información y seleccione Finalizar.

   • Nombre: KerbApp200

   • Tipo de perfil: All

   • Ámbito del perfil: Perfil

   • Lenguajes: Inglés

     

6. Seleccione el nombre KerbApp200, complete la siguiente información y seleccione Actualizar.

   • Cookie de dominio: superdemo.live

   • Configuración de SSO: KerAppSSO_sso

     

7. Seleccione Directiva de acceso y, a continuación, editar directiva de acceso para el perfil "KerbApp200".

   

   

   

   • session.logon.last.usernameUPN expr {[mcget {session.saml.last.identity}]}

   • session.ad.lastactualdomain TEXT superdemo.live

     

   • (userPrincipalName=%{session.logon.last.usernameUPN})

     

     

   • session.logon.last.username expr { "[mcget {session.ad.last.attr.sAMAccountName}]" }

     

   • mcget {session.logon.last.username}

   • mcget {session.logon.last.password

8. Para agregar Nuevo nodo, vaya a Lista de nodos > de tráfico > local, seleccione Crear, complete la siguiente información y, a continuación, seleccione Finalizar.

   • Nombre: KerbApp200

   • Descripción: KerbApp200

   • Dirección: 192.168.20.200

     

9. Para crear un nuevo grupo, vaya a Lista de grupos de tráfico >> local, seleccione Crear, complete la siguiente información y seleccione Finalizado.

   • Nombre: KerbApp200-Pool

   • Descripción: KerbApp200-Pool

   • Monitores de estado: http

   • Dirección: 192.168.20.200

   • Puerto de servicio: 81

     

10. Para crear un servidor virtual, vaya a Local Traffic > Virtual Servers > Virtual Server List > +, complete la siguiente información y seleccione Finalizar.

    • Nombre: KerbApp200

    • Destination Address/Mask (Dirección de destino/Máscara): Host 192.168.30.200

    • Puerto de servicio: Puerto 443 HTTPS

    • Perfil de acceso: KerbApp200

    • Especifique el perfil de acceso creado en el paso anterior.

      

      

Configuración de la delegación Kerberos

Nota

Para obtener referencia, seleccione aquí.

• Paso 1: Creación de una cuenta de delegación

  Ejemplo:

  • Nombre de dominio: superdemo.live

  • Nombre de cuenta de SAM: big-ipuser

  • New-ADUser -Name "APM Delegation Account" -UserPrincipalName host/big-ipuser.superdemo.live@superdemo.live -SamAccountName "big-ipuser" -PasswordNeverExpires $true -Enabled $true -AccountPassword (Read-Host -AsSecureString "Password!1234")

• Paso 2: Establecer SPN (en la cuenta de delegación de APM)

  Ejemplo:

  • setspn –A host/big-ipuser.superdemo.live big-ipuser

• Paso 3: Delegación de SPN (para la cuenta App Service)

  Configure la delegación adecuada para la cuenta de delegación de F5.

  En el ejemplo siguiente, se configura para KCD la cuenta de delegación de APM para la aplicación FRP-App1.superdemo. live.

  

• Proporcione los detalles tal como se mencionó en el documento de referencia anterior en esta documentación.

Creación de un usuario de prueba de F5

En esta sección, creará un usuario llamado B.Simon en F5. Trabaje con el equipo de soporte técnico del cliente de F5 para agregar los usuarios a la plataforma de F5. Los usuarios se tienen que crear y activar antes de usar el inicio de sesión único.

Prueba del inicio de sesión único

En esta sección va a probar la configuración de inicio de sesión único de Microsoft Entra usando el Panel de acceso.

Al seleccionar el icono de F5 en el Panel de acceso, debería iniciar sesión automáticamente en la versión de F5 para la que configuró el inicio de sesión único. Para más información sobre el Panel de acceso, consulte Introducción al Panel de acceso.

Recursos adicionales

• Lista de artículos sobre cómo integrar aplicaciones SaaS con Microsoft Entra ID

• ¿Qué es el acceso a la aplicación y el inicio de sesión único con Microsoft Entra ID?

• ¿Qué es el acceso condicional en Microsoft Entra ID?

• Configuración del inicio de sesión único en F5 para la aplicación basada en encabezados

• Configuración del inicio de sesión único de F5 para la aplicación Kerberos avanzada

• Integración de F5 BIG-IP APM y Microsoft Entra para el acceso híbrido seguro

• Artículo para implementar la máquina virtual F5 BIG-IP Virtual Edition en IaaS de Azure para el acceso híbrido seguro

• Artículo para la integración del inicio de sesión único de Microsoft Entra con BIG-IP de F5 para una VPN sin contraseña