Tutoriel : Intégration de l’authentification unique (SSO) Microsoft Entra à Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service
Dans ce tutoriel, vous apprenez à intégrer Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service à Microsoft Entra ID. Quand vous intégrez Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service à Microsoft Entra ID, vous pouvez :
- Contrôler dans Microsoft Entra qui a accès à Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service.
- Permettre à vos utilisateurs d’être connectés automatiquement à Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service avec leur compte Microsoft Entra.
- Gérer vos comptes à partir d’un emplacement central.
Prérequis
Pour commencer, vous devez disposer de ce qui suit :
- Un abonnement Microsoft Entra. Si vous ne disposez d’aucun abonnement, vous pouvez obtenir un compte gratuit.
- Un abonnement avec authentification unique Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service activée.
Description du scénario
Dans ce tutoriel, vous configurez et testez Microsoft Entra SSO dans un environnement de test.
Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service prend en charge l’authentification unique SP initiée.
Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service prend en charge le provisionnement utilisateur juste à temps.
Ajouter Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service à partir de la galerie
Pour configurer l’intégration de Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service dans Microsoft Entra ID, vous devez ajouter Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service à partir de la galerie à votre liste d’applications SaaS managées.
- Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
- Accédez à Identité>Applications>Applications d’entreprise>Nouvelle application.
- Dans la section Ajouter à partir de la galerie, saisissez Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service dans le champ de recherche.
- Sélectionnez Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service dans le volet de résultats et ajoutez l’application. Patientez quelques secondes pendant que l’application est ajoutée à votre locataire.
Vous pouvez également utiliser l’assistant Entreprise App Configuration. Dans cet assistant, vous pouvez ajouter une application à votre locataire, ajouter des utilisateurs/groupes à l’application, attribuer des rôles, mais également parcourir la configuration de l’authentification unique. En savoir plus sur les assistants Microsoft 365.
Configurer et tester SSO Microsoft Entra pour Palo Alto Networks Cloud Identity Engine-Cloud Authentication Service
Configurez et testez SSO Microsoft Entra avec Palo Alto Networks Cloud Identity Engine-Cloud Authentication Service pour un utilisateur de test appelé B.Simon. Pour que SSO fonctionne, vous devez établir une liaison entre un utilisateur Microsoft Entra et l’utilisateur Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service associé.
Pour configurer et tester SSO Microsoft Entra avec Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, effectuez les étapes suivantes :
- Configurez l’authentification unique Microsoft Entra pour permettre à vos utilisateurs d’utiliser cette fonctionnalité.
- Créez un utilisateur de test Microsoft Entra pour tester l’authentification unique Microsoft Entra avec B.Simon.
- Attribuer l’utilisateur test Microsoft Entra – pour permettre à B.Simon d’utiliser l’authentification unique Microsoft Entra.
- Configurer Palo Alto Networks Cloud Identity Engine-Cloud Authentication service SSO pour configurer les paramètres d’authentification unique côté application.
- Créer un utilisateur de test Palo Alto Networks Cloud Identity Engine -Cloud Authentication Service, pour avoir dans Palo Alto Networks Cloud Identity Engine-Cloud Authentication Service un équivalent de B.Simon lié à la représentation Microsoft Entra de l’utilisateur.
- Tester l’authentification unique pour vérifier si la configuration fonctionne.
Configurer Microsoft Entra SSO
Effectuez ces étapes pour activer l’authentification unique Microsoft Entra.
Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
Accédez à Identité>Applications>Applications d’entreprise>Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service>Authentification unique.
Dans la page Sélectionner une méthode d’authentification unique, sélectionnez SAML.
Dans la page Configurer l’authentification unique avec SAML, cliquez sur l’icône de crayon de Configuration SAML de base afin de modifier les paramètres.
Dans la section Configuration SAML de base, si vous disposez d’un fichier de métadonnées du fournisseur de services, suivez les étapes ci-dessous :
a. Cliquez sur Charger un fichier de métadonnées.
b. Cliquez sur le logo du dossier pour sélectionner le fichier de métadonnées, puis cliquez sur Charger.
c. Une fois le fichier de métadonnées correctement chargé, la valeur Identificateur est automatiquement renseignée dans la section Configuration SAML de base.
d. Dans la zone de texte URL de connexion, tapez une URL au format suivant :
https://<RegionUrl>.paloaltonetworks.com/sp/acs.Remarque
Si la valeur Identificateur n’est pas automatiquement renseignée, renseignez-la manuellement. La valeur de l’URL de connexion n’est pas réelle. Mettez à jour la valeur avec l’URL de connexion réelle. Contactez l’équipe du support technique de Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service Client pour obtenir cette valeur. Vous pouvez également consulter les modèles figurant à la section Configuration SAML de base.
L’application Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service attend les assertions SAML dans un format spécifique, ce qui vous oblige à ajouter des mappages d’attributs personnalisés à votre configuration d’attributs de jeton SAML. La capture d’écran suivante montre la liste des attributs par défaut.
En plus de ce qui précède, l’application Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service s’attend à ce que quelques attributs supplémentaires (présentés ci-dessus) soient repassés dans la réponse SAML. Ces attributs sont également préremplis, mais vous pouvez les examiner pour voir s’ils répondent à vos besoins.
Nom Attribut source Groupe user.groups username user.userprincipalname Dans la page Configurer l’authentification unique avec SAML, dans la section Certificat de signature SAML, cliquez sur le bouton Copier pour copier l’URL des métadonnées de fédération d’application, puis enregistrez-la sur votre ordinateur.
Créer un utilisateur de test Microsoft Entra
Dans cette section, vous allez créer un utilisateur de test appelé B.Simon.
- Connectez-vous au Centre d’administration de Microsoft Entra en tant qu’Administrateur de l’utilisateur.
- Accédez à Identité>Utilisateurs>Tous les utilisateurs.
- Sélectionnez Nouvel utilisateur>Créer un utilisateur dans la partie supérieure de l’écran.
- Dans les propriétés Utilisateur, effectuez les étapes suivantes :
- Dans le champ Nom d’affichage, entrez
B.Simon. - Dans le champ Nom d’utilisateur principal, entrez username@companydomain.extension. Par exemple :
B.Simon@contoso.com. - Cochez la case Afficher le mot de passe, puis notez la valeur affichée dans le champ Mot de passe.
- Sélectionnez Revoir + créer.
- Dans le champ Nom d’affichage, entrez
- Sélectionnez Create (Créer).
Attribuer l’utilisateur test Microsoft Entra
Dans cette section, vous allez autoriser B.Simon à utiliser l’authentification unique en lui octroyant un accès à Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service.
- Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
- Accédez à Identité>Applications>Applications d’entreprise>Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service.
- Dans la page de présentation de l’application, sélectionnez Utilisateurs et groupes.
- Sélectionnez Ajouter un utilisateur/groupe, puis Utilisateurs et groupes dans la boîte de dialogue Ajouter une attribution.
- Dans la boîte de dialogue Utilisateurs et groupes, sélectionnez B. Simon dans la liste Utilisateurs, puis cliquez sur le bouton Sélectionner au bas de l’écran.
- Si vous attendez qu’un rôle soit attribué aux utilisateurs, vous pouvez le sélectionner dans la liste déroulante Sélectionner un rôle . Si aucun rôle n’a été configuré pour cette application, vous voyez le rôle « Accès par défaut » sélectionné.
- Dans la boîte de dialogue Ajouter une attribution, cliquez sur le bouton Attribuer.
Configurer l’authentification unique de Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service
Connectez-vous à votre site d’entreprise Palo Alto Networks Cloud Identity Engine-Cloud Authentication Service en tant qu’administrateur.
Accédez à Authentification>Fournisseurs d’identité, puis cliquez sur Ajouter un fournisseur d’identité.
Dans la page Configurer l’authentification SAML, procédez comme suit.
a. À l'étape 1, cliquez sur Télécharger les métadonnées SP pour télécharger le fichier de métadonnées et l'enregistrer sur votre ordinateur.
b. Depuis l’Étape 2, renseignez les champs requis pour configurer le profil de votre fournisseur d’identité que vous avez copiés précédemment.
c. À l’étape 3, cliquez sur Tester le programme d’installation SAML pour vérifier la configuration du profil et sélectionnez l'authentification multifacteur est activée sur le fournisseur d’identité.
Remarque
Pour tester SSO dans Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, ouvrez la console Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, puis cliquez sur le bouton Test Connection et authentifiez-vous en utilisant le compte de test que vous avez créé dans la section Créer un utilisateur de test Microsoft Entra.
d. À l’étape 4, entrez l'ATTRIBUT DE NOM D’UTILISATEUR, puis cliquez sur Envoyer.
Créer un utilisateur test pour Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service
Dans cette section, un utilisateur appelé Britta Simon est créé dans Palo Alto Networks Cloud Identity Engine-Cloud Authentication Service. Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service prend en charge le provisionnement juste à temps des utilisateurs, qui est activé par défaut. Vous n’avez aucune opération à effectuer dans cette section. S’il n’existe pas encore d’utilisateur dans Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, il en est créé un après l’authentification.
Tester l’authentification unique (SSO)
Pour tester SSO dans Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, ouvrez la console Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, puis cliquez sur le bouton Test Connection et authentifiez-vous en utilisant le compte de test que vous avez créé dans la section Créer un utilisateur de test Microsoft Entra.
Étapes suivantes
Après avoir configuré Palo Alto Networks Cloud Identity Engine - Cloud Authentication Service, vous pouvez appliquer le contrôle de session, qui protège contre l’exfiltration et l’infiltration des données sensibles de votre organisation en temps réel. Le contrôle de session est étendu à partir de l’accès conditionnel. Découvrez comment appliquer un contrôle de session avec Microsoft Defender for Cloud Apps.