Tutoriel : Intégration de Microsoft Entra avec Palo Alto Networks Captive Portal

  • Article

Dans ce tutoriel, vous apprendrez à intégrer Palo Alto Networks Captive Portal avec Microsoft Entra ID. L’intégration de Palo Alto Networks Captive Portal avec Microsoft Entra ID vous offre les avantages suivants :

  • Dans Microsoft Entra ID, vous pouvez contrôler qui a accès à Palo Alto Networks Captive Portal.
  • Vous pouvez permettre aux utilisateurs de se connecter automatiquement à Palo Alto Networks Captive Portal (par le biais de l’authentification unique) avec leur compte Microsoft Entra.
  • Vous pouvez gérer vos comptes à partir d’un emplacement central.

Prérequis

Pour intégrer Microsoft Entra ID à Palo Alto Networks Captive Portal, vous avez besoin des éléments suivants :

  • Un abonnement Microsoft Entra. Si vous n’avez pas Microsoft Entra ID, vous pouvez vous inscrire pour un essai d’un mois.
  • Un abonnement Palo Alto Networks Captive Portal pour lequel l’authentification unique (SSO) est activée.

Description du scénario

Dans ce didacticiel, vous configurez et testez l’authentification unique Microsoft Entra dans un environnement de test.

  • Palo Alto Networks Captive Portal prend en charge l’authentification unique initiée par le fournisseur d’identité
  • Palo Alto Networks Captive Portal prend en charge l’attribution d’utilisateurs juste-à-temps.

Pour configurer l’intégration de Palo Alto Networks Captive Portal avec Microsoft Entra ID, vous devez ajouter Palo Alto Networks Captive Portal à partir de la galerie à votre liste d’applications SaaS gérées.

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
  2. Accédez à Identité>Applications>Applications d’entreprise>Nouvelle application.
  3. Dans la section Ajouter à partir de la galerie, entrez Palo Alto Networks Captive Portal dans la zone de recherche.
  4. Sélectionnez Palo Alto Networks Captive Portal dans le volet de résultats, puis ajoutez l’application. Patientez quelques secondes pendant que l’application est ajoutée à votre locataire.

Vous pouvez également utiliser l’assistant Entreprise App Configuration. Dans cet assistant, vous pouvez ajouter une application à votre locataire, ajouter des utilisateurs/groupes à l’application, attribuer des rôles, mais également parcourir la configuration de l’authentification unique. En savoir plus sur les assistants Microsoft 365.

Configurer et tester Microsoft Entra SSO

Dans cette section, vous configurez et testez l’authentification unique Microsoft Entra avec Palo Alto Networks Captive Portal sur la base d’un utilisateur test appelé B.Simon. Pour que l’authentification unique fonctionne, une relation de lien entre un utilisateur Microsoft Entra et l’utilisateur associé dans Palo Alto Networks Captive Portal doit être établie.

Pour configurer et tester l’authentification unique Microsoft Entra avec Palo Alto Networks Captive Portal, effectuez les étapes suivantes :

  1. Configurez l’authentification unique Microsoft Entra pour permettre à l’utilisateur d’utiliser cette fonctionnalité.
  2. Configurer l’authentification unique Palo Alto Networks Captive Portal - Configurer les paramètres de l’authentification unique dans l’application.
  3. Tester l’authentification unique - Vérifier que la configuration fonctionne.

Configurer Microsoft Entra SSO

Effectuez ces étapes pour activer l’authentification unique Microsoft Entra.

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

  2. Accédez à Identité>Applications>Applications d’entreprise>Palo Alto Networks Captive Portal>Authentification unique.

  3. Dans la page Sélectionner une méthode d’authentification unique, sélectionnez SAML.

  4. Dans la page Configurer l’authentification unique avec SAML, cliquez sur l’icône de crayon de Configuration SAML de base afin de modifier les paramètres.

    Edit Basic SAML Configuration

  5. Dans le volet Configuration SAML de base, procédez comme suit :

    1. Pour Identificateur, entrez une URL au format https://<customer_firewall_host_name>/SAML20/SP.

    2. Pour URL de réponse, entrez une URL au format https://<customer_firewall_host_name>/SAML20/SP/ACS.

      Notes

      Mettez à jour les valeurs d’espace réservé à cette étape avec les URL d’identificateur et de réponse réelles. Pour obtenir les valeurs réelles, contactez l’équipe de support client Palo Alto Networks Captive Portal.

  6. Dans la section Certificat de signature SAML, en regard de XML de métadonnées de fédération, sélectionnez Télécharger. Enregistrez le fichier téléchargé sur votre ordinateur.

    The Federation Metadata XML download link

Créer un utilisateur de test Microsoft Entra

Dans cette section, vous allez créer un utilisateur de test appelé B.Simon.

  1. Connectez-vous au Centre d’administration de Microsoft Entra en tant qu’Administrateur de l’utilisateur.
  2. Accédez à Identité>Utilisateurs>Tous les utilisateurs.
  3. Sélectionnez Nouvel utilisateur>Créer un utilisateur dans la partie supérieure de l’écran.
  4. Dans les propriétés Utilisateur, effectuez les étapes suivantes :
    1. Dans le champ Nom d’affichage, entrez B.Simon.
    2. Dans le champ Nom d’utilisateur principal, entrez username@companydomain.extension. Par exemple : B.Simon@contoso.com.
    3. Cochez la case Afficher le mot de passe, puis notez la valeur affichée dans le champ Mot de passe.
    4. Sélectionnez Revoir + créer.
  5. Sélectionnez Create (Créer).

Attribuer l’utilisateur test Microsoft Entra

Dans cette section, vous autoriserez B.Simon à utiliser l’authentification unique en lui accordant l’accès à Palo Alto Networks Captive Portal.

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
  2. Accédez à Identité>Applications>Applications d’entreprise>Palo Alto Networks Captive Portal.
  3. Dans la page de présentation de l’application, sélectionnez Utilisateurs et groupes.
  4. Sélectionnez Ajouter un utilisateur/groupe, puis Utilisateurs et groupes dans la boîte de dialogue Ajouter une attribution.
    1. Dans la boîte de dialogue Utilisateurs et groupes, sélectionnez B. Simon dans la liste Utilisateurs, puis cliquez sur le bouton Sélectionner au bas de l’écran.
    2. Si vous attendez qu’un rôle soit attribué aux utilisateurs, vous pouvez le sélectionner dans la liste déroulante Sélectionner un rôle . Si aucun rôle n’a été configuré pour cette application, vous voyez le rôle « Accès par défaut » sélectionné.
    3. Dans la boîte de dialogue Ajouter une attribution, cliquez sur le bouton Attribuer.

Configurer l’authentification unique Palo Alto Networks Captive Portal

Ensuite, configurez l’authentification unique dans Palo Alto Networks Captive Portal :

  1. Dans une autre fenêtre de navigateur, connectez-vous au site web Palo Alto Networks en tant qu’administrateur.

  2. Sélectionnez l’onglet Appareil.

    The Palo Alto Networks website Device tab

  3. Dans le menu, sélectionnez SAML Identity Provider (Fournisseur d’identité SAML), puis sélectionnez Import.

    The Import button

  4. Dans la boîte de dialogue SAML Identity Provider Server Profile Import (Importer le profil de serveur du fournisseur d’identité SAML), effectuez les étapes suivantes :

    Configure Palo Alto Networks single sign-on

    1. Pour Nom du profil, entrez un nom, par exemple AzureAD-CaptivePortal.

    2. En regard d’Identity Provider Metadata (Métadonnées du fournisseur d’identité), sélectionnez Browse (Parcourir). Sélectionnez le fichier metadata.xml que vous avez téléchargé.

    3. Cliquez sur OK.

Créer un utilisateur de test Palo Alto Networks Captive Portal

Ensuite, créez un utilisateur nommé Britta Simon dans Palo Alto Networks Captive Portal. Palo Alto Networks Captive Portal prend en charge l’attribution d’utilisateurs juste-à-temps, qui est activée par défaut. Vous n’avez pas besoin d’effectuer de tâches dans cette section. S’il n’existe pas encore d’utilisateur dans Palo Alto Networks Captive Portal, il en est créé un après l’authentification.

Notes

Si vous souhaitez créer un utilisateur manuellement, contactez l’équipe de support client de Palo Alto Networks Captive Portal.

Tester l’authentification unique (SSO)

Dans cette section, vous testez votre configuration d’authentification unique Microsoft Entra avec les options suivantes.

  • Cliquez sur Tester cette application. Vous devriez être connecté automatiquement à l’instance de Palo Alto Networks Captive Portal pour laquelle vous avez configuré l’authentification unique

  • Vous pouvez utiliser Mes applications de Microsoft. Quand vous cliquez sur la vignette Palo Alto Networks Captive Portal dans Mes applications, vous devez être connecté automatiquement à l’application Palo Alto Networks Captive Portal pour laquelle vous avez configuré l’authentification unique. Pour plus d’informations sur Mes applications, consultez Présentation de Mes applications.

Étapes suivantes

Après avoir configuré Palo Alto Networks Captive Portal, vous pouvez appliquer le contrôle de session, qui protège contre l’exfiltration et l’infiltration des données sensibles de votre organisation en temps réel. Le contrôle de session est étendu à partir de l’accès conditionnel. Découvrez comment appliquer un contrôle de session avec Microsoft Defender for Cloud Apps.