Notes
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Dans cet article, vous allez apprendre à intégrer Check Point Remote Secure Access VPN à Microsoft Entra ID. Lorsque vous intégrez Check Point Remote Secure Access VPN avec Microsoft Entra ID, vous pouvez :
- Contrôlez dans Microsoft Entra ID qui a accès au VPN Check Point Remote Secure Access.
- Permettez à vos utilisateurs d'être automatiquement connectés au VPN Check Point Remote Secure Access avec leurs comptes Microsoft Entra.
- Gérer vos comptes à partir d’un emplacement central.
Prérequis
Le scénario décrit dans cet article suppose que vous disposez déjà des conditions préalables suivantes :
- Un compte d’utilisateur Microsoft Entra avec un abonnement actif. Si vous n’en avez pas encore, vous pouvez créer un compte gratuitement.
- L’un des rôles suivants :
- Un abonnement Check Point Remote Secure Access VPN pour lequel l’authentification SSO (authentification unique) est activée.
Description du scénario
Dans cet article, vous allez configurer et tester l’authentification unique Microsoft Entra dans un environnement de test.
- Check Point Remote Secure Access VPN prend en charge le SSO initié par le fournisseur de services.
Ajout de Check Point Remote Secure Access VPN à partir de la galerie
Pour configurer l'intégration de Check Point Remote Secure Access VPN dans Microsoft Entra ID, vous devez ajouter Check Point Remote Secure Access VPN depuis la galerie à votre liste d'applications SaaS gérées.
- Connectez-vous au Centre d’administration Microsoft Entra en tant qu’administrateur d’application cloud au moins.
- Accédez à Entra ID>applications d'entreprise>Nouvelle application.
- Dans la section Ajouter à partir de la galerie , tapez Check Point Remote Secure Access VPN dans la zone de recherche.
- Sélectionnez Check Point Remote Secure Access VPN dans le volet de résultats, puis ajoutez l’application. Patientez quelques secondes pendant que l’application est ajoutée à votre locataire.
Vous pouvez sinon également utiliser l’Assistant de configuration des applications d'entreprise . Dans cet assistant, vous pouvez ajouter une application à votre instance, ajouter des utilisateurs/groupes à l’application, attribuer des rôles, ainsi que parcourir la configuration de l’authentification unique (SSO). En savoir plus sur les assistants Microsoft 365.
Configurer et tester Microsoft Entra SSO pour Check Point Remote Secure Access VPN
Configurez et testez l’authentification unique Microsoft Entra avec Check Point Remote Secure Access VPN à l’aide d’un utilisateur de test appelé B.Simon. Pour que SSO fonctionne, vous devez établir une relation de lien entre un utilisateur Microsoft Entra et l'utilisateur associé dans Check Point Remote Secure Access VPN.
Pour configurer et tester Microsoft Entra SSO avec Check Point Remote Secure Access VPN, effectuez les étapes suivantes :
Configurez l’authentification unique Microsoft Entra pour permettre à vos utilisateurs d’utiliser cette fonctionnalité.
- Créer un utilisateur de test Microsoft Entra pour tester l’authentification unique Microsoft Entra avec B.Simon.
- Affectez l’utilisateur de test Microsoft Entra pour permettre à B.Simon d’utiliser l’authentification unique Microsoft Entra.
Configurez l’authentification unique VPN Check Point Remote Secure Access pour permettre à vos utilisateurs d’utiliser cette fonctionnalité.
- Créer un utilisateur de test Check Point Remote Secure Access VPN pour avoir un équivalent de B.Simon dans Check Point Remote Secure Access VPN lié à la représentation Microsoft Entra de l’utilisateur.
Test SSO pour vérifier si la configuration fonctionne.
Configurer Microsoft Entra SSO
Effectuez ces étapes pour activer l’authentification unique Microsoft Entra.
Connectez-vous au Centre d’administration Microsoft Entra en tant qu’administrateur d’application cloud au moins.
Accédez à Entra ID>Enterprise apps>Check Point Remote Secure Access VPN>Authentification unique.
Dans la page Sélectionner une méthode d’authentification unique , sélectionnez SAML.
Dans la page Configurer l’authentification unique avec SAML , sélectionnez l’icône crayon de configuration SAML de base pour modifier les paramètres.
Dans la section Configuration SAML de base , entrez les valeurs des champs suivants :
Dans la zone de texte
Identificateur (ID d’entité), tapez une URL au format suivant : Dans la zone de texte URL de réponse , tapez une URL à l’aide du modèle suivant :
https://<GATEWAY_IP>/saml-vpn/spPortal/ACS/Login/<IDENTIFIER_UID>
Dans la zone de texte URL de connexion , tapez une URL à l’aide du modèle suivant :
https://<GATEWAY_IP>/saml-vpn/
Remarque
Ces valeurs ne sont pas réelles. Mettez à jour ces valeurs avec l’identificateur, l’URL d’authentification et l’URL de réponse réels. Pour obtenir ces valeurs, contactez l’équipe du support technique de Check Point Remote Secure Access VPN Client. Vous pouvez également faire référence aux modèles indiqués dans la section Configuration SAML de base .
Dans la page Configurer l’authentification unique avec SAML , dans la section Certificat de signature SAML , recherchez le code XML des métadonnées de fédération , puis sélectionnez Télécharger pour télécharger le certificat et l’enregistrer sur votre ordinateur.
Dans la section Configurer Check Point Remote Secure Access VPN , copiez la ou les URL appropriées en fonction de vos besoins.
Créer et affecter un utilisateur de test Microsoft Entra
Suivez les instructions de création et d’affectation d’un compte d’utilisateur pour créer un compte d’utilisateur de test appelé B.Simon.
Configurer l’authentification SSO pour Check Point Remote Secure Access VPN
Configurer un objet de profil utilisateur externe
Remarque
Cette section est nécessaire uniquement si vous ne souhaitez pas utiliser un annuaire Active Directory local (LDAP).
Configurez un profil utilisateur générique dans le SmartDashboard hérité :
Dans SmartConsole, accédez à
Gérer & Paramètres .Blades Dans la section Mobile Access , sélectionnez Configurer dans SmartDashboard. Le SmartDashboard hérité s’ouvre.
Dans le volet Objets réseau, puis sélectionnez Utilisateurs.
Cliquez avec le bouton droit sur un espace vide, puis sélectionnez Nouveau > profil > utilisateur externe correspondant à tous les utilisateurs.
Configurez les propriétés de profil utilisateur externe :
Dans la page Propriétés générales :
- Dans le champ Nom du profil utilisateur externe , laissez le nom par défaut
generic
* - Dans le champ Date d’expiration , définissez la date applicable
- Dans le champ Nom du profil utilisateur externe , laissez le nom par défaut
Dans la page Authentification :
- Dans la liste déroulante Schéma d’authentification , sélectionnez
undefined
- Dans la liste déroulante Schéma d’authentification , sélectionnez
Dans les pages Emplacement, Heure et Chiffrement :
- Configurez les autres paramètres applicables
Sélectionnez OK.
Dans la barre d’outils supérieure, sélectionnez Mettre à jour (ou appuyez sur Ctrl + S).
Fermez SmartDashboard.
Dans SmartConsole, installez la stratégie de contrôle d’accès.
Configurer Remote Access VPN
Ouvrez l’objet de la passerelle de sécurité applicable.
Dans la page Propriétés générales, activez le Software Blade IPSec VPN.
Dans l’arborescence gauche, sélectionnez la page VPN IPSec .
Dans la section Cette passerelle de sécurité participe aux communautés VPN suivantes, sélectionnez Ajouter et sélectionner Communauté d’accès à distance.
Dans l’arborescence de gauche, sélectionnez Accès à distance des clients > VPN.
Activer le mode visiteur de support.
Dans l’arborescence de gauche, sélectionnez Clients VPN Mode Office>.
Sélectionnez Autoriser le mode Office et sélectionnez la méthode de mode Office applicable.
Dans l’arborescence de gauche, sélectionnez Paramètres du portail SAML des clients > VPN.
Vérifiez que l’URL principale contient le nom de domaine complet de la passerelle. Ce nom de domaine doit finir par un suffixe DNS inscrit par votre organisation. Par exemple :
https://gateway1.company.com/saml-vpn
Vérifiez que le certificat est approuvé par le navigateur des utilisateurs finaux.
Sélectionnez OK.
Configurer un objet de fournisseur d’identité
Effectuez les étapes suivantes pour chaque passerelle de sécurité qui participe à Remote Access VPN.
Dans SmartConsole, dans la vue
Passerelles & Serveurs , sélectionnezNouveau Plus Utilisateur/Identité Fournisseur d'identité . Effectuez les étapes suivantes dans la fenêtre Nouveau fournisseur d’identité .
a) Dans le champ Passerelle , sélectionnez la passerelle de sécurité, qui doit effectuer l’authentification SAML.
b. Dans le champ Service , sélectionnez VPN d’accès à distance dans la liste déroulante.
v. Copiez la valeur Identifier(ID d’entité), collez cette valeur dans la zone de texte Identificateur dans la section Configuration SAML de base .
d. Copiez la valeur de l’URL de réponse , collez cette valeur dans la zone de texte URL de réponse dans la section Configuration SAML de base .
é. Sélectionnez Importer le fichier de métadonnées pour charger le xml de métadonnées de fédération téléchargé.
Remarque
Vous pouvez également sélectionner Insérer manuellement pour coller manuellement l’ID d’entité et les valeurs d’URL de connexion dans les champs correspondants, puis charger le fichier de certificat.
f. Sélectionnez OK.
Configurer le fournisseur d’identité en tant que méthode d’authentification
Ouvrez l’objet de la passerelle de sécurité applicable.
Dans la page Authentification des clients > VPN :
a) Désactivez la case à cocher Autoriser les anciens clients à se connecter à cette passerelle.
b. Ajoutez un nouvel objet ou modifiez un domaine existant.
Entrez un nom et un nom complet, puis ajoutez/modifiez une méthode d’authentification : si l’option de connexion est utilisée sur les GW qui participent à MEP, pour garantir une expérience utilisateur fluide, le nom doit commencer par le préfixe
SAMLVPN_
.Sélectionnez l’option Fournisseur d’identité, sélectionnez le bouton vert
+
et sélectionnez l’objet Fournisseur d’identité applicable.Dans la fenêtre Options de connexion multiples : dans le volet gauche, sélectionnez Répertoires utilisateur , puis configuration manuelle. Nous avons deux options :
- Si vous ne souhaitez pas utiliser un annuaire Active Directory local (LDAP), sélectionnez uniquement profils utilisateur externes et ok.
- Si vous souhaitez utiliser un annuaire Active Directory local (LDAP), sélectionnez uniquement LDAP users (Utilisateurs LDAP), puis dans LDAP Lookup Type (Type de recherche LDAP), sélectionnez email (e-mail). Sélectionnez ensuite OK.
Configurez les paramètres nécessaires dans la base de données de gestion :
Fermez SmartConsole.
Connectez-vous à l’outil GuiDBEdit au serveur d’administration (voir sk13009).
Dans le volet supérieur gauche, accédez à Modifier les > objets réseau.
Dans le volet supérieur droit, sélectionnez l’objet Security Gateway.
Dans le volet inférieur, accédez à realms_for_blades>vpn.
Si vous ne souhaitez pas utiliser un annuaire Active Directory local (LDAP), définissez do_ldap_fetch sur false et do_generic_fetch sur true. Sélectionnez OK. Si vous souhaitez utiliser un annuaire Active Directory local (LDAP), définissez do_ldap_fetch sur true et do_generic_fetch sur false. Sélectionnez OK.
Répétez les étapes 4 à 6 pour toutes les passerelles de sécurité applicables.
Enregistrez toutes les modifications en sélectionnant Fichier>Enregistrer tout.
Fermez l’outil GuiDBEdit.
Chaque passerelle de sécurité et chaque blade logicielle a des paramètres distincts. Vérifiez les paramètres de chaque passerelle de sécurité et de chaque blade logicielle qui utilise l’authentification (VPN, Mobile Access et Identity Awareness).
Veillez à sélectionner l’option UTILISATEURS LDAP uniquement pour les panneaux logiciels qui utilisent LDAP.
Veillez à sélectionner l’option Profils utilisateur externes uniquement pour les panneaux logiciels qui n’utilisent pas LDAP.
Installez la stratégie de contrôle d’accès sur chaque passerelle de sécurité.
Installation et configuration du client VPN RA
Installez le client VPN.
Définissez le mode d’exploration du fournisseur d’identité (facultatif).
Par défaut, le client Windows utilise son navigateur intégré, et le client macOS utilise Safari pour s’authentifier sur le portail du fournisseur d’identité. Pour les clients Windows, modifiez ce comportement de façon à utiliser Internet Explorer à la place :
Sur la machine cliente, ouvrez un éditeur de texte brut en tant qu’administrateur.
Ouvrez le fichier
trac.defaults
dans l’éditeur de texte.Sur les éditions 32 bits de Windows :
%ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults
Sur les éditions 64 bits de Windows :
%ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults
Remplacez la valeur
idp_browser_mode
de l’attributembedded
parIE
.Enregistrez le fichier .
Redémarrez le service du client Check Point Endpoint Security VPN.
Ouvrez l’invite de commandes Windows en tant qu’administrateur, puis exécutez les commandes suivantes :
# net stop TracSrvWrapper
# net start TracSrvWrapper
Démarrez l’authentification avec le navigateur s’exécutant en arrière-plan :
Sur la machine cliente, ouvrez un éditeur de texte brut en tant qu’administrateur.
Ouvrez le fichier
trac.defaults
dans l’éditeur de texte.Sur les éditions 32 bits de Windows :
%ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults
Sur les éditions 64 bits de Windows :
%ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults
Sur macOS :
/Library/Application Support/Checkpoint/Endpoint Security/Endpoint Connect/trac.defaults
Remplacez la valeur de
idp_show_browser_primary_auth_flow
parfalse
.Enregistrez le fichier .
Redémarrez le service du client Check Point Endpoint Security VPN.
Sur les clients Windows, ouvrez l’invite de commandes Windows en tant qu’administrateur, puis exécutez les commandes suivantes :
# net stop TracSrvWrapper
# net start TracSrvWrapper
Sur les clients macOS, exécutez :
sudo launchctl stop com.checkpoint.epc.service
sudo launchctl start com.checkpoint.epc.service
Créer l’utilisateur de test Check Point Remote Secure Access VPN
Dans cette section, vous allez créer une utilisatrice appelée Britta Simon dans Check Point Remote Secure Access VPN. Collaborez avec l’équipe du support technique Check Point Remote Secure Access VPN pour ajouter les utilisateurs à la plateforme VPN Check Point Remote Secure Access. Les utilisateurs doivent être créés et activés avant que vous utilisiez l’authentification unique.
Tester l’authentification unique (SSO)
Ouvrez le client VPN et sélectionnez Se connecter à....
Sélectionnez Site dans la liste déroulante, puis sélectionnez Se connecter.
Dans la fenêtre contextuelle de connexion Microsoft Entra, connectez-vous à l’aide des informations d’identification Microsoft Entra que vous avez créées dans la section Créer un utilisateur de test Microsoft Entra .
Contenu connexe
Une fois que vous avez configuré Check Point Remote Secure Access VPN, vous pouvez appliquer le contrôle de session, qui protège contre l’exfiltration et l’infiltration des données sensibles de votre organisation en temps réel. Le contrôle de session est étendu à partir de l’accès conditionnel. Découvrez comment appliquer le contrôle de session avec Microsoft Defender pour Cloud Apps.