Tutorial: Integrasi SSO Microsoft Entra dengan Palo Alto Networks - Admin UI

Dalam tutorial ini, Anda akan mempelajari cara mengintegrasikan Palo Alto Networks - Admin UI dengan MICROSOFT Entra ID. Saat mengintegrasikan Palo Alto Networks - Admin UI dengan Microsoft Entra ID, Anda dapat:

• Mengontrol microsoft Entra ID yang memiliki akses ke Palo Alto Networks - Admin UI.
• Memungkinkan pengguna Anda untuk masuk secara otomatis ke Palo Alto Networks - Admin UI dengan akun Microsoft Entra mereka.
• Kelola akun Anda di satu lokasi pusat.

Prasyarat

Untuk memulai, Anda membutuhkan item berikut:

• Langganan Microsoft Entra. Jika tidak memiliki langganan, Anda bisa mendapatkan akun gratis.
• Palo Alto Networks - Langganan yang mengaktifkan akses menyeluruh (SSO) Admin UI.
• Ini adalah persyaratan bahwa layanan harus tersedia untuk umum. Untuk mengetahui informasi selengkapnya, silakan buka link ini.

Deskripsi Skenario

Dalam tutorial ini, Anda mengonfigurasi dan menguji akses menyeluruh Microsoft Entra di lingkungan pengujian.

• Palo Alto Networks - Admin UI mendukung SSO yang diinisiasi SP.
• Palo Alto Networks - Admin UI mendukung provisi pengguna Just-In-Time.

Menambahkan Palo Alto Networks - Admin UI dari galeri

Untuk mengonfigurasi integrasi Palo Alto Networks - Admin UI ke MICROSOFT Entra ID, Anda perlu menambahkan Palo Alto Networks - Admin UI dari galeri ke daftar aplikasi SaaS terkelola Anda.

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Aplikasi Cloud.
2. Telusuri aplikasi Identity>Applications>Enterprise Aplikasi> baru.
3. Di bagian Tambahkan dari galeri, ketik Palo Alto Networks - Admin UI di kotak pencarian.
4. Pilih Palo Alto Networks - Admin UI dari panel hasil lalu tambahkan aplikasi. Tunggu beberapa saat selagi aplikasi ditambahkan ke penyewa Anda.

Atau, Anda juga dapat menggunakan Wizard App Configuration Enterprise. Dalam wizard ini, Anda dapat menambahkan aplikasi ke penyewa Anda, menambahkan pengguna/grup ke aplikasi, menetapkan peran, serta menelusuri konfigurasi SSO juga. Pelajari selengkapnya tentang wizard Microsoft 365.

Mengonfigurasi dan menguji Microsoft Entra SSO untuk Palo Alto Networks - Admin UI

Di bagian ini, Anda mengonfigurasi dan menguji akses menyeluruh Microsoft Entra dengan Palo Alto Networks - Admin UI berdasarkan pengguna uji bernama B.Simon. Agar akses menyeluruh berfungsi, hubungan tautan antara pengguna Microsoft Entra dan pengguna terkait di Palo Alto Networks - Admin UI perlu dibuat.

Untuk mengonfigurasi dan menguji akses menyeluruh Microsoft Entra dengan Palo Alto Networks - Admin UI, lakukan langkah-langkah berikut:

1. Konfigurasikan SSO Microsoft Entra - untuk memungkinkan pengguna Anda menggunakan fitur ini.
   1. Buat pengguna uji Microsoft Entra - untuk menguji akses menyeluruh Microsoft Entra dengan B.Simon.
   2. Tetapkan pengguna uji Microsoft Entra - untuk mengaktifkan B.Simon untuk menggunakan akses menyeluruh Microsoft Entra.
2. Konfigurasikan SSO Palo Alto Networks - Admin UI - untuk mengonfigurasikan pengaturan akses menyeluruh di sisi aplikasi.
   1. Buat pengguna uji Palo Alto Networks - Admin UI - untuk memiliki mitra B.Simon di Palo Alto Networks - Admin UI yang ditautkan ke representasi Microsoft Entra pengguna.
3. Uji SSO - untuk memverifikasi apakah konfigurasi berfungsi.

Mengonfigurasi SSO Microsoft Entra

Ikuti langkah-langkah ini untuk mengaktifkan SSO Microsoft Entra.

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Aplikasi Cloud.

2. Telusuri aplikasi >Identity>Applications>Enterprise Palo Alto Networks - Admin UI>Single sign-on.

3. Di halaman Pilih metode akses menyeluruh, pilih SAML.

4. Di halaman Menyiapkan akses menyeluruh dengan SAML, klik ikon pensil untuk Konfigurasi SAML Dasar untuk mengedit pengaturan.

   

5. Pada bagian Konfigurasi SAML Dasar, lakukan langkah-langkah berikut:

   a. Dalam kotak Pengidentifikasi URL, ketik URL menggunakan pola berikut: https://<Customer Firewall FQDN>:443/SAML20/SP

   b. Di kotak teks URL Balasan, ketik URL Assertion Consumer Service (ACS) menggunakan pola berikut: https://<Customer Firewall FQDN>:443/SAML20/SP/ACS

   c. Di kotak teks URL Masuk, ketik URL menggunakan pola berikut: https://<Customer Firewall FQDN>/php/login.php

   Catatan

   Nilai-nilai ini tidak nyata. Perbarui nilai ini dengan Pengidentifikasi, URL Balasan, dan URL Masuk yang sebenarnya. Hubungi tim dukungan Klien Palo Alto Networks - Admin UI untuk mendapatkan nilai-nilai ini. Anda juga dapat merujuk ke pola yang ditampilkan di bagian Konfigurasi SAML Dasar.

   Port 443 diperlukan pada Pengidentifikasi dan URL Balasan karena nilai-nilai ini dikodekan ke dalam Palo Alto Firewall. Menghapus nomor port akan mengakibatkan kesalahan selama login jika dihapus.

   Port 443 diperlukan pada Pengidentifikasi dan URL Balasan karena nilai-nilai ini dikodekan ke dalam Palo Alto Firewall. Menghapus nomor port akan mengakibatkan kesalahan selama login jika dihapus.

6. Aplikasi Palo Alto Networks - Admin UI mengharapkan pernyataan SAML dalam format tertentu, yang mengharuskan Anda untuk menambahkan pemetaan atribut kustom ke konfigurasi atribut token SAML Anda. Cuplikan layar berikut menampilkan daftar atribut default.

   

   Catatan

   Karena nilai atribut hanya contoh, petakan nilai yang sesuai untuk nama pengguna dan adminrole. Ada atribut opsional lainnya, accessdomain, yang digunakan untuk membatasi akses admin ke sistem virtual tertentu pada firewall.

7. Selain tambahan di atas, aplikasi Palo Alto Networks - Admin UI mengharapkan beberapa atribut lagi untuk diteruskan kembali dalam respons SAML yang ditunjukkan di bawah ini. Atribut ini juga sudah terisi sebelumnya, namun Anda dapat meninjaunya sesuai kebutuhan.

   Nama	Atribut Sumber
   Nama pengguna	user.userprincipalname
   peranadmin	adminkustom

   Catatan

   Nilai Nama yang ditampilkan di atas sebagai peranadmin harus sama dengan nilai Atribut peran admin yang telah dikonfigurasi di langkah 12 pada bagian Mengonfigurasi Palo Alto Networks - SSO Antarmuka Pengguna Admin. Nilai Atribut Sumber, yang ditunjukkan di atas sebagai customadmin, harus bernilai sama dengan Nama Profil Peran Admin, yang dikonfigurasi di langkah 9 dari bagian KonfigurasiKan Palo Alto Networks - Admin UI SSO.

   Catatan

   Untuk informasi selengkapnya tentang keamanan, lihat artikel berikut:

   • Profil peran administratif untuk Admin UI (adminrole)
   • Domain akses perangkat untuk UI Admin (accessdomain)

8. Pada halaman Siapkan Akses menyeluruh dengan SAML, pada bagian Sertifikat Penandatanganan SAML, klik Unduh untuk mengunduh XML Metadata Federasi dari pilihan yang diberikan sesuai kebutuhan anda dan simpan pada komputer anda.

   

9. Pada bagian Siapkan Palo Alto Networks - Admin UI, salin URL yang sesuai persyaratan Anda.

   

Membuat pengguna uji Microsoft Entra

Di bagian ini, Anda akan membuat pengguna uji bernama B.Simon.

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Pengguna.
2. Telusuri ke Pengguna>Identitas>Semua pengguna.
3. Pilih Pengguna>baru Buat pengguna baru, di bagian atas layar.
4. Di properti Pengguna, ikuti langkah-langkah berikut:
   1. Di bidang Nama tampilan, masukkan B.Simon.
   2. Di bidang Nama prinsipal pengguna, masukkan username@companydomain.extension. Contohnya:B.Simon@contoso.com
   3. Pilih kotak centang Tampilkan kata sandi, lalu tulis nilai yang ditampilkan di kotak Kata sandi.
   4. Pilih Tinjau + buat.
5. Pilih Buat.

Menetapkan pengguna uji Microsoft Entra

Di bagian ini, Anda akan mengaktifkan B.Simon untuk menggunakan akses menyeluruh dengan memberikan akses ke Palo Alto Networks - Admin UI.

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Aplikasi Cloud.
2. Telusuri aplikasi >Identity>Applications>Enterprise Palo Alto Networks - Admin UI.
3. Di halaman gambaran umum aplikasi, pilih Pengguna dan grup.
4. Pilih Tambahkan pengguna/grup, kemudian pilih Pengguna dan grup dalam dialog Tambahkan Penugasan.
   1. Dalam dialog Pengguna dan grup, pilih B.Simon dari daftar Pengguna, lalu klik tombol Pilih di bagian bawah layar.
   2. Jika Anda ingin suatu peran ditetapkan ke pengguna, Anda dapat memilihnya dari menu tarik-turun Pilih peran. Jika tidak ada peran yang disiapkan untuk aplikasi ini, Anda akan melihat peran "Akses Default" yang dipilih.
   3. Dalam dialog Tambah Penugasan, klik tombol Tetapkan.

Mengonfigurasikan SSO Palo Alto Networks - Admin UI

1. Buka Palo Alto Networks Firewall Admin UI sebagai administrator di jendela baru.

2. Pilih tab Perangkat.

   

3. Di panel kiri, pilih IdP SAML, lalu pilih Impor untuk mengimpor file metadata.

   

4. Di jendela Impor Profil Server Identifikasi SAML, lakukan hal berikut:

   

   a. Dalam kotak Nama Profil, berikan nama (misalnya, UI Admin Microsoft Entra).

   b. Di bawah Metadata Penyedia Identitas, pilih Telusuri, dan pilih file metadata.xml yang Anda unduh sebelumnya.

   c. Kosongkan kotak centang Validasi Sertifikat IdP.

   d. Pilih OK.

   e. Untuk menerapkan konfigurasi pada firewall, pilih Commit.

5. Di panel kiri, pilih IdP SAML, lalu pilih Profil Penyedia Identitas SAML (misalnya, UI Admin Microsoft Entra) yang Anda buat di langkah sebelumnya.

   

6. Di jendela Impor Profil Server IdP SAML, lakukan hal berikut:

   

   a. Dalam kotak URL SLO IdP, ganti URL SLO yang diimpor sebelumnya dengan URL berikut ini: https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0

   b. Pilih OK.

7. Pada UI Admin Palo Alto Networks Firewall, pilih Perangkat, lalu pilih Peran Admin.

8. Pilih tombol Tambahkan.

9. Di jendela Profil Peran Admin, dalam kotak Nama, berikan nama untuk peran administrator (misalnya, fwadmin). Nama peran administrator harus sesuai dengan nama atribut Peran Admin SAML yang dikirim oleh IdP. Nama dan nilai peran administrator dibuat di bagian Atribut Pengguna.

   

10. Pada UI Admin Firewall, pilih Perangkat, lalu pilih Profil Autentikasi.

11. Pilih tombol Tambahkan.

12. Di jendela Profil Autentikasi, lakukan hal berikut ini:

    

    a. Dalam kotak Nama, berikan nama (misalnya, AzureSAML_Admin_AuthProfile).

    b. Dalam daftar dropdown Jenis, pilih SAML.

    c. Di daftar drop-down Profil Server IdP, pilih profil Server IdP SAML yang sesuai (misalnya, UI Admin Microsoft Entra).

    d. Pilih kotak centang Aktifkan Keluar Tunggal.

    e. Dalam kotak Atribut Peran Admin, masukkan nama atribut (misalnya, adminrole).

    f. Pilih tab Tingkat Lanjut lalu, di bawah Perbolehkan Daftar, pilih Tambahkan.

    

    g. Pilih kotak centangSemua, atau pilih pengguna dan grup yang bisa mengautentikasi dengan profil ini.
    Ketika pengguna mengautentikasi, firewall cocok dengan nama pengguna atau grup terkait dengan entri dalam daftar ini. Jika Anda tidak menambahkan entri, tidak ada pengguna yang bisa mengautentikasi.

    h. Pilih OK.

13. Untuk memungkinkan administrator menggunakan SAML SSO dengan menggunakan Azure, pilih Perangkat>Penyetelan. Di panel Penyetelan pilih tab Manajemen lalu, di bawah Pengaturan Autentikasi, pilih tombol Pengaturan ("gerikan").

    

14. Pilih profil Autentikasi SAML yang Anda buat di jendela Profil Autentikasi (misalnya, AzureSAML_Admin_AuthProfile).

    

15. Pilih OK.

16. Untuk menerapkan konfigurasi, pilih Terapkan.

Buat uji pengguna Palo Alto Networks - Admin UI

Palo Alto Networks - Admin UI mendukung provisi pengguna just-in-time. Jika pengguna belum ada, pengguna secara otomatis dibuat dalam sistem setelah autentikasi berhasil. Tidak ada tindakan yang diperlukan dari Anda untuk membuat pengguna.

Menguji akses menyeluruh

Di bagian ini, Anda menguji konfigurasi akses menyeluruh Microsoft Entra dengan opsi berikut.

• Klik Uji aplikasi ini, ini akan dialihkan ke URL Masuk Palo Alto Networks - Admin UI tempat Anda dapat memulai alur masuk.

• Buka URL Masuk Palo Alto Networks - Admin UI secara langsung dan mulai alur login dari sana.

• Anda dapat menggunakan Aplikasi Saya Microsoft. Saat Anda mengklik petak peta Palo Alto Networks - Admin UI di Aplikasi Saya, Anda akan secara otomatis masuk ke Palo Alto Networks - Admin UI, tempat Anda menyiapkan SSO. Untuk informasi selengkapnya tentang Aplikasi Saya, lihat Pengantar Aplikasi Saya.

Langkah berikutnya

Setelah Anda melakukan konfigurasi Palo Alto Networks - Admin UI, Anda dapat menerapkan kontrol sesi, yang melindungi eksfiltrasi dan infiltrasi data sensitif organisasi Anda secara real time. Kontrol sesi diperluas dari Akses Bersyarat. Pelajari cara menegakkan kontrol sesi dengan Microsoft Defender untuk Cloud Apps.