Konfigurasi Palo Alto Networks - Admin UI untuk Single sign-on dengan Microsoft Entra ID

Dalam artikel ini, Anda mempelajari cara mengintegrasikan Palo Alto Networks - Admin UI dengan MICROSOFT Entra ID. Saat mengintegrasikan Palo Alto Networks - Admin UI dengan Microsoft Entra ID, Anda dapat:

• Mengontrol siapa yang memiliki akses ke Palo Alto Networks - Admin UI di Microsoft Entra ID.
• Memungkinkan pengguna Anda untuk masuk secara otomatis ke Palo Alto Networks - Admin UI dengan akun Microsoft Entra mereka.
• Kelola akun Anda di satu lokasi pusat.

Prasyarat

Skenario yang diuraikan dalam artikel ini mengasumsikan bahwa Anda sudah memiliki prasyarat berikut:

• Akun pengguna Microsoft Entra dengan langganan aktif. Jika Anda belum memilikinya, Anda dapat Membuat akun secara gratis.
• Salah satu peran berikut:
  • Administrator Aplikasi
  • Administrator Aplikasi Cloud
  • Pemilik Aplikasi .

• Langganan dengan single sign-on (SSO) diaktifkan untuk Palo Alto Networks - Admin UI.
• Ini adalah persyaratan bahwa layanan harus tersedia untuk umum. Silakan lihat halaman ini untuk informasi lebih lanjut.

Deskripsi skenario

Dalam artikel ini, Anda mengonfigurasi dan menguji akses menyeluruh Microsoft Entra di lingkungan pengujian.

• Admin UI Palo Alto Networks mendukung SSO yang diinisiasi oleh SP.
• Palo Alto Networks - Admin UI mendukung penyediaan pengguna Just In Time.

Menambahkan Palo Alto Networks - Admin UI dari galeri

Untuk mengonfigurasi integrasi Palo Alto Networks - Admin UI ke MICROSOFT Entra ID, Anda perlu menambahkan Palo Alto Networks - Admin UI dari galeri ke daftar aplikasi SaaS terkelola Anda.

1. Masuk ke Pusat Admin Microsoft Entra setidaknya sebagai Administrator Aplikasi Cloud .
2. Jelajahi Entra ID>Aplikasi Perusahaan>Aplikasi Baru.
3. Di bagian Tambahkan dari galeri, ketik Palo Alto Networks - Admin UI di kotak pencarian.
4. Pilih Palo Alto Networks - Admin UI dari panel hasil lalu tambahkan aplikasi. Tunggu beberapa detik saat aplikasi ditambahkan ke penyewa Anda.

Anda juga dapat menggunakan Wizard Konfigurasi Aplikasi Perusahaan . Dalam wizard ini, Anda dapat menambahkan aplikasi ke penyewa Anda, menambahkan pengguna/grup ke aplikasi, menetapkan peran, dan menelusuri konfigurasi SSO juga. Pelajari selengkapnya tentang wizard Microsoft 365.

Mengonfigurasi dan menguji Microsoft Entra SSO untuk Palo Alto Networks - Admin UI

Di bagian ini, Anda mengonfigurasi dan menguji single sign-on Microsoft Entra dengan Palo Alto Networks - Admin UI dengan pengguna uji bernama B.Simon. Agar masuk tunggal dapat berfungsi, relasi tautan antara pengguna Microsoft Entra dan pengguna terkait di Palo Alto Networks - Admin UI harus dibuat.

Untuk mengonfigurasi dan menguji akses menyeluruh Microsoft Entra dengan Palo Alto Networks - Admin UI, lakukan langkah-langkah berikut:

1. Mengonfigurasi microsoft Entra SSO - untuk memungkinkan pengguna Anda menggunakan fitur ini.
   1. Buat pengguna uji Microsoft Entra - untuk menguji login tunggal Microsoft Entra dengan B.Simon.
   2. Tetapkan pengguna uji Microsoft Entra - agar B.Simon dapat menggunakan fitur log masuk tunggal Microsoft Entra.
2. Mengonfigurasi Palo Alto Networks - SSO Admin UI - untuk mengkonfigurasi pengaturan single sign-on di sisi aplikasi.
   1. Buat pengguna uji Admin UI Palo Alto Networks - untuk membuat padanan bagi B.Simon di Palo Alto Networks - Admin UI yang terhubung ke representasi pengguna Microsoft Entra.
3. Uji SSO - untuk memverifikasi apakah konfigurasi berfungsi.

Konfigurasikan SSO Microsoft Entra

Ikuti langkah-langkah ini untuk mengaktifkan SSO Microsoft Entra.

1. Masuk ke Pusat Admin Microsoft Entra setidaknya sebagai Administrator Aplikasi Cloud .

2. Telusuri ke Entra ID>aplikasi perusahaan>Palo Alto Networks - Admin UI>Pencatatan masuk tunggal.

3. Pada halaman Pilih metode single sign-on, pilih SAML.

4. Pada halaman Siapkan login sekali dengan SAML, pilih ikon pensil pada Konfigurasi SAML Dasar untuk mengedit pengaturannya.

   

5. Pada bagian Konfigurasi SAML Dasar, lakukan langkah-langkah berikut:

   sebuah. Dalam kotak Pengidentifikasi, ketik URL menggunakan pola berikut: https://<Customer Firewall FQDN>:443/SAML20/SP

   b. Dalam kotak teks URL Balasan , ketik URL Assertion Consumer Service (ACS) dalam format berikut: https://<Customer Firewall FQDN>:443/SAML20/SP/ACS

   c. Dalam kotak teks URL Masuk , ketik URL menggunakan pola berikut: https://<Customer Firewall FQDN>/php/login.php

   Nota

   Nilai-nilai ini tidak nyata. Perbarui nilai-nilai ini dengan Pengidentifikasi, URL Balasan, dan URL Masuk yang sebenarnya. Hubungi tim dukungan Klien Palo Alto Networks - Admin UI untuk mendapatkan nilai-nilai ini. Anda juga dapat merujuk ke pola yang ditampilkan di bagian Konfigurasi SAML Dasar.

   Port 443 diperlukan pada Pengidentifikasi dan URL Balasan karena nilai-nilai ini dikodekan secara permanen ke dalam Palo Alto Firewall. Menghapus nomor port mengakibatkan kesalahan saat masuk.

   Port 443 diperlukan pada Pengidentifikasi dan URL Balasan karena nilai-nilai ini dikodekan secara permanen ke dalam Palo Alto Firewall. Menghapus nomor port mengakibatkan kesalahan saat masuk.

6. Aplikasi Palo Alto Networks - Admin UI mengharapkan pernyataan SAML dalam format tertentu, yang mengharuskan Anda untuk menambahkan pemetaan atribut kustom ke konfigurasi atribut token SAML Anda. Cuplikan layar berikut menunjukkan daftar atribut default.

   

   Nota

   Karena nilai atribut hanya contoh, petakan nilai yang sesuai untuk nama pengguna dan adminrole. Ada atribut opsional lain, accessdomain, yang digunakan untuk membatasi akses admin ke sistem virtual tertentu pada firewall.

7. Selain di atas, aplikasi Palo Alto Networks - Admin UI mengharapkan beberapa atribut lagi untuk diteruskan kembali dalam respons SAML yang ditunjukkan di bawah ini. Atribut ini juga telah diisi sebelumnya tetapi Anda dapat meninjaunya sesuai kebutuhan Anda.

   Nama	Atribut Sumber
   nama pengguna	nama.principalPengguna
   adminrole	customadmin

   Nota

   Nilai Nama , yang ditunjukkan di atas sebagai adminrole , harus sama dengan nilai atribut peran Admin , yang dikonfigurasi pada langkah 12 dari bagian Mengonfigurasi SSO Palo Alto Networks - Admin UI . Nilai Atribut Sumber, yang ditunjukkan di atas sebagai customadmin, harus sama dengan nilai Nama Profil Peran Admin, yang dikonfigurasi pada langkah 9 dari bagian Mengonfigurasi SSO Palo Alto Networks - Admin UI.

   Nota

   Untuk informasi selengkapnya tentang atribut, lihat artikel berikut ini:

   • Profil peran administratif untuk Antarmuka Pengguna Admin (adminrole)
   • Domain akses perangkat untuk UI Admin (accessdomain)

8. Pada halaman Siapkan Sign-On Tunggal dengan SAML, di bagian Sertifikat Penandatanganan SAML, pilih Unduh agar dapat mengunduh XML Metadata Federasi dari opsi yang tersedia sesuai kebutuhan, kemudian simpan di komputer Anda.

   

9. Pada bagian Siapkan Palo Alto Networks - Admin UI, salin URL yang sesuai kebutuhan Anda.

   

Membuat dan menetapkan pengguna uji Microsoft Entra

Ikuti prosedur dalam panduan cepat membuat dan menetapkan akun pengguna untuk membuat akun pengguna uji bernama B.Simon.

Konfigurasi SSO Palo Alto Networks - Admin UI

1. Buka UI Admin Firewall Palo Alto Networks sebagai administrator di jendela baru.

2. Pilih tab Perangkat.

   Cuplikan layar

3. Di panel kiri, pilih IdP SAML, lalu pilih Impor untuk mengimpor file metadata.

   

4. Di jendela Impor Profil Server Identifikasi SAML, lakukan hal berikut:

   

   sebuah. Dalam kotak Nama Profil, tentukan nama (misalnya, UI Admin Microsoft Entra).

   b. Di bawah Metadata Penyedia Identitas, pilih Telusuri, dan pilih file metadata.xml yang Anda unduh sebelumnya.

   c. Kosongkan kotak centang Validasi Sertifikat Penyedia Identitas.

   d. Pilih OK.

   e. Untuk menerapkan konfigurasi pada firewall, pilih Terapkan.

5. Di panel kiri, pilih IdP SAML , lalu pilih Profil Penyedia Identitas SAML (misalnya, UI Admin Microsoft Entra ) yang Anda buat di langkah sebelumnya.

   Cuplikan layar memperlihatkan Profil IdP SAML

6. Di jendela Profil Server Penyedia Identitas SAML, lakukan hal berikut:

   

   sebuah. Dalam kotak URL SLO Penyedia Identitas, ganti URL SLO yang diimpor sebelumnya dengan URL berikut: https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0

   b. Pilih OK.

7. Pada UI Admin Firewall Palo Alto Networks, pilih Perangkat, lalu pilih Peran Admin .

8. Pilih tombol Tambahkan.

9. Di jendela Profil Peran Admin, dalam kotak Nama, berikan nama untuk peran administrator (misalnya, fwadmin). Nama peran administrator harus cocok dengan nama atribut Peran Admin SAML yang dikirim oleh Penyedia Identitas. Nama peran administrator dan nilai dibuat di bagian Atribut Pengguna.

   

10. Pada UI Admin Firewall, pilih Perangkat, lalu pilih Profil Autentikasi .

11. Pilih tombol Tambahkan.

12. Di jendela Profil Autentikasi, lakukan hal berikut:

    

    sebuah. Dalam kotak Nama, berikan nama (misalnya, AzureSAML_Admin_AuthProfile).

    b. Di daftar drop-down Jenis, pilih SAML.

    c. Di daftar drop-down Profil Server IdP , pilih profil Server Penyedia Identitas SAML yang sesuai (misalnya, UI Admin Microsoft Entra ).

    d. Pilih kotak centang Aktifkan Logout Tunggal.

    e. Dalam kotak Atribut Peran Admin, masukkan nama atribut (misalnya, adminrole).

    f. Pilih tab Tingkat Lanjut lalu, di bawah Izinkan Daftar, pilih Tambahkan.

    

    g. Pilih kotak centang Semua, atau pilih pengguna dan grup yang bisa mengautentikasi dengan profil ini.
    Ketika seorang pengguna melakukan autentikasi, firewall mencocokkan nama pengguna atau grup terkait dengan entri dalam daftar ini. Jika Anda tidak menambahkan entri, tidak ada pengguna yang dapat mengautentikasi.

    Halo. Pilih OK.

13. Untuk mengizinkan administrator menggunakan SSO SAML dengan Azure, pilih Perangkat>Penyiapan. Di panel Pengaturan, pilih tab Manajemen lalu, di bawah Pengaturan Autentikasi, pilih tombol Pengaturan (ikon "roda gigi").

    

14. Pilih profil Autentikasi SAML yang Anda buat di jendela Profil Autentikasi(misalnya, AzureSAML_Admin_AuthProfile).

    

15. Pilih OK.

16. Untuk menerapkan konfigurasi, pilih Terapkan.

Membuat pengguna uji Palo Alto Networks - Admin UI

Palo Alto Networks - Admin UI mendukung provisi pengguna tepat waktu (just-in-time). Jika pengguna belum ada, pengguna akan dibuat secara otomatis di sistem setelah autentikasi berhasil. Tidak ada tindakan yang diperlukan dari Anda untuk membuat pengguna.

Uji SSO

Di bagian ini, Anda menguji konfigurasi akses menyeluruh Microsoft Entra dengan opsi berikut.

• Pilih Uji aplikasi ini, opsi ini mengalihkan ke URL Masuk Palo Alto Networks - Admin UI tempat Anda dapat memulai alur masuk.

• Buka URL Masuk Palo Alto Networks - Admin UI secara langsung dan mulai alur masuk dari sana.

• Anda dapat menggunakan Microsoft My Apps. Saat Anda memilih tile Palo Alto Networks - Admin UI di Aplikasi Saya, Anda akan secara otomatis masuk ke sana dengan SSO yang telah Anda siapkan. Untuk informasi selengkapnya tentang Aplikasi Saya, lihat Pengenalan Aplikasi Saya.

Konten terkait

Setelah mengonfigurasi Palo Alto Networks - Admin UI, Anda dapat menerapkan kontrol sesi, yang melindungi eksfiltrasi dan infiltrasi data sensitif organisasi Anda secara real time. Kontrol sesi merupakan ekstensi dari Akses Bersyarat. Pelajari cara menerapkan kontrol sesi dengan Microsoft Defender for Cloud Apps.