Share via

Esercitazione: Configurare F5 BIG-IP Easy Button per l'accesso Single Sign-On basato su intestazione

  • Articolo

Informazioni su come proteggere le applicazioni basate su intestazioni con Microsoft Entra ID, con F5 BIG-IP Easy Button Configuration v16.1.

L'integrazione di big-IP con Microsoft Entra ID offre molti vantaggi, tra cui:

  • Miglioramento della governance zero trust tramite la preautenticazione e l'accesso condizionale di Microsoft Entra
  • Accesso SSO completo tra i servizi pubblicati da Microsoft Entra ID e BIG-IP
  • Identità gestite e accesso da un piano di controllo

Altre informazioni:

Descrizione dello scenario

Questo scenario illustra l'applicazione legacy usando le intestazioni di autorizzazione HTTP per gestire l'accesso al contenuto protetto. Legacy non dispone di protocolli moderni per supportare l'integrazione diretta con Microsoft Entra ID. La modernizzazione è costosa, richiede molto tempo e comporta un rischio di inattività. Usare invece F5 BIG-IP Application Delivery Controller (ADC) per colmare il divario tra l'applicazione legacy e il piano di controllo ID moderno, con la transizione del protocollo.

Un BIG-IP davanti all'applicazione abilita la sovrimpressione del servizio con l'accesso Single Sign-On basato su intestazioni e preautenticazione di Microsoft Entra. Questa configurazione migliora il comportamento complessivo di sicurezza delle applicazioni.

Nota

Le organizzazioni possono avere accesso remoto a questo tipo di applicazione con il proxy dell'applicazione Microsoft Entra. Altre informazioni: Accesso remoto alle applicazioni locali tramite il proxy dell'applicazione Microsoft Entra

Architettura dello scenario

La soluzione SHA contiene:

  • Applicazione - Servizio pubblicato big-IP protetto da Microsoft Entra SHA
  • Microsoft Entra ID : provider di identità SAML (Security Assertion Markup Language) che verifica le credenziali utente, l'accesso condizionale e l'accesso SSO basato su SAML all'INDIRIZZO BIG-IP. Con SSO, Microsoft Entra ID fornisce big-IP con attributi di sessione.
  • BIG-IP : proxy inverso e provider di servizi SAML (SP) all'applicazione, delegando l'autenticazione al provider di identità SAML prima di eseguire l'accesso SSO basato su intestazione all'applicazione back-end.

Per questo scenario, SHA supporta i flussi avviati da SP e IdP. Il diagramma seguente illustra il flusso avviato da SP.

Diagramma della configurazione con un flusso avviato da SP.

  1. L'utente si connette all'endpoint applicazione (BIG-IP).
  2. I criteri di accesso APM big-IP reindirizza l'utente a Microsoft Entra ID (SAML IdP).
  3. Microsoft Entra preautentica l'utente e applica i criteri di accesso condizionale.
  4. L'utente viene reindirizzato a BIG-IP (SAML SP) e l'accesso SSO viene eseguito usando il token SAML rilasciato.
  5. BIG-IP inserisce gli attributi di Microsoft Entra come intestazioni nella richiesta dell'applicazione.
  6. L'applicazione autorizza la richiesta e restituisce il payload.

Prerequisiti

Per lo scenario necessario:

Configurazione BIG-IP

Questa esercitazione usa la configurazione guidata v16.1 con un modello di pulsante Facile. Con Easy Button, gli amministratori non tornano più indietro e indietro per abilitare i servizi SHA. La Configurazione guidata guidata e Microsoft Graph gestiscono la distribuzione e la gestione dei criteri. L'integrazione di BIG-IP APM e Microsoft Entra garantisce che le applicazioni supportino la federazione delle identità, l'accesso SSO e l'accesso condizionale.

Nota

Sostituire stringhe o valori di esempio con quelli nell'ambiente in uso.

Registra pulsante facile

Suggerimento

I passaggi descritti in questo articolo possono variare leggermente in base al portale da cui si inizia.

Prima che un client o un servizio accesa a Microsoft Graph, Microsoft Identity Platform deve considerarlo attendibile.

Altre informazioni: Guida introduttiva: Registrare un'applicazione con Microsoft Identity Platform.

Creare una registrazione dell'app tenant per autorizzare l'accesso easy Button a Graph. Con queste autorizzazioni, BIG-IP esegue il push delle configurazioni per stabilire un trust tra un'istanza di SAML SP per l'applicazione pubblicata e l'ID Microsoft Entra come ID SAML.

  1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore applicazione cloud.

  2. Passare a Applicazioni> di identità>Registrazioni app> Nuova registrazione.

  3. Alla voce Gestisci, selezionare Registrazioni app > Nuova registrazione.

  4. Immettere un nome dell'applicazione.

  5. Specificare chi usa l'applicazione.

  6. Selezionare Account solo in questa directory dell'organizzazione.

  7. Selezionare Registra.

  8. Passare a Autorizzazioni API.

  9. Autorizzare le autorizzazioni dell'applicazione Microsoft Graph seguenti:

    • Application.Read.All
    • Application.ReadWrite.All
    • Application.ReadWrite.OwnedBy
    • Directory.Read.All
    • Group.Read.All
    • IdentityRiskyUser.Read.All
    • Policy.Read.All
    • Policy.ReadWrite.ApplicationConfiguration
    • Policy.ReadWrite.ConditionalAccess
    • User.Read.All

  10. Concedere il consenso amministratore per l'organizzazione.

  11. In Certificati e segreti generare un nuovo segreto client. Prendere nota del segreto client.

  12. In Panoramica prendere nota dell'ID client e dell'ID tenant.

Pulsante Configura facile

  1. Avviare la configurazione guidata di APM.

  2. Avviare il modello Easy Button .

  3. Passare a Configurazione guidata di accesso>.

  4. Selezionare Integrazione Microsoft

  5. Selezionare Applicazione Microsoft Entra.

  6. Esaminare i passaggi di configurazione.

  7. Selezionare Avanti.

  8. Usare la sequenza di passaggi illustrati per pubblicare l'applicazione.

    Diagramma della sequenza di pubblicazione.

Configuration Properties

Usare la scheda Proprietà di configurazione per creare una configurazione dell'applicazione BIG-IP e un oggetto SSO. I dettagli dell'account del servizio di Azure rappresentano il client registrato nel tenant di Microsoft Entra. Usare le impostazioni per il client OAuth BIG-IP per registrare un provider di servizi SAML nel tenant con le proprietà SSO. Easy Button esegue questa azione per i servizi BIG-IP pubblicati e abilitati per SHA.

È possibile riutilizzare le impostazioni per pubblicare più applicazioni.

  1. Immettere un nome di configurazione.

  2. Per Single Sign-On (SSO) e intestazioni HTTP selezionare Sì.

  3. Per ID tenant, ID client e Segreto client immettere gli elementi annotati.

  4. Verificare che BIG-IP si connetta al tenant.

  5. Selezionare Avanti.

    Screenshot delle voci e delle opzioni per Proprietà di configurazione.

Provider di Servizi

Nelle impostazioni del provider di servizi definire le impostazioni dell'istanza di SAML SP per l'applicazione protetta da SHA.

  1. Immettere un nome di dominio completo pubblico dell'applicazione.

  2. Immettere un ID entità, l'identificatore usato dall'ID Microsoft Entra per identificare il provider di servizi SAML che richiede un token.

    Screenshot dei campi di input per Provider di servizi.

  3. (Facoltativo) In Sicurezza Impostazioni selezionare Abilita asserzione crittografia per abilitare Microsoft Entra ID per crittografare le asserzioni SAML rilasciate. Le asserzioni di crittografia di Microsoft Entra ID e BIG-IP APM consentono di garantire che i token di contenuto non vengano intercettati, né i dati personali o aziendali compromessi.

  4. Nell'elenco Chiave privata di decrittografia asserzione in Sicurezza Impostazioni selezionare Crea nuovo.

    Screenshot dell'opzione Crea nuovo nell'elenco Asserzione Decrittografia chiave privata.

  5. Seleziona OK.

  6. Viene visualizzata la finestra di dialogo Importa certificato SSL e chiavi .

  7. Per Tipo di importazione selezionare PKCS 12 (IIS). Questa azione importa il certificato e la chiave privata.

  8. Per Certificato e Nome chiave selezionare Nuovo e immettere l'input.

  9. Consente di immettere la password.

  10. Selezionare Importa.

  11. Chiudere la scheda del browser per tornare alla scheda principale.

Screenshot delle selezioni e delle voci per l'origine della chiave del certificato SSL.

  1. Selezionare la casella Abilita asserzione crittografata.
  2. Se è stata abilitata la crittografia, nell'elenco Assertion Decryption Private Key (Chiave privata di decrittografia asserzione) selezionare il certificato. BIG-IP APM usa questa chiave privata del certificato per decrittografare le asserzioni Microsoft Entra.
  3. Se è stata abilitata la crittografia, nell'elenco Certificato di decrittografia asserzione selezionare il certificato. BIG-IP carica questo certificato in Microsoft Entra ID per crittografare le asserzioni SAML rilasciate.

Screenshot di due voci e di un'opzione per Security Impostazioni.

Microsoft Entra ID

Usare le istruzioni seguenti per configurare una nuova applicazione SAML BIG-IP nel tenant di Microsoft Entra. Easy Button include modelli di applicazione per Oracle Persone Soft, Oracle E-Business Suite, Oracle JD Edwards, SAP ERP e un modello SHA generico.

  1. In Configurazione di Azure, in Proprietà di configurazione selezionare F5 BIG-IP APM Microsoft Entra ID Integration.
  2. Selezionare Aggiungi.

Configurazione di Azure

  1. Immettere un nome visualizzato dell'app BIG-IP creato nel tenant di Microsoft Entra. Gli utenti visualizzano il nome, con un'icona, in Microsoft App personali.

  2. Ignorare l'URL di accesso (facoltativo).

  3. Accanto a Firma chiave e certificato di firma selezionare Aggiorna per individuare il certificato importato.

  4. In Passphrase chiave di firma immettere la password del certificato.

  5. (Facoltativo) Abilitare l'opzione di firma per assicurarsi che BIG-IP accetti token e attestazioni firmati da Microsoft Entra ID.

    Screenshot per la configurazione di Azure - Aggiungere informazioni sui certificati di firma

  6. L'input per utenti e gruppi di utenti viene sottoposto a query in modo dinamico.

    Importante

    Aggiungere un utente o un gruppo per il test; in caso contrario, viene negato tutto l'accesso. In Utenti e gruppi di utenti selezionare + Aggiungi.

    Screenshot dell'opzione Aggiungi nei gruppi di utenti e utenti.

Attributi utente e attestazioni

Quando un utente esegue l'autenticazione, Microsoft Entra ID rilascia un token SAML con attestazioni e attributi che identificano l'utente. La scheda Attributi utente e attestazioni ha attestazioni predefinite per l'applicazione. Usare la scheda per configurare altre attestazioni.

Includere un altro attributo:

  1. In Nome intestazione immettere employeeid.

  2. Per Attributo di origine immettere user.employeeid.

    Screenshot dei valori in Attestazioni aggiuntive.

Attributi utente aggiuntivi

Nella scheda Attributi utente aggiuntivi abilitare l'aumento della sessione. Usare questa funzionalità per sistemi distribuiti, ad esempio Oracle, SAP e altre implementazioni JAVA che richiedono l'archiviazione degli attributi in altre directory. Gli attributi recuperati da un'origine LDAP (Lightweight Directory Access Protocol) vengono inseriti come più intestazioni SSO. Questa azione consente di controllare l'accesso in base a ruoli, ID partner e così via.

Nota

Questa funzionalità non ha alcuna correlazione con Microsoft Entra ID. Si tratta di un'origine dell'attributo. 

Criteri di accesso condizionale

I criteri di accesso condizionale controllano l'accesso in base ai segnali di dispositivo, applicazione, posizione e rischio.

  • In Criteri disponibili trovare criteri di accesso condizionale senza azioni utente
  • In Criteri selezionati trovare i criteri delle app cloud
    • Non è possibile deselezionare questi criteri o spostarli in Criteri disponibili perché vengono applicati a livello di tenant

Per selezionare un criterio da applicare all'applicazione da pubblicare:

  1. Nell'elenco Criteri di accesso condizionale della scheda Criteri di accesso condizionale selezionare un criterio.
  2. Selezionare la freccia destra e spostarla nell'elenco Criteri selezionati.

Nota

È possibile selezionare l'opzione Includi o Escludi per un criterio. Se sono selezionate entrambe le opzioni, il criterio viene annullato.

Screenshot dell'opzione Escludi selezionata per i criteri in Criteri selezionati.

Nota

L'elenco dei criteri viene visualizzato quando si seleziona la scheda Criteri di accesso condizionale. Selezionare Aggiorna e la procedura guidata esegue una query sul tenant. L'aggiornamento viene visualizzato dopo la distribuzione di un'applicazione.

Proprietà del server virtuale

Un server virtuale è un oggetto piano dati BIG-IP, rappresentato da un indirizzo IP virtuale. Il server è in ascolto delle richieste dei client all'applicazione. Il traffico ricevuto viene elaborato e valutato rispetto al profilo APM associato al server virtuale. Il traffico viene indirizzato in base ai criteri.

  1. Per Indirizzo di destinazione immettere un indirizzo IPv4 o IPv6 usato da BIG-IP per ricevere il traffico client. Assicurarsi che un record corrispondente nel server dei nomi di dominio (DNS) che consenta ai client di risolvere l'URL esterno, dell'applicazione pubblicata BIG-IP, in questo INDIRIZZO IP. È possibile usare il DNS localhost del computer per il test.

  2. Per Porta del servizio immettere 443 e selezionare HTTPS.

  3. Selezionare la casella Abilita porta di reindirizzamento.

  4. Immettere un valore per Porta di reindirizzamento. Questa opzione reindirizza il traffico client HTTP in ingresso a HTTPS.

  5. Selezionare il profilo SSL client creato oppure lasciare l'impostazione predefinita per i test. Il profilo SSL client abilita il server virtuale per HTTPS, quindi le connessioni client vengono crittografate tramite TLS.

    Screenshot dell'indirizzo di destinazione, della porta del servizio e di un profilo selezionato nelle proprietà del server virtuale.

Proprietà pool

La scheda Pool di applicazioni include servizi dietro un BIG-IP, rappresentato come pool, con uno o più server applicazioni.

  1. Per Selezionare un pool selezionare Crea nuovo o selezionare un altro.

  2. Per Metodo di bilanciamento del carico selezionare Round Robin.

  3. Per Server del pool selezionare un nodo o selezionare un indirizzo IP e una porta per il server che ospita l'applicazione basata sull'intestazione.

    Screenshot dell'indirizzo IP o del nome del nodo e dell'input porta nelle proprietà del pool.

    Nota

    L'applicazione back-end Microsoft si trova sulla porta HTTP 80. Se si seleziona HTTPS, usare 443.

Intestazioni Single Sign-On e HTTP

Con l'accesso SSO, gli utenti accedono ai servizi pubblicati big-IP senza immettere le credenziali. La procedura guidata Easy Button supporta le intestazioni di autorizzazione Kerberos, OAuth Bearer e HTTP per l'accesso SSO.

  1. In Intestazioni Single Sign-On e HTTP, in Intestazioni SSO, per Operazione intestazione selezionare Inserisci

  2. Per Nome intestazione, usare upn.

  3. Per Valore intestazione, usare %{session.saml.last.identity}.

  4. In Operazione intestazione selezionare Inserisci.

  5. Per Nome intestazione usare employeeid.

  6. Per Valore intestazione usare %{session.saml.last.attr.name.employeeid}.

    Screenshot delle voci e delle selezioni per le intestazioni SSO.

    Nota

    Le variabili di sessione APM tra parentesi graffe fanno distinzione tra maiuscole e minuscole. Le incoerenze causano errori di mapping degli attributi.

Gestione delle sessioni

Usare le impostazioni di gestione delle sessioni BIG-IP per definire le condizioni per la terminazione o la continuazione delle sessioni utente.

Per altre informazioni, vedere support.f5.com per K18390492: Sicurezza | Guida operativa di BIG-IP APM

L'uscita singola (SLO) garantisce che le sessioni idP, BIG-IP e agente utente terminino quando gli utenti si disconnetteno. Quando Easy Button crea un'istanza di un'applicazione SAML nel tenant di Microsoft Entra, popola l'URL di disconnessione con l'endpoint SLO di APM. La disconnessa avviata da IdP da App personali termina le sessioni BIG-IP e client.

Altre informazioni: vedere App personali

I metadati della federazione SAML per l'applicazione pubblicata vengono importati dal tenant. L'importazione fornisce all'APM l'endpoint di disconnesso SAML per Microsoft Entra ID. Questa azione garantisce che la disconnessa avviata da SP termini le sessioni client e Microsoft Entra. Assicurarsi che APM sappia quando si verifica la disconnessità dell'utente.

Se il portale Webtop BIG-IP accede alle applicazioni pubblicate, th eAPM elabora la disconnessa per chiamare l'endpoint di disconnesso Microsoft Entra. Se il portale webtop BIG-IP non viene usato, gli utenti non possono indicare a APM di disconnettersi. Se gli utenti escono dall'applicazione, BIG-IP è oblivioso. Assicurarsi quindi che la disconnessa avviata da SP termini in modo sicuro le sessioni. È possibile aggiungere una funzione SLO a un pulsante di disconnessione dell'applicazione, quindi i client vengono reindirizzati all'endpoint di disconnessione microsoft Entra SAML o BIG-IP. Per individuare l'URL dell'endpoint di disconnessione SAML per il tenant, passare a Endpoint registrazioni >app.

Se non è possibile modificare l'app, abilitare big-IP per l'ascolto della chiamata di disconnessione dell'applicazione e attivare SLO.

Altre informazioni:

Distribuzione

La distribuzione fornisce una suddivisione delle configurazioni.

  1. Per eseguire il commit delle impostazioni, selezionare Distribuisci.
  2. Verificare l'applicazione nell'elenco tenant delle applicazioni aziendali.
  3. L'applicazione viene pubblicata e accessibile tramite SHA, con il relativo URL o nei portali delle applicazioni Microsoft.

  Test

  1. In un browser connettersi all'URL esterno dell'applicazione o selezionare l'icona dell'applicazione in App personali.
  2. Eseguire l'autenticazione in Microsoft Entra ID.
  3. Si verifica un reindirizzamento al server virtuale BIG-IP per l'applicazione e ha eseguito l'accesso con SSO.

Lo screenshot seguente è l'output delle intestazioni inserite dall'applicazione basata su intestazione.

Screenshot di UPN, ID dipendente e ruoli evento in Variabili del server.

Nota

È possibile bloccare l'accesso diretto all'applicazione, applicando così un percorso tramite BIG-IP.

Distribuzione avanzata

Per alcuni scenari, i modelli di configurazione guidata non hanno flessibilità.

Altre informazioni: Esercitazione: Configurare F5 BIG-IP Access Policy Manager per l'accesso SSO basato su intestazione.

In BIG-IP è possibile disabilitare la modalità di gestione strict della configurazione guidata. Modificare quindi manualmente le configurazioni, ma la maggior parte delle configurazioni viene automatizzata con i modelli della procedura guidata.

  1. Per disabilitare la modalità strict, passare a Configurazione guidata di accesso>.

  2. Nella riga per la configurazione dell'applicazione selezionare l'icona del lucchetto .

  3. Gli oggetti BIG-IP associati all'istanza pubblicata dell'applicazione vengono sbloccati per la gestione. Le modifiche apportate alla procedura guidata non sono più possibili.

    Screenshot dell'icona del lucchetto.

    Nota

    Se si abilita nuovamente la modalità strict e si distribuisce una configurazione, l'azione sovrascrive le impostazioni non nella configurazione guidata. È consigliabile configurare la configurazione avanzata per i servizi di produzione.

Risoluzione dei problemi

Usare le indicazioni seguenti per la risoluzione dei problemi.

Dettaglio log

I log BIG-IP consentono di isolare i problemi di connettività, SSO, criteri o mapping di variabili configurati in modo errato. Per risolvere i problemi, aumentare il livello di dettaglio del log.

  1. Passare a Panoramica dei criteri> di accesso.
  2. Selezionare Registri eventi.
  3. Seleziona Impostazioni.
  4. Selezionare la riga dell'applicazione pubblicata
  5. Seleziona Modifica
  6. Selezionare Accedi ai log di sistema.
  7. Nell'elenco SSO selezionare Debug.
  8. Seleziona OK.
  9. Riprodurre il problema.
  10. Esaminare i log.

Nota

Ripristinare questa funzionalità al termine. La modalità dettagliata genera dati eccessivi.

Messaggio di errore BIG-IP

Se viene visualizzato un messaggio di errore BIG-IP dopo la preautenticazione di Microsoft Entra, il problema potrebbe riguardare Microsoft Entra ID-to-BIG-IP SSO.

  1. Passare a Panoramica dei criteri> di accesso.
  2. Selezionare Accedi ai report.
  3. Eseguire il report per l'ultima ora.
  4. Esaminare i log per individuare gli indizi.

Usare il collegamento Visualizza variabili di sessione per la sessione per comprendere se APM riceve le attestazioni Di Microsoft Entra previste.

Nessun messaggio di errore BIG-IP

Se non viene visualizzato alcun messaggio di errore BIG-IP, il problema potrebbe essere correlato alla richiesta back-end o all'accesso SSO big-IP-to-application.

  1. Passare a Panoramica dei criteri> di accesso.
  2. Selezionare Sessioni attive.
  3. Selezionare il collegamento sessione attiva.

Usare il collegamento Visualizza variabili per determinare i problemi relativi all'accesso Single Sign-On, in particolare se big-IP APM non ottiene gli attributi corretti.

Altre informazioni: