Udostępnij za pośrednictwem

Wdrażanie kontroli aplikacji dostępu warunkowego dla dowolnej aplikacji internetowej przy użyciu usług Active Directory Federation Services (AD FS) jako dostawcy tożsamości (IdP)

  • Artykuł

Kontrolki sesji można skonfigurować w aplikacjach Microsoft Defender dla Chmury do pracy z dowolną aplikacją internetową i dowolnym dostawcą tożsamości firmy innej niż Microsoft. W tym artykule opisano sposób kierowania sesji aplikacji z usług AD FS do aplikacji Defender dla Chmury dla kontrolek sesji w czasie rzeczywistym.

W tym artykule użyjemy aplikacji Salesforce jako przykładu aplikacji internetowej skonfigurowanej do używania kontrolek sesji usługi Defender dla Chmury Apps.

Wymagania wstępne

  • Aby móc korzystać z kontroli dostępu warunkowego, organizacja musi mieć następujące licencje:

    • Wstępnie skonfigurowane środowisko usług AD FS
    • Microsoft Defender for Cloud Apps

  • Istniejąca konfiguracja logowania jednokrotnego usług AD FS dla aplikacji przy użyciu protokołu uwierzytelniania SAML 2.0

Uwaga

Kroki opisane tutaj dotyczą wszystkich wersji usług AD FS, które działają w obsługiwanej wersji systemu Windows Server.

Aby skonfigurować kontrolki sesji dla aplikacji przy użyciu usług AD FS jako dostawcy tożsamości

Wykonaj poniższe kroki, aby kierować sesje aplikacji internetowej z usług AD FS do Defender dla Chmury Apps.

Uwaga

Informacje dotyczące logowania jednokrotnego SAML aplikacji można skonfigurować przy użyciu jednej z następujących metod:

  • Opcja 1. Przekazywanie pliku metadanych SAML aplikacji.
  • Opcja 2. Ręczne podawanie danych SAML aplikacji.

W poniższych krokach użyjemy opcji 2.

Krok 1. Pobieranie ustawień logowania jednokrotnego SAML aplikacji

Krok 2. Konfigurowanie aplikacji Defender dla Chmury przy użyciu informacji SAML aplikacji

Krok 3. Tworzenie nowej konfiguracji zaufania jednostki uzależnionej usług AD FS i logowania jednokrotnego aplikacji.

Krok 4. Konfigurowanie aplikacji Defender dla Chmury przy użyciu informacji o aplikacji usług AD FS

Krok 5. Ukończenie konfiguracji zaufania jednostki uzależnionej usług AD FS

Krok 6. Pobieranie zmian aplikacji w aplikacjach Defender dla Chmury

Krok 7. Ukończenie zmian aplikacji

Krok 8. Ukończenie konfiguracji w usłudze Defender dla Chmury Apps

Krok 1. Pobieranie ustawień logowania jednokrotnego SAML aplikacji

  1. W usłudze Salesforce przejdź do pozycji Ustawienia konfiguracji>Ustawienia> logowania jednokrotnego tożsamości.>

  2. W obszarze Ustawienia logowania jednokrotnego kliknij nazwę istniejącej konfiguracji usług AD FS.

    Wybierz pozycję Ustawienia logowania jednokrotnego usługi Salesforce.

  3. Na stronie Ustawienia logowania jednokrotnego SAML zanotuj adres URL logowania usługi Salesforce. Będzie to potrzebne później podczas konfigurowania aplikacji Defender dla Chmury.

    Uwaga

    Jeśli aplikacja udostępnia certyfikat SAML, pobierz plik certyfikatu.

    Wybierz pozycję Salesforce SSO login URL (Adres URL logowania jednokrotnego usługi Salesforce).

Krok 2. Konfigurowanie aplikacji Defender dla Chmury przy użyciu informacji SAML aplikacji

  1. W witrynie Microsoft Defender Portal wybierz pozycję Ustawienia. Następnie wybierz pozycję Aplikacje w chmurze.

  2. W obszarze Połączone aplikacje wybierz pozycję Aplikacje kontroli dostępu warunkowego aplikacji.

  3. Wybierz pozycję +Dodaj, a następnie w oknie podręcznym wybierz aplikację, którą chcesz wdrożyć, a następnie wybierz pozycję Kreator uruchamiania.

  4. Na stronie INFORMACJE O APLIKACJI wybierz pozycję Wypełnij dane ręcznie, w adresie URL usługi Assertion consumer service wprowadź zanotowany wcześniej adres URL logowania usługi Salesforce, a następnie kliknij przycisk Dalej.

    Uwaga

    Jeśli aplikacja udostępnia certyfikat SAML, wybierz pozycję Użyj <app_name> certyfikatu SAML i przekaż plik certyfikatu.

    Ręcznie wypełnij informacje SAML usługi Salesforce.

Krok 3. Tworzenie nowej konfiguracji zaufania jednostki uzależnionej usług AD FS i logowania jednokrotnego aplikacji

Uwaga

Aby ograniczyć przestoje użytkowników końcowych i zachować istniejącą znaną dobrą konfigurację, zalecamy utworzenie nowej konfiguracji zaufania jednostki uzależnionej i logowania jednokrotnego. Jeśli nie jest to możliwe, pomiń odpowiednie kroki. Jeśli na przykład konfigurowana aplikacja nie obsługuje tworzenia wielu konfiguracji logowania jednokrotnego, pomiń krok tworzenia nowego logowania jednokrotnego.

  1. W konsoli zarządzania usługAMI AD FS w obszarze Zaufania jednostki uzależnionej wyświetl właściwości istniejącego zaufania jednostki uzależnionej dla aplikacji i zanotuj ustawienia.

  2. W obszarze Akcje, kliknij przycisk Dodaj jednostki uzależnionej relacja zaufania. Oprócz wartości Identyfikator, która musi być unikatową nazwą, skonfiguruj nowe zaufanie przy użyciu zanotowanych wcześniej ustawień. To zaufanie będzie potrzebne później podczas konfigurowania aplikacji Defender dla Chmury.

  3. Otwórz plik metadanych federacji i zanotuj lokalizację singleSignOnService usług AD FS. Będzie ono potrzebne później.

    Uwaga

    Aby uzyskać dostęp do pliku metadanych federacji, możesz użyć następującego punktu końcowego: https://<Your_Domain>/federationmetadata/2007-06/federationmetadata.xml

    Zanotuj istniejącą lokalizację usługi logowania jednokrotnego aplikacji Salesforce.

  4. Pobierz certyfikat podpisywania dostawcy tożsamości. Będzie ono potrzebne później.

    1. W obszarze Certyfikaty usług kliknij prawym przyciskiem myszy certyfikat podpisywania usług>AD FS, a następnie wybierz pozycję Wyświetl certyfikat.

      Wyświetl właściwości certyfikatu podpisywania dostawcy tożsamości.

    2. Na karcie Szczegóły certyfikatu kliknij przycisk Kopiuj do pliku i wykonaj kroki opisane w Kreatorze eksportu certyfikatów, aby wyeksportować certyfikat jako zakodowany w formacie Base-64 X.509 (. Plik CER).

      Zapisz plik certyfikatu podpisywania dostawcy tożsamości.

  5. Wróć do usługi Salesforce na istniejącej stronie ustawień logowania jednokrotnego usług AD FS zanotuj wszystkie ustawienia.

  6. Utwórz nową konfigurację logowania jednokrotnego SAML. Oprócz wartości Identyfikator jednostki, która musi być zgodna z identyfikatorem zaufania jednostki uzależnionej, skonfiguruj logowanie jednokrotne przy użyciu zanotowanych wcześniej ustawień. Będzie to potrzebne później podczas konfigurowania aplikacji Defender dla Chmury.

Krok 4. Konfigurowanie aplikacji Defender dla Chmury przy użyciu informacji o aplikacji usług AD FS

  1. Ponownie na stronie dostawcy tożsamości aplikacji Defender dla Chmury kliknij przycisk Dalej, aby kontynuować.

  2. Na następnej stronie wybierz pozycję Wypełnij dane ręcznie, wykonaj następujące czynności, a następnie kliknij przycisk Dalej.

    • W polu Adres URL usługi logowania jednokrotnego wprowadź zanotowany wcześniej adres URL logowania usługi Salesforce.
    • Wybierz pozycję Przekaż certyfikat SAML dostawcy tożsamości i przekaż pobrany wcześniej plik certyfikatu.

    Dodaj adres URL usługi logowania jednokrotnego i certyfikat SAML.

  3. Na następnej stronie zanotuj następujące informacje, a następnie kliknij przycisk Dalej. Informacje będą potrzebne później.

    • Adres URL logowania jednokrotnego aplikacji Defender dla Chmury Apps
    • Defender dla Chmury Apps atrybuty i wartości

    Uwaga

    Jeśli zostanie wyświetlona opcja przekazania certyfikatu SAML aplikacji Defender dla Chmury dla dostawcy tożsamości, kliknij link, aby pobrać plik certyfikatu. Będzie ono potrzebne później.

    W Defender dla Chmury Apps zanotuj adres URL i atrybuty logowania jednokrotnego.

Krok 5. Ukończenie konfiguracji zaufania jednostki uzależnionej usług AD FS

  1. Po powrocie do konsoli zarządzania usługAMI AD FS kliknij prawym przyciskiem myszy utworzone wcześniej zaufanie jednostki uzależnionej, a następnie wybierz polecenie Edytuj zasady wystawiania oświadczeń.

    Znajdź i edytuj wystawianie oświadczeń zaufania opartego.

  2. W oknie dialogowym Edytowanie zasad wystawiania oświadczeń w obszarze Reguły przekształcania wystawiania użyj podanych informacji w poniższej tabeli, aby wykonać kroki tworzenia reguł niestandardowych.

    Nazwa reguły oświadczenia Reguła niestandardowa
    McasSigningCert => issue(type="McasSigningCert", value="<value>");gdzie <value> to wartość McasSigningCert z zanotowany wcześniej kreatora Defender dla Chmury Apps
    McasAppId => issue(type="McasAppId", value="<value>");to wartość McasAppId z zanotowany wcześniej kreator Defender dla Chmury Apps
    1. Kliknij pozycję Dodaj regułę w obszarze Szablon reguły oświadczenia wybierz pozycję Wyślij oświadczenia przy użyciu reguły niestandardowej, a następnie kliknij przycisk Dalej.
    2. Na stronie Konfigurowanie reguły wprowadź odpowiednią nazwę reguły oświadczenia i podaną regułę niestandardową.

    Uwaga

    Te reguły są dodatkiem do wszystkich reguł oświadczeń lub atrybutów wymaganych przez konfigurowaną aplikację.

  3. Po powrocie na stronę Zaufania jednostki uzależnionej kliknij prawym przyciskiem myszy utworzone wcześniej zaufanie jednostki uzależnionej, a następnie wybierz pozycję Właściwości.

  4. Na karcie Punkty końcowe wybierz pozycję SAML Assertion Consumer Endpoint, kliknij pozycję Edytuj i zastąp zaufany adres URL zanotowaną wcześniej adresem URL logowania jednokrotnego aplikacji Defender dla Chmury Apps, a następnie kliknij przycisk OK.

    Zaktualizuj właściwości zaufanego punktu końcowego zaufania właściwości zaufanego adresu URL.

  5. Jeśli pobrano certyfikat SAML aplikacji Defender dla Chmury Dla dostawcy tożsamości, na karcie Podpis kliknij przycisk Dodaj i przekaż plik certyfikatu, a następnie kliknij przycisk OK.

    Aktualizowanie właściwości sygnatury zaufania jednostki uzależnionej certyfikatu SAML.

  6. Zapisz swoje ustawienia.

Krok 6. Pobieranie zmian aplikacji w aplikacjach Defender dla Chmury

Po powrocie do strony zmiany aplikacji aplikacji Defender dla Chmury wykonaj następujące czynności, ale nie klikaj przycisku Zakończ. Informacje będą potrzebne później.

  • Kopiowanie adresu URL logowania jednokrotnego saml aplikacji Defender dla Chmury
  • Pobieranie certyfikatu SAML aplikacji Defender dla Chmury

Zanotuj adres URL logowania jednokrotnego SAML aplikacji Defender dla Chmury i pobierz certyfikat.

Krok 7. Ukończenie zmian aplikacji

W usłudze Salesforce przejdź do pozycji Ustawienia konfiguracji>Ustawienia>logowania jednokrotnego tożsamości>i wykonaj następujące czynności:

  1. Zalecane: utwórz kopię zapasową bieżących ustawień.

  2. Zastąp wartość pola Identity Provider Login URL (Adres URL logowania dostawcy tożsamości) zanotowaną wcześniej wartością adresu URL logowania jednokrotnego saml aplikacji Defender dla Chmury Apps.

  3. Przekaż pobrany wcześniej certyfikat SAML aplikacji Defender dla Chmury.

  4. Kliknij przycisk Zapisz.

    Uwaga

    Certyfikat SAML aplikacji Defender dla Chmury jest ważny przez jeden rok. Po wygaśnięciu nowego certyfikatu należy wygenerować.

Krok 8. Ukończenie konfiguracji w usłudze Defender dla Chmury Apps

  • Po powrocie do strony zmiany aplikacji aplikacji Defender dla Chmury kliknij przycisk Zakończ. Po ukończeniu pracy kreatora wszystkie skojarzone żądania logowania do tej aplikacji będą kierowane za pośrednictwem kontroli aplikacji dostępu warunkowego.

Powiązana zawartość

« POPRZEDNI: Wdrażanie kontroli dostępu warunkowego aplikacji dla wszystkich aplikacji

Wprowadzenie do kontroli aplikacji dostępu warunkowego

Rozwiązywanie problemów z kontrolą dostępu i sesji

Jeśli napotkasz jakiekolwiek problemy, jesteśmy tutaj, aby pomóc. Aby uzyskać pomoc lub pomoc techniczną dotyczącą problemu z produktem, otwórz bilet pomocy technicznej.