Tutorial: integração do Microsoft Entra SSO com o Jamf Pro

  • Artigo

Nesse tutorial, você aprenderá a integrar o Jamf Pro com a ID do Microsoft Entra. Ao integrar o Jamf Pro com a ID do Microsoft Entra, você pode:

  • usar a ID do Microsoft Entra para controlar quem tem acesso ao Jamf Pro.
  • entrar automaticamente seus usuários no Jamf Pro com suas contas do Microsoft Entra.
  • Gerenciar suas contas em um local central: o portal do Azure.

Pré-requisitos

Para começar, você precisará dos seguintes itens:

  • Uma assinatura do Microsoft Entra. Caso você não tenha uma assinatura, obtenha uma conta gratuita.
  • Uma assinatura do Jamf Pro com SSO (logon único) habilitado.

Descrição do cenário

Neste tutorial, você vai configurar e testar o SSO do Microsoft Entra em um ambiente de teste.

  • O Jamf Pro dá suporte ao SSO iniciado por SP e IdP.

Para configurar a integração do Jamf Pro na ID do Microsoft Entra, você precisa adicionar o Jamf Pro da galeria à sua lista de aplicativos SaaS gerenciados.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.
  2. Navegue até Identidade>Aplicativos>Aplicativos empresariais>Novo aplicativo.
  3. Na seção Adicionar por meio da galeria, insira Jamf Pro na caixa de pesquisa.
  4. Selecione Jamf Pro no painel de resultados e, em seguida, adicione o aplicativo. Aguarde alguns segundos enquanto o aplicativo é adicionado ao seu locatário.

Opcionalmente, você também pode usar o Assistente de Configuração de Aplicativos do Enterprise. Neste assistente, você pode adicionar um aplicativo ao seu locatário, adicionar usuários/grupos ao aplicativo, atribuir funções, bem como percorrer a configuração de SSO. Saiba mais sobre os assistentes do Microsoft 365.

Configurar e testar o SSO na ID do Microsoft Entra para Jamf Pro

Configure e teste o SSO do Microsoft Entra com o Jamf Pro usando um usuário de teste chamado B.Simon. Para que o SSO funcione, você precisa estabelecer uma relação de vínculo entre um usuário do Microsoft Entra e o usuário relacionado no Jamf Pro.

Nessa seção, você configura e testa o SSO do Microsoft Entra com o Jamf Pro.

  1. Configure o SSO na ID do Microsoft Entra para que os usuários possam usar esse recurso.
    1. Crie um usuário de teste do Microsoft Entra para testar o SSO do Microsoft Entra com a conta B.Simon.
    2. Atribua o usuário de teste do Microsoft Entra para que B.Simon possa usar o SSO na ID do Microsoft Entra.
  2. Configurar o SSO no Jamf Pro para definir as configurações de SSO no lado do aplicativo.
    1. Crie um usuário de teste do Jamf Pro para ter uma contraparte de B.Simon no Jamf Pro vinculada à representação do usuário do Microsoft Entra.
  3. Testar a configuração de SSO para verificar se a configuração funciona.

Configurar o SSO na ID do Microsoft Entra

Nessa seção, você habilita o SSO do Microsoft Entra.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.

  2. Navegue até Identidade>Aplicativos>Aplicativos empresariais>página de integração do aplicativo Jamf Pro, localize a seção Gerenciar e selecione Logon Único.

  3. Na página Selecionar um Método de Logon Único, selecione SAML.

  4. Na página Configurar o logon único com o SAML, selecione o ícone de lápis da Configuração Básica de SAML para editar as configurações.

    Edit the Basic SAML Configuration page.

  5. Na seção Configuração Básica do SAML, caso deseje configurar o aplicativo no modo iniciado por IdP, insira os valores para os seguintes campos:

    a. Na caixa de texto Identificador, insira uma URL que use a seguinte fórmula: https://<subdomain>.jamfcloud.com/saml/metadata

    b. Na caixa de texto URL de Resposta, insira uma URL que use a seguinte fórmula: https://<subdomain>.jamfcloud.com/saml/SSO

  6. Selecione Definir URLs adicionais. Caso deseje configurar o aplicativo no modo iniciado pelo SP, na caixa de texto URL de Logon, insira uma URL que use a seguinte fórmula: https://<subdomain>.jamfcloud.com

    Observação

    Esses valores não são reais. Atualize esses valores com o identificador, a URL de resposta e a URL de logon reais. Você obterá o valor real do identificador na seção Logon Único no portal do Jamf Pro, que será explicado mais adiante no tutorial. Você pode extrair o valor real do subdomínio do valor do identificador e usar essas informações do subdomínio como a URL de logon e a URL de resposta. Consulte também as fórmulas mostradas na seção Configuração Básica do SAML.

  7. Na página Configurar o Logon Único com o SAML, acesse a seção Certificado de Autenticação SAML, selecione o botão Copiar para copiar a URL de Metadados de Federação do Aplicativo e, em seguida, salve-a no computador.

    The SAML Signing Certificate download link

Criar um usuário de teste do Microsoft Entra

Nesta seção, crie um usuário de teste chamado B.Simon.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.
  2. Navegue até Identidade>Usuários>Todos os usuários.
  3. Selecione Novo usuário na parte superior da tela.
  4. Nas propriedades do Usuário, siga estas etapas:
    1. No campo Nome, insira B.Simon.
    2. No campo Nome de usuário, insira [nome]@[domíniodaempresa].[extensão]. Por exemplo, B.Simon@contoso.com.
    3. Marque a caixa de seleção Mostrar senha e, em seguida, anote o valor exibido na caixa Senha.
    4. Selecione Criar.

Atribuir o usuário de teste do Microsoft Entra

Nesta seção, você permitirá a B.Fernandes acesso ao Jamf Pro.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.
  2. Navegue até Identidade>Aplicativos>Aplicativos empresariais>Jamf Pro.
  3. Na página de visão geral do aplicativo, localize a seção Gerenciar e escolha Usuários e grupos.
  4. Selecione Adicionar usuário e, em seguida, Usuários e grupos na caixa de diálogo Adicionar Atribuição.
  5. Na caixa de diálogo Usuários e grupos, selecione B.Fernandes na lista Usuários e, em seguida, escolha o botão Selecionar na parte inferior da tela.
  6. Se você estiver esperando que uma função seja atribuída aos usuários, escolha-a na lista suspensa Selecionar uma função. Se nenhuma função tiver sido configurada para esse aplicativo, você verá a função "Acesso Padrão" selecionada.
  7. Na caixa de diálogo Adicionar Atribuição, selecione o botão Atribuir.

Configurar o SSO no Jamf Pro

  1. Para automatizar a configuração no Jamf Pro, instale a extensão do navegador Entrada Segura dos Meus Aplicativos selecionando Instalar a extensão.

    My Apps Secure Sign-in browser extension page

  2. Depois de adicionar a extensão ao navegador, selecione Configurar o Jamf Pro. Quando o aplicativo Jamf Pro for aberto, forneça as credenciais de administrador para entrar. A extensão do navegador configurará automaticamente o aplicativo e automatizará as etapas 3 a 7.

    Setup configuration page in Jamf Pro

  3. Para configurar o Jamf Pro manualmente, abra uma nova janela do navegador da Web e entre em seu site da empresa do Jamf Pro como administrador. Em seguida, execute as etapas a seguir.

  4. Selecione o ícone Configurações no canto superior direito da página.

    Select the settings icon in Jamf Pro

  5. Selecione Logon Único.

    Select Single Sign-On in Jamf Pro

  6. Na página Logon Único, execute as etapas a seguir.

    The Single Sign-On page in Jamf Pro

    a. Selecione Editar.

    b. Marque a caixa de seleção Habilitar Autenticação de Logon Único.

    c. Selecione Azure como uma opção no menu suspenso Provedor de Identidade.

    d. Copie o valor da ID DA ENTIDADE e cole-o no campo Identificador (ID da Entidade) da seção Configuração Básica do SAML.

    Observação

    Use o valor do campo <SUBDOMAIN> para completar a URL de logon e a URL de resposta na seção Configuração Básica do SAML.

    e. Selecione URL de Metadados no menu suspenso Fonte de Metadados do Provedor de Identidade. No campo exibido, cole o valor da URL de Metadados de Federação do Aplicativo copiado.

    f. (Opcional) Edite o valor de expiração do token ou selecione "Desabilitar expiração do token SAML".

  7. Na mesma página, role a página para baixo até a seção Mapeamento de Usuário. Em seguida, execute as etapas a seguir.

    The User Mapping section of the Single Sign-On page in Jamf Pro.

    a. Selecione a opção NameID para Mapeamento de Usuário do Provedor de Identidade. Por padrão, essa opção é definida como NameID, mas você pode definir um atributo personalizado.

    b. Selecione Email para Mapeamento de Usuário do Jamf Pro. O Jamf Pro mapeia os atributos SAML enviados pelo IdP primeiro por usuários e, em seguida, por grupos. Quando um usuário tenta acessar o Jamf Pro, o Jamf Pro obtém informações sobre o usuário do provedor de identidade e faz sua correspondência com todas as contas de usuário do Jamf Pro. Se a conta de usuário de entrada não for encontrada, o Jamf Pro tentará fazer a correspondência dela por nome de grupo.

    c. Cole o valor http://schemas.microsoft.com/ws/2008/06/identity/claims/groups no campo NOME DO ATRIBUTO DE GRUPO DO PROVEDOR DE IDENTIDADE.

    d. Na mesma página, role para baixo até a seção Segurança e selecione Permitir que os usuários ignorem a autenticação de logon único. Como resultado, os usuários não serão redirecionados para a página de entrada do provedor de identidade para autenticação e poderão entrar no Jamf Pro diretamente. Quando um usuário tenta acessar o Jamf Pro por meio do Provedor de Identidade, ocorre a autenticação e autorização de SSO iniciada pelo IdP.

    e. Clique em Salvar.

Criar um usuário de teste do Jamf Pro

Para que os usuários do Microsoft Entra entrem no Jamf Pro, eles devem ser provisionados no Jamf Pro. O provisionamento no Jamf Pro é uma tarefa manual.

Para provisionar uma conta de usuário, execute as seguintes etapas:

  1. Entre em seu site corporativo do Jamf Pro como administrador.

  2. Selecione o ícone Configurações no canto superior direito da página.

    The settings icon in Jamf Pro

  3. Selecione Contas de Usuário e Grupos do Jamf Pro.

    The Jamf Pro User Accounts & Groups icon in Jamf Pro settings

  4. Selecione Novo.

    Jamf Pro User Accounts & Groups system settings page

  5. Selecione Criar Conta Padrão.

    The Create Standard Account option in the Jamf Pro User Accounts & Groups page

  6. Na caixa de diálogo Nova Conta, execute as seguintes etapas:

    New account setup options in Jamf Pro system settings

    a. No campo NOME DE USUÁRIO, insira Britta Simon, o nome completo do usuário de teste.

    b. Selecione as opções de NÍVEL DE ACESSO, CONJUNTO DE PRIVILÉGIOS e STATUS DE ACESSO que estejam de acordo com sua organização.

    c. No campo NOME COMPLETO, insira Britta Simon.

    d. No campo ENDEREÇO DE EMAIL, insira o endereço de email da conta de Brenda Fernandes.

    e. No campo SENHA, insira a senha do usuário.

    f. No campo VERIFICAR SENHA, insira a senha do usuário novamente.

    g. Selecione Salvar.

Testar a configuração de SSO

Nesta seção, você vai testar a configuração de logon único do Microsoft Entra com as opções a seguir.

Iniciado por SP:

  • Clique em Testar este aplicativo para ser redirecionado para a URL de Logon do Jamf Pro, na qual você poderá iniciar o fluxo de logon.

  • Acesse diretamente a URL de Logon do Jamf Pro e inicie o fluxo de logon de lá.

Iniciado por IdP:

  • Clique em Testar este aplicativo para entrar automaticamente no Jamf Pro, para o qual você configurou o SSO

Use também os Meus Aplicativos da Microsoft para testar o aplicativo em qualquer modo. Quando você clicar no bloco do Jamf Pro, em Meus Aplicativos, se ele estiver configurado no modo SP, você será redirecionado à página de logon do aplicativo para iniciar o fluxo de logon e, se ele estiver configurado no modo IDP, você será conectado automaticamente ao Jamf Pro para o qual configurou o SSO. Para obter mais informações sobre os Meus Aplicativos, confira Introdução aos Meus Aplicativos.

Próximas etapas

Depois de configurar o Jamf Pro, você poderá impor o controle de sessão, que fornece proteção contra exportação e infiltração dos dados confidenciais da sua organização em tempo real. O Controle de Sessão é estendido do acesso condicional. Saiba como impor o controle de sessão com o Microsoft Defender for Cloud Apps.