Så här konfigurerar du privata nätverksanslutningar för Microsoft Entra privatni pristup och Microsoft Entra-programproxy
Anslutningsappar är lätta agenter som finns på en server i ett privat nätverk och underlättar den utgående anslutningen till den globala tjänsten för säker åtkomst. Anslutningsappar måste installeras på en Windows Server som har åtkomst till serverdelsresurserna och programmen. Du kan ordna anslutningsappar i anslutningsgrupper, där varje grupp hanterar trafik till specifika program. Mer information om anslutningsappar finns i Förstå privata Anslutningsprogram för privata Microsoft Entra-nätverk.
Förutsättningar
Om du vill lägga till privata resurser och program i Microsoft Entra-ID behöver du:
- Produkten kräver en licens. Mer information om licensiering finns i avsnittet om licensiering i Vad är global säker åtkomst. Om det behövs kan du köpa licenser eller få utvärderingslicenser.
- Ett programadministratörskonto.
Användaridentiteter måste synkroniseras från en lokal katalog eller skapas direkt i dina Microsoft Entra-klienter. Med identitetssynkronisering kan Microsoft Entra-ID förautentisera användare innan de beviljas åtkomst till programproxypublicerade program och ha nödvändig information om användaridentifierare för att utföra enkel inloggning (SSO).
Windows-server
Den privata Nätverksanslutningen för Microsoft Entra kräver en server som kör Windows Server 2012 R2 eller senare. Du installerar den privata nätverksanslutningen på servern. Den här anslutningsservern måste ansluta till den Microsoft Entra privatni pristup tjänsten eller programproxytjänsten och de privata resurser eller program som du planerar att publicera.
- För hög tillgänglighet i din miljö rekommenderar vi att du har fler än en Windows-server.
- Den lägsta .NET-version som krävs för anslutningsappen är v4.7.1+.
- Mer information finns i privata nätverksanslutningar
- Mer information finns i Ta reda på vilka .NET Framework-versioner som är installerade.
Viktigt!
Inaktivera HTTP 2.0 när du använder den privata Microsoft Entra-nätverksanslutningen med Microsoft Entra-programproxy på Windows Server 2019 eller senare.
HTTP2 Inaktivera protokollstödet i komponenten WinHttp för Kerberos-begränsad delegering för att fungera korrekt. Detta är inaktiverat som standard i tidigare versioner av operativsystem som stöds. Om du lägger till följande registernyckel och startar om servern inaktiveras den på Windows Server 2019 och senare. Det här är en datoromfattande registernyckel.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"EnableDefaultHTTP2"=dword:00000000
Nyckeln kan anges via PowerShell med följande kommando:
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0
Varning
Om du har distribuerat Microsoft Entra-lösenordsskyddsproxy ska du inte installera Microsoft Entra-programproxyn och Microsoft Entra-lösenordsskyddsproxyn på samma dator. Microsoft Entra-programproxy och Microsoft Entra Password Protection Proxy installerar olika versioner av Microsoft Entra Connect Agent Updater-tjänsten. Dessa olika versioner är inkompatibla när de installeras tillsammans på samma dator.
TLS-krav (Transport Layer Security)
Windows-anslutningsservern måste ha TLS 1.2 aktiverat innan du installerar den privata nätverksanslutningen.
Aktivera TLS 1.2:
Ange registernycklar.
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001Starta om servern.
Kommentar
Microsoft uppdaterar Azure-tjänster för att använda TLS-certifikat från en annan uppsättning rotcertifikatutfärdare (CA). Den här ändringen görs eftersom de aktuella CA-certifikaten inte uppfyller något av kraven för CA/Browser-forumets baslinje. Mer information finns i Ändringar i Azure TLS-certifikat.
Rekommendationer för anslutningsservern
- Optimera prestanda mellan anslutningsappen och programmet. Leta fysiskt upp anslutningsservern nära programservrarna. Mer information finns i Optimera trafikflödet med Microsoft Entra-programproxy.
- Kontrollera att anslutningsservern och webbprogramservrarna finns i samma Active Directory-domän eller omfattar betrodda domäner. Att ha servrarna i samma domän eller betrodda domäner är ett krav för att använda enkel inloggning (SSO) med integrerad Windows-autentisering (IWA) och Kerberos-begränsad delegering (KCD). Om anslutningsservern och webbprogramservrarna finns i olika Active Directory-domäner använder du resursbaserad delegering för enkel inloggning.
Förbered din lokala miljö
Börja med att aktivera kommunikation till Azure-datacenter för att förbereda din miljö för Microsoft Entra-programproxy. Om det finns en brandvägg i sökvägen kontrollerar du att den är öppen. En öppen brandvägg gör att anslutningsappen kan göra HTTPS-begäranden (TCP) till programproxyn.
Viktigt!
Om du installerar anslutningsappen för Azure Government-molnet följer du kraven och installationsstegen. Detta kräver att du aktiverar åtkomst till en annan uppsättning URL:er och ytterligare en parameter för att köra installationen.
Öppna portar
Öppna följande portar för utgående trafik.
| Portnummer | Hur den används |
|---|---|
| 80 | Ladda ned listor över återkallade certifikat (CRL: er) vid validering av TLS/SSL-certifikatet |
| 443 | All utgående kommunikation med programproxytjänsten |
Om brandväggstrafiken hanteras baserat på användarna som genererar den ska du även öppna portarna 80 och 443 för trafik som kommer från Windows-tjänster som körs som en nätverkstjänst.
Tillåt åtkomst till webbadresser
Tillåt åtkomst till följande webbadresser:
| webbadress | Port | Hur den används |
|---|---|---|
*.msappproxy.net *.servicebus.windows.net |
443/HTTPS | Kommunikation mellan anslutningsprogrammet och molntjänsten för programproxy |
crl3.digicert.com crl4.digicert.com ocsp.digicert.com crl.microsoft.com oneocsp.microsoft.com ocsp.msocsp.com |
80/HTTP | Anslutningsappen använder dessa URL:er för att verifiera certifikat. |
login.windows.net secure.aadcdn.microsoftonline-p.com *.microsoftonline.com *.microsoftonline-p.com *.msauth.net *.msauthimages.net *.msecnd.net *.msftauth.net *.msftauthimages.net *.phonefactor.net enterpriseregistration.windows.net management.azure.com policykeyservice.dc.ad.msft.net ctldl.windowsupdate.com www.microsoft.com/pkiops |
443/HTTPS | Anslutningsprogrammet använder dessa webbadresser under registreringen. |
ctldl.windowsupdate.com www.microsoft.com/pkiops |
80/HTTP | Anslutningsprogrammet använder dessa webbadresser under registreringen. |
Du kan tillåta anslutningar till *.msappproxy.net, *.servicebus.windows.netoch andra URL:er ovan om brandväggen eller proxyn låter dig konfigurera åtkomstregler baserat på domänsuffix. Annars måste du tillåta åtkomst till Azures IP-intervall och tjänsttaggar – offentligt moln. IP-adressintervallen uppdateras varje vecka.
Viktigt!
Undvik alla former av intern inspektion och avslutning av utgående TLS-kommunikation mellan privata Microsoft Entra-nätverksanslutningar och Molntjänster för Microsoft Entra-programproxy.
Installera och registrera ett anslutningsprogram
Om du vill använda Privat åtkomst installerar du en anslutningsapp på varje Windows-server som du använder för Microsoft Entra privatni pristup. Anslutningsappen är en agent som hanterar den utgående anslutningen från de lokala programservrarna till Global säker åtkomst. Du kan installera en anslutningsapp på servrar som även har andra autentiseringsagenter installerade, till exempel Microsoft Entra Connect.
Kommentar
Den lägsta versionen av anslutningsappen som krävs för privat åtkomst är 1.5.3417.0. Från och med version 1.5.3437.0 krävs .NET version 4.7.1 eller senare för lyckad installation (uppgradering).
Så här installerar du anslutningsappen:
Logga in på administrationscentret för Microsoft Entra som programadministratör för katalogen som använder programproxy.
- Om klientdomänen exempelvis är contoso.com ska administratören vara
admin@contoso.comeller något annat administratörsalias på den domänen.
- Om klientdomänen exempelvis är contoso.com ska administratören vara
Välj ditt användarnamn i det övre högra hörnet. Kontrollera att du är inloggad i en katalog som använder programproxy. Om du behöver ändra kataloger väljer du Växla katalog och väljer en katalog som använder programproxy.
Bläddra till Globala anslutningsappar för säker åtkomstanslutning>>.
Välj Ladda ned anslutningstjänsten.
Läs användningsvillkoren. När du är klar väljer du Acceptera villkor och Ladda ned.
Längst ned i fönstret väljer du Kör för att installera anslutningsappen. Installationsguiden öppnas.
Följ anvisningarna i guiden för att installera tjänsten. När du uppmanas att registrera anslutningsappen med programproxyn för din Microsoft Entra-klientorganisation anger du dina autentiseringsuppgifter som programadministratör.
- För Internet Explorer (IE): Om IE Enhanced Security Configuration är inställt på På kanske du inte ser registreringsskärmen. Följ instruktionerna i felmeddelandet för att få åtkomst. Kontrollera att Internet Explorer Enhanced Security Configuration är inställt på Av.
Bra att känna till
Om du tidigare har installerat en anslutningsapp installerar du om den för att hämta den senaste versionen. När du uppgraderar avinstallerar du den befintliga anslutningsappen och tar bort eventuella relaterade mappar. Information om tidigare utgivna versioner och vilka ändringar de innehåller finns i Programproxy: Versionshistorik.
Om du väljer att ha fler än en Windows-server för dina lokala program måste du installera och registrera anslutningsappen på varje server. Du kan ordna anslutningsprogrammen i anslutningsgrupper. Mer information finns i anslutningsgrupper.
Information om anslutningsappar, kapacitetsplanering och hur de håller sig uppdaterade finns i Förstå privata Nätverksanslutningar i Microsoft Entra.
Kommentar
Microsoft Entra privatni pristup stöder inte multi-geo-anslutningsappar. Molntjänstinstanserna för din anslutningsapp väljs i samma region som din Microsoft Entra-klientorganisation (eller den närmaste regionen) även om du har anslutningsappar installerade i regioner som skiljer sig från din standardregion.
Verifiera installationen och registreringen
Du kan använda portalen global säker åtkomst eller Windows-servern för att bekräfta att en ny anslutningsapp är korrekt installerad.
Information om hur du felsöker problem med programproxy finns i Felsöka programproxyprogramproblem.
Verifiera installationen via administrationscentret för Microsoft Entra
Så här bekräftar du att anslutningsprogrammet installerats och registrerats på rätt sätt:
Logga in på administrationscentret för Microsoft Entra som programadministratör för katalogen som använder programproxy.
Bläddra till Globala anslutningsappar för säker åtkomstanslutning>>
- Alla dina anslutningsprogram och anslutningsgrupper visas på den här sidan.
Visa en anslutningsapp för att verifiera dess information.
- Expandera anslutningsappen för att visa information om den inte redan har expanderats.
- En aktiv grön etikett innebär att ditt anslutningsprogram kan ansluta till tjänsten. Även om etiketten är grön kan dock ett nätverksproblem fortfarande blockera anslutningsprogrammet från att ta emot meddelanden.
Mer hjälp med att installera en anslutningsapp finns i Felsöka anslutningsappar.
Verifiera installationen via Windows-servern
Så här bekräftar du att anslutningsprogrammet installerats och registrerats på rätt sätt:
Välj Windows-nyckeln och ange
services.mscför att öppna Windows Services Manager.Kontrollera om statusen för följande tjänster körs.
- Microsoft Entra privat nätverksanslutning möjliggör anslutning.
- Microsoft Entra Private Network Connector Updater är en automatiserad uppdateringstjänst.
- Uppdateringsverktyget söker efter nya versioner av anslutningsprogrammet och uppdaterar det efter behov.
Om statusen för tjänsterna inte körs högerklickar du för att välja varje tjänst och väljer Starta.
Skapa anslutningsgrupper
Så här skapar du så många anslutningsgrupper som du vill:
- Bläddra till Globala anslutningsappar för säker åtkomstanslutning>>.
- Välj Ny anslutningsgrupp.
- Ge den nya anslutningsgruppen ett namn och använd sedan den nedrullningsbara menyn för att välja vilka anslutningsappar som hör hemma i den här gruppen.
- Välj Spara.
Mer information om anslutningsgrupper finns i Förstå grupper för privata nätverksanslutningar i Microsoft Entra.
Nästa steg
Nästa steg för att komma igång med Microsoft Entra privatni pristup är att konfigurera programmet Snabbåtkomst eller Global säker åtkomst:
Feedback
Kommer snart: Under hela 2024 kommer vi att fasa ut GitHub-problem som feedbackmekanism för innehåll och ersätta det med ett nytt feedbacksystem. Mer information finns i: https://aka.ms/ContentUserFeedback.
Skicka och visa feedback för