Självstudie: Konfigurera enkel F5 BIG-IP-knapp för huvudbaserad enkel inloggning
Lär dig hur du skyddar huvudbaserade program med Microsoft Entra-ID, med enkel konfiguration med enkel F5 BIG-IP-knapp v16.1.
Att integrera en BIG-IP med Microsoft Entra-ID ger många fördelar, bland annat:
- Förbättrad Nolltillit styrning via Microsoft Entra-förautentisering och villkorlig åtkomst
- Se, Vad är villkorlig åtkomst?
- Se Nolltillit säkerhet
- Fullständig enkel inloggning mellan Microsoft Entra-ID och BIG-IP-publicerade tjänster
- Hanterade identiteter och åtkomst från ett kontrollplan
- Se administrationscentret för Microsoft Entra
Läs mer:
Beskrivning av scenario
Det här scenariot omfattar det äldre programmet med http-auktoriseringshuvuden för att hantera åtkomst till skyddat innehåll. Legacy saknar moderna protokoll för direkt integrering med Microsoft Entra-ID. Modernisering är kostsamt, tidskrävande och medför avbrottsrisker. Använd i stället en F5 BIG-IP Application Delivery Controller (ADC) för att överbrygga klyftan mellan det äldre programmet och det moderna ID-kontrollplanet, med protokollövergång.
En BIG-IP framför programmet möjliggör överlägg av tjänsten med Microsoft Entra-förautentisering och huvudbaserad enkel inloggning. Den här konfigurationen förbättrar den övergripande programsäkerhetsstatusen.
Kommentar
Organisationer kan ha fjärråtkomst till den här programtypen med Microsoft Entra-programproxy. Läs mer: Fjärråtkomst till lokala program via Microsoft Entra-programproxy
Scenariots arkitektur
SHA-lösningen innehåller:
- Program – BIG-IP-publicerad tjänst som skyddas av Microsoft Entra SHA
- Microsoft Entra ID – SAML-identitetsprovider (Security Assertion Markup Language) som verifierar användarautentiseringsuppgifter, villkorsstyrd åtkomst och SAML-baserad enkel inloggning till BIG-IP. Med enkel inloggning tillhandahåller Microsoft Entra-ID BIG-IP med sessionsattribut.
- BIG-IP – omvänd proxy och SAML-tjänstprovider (SP) till programmet, delegera autentisering till SAML IdP innan du utför huvudbaserad enkel inloggning till serverdelsprogrammet.
I det här scenariot stöder SHA SP- och IdP-initierade flöden. Följande diagram illustrerar det SP-initierade flödet.
- Användaren ansluter till programslutpunkten (BIG-IP).
- BIG-IP APM-åtkomstprincip omdirigerar användaren till Microsoft Entra ID (SAML IdP).
- Microsoft Entra förautentiserar användaren och tillämpar principer för villkorsstyrd åtkomst.
- Användaren omdirigeras till BIG-IP (SAML SP) och enkel inloggning sker med en utfärdad SAML-token.
- BIG-IP matar in Microsoft Entra-attribut som rubriker i programbegäran.
- Programmet auktoriserar begäran och returnerar nyttolast.
Förutsättningar
För scenariot du behöver:
- En Azure-prenumeration
- Om du inte har något får du ett kostnadsfritt Azure-konto
- En av följande roller: Molnprogramadministratör eller programadministratör
- En BIG-IP eller distribuera en BIG-IP Virtual Edition (VE) i Azure
- Se Distribuera virtuell F5 BIG-IP Virtual Edition Virtual Machine i Azure
- Någon av följande F5 BIG-IP-licenser:
- F5 BIG-IP® Bästa paket
- Fristående licens för F5 BIG-IP Access Policy Manager™ (APM)
- F5 APM-tilläggslicens (BIG-IP Access Policy Manager™) på en BIG IP F5 BIG-IP® Local Traffic Manager™ (LTM)
- 90 dagars utvärderingsversion av big-IP-fullständig funktion. Se kostnadsfria utvärderingsversioner
- Användaridentiteter som synkroniseras från en lokal katalog till Microsoft Entra-ID
- Ett SSL-webbcertifikat för att publicera tjänster via HTTPS eller använda big-IP-standardcertifikat för testning
- Se, SSL-profil
- Ett huvudbaserat program eller konfigurera en IIS-huvudapp för testning
- Se Konfigurera en IIS-huvudapp
BIG-IP-konfiguration
I den här självstudien används guidad konfiguration v16.1 med en mall för enkel knapp. Med knappen Enkel går administratörer inte längre fram och tillbaka för att aktivera SHA-tjänster. Guiden Guidad konfiguration och Microsoft Graph hanterar distributions- och principhantering. BIG-IP APM- och Microsoft Entra-integreringen säkerställer att program stöder identitetsfederation, enkel inloggning och villkorsstyrd åtkomst.
Kommentar
Ersätt exempelsträngar eller värden med dem i din miljö.
Registrera enkel knapp
Dricks
Stegen i den här artikeln kan variera något beroende på vilken portal du börjar från.
Innan en klient eller tjänst får åtkomst till Microsoft Graph måste Microsofts identitetsplattform lita på den.
Läs mer: Snabbstart: Registrera ett program med Microsofts identitetsplattform.
Skapa en registrering av klientappen för att auktorisera enkel knappåtkomst till Graph. Med dessa behörigheter push-överför BIG-IP konfigurationerna för att upprätta ett förtroende mellan en SAML SP-instans för publicerat program och Microsoft Entra-ID som SAML-IdP.
Logga in på administrationscentret för Microsoft Entra som minst molnprogramadministratör.
Bläddra till Identitetsprogram>> Appregistreringar> Ny registrering.
Under Hantera väljer du Appregistreringar > Ny registrering.
Ange ett programnamn.
Ange vem som använder programmet.
Välj Endast konton i den här organisationskatalogen.
Välj Registrera.
Gå till API-behörigheter.
Auktorisera följande Microsoft Graph-programbehörigheter:
- Application.Read.All
- Application.ReadWrite.All
- Application.ReadWrite.OwnedBy
- Directory.Read.All
- Group.Read.All
- IdentityRiskyUser.Read.All
- Policy.Read.All
- Policy.ReadWrite.ApplicationConfiguration
- Policy.ReadWrite.ConditionalAccess
- User.Read.All
Bevilja administratörsmedgivande för din organisation.
På Certifikat och hemligheter genererar du en ny klienthemlighet. Anteckna klienthemligheten.
Observera klient-ID och klient-ID på Översikt.
Konfigurera enkel knapp
Starta den guidade APM-konfigurationen.
Starta mallen Enkel knapp .
Gå till Åtkomst > till guidad konfiguration.
Välj Microsoft-integrering
Välj Microsoft Entra-program.
Granska konfigurationsstegen.
Välj Nästa.
Publicera programmet med hjälp av den illustrerade stegsekvensen.
Konfigurationsegenskaper
Använd fliken Konfigurationsegenskaper för att skapa ett BIG-IP-programkonfigurations- och SSO-objekt. Azure-tjänstkontoinformation representerar den klient som du registrerade i Microsoft Entra-klientorganisationen. Använd inställningarna för BIG-IP OAuth-klienten för att registrera en SAML SP i din klientorganisation med egenskaper för enkel inloggning. Easy Button utför den här åtgärden för BIG-IP-tjänster som publicerats och aktiverats för SHA.
Du kan återanvända inställningar för att publicera fler program.
Ange ett konfigurationsnamn.
För Enkel inloggning (SSO) och HTTP-huvuden väljer du På.
För klient-ID, klient-ID och klienthemlighet anger du det du antecknade.
Bekräfta att BIG-IP ansluter till din klientorganisation.
Välj Nästa
Tjänstleverantör
I Tjänstproviderinställningar definierar du SAML SP-instansinställningar för det SHA-skyddade programmet.
Ange en värd, programmets offentliga FQDN.
Ange ett entitets-ID som identifieraren Microsoft Entra ID använder för att identifiera SAML SP som begär en token.
(Valfritt) I Säkerhets-Inställningar väljer du Aktivera krypteringskontroller för att göra det möjligt för Microsoft Entra-ID att kryptera utfärdade SAML-intyg. Microsoft Entra-ID och BIG-IP APM-krypteringskontroller hjälper till att säkerställa att innehållstoken inte fångas upp eller att personliga data eller företagsdata komprometteras.
I Security Inställningar väljer du Skapa ny i listan Med privat nyckel för försäkrandekryptering.
Välj OK.
Dialogrutan Importera SSL-certifikat och nycklar visas.
För Importtyp väljer du PKCS 12 (IIS). Den här åtgärden importerar certifikatet och den privata nyckeln.
För Certifikat och nyckelnamn väljer du Nytt och anger indata.
Ange lösenordet.
Välj Importera.
Stäng webbläsarfliken för att återgå till huvudfliken.
- Markera kryssrutan för Aktivera krypterad försäkran.
- Om du har aktiverat kryptering väljer du certifikatet från listan Med en privat nyckel för försäkrandekryptering. BIG-IP APM använder den här privata certifikatnyckeln för att dekryptera Microsoft Entra-försäkran.
- Om du har aktiverat kryptering väljer du certifikatet i listan Certifikat för dekryptering av försäkran. BIG-IP laddar upp det här certifikatet till Microsoft Entra-ID för att kryptera de utfärdade SAML-försäkran.
Microsoft Entra ID
Använd följande instruktioner för att konfigurera ett nytt BIG-IP SAML-program i din Microsoft Entra-klientorganisation. Easy Button har programmallar för Oracle Personer Soft, Oracle E-Business Suite, Oracle JD Edwards, SAP ERP och en allmän SHA-mall.
- Under Konfigurationsegenskaper i Azure Configuration väljer du F5 BIG-IP APM Microsoft Entra ID-integrering.
- Markera Lägga till.
Azure-konfiguration
Ange ett visningsnamn för appen BIG-IP som skapas i Microsoft Entra-klientorganisationen. Användarna ser namnet, med en ikon, på Microsoft Mina appar.
Hoppa över inloggnings-URL (valfritt).
Bredvid Signeringsnyckel och Signeringscertifikat väljer du Uppdatera för att hitta certifikatet som du har importerat.
I Lösenfras för signeringsnyckel anger du certifikatlösenordet.
(Valfritt) Aktivera signeringsalternativ för att säkerställa att BIG-IP accepterar token och anspråk som signerats av Microsoft Entra-ID.
Indata för användar- och användargrupper efterfrågas dynamiskt.
Viktigt!
Lägg till en användare eller grupp för testning, annars nekas all åtkomst. I Användar- och användargrupper väljer du + Lägg till.
Användarattribut och anspråk
När en användare autentiserar utfärdar Microsoft Entra ID en SAML-token med anspråk och attribut som identifierar användaren. Fliken Användarattribut och anspråk har standardanspråk för programmet. Använd fliken för att konfigurera fler anspråk.
Inkludera ytterligare ett attribut:
För Rubriknamn anger du employeeid.
För Källattribut anger du user.employeeid.
Ytterligare användarattribut
På fliken Ytterligare användarattribut aktiverar du sessionsförstoring. Använd den här funktionen för distribuerade system som Oracle, SAP och andra JAVA-implementeringar som kräver att attribut lagras i andra kataloger. Attribut som hämtas från en LDAP-källa (Lightweight Directory Access Protocol) matas in som fler SSO-huvuden. Den här åtgärden hjälper dig att styra åtkomsten baserat på roller, partner-ID:n och så vidare.
Kommentar
Den här funktionen har ingen korrelation till Microsoft Entra-ID. Det är en attributkälla.
Princip för villkorsstyrd åtkomst
Principer för villkorlig åtkomst styr åtkomst baserat på enheter, program, platser och risksignaler.
- I Tillgängliga principer hittar du principer för villkorsstyrd åtkomst utan användaråtgärder
- I Valda principer letar du upp en molnappsprincip
- Du kan inte avmarkera dessa principer eller flytta dem till Tillgängliga principer eftersom de tillämpas på klientnivå
Så här väljer du en princip som ska tillämpas på programmet som publiceras:
- På fliken Princip för villkorsstyrd åtkomst går du till listan Tillgängliga principer och väljer en princip.
- Välj högerpilen och flytta den till listan Valda principer.
Kommentar
Du kan välja alternativet Inkludera eller Exkludera för en princip. Om båda alternativen har valts avsätts principen.
Kommentar
Principlistan visas när du väljer fliken Princip för villkorsstyrd åtkomst. Välj uppdatera och guiden frågar klientorganisationen. Uppdateringen visas när ett program har distribuerats.
Egenskaper för virtuell server
En virtuell server är ett BIG IP-dataplansobjekt som representeras av en virtuell IP-adress. Servern lyssnar efter klienters begäranden till programmet. Mottagen trafik bearbetas och utvärderas mot den APM-profil som är associerad med den virtuella servern. Trafiken dirigeras enligt principen.
För Måladress anger du en IPv4- eller IPv6-adress som BIG-IP använder för att ta emot klienttrafik. Se till att en motsvarande post i domännamnsservern (DNS) som gör det möjligt för klienter att matcha den externa URL:en, för det BIG-IP-publicerade programmet, till den här IP-adressen. Du kan använda datorns localhost DNS för testning.
För Tjänstport anger du 443 och väljer HTTPS.
Markera kryssrutan för Aktivera omdirigeringsport.
Ange ett värde för omdirigeringsport. Det här alternativet omdirigerar inkommande HTTP-klienttrafik till HTTPS.
Välj den klient-SSL-profil som du skapade eller lämna standardvärdet för testning. Klient-SSL-profilen aktiverar den virtuella servern för HTTPS, så klientanslutningar krypteras via TLS.
Poolegenskaper
Fliken Programpool har tjänster bakom en BIG-IP, som representeras som en pool, med en eller flera programservrar.
För Välj en pool väljer du Skapa ny eller väljer en annan.
För Belastningsutjämningsmetod väljer du Resursallokering.
För Poolservrar väljer du en nod eller väljer en IP-adress och port för servern som är värd för det huvudbaserade programmet.
Kommentar
Microsofts serverdelsprogram finns på HTTP-port 80. Om du väljer HTTPS använder du 443.
Enkel inloggning och HTTP-huvuden
Med enkel inloggning får användarna åtkomst till BIG-IP-publicerade tjänster utan att ange autentiseringsuppgifter. Guiden Enkel knapp stöder Kerberos-, OAuth Bearer- och HTTP-auktoriseringshuvuden för enkel inloggning.
Vid enkel inloggning och HTTP-huvuden i SSO-huvuden, för Rubrikåtgärd, väljer du infoga
Använd upn för Rubriknamn.
För Rubrikvärde använder du %{session.saml.last.identity}.
För Rubrikåtgärd väljer du Infoga.
För Rubriknamn använder du employeeid.
För Rubrikvärde använder du %{session.saml.last.attr.name.employeeid}.
Kommentar
APM-sessionsvariabler inom klammerparenteser är skiftlägeskänsliga. Inkonsekvenser orsakar attributmappningsfel.
Sessionshantering
Använd inställningar för hantering av BIG-IP-sessioner för att definiera villkor för avslutning eller fortsättning av användarsessioner.
Mer information finns i support.f5.com för K18390492: Säkerhet | APM-driftguide för BIG-IP
Enkel utloggning (SLO) säkerställer att IdP-, BIG-IP- och användaragentsessioner avslutas när användarna loggar ut. När Enkel knapp instansierar ett SAML-program i din Microsoft Entra-klientorganisation fyller den i utloggnings-URL:en med APM SLO-slutpunkten. IdP-initierad utloggning från Mina appar avslutar BIG-IP- och klientsessioner.
SAML-federationsmetadata för det publicerade programmet importeras från din klientorganisation. Importen tillhandahåller APM med slutpunkten för SAML-utloggning för Microsoft Entra-ID. Den här åtgärden säkerställer att SP-initierad utloggning avslutar klient- och Microsoft Entra-sessioner. Kontrollera att APM vet när användaren loggar ut.
Om BIG-IP-webbportalen har åtkomst till publicerade program bearbetar eAPM utloggningen för att anropa Microsoft Entra-utloggningsslutpunkten. Om BIG-IP-webbportalen inte används kan användarna inte instruera APM att logga ut. Om användarna loggar ut från programmet är BIG-IP omedveten. Se därför till att SP-initierad utloggning på ett säkert sätt avslutar sessioner. Du kan lägga till en SLO-funktion till en utloggningsknapp för ett program. Sedan omdirigeras klienterna till microsoft Entra SAML- eller BIG-IP-utloggningsslutpunkten. Om du vill hitta SLUTpunkts-URL:en för SAML-utloggning för din klient går du till Slutpunkter för appregistreringar>.
Om du inte kan ändra appen aktiverar du BIG-IP för att lyssna efter programmets utloggningsanrop och utlösa SLO.
Läs mer:
- Personer Soft – enkel inloggning
- Gå till support.f5.com för:
Distribuera
Distributionen ger en uppdelning av dina konfigurationer.
- Om du vill checka in inställningar väljer du Distribuera.
- Kontrollera programmet i din klientorganisationslista över Företagsprogram.
- Programmet publiceras och är tillgängligt via SHA, med dess URL eller på Microsofts programportaler.
Test
- I en webbläsare ansluter du till programmets externa URL eller väljer programikonen på Mina appar.
- Autentisera till Microsoft Entra-ID.
- En omdirigering sker till den virtuella BIG-IP-servern för programmet och loggas in med enkel inloggning.
Följande skärmbild matas in sidhuvudutdata från det huvudbaserade programmet.
Kommentar
Du kan blockera direkt åtkomst till programmet och därmed framtvinga en sökväg via BIG-IP.
Avancerad distribution
I vissa scenarier saknar mallar för guidad konfiguration flexibilitet.
Läs mer: Självstudie: Konfigurera F5 BIG-IP Access Policy Manager för huvudbaserad enkel inloggning.
I BIG-IP kan du inaktivera strikt hanteringsläge för guidad konfiguration. Ändra sedan konfigurationerna manuellt, men de flesta konfigurationer automatiseras med guidemallar.
Om du vill inaktivera strikt läge går du till Åtkomst > till guidad konfiguration.
Välj hänglåsikonen på raden för programkonfigurationen.
BIG-IP-objekt som är associerade med den publicerade instansen av programmet låss upp för hantering. Ändringar med guiden är inte längre möjliga.
Kommentar
Om du återaktiverar strikt läge och distribuerar en konfiguration skriver åtgärden över inställningar som inte finns i den guidade konfigurationen. Vi rekommenderar den avancerade konfigurationen för produktionstjänster.
Felsökning
Använd följande vägledning vid felsökning.
Loggveroalitet
BIG-IP-loggar hjälper till att isolera problem med anslutning, enkel inloggning, princip eller felkonfigurerade variabelmappningar. Om du vill felsöka ökar du loggveroaliteten.
- Gå till Översikt över åtkomstprincip>.
- Välj Händelseloggar.
- Välj Inställningar.
- Välj raden i ditt publicerade program
- Välj Redigera.
- Välj Åtkomstsystemloggar.
- I listan med enkel inloggning väljer du Felsök.
- Välj OK.
- Återskapa problemet.
- Granska loggarna.
Kommentar
Återställ den här funktionen när den är klar. Utförligt läge genererar överdrivna data.
BIG-IP-felmeddelande
Om ett BIG-IP-felmeddelande visas efter Microsoft Entra-förautentisering kan problemet gälla Microsoft Entra ID-to-BIG-IP SSO.
- Gå till Översikt över åtkomstprincip>.
- Välj Åtkomstrapporter.
- Kör rapporten för den senaste timmen.
- Granska loggarna för att få ledtrådar.
Använd länken Visa sessionsvariabler för sessionen för att förstå om APM tar emot förväntade Microsoft Entra-anspråk.
Inget BIG-IP-felmeddelande
Om inget BIG-IP-felmeddelande visas kan problemet vara relaterat till serverdelsbegäran eller STOR-IP-till-program-enkel inloggning.
- Gå till Översikt över åtkomstprincip>.
- Välj Aktiva sessioner.
- Välj den aktiva sessionslänken.
Använd länken Visa variabler för att fastställa problem med enkel inloggning, särskilt om BIG-IP APM inte hämtar rätt attribut.
Läs mer:
- Konfigurera LDAP-fjärrautentisering för Active Directory
- Gå till techdocs.f5.com för manuellt kapitel: LDAP-fråga
Feedback
Kommer snart: Under hela 2024 kommer vi att fasa ut GitHub-problem som feedbackmekanism för innehåll och ersätta det med ett nytt feedbacksystem. Mer information finns i: https://aka.ms/ContentUserFeedback.
Skicka och visa feedback för