将 PingOne 用作标识提供者 (IdP) 来为任何 Web 应用部署条件访问应用控制

你可以在 Microsoft Defender for Cloud Apps 中配置会话控制，以使用任何 Web 应用和任何非 Microsoft IdP。本文介绍如何将应用会话从 PingOne 路由到 Defender for Cloud Apps 以进行实时会话控制。

在本文中，我们将 Salesforce 应用用作配置为使用 Defender for Cloud Apps 会话控制的 Web 应用的示例。要配置其他应用，请根据其要求执行相同的步骤。

先决条件

组织必须具有以下许可证才能使用条件访问应用控制：
- 相关的 PingOne 许可证（单一登录所需）
- Microsoft Defender for Cloud Apps
使用 SAML 2.0 身份验证协议的应用的现有的 PingOne 单一登录配置

使用以下步骤将你的 Web 应用会话从 PingOne 路由到 Defender for Cloud Apps。有关 Microsoft Entra 配置步骤，请参阅使用 Microsoft Entra ID 为自定义应用载入和部署条件访问应用控制。

注意

你可以使用以下方法之一配置 PingOne 提供的应用的 SAML 单一登录信息：

在以下步骤中，我们将使用选项 2。

在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”。
在“单一登录设置”下，选择现有的 SAML 2.0 配置的名称。
在“SAML 单一登录设置”页上，记下 Salesforce 登录 URL。稍后会需要它。

注意

如果应用提供 SAML 证书，请下载证书文件。

在 Microsoft Defender 门户中，选择“设置”。然后选择“云应用”。
在“连接的应用”下，选择“条件访问应用控制应用”。
选择“+添加”，然后在弹出窗口中选择要部署的应用，然后选择“启动向导”。
在“应用信息”页上，选择“手动填写数据”，在“断言使用者服务 URL”中输入前面记录的 Salesforce 登录 URL，然后选择“下一步”。

注意

如果应用提供 SAML 证书，请选择“使用 <app_name> SAML 证书”并上传证书文件。

继续操作之前，请使用以下步骤从现有的 Salesforce 应用中获取信息。

然后使用使用标识提供者添加 SAML 应用程序中的说明在 IdP 的门户中配置自定义应用。

Add SAML app with your identity provider.

注意

通过配置自定义应用，你可以使用访问和会话控制来测试现有的应用，而无需更改组织的当前行为。

创建新的 SAML 应用程序。
在“应用程序详细信息”页上，填写表单，然后选择“继续下一步”。

提示

使用有助于区分自定义应用和现有的 Salesforce 应用的应用名称。
在“应用程序配置”页上执行以下操作，然后选择“继续下一步”。
- 在“断言使用者服务 (ACS)”字段中，输入前面记录的 Salesforce 登录 URL。
- 在“实体 ID”字段中，输入一个以 https:// 开头的唯一 ID。请确保这与退出的 Salesforce PingOne 应用的配置不同。
- 请记下实体 ID。稍后会需要它。
在“SSO 属性映射”页上，添加现有的 Salesforce 应用的 SAML_SUBJECT 属性和前面记录的值，然后选择“继续下一步”。
在“组访问”页上，添加前面记录的现有 Salesforce 应用的组，然后完成配置。

返回到 Defender for Cloud Apps“标识提供者”页，选择“下一步”继续操作。
在下一页上，选择“手动填写数据”，执行以下操作，然后选择“下一步”。
- 对于“断言使用者服务 URL”，输入前面记录的 Salesforce 登录 URL。
- 选择“上传标识提供者的 SAML 证书”，然后上传前面下载的证书文件。
在下一页上，记下以下信息，然后选择“下一步”。稍后你将需要该信息。
- Defender for Cloud Apps 单一登录 URL
- Defender for Cloud Apps 属性和值

在 PingOne 中，找到并编辑自定义的 Salesforce 应用。
在“断言使用者服务 (ACS)”字段中，将 URL 替换为前面记下的 Defender for Cloud Apps 单一登录 URL，然后选择“下一步”。
将前面记录的 Defender for Cloud Apps 属性和值添加到应用的属性中。
保存设置。