Microsoft Entra SSO 与 HPE Aruba Networking EdgeConnect Orchestrator 的集成
本教程介绍如何将 HPE Aruba Networking EdgeConnect Orchestrator 与 Microsoft Entra ID 集成。 将 HPE Aruba Networking EdgeConnect Orchestrator 与 Microsoft Entra ID 集成后,可以:
- 在 Microsoft Entra ID 中控制谁有权访问 HPE Aruba Networking EdgeConnect Orchestrator。
- 让用户能够使用其 Microsoft Entra 帐户自动登录到 HPE Aruba Networking EdgeConnect Orchestrator。
- 在中心位置管理帐户。
先决条件
若要将 Microsoft Entra ID 与 HPE Aruba Networking EdgeConnect Orchestrator 集成,需要:
- 一个 Microsoft Entra 订阅。 如果没有订阅,可以获取一个免费帐户。
- HPE Aruba Networking EdgeConnect Orchestrator 版本 9.4.1 或更高版本。
方案描述
在本教程中,将在测试环境中配置并测试 Microsoft Entra SSO。
- HPE Aruba Networking EdgeConnect Orchestrator 支持 SP 和 IDP 发起的 SSO。
从库中添加 HPE Aruba Networking EdgeConnect Orchestrator
若要配置 HPE Aruba Networking EdgeConnect Orchestrator 与 Microsoft Entra ID 的集成,需要从库中将 HPE Aruba Networking EdgeConnect Orchestrator 添加到托管 SaaS 应用列表。
至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。
在“从库中添加”部分的搜索框中,键入 HPE Aruba Networking EdgeConnect Orchestrator。
从结果面板中选择 HPE Aruba Networking EdgeConnect Orchestrator 部件。 输入名称并单击“创建”添加应用。 在该应用添加到租户时等待几秒钟。
或者,也可以使用企业应用配置向导。 在此向导中,可以将应用程序添加到租户,将用户/组添加到应用,分配角色,并逐步完成 SSO 配置。 详细了解 Microsoft 365 向导。
配置并测试 HPE Aruba Networking EdgeConnect Orchestrator 的 Microsoft Entra SSO
使用名为 B.Simon 的测试用户配置和测试 HPE Aruba Networking EdgeConnect Orchestrator 的 Microsoft Entra SSO。 若要使 SSO 正常工作,需要在 Microsoft Entra 用户与 HPE Aruba Networking EdgeConnect Orchestrator 中的相关用户之间建立链接关系。
若要配置并测试 HPE Aruba Networking EdgeConnect Orchestrator 的 Microsoft Entra SSO,请执行以下步骤:
- 配置 Microsoft Entra SSO - 此步骤使用户能够使用此功能。
- 创建 Microsoft Entra ID 测试用户 - 此步骤可以使用 B.Simon 测试 Microsoft Entra 单一登录。
- 将测试用户分配到 HPE Aruba Networking EdgeConnect Orchestrator 应用程序 - 此步骤允许 B.Simon 在 EdgeConnect Orchestrator 上使用 Microsoft Entra 单一登录
- 测试 SSO - 验证配置是否正常工作。
配置 Microsoft Entra SSO
按照以下步骤在 Microsoft Entra 管理中心启用 Microsoft Entra SSO。
至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
浏览到“标识”>“应用程序”>“企业应用程序”。 在搜索栏中,键入前面创建的 HPE Aruba Networking EdgeConnect Orchestrator 应用的名称。 会打开“概述”页面。
在左窗格中的“管理”下,单击“单一登录”。
在“选择单一登录方法”页上选择“SAML” 。
在“设置 SAML 单一登录”页面上,单击“基本 SAML 配置”旁边的铅笔图标以编辑设置 。
在“基本 SAML 配置” 部分中,按照以下步骤操作:
a. 必须输入“标识符(实体 ID)”文本框的值,“回复 URL(断言使用者服务 URL)”文本框和注销 URL(可选)值。 若要查找这些值,请先登录到 Orchestrator,并导航到“身份验证”对话框(Orchestrator >用户和身份验证>身份验证)。
b. 在“身份验证”对话中,单击“+添加新服务器”。
c. 从“类型”字段中选择“SAML”。
d. 在“名称”字段中,输入你的 SAML 配置名称。
e. 单击“ACS URL”字段旁边的复制图标。
f. 转到 Microsoft“使用 SAML 设置单一登录”页上的“基本 SAML 配置”部分:
在“标识符(实体 ID)”下,单击“添加标识符”链接。 将 ACS URL 值粘贴到“标识符”字段。
注意
- 如果你要在以下三个 Orchestrator 产品中的任何一个上配置 SAML SSO:“HPE Aruba Networking EdgeConnect Cloud Orchestrator”、“HPE Aruba Networking EdgeConnect Service Provider Orchestrator”和“HPE Aruba Networking EdgeConnect Global Enterprise Orchestrator”-
https://<SUBDOMAIN>.silverpeak.cloud/gms/rest/authentication/saml2/consume
,请使用以下模式。 - 如果你要在自行部署的 HPE Aruba Networking EdgeConnect Orchestrator 上配置 SAML SSO(无论是部署在本地还是部署在 Microsoft Entra 之类的公有云环境中)-
https://<PUBLIC-IP-ADDRESS-OF-ORCHESTRATOR>/gms/rest/authentication/saml2/consume
,请使用以下模式。
- 如果你要在以下三个 Orchestrator 产品中的任何一个上配置 SAML SSO:“HPE Aruba Networking EdgeConnect Cloud Orchestrator”、“HPE Aruba Networking EdgeConnect Service Provider Orchestrator”和“HPE Aruba Networking EdgeConnect Global Enterprise Orchestrator”-
在“回复 URL(断言使用者服务 URL)”下,单击“添加回复 URL 链接”。 在“回复 URL”字段中粘贴相同的 ACS URL 值。
注意
- 如果你要在以下三个 Orchestrator 产品中的任何一个上配置 SAML SSO:“HPE Aruba Networking EdgeConnect Cloud Orchestrator”、“HPE Aruba Networking EdgeConnect Service Provider Orchestrator”和“HPE Aruba Networking EdgeConnect Global Enterprise Orchestrator”-
https://<SUBDOMAIN>.silverpeak.cloud/gms/rest/authentication/saml2/consume
,请使用以下模式。 - 如果你要在自行部署的 HPE Aruba Networking EdgeConnect Orchestrator 上配置 SAML SSO(无论是部署在本地还是部署在 Microsoft Entra 之类的公有云环境中)-
https://<PUBLIC-IP-ADDRESS-OF-ORCHESTRATOR>/gms/rest/authentication/saml2/consume
,请使用以下模式。
- 如果你要在以下三个 Orchestrator 产品中的任何一个上配置 SAML SSO:“HPE Aruba Networking EdgeConnect Cloud Orchestrator”、“HPE Aruba Networking EdgeConnect Service Provider Orchestrator”和“HPE Aruba Networking EdgeConnect Global Enterprise Orchestrator”-
在“注销 URL(可选)”下,粘贴 Orchestrator 远程身份验证服务器页中的“EdgeConnect SLO 终结点”值,如下图所示:
注意
在自承载业务流程协调程序上,如果 Orchestrator 在 ACS URL 字段和 EdgeConnect SLO 终结点字段上显示专用 IP 地址,请使用 Orchestrator 的公共 IP 地址更新它。 如下面的屏幕截图所示,所有五个字段都必须包含 Orchestrator 的公共 IP 地址(而不是专用 IP)。
g. 单击“保存”以关闭“基本 SAML 配置”部分
在“使用 SAML 设置单一登录”页上,在“属性和声明”部分中,单击编辑图标并复制以下突出显示的条目,并将信息粘贴到 Orchestrator 中的“用户名属性”字段中,如下所示:
在“使用 SAML 设置单一登录”页的“SAML 签名证书”部分,找到“证书 (Base64)”,选择“下载”以下载该证书:
使用记事本之类的文本编辑器打开该证书。 复制证书内容并将其粘贴到 Orchestrator 的“IdP X.509 证书”字段中,如下所示:
在“使用 SAML 设置单一登录”页上,在“设置 HPE Aruba Networking EdgeConnect Orchestrator”部分中,复制“Microsoft Entra 标识符”,并将其粘贴到 Orchestrator 中的“颁发者 URL”字段中:
单击“属性”选项卡,复制“用户访问 URL”,并将其粘贴到 Orchestrator 中的“SSO 终结点”字段中,如下所示:
在 Orchestrator 远程身份验证服务器对话框中,设置“默认角色”字段。 示例:SuperAdmin。 (这是下拉列表中的最后一项。)如果未在“属性和声明”部分中的用户属性中定义基于角色的访问控制 (RBAC),则需要默认角色。
在“远程身份验证服务器”对话框中单击“保存”。
已在 Orchestrator 上成功配置 SAML SSO 身份验证。 下一步是创建测试用户并将 Orchestrator 应用程序分配给该用户,以验证 SAML 是否已成功配置。
创建 Microsoft Entra ID 测试用户
在本部分中,你将在 Microsoft Entra 管理中心创建名为 B.Simon 的测试用户。
- 至少以用户管理员身份登录到 Microsoft Entra 管理中心。
- 浏览到“标识”>“用户”>“所有用户”。
- 选择屏幕顶部的“新建用户”>“创建新用户”。
- 在“用户”属性中执行以下步骤:
- 在“显示名称”字段中输入
B.Simon
。 - 在“用户主体名称”字段中,输入 username@companydomain.extension。 例如
B.Simon@contoso.com
。 - 选中“显示密码”复选框,然后记下“密码”框中显示的值。
- 选择“查看 + 创建”。
- 在“显示名称”字段中输入
- 选择“创建”。
将测试用户分配到 HPE Aruba Networking EdgeConnect Orchestrator 应用程序
在本部分,将通过授予 B.Simon 访问 HPE Aruba Networking EdgeConnect Orchestrator 的权限,使其能够使用 Microsoft Entra 单一登录。
- 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
- 浏览到“标识”>“应用程序”>“企业应用程序”>“HPE Aruba Networking EdgeConnect Orchestrator”。
- 在应用的概述页中,选择“用户和组”。
- 选择“添加用户/组”,然后在“添加分配”对话框中选择“用户和组” 。
- 在“用户和组”对话框中,从“用户”列表中选择“B.Simon”,然后单击屏幕底部的“选择”按钮。
- 如果你希望将某角色分配给用户,可以从“选择角色”下拉列表中选择该角色。 如果尚未为此应用设置任何角色,你将看到选择了“默认访问权限”角色。
- 在“添加分配”对话框中,单击“分配”按钮。
测试 SSO
在本部分,你将使用以下选项测试 Microsoft Entra 单一登录配置。
SP 启动的:
点击 Microsoft Entra 管理中心中的“测试此应用程序”。 这会重定向到 HPE Aruba Networking EdgeConnect Orchestrator 登录 URL,可在其中启动登录流。
直接转到 HPE Aruba Networking EdgeConnect Orchestrator 登录 URL,并从那里启动登录流。
IDP 启动的:
- 在 Microsoft Entra 管理中心中单击“测试此应用程序”,然后应会自动登录到为其设置了 SSO 的 HPE Aruba Networking EdgeConnect Orchestrator。
还可以使用 Microsoft“我的应用”在任何模式下测试此应用程序。 在“我的应用”中单击 HPE Aruba Networking EdgeConnect Orchestrator 磁贴时,如果是在 SP 模式下配置的,会重定向到应用程序登录页来启动登录流;如果是在 IDP 模式下配置的,则应会自动登录到为其设置了 SSO 的 HPE Aruba Networking EdgeConnect Orchestrator。 有关“我的应用”的详细信息,请参阅“我的应用”简介。
后续步骤
配置 HPE Aruba Networking EdgeConnect Orchestrator 后,可以强制实施会话控制,实时防止组织的敏感数据外泄和渗透。 会话控制从条件访问扩展而来。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。
反馈
https://aka.ms/ContentUserFeedback。
即将发布:在整个 2024 年,我们将逐步淘汰作为内容反馈机制的“GitHub 问题”,并将其取代为新的反馈系统。 有关详细信息,请参阅:提交和查看相关反馈