教學課程：Microsoft Entra SSO 與 Akamai 整合

在本教學課程中，您將了解如何整合 Akamai 與 Microsoft Entra ID。 在整合 Akamai 與 Microsoft Entra ID 時，您可以：

• 在 Microsoft Entra ID 中控制可存取 Akamai 的人員。
• 讓使用者使用其 Microsoft Entra 帳戶自動登入 Akamai。
• 在一個集中式位置管理您的帳戶。

Microsoft Entra ID 和 Akamai 企業應用程式存取的整合，可讓您順暢地存取裝載於雲端或內部部署的舊版應用程式。 整合式解決方案可直接將 Microsoft Entra ID 的各種新式功能 (例如 Microsoft Entra 條件式存取、Microsoft Entra ID Protection 和 Microsoft Entra ID 控管) 運用於舊版應用程式存取，而無須進行應用程式修改或代理程式安裝。

下圖說明 Akamai EAA 如何運用於更廣泛的混合式安全存取案例。

主要驗證案例

除了對 OpenID Connect、SAML 和 WS-Fed 等新式驗證通訊協定的 Microsoft Entra 原生整合支援外，Akamai EAA 也對 Microsoft Entra ID 的內部和外部存取擴充了舊版驗證應用程式的安全存取，而支援對這些應用程式的新式案例 (例如，不需要密碼的存取)。 這包括：

• 標頭型驗證應用程式
• 遠端桌面
• SSH (安全殼層)
• Kerberos 驗證應用程式
• VNC (虛擬網路運算)
• 匿名驗證或沒有內建驗證的應用程式
• NTLM 驗證應用程式 (對使用者提出雙重提示的保護)
• 表單式驗證應用程式 (對使用者提出雙重提示的保護)

整合案例

Microsoft 與 Akamai EAA 的合作關係可根據您的商業需求支援多個整合案例，讓您靈活地達到商業需求。 這些案例可用來為所有應用程式提供零時差涵蓋範圍，並逐漸分類和設定適當的原則分類。

整合案例 1

Akamai EAA 設定為 Microsoft Entra ID 上的單一應用程式。 管理員可設定應用程式的條件式存取原則，一旦符合條件，使用者即可取得 Akamai EAA 入口網站的存取權。

優點：

• 您只需設定一次 IDP。

缺點：

• 使用者最終會有兩個應用程式入口網站。

• 所有應用程式有共同的單一條件式存取原則涵蓋範圍。

整合案例 2

Akamai EAA 應用程式個別設定於 Azure 入口網站上。 管理員可對應用程式設定個別的條件式存取原則，一旦符合條件，使用者即可直接重新導向至特定的應用程式。

優點：

• 您可以定義個別的條件式存取原則。

• 所有應用程式都會顯示在 0365 Waffle 和 myApps.microsoft.com 面板上。

缺點：

• 您必須設定多個 IDP。

必要條件

若要開始使用，您需要下列項目：

• Microsoft Entra 訂用帳戶。 如果您沒有訂用帳戶，可以取得免費帳戶。
• 已啟用 Akamai 單一登入 (SSO) 的訂用帳戶。

案例描述

在本教學課程中，您會在測試環境中設定及測試 Microsoft Entra SSO。

• Akamai 支援由 IDP 起始的 SSO。

重要

在整合案例 1 和案例 2 中，以下所列的所有設定都相同。 在整合案例 2 中，您已在 Akamai EAA 中設定個別 IDP，且必須修改 URL 屬性以指向應用程式 URL。

從資源庫新增 Akamai

若要設定將 Akamai 整合到 Microsoft Entra ID 中，您需要從資源庫將 Akamai 新增到受控 SaaS 應用程式清單。

1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [身分識別]> [應用程式]> [企業應用程式]> [新增應用程式]。
3. 在 [從資源庫新增] 區段的搜尋方塊中輸入 Akamai。
4. 從結果面板選取 [Akamai]，然後新增應用程式。 將應用程式新增至您的租用戶時，請稍候幾秒鐘。

或者，您也可以使用企業應用程式組態精靈。 在此精靈中，您可以將應用程式新增至租用戶、將使用者/群組新增至應用程式、指派角色，以及逐步進行 SSO 設定。 深入了解 Microsoft 365 精靈。

設定及測試 Akamai 的 Microsoft Entra SSO

以名為 B.Simon的測試用戶，設定及測試與 Akamai 搭配運作的 Microsoft Entra SSO。 若要讓 SSO 能夠運作，您必須建立 Microsoft Entra 使用者與 Akamai 中相關使用者之間的連結關聯性。

若要設定及測試與 Akamai 搭配運作的 Microsoft Entra SSO，請執行下列步驟：

1. 設定 Microsoft Entra SSO - 讓使用者能夠使用此功能。
   • 建立 Microsoft Entra 測試使用者 - 以使用 B.Simon 測試 Microsoft Entra 單一登入。
   • 指派 Microsoft Entra 測試使用者 - 讓 B.Simon 使用 Microsoft Entra 單一登入。
2. 設定 Akamai SSO - 在應用程式端設定單一登入設定。
   • 設定 IDP
   • 以標頭為基礎的驗證
   • 遠端桌面
   • SSH
   • Kerberos 驗證
   • 建立 Akamai 測試使用者 - 使 Akamai 中對應的 B.Simon 連結到該使用者在 Microsoft Entra 中的代表項目。
3. 測試 SSO - 確認組態是否正常運作。

設定 Microsoft Entra SSO

遵循下列步驟來啟用 Microsoft Entra SSO。

1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。

2. 瀏覽至 [身分識別]> [應用程式]> [企業應用程式]> [Akamai]> [單一登入]。

3. 在 [選取單一登入方法] 頁面上，選取 [SAML]。

4. 在 [以 SAML 設定單一登入] 頁面上，按一下 [基本 SAML 設定] 的鉛筆圖示，以編輯設定。

   

5. 在 [基本 SAML 設定] 區段上，如果您想要以 IDP 起始模式設定應用程式，請輸入下列欄位的值：

   a. 在 [識別碼] 文字方塊中，使用下列模式來輸入 URL：https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

   b. 在 [回覆 URL] 文字方塊中，使用下列模式來輸入 URL：https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

   注意

   這些都不是真正的值。 請使用實際的識別碼和回覆 URL 更新這些值。 請連絡 Akamai 用戶端支援小組以取得這些值。 您也可以參考 [基本 SAML 設定] 區段所顯示的模式。

6. 在 [以 SAML 設定單一登入] 頁面上的 [SAML 簽署憑證] 區段中，尋找 [同盟中繼資料 XML]，然後選取 [下載]，以下載憑證並將其儲存在電腦上。

   

7. 在 [設定 Akamai] 區段上，根據您的需求複製適當的 URL。

   

建立 Microsoft Entra 測試使用者

在本節中，您將建立名為 B.Simon 的測試使用者。

1. 以至少是使用者管理員的身分登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [身分識別]>[使用者]>[所有使用者]。
3. 選取畫面頂端的 [新增使用者]> [建立新的使用者]。
4. 在 [使用者] 屬性中，執行下列步驟：
   1. 在 [顯示名稱] 欄位中，輸入 B.Simon。
   2. 在 [使用者主體名稱] 欄位中，輸入 username@companydomain.extension。 例如： B.Simon@contoso.com 。
   3. 選取 [顯示密碼] 核取方塊，然後記下 [密碼] 方塊中顯示的值。
   4. 選取 [檢閱 + 建立]。
5. 選取 建立。

指派 Microsoft Entra 測試使用者

在本節中，您會將 Akamai 的存取權授與 B.Simon，讓其能夠使用 Azure 單一登入。

1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。
2. 瀏覽至 [身分識別]> [應用程式]> [企業應用程式]> [Akamai]。
3. 在應用程式概觀頁面中，選取 [使用者和群組]。
4. 選取 [新增使用者/群組]，然後在 [新增指派] 對話方塊中選取 [使用者和群組]。
   1. 在 [使用者和群組] 對話方塊中，從 [使用者] 列表中選取 [B.Simon]，然後按一下畫面底部的 [選取] 按鈕。
   2. 如果您預期將角色指派給使用者，則可以從 [選取角色] 下拉式清單中選取該角色。 如果未為此應用程式設定任何角色，您會看到已選取 [預設存取權] 角色。
   3. 在 [新增指派] 對話方塊中，按一下 [指派] 按鈕。

設定 Akamai SSO

設定 IDP

AKAMAI EAA IDP 設定

1. 登入 Akamai 企業應用程式存取主控台。

2. 在 [Akamai EAA 主控台] 上，選取 [身分識別]>[識別提供者]，然後按一下 [新增識別提供者]。

   

3. 在 [建立新的識別提供者] 上，執行下列步驟：

   

   a. 指定 [唯一名稱]。

   b. 選擇 [第三方 SAML]，然後按一下 [建立識別提供者並設定]。

一般設定

1. 身分識別攔截 - 指定名稱 (將用於 Microsoft Entra 設定且為 SP 基底的 URL)。

   注意

   您可以選擇擁有您自己的自訂網域 (需要有 DNS 項目和憑證)。 在此範例中，我們將使用 Akamai 網域。

2. Akamai 雲端區域 - 選取適當的雲端區域。

3. 憑證驗證 - 查看 Akamai 文件 (選用)。

   

驗證組態

1. URL - 指定與身分識別攔截相同的 URL (這是在驗證之後，使用者的重新導向目的地)。

2. 登出 URL：更新登出 URL。

3. 簽署 SAML 要求：預設為未核取。

4. 對於 IDP 中繼資料檔案，在 Microsoft Entra ID 主控台中新增應用程式。

   

工作階段設定

將設定保留為預設值。

Directories

略過目錄設定。

自訂 UI

您可以將自訂新增至 IDP。

進階設定

略過進階設定/如需詳細資訊，請參閱 Akamai 文件。

部署

1. 按一下 [部署識別提供者]。

   

2. 確認部署成功。

以標頭為基礎的驗證

以 Akamai 標頭為基礎的驗證

1. 從「新增應用程式」精靈選擇 [自訂 HTTP]。

   

2. 輸入 [應用程式名稱] 和 [描述]。

   

   

   

驗證

1. 選取 [驗證] 索引標籤。

   

2. 指派 [識別提供者]。

   

服務

按一下 [儲存] 並移至 [驗證]。

進階設定

1. 在 [客戶 HTTP 標頭] 底下，指定 [CustomerHeader] 和 [SAML 屬性]。

   

2. 按一下 [儲存] 並移至 [部署] 按鈕。

   

部署應用程式

1. 按一下 [部署應用程式] 按鈕。

   

2. 確認應用程式已部署成功。

   

3. 使用者體驗。

   

   

4. 條件式存取。

   

   

遠端桌面

1. 從「新增應用程式」精靈選擇 [RDP]。

   

2. 輸入 [應用程式名稱] 和 [描述]。

   

   

3. 指定會提供此項目的連接器。

   

驗證

按一下 [儲存] 並移至 [服務]。

服務

按一下 [儲存] 並移至 [進階設定]。

進階設定

1. 按一下 [儲存] 並移至 [部署]。

   

   

   

2. 一般使用者體驗

   

   

3. 條件式存取

   

   

   

4. 或者，您也可以直接輸入 RDP 應用程式 URL。

SSH

1. 移至 [新增應用程式]，選擇 [SSH]。

   

2. 輸入 [應用程式名稱] 和 [描述]。

   

3. 設定應用程式識別碼。

   

   a. 指定名稱/描述。

   b. 指定 SSH 的應用程式伺服器 IP/FQDN 和連接埠。

   c. 指定 SSH 使用者名稱/複雜密碼 *核取 Akamai EAA。

   d. 指定外部主機名稱。

   e. 指定連接器的位置，然後選擇連接器。

驗證

按一下 [儲存] 並移至 [服務]。

服務

按一下 [儲存] 並移至 [進階設定]。

進階設定

按一下 [儲存] 並前往 [部署]。

部署

1. 按一下 [部署應用程式]。

   

2. 一般使用者體驗

   

   

3. 條件式存取

   

   

   

   

Kerberos 驗證

在下列範例中，我們將會在 http://frp-app1.superdemo.live 發佈內部 Web 伺服器，並使用 KCD 啟用 SSO。

General Tab

[驗證] 索引標籤

指派 [識別提供者]。

服務索引標籤

進階設定

注意

Web 伺服器的 SPN 格式為 SPN@Domain；例如此範例中使用：HTTP/frp-app1.superdemo.live@SUPERDEMO.LIVE。 將其餘設定保留為預設值。

部署索引標籤

新增目錄

1. 從下拉式清單中選取 [AD]。

   

2. 提供必要的資料。

   

3. 確認目錄已建立。

   

4. 新增需要存取權的群組/OU。

   

5. 在下列畫面中，群組稱為 EAAGroup，且有 1 個成員。

   

6. 按一下 [身分識別]>[識別提供者] 將目錄新增至您的識別提供者，並按一下 [目錄] 索引標籤，然後按一下 [指派目錄]。

   

為 EAA 設定 KCD 委派的逐步解說

步驟 1：建立帳戶

1. 在此範例中，我們將使用名為 EAADelegation 的帳戶。 您可以使用 Active Directory 使用者和電腦 Snappin 來執行此作業。

   

   注意

   根據 [身分識別攔截名稱]，使用者名稱必須採用特定格式。 從圖 1 中，該名稱顯示為 corpapps.login.go.akamai-access.com

2. 使用者登入名稱將是：HTTP/corpapps.login.go.akamai-access.com

   

步驟 2：設定此帳戶的 SPN

1. 根據此範例，SPN 將如下所示。

2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

   

步驟 3：設定委派

1. 針對 EAADelegation 帳戶，按一下 [委派] 索引標籤。

   

   • 指定使用任一驗證通訊協定。
   • 按一下 [新增]，然後新增 Kerberos 網站的應用程式集區帳戶。 如果正確設定，應會自動解析為正確的 SPN。

步驟 4：建立 AKAMAI EAA 的金鑰表檔案

1. 以下是一般語法。

2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

3. 範例說明

   程式碼片段	說明
   Ktpass /out EAADemo.keytab	// 輸出金鑰表檔案的名稱
   /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live	// HTTP/yourIDPName@您的網域名稱
   /mapuser eaadelegation@superdemo.live	// EAA 委派帳戶
   /pass RANDOMPASS	// EAA 委派帳戶密碼
   /crypto All ptype KRB5_NT_PRINCIPAL	// 請參閱 Akamai EAA 文件

4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

   

步驟 5：在 AKAMAI EAA 主控台中匯入金鑰表

1. 按一下 [系統]>[金鑰表]。

   

2. 在 [金鑰表類型] 中，選擇 [Kerberos 委派]。

   

3. 確定金鑰表顯示為 [已部署] 和 [已驗證]。

   

4. 使用者體驗

   

   

5. 條件式存取

   

   

   

建立 Akamai 測試使用者

在本節中，您要在 Akamai 中建立名為 B.Simon 的使用者。 請與 Akamai 用戶端支援小組合作，在 Akamai 平台中新增使用者。 您必須先建立和啟動使用者，然後才能使用單一登入。

測試 SSO

在本節中，您會使用下列選項來測試您的 Microsoft Entra 單一登入設定。

• 按一下 [測試此應用程式]，您應該會自動登入您已設定 SSO 的 Akamai。

• 您可以使用 Microsoft 我的應用程式。 當您在「我的應用程式」中按一下 [Akamai] 磚時，應會自動登入設定了 SSO 的 Akamai。 如需「我的應用程式」的詳細資訊，請參閱我的應用程式簡介。

下一步

設定好 Akamai 之後，即可實施工作階段控制，以即時保護組織的敏感性資料，避免遭到外流和非法上傳。 工作階段控制項會從條件式存取延伸。 了解如何使用適用於雲端的 Microsoft Defender 應用程式來強制執行工作階段控制項。