Интеграция SSO Microsoft Entra с Akamai

В этой статье вы узнаете, как интегрировать Akamai с идентификатором Microsoft Entra ID. Интеграция Akamai с идентификатором Microsoft Entra id позволяет:

• Контролируйте, кто имеет доступ к Akamai через Microsoft Entra ID.
• Включите автоматический вход пользователей в Akamai с помощью учетных записей Microsoft Entra.
• Управляйте своими учетными записями в одном месте.

Интеграция Microsoft Entra ID и Akamai Enterprise Application Access обеспечивает простой доступ к устаревшим приложениям, размещенным в облаке или локальной среде. Интегрированное решение использует преимущества всех современных возможностей Microsoft Entra ID, таких как Условный доступ Microsoft Entra ID, Защита идентификации Microsoft Entra ID и Управление идентификацией Microsoft Entra ID для доступа к устаревшим приложениям без модификации приложений или установки агентов.

На рисунке ниже показано место, которое Akamai ЕАА занимает в более обширном гибридном сценарии безопасного доступа.

Сценарии проверки подлинности с использованием ключа

Помимо поддержки интеграции Microsoft Entra для современных протоколов аутентификации, таких как OpenID Connect, SAML и WS-Fed, Akamai EAA расширяет безопасный доступ к приложениям с устаревшей аутентификацией для внутреннего и внешнего использования с помощью Microsoft Entra ID, что позволяет реализовать современные сценарии, такие как доступ без пароля, в этих приложениях. Сюда входит следующее:

• приложения с проверкой подлинности на основе заголовков;
• Удаленный рабочий стол
• SSH (Secure Shell);
• приложения для аутентификации с помощью Kerberos
• VNC (Virtual Network Computing);
• приложения с анонимной проверкой подлинности или без встроенной проверки подлинности;
• приложения с проверкой подлинности NTLM (защита с двойным подтверждением для пользователя);
• приложение на основе форм (защита с двойным подтверждением для пользователя).

Сценарии интеграции

Партнерство между корпорацией Майкрософт и компанией Akamai в отношении решения ЕАА обеспечивает гибкие возможности для соблюдения бизнес-требований благодаря поддержке нескольких сценариев интеграции в зависимости от потребностей организации. С их помощью можно обеспечить покрытие с нулевого дня для всех приложений и постепенно классифицировать и настраивать соответствующие политики.

Сценарий интеграции 1

Akamai EAA настраивается как одно приложение в системе Microsoft Entra ID. Администратор может настроить политику условного доступа для приложения, а при выполнении соответствующих условий пользователи могут получить доступ к порталу Akamai ЕАА.

Преимущества.

• Вам нужно настроить поставщик удостоверений (IDP) только один раз.

Недостатки.

• У пользователей в итоге оказывается два портала приложений.

• Для всех приложений применяется одна общая политика условного доступа.

Сценарий интеграции 2

Приложение Akamai EAA настраивается отдельно на портале Azure. Администратор может настроить отдельные политики условного доступа для приложений, а при выполнении соответствующих условий пользователи могут напрямую перенаправляться к конкретному приложению.

Преимущества.

• Можно определить отдельные политики условного доступа.

• Все приложения представлены в панели 0365 Waffle и на панели myApps.microsoft.com.

Недостатки.

• Необходимо настроить несколько поставщиков удостоверений (IDP).

Предварительные требования

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если ее нет, можно создать учетную запись бесплатно.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • владелец приложения.

• Подписка Akamai с активированным единым входом (SSO).

Описание сценария

В этой статье описана настройка и проверка единого входа Microsoft Entra в тестовой среде.

• Akamai поддерживает Единый Вход, инициированный IDP (поставщиком удостоверений).

Внимание

Все перечисленные ниже настройки одинаковы для сценариев интеграции 1 и 2. Для сценария интеграции 2 необходимо настроить Индивидуальный поставщик удостоверений (IDP) в Akamai EAA, а свойство "URL-адрес" необходимо изменить на URL-адрес приложения.

Добавьте Akamai из галереи

Чтобы настроить интеграцию Akamai с Microsoft Entra ID, необходимо добавить Akamai из галереи в список управляемых приложений SaaS.

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли Администратора облачных приложений.
2. Перейдите к Идентификация>Приложения>Приложения для предприятия>Новое приложение.
3. В разделе Добавление из коллекции в поле поиска введите Akamai.
4. Выберите Akamai в области результатов и добавьте это приложение. Подождите несколько секунд, пока приложение добавляется в ваш тенант.

Кроме того, можно также использовать мастер конфигурации корпоративных приложений. В этом мастере вы можете добавить приложение в своего клиента, добавить пользователей и группы в приложение, назначить роли, а также пройти через настройку единого входа (SSO). Подробнее о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для Akamai

Настройте и протестируйте единый вход Microsoft Entra для Akamai, используя тестового пользователя B.Simon. Для обеспечения работы единого входа необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в Akamai.

Чтобы настроить и проверить единый вход Microsoft Entra в Akamai, выполните следующие действия.

1. Настройте единый вход Microsoft Entra, чтобы пользователи могли использовать эту функцию.
   • Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra с помощью B.Simon.
   • Назначьте тестового пользователя Microsoft Entra, чтобы Б.Саймон мог использовать функцию единого входа Microsoft Entra.
2. Настроить Akamai SSO — чтобы задать параметры единого входа на стороне приложения.
   • Настройка поставщика удостоверений
   • Проверка подлинности на основе заголовков
   • Удаленный рабочий стол
   • SSH
   • Проверка подлинности Kerberos
   • Создайте тестового пользователя Akamai - для создания аналога пользователя B.Simon в Akamai, связанного с представлением пользователя в Microsoft Entra.
3. Проверка единого входа позволяет убедиться в правильности конфигурации.

Настройте единый вход для Microsoft Entra

Выполните следующие действия, чтобы активировать Microsoft Entra SSO.

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли Администратора облачных приложений.

2. Перейдите в Идентификацию>Приложения>Корпоративные приложения>Akamai>Единый вход.

3. На странице Выбрать метод единого входа выберите SAML.

4. На странице Настройка единого входа с помощью SAML щелкните значок карандаша, чтобы открыть диалоговое окно Базовая конфигурация SAML для изменения параметров.

   

5. В разделе Базовая конфигурация SAML, если вы хотите настроить приложение в режиме, инициируемом поставщиком удостоверений, введите значения следующих полей.

   a. В текстовом поле Идентификатор введите URL-адрес в следующем формате: https://<Yourapp>.login.go.akamai-access.com/saml/sp/response.

   b. В текстовом поле URL-адрес ответа введите URL-адрес в следующем формате: https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response.

   Примечание.

   Эти значения не являются реальными. Измените их на фактические значения идентификатора и URL-адреса ответа. Чтобы получить эти значения, обратитесь в службу поддержки клиентов Akamai. Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML".

6. На странице Настройка единого входа с помощью SAML в разделе Сертификат подписи SAML найдите элемент XML метаданных федерации и выберите Скачать, чтобы скачать сертификат и сохранить его на компьютере.

   

7. Требуемые URL-адреса можно скопировать в разделе Настройка Akamai.

   

Создание тестового пользователя Microsoft Entra

В этом разделе описано, как создать тестового пользователя B.Simon.

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли Администратора пользователей.
2. Перейдите в Идентификация>Пользователи>Все пользователи.
3. Выберите "Создать пользователя>" в верхней части экрана.
4. В свойствах пользователя выполните следующие действия.
   1. В поле "Отображаемое имя" введите B.Simon.
   2. В поле основного имени пользователя введите username@companydomain.extension. Например, B.Simon@contoso.com.
   3. Установите флажок Показать пароль, а затем запишите значение, отображаемое в поле пароля.
   4. Выберите Просмотреть и создать.
5. Нажмите кнопку создания.

Назначение тестового пользователя Microsoft Entra

В этом разделе описано, как разрешить пользователю B.Simon использовать единый вход, предоставив этому пользователю доступ к Salesforce.

1. Войдите в Центр администрирования Microsoft Entra как минимум в роли Администратора облачных приложений.
2. Перейдите к Identity>Приложения>Корпоративные приложения. Выберите приложение из списка приложений.
3. На странице обзора приложения выберите "Пользователи" и "Группы".
4. Выберите Добавить пользователя или группу, а затем в диалоговом окне Добавление назначения выберите Пользователи и группы.
   1. В диалоговом окне "Пользователи и группы" выберите B.Simon в списке "Пользователи", а затем нажмите кнопку "Выбрать" в нижней части экрана.
   2. Если вы ожидаете, что роль будет назначена пользователям, ее можно выбрать в раскрывающемся списке Выбрать роль. Если для этого приложения не настроена ни одна роль, будет выбрана роль "Доступ по умолчанию".
   3. В диалоговом окне Добавление назначения нажмите кнопку Назначить.

Настройка Akamai SSO (единого входа)

Настройка поставщика удостоверений личности

Конфигурация IDP Akamai EAA

1. Войдите в консоль Akamai Enterprise Application Access.

2. В консоли Akamai ЕАА выберите пункт Identity>Identity Providers (Удостоверение > Поставщики удостоверений) и щелкните Добавить поставщика удостоверений.

   

3. На странице Create New Identity Provider выполните следующие действия.

   a. Укажите Unique Name.

   b. Выберите Third Party SAML (SAML стороннего производителя) и нажмите Create Identity Provider and Configure (Создайте и настройте поставщика удостоверений).

Общие параметры

На вкладке "Общие " введите следующие сведения:

1. Перехват удостоверения личности — укажите имя домена (базовый URL-адрес SP — будет использоваться для конфигурации Microsoft Entra).

   Примечание.

   Вы можете выбрать собственный пользовательский домен (для этого потребуется запись DNS и сертификат). В этом примере мы будем использовать домен Akamai.

2. Akamai Cloud Zone (Облачная зона Akamai) — выберите соответствующую облачную зону.

3. Certificate Validation (Проверка сертификата) — проверьте документацию по Akamai (по желанию).

Настройка проверки подлинности

1. Укажите URL, который совпадает с адресом вашего идентификационного перехвата (именно сюда перенаправляются пользователи после аутентификации).

2. URL-адрес выхода: обновите URL-адрес выхода.

3. Sign SAML Request (Подписать запрос SAML): по умолчанию этот флажок снят.

4. Для файла метаданных провайдера удостоверений добавьте приложение в консоль Microsoft Entra ID.

   

Параметры сеанса

Оставьте параметры по умолчанию без изменений.

Каталоги

На вкладке "Каталоги" пропустите шаг настройки каталога.

Пользовательский интерфейс настройки

Вы могли бы добавить возможности настройки для IDP (поставщика удостоверений). На вкладке "Настройка" есть параметры для настройки пользовательского интерфейса, языковых параметров и тем.

Расширенные параметры

На вкладке "Дополнительные параметры" примите значения по умолчанию. Дополнительные сведения см. в документации по Akamai.

Развертывание

1. На вкладке "Развертывание" щелкните "Развернуть поставщика удостоверений".

2. Проверьте успешность развертывания.

Проверка подлинности на основе заголовков

Проверка подлинности на основе заголовков Akamai

1. Выберите вариант Custom HTTP (Настраиваемый HTTP) в мастере добавления приложений.

   

2. Заполните поля Application Name (Имя приложения) и Description (Описание).

   

   

   

Проверка подлинности

1. Перейдите на вкладку Authentication (Проверка подлинности).

   

2. Выберите Назначить поставщика удостоверений личности.

Службы

Щелкните "Save and Go to Authentication" (Сохранить и перейти к проверке подлинности).

Расширенные параметры

1. В разделе Customer HTTP Headers (Настраиваемые заголовки HTTP) укажите значения CustomerHeader и SAML Attribute.

   

2. Нажмите кнопку Сохранить и перейти к развертыванию.

   

Развертывание приложения

1. Нажмите кнопку Deploy Application (Развернуть приложение).

   

2. Убедитесь, что приложение развернуто успешно.

   

3. Пользовательский опыт.

   

   

4. Условный доступ.

   

   

Удаленный рабочий стол

1. Выберите вариант RDP в мастере добавления приложений.

   

2. Введите имя приложения, например SecretRDPApp.

3. Выберите описание, например защита сеанса RDP с помощью условного доступа Microsoft Entra.

4. Укажите соединитель, который будет обслуживать это подключение.

   

Проверка подлинности

На вкладке "Проверка подлинности " нажмите кнопку "Сохранить" и выберите "Службы".

Службы

Щелкните Save and go to Advanced Settings (Сохранить и перейти к дополнительным параметрам).

Расширенные параметры

1. Щелкните Сохранить и перейти к развертыванию.

   

   

   

2. Опыт конечного пользователя

   

   

3. Условный доступ

   

   

   

4. Кроме того, можно непосредственно ввести URL-адрес приложения для работы по протоколу RDP.

SSH

1. Перейдите к разделу Add Applications (Добавление приложений) и выберите SSH.

   

2. Введите имя приложения и описание, например современную проверку подлинности Microsoft Entra в SSH.

3. Настройте удостоверение приложения.

   a. Укажите имя и описание.

   b. Укажите IP-адрес или полное доменное имя сервера приложений и порт для подключения SSH.

   с. Укажите имя пользователя и парольную фразу для SSH. Проверьте Akamai EAA.

   д. Укажите имя внешнего хоста.

   д) Укажите расположение соединителя и выберите нужный соединитель.

Проверка подлинности

На вкладке "Проверка подлинности" нажмите кнопку "Сохранить" и перейдите к службам.

Службы

Щелкните Save and go to Advanced Settings (Сохранить и перейти к дополнительным параметрам).

Расширенные параметры

Щелкните "Save and go to Deployment" (Сохранить и перейти к развертыванию).

Развертывание

1. Щелкните Deploy Application (Развернуть приложение).

   

2. Опыт конечного пользователя

   

   

3. Условный доступ

   

   

   

   

Проверка подлинности Kerberos

В приведенном ниже примере мы опубликуем внутренний веб-сервер http://frp-app1.superdemo.live и включим единый вход с помощью KCD.

Вкладка "Общие"

Вкладка "Authentication" (Аутентификация)

На вкладке "Проверка подлинности " назначьте поставщика удостоверений.

Вкладка "Службы" (Services)

Расширенные параметры

Вкладка Deployment (Развертывание)

Добавление каталога

1. Выберите в раскрывающемся списке AD.

   

2. Укажите необходимые данные.

   

3. Проверьте создание каталога.

   

4. Добавьте группы или подразделения, которым требуется доступ.

   

5. На изображении ниже группа называется EAAGroup и состоит из одного члена.

   

6. Добавьте каталог в поставщик удостоверений, щелкнув удостоверение>Поставщики удостоверений, затем щелкните вкладку Каталоги и нажмите Назначить каталог.

Настройка делегирования KCD для EAA: пошаговое руководство

Шаг 1. Создание учетной записи

1. В этом примере мы будем использовать учетную запись с именем EAADelegation. Это можно сделать с помощью оснастки Пользователи и компьютеры Active Directory.

   Примечание.

   Имя пользователя должно быть в определённом формате на основе Identity Intercept Name. На рис. 1 показано corpapps.login.go.akamai-access.com.

2. Именем для входа пользователя будет HTTP/corpapps.login.go.akamai-access.com.

   

Шаг 2: Настройте SPN для этой учетной записи

1. Для данного примера SPN будет следующим образом.

2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

   

Шаг 3. Настройка делегирования

1. Для учетной записи EAADelegation перейдите на вкладку Delegation (Делегирование).

   

   • Укажите, что можно использовать любой протокол аутентификации.
   • Нажмите Add (Добавить) и добавьте учетную запись пула приложений для веб-сайта Kerberos. Если настройки заданы правильно, должен автоматически разрешаться правильный SPN.

Шаг 4. Создание файла keytab для AKAMAI EAA

1. Ниже приведен общий синтаксис.

2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

3. Пояснения к примеру

   Фрагмент	Описание
   Ktpass /out EAADemo.keytab	// Имя выходного файла keytab
   /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live	// HTTP/yourIDPName@YourdomainName
   /mapuser eaadelegation@superdemo.live	// Учетная запись делегирования EAA
   /pass RANDOMPASS	// Пароль учетной записи делегирования EAA
   /crypto All ptype KRB5_NT_PRINCIPAL	// См. документацию по Akamai EAA

4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

   

Шаг 5. Импорт Keytab в консоли AKAMAI EAA

1. Щелкните Система>Keytabs.

   

2. В поле «Тип Keytab» выберите Делегирование Kerberos.

   

3. Убедитесь, что файл Keytab отображается как «Развернутый» и «Проверенный».

   

4. Взаимодействие с пользователем

   

   

5. Условный доступ

   

   

   

Создание тестового пользователя Akamai

Из этого разделе вы узнаете, как создать пользователя B.Simon в приложении Akamai. Обратитесь в службу поддержки клиентов Akamai, чтобы добавить пользователей на платформу Akamai. Перед использованием единого входа необходимо создать и активировать пользователей.

Проверка единого входа

В этом разделе вы тестируете конфигурацию единого входа Microsoft Entra с использованием следующих параметров.

• Щелкните "Тестировать это приложение", и вы автоматически войдете в приложение Akamai, для которого настроили единый вход.

• Вы можете использовать портал "Мои приложения" корпорации Майкрософт. Щелкнув плитку Akamai на портале "Мои приложения", вы автоматически войдете в приложение Akamai, для которого настроили единый вход. Дополнительные сведения о портале "Мои приложения" см. в этой статье.

Связанное содержимое

После настройки Akamai вы можете применить функцию управления сеансами, которая в реальном времени защищает конфиденциальные данные вашей организации от хищения и несанкционированного доступа. Управление сеансом является расширением функции условного доступа. Узнайте, как применять управление сеансами с помощью приложений Defender для облака.