Partager via

Tutoriel : Intégration de Microsoft Entra SSO avec Akamai

  • Article

Dans ce didacticiel, vous apprendrez comment intégrer Akamai à Microsoft Entra ID. Lorsque vous intégrez Akamai à Microsoft Entra ID, vous pouvez :

  • Contrôlez dans Microsoft Entra ID qui a accès à Akamai.
  • Permettez à vos utilisateurs d’être automatiquement connectés à Akamai avec leurs comptes Microsoft Entra.
  • Gérer vos comptes à partir d’un emplacement central.

L’intégration de Microsoft Entra ID et d’Akamai Enterprise Application Access permet un accès transparent aux applications héritées hébergées dans le cloud ou localement. La solution intégrée tire parti de toutes les fonctionnalités modernes de Microsoft Entra ID comme Microsoft Entra l’accès conditionnel, Protection de Microsoft Entra ID et Gouvernance de Microsoft Entra ID pour l’accès aux applications héritées sans modifications d’application ni installation d’agents.

L’image ci-dessous décrit la façon dont Akamai EAA s’intègre au scénario d’accès sécurisé hybride plus large.

Akamai EAA s’intègre au scénario d’accès sécurisé hybride plus large

Scénarios d’authentification par clé

En plus de la prise en charge de l’intégration native de Microsoft Entra pour les protocoles d’authentification modernes comme OpenID Connect, SAML et WS-Fed, Akamai EAA étend l’accès sécurisé aux applications d’authentification héritées pour l’accès interne et externe avec Microsoft Entra ID, ce qui permet des scénarios modernes (par exemple, l’accès sans mot de passe) pour ces applications. notamment :

  • Les applications à authentification basée sur l’en-tête
  • Bureau à distance
  • SSH (Secure Shell)
  • Les applications à authentification Kerberos
  • VNC (Virtual Network Computing)
  • Les applications à authentification anonyme ou sans authentification intégrée
  • Les applications à authentification NTLM (protection avec deux invites pour l’utilisateur)
  • Les applications à base de formulaire (protection avec deux invites pour l’utilisateur)

Scénarios d’intégration

Le partenariat entre Microsoft et Akamai EAA offre la flexibilité nécessaire pour répondre aux besoins de votre entreprise en prenant en charge plusieurs scénarios d’intégration en fonction des besoins de votre entreprise. Ces scénarios peuvent être utilisés pour fournir une couverture immédiate de toutes les applications, et pour configurer progressivement les classifications de stratégie appropriées.

Scénario d’intégration 1

Akamai EAA est configuré en tant qu’application unique sur Microsoft Entra ID. L’administrateur peut configurer la stratégie d’accès conditionnel sur l’application, et une fois les conditions remplies les utilisateurs peuvent accéder au portail Akamai EAA.

Avantages :

  • Vous ne devez configurer le fournisseur d’identité qu’une seule fois.

Inconvénients :

  • Les utilisateurs se retrouvent avec deux portails d’applications.

  • Couverture unique de la stratégie d’accès conditionnel commune pour toutes les applications.

Scénario d’intégration 1

Scénario d’intégration 2

L’application Akamai EAA est configurée individuellement dans le portail Azure. L’administrateur peut configurer une stratégie d’accès conditionnel individuelle sur les applications, et une fois les conditions remplies, les utilisateurs peuvent être redirigés directement vers l’application spécifique.

Avantages :

  • Vous pouvez définir des stratégies d’accès conditionnel individuelles.

  • Toutes les applications sont représentées dans la gaufre Office 365 et le panneau myApps.microsoft.com.

Inconvénients :

  • Vous devez configurer plusieurs fournisseurs d’identité.

Scénario d’intégration 2

Prérequis

Pour commencer, vous devez disposer de ce qui suit :

  • Un abonnement Microsoft Entra. Si vous ne disposez d’aucun abonnement, vous pouvez obtenir un compte gratuit.
  • Un abonnement Akamai pour lequel l’authentification unique est activée

Description du scénario

Dans ce tutoriel, vous configurez et testez Microsoft Entra SSO dans un environnement de test.

  • Akamai prend en charge l’authentification unique initiée par un fournisseur d’identité.

Important

Toutes les configurations listées ci-dessous sont identiques pour le scénario d’intégration 1 et le scénario 2. Pour le scénario d’intégration 2, vous devez configurer un fournisseur d’identité individuel dans Akamai EAA, et la propriété URL doit être modifiée pour pointer vers l’URL de l’application.

Capture d’écran de l’onglet General pour AZURESSO-SP dans Akamai Enterprise Application Access. Le champ de l’URL de configuration de l’authentification est mis en évidence.

Pour configurer l'intégration d'Akamai dans Microsoft Entra ID, vous devez ajouter Akamai depuis la galerie à votre liste d'applications SaaS gérées.

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
  2. Accédez à Identité>Applications>Applications d’entreprise>Nouvelle application.
  3. Dans la section Ajouter à partir de la galerie, tapez Akamai dans la zone de recherche.
  4. Sélectionnez Akamai dans le volet de résultats, puis ajoutez l’application. Patientez quelques secondes pendant que l’application est ajoutée à votre locataire.

Vous pouvez également utiliser l’assistant Entreprise App Configuration. Dans cet assistant, vous pouvez ajouter une application à votre locataire, ajouter des utilisateurs/groupes à l’application, attribuer des rôles, mais également parcourir la configuration de l’authentification unique. En savoir plus sur les assistants Microsoft 365.

Configurer et tester Microsoft Entra SSO pour Akamai

Configurez et testez Microsoft Entra SSO avec Akamai à l'aide d'un utilisateur test appelé B.Simon. Pour que SSO fonctionne, vous devez établir une relation de lien entre un utilisateur Microsoft Entra et l'utilisateur associé dans Akamai.

Pour configurer et tester Microsoft Entra SSO avec Akamai, effectuez les étapes suivantes :

  1. Configurer Microsoft Entra SSO – pour permettre à vos utilisateurs d’utiliser cette fonctionnalité.
  2. Configurer l’authentification unique Akamai pour configurer les paramètres de l’authentification unique côté application.
  3. Tester l’authentification unique pour vérifier si la configuration fonctionne.

Configurer Microsoft Entra SSO

Effectuez ces étapes pour activer l’authentification unique Microsoft Entra.

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

  2. Accédez à Identité>Applications>Applications d'entreprise>Akamai>Authentification unique.

  3. Dans la page Sélectionner une méthode d’authentification unique, sélectionnez SAML.

  4. Dans la page Configurer l’authentification unique avec SAML, cliquez sur l’icône de crayon de Configuration SAML de base afin de modifier les paramètres.

    Modifier la configuration SAML de base

  5. Dans la section Configuration SAML de base, si vous souhaitez configurer l’application en mode Initié par le fournisseur d’identité, entrez les valeurs pour les champs suivants :

    a. Dans la zone de texte Identificateur, tapez une URL au format suivant : https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

    b. Dans la zone de texte URL de réponse, tapez une URL au format suivant : https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

    Notes

    Il ne s’agit pas de valeurs réelles. Mettez à jour ces valeurs avec l’identificateur et l’URL de réponse réels. Pour obtenir ces valeurs, contactez l’équipe de support technique d’Akamai. Vous pouvez également consulter les modèles figurant à la section Configuration SAML de base.

  6. Dans la page Configurer l’authentification unique avec SAML, dans la section Certificat de signature SAML, recherchez XML de métadonnées de fédération et sélectionnez Télécharger pour télécharger le certificat et l’enregistrer sur votre ordinateur.

    Lien Téléchargement de certificat

  7. Dans la section Configurer Akamai, copiez la ou les URL appropriées en fonction de vos besoins.

    Copier les URL de configuration

Créer un utilisateur de test Microsoft Entra

Dans cette section, vous allez créer un utilisateur de test appelé B.Simon.

  1. Connectez-vous au Centre d’administration de Microsoft Entra en tant qu’Administrateur de l’utilisateur.
  2. Accédez à Identité>Utilisateurs>Tous les utilisateurs.
  3. Sélectionnez Nouvel utilisateur>Créer un utilisateur dans la partie supérieure de l’écran.
  4. Dans les propriétés Utilisateur, effectuez les étapes suivantes :
    1. Dans le champ Nom d’affichage, entrez B.Simon.
    2. Dans le champ Nom d’utilisateur principal, entrez username@companydomain.extension. Par exemple : B.Simon@contoso.com.
    3. Cochez la case Afficher le mot de passe, puis notez la valeur affichée dans le champ Mot de passe.
    4. Sélectionnez Revoir + créer.
  5. Sélectionnez Create (Créer).

Attribuer l’utilisateur test Microsoft Entra

Dans cette section, vous allez permettre à B.Simon d'utiliser l'authentification unique en accordant l'accès à Akamai.

  1. Connectez-vous au Centre d’administration de Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.
  2. Accédez à Identité>Applications>Applications d’entreprise>Akamai.
  3. Dans la page de présentation de l’application, sélectionnez Utilisateurs et groupes.
  4. Sélectionnez Ajouter un utilisateur/groupe, puis Utilisateurs et groupes dans la boîte de dialogue Ajouter une attribution.
    1. Dans la boîte de dialogue Utilisateurs et groupes, sélectionnez B. Simon dans la liste Utilisateurs, puis cliquez sur le bouton Sélectionner au bas de l’écran.
    2. Si vous attendez qu’un rôle soit attribué aux utilisateurs, vous pouvez le sélectionner dans la liste déroulante Sélectionner un rôle . Si aucun rôle n’a été configuré pour cette application, vous voyez le rôle « Accès par défaut » sélectionné.
    3. Dans la boîte de dialogue Ajouter une attribution, cliquez sur le bouton Attribuer.

Configurer l’authentification unique Akamai

Configuration du fournisseur d’identité

Configuration du fournisseur d’identité Akamai EAA

  1. Connectez-vous à la console Akamai Enterprise Application Access.

  2. Dans la console Akamai EAA, sélectionnez Identity>Identity Providers (Identité > Fournisseurs d’identité), puis cliquez sur Add Identity Provider (Ajouter un fournisseur d’identité).

    Capture d’écran de la fenêtre Identity Providers (Fournisseurs d’identité) de la console Akamai EAA. Dans la section Identity Providers (Fournisseurs d’identité) du menu Identity (Identité), sélectionnez Add Identity Provider (Ajouter un fournisseur d’identité).

  3. Dans la fenêtre Créer un fournisseur d’identité, effectuez les étapes suivantes :

    a. Spécifiez le nom unique (Unique Name).

    b. Choisissez Third Party SAML (SAML tiers), puis cliquez sur Create Identity Provider and Configure (Créer un fournisseur d’identité et configurer).

Paramètres généraux

Sous l’onglet General (Général), entrez les informations suivantes :

  1. Identity Intercept (Interception d’identité) : spécifiez le nom du domaine (l’URL de base du fournisseur de services sera utilisée pour la configuration de Microsoft Entra).

    Remarque

    Vous pouvez choisir d’avoir votre propre domaine personnalisé (nécessite une entrée DNS et un certificat). Pour cet exemple, nous allons utiliser le domaine Akamai.

  2. Akamai Cloud Zone (Zone cloud Akamai) : sélectionnez la zone cloud appropriée.

  3. Certificate Validation (Validation des certificats) : consultez la documentation Akamai (facultatif).

Configuration de l’authentification

  1. URL : spécifiez la même URL que celle d’interception d’identité (c’est là où les utilisateurs sont redirigés après l’authentification).

  2. Logout URL (URL de déconnexion) : mettez à jour l’URL de déconnexion.

  3. Sign SAML Request (Signer la requête SAML) : option désactivée par défaut.

  4. Pour le fichier de métadonnées IDP, ajoutez l’application dans la console Microsoft Entra ID.

    Capture d’écran de la configuration de l’authentification dans la console Akamai EAA montrant les paramètres pour URL, Logout URL (URL de déconnexion), Sign SAML Request (Signer la requête SAML) et IDP Metadata File (Fichier de métadonnées IDP).

Paramètres de session

Conservez les paramètres par défaut.

Capture d’écran de la boîte de dialogue Session settings (Paramètres de session) de la console Akamai EAA.

Annuaires

Sous l’onglet Directories (Annuaires), ignorez la configuration de l’annuaire.

Personnalisation de l’interface utilisateur

Vous pouvez ajouter une personnalisation au fournisseur d’identité. Sous l’onglet Customization (Personnalisation), vous trouverez les paramètres Customize UI (Personnaliser l’interface utilisateur), Language settings (Paramètres de langue) et Themes (Thèmes).

Paramètres avancés

Sous l’onglet Advanced settings (Paramètres avancés), acceptez les valeurs par défaut. Pour plus d’informations, reportez-vous à la documentation d’Akamai.

Déploiement

  1. Sous l’onglet Deployment (Déploiement), cliquez sur Deploy Identity Provider (Déployer le fournisseur d’identité).

  2. Vérifiez que déploiement a réussi.

Authentification basée sur l’en-tête

Authentification Akamai basée sur l’en-tête

  1. Choisissez Custom HTTP (HTTP personnalisé) dans l’Assistant Ajout d’applications.

    Capture d’écran de l’assistant Add Applications (Ajout d’applications) de la console Akamai EAA montrant CustomHTTP dans la section Access Apps (Applications d’accès).

  2. Entrez le nom de l’application et une description.

    Capture d’écran d’une boîte de dialogue Custom HTTP App (Application HTTP personnalisée) montrant les paramètres pour Application Name (Nom de l’application) et Description.

    Capture d’écran de l’onglet General de la console Akamai EAA montrant les paramètres généraux pour MYHEADERAPP.

    Capture d’écran de la console Akamai EAA montrant les paramètres pour Certificate (Certificat) et Location (Emplacement).

Authentification

  1. Sélectionnez l’onglet Authentication.

    Capture d’écran de la console Akamai EAA avec l’onglet Authentification sélectionné.

  2. Sélectionnez Assign identity provider (Attribuer un fournisseur d’identité).

Services

Cliquez sur Save and Go to Authentication (Enregistrer et accéder à l’authentication).

Capture d’écran de l’onglet Services de la console Akamai EAA pour MYHEADERAPP montrant le bouton Save and go to Advanced Settings (Enregistrer et accéder aux paramètres avancés) dans le coin inférieur droit.

Paramètres avancés

  1. Sous Customer HTTP Headers (En-têtes HTTP du client), spécifiez l’en-tête du client (CustomerHeader) et l’attribut SAML (SAML Attribute).

    Capture d’écran de l’onglet Advanced Settings (Paramètres avancés) de la console Akamai EAA montrant le champ SSO Logged URL (URL de connexion SSO) sous Authentication (Authentification).

  2. Cliquez sur le bouton Save and go to Deployment (Enregistrer et accéder au déploiement).

    Capture d’écran de l’onglet Advanced Settings (Paramètres avancés) de la console Akamai EAA montrant le bouton Save and go to Deployment (Enregistrer et accéder au déploiement) dans le coin inférieur droit.

Déployer l’application

  1. Cliquez sur le bouton Deploy Application (Déployer l’application).

    Capture d’écran de l’onglet Deployment (Déploiement) de la console Akamai EAA montrant le bouton Deploy application (Déployer l’application).

  2. Vérifiez que l’application a été déployée correctement.

    Capture d’écran de l’onglet Deployment (Déploiement) de la console Akamai EAA montrant le message d’état de l’application : « Application Successfully Deployed » (Déploiement réussi de l’application).

  3. Expérience de l’utilisateur final.

    Capture de l’écran d’ouverture pour myapps.microsoft.com avec une image d’arrière-plan et une boîte de dialogue de connexion.

    Capture d’écran montrant une partie d’une fenêtre Applications avec des icônes pour Complément, HRWEB, Akamai - CorpApps, Dépense, Groupes et Révisions d’accès.

  4. Accès conditionnel.

    Capture d’écran du message : Approuver la demande de connexion. Nous avons envoyé une notification à votre appareil mobile Veuillez répondre pour continuer.

    Capture d’un écran Applications montrant une icône pour MyHeaderApp.

Bureau à distance

  1. Choisissez RDP dans l’Assistant Ajout d’applications.

    Capture d’écran de l’assistant Ajout d’applications de la console Akamai EAA montrant RDP listé parmi les applications dans la section Applications d’accès.

  2. Pour Application Name (Nom de l’application), entrez par exemple SecretRDPApp.

  3. Sélectionnez une Description, par exemple Protéger la session RDP avec Accès conditionnel Microsoft Entra.

  4. Spécifiez le connecteur qui servira à effectuer cette opération.

    Capture d’écran de la console Akamai EAA montrant les paramètres pour Certificate (Certificat) et Location (Emplacement). Les connecteurs associés sont définis avec USWST-CON1.

Authentification

Sous l’onglet Authentication (Authentification), cliquez sur Save and go to Services (Enregistrer et accéder aux services).

Services

Cliquez sur Save and go to Advanced Settings (Enregistrer et accéder aux paramètres avancés).

Capture d’écran de l’onglet Services de la console Akamai EAA pour SECRETRDPAPP montrant le bouton Save and go to Advanced Settings (Enregistrer et accéder aux paramètres avancés) dans le coin inférieur droit.

Paramètres avancés

  1. Cliquez sur Save and go to Deployment.

    Capture d’écran de l’onglet Advanced Settings (Paramètres avancés) de la console Akamai EAA pour SECRETRDPAPP montrant les paramètres pour Remote desktop configuration (Configuration du Bureau à distance).

    Capture d’écran de l’onglet Advanced Settings (Paramètres avancés) de la console Akamai EAA pour SECRETRDPAPP montrant les paramètres pour Authentication (Authentification) et Health check configuration (Configuration du contrôle d’intégrité).

    Capture d’écran des paramètres Custom HTTP headers (En-têtes HTTP personnalisés) de la console Akamai EAA pour SECRETRDPAPP montrant le bouton Save and go to Deployment (Enregistrer et accéder au déploiement) dans le coin inférieur droit.

  2. Expérience de l’utilisateur final

    Capture d’écran d’une fenêtre myapps.microsoft.com avec une image d’arrière-plan et une boîte de dialogue de connexion.

    Capture d’écran de la fenêtre Applications (myapps.microsoft.com) avec des icônes pour Complément, HRWEB, Akamai - CorpApps, Dépense, Groupes et Révisions d’accès.

  3. Accès conditionnel

    Capture d’écran du message d’accès conditionnel : Approuver la demande de connexion. Nous avons envoyé une notification à votre appareil mobile Veuillez répondre pour continuer.

    Capture d’un écran Applications montrant des icônes pour MyHeaderApp et SecretRDPApp.

    Capture de l’écran Windows Server 2012 RS montrant des icônes utilisateur génériques. Les icônes pour administrator, user0 et user1 indiquent que ces utilisateurs sont connectés.

  4. Vous pouvez également taper directement l’URL de l’application RDP.

SSH

  1. Accédez à Add Applications (Ajouter des applications), puis choisissez SSH.

    Capture d’écran de l’Assistant Ajout d’applications de la console Akamai EAA montrant SSH listé parmi les applications dans la section Applications d’accès.

  2. Renseignez Application Name (Nom de l’application) et Description (par exemple, Authentification moderne Microsoft Entra vers SSH).

  3. Configurer l’identité de l’application.

    a. Spécifiez le nom/la description.

    b. Spécifiez l’adresse IP/le nom de domaine complet du serveur d’applications et le port pour SSH.

    c. Spécifiez le nom d’utilisateur SSH/la phrase secrète *Consultez Akamai EAA.

    d. Spécifiez le nom d’hôte externe.

    e. Spécifiez l’emplacement du connecteur et choisissez le connecteur.

Authentification

Sous l’onglet Authentication (Authentification), cliquez sur Save and go to Services (Enregistrer et accéder aux services).

Services

Cliquez sur Save and go to Advanced Settings (Enregistrer et accéder aux paramètres avancés).

Capture d’écran de l’onglet Services de la console Akamai EAA pour SSH-SECURE montrant le bouton Save and go to Advanced Settings (Enregistrer et accéder aux paramètres avancés) dans le coin inférieur droit.

Paramètres avancés

Cliquez sur Save and go to Deployment.

Capture d’écran de l’onglet Advanced Settings (Paramètres avancés) de la console Akamai EAA pour SSH-SECURE montrant les paramètres pour Authentication (Authentification) et Health check configuration (Configuration du contrôle d’intégrité).

Capture d’écran des paramètres Custom HTTP headers (En-têtes HTTP personnalisés) de la console Akamai EAA pour SSH-SECURE montrant le bouton Save and go to Deployment (Enregistrer et accéder au déploiement) dans le coin inférieur droit.

Déploiement

  1. Cliquez sur Deploy Application.

    Capture d’écran de l’onglet Deployment (Déploiement) de la console Akamai EAA pour SSH-SECURE montrant le bouton Deploy application (Déployer l’application).

  2. Expérience de l’utilisateur final

    Capture d’écran de la boîte de dialogue de connexion dans la fenêtre myapps.microsoft.com.

    Capture d’écran de la fenêtre Applications pour myapps.microsoft.com montrant des icônes pour Complément, HRWEB, Akamai - CorpApps, Dépense, Groupes et Révisions d’accès.

  3. Accès conditionnel

    Capture d’écran montrant le message : Approuver la demande de connexion. Nous avons envoyé une notification à votre appareil mobile Veuillez répondre pour continuer.

    Capture d’un écran Applications montrant des icônes pour MyHeaderApp, SSH Secure et SecretRDPApp.

    Capture d’écran d’une fenêtre de commande pour ssh-secure-go.akamai-access.com montrant une invite de mot de passe.

    Capture d’écran d’une fenêtre de commande pour ssh-secure-go.akamai-access.com montrant des informations sur l’application et affichant une invite de commandes.

Authentification Kerberos

Dans l'exemple ci-dessous, nous publierons un serveur Web interne sur http://frp-app1.superdemo.live et activerons le SSO à l'aide de KCD.

Onglet General

Capture d’écran de l’onglet General de la console Akamai EAA pour MYKERBOROSAPP.

Onglet d’authentification

Sous l’onglet Authentication (Authentification), attribuez le fournisseur d’identité.

Onglet Services

Capture d’écran de l’onglet Services de la console Akamai EAA pour MYKERBOROSAPP.

Paramètres avancés

Capture d’écran de l’onglet Advanced Settings (Paramètres avancés) de la console Akamai EAA pour MYKERBOROSAPP montrant les paramètres pour Related Applications (Applications liées) et Authentication (Authentification).

Notes

Le nom de principal du service (SPN) du serveur web est au format SPN@Domaine. Par exemple, HTTP/frp-app1.superdemo.live@SUPERDEMO.LIVE pour cette démonstration. Conservez le reste des paramètres par défaut.

Onglet Deployment

Capture d’écran de l’onglet Deployment (Déploiement) de la console Akamai EAA pour MYKERBOROSAPP montrant le bouton Deploy application (Déployer l’application).

Ajout de l’annuaire

  1. Dans la liste déroulante, sélectionnez AD.

    Capture d’écran de la fenêtre Directories (Annuaires) de la console Akamai EAA montrant la boîte de dialogue Create New Directory (Créer un annuaire) avec AD sélectionné dans la liste déroulante Directory Type (Type d’annuaire).

  2. Fournissez les données nécessaires.

    Capture d’écran de la fenêtre SUPERDEMOLIVE de la console Akamai EAA avec les paramètres pour Directory Name (Nom d’annuaire), Directory Service (Service d’annuaire), Connector (Connecteur) et Attribute mapping (Mappage des attributs).

  3. Vérifiez la création de l’annuaire.

    Capture d’écran de la fenêtre Directories (Annuaires) de la console Akamai EAA montrant que l’annuaire superdemo.live a été ajouté.

  4. Ajoutez les groupes/unités d’organisation qui auraient besoin d’un accès.

    Capture d’écran des paramètres de pour l’annuaire superdemo.live. L’icône que vous sélectionnez pour ajouter des groupes ou des unités d’organisation est mise en évidence.

  5. Ci-dessous, le groupe se nomme EAAGroup et compte un seul membre.

    Capture d’écran de la fenêtre GROUPES DE L’ANNUAIRE SUPERDEMOLIVE dans la console Akamai EAA. Le groupe EAAGroup avec 1 utilisateur est listé sous Groupes.

  6. Ajoutez l’annuaire à votre fournisseur d’identité en cliquant sur Identity>Identity Providers (Identité > Fournisseurs d’identité), cliquez sur l’onglet Directories (Annuaires), puis cliquez sur Assign directory (Attribuer un annuaire).

Procédure pas à pas pour configurer la délégation KCD pour EAA

Étape 1 : Créer un compte

  1. Dans l’exemple, nous allons utiliser un compte nommé EAADelegation. Vous pouvez effectuer cette opération à l’aide du composant logiciel enfichable Utilisateurs et ordinateurs Active Directory.

    Remarque

    Le nom d’utilisateur doit être dans un format spécifique basé sur le nom d’interception d’identité. Sur la figure 1, nous constatons qu’il s’agit de corpapps.login.go.akamai-access.com

  2. Le nom d’ouverture de session de l’utilisateur sera : HTTP/corpapps.login.go.akamai-access.com

    Capture d’écran montrant les propriétés d’EAADelegation avec « EAADelegation » comme First name (Prénom) et HTTP/corpapps.login.go.akamai-access.com comme User logon name (Nom d’ouverture de session de l’utilisateur).

Étape 2 : Configurer le SPN pour ce compte

  1. Sur la base de cet exemple, le SPN se présentera comme suit.

  2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

    Capture d’écran d’une invite de commandes d’administrateur montrant les résultats de la commande setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation.

Étape 3 : Configurer la délégation

  1. Pour le compte EAADelegation, cliquez sur l’onglet Delegation.

    Capture d’écran d’une invite de commandes d’administrateur montrant la commande permettant de configurer le SPN.

    • Spécifiez l’utilisation de tout protocole d’authentification.
    • Cliquez sur Add et ajoutez le compte du pool d’applications pour le site web Kerberos. Il doit être résolu automatiquement au SPN correct s’il est configuré correctement.

Étape 4 : Créer un fichier Keytab pour AKAMAI EAA

  1. Voici la syntaxe générique.

  2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

  3. Explication de l’exemple

    Extrait Explication
    Ktpass /out EAADemo.keytab // Nom du fichier Keytab de sortie
    /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live // HTTP/yourIDPName@YourdomainName
    /mapuser eaadelegation@superdemo.live // Créer un compte de délégation EAA
    /pass RANDOMPASS // Mot de passe du compte de délégation EAA
    /crypto All ptype KRB5_NT_PRINCIPAL // consulter la documentation d’Akamai EAA

  4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

    Capture d’écran d’une invite de commandes d’administrateur montrant les résultats de la commande permettant de créer un fichier Keytab pour AKAMAI EAA.

Étape 5 : Importer le fichier Keytab dans la console AKAMAI EAA

  1. Cliquez sur System>Keytabs.

    Capture d’écran de la console Akamai EAA montrant Keytabs sélectionné dans le menu System (Système).

  2. Dans Keytab Type, choisissez Kerberos Delegation.

    Capture de l’écran EAAKEYTAB de la console Akamai EAA montrant les paramètres de Keytab. Keytab Type (Type de keytab) indique Kerberos Delegation (Délégation Kerberos).

  3. Vérifiez que le fichier Keytab apparaît comme étant déployé et vérifié.

    Capture de l’écran KEYTABS de la console Akamai EAA indiquant que le keytab EAA est « déployé et vérifié ».

  4. Expérience de l'utilisateur

    Capture d’écran de la boîte de dialogue de connexion à l’adresse myapps.microsoft.com.

    Capture d’écran de la fenêtre Applications pour myapps.microsoft.com montrant les icônes des applications.

  5. Accès conditionnel

    Capture d’écran montrant un message Approuver la demande de connexion.

    Capture d’un écran Applications montrant des icônes pour MyHeaderApp, SSH Secure, SecretRDPApp et myKerberosApp.

    Capture de l’écran de démarrage pour myKerberosApp. Le message « Welcome superdemo\user1 » (Bienvenue superdemo\user1 ) apparaît sur une image d’arrière-plan.

Créer un utilisateur de test Akamai

Dans cette section, vous allez créer un utilisateur appelé B.Simon dans Akamai. Collaborez avec l’équipe du support technique Akamai pour ajouter des utilisateurs à la plateforme Akamai. Les utilisateurs doivent être créés et activés avant que vous utilisiez l’authentification unique.

Tester l’authentification unique (SSO)

Dans cette section, vous testez votre configuration d’authentification unique Microsoft Entra avec les options suivantes.

  • Cliquez sur Tester cette application, ce qui devrait automatiquement vous connecter à l’application Akamai pour laquelle vous avez configuré l’authentification unique.

  • Vous pouvez utiliser Mes applications de Microsoft. Quand vous cliquez sur la vignette Akamai dans Mes applications, vous êtes connecté automatiquement à l’instance d’Akamai pour laquelle vous avez configuré l’authentification unique. Pour plus d’informations sur Mes applications, consultez Présentation de Mes applications.

Étapes suivantes

Après avoir configuré Akamai, vous pouvez appliquer le contrôle de session, qui protège contre l’exfiltration et l’infiltration des données sensibles de votre organisation en temps réel. Le contrôle de session est étendu à partir de l’accès conditionnel. Découvrez comment appliquer un contrôle de session avec Microsoft Defender for Cloud Apps.