Samouczek: integracja usługi Microsoft Entra SSO z aplikacją Akamai

Z tego samouczka dowiesz się, jak zintegrować aplikację Akamai z identyfikatorem Entra firmy Microsoft. Po zintegrowaniu aplikacji Akamai z usługą Microsoft Entra ID można wykonywać następujące czynności:

• Kontroluj w usłudze Microsoft Entra ID, kto ma dostęp do aplikacji Akamai.
• Zezwalaj swoim użytkownikom na automatyczne logowanie do aplikacji Akamai przy użyciu kont Microsoft Entra.
• Zarządzaj kontami w jednej centralnej lokalizacji.

Integracja usługi Microsoft Entra ID i Akamai Enterprise Application Access umożliwia bezproblemowy dostęp do starszych aplikacji hostowanych w chmurze lub lokalnie. Zintegrowane rozwiązanie korzysta ze wszystkich nowoczesnych funkcji identyfikatora Entra firmy Microsoft, takich jak dostęp warunkowy firmy Microsoft Entra, Ochrona tożsamości Microsoft Entra i Zarządzanie tożsamością Microsoft Entra w przypadku starszych aplikacji, bez modyfikacji aplikacji lub agentów instalacja.

Na poniższej ilustracji opisano, gdzie Akamai EAA pasuje do szerszego scenariusza bezpiecznego dostępu hybrydowego.

Scenariusze uwierzytelniania kluczy

Oprócz natywnej integracji firmy Microsoft Entra dla nowoczesnych protokołów uwierzytelniania, takich jak OpenID Connect, SAML i WS-Fed, Akamai EAA rozszerza bezpieczny dostęp dla starszych aplikacji uwierzytelniania zarówno dla dostępu wewnętrznego, jak i zewnętrznego przy użyciu identyfikatora Microsoft Entra ID, umożliwiając nowoczesne scenariusze (takie jak dostęp bez hasła) do tych aplikacji. Obejmuje to:

• Aplikacje uwierzytelniania oparte na nagłówkach
• Pulpit zdalny
• SSH (Secure Shell)
• Aplikacje uwierzytelniania Kerberos
• VNC (przetwarzanie sieci wirtualnej)
• Anonimowe uwierzytelnianie lub brak wbudowanych aplikacji uwierzytelniania
• Aplikacje uwierzytelniania NTLM (ochrona z podwójnymi monitami dla użytkownika)
• Aplikacja oparta na formularzach (ochrona z podwójnymi monitami dla użytkownika)

Scenariusze integracji

Partnerstwo firmy Microsoft i Akamai EAA umożliwia elastyczność spełnienia wymagań biznesowych przez obsługę wielu scenariuszy integracji na podstawie wymagań biznesowych. Mogą one służyć do zapewnienia zasięgu zero-dniowego we wszystkich aplikacjach i stopniowe klasyfikowanie i konfigurowanie odpowiednich klasyfikacji zasad.

Scenariusz integracji 1

Akamai EAA jest konfigurowana jako pojedyncza aplikacja w identyfikatorze Entra firmy Microsoft. Administrator może skonfigurować zasady dostępu warunkowego w aplikacji i po spełnieniu warunków użytkownicy mogą uzyskać dostęp do portalu EAA usługi Akamai.

Zalety:

• Musisz skonfigurować dostawcę tożsamości tylko raz.

Wady:

• Użytkownicy mają dwa portale aplikacji.

• Pojedyncze wspólne pokrycie zasad dostępu warunkowego dla wszystkich aplikacji.

Scenariusz integracji 2

Aplikacja Akamai EAA jest konfigurowana indywidualnie w witrynie Azure Portal. Administrator może skonfigurować zasady dostępu warunkowego dla poszczególnych aplikacji, a po spełnieniu warunków użytkownicy mogą zostać bezpośrednio przekierowani do określonej aplikacji.

Zalety:

• Można zdefiniować poszczególne zasady dostępu warunkowego.

• Wszystkie aplikacje są reprezentowane na waffle 0365 i myApps.microsoft.com Panel.

Wady:

• Należy skonfigurować wiele dostawców tożsamości.

Wymagania wstępne

Do rozpoczęcia pracy potrzebne są następujące elementy:

• Subskrypcja firmy Microsoft Entra. Jeśli nie masz subskrypcji, możesz uzyskać bezpłatne konto.
• Subskrypcja aplikacji Akamai z obsługą logowania jednokrotnego.

Opis scenariusza

W tym samouczku skonfigurujesz i przetestujesz logowanie jednokrotne firmy Microsoft w środowisku testowym.

• Usługa Akamai obsługuje logowanie jednokrotne inicjowane przez dostawcę tożsamości.

Ważne

Wszystkie konfiguracje wymienione poniżej są takie same dla scenariusza integracji 1 i scenariusza 2. W scenariuszu integracji 2 należy skonfigurować indywidualnego dostawcę tożsamości w akamai EAA, a właściwość ADRESU URL musi zostać zmodyfikowana, aby wskazywała adres URL aplikacji.

Dodawanie aplikacji Akamai z galerii

Aby skonfigurować integrację aplikacji Akamai z usługą Microsoft Entra ID, należy dodać aplikację Akamai z galerii do listy zarządzanych aplikacji SaaS.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do sekcji Identity Applications Enterprise applications>New application (Aplikacje dla przedsiębiorstw w aplikacji> dla>przedsiębiorstw).
3. W sekcji Dodawanie z galerii wpisz Akamai w polu wyszukiwania.
4. Wybierz pozycję Akamai z panelu wyników, a następnie dodaj aplikację. Zaczekaj kilka sekund na dodanie aplikacji do dzierżawy.

Alternatywnie można również użyć Kreatora konfiguracji aplikacji dla przedsiębiorstw. W tym kreatorze możesz dodać aplikację do dzierżawy, dodać użytkowników/grupy do aplikacji, przypisać role, a także przejść przez konfigurację logowania jednokrotnego. Dowiedz się więcej o kreatorach platformy Microsoft 365.

Konfigurowanie i testowanie aplikacji Microsoft Entra SSO dla aplikacji Akamai

Skonfiguruj i przetestuj logowanie jednokrotne firmy Microsoft z aplikacją Akamai przy użyciu użytkownika testowego O nazwie B.Simon. Aby logowanie jednokrotne działało, należy ustanowić relację połączenia między użytkownikiem firmy Microsoft Entra i powiązanym użytkownikiem aplikacji Akamai.

Aby skonfigurować i przetestować logowanie jednokrotne firmy Microsoft z aplikacją Akamai, wykonaj następujące kroki:

1. Skonfiguruj logowanie jednokrotne firmy Microsoft Entra — aby umożliwić użytkownikom korzystanie z tej funkcji.
   • Tworzenie użytkownika testowego aplikacji Microsoft Entra — aby przetestować logowanie jednokrotne firmy Microsoft Entra z aplikacją B.Simon.
   • Przypisz użytkownika testowego aplikacji Microsoft Entra — aby włączyć aplikację B.Simon do korzystania z logowania jednokrotnego firmy Microsoft Entra.
2. Konfigurowanie logowania jednokrotnego aplikacji Akamai — aby skonfigurować ustawienia logowania jednokrotnego po stronie aplikacji.
   • Konfigurowanie dostawcy tożsamości
   • Uwierzytelnianie oparte na nagłówku
   • Pulpit zdalny
   • Protokół SSH
   • Uwierzytelnianie Kerberos
   • Tworzenie użytkownika testowego aplikacji Akamai — aby mieć w aplikacji Akamai odpowiednik użytkownika B.Simon połączony z reprezentacją użytkownika w usłudze Microsoft Entra.
3. Testowanie logowania jednokrotnego — aby sprawdzić, czy konfiguracja działa.

Konfigurowanie logowania jednokrotnego firmy Microsoft

Wykonaj następujące kroki, aby włączyć logowanie jednokrotne firmy Microsoft.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

2. Przejdź do sekcji Identity Applications Enterprise applications>>(Aplikacje dla>przedsiębiorstw) Akamai Single sign-on (Logowanie jednokrotne usługi Akamai).>

3. Na stronie Wybieranie metody logowania jednokrotnego wybierz pozycję SAML.

4. Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML kliknij ikonę ołówka podstawową konfigurację protokołu SAML, aby edytować ustawienia.

   

5. Jeśli chcesz skonfigurować aplikację w trybie inicjowany przez dostawcę tożsamości, w sekcji Podstawowa konfiguracja protokołu SAML wprowadź wartości następujących pól:

   a. W polu tekstowym Identyfikator wpisz adres URL, korzystając z następującego wzorca: https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

   b. W polu tekstowym Adres URL odpowiedzi wpisz adres URL, korzystając z następującego wzorca: https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

   Uwaga

   Te wartości nie są prawdziwe. Zastąp te wartości rzeczywistymi wartościami identyfikatora i adresu URL odpowiedzi. Skontaktuj się z zespołem pomocy technicznej klienta aplikacji Akamai, aby uzyskać te wartości. Możesz również odwołać się do wzorców przedstawionych w sekcji Podstawowa konfiguracja protokołu SAML.

6. Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML w sekcji Certyfikat podpisywania SAML znajdź plik XML metadanych federacji i wybierz pozycję Pobierz, aby pobrać certyfikat i zapisać go na komputerze.

   

7. W sekcji Konfigurowanie aplikacji Akamai skopiuj odpowiednie adresy URL zgodnie z wymaganiami.

   

Tworzenie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji utworzysz użytkownika testowego o nazwie B.Simon.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator użytkowników.
2. Przejdź do pozycji Tożsamość>Użytkownicy>Wszyscy użytkownicy.
3. Wybierz pozycję Nowy użytkownik Utwórz nowego użytkownika> w górnej części ekranu.
4. We właściwościach użytkownika wykonaj następujące kroki:
   1. W polu Nazwa wyświetlana wprowadź wartość B.Simon.
   2. W polu Główna nazwa użytkownika wprowadź username@companydomain.extensionwartość . Na przykład B.Simon@contoso.com.
   3. Zaznacz pole wyboru Pokaż hasło i zanotuj wartość wyświetlaną w polu Hasło.
   4. Wybierz pozycję Przejrzyj i utwórz.
5. Wybierz pozycję Utwórz.

Przypisywanie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji włączysz użytkownikowi B.Simon możliwość korzystania z logowania jednokrotnego, udzielając dostępu do aplikacji Akamai.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do sekcji Identity>Applications Enterprise Applications>>Akamai.
3. Na stronie przeglądu aplikacji wybierz pozycję Użytkownicy i grupy.
4. Wybierz pozycję Dodaj użytkownika/grupę, a następnie wybierz pozycję Użytkownicy i grupy w oknie dialogowym Dodawanie przypisania .
   1. W oknie dialogowym Użytkownicy i grupy wybierz pozycję B.Simon z listy Użytkownicy, a następnie kliknij przycisk Wybierz w dolnej części ekranu.
   2. Jeśli oczekujesz, że rola zostanie przypisana do użytkowników, możesz wybrać ją z listy rozwijanej Wybierz rolę . Jeśli dla tej aplikacji nie skonfigurowano żadnej roli, zostanie wybrana rola "Dostęp domyślny".
   3. W oknie dialogowym Dodawanie przypisania kliknij przycisk Przypisz.

Konfigurowanie logowania jednokrotnego usługi Akamai

Konfigurowanie dostawcy tożsamości

Konfiguracja dostawcy tożsamości EAA AKAMAI

1. Zaloguj się do konsoli programu Akamai Enterprise Application Access .

2. W konsoli Akamai EAA wybierz pozycję Dostawcy tożsamości tożsamości>i kliknij pozycję Dodaj dostawcę tożsamości.

   

3. Na stronie Create New Identity Provider (Tworzenie nowego dostawcy tożsamości) wykonaj następujące kroki:

   a. Określ unikatową nazwę.

   b. Wybierz pozycję SAML innej firmy i kliknij pozycję Utwórz dostawcę tożsamości i skonfiguruj.

Ustawienia ogólne

Na karcie Ogólne wprowadź następujące informacje:

1. Identity Intercept — określ nazwę domeny (podstawowy adres URL sp — będzie używany dla usługi Microsoft Entra Configuration).

   Uwaga

   Możesz wybrać własną domenę niestandardową (będzie wymagać wpisu DNS i certyfikatu). W tym przykładzie użyjemy domeny Akamai.

2. Strefa chmury Akamai — wybierz odpowiednią strefę chmury.

3. Weryfikacja certyfikatu — sprawdź dokumentację usługi Akamai (opcjonalnie).

Konfiguracja uwierzytelniania

1. ADRES URL — określ adres URL taki sam jak przechwycenie tożsamości (jest to miejsce, w którym użytkownicy są przekierowywani po uwierzytelnieniu).

2. Adres URL wylogowywania: zaktualizuj adres URL wylogowywania.

3. Podpisz żądanie SAML: domyślne niezaznaczone.

4. W przypadku pliku metadanych dostawcy tożsamości dodaj aplikację w konsoli Microsoft Entra ID.

   

Ustawienia sesji

Pozostaw ustawienia domyślne.

Directories

Na karcie Katalogi pomiń konfigurację katalogu.

Interfejs użytkownika dostosowywania

Dostosowywanie można dodać do dostawcy tożsamości. Na karcie Dostosowywanie znajdują się ustawienia dla ustawienia Dostosowywanie interfejsu użytkownika, ustawień języka i motywów.

Ustawienia zaawansowane

Na karcie Ustawienia zaawansowane zaakceptuj wartości domyślne. Aby uzyskać więcej informacji, zapoznaj się z dokumentacją usługi Akamai.

Wdrożenie

1. Na karcie Wdrożenie kliknij pozycję Wdróż dostawcę tożsamości.

2. Sprawdź, czy wdrożenie zakończyło się pomyślnie.

Uwierzytelnianie oparte na nagłówku

Uwierzytelnianie oparte na nagłówku Akamai

1. Wybierz pozycję Niestandardowy formularz HTTP Kreatora dodawania aplikacji.

   

2. Wprowadź nazwę aplikacji i opis.

   

   

   

Uwierzytelnianie

1. Wybierz kartę Uwierzytelnianie .

   

2. Wybierz pozycję Przypisz dostawcę tożsamości.

Usługi

Kliknij pozycję Zapisz i przejdź do uwierzytelniania.

Ustawienia zaawansowane

1. W obszarze Nagłówki HTTP klienta określ atrybut CustomerHeader i SAML.

   

2. Kliknij przycisk Zapisz i przejdź do pozycji Wdrożenie .

   

Wdrażanie aplikacji

1. Kliknij przycisk Wdróż aplikację .

   

2. Sprawdź, czy aplikacja została pomyślnie wdrożona.

   

3. Środowisko użytkownika końcowego.

   

   

4. Dostęp warunkowy.

   

   

Pulpit zdalny

1. Wybierz pozycję RDP w Kreatorze DODAWANIA aplikacji.

   

2. Wprowadź nazwę aplikacji, taką jak SecretRDPApp.

3. Wybierz opis, taki jak Ochrona sesji protokołu RDP przy użyciu dostępu warunkowego firmy Microsoft Entra.

4. Określ łącznik, który będzie obsługiwał ten łącznik.

   

Uwierzytelnianie

Na karcie Uwierzytelnianie kliknij pozycję Zapisz i przejdź do pozycji Usługi.

Usługi

Kliknij pozycję Zapisz i przejdź do pozycji Ustawienia zaawansowane.

Ustawienia zaawansowane

1. Kliknij pozycję Zapisz i przejdź do pozycji Wdrożenie.

   

   

   

2. Środowisko użytkownika końcowego

   

   

3. Dostęp warunkowy

   

   

   

4. Alternatywnie możesz również bezpośrednio wpisać adres URL aplikacji RDP.

SSH

1. Przejdź do pozycji Dodaj aplikacje, wybierz pozycję SSH.

   

2. Wprowadź wartość Application Name (Nazwa aplikacji) i Description (Opis aplikacji), na przykład Microsoft Entra modern authentication to SSH (Nowoczesne uwierzytelnianie firmy Microsoft) do protokołu SSH.

3. Konfigurowanie tożsamości aplikacji.

   a. Określ nazwę/opis.

   b. Określ adres IP/nazwę FQDN serwera aplikacji i port dla protokołu SSH.

   c. Określ nazwę użytkownika/hasło SSH *Sprawdź Akamai EAA.

   d. Określ nazwę hosta zewnętrznego.

   e. Określ lokalizację łącznika i wybierz łącznik.

Uwierzytelnianie

Na karcie Uwierzytelnianie kliknij pozycję Zapisz i przejdź do pozycji Usługi.

Usługi

Kliknij pozycję Zapisz i przejdź do pozycji Ustawienia zaawansowane.

Ustawienia zaawansowane

Kliknij pozycję Zapisz i przejdź do pozycji Wdrażanie.

Wdrożenie

1. Kliknij pozycję Wdróż aplikację.

   

2. Środowisko użytkownika końcowego

   

   

3. Dostęp warunkowy

   

   

   

   

Uwierzytelnianie Kerberos

W poniższym przykładzie opublikujemy wewnętrzny serwer internetowy na stronie http://frp-app1.superdemo.live i włączymy logowanie jednokrotne przy użyciu KCD.

Karta Ogólne

Karta Uwierzytelnianie

Na karcie Uwierzytelnianie przypisz dostawcę tożsamości.

Karta Usługi

Ustawienia zaawansowane

Uwaga

Nazwa SPN dla serwera sieci Web ma format SPN@Domain na przykład: HTTP/frp-app1.superdemo.live@SUPERDEMO.LIVE dla tego pokazu. Pozostaw pozostałe ustawienia domyślne.

Karta Wdrażanie

Dodawanie katalogu

1. Wybierz pozycję AD z listy rozwijanej.

   

2. Podaj niezbędne dane.

   

3. Sprawdź tworzenie katalogu.

   

4. Dodaj grupy/jednostki organizacyjne, które będą wymagały dostępu.

   

5. Poniżej grupa nosi nazwę EAAGroup i ma 1 element członkowski.

   

6. Dodaj katalog do dostawcy tożsamości, klikając pozycję Dostawcy tożsamości tożsamości>, a następnie kliknij kartę Katalogi i kliknij pozycję Przypisz katalog.

Konfigurowanie delegowania KCD na potrzeby przewodnika EAA

Krok 1. Tworzenie konta

1. W tym przykładzie użyjemy konta o nazwie EAADelegation. Można to zrobić przy użyciu przystawki przystawki i użytkowników usługi Active Directory.

   Uwaga

   Nazwa użytkownika musi być w określonym formacie na podstawie nazwy przechwycenia tożsamości. Na rysunku 1 widzimy, że jest to corpapps.login.go.akamai-access.com

2. Nazwa logowania użytkownika będzie:HTTP/corpapps.login.go.akamai-access.com

   

Krok 2. Konfigurowanie nazwy SPN dla tego konta

1. Na podstawie tego przykładu nazwa SPN będzie następująca.

2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

   

Krok 3. Konfigurowanie delegowania

1. Dla konta EAADelegation kliknij kartę Delegowanie.

   

   • Określ użycie dowolnego protokołu uwierzytelniania.
   • Kliknij pozycję Dodaj i dodaj konto puli aplikacji dla witryny internetowej Protokołu Kerberos. Jeśli nazwa SPN zostanie prawidłowo skonfigurowana, powinna zostać automatycznie rozpoznana.

Krok 4. Tworzenie pliku karty kluczy dla AKAMAI EAA

1. Oto ogólna składnia.

2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

3. Przykład objaśniony

   Fragment kodu	Wyjaśnienie
   Ktpass /out EAADemo.keytab	Nazwa wyjściowego pliku keytab
   /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live	HTTP/yourIDPName@YourdomainName
   /mapuser eaadelegation@superdemo.live	Konto delegowania UMOWY EAA
   /pass RANDOMPASS	Hasło konta delegowania umowy EAA
   /crypto Wszystkie KRB5_NT_PRINCIPAL ptype	zapoznaj się z dokumentacją umowy EAA usługi Akamai

4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

   

Krok 5. Importowanie karty klucza w konsoli EAA usługi AKAMAI

1. Kliknij pozycję Karte systemowych>.

   

2. Na karcie Typ klucza wybierz pozycję Delegowanie protokołu Kerberos.

   

3. Upewnij się, że na karcie Klucz jest wyświetlana wartość Wdrożono i Zweryfikowano.

   

4. Środowisko użytkownika

   

   

5. Dostęp warunkowy

   

   

   

Tworzenie użytkownika testowego aplikacji Akamai

W tej sekcji utworzysz użytkownika O nazwie B.Simon w aplikacji Akamai. We współpracy z zespołem pomocy technicznej klienta usługi Akamai dodaj użytkowników na platformie Akamai. Użytkownicy muszą być utworzeni i aktywowani przed rozpoczęciem korzystania z logowania jednokrotnego.

Testowanie logowania jednokrotnego

W tej sekcji przetestujesz konfigurację logowania jednokrotnego firmy Microsoft z następującymi opcjami.

• Kliknij pozycję Przetestuj tę aplikację i powinno nastąpić automatyczne zalogowanie do aplikacji Akamai, dla której skonfigurowano logowanie jednokrotne.

• Możesz użyć usługi Microsoft Moje aplikacje. Po kliknięciu kafelka Akamai w Moje aplikacje powinno nastąpić automatyczne zalogowanie do aplikacji Akamai, dla której skonfigurowano logowanie jednokrotne. Aby uzyskać więcej informacji na temat Moje aplikacje, zobacz Wprowadzenie do Moje aplikacje.

Następne kroki

Po skonfigurowaniu usługi Akamai możesz wymusić kontrolę sesji, która chroni eksfiltrację i infiltrację poufnych danych organizacji w czasie rzeczywistym. Kontrola sesji rozszerza się od dostępu warunkowego. Dowiedz się, jak wymusić kontrolę sesji za pomocą Microsoft Defender dla Chmury Apps.