Руководство по настройке управления пользователями Cisco для безопасного доступа для автоматической подготовки пользователей

В этом руководстве описаны шаги, которые необходимо выполнить как в Cisco User Management for Secure Access, так и в идентификаторе Microsoft Entra для настройки автоматической подготовки пользователей. При настройке идентификатор Microsoft Entra id автоматически подготавливает и отменяет подготовку пользователей и групп в Cisco User Management for Secure Access с помощью службы подготовки Microsoft Entra. Важные сведения о том, что делает эта служба, как она работает и часто задаваемые вопросы, см. в статье Автоматизации подготовки пользователей и отмены подготовки приложений SaaS с помощью идентификатора Microsoft Entra.

Поддерживаемые возможности

• Создание пользователей в службе управления пользователями Cisco для безопасного доступа
• Удаление пользователей в Cisco User Management для безопасного доступа, если они больше не требуют доступа
• Синхронизация атрибутов пользователей между идентификатором Microsoft Entra и Cisco User Management for Secure Access
• Подготовка групп и членства в группах в Cisco User Management for Secure Access

Необходимые компоненты

В сценарии, описанном в этом руководстве, предполагается, что у вас уже имеется:

• Клиент Microsoft Entra
• Учетная запись пользователя в идентификаторе Microsoft Entra с разрешением на настройку подготовки (например, Application Администратор istrator, Cloud Application Администратор istrator или Application Owner).
• Подписка Cisco Umbrella.
• Учетная запись пользователя в Cisco Umbrella с полными правами администратора.

Шаг 1. Планирование развертывания подготовки

1. Узнайте, как работает служба подготовки.
2. Определите, кто будет находиться в области подготовки.
3. Определите, какие данные необходимо сопоставить между идентификатором Microsoft Entra и Cisco User Management for Secure Access.

Шаг 2. Импорт атрибута ObjectGUID с помощью Microsoft Entra Подключение (необязательно)

Если конечные точки работают с AnyConnect или Cisco Secure Client версии 4.10 MR5 или более ранней, необходимо синхронизировать атрибут ObjectGUID для определения принадлежности удостоверений пользователя. Вам потребуется перенастроить любую политику Umbrella для групп после импорта групп из идентификатора Microsoft Entra.

Примечание.

Перед импортом атрибута ObjectGUID необходимо отключить локальный соединитель Umbrella AD.

При использовании microsoft Entra Подключение атрибут ObjectGUID пользователей по умолчанию не синхронизируется из локальной службы AD с идентификатором Microsoft Entra ID. Чтобы синхронизировать этот атрибут, включите необязательное Синхронизация атрибутов расширения каталога и выберите атрибуты objectGUID для пользователей.

Примечание.

В поиске по доступным атрибутам учитывается регистр.

Примечание.

Этот шаг необязателен, если все конечные точки работают с Cisco Secure Client или AnyConnect версии 4.10 MR6 или более поздней.

Шаг 3. Настройка управления пользователями Cisco для безопасного доступа для поддержки подготовки с помощью идентификатора Microsoft Entra

1. Войдите на панель мониторинга Cisco Umbrella. Поочередно откройте Deployments>Core Identities>Users and Groups (Развертывания — Основные удостоверения — Пользователи и группы).

2. Разверните карта Microsoft Entra и щелкните страницу "Ключи API".

   

3. Разверните карта Microsoft Entra на странице "Ключи API" и щелкните "Создать токен".

   

4. Созданный здесь маркер будет отображаться только один раз. Сразу скопируйте и сохраните URL-адрес и маркер. Эти значения будут введены в поля "URL-адрес клиента" и "Секретный маркер " соответственно на вкладке "Подготовка" приложения "Управление пользователями Cisco для безопасного доступа".

Шаг 4. Добавление управления пользователями Cisco для безопасного доступа из коллекции приложений Microsoft Entra

Добавьте Cisco User Management for Secure Access из коллекции приложений Microsoft Entra, чтобы начать управление подготовкой к управлению пользователями Cisco для безопасного доступа. Дополнительные сведения о добавлении приложения из коллекции см. здесь.

Шаг 5. Определение того, кто будет находиться в область для подготовки

Служба подготовки Microsoft Entra позволяет область, которые будут подготовлены на основе назначения приложению и на основе атрибутов пользователя или группы. Если вы решили указать, кто именно будет подготовлен к работе в приложении, на основе назначения, можно выполнить следующие действия, чтобы назначить пользователей и группы приложению. Если вы решили определить пользователей только на основе атрибутов пользователя или группы, примените фильтр области, как описано здесь.

• Начните с малого. Протестируйте небольшой набор пользователей и групп, прежде чем выполнять развертывание для всех. Если в область подготовки включены назначенные пользователи и группы, проверьте этот механизм, назначив приложению одного или двух пользователей либо одну или две группы. Если в область включены все пользователи и группы, можно указать фильтр области на основе атрибутов.

• Если требуются дополнительные роли, можно обновить манифест приложения, чтобы добавить новые роли.

Шаг 6. Настройка автоматической подготовки пользователей в Cisco User Management for Secure Access

В этом разделе описаны инструкции по настройке службы подготовки Microsoft Entra для создания, обновления и отключения пользователей и /или групп в Cisco User Management for Secure Access на основе назначений пользователей и (или) групп в идентификаторе Microsoft Entra.

Чтобы настроить автоматическую подготовку пользователей для Cisco User Management for Secure Access в идентификаторе Microsoft Entra ID:

1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.

2. Обзор корпоративных приложений>удостоверений>

   

3. В списке приложений выберите Cisco User Management for Secure Access.

   

4. Выберите вкладку Подготовка.

   

5. Для параметра Режим подготовки к работе выберите значение Automatic (Автоматически).

   

6. В разделе "Учетные данные Администратор" введите URL-адрес клиента Cisco User Management для безопасного доступа и секретный маркер. Нажмите кнопку Test Подключение ion, чтобы убедиться, что идентификатор Microsoft Entra может подключиться к Cisco User Management for Secure Access. Если подключение завершается сбоем, убедитесь, что учетная запись Cisco User Management for Secure Access имеет Администратор разрешения и повторите попытку.

   

7. В поле Электронная почта для уведомлений введите адрес электронной почты пользователя или группы, которые должны получать уведомления об ошибках подготовки, а также установите флажок Отправить уведомление по электронной почте при сбое.

   

8. Выберите Сохранить.

9. В разделе "Сопоставления" выберите "Синхронизировать пользователей Microsoft Entra" с Cisco User Management для безопасного доступа.

10. Просмотрите атрибуты пользователя, синхронизированные с идентификатором Microsoft Entra ID с Cisco User Management for Secure Access в разделе "Сопоставление атрибутов". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления учетных записей пользователей в Cisco User Management for Secure Access для операций обновления. Если вы решили изменить соответствующий целевой атрибут, необходимо убедиться, что API управления пользователями Cisco для безопасного доступа поддерживает фильтрацию пользователей на основе этого атрибута. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

    Атрибут	Тип	Поддерживается для фильтрации
    userName	Строка	✓
    externalId	Строка
    active	Логический
    displayName	Строка
    name.givenName	Строка
    name.familyName	Строка
    name.formatted	Строка
    urn:ietf:params:scim:schemas:extension:ciscoumbrella:2.0:User:nativeObjectId	Строка

Примечание.

Если вы импортировали атрибут objectGUID для пользователей через Microsoft Entra Подключение (см. шаг 2), добавьте сопоставление из objectGUID в urn:ietf:params:scim:schemas:extension:ciscoumbrella:2.0:User:nativeObjectId.

1. В разделе "Сопоставления" выберите "Синхронизировать группы Microsoft Entra" с Cisco User Management for Secure Access.

2. Просмотрите атрибуты группы, синхронизированные с Идентификатором Microsoft Entra с Cisco User Management for Secure Access в разделе "Сопоставление атрибутов". Атрибуты, выбранные в качестве свойств сопоставления , используются для сопоставления групп в Cisco User Management for Secure Access для операций обновления. Нажмите кнопку Сохранить, чтобы зафиксировать все изменения.

   Атрибут	Тип	Поддерживается для фильтрации
   displayName	Строка	✓
   externalId	Строка
   members	Справочные материалы

3. Чтобы настроить фильтры области, ознакомьтесь со следующими инструкциями, предоставленными в руководстве по фильтрам области.

4. Чтобы включить службу подготовки Microsoft Entra для управления пользователями Cisco для безопасного доступа, измените состояние подготовки на On в разделе Параметры.

   

5. Определите пользователей и (или) группы, которые вы хотите подготовить в Cisco User Management for Secure Access, выбрав нужные значения в области в разделе Параметры.

   

6. Когда будете готовы выполнить подготовку, нажмите кнопку Сохранить.

   

После этого начнется цикл начальной синхронизации всех пользователей и групп, определенных в поле Область в разделе Параметры. Начальный цикл занимает больше времени, чем последующие циклы, которые происходят примерно каждые 40 минут до запуска службы подготовки Microsoft Entra.

Шаг 7. Мониторинг развертывания

После настройки подготовки используйте следующие ресурсы для мониторинга развертывания.

• Используйте журналы подготовки, чтобы определить, какие пользователи были подготовлены успешно или неудачно.
• Используйте индикатор выполнения, чтобы узнать состояние цикла подготовки и приблизительное время до его завершения.
• Если конфигурация подготовки, вероятно, находится в неработоспособном состоянии, приложение перейдет в карантин. Дополнительные сведения о режимах карантина см. здесь.

Ограничения соединителя

• Cisco User Management for Secure Access поддерживает подготовку не более 200 групп. Любые группы, превышающие это число, которые находятся в область, не могут быть подготовлены в Cisco Umbrella.

Дополнительные ресурсы

• Управление подготовкой учетных записей пользователей для корпоративных приложений
• Что такое доступ к приложению и единый вход с помощью идентификатора Microsoft Entra?

Следующие шаги

• Сведения о просмотре журналов и получении отчетов о действиях по подготовке