通过

将 Okta 用作标识提供者 (IdP) 来为任何 Web 应用部署条件访问应用控制

  • 项目

你可以在 Microsoft Defender for Cloud Apps 中配置会话控制，以使用任何 Web 应用和任何非 Microsoft IdP。 本文介绍如何将应用会话从 Okta 路由到 Defender for Cloud Apps 以进行实时会话控制。

在本文中，我们将 Salesforce 应用用作配置为使用 Defender for Cloud Apps 会话控制的 Web 应用的示例。

先决条件

  • 组织必须具有以下许可证才能使用条件访问应用控制：

    • 一个预配置的 Okta 租户。
    • Microsoft Defender for Cloud Apps

  • 使用 SAML 2.0 身份验证协议的应用的现有的 Okta 单一登录配置

将 Okta 用作 IdP 来为应用配置会话控制

使用以下步骤将你的 Web 应用会话从 Okta 路由到 Defender for Cloud Apps。

注意

你可以使用以下方法之一配置 Okta 提供的应用的 SAML 单一登录信息：

  • 选项 1：上传应用的 SAML 元数据文件。
  • 选项 2：手动提供应用的 SAML 数据。

在以下步骤中，我们将使用选项 2。

步骤 1：获取应用的 SAML 单一登录设置

步骤 2：使用应用的 SAML 信息来配置 Defender for Cloud Apps

步骤 3：创建新的 Okta 自定义应用程序和应用单一登录配置

步骤 4：使用 Okta 应用的信息来配置 Defender for Cloud Apps

步骤 5：完成 Okta 自定义应用程序的配置

步骤 6：在 Defender for Cloud Apps 中获取应用更改

步骤 7：完成应用更改

步骤 8：在 Defender for Cloud Apps 中完成配置

步骤 1：获取应用的 SAML 单一登录设置

  1. 在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”。

  2. 在“单一登录设置”下，单击现有的 Okta 配置的名称。

    选择 Salesforce SSO 设置。

  3. 在“SAML 单一登录设置”页上，记下 Salesforce 登录 URL。 稍后在配置 Defender for Cloud Apps 时你需要用到此内容。

    注意

    如果应用提供 SAML 证书，请下载证书文件。

    选择 Salesforce SSO 登录 URL。

步骤 2：使用应用的 SAML 信息来配置 Defender for Cloud Apps

  1. 在 Microsoft Defender 门户中，选择“设置”。 然后选择“云应用”。

  2. 在连接的应用下，选择条件访问应用控制应用。

  3. 选择“+添加”，然后在弹出窗口中选择要部署的应用，然后选择“启动向导”。

  4. 在“应用信息”页上，选择“手动填写数据”，在“断言使用者服务 URL”中输入前面记录的 Salesforce 登录 URL，然后单击“下一步”。

    注意

    如果应用提供 SAML 证书，请选择“使用 <app_name> SAML 证书”并上传证书文件。

    手动填写 Salesforce SAML 信息。

步骤 3：创建新的 Okta 自定义应用程序和应用的单一登录配置

注意

要限制最终用户停机时间并保留现有的已知良好配置，建议创建新的自定义应用程序和单一登录配置。 如果无法执行此操作，则请跳过相关步骤。 例如，如果要配置的应用不支持创建多个单一登录配置，请跳过创建新的单一登录步骤。

  1. 在“Okta 管理员”控制台的“应用程序”下，查看应用的现有配置的属性，并记下设置。

  2. 单击“添加应用程序”，然后单击“创建新的应用”。 除了必须是唯一名称的受众 URI（SP 实体 ID）值外，还请使用前面所述的设置配置新应用程序。 稍后在配置 Defender for Cloud Apps 时你需要使用此应用程序。

  3. 导航到“应用程序”，查看现有的 Okta 配置，然后在“登录”选项卡上，选择“查看设置说明”。

    记下现有的 Salesforce 应用的 SSO 服务位置。

  4. 记下标识提供者单一登录 URL，并下载标识提供者的签名证书 (X.509)。 稍后会需要它。

  5. 返回 Salesforce 中，在现有的 Okta 单一登录设置页上，记下所有设置。

  6. 创建新的 SAML 单一登录配置。 除了必须与自定义应用程序的受众 URI（SP 实体 ID）匹配的实体 ID 值外，还请使用前面记下的设置配置单一登录。 稍后在配置 Defender for Cloud Apps 时你需要用到此内容。

  7. 保存新应用程序后，导航到“分配”页，并分配需要访问应用程序的人员或组。

步骤 4：使用 Okta 应用的信息来配置 Defender for Cloud Apps

  1. 返回到 Defender for Cloud Apps“标识提供者”页，单击“下一步”继续操作。

  2. 在下一页上，选择“手动填写数据”，执行以下操作，然后单击“下一步”。

    • 对于单一登录服务 URL，请输入前面记下的 Salesforce 登录 URL。
    • 选择“上传标识提供者的 SAML 证书”，然后上传前面下载的证书文件。

    添加 SSO 服务 URL 和 SAML 证书。

  3. 在下一页上，记下以下信息，然后单击“下一步”。 稍后你将需要该信息。

    • Defender for Cloud Apps 单一登录 URL
    • Defender for Cloud Apps 属性和值

    注意

    如果看到上传标识提供者的 Defender for Cloud Apps SAML 证书的选项，请单击“单击”以下载证书文件。 稍后会需要它。

    在 Defender for Cloud Apps 中，记下 SSO URL 和属性。

步骤 5：完成 Okta 自定义应用程序的配置

  1. 返回“Okta 管理员”控制台，在“应用程序”下，选择之前创建的自定义应用程序，然后在“常规”>“SAML 设置”下，单击“编辑”。

    找到和编辑 SAML 设置。

  2. 在“单一登录 URL”字段中，将 URL 替换为前面记下的 Defender for Cloud Apps 单一登录 URL，然后保存设置。

  3. 在“目录”下，选择“配置文件编辑器”，选择之前创建的自定义应用程序，然后单击“配置文件”。 使用以下信息来添加属性。

    显示名称 变量名称 Data type 属性类型
    McasSigningCert McasSigningCert string 自定义
    McasAppId McasAppId string 自定义

    添加配置文件属性。

  4. 返回“配置文件编辑器”页，选择之前创建的自定义应用程序，单击“映射”，然后选择“Okta 用户到 {custom_app_name}”。 将 McasSigningCert 和 McasAppId 属性映射到前面记录的 Defender for Cloud Apps 属性值中。

    注意

    • 请确保以双引号 (") 括住值
    • Okta 将属性限为 1024 个字符。 要缓解此限制，请使用配置文件编辑器来添加属性，如前所述。

    映射配置文件属性。

  5. 保存设置。

步骤 6：在 Defender for Cloud Apps 中获取应用更改

返回 Defender for Cloud Apps“应用更改”页，执行以下操作，但不要单击“完成”。 稍后你将需要该信息。

  • 请复制 Defender for Cloud Apps SAML 单一登录 URL
  • 下载 Defender for Cloud Apps SAML 证书

记下 Defender for Cloud Apps SAML SSO URL，并下载证书。

步骤 7：完成应用更改

在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”，然后执行以下操作：

  1. [建议] 创建当前设置的备份。

  2. 将“标识提供者登录 URL”字段值替换为前面记下的 Defender for Cloud Apps SAML 单一登录 URL。

  3. 上传前面下载的 Defender for Cloud Apps SAML 证书。

  4. 单击“保存” 。

    注意

    • 保存设置后，所有关联此应用的登录请求将通过条件访问应用控制发送。
    • Defender for Cloud Apps SAML 证书的有效期为一年。 证书过期后，需要生成新的证书。

    更新 SSO 设置。

步骤 8：在 Defender for Cloud Apps 中完成配置

  • 返回 Defender for Cloud Apps“应用更改”页，单击“完成”。 完成向导后，将通过条件访问应用控制路由对此应用的所有关联的登录请求。

相关内容

条件访问应用控制介绍

访问和会话控制排除故障

如果遇到任何问题，我们可随时提供帮助。 要获取产品问题的帮助或支持，请开立支持票证。