通过

将 PingOne 用作标识提供者 (IdP) 来为任何 Web 应用部署条件访问应用控制

  • 项目

你可以在 Microsoft Defender for Cloud Apps 中配置会话控制，以使用任何 Web 应用和任何非 Microsoft IdP。 本文介绍如何将应用会话从 PingOne 路由到 Defender for Cloud Apps 以进行实时会话控制。

在本文中，我们将 Salesforce 应用用作配置为使用 Defender for Cloud Apps 会话控制的 Web 应用的示例。 要配置其他应用，请根据其要求执行相同的步骤。

先决条件

  • 组织必须具有以下许可证才能使用条件访问应用控制：

    • 相关的 PingOne 许可证（单一登录所需）
    • Microsoft Defender for Cloud Apps

  • 使用 SAML 2.0 身份验证协议的应用的现有的 PingOne 单一登录配置

将 PingOne 用作 IdP 来为应用配置会话控制

使用以下步骤将你的 Web 应用会话从 PingOne 路由到 Defender for Cloud Apps。

注意

你可以使用以下方法之一配置 PingOne 提供的应用的 SAML 单一登录信息：

  • 选项 1：上传应用的 SAML 元数据文件。
  • 选项 2：手动提供应用的 SAML 数据。

在以下步骤中，我们将使用选项 2。

步骤 1：获取应用的 SAML 单一登录设置

步骤 2：使用应用的 SAML 信息来配置 Defender for Cloud Apps

步骤 3：在 PingOne 中创建自定义应用

步骤 4：使用 PingOne 应用的信息来配置 Defender for Cloud Apps

步骤 5：在 PingOne 中完成自定义应用

步骤 6：在 Defender for Cloud Apps 中获取应用更改

步骤 7：完成应用更改

步骤 8：在 Defender for Cloud Apps 中完成配置

步骤 1：获取应用的 SAML 单一登录设置

  1. 在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”。

  2. 在“单一登录设置”下，选择现有的 SAML 2.0 配置的名称。

    选择 Salesforce SSO 设置。

  3. 在“SAML 单一登录设置”页上，记下 Salesforce 登录 URL。 稍后会需要它。

    注意

    如果应用提供 SAML 证书，请下载证书文件。

    选择 Salesforce SSO 登录 URL。

步骤 2：使用应用的 SAML 信息来配置 Defender for Cloud Apps

  1. 在 Microsoft Defender 门户中，选择“设置”。 然后选择“云应用”。

  2. 在“连接的应用”下，选择“条件访问应用控制应用”。

  3. 选择“+添加”，然后在弹出窗口中选择要部署的应用，然后选择“启动向导”。

  4. 在“应用信息”页上，选择“手动填写数据”，在“断言使用者服务 URL”中输入前面记录的 Salesforce 登录 URL，然后选择“下一步”。

    注意

    如果应用提供 SAML 证书，请选择“使用 <app_name> SAML 证书”并上传证书文件。

    手动填写 Salesforce SAML 信息。

步骤 3：在 PingOne 中创建自定义应用

继续操作之前，请使用以下步骤从现有的 Salesforce 应用中获取信息。

  1. 在 PingOne 中，编辑你现有的 Salesforce 应用。

  2. 在“SSO 属性映射”页上，记下 SAML_SUBJECT 属性和值，然后下载签名证书和 SAML 元数据文件。

    记下现有的 Salesforce 应用属性。

  3. 打开 SAML 元数据文件并记下 PingOne SingleSignOnService 位置。 稍后会需要它。

    记下现有的 Salesforce 应用的 SSO 服务位置。

  4. 在“组访问”页上，记下已分配的组。

    记下现有的 Salesforce 应用的分配组。

然后使用使用标识提供者添加 SAML 应用程序中的说明在 IdP 的门户中配置自定义应用。

使用标识提供者添加 SAML 应用。

注意

通过配置自定义应用，你可以使用访问和会话控制来测试现有的应用，而无需更改组织的当前行为。

  1. 创建新的 SAML 应用程序。

    在 PingOne 中，创建新的自定义 Salesforce 应用。

  2. 在“应用程序详细信息”页上，填写表单，然后选择“继续下一步”。

    提示

    使用有助于区分自定义应用和现有的 Salesforce 应用的应用名称。

    填写自定义应用详细信息。

  3. 在“应用程序配置”页上执行以下操作，然后选择“继续下一步”。

    • 在“断言使用者服务 (ACS)”字段中，输入前面记录的 Salesforce 登录 URL。
    • 在“实体 ID”字段中，输入一个以 https:// 开头的唯一 ID。 请确保这与退出的 Salesforce PingOne 应用的配置不同。
    • 请记下实体 ID。 稍后会需要它。

    使用 Salesforce SAML 详细信息配置自定义应用。

  4. 在“SSO 属性映射”页上，添加现有的 Salesforce 应用的 SAML_SUBJECT 属性和前面记录的值，然后选择“继续下一步”。

    将属性添加到自定义 Salesforce 应用。

  5. 在“组访问”页上，添加前面记录的现有 Salesforce 应用的组，然后完成配置。

    将组分配到自定义 Salesforce 应用。

步骤 4：使用 PingOne 应用的信息来配置 Defender for Cloud Apps

  1. 返回到 Defender for Cloud Apps“标识提供者”页，选择“下一步”继续操作。

  2. 在下一页上，选择“手动填写数据”，执行以下操作，然后选择“下一步”。

    • 对于“断言使用者服务 URL”，输入前面记录的 Salesforce 登录 URL。
    • 选择“上传标识提供者的 SAML 证书”，然后上传前面下载的证书文件。

    添加 SSO 服务 URL 和 SAML 证书。

  3. 在下一页上，记下以下信息，然后选择“下一步”。 稍后你将需要该信息。

    • Defender for Cloud Apps 单一登录 URL
    • Defender for Cloud Apps 属性和值

    在 Defender for Cloud Apps 中，记下 SSO URL 和属性。

步骤 5：在 PingOne 中完成自定义应用

  1. 在 PingOne 中，找到并编辑自定义的 Salesforce 应用。

    查找并编辑自定义 Salesforce 应用。

  2. 在“断言使用者服务 (ACS)”字段中，将 URL 替换为前面记下的 Defender for Cloud Apps 单一登录 URL，然后选择“下一步”。

    替换自定义 Salesforce 应用中的 ACS。

  3. 将前面记录的 Defender for Cloud Apps 属性和值添加到应用的属性中。

    将 Defender for Cloud Apps 属性添加到自定义 Salesforce 应用。

  4. 保存设置。

步骤 6：在 Defender for Cloud Apps 中获取应用更改

返回 Defender for Cloud Apps“应用更改”页，执行以下操作，但不要选择“完成”。 稍后你将需要该信息。

  • 请复制 Defender for Cloud Apps SAML 单一登录 URL
  • 下载 Defender for Cloud Apps SAML 证书

记下 Defender for Cloud Apps SAML SSO URL，并下载证书。

步骤 7：完成应用更改

在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”，然后执行以下操作：

  1. 建议：创建当前设置的备份。

  2. 将“标识提供者登录 URL”字段值替换为前面记下的 Defender for Cloud Apps SAML 单一登录 URL。

  3. 上传前面下载的 Defender for Cloud Apps SAML 证书。

  4. 将“实体 ID”字段值替换为前面记录的 PingOne 自定义应用实体 ID。

  5. 选择“保存”。

    注意

    Defender for Cloud Apps SAML 证书的有效期为一年。 证书过期后，需要生成新的证书。

    使用 Defender for Cloud Apps SAML 详细信息更新自定义 Salesforce 应用。

步骤 8：在 Defender for Cloud Apps 中完成配置

  • 返回 Defender for Cloud Apps“应用更改”页，选择“完成”。 完成向导后，将通过条件访问应用控制路由对此应用的所有关联的登录请求。

相关内容

« 上一页：为任何应用部署条件访问应用控制

条件访问应用控制介绍

访问和会话控制排除故障

如果遇到任何问题，我们可随时提供帮助。 要获取产品问题的帮助或支持，请开立支持票证。