通过

教程：Microsoft Entra 与 Akamai 的 SSO 集成

  • 项目

本教程介绍如何将 Akamai 与 Microsoft Entra ID 相集成。 将 Akamai 与 Microsoft Entra ID 集成后，可以：

  • 在 Microsoft Entra ID 中控制谁有权访问 Akamai。
  • 让用户能够使用其 Microsoft Entra 帐户自动登录到 Akamai。
  • 在中心位置管理帐户。

Microsoft Entra ID 和 Akamai Enterprise Application Access 相集成，让你能够无缝地访问云中或本地托管的旧版应用程序。 集成解决方案利用 Microsoft Entra ID 的所有新式功能，例如 Microsoft Entra 条件访问、Microsoft Entra ID 保护和 Microsoft Entra ID 治理，不修改应用或安装代理就可访问旧版应用程序。

下图描述了 Akamai EAA 在哪些方面适合更广泛的混合安全访问方案。

Akamai EAA 适合更广泛的混合安全访问方案

密钥身份验证方案

除了对新式验证协议（如 OpenID Connect、SAML 和 WS-Fed）的 Microsoft Entra 原生集成支持以外，Akamai EAA 还为基于传统身份验证的应用扩展了安全访问，使其可采用 Microsoft Entra ID 进行安全的内部和外部访问，从而让这些应用程序可实现无密码访问等新式方案。 这包括：

  • 基于标头的身份验证应用
  • 远程桌面
  • SSH（安全外壳）
  • Kerberos 身份验证应用
  • VNC（虚拟网络计算）
  • 匿名身份验证或非内置身份验证应用
  • NTLM 身份验证应用（通过针对用户的双重提示进行保护）
  • 基于窗体的应用程序（通过针对用户的双重提示进行保护）

集成方案

借助 Microsoft 与 Akamai EAA 的合作关系，可根据你的业务要求支持多个集成方案，灵活地满足业务要求。 这些方案可用于跨所有应用程序提供零时差覆盖，并逐步分类和配置适当的策略类别。

集成方案 1

Akamai EAA 被配置为 Microsoft Entra ID 上的单个应用程序。 管理员可在应用程序上配置条件访问策略；一旦满足条件，用户就可获取对 Akamai EAA 门户的访问权限。

优点：

  • 只需配置 IDP 一次。

缺点：

  • 用户最终会拥有两个应用程序门户。

  • 单个通用条件访问策略覆盖所有应用程序。

集成方案 1

集成方案 2

Akamai EAA 应用程序在 Azure 门户上单独设置。 管理员可在应用程序上配置单独的条件访问策略；一旦满足条件，用户就可直接重定向到特定的应用程序。

优点：

  • 可以定义单个条件访问策略。

  • 所有应用都在 0365 Waffle 和 myApps.microsoft.com 面板上呈现。

缺点：

  • 需要配置多个 IDP。

集成方案 2

先决条件

若要开始操作，需备齐以下项目：

  • 一个 Microsoft Entra 订阅。 如果你没有订阅，可以获取一个免费帐户。
  • 已启用 Akamai 单一登录 (SSO) 的订阅。

方案描述

在本教程中，你将在测试环境中配置并测试 Microsoft Entra SSO。

  • Akamai 支持 IDP 发起的 SSO。

重要说明

下面列出的所有设置对于集成方案 1 和方案 2 都相同 。 对于集成方案 2，你需要在 Akamai EAA 中设置单独的 IDP，并且需要修改 URL 属性，使其指向应用程序 URL。

Akamai Enterprise Application Access 中 AZURESSO-SP 的“常规”选项卡的屏幕截图，其中突出显示了“身份验证配置 URL”字段。

若要配置 Akamai 与 Microsoft Entra ID 的集成，需要从库中将 Akamai 添加到托管 SaaS 应用列表。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。
  3. 在“从库中添加”部分的搜索框中，键入 Akamai。
  4. 在结果面板中选择“Akamai”，然后添加该应用。 在该应用添加到租户时等待几秒钟。

或者，也可以使用企业应用配置向导。 在此向导中，可以将应用程序添加到租户、将用户/组添加到应用、分配角色，以及逐步完成 SSO 配置。 详细了解 Microsoft 365 向导。

配置并测试 Akamai 的 Microsoft Entra SSO

使用名为 B.Simon 的测试用户配置并测试 Akamai 的 Microsoft Entra SSO。 若要使 SSO 正常工作，需要在 Microsoft Entra 用户与 Akamai 中的相关用户之间建立关联。

若要配置并测试 Akamai 的 Microsoft Entra SSO，请执行以下步骤：

  1. 配置 Microsoft Entra SSO - 使用户能够使用此功能。
  2. 配置 Akamai SSO - 在应用程序端配置单一登录设置。
  3. 测试 SSO - 验证配置是否正常工作。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“Akamai”>“单一登录”。

  3. 在“选择单一登录方法”页上选择“SAML” 。

  4. 在“设置 SAML 单一登录”页面上，单击“基本 SAML 配置”旁边的铅笔图标以编辑设置 。

    编辑基本 SAML 配置

  5. 如果要在“IDP”发起的模式下配置应用程序，请在“基本 SAML 配置”部分中输入以下字段的值 ：

    a. 在“标识符” 文本框中，使用以下模式键入 URL：https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

    b. 在“回复 URL”文本框中，使用以下模式键入 URL：https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

    注意

    这些不是实际值。 请使用实际标识符和回复 URL 更新这些值。 请联系 Akamai 客户端支持团队获取这些值。 还可参考“基本 SAML 配置”部分中显示的模式。

  6. 在“使用 SAML 设置单一登录”页的“SAML 签名证书”部分中找到“联合元数据 XML”，选择“下载”以下载该证书并将其保存在计算机上 。

    证书下载链接

  7. 在“设置 Akamai”部分，根据要求复制相应的 URL。

    复制配置 URL

创建 Microsoft Entra 测试用户

在本部分，你将创建名为 B.Simon 的测试用户。

  1. 至少以用户管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览到“标识”>“用户”>“所有用户”。
  3. 选择屏幕顶部的“新建用户”>“创建新用户”。
  4. 在“用户”属性中执行以下步骤：
    1. 在“显示名称”字段中输入 B.Simon。
    2. 在“用户主体名称”字段中，输入 username@companydomain.extension。 例如 B.Simon@contoso.com。
    3. 选中“显示密码”复选框，然后记下“密码”框中显示的值。
    4. 选择“查看 + 创建”。
  5. 选择“创建”。

分配 Microsoft Entra 测试用户

在本部分，你将通过授予 B.Simon 访问 Akamai 的权限，使其能够使用单一登录。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“Akamai”。
  3. 在应用的概述页面中，选择“用户和组”。
  4. 选择“添加用户/组”，然后在“添加分配”对话框中选择“用户和组” 。
    1. 在“用户和组”对话框中，从“用户”列表中选择“B.Simon”，然后单击屏幕底部的“选择”按钮。
    2. 如果你希望将某角色分配给用户，可以从“选择角色”下拉列表中选择该角色。 如果尚未为此应用设置任何角色，你将看到选择了“默认访问权限”角色。
    3. 在“添加分配”对话框中，单击“分配”按钮。

配置 Akamai SSO

设置 IDP

AKAMAI EAA IDP 配置

  1. 登录 Akamai Enterprise Application Access 控制台。

  2. 在 Akamai EAA 控制台上，选择“标识”>“标识提供者”，然后单击“添加标识提供者” 。

    Akamai EAA 控制台“标识提供者”窗口的屏幕截图。在“标识”菜单上选择“标识提供者”，然后选择“添加标识提供者”。

  3. 在“创建新的标识提供者”中执行以下步骤：

    a. 指定“唯一名称”。

    b. 选择“第三方 SAML”并单击“创建标识提供者并进行配置”。

常规设置

在“常规”选项卡中，输入以下信息：

  1. 标识截获 - 指定域的名称（SP 基 URL - 将用于 Microsoft Entra 配置）。

    注意

    可以选择使用自己的自定义域（需要 DNS 条目和证书）。 本示例将使用 Akamai 域。

  2. Akamai 云区域 - 选择适当的云区域。

  3. 证书验证 - 查看 Akamai 文档（可选）。

身份验证配置

  1. URL – 指定与标识截获相同的 URL（身份验证后用户将重定向到此 URL）。

  2. 注销 URL：更新注销 URL。

  3. 签名 SAML 请求：默认未选中。

  4. 对于“IDP 元数据文件”，请添加 Microsoft Entra ID 控制台中的应用程序。

    Akamai EAA 控制台身份验证配置的屏幕截图，其中显示了有关 URL、“注销 URL”、“对 SAML 请求进行签名”和 IDP 元数据文件的设置。

会话设置

将设置保留为默认值。

Akamai EAA 控制台的“会话设置”对话框的屏幕截图。

目录

在“目录”选项卡中，跳过目录配置。

自定义 UI

可将自定义添加到 IDP。 在“自定义”选项卡中，有“自定义 UI”、“语言设置”和“主题”的设置。

高级设置

在“高级设置”选项卡上，接受默认值。 有关更多详细信息，请参阅 Akamai 文档。

部署

  1. 在“部署”选项卡中，单击“部署标识提供者”。

  2. 验证部署是否成功。

基于标头的身份验证

基于 Akamai 标头的身份验证

  1. 从“添加应用程序向导”中选择“自定义 HTTP”。

    Akamai EAA 控制台“添加应用程序”向导的屏幕截图，其中显示了“访问应用”部分列出的 CustomHTTP。

  2. 输入应用程序名称和描述 。

    “自定义 HTTP 应用”对话框的屏幕截图，其中显示了有关“应用程序名称”和“说明”的设置。

    Akamai EAA 控制台“常规”选项卡的屏幕截图，其中显示了 MYHEADERAPP 的常规设置。

    Akamai EAA 控制台的屏幕截图，其中显示了有关“证书”和“位置”的设置。

身份验证

  1. 选择“身份验证”选项卡。

    屏幕截图，其中显示 Akamai EAA 控制台中处于选定状态的“身份验证”选项卡。

  2. 选择“分配标识提供者”。

服务

单击“保存并转到‘身份验证’”。

Akamai EAA 控制台中 MYHEADERAPP 的“服务”选项卡的屏幕截图，右下角显示了“保存并转到‘高级设置’”按钮。

高级设置

  1. 在“客户 HTTP 标头”下，指定“客户标头”和“SAML 属性”。

    Akamai EAA 控制台“高级设置”选项卡的屏幕截图，其中“身份验证”下突出显示了“SSO 注销 URL”字段。

  2. 单击“保存并转到‘部署’”按钮。

    Akamai EAA 控制台“高级设置”选项卡的屏幕截图，右下角显示了“保存并转到‘部署’”按钮。

部署应用程序

  1. 单击“部署应用程序”按钮。

    Akamai EAA 控制台“部署”选项卡的屏幕截图，其中显示了“部署应用程序”按钮。

  2. 验证是否已成功部署应用程序。

    Akamai EAA 控制台“部署”选项卡的屏幕截图，其中显示了应用程序状态消息：“应用程序已成功部署”。

  3. 最终用户体验。

    myapps.microsoft.com 的正在打开的屏幕的屏幕截图，其中显示了背景图像和登录对话框。

    显示了“应用”窗口的一部分的屏幕截图，其中包含与“加载项”、“HRWEB”、“Akamai - CorpApps”、“费用”、“组”和“访问评审”对应的图标。

  4. 条件访问。

    消息的屏幕截图：批准登录请求。我们已将通知发送到你的移动设备。请响应以继续。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp 的图标。

远程桌面

  1. 从“添加应用程序向导”中选择“RDP”。

    屏幕截图，其中显示 Akamai EAA 控制台“添加应用程序”向导中“访问应用”部分应用中列出的 RDP。

  2. 输入应用程序名称，例如“SecretRDPApp”。

  3. 选择一个说明，例如“使用 Microsoft Entra 条件访问保护 RDP 会话”。

  4. 指定提供服务的连接器。

    Akamai EAA 控制台的屏幕截图，其中显示了有关“证书”和“位置”的设置。关联的连接器设置为“USWST-CON1”。

身份验证

在“身份验证”选项卡中，单击“保存并转到服务”。

服务

单击“保存并转到‘高级设置’”。

Akamai EAA 控制台中 SECRETRDPAPP 的“服务”选项卡的屏幕截图，右下角显示了“保存并转到‘高级设置’”按钮。

高级设置

  1. 单击“保存并转到‘部署’”。

    Akamai EAA 控制台中 SECRETRDPAPP 的“高级设置”选项卡的屏幕截图，其中显示了“远程桌面配置”的设置。

    Akamai EAA 控制台中 SECRETRDPAPP 的“高级设置”选项卡的屏幕截图，其中显示了有关“身份验证”和“运行状况检查配置”的设置。

    Akamai EAA 控制台中 SECRETRDPAPP 的“自定义 HTTP 标头设置”的屏幕截图，右下角显示了“保存并转到‘部署’”按钮。

  2. 最终用户体验

    myapps.microsoft.com 窗口的屏幕截图，其中显示了背景图像和登录对话框。

    myapps.microsoft.com 的“应用”窗口的屏幕截图，其中包含与“加载项”、“HRWEB”、“Akamai - CorpApps”、“费用”、“组”和“访问评审”对应的图标。

  3. 条件性访问

    条件访问消息的屏幕截图：批准登录请求。我们已将通知发送到你的移动设备。请响应以继续。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp 和 SecretRDPApp 的图标。

    Windows Server 2012 RS 屏幕的屏幕截图，其中显示了通用的用户图标。与管理员、user0 和 user1 对应的图标表明他们已登录。

  4. 此外，也可直接键入 RDP 应用程序 URL。

SSH

  1. 转到“添加应用程序”，然后选择“SSH”。

    屏幕截图，其中显示 Akamai EAA 控制台“添加应用程序”向导中“访问应用”部分应用中列出的 SSH。

  2. 输入应用程序名称和说明，例如“Microsoft Entra 新式身份验证到 SSH”。

  3. 配置应用程序标识。

    a. 指定“名称”/“说明”。

    b. 指定用于 SSH 连接的应用程序服务器 IP/FQDN 和端口。

    c. 指定“SSH 用户名”/“通行短语”*请检查 Akamai EAA。

    d. 指定“外部主机名”。

    e. 指定“连接器位置”，并选择连接器。

身份验证

在“身份验证”选项卡中，单击“保存并转到服务”。

服务

单击“保存并转到‘高级设置’”。

Akamai EAA 控制台中 SSH-SECURE 的“服务”选项卡的屏幕截图，右下角显示了“保存并转到‘高级设置’”按钮。

高级设置

单击“保存并转到‘部署’”。

Akamai EAA 控制台中 SSH-SECURE 的“高级设置”选项卡的屏幕截图，其中显示了有关“身份验证”和“运行状况检查配置”的设置。

Akamai EAA 控制台中 SSH-SECURE 的“自定义 HTTP 标头设置”的屏幕截图，右下角显示了“保存并转到‘部署’”按钮。

部署

  1. 单击“部署应用程序”。

    Akamai EAA 控制台中 SSH-SECURE 的“部署”选项卡的屏幕截图，其中显示了“部署应用程序”按钮。

  2. 最终用户体验

    myapps.microsoft.com 窗口“登录”对话框的屏幕截图。

    myapps.microsoft.com 的“应用”窗口的屏幕截图，其中显示了与“加载项”、“HRWEB”、“Akamai - CorpApps”、“费用”、“组”和“访问评审”对应的图标。

  3. 条件性访问

    显示消息的屏幕截图：批准登录请求。我们已将通知发送到你的移动设备。请响应以继续。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp、SSH Secure 和 SecretRDPApp 的图标。

    ssh-secure-go.akamai-access.com 的命令窗口的屏幕截图，其中显示了一个密码提示。

    ssh-secure-go.akamai-access.com 的命令窗口的屏幕截图，其中显示了有关应用程序的信息并显示了命令提示。

Kerberos 身份验证

在下面的示例中，我们将使用 KCD 在 http://frp-app1.superdemo.live 发布内部 Web 服务器并启用 SSO。

“常规”选项卡

Akamai EAA 控制台中 MYKERBOROSAPP 的“常规”选项卡的屏幕截图。

“身份验证”标签页

在“身份验证”选项卡中，分配标识提供者。

“服务”选项卡

Akamai EAA 控制台中 MYKERBOROSAPP 的“服务”选项卡的屏幕截图。

高级设置

Akamai EAA 控制台中 MYKERBOROSAPP 的“高级设置”选项卡的屏幕截图，其中显示了“相关应用程序”和“身份验证”的设置。

注意

Web 服务器的 SPN 的格式为 SPN@Domain，例如本演示中的 HTTP/frp-app1.superdemo.live@SUPERDEMO.LIVE。 将其余设置保留为默认值。

“部署”选项卡

Akamai EAA 控制台中 MYKERBOROSAPP 的“部署”选项卡的屏幕截图，其中显示了“部署应用程序”按钮。

添加目录

  1. 从下拉列表中选择“AD”。

    Akamai EAA 控制台“目录”窗口的屏幕截图，其中显示了“创建新目录”对话框，并且在“目录类型”的下拉框中选择了“AD”。

  2. 提供必要的数据。

    Akamai EAA 控制台 SUPERDEMOLIVE 窗口的屏幕截图，其中显示了“目录名称”、“目录服务”、“连接器”和“属性映射”的设置。

  3. 验证目录创建情况。

    Akamai EAA 控制台“目录”窗口的屏幕截图，其中显示已添加了目录 superdemo.live。

  4. 添加需要访问的组/OU。

    目录 superdemo.live 的设置的屏幕截图。你为“添加组或 OU”选择的图标突出显示。

  5. 下面的组名为 EAAGroup，有 1 个成员。

    屏幕截图，其中显示 Akamai EAA 控制台“SUPERDEMOLIVE 目录中的组”窗口。“组”下列出了包含 1 个用户的 EAAGroup。

  6. 通过单击“标识”>“标识提供者”将目录添加到标识提供者，然后单击“目录”选项卡并单击“分配目录”。

为 EAA 演练配置 KCD 委派

步骤 1：创建帐户

  1. 在本示例中，我们将使用名为 EAADelegation 的帐户。 可使用 Active Directory 用户和计算机管理单元执行此操作。

    注意

    用户名必须采用特定格式，根据标识截获名称而定。 从图 1 中可看出它是 corpapps.login.go.akamai-access.com

  2. 用户登录名将为：HTTP/corpapps.login.go.akamai-access.com

    其中显示了 EAADelegation 属性的屏幕截图，“名字”设置为“EAADelegation”，“用户登录名”设置为 HTTP/corpapps.login.go.akamai-access.com。

步骤 2：为此帐户配置 SPN

  1. 根据此示例，SPN 将如下所示。

  2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

    管理员命令提示符的屏幕截图，其中显示了命令 setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation 的结果。

步骤 3：配置委派

  1. 对于 EAADelegation 帐户，请单击“委派”选项卡。

    管理员命令提示符的屏幕截图，其中显示了用于配置 SPN 的命令。

    • 指定使用任意身份验证协议。
    • 单击“添加”，然后添加 Kerberos 网站的应用池帐户。 如果配置正确，应自动解析为正确的 SPN。

步骤 4：为 AKAMAI EAA 创建 Keytab 文件

  1. 下面是通用语法。

  2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

  3. 示例说明

    片段 说明
    Ktpass /out EAADemo.keytab // 输出 Keytab 文件的名称
    /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live // HTTP/yourIDPName@YourdomainName
    /mapuser eaadelegation@superdemo.live // EAA 委派帐户
    /pass RANDOMPASS // EAA 委派帐户密码
    /crypto All ptype KRB5_NT_PRINCIPAL // 查阅 Akamai EAA 文档

  4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

    管理员命令提示符的屏幕截图，其中显示了用于为 AKAMAI EAA 创建密钥表文件的命令的结果。

步骤 5：在 AKAMAI EAA 控制台中导入 Keytab

  1. 单击“系统”>“Keytab” 。

    Akamai EAA 控制台的屏幕截图，其中显示了要从“系统”菜单中选择的密钥表。

  2. 在 Keytab 类型中，选择“Kerberos 委派”。

    Akamai EAA 控制台 EAAKEYTAB 屏幕的屏幕截图，其中显示了密钥表设置。“密钥表类型”设置为“Kerberos 委派”。

  3. 确保 Keytab 显示为“已部署且已验证”。

    Akamai EAA 控制台“密钥表”屏幕的屏幕截图，其中 EAA 密钥表列为“已部署并验证的密钥表”。

  4. 用户体验

    myapps.microsoft.com 中的“登录”对话框的屏幕截图。

    myapps.microsoft.com 的“应用”窗口的屏幕截图，其中显示了应用图标。

  5. 条件性访问

    显示了“批准登录请求”消息的屏幕截图。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp、SSH Secure、SecretRDPApp 和 myKerberosApp 的图标。

    myKerberosApp 的初始屏幕的屏幕截图。背景图像上显示了消息“欢迎 superdemo\user1”。

创建 Akamai 测试用户

在本部分，你将在 Akamai 中创建名为 B.Simon 的用户。 请与 Akamai 客户端支持团队协作来在 Akamai 平台中添加用户。 使用单一登录前，必须先创建并激活用户。

测试 SSO

在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置。

  • 单击“测试此应用程序”，你应当会自动登录到为其设置了 SSO 的 Akamai。

  • 你可使用 Microsoft 的“我的应用”。 在“我的应用”中单击“Akamai”磁贴时，你应该会自动登录到为其设置了 SSO 的 Akamai。 有关“我的应用”的详细信息，请参阅“我的应用”简介。

后续步骤

在配置 Akamai 后，即可强制实施会话控制，从而实时防止组织的敏感数据遭到外泄和渗透。 会话控制从条件访问扩展而来。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。