App-beheer voor voorwaardelijke toegang implementeren voor elke web-app met PingOne als id-provider (IdP)

U kunt sessiebesturingselementen configureren in Microsoft Defender for Cloud Apps om te werken met elke web-app en elke niet-Microsoft IdP. In dit artikel wordt beschreven hoe u app-sessies van PingOne naar Defender for Cloud Apps routert voor realtime sessiebesturingselementen.

In dit artikel gebruiken we de Salesforce-app als voorbeeld van een web-app die wordt geconfigureerd voor het gebruik van Defender for Cloud Apps sessiebesturingselementen. Als u andere apps wilt configureren, moet u dezelfde stappen uitvoeren op basis van hun vereisten.

Vereisten

  • Uw organisatie moet de volgende licenties hebben om app-beheer voor voorwaardelijke toegang te kunnen gebruiken:

    • Een relevante PingOne-licentie (vereist voor eenmalige aanmelding)
    • Microsoft Defender voor Cloud-apps

  • Een bestaande pingOne-configuratie voor eenmalige aanmelding voor de app met behulp van het SAML 2.0-verificatieprotocol

Sessiebesturingselementen voor uw app configureren met PingOne als idP

Gebruik de volgende stappen om uw web-app-sessies van PingOne naar Defender for Cloud Apps te routeren.

Opmerking

U kunt de SAML-gegevens voor eenmalige aanmelding van de app configureren die door PingOne worden verstrekt met behulp van een van de volgende methoden:

  • Optie 1: het SAML-metagegevensbestand van de app uploaden.
  • Optie 2: handmatig de SAML-gegevens van de app opgeven.

In de volgende stappen gebruiken we optie 2.

Stap 1: de SAML-instellingen voor eenmalige aanmelding van uw app ophalen

Stap 2: Defender for Cloud Apps configureren met de SAML-gegevens van uw app

Stap 3: een aangepaste app maken in PingOne

Stap 4: Defender for Cloud Apps configureren met de informatie van de PingOne-app

Stap 5: De aangepaste app in PingOne voltooien

Stap 6: De app-wijzigingen ophalen in Defender for Cloud Apps

Stap 7: de app-wijzigingen voltooien

Stap 8: Voltooi de configuratie in Defender for Cloud Apps

Stap 1: de SAML-instellingen voor eenmalige aanmelding van uw app ophalen

Gebruik de volgende stappen om de bestaande SAML-instellingen voor eenmalige aanmelding van uw app te vinden in Salesforce.

  1. Blader in Salesforce naar Instellingen>Instellingen>Identiteit>Instellingen voor eenmalige aanmelding.

  2. Selecteer onder Instellingen voor één Sign-On de naam van uw bestaande SAML 2.0-configuratie.

    Schermopname van de pagina Instellingen voor Salesforce Single Sign-On met de SAML 2.0-configuratie geselecteerd.

  3. Noteer op de pagina SAML Single Sign-On Setting de Aanmeldings-URL van Salesforce. U hebt deze later nodig.

    Opmerking

    Als uw app een SAML-certificaat levert, downloadt u het certificaatbestand.

    Schermopname van de pagina Voor het instellen van Salesforce SAML Single Sign-On met de aanmeldings-URL.

Stap 2: Defender for Cloud Apps configureren met de SAML-gegevens van uw app

Gebruik de volgende stappen om de SAML-gegevens van uw app toe te voegen aan Defender for Cloud Apps.

  1. Selecteer instellingen in de Microsoft Defender Portal. Kies vervolgens Cloud-apps.

  2. Selecteer onder Verbonden apps de optie Apps voor app-beheer voor voorwaardelijke toegang.

  3. Selecteer +Toevoegen, selecteer in het pop-upvenster de app die u wilt implementeren en selecteer vervolgens Wizard starten.

  4. Selecteer op de pagina APP-INFORMATIEde optie Gegevens handmatig invullen, voer in de URL van assertion consumer service de Aanmeldings-URL van Salesforce in die u eerder hebt genoteerd en selecteer volgende.

    Opmerking

    Als uw app een SAML-certificaat levert, selecteert u App_name< SAML-certificaat gebruiken > en uploadt u het certificaatbestand.

    Schermopname van de pagina APP-INFORMATIE met handmatige SAML-configuratie voor de Salesforce-app.

Stap 3: een aangepaste app maken in PingOne

Voordat u verdergaat, voert u de volgende stappen uit om informatie op te halen uit uw bestaande Salesforce-app.

  1. Bewerk in PingOne uw bestaande Salesforce-app.

  2. Noteer op de pagina SSO-kenmerktoewijzing het kenmerk SAML_SUBJECT en de bijbehorende waarde, en download vervolgens de bestanden Ondertekeningscertificaat en SAML-metagegevens.

    Schermopname van de pagina met SSO-kenmerktoewijzingen van de bestaande Salesforce-app, met de te kopiëren kenmerken.

  3. Open het SAML-metagegevensbestand en noteer de PingOne SingleSignOnService-locatie. U hebt deze later nodig.

    Schermopname van de bestaande SAML-metagegevens van de Salesforce-app met de locatiewaarde SingleSignOnService.

  4. Noteer de toegewezen groepen op de pagina Groepstoegang .

    Schermopname van de bestaande pagina Groepstoegang voor Salesforce-apps met de toegewezen groepen.

Gebruik vervolgens de instructies op de pagina Een SAML-toepassing toevoegen met uw id-provider om een aangepaste app te configureren in de portal van uw IdP.

Schermopname van de installatiepagina van de id-provider voor het handmatig toevoegen van een SAML-toepassing.

Opmerking

Als u een aangepaste app configureert, kunt u de bestaande app testen met toegangs- en sessiebesturingselementen zonder het huidige gedrag voor uw organisatie te wijzigen.

  1. Maak een nieuwe SAML-toepassing.

    Schermopname van de PingOne-pagina voor het maken van een nieuwe aangepaste Salesforce SAML-toepassing.

  2. Vul op de pagina Toepassingsdetails het formulier in en selecteer vervolgens Doorgaan naar volgende stap.

    Tip

    Gebruik een app-naam waarmee u onderscheid kunt maken tussen de aangepaste app en de bestaande Salesforce-app.

    Schermopname van het formulier toepassingsdetails van de aangepaste Salesforce-app in PingOne.

  3. Ga op de pagina Toepassingsconfiguratie als volgt te werk en selecteer vervolgens Doorgaan naar volgende stap.

    • Voer in het veld Assertion Consumer Service (ACS) de Aanmeldings-URL van Salesforce in die u eerder hebt genoteerd.
    • Voer in het veld Entiteits-id een unieke id in die begint met https://. Zorg ervoor dat dit verschilt van de configuratie van de afsluitende Salesforce PingOne-app.
    • Noteer de entiteits-id. U hebt deze later nodig.

    Schermopname van de pagina toepassingsconfiguratie van de aangepaste Salesforce-app met SAML-gegevens ingevoerd.

  4. Voeg op de pagina SSO-kenmerktoewijzing het kenmerk SAML_SUBJECT en de waarde van de bestaande Salesforce-app toe die u eerder hebt genoteerd, en selecteer vervolgens Doorgaan naar volgende stap.

    Schermopname van de pagina voor SSO-kenmerktoewijzing van de aangepaste Salesforce-app, waar kenmerken worden toegevoegd.

  5. Voeg op de pagina Groepstoegang de bestaande groepen van de Salesforce-app toe die u eerder hebt genoteerd en voltooi de configuratie.

    Schermopname van de aangepaste pagina Groepstoegang voor Salesforce-apps met groepen die zijn toegewezen in PingOne.

Stap 4: Defender for Cloud Apps configureren met de informatie van de PingOne-app

Voer de volgende stappen uit om de details van de PingOne-app in Defender for Cloud Apps in te voeren.

  1. Ga terug naar de pagina Defender for Cloud Apps ID-PROVIDER en selecteer Volgende om door te gaan.

  2. Selecteer op de volgende pagina Gegevens handmatig invullen, ga als volgt te werk en selecteer volgende.

    • Voer voor de URL van assertion consumer service de Aanmeldings-URL van Salesforce in die u eerder hebt genoteerd.
    • Selecteer HET SAML-certificaat van de id-provider uploaden en upload het certificaatbestand dat u eerder hebt gedownload.

    Schermopname van de pagina Defender for Cloud Apps id-provider met de SSO-service-URL en SAML-certificaatvelden.

  3. Noteer op de volgende pagina de volgende informatie en selecteer Volgende. U hebt de informatie later nodig.

    • URL voor eenmalige aanmelding Defender for Cloud Apps
    • kenmerken en waarden Defender for Cloud Apps

    Schermopname van de pagina Defender for Cloud Apps met de SSO-URL en SAML-kenmerken die moeten worden gekopieerd.

Stap 5: De aangepaste app in PingOne voltooien

Gebruik de volgende stappen om de aangepaste app-configuratie in PingOne te voltooien.

  1. Zoek en bewerk in PingOne de aangepaste Salesforce-app.

    Schermopname van de lijst met PingOne-apps met de aangepaste Salesforce-app geselecteerd voor bewerken.

  2. Vervang in het veld Assertion Consumer Service (ACS) de URL door de Defender for Cloud Apps URL voor eenmalige aanmelding die u eerder hebt genoteerd en selecteer volgende.

    Schermopname van de aangepaste SAML-instellingen van de Salesforce-app, waarbij de ACS-URL is vervangen.

  3. Voeg de Defender for Cloud Apps kenmerken en waarden toe die u eerder hebt genoteerd aan de eigenschappen van de app.

    Schermopname van de kenmerktoewijzing van de aangepaste Salesforce-app met toegevoegde Defender for Cloud Apps-kenmerken.

  4. Sla de instellingen op.

Stap 6: De app-wijzigingen ophalen in Defender for Cloud Apps

Ga in de wizard Defender for Cloud Apps op de pagina APP-WIJZIGINGEN als volgt te werk, maar selecteer Voltooien niet. U hebt de informatie later nodig.

  • De URL voor eenmalige aanmelding van Defender for Cloud Apps SAML kopiëren
  • Het Defender for Cloud Apps SAML-certificaat downloaden

Schermopname van de pagina Defender for Cloud Apps APP CHANGES met de SAML SSO-URL en de optie voor het downloaden van certificaten.

Stap 7: de app-wijzigingen voltooien

Blader in Salesforce naar Setup>Settings>Identity>Single Sign-On Settings en doe het volgende:

  1. Aanbevolen: maak een back-up van uw huidige instellingen.

  2. Vervang de veldwaarde aanmeldings-URL van id-provider door de url Defender for Cloud Apps SAML-url voor eenmalige aanmelding die u eerder hebt genoteerd.

    Opmerking

    Het Defender for Cloud Apps SAML-certificaat is één jaar geldig. Nadat het is verlopen, moet er een nieuw certificaat worden gegenereerd.

  3. Upload het Defender for Cloud Apps SAML-certificaat dat u eerder hebt gedownload.

  4. Vervang de waarde van het veld Entiteits-id door de aangepaste pingOne-app-entiteits-id die u eerder hebt genoteerd.

  5. Klik op Opslaan.

    Opmerking

    Het Defender for Cloud Apps SAML-certificaat is één jaar geldig. Nadat het is verlopen, moet er een nieuw certificaat worden gegenereerd.

    Schermafbeelding van de Salesforce SSO-instellingen, bijgewerkt met de SAML-gegevens van Defender for Cloud Apps.

Stap 8: voltooi de configuratie in Defender for Cloud Apps

Voltooi de laatste stap in de wizard Defender for Cloud Apps om de configuratie te voltooien.

  • Ga in Defender for Cloud Apps terug naar de pagina APP-WIJZIGINGEN en selecteer Voltooien. Nadat de wizard is voltooid, worden alle bijbehorende aanmeldingsaanvragen voor deze app doorgestuurd via app-beheer voor voorwaardelijke toegang.

Verwante onderwerpen

« VORIGE: App-beheer voor voorwaardelijke toegang implementeren voor alle apps

Inleiding tot app-beheer voor voorwaardelijke toegang

Problemen met toegangs- en sessiebesturingselementen oplossen

Als u problemen ondervindt, zijn wij er om u te helpen. Open een ondersteuningsticket om hulp of ondersteuning te krijgen voor uw productprobleem.

  • Last updated on