Distribuera appkontroll för villkorsstyrd åtkomst för alla webbappar med hjälp av Active Directory Federation Services (ADFS) (AD FS) som identitetsleverantör (IdP)

Du kan konfigurera sessionskontroller i Microsoft Defender for Cloud Apps så att de fungerar med alla webbappar och andra IdP:er som inte kommer från Microsoft. Den här artikeln beskriver hur du dirigerar appsessioner från AD FS till Defender for Cloud Apps för sessionskontroller i realtid.

I den här artikeln använder vi Salesforce-appen som ett exempel på en webbapp som konfigureras för att använda Defender for Cloud Apps sessionskontroller.

Förhandskrav

• Din organisation måste ha följande för kontroll av villkorad åtkomst till appen:

  • En förkonfigurerad miljö för Active Directory Federation Services (ADFS) (AD FS)
  • En Microsoft Defender for Cloud Apps-licens

• En befintlig AD FS single sign-on-setup för appen som använder SAML 2.0

Konfigurera sessionskontroller för din app med hjälp av AD FS som IdP

Använd följande steg för att dirigera dina webbappsessioner från AD FS till Defender for Cloud Apps.

Steg 1: Hämta appens SAML-inställningar för enkel inloggning

Steg 2: Konfigurera Defender for Cloud Apps med din apps SAML-information

Steg 3: Skapa en ny förtroenderelation för förlitande part i AD FS och konfiguration av enkel inloggning för appen.

Steg 4: Konfigurera Defender for Cloud Apps med AD FS-appens information

Steg 5: Slutför konfigurationen av förtroendet för förlitande part i AD FS

Steg 6: Hämta appändringarna i Defender for Cloud Apps

Steg 7: Slutför appändringarna

Steg 8: Slutför konfigurationen i Defender for Cloud Apps

Steg 1: Hämta appens SAML-inställningar för enkel inloggning

Använd följande steg för att samla in appens aktuella SAML-inställningar för enkel inloggning.

1. I Salesforce går du till Setup>Inställningar>Identitet>Inställningar för enkel inloggning.

2. Under Single Sign-On Settings klickar du på namnet på din befintliga AD FS-konfiguration.

   

3. På sidan Inställning för enkel inloggning med SAML antecknar du Salesforce-inloggnings-URL:en. Du behöver detta senare när du konfigurerar Defender for Cloud Apps.

   Obs!

   Om din app tillhandahåller ett SAML-certifikat laddar du ned certifikatfilen.

   

Steg 2: Konfigurera Defender for Cloud Apps med din apps SAML-information

Använd följande steg för att lägga till appen i Defender for Cloud Apps och ange dess SAML-information.

1. I Microsoft Defender-portalen väljer du Inställningar. Välj sedan Cloud Apps.

2. Under Anslutna appar väljer du Appkontrollappar för villkorsstyrd åtkomst.

3. Välj +Lägg till. I popup-fönstret väljer du den app som du vill distribuera och väljer sedan Starta guiden.

4. På sidan APPINFORMATION väljer du Fyll i data manuellt. I URL:en för konsumenttjänsten för försäkran anger du den Salesforce-inloggnings-URL som du antecknade tidigare och klickar sedan på Nästa.

   Obs!

   Om din app tillhandahåller ett SAML-certifikat väljer du Använd <app_name> SAML-certifikat och laddar upp certifikatfilen.

   

Steg 3: Skapa ett nytt AD FS-förtroende för förlitande part och en ny appkonfiguration för enkel inloggning

1. I AD FS-hanteringskonsolen , under Förtroenden för förlitande part, visar du egenskaperna för ditt befintliga förlitande partsförtroende för din app och noterar inställningarna.

2. Under Åtgärder klickar du på Lägg till förlitande partsförtroende. Förutom identifierarvärdet som måste vara ett unikt namn konfigurerar du det nya förtroendet med de inställningar som du antecknade tidigare. Du behöver det här förtroendet senare när du konfigurerar Defender for Cloud Apps.

3. Öppna federationens metadatafil och notera AD FS SingleSignOnService Location. Du behöver det senare.

   Obs!

   Du kan använda följande slutpunkt för att komma åt federationsmetadatafilen: https://<Your_Domain>/federationmetadata/2007-06/federationmetadata.xml

   

4. Ladda ned identitetsproviderns signeringscertifikat. Du behöver det senare.

   1. Under Tjänstecertifikat>högerklickar du på AD FS-signeringscertifikatet och väljer sedan Visa certifikat.

      

   2. På informationsfliken för certifikatet klickar du på Kopiera till fil och följer stegen i guiden Exportera certifikat för att exportera certifikatet som en Base-64-kodad X.509 (. CER-fil .

      

5. När du är tillbaka i Salesforce, på den befintliga sidan med inställningar för enkel inloggning med AD FS, antecknar du alla inställningar.

6. Skapa en ny SAML-konfiguration för enkel inloggning. Förutom värdet för entitets-ID som måste matcha den förlitande partens förtroendeidentifierare konfigurerar du enkel inloggning med de inställningar som du antecknade tidigare. Du behöver detta senare när du konfigurerar Defender for Cloud Apps.

Steg 4: Konfigurera Defender for Cloud Apps med AD FS-appens information

Använd de AD FS-värden som du samlade in för att slutföra konfigurationen av identitetsleverantören i Defender for Cloud Apps.

1. Gå tillbaka till sidan Defender for Cloud Apps IDENTITY PROVIDER och klicka på Nästa för att fortsätta.

2. På informationssidan IDENTITETSPROVIDER väljer du Fyll i data manuellt, gör följande och klickar sedan på Nästa.

   • För URL:en för Single sign-on service, ange AD FS SingleSignOnService-platsen som du angav från federationsmetadatafilen i steg 3.
   • Välj Ladda upp identitetsproviderns SAML-certifikat och ladda upp certifikatfilen som du laddade ned tidigare.

   

3. På sidan EXTERN KONFIGURATION antecknar du följande information och klickar sedan på Nästa. Du behöver den enkla inloggnings-URL:en samt attribut och värden när du konfigurerar AD FS med tillit till parten och uppdaterar appen.

   • Defender for Cloud Apps url för enkel inloggning
   • Defender for Cloud Apps attribut och värden

   Obs!

   Om du ser ett alternativ för att ladda upp Defender for Cloud Apps SAML-certifikat för identitetsprovidern klickar du på länken för att ladda ned certifikatfilen. Du behöver det senare.

   

Steg 5: Slutför konfigurationen av AD FS-förtroende för förlitande part

Utför följande steg för att uppdatera förtroendet för den förlitande parten i AD FS med de nödvändiga anspråksreglerna och certifikatinställningarna.

1. Tillbaka i AD FS-hanteringskonsolen högerklickar du på det förlitande partförtroendet som du skapade tidigare och väljer sedan Redigera anspråksutfärdandeprincip.

   

2. I dialogrutan Redigera princip för utfärdande av anspråk, under Transformeringsregler för utfärdande, använder du informationen som anges i följande tabell för att utföra stegen för att skapa anpassade regler.

   Anspråksregelnamn	Anpassad regel
   McasSigningCert	=> issue(type="McasSigningCert", value="<value>");där <value> är McasSigningCert-värdet från Defender for Cloud Apps guiden som du antecknade tidigare
   McasAppId	=> issue(type="McasAppId", value="<value>"); är McasAppId-värdet från Defender for Cloud Apps-guiden som du noterade tidigare

   1. Klicka på Lägg till regel. Under Anspråksregelmall väljer du Skicka anspråk med hjälp av en anpassad regel och klickar sedan på Nästa.
   2. På sidan Konfigurera regel anger du respektive anspråksregelnamn och anpassad regel .

   Obs!

   Dessa regler är utöver eventuella anspråksregler eller attribut som krävs av den app som du konfigurerar.

3. Tillbaka på sidan Förtroende för förlitande part högerklickar du på det förlitande partförtroendet som du skapade tidigare och väljer sedan Egenskaper.

4. På fliken Slutpunkter väljer du SAML-slutpunkt för försäkran, klickar på Redigera och ersätter den betrodda URL:en med den Defender for Cloud Apps url för enkel inloggning som du antecknade tidigare och klickar sedan på OK.

   

5. Om du har laddat ned ett Defender for Cloud Apps SAML-certifikat för identitetsprovidern klickar du på Lägg till och ladda upp certifikatfilen på fliken Signatur och klickar sedan på OK.

   

6. Spara dina inställningar.

Steg 6: Hämta appändringarna i Defender for Cloud Apps

Gå tillbaka till sidan Defender for Cloud Apps APPÄNDRINGAR, gör följande, men klicka inte på Slutför. Du behöver informationen senare.

• Kopiera url:en för enkel inloggning med Defender for Cloud Apps SAML
• Ladda ned saml-certifikatet för Defender for Cloud Apps

Steg 7: Slutför appändringarna

I Salesforce går du till Konfigurera>Inställningar>Identitet>Inställningar för enkel inloggning, och gör följande:

1. Rekommenderas: Skapa en säkerhetskopia av dina aktuella inställningar.

2. Ersätt fältet Inloggnings-URL för identitetsprovider med den Defender for Cloud Apps URL för enkel inloggning med SAML som du antecknade tidigare.

3. Ladda upp det Defender for Cloud Apps SAML-certifikat som du laddade ned tidigare.

4. Klicka på Spara.

   Obs!

   SAML-certifikatet för Defender for Cloud Apps är giltigt i ett år. När det upphör att gälla måste ett nytt certifikat genereras.

Steg 8: Slutför konfigurationen i Defender for Cloud Apps

Slutför guiden för att aktivera routning via appkontroll för villkorsstyrd åtkomst.

• Gå tillbaka till sidan Defender for Cloud Apps APPÄNDRINGAR och klicka på Slutför. Efter att guiden har slutförts kommer alla associerade inloggningsförfrågningar till den konfigurerade appen att skickas via Conditional Access App Control.

Relaterat innehåll

Om du stöter på problem är vi här för att hjälpa till. Om du vill ha hjälp eller support för ditt produktproblem öppnar du ett supportärende.