تكوين مصادقة SAML SSO الخارجية باستخدام AD FS ل ESA و SMA

المقدمة

يصف هذا المستند كيفية تكوين خدمات إتحاد Active Directory كموفر هوية SAML للمصادقة الخارجية على Cisco ESA و SMA.

المتطلبات الأساسية

يقدم هذا المستند طريقة عرض لتطبيق الطرف الخارجي لا يمكن للمهندسين رؤيته بطريقة أخرى.

• خطوات التكوين الخاصة بالمصادقة الخارجية للغة تمييز تأكيد الأمان (SAML) باستخدام خدمات إتحاد خدمة Active Directory (AD FS) لعامي 2012 و 2016 لأجهزة أمان البريد الإلكتروني من Cisco (ESA) وأحدث إصدارات جهاز إدارة الأمان (SMA).
• الخطوات الأساسية المستندة إلى المختبرات التي لا تتضمن تكوينات متخصصة خاصة بعملية النشر.
• مثال عملي من بيئة معملية قد يختلف عن نشر الإنتاج.

تحذير: أكمل تكوين مزود الخدمة (SP) قبل هذا الإجراء. راجع .

المتطلبات

• خدمات إتحاد Microsoft Active Directory (AD FS) 2012 أو 2016
• أحدث إصدار من Cisco Email Security Appliance (ESA) وجهاز إدارة الأمان (SMA).

المكونات المستخدمة

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

خطوات تكوين ADFS IDP ل SAML

تكوين ثقة طرف الاعتماد

أستخدم أحد خيارين لإنشاء ثقة الطرف المعول في AD FS.

الطريقة أ: إنشاء ثقة الطرف المعول عن طريق إستيراد بيانات تعريف SP

1. افتح وحدة تحكم إدارة AD FS من أدوات إدارية.
2. في وحدة تحكم إدارة AD FS، قم بتوسيع العلاقات الموثوق بها، وانقر بزر الماوس الأيمن فوق ثقة الطرف المعول، ثم حدد إضافة ثقة الطرف المعول.

     إضافة ثقة طرف الاعتماد

تلميح: صناديق ثقة جهة الاعتماد على Microsoft

قم بالمتابعة باستخدام أحد الخيارين التاليين:

• الخيار أ: إستيراد بيانات عن الطرف المعول من ملف. قم بتحميل ملف ESA أو SMA Service provider (SP) metadata.xml.
• الخيار ب: أدخل بيانات عن الطرف المعتمد يدويا. يرشدك هذا الخيار خلال التكوين اليدوي.

الخيار أ: إستيراد بيانات عن الطرف المعول من ملف. قم بتحميل ملف بيانات تعريف ESA أو موفر خدمة SMA (SP).xml.

1. حدد الخيار لاستيراد بيانات عن الطرف المعول من ملف، ثم حدد التالي.

إستيراد ملف بيانات التعريف ESA/SMA

• حدد اسم عرض لتعريف ثقة الطرف المعول هذه، ثم حدد التالي مرتين.
• بالنسبة لقواعد تخويل الإصدار، حدد السماح لجميع المستخدمين، ثم حدد التالي.
• في صفحة جاهز لإضافة ثقة، اقبل الإعدادات الافتراضية، ثم حدد التالي.
• حدد إنهاء. وهذا يفتح حوار تحرير قواعد المطالبة لثقة الطرف المعول، التي تغطيها قواعد تحويل الإصدار - المطالبات.

خصائص ثقة طرف الاعتماد - نقاط النهاية

لا تقم بهذه الخطوة إلا إذا كانت هناك عدة وحدات ESA موجودة في نظام مجموعة.

1. فتح خصائص ثقة طرف الاعتماد > نقاط النهاية.
2. قم بإضافة كل عنوان URL قابل للوصول إلى ESA، ثم حدد موافق.
3. تعد قيم الفهرس من 0، أي 0، 1، 2، و 3.
4. قم بتعيين إدخال واحد فقط إلى الافتراضي = نعم.
5. قم بتعيين الإدخالات المتبقية إلى الافتراضي = لا.

خصائص ثقة طرف الاعتماد - نقاط النهاية

الخيار ب: أدخل بيانات عن الطرف المعتمد يدويا. يرشدك هذا الخيار خلال التكوين اليدوي.

1. حدد إدخال بيانات عن الطرف المعتمد يدويا.

    إضافة جهة الاعتماد يدويا

تلميح: اسم العرض هو الاسم الذي تختاره لتعريف ثقة الطرف المعول ل ESA أو SMA SAML.

  

1. أدخل اسم العرض لمزود الخدمة، على سبيل المثال، ESA_SP.

   إنشاء اسم لملف تعريف مزود الخدمة
  

تلميح: دور قواعد المطالبة وقواعد تحويل الإصدار

1. أختر خيار ملف التخصيص ملف تخصيص AD FS.

خيار ملف تعريف AD FS لاستخدام SAML 2.0

1. قم بتحميل الشهادة العامة من تكوين مزود خدمة ESA (SP).
2. لتكوين عنوان URL، أختر تمكين دعم تسجيل الدخول الأحادي ل SAML 2.0 (SSO).
3. أدخل عنوان URL لخدمة SSO للجهة المعولة SAML 2.0 مع قيمة معرف كيان ملف تعريف SP.

قواعد تفويض الإصدار - - السماح لجميع المستخدمين

1. بالنسبة لقواعد تخويل الإصدار، أختر السماح لجميع المستخدمين بالوصول إلى جهة الاعتماد هذه.

إختيار قواعد تخويل الإصدار

1. حدد التالي للنقل إلى صفحة الانتهاء.

تكوين نقاط نهاية ثقة الأطراف المعتمدة (المجموعات فقط)

لا تقم بهذه الخطوة إلا إذا كانت هناك عدة وحدات ESA موجودة في نظام مجموعة.

1. فتح خصائص ثقة طرف الاعتماد > نقاط النهاية.
2. قم بإضافة كل عنوان URL قابل للوصول إليه ل ESA، ثم انقر فوق موافق.
3. تعيين قيم فهرس نقطة النهاية التي تبدأ من 0 (على سبيل المثال، 0 و 1 و 2 و 3).
4. قم بتعيين نقطة نهاية واحدة فقط إلى الافتراضي = نعم. تعيين نقاط النهاية المتبقية على الافتراضي = لا

قواعد تفويض الإصدار - السماح لجميع المستخدمين

• تبدأ خطوة النهاية مربع الحوار تحرير قواعد المطالبة لثقة الطرف المعول، المغطاة في قواعد تحويل الإصدار.

قواعد تحويل الإصدار - المطالبات

• حدد تحرير سياسة إصدار المطالبات.

تحرير سياسة إصدار المطالبات

• حدد إضافة قاعدة.

إضافة قاعدة تحويل الإصدار

القيم الموضحة هنا هي قيم مشتركة تسمح ل ESA بملء أسماء المجموعات في إعدادات المصادقة الخارجية.

تلميح: يمكن أن تختلف القيم في الترجمة بناء على تفضيلات المسئول.

تلميح: في العينة المدرجة، أدخل أنواع المطالبات الصادرة memberOf وuserPrincipalName يدويا. حدد معرف الاسم من القائمة المنسدلة.

قاعدة مطالبة التحويل

• حدد إنهاء.

تنزيل بيانات تعريف IDp وتحميلها إلى ESA

بعد اكتمال تكوين قاعدة المطالبات والثقة بالطرف المعول، قم بتصدير بيانات تعريف موفر الهوية (IDp) وتحميلها إلى ESA.

تحذير: يمكن لإعادة تشغيل خدمة AD FS مقاطعة جلسات المصادقة النشطة. قم بإجراء هذه الخطوة أثناء إطار الصيانة إذا لزم الأمر.

• قم بإعادة تشغيل خدمة AD FS إذا لزم الأمر.
• قم بتشغيل هذه الأوامر:

net stop adfssrv
net start adfssrv

• تنزيل ملف بيانات التعريف من عنوان URL هذا:

https://myserver.domain.com/FederationMetadata/2007-06/FederationMetadata.xml

• إنهاء مجموعة ESA والعودة إليها.

التحقق من الصحة

1. في ESA أو SMA، تأكد من اكتمال إستيراد بيانات تعريف IdP بنجاح.
2. قم باختبار تسجيل الدخول الإداري باستخدام تسجيل الدخول الأحادي ل SAML (SSO).
3. تحقق من تلقي مطالبات المجموعة المتوقعة ومن تعميم تعيين الدور كما هو متوقع في تكوين المصادقة الخارجية.

معلومات ذات صلة

• جهاز أمان البريد الإلكتروني من Cisco - أدلة المستخدم النهائي
• جهاز إدارة أمان المحتوى من Cisco - أدلة المستخدم النهائي

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	09-Jul-2026	الإصدار الأولي