المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

عنوان URL لبيانات التعريف الثابتة

المتطلبات

مثال: نظام التشغيل Microsoft ADFS

أخطاء أستكشاف الأخطاء وإصلاحها

تحديد: ميزة EntityID الخاصة بالمؤسسة

إستيراد الشهادة اليدوي (بديل)

المقدمة

يوضح هذا المستند كيفية إستخدام عنوان URL لبيانات التعريف الثابتة ل Umbrella لمصادقة SAML لعبارة الويب الآمنة (SWG).

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى Umbrella SWG.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

عنوان URL لبيانات التعريف الثابتة

عند إستخدام مصادقة SAML ل Umbrella SWG، نوفر خيارين لاستيراد معلومات الشهادة الخاصة بنا إلى موفر الهوية (IdP). هذا مطلوب للمعرفات التي تتحقق من شهادة توقيع الطلب الخاصة بنا.

1. التكوين التلقائي عبر عنوان URL لبيانات التعريف الثابتة: https://api.umbrella.com/admin/v2/samlsp/certificates/Cisco_Umbrella_SP_Metadata.xml

2. إستيراد يدوي لشهادة التوقيع الجديدة. يجب القيام بذلك كل سنة عند إستبدال الشهادة.

الخيار الأول الآن هو طريقة التكوين المفضلة لمزودي الهوية (IdP) التي تدعم التحديثات التلقائية لبيانات التعريف المستندة إلى URL. ويتضمن ذلك معرفات شائعة مثل Microsoft ADFS و Ping Identity.  الميزة هي أن IdP يقوم تلقائيا باستيراد شهادتنا الجديدة كل عام دون تدخل يدوي.

ملاحظة: ولا يقوم العديد من المشردين داخليا بالتحقق من صحة توقيعات طلبات SAML، وبالتالي فإن هذه الخطوات غير مطلوبة.  في حالة وجود شك، الرجاء الاتصال بمورد "موفر الهوية" للتأكيد.

المتطلبات

متطلبات الوصول إلى عنوان URL لبيانات التعريف

- معرف يدعم التحديثات التلقائية لبيانات تعريف مزود الخدمة من عنوان URL (مثل ADFS، Ping)

- يجب أن يكون النظام الأساسي ل IdP الخاص بك قادرا على الوصول إلى عنوان URL الخاص ببيانات التعريف الخاصة بنا بالإضافة إلى عناوين URL الخاصة بالمرجع المصدق المقترنة

- يجب أن يكون النظام الأساسي ل IdP الخاص بك قادرا أيضا على الوصول إلى عناوين URL الخاصة بالمرجع المصدق للشهادة نفسها

- يجب أن يدعم نظام IdP الأساسي الخاص بك TLS 1.2 للاتصال بعنوان URL الخاص ببيانات التعريف بشكل آمن. إذا كان تطبيق IDP يستخدم .NET Framework 4.6.1 أو إصدار سابق، فقد يتطلب ذلك بعض التكوين الإضافي وفقا لوثائق Microsoft.

مثال: نظام التشغيل Microsoft ADFS

يمكن تكوين عنوان URL الخاص ببيانات التعريف الثابتة من خلال تحرير إعداد ثقة جهة الاعتماد ل Umbrella:

1. انتقل إلى علامة التبويب المراقبة وأدخل عنوان URL لبيانات التعريف.

2. حدد جهة الاعتماد على جهاز العرض وقم بتحديث الجهة المعولة تلقائيا.

تلميح: حدد زر إختبار عنوان URL للتحقق من أن ADFS يتصل بعنوان URL بنجاح.

3. حدد تطبيق.

ADFS_RelyingPartyTrust.png

أخطاء أستكشاف الأخطاء وإصلاحها

في حالة حدوث الخطأ، حدث خطأ أثناء محاولة قراءة بيانات تعريف الاتحاد. تحقق من أن عنوان URL المحدد أو اسم المضيف عبارة عن نقطة نهاية بيانات تعريف إتحادية صالحة عند إختبار عنوان URL، وهذا يشير عادة إلى أن تغيير السجل مطلوب لتعيين إصدار .NET Framework لديك لاستخدام تشفير قوي ودعم TLS 1.2.

ADFSmetadata_TLS_ERROR.png

يتم نشر التفاصيل الكاملة لهذه التغييرات بواسطة Microsoft في قسم .NET Framework في وثائق Microsoft.

وعادة، يتطلب ذلك إنشاء هذا المفتاح، ثم إغلاق وإعادة فتح وحدة تحكم إدارة ADFS:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]

"SchUseStrongCrypto" = dword:00000001

تحديد: ميزة EntityID الخاصة بالمؤسسة

إذا كنت تستخدم ميزة EntityID الخاصة ب SAML Org، فيجب ألا تستخدم آلية تحديث بيانات التعريف المستندة إلى URL. يتم تطبيق معرف الوحدة الخاصة بالمؤسسة فقط إذا كان لديك عدة شبكات مظلة مرتبطة بنفس موفر الهوية. في هذا السيناريو، يجب إضافة الشهادة يدويا إلى كل تكوين IDP.

إستيراد الشهادة اليدوي (بديل)

إذا لم يكن معرف الهوية الخاص بك يدعم التحديثات المستندة إلى عنوان URL، يجب إستيراد شهادة توقيع طلب Umbrella الجديدة يدويا كل عام إلى موفر الهوية.

- يتم توفير الشهادة في مدخل الإعلانات الخاص بنا كل عام قبل تاريخ انتهاء الصلاحية بفترة وجيزة. الاشتراك في البوابة للإعلامات

- قم بإضافة الشهادة الجديدة إلى قائمة مزود الخدمة / شهادات جهة الاعتماد في المعرف الخاص بك.

- لا تحذف أي شهادات حالية.  تستمر Umbrella في التوقيع باستخدام الشهادة القديمة حتى وقت انتهاء الصلاحية.

- إذا لم يكن المعرف الخاص بك يحتوي على إمكانية إستيراد شهادة مزود الخدمة/الطرف المعتمد، فإن ذلك يعد مؤشرا قويا على أنه لا يقوم بالتحقق من صحة طلبات SAML، ولا يتطلب أي إجراء آخر.  اتصل بمورد IdP للتأكيد.

إذا واجهت خطأ "لم يتم تكوين UPN" بعد إستيراد الشهادة الجديدة، فهذا يشير إلى حدوث خطأ.  راجع هذه المقالة لاستكشاف الأخطاء وإصلاحها: SWG SAML - خطأ لم يتم تكوين UPN