تكوين Umbrella باستخدام ADFS الإصدار 3.0 باستخدام SAML

المقدمة

يصف هذا المستند كيفية تكوين SAML بين Cisco Umbrella و Active Directory Federation Services (ADFS) الإصدار 3.0.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى Cisco Umbrella.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

نظرة عامة

يشرح هذا المقال كيفية تكوين SAML بين Cisco Umbrella و Active Directory Federation Services (ADFS) الإصدار 3.0. يختلف تكوين SAML باستخدام ADFS عن عمليات تكامل SAML الأخرى الخاصة ب Umbrella حيث أنها ليست عملية نقر واحدة أو نقطتين في المعالج ولكنها تتطلب تغييرات في ADFS للعمل بشكل صحيح.

تحتوي هذه المقالة على تعديلات تفصيلية يجب عليك إجراؤها لجعل SAML و ADFS يعملان معا. تتمثل الخطوات الأساسية في تعطيل التشفير أولا بين بيئة ADFS الخاصة بك و Cisco Umbrella، ثم إضافة بعض قواعد المطالبات المخصصة لتحويل الإصدار إلى إعداد جهة اتصال Umbrella.

قم بتنفيذ هذه الخطوات فقط باستخدام إعداد ADFS موجود ويعمل. يتعذر على دعم Cisco Umbrella توفير المساعدة أو الدعم للمساعدة في تكوين ADFS في بيئة معينة.

يتم دعم الإصدار 3.0 من ADFS فقط (نظام التشغيل Windows Server 2012 R2) بواسطة هذه التعليمات في الوقت الحالي. من الممكن أن تعمل الإصدارات السابقة (2.0 أو 2.1) أو الأحدث (4.0) من ADFS مع دمج Umbrella SAML، ولكن لم يتم إختبار ذلك أو إثباته. إذا كان لديك إصدار مختلف من ADFS وكنت مهتما بالعمل مع فرق الدعم والمنتجات لدمجها، فالرجاء الاتصال بدعم Cisco Umbrella.

يمكنك العثور على المتطلبات الأساسية لإعداد SAML الأولي في وثائق Umbrella: عمليات تكامل الهوية: المتطلبات الأساسية. بمجرد اكتمال هذه الخطوات، يمكنك الاستمرار في إستخدام التعليمات الخاصة ب ADFS في هذه المقالة لإكمال التكوين.

تشير الخطوات الموجودة في وثائق Umbrella إلى أنك تحتاج إلى تحميل بيانات تعريف SAML (ADFS) إلى Umbrella. يمكنك الوصول إلى بيانات التعريف الخاصة بك من خلال الانتقال إلى عنوان URL هذا ثم تحميل ملف XML.

https://{your-ADFS-domain-name}/federationmetadata/2007-06/federationmetadata.xml

تعطيل التشفير

1. إدارة AD FS المفتوحة. قم بتوسيع علاقات الثقة وحدد صناديق ثقة الطرف المعول.

2. انقر بزر الماوس الأيمن فوق جهة الاعتماد على Umbrella (أو أي اسم أطلقته عليها) وحدد خصائص.

3. حدد علامة التبويب تشفير.

4. حدد إزالة لإزالة شهادة التشفير.

5. حدد موافق لإغلاق الشاشة.

إضافة قواعد مطالبة تحويل إصدار جديدة

1. إدارة AD FS المفتوحة. قم بتوسيع علاقات الثقة وحدد صناديق ثقة الطرف المتصل.

2. انقر بزر الماوس الأيمن فوق جهة ترحيل Umbrella (أو أي اسم أطلقته عليه) واختر تحرير قواعد المطالبة.

3. تحت قواعد تحويل الإصدار، حدد إضافة قاعدة.

4. حدد إرسال المطالبات باستخدام قاعدة مخصصة.

راجع لقطة الشاشة هذه لقائمة القواعد التي يمكنك إضافتها.

بمجرد إضافة كل من هذه القواعد، يمكن أن تبدأ عملية التكامل في العمل.

قواعد التحويل

تحذير: وقد تم إختبار هذه القواعد والعمل عليها في بيئة مختبرات نظام الملفات المتقدمة (ADFS) في شركة Umbrella، فضلا عن عدد قليل من بيئات إنتاج العملاء. يرجى تعديلها لتلائم بيئتك.

اسم المستخدم PrincipalName إلى عنوان البريد الإلكتروني

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query = ";userPrincipalName;{0}", param = c.Value);

البريد الإلكتروني إلى معرف الاسم

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"]
=> issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType,
Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"]
= "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress");

الملحق: تسجيل الدخول بسمة 'mail' 

يقوم ADFS بشكل افتراضي بمصادقة المستخدمين بواسطة UPN (اسم المستخدم الأساسي). إذا كان عنوان البريد الإلكتروني الخاص بالمستخدم (اسم حساب Umbrella) غير مطابق لشبكة UPN الخاصة به، فإنه يلزم إتخاذ خطوات إضافية. يرجى الاطلاع على مقالة قاعدة المعارف هذه: كيف يمكنني تكوين AD FS في لوحة معلومات Cisco Umbrella للسماح بعمليات تسجيل الدخول بعنوان بريد إلكتروني؟