AD FS im Umbrella Dashboard konfigurieren

Einleitung

In diesem Dokument wird beschrieben, wie AD FS im Cisco Umbrella Dashboard konfiguriert wird, um Anmeldungen mit einer E-Mail-Adresse zu ermöglichen.

Überblick

Dieses Dokument gilt für Benutzer, die die Single-Sign-On-Authentifizierung zwischen dem Cisco Umbrella Dashboard und Active Directory Federated Services (AD FS) konfigurieren möchten. Dieses Dokument ist ein Anhang zu den AD FS-Hauptanweisungen im Leitfaden zur Konfiguration von Cisco Umbrella mit Active Directory Federation Services (AD FS) Version 3.0 unter Verwendung von SAML.

Dieser Artikel enthält auch ein Beispiel für die Konfiguration von AD FS, um die Anmeldung mit einer E-Mail-Adresse zu ermöglichen.

Konfigurieren

Standardmäßig authentifiziert AD FS Benutzer anhand ihres Benutzerprinzipalnamens (User Principal Name, UPN). Oft stimmt dieses UPN mit der E-Mail-Adresse und der Umbrella-Konto-E-Mail-Adresse des Benutzers überein, daher ist keine Aktion erforderlich.

In einigen Fällen unterscheidet sich jedoch die E-Mail-Adresse des Benutzers von seiner UPN, und diese zusätzlichen Schritte sind erforderlich.

Anmerkung: Dieses Beispiel wird auf der Basis einer funktionierenden AD FS-Umgebung ohne Änderungen bereitgestellt. Umbrella Support kann nicht bei der Konfiguration einzelner AD FS-Umgebungen helfen.

Schritt 1. E-Mail-Adressenanmeldung zulassen (optional)

Der PowerShell-Befehl konfiguriert AD FS so, dass das mail-Attribut als Anmelde-ID verwendet werden kann. <Domäne> durch den Namen Ihrer Active Directory-Domäne ersetzen:

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID mail -LookupForests <Domain>

Dies vermeidet Verwirrung für den Endbenutzer, da er für beide Systeme denselben Benutzernamen verwenden kann. Nach dieser Änderung kann sich der Benutzer wie folgt anmelden:

• Geben Sie den Umbrella-Benutzernamen ein (z. B. email@domain.tld).
• Geben Sie als AD FS-Benutzernamen email@domain.tld oder upn@domain.tld ein.

Wird dieser Schritt nicht befolgt, muss der Endbenutzer möglicherweise einen anderen Benutzernamen für beide Systeme verwenden:

• Geben Sie den Umbrella-Benutzernamen ein (z. B. email@domain.tld).
• Geben Sie upn@domain.tld als AD FS-Benutzernamen ein.

Schritt 2: Regeln für Ansprüche bearbeiten (erforderlich)

Lesen Sie die Informationen in den AD FS-Anweisungen im Handbuch zur Konfiguration von Cisco Umbrella mit Active Directory Federation Services (AD FS) Version 3.0 mithilfe von SAML. Die Regel für Ansprüche userPrincipalName an E-Mail-Adresse muss gelöscht und durch die Regel Mail an E-Mail-Adresse ersetzt werden.

Dadurch wird AD FS angewiesen, das mail-Attribut in seine SAML-Antwort einzubeziehen:

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query = ";mail;{0}", param = c.Value);

Die Regeln für Anträge müssen in der richtigen Reihenfolge konfiguriert werden. Als erste Regel gilt E-Mail an die E-Mail-Adresse:

360024534972