Configuración de AD FS en el panel de Umbrella

Introducción

Este documento describe cómo configurar AD FS en Cisco Umbrella Dashboard para permitir inicios de sesión con una dirección de correo electrónico.

Overview

Este documento se aplica a los usuarios que desean configurar la autenticación de inicio de sesión único entre el panel de Cisco Umbrella y los servicios federados de Active Directory (AD FS). Este documento es un apéndice de las instrucciones principales de AD FS de la Guía para configurar Cisco Umbrella con los Servicios de federación de Active Directory (AD FS) versión 3.0 mediante SAML.

Este artículo también proporciona un ejemplo de configuración de AD FS para permitir el inicio de sesión con una dirección de correo electrónico.

Configurar

De forma predeterminada, AD FS autentica a los usuarios basándose en su nombre principal de usuario (UPN). A menudo, este UPN coincide tanto con la dirección de correo electrónico como con la dirección de correo electrónico de la cuenta de Umbrella del usuario, por lo que no es necesario realizar ninguna acción.

Sin embargo, en algunos casos, la dirección de correo electrónico del usuario difiere de la de su UPN, por lo que es necesario realizar estos pasos adicionales.

Nota: Este ejemplo se proporciona "tal cual" basándose en un entorno AD FS en funcionamiento. Umbrella Support no puede ayudar con la configuración de entornos individuales de AD FS.

Paso 1. Permitir inicio de sesión de dirección de correo electrónico (opcional)

El comando de PowerShell configura AD FS para permitir que el atributo mail se utilice como el Id. de inicio de sesión. Reemplace <Domain> por el nombre de su dominio de Active Directory:

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID mail -LookupForests <Domain>

Esto evita confusión para el usuario final, ya que puede utilizar el mismo nombre de usuario para ambos sistemas. Después de este cambio, el usuario puede iniciar sesión como:

• Introduzca el nombre de usuario de Umbrella (por ejemplo, email@domain.tld)
• Escriba email@domain.tld o upn@domain.tld como nombre de usuario de AD FS

Si no se sigue este paso, el usuario final puede necesitar utilizar un nombre de usuario diferente para ambos sistemas:

• Introduzca el nombre de usuario de Umbrella (por ejemplo, email@domain.tld)
• Escriba upn@domain.tld como nombre de usuario de AD FS

Paso 2. Editar reglas de reclamaciones (obligatorio)

Revise la información de las instrucciones de AD FS de la Guía para configurar Cisco Umbrella con los Servicios de federación de Active Directory (AD FS) versión 3.0 mediante SAML. La regla de notificaciones userPrincipalName a dirección de correo electrónico debe eliminarse y sustituirse por la regla denominada dirección de correo electrónico.

Esto indica a AD FS que incluya el atributo mail en su respuesta SAML:

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query = ";mail;{0}", param = c.Value);

Las reglas de reclamaciones deben configurarse en el orden correcto con la dirección de correo electrónico como primera regla:

360024534972