Configurer AD FS dans le tableau de bord Umbrella

Introduction

Ce document décrit comment configurer AD FS dans le tableau de bord Cisco Umbrella afin d'autoriser les connexions avec une adresse e-mail.

Aperçu

Ce document s'applique aux utilisateurs qui souhaitent configurer l'authentification à authentification unique entre le tableau de bord Cisco Umbrella et les services AD FS (Active Directory Federated Services). Ce document est une annexe aux principales instructions AD FS du Guide de configuration de Cisco Umbrella avec les services AD FS (Active Directory Federation Services) version 3.0 à l'aide de SAML.

Cet article fournit également un exemple de configuration d'AD FS pour autoriser la connexion avec une adresse de messagerie.

Configurer

Par défaut, AD FS authentifie les utilisateurs en fonction de leur nom d'utilisateur principal (UPN). Ce nom UPN correspond souvent à l'adresse e-mail et à l'adresse e-mail du compte Umbrella de l'utilisateur. Aucune action n'est donc requise.

Cependant, dans certains cas, l'adresse e-mail de l'utilisateur diffère de son UPN, et ces étapes supplémentaires sont requises.

Remarque : Cet exemple est fourni « en l'état » sur la base d'un environnement AD FS opérationnel. Umbrella Support n'est pas en mesure d'aider à la configuration d'environnements AD FS individuels.

Étape 1. Autoriser la connexion à l’adresse e-mail (facultatif)

La commande PowerShell configure AD FS pour autoriser l'attribut mail à être utilisé comme ID de connexion. Remplacez <Domain> par le nom de votre domaine Active Directory :

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID mail -LookupForests <Domain>

Cela évite toute confusion pour l'utilisateur final, qui peut utiliser le même nom d'utilisateur pour les deux systèmes. Après cette modification, l'utilisateur peut se connecter sous :

• Saisissez le nom d'utilisateur Umbrella (par exemple, email@domain.tld)
• Entrez email@domain.tld ou upn@domain.tld comme nom d'utilisateur AD FS

Si cette étape n'est pas suivie, l'utilisateur final peut avoir besoin d'utiliser un nom d'utilisateur différent pour les deux systèmes :

• Saisissez le nom d'utilisateur Umbrella (par exemple, email@domain.tld)
• Entrez upn@domain.tld comme nom d'utilisateur AD FS

Étape 2 : modification des règles de demande (obligatoire)

Consultez les informations des instructions AD FS dans le Guide de configuration de Cisco Umbrella avec les services ADFS (Active Directory Federation Services) version 3.0 à l'aide de SAML. La règle de revendications userPrincipalName vers l'adresse e-mail doit être supprimée et remplacée par la règle appelée adresse e-mail vers e-mail.

Ceci indique à AD FS d'inclure l'attribut mail dans sa réponse SAML :

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query = ";mail;{0}", param = c.Value);

Les règles de revendications doivent être configurées dans l'ordre correct avec l'adresse e-mail comme première règle :

360024534972