AD FS configureren in het overkoepelende dashboard

Inleiding

In dit document wordt beschreven hoe u AD FS configureert in het Cisco Umbrella Dashboard om aanmeldingen met een e-mailadres toe te staan.

Overzicht

Dit document is van toepassing op gebruikers die een eenmalige aanmeldingsverificatie willen configureren tussen het Cisco Umbrella Dashboard en Active Directory Federated Services (AD FS). Dit document is een bijlage bij de belangrijkste instructies voor AD FS in de Guide voor het configureren van Cisco Umbrella met Active Directory Federation Services (AD FS) versie 3.0 met SAML.

Dit artikel biedt ook een voorbeeld van het configureren van AD FS om aanmelding met een e-mailadres mogelijk te maken.

Configureren

Standaard verifieert AD FS gebruikers op basis van hun hoofdgebruikersnaam (UPN). Vaak komt deze UPN overeen met zowel het e-mailadres als het Umbrella account e-mailadres van de gebruiker, daarom is geen actie vereist.

In sommige gevallen verschilt het e-mailadres van de gebruiker echter van hun UPN, en deze aanvullende stappen zijn vereist.

Opmerking: Dit voorbeeld wordt geleverd in de huidige staat op basis van een werkende AD FS-omgeving. Umbrella Support kan niet helpen bij de configuratie van afzonderlijke AD FS-omgevingen.

Stap 1. Aanmelding e-mailadres toestaan (optioneel)

Met de opdracht PowerShell wordt AD FS geconfigureerd zodat het kenmerk mail als aanmeldings-ID kan worden gebruikt. Vervang <domein> door de naam van uw Active Directory-domein:

Set-AdfsClaimsProviderTrust -TargetIdentifier "AD AUTHORITY" -AlternateLoginID mail -LookupForests <Domain>

Dit voorkomt verwarring voor de eindgebruiker omdat ze dezelfde gebruikersnaam voor beide systemen kunnen gebruiken. Na deze wijziging kan de gebruiker inloggen als:

• Voer de gebruikersnaam van de paraplu in (bijvoorbeeld email@domain.tld)
• Voer email@domain.tld of upn@domain.tld in als de AD FS-gebruikersnaam

Als deze stap niet wordt gevolgd, moet de eindgebruiker mogelijk een andere gebruikersnaam gebruiken voor beide systemen:

• Voer de gebruikersnaam van de paraplu in (bijvoorbeeld email@domain.tld)
• Voer upn@domain.tld in als de AD FS-gebruikersnaam

Stap 2. Regels voor claims bewerken (vereist)

Controleer de informatie in de instructies voor AD FS in de Guide voor het configureren van Cisco Umbrella met Active Directory Federation Services (AD FS) versie 3.0 met SAML. De regel claims userPrincipalName naar e-mailadres moet worden verwijderd en vervangen door de regel genaamd mail naar e-mailadres.

Dit vertelt AD FS om het kenmerk mail op te nemen in zijn SAML-reactie:

c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory", types = ("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress"), query = ";mail;{0}", param = c.Value);

De regels voor claims moeten in de juiste volgorde worden geconfigureerd met e-mail naar e-mailadres als eerste regel:

360024534972