Руководство по интеграции единого входа Microsoft Entra с Cisco Any Подключение

  • Статья

В этом руководстве вы узнаете, как интегрировать Cisco Any Подключение с идентификатором Microsoft Entra. Интеграция Cisco Any Подключение с идентификатором Microsoft Entra можно:

  • Управляйте идентификатором Microsoft Entra, имеющим доступ к Cisco Any Подключение.
  • Включите автоматический вход пользователей в Cisco Any Подключение с помощью учетных записей Microsoft Entra.
  • Управление учетными записями в одном центральном расположении.

Необходимые компоненты

Чтобы приступить к работе, потребуется следующее.

  • Подписка Microsoft Entra. Если у вас нет подписки, вы можете получить бесплатную учетную запись.
  • Подписка Cisco AnyConnect с поддержкой единого входа.

Описание сценария

В этом руководстве описана настройка и проверка единого входа Microsoft Entra в тестовой среде.

  • Cisco AnyConnect поддерживает единый вход, инициируемый поставщиком удостоверений.

Чтобы настроить интеграцию Cisco Any Подключение с идентификатором Microsoft Entra, необходимо добавить Cisco Any Подключение из коллекции в список управляемых приложений SaaS.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.
  2. Перейдите к приложениям>Identity>Applications>Enterprise. Новое приложение.
  3. В разделе Добавление из коллекции в поле поиска введите Cisco AnyConnect.
  4. Выберите Cisco AnyConnect в области результатов и добавьте это приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш клиент.

Кроме того, можно также использовать мастер конфигурации корпоративных приложений. В этом мастере можно добавить приложение в клиент, добавить пользователей и группы в приложение, назначить роли, а также просмотреть конфигурацию единого входа. Подробнее о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для Cisco Any Подключение

Настройте и проверьте единый вход Microsoft Entra в Cisco Any Подключение с помощью тестового пользователя B.Simon. Для обеспечения работы единого входа необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в Cisco Any Подключение.

Чтобы настроить и проверить единый вход Microsoft Entra в Cisco Any Подключение, выполните следующие действия.

  1. Настройте единый вход Microsoft Entra, чтобы пользователи могли использовать эту функцию.
    1. Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra с помощью B.Simon.
    2. Назначьте тестового пользователя Microsoft Entra, чтобы разрешить B.Simon использовать единый вход Microsoft Entra.
  2. Настройка единого входа в Cisco AnyConnect необходима, чтобы настроить параметры единого входа на стороне приложения.
    1. Создание тестового пользователя Cisco Any Подключение требуется для того, чтобы в Cisco Any был создан пользователь B.Simon Подключение связанный с представлением пользователя Microsoft Entra.
  3. Проверка единого входа позволяет убедиться в правильности конфигурации.

Настройка единого входа Microsoft Entra

Выполните следующие действия, чтобы включить единый вход Microsoft Entra.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.

  2. Перейдите к> приложениям>Identity Applications>Enterprise Cisco Any Подключение> Single.

  3. На странице Выбрать метод единого входа выберите SAML.

  4. На странице Настройка единого входа с помощью SAML щелкните значок "Изменить" (значок пера), чтобы открыть диалоговое окно Базовая конфигурация SAML и изменить параметры.

    Edit Basic SAML Configuration

  5. На странице Настройка единого входа с помощью SAML введите значения для следующих полей:

    1. В текстовом поле Идентификатор введите URL-адрес в таком формате:
      https://<SUBDOMAIN>.YourCiscoServer.com/saml/sp/metadata/<Tunnel_Group_Name>

    2. В текстовом поле URL-адрес ответа введите URL-адрес в таком формате:
      https://<YOUR_CISCO_ANYCONNECT_FQDN>/+CSCOE+/saml/sp/acs?tgname=<Tunnel_Group_Name>

    Примечание.

    <Tunnel_Group_Name> — это регистр, и значение не должно содержать точки "." и косая черта "/".

    Примечание.

    Для получения дополнительной информации об этих значениях обратитесь в центр технической поддержки Cisco. Измените эти значения на фактические значения идентификатора и URL-адреса ответа, предоставленные сотрудниками центра технической поддержки Cisco. Для получения этих значений обратитесь в службу поддержки клиентов Cisco AnyConnect. Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML".

  6. На странице Настройка единого входа с помощью SAML в разделе Сертификат подписи SAML найдите пункт Сертификат (Base64) и щелкните Скачать, чтобы скачать файл сертификата. Сохраните этот файл на компьютере.

    The Certificate download link

  7. Скопируйте нужные URL-адреса в разделе Настройка Cisco AnyConnect.

    Copy configuration URLs

Примечание.

Если вы хотите подключить несколько TGT сервера, необходимо добавить несколько экземпляров приложения Cisco AnyConnect из коллекции. Вы также можете отправить собственный сертификат в идентификатор Microsoft Entra для всех этих экземпляров приложения. Таким образом, у вас может быть один и тот же сертификат для приложений, но для каждого приложения можно настроить разные идентификаторы и URL-адреса ответа.

Создание тестового пользователя Microsoft Entra

В этом разделе описано, как создать тестового пользователя B.Simon.

  1. Войдите в Центр администрирования Microsoft Entra как минимум пользователь Администратор istrator.
  2. Перейдите ко всем пользователям удостоверений>>.
  3. Выберите "Создать пользователя>" в верхней части экрана.
  4. В свойствах пользователя выполните следующие действия.
    1. В поле "Отображаемое имя" введите B.Simon.
    2. В поле имени участника-пользователя введите username@companydomain.extensionимя пользователя. Например, B.Simon@contoso.com.
    3. Установите флажок Показать пароль и запишите значение, которое отображается в поле Пароль.
    4. Выберите Review + create (Просмотреть и создать).
  5. Выберите Создать.

Назначение тестового пользователя Microsoft Entra

В этом разделе описано, как разрешить пользователю B.Simon использовать единый вход, предоставив этому пользователю доступ к Cisco Any Подключение.

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.
  2. Перейдите к корпоративным приложениям>Identity>Applications>Cisco Any Подключение.
  3. На странице обзора приложения выберите "Пользователи" и "Группы".
  4. Выберите Добавить пользователя или группу, а затем в диалоговом окне Добавление назначения выберите Пользователи и группы.
    1. В диалоговом окне Пользователи и группы выберите B.Simon в списке пользователей, а затем в нижней части экрана нажмите кнопку Выбрать.
    2. Если пользователям необходимо назначить роль, вы можете выбрать ее из раскрывающегося списка Выберите роль. Если для этого приложения не настроена ни одна роль, будет выбрана роль "Доступ по умолчанию".
    3. В диалоговом окне Добавление назначения нажмите кнопку Назначить.

Настройка единого входа в Cisco AnyConnect

  1. Сейчас мы выполним этот процесс с помощью CLI, а к варианту с ASDM вы можете вернуться в любое время позднее.

  2. Подключитесь к устройству VPN, вы будете использовать Adaptive Security Appliance (ASA) с кодом версии 9.8, а VPN-клиенты — версию 4.6 или более позднюю.

  3. Для начала создайте точку доверия и импортируйте предоставленный сертификат SAML.

     config t

 crypto ca trustpoint AzureAD-AC-SAML
   revocation-check none
   no id-usage
   enrollment terminal
   no ca-check
 crypto ca authenticate AzureAD-AC-SAML
 -----BEGIN CERTIFICATE-----
 …
 PEM Certificate Text from download goes here
 …
 -----END CERTIFICATE-----
 quit

  4. Следующие команды позволяют подготовить поставщик удостоверений SAML.

     webvpn
 saml idp https://sts.windows.net/xxxxxxxxxxxxx/ (This is your Azure AD Identifier from the Set up Cisco AnyConnect section in the Azure portal)
 url sign-in https://login.microsoftonline.com/xxxxxxxxxxxxxxxxxxxxxx/saml2 (This is your Login URL from the Set up Cisco AnyConnect section in the Azure portal)
 url sign-out https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0 (This is Logout URL from the Set up Cisco AnyConnect section in the Azure portal)
 trustpoint idp AzureAD-AC-SAML
 trustpoint sp (Trustpoint for SAML Requests - you can use your existing external cert here)
 no force re-authentication
 no signature
 base-url https://my.asa.com

  5. Теперь вы можете применить проверку подлинности SAML к конфигурации VPN-туннеля.

    tunnel-group AC-SAML webvpn-attributes
  saml identity-provider https://sts.windows.net/xxxxxxxxxxxxx/
  authentication saml
end

write mem

    Примечание.

    Для конфигурации поставщика удостоверений SAML реализовано следующее решение: при внесении изменений в эту конфигурацию необходимо удалить параметр saml identity-provider config из группы туннелей и повторно применить его, чтобы изменения вступили в силу.

Создание тестового пользователя Cisco AnyConnect

В этом разделе описано, как создать пользователя B.Simon в Cisco AnyConnect. Обратитесь к группе поддержки Cisco AnyConnect для добавления пользователей на платформу Cisco AnyConnect. Перед использованием единого входа необходимо создать и активировать пользователей.

Проверка единого входа

В этом разделе описана конфигурация единого входа Microsoft Entra с помощью следующих параметров.

  • Щелкните "Тестировать это приложение", и вы автоматически войдете в приложение Cisco Any Подключение для которого настроили единый вход
  • Вы можете использовать Панель доступа (Майкрософт). Щелкнув плитку Cisco AnyConnect на Панели доступа, вы автоматически войдете в приложение Cisco AnyConnect, для которого настроили единый вход. См. дополнительные сведения о панели доступа

Следующие шаги

После настройки Cisco AnyConnect вы можете применить функцию управления сеансом, которая защищает от хищения конфиденциальных данных вашей организации и несанкционированного доступа к ним в реальном времени. Управление сеансом является расширением функции условного доступа. Узнайте, как применять управление сеансами с помощью приложений Defender для облака.