Enrutamiento de Tráfico a través de un Proxy Web del Sitio (EA)

Nota: Esta es una función de Disponibilidad Temprana (EA) que solo está disponible para liberación limitada. Para más información, contacte a su representante de Cato Networks o envíe un correo electrónico a ea@catonetworks.com.

Extiende el esquema de aprovisionamiento SCIM de Entra para sincronizar los siguientes atributos del Microsoft Entra ID en la aplicación SCIM de Cato:

• onPremisesSamAccountName: El nombre de inicio de sesión de Windows heredado. Es usado por la autenticación de Windows y aplicaciones heredadas que requieren el atributo sAMAccountName

• onPremisesDomainName: El nombre de dominio completamente calificado (FQDN) del dominio de Active Directory en las instalaciones asociado con la cuenta de usuario. Se utiliza junto con onPremisesSamAccountName para identificar al usuario durante la autenticación Kerberos.

Nota:

• Esta configuración debe aplicarse antes de que comience el aprovisionamiento de usuarios. Si esto no es posible, sincronice de nuevo con la aplicación SCIM de Cato.

• Antes de editar el esquema, se recomienda guardar una copia del documento JSON. Esto le permite restaurar la configuración original si ocurre un error.

• Si solo está configurando instancias de proxy con tráfico no autenticado, este paso no es necesario.

Para mapear atributos de identidad de usuario:

1. En el Centro de Administración de Entra, navegue a Aplicaciones Empresariales.

2. Abra la aplicación Cato NetworksSCIM.

3. Haga clic en Aprovisionamiento y luego Editar Aprovisionamiento.

4. Expanda la sección Mapeo y haga clic en Provisión de Usuarios de Active Directory Azure, luego Mostrar opciones avanzadas.

5. Haga clic en Revisar su esquema aquí.Se abre un documento de esquema JSON.

6. Para exponer los atributos fuente de Entra para que puedan usarse en mapeos de aprovisionamiento, usando Ctrl+F, busque "name": "Microsoft Entra ID'.

7. Identifique el array "attributes" (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), el objeto de atributo final es onPremisesSecurityIdentifier.

8. Agregue una coma después del atributo final y pegue las siguientes entradas antes del cierre ]
   {
   "anchor": false,
   "caseExact": false,
   "defaultValue": null,
   "flowNullValues": false,
   "multivalued": false,
   "mutability": "ReadWrite",
   "name": "onPremisesSamAccountName",
   "required": false,
   "type": "String",
   "apiExpressions": [],
   "metadata": [],
   "referencedObjects": []
   },
   {
   "anchor": false,
   "caseExact": false,
   "defaultValue": null,
   "flowNullValues": false,
   "multivalued": false,
   "mutability": "ReadWrite",
   "name": "onPremisesDomainName",
   "required": false,
   "type": "String",
   "apiExpressions": [],
   "metadata": [],
   "referencedObjects": []
   }

9. Para agregar los atributos de extensión SCIM del objetivo correspondiente al esquema SCIM de Cato, usando Ctrl+F, busque "name: "Cato Networks Provisioning"

10. Identifique el array "attributes" (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), el objeto de atributo final es dirSyncEnabled.

11. Agregue una coma después del atributo final y pegue las siguientes entradas antes del cierre ]
    {
    "anchor": false,
    "caseExact": false,
    "defaultValue": null,
    "flowNullValues": false,
    "multivalued": false,
    "mutability": "ReadWrite",
    "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
    "required": false,
    "type": "String",
    "apiExpressions": [],
    "metadata": [],
    "referencedObjects": []
    },
    {
    "anchor": false,
    "caseExact": false,
    "defaultValue": null,
    "flowNullValues": false,
    "multivalued": false,
    "mutability": "ReadWrite",
    "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
    "required": false,
    "type": "String",
    "apiExpressions": [],
    "metadata": [],
    "referencedObjects": []
    }

12. Para crear los mapeos de sincronización entre los atributos de Entra y los atributos SCIM de Cato, usando Ctrl+F, busque "Provision Azure Active Directory Users".

13. En ese objeto, identifique el array "attributeMappings".

14. Al final de ese array, busca el último }, agrega una coma pega las siguientes entradas antes del cierre ]
    {
    "defaultValue": "",
    "exportMissingReferences": false,
    "flowBehavior": "FlowWhenChanged",
    "flowType": "Always",
    "matchingPriority": 0,
    "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
    "source": {
    "expression": "[onPremisesSamAccountName]",
    "name": "onPremisesSamAccountName",
    "type": "Attribute",
    "parameters": []
    }
    },
    {
    "defaultValue": "",
    "exportMissingReferences": false,
    "flowBehavior": "FlowWhenChanged",
    "flowType": "Always",
    "matchingPriority": 0,
    "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
    "source": {
    "expression": "[onPremisesDomainName]",
    "name": "onPremisesDomainName",
    "type": "Attribute",
    "parameters": []
    }
    }
     

15. Haga clic en Guardar. Se muestra un mensaje de guardado exitoso del Editor de Texto de Esquema.
    

     

16. En la aplicación SCIM de Cato Networks, haga clic en Aprovisionamiento y luego Editar Aprovisionamiento.

17. Expanda la sección Mapeo y haga clic en Provisión de Usuarios de Azure Active Directory, luego Mostrar opciones avanzadas. 

18. Después de unos minutos, asegúrese de que aparezcan estos mapeos:

    1. sAMAccountName → onPremisesSamAccountName

    2. onPremisesDomainName → onPremisesDomainName

Paso 2: Creación de una Instancia de Proxy

La instancia de proxy define los sitios, el endpoint y el método de autenticación. Las opciones de autenticación admitidas son:

• Kerberos: El proxy autentica cada solicitud contra la identidad en el ticket Kerberos del dispositivo, vinculando cada sesión a un usuario específico. Esto permite aplicar políticas basadas en el usuario. 
  Para utilizar la autenticación Kerberos, genere un archivo KEYTAB en el Centro de Distribución de Claves (KDC) de Kerberos. El archivo KEYTAB contiene los secretos que permiten al PoP de Cato validar los tickets Kerberos y verificar la identidad del usuario.

• Sin Autenticación: El proxy no aplica autenticación de usuarios. No se aplican políticas basadas en el usuario.

   

Para crear una instancia de proxy:

1. {{snippet.Site Web Proxy path}}

2. Haga clic en Nuevo, luego en Nuevo Proxy.

3. Agregue un nombre para la instancia de proxy y elija el(los) sitio(s) para asociar con el proxy.

4. Ingrese el FQDN que los dispositivos usan para conectarse al proxy y un puerto para la instancia de proxy.
   Nota: La IP Correspondiente se muestra para resolución de DNS. 
   

    

5. Seleccione el Método de Autenticación.
   

    

6. Si se selecciona Kerberos como el Método de Autenticación, suba el archivo KEYTAB. Si está creando una instancia de proxy sin autenticación, este paso no es necesario. 

7. Haga clic en Aplicar y Crear Regla. 
   La instancia de Proxy se crea.

Una vez creada la instancia de proxy, define sus reglas de red. Cada regla consta de una fuente, un destino y una acción. Las acciones disponibles dependen del Método de Autenticación de la instancia de proxy.

• Una instancia de proxy Kerberos soporta estas acciones:

  • Autenticar: El tráfico requiere autenticación Kerberos

  • Permitir: El tráfico está permitido sin autenticación. Use una regla Permitir cuando dispositivos específicos, servicios o destinos puedan omitir la autenticación. Las reglas Permitir deben ordenarse encima de cualquier regla Autenticar
    Nota: La acción Permitir se refiere a la autenticación Kerberos. El tráfico no autenticado es inspeccionado por motores de seguridad y puede ser bloqueado por una política de seguridad.

• Para una instancia de proxy sin autenticación, solo la acción Permitir está disponible

El tráfico que no coincide con una regla en la base de reglas del Proxy Web del Sitio es bloqueado por la regla final del sistema.

Para definir una regla de red:

1. {{snippet.Site Web Proxy path}}

2. Haga clic en Nuevo, luego en Nueva Regla de Proxy. 
   Se abre el panel de Nueva Regla de Proxy. 
   Nota: Si está definiendo una regla de red inmediatamente después de crear una instancia de proxy, el panel Nueva Regla de Proxy se muestra automáticamente.

3. Ingrese un Nombre para la regla, elija el Proxy al que se aplica la regla y elija la Posición de la regla dentro de la base de reglas.

4. Agregue la Fuente que será aplicada por la regla. Las fuentes admitidas son direcciones IP o subredes de red.
   Nota: Para aplicar la regla a todas las Fuentes, deje esta sección en blanco.

5. Defina los Destinos a los que se aplica la regla. 
   Nota: Para aplicar la regla a todos los Destinos, deje esta sección en blanco.

6. Elija la Acción que aplica la regla.

7. Haz clic en Aplicar.

8. Haga clic en Publicar.

9. Establezca el control Proxy Web del Sitio en Habilitado.