Маршрутизация трафика через веб-прокси сайта (П)

Примечание: Это функция раннего доступа (EA), которая доступна только для ограниченного выпуска. Для получения дополнительной информации свяжитесь с представителем Cato Networks или отправьте письмо на ea@catonetworks.com.

Расширьте схему предоставления Entra SCIM для синхронизации следующих атрибутов из Microsoft Entra ID в приложение Cato SCIM:

• onPremisesSamAccountName: Устаревшее имя входа в Windows. Используется аутентификацией Windows и устаревшими приложениями, требующими атрибут sAMAccountName.

• onPremisesDomainName: Полное доменное имя (FQDN) локального домена Active Directory, связанного с учётной записью пользователя. Используется вместе с onPremisesSamAccountName для идентификации пользователя во время аутентификации Kerberos.

Заметка:

• Эта конфигурация должна быть применена до начала управления пользователями. Если это невозможно, повторите синхронизацию в приложении Cato SCIM

• Прежде чем редактировать схему, рекомендуется сохранить копию документа JSON. Это позволяет восстановить первоначальную конфигурацию, если возникнет ошибка.

• Если вы настраиваете только неаутентифицированные прокси-инстансы, этот шаг не требуется

Чтобы сопоставить атрибуты идентификации пользователей:

1. В Административному Центру Entra, перейдите в Корпоративные приложения.

2. Откройте приложение Cato Networks SCIM.

3. Нажмите Предоставление, затем Редактировать предоставление.

4. Разверните раздел Сопоставление и нажмите Предоставление пользователей Azure Active Directory, затем Показать расширенные опции.

5. Нажмите Просмотреть вашу схему здесь.
   Открывается документ схемы JSON.

6. Чтобы раскрыть атрибуты источника Entra, чтобы они могли использоваться в сопоставлениях предоставления, используя Ctrl+F, выполните поиск "name": "Microsoft Entra ID'.

7. Определите массив "attributes" (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), завершающий объект атрибута onPremisesSecurityIdentifier .

8. Добавьте запятую после последнего атрибута и вставьте следующие записи перед закрывающей ]
   {
   "anchor": false,
   "caseExact": false,
   "defaultValue": null,
   "flowNullValues": false,
   "multivalued": false,
   "mutability": "ReadWrite",
   "name": "onPremisesSamAccountName",
   "required": false,
   "type": "String",
   "apiExpressions": [],
   "metadata": [],
   "referencedObjects": []
   },
   {
   "anchor": false,
   "caseExact": false,
   "defaultValue": null,
   "flowNullValues": false,
   "multivalued": false,
   "mutability": "ReadWrite",
   "name": "onPremisesDomainName",
   "required": false,
   "type": "String",
   "apiExpressions": [],
   "metadata": [],
   "referencedObjects": []
   }

9. Чтобы добавить соответствующие целевые атрибуты расширения SCIM в схему Cato SCIM, используя Ctrl+F, выполните поиск "name: "Cato Networks Provisioning"

10. Определите массив "attributes" (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), завершающий объект атрибута dirSyncEnabled .

11. Добавьте запятую после последнего атрибута и вставьте следующие записи перед закрывающей ]
    {
    "anchor": false,
    "caseExact": false,
    "defaultValue": null,
    "flowNullValues": false,
    "multivalued": false,
    "mutability": "ReadWrite",
    "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
    "required": false,
    "type": "String",
    "apiExpressions": [],
    "metadata": [],
    "referencedObjects": []
    },
    {
    "anchor": false,
    "caseExact": false,
    "defaultValue": null,
    "flowNullValues": false,
    "multivalued": false,
    "mutability": "ReadWrite",
    "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
    "required": false,
    "type": "String",
    "apiExpressions": [],
    "metadata": [],
    "referencedObjects": []
    }

12. Чтобы создать сопоставления синхронизации между атрибутами Entra и атрибутами Cato SCIM, используя Ctrl+F, выполните поиск "Предоставление пользователей Azure Active Directory" .

13. В этом объекте определите массив "attributeMappings".

14. В конце этого массива найдите последнюю }, добавьте запятую, вставьте следующие записи перед закрывающей ]
    {
    "defaultValue": "",
    "exportMissingReferences": false,
    "flowBehavior": "FlowWhenChanged",
    "flowType": "Always",
    "matchingPriority": 0,
    "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
    "source": {
    "expression": "[onPremisesSamAccountName]",
    "name": "onPremisesSamAccountName",
    "type": "Attribute",
    "parameters": []
    }
    },
    {
    "defaultValue": "",
    "exportMissingReferences": false,
    "flowBehavior": "FlowWhenChanged",
    "flowType": "Always",
    "matchingPriority": 0,
    "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
    "source": {
    "expression": "[onPremisesDomainName]",
    "name": "onPremisesDomainName",
    "type": "Attribute",
    "parameters": []
    }
    }
     

15. Нажмите Сохранить. Отображается сообщение о успешном сохранении текстового редактора схемы.
    

     

16. В приложении Cato Networks SCIM нажмите Предоставление, затем Редактировать предоставление.

17. Разверните раздел Сопоставление и нажмите Предоставление пользователей Azure Active Directory, затем Показать расширенные опции. 

18. Через несколько минут убедитесь, что эти сопоставления отображаются:

    1. sAMAccountName → onPremisesSamAccountName

    2. onPremisesDomainName → onPremisesDomainName

Шаг 2: Создание экземпляра прокси

Экземпляр прокси определяет сайты, конечную точку и метод аутентификации. Поддерживаемые варианты аутентификации:

• Kerberos: Прокси аутентифицирует каждый запрос по идентичности в билете Kerberos устройства, связывая каждую сессию с конкретным пользователем. Это позволяет применять политики, основанные на пользователях. 
  Чтобы использовать аутентификацию Kerberos, создайте файл KEYTAB на центре распределения ключей Kerberos (KDC). Файл KEYTAB содержит секреты, которые позволяют Cato PoP проверять билеты Kerberos и подтверждать идентичность пользователя.

• Без аутентификации: Прокси не применяет аутентификацию пользователя. Политики, основанные на пользователе, не применяются.

   

Чтобы создать экземпляр прокси:

1. {{snippet.Site Web Proxy path}}

2. Нажмите Новый, затем Новый прокси.

3. Добавьте имя для экземпляра прокси и выберите сайт(ы), чтобы ассоциировать с прокси.

4. Введите FQDN, который устройства используют для подключения к прокси, и порт для экземпляра прокси.
   Примечание: Для разрешения DNS отображается соответствующий IP. 
   

    

5. Выберите Метод аутентификации.
   

    

6. Необязательно) Если выбран Kerberos в качестве Метода аутентификации, загрузите KEYTAB-файл. Если вы создаёте прокси-инстанс без аутентификации, этот шаг не требуется. 

7. Нажмите Применить и создать правило. 
   Экземпляр прокси создан.

После создания экземпляра прокси определите его сетевые правила. Каждое правило состоит из источника, назначения и действия. Доступные действия зависят от Метода аутентификации экземпляра прокси.

• Экземпляр прокси Kerberos поддерживает следующие действия:

  • Аутентифицировать: Требуется аутентификация Kerberos

  • Разрешить: Разрешает трафик без аутентификации. Используйте правило Разрешить, когда определённые устройства, сервисы или назначения могут обойти аутентификацию. Правила Разрешить должны быть упорядочены выше любых правил Аутентифицировать
    Примечание: Действие Разрешить относится к аутентификации Kerberos. Неаутентифицированный трафик инспектируется движками безопасности и может быть блокирован политикой безопасности.

• Для прокси-инстанса без аутентификации доступно только действие Разрешить.

Трафик, не соответствующий правилу в базе правил веб-прокси сайта, блокируется последним системным правилом.

Чтобы определить сетевое правило:

1. {{snippet.Site Web Proxy path}}

2. Нажмите Новый, затем Новое правило прокси. 
   Панель Новое правило прокси открывается. 
   Примечание: Если вы определяете сетевое правило сразу после создания экземпляра прокси, панель Новое правило прокси отображается автоматически.

3. Введите Имя для правила, выберите Прокси, к которому применяется правило, и выберите Позицию правила в базе правил.

4. Добавьте Источник, который следует применить в соответствии с правилом. Поддерживаемые источники - это IP-адреса или подсети сети.
   Примечание: Чтобы применить правило ко всем источникам, оставьте этот раздел пустым.

5. Определите Назначения, к которым применяется правило. 
   Примечание: Чтобы применить правило ко всем назначениям, оставьте этот раздел пустым.

6. Выберите Действие, которое применяется в соответствии с правилом.

7. Нажмите Применить.

8. Нажмите Опубликовать.

9. Установите переключатель Веб-прокси сайта в положение Включено.