通过站点 Web 代理路由流量（EA）

注意：此为早期可用功能（EA），仅限限量发布。 有关更多信息，请联系您的 Cato Networks 代表或发送电子邮件至 ea@catonetworks.com。

扩展 Entra SCIM 配置架构，同步以下属性从 Microsoft Entra ID 到 Cato SCIM 应用程序：

• onPremisesSamAccountName: 传统的 Windows 登录名。 用于需要 sAMAccountName 属性的 Windows 身份验证和传统应用程序

• onPremisesDomainName: 与用户账户相关联的本地 Active Directory 域的完全限定域名（FQDN）。 用于与 onPremisesSamAccountName 一起在 Kerberos 认证过程中识别用户。

注释：

• 此配置必须在用户配置开始之前应用。 如果这不可能，再次同步到 Cato SCIM 应用程序

• 在编辑架构之前，建议保存 JSON 文档的副本。 这样您就可以在发生错误时恢复原始配置。

• 如果您仅配置无认证流量的代理实例，则不需要此步骤

要映射用户身份属性：

1. 在 Entra 管理中心，导航到 企业应用程序。

2. 打开 Cato Networks SCIM 应用程序。

3. 点击 配置，然后 编辑配置。

4. 展开 映射部分，并点击 配置 Azure Active Directory 用户，然后 显示高级选项。

5. 点击 在此查看您的架构。
   打开 JSON 架构文档。

6. 要显示 Entra 源属性，以便可以在配置映射中使用，请使用 Ctrl+F 搜索 "name": "Microsoft Entra ID'。

7. 识别 "attributes" 数组（directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]），最终属性对象是 onPremisesSecurityIdentifier 。

8. 在最后一个属性后添加逗号，并在结束 ] 之前粘贴以下条目
   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesSamAccountName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   },
   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesDomainName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   }

9. 要将对应的目标 SCIM 扩展属性添加到 Cato SCIM 架构中，使用 Ctrl+F 搜索 "name: "Cato Networks Provisioning"

10. 识别 "attributes" 数组（directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]），最后的属性对象是 dirSyncEnabled 。

11. 在最后一个属性后添加逗号，并在结束 ] 之前粘贴以下条目
    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    },
    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    }

12. 要在 Entra 属性和 Cato SCIM 属性之间创建同步映射，使用 Ctrl+F 搜索 "Provision Azure Active Directory Users"。

13. 在对象中，识别 "attributeMappings" 数组。

14. 在数组末尾找到最后一个 }, 然后添加逗号，在结束 ] 之前粘贴以下条目
    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "source": {
        "expression": "[onPremisesSamAccountName]",
        "name": "onPremisesSamAccountName",
        "type": "Attribute",
        "parameters": []
      }
    },
    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "source": {
        "expression": "[onPremisesDomainName]",
        "name": "onPremisesDomainName",
        "type": "Attribute",
        "parameters": []
      }
    }
     

15. 点击 保存。 显示架构文本编辑器保存成功消息。
    

     

16. 在 Cato Networks SCIM 应用程序中，点击 配置，然后 编辑配置。

17. 展开 映射部分，并点击 配置 Azure Active Directory 用户，然后 显示高级选项。 

18. 几分钟后，确保这些映射出现：

    1. sAMAccountName → onPremisesSamAccountName

    2. onPremisesDomainName → onPremisesDomainName

步骤2：创建代理实例

代理实例定义了站点、端点和身份验证方法。 支持的身份验证选项有：

• Kerberos：代理根据设备的 Kerberos 票证验证每个请求，将每个会话与特定用户关联。 这允许应用基于用户的策略。 
  要使用 Kerberos 认证，在 Kerberos 密钥分发中心 (KDC) 上生成一个 KEYTAB 文件。 KEYTAB 文件包含允许 Cato PoP 验证 Kerberos 票和验证用户身份的秘密数据。

• 无认证：代理不应用用户认证。 不应用基于用户的策略。

   

要创建代理实例：

1. {{snippet.Site Web Proxy path}}

2. 点击 新建，然后选择 新建代理。

3. 为代理实例添加一个名称，并选择与该代理关联的站点。

4. 输入设备用于连接到代理的 FQDN 和代理实例的端口。
   注意：相应的 IP显示用于 DNS 解析。 
   

    

5. 选择认证方法。
   

    

6. （可选）如果选择Kerberos作为身份验证方法，请上传 KEYTAB 文件。 如果您正在创建一个未经过认证的代理实例，则不需要此步骤。 

7. 点击 应用并创建规则。 
   代理实例已创建。

代理实例创建后，定义其网络规则。 每个规则由来源、目的地和操作组成。 可用的操作取决于代理实例的身份验证方法。

• Kerberos 代理实例支持以下操作：

  • 认证：流量需要 Kerberos 身份验证

  • 允许：允许流量不经认证。 当特定设备、服务或目的地可以绕过身份验证时，使用允许规则。 允许规则必须位于任何认证规则之上
    注意： 允许动作指的是 Kerberos 身份验证。 未经认证的流量由安全引擎检查，可能会被安全策略阻止。

• 对于无认证代理实例，仅支持允许操作

未匹配站点 Web 代理规则库中规则的流量将被最终系统规则阻止。

要定义网络规则：

1. {{snippet.Site Web Proxy path}}

2. 点击新建，然后选择新建代理规则。 
   新建代理规则面板打开。 
   注意：如果您在创建代理实例后立即定义网络规则，新建代理规则面板将自动显示。

3. 为规则输入一个名称，选择该规则适用的代理，并选择规则在规则库中的位置。

4. 添加要由规则执行的来源。 支持的来源为 IP 地址或网络子网。
   要将规则应用于所有来源，请保持此部分为空。

5. 定义规则适用的目的地。 
   注意：要将规则应用于所有目的地，请保持此部分为空。

6. 选择通过规则应用的操作。

7. 点击 应用。

8. 点击 发布。

9. 将站点 Web 代理切换设置为启用。