Bitdefender үйлчилгээний SSO-г AD FS-тэй хэрхэн тохируулах вэ?

GravityZone нь Control Center-ээс гадуурх Bitdefender үйлчилгээнд (жишээ нь MDR portal) GravityZone IdP Proxy-оор дамжуулан нэг удаагийн нэвтрэлт (SSO)-ийг дэмждэг. IdP Proxy нь SAML 2.0 баталгаажуулалтын стандартыг ашиглана.

Энэ нийтлэлд Bitdefender үйлчилгээний SSO-г AD FS (2016 буюу түүнээс хойших)-тэй хэрхэн тохируулахыг тайлбарлана. Бусад identity provider-ийн ерөнхий мэдээллийг Гуравдагч талын identity provider ашиглан Bitdefender үйлчилгээний SSO тохируулах нийтлэлээс үзнэ үү.

Урьдчилсан нөхцөл ба шаардлага

• Танд GravityZone администраторын данс байна.

• Active Directory тохируулагдсан бөгөөд хэрэглэгчид GravityZone-ийнхтэй ижил и-мэйл хаягтай данстай.

• GravityZone IdP Proxy-оор нэвтрэх бүх Active Directory хэрэглэгчийн дансны шинж чанарт E-mail талбар бөглөгдсөн байх ёстой (Active Directory Users and Computers > [user] > Properties > General таб > E-mail). SAML claim дүрмүүд и-мэйл хаягийг нэвтрэх танигч (NameID) болгон ашигладаг тул энэ атрибутгүй хэрэглэгч нэвтэрч чадахгүй.

• AD FS үйлчилгээ бүрэн суулгагдаж тохируулагдсан (AD FS 2016 буюу түүнээс хойших).

• AD FS-ийн хүчинтэй SSL сертификат болон тухайн сертификатын fingerprint байна.

• AD FS-тэй GravityZone Control Center SSO аль хэдийн тохируулагдаж, ажиллаж байна. Үзнэ үү: AD FS-тэй GravityZone Control Center SSO тохируулах.

• GravityZone-ийн дансны тохиргоонд хэрэглэгчид Login using your Identity Provider баталгаажуулалтын аргатай байна.

> Тэмдэглэл: Энэ сонголт нь GravityZone Control Center SSO-г компанийн түвшинд тохируулсны дараа л боломжтой.

AD FS-ийг тохируулах

Bitdefender үйлчилгээний SSO-д зориулж AD FS дээр GravityZone IdP Proxy-д тусдаа relying party trust үүсгэнэ. Энэ нь GravityZone Control Center SSO-д ашигладаг одоогийн relying party trust-аас гадна нэмэгдэнэ.

Дараах үйлдлүүдийг хийнэ:

GravityZone IdP Proxy-ийн SAML metadata авах

1. 1Bitdefender GravityZone-д администраторээр нэвтэрнэ.

2. 2Дэлгэцийн баруун дээд талд хэрэглэгчийн нэрээ дарж My Company (Миний компани)-г сонгоно.

3. 3Authentication (Баталгаажуулалт) табыг нээнэ.

4. 4Bitdefender services single sign-on хэсгээс GravityZone IdP Proxy SAML metadata URL талбарын хажуу дахь товчийг дарж metadata URL-ийг хуулна.

5. 5Metadata URL-ийг хөтчийн тусдаа табд нээж, хуудсыг metadata.xml файл болгон хадгална.

Okta-ийн тохиргооны үед metadata.xml файлыг нээлттэй байлгана. Metadata-аас Entity ID болон Assertion Consumer Service URL утгууд хэрэгтэй болно.

Relying party trust нэмэх

GravityZone IdP Proxy болон AD FS-ийн хоорондох холболтыг relying party trust-аар тодорхойлно.

1. 1AD FS суулгасан сервер рүү нэвтэрнэ.

2. 2AD FS Management программыг ажиллуулна.

3. 3Зүүн талын навигацаас AD FS > Relying Party Trusts-ийг сонгоно.

4. 4Баруун талын Actions самбараас Add Relying Party Trust…-ийг дарна.

5. 5Add Relying Party Trust Wizard цонхонд дараах алхмуудыг хийнэ:

1. Welcome хуудсанд Claims aware-ийг сонгоод Start дарна.

2. Select Data Source хуудсанд:

1. Import data about the relying party published online or on a local network сонголтыг сонгоно.

2. Federation metadata address (host name or URL) талбарт GravityZone-оос хуулсан GravityZone IdP Proxy SAML metadata URL-ийг оруулна.

SAML metadata URL нь таны байгаа бүс нутгаас хамаарч болно.

Жишээ:

```
https://gz-idp-proxy-eu.gravityzone.bitdefender.com/saml/sp/metadata
```

3. Next дарна.

3. Specify Display Name хуудсанд service provider-ийн нэр (жишээ нь GravityZone IdP Proxy) оруулаад Next дарна.

4. Configure Certificate хуудсанд Next дарна.

5. Configure URL хуудсанд:

1. Enable support for the SAML 2.0 WebSSO protocol-ийг сонгоно.

2. Relying party SAML 2.0 SSO service URL талбарт Assertion Consumer Service URL-ийг оруулна.

URL нь таны байгаа бүс нутгаас хамаарч болно.

Жишээ:

```
https://gz-idp-proxy-eu.gravityzone.bitdefender.com/saml/sp/AssertionConsumerService
```

6. Configure Identifiers хуудсанд:

1. Relying party trust-ийн танигчаар Entity ID-г оруулна.

Жишээ:

```
https://gz-idp-proxy-eu.gravityzone.bitdefender.com
```

2. Add, дараа нь Next дарна.

7. Choose Access Control Policy хуудсанд Permit everyone-ийг сонгоод Next дарна.

> Тэмдэглэл: Хэрэглэгчдийг GravityZone Control Center-ээс удирддаг тул одоо хэрэглэгч тус бүрийн хандалтыг тохируулах шаардлагагүй.

8. Ready to Add Trust хуудсанд Endpoints таб руу орж, SAML Assertion Consumer Endpoints дор Assertion Consumer Service URL нэмэгдсэнийг шалгаад Next дарна.

Жишээ:

```
https://gz-idp-proxy-eu.gravityzone.bitdefender.com/saml/sp/AssertionConsumerService
```

9. Finish хуудсанд Configure claims issuance policy for this application сонголтыг сонгоно.

6. 6Close дарна.

Claim дүрэм үүсгэх

Relying party trust нэмсний дараа claim issuance дүрэм үүсгэнэ. Trust үүсгэмэгц Edit Claim Issuance Policy цонх нээгдэнэ.

1. 1Шинэ дүрэм үүсгэхийн тулд Add Rule дарна.

2. 2Add Transform Claim Rule Wizard цонхонд:

1. Choose Rule Type хуудсанд Send LDAP Attributes as Claims загварыг сонгоод Next дарна.

2. Configure Claim Rule хуудсанд дараах тохиргоог хийнэ:

1. Claim rule name талбарт тохирох нэр (жишээ нь Send LDAP Atributes as Claims) оруулна.
2. Attribute store дээр Active Directory-г сонгоно.
3. Доорх хүснэгтийн LDAP Attribute (Select or type to add more) дор E-Mail-Addresses-ийг сонгоно.
4. Outgoing Claim Type (Select or type to add more) дор E-mail Address-ийг сонгоно.
5. OK дарна.

3. 3Edit Claim Issuance Policy цонх руу буцаж, шинэ дүрэм үүсгэхийн тулд Add Rule дарна.

4. 4Add Transform Claim Rule Wizard цонхонд:

1. Choose Rule Type хуудсанд Transform an Incoming Claim загварыг сонгоод Next дарна.

2. Configure Claim Rule хуудсанд дараах тохиргоог хийнэ:

1. Claim rule name талбарт тохирох нэр (жишээ нь Transform) оруулна.
2. Incoming claim type дээр E-Mail Address-ийг сонгоно.
3. Outgoing claim type дээр Name ID-г сонгоно.
4. Outgoing name ID format дээр Email-ийг сонгоно.
5. Pass through all claim values-ийг сонгоно.
6. OK дарна.

5. 5Apply, дараа нь OK дарна.

Гарын үсгийн сертификат байршуулах

IdP Proxy-г AD FS-тэй нэгтгэхэд гарын үсгийн сертификат шаардлагатай.

Сертификат үүсгэхийн тулд:

1. 1metadata.xml файлыг нээнэ.

2. 2<X509Certificate>...</X509Certificate> утгыг хуулж текст засварлагчид буулгана.

3. 3Үүсгэсэн файлаа certificate.cer нэрээр хадгална.

Сертификатыг байршуулахын тулд:

1. 1AD FS Management программын зүүн талын навигацаас AD FS > Relying Party Trusts руу орно.

2. 2Голын самбараас IdP Proxy-д зориулж үүсгэсэн relying party trust (GravityZone IdP Proxy)-ийг сонгоно.

3. 3Баруун товчийг дарж Properties-ийг сонгоно.

4. 4Properties цонхонд Signature таб руу орно.

5. 5Add дарна.

6. 6Шинэ цонхны уналтын цэснээс *All Files (\.\)*-ийг сонгоод GravityZone IdP Proxy metadata-аас гаргаж авсан certificate.cer файлыг байршуулна.

7. 7OK дарна.

GravityZone дээр Bitdefender үйлчилгээний SSO-г идэвхжүүлэх

Identity Provider-ийг тохируулсны дараа GravityZone Control Center дээр Bitdefender үйлчилгээний SSO-г идэвхжүүлнэ.

Компанидаа SSO идэвхжүүлэх

Компанидаа Bitdefender үйлчилгээний SSO-г дараах байдлаар идэвхжүүлнэ:

1. 1Control Center-ийн баруун дээд буланд хэрэглэгчийн дүрсийг дараад My Company-г сонгоно.

2. 2Authentication табын GravityZone IdP Proxy single sign-on хэсэгт Identity provider metadata URL (IdP Proxy) талбарт identity provider-ийн metadata URL-ийг оруулна. GravityZone IdP Proxy-ийн SAML metadata URL-д зориулсан нөгөө талбарыг засах боломжгүй.

AD FS-ийн хувьд Identity Provider metadata URL нь https://[:adfs_host]/FederationMetadata/2007-06/FederationMetadata.xml хэлбэртэй бөгөөд [:adfs_host] нь үйлчилгээний FQDN юм.

3. 3Save дарна.

Хэрэглэгчийн баталгаажуулалтын аргыг шалгах

GravityZone-ийн дансны тохиргоонд хэрэглэгчдийн баталгаажуулалтын арга Login using your Identity Provider байх ёстой. GravityZone Control Center SSO аль хэдийн тохируулагдаж, хэрэглэгчид таны Identity Provider-оор нэвтэрч байгаа бол нэмэлт өөрчлөлт хийх шаардлагагүй.

Хэрэв зарим хэрэглэгч GravityZone-ийн нэвтрэх мэдээллээр нэвтэрсээр байвал:

1. 1GravityZone Control Center-д нэвтэрнэ.

2. 2Зүүн талын цэснээс Accounts (Данс) хуудас руу орно.

3. 3Хүснэгтээс хэрэглэгчийн нэрийг дарна.

4. 4Login Security хэсгийн Authentication method дээр Login using your Identity Provider-ийг сонгоно.

> Тэмдэглэл: Энэ сонголт нь гаднах identity provider-тэй GravityZone Control Center SSO-г компанийн түвшинд тохируулсны дараа харагдана.

5. 5Save дарна.

Bitdefender үйлчилгээний SSO-г турших

Identity provider болон GravityZone-ийг тохируулсны дараа SSO-г дараах байдлаар туршиж болно:

1. 1Нэвтрээгүй хөтөч дээр MDR portal-ыг нээнэ.

2. 2Таныг GravityZone IdP Proxy руу, тэндээс AD FS-ийн нэвтрэх хуудас руу чиглүүлэх ёстой.

3. 3Identity provider-оороо нэвтэрнэ.

Таныг MDR portal руу буцаан чиглүүлж, нэвтрэх эрх олгоно.

GravityZone IdP Proxy нь IdP-аас эхлүүлсэн нэвтрэлтийг дэмждэггүй. SSO-г AD FS доторх application дээр дарж биш, Bitdefender үйлчилгээ (жишээ нь MDR portal) рүү шууд орж турших хэрэгтэй.

Bitdefender үйлчилгээний SSO-г идэвхгүй болгох

Өөрийн компани эсвэл удирдлагад байгаа компанийн Bitdefender үйлчилгээний SSO-г идэвхгүй болгохын тулд:

1. 1Тухайн компанийн тохиргооны хуудсанд Identity provider metadata URL (IdP Proxy) талбар дахь identity provider metadata URL-ийг устгана.
2. 2Save дараад үйлдлийг баталгаажуулна.

Энэ нь тусдаа тохируулагдсан GravityZone Control Center SSO-д нөлөөлөхгүй.

Bitdefender үйлчилгээний SSO-г дахин идэвхжүүлэхийн тулд Identity provider metadata URL (IdP Proxy) талбарт identity provider-ийн metadata URL-ийг дахин оруулаад Save дарна.