GravityZone Control Center-ийн single sign-on-ийг AD FS-тэй хэрхэн тохируулах вэ?

GravityZone Control Center нь SAML 2.0 нэвтрэлтийн стандарт ашигладаг төрөл бүрийн Identity Provider (IdP, таниулагч үйлчилгээ)-тэй single sign-on (SSO, нэг удаагийн нэвтрэлт)-ийг дэмждэг.

Энэ нийтлэлд GravityZone Control Center-ийн single sign-on-ийг AD FS-тэй хэрхэн тохируулахыг тайлбарлана. Бусад Identity Provider-ийг тохируулах ерөнхий мэдээллийг 3-р талын identity provider ашиглан single sign-on тохируулах нийтлэлээс үзнэ үү.

Урьдчилсан нөхцөл ба шаардлага

• Танд хэрэглэгч, өөрийн компани болон бусад компаниудыг удирдах GravityZone Cloud администраторын данс байх ёстой.
• Active Directory орчин тохируулагдсан бөгөөд хэрэглэгчид GravityZone-д ашигладагтай ижил и-мэйл хаягтай данстай байх ёстой.
• AD FS үйлчилгээг бүрэн суулгаж, тохируулсан байх ёстой.
• Танд AD FS-д зориулсан хүчинтэй SSL гэрчилгээ болон тэр гэрчилгээний fingerprint байх ёстой.

GravityZone Cloud single sign-on тохируулах

SSO-д зориулж AD FS-ийг тохируулахын тулд дараах алхмуудыг хийнэ.

Relying party trust нэмэх

GravityZone ба AD FS-ийн хоорондын холболтыг relying party trust (итгэмжлэгдсэн талын итгэлцэл)-ээр тодорхойлно.

1. 1AD FS суулгасан сервер рүү нэвтэрнэ.

2. 2AD FS Management программыг ажиллуулна.

3. 3Trust Relationships > Relying Party Trusts-г сонгоно.

4. 4Хулганын баруун товчийг дараад Add Relying Party Trust…-г сонгоно.

5. 5Add Relying Party Trust Wizard цонхонд дараах алхмуудыг хийнэ.

1. Welcome хуудсан дээр Start-г дарна.

2. Select Data Source хуудсан дээр:

1. Import data about the relying party published online or on a local network сонголтыг сонгоно.

2. Federation metadata address (host name or URL) box талбарт service provider-ийн хаягийг оруулна: https://gravityzone.bitdefender.com/sp/metadata.xml

3. Next-г дарна.

3. Specify Display Name хуудсан дээр service provider-ийн нэрийг (gravityzone.bitdefender.com) оруулаад Next-г дарна.

4. Configure Multi-factor Authentication Now? хуудсан дээр I do not want to configure multi-factor authentication settings for this relying party trust at this time сонголтыг сонгоод Next-г дарна.

5. Choose Issuance Authorization Rules хуудсан дээр Permit all users to access this relying party сонголтыг сонгоод Next-г дарна.

> Тэмдэглэл: Хэрэглэгчдийн single sign-on хандалтыг одоо тус тусад нь тохируулах шаардлагагүй, учир нь та тэднийг GravityZone Control Center-ээс удирдана.

6. Ready to Add Trust хуудсан дээр:

1. Endpoints таб руу орж дараах хаягууд нэмэгдсэн эсэхийг шалгана.

- SAML Assertion Consumer Endpoints: https://gravityzone.bitdefender.com/sp/login, binding нь POST.
- SAML Logout Endpoints: https://gravityzone.bitdefender.com/sp/logout, binding нь Redirect.

2. Next-г дарна.

7. Finish хуудсан дээр Open the Edit Claim Rules dialog for this relying party trust when the wizard closes сонголтыг сонгоно.

6. 6Close-г дарна.

Claim rule үүсгэх

Relying party trust нэмсний дараа claim rule (мэдүүлгийн дүрэм) үүсгэх шаардлагатай. Trust үүссэний дараа Edit Claim Rules цонх нээгдэнэ.

1. 1Шинэ дүрэм үүсгэхийн тулд Add Rule-г дарна.

2. 2Add Transform Claim Rule Wizard цонхонд дараах алхмуудыг хийнэ.

1. Choose Rule Type хуудсан дээр Send LDAP Attributes as Claims загварыг сонгоод Next-г дарна.

2. Configure Claim Rule хуудсан дээр дараах тохиргоог хийнэ.

1. Claim rule name талбарт тохирох нэр (жишээ нь Email) оруулна.

2. Attribute store-д Active Directory-г сонгоно.

3. Доорх хүснэгтийн LDAP Attribute (Select or type to add more) дор E-Mail-Addresses-г сонгоно.

4. Outgoing Claim Type (Select or type to add more) дор E-mail Address-г сонгоно.

5. Finish-г дарна.

3. 3Edit Claim Rules цонх руу буцаад шинэ дүрэм үүсгэхийн тулд Add Rule-г дахин дарна.

4. 4Add Transform Claim Rule Wizard цонхонд дараах алхмуудыг хийнэ.

1. Choose Rule Type хуудсан дээр Transform an Incoming Claim загварыг сонгоод Next-г дарна.

2. Configure Claim Rule page дээр дараах тохиргоог хийнэ.

1. Claim rule name box талбарт тохирох нэр (жишээ нь Transform) оруулна.

2. Incoming claim type-д E-Mail Address-г сонгоно.

3. Outgoing claim type-д Name ID-г сонгоно.

4. Outgoing name ID format-д Email-г сонгоно.

5. Pass through all claim values-г сонгоно.

6. Finish-г дарна.

5. 5Apply, дараа нь OK-г дарна.

Гэрчилгээг шинэчлэх

AD FS нь анхдагчаар 365 хоногийн хугацаатай self-signed гэрчилгээ ашиглахаар тохируулагдсан байдаг. Хугацаа дуусахад гэрчилгээг metadata URL ашиглан автоматаар эсвэл гараар шинэчилж болно.

Гэрчилгээг автоматаар шинэчлэх

AD FS дээр Auto Certificate Rollover боломж идэвхтэй бол гэрчилгээ автоматаар шинэчлэгдэнэ. Энэ нь AD FS relying party trust-ийн өөрчлөлтийг, түүний дотор гэрчилгээний өөрчлөлтийг хянаж, шаардлагатай бол шинэчилнэ гэсэн үг.

AD FS сервер дээр хяналтыг идэвхжүүлэхийн тулд:

1. 1Administrative Tools-г нээгээд AD FS Management программыг нээнэ (эсвэл mmc.exe-г ажиллуулна).

2. 2Зүүн талын цэснээс Trust Relationships > Relying Party Trusts руу орно.

3. 3Голын хэсгээс GravityZone-д харгалзах мөрийг (gravityzone.bitdefender.com) баруун товчоор дараад Properties-г сонгоно.

Monitoring табд GravityZone SAML metadata URL (https://gravityzone.bitdefender.com/sp/metadata.xml) харагдаж байгаа эсэхийг шалгана.

4. 4Monitor relying party болон Automatically update relying party нүднүүдийг тэмдэглэнэ.

5. 5Apply, дараа нь OK-г дарна.

AD FS relying party trust-ийн өөрчлөлтийг 24 цаг тутамд шалгаж эхэлнэ.

Гэрчилгээг гараар шинэчлэх

GravityZone SAML metadata URL ашиглан AD FS сервер дээрх гэрчилгээг гараар шинэчлэхийн тулд:

1. 1Administrative Tools-г нээгээд AD FS Management программыг нээнэ (эсвэл mmc.exe-г ажиллуулна).
2. 2Зүүн талын цэснээс Trust Relationships > Relying Party Trusts руу орно.
3. 3Голын хэсгээс GravityZone-д харгалзах мөрийг (gravityzone.bitdefender.com) баруун товчоор дараад Properties-г сонгоно.
4. 4Monitoring табд GravityZone SAML metadata URL (https://gravityzone.bitdefender.com/sp/metadata.xml) харагдаж байгаа эсэхийг шалгана. Харагдахгүй бол metadata URL-ийг оруулаад Test URL-г дарна. Баталгаажихыг хүлээнэ.
5. 5OK-г дарна.
6. 6Properties цонхыг хаана.
7. 7Trust Relationships дотроо байгаад GravityZone-д харгалзах мөрийг (gravityzone.bitdefender.com) баруун товчоор дараад Update from Federation Metadata-г сонгоно.
8. 8Identifiers табд Update-г дарна.
9. 9Encryption болон Signature таб руу орж Effective болон Expiration огноог шалгана.

Гэрчилгээг шинэчилсний дараа SSO-оор нэвтрэх нь хэвийн ажиллаж байгаа эсэхийг шалгана уу.

GravityZone дээр SSO-г идэвхжүүлэх

Identity Provider-ийг тохируулсны дараа GravityZone Control Center руу орж компаниудад SSO-г идэвхжүүлж, хэрэглэгчдийн нэвтрэх аргыг өөрчилнө. Зөвхөн SSO идэвхжүүлсэн компани дор буй хэрэглэгчид Identity Provider-оор нэвтрэх сонголттой байна.

Өөрийн компанид SSO идэвхжүүлэх

GravityZone Control Center-ийн SSO-г өөрийн компанид дараах байдлаар идэвхжүүлнэ.

1. 1Control Center-ийн баруун дээд буланд байгаа хэрэглэгчийн дүрсийг дараад My Company-г сонгоно.

2. 2Authentication табд, GravityZone Control Center single sign-on хэсэгт identity provider-ийн metadata URL-ийг тохирох талбарт оруулна. GravityZone metadata URL-д зориулсан нөгөө талбар засагдахгүй.

AD FS-ийн хувьд Identity Provider metadata URL нь https://[:adfs_host]/FederationMetadata/2007-06/FederationMetadata.xml хэлбэртэй бөгөөд [:adfs_host] нь үйлчилгээний FQDN юм.

3. 3Save-г дарна.

Хэрэглэгчдийн нэвтрэх аргыг өөрчлөх

Компанид SSO идэвхжүүлсний дараа тухайн компани дор буй GravityZone хэрэглэгчийн дансны нэвтрэх аргыг өөрчлөх боломжтой болно.

Хэрэглэгч бүрийн нэвтрэх аргыг нэг нэгээр нь дараах байдлаар өөрчилнө.

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Accounts хуудас руу орно.

3. 3Хүснэгтээс хэрэглэгчийн нэрийг дарна.

4. 4Login Security хэсэгт Authentication method руу орж Login using your Identity Provider-г сонгоно.

5. 5Save-г дарна.

GravityZone-ийн хэрэглэгч хичнээн ч хүнд SSO идэвхжүүлж болох боловч өөрийн администраторын дансанд идэвхжүүлэх боломжгүй.

> Тэмдэглэл: Өөрийн администраторын дансанд SSO идэвхжүүлэх боломжгүй.

Туршиж баталгаажуулсан identity provider-үүд

Дараах identity provider-үүдийг GravityZone SSO-той албан ёсоор туршсан байдаг.

1. 1GravityZone-оос гарна.

2. 2AD FS-ээс гарна.

3. 3https://gravityzone.bitdefender.com/ хаяг руу орно.

4. 4Туршилтад зориулж үүсгэсэн хүчинтэй и-мэйл хаяг (GravityZone администраторын дансныхаас өөр) оруулна.

5. 5Next-г дарна.

Таныг identity provider-ийн нэвтрэх хуудас руу чиглүүлэх ёстой.

6. 6Identity provider-ээрээ нэвтэрнэ.

Таныг GravityZone руу буцаан чиглүүлэх бөгөөд хэдхэн хормын дараа Control Center-т автоматаар нэвтрэх ёстой.

GravityZone Control Center SSO-г идэвхгүй болгох

GravityZone Control Center-ийн single sign-on-ийг идэвхгүй болгохын тулд:

1. 1Тухайн компанийн тохиргооны хуудаснаас Identity Provider metadata URL-ийг устгана.
2. 2Save-г дараад үйлдлийг баталгаажуулна.

Хэрэглэгчид Control Center-ийн нэвтрэх хуудсан дээрх Reset my password сонголтыг дарж зааврыг дагаснаар шинэ нууц үг авч болно.

Компанид GravityZone SSO-г дахин идэвхжүүлэхийн тулд тохиргооны хуудсанд identity provider-ийг дахин оруулаад Save-г дарна.

SSO-г дахин идэвхжүүлсний дараа тухайн компани дор буй хэрэглэгчид Control Center-т GravityZone-ийн нэвтрэх мэдээллээр үргэлжлүүлэн нэвтэрнэ. Identity provider-оор дахин нэвтрүүлэхийн тулд данс бүрийг нэг нэгээр нь гараар тохируулах шаардлагатай.