Enrutamiento de Tráfico a través de un Proxy Web del Sitio (EA)

Extienda el esquema de aprovisionamiento SCIM de Entra para sincronizar los siguientes atributos desde Microsoft Entra ID en la aplicación SCIM de Cato:

• onPremisesSamAccountName: El nombre de inicio de sesión heredado de Windows. Es utilizado por la autenticación de Windows y aplicaciones heredadas que requieren el atributo sAMAccountName

• onPremisesDomainName: El nombre de dominio completamente calificado (FQDN) del dominio de Active Directory local asociado con la cuenta de usuario. Se utiliza junto con onPremisesSamAccountName para identificar al usuario durante la autenticación Kerberos.

Nota:

• Esta configuración debe aplicarse antes de que comience el aprovisionamiento del usuario. Si esto no es posible, para la sincronización con la aplicación SCIM de Cato otra vez

• Antes de editar el esquema, se recomienda guardar una copia del documento JSON. Esto le permite restaurar la configuración original si ocurre un error

• Si sólo está configurando instancias proxy con tráfico no autenticado, este paso no es requerido

Para mapear atributos de identidad de usuario:

1. En el Centro de Administración de Entra, navegue a Aplicaciones Empresariales.

2. Abra la aplicación Cato Networks SCIM .

3. Haga clic en Aprovisionamiento y luego en Editar Aprovisionamiento.

4. Amplíe la sección Mapeo y haga clic en Aprovisionar Usuarios de Azure Active Directory, luego Mostrar opciones avanzadas.

5. Haga clic en Revisar su esquema aquí.
   Se abre un documento de esquema JSON.

6. Para exponer los atributos de fuente de Entra para que puedan ser utilizados en mapeos de aprovisionamiento, usando Ctrl+F, busque "name": "Microsoft Entra ID'.

7. Identifique el array "attributes" (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), el objeto de atributo final es onPremisesSecurityIdentifier .

8. Agregue una coma después del atributo final y pegue las siguientes entradas antes del cierre ]

   Entradas para exponer los atributos de fuente de Entra

   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesSamAccountName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   },
   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesDomainName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   }

9. Para agregar los atributos de extensión SCIM de destino correspondientes al esquema SCIM de Cato, usando Ctrl+F, busque "name: "Cato Networks Provisioning"

10. Identifique el array "attributes" (directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), el objeto de atributo final es dirSyncEnabled .

11. Agregue una coma después del atributo final y pegue las siguientes entradas antes del cierre ]

    Entradas para agregar los atributos de extensión SCIM de destino correspondientes

    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    },
    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    }

12. Para crear los mapeos de sincronización entre los atributos de Entra y los atributos SCIM de Cato, usando Ctrl+F, busque "Provision Azure Active Directory Users" .

13. En ese objeto, identifique el array "attributeMappings".

14. Al final de esa matriz, encuentre el último }, agregue una coma pegue las siguientes entradas antes del cierre ]

    Entradas para sincronizar el mapeo entre los atributos SCIM de Entra y Cato

    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "source": {
        "expression": "[onPremisesSamAccountName]",
        "name": "onPremisesSamAccountName",
        "type": "Attribute",
        "parameters": []
      }
    },
    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "source": {
        "expression": "[onPremisesDomainName]",
        "name": "onPremisesDomainName",
        "type": "Attribute",
        "parameters": []
      }
    }

15. Haga clic en Guardar. Se muestra un mensaje de éxito en el guardado del Editor de Texto de Esquema.
    

16. En la aplicación SCIM de Cato Networks, haga clic en Aprovisionamiento y luego en Editar Aprovisionamiento.

17. Amplíe la sección Mapeo y haga clic en Aprovisionar Usuarios de Azure Active Directory, luego Mostrar opciones avanzadas.

18. Después de unos minutos, asegúrese de que estos mapeos aparezcan:

    • sAMAccountName → onPremisesSamAccountName

    • onPremisesDomainName → onPremisesDomainName

La instancia proxy define los sitios, punto final y método de autenticación. Las opciones de autenticación soportadas son:

• Kerberos: El proxy autentica cada solicitud contra la identidad en el ticket de Kerberos del dispositivo, asociando cada sesión a un usuario específico. Esto permite aplicar políticas basadas en usuario.
  Para usar la autenticación Kerberos, genere un archivo KEYTAB en el Centro de Distribución de Clave Kerberos (KDC). El archivo KEYTAB contiene los secretos que permiten al PoP de Cato validar los tickets de Kerberos y verificar la identidad del usuario.

• Sin Autenticación: El proxy no aplica autenticación de usuario. No se aplican políticas basadas en usuario.

Para crear una instancia proxy:

1. From the navigation menu, select Resources > Site Web Proxy.

2. Haga clic en Nuevo, luego Nuevo Proxy.

3. Agregue un nombre para la instancia proxy y elija el sitio o sitios para asociar al proxy.

4. Ingrese el FQDN que los dispositivos utilizan para conectar con el proxy y un puerto para la instancia proxy.
   Nota: Se muestra la IP Correspondiente para la resolución DNS.
   

5. Seleccione el Método de Autenticación.
   

6. Si se selecciona Kerberos como Método de Autenticación, cargue el archivo KEYTAB. Si está creando una instancia proxy sin autenticación, este paso no es requerido.

7. Haga clic en Aplicar y Crear Regla.
   La instancia Proxy es creada.

Una vez que se crea la instancia proxy, defina sus reglas de red. Cada regla consta de una fuente, un destino y una acción. Las acciones disponibles dependen del Método de Autenticación de la instancia proxy.

• Una instancia proxy de Kerberos soporta estas acciones:

  • Autenticar: El tráfico requiere autenticación Kerberos

  • Permitir: El tráfico es permitido sin autenticación. Utilice una regla Permitir cuando dispositivos, servicios o destinos específicos puedan omitir la autenticación. Las reglas de Permitir deben ordenarse por encima de cualquier regla de Autenticar
    Nota: La acción de Permitir se refiere a la autenticación Kerberos. El tráfico no autenticado es inspeccionado por motores de seguridad y puede ser bloqueado por una política de seguridad.

• Para una instancia proxy sin autenticación, solo está disponible la acción Permitir

El tráfico que no coincide con una regla en la base de reglas del Proxy Web del Sitio es bloqueado por la regla del sistema final.

Para definir una regla de red:

1. From the navigation menu, select Resources > Site Web Proxy.

2. Haga clic en Nuevo, luego en Nueva Regla Proxy.
   El panel de Nueva Regla Proxy se abre.
   Nota: Si está definiendo una regla de red inmediatamente después de crear una instancia proxy, el panel de Nueva Regla Proxy se muestra automáticamente.

3. Introduzca un Nombre para la regla, elija el Proxy al que se aplica la regla, y elija la Posición de la regla dentro de la base de reglas.

4. Agregue la Fuente a ser aplicada por la regla. Las fuentes soportadas son direcciones IP o subredes de la red.
   Nota: Para aplicar la regla a todas las Fuentes, deje esta sección en blanco.

5. Defina los Destinos a los que se aplica la regla.
   Nota: Para aplicar la regla a todos los Destinos, deje esta sección en blanco.

6. Elija la Acción que aplica la regla.

7. Haz clic en Aplicar.

8. Haga clic en Publicar.

9. Ajuste el control Sitio Web Proxy a Activado.

Configure la configuración del proxy del dispositivo para enviar tráfico web al Sitio Web Proxy. El método recomendado es usar un archivo PAC, aunque también se puede hacer manualmente.