Routage du Trafic à travers un Proxy Site Web (EA)

Étendre le schéma de provisionnement SCIM Entra pour synchroniser les attributs suivants de Microsoft Entra ID dans l'application Cato SCIM :

• onPremisesSamAccountName : Le nom de connexion Windows hérité. Il est utilisé par l'authentification Windows et les applications héritées qui nécessitent l'attribut sAMAccountName.

• onPremisesDomainName : Le nom de domaine complet (FQDN) du domaine Active Directory sur site associé au compte utilisateur. Il est utilisé avec onPremisesSamAccountName pour identifier l'utilisateur lors de l'authentification Kerberos.

Remarque :

• Cette configuration doit être appliquée avant le début du provisionnement des utilisateurs. Si cela n'est pas possible, pour la synchronisation avec l'application Cato SCIM.

• Avant de modifier le schéma, il est recommandé d'enregistrer une copie du document JSON. Cela vous permet de restaurer la configuration d'origine en cas d'erreur.

• Si vous configurez uniquement des instances de proxy avec un trafic non authentifié, cette étape n'est pas requise.

Pour mapper les attributs d'identité utilisateur :

1. Dans le Centre d'administration Entra, naviguez vers Applications d'Entreprise.

2. Ouvrez l'application Cato Networks SCIM .

3. Cliquez sur Provisionnement puis sur Modifier le provisionnement.

4. Développez la section Cartographie et cliquez sur Provisionner les utilisateurs Azure Active Directory, puis Afficher les options avancées.

5. Cliquez sur Révisez votre schéma ici.
   Un document de schéma JSON s'ouvre.

6. Pour exposer les attributs sources d'Entra pour qu'ils puissent être utilisés dans les mappages de provisionnement, utilisez Ctrl+F pour chercher "nom": "Microsoft Entra ID'.

7. Identifiez le tableau "attributes" (répertoires[] > "Microsoft Entra ID" > objets[] > Utilisateur > attributs[]), l'objet attribut final est onPremisesSecurityIdentifier .

8. Ajoutez une virgule après le dernier attribut et collez les entrées suivantes avant la fermeture ]

   Entrées pour exposer les attributs sources d'Entra

   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesSamAccountName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   },
   {
     "anchor": false,
     "caseExact": false,
     "defaultValue": null,
     "flowNullValues": false,
     "multivalued": false,
     "mutability": "ReadWrite",
     "name": "onPremisesDomainName",
     "required": false,
     "type": "String",
     "apiExpressions": [],
     "metadata": [],
     "referencedObjects": []
   }

9. Pour ajouter les attributs d'extension SCIM cible correspondants au schéma Cato SCIM, utilisez Ctrl+F pour chercher "nom: "Provisionnement Cato Networks"

10. Identifiez le tableau "attributes" (répertoires[] > "Microsoft Entra ID" > objets[] > Utilisateur > attributs[]), l'objet attribut final est dirSyncEnabled .

11. Ajoutez une virgule après le dernier attribut et collez les entrées suivantes avant la fermeture ]

    Entrées pour ajouter les attributs d'extension SCIM cible correspondants

    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    },
    {
      "anchor": false,
      "caseExact": false,
      "defaultValue": null,
      "flowNullValues": false,
      "multivalued": false,
      "mutability": "ReadWrite",
      "name": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "required": false,
      "type": "String",
      "apiExpressions": [],
      "metadata": [],
      "referencedObjects": []
    }

12. Pour créer les mappages de synchronisation entre les attributs Entra et Cato SCIM, utilisez Ctrl+F pour chercher "Provisionner les utilisateurs Azure Active Directory" .

13. Dans cet objet, identifiez le tableau "attributeMappings".

14. À la fin de ce tableau, trouvez le dernier }, ajoutez une virgule et collez les entrées suivantes avant la fermeture ]

    Entrées pour synchroniser le mappage entre les attributs Entra et Cato SCIM

    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "source": {
        "expression": "[onPremisesSamAccountName]",
        "name": "onPremisesSamAccountName",
        "type": "Attribute",
        "parameters": []
      }
    },
    {
      "defaultValue": "",
      "exportMissingReferences": false,
      "flowBehavior": "FlowWhenChanged",
      "flowType": "Always",
      "matchingPriority": 0,
      "targetAttributeName": "urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "source": {
        "expression": "[onPremisesDomainName]",
        "name": "onPremisesDomainName",
        "type": "Attribute",
        "parameters": []
      }
    }

15. Cliquez sur Enregistrer. Un message de sauvegarde réussie de l'éditeur de texte du schéma s'affiche.
    

16. Dans l'application Cato Networks SCIM, cliquez sur Provisionnement puis Modifier le provisionnement.

17. Développez la section Cartographie et cliquez sur Provisionner les utilisateurs Azure Active Directory, puis Afficher les options avancées.

18. Après quelques minutes, assurez-vous que ces mappages apparaissent :

    • sAMAccountName → onPremisesSamAccountName

    • onPremisesDomainName → onPremisesDomainName

L'instance proxy définit les sites, le point de terminaison et la méthode d'authentification. Les options d'authentification prises en charge sont :

• Kerberos : Le proxy authentifie chaque requête contre l'identité dans le ticket Kerberos de l'appareil, liant chaque session à un utilisateur spécifique. Cela permet d'appliquer des politiques basées sur l'utilisateur.
  Pour utiliser l'authentification Kerberos, générez un fichier KEYTAB sur le centre de distribution de clés Kerberos (KDC). Le fichier KEYTAB contient les secrets qui permettent au PoP Cato de valider les tickets Kerberos et de vérifier l'identité de l'utilisateur.

• Aucune Authentification : Le proxy n'applique pas d'authentification utilisateur. Les politiques basées sur l'utilisateur ne sont pas appliquées.

Pour créer une instance proxy :

1. From the navigation menu, select Resources > Site Web Proxy.

2. Cliquez sur Nouveau, puis Nouveau proxy.

3. Ajoutez un nom pour l'instance proxy et choisissez le(s) site(s) à associer au proxy.

4. Entrez le FQDN que les appareils utilisent pour se connecter au proxy ainsi qu'un port pour l'instance proxy.
   Note : L'adresse IP correspondante est affichée pour la résolution DNS.
   

5. Sélectionnez la Méthode d'authentification.
   

6. Si Kerberos est sélectionné comme Méthode d'Authentification, téléchargez le fichier KEYTAB. Si vous créez une instance de proxy non authentifiée, cette étape n'est pas requise.

7. Cliquez sur Appliquer et créer une règle.
   L'instance de Proxy est créée.

Une fois l'instance proxy créée, définissez ses règles réseau. Chaque règle se compose d'une source, d'une destination et d'une action. Les actions disponibles dépendent de la Méthode d'authentification de l'instance proxy.

• Une instance proxy Kerberos prend en charge ces actions :

  • Authentifier : Le trafic nécessite une authentification Kerberos.

  • Autoriser : Le trafic est permis sans authentification. Utilisez une règle Autoriser lorsque des appareils, des services ou des destinations spécifiques peuvent contourner l'authentification. Les règles Autoriser doivent être ordonnées avant toute règle Authentifier
    Remarque : L'action Autoriser se réfère à l'authentification Kerberos. Le trafic non authentifié est inspecté par les moteurs de sécurité et peut être bloqué par une politique de sécurité.

• Pour une instance de proxy non authentifiée, seule l'action Autoriser est disponible

Le trafic qui ne correspond pas à une règle dans la base de règles du proxy Web du site est bloqué par la règle système finale.

Pour définir une règle réseau :

1. From the navigation menu, select Resources > Site Web Proxy.

2. Cliquez sur Nouveau, puis Nouvelle règle proxy.
   Le panneau Nouvelle règle proxy s'ouvre.
   Note : Si vous définissez une règle réseau immédiatement après avoir créé une instance proxy, le panneau Nouvelle règle proxy est automatiquement affiché.

3. Entrez un Nom pour la règle, choisissez le Proxy à laquelle la règle s'applique, et choisissez la Position de la règle dans la base de règles.

4. Ajoutez la Source qui sera appliquée par la règle. Les sources supportées sont les adresses IP ou les sous-réseaux.Remarque : Pour appliquer la règle à toutes les sources, laissez cette section vide.

5. Définissez les Destinations auxquelles la règle s'applique.
   Note : Pour appliquer la règle à toutes les destinations, laissez cette section vide.

6. Choisissez l'Action qui est appliquée par la règle.

7. Cliquez sur Appliquer.

8. Cliquez sur Publier.

9. Réglez le bascule Proxy Web du site sur Activé.

Configurez les paramètres de proxy de l'appareil pour envoyer le trafic Web au Proxy Site Web. La méthode recommandée est d'utiliser un fichier PAC, bien que cela puisse également être fait manuellement.