Roteamento de Tráfego Através de um Proxy Web do Site (EA)

Estenda o esquema de provisionamento SCIM do Entra para sincronizar os seguintes atributos do Microsoft Entra ID na aplicação SCIM da Cato:

• onPremisesSamAccountName: O nome de logon legado do Windows. Ele é usado pela autenticação do Windows e aplicações legadas que exigem o atributo sAMAccountName.

• onPremisesDomainName:O nome de domínio totalmente qualificado (FQDN) do domínio Active Directory local associado à conta de usuário. Ele é usado juntamente com onPremisesSamAccountNamepara identificar o usuário durante a autenticação Kerberos.

Nota:

• Esta configuração deve ser aplicada antes que o provisionamento de usuários comece. Se isso não for possível, execute a sincronização para a aplicação Cato SCIM uma vez que a configuração seja aplicada

• Antes de editar o esquema, é recomendado salvar uma cópia do documento JSON. Isso permite restaurar a configuração original se ocorrer um erro

• Se você estiver configurando apenas instâncias de proxy de tráfico não autenticado, esta etapa não é necessária

• Os nomes exatos exibidos no esquema podem variar dependendo da versão do modelo de provisionamento Microsoft Entra. Use os exemplos abaixo como referências e localize a fonte Entra equivalente, o alvo Cato e os objetos de mapeamento de provisionamento de usuários no seu esquema

Para mapear atributos de identidade do usuário:

1. No Entra Admin Center:, navegue até Aplicações Empresariais.

2. Abra a Cato Networksaplicação SCIM

3. Clique em Provisionamento e depois em Editar Provisionamento.

4. Expanda a seção de Mapeamento e clique em Provisionar Usuários do Azure Active Directory, depois Mostrar opções avançadas.

5. Clique em Revise seu esquema aqui.Um documento de esquema JSON é aberto.

6. Para expor os atributos da fonte Entra, para que possam ser usados em mapeamentos de provisionamento, usando Ctrl+F, procure por "name": "Microsoft Entra ID'.

7. Identifique o array "attributes"(directories[] > "Microsoft Entra ID" > objects[] > User > attributes[]), o objeto de atributos final é onPremisesSecurityIdentifier.

8. Adicionar uma vírgula após o último atributo e cole as seguintes entradas antes de fechar ]

   Entradas para expor os atributos de fonte Entra

   {
     "anchor":false,
     "caseExact":false,
     "defaultValue":null,
     "flowNullValues":false,
     "multivalued":false,
     "mutability":"ReadWrite",
     "name":"onPremisesSamAccountName",
     "required":false,
     "type":"String",
     "apiExpressions":[],
     "metadata":[],
     "referencedObjects":[]
   },
   {
     "anchor":false,
     "caseExact":false,
     "defaultValue":null,
     "flowNullValues":false,
     "multivalued":false,
     "mutability":"ReadWrite",
     "name":"onPremisesDomainName",
     "required":false,
     "type":"String",
     "apiExpressions":[],
     "metadata":[],
     "referencedObjects":[]
   }

9. Para adicionar os atributos de extensão SCIM correspondentes ao alvo no esquema Cato SCIM, localize o diretório alvo Cato. Pesquise por "name": "Cato Networks Provisioning" ou "name": "CatoNetworks". Se nenhum estiver presente, pesquise por "catonetworks" e localize o objeto de usuário Cato no array de attributes.

10. Adicionar uma vírgula após o último atributo e cole as seguintes entradas antes de fechar ]

    Entradas para adicionar os atributos de extensão SCIM de destino correspondentes

    {
      "anchor":false,
      "caseExact":false,
      "defaultValue":null,
      "flowNullValues":false,
      "multivalued":false,
      "mutability":"ReadWrite",
      "name":"urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "required":false,
      "type":"String",
      "apiExpressions":[],
      "metadata":[],
      "referencedObjects":[]
    },
    {
      "anchor":false,
      "caseExact":false,
      "defaultValue":null,
      "flowNullValues":false,
      "multivalued":false,
      "mutability":"ReadWrite",
      "name":"urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "required":false,
      "type":"String",
      "apiExpressions":[],
      "metadata":[],
      "referencedObjects":[]
    }

11. Para criar os mapeamentos de sincronização entre atributos Entra e atributos Cato SCIM, localize o mapeamento de provisionamento de usuários do Microsoft Entra ID para Cato. Pesquise por "Provision Azure Active Directory Users" ou "Provision Microsoft Entra ID Users", e então encontre o array de attributeMappings daquele objeto.

12. No final desse array, encontre o último }, adicione uma vírgula e cole as seguintes entradas antes de fechar ]

    Entradas para sincronizar o mapeamento entre os atributos Entra e SCIM da Cato

    {
      "defaultValue":"",
      "exportMissingReferences":false,
      "flowBehavior":"FlowWhenChanged",
      "flowType":"Always",
      "matchingPriority":0,
      "targetAttributeName":"urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:sAMAccountName",
      "source":{
        "expression":"[onPremisesSamAccountName]",
        "name":"onPremisesSamAccountName",
        "type":"Attribute",
        "parameters":[]
      }
    },
    {
      "defaultValue":"",
      "exportMissingReferences":false,
      "flowBehavior":"FlowWhenChanged",
      "flowType":"Always",
      "matchingPriority":0,
      "targetAttributeName":"urn:ietf:params:scim:schemas:extension:catonetworks:2.0:User:onPremisesDomainName",
      "source":{
        "expression":"[onPremisesDomainName]",
        "name":"onPremisesDomainName",
        "type":"Attribute",
        "parameters":[]
      }
    }

13. Clique em Salvar. Uma mensagem de "Salvamento bem-sucedido do Editor de Texto de Esquema" é exibida.
    

14. Na aplicação SCIM da Cato Networks, clique em Provisionamento depois Editar Provisionamento.

15. Expanda a seção de Mapeamento e clique em Provisionar Usuários do Azure Active Directory, depois Mostrar opções avançadas. <\/span>

16. Após alguns minutos, certifique-se de que esses mapeamentos apareçam:

    • sAMAccountName → onPremisesSamAccountName

    • onPremisesDomainName → onPremisesDomainName

A instância de proxy define os sites, ponto final e método de autenticação. As opções de autenticação suportadas são:

• Kerberos: O proxy autentica cada solicitação contra a identidade no ticket Kerberos do dispositivo, vinculando cada sessão a um usuário específico. Isso permite que políticas baseadas no usuário sejam aplicadas.
  Para usar a autenticação Kerberos, gere um arquivo KEYTAB no Centro de Distribuição de Chaves Kerberos (KDC). O arquivo KEYTAB contém os segredos que permitem que o PoP da Cato valide tickets Kerberos e verifique a identidade do usuário.

• Sem Autenticação: O proxy não aplica autenticação de usuário. Políticas baseadas no usuário não são aplicadas.

Para criar uma instância de proxy:

1. From the navigation menu, select Resources > Site Web Proxy.

2. Clique em Novo, depois Novo Proxy.

3. Adicione um nome para a instância de proxy e escolha o(s) site(s) para associar ao proxy.

4. Insira o FQDN que os dispositivos usam para conectar-se ao proxy e uma porta para a instância de proxy.
   Nota: O IP Correspondente é exibido para resolução DNS.
   

5. Selecione o Método de Autenticação.
   

6. Se Kerberos for selecionado como o Método de Autenticação, faça o upload do arquivo KEYTAB. Se você estiver criando uma instância de proxy não autenticada, esta etapa não é necessária. <\/span>

7. Clique em Aplicar e Criar Regra.
   A instância de Proxy é criada.

Depois que a instância de proxy for criada, defina suas regras de rede. Cada regra consiste em uma fonte, um destino e uma ação. As ações disponíveis dependem do Método de Autenticação da instância de proxy.

• Uma instância de proxy Kerberos suporta estas ações:

  • Autenticar: O tráfego requer autenticação Kerberos

  • Permitir: O tráfego é permitido sem autenticação. Use uma regra Permitir quando dispositivos, serviços ou destinos específicos puderem ignorar a autenticação. Regras de Permissão devem ser ordenadas acima de quaisquer regras de Autenticação
    Nota: A ação Permitir refere-se à autenticação Kerberos. O tráfego não autenticado é inspecionado pelos motores de segurança e pode ser bloqueado por uma política de segurança. <\/span>

• Para uma instância de proxy não autenticada, apenas a ação Permitir está disponível

Tráfego que não corresponde a uma regra na base de regras do Proxy Web do Site é bloqueado pela regra final do sistema.

Para definir uma regra de rede:

1. From the navigation menu, select Resources > Site Web Proxy.

2. Clique em Novo, depois Nova Regra de Proxy.
   O painel Nova Regra de Proxy se abre.
   Nota: Se você estiver definindo uma regra de rede imediatamente após criar uma instância de proxy, o painel Nova Regra de Proxy é exibido automaticamente.

3. Insira um Nome para a regra, escolha o Proxy ao qual a regra se aplica e escolha a Posição da regra dentro da base de regras.

4. Adicione a Fonte a ser aplicada pela regra. As fontes suportadas são endereços IP ou sub-redes de Rede.
   Nota: Para aplicar a regra a todas as Fontes, deixe esta seção em branco.

5. Defina os Destinos aos quais a regra se aplica.
   Nota: Para aplicar a regra a todos os Destinos, deixe esta seção em branco.

6. Escolha a Ação que é aplicada pela regra.

7. Clique em Aplicar.

8. Clique em Publicar.

9. Defina o botão Proxy Web do Site para Ativado.

Configure as configurações de proxy do dispositivo para enviar tráfego web para o Proxy Web do Site. O método recomendado é usar um arquivo PAC, embora também possa ser feito manualmente.