Secure Access Service Edge:Administrator guide for initial private access setup

Etapa 1: Configurar um provedor de identidade (IdP)

Um provedor de identidade (IdP) gerencia a autenticação de identidade dos colaboradores da empresa. O SASE oferece suporte a sistemas de autenticação de terceiros e próprios, incluindo LDAP, DingTalk, WeChat Work, Feishu, IDaaS e provedores de identidade personalizados. Caso sua empresa utilize vários IdPs, configure cada um deles e ative seu status de autenticação para usar o service SASE com diferentes provedores.

Para testar o recurso rapidamente, este tópico utiliza um IdP personalizado como exemplo.

1. Faça logon no console do SASE.

2. No painel de navegação à esquerda, escolha Identity Authentication > Identity Access.

3. Na aba Identity synchronization, localize o Custom IdP, clique em Actions na coluna Edit e siga as instruções na tela para configurar o IdP personalizado. Para mais informações, consulte Connect to a custom identity provider.

4. Na aba User Group Management, clique em Create User Group.

5. No painel Create User Group, configure as informações do grupo de usuários, como Organizational Structure, Account Name, Email Address e Mobile Phone Number. Em seguida, clique em OK. Para mais informações, consulte User group management.

Etapa 2: Configurar um grupo de usuários

Ao configurar uma política, é necessário especificar o grupo de usuários ao qual ela se aplica.

1. No painel de navegação à esquerda, escolha Identity Authentication > Identity Access.

2. Na aba User Group Management, clique em Create User Group.

3. No painel Create User Group, configure a Organizational Structure, o Account Name, o Email Address e o Mobile Phone Number do grupo de usuários. Depois, clique em OK. Para mais informações, consulte User Group Management.

Etapa 2: Configurar um aplicativo privado

No SASE, um aplicativo privado representa um recurso interno de TI, como um aplicativo, servidor ou banco de dados, que não requer um endereço IP público. Para acessar um aplicativo privado, os colaboradores devem usar um dispositivo com o cliente SASE instalado e passar pelas verificações de identidade e políticas de segurança.

1. No painel de navegação à esquerda, escolha Private Access > Application Management.

2. Na página Office Application, na seção Custom Tags, clique em Add, defina um nome para a tag e clique em OK.

   É possível adicionar até 100 tags personalizadas.

3. Clique em Add Application e configure o aplicativo seguindo estas etapas.

   Se você possuir um servidor DNS para resolver os blocos CIDR internos da sua empresa, clique em Internal DNS Configuration. Na caixa de diálogo DNS Address, insira manualmente o Default DNS Service e os Other DNS Services. O grupo DNS padrão (cada grupo pode conter até dois endereços IP de servidores DNS) é enviado ao cliente SASE como o DNS corporativo principal. Os colaboradores podem alternar entre grupos DNS no cliente para atender a requisitos específicos de acesso.

   Caso nenhum service DNS seja configurado, o SASE configura automaticamente um servidor Alibaba Cloud DNS para resolver os blocos CIDR internos da empresa. Se o Alibaba Cloud DNS PrivateZone estiver configurado, ele terá prioridade na resolução de IP ou nome de domínio.

   1. Na aba Manual Configuration, configure os seguintes parâmetros.

      Parâmetro	Descrição	Exemplo
      Application Name	Nome do aplicativo privado. O nome deve ter de 1 a 128 caracteres e pode conter caracteres chineses, letras, dígitos, hifens (-), sublinhados (_) e pontos (.).	Aplicativo de Gestão de Ponto
      Description	Descrição do aplicativo privado.	Endereço de gestão de ponto para colaboradores
      Tag	Tag personalizada para o aplicativo, útil para classificar, pesquisar e gerenciar aplicativos.	Sistema OA
      Status	Status de acesso do aplicativo. Valores válidos: Enable: O aplicativo está disponível. Disable: O aplicativo está indisponível.	Enable

   2. Clique em Next e configure as seguintes informações de endereço e porta.

      Parâmetro	Descrição	Exemplo
      Application Address	Endereço de acesso privado do aplicativo. É possível definir aplicativos ou recursos usando endereços IP, blocos CIDR, nomes de domínio e nomes de domínio com curinga. Vários endereços de acesso privado podem ser definidos para um único aplicativo.	10.10.1.100
      Port	Número ou intervalo de portas utilizado pelo aplicativo.	80-200
      Protocol	Protocolo do aplicativo. Valores válidos: All Protocols, TCP e UDP.	All Protocols

Etapa 3: Estabelecer uma conexão de rede

Antes de estabelecer uma conexão de rede, confirme a implantação atual do seu service e selecione a solução de conexão apropriada.

Este tópico utiliza recursos de negócios implantados em ambiente fora da Alibaba Cloud como exemplo.

Etapa 4: Criar uma política de confiança zero

Uma política de confiança zero controla o acesso mapeando grupos de usuários para aplicativos específicos. Por padrão, todo acesso é negado. Crie políticas de Allow para conceder acesso aos aplicativos.

1. No painel de navegação à esquerda, escolha Private Access > Access Control.

2. Na aba Zero Trust Policies, clique em Create Policy.

3. No painel Create Policy, configure os seguintes parâmetros e clique em OK.

   Crie quantas políticas de confiança zero forem necessárias para atender às demandas do seu negócio.

   Parâmetro	Descrição	Exemplo
   Policy Name	Nome da política de confiança zero. O nome deve ter de 2 a 100 caracteres e pode conter caracteres chineses, letras, dígitos, hifens (-) e sublinhados (_).	Política de permissão para app de ponto
   Description	Descrição da política de confiança zero.	Todos os usuários podem acessar o aplicativo de gestão de ponto.
   Priority	Número que determina a ordem de avaliação. Um número menor indica maior prioridade (1 é a mais alta). As políticas são avaliadas da maior para a menor prioridade. Em caso de conflito, a política com maior prioridade prevalece.	1
   Action	Ação da política. Valores válidos: Allow Access: A política permite que usuários ou dispositivos acessem o aplicativo especificado. Access Denied: A política impede que usuários ou dispositivos acessem o aplicativo especificado.	Allow
   Applicable User	A política aplica-se aos dispositivos endpoint dos usuários nos grupos especificados. O SASE permite ou bloqueia os comportamentos de acesso correspondentes. Clique em Add. Na aba User Group, selecione o grupo de usuários ao qual a política se aplica. Se os grupos atuais não atenderem às suas necessidades, configure um novo na aba Custom User Group. Para mais informações sobre como configurar grupos de usuários, consulte User group management.	Todos os colaboradores da empresa
   Selected Applications	Aplicativos permitidos ou negados com base na configuração de Action. Clique em Add. Na aba Tag, selecione os aplicativos desejados com base nas tags configuradas. Também é possível selecionar aplicativos diretamente na aba Application.	Aplicativo de Gestão de Ponto
   Security Baselines	Selecione um modelo de linha de base de segurança que atenda aos requisitos da sua empresa.	-
   Policy Status	Defina o status da política.	Enabled

Etapa 5: Verificar a configuração

1. Abra o cliente SASE instalado.

2. Insira o ID de verificação da empresa e clique em OK.

   Faça logon no console do Secure Access Service Edge. No painel de navegação à esquerda, na página Settings, obtenha o Enterprise Authentication Identifier.

3. Faça logon usando o nome de usuário e a senha iniciais recebidos por e-mail ou telefone.

4. Clique em Connect to Private Network.

5. Acesse o aplicativo de gestão de ponto da empresa.

   Se o acesso ao aplicativo for bem-sucedido, a configuração estará correta.