Secure Access Service Edge:Secure DingTalk user access with Secure Access Service Edge

Cenários

O SASE ajuda a gerenciar o acesso dos funcionários a redes privadas e à Internet, protegendo os dados corporativos. Se você já utiliza o DingTalk para gerenciar informações de usuários, conecte o SASE ao DingTalk. Isso permite que os usuários corporativos façam logon no cliente SASE diretamente com suas contas do DingTalk, eliminando a necessidade de manter um sistema separado de gerenciamento de identidade para o SASE.

Fluxo de trabalho

Pré-requisitos

Ative o Secure Access Service Edge e instale o the SASE client.

Etapa 1: Crie um aplicativo DingTalk e adicione uma URL de página inicial

Etapa 2: Adicionar permissões de API e configure definições de segurança e compartilhamento

Etapa 3: Conectar o Secure Access Service Edge aos dados do DingTalk

Após configure o DingTalk, conecte o SASE aos dados do DingTalk por meio das configurações de source de identidade.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Identity Authentication > Identity Access.

3. Na aba Identity Synchronization, clique em Add Identity Source.

4. No painel Add Identity Source, selecione DingTalk, clique em Start Configuration e conclua a configuração no assistente.

5. No assistente Basic Configuration, configure os parâmetros conforme descrito na tabela a seguir.

   Item de Configuração	Descrição	Exemplo
   Identity Source Name	Nome do DingTalk. O nome deve ter entre 2 e 100 caracteres e pode conter caracteres chineses, letras, dígitos, hifens (-) e sublinhados (_).	teste
   Description	Descrição da configuração. Esta descrição aparece como título de logon na interface do cliente SASE, ajudando a identificar a source de identidade durante o logon.	Logon via DingTalk
   Identity Source Status	Configure o status da source de identidade. Os valores válidos são: Enabled: A source de identidade é ativada após a criação. Closed: A source de identidade é desativada após a criação. Importante Se você desativar uma source de identidade, os usuários finais não poderão usar o aplicativo SASE para acessar aplicativos internos. Proceda com cautela.	Enabled
   CorpId	Identificador exclusivo da empresa no DingTalk. Obtenha o CorpId na página inicial da DingTalk Open Platform.	ding3608be7c4e5266ce4ac5d6980864****
   AppKey	AppKey do aplicativo criado na DingTalk Open Platform. Obtenha o AppKey na página Credentials and Basic Information do aplicativo desejado na DingTalk Open Platform.	dingwjlht8b93ara****
   AppSecret	AppSecret do aplicativo criado na DingTalk Open Platform. Obtenha o AppSecret na página Credentials and Basic Information do aplicativo desejado na DingTalk Open Platform.	1Uji1mEjhmWq_SmE0KNScspYk0bBgDrlZ95vUTR-bn4FbfeVQQKNr1_1giWA****
   Advanced Configuration	DingTalk Type: Selecione Standard DingTalk ou Exclusive DingTalk. Event Subscription: Após configure as assinaturas de eventos, a estrutura organizacional dos funcionários da sua empresa é sincronizada com o SASE. Isso garante que as políticas de segurança do SASE sejam atualizadas oportunamente quando houver ajustes na estrutura organizacional ou desligamento de funcionários. Encryption aes_key Obtenha a chave de criptografia aes_key na página Event Subscription do aplicativo desejado na DingTalk Open Platform. Encryption token Obtenha o token de criptografia na página Event Subscription do aplicativo desejado na DingTalk Open Platform.	Encryption aes_key: SRIcwnup1JHFJ4O2SzLS1RtQGJzC3RG2c33AM Encryption token: YYwR3A3rV6mrvpC
   Automatic Synchronization	Ao ativar a Automatic Synchronization, o sistema sincroniza automaticamente as informações do DingTalk com base no modo de sincronização. Caso não ative a Automatic Synchronization, sincronize manualmente a estrutura organizacional. Para mais informações, consulte View synchronization records.	Enabled
   Synchronize Employee Information	Ao ativar Synchronize Employee Information, o sistema sincroniza automaticamente as informações dos funcionários do DingTalk com base no Automatic Synchronization Epoch. Nota Se a Automatic Synchronization estiver desativada, o recurso Synchronize Employee Information não será executado.	Enabled
   Automatic Synchronization Period	Defina o Automatic Synchronization Epoch. O intervalo pode variar de 1 hora a 24 horas.	24 horas

   O painel também fornece os links necessários para a configuração. Clique nos links para copiá-los.

   • Copy Request URL: Use este valor para configure o gerenciamento de assinaturas na DingTalk Open Platform.

   • Copy Application Homepage URL: Use este valor para visualize os detalhes do aplicativo na DingTalk Open Platform.

   • Copy Callback Domain Name: Use este valor para defina o nome de domínio de callback na DingTalk Open Platform.

6. Clique em Test Connectivity. Após o teste ser bem-sucedido, clique em Next.

   Nota

   Se a conexão falhar, verifique se o endereço do servidor, a porta do servidor e outras informações estão corretos.

7. No assistente Synchronization Configuration, configure o escopo de sincronização e o mapeamento de campos para a estrutura organizacional e clique em Confirm.

   Item de Configuração	Descrição
   Organizational Structure Synchronization	Configure o escopo para sincronização da estrutura organizacional. Full Synchronization: Sincroniza toda a estrutura organizacional do DingTalk com o sistema SASE. Partial Synchronization: Selecione as estruturas organizacionais específicas a serem sincronizadas.
   Field Synchronization Mapping	Configure o mapeamento entre os campos da estrutura organizacional do DingTalk e os campos de sincronização do SASE. Nota Se os Mapped Local Fields integrados no sistema SASE não atenderem aos seus requisitos de negócios, clique em View Extended Fields no canto superior direito da lista. No painel View Extended Fields, adicione, edite ou exclua campos estendidos.

Etapa 4: Configure assinaturas de eventos do DingTalk

Configure as assinaturas de eventos do DingTalk para que o aplicativo receba notificações de eventos em tempo real.

1. Faça logon na DingTalk Open Platform com uma conta de administrador. Na barra de menu superior, clique em Application Development.

2. No painel de navegação à esquerda, escolha Internal Enterprise Applications > DingTalk Applications.

3. Na página DingTalk Applications, clique no aplicativo Alibaba Cloud SASE criado.

4. Configure as assinaturas de eventos.

   1. No painel de navegação à esquerda, clique em Event Subscription. Defina Push Method como HTTP Push. Insira a Encryption aes_key, o Signature token e a Request URL. Siga estas etapas para configure os parâmetros.

      1. No console do Secure Access Service Edge, localize a instância de source de identidade criada na Etapa 3. No painel Edit Identity Source, copie a Request URL e cole-a no campo Request URL da configuração de Event Subscription do aplicativo na DingTalk Open Platform.

      2. Copie a AES encryption key e o Signature token gerados na seção Event Subscription do seu aplicativo na DingTalk Open Platform e cole-os nos campos correspondentes de AES encryption key e Encryption token no painel Edit Identity Source do console do Secure Access Service Edge. Para mais detalhes, veja a captura de tela abaixo com os itens de configuração.

      3. Após concluir a configuração, salve as definições tanto da source de identidade quanto da assinatura de eventos.

   2. Na página Event Subscription, selecione os eventos de catálogo de endereços a serem ativados.

      Isso inclui User added to address book, User updated in address book, User removed from address book, Department created in address book, Department updated in address book e Department deleted from address book. Para mais informações sobre como configure assinaturas de eventos do DingTalk, consulte Assinatura de Eventos.

Etapa 5: Verifique a conexão

1. Abra o cliente SASE instalado.

2. Insira o ID de verificação da empresa e clique em OK.

   Faça logon no console do Secure Access Service Edge. No painel de navegação à esquerda, na página Settings, obtenha o Enterprise Authentication Identifier.

3. Insira seu nome de usuário e senha do DingTalk e clique em Log On, ou escaneie o código QR para fazer logon.

   Um logon bem-sucedido indica que a conexão foi estabelecida.