Secure DingTalk user access with Secure Access Service Edge - Secure Access Service Edge

Kurumsal kullanıcıların DingTalk hesaplarıyla doğrudan SASE içinde oturum açabilmesi için Secure Access Service Edge (SASE) hizmetini DingTalk'a bağlayın. Daha sonra şirket verilerinizi korumak amacıyla SASE içindeki kullanıcı erişim izinlerini yönetebilirsiniz.

Senaryolar

SASE hizmeti, kurumsal verileri korurken çalışanlarınızın özel ağlara ve İnternet'e erişimini yönetmenize yardımcı olur. Kullanıcı bilgilerini yönetmek için zaten DingTalk kullanıyorsanız SASE hizmetini DingTalk'a bağlayabilirsiniz. Bu sayede kurumsal kullanıcılar SASE istemcisine doğrudan DingTalk hesaplarıyla oturum açabilir; böylece SASE için ayrı bir kimlik yönetimi sistemi sürdürme ihtiyacını ortadan kaldırmış olursunuz.

İş akışı

Ön koşullar

Secure Access Service Edge hizmetini etkinleştirdiniz ve SASE istemcisini yüklediniz.

Önemli

Bu konudaki DingTalk açıklamaları, yeni DingTalk konsolundaki işlemleri ifade eder. DingTalk Açık Platformu ile ilgili bilgiler yalnızca referans amaçlıdır. Daha fazla bilgi için resmi DingTalk belgelerine bakın.

1. Adım: Bir DingTalk uygulaması oluşturun ve ana sayfa URL'si ekleyin

1.1 Bir DingTalk uygulaması oluşturun

DingTalk verilerini SASE hizmetine senkronize etmek için öncelikle DingTalk Açık Platformu'nda bir DingTalk uygulaması oluşturmanız gerekir.

Not

DingTalk Robot Webhook'u 1 Ocak 2024 tarihinden itibaren aşamalı olarak ticari hale gelecektir. 1 Şubat tarihinde tamamen ticari olacaktır. Ücretsiz kota, takvim ayı başına 5.000 çağrıdır. Daha fazla bilgi için Ücretsiz Webhook'ların Ticarileştirilmesine İlişkin Duyuru bölümüne bakın.
DingTalk uygulama mağazasında, DingTalk üzerinden ücretsiz uyarı anlık iletileri almak için Alibaba Cloud mini uygulamasını etkinleştirebilirsiniz. Şimdi Etkinleştir seçeneğine tıklayın.

Bir yönetici hesabıyla DingTalk Açık Platformu içinde oturum açın. Üst menü çubuğunda Application Development seçeneğine tıklayın.
Soldaki gezinme bölmesinde Internal Enterprise Applications > DingTalk Applications seçeneklerini belirleyin.
DingTalk Applications sayfasında Create Application seçeneğine tıklayın.

Create Internal Enterprise Application iletişim kutusunda parametreleri aşağıdaki tabloda açıklandığı şekilde ayarlayın.

Configuration Item	Description	Example
Application Name	Uygulamanın adı. Ad yalnızca Çince karakterler, büyük harfler, küçük harfler ve rakamlar içerebilir.	Alibaba Cloud SASE
Application Description	Uygulamaya ilişkin ek açıklama.	Alibaba Cloud SASE
Application Icon	Uygulamanın simgesi. JPG veya PNG formatında bir görüntü yükleyin. Görüntü 240 × 240 pikselden büyük, en boy oranı 1:1, boyutu 120 KB'den küçük olmalı ve kenar yarıçapı içermemelidir.

Create seçeneğine tıklayın.

1.2 Ana sayfa URL'sini yapılandırın

Oluşturduğunuz Alibaba Cloud SASE uygulaması için bir ana sayfa URL'si ekleyin.

DingTalk Applications sayfasında oluşturduğunuz Alibaba Cloud SASE uygulamasına tıklayın.
Soldaki gezinme bölmesinde Application Capabilities > Web Application seçeneklerini belirleyin.
Web Application sayfasında Application Homepage URL değerini https://login.aliyuncsas.com/ui/dingAuth/ olarak ayarlayın ve Save seçeneğine tıklayın.

2. Adım: API izinlerini ekleyin ve güvenlik ile paylaşım ayarlarını yapılandırın

2.1 API izinlerini ekleyin

DingTalk organizasyon yapısını senkronize etmek ve dahili uygulamalara güvenli erişim için bir ana sayfa URL'si yapılandırmak amacıyla API izinleri ekleyin.

Bir yönetici hesabıyla DingTalk Açık Platformu içinde oturum açın. Üst menü çubuğunda Application Development seçeneğine tıklayın.
Soldaki gezinme bölmesinde Internal Enterprise Applications > DingTalk Applications seçeneklerini belirleyin.
DingTalk Applications sayfasında oluşturduğunuz Alibaba Cloud SASE uygulamasına tıklayın.
Soldaki gezinme bölmesinde Permission Management seçeneğine tıklayın.
Permission Management sayfasında izin kapsamını ayarlayın ve aşağıdaki izinleri verin.

İzin kapsamını All Employees olarak ayarlayın.
- Personal mobile number information
- Read permission for personal information in the address book
- Enterprise employee mobile number information
- Personal information such as email
- Read permission for department information in the address book
- Read permission for member information
- Read permission for department members in the address book

2.2 Güvenlik ayarları

Çalışanların DingTalk kimlik bilgilerini veya QR kodu tarayarak SASE istemcisinde oturum açmasına olanak tanımak için bir geri arama etki alanı adı yapılandırın.

Soldaki gezinme bölmesinde Development Configuration > Security Settings seçeneklerini belirleyin.
Security Settings sayfasında Server Egress IP alanına DingTalk sunucu tarafı API'sini çağırmasına izin verilen sunucuların IP adreslerini girin.
Redirection URL (Callback Domain) değerini https://login.aliyuncsas.com/open-dev/dingtalk olarak ayarlayın ve Save seçeneğine tıklayın.
Soldaki gezinme bölmesinde Development Configuration > Sharing Settings seçeneklerini belirleyin.
Sharing Settings sayfasında Logon Integration bölümünde https://login.aliyuncsas.com/open-dev/dingtalk adresini geri arama etki alanı adı olarak ekleyin.

2.3 Paylaşım ayarları

Kullanıcıların tek tıkla oturum açtıktan sonra içerik paylaşmasına olanak tanıyarak dahili iş birliğini kolaylaştırmak için paylaşım ayarlarını yapılandırın.

Sharing Settings sayfasında Share Integration bölümünde Edit seçeneğine tıklayın. Aşağıdaki tabloda açıklandığı şekilde iOS Sharing ve Android Sharing parametrelerini yapılandırın ve ardından Save seçeneğine tıklayın.

Kategori	Yapılandırma Öğesi	Değer
iOS Paylaşımı	iOS Bundle ID	com.aliyun.security.saseiosApp
Android Paylaşımı	Android Package Name	com.aliyun.security.sase
Android Paylaşımı	Android Signature	294e7d6880381b01ea56d91ee6656ff0

3. Adım: Secure Access Service Edge hizmetini DingTalk verilerine bağlayın

DingTalk'ı yapılandırdıktan sonra kimlik kaynağı ayarları aracılığıyla SASE hizmetini DingTalk verilerine bağlayın.

Secure Access Service Edge konsolu içinde oturum açın.
Soldaki gezinme bölmesinde Identity Authentication > Identity Access seçeneklerini belirleyin.
Identity Synchronization sekmesinde Add Identity Source seçeneğine tıklayın.
Add Identity Source panelinde DingTalk seçeneğini belirleyin, Start Configuration seçeneğine tıklayın ve sihirbazdaki yapılandırmayı tamamlayın.

Basic Configuration sihirbazında parametreleri aşağıdaki tabloda açıklandığı şekilde yapılandırın.

Yapılandırma Öğesi	Açıklama	Örnek
Identity Source Name	DingTalk adı. Ad 2 ila 100 karakter uzunluğunda olmalı ve Çince karakterler, harfler, rakamlar, kısa çizgiler (-) ve alt çizgiler (_) içerebilir.	test
Description	Yapılandırmanın açıklaması. Bu açıklama, oturum açarken kimlik kaynağını tanımlamanıza yardımcı olmak amacıyla SASE istemci arayüzünde oturum açma başlığı olarak görüntülenir.	DingTalk oturum açma
Identity Source Status	Kimlik kaynağı için durumu yapılandırın. Geçerli değerler şunlardır: Enabled: Kimlik kaynağı oluşturulduktan sonra etkinleştirilir. Closed: Kimlik kaynağı oluşturulduktan sonra devre dışı bırakılır. Önemli Bir kimlik kaynağını devre dışı bırakırsanız son kullanıcılar dahili uygulamalara erişmek için SASE uygulamasını kullanamaz. Dikkatli ilerleyin.	Enabled
CorpId	DingTalk'taki bir kuruluşun benzersiz tanımlayıcısı. CorpId değerini DingTalk Açık Platformu ana sayfasından edinebilirsiniz.	ding3608be7c4e5266ce4ac5d6980864****
AppKey	DingTalk Açık Platformu'nda oluşturulan uygulamanın AppKey değeri. AppKey değerini DingTalk Açık Platformu'ndaki hedef uygulamanın Credentials and Basic Information sayfasından edinebilirsiniz.	dingwjlht8b93ara****
AppSecret	DingTalk Açık Platformu'nda oluşturulan uygulamanın AppSecret değeri. AppSecret değerini DingTalk Açık Platformu'ndaki hedef uygulamanın Credentials and Basic Information sayfasından edinebilirsiniz.	1Uji1mEjhmWq_SmE0KNScspYk0bBgDrlZ95vUTR-bn4FbfeVQQKNr1_1giWA****
Advanced Configuration	DingTalk Type: Standard DingTalk veya Exclusive DingTalk seçeneğini belirleyin. Event Subscription: Olay aboneliklerini yapılandırdıktan sonra kuruluşunuzdaki çalışanların organizasyon yapısı SASE hizmetine senkronize edilir. Bu sayede organizasyon yapısı değiştirildiğinde veya çalışanlar şirketten ayrıldığında SASE güvenlik ilkeleri zamanında güncellenir. Encryption aes_key Şifreleme aes_key değerini DingTalk Açık Platformu'ndaki hedef uygulamanın Event Subscription sayfasından edinin. Encryption token Şifreleme token değerini DingTalk Açık Platformu'ndaki hedef uygulamanın Event Subscription sayfasından edinin.	Şifreleme aes_key: SRIcwnup1JHFJ4O2SzLS1RtQGJzC3RG2c33AM Şifreleme token: YYwR3A3rV6mrvpC
Automatic Synchronization	Automatic Synchronization özelliğini etkinleştirirseniz sistem, senkronizasyon moduna göre DingTalk'tan gelen bilgileri otomatik olarak senkronize eder. Automatic Synchronization özelliğini etkinleştirmezseniz organizasyon yapısını manuel olarak senkronize etmeniz gerekir. Daha fazla bilgi için bkz. Senkronizasyon kayıtlarını görüntüleme.	Enabled
Synchronize Employee Information	Synchronize Employee Information özelliğini etkinleştirirseniz sistem, Automatic Synchronization Epoch değerine göre çalışan bilgilerini DingTalk'tan otomatik olarak senkronize eder. Not Automatic Synchronization devre dışı bırakılırsa Synchronize Employee Information özelliği çalıştırılmaz.	Enabled
Automatic Synchronization Period	Automatic Synchronization Epoch değerini ayarlayın. Aralığı 1 saat ile 24 saat arasında ayarlayabilirsiniz.	24 hours

Panel ayrıca yapılandırma için gereken bağlantıları sağlar. Bağlantılara tıklayarak bunları kopyalayabilirsiniz.

Copy Request URL: Bu değer, DingTalk Açık Platformu üzerinde abonelik yönetimini yapılandırmak için kullanılır.
Copy Application Homepage URL: Bu değer, DingTalk Açık Platformu üzerinde uygulama ayrıntılarını görüntülemek için kullanılır.
Copy Callback Domain Name: Bu değer, DingTalk Açık Platformu üzerinde geri arama etki alanı adını ayarlamak için kullanılır.

Test Connectivity seçeneğine tıklayın. Test başarılı olduktan sonra Next seçeneğine tıklayın.

Not
Bağlantı başarısız olursa sunucu adresinin, sunucu bağlantı noktasının ve diğer bilgilerin doğru olduğunu doğrulayın.

Synchronization Configuration sihirbazında organizasyon yapısı için senkronizasyon kapsamını ve alan eşlemesini yapılandırın ve ardından Confirm seçeneğine tıklayın.

Yapılandırma Öğesi

Açıklama

Organizational Structure Synchronization

Organizasyon yapısını senkronize etmek için kapsamı yapılandırın.

Full Synchronization: Tüm DingTalk organizasyon yapısını SASE sistemine senkronize eder.
Partial Synchronization: Senkronize edilecek organizasyon yapılarını seçin.

Field Synchronization Mapping

DingTalk organizasyon yapısı alanları ile SASE senkronizasyon alanları arasındaki eşlemeyi yapılandırın.

Not

SASE sistemindeki yerleşik Mapped Local Fields iş gereksinimlerinizi karşılamıyorsa listenin sağ üst köşesindeki View Extended Fields seçeneğine tıklayabilirsiniz. View Extended Fields panelinde genişletilmiş alanları ekleyebilir, düzenleyebilir veya silebilirsiniz.

4. Adım: DingTalk olay aboneliklerini yapılandırın

Uygulamanın olay bildirimlerini gerçek zamanlı olarak alabilmesi için DingTalk olay aboneliklerini yapılandırın.

Bir yönetici hesabıyla DingTalk Açık Platformu içinde oturum açın. Üst menü çubuğunda Application Development seçeneğine tıklayın.
Soldaki gezinme bölmesinde Internal Enterprise Applications > DingTalk Applications seçeneklerini belirleyin.
DingTalk Applications sayfasında oluşturduğunuz Alibaba Cloud SASE uygulamasına tıklayın.
Olay aboneliklerini yapılandırın.
1. Soldaki gezinme bölmesinde Event Subscription seçeneğine tıklayın. Push Method değerini HTTP Push olarak ayarlayın. Encryption aes_key, Signature token ve Request URL değerlerini girin. Parametreleri yapılandırmak için şu adımları izleyin.
  1. Secure Access Service Edge konsolu içinde 3. Adımda oluşturduğunuz kimlik kaynağı örneğini bulun. Edit Identity Source panelinde Request URL değerini kopyalayın ve DingTalk Açık Platformu üzerindeki uygulamanın Event Subscription yapılandırmasındaki Request URL alanına yapıştırın.
  2. DingTalk Açık Platformu üzerindeki uygulamanızın Event Subscription bölümünde oluşturulan AES encryption key ve Signature token değerlerini kopyalayın ve Secure Access Service Edge konsolu üzerindeki Edit Identity Source panelindeki ilgili AES encryption key ve Encryption token alanlarına yapıştırın. Yapılandırma öğelerinin ekran görüntüsü için aşağıya bakın.
  3. Yapılandırma tamamlandıktan sonra hem kimlik kaynağı hem de olay aboneliği ayarlarını kaydedin.
2. Event Subscription sayfasında etkinleştirilecek adres defteri olaylarını seçin.
  
  Bunlar arasında User added to address book, User updated in address book, User removed from address book, Department created in address book, Department updated in address book ve Department deleted from address book bulunur. DingTalk olay aboneliklerinin nasıl yapılandırılacağı hakkında daha fazla bilgi için Olay Aboneliği bölümüne bakın.

5. Adım: Bağlantıyı doğrulayın

Yüklediğiniz SASE istemcisini açın.
Kuruluş doğrulama kimliğini girin ve OK seçeneğine tıklayın.

Secure Access Service Edge konsolu içinde oturum açabilirsiniz. Soldaki gezinme bölmesinde Settings sayfasında Enterprise Authentication Identifier değerini edinin.
DingTalk kullanıcı adınızı ve parolanızı girip Log On seçeneğine tıklayın veya oturum açmak için QR kodunu tarayın.

Başarılı bir oturum açma işlemi, bağlantının kurulduğunu gösterir.