Secure Access Service Edge:Secure LDAP user access with SASE

Kullanım senaryoları

SASE, çalışanların iç ağlara ve internete erişimini yönetmenize, kurumsal verileri korumanıza ve günlük iş güvenliği ihtiyaçlarınızı karşılamanıza yardımcı olur. Zaten kullanıcı bilgilerini yönetmek için LDAP kullanıyorsanız SASE sistemini LDAP sisteminize bağlayabilirsiniz. Bu sayede kullanıcılar SASE istemcisine LDAP hesaplarıyla giriş yapabilir. SASE için ayrı bir kimlik yönetimi sistemi tutmanıza gerek kalmaz; bu da kullanıcı bilgisi bakım maliyetlerinizi azaltır.

Ön koşullar

• SASE hizmetini etkinleştirdiniz ve SASE istemcisini yüklediniz. Daha fazla bilgi için bkz. Ücretsiz deneme sürümü için başvurun ve Ayarlar Merkezi.

• Şirketinizin organizasyon yapısını ve güvenlik gruplarını yöneten bir LDAP dizininiz mevcut. Ayrıca bir LDAP yönetici hesabı için kimlik bilgilerine ihtiyacınız var.

Yordam

1. Adım: SASE’yi LDAP verilerine bağlayın

SASE ile LDAP verileri arasında bağlantı kurarak güvenlik gruplarının organizasyon bilgilerini LDAP’den SASE sistemine eşitleyin.

1. SASE konsolu üzerinde oturum açın.

2. Sol gezinme bölmesinde Identity Authentication > Identity Access seçeneklerini seçin.

3. Identity synchronization sekmesinde Create IdP öğesini tıklayın.

4. Create IdP bölmesinde LDAP seçeneğini belirleyin ve ardından Configure düğmesini tıklayın.

5. Basic Configurations sihirbazında aşağıdaki tabloda yer alan parametreleri yapılandırın ve Next düğmesini tıklayın.

   Parametre	Açıklama	Örnek
   IdP Name	Kimlik sağlayıcısının (IdP) adı. Ad 2 ila 100 karakter uzunluğunda olmalı ve Çince karakterler, harfler, rakamlar, tire (-) ve alt çizgi (_) içerebilir.	LDAP-IdP
   Description	Yapılandırmanın açıklaması. Bu açıklama, oturum açarken kimlik sağlayıcısını tanımlamanıza yardımcı olmak üzere SASE istemcisinde oturum açma başlığı olarak görüntülenir.	LDAP
   IdP Status	Kimlik kaynağının durumunu yapılandırın. Geçerli değerler şunlardır: Enabled: Kimlik kaynağı oluşturulduktan sonra etkinleştirilir. Closed: Kimlik kaynağı oluşturulduktan sonra devre dışı bırakılır. Önemli Bir kimlik kaynağını devre dışı bırakırsanız son kullanıcılar SASE uygulamasını kullanarak iç uygulamalara erişemez. Dikkatli olun.	Enabled
   Type	Dizin türü. Geçerli değerler: Microsoft Active Directory: Windows için dizin hizmeti. OpenLDAP: Lightweight Directory Access Protocol’ün açık kaynaklı bir uygulaması.	Microsoft Active Directory
   Server Address	Microsoft Active Directory veya LDAP sunucusunun adresi. En fazla beş sunucu adresi belirtebilirsiniz.	10.10.XX.XX
   Server Port Number	Microsoft Active Directory veya LDAP sunucusunun bağlantı noktası numarası.	389 Not Bağlantı noktası numarasını bilmiyorsanız yöneticinizle iletişime geçin.
   Access Authentication Server from Connector	LDAP kimlik doğrulama hizmeti bir iç ağda dağıtılmışsa iletişim sağlamak için konnektör kullanabilirsiniz. Bağlı bir konnektör örneği seçin. Konnektör yapılandırma hakkında bilgi için bkz. SASE konnektörü kullanma.	Mevcut bir konnektör seçin.
   SSL Connection	Sunucuya yapılan bağlantı için SSL’nin etkinleştirilip etkinleştirilmeyeceğini belirtir. Geçerli değerler: Yes: Veri güvenliğini sağlamak amacıyla veri iletimini şifreler. No: Veri iletimini şifrelemez.	No
   Base DN	Kullanıcı kimlik doğrulaması için kullanılan temel DN (Base DN). Bu değeri ayarladığınızda SASE bu düğüm altındaki tüm hesapları doğrular. Doğrulanan hesaplar SASE istemcisinde oturum açabilir. Bu alanın uzunluğu 2 ila 100 karakterdir. Önemli Doğrulanacak kullanıcılar ve gruplar aynı LDAP düğümü altında değilse User Base DN ve Group Base DN değerlerini Advanced Settings bölümünde belirtmeniz gerekir.	CN=Organizational-Unit,CN=Schema
   Organizational Structure Synchronization	Organizasyon yapısını IdP’den almak için yönetici DN’sini ve parolasını girin. Önemli Bu özelliği yapılandırdıktan sonra organizasyon yapısına göre kullanıcı gruplarına güvenlik ilkeleri uygulayabilirsiniz. Sistem, güvenlik ilkelerini uygularken tekil kullanıcı bilgilerini okumaz.	Yönetici user1’in DN’si: CN=user1,OU=SecurityGroup,DC=sasetest,DC=com Yönetici parolası: 123456****
   Logon Username Attribute	Oturum açma kullanıcı adı için kullanılan nitelik. Tutarlı bir kullanıcı adı formatı sağlamak amacıyla bu niteliği kuruluşunuz içinde tanımlamanız gerekir. Varsayılan bir LDAP niteliği (cn, name, givenName, displayName, userPrincipalName veya sAMAccountName gibi) seçebilir ya da Logon Username Attribute olarak kullanmak üzere başka bir özel nitelik girebilirsiniz. Not userPrincipalName niteliği bir etki alanı soneki içerir. Logon Username Attribute olarak userPrincipalName seçerseniz kullanıcılar oturum açarken etki alanı sonekiyle birlikte tam adı girmelidir; örneğin user***@aliyundoc.com.	cn
   Group Name Attribute	Grup adı olarak kullanılan nitelik. Tutarlı bir grup adı formatı sağlamak amacıyla bu niteliği kuruluşunuz içinde tanımlamanız gerekir. Varsayılan bir LDAP niteliği (cn, name veya sAMAccountName gibi) seçebilir ya da Group Name Attribute olarak kullanmak üzere başka bir özel nitelik girebilirsiniz.	cn
   Group Mapping Attribute	Kullanıcı-grup üyeliğini tanımlayan nitelik. Varsayılan değer: memberOf. Not Bu parametre isteğe bağlıdır. Bir değer belirtirseniz LDAP sunucunuzda yapılandırılan Group Mapping Attribute ile eşleşmelidir.	memberOf
   Group Filter	Belirli grupları almak için kullanılan bir LDAP arama filtresi. Bu filtre farklı gruplar için erişim izinlerini yönetmenize olanak tanır. Yaygın LDAP filtrelerine örnekler: (&(objectClass=organizationalUnit)(objectClass=organization)): objectClass hem organizationalUnit hem de organization olan tüm grupları döndürür. (|(objectClass=organizationalUnit)(objectClass=organization)): objectClass organizationalUnit veya organization olan tüm grupları döndürür. (!(objectClass=organizationalUnit)): objectClass organizationalUnit olmayan tüm grupları döndürür. LDAP filtre sözdizimi hakkında daha fazla bilgi için resmi LDAP belgelerine bakın LDAP Filters.	(|(objectClass=organizationalUnit)(objectClass=organization)(objectClass=group))
   User Filter	Belirli kullanıcıları veya kullanıcı türlerini almak için kullanılan bir LDAP arama filtresi. Yaygın LDAP filtrelerine örnekler: (&(objectClass=person)(objectClass=user)): objectClass hem person hem de user olan tüm kurumsal kullanıcıları döndürür. (|(objectClass=person)(objectClass=user)): objectClass person veya user olan tüm kurumsal kullanıcıları döndürür. (!(objectClass=person)): objectClass person olmayan tüm kurumsal kullanıcıları döndürür. LDAP filtre sözdizimi hakkında daha fazla bilgi için resmi LDAP belgelerine bakın LDAP Filters.	(objectClass=person)
   Automatic Synchronization	Automatic Synchronization özelliğini etkinleştirirseniz sistem LDAP’den bilgileri otomatik olarak eşitler. Automatic Synchronization özelliğini etkinleştirmezseniz organizasyon yapısını manuel olarak eşitlemeniz gerekir. Daha fazla bilgi için bkz. Eşitleme kayıtlarını görüntüleme.	Enabled
   Synchronize User Information	Synchronize User Information özelliğini etkinleştirirseniz sistem Automatic Synchronization Cycle değerine göre LDAP’den kullanıcı bilgilerini otomatik olarak eşitler. Not Automatic Synchronization özelliği etkin değilse Synchronize User Information işlevi çalışmaz.	Enabled
   Automatic Synchronization Cycle	Automatic Synchronization Cycle değerini ayarlayın. Otomatik eşitlemeyi her 1 ila 24 saatte bir gerçekleşecek şekilde ayarlayabilirsiniz.	24 hours

6. Synchronization Settings sihirbazında eşitleme kapsamını ve alan eşlemelerini yapılandırın, ardından Next düğmesini tıklayın.

   Parametre	Açıklama
   Organizational Structure Synchronization	Organizasyon yapısının eşitleneceği kapsam. Synchronize All: Tüm LDAP organizasyon yapısını SASE sistemine eşitler. Partially Synchronize: Eşitlenecek belirli organizasyon birimlerini seçmenize olanak tanır.
   Field Synchronization Mapping	LDAP organizasyon yapısı alanları ile SASE eşitleme alanları arasındaki eşlemeyi yapılandırın. Not SASE sistemindeki yerleşik Local Field After Mapping iş ihtiyaçlarınızı karşılamıyorsa listenin sağ üst köşesindeki View Extended Fields seçeneğini tıklayabilirsiniz. Ardından View Extended Fields panelinde genişletilmiş alanları ekleyebilir, düzenleyebilir veya silebilirsiniz.

7. Logon Settings sihirbazında farklı cihazlar için oturum açma yöntemlerini aşağıdaki tabloda açıklandığı gibi yapılandırın.

   Parametre	Açıklama
   PC Logon Method	Logon with Account and Password ve Password-free Logon yöntemlerini destekler. Kullanıcılar hesap ve parola ile oturum açtığında Two-factor Authentication özelliğini etkinleştirebilirsiniz. Geçerli değerler: OTP-based Authentication: Bu seçeneği etkinleştirirseniz bir OTP Mode seçmelisiniz. Aşağıdaki modlar desteklenir: SASE mobil istemcisinin bir belirteç göstermesine olanak tanır: SASE yerleşik OTP içerir ve çalışanların SASE mobil istemci uygulamasını yüklemesi gerekir. Üçüncü taraf uygulama belirtecine izin ver: Alibaba Cloud uygulaması gibi standart OTP kimlik doğrulayıcı uygulamalar desteklenir. OTP istemcisindeki saatin senkronize olduğundan emin olun. Kurumsal belirtece izin ver: Kendi geliştirdiğiniz kurumsal OTP’yi kullanmak için teknik destek yardımıyla yapılandırmayı tamamlayın. Verification Code-based Authentication: SMS veya e-posta yoluyla gönderilen doğrulama kodlarını destekler. IdP’de her kullanıcı için bir cep telefonu numarası veya e-posta adresi belirtildiğinden emin olun. Parolasız oturum açma yönteminde önce SASE mobil uygulamasını indirip oturum açmanız, ardından kimlik doğrulama için bir QR kodunu taramanız gerekir.
   Mobile Device Logon Method	Logon with Account and Password ve Fingerprint or Face Recognition yöntemlerini destekler. Kullanıcılar hesap ve parola ile oturum açtığında Two-factor Authentication özelliğini etkinleştirebilirsiniz. Geçerli değerler: OTP-based Authentication: OTP-based Authentication özelliğini etkinleştirmeden önce PC’ler için OTP tabanlı kimlik doğrulamayı etkinleştirmeniz ve Allow Tokens on Third-party Applications veya Allow Enterprise-owned Tokens seçeneklerinden birini seçmeniz gerekir. Mobil cihazlar için belirteç yapılandırması PC’lerle aynıdır. Verification Code-based Authentication: Verification Code-based Authentication özelliğini etkinleştirmeden önce IdP’de her kullanıcı için bir cep telefonu numarası veya e-posta adresi belirtildiğinden emin olun. Parmak izi veya yüz tanıma yöntemini kullandığınızda SASE Uygulamasında ilk kez oturum açarken yine de kullanıcı adınızı ve parolanızı girmeniz gerekir.

8. Yapılandırmayı tamamladıktan sonra bölmenin alt kısmındaki Logon Test düğmesini tıklayın. Test başarılı olduktan sonra yapılandırmayı kaydetmek için Ok düğmesini tıklayın.

   Not

   Yapılandırma verileriniz yanlışsa SASE ilgili bir hata mesajı görüntüler. Bağlantıyı test ettikten sonra Failed to connect to the LDAP server. Please contact the administrator. mesajı görünüyorsa sunucu adresi ve bağlantı noktası numarasının doğru girilip girilmediğini ve sunucu ağının normal çalışıp çalışmadığını kontrol etmeniz gerekir.

2. Adım: Bağlantıyı doğrulayın

Yapılandırmayı tamamladıktan sonra bağlantıyı doğrulamak için şu adımları izleyin.

1. SASE Uygulamanızı açın.

2. Kurum doğrulama kimliğini girin ve OK düğmesini tıklayın.

   Secure Access Service Edge konsolu üzerinde oturum açabilirsiniz. Sol taraftaki gezinme bölmesinde Settings sayfasında Enterprise Authentication Identifier değerini edinin.

3. Kullanıcı adınızı ve parolanızı girin ve Log On düğmesini tıklayın.

   Başarılı bir oturum açma işlemi, bağlantının kurulduğunu gösterir.