Secure Access Service Edge:Connect to an LDAP identity provider

Sınırlamalar

Aynı anda en fazla beş kimlik sağlayıcı etkinleştirilebilir ve bunlardan yalnızca biri özel kimlik sağlayıcı olabilir. Bu sınıra ulaşırsanız, yeni bir kimlik sağlayıcıyı etkinleştirmeden önce mevcut bir kimlik sağlayıcıyı devre dışı bırakmanız gerekir.

Windows AD/OpenLDAP kimlik sağlayıcısını yapılandırma

1. SASE konsolu nda oturum açın.

2. Sol gezinme bölmesinde Identity Authentication > Identity Access öğelerini seçin.

3. Identity synchronization sekmesinde Create IdP düğmesini tıklayın.

4. Create IdP panelinde LDAP seçeneğini belirleyin ve Configure düğmesini tıklayın. Yapılandırmayı tamamlamak için sihirbazdaki talimatları izleyin.

5. Basic Configurations adımında aşağıdaki parametreleri belirtin ve Next düğmesini tıklayın.

   Parametre	Açıklama
   IdP Name	Kimlik sağlayıcı için bir ad girin. Ad 2 ila 100 karakter uzunluğunda olmalı ve harf, rakam, tire (-) ve alt çizgi (_) içerebilir.
   Description	Yapılandırma için bir açıklama girin. Bu açıklama, SASE istemcisinde oturum açma başlığı olarak görüntülenir.
   IdP Status	Kimlik kaynağının durumunu yapılandırın. Geçerli değerler şunlardır: Enabled: Kimlik kaynağı oluşturulduktan sonra etkinleştirilir. Closed: Kimlik kaynağı oluşturulduktan sonra devre dışı bırakılır. Önemli Bir kimlik kaynağını devre dışı bırakırsanız son kullanıcılar SASE uygulamasını kullanarak dahili uygulamalara erişemez. Dikkatli olun.
   Type	Dizin türü. Geçerli değerler: Windows AD: Windows Active Directory için dizin hizmeti. OpenLDAP: LDAP'nin açık kaynaklı bir uygulaması.
   Server Address	AD veya LDAP sunucusunun adresi. En fazla beş adres belirtebilirsiniz.
   Server Port Number	AD veya LDAP sunucusunun bağlantı noktası numarası.
   Access Authentication Server from Connector	LDAP kimlik doğrulama hizmetiniz özel bir ağda dağıtılmışsa bağlantı kurmak için bir konnektör kullanabilirsiniz. Etkin bir konnektör örneği seçin. Konnektör yapılandırma hakkında daha fazla bilgi için bkz. Use a SASE connector.
   SSL Connection	AD veya LDAP sunucusuna SSL bağlantılarının etkinleştirilip etkinleştirilmeyeceğini belirtir. Geçerli değerler: Yes: SASE ile sunucu arasında aktarılan verileri şifreler. No: SSL bağlantıları kullanılmaz.
   Base DN	Kullanıcı kimlik doğrulaması için temel ayırt edici ad (DN). SASE, bu DN altındaki tüm kullanıcı hesaplarını doğrular ve onların SASE istemcisinde oturum açmasına olanak tanır. Base DN 2 ila 100 karakter uzunluğunda olmalıdır. Not LDAP dizininizde kullanıcılar ve gruplar aynı Base DN altında değilse User Base DN ve Group Base DN değerlerini Advanced Settings bölümünde belirtmeniz gerekir.
   Organizational Structure Synchronization	Dizin yapısını kimlik sağlayıcınızdan almak için yönetici DN'sini ve parolasını girin. Not Bu yapılandırıldıktan sonra organizasyonel yapınıza dayalı güvenlik ilkeleri uygulayabilirsiniz. Sistem güvenlik ilkelerini uygularken kullanıcı bilgilerinizi okumaz.
   Logon Username Attribute	Oturum açma kullanıcı adı için kullanılan niteliği belirtin. Bu, kuruluşunuzdaki tüm kullanıcılar için kullanıcı adı formatını standartlaştırır. Kullanıcı adı niteliği için cn, name, givenName, displayName, userPrincipalName veya sAMAccountName gibi varsayılan bir LDAP alanı seçebilir veya Logon Username Attribute değerini belirtmek üzere LDAP'de tanımlanmış başka bir alan girebilirsiniz. Not userPrincipalName niteliği genellikle bir alan adı son eki içerir. Logon Username Attribute olarak userPrincipalName seçerseniz kullanıcıların oturum açarken alan adı son eki dahil tam UPN'yi girmesi gerekir. Örneğin: user@aliyundoc.com.
   Group Name Attribute	Grup adı için kullanılan niteliği belirtin. Bu, kuruluşunuz içindeki grup adı formatını standartlaştırır. cn, name veya sAMAccountName gibi varsayılan bir LDAP alanı seçebilir veya Group Name Attribute değerini temsil etmek üzere LDAP'de tanımlanmış başka bir alan girebilirsiniz.
   Group Mapping Attribute	Bir kullanıcının grup üyeliğini tanımlayan niteliği belirtin. Varsayılan değer memberOf şeklindedir. Not Bu parametre isteğe bağlıdır. Yapılandırırsanız değer LDAP dizininizdeki Group Mapping Attribute ayarıyla eşleşmelidir.
   Group Filter	Hangi grupların senkronize edileceğini kontrol etmek için bir grup filtre ifadesi ekleyin. Bu sayede farklı kullanıcı kümeleri için erişim izinlerini yönetebilirsiniz. Yaygın LDAP filtre sözdizimi örnekleri: (&(objectClass=organizationalUnit)(objectClass=organization)): objectClass değeri hem organizationalUnit hem de organization olan grupları arar. (|(objectClass=organizationalUnit)(objectClass=organization)): objectClass değeri organizationalUnit veya organization olan grupları arar. (!(objectClass=organizationalUnit)): objectClass değeri organizationalUnit olmayan grupları arar. LDAP filtre sözdizimi hakkında daha fazla bilgi için resmi LDAP Filters belgelerine bakın.
   User Filter	Hangi kullanıcıların senkronize edileceğini kontrol etmek için bir kullanıcı filtre ifadesi ekleyin. Yaygın LDAP filtre sözdizimi örnekleri: (&(objectClass=person)(objectClass=user)): objectClass değeri hem person hem de user olan kullanıcıları arar. (|(objectClass=person)(objectClass=user)): objectClass değeri person veya user olan kullanıcıları arar. (!(objectClass=person)): objectClass değeri person olmayan kullanıcıları arar. LDAP filtre sözdizimi hakkında daha fazla bilgi için resmi LDAP Filters belgelerine bakın.
   Automatic Synchronization	Etkinleştirildiğinde Automatic Synchronization, LDAP sunucusundan bilgileri ayarlarınıza göre otomatik olarak senkronize eder. Automatic Synchronization özelliğini devre dışı bırakırsanız organizasyonel yapıyı manuel olarak senkronize etmeniz gerekir. Daha fazla bilgi için bkz. View synchronization records.
   Synchronize User Information	Synchronize User Information anahtarını etkinleştirdikten sonra sistem Automatic Synchronization Cycle değerine göre çalışan bilgilerini LDAP'den otomatik olarak senkronize eder. Not Automatic Synchronization özelliği etkinleştirilmezse Synchronize User Information işlevi çalıştırılmaz.
   Automatic Synchronization Cycle	Automatic Synchronization Cycle değerini ayarlayın. Aralığı 1 ila 24 saat arasında ayarlayabilirsiniz.
   Logo	Özel bir logo yükleyin.

6. Synchronization Settings adımında organizasyonel yapı için senkronizasyon kapsamını ve alan eşlemelerini yapılandırın ve ardından Next düğmesini tıklayın.

   Parametre	Açıklama
   Organizational Structure Synchronization	Organizasyonel yapının senkronizasyon kapsamını yapılandırın. Synchronize All: Tüm LDAP organizasyonel yapısını SASE sistemine senkronize eder. Partially Synchronize: Senkronize etmek istediğiniz organizasyonel yapının belirli kısımlarını seçin.
   Field Synchronization Mapping	LDAP organizasyonel yapınızdaki alanlarla SASE içindeki karşılık gelen alanlar arasındaki eşlemeyi tanımlayın. Not SASE içindeki yerleşik Local Field After Mapping seçenekleri iş gereksinimlerinizi karşılamıyorsa listenin sağ üst köşesindeki View Extended Fields seçeneğini tıklayabilirsiniz. View Extended Fields panelinde genişletilmiş alanları ekleyebilir, düzenleyebilir veya silebilirsiniz.

7. Logon Settings adımında cihaz oturum açma yöntemlerini aşağıdaki tabloda açıklandığı gibi yapılandırın.

   Parametre	Açıklama
   PC Logon Method	Logon with Account and Password ve Password-free Logon yöntemlerini destekler. Parola tabanlı oturum açma için Two-factor Authentication özelliğini etkinleştirebilirsiniz. Geçerli değerler: OTP-based Authentication: Etkinleştirilirse bir OTP Mode seçmeniz gerekir. Aşağıdaki modlar desteklenir: SASE mobil istemcisinin belirteçleri görüntülemesine izin ver: Bu, kullanıcıların SASE mobil uygulamasını yüklemesini gerektiren SASE yerleşik OTP özelliğini kullanır. Üçüncü taraf uygulamalardan gelen belirteçlere izin ver: Google Authenticator veya Microsoft Authenticator gibi standart OTP uygulamalarını destekler. İstemcinin saati senkronize edilmiş olmalıdır. Şirkete ait belirteçlere izin ver: Kendi geliştirdiğiniz bir OTP sistemi kullanmak için yapılandırma yardımı amacıyla teknik destek ile iletişime geçin. Verification Code-based Authentication: SMS veya e-posta ile gönderilen doğrulama kodlarını destekler. Kimlik sağlayıcısında her kullanıcı için geçerli bir cep telefonu numarası veya e-posta adresi bulunmalıdır. Parolasız oturum açma için kullanıcıların öncelikle SASE mobil uygulamasını indirip oturum açması ve ardından kimlik doğrulaması için bir QR kodu taraması gerekir.
   Mobile Device Logon Method	Logon with Account and Password ve Fingerprint or Face Recognition yöntemlerini destekler. Parola tabanlı oturum açma için Two-factor Authentication özelliğini etkinleştirebilirsiniz. Geçerli değerler: OTP-based Authentication: Mobil cihazlar için OTP-based Authentication özelliğini etkinleştirmeden önce bunu PC oturum açma için etkinleştirmeniz ve Allow Tokens on Third-party Applications veya Allow Enterprise-owned Tokens seçeneklerinden birini seçmeniz gerekir. Mobil belirteç yapılandırması PC yapılandırmasını yansıtır. Verification Code-based Authentication: Verification Code-based Authentication özelliğini etkinleştirmeden önce kimlik sağlayıcısında her kullanıcı için geçerli bir cep telefonu numarası veya e-posta adresi bulunduğundan emin olun. Parmak izi veya yüz tanıma için yine de SASE uygulamasındaki ilk oturum açmanızda kullanıcı adınızı ve parolanızı girmeniz gerekir.

8. Yapılandırmaları tamamladıktan sonra panelin alt kısmındaki Logon Test düğmesini tıklayın. Test başarılı olduktan sonra yapılandırmayı kaydetmek için Ok düğmesini tıklayın.

   Not

   Yapılandırmanız yanlışsa SASE bir hata mesajı görüntüler. Bağlantı testi Failed To Connect To The LDAP Server. Contact The Administrator. mesajını döndürürse sunucu adresinin ve bağlantı noktasının doğru olduğundan ve sunucuya ağ üzerinden erişilebildiğinden emin olun.

Senkronizasyon kayıtlarını görüntüleme

1. Identity synchronization sekmesinde kimlik sağlayıcısını bulun ve Actions sütunundaki Synchronize Records düğmesini tıklayın.

2. Synchronize Records sayfasında kimlik sağlayıcısı için senkronizasyon kayıtlarını görüntüleyin.

3. Soldaki Synchronization Task alanında belirli bir görevi tıklayarak sağdaki listede senkronizasyon ayrıntılarını görüntüleyin.

   Soldaki senkronizasyon görevi kartı Task ID, Synchronization Method (manuel veya otomatik), Synchronization Status, Creation Time, End Time, Department Synchronization Count ve User Synchronization Count bilgilerini gösterir. Sağdaki senkronizasyon kayıtları tablosu Synchronization Time, Action, Task Status, Type, Name ve Actions sütunlarını içerir. Kayıtları türe, eyleme ve duruma göre filtreleyebilir veya ada göre arama yapabilirsiniz.

4. Belirli bir kaydın Actions sütunundaki Details düğmesini tıklayarak hem Third-party Data Source hem de SASE Data Source kaynaklarından alan bilgilerini görüntüleyin.

Otomatik senkronizasyonu devre dışı bırakma

• Identity synchronization sayfasında kimlik sağlayıcısını bulun ve Automatic Synchronization sütunundaki anahtarı kapatın.

• Edit IdP panelinde otomatik senkronizasyon anahtarını kapatın.

LDAP kimlik sağlayıcısını düzenleme

Identity synchronization sayfasında değiştirmek istediğiniz LDAP kimlik sağlayıcısını bulun ve Actions sütunundaki Edit düğmesini tıklayın.

LDAP kimlik sağlayıcısını devre dışı bırakma

Identity synchronization sekmesinde LDAP kimlik sağlayıcısını bulun ve IdP Status sütunundaki anahtarı kapatın.

LDAP kimlik sağlayıcısını silme

Identity synchronization sayfasında silmek istediğiniz LDAP kimlik sağlayıcısını bulun ve Actions sütunundaki Delete düğmesini tıklayın.

İlgili belgeler

SASE kimlik sağlayıcısını yapılandırma

Kuruluşunuz harici bir kimlik sağlayıcı kullanmıyorsa organizasyonel yapınızı oluşturmak için SASE içindeki yerleşik özel kimlik sağlayıcıyı kullanabilirsiniz. Daha fazla bilgi için bkz. Connect to a custom identity provider.

Üçüncü taraf kimlik sağlayıcıya bağlanma

Kuruluşunuz organizasyonel yapısını yönetmek için LDAP, DingTalk, WeCom, Lark veya IDaaS gibi bir kimlik sağlayıcı kullanıyorsa bunu SASE ile entegre edebilirsiniz.

• Connect to a DingTalk identity provider

• Connect to a WeCom identity provider

• Connect to a Lark identity provider

• Connect to an IDaaS identity provider

Kullanıcı gruplarını yapılandırma

Ana organizasyonel yapınızdan bağımsız kullanıcı grupları oluşturmak için bkz. User group management.