使用 Microsoft Entra ID 設定 Akamai 以進行單一登錄

在本文中，您將瞭解如何整合 Akamai 與 Microsoft Entra ID。 在整合 Akamai 與 Microsoft Entra ID 時，您可以：

• 在 Microsoft Entra ID 中控制可存取 Akamai 的人員。
• 讓使用者使用其 Microsoft Entra 帳戶自動登入 Akamai。
• 在一個集中式位置管理您的帳戶。

Microsoft Entra ID 和 Akamai 企業應用程式存取的整合，可讓您順暢地存取裝載於雲端或內部部署的舊版應用程式。 整合式解決方案會利用 Microsoft Entra ID 的所有現代化功能，例如 Microsoft Entra 條件式存取、 Microsoft Entra ID Protection，以及Microsoft 專案標識符治理 ，讓舊版應用程式存取不受應用程式修改或代理程序安裝。

下圖說明 Akamai EAA 適用於更廣泛的混合式安全存取案例。

主要驗證案例

除了對 OpenID Connect、SAML 和 WS-Fed 等新式驗證通訊協定的 Microsoft Entra 原生整合支援外，Akamai EAA 也對 Microsoft Entra ID 的內部和外部存取擴充了舊版驗證應用程式的安全存取，而支援對這些應用程式的新式案例 (例如，不需要密碼的存取)。 這包括：

• 標頭型驗證應用程式
• 遠端桌面
• SSH (安全殼層)
• Kerberos 驗證應用程式
• VNC (虛擬網路運算)
• 無內建身份驗證應用程式或匿名身份驗證
• NTLM 驗證應用程式（具有對使用者的雙重提示保護）
• 表單式應用程式 (具有雙重提示保護)

整合案例

Microsoft 與 Akamai EAA 的合作關係可根據您的商業需求支援多個整合案例，讓您靈活地達到商業需求。 這些工具可用來為所有應用程式提供零時差防護，並逐步分類和設定適當的政策類別。

整合案例 1

Akamai EAA 設定為 Microsoft Entra ID 上的單一應用程式。 管理員可設定應用程式的條件式存取原則，一旦符合條件，使用者即可取得 Akamai EAA 入口網站的存取權。

優點：

• 您只需設定一次 IDP。

缺點：

• 使用者最終會有兩個應用程式入口網站。

• 所有應用程式有共同的單一條件式存取原則涵蓋範圍。

整合案例 2

Akamai EAA 應用程式個別設定於 Azure 入口網站上。 系統管理員可以在應用程式上設定個別條件式存取原則，一旦滿足條件，使用者即可直接重新導向至特定應用程式。

優點：

• 您可以定義個別的條件式存取原則。

• 所有應用程式都會顯示在 0365 Waffle 和 myApps.microsoft.com 面板上。

缺點：

• 您必須設定多個 IDP。

必要條件

本文中所述的案例假設您已經具備下列必要條件：

• 具有有效訂閱的 Microsoft Entra 用戶帳戶。 若尚未有帳戶，可以免費建立帳戶。
• 下列其中一個角色：
  • 應用程式系統管理員
  • 雲端應用程式系統管理員
  • 應用程式管理者。

• 已啟用 Akamai 單一登入 (SSO) 的訂閱服務。

案例描述

在本文中，您會在測試環境中進行 Microsoft Entra SSO 的設定和測試。

• Akamai 支援由 IDP 起始的 SSO。

重要

在整合案例 1 和案例 2 中，以下所列的所有設定都相同。 在整合案例 2 中，您已在 Akamai EAA 中設定個別 IDP，且必須修改 URL 屬性以指向應用程式 URL。

Akamai 企業應用程式存取中 AZURESSO-SP 的常規標籤頁截圖。驗證配置 URL 欄位已突出顯示。

從圖庫新增 Akamai

若要設定將 Akamai 整合到 Microsoft Entra ID 中，您需要從資源庫將 Akamai 新增到受控 SaaS 應用程式清單。

1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。
2. 請流覽至 Entra ID>企業應用程式>新增應用程式。
3. 在 [從資源庫新增] 區段的搜尋方塊中輸入 Akamai。
4. 從結果面板選取 [Akamai]，然後新增應用程式。 將應用程式新增至您的租戶時，請稍候幾秒鐘。

或者，您也可以使用企業應用程式組態精靈。 在此精靈中，您可以將應用程式新增至租戶，將使用者或群組新增至應用程式，指派角色，以及完成 SSO 設定。 深入瞭解 Microsoft 365 精靈。

設定及測試 Akamai 的 Microsoft Entra SSO

以名為 B.Simon的測試用戶，設定及測試與 Akamai 搭配運作的 Microsoft Entra SSO。 若要讓 SSO 能夠運作，您必須建立 Microsoft Entra 使用者與 Akamai 中相關使用者之間的連結關聯性。

若要設定及測試與 Akamai 搭配運作的 Microsoft Entra SSO，請執行下列步驟：

1. 設定 Microsoft Entra SSO - 讓使用者能夠使用此功能。
   • 建立 Microsoft Entra 測試使用者 - 以使用 B.Simon 測試 Microsoft Entra 單一登入。
   • 指派 Microsoft Entra 測試使用者 - 讓 B.Simon 使用 Microsoft Entra 單一登入。
2. 設定 Akamai SSO - 在應用程式端設定單一登入設定。
   • 設定 IDP
   • 以標頭為基礎的驗證
   • 遠端桌面
   • SSH
   • Kerberos 驗證
   • 建立 Akamai 測試使用者 - 以便在 Akamai 中創建一個與 B.Simon 對應的用戶，並將其連結至 Microsoft Entra 中該使用者的表現。
3. 測試 SSO - 確認組態是否正常運作。

設定 Microsoft Entra SSO

遵循下列步驟來啟用 Microsoft Entra SSO。

1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。

2. 流覽至 Entra ID>Enterprise 應用程式>Akamai>單一登入。

3. 在 [選取單一登入方法] 頁面上，選取 [SAML]。

4. 在 [設定使用 SAML 單一登入] 頁面上，選取 [基本 SAML 組態] 的鉛筆圖示來編輯設定。

   

5. 在 [基本 SAML 設定] 區段上，如果您想要以 IDP 起始模式設定應用程式，請輸入下列欄位的值：

   一。 在 [識別碼] 文字方塊中，使用下列模式來輸入 URL：https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

   b。 在 [回覆 URL] 文字方塊中，使用下列模式來輸入 URL：https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

   注意

   這些數值不是真實的。 請使用實際的識別碼和回覆 URL 更新這些值。 請連絡 Akamai 用戶端支援小組以取得這些值。 您也可以參考 [基本 SAML 設定] 區段所顯示的模式。

6. 在 [以 SAML 設定單一登入] 頁面上的 [SAML 簽署憑證] 區段中，尋找 [同盟中繼資料 XML]，然後選取 [下載]，以下載憑證並將其儲存在電腦上。

   

7. 在 [設定 Akamai] 區段上，根據您的需求複製適當的 URL。

   

建立並指派Microsoft Entra 測試使用者

請遵循 建立並指派用戶帳戶 快速入門中的指導方針，以建立名為 B.Simon 的測試用戶帳戶。

設定 Akamai SSO

設定 IDP

AKAMAI EAA IDP 設定

1. 登入 Akamai 企業應用程式存取主控台。

2. 在 Akamai EAA 控制台上，選取 [識別>識別提供者]，然後選取 [新增識別提供者]。

   

3. 在建立新的識別提供者，執行下列步驟：

   一。 指定 [唯一名稱]。

   b。 選擇 [第三方 SAML ]，然後選取 [建立識別提供者] 和 [設定]。

一般設定

在 [ 一般] 索引標籤中，輸入下列資訊：

1. 身分識別攔截 - 指定網域名稱（SP 基底 URL - 用於 Microsoft Entra 配置）。

   注意

   您可以選擇擁有自己的自訂網域（需要 DNS 項目和憑證）。 在此範例中，我們將使用 Akamai 網域。

2. Akamai 雲端區域 - 選取適當的雲端區域。

3. 憑證驗證 - 查看 Akamai 文件（選用）。

驗證組態

1. URL - 指定與「身分識別攔截」相同的 URL（這是驗證後用戶被重新導向的地方）。

2. 登出 URL：更新登出 URL。

3. 簽署 SAML 要求：預設為未勾選。

4. 對於 IDP 中繼資料檔案，在 Microsoft Entra ID 主控台中新增應用程式。

   

會話設定

將設定保留為預設值。

目錄

在 [ 目錄] 索引標籤中，略過目錄組態。

自訂使用者介面

您可以將自訂內容新增至 IDP。 在 [自定義] 索引標籤中，有 [自定義 UI]、[語言設定] 和 [主題] 的設定。

進階設定

在 [ 進階設定] 索引標籤中，接受預設值。 如需詳細資訊，請參閱 Akamai 檔。

部署

1. 在 [ 部署] 索引標籤中，選取 [部署識別提供者]。

2. 驗證部署成功。

以標頭為基礎的驗證

以 Akamai 標頭為基礎的驗證

1. 從「新增應用程式」精靈選擇 [自訂 HTTP]。

   

2. 輸入 [應用程式名稱] 和 [描述]。

   

   

   

驗證

1. 選取「驗證」標籤頁。

   

2. 選取指派識別提供者。

服務

選取 [儲存] 移至 [驗證]。

進階設定

1. 在 [客戶 HTTP 標頭] 底下，指定 [CustomerHeader] 和 [SAML 屬性]。

   

2. 選取 [儲存]，然後移至 [部署] 按鈕。

   

部署應用程式

1. 選取 [部署應用程式] 按鈕。

   

2. 確認應用程式已部署成功。

   

3. 使用者體驗。

   

   

4. 條件式存取。

   

   

遠端桌面

1. 從「新增應用程式」精靈選擇 [RDP]。

   

2. 輸入 應用程式名稱，例如 SecretRDPApp。

3. 選取描述，例如使用 Microsoft Entra 條件式存取來保護 RDP 會話。

4. 指定提供此服務的連接器。

   

驗證

在 [ 驗證] 索引標籤中，選取 [ 儲存] 並移至 [服務]。

服務

選取 [儲存]，然後移至 [進階設定]。

進階設定

1. 選取 [儲存]，然後移至 [部署]。

   

   

   

2. 一般使用者體驗

   

   

3. 條件式存取

   

   

   

4. 或者，您也可以直接輸入 RDP 應用程式 URL。

SSH

1. 移至 [新增應用程式]，選擇 [SSH]。

   

2. 輸入應用程式名稱和描述，例如Microsoft Entra 新式驗證至 SSH。

3. 設定應用程式識別碼。

   一。 指定名稱/描述。

   b。 指定 SSH 的應用程式伺服器 IP/FQDN 和連接埠。

   丙. 指定 SSH 使用者名稱 / 通行密碼 *檢查 Akamai EAA。

   d。 指定外部主機名稱。

   ｅ。 指定連接器的位置，然後選擇連接器。

驗證

在 [ 驗證] 索引標籤中，選取 [ 儲存] 並移至 [服務]。

服務

選取 [儲存]，然後移至 [進階設定]。

進階設定

選取 [儲存] 並移至 [部署]。

部署

1. 選取 [部署應用程式]。

   

2. 一般使用者體驗

   

   

3. 條件式存取

   

   

   

   

Kerberos 驗證

在下列範例中，我們會發佈內部網頁伺服器於 http://frp-app1.superdemo.live ，並使用 KCD 啟用 SSO。

一般標籤

「驗證」索引標籤

在 [驗證標籤頁] 中，指派身份提供者。

服務頁籤

進階設定

部署頁籤

新增目錄

1. 從下拉式清單中選取「AD」。

   

2. 提供必要的資料。

   

3. 驗證目錄創建。

   

4. 新增需要存取權的群組/OU。

   

5. 在下列畫面中，群組稱為 EAAGroup，且有 1 個成員。

   

6. 將目錄新增至您的識別提供者，請選取 [識別>識別提供者]，然後選取 [目錄] 索引標籤，並選取 [指派目錄]。

為 EAA 設定 KCD 委派的指南

步驟 1：建立帳戶

1. 在此範例中，我們使用名為 EAADelegation 的帳戶。 您可以使用 Active Directory 使用者和電腦 Snappin 來執行此作業。

   注意

   根據 [身分識別攔截名稱]，使用者名稱必須採用特定格式。 從圖 1 中看到它是 corpapps.login.go.akamai-access.com

2. 使用者登入名稱為：HTTP/corpapps.login.go.akamai-access.com

   

步驟 2：設定此帳戶的 SPN

1. 根據此範例，SPN 如下所示。

2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

   

步驟 3：設定委派

1. 針對 EAADelegation 帳戶，選取 [委派] 頁籤。

   

   • 指定使用任一驗證通訊協定。
   • 選取 [新增] 並新增 Kerberos 網站的 [應用程式集區帳戶]。 如果正確設定, SPN 應該能夠自動解析為正確的值。

步驟 4：建立 AKAMAI EAA 的金鑰表檔案

1. 以下是一般語法。

2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/[email protected] /mapuser [email protected] /pass +rdnPass /crypto 全部 /ptype KRB5_NT_PRINCIPAL

3. 範例說明

   片段	說明
   Ktpass /out EAADemo.keytab	// 輸出金鑰表檔案的名稱
   /princ HTTP/[email protected]	// HTTP/yourIDPName@您的網域名稱
   /地圖使用者 [email protected]	// EAA 委派帳戶
   /密碼 RANDOMPASS	// EAA 委派帳戶密碼
   /crypto 所有 KRB5_NT_PRINCIPAL 的 ptype	// 請參閱 Akamai EAA 文件

4. Ktpass /out EAADemo.keytab /princ HTTP/[email protected] /mapuser [email protected] /pass RANDOMPASS /crypto 全部 ptype KRB5_NT_PRINCIPAL

   

步驟 5：在 AKAMAI EAA 主控台中匯入金鑰表

1. 選取 系統>Keytabs。

   

2. 在 [金鑰表類型] 中，選擇 Kerberos 委派。

   

3. 確定金鑰表顯示為 [已部署] 和 [已驗證]。

   

4. 使用者體驗

   

   

5. 條件式存取

   

   

   

建立 Akamai 測試使用者

在本節中，您要在 Akamai 中建立名為 B.Simon 的使用者。 請與 Akamai 用戶端支援小組合作，在 Akamai 平台中新增使用者。 您必須先建立和啟動使用者，然後才能使用單一登入。

測試 SSO

在本節中，您會使用下列選項來測試您的 Microsoft Entra 單一登入設定。

• 選取 [測試此應用程式]，您應該會自動登入您已設定 SSO 的 Akamai。

• 您可以使用 Microsoft 我的應用程式。 當您在 [我的應用程式] 中選取 [Akamai] 圖格時，應該會自動登入您已設定 SSO 的 Akamai。 如需「我的應用程式」的詳細資訊，請參閱我的應用程式簡介。

相關內容

設定好 Akamai 之後，即可實施工作階段控制，以即時保護組織的敏感性資料，避免遭到外流和非法上傳。 工作階段控制延伸自條件式存取。 了解如何使用 Microsoft Defender for Cloud Apps 強制執行工作階段控制。