功能介绍

本文档将为您介绍云安全访问服务中IDaaS的AzureAD认证功能。前身为Azure Active Directory (Azure AD) 的Microsoft Entra ID 是Microsoft 提供的一项身分识别和存取权管理解决方案，可协助组织保护和管理混合和多云端环境的身分识别。

前提条件

1、已开通SASE、IDaaS认证平台

2、已有Azure AD账号（如无则创建，见下文1.1）

配置操作

1、AzureAD相关前置设置

1.1创建Azure账号（如有，则忽略）：

https://azure.microsoft.com/zh-cn/free/search/?ef_id=_k_EAIaIQobChMIqsvRqYzcggMVJGsPAh3EoA5sEAAYAiAAEgK2-vD_BwE_k_&OCID=AIDcmmiqezz3h5_SEM__k_EAIaIQobChMIqsvRqYzcggMVJGsPAh3EoA5sEAAYAiAAEgK2-vD_BwE_k_&gad_source=1&gclid=EAIaIQobChMIqsvRqYzcggMVJGsPAh3EoA5sEAAYAiAAEgK2-vD_BwE

1.2创建idaas同步的应用程序：AzureAD首页>点击“管理 Microsoft Entra ID”查看>添加>企业应用程序>创建你自己的应用程序>填写名称，并选择“集成未在库中找到的任何其他应用程序(非库)”

随后可以在应用注册>所有应用程序看到刚注册用来idaas配置的应用程序。

1.3将该应用程序的API权限，读取用户和组的权限授予。

AzureAD首页>点击“管理 Microsoft Entra ID”查看>应用注册，找到对应的应用程序>API权限>添加权限> Microsoft Graph。

先选择“应用程序权限”

搜索“user”并选择“User.Read.All”，添加权限。

搜索“group”并选择“Group.Create、Group.Read.All、Group.ReadWrite.All”，添加权限。

再回去选择“委托的权限”，选择“User.Read.All”，添加权限。

1.4最后检查是有5个API权限的，全部都需要被授予权限。

2、IDaaS用户源

2.1登录IDaaS控制台>统一目录>用户源>Azure Active Directory 用户源，新建用户源。

2.2基础配置的三个参数，分别到AzureAD找到并填入。

【参数说明】

•  租户ID：AzureAD首页>点击“管理 Microsoft Entra ID”查看，租户ID。

•  应用程序(客户端) ID：AzureAD首页>点击“管理 Microsoft Entra ID”查看>应用注册，找到对应的应用程序>复制应用程序ID。

•  客户端密码：AzureAD首页>点击“管理 Microsoft Entra ID”查看>应用注册，点击对应的应用程序>证书和密码（如果没有，就新建客户端密码，注意，新建之后只有唯一一次看到完整密码的机会，记得复制粘贴下来！！！）。

2.3点击同步用户，可以看到从AzureAD同步过来的域用户。

3、IDaaS认证源

3.1新建一个Oauth2.0认证源。

3.2从对应的AzureAD平台，将相关参数填入。

高级配置的用户名，属性表达式默认为空，需要填入和用户源一样的属性表达式。

Tips：可以在用户源匹配规则找到

【参数说明】

•  Client ID：AzureAD首页>点击“管理 Microsoft Entra ID”查看>应用注册，找到对应的应用程序>复制应用程序ID。

•  Client Secret：AzureAD首页>点击“管理 Microsoft Entra ID”查看>应用注册，点击对应的应用程序>证书和密码（如果没有，就新建客户端密码，注意，新建之后只有唯一一次看到完整密码的机会，记得复制粘贴下来！！！）。

•  授权URL：AzureAD首页>点击“管理”查看>应用注册>终结点>OAuth 2.0 授权终结点(v2)

•  Token地址：AzureAD首页>点击“管理”查看>应用注册>终结点>OAuth 2.0 令牌终结点(v2)

•  用户信息请求地址：AzureAD首页>点击“管理”查看>应用注册>终结点>Microsoft Graph API 终结点，将该域名复制，再在后面追加/v1.0/me

•  授权回调地址：AzureAD首页>点击“管理 Microsoft Entra ID”查看>应用注册，点击对应的应用程序>身份验证>平台配置，添加平台>WEB，将IDAAS上的回调地址填入此处。

3.3 到IDaaS应用管理>认证源，开启对应的Oauth2.0认证模块。

4、SASE平台配置

4.1触发IDaaS用户同步到SASE平台：在云安全访问服务>管理>身份管理>高级配置>IDaaS用户源配置，点击保存触发手动同步。

4.2设置认证方式：在云安全访问服务>管理>身份管理>认证管理，选择对应的设备新增策略，勾选Oauth2.0认证方式。

【效果验证】

• 点击客户端登陆，浏览器会重定向跳转到IDaaS的Oauth认证界面

• 跳转AzureAD的登录界面，并输入域账号密码登录。

3、认证成功