Samouczek: włączanie bezpiecznego dostępu hybrydowego dla aplikacji przy użyciu usług Azure Active Directory B2C i F5 BIG-IP

Dowiedz się, jak zintegrować usługę Azure Active Directory B2C (Azure AD B2C) z programem F5 BIG-IP Access Policy Manager (APM). Starsze aplikacje można bezpiecznie uwidocznić w Internecie za pośrednictwem zabezpieczeń BIG-IP przy użyciu wstępnego uwierzytelniania usługi Azure AD B2C, dostępu warunkowego i logowania jednokrotnego (SSO). F5 Inc. koncentruje się na dostarczaniu, bezpieczeństwie, wydajności i dostępności połączonych usług, w tym przetwarzaniu, magazynowaniu i zasobach sieciowych. Zapewnia sprzętowe, modułowe oprogramowanie i gotowe do użycia w chmurze rozwiązania wirtualne.

Wdróż program F5 BIG-IP Application Delivery Controller (ADC) jako bezpieczną bramę między sieciami prywatnymi a Internetem. Dostępne są funkcje inspekcji na poziomie aplikacji i dostosowywalnych kontroli dostępu. Jeśli serwer proxy działa w trybie zwrotnym, użyj BIG-IP, aby umożliwić bezpieczny dostęp hybrydowy do aplikacji biznesowych z warstwą dostępu tożsamości federacyjnej zarządzaną przez usługę APM.

Przejdź do zasobów i oficjalnych dokumentów na f5.com: Łatwe konfigurowanie bezpiecznego dostępu do wszystkich aplikacji za pośrednictwem identyfikatora Entra firmy Microsoft

Wymagania wstępne

Aby rozpocząć pracę, potrzebne są następujące elementy:

• Subskrypcja platformy Azure
  • Jeśli go nie masz, uzyskaj bezpłatne konto platformy Azure
• Dzierżawca usługi Azure AD B2C połączony z subskrypcją platformy Azure
  • Zobacz Samouczek: tworzenie dzierżawcy usługi Azure Active Directory B2C
• BIG-IP lub wdrożona wersja próbna BIG-IP Virtual Environment (VE) na platformie Azure
  • Zobacz Wdrażanie maszyny wirtualnej F5 BIG-IP Virtual Edition na platformie Azure
• Dowolne z następujących licencji F5 BIG-IP:
  • F5 BIG-IP® Najlepszy pakiet
  • Licencja autonomiczna programu F5 BIG-IP Access Policy Manager™
  • Licencja dodatku programu F5 BIG-IP Access Policy Manager™ na BIG-IP F5 BIG-IP® Local Traffic Manager™ (LTM)
  • 90-dniowa licencja na pełną wersję próbną funkcji BIG-IP
• Aplikacja webowa wykorzystująca nagłówki lub aplikacja IIS do testowania
  • Sprawdź konfigurację aplikacji IIS
• Certyfikat SSL do publikowania usług za pośrednictwem protokołu HTTPS lub używania wartości domyślnej podczas testowania
  • Zobacz , Profil SSL

Opis scenariusza

Poniższy scenariusz opiera się na nagłówkach, ale można użyć tych metod do uzyskania jednokrotnego logowania Kerberos.

W tym scenariuszu dostęp do aplikacji wewnętrznej polega na odbieraniu nagłówków autoryzacji HTTP ze starszego systemu brokerskiego. Agenci sprzedaży mogą być kierowani do odpowiednich obszarów zawartości. Należy rozszerzyć usługę na szerszą bazę odbiorców. Aplikacja zostanie uaktualniona na potrzeby opcji uwierzytelniania użytkowników lub zostanie zastąpiona.

W idealnym przypadku uaktualnienie aplikacji obsługuje bezpośrednie zarządzanie i nadzór przy użyciu nowoczesnej płaszczyzny sterowania. Jednak czas i wysiłek w celu modernizacji wprowadza koszty i potencjalny przestój. Zamiast tego wdroż BIG-IP Virtual Edition (VE) między publicznym Internetem a wewnętrzną siecią wirtualną platformy Azure, aby kontrolować dostęp przy użyciu usługi Azure AD B2C. BIG-IP przed aplikacją umożliwia nakładanie usługi z wstępnym uwierzytelnianiem Azure AD B2C i jednokrotnym logowaniem opartym na nagłówkach, co poprawia bezpieczeństwo aplikacji.

Bezpieczne rozwiązanie dostępu hybrydowego ma następujące składniki:

• Aplikacja — usługa back-end chroniona przez Azure AD B2C oraz BIG-IP bezpieczny dostęp hybrydowy
• Azure AD B2C — dostawca tożsamości (IdP) i serwer autoryzacji OpenID Connect (OIDC), który weryfikuje poświadczenia użytkownika, uwierzytelnianie wieloskładnikowe i logowanie jednokrotne do BIG-IP APM
• BIG-IP — zwrotny serwer proxy dla aplikacji. BIG-IP APM to klient OIDC, oddelegowujący proces uwierzytelniania na serwer autoryzacji OIDC, a następnie przeprowadzający logowanie jednokrotne oparte na nagłówku do usługi zaplecza technicznego.

Na poniższym diagramie przedstawiono przepływ inicjowany przez dostawcę usług (SP) dla tego scenariusza.

1. Użytkownik łączy się z punktem końcowym aplikacji. BIG-IP jest dostawcą usług.
2. BIG-IP klient APM OIDC przekierowuje użytkownika do punktu końcowego dzierżawy usługi Azure AD B2C, serwera autoryzacji OIDC
3. Dzierżawa usługi Azure AD B2C wstępnie uwierzytelnia użytkownika i stosuje zasady dostępu warunkowego
4. Usługa Azure AD B2C przekierowuje użytkownika z powrotem do dostawcy usług przy użyciu kodu autoryzacji
5. Klient OIDC prosi serwer autoryzacji o wymianę kodu autoryzacji dla tokenu identyfikatora
6. BIG-IP APM przyznaje użytkownikowi dostęp i wprowadza nagłówki HTTP w żądaniu klienta przekazanym do aplikacji

Konfiguracja usługi Azure AD B2C

Aby włączyć BIG-IP z uwierzytelnianiem Azure AD B2C, użyj najemcy Azure AD B2C z przepływem użytkownika lub polityką niestandardową.

Zobacz Samouczek: Tworzenie przepływów użytkownika i zasad niestandardowych w Azure AD B2C

Utwórz atrybuty niestandardowe

Uzyskaj atrybuty niestandardowe z obiektów użytkownika usługi Azure AD B2C, federacyjnych dostawców tożsamości, łączników interfejsu API lub rejestracji użytkownika. Uwzględnij atrybuty w tokenie, który przechodzi do aplikacji.

Starsze aplikacje oczekują określonych atrybutów, więc uwzględnij je w przepływie użytkownika. Możesz zastąpić je atrybutami wymaganymi przez aplikację. Możesz też skonfigurować aplikację testową przy użyciu instrukcji, a następnie użyć dowolnych nagłówków.

1. Zaloguj się do portalu Azure jako co najmniej administrator zasad IEF B2C.
2. W okienku po lewej stronie wybierz pozycję Atrybuty użytkownika.
3. Wybierz pozycję Dodaj , aby utworzyć dwa atrybuty niestandardowe.
4. W przypadku identyfikatora agenta wybierz Typ danych ciąg.
5. Dla agenta Geo wybierz Typ danych ciągu.

Dodawanie atrybutów do przepływu użytkownika

1. W menu po lewej stronie przejdź do pozycji Zasady>Przepływy użytkownika.
2. Wybierz swoją politykę, na przykład B2C_1_SignupSignin.
3. Wybierz pozycję Atrybuty użytkownika.
4. Dodaj oba atrybuty niestandardowe.
5. Dodaj atrybut Nazwa wyświetlana . Te atrybuty są zbierane podczas rejestracji użytkownika.
6. Wybierz pozycję Oświadczenia aplikacji.
7. Dodaj oba atrybuty niestandardowe.
8. Dodaj Nazwę wyświetlaną. Te atrybuty trafiają do systemu BIG-IP.
9. Wybierz Uruchom przepływ użytkownika.
10. W menu przepływu użytkownika, na lewym pasku nawigacyjnym, sprawdź polecenia dotyczące zdefiniowanych atrybutów.

Dowiedz się więcej : Samouczek: Tworzenie przepływów użytkownika i zasad niestandardowych w usłudze Azure AD B2C

Federacja usługi Azure AD B2C

Federate BIG-IP i Azure AD B2C dla wzajemnego zaufania. Zarejestruj BIG-IP w dzierżawie usługi Azure AD B2C jako aplikację OIDC.

1. W portalu wybierz pozycję Rejestracje> aplikacjiNowa rejestracja.
2. Wprowadź nazwę aplikacji, na przykład HeaderApp1.
3. W obszarze Obsługiwane typy kontwybierz Konta w dowolnym dostawcy tożsamości lub katalogu organizacyjnym, aby uwierzytelniać użytkowników za pomocą przepływów użytkowników.
4. W obszarze Identyfikator URI przekierowania wybierz opcję Web.
5. Wprowadź publiczną nazwę FQDN usługi chronionej.
6. Podaj ścieżkę.
7. Pozostaw pozostałe opcje.
8. Wybierz pozycję Zarejestruj.
9. Przejdź do pozycji Certyfikaty i wpisy tajne>+ Nowy klucz tajny klienta.
10. Wprowadź opisową nazwę
11. Wprowadź czas życia (TTL) dla tajemnicy używanej przez BIG-IP.
12. Zanotuj klucz tajny klienta dla konfiguracji BIG-IP.

URI przekierowania to punkt końcowy BIG-IP. Po uwierzytelnieniu serwer autoryzacji (Azure AD B2C) wysyła użytkowników do punktu końcowego.

Dowiedz się więcej: Samouczek: rejestrowanie aplikacji internetowej w usłudze Azure AD B2C.

Konfiguracja BIG-IP

W przypadku konfiguracji BIG-IP użyj Guided Configuration w wersji 7/8. Struktura przepływu pracy jest dostosowywana do uzyskiwania dostępu do topologii i umożliwia szybkie publikowanie usług internetowych.

Wersja konfiguracji z przewodnikiem

1. Aby potwierdzić wersję, zaloguj się do konfiguracji internetowej BIG-IP przy użyciu konta administratora.
2. Przejdź do Dostęp>Konfiguracja z Przewodnikiem.
3. Wersja jest wyświetlana w prawym górnym rogu.

Aby zaktualizować Konfigurację Kierowaną, odwiedź my.f5.com, aby uzyskać K85454683: Aktualizacja Konfiguracji Kierowanej F5 BIG-IP w systemie BIG-IP.

Profile SSL

Użyj BIG-IP skonfigurowanego z profilem SSL klienta, aby zabezpieczyć ruch po stronie klienta za pośrednictwem protokołu TLS. Zaimportuj certyfikat zgodny z nazwą domeny używany przez publiczny adres URL aplikacji. Zalecamy użycie publicznego urzędu certyfikacji, ale do testowania można użyć BIG-IP certyfikatów z podpisem własnym.

Aby dodać certyfikaty w usłudze BIG-IP VE i zarządzać nimi, przejdź do techdocs.f5.com dla systemuBIG-IP: administracja SSL.

Konfiguracja krok po kroku

1. Aby uruchomić kreatora wdrażania, w konfiguracji internetowej przejdź do Access>Konfiguracja z Przewodnikiem.
2. Wybierz Federacja>F5 jako klienta OAuth i serwer zasobów.
3. Zapoznaj się z podsumowaniem przepływu dla tego scenariusza.
4. Wybierz Dalej.
5. Kreator się uruchamia.

Właściwości protokołu OAuth

W poniższych sekcjach zdefiniuj właściwości umożliwiające konfigurację federacyjną między systemem BIG-IP APM a serwerem autoryzacji OAuth, który zarządza dzierżawą usługi Azure AD B2C. OAuth jest wspominane w całej konfiguracji BIG-IP. Rozwiązanie korzysta z OIDC, warstwy tożsamości w protokole OAuth 2.0. Klienci OIDC weryfikują tożsamość użytkownika i uzyskują inne informacje o profilu.

Nazwa konfiguracji

Nazwa wyświetlana konfiguracji pomaga odróżnić konfiguracje wdrożenia w Konfiguracji z przewodnikiem. Nie można zmienić nazwy i jest ona wyświetlana tylko w widoku Konfiguracja z przewodnikiem.

Tryb

BIG-IP APM jest klientem OIDC, dlatego wybierz opcję Klient.

Rozwiązywacz DNS

Określony cel musi rozpoznać publiczne adresy IP punktów końcowych usługi Azure AD B2C. Wybierz publiczny program rozpoznawania nazw DNS lub utwórz nowy.

Ustawienia dostawcy

Skonfiguruj usługę Azure AD B2C jako dostawcę tożsamości OAuth2. Konfiguracja z przewodnikiem zawiera szablony usługi Azure AD B2C, ale nie pewne zakresy.

Dodaj nowego dostawcę i skonfiguruj go:

Ogólne właściwości protokołu OAuth

Ustawienia zasad OAuth

Ustawienia dostawcy OAuth

Poniższy identyfikator URI OpenID odnosi się do punktu dostępu metadanych używanego przez klientów OIDC do odnajdywania informacji o dostawcy tożsamości (IdP), takich jak zmiana certyfikatu podpisu.

1. Znajdź punkt końcowy metadanych dla dzierżawy usługi Azure AD B2C. Przejdź do rejestracji aplikacji>punktów końcowych.
2. Skopiuj identyfikator URI dokumentu metadanych programu OpenID Connect usługi Azure AD B2C. Na przykład https://wacketywackb2c .b2clogin.com/<tenantname>.onmicrosoft.com/<policyname>/v2.0/.well-known/openid-configuration.
3. Zaktualizuj identyfikator URI za pomocą swoich właściwości https://<tenantname>.b2clogin.com/WacketywackB2C.onmicrosoft.com/B2C_1_SignUpIn/v2.0/.well-known/openid-configuration.
4. Wklej identyfikator URI do przeglądarki.
5. Wyświetl metadane OIDC dla dzierżawcy Azure AD B2C.

Ustawienia serwera OAuth

Dla serwera autoryzacji OIDC, którym jest Twój dzierżawca Azure AD B2C.

Ustawienia żądania OAuth

BIG-IP wymaga żądań usługi Azure AD B2C w wstępnie skonfigurowanym zestawie żądań. Żądania zostały jednak źle sformułowane i brakuje ważnych parametrów. Dlatego utworzyliśmy je ręcznie.

Żądanie tokenu: włączone

Żądanie przekierowania uwierzytelnienia: włączone

Żądanie odświeżania tokenu: wyłączone Możesz włączyć i skonfigurować zgodnie z potrzebami.

Żądanie OpenID UserInfo: Wyłączone Nieobsługiwane w tenantach usługi globalnej Azure AD B2C.

Właściwości serwera wirtualnego

Utwórz serwer wirtualny BIG-IP w celu przechwycenia żądań klientów zewnętrznych dla usługi zaplecza chronionej przez bezpieczny dostęp hybrydowy. Przypisz serwer wirtualny adres IP zamapowany na publiczny rekord DNS dla punktu końcowego usługi BIG-IP reprezentującego aplikację. Użyj serwera wirtualnego, jeśli jest dostępny, w przeciwnym razie podaj następujące właściwości.

Właściwości puli

Usługi zaplecza są wyświetlane w BIG-IP jako pula z co najmniej jednym serwerem aplikacji, do których serwery wirtualne kierują ruch przychodzący. Wybierz pulę, w przeciwnym razie utwórz nową.

Ustawienia SSO

BIG-IP obsługuje opcje logowania jednokrotnego, ale w trybie klienta OAuth konfiguracja z przewodnikiem jest ograniczona do nagłówków Kerberos lub HTTP. Włącz logowanie jednokrotne i użyj następujących informacji dla programu APM, aby zamapować zdefiniowane atrybuty ruchu przychodzącego na nagłówki ruchu wychodzącego.

Właściwości dostosowywania

Dostosuj język i wygląd ekranów wyświetlanych przez użytkowników w przepływie zasad dostępu APM. Edytuj komunikaty i monity ekranowe, zmień układy ekranu, kolory, obrazy i zlokalizuj podpisy, opisy oraz wiadomości.

W polu tekstowym Nagłówek formularza zastąp F5 Networks ciąg odpowiednią nazwą.

Właściwości zarządzania sesjami

Użyj ustawień zarządzania sesjami BIG-IP, aby zdefiniować warunki, które zakończą sesje lub zezwól na kontynuowanie. Ustaw limity dla użytkowników i adresów IP oraz stron błędów. Zalecamy zaimplementowanie pojedynczego wylogowania (SLO), które bezpiecznie przerywa sesje, co zmniejsza ryzyko nieautoryzowanego dostępu.

Wdrażanie ustawień

Wybierz Wdróż, aby zatwierdzić ustawienia i utworzyć obiekty BIG-IP i APM w celu zabezpieczenia hybrydowego dostępu do aplikacji. Aplikacja jest wyświetlana jako zasób docelowy w dostępie warunkowym. W celu zwiększenia bezpieczeństwa należy zablokować bezpośredni dostęp do aplikacji, wymuszając w ten sposób ścieżkę za pośrednictwem big-IP.

Dowiedz się więcej: Ochrona tożsamości i dostęp warunkowy dla usługi Azure AD B2C

Testowanie przepływu logowania i rejestracji

1. Jako użytkownik przejdź do zewnętrznego adresu URL aplikacji.
2. Zostanie wyświetlona strona logowania OAuth klienta BIG-IP.
3. Zaloguj się przy użyciu udzielenia kodu autoryzacji. Aby usunąć ten krok, zobacz sekcję Konfiguracje uzupełniające .
4. Zarejestruj się i uwierzytelnij dla swojej dzierżawy Azure AD B2C.

Poniższe obrazy to okno dialogowe logowania użytkownika i strona powitalna logowania.

W celu zwiększenia bezpieczeństwa należy zablokować bezpośredni dostęp do aplikacji, wymuszając w ten sposób ścieżkę za pośrednictwem big-IP.

Konfiguracje uzupełniające

Pojedyncze wylogowanie (SLO)

Usługa Azure AD B2C obsługuje wylogowywanie dostawcy tożsamości i aplikacji. Zobacz, Single sign-out (jednokrotne wylogowanie).

Aby osiągnąć cel SLO, włącz funkcję wylogowania aplikacji, aby wywołać punkt końcowy wylogowania usługi Azure AD B2C. Następnie usługa Azure AD B2C przeprowadza ostateczne przekierowanie do BIG-IP. Ta akcja gwarantuje zakończenie sesji APM aplikacji użytkownika.

Alternatywny proces SLO polega na włączeniu nasłuchiwania przez BIG-IP na żądania podczas wybierania przycisku Wyloguj w aplikacjach. Po wykryciu żądania wywołuje punkt końcowy wylogowania usługi Azure AD B2C. Takie podejście uniemożliwia wprowadzanie zmian w aplikacji.

Aby dowiedzieć się więcej o BIG-IP iRules, przejdź na support.f5.com pod adresem K42052145: Konfigurowanie automatycznego zakończenia sesji (wylogowania) na podstawie nazwy pliku wskazywanej przez URI.

1. W portalu przejdź do Zarządzanie>Manifestem.
2. Znajdź właściwość logoutUrl. Odczytuje wartość null.
3. Dodaj URI po wylogowaniu z APM: https://<mysite.com>/my.logout.php3

Zoptymalizowany przepływ logowania

Aby ulepszyć środowisko logowania użytkownika, zablokuj zapytanie logowania użytkownika OAuth wyświetlane przed wstępnym uwierzytelnianiem Microsoft.

1. Przejdź do Dostępu>Konfiguracji z Przewodnikiem.

2. Po prawej stronie wiersza wybierz ikonę kłódki .

3. Aplikacja oparta na nagłówkach odblokowuje rygorystyczną konfigurację.

   

Odblokowanie ścisłej konfiguracji uniemożliwia zmianę za pomocą interfejsu użytkownika kreatora. BIG-IP obiekty są skojarzone z opublikowanym wystąpieniem aplikacji i są otwarte do bezpośredniego zarządzania.

4. Przejdź do Dostęp>Profile/Zasady>Profile dostępu (Zasady sesji).

5. Dla obiektu zasad aplikacji w kolumnie Per-Session Zasady wybierz pozycję Edytuj.

   

6. Aby usunąć obiekt zasad strony logowania OAuth , wybierz pozycję X.

7. Po wyświetleniu monitu połącz się z poprzednim węzłem.

   

8. W lewym górnym rogu wybierz pozycję Zastosuj zasady dostępu.

9. Zamknij kartę edytora wizualizacji.

Podczas próby nawiązania połączenia z aplikacją zostanie wyświetlona strona logowania usługi Azure AD B2C.

Rozwiązywanie problemów

Skorzystaj z poniższych wskazówek dotyczących rozwiązywania problemów, jeśli dostęp do chronionej aplikacji jest blokowany.

Szczegółowość logów

BIG-IP dzienniki zawierają informacje, które pozwalają na izolowanie problemów z uwierzytelnianiem i SSO. Zwiększ poziom szczegółowości dziennika.

1. Przejdź do Zasady dostępu>Przegląd>Dzienniki zdarzeń>Ustawienia.
2. Wybierz wiersz dla opublikowanej aplikacji, a następnie edytuj>dzienniki systemu dostępu.
3. Z listy SSO wybierz Debug.
4. Kliknij przycisk OK.
5. Przed przejrzeniem dzienników powtórz wystąpienie problemu.

Po zakończeniu przywróć poprzednie ustawienia.

Komunikat o błędzie BIG-IP

Jeśli po uwierzytelnieniu usługi Azure AD B2C zostanie wyświetlony komunikat o błędzie BIG-IP, problem może być związany z logowaniem jednokrotnym z Microsoft Entra ID do BIG-IP.

1. Przejdź do pozycji Dostęp>>.
2. Uruchom raport z ostatniej godziny
3. Przejrzyj dzienniki pod kątem wskazówek.
4. Wybierz link Wyświetl zmienne sesji .
5. Ustal, czy APM otrzymuje oczekiwane oświadczenia firmy Microsoft Entra.

Brak komunikatu o błędzie BIG-IP

Jeśli nie zostanie wyświetlony żaden komunikat o błędzie BIG-IP, problem może być związany z żądaniem zaplecza lub logowaniem jednokrotnym z BIG-IP do aplikacji.

1. Przejdź do Zasady dostępu>Przegląd>Aktywne sesje.
2. Wybierz link dla aktywnej sesji.
3. Wybierz link Wyświetl zmienne .
4. Przeanalizuj, aby zidentyfikować przyczynę źródłową, szczególnie jeśli BIG-IP APM uzyskuje niedokładne atrybuty sesji.
5. Użyj logów aplikacji, aby zrozumieć, czy atrybuty zostały otrzymane jako nagłówki.

Znany problem z przewodnikiem konfiguracji w wersji 8

W przypadku korzystania z konfiguracji z przewodnikiem w wersji 8 znany problem generuje następujący błąd po pomyślnym uwierzytelnieniu usługi Azure AD B2C. Problemem może być to, że AGC nie jest ustawione na Auto JWT podczas wdrażania. APM nie może uzyskać kluczy do podpisywania aktualnego tokenu. Inżynieria F5 bada główną przyczynę.

Ten sam dziennik dostępu zawiera szczegółowe informacje.

Ręczne włączanie ustawienia

1. Przejdź do Dostępu>Konfiguracji z Przewodnikiem.
2. Po prawej stronie wiersza dla aplikacji opartej na nagłówku wybierz kłódkę.
3. Przejdź do Dostęp Federacji>>Klient/Serwer Zasobów OAuth>Dostawców.
4. Wybierz dostawcę konfiguracji usługi Azure AD B2C.
5. Zaznacz pole Automatyczne użycie JWT.
6. Wybierz pozycję Odnajdź.
7. Wybierz Zapisz.
8. Pole Klucz (JWT) zawiera identyfikator klucza certyfikatu podpisywania tokenu (KID) z metadanych identyfikatora URI OpenID.
9. W lewym górnym rogu wybierz pozycję Zastosuj zasady dostępu.
10. Wybierz i zastosuj.

Aby uzyskać więcej informacji, przejdź do techdocs.f5.com, gdzie znajdziesz wskazówki dotyczące rozwiązywania problemów z klientem OAuth i serwerem zasobów.