通过

使用 Microsoft Entra ID 配置 Akamai 单一登录

本文介绍如何将 Akamai 与 Microsoft Entra ID 集成。 将 Akamai 与 Microsoft Entra ID 集成后，可以：

  • 在 Microsoft Entra ID 中控制谁有权访问 Akamai。
  • 让用户能够使用其 Microsoft Entra 帐户自动登录到 Akamai。
  • 在一个中心位置管理帐户。

Microsoft Entra ID 和 Akamai Enterprise Application Access 相集成，让你能够无缝地访问云中或本地托管的旧版应用程序。 集成解决方案利用了Microsoft Entra ID 的所有新式功能，例如 Microsoft Entra 条件访问、Microsoft Entra ID 保护 和 Microsoft Entra ID 治理，从而无需应用修改或代理安装即可访问旧应用程序。

下图展示了 Akamai EAA 在整体混合安全访问情境中的角色。

Akamai EAA 适合更广泛的混合安全访问方案

密钥身份验证方案

除了对新式验证协议（如 OpenID Connect、SAML 和 WS-Fed）的 Microsoft Entra 原生集成支持以外，Akamai EAA 还为基于传统身份验证的应用扩展了安全访问，使其可采用 Microsoft Entra ID 进行安全的内部和外部访问，从而让这些应用程序可实现无密码访问等新式方案。 这包括：

  • 基于标头的身份验证应用
  • 远程桌面
  • SSH（安全外壳）
  • Kerberos 身份验证应用
  • VNC（虚拟网络计算）
  • 匿名身份验证或非内置身份验证应用
  • NTLM 身份验证应用（通过针对用户的双重提示进行保护）
  • 基于窗体的应用程序（通过针对用户的双重提示进行保护）

集成方案

借助 Microsoft 与 Akamai EAA 的合作关系，可根据你的业务要求支持多个集成方案，灵活地满足业务要求。 这些方案可用于跨所有应用程序提供零时差覆盖，并逐步分类和配置适当的策略类别。

集成方案 1

Akamai EAA 被配置为 Microsoft Entra ID 上的单个应用程序。 管理员可在应用程序上配置条件访问策略；一旦满足条件，用户就可获取对 Akamai EAA 门户的访问权限。

优点：

  • 只需配置 IDP 一次。

缺点：

  • 用户最终会拥有两个应用程序门户。

  • 单个通用条件访问策略覆盖所有应用程序。

集成方案 1

集成方案 2

Akamai EAA 应用程序在 Azure 门户上单独设置。 管理员可以在应用程序（s）上配置单个条件访问策略，一旦满足条件，用户即可直接重定向到特定应用程序。

优点：

  • 可以定义单个条件访问策略。

  • 所有应用都在 0365 Waffle 和 myApps.microsoft.com 面板上呈现。

缺点：

  • 需要配置多个 IDP。

集成方案 2

先决条件

本文中概述的方案假定你已具备以下先决条件：

  • 已启用 Akamai 单一登录 (SSO) 的订阅。

方案描述

本文中，您将在测试环境中配置并测试 Microsoft Entra SSO。

  • Akamai 支持 IDP 发起的 SSO。

重要说明

下面列出的所有设置对于集成方案 1 和方案 2 都是相同的。 对于集成方案 2，必须在 Akamai EAA 中设置单独的 IDP，并且需要修改 URL 属性以指向应用程序 URL。

Akamai Enterprise Application Access 中 AZURESSO-SP 的“常规”选项卡的屏幕截图，其中突出显示了“身份验证配置 URL”字段。

若要配置 Akamai 与 Microsoft Entra ID 的集成，需要从库中将 Akamai 添加到托管 SaaS 应用程序列表。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 请导航到 Entra ID>企业应用>新应用。
  3. 在“从库中添加”部分的搜索框中，键入“Akamai”。
  4. 从结果面板中选择“Akamai”，然后添加该应用。 等待几秒钟，以便将该应用添加到租户。

或者，也可以使用企业应用配置向导。 在此向导中，还可以将应用程序添加到租户、将用户/组添加到应用、分配角色以及演练 SSO 配置。 详细了解 Microsoft 365 向导。

配置并测试 Akamai 的 Microsoft Entra SSO

使用名为 B.Simon 的测试用户配置并测试 Akamai 的 Microsoft Entra SSO。 若要使 SSO 正常工作，需要在 Microsoft Entra 用户与 Akamai 中的相关用户之间建立关联。

若要配置并测试 Akamai 的 Microsoft Entra SSO，请执行以下步骤：

  1. 配置 Microsoft Entra SSO - 使用户能够使用此功能。
    • 创建 Microsoft Entra 测试用户 - 使用 B.Simon 测试 Microsoft Entra 单一登录。
    • 分配 Microsoft Entra 测试用户 - 使 B.Simon 能够使用 Microsoft Entra 单一登录。
  2. 配置 Akamai SSO - 在应用程序端配置单一登录设置。
  3. 测试 SSO - 验证配置是否正常工作。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览到 Entra ID>企业应用>Akamai>单一登录。

  3. 在“选择单一登录方法”页上选择“SAML”。

  4. 在 “使用 SAML 设置单一登录 ”页上，选择 基本 SAML 配置的 铅笔图标以编辑设置。

    编辑基本 SAML 配置

  5. 如果要在“IDP”发起的模式下配置应用程序，请在“基本 SAML 配置”部分中输入以下字段的值：

    a。 在“标识符”文本框中，使用以下模式键入 URL：https://<Yourapp>.login.go.akamai-access.com/saml/sp/response

    b. 在“回复 URL”文本框中，使用以下模式键入 URL：https:// <Yourapp>.login.go.akamai-access.com/saml/sp/response

    注意

    这些值不是真实的。 请使用实际的“标识符”和“回复 URL”更新这些值。 请联系 Akamai 客户端支持团队获取这些值。 还可参考“基本 SAML 配置”部分中显示的模式。

  6. 在“设置 SAML 单一登录”页的“SAML 签名证书”部分，找到“联合元数据 XML”，并选择“下载”以下载该证书并将其保存在计算机上。

    证书下载链接

  7. 在“设置 Akamai”部分，根据要求复制相应的 URL。

    复制配置 URL

创建和分配 Microsoft Entra 测试用户

请遵循创建和分配用户帐户快速指南中的指引，创建一个名为 B.Simon 的测试用户帐户。

配置 Akamai SSO

设置 IDP

AKAMAI EAA IDP 配置

  1. 登录到 Akamai Enterprise Application Access 控制台。

  2. 在 Akamai EAA 控制台上，选择 “标识>提供者 ”，然后选择“ 添加标识提供者”。

    Akamai EAA 控制台“标识提供者”窗口的屏幕截图。在“标识”菜单上选择“标识提供者”，然后选择“添加标识提供者”。

  3. 在“创建新标识提供者”上执行以下步骤：

    a。 指定“唯一名称”。

    b. 选择 第三方 SAML ，然后选择“ 创建标识提供者”和“配置”。

常规设置

在“常规”选项卡中，输入以下信息：

  1. 标识截获 - 指定域的名称（SP 基 URL - 用于 Microsoft Entra 配置）。

    注意

    可以选择拥有自己的自定义域（需要 DNS 条目和证书）。 在此示例中，我们将使用 Akamai 域。

  2. Akamai 云区域 - 选择适当的云区域。

  3. 证书验证 - 查看 Akamai 文档（可选）。

身份验证配置

  1. URL – 指定与标识截获相同的 URL（身份验证后用户将重定向到此 URL）。

  2. 注销 URL：更新注销 URL。

  3. 签名 SAML 请求：默认未选中。

  4. 对于“IDP 元数据文件”，请添加 Microsoft Entra ID 控制台中的应用程序。

    Akamai EAA 控制台身份验证配置的屏幕截图，其中显示了有关 URL、“注销 URL”、“对 SAML 请求进行签名”和 IDP 元数据文件的设置。

会话设置

将设置保留为默认值。

Akamai EAA 控制台的“会话设置”对话框的屏幕截图。

目录

在“目录”选项卡中，跳过目录配置。

自定义 UI

可将自定义添加到 IDP。 在“自定义”选项卡中，有“自定义 UI”、“语言设置”和“主题”的设置。

高级设置

在“高级设置”选项卡中，接受默认值。 有关更多详细信息，请参阅 Akamai 文档。

部署

  1. 在 “部署 ”选项卡中，选择“部署标识提供者”。

  2. 验证部署是否成功。

基于标头的身份验证

基于 Akamai 标头的身份验证

  1. 从“添加应用程序”向导中选择“自定义 HTTP”。

    Akamai EAA 控制台“添加应用程序”向导的屏幕截图，其中显示了“访问应用”部分列出的 CustomHTTP。

  2. 输入应用程序名称和说明。

    “自定义 HTTP 应用”对话框的屏幕截图，其中显示了有关“应用程序名称”和“说明”的设置。

    Akamai EAA 控制台“常规”选项卡的屏幕截图，其中显示了 MYHEADERAPP 的常规设置。

    Akamai EAA 控制台的屏幕截图，其中显示了有关“证书”和“位置”的设置。

身份验证

  1. 选择“身份验证”选项卡。

    Akamai EAA 控制台的屏幕截图，其中显示了处于选定状态的“身份验证”选项卡。

  2. 选择“分配标识提供者”。

服务

选择“保存”并转到“身份验证”。

Akamai EAA 控制台中 MYHEADERAPP 的“服务”选项卡的屏幕截图，右下角显示了“保存并转到‘高级设置’”按钮。

高级设置

  1. 在“客户 HTTP 标头”下，指定“客户标头”和“SAML 属性”。

    Akamai EAA 控制台“高级设置”选项卡的屏幕截图，其中“身份验证”下突出显示了“SSO 注销 URL”字段。

  2. 选择“ 保存”并转到“部署 ”按钮。

    Akamai EAA 控制台“高级设置”选项卡的屏幕截图，右下角显示了“保存并转到‘部署’”按钮。

部署应用程序

  1. 选择“ 部署应用程序 ”按钮。

    Akamai EAA 控制台“部署”选项卡的屏幕截图，其中显示了“部署应用程序”按钮。

  2. 验证是否已成功部署应用程序。

    Akamai EAA 控制台“部署”选项卡的屏幕截图，其中显示了应用程序状态消息：“应用程序已成功部署”。

  3. 最终用户体验。

    myapps.microsoft.com 的正在打开的屏幕的屏幕截图，其中显示了背景图像和登录对话框。

    显示了“应用”窗口的一部分的屏幕截图，其中包含与“加载项”、“HRWEB”、“Akamai - CorpApps”、“费用”、“组”和“访问评审”对应的图标。

  4. 条件访问。

    消息的屏幕截图：批准登录请求。我们已将通知发送到你的移动设备。请响应以继续。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp 的图标。

远程桌面

  1. 从“添加应用程序”向导中选择“RDP”。

    Akamai EAA 控制台“添加应用程序”向导的屏幕截图，其中显示了在“访问应用”部分的应用中列出的 RDP。

  2. 输入应用程序名称，例如 SecretRDPApp。

  3. 选择说明，例如使用 Microsoft Entra 条件访问保护 RDP 会话。

  4. 指定为此提供服务的连接器。

    Akamai EAA 控制台的屏幕截图，其中显示了有关“证书”和“位置”的设置。关联的连接器设置为“USWST-CON1”。

身份验证

在 “身份验证 ”选项卡中，选择“ 保存”并转到“服务”。

服务

选择“ 保存”并转到“高级设置”。

Akamai EAA 控制台中 SECRETRDPAPP 的“服务”选项卡的屏幕截图，右下角显示了“保存并转到‘高级设置’”按钮。

高级设置

  1. 选择“ 保存”并转到“部署”。

    Akamai EAA 控制台中 SECRETRDPAPP 的“高级设置”选项卡的屏幕截图，其中显示了“远程桌面配置”的设置。

    Akamai EAA 控制台中 SECRETRDPAPP 的“高级设置”选项卡的屏幕截图，其中显示了有关“身份验证”和“运行状况检查配置”的设置。

    Akamai EAA 控制台中 SECRETRDPAPP 的“自定义 HTTP 标头设置”的屏幕截图，右下角显示了“保存并转到‘部署’”按钮。

  2. 最终用户体验

    myapps.microsoft.com 窗口的屏幕截图，其中显示了背景图像和登录对话框。

    myapps.microsoft.com 的“应用”窗口的屏幕截图，其中包含与“加载项”、“HRWEB”、“Akamai - CorpApps”、“费用”、“组”和“访问评审”对应的图标。

  3. 条件访问

    条件访问消息的屏幕截图：批准登录请求。我们已将通知发送到你的移动设备。请响应以继续。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp 和 SecretRDPApp 的图标。

    Windows Server 2012 RS 屏幕的屏幕截图，其中显示了通用的用户图标。与管理员、user0 和 user1 对应的图标表明他们已登录。

  4. 此外，也可直接键入 RDP 应用程序 URL。

SSH

  1. 转到“添加应用程序”，选择“SSH”。

    Akamai EAA 控制台“添加应用程序”向导的屏幕截图，其中显示了在“访问应用”部分的应用中列出的 SSH。

  2. 输入应用程序名称和说明，例如 Microsoft Entra 对 SSH 的新式身份验证。

  3. 配置应用程序标识

    a。 指定“名称”/“说明”。

    b. 指定用于 SSH 连接的应用程序服务器 IP/FQDN 和端口。

    c. 指定“SSH 用户名”/“通行短语”*请检查 Akamai EAA。

    d. 指定“外部主机名”。

    e. 指定“连接器位置”，并选择连接器。

身份验证

在 “身份验证 ”选项卡中，选择“ 保存”并转到“服务”。

服务

选择“ 保存”并转到“高级设置”。

Akamai EAA 控制台中 SSH-SECURE 的“服务”选项卡的屏幕截图，右下角显示了“保存并转到‘高级设置’”按钮。

高级设置

选择“保存”并转到“部署”。

Akamai EAA 控制台中 SSH-SECURE 的“高级设置”选项卡的屏幕截图，其中显示了有关“身份验证”和“运行状况检查配置”的设置。

Akamai EAA 控制台中 SSH-SECURE 的“自定义 HTTP 标头设置”的屏幕截图，右下角显示了“保存并转到‘部署’”按钮。

部署

  1. 选择“ 部署应用程序”。

    Akamai EAA 控制台中 SSH-SECURE 的“部署”选项卡的屏幕截图，其中显示了“部署应用程序”按钮。

  2. 最终用户体验

    myapps.microsoft.com 窗口“登录”对话框的屏幕截图。

    myapps.microsoft.com 的“应用”窗口的屏幕截图，其中显示了与“加载项”、“HRWEB”、“Akamai - CorpApps”、“费用”、“组”和“访问评审”对应的图标。

  3. 条件访问

    显示消息的屏幕截图：批准登录请求。我们已将通知发送到你的移动设备。请响应以继续。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp、SSH Secure 和 SecretRDPApp 的图标。

    ssh-secure-go.akamai-access.com 的命令窗口的屏幕截图，其中显示了一个密码提示。

    ssh-secure-go.akamai-access.com 的命令窗口的屏幕截图，其中显示了有关应用程序的信息并显示了命令提示。

Kerberos 身份验证

在以下示例中，我们使用 KCD 发布内部 Web 服务器 http://frp-app1.superdemo.live 并启用 SSO。

“常规”选项卡

Akamai EAA 控制台中 MYKERBOROSAPP 的“常规”选项卡的屏幕截图。

“身份验证”标签页

在“身份验证”选项卡中，分配标识提供程序。

“服务”选项卡

Akamai EAA 控制台中 MYKERBOROSAPP 的“服务”选项卡的屏幕截图。

高级设置

Akamai EAA 控制台中 MYKERBOROSAPP 的“高级设置”选项卡的屏幕截图，其中显示了“相关应用程序”和“身份验证”的设置。

注意

Web 服务器的 SPN 已采用 SPN@Domain 格式，例如： HTTP/frp-app1.superdemo.live@SUPERDEMO.LIVE 此演示。 将其余设置保留为默认值。

“部署”选项卡

Akamai EAA 控制台中 MYKERBOROSAPP 的“部署”选项卡的屏幕截图，其中显示了“部署应用程序”按钮。

添加目录

  1. 从下拉列表中选择“AD”。

    Akamai EAA 控制台“目录”窗口的屏幕截图，其中显示了“创建新目录”对话框，并且在“目录类型”的下拉框中选择了“AD”。

  2. 提供必要的数据。

    Akamai EAA 控制台 SUPERDEMOLIVE 窗口的屏幕截图，其中显示了“目录名称”、“目录服务”、“连接器”和“属性映射”的设置。

  3. 验证目录创建情况。

    Akamai EAA 控制台“目录”窗口的屏幕截图，其中显示已添加了目录 superdemo.live。

  4. 添加需要访问权限的组/OU。

    目录 superdemo.live 的设置的屏幕截图。你为“添加组或 OU”选择的图标已突出显示。

  5. 下面的组名为 EAAGroup，有 1 个成员。

    Akamai EAA 控制台“SUPERDEMOLIVE 目录中的组”窗口的屏幕截图。“组”下列出了包含 1 个用户的 EAAGroup。

  6. 将目录添加到您的标识提供者中，方法是选择“标识>提供者”，然后选择“目录”选项卡，并选择“分配目录”。

为 EAA 演练配置 KCD 委派

步骤 1：创建帐户

  1. 在本示例中，我们使用名为 EAADelegation 的帐户。 可使用 Active Directory 用户和计算机管理单元执行此操作。

    注意

    用户名必须采用特定格式，根据标识截获名称而定。 从图 1 中，我们可以看到它是 corpapps.login.go.akamai-access.com

  2. 用户登录名称为：HTTP/corpapps.login.go.akamai-access.com

    其中显示了 EAADelegation 属性的屏幕截图，“名字”设置为“EAADelegation”，“用户登录名”设置为 HTTP/corpapps.login.go.akamai-access.com。

步骤 2：为此帐户配置 SPN

  1. 根据此示例，SPN 如下所示。

  2. setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation

    管理员命令提示符的屏幕截图，其中显示了命令 setspn -s Http/corpapps.login.go.akamai-access.com eaadelegation 的结果。

步骤 3：配置委派

  1. 对于 EAADelegation 帐户，请选择“委派”选项卡。

    管理员命令提示符的屏幕截图，其中显示了用于配置 SPN 的命令。

    • 指定使用任意身份验证协议。
    • 选择“添加”，然后为 Kerberos 网站添加应用池帐户。 如果配置正确，应自动解析为正确的 SPN。

步骤 4：为 AKAMAI EAA 创建 Keytab 文件

  1. 下面是泛型语法。

  2. ktpass /out ActiveDirectorydomain.keytab /princ HTTP/yourloginportalurl@ADDomain.com /mapuser serviceaccount@ADdomain.com /pass +rdnPass /crypto All /ptype KRB5_NT_PRINCIPAL

  3. 示例说明

    片段 解释
    Ktpass /out EAADemo.keytab // 输出 Keytab 文件的名称
    /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live HTTP/yourIDPName@YourdomainName
    /地图用户 eaadelegation@superdemo.live // EAA 委派帐户
    /pass RANDOMPASS // EAA 委派帐户密码
    /crypto All ptype KRB5_NT_PRINCIPAL // 查阅 Akamai EAA 文档

  4. Ktpass /out EAADemo.keytab /princ HTTP/corpapps.login.go.akamai-access.com@superdemo.live /mapuser eaadelegation@superdemo.live /pass RANDOMPASS /crypto All ptype KRB5_NT_PRINCIPAL

    管理员命令提示符的屏幕截图，其中显示了用于为 AKAMAI EAA 创建密钥表文件的命令的结果。

步骤 5：在 AKAMAI EAA 控制台中导入 Keytab

  1. 选择 “系统>密钥表”。

    Akamai EAA 控制台的屏幕截图，其中显示了要从“系统”菜单中选择的密钥表。

  2. 在 Keytab 类型中，选择“Kerberos 委派”。

    Akamai EAA 控制台 EAAKEYTAB 屏幕的屏幕截图，其中显示了密钥表设置。“密钥表类型”设置为“Kerberos 委派”。

  3. 确保 Keytab 显示为“已部署且已验证”。

    Akamai EAA 控制台“密钥表”屏幕的屏幕截图，其中 EAA 密钥表列为“已部署并验证的密钥表”。

  4. 用户体验

    myapps.microsoft.com 中的“登录”对话框的屏幕截图。

    myapps.microsoft.com 的“应用”窗口的屏幕截图，其中显示了应用图标。

  5. 条件访问

    显示了“批准登录请求”消息的屏幕截图。

    “应用程序”屏幕的屏幕截图，其中显示了 MyHeaderApp、SSH Secure、SecretRDPApp 和 myKerberosApp 的图标。

    myKerberosApp 的初始屏幕的屏幕截图。背景图像上显示了消息“欢迎 superdemo\user1”。

创建 Akamai 测试用户

在本部分，你将在 Akamai 中创建名为 B.Simon 的用户。 请与 Akamai 客户端支持团队协作来在 Akamai 平台中添加用户。 使用单一登录前，必须先创建并激活用户。

测试 SSO

在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置。

  • 选择“ 测试此应用程序”，应会自动登录到为其设置了 SSO 的 Akamai。

  • 你可使用 Microsoft 的“我的应用”。 在“我的应用”中选择 Akamai 磁贴时，你应该会自动登录到为其设置了 SSO 的 Akamai。 有关“我的应用”的详细信息，请参阅“我的应用”简介。

相关内容

在配置 Akamai 后，即可强制实施会话控制，从而实时防止组织的敏感数据遭到外泄和渗透。 会话控制从条件访问扩展而来。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。

  • Last updated on