Configurar un proveedor de identidad

Puede utilizar Microsoft AD (local) para la sincronización de usuarios y como proveedor de identidad.

Asegúrese de que ya ha configurado los grupos de usuarios de Active Directory y los ha sincronizado con Sophos Central. Consulte Configurar la sincronización con Active Directory.

1. Inicie sesión en Sophos Central.
2. Vaya a Mis productos > ZTNA > Proveedores de identidad.

3. Haga clic en Añadir proveedor de identidad.

   

Configuración del proveedor de identidad

Especifique la configuración para el proveedor de identidad de la siguiente manera:

1. Especifique un nombre y una descripción.
2. En Proveedor, asegúrese de que Microsoft AD (local) está seleccionado.

Configurar opciones de Active Directory (AD)

1. Configure las siguientes opciones:

   1. Introduzca los datos del host y del puerto de su servidor AD principal. Si es necesario, puede introducir los datos de su servidor secundario.

      Nota

      El servidor secundario debe pertenecer al mismo dominio que el servidor principal. Si el servidor principal no está disponible, el servidor secundario proporcionará redundancia.

   2. Opcional: Configure las opciones de TLS y SSL.

      Puede seleccionar una de las siguientes opciones:

      • TLS activado: Usa TLS para proteger la información de nombre de usuario y contraseña utilizada para iniciar sesión en el servidor LDAP.
      • Iniciar TLS: Permite que el servidor de LDAP escuche el puerto sin cifrar (normalmente 389) para conexiones LDAP y luego cambie a TLS

      Si selecciona Verificar certificado SSL, debe cargar el certificado SSL de su servidor LDAP en uno de los siguientes formatos: .pem, .crt o .cer. El tamaño máximo del certificado es de 10 KB.

      

Cuenta y contraseña

En DN de enlace, introduzca los detalles de su controlador de dominio y la Contraseña de enlace.

Para obtener más información, consulte Buscar los nombres distintivos base y de enlace en el servidor AD.

Búsqueda de Active Directory

1. En Usuario, introduzca los detalles de su servidor AD en DN base. Por defecto, está definida la configuración avanzada, pero puede cambiarla si es necesario.

   

2. En Grupo de usuarios, introduzca los detalles de su usuario de AD en DN base. Por defecto, está definida la configuración avanzada, pero puede cambiarla si es necesario.

Configuración de seguridad avanzada

1. Opcional: Active Captcha para garantizar un inicio de sesión seguro. Así se reduce el riesgo de un ataque por fuerza bruta a su directorio.

2. Opcional: Active la Contraseña de un solo uso basada en correo electrónico para poder autenticar a los usuarios con la autenticación multifactor (MFA). Introduzca los siguientes parámetros SMTP:

   1. Host de servidor SMTP: La dirección IP o el nombre de host del servidor SMTP.
   2. Número de puerto SMTP: El número de puerto por el que accede al servidor SMTP.
   3. Correo electrónico SMTP: La dirección de correo electrónico predeterminada a la que se envían los mensajes devueltos.
   4. Asunto del correo electrónico: El asunto del correo electrónico que contiene la contraseña de un solo uso (OTP).
   5. Si el servidor SMTP requiere credenciales para retransmitir correos electrónicos, debe introducir el Inicio de sesión SMTP y la Contraseña SMTP.

   6. Opcional: Configure las opciones de TLS y SSL.

      Puede seleccionar una de las siguientes opciones:

      • TLS activado: Utiliza TLS para proteger la comunicación entre el servidor SMTP y el cliente.
      • Iniciar TLS: Inicia la negociación entre el servidor SMTP y el cliente para elegir el método de cifrado.

      Si selecciona una de las opciones anteriores, verá la opción Verificar certificado SSL. Si selecciona Verificar certificado SSL, debe cargar el certificado SSL de su servidor SMTP en uno de los siguientes formatos: .pem, .crt o cer. El tamaño máximo del certificado es de 10 KB.

Prueba de conexión

Si lo desea, puede probar la conexión.

1. Para probar la conexión, haga lo siguiente:

   1. Asigne su proveedor de identidad a una puerta de enlace. Para ello, vaya a la página Puertas de enlace, haga clic en el nombre de su puerta de enlace y haga clic en Editar. En Proveedor de identidad, seleccione el proveedor de identidad que acaba de crear.

      

      Nota

      Si aún no ha creado una puerta de enlace, pruebe su conexión después de crear su puerta de enlace y asignarla a su proveedor de identidad.

   2. Vuelva a Proveedores de identidad y haga clic en el nombre de su nuevo proveedor de identidad.

   3. En Probar conexión, seleccione el nombre de la puerta de enlace y, si lo desea, introduzca el nombre de usuario.

   4. Haga clic en Probar conexión y asegúrese de que se ha realizado la conexión.

      Si ha introducido el nombre de usuario, verá a qué grupos pertenece ese usuario.

2. Haga clic en Guardar.

Ahora sus usuarios podrán autenticarse a través del servidor AD cuando accedan a los recursos detrás de la puerta de enlace.

Puede utilizar Microsoft Entra ID (Azure AD) para la sincronización de usuarios y como proveedor de identidad.

Asegúrese de que ya ha configurado los grupos de usuarios de Microsoft Entra ID (Azure AD) y los ha sincronizado con Sophos Central.

1. Inicie sesión en Sophos Central.
2. Vaya a Mis productos > ZTNA > Proveedores de identidad.

3. Haga clic en Añadir proveedor de identidad.

   

4. Especifique la configuración para el proveedor de identidad de la siguiente manera:

   1. Especifique un nombre y una descripción.
   2. En Proveedor, asegúrese de que está seleccionado Microsoft Entra ID (Azure AD).

   3. Introduzca la configuración de Microsoft Entra ID (Azure AD) para ID de cliente, ID de inquilino y Secreto de cliente.

      Si ha configurado Microsoft Entra ID (Azure AD) como se describe en esta guía, ha recabado estos datos de configuración al crear el inquilino. Consulte Configurar servicio de directorio.

   4. Haga clic en Probar conexión y asegúrese de que se ha realizado la conexión.

   5. Haga clic en Guardar.

   

Antes de poder utilizar Okta como su proveedor de identidad, debe crear y configurar una nueva integración de aplicaciones Okta con la configuración adecuada para su uso con ZTNA.

Para ello, haga lo siguiente:

• Cree una integración de aplicaciones.
• Añada el proveedor de identidad a ZTNA.

Asumimos aquí que tiene grupos de usuarios en Okta. Si no tiene, utilice las herramientas de Okta para sincronizar grupos de su servicio de directorio con Okta. Asegúrese también de que ha sincronizado sus grupos con Sophos Central.

Crear una integración de aplicaciones

1. En el panel de control de Okta, vaya a Applications.

   

2. Haga clic en *Create App Integration*.

   

3. En Create a new app integration, haga lo siguiente:

   1. Seleccione OIDC.
   2. Seleccione Web Application.

   

4. En New Web App Integration, haga lo siguiente:

   1. Escriba un nombre.
   2. Seleccione Client Credentials.
   3. Seleccione Refresh Token.

   

5. En la misma ficha, en Sign-in redirect URIs, introduzca la dirección a la que Okta enviará la respuesta de autenticación y el token. Debe ser el FQDN del host de puerta de enlace seguido de /oauth2/callback. Por ejemplo:

   https://ztna.mycompany.net/oauth2/callback

   

   Nota

   Si configura una puerta de enlace en Sophos Firewall, debe añadir un nuevo URI de redirección en el siguiente formato: https://<gateway's external FQDN>/ztna-oauth2/callback.

6. En Assignments, seleccione Skip group assignment for now.

   

7. Abra la nueva aplicación. En la ficha General, tome nota del Client ID y el Client Secret. Los necesitará cuando configure Okta como su proveedor de identidad en Sophos Central.

   

8. En la ficha Okta API Scopes, establezca los permisos necesarios:

   • okta.groups.read
   • okta.idps.read

   Solo necesita okta.idps.read si está utilizando Sincronización de AD.

   

9. En la ficha Assignments, haga clic en Assign > Assign to Groups. Seleccione su grupo de usuarios existente.

   

10. En la pestaña Sign On, vaya a OpenID Connect ID Token y haga lo siguiente:

    1. Haga clic en Edit.
    2. Añada una Groups claim expression. Para obtener más información, consulte Añadir una solicitud de grupo personalizada.
    3. Haga clic en Save.

    

Añadir el proveedor de identidad a ZTNA

1. Inicie sesión en Sophos Central.
2. Vaya a Mis productos > ZTNA > Proveedores de identidad.

3. Haga clic en Añadir proveedor de identidad.

   

4. Especifique la configuración para el proveedor de identidad de la siguiente manera:

   1. Especifique un nombre y una descripción.
   2. En Proveedor, seleccione Okta.

   3. Especifique la configuración de Okta para ID de cliente, Secreto de cliente y URI de emisor.

      Estas son las configuraciones de Okta que apuntó antes.

   4. Haga clic en Probar conexión y asegúrese de que se ha realizado la conexión.

   5. Haga clic en Guardar.