Configurazione di un servizio directory

Per gestire i propri gruppi di utenti occorre un servizio directory.

È possibile configurare Microsoft Entra ID (Azure AD) o Microsoft Active Directory (on-premise) sia come servizio di directory che come provider di identità.

Quando si configura Microsoft Active Directory (on-premise) come provider di identità, è possibile configurare impostazioni di sicurezza aggiuntive. Per informazioni su come sincronizzare i gruppi di utenti di Microsoft Active Directory (on-premise) con Sophos Central, vedere Impostazione della sincronizzazione con Active Directory.

Nelle seguenti istruzioni viene indicato come configurare Microsoft Entra ID (Azure AD).

Per utilizzare Microsoft Entra ID (Azure AD) per gestire gli utenti, occorre creare un tenant di Microsoft Entra ID (Azure AD), registrare l’applicazione ZTNA e configurare gruppi di utenti.

Occorre avere già un account Microsoft Entra ID (Azure AD).

Creazione di un tenant di Microsoft Entra ID (Azure AD)

1. Accedere al portale Azure.

2. Selezionare Microsoft Entra ID.

   

3. Nella Panoramica di Microsoft Entra ID (Azure AD), cliccare su Gestisci i tenant.

   

4. Nella pagina Gestisci i tenant, cliccare su Crea.

   

5. Nella scheda Informazioni di base, selezionare Azure Active Directory. Cliccare su Avanti: Configurazione.

   

6. Nella scheda Configurazione, immettere i dettagli dell'organizzazione e del nome di dominio. Cliccare su Avanti: Rivedi e crea.

   

7. Nella pagina successiva, rivedere le impostazioni e cliccare su Crea.

   

Registrare l’app ZTNA

1. Selezionare Gestisci > Registrazioni app e cliccare su Nuova registrazione.

   

2. Nella pagina Registrazione di un'applicazione, procedere come segue:

   1. Immettere un nome.
   2. Accettare il tipo di account supportato predefinito.

   3. Impostare un URI di reindirizzamento. Si tratta dell'indirizzo a cui vengono inviate le risposte di autenticazione. Deve includere il nome di dominio (FQDN) del gateway ZTNA. Ecco un esempio di URI: gw.mycompany.net/oauth2/callback

      Nota

      Se si configura un gateway su Sophos Firewall, occorre aggiungere un nuovo URI di reindirizzamento, utilizzando il seguente formato: https://<gateway’s external FQDN>/ztna-oauth2/callback.

      È possibile aggiungere più FQDN del gateway. È anche possibile aggiungere ulteriori FQDN in qualsiasi momento.

   4. Cliccare su Registra.

      

3. Selezionare Gestisci > Autorizzazioni API. Cliccare su Aggiungi un'autorizzazione.

   

4. In Richiedi autorizzazioni API, assegnare a Sophos Central le autorizzazioni necessarie per leggere i gruppi di utenti. Occorre aggiungere autorizzazioni API Microsoft Graph, procedendo come indicato di seguito.

   Selezionare Autorizzazioni delegate e aggiungere:

   • Directory.Read.All
   • Group.Read.All
   • openID
   • profile (profile si trova nel set di autorizzazioni openID)
   • User.Read
   • User.Read.All

   Selezionare Autorizzazioni dell’applicazione e aggiungere:

   • Directory.Read.All

   Le autorizzazioni delegate sono per le app che si eseguono con un utente che ha effettuato l'accesso. Le autorizzazioni delle applicazioni permettono ai servizi di eseguirsi senza l'accesso di un utente.

   

5. Nella pagina Autorizzazioni API, è ora possibile visualizzare le autorizzazioni che sono state aggiunte. Cliccare su Concedi il consenso dell'amministratore per fornire il consenso necessario per le autorizzazioni.

   

6. Nella pagina Panoramica dell'app, annotare i seguenti dettagli. Serviranno più tardi.

   • ID client
   • ID tenant

   

7. Cliccare su Certificati e segreti. Creare un Segreto client, prendere nota del Valore del segreto client e conservarlo in un luogo sicuro.

   Avviso

   Il segreto client non verrà visualizzato un'altra volta. Non sarà possibile recuperarlo in un secondo momento.

   

Creazione di un gruppo di utenti di Microsoft Entra ID (Azure AD)

Per creare un gruppo di utenti in Microsoft Entra ID (Azure AD), procedere come segue.

1. Accedere al Portale di Azure utilizzando un account Amministratore globale per la directory.
2. Selezionare Microsoft Entra ID.

3. Nella pagina Active Directory, selezionare Gruppi. Cliccare su Nuovo gruppo.

   

4. Nella finestra di dialogo Nuovo gruppo, compilare i seguenti campi:

   1. Selezionare un Tipo di gruppo.
   2. Inserire un Nome gruppo.
   3. Immettere un Indirizzo di posta elettronica di gruppo o accettare l'indirizzo predefinito visualizzato.
   4. Selezionare il Tipo di appartenenza. Utilizzare Assegnato, che consente di scegliere utenti specifici e di assegnare loro autorizzazioni univoche.

   5. Cliccare su Crea.

      Verrà creato il gruppo.

5. Per verificare che il gruppo di utenti creato abbia la sicurezza abilitata, procedere come segue:

   1. Aprire Manage view (Gestisci vista) > Edit columns (Modifica colonne).

   2. Sotto Columns (Colonne), selezionare Security enabled (Sicurezza abilitata) e cliccare su Save (Salva).

      

   3. Nella colonna Security enabled, lo stato dovrebbe essere visualizzato come Yes (Sì).

6. Nella pagina del nuovo gruppo, cliccare su Membri. Quindi procedere come segue:

   1. Cliccare su Aggiungi membri.
   2. Cercare gli utenti desiderati e cliccarvi sopra.
   3. Una volta terminata questa operazione, cliccare su Seleziona.

   

   A questo punto, passare a Sophos Central per sincronizzare i gruppi di utenti con Microsoft Entra ID (Azure AD).