← Cloudflare One / cloudflare-one / integrations / identity-providers

Active Directory (SAML)

Active Directory представляет собой службу каталогов, разработанную Microsoft для доменных сетей Windows. Она входит в состав большинства операционных систем Windows Server в виде набора процессов и служб. Active Directory интегрируется с Cloudflare Access с помощью Security Assertion Markup Language (SAML).

Чтобы начать работу, вам потребуется:

• Контроллер домена Active Directory, в котором у всех пользователей есть атрибут email.
• Универсальный SAML включён для вашего поставщика идентификации (IdP) Access.
• Сервер Microsoft с установленной службой Active Directory Federation Services (AD FS). Все снимки экрана в этой инструкции сделаны для Server 2012R2. Для более новых версий подойдут аналогичные шаги.
• Безопасный для браузера сертификат для Active Directory Federation Services (AD FS).

Когда все перечисленные выше требования будут выполнены, можно приступать к работе. Установка и базовая настройка Active Directory Federation Services (AD FS) не входят в объём этого руководства. Подробное руководство можно найти в Microsoft KB ↗.

Чтобы затем установить соединение между Cloudflare Access и AD FS, создайте Relying Party Trust в AD FS.

Запустите мастер Add Relying Party Trust, чтобы начать интеграцию SAML AD с Cloudflare Access.

Чтобы создать Relying Party Trust:

1. В Windows Server, запустите ADFS Management инструмент.

2. Выберите Relying Party Trusts папка.

3. На Действия на боковой панели выберите Add Relying Party Trust. Add Relying Party Trust Wizard запускается.

4. В левом меню выберите Выберите источник данных.

5. Выберите Введите данные о проверяющей стороне вручную опцию.

6. Выберите Далее.

7. Введите Отображаемое имя. Рекомендуем использовать понятное название. Укажите любые сведения об этом подключении в Примечания поле.

8. Выберите Далее. Выберите профиль шаг отображается.

9. Выберите AD FS profile опцию.

10. Выберите Далее. Настройте сертификат шаг отображается.

11. Оставьте Сертификат опции в значениях по умолчанию.

12. Выберите Далее. Настройте URL шаг отображается.

13. Выберите Включите поддержку протокола SAML 2.0 WebSSO опцию.

14. В URL-адрес службы SSO SAML 2.0 relying party поле введите следующий URL-адрес:

    https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/callback

    Имя вашей команды можно найти в Панель управления Cloudflare ↗ в разделе Настройки > Название и домен команды > Название команды.

15. Выберите Далее. Настройте идентификаторы шаг отображается.

    

16. Вставьте URL-адрес обратного вызова в Идентификатор relying party trust поле.

17. Выберите Далее. В Настроить многофакторную аутентификацию сейчас? шаге можно настроить многофакторную аутентификацию.

18. Выберите Далее. Выберите правила авторизации выпуска шаг отображается.

19. Выберите Разрешить всем пользователям доступ к этому relying party опцию.

20. Выберите Далее. Готово к добавлению доверия шаг отображается.

21. Проверьте свои настройки.

22. Выберите Далее. Теперь Cloudflare использует AD FS для авторизации пользователей по идентификационным данным.

Измените Claim Rules для CF Login экран отображается автоматически.

Теперь создайте два правила утверждений (Claim Rules), чтобы AD FS мог получать данные от Cloudflare и возвращать их для создания Политики доступа.

Если вы закрыли мастер Add Relying Trust, воспользуйтесь проводником, чтобы найти Relying Party Trusts папку, выберите только что созданный файл RPT и выберите Измените Claim Rules в Действие боковую панель.

Чтобы создать правила claim:

1. В Измените Claim Rules для CF Login окно, выберите Add Rule. Выберите тип правила шаг отображается.

2. В Claim rule template поле выберите Отправка атрибутов LDAP в виде Claims из раскрывающегося списка.

3. Выберите Далее. Измените правило | Отправить письмо шаг отображается.

4. Введите понятное Claim rule name.

5. Выберите Active Directory из Attribute store раскрывающемся списке.

6. Выберите Адреса электронной почты из LDAP Attribute и Тип исходящего claim раскрывающихся списках.

7. Выберите OK. Вы возвращаетесь в Выберите тип правила шаг.

8. Выберите Преобразование входящего утверждения (Claim) из Claim rule template раскрывающемся списке, чтобы создать второе правило.

9. Выберите Далее. Измените: Create Transient Name Identifier отображается окно.

10. Введите понятное Claim rule name.

11. Выберите Адрес электронной почты из Incoming claim type раскрывающемся списке.

12. Выберите Name ID из тип исходящего claim раскрывающемся списке.

13. Выберите Временный идентификатор из Исходящий формат Name ID раскрывающемся списке.

14. Убедитесь, что Передавать все значения утверждений без изменений опция выбрана.

15. Выберите OK.

Оба правила Claim Rules теперь доступны для экспорта в ваш аккаунт Cloudflare Access.

Теперь настройте Cloudflare на распознавание AD FS путём извлечения сертификат подписи токена от AD FS.

Чтобы экспортировать сертификат:

1. В консоли управления AD FS выберите Сервис в AD FS и выберите Сертификаты папку, которая содержит сертификат для экспорта.

2. В Сертификаты карточке щелкните правой кнопкой мыши запись в разделе Token-signing, и выберите Просмотр сертификата. Сертификаты отображается окно.

   

3. Выберите Подробности вкладке и выберите Copy to File опцию.

4. Мастер экспорта сертификатов отображает.

5. Выберите Далее. Формат файла экспорта отображается окно.

6. Выберите X.509 в кодировке Base-64 (.CER) опцию.

7. Выберите Далее.

8. Введите имя файла.

9. Выберите Далее.

10. Выберите Готово.

    Запишите путь к файлу для дальнейшего использования.

Чтобы AD FS подписывал полный ответ при взаимодействии с Cloudflare, откройте локальный PowerShell и введите следующую команду:

Set-ADFSRelyingPartyTrust -TargetName "Name of RPT Display Name" -SamlResponseSignature "MessageAndAssertion"

Чтобы разрешить Cloudflare One принимать утверждения и заявления, отправляемые из AD FS, выполните следующие шаги:

1. В Панель управления Cloudflare ↗, перейдите в Zero Trust > Интеграции > Поставщики удостоверений.

2. В разделе Ваши поставщики идентификации, выберите Добавить нового поставщика идентификации.

3. Выберите SAML.

4. Введите IdP Название.

5. В разделе Single Sign On URL введите:

   https://hostnameOfADFS/adfs/ls/

   Это расположение по умолчанию. Идентификатор службы федерации можно найти в AD FS.

6. В IdP Entity ID or Issuer URL поле введите домен вашей команды Cloudflare Zero Trust и добавьте в конец пути этот callback: /cdn-cgi/access/callback. Например:

   https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/callback

7. В разделе Сертификат подписи, вставьте экспортированный сертификат.

   В текстовом поле не должно быть пробелов или символов возврата каретки.

8. Выберите Save.

Чтобы проверить, что подключение работает, перейдите в Интеграции > Поставщики удостоверений и выберите Тест рядом с поставщиком идентификации, который вы хотите протестировать.

Некоторые IdP позволяют администраторам загружать файлы метаданных от своего SP (поставщика услуг).

Чтобы получить файл метаданных Cloudflare:

1. Скачайте уникальный файл метаданных SAML по следующему URL-адресу:

   https://<your-team-name>.cloudflareaccess.com/cdn-cgi/access/saml-metadata

   В Cloudflare Access ссылку на этот URL можно найти в Измените поставщика идентификации SAML диалоговое окно. Ссылка возвращает веб-страницу с данными SAML SP в формате XML.

2. Сохраните файл в формате XML.

3. Загрузите XML-документ в ваш Active Directory аккаунт.

{
	"config": {
		"issuer_url": "https://<your-team-name>.cloudflareaccess.com/",
		"sso_target_url": "https://adfs.example.com/adfs/ls/",
		"attributes": ["email"],
		"email_attribute_name": "",
		"sign_request": false,
		"idp_public_cert": "MIIDpDCCAoygAwIBAgIGAV2ka+55MA0GCSqGSIb3DQEBCwUAMIGSMQswCQYDVQQGEwJVUzETMBEG\nA1UEC.....GF/Q2/MHadws97cZg\nuTnQyuOqPuHbnN83d/2l1NSYKCbHt24o"
	},
	"type": "saml",
	"name": "adfs saml example"
}