Configurare SentinelOne Single Sign-On (SSO) con SAML
miniOrange consente una connessione fluida e sicura Accesso singolo (SSO) di SentinelOne utilizzando SAML 2.0 or OAuth 2.0 / OIDCCon questa integrazione, gli utenti possono accedere a SentinelOne utilizzando il loro provider di identità aziendale (IdP) esistente, ad esempio Azure AD, Directory attiva (AD), Okta, Google Workspace, OneLogin, Ping Identity, Keycloako qualsiasi IdP conforme a SAML/OIDC.
La nostra soluzione SentinelOne SSO garantisce un'autenticazione centralizzata, una maggiore sicurezza degli accessi e un'esperienza di accesso fluida in tutta la tua organizzazione. Puoi applicarla facilmente AMF, applicare Zero Trust Termini e Condizionie mantenere una governance unificata dell'identità da un'unica piattaforma.
L'integrazione di miniOrange e Sentinel One Single Sign-On (SSO) supporta le seguenti funzionalità:
- SSO con SAML e OAuth/OIDC
- MFA per dashboard SentinelOne
- Accesso condizionato e autenticazione basata sul rischio.
- Integrazione con AD/LDAP, Azure AD e IdP cloud
- Distribuzioni on-premise, cloud e ibride
Questa configurazione garantisce che l'ambiente SentinelOne rimanga protetto con controlli di identità e accesso di livello aziendale.
Seguire la guida dettagliata riportata di seguito per Sentinel One Single Sign-On (SSO)
1. Configurare Sentinel One in miniOrange
- Accedi a miniOrange Console di amministrazione.
- Vai su Apps e cliccare su Aggiungi applicazione pulsante.
- In Scegli il tipo di applicazione, selezionare SAML/WS-FED dal Tutte le applicazioni cadere in picchiata.
- Cercare Sentinella Uno nell'elenco, se non trovi Sentinel One nell'elenco, cerca costume e puoi configurare la tua applicazione in App SAML personalizzata.
- Inserire il ID entità SP or Emittente URL ACS, che può essere ottenuto dalla dashboard di Sentinel one.
- Fare clic su Avanti procedere ulteriormente.
- Per ottenere l'URL ACS e l'ID entità SP, fare clic su Impostazioni profilo icona nella dashboard di Sentinel-one
- Sotto Tipi, clicca su SSO >> Integrazioni.
- Copia l'URL ACS e l'ID entità SP da qui.
2. Configurare SSO in Sentinel One
- Nella dashboard di Sentinel-one, fare clic su Impostazioni profilo icona.
- Sotto Tipi, clicca su SSO >> Integrazioni.
- Abilita SSO. Invio Nome del dominio.
- Inserire il URL di reindirizzamento IDP e ID emittente dal passaggio 1.
- Carica il Certificato pubblico IDP scaricato dal passaggio 1.
3. Testare la configurazione SSO
Prova l'accesso SSO al tuo account Sentinel One con miniOrange IdP:
4. Configura la tua directory utente (facoltativo)
miniOrange fornisce l'autenticazione utente da varie fonti esterne, che possono essere Directory (come ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito ecc.), Provider di identità (come Okta, Shibboleth, Ping, OneLogin, KeyCloak), Database (come MySQL, Maria DB, PostgreSQL) e molti di piùPuoi configurare la tua directory/archivio utenti esistente o aggiungere utenti in miniOrange.
- Fare clic su Provider di identità >> Aggiungi provider di identità nel menu a sinistra della dashboard
- In Scegli provider di identità, seleziona Directory AD/LDAP dal menu a discesa.
- Quindi cerca Annuncio pubblicitario/LDAP e fare clic su di esso.
- MEMORIZZA LA CONFIGURAZIONE LDAP IN MINIORANGE: Scegli questa opzione se desideri mantenere la tua configurazione in miniOrange. Se Active Directory è protetto da un firewall, dovrai aprirlo per consentire le richieste in arrivo al tuo dominio Active Directory.
- MEMORIZZA LA CONFIGURAZIONE LDAP IN LOCALE: Scegli questa opzione se vuoi mantenere la tua configurazione nei tuoi locali e consentire l'accesso ad AD solo all'interno dei locali. Dovrai scaricare e installare miniGateway arancione presso la vostra sede.
- Inserisci AD/LDAP Display Nome and Identifier nome.
- Seleziona Tipo di directory as Active Directory.
- Inserisci l'URL o l'indirizzo IP del server LDAP rispetto a LDAP URL del server campo.
- Clicca sul Test di connessione pulsante per verificare se la connessione con il tuo Server LDAP.
- In Active Directory, vai alle proprietà dei contenitori/OU utente e cerca Attributo Nome distintoL'account di associazione deve disporre dei privilegi di lettura minimi richiesti in Active Directory per consentire le ricerche nelle directory. Se il caso d'uso prevede il provisioning (ad esempio, la creazione, l'aggiornamento o l'eliminazione di utenti o gruppi), all'account devono essere concesse anche le autorizzazioni di scrittura appropriate.
- Inserisci la password valida dell'account Bind.
- Clicca sul Test delle credenziali dell'account Bind pulsante per verificare le credenziali LDAP Bind per la connessione LDAP.
- Base di ricerca è la posizione nella directory in cui inizia la ricerca di un utente. Lo otterrai dallo stesso posto in cui hai ottenuto il tuo Distinguished name.
- Seleziona un filtro di ricerca adatto dal menu a discesa. Se utilizzi Utente nel filtro di gruppo singolo or Utente nel filtro multigruppo, sostituire ilgruppo-dn> nel filtro di ricerca con il nome distinto del gruppo in cui sono presenti i tuoi utenti. Per utilizzare il filtro di ricerca personalizzato seleziona "Scrivi il tuo filtro personalizzato" opzione e personalizzarla di conseguenza.
- Clicca sul Avanti pulsante, o vai al Opzioni Login scheda.
- È inoltre possibile configurare le seguenti opzioni durante la configurazione di AD. Abilita Attiva LDAP per autenticare gli utenti da AD/LDAP. Fare clic su Avanti pulsante per aggiungere l'archivio utente.
Ecco l'elenco degli attributi e cosa fa quando li abilitiamo. Puoi abilitarli/disabilitarli di conseguenza.
| Attributo |
Descrizione |
| Attiva LDAP |
Tutte le autenticazioni utente verranno eseguite con credenziali LDAP se lo attivi |
| Autenticazione di fallback |
Se le credenziali LDAP falliscono, l'utente verrà autenticato tramite miniOrange |
| Abilita l'accesso dell'amministratore |
Abilitando questa opzione, il tuo accesso di amministratore miniOrange si autentica tramite il tuo server LDAP |
| Mostra IdP agli utenti |
Se abiliti questa opzione, questo IdP sarà visibile agli utenti |
| Sincronizza gli utenti in miniOrange |
Gli utenti verranno creati in miniOrange dopo l'autenticazione con LDAP |
- Clicca sul Avanti pulsante, o vai al Attributi scheda.
Mappatura degli attributi da AD
Importazione e provisioning degli utenti da AD
- Se si desidera impostare il provisioning, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.
Importa i criteri password da Active Directory
- Se desideri importare i criteri password di Active Directory in miniOrange, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.
Connessioni di prova
- Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Test di connessione.
- Verrà visualizzata una finestra pop-up che ti chiederà di immettere un nome utente e una password per verificare la configurazione LDAP.
- On di risposte positive connessione con il server LDAP, viene visualizzato un messaggio di successo.
Mappatura degli attributi di prova
- Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Mappatura degli attributi di prova.
- Appare un pop-up in cui inserire un nome utente e cliccare Test.
- Verrà visualizzato il risultato della mappatura degli attributi del test.
La configurazione di Impostazione AD come directory esterna è completata.
Nota: Segnala il nostro guida per configurare LDAP sul server Windows.
miniOrange si integra con varie fonti utente esterne, come directory, provider di identità, ecc.
Non riesci a trovare il tuo IdP o hai bisogno di aiuto per configurarlo?
Contattaci o inviare un'e-mail a idpsupport@xecurify.com e ti aiuteremo a configurarlo in pochissimo tempo.
5. Autenticazione adattiva con Sentinel One
A. Limitazione dell'accesso a Sentinel One con configurazione IP
Per migliorare la sicurezza e la funzionalità del Single Sign-On (SSO) di Sentinel One, è possibile utilizzare l'autenticazione adattiva con tale funzionalità. È possibile consentire l'accesso SSO a un determinato indirizzo IP all'interno di un intervallo specifico oppure negarlo in base alle proprie esigenze, e si può anche richiedere all'utente di verificare la propria autenticità. L'autenticazione adattiva gestisce l'autenticazione dell'utente in base a diversi fattori, come ID dispositivo, posizione, orario di accesso, indirizzo IP e molti altri.
È possibile configurare l'autenticazione adattiva con blocco IP nel modo seguente:
- Login per Console self-service >> Autenticazione adattiva >> Aggiungi criterio.
- Aggiungere un Nome della politica per la tua politica di autenticazione adattiva.
- Seleziona Azione per il cambiamento del comportamento, clicca il Modifica collegamento, quindi scegliere l'appropriato Action and Tipo di sfida per l'utente di quella sezione.
Azione per le opzioni di modifica del comportamento:
| Attributo |
Descrizione |
| Consentire |
Consentire agli utenti di autenticarsi e utilizzare i servizi se la condizione di autenticazione adattiva è vera. |
| Rifiuta |
Nega le autenticazioni utente e l'accesso ai servizi se la condizione di autenticazione adattiva è vera. |
| La sfida |
Prova gli utenti con uno dei tre metodi indicati di seguito per verificare l'autenticità dell'utente. |
Opzioni tipo sfida:
| Attributo |
Descrizione |
| Fattore secondo utente |
L'utente deve autenticarsi utilizzando il secondo fattore che ha scelto o assegnato, ad esempio
- OTP tramite SMS
- Notifica PUSH
- OTP tramite e-mail e, molti di più.
|
| KBA (autenticazione basata sulla conoscenza) |
Il sistema chiederà all'utente di rispondere a 2 delle 3 domande configurate nella sua console self-service. Solo dopo aver risposto correttamente a entrambe le domande, l'utente potrà procedere. |
| OTP tramite e-mail alternativa |
L'utente riceverà un OTP all'indirizzo email alternativo configurato tramite la Self Service Console. Una volta fornito l'OTP corretto, potrà procedere. |
- Ora cliccate Modifica opzione dal Configurazione IP sezione per configurare un intervallo IP personalizzato.
- Seleziona Aggiungi IP se l'Utente Indirizzo IP non è presente nell'elenco configurato.
- Specifica l'indirizzo IP che desideri inserire nella whitelist. Per gli intervalli IP diversi da quello inserito nella whitelist, puoi selezionare l'impostazione sopra indicata.
- Scegli se consentire o negare selezionando l'opzione corrispondente dal menu a discesa.
- Se un utente tenta di accedere con l'indirizzo IP presente nella whitelist, l'accesso gli sarà sempre consentito.
- Supportiamo l'intervallo di indirizzi IP in tre formati, ovvero: IPv4, CIDR IPv4 e CIDR IPv6Puoi scegliere quello più adatto a te dal menu a discesa.
- È possibile aggiungere più IP o intervalli IP facendo clic su + Aggiungi IP pulsante.
- Una volta apportate le modifiche, scorrere fino alla fine e fare clic su Salva.
B. Autenticazione adattiva con limitazione del numero di dispositivi
Utilizzando l'Autenticazione adattiva puoi anche limitare il numero di dispositivi su cui l'utente finale può accedere ai Servizi. Puoi consentire agli utenti finali di accedere ai servizi su un numero fisso di dispositivi. Gli utenti finali saranno in grado di accedere ai servizi forniti da noi su questo numero fisso di dispositivi.
È possibile configurare l'autenticazione adattiva con restrizione dispositivo nel modo seguente
- Login per Console self-service >> Autenticazione adattiva >> Aggiungi criterio.
- Aggiungere un Nome della politica per la tua politica di autenticazione adattiva.
- Seleziona la tua Azione per il cambiamento del comportamento and Tipo di sfida per l'utente dal Azione per il cambiamento del comportamento Sezione.
- Sulla Aggiungi criterio scheda, vai al Configurazione del dispositivo sezione e fare clic sul Modifica pulsante.
- Inserire il Numero di registrazioni di dispositivi consentite in base alle tue esigenze. (Si consigliano 2-3 dispositivi.)
- Scegli Action se il numero di dispositivi è stato superato (ciò sovrascriverà l'impostazione per Azione per il cambiamento del comportamento.)
- La sfida: L'utente deve verificare se stesso utilizzando uno dei tre metodi menzionati nella tabella in step 5.1
- Rifiuta : Nega agli utenti l'accesso al sistema
- Consentire a tutti Restrizione dispositivi mobili per bloccare gli accessi da dispositivi mobili. In questo modo, tutti i tentativi di accesso da dispositivi mobili verranno rifiutati.
- Consentire a tutti Restrizione basata sull'indirizzo MAC se si desidera limitare l'accesso in base all'indirizzo MAC del dispositivo.
- Scorri fino alla fine della pagina e fai clic su Salva.
C. Aggiungere il criterio di autenticazione adattiva a Sentinel One
- Login per Console self-service >> Criteri >> Aggiungi criterio di accesso.
- Fare clic su Modifica opzione icona per i criteri predefiniti delle app.
- Imposta la tua politica in Nome della politica e seleziona Password come Primo fattore.
- Consentire a tutti Autenticazione adattiva nella pagina Modifica policy di accesso e seleziona l'opzione richiesta metodo di restrizione come opzione.
- Da Seleziona la politica di accesso seleziona dal menu a discesa la policy creata nel passaggio precedente e clicca su Invia.
D. Messaggio di notifica e avviso.
Come aggiungere un dispositivo attendibile
- Quando l'utente finale accede alla console self-service dopo la policy per restrizione del dispositivo è attivo, gli viene offerta la possibilità di aggiungere il dispositivo corrente come dispositivo attendibile.
Riferimenti esterni
