S'applique À : Fireboxes Gérés sur le Cloud
Vous pouvez ajouter un domaine d'authentification au Firebox afin de spécifier les utilisateurs et les groupes de votre serveur d'authentification dans les stratégies de pare-feu, les alias et les paramètres mobile VPN.
Avant de pouvoir ajouter un domaine d'authentification Active Directory ou RADIUS au Firebox, vous devez l'ajouter aux paramètres Configurations Partagées de votre compte WatchGuard Cloud. Pour de plus amples informations, accédez à Domaines d'Authentification de WatchGuard Cloud.
Ajouter un Domaine d'Authentification WatchGuard Cloud
Pour ajouter un domaine d'authentification à la configuration du Firebox :
- Sélectionnez Configurer > Périphériques.
- Sélectionnez un Firebox.
L'état et les paramètres du Firebox sélectionné s'affichent. - Sélectionnez Configuration du Périphérique.
- Cliquez sur la mosaïque Domaines d'Authentification.
La page Domaines d'Authentification s'ouvre.
- Cliquez sur Ajouter un Domaine d'Authentification.
La page Ajouter un Domaine d'Authentification s'ouvre. - Sélectionnez WatchGuard Cloud Directory.
La page Ajouter un Domaine d'Authentification s'ouvre.
- Dans la liste déroulante Sélectionner un Domaine d'Authentification Existant, sélectionnez le domaine d'authentification.
Pour ajouter un nouveau Domaine d'Authentification à votre compte WatchGuard Cloud ou pour modifier les paramètres du serveur de domaine, accédez à la page Configurer > Domaines d'Authentification. Pour de plus amples informations, accédez à Domaines d'Authentification de WatchGuard Cloud.
- Dans la liste déroulante Type, sélectionnez le type de serveur d'authentification.
- Dans la liste déroulante Serveur Principal, sélectionnez l'adresse du serveur principal à utiliser pour l'authentification.
- Dans la liste déroulante Serveur de Secours, sélectionnez le serveur de secours.
- Cliquez sur Enregistrer.
Ajouter un Domaine d'Authentification SAML
Vous pouvez utiliser un domaine d'authentification SAML (Security Assertion Markup Language) pour authentifier les utilisateurs avec votre Firebox géré sur le cloud. Avec SAML, vous pouvez échanger des données entre un fournisseur d'identité (IdP) et un service provider (SP).
Lorsque vous ajoutez un domaine d'authentification SAML au Firebox pour authentifier les utilisateurs, vous ne l'ajoutez pas aux paramètres Configurations Partagées de votre compte WatchGuard Cloud. Dans la configuration SAML du Firebox, vous configurez le Firebox en tant que SP et un service tiers en tant qu'IdP.
Votre IdP doit satisfaire aux exigences de WatchGuard relatives aux communications SAML 2.0. Pour de plus amples informations concernant les exigences de SAML, accédez à Exigences SAML des Fournisseurs d'Identité.
L'authentification SAML nécessite Fireware v12.11 ou supérieur et est désactivée par défaut.
Vous pouvez utiliser SAML pour vous authentifier avec :
- Portail d'Authentification
- Mobile VPN with SSL
Fireware v12.11 étend la prise en charge de l'authentification SAML et inclut l'authentification Firebox. Le client Mobile VPN with SSL v12.11 pour Windows et le client Mobile VPN with SSL v12.11.2 pour macOS prennent en charge l'authentification SAML. Étant donné que l'authentification SAML pour Mobile VPN with SSL nécessite une mise à jour du client prenant en charge l'intégration avec un navigateur Web intégré pouvant interagir avec un IdP, les versions inférieures du client Mobile VPN with SSL et les clients OpenVPN tiers ne sont pas pris en charge.
Lorsque vous configurez un utilisateur ou un groupe d'authentification SAML dans une stratégie de pare-feu, mais que vous activez ensuite l'authentification SAML pour Mobile VPN with SSL ou le portail d'authentification, ou lorsque vous configurez un utilisateur ou un groupe d'authentification SAML dans une stratégie de pare-feu et Mobile VPN with SSL ou le portail d'authentification, mais que vous désactivez ultérieurement l'authentification SAML pour Mobile VPN with SSL ou le portail d'authentification, les métadonnées SP changent et l'authentification SAML ne fonctionne plus. Vous devez fournir les métadonnées SP mises à jour à votre administrateur IdP.
Pour ajouter un domaine d'authentification SAML à une configuration de Firebox géré sur le cloud, depuis WatchGuard Cloud :
- Sélectionnez Configurer > Périphériques.
- Sélectionnez un Firebox géré sur le cloud.
L'état et les paramètres du Firebox sélectionné s'affichent. - Sélectionnez Configuration du Périphérique.
- Cliquez sur la mosaïque Authentification > Domaines.
La page Domaines d'Authentification s'ouvre.
- Cliquez sur Ajouter un Domaine d'Authentification.
- Sélectionez Fournisseur d'Identité SAML.
La page Paramètres Service Provider (SP) SAML s'ouvre.
- Dans la zone de texte Nom de l'IdP, saisissez le nom de votre IdP.
Ce nom apparaît sur les pages de connexion du Firebox comme nom du serveur d'authentification. - Dans la zone de texte Nom d'Hôte, saisissez un FQDN qui se résout vers l'interface externe du Firebox.
- Ne renseignez pas la zone de texte URL des Métadonnées IdP pour l'instant. Il est nécessaire de suivre les étapes de la section suivante avant d'obtenir l'URL des Métadonnées IdP auprès de votre administrateur IdP.
Le Firebox ne peut pas prendre en charge plusieurs applications IdP en même temps. Chaque application IdP possède une URL des Métadonnées IdP unique.
La zone de texte Nom de l'Attribut de Groupe est définie par défaut sur memberOf. Si votre administrateur IdP utilise un nom différent, vous pouvez saisir ce nom.
- Cliquez sur Enregistrer.
WatchGuard Cloud génère des URL de domaine d'authentification et des informations de certificat.
Après avoir enregistré la configuration SAML, WatchGuard Cloud génère automatiquement une page contenant des informations supplémentaires concernant la configuration et le certificat SAML. Vous devez fournir ces informations à votre administrateur IdP. L'administrateur peut ensuite configurer les paramètres du compte de votre entreprise sur le site Web de l'IdP.
Le certificat Client SAML Fireware créé par WatchGuard Cloud s'affiche dans les Certificats du Périphérique pour votre périphérique géré sur le cloud. Pour de plus amples informations, accédez à À Propos des Certificats du Périphérique.
Suivez les instructions de l'Option 1 ou 2.
Vous devez déployer la configuration SAML sur le Firebox géré sur le cloud avant que votre IdP puisse utiliser l'URL des Métadonnées.
Option 1 — Configuration Automatique
Si votre IdP accepte les métadonnées SAML des SP, fournissez l'URL de métadonnées de la section Option 1 à votre administrateur IdP.
Option 2 — Configuration Manuelle
Si votre IdP n'accepte pas les métadonnées SAML des SP, fournissez les URL et le certificat de la section Option 2 à votre administrateur IdP.
Configurer les Paramètres du Fournisseur d'Identité SAML
Vous devez maintenant revenir à la configuration SAML et compléter la configuration avec les informations fournies par votre IdP.
Pour terminer la configuration SAML, à partir de WatchGuard Cloud :
- Sélectionnez Configurer > Périphériques.
- Sélectionnez un Firebox.
L'état et les paramètres du Firebox sélectionné s'affichent. - Sélectionnez Configuration du Périphérique.
- Cliquez sur la mosaïque Domaines d'Authentification.
La page Domaines d'Authentification s'ouvre. - Sélectionnez un domaine SAML.
Les informations de la configuration SAML s'ouvrent. - Dans la zone de texte URL des Métadonnées IdP, saisissez l'URL des métadonnées fournie par votre IdP.
- (Facultatif) Pour modifier le Nom de l'Attribut de Groupe, saisissez le nouveau Nom de l'Attribut de Groupe. Astuce !
- Cliquez sur Enregistrer.
- Déployez les modifications.
Modifier un Domaine d'Authentification de Service Provider SAML
Lorsque vous modifiez une configuration SAML, vous devez régénérer les informations de configuration SAML que vous fournissez à votre administrateur IdP.
Pour mettre à jour la configuration SAML, de WatchGuard Cloud :
- Sélectionnez Configurer > Périphériques.
- Sélectionnez un Firebox.
L'état et les paramètres du Firebox sélectionné s'affichent. - Sélectionnez Configuration du Périphérique.
- Cliquez sur la mosaïque Domaines d'Authentification.
La page Domaines d'Authentification s'ouvre.
- Sélectionnez un domaine SAML.
La page Paramètres SAML s'ouvre.
- Faites les modifications nécessaires.
Lorsque vous enregistrez les modifications apportées au nom d'hôte dans les paramètres SAML, les informations des options 1 et 2 sont mises à jour pour afficher les modifications.
- Cliquez sur Régénérer le Certificat.
- Cliquez sur Enregistrer.
- Suivez les instructions de l'Option 1 ou 2.
Utilisateurs et Groupes du Domaine d'Authentification
Pour s'authentifier, les utilisateurs peuvent se connecter à la page d'authentification du Firebox, sélectionner le domaine puis spécifier leur nom d'utilisateur et leur mot de passe. Pour obtenir des informations, accédez à Se Connecter au Portail d'Authentification Firebox.
Après avoir ajouté le domaine d'authentification, vous pouvez spécifier les utilisateurs et les groupes du domaine dans les stratégies et les alias. Pour de plus amples informations, accédez à :
- Configurer la Source et la Destination dans une Stratégie de Pare-feu
- Configurer les Alias d'un Firebox