Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
SUR CETTE PAGE
 

Intégrez Google Workspace en tant que fournisseur d’identité

Suivez ces étapes pour ajouter Mist en tant que client dans votre portail Google Workspace, télécharger votre certificat et ajouter votre fournisseur d’identité à votre organisation Juniper Mist.

Juniper Mist Access Assurance vous permet d’intégrer Google Workspace en tant que fournisseur d’identité (IdP) afin d’exploiter le connecteur sécurisé LDAPS (Lightweight Directory Access Protocol over SSL) dans les cas d’utilisation suivants :

  • Pour une autorisation basée sur un certificat (EAP-TLS ou EAP-TTLS) :
    • Récupère les informations d’appartenance aux groupes d’utilisateurs pour prendre en charge les stratégies d’authentification basées sur cette identité utilisateur
    • Obtient l’état (actif ou suspendu) d’un compte utilisateur

  • EAP-TTLS avec PAP

    • Vérifie le nom d’utilisateur et le mot de passe pour l’authentification auprès du fournisseur d’identité de Google
Remarque :

Certaines des captures d’écran incluses dans ce document proviennent d’applications tierces. Sachez que ces captures d’écran peuvent changer au fil du temps et peuvent ne pas toujours correspondre à la version actuelle des applications.

Configuration sur Google Workspace

La procédure suivante vous montre comment configurer Google Workspace en tant que fournisseur d’identité (IdP) avec Juniper Mist.

Remarque :

Les captures d’écran des applications tierces sont correctes au moment de la publication. Nous n’avons aucun moyen de savoir quand ou si les captures d’écran seront exactes à l’avenir. Veuillez vous référer au site Web tiers pour obtenir des conseils sur les modifications apportées à ces écrans ou aux workflows impliqués.
  1. Connectez-vous à votre portail Google Workspace à l’aide de vos identifiants d’administrateur Google.

    Le tableau de bord d’administration Google apparaît.

  2. Créez un client LDAP.
    1. Dans la console d’administration Google, dans la barre de navigation de gauche, accédez à Applications > LDAP et cliquez sur Ajouter un client.
    2. Fournissez un nom de client LDAP et une description facultative, puis cliquez sur Continuer.

      La page Autorisations d’accès s’affiche après l’ajout du client LDAP.

  3. Configurez l’autorisation d’accès pour vérifier les informations d’identification de l’utilisateur.

    Les options suivantes sont disponibles :

    • Vérifier les informations d’identification de l’utilisateur : permet l’authentification des informations d’identification de l’utilisateur à l’aide de EAP-TTLS/PAP. Ce paramètre spécifie les groupes organisationnels auxquels le client LDAP peut accéder pour vérifier les informations d’identification de l’utilisateur.
    • Lire les informations utilisateur : permet de lire les informations de base sur l’utilisateur. Ce paramètre spécifie les unités et groupes organisationnels auxquels le client LDAP peut accéder pour récupérer des informations utilisateur supplémentaires.
    1. Sélectionnez Domaine entier pour les deux options si aucune organisation spécifique n’est requise.
    2. Faites défiler vers le bas jusqu’à Lire les informations du groupe. Ce paramètre spécifie si le client LDAP peut lire les détails du groupe et vérifier les appartenances aux groupes d’un utilisateur.

      Une fois que vous avez terminé de configurer les autorisations d’accès et ajouté le client LDAP, le certificat est généré automatiquement sur la même page.

  4. Téléchargez le certificat client LDAPS généré.
    1. Cliquez sur Télécharger le certificat et enregistrez le certificat téléchargé dans un endroit sécurisé. Vous aurez besoin de ce certificat lorsque vous configurerez un IdP sur le portail Juniper Mist.
    2. Cliquez sur Continuer vers Détails du client.

      La page Paramètres de <nom du client LDAP> s’affiche.

    3. Développez la section Authentification.
    4. Sous Informations d’identification d’accès, cliquez sur Générer de nouvelles informations d’identification.

      Vous pouvez afficher le nom d’utilisateur et le mot de passe sur la page Identifiants d’accès .

      Copiez et enregistrez le nom d’utilisateur et le mot de passe. Vous avez besoin de ces détails pour configurer le client LDAPS sur le portail cloud Juniper Mist.

  5. Activez le service client LDAP en modifiant l’état du service sur Activé pour le client LDAP. Cette étape vous permet de configurer un client avec le service LDAP sécurisé.
    1. Dans la console d’administration Google, accédez à Applications > LDAP. Sélectionnez votre client et cliquez sur État du service.

      L’état du service, affiché en haut à droite de la page, est initialement défini sur OFF.

      Sélectionnez Activé pour que tout le monde active le service. Prévoyez un peu de temps pour que les changements s’appliquent du côté de Google.

Configuration sur le tableau de bord Juniper Mist

  1. Dans le menu de gauche du portail Mist Juniper, sélectionnez Organisation > accès > fournisseurs d’identité.

    La page Fournisseurs d’identité affiche tous les fournisseurs d’identité configurés.

    Figure 1 : Page Identity Providers Page des fournisseurs d’identité
  2. Cliquez sur Ajouter un IDP pour ajouter un nouvel IdP.
  3. Sur la page Nouveau fournisseur d’identité, saisissez les informations requises pour l’intégration à Google Workspace.
    Figure 2 : Mettre à jour les informations Update Identity Provider Details du fournisseur d’identité

    Configurez maintenant le connecteur LDAPS pour qu’il s’intègre au point de terminaison LDAP Google Workspace.

    • Nom : saisissez un nom d’IDP. (Dans cet exemple, entrez Google Workspace.)
    • Type d’IDP : sélectionnez LDAPS.
    • Type LDAP : sélectionnez Personnalisé.
    • Filtre de groupe : sélectionnez membreDe. Cette option est requise pour obtenir des appartenances à un groupe à partir de l’attribut Groupe.
    • Filtre de membre : sélectionnez membreDe.
    • Filtre utilisateur : entrez (mail=%s).
    • Hôtes de serveur : entrez ldap.google.com.
    • Noms de domaine : saisissez votre nom de domaine Google Workspace. Par exemple : abc.com.
    • DN de liaison : utilisez le nom d’utilisateur fourni par Google à l’étape précédente.
    • Mot de passe de liaison : saisissez le mot de passe du nom d’utilisateur ci-dessus.
    • DN de base : configurez votre DNS de base correspondant à votre domaine Google Workspace. Par exemple, si votre domaine est abc.com, votre DN de base est dc=abc,dc=com.
  4. Dans la section Certificats d’AC, cliquez sur Ajouter un certificat et collez les deux certificats suivants :
    Figure 3 : Ajouter un certificat Add CA Certificate d’AC
  5. Sous Certificat client, ajoutez un certificat client que vous avez téléchargé à partir de Google. Placez le fichier se terminant par .key sous Clé privée et le fichier se terminant par .crt sous Certificat signé, comme indiqué dans l’exemple suivant :
    Figure 4 : Ajouter un certificat Add Client Certificate client

    Cliquez sur Enregistrer.

Sur le portail Juniper Mist, accédez à Surveillance des > Insights > des événements client.

Lorsqu’un utilisateur s’authentifie à l’aide d’EAP-TTLS , vous pouvez voir les événements NAC IDP Authentication Success et NAC IDP Group Success qui récupèrent les informations d’appartenance au groupe d’utilisateurs.

Lorsqu’un utilisateur s’authentifie à l’aide d’EAP-TTS avec Google Workspace, vous pouvez voir l’événement NAC IDP Group Lookup Success qui récupère les informations d’appartenance au groupe d’utilisateurs.
Figure 5 : Événement d’authentification réussie de la recherche de groupe IDP IDP Group Lookup Success Authentication Event

En cas d’authentification EAP-TTLS, vous pouvez voir l’événement NAC IDP Authentication Successful . Cet événement indique que Google Workspace a validé les informations d’identification de l’utilisateur.

Figure 6 : Événement IDP Authentication Success Event de réussite de l’authentification IDP

Vous pouvez utiliser les rôles IDP de Google Workspace dans vos règles de stratégie d’authentification pour segmenter le réseau en fonction des rôles des utilisateurs.

À propos d’EAP-TTLS et d’Azure AD à l’aide de ROPC

Le protocole d’authentification extensible – TLS tunnelisé (EAP-TTLS) exploite le flux OAuth LDAPS avec Azure AD pour effectuer l’authentification des utilisateurs. Cela implique l’utilisation de l’authentification héritée, qui implique l’utilisation d’un nom d’utilisateur et d’un mot de passe sans MFA. Plusieurs facteurs doivent être pris en compte lors de l’utilisation de cette méthode :

  • Configurez les appareils clients avec le profil Wi-Fi approprié, à partir d’un objet de stratégie de groupe ou d’un MDM. Le fait de n’indiquer qu’un nom d’utilisateur et un mot de passe à l’invite de connexion ne fonctionne pas avec certains systèmes d’exploitation.
  • Les utilisateurs doivent utiliser le format de nom d’utilisateur Google Email ID (username@domain) pour saisir le nom d’utilisateur.
  • Configurez les clients pour approuver le certificat du serveur. Voir Utiliser des certificats numériques.

Voir aussi