配置SAML身份提供者

1. 使用SmartConsole连接到安全管理服务器/相关域管理服务器。

2. 在左侧导航面板中，单击网关和服务器。

3. 打开相关Quantum Spark网关的对象。

4. 在常规资产>网络安全选项卡中，选择IPsec VPN软件刀片。

5. 从左侧树中单击IPsec VPN。

6. 在此安全网关参与以下VPN社区部分中，单击添加 。

   打开将此网关添加到社区窗口。

7. 选择相关的远程访问VPN社区 VPN域的命名集合，每个域都受VPN网关保护。。

8. 单击“确定”。

9. 从左侧树中，展开VPN客户端> 单击远程访问> 选择支持访客模式。

10. 从左侧树中，单击VPN客户端> 单击办公模式> 选择允许办公模式> 选择相关的办公模式方法。

11. 单击“确定”。

    Quantum Spark网关对象关闭。

12. 打开Quantum Spark网关对象。

13. 在左侧树中，单击VPN客户端> SAML门户设置：

    1. 确保主URL字段包含Quantum Spark网关的完全限定域名 (FQDN)。

    2. 确保域名以你组织注册的DNS后缀结尾。

       示例：

       https://MyGateway1.mycompany.com/saml-vpn

    3. 在辅助功能部分中，选择相关设置。

14. 单击“确定”。

1. 在SmartConsole中，从右侧导航面板单击新建>更多>用户/身份>身份提供者。

   打开新身份提供者窗口。

2. 在新建身份提供者窗口中，配置以下设置：

   1. 在顶部输入适用的名称和评论。

   2. 在网关字段中，选择Quantum Spark网关进行SAML身份验证。

   3. 在服务字段中，选择远程访问VPN 。

   SmartConsole自动填充以下字段：

   • 标识符（实体ID） ——唯一标识服务提供商（在此配置中为安全网关 专用的Check Point服务器运行Check Point软件来检查流量并为连接的网络资源实施安全策略。）的URL。

   • 回复URL - SAML断言发送到的URL。

3. 在身份提供商的网站上配置SAML应用程序。

   重要提示- 在身份提供商的网站上配置SAML应用程序时，请勿关闭SmartConsole中的新身份提供商窗口。

   说明- 根据你的身份提供商，你可能需要购买高级订阅才能使用为远程访问VPN配置SAML所需的功能。

   按照身份提供者的指示进行操作。

   1. 从SmartConsole新建身份提供者窗口复制标识符（实体ID）和回复URL字段的值，然后将其输入到身份提供者网站上的相关字段中。

   2. 确保配置身份提供者以电子邮件格式发送经过身份验证的用户名“alias@domain”。

      重要提示- 用户的首要电子邮件地址在本地LDAP目录和身份提供商的用户目录中必须相同。此电子邮件地址必须是唯一的。

   3. 可选：要接收定义用户的身份提供者的组，请配置身份提供者以将组名作为属性“group attr”。

   4. 在完成配置之前，请从身份提供者处获取此信息：

      • 实体ID - 唯一标识应用程序的URL。

      • 登录URL - 使用应用程序的URL。

      • 证书- 用于Quantum Spark网关和身份提供者之间的安全通信。

      说明- 一些身份提供者在元数据XML文件中提供此信息。

4. 在新建身份提供者窗口的从SAML身份提供者接收的数据部分中，选择以下选项之一：

   • 导入元数据文件

     单击从文件导入并从身份提供者中选择重要的元数据文件。

   • 手动插入

     1. 输入你从身份提供者复制的标识符（实体ID）和登录URL 。

     2. 单击从文件导入并从身份提供者中选择证书文件。

        注意- SmartConsole中的身份提供者对象不支持导入RAW证书。

1. 在左侧导航面板中，单击管理和设置。

2. 从左侧树中单击刀片 。

3. 在移动访问部分中，单击SmartDashboard中的配置。

   打开旧版SmartDashboard。

4. 在左下方窗格中，单击用户选项卡。

5. 在用户选项卡中，右键单击空白处并选择新建 > 外部用户配置文件 > 匹配所有用户 。

6. 配置外部用户配置文件资产：

   1. 在一般属性页上：

      • 在外部用户配置文件名称字段中，确保默认名称为generic*。

      • 在到期日期字段中输入日期。

   2. 在身份验证页面上，从身份验证方案下拉列表中选择未定义 。

   3. 在位置、时间和加密页面上，配置相关设置。

   4. 单击“确定”。

7. 从顶部工具栏中，单击菜单（左上角按钮）>文件>更新。

8. 关闭旧版SmartDashboard。

9. 在SmartConsole中，安装访问控制策略。

1. 为Windows或macOS安装远程访问VPN客户端。

   更多信息，参见sk172909 。

2. 可选：配置身份提供者浏览器模式。

   默认情况下，Windows客户端使用其嵌入式浏览器，macOS客户端使用Safari浏览器在身份提供者的门户中证明其身份。

   配置Windows的远程访问VPN客户端以使用端点电脑的默认浏览器（例如：Chrome）：

   注意- 从Windows版本E87.30的远程访问VPN客户端开始支持此配置。

   1. 以管理员身份登录Windows端点电脑。

   2. 在纯文本编辑器中编辑trac.defaults文件。

      • 在64位Windows上，文件位置为：

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • 在32位Windows上，文件位置为：

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

   3. 将“ idp_browser_mode ”属性的值从“ embedded ”更改为“ default_browser ”。

   4. 保存文件中的更改并关闭文本编辑器。

   5. 停止远程访问VPN客户端并重新启动。

      以管理员身份打开Windows命令提示符并运行以下命令：

      1. net stop TracSrvWrapper

      2. net start TracSrvWrapper

   配置macOS的远程访问VPN客户端以使用端点电脑的默认浏览器（例如：Chrome）：

   注意 - 从macOS版本E87.30的远程访问VPN客户端开始支持此配置。

   1. 以管理员身份登录macOS端点电脑。

   2. 打开纯文本编辑器。

   3. 在纯文本编辑器中编辑trac.defaults文件：

      /Library/Application Support/Checkpoint/Endpoint Security/Endpoint Connect/Trac.defaults

   4. 将“ idp_browser_mode ”属性的值从“ embedded ”更改为“ default_browser ”。

   5. 保存文件中的更改并关闭文本编辑器。

   6. 停止远程访问VPN客户端并重新启动。

      打开终端并运行以下命令：

      1. sudo launchctl stop com.checkpoint.epc.service

      2. sudo launchctl start com.checkpoint.epc.service

   配置Windows的远程访问VPN客户端以使用Internet Explorer浏览器：

   1. 以管理员身份登录Windows端点电脑。

   2. 在纯文本编辑器中编辑trac.defaults文件。

      • 在64位Windows上，文件位置为：

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • 在32位Windows上，文件位置为：

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

   3. 将“ idp_browser_mode ”属性的值从“ embedded ”更改为“ IE ”。

   4. 保存文件中的更改并关闭文本编辑器。

   5. 停止远程访问VPN客户端并重新启动。

      以管理员身份打开Windows命令提示符并运行以下命令：

      1. net stop TracSrvWrapper

      2. net start TracSrvWrapper

   在远程访问VPN网关上的配置文件中配置Windows端点电脑的浏览器模式：

   从Windows版远程访问VPN客户端E88.41开始，你可以在远程访问VPN网关 管理VPN域成员之间的流量加密和解密的网关，通常位于VPN隧道的一端（远程访问VPN）或两端（站点到站点VPN）。上的配置文件中配置端点电脑的浏览器模式。

   trac_client_1.ttm文件中的“idp_browser_mode”参数控制浏览器模式。更多信息，参见sk75221 。

授权适用于以下类型的群体：

• 身份提供者组 - 身份提供者发送的组。

• 内部组 - 从SmartConsole中配置的用户目录接收的组（内部用户组或LDAP组）。

要配置身份提供者组：

1. 在身份提供者的界面中，配置SAML属性：

   1. 定义一个名为group_attr的可选属性。

   2. 根据身份提供者的要求配置属性。

2. 在SmartConsole中，创建具有以下名称的内部用户组对象（区分大小写，不支持空格）：

   EXT_ID_角色名称>

   例如，对于身份提供者接口中名为my_group的角色，在SmartConsole中创建一个名为EXT_ID_my_group的内部用户组对象。

   说明 - 在Microsoft Azure中，身份标签不支持远程访问连接。

身份提供者组和内部组（例如：LDAP）用于授权。

授权类型：远程访问VPN社区和访问角色

• 远程访问VPN社区 - 授予用户访问远程访问VPN的权限。

  更多信息，请参阅R81.10 Remote Access VPN Administration Guide>“远程访问的用户和客户端身份验证”部分。

• 访问角色（需要身份识别软件刀片）- 根据策略规则 规则库中的一组流量参数和其他条件，用于对通信会话采取指定的操作。和用户身份授予用户访问权限。

  更多信息，请参阅R81.10 Identity Awareness Administration Guide>“配置身份感知”一章 >“创建访问角色”一节。

要应用远程访问VPN的授权，请将适用的组添加到远程访问VPN。

要应用访问角色的授权，请将适用的组添加到访问控制策略中的访问角色。