設定 SAML 身分識別供應商

1. 用 SmartConsole 連線到 Security Management Server 執行Check Point軟體的專用Check Point伺服器，可在單一管理網域內的Check Point環境中管理物件和原則。同義詞：單域Security Management Server。/相關網域管理伺服器 Check Point Security Management Server或多網域Security Management Server。。

2. 在左側瀏覽面板中，按一下閘道器和伺服器。

3. 開啟相關Quantum Spark閘道器的物件。

4. 在一般屬性>網路安全性標籤中，選擇IPsecVPNSoftware Blade。

5. 從左側樹狀選單中勾選互聯網安全協定 VPN。

6. 在「這個安全閘道器參與下面的 VPN 社群」部分中，按一下「新增」 。

   開啟將這個閘道器新增至社區視窗。

7. 選擇遠端存取 VPN 社群 VPN網域的命名集合，每個網域都受到VPN閘道的保護。。

8. 點擊確定.

9. 展開左側樹狀選單的VPN 用戶端> 按一下遠端存取> 選擇支援訪客模式。

10. 從左側樹狀選單中，按一下VPN 用戶端> 按一下辦公室模式> 選擇允許辦公室模式> 選擇辦公室模式方法。

11. 點擊確定.

    Quantum Spark 閘道器物件關閉。

12. 開啟 Quantum Spark 閘道器物件。

13. 在左側樹狀選單中，按一下VPN 用戶端> SAML 入口網站設定：

    1. 確認主網址欄位包含 Quantum Spark 閘道器的完整合格網域名稱 (FQDN)。

    2. 務必使網域以組織註冊的 DNS 為結尾。

       範例：

       https://MyGateway1.mycompany.com/saml-vpn

    3. 在「輔助功能」部分中，選擇相關設定。

14. 點擊確定.

1. 在 SmartConsole 中，從右側導航面板按一下新建>更多>使用者/身分>身分提供者。

   開啟「新身分提供者」視窗。

2. 在新身份提供者視窗中，設定：

   1. 在最上面輸入名稱和附註。

   2. 在閘道器欄位中，選擇 Quantum Spark 閘道進行 SAML 驗證。

   3. 在服務欄位中，選擇遠端存取 VPN 。

   SmartConsole 會自動填入下面的欄位：

   • 識別碼（實體 ID）：唯一識別服務提供者（在這設定中為安全閘道 專用的Check Point伺服器，可執行Check Point軟體，檢查流量並執行連線網路資源的安全性原則。器）的網址。

   • 回覆網址：SAML 判斷收件網址。

3. 在身分識別提供者的網站上設定 SAML 應用程式。

   重要提示：在身分提供者的網站上設定 SAML 應用程式時，請勿關閉 SmartConsole 中的「新身分提供者」視窗。

   注意事項：根據身分提供者，可能需訂購進階服務才能使用遠端存取 VPN 設定 SAML 所需的功能。

   請依照身分提供者的指示進行操作。

   1. 從 SmartConsole新身分提供者視窗複製識別碼（實體 ID）和回覆網址的值，輸入到身分提供者網站上的相關欄位。

   2. 務必設定身分提供者發送的驗證使用者名稱之電子郵件格式為「alias@domain 」。

      重要提示：使用者的主要電子信箱在本機 LDAP 目錄和身分識別提供者的使用者目錄中必須相同。電子信箱必須唯一。

   3. 可選：若要接收定義使用者的身分提供者的群組 有共用屬性的物件集合，例如使用者帳戶。，請設定身分提供者，將群組名稱設為屬性「group attr 」。

   4. 在完成設定之前，請從身分提供者取得這項資訊：

      • 實體 ID：唯一標識應用程式的網址。

      • 登入網址：使用應用程式的網址。

      • 憑證：Quantum Spark 閘道器和身分提供者間的安全通訊。

      注意事項：有些身分提供者會在中繼資料 XML 檔案中提供這項資訊。

4. 在「新增身分提供者」視窗的「從 SAML 身分提供者接收的資料」部分中選擇：

   • 匯入中繼資料檔

     按一下「從檔案匯入」，從身分提供者中選擇中繼資料檔。

   • 手動插入

     1. 輸入從身分提供者複製的識別碼（實體 ID）和登入網址 。

     2. 按一下從檔案匯入，從身分提供者中選擇憑證檔案。

        注意事項：SmartConsole 中的身分提供者物件不支援匯入 RAW 憑證。

1. 在左邊的導覽面板中，按一下管理和設定。

2. 從左側樹狀選單中按一下Blades 。

3. 在行動存取部分中，按一下SmartDashboard 中的設定。

   開啟舊版 SmartDashboard。

4. 在左下方面板中，按一下「使用者」標籤。

5. 在「使用者」標籤中，右鍵按一下空白處，選擇「新增」 > 「外部使用者設定檔」 > 「符合所有使用者」 。

6. 設定外部使用者設定檔屬性：

   1. 在「 常規屬性 」頁上：

      • 外部使用者設定檔名稱欄位的預設名稱務必為generic*。

      • 在到期日欄位中輸入日期。

   2. 在「身份驗證」頁面上，從「身份驗證方案」下拉清單中選擇「未定義」 。

   3. 設妥位置、時間和加密頁面的設定。

   4. 點擊確定.

7. 從最上面工具列中，按一下選單（左上角按鈕）>檔案>更新。

8. 關閉舊版 SmartDashboard。

9. 在 SmartConsole 中，安裝存取控制原則。

1. 為 Windows 或 macOS 安裝遠端存取 VPN 用戶端。

   有關詳細資訊，請參見 sk172909。

2. 可選：設定身分提供者瀏覽器模式。

   預設 Windows 用戶端使用嵌入式瀏覽器，macOS 用戶端使用 Safari 瀏覽器，在身分提供者的入口網站中證明身分。

   設定 Windows 的遠端存取 VPN 用戶端，使用端點電腦的預設瀏覽器（例如Chrome）：

   注意事項：從 Windows 版本 E87.30 的遠端存取 VPN 用戶端開始支援這項設定。

   1. 以管理員身分登入 Windows 端點電腦。

   2. 編輯trac.defaults，在純文字編輯器中開啟檔案。

      • 在 64 位元 Windows 上，檔案位於：

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • 在 32 位元 Windows 上，檔案位於：

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

   3. 將「idp_browser_mode」屬性的值從「embedded」變更為「default_browser」。

   4. 儲存檔案變更，關閉文字編輯器。

   5. 停止遠端存取 VPN 用戶端，重新啟動。

      以管理員身份開啟 Windows 指令碼提示字元，並執行下面的指令碼：

      1. net stop TracSrvWrapper

      2. net start TracSrvWrapper

   設定 macOS 的遠端存取 VPN 用戶端，用端點電腦的預設瀏覽器（例如Chrome）：

   注意事項：從 macOS 版本 E87.30 的遠端存取 VPN 用戶端開始支援這項設定。

   1. 以管理員身分登入 macOS 端點電腦。

   2. 開啟純文字編輯器。

   3. 編輯trac.defaults，在純文字編輯器中編輯檔案：

      /Library/Application Support/Checkpoint/Endpoint Security/Endpoint Connect/Trac.defaults

   4. 將「idp_browser_mode」屬性的值從「embedded」變更為「default_browser」。

   5. 儲存檔案變更，關閉文字編輯器。

   6. 停止遠端存取 VPN 用戶端，重新啟動。

      打開終端機，執行下面的指令碼：

      1. sudo launchctl stop com.checkpoint.epc.service

      2. sudo launchctl start com.checkpoint.epc.service

   設定 Windows 的遠端存取 VPN 用戶端，使用 Internet Explorer 瀏覽器：

   1. 以管理員身分登入 Windows 端點電腦。

   2. 編輯trac.defaults，在純文字編輯器中開啟檔案。

      • 在 64 位元 Windows 上，檔案位於：

        %ProgramFiles(x86)%\CheckPoint\Endpoint Connect\trac.defaults

      • 在 32 位元 Windows 上，檔案位於：

        %ProgramFiles%\CheckPoint\Endpoint Connect\trac.defaults

   3. 將「idp_browser_mode」屬性的值從「embedded」變更為「IE」。

   4. 儲存檔案變更，關閉文字編輯器。

   5. 停止遠端存取 VPN 用戶端，重新啟動。

      以管理員身份開啟 Windows 指令碼提示字元，執行指令碼：

      1. net stop TracSrvWrapper

      2. net start TracSrvWrapper

   在遠端存取 VPN 閘道器上的設定檔中設定 Windows 端點電腦的瀏覽器模式：

   從 Windows 版遠端存取 VPN 用戶端 E88.41 開始，可在遠端存取 VPN 閘道 管理VPN網域成員之間流量的加密和解密的閘道，通常位於VPN通道的一端（遠端存取VPN）或兩端（站到站VPN）。器上的設定檔中設定端點電腦的瀏覽器模式。

   trac_client_1.ttm 檔案中的「idp_browser_mode」參數控制瀏覽器模式。有關詳細資訊，請參見 sk75221。

授權給這些種類的群組：

• 身分提供者群組：身分提供者發送的群組。

• 內部群組：從 SmartConsole 中設定的使用者目錄接收的群組（內部使用者群組或 LDAP 群組）。

若要設定身分提供者群組：

1. 在身分識別提供者的介面中，設定 SAML 屬性：

   1. 定義名為group_attr的額外屬性。

   2. 根據身分提供者的需求設定屬性。

2. 在 SmartConsole 中，建立有以下名稱的內部使用者群組物件（區分大小寫，不支援空格）：

   EXT_ID_<Name_of_Role>

   例如，在身分提供者介面中名為my_group的角色，在 SmartConsole 中建立一個名為EXT_ID_my_group 的內部使用者群組物件。

   注意事項：在 Microsoft Azure 中，身分標籤不支援遠端存取連線。

授權用的身分提供者群組和內部群組（例如LDAP）。

授權類型：遠端存取 VPN 社群和存取角色

• 遠端存取 VPN 社群：授予使用者存取遠端存取 VPN 權限。

  更多詳細資訊請參閱R81.10 Remote Access VPN Administration Guide>「遠端存取的使用者和用戶端身份驗證」部分。

• 存取角色（需要Identity Awareness Software Blade）：根據原則規則 規則庫中的一組流量參數和其他條件，可對通訊工作階段採取指定動作。和使用者身分授予使用者存取權限。

  更多詳細資訊請參閱R81.10 Identity Awareness Administration Guide>「設定身分感知」一章 >「建立存取角色」一節。

若要套用遠端存取 VPN 的授權，請將相關群組新增至遠端存取 VPN 應用程式。

若要套用存取角色授權，請將該群組新增至存取控制原則中的存取角色。