附註：
- 此教學課程需要存取 Oracle Cloud。若要註冊免費帳戶，請參閱 Oracle Cloud Infrastructure Free Tier 入門。
- 它使用 Oracle Cloud Infrastructure 證明資料、租用戶及區間的範例值。完成實驗室時，請將這些值取代為您雲端環境特定的值。
將 OCI Identity and Access Management 設定為 Rapid7 命令平台的 SSO 來源
簡介
Oracle Cloud Infrastructure (OCI) 是 Oracle 的雲端運算平台，提供一組全方位的雲端服務，包括運算、儲存、網路、資料庫及身分識別管理。OCI 專為傳統應用程式和較新的雲端原生工作負載所設計，可在各種服務層次提供擴展性、安全性和效能。OCI 也支援健全的身分識別和存取管理 (IAM) 系統，其中包含啟用單一登入 (SSO) 的功能，以增強安全性和使用者便利性。OCI 以 SAML 為基礎的身分識別同盟可讓企業與外部身分識別提供者整合，簡化各種 OCI 資源的使用者存取。
Rapid7 是網路安全解決方案的領導供應商，專注於威脅偵測、漏洞管理和事件回應。透過 InsightIDR 和 InsightVM 等工具，Rapid7 可讓組織偵測並管理其基礎架構 (包括雲端環境) 中的漏洞。Rapid7 的 SAML 整合功能可讓組織與身分識別提供者 (例如 OCI) 連線，藉此簡化認證。此連線為使用者提供單一登入功能，藉由降低密碼相依性來改善安全性，同時讓使用者能夠順暢存取 Rapid7 的安全工具和洞察分析。
本教學課程將逐步介紹使用安全宣告標記語言 (SAML) 2.0 將 Oracle Cloud Infrastructure Identity and Access Management (OCI IAM) 設定為 Rapid7 命令平台單一登入 (SSO) 來源的作業。這可讓您使用 OCI IAM 管理 Rapid7 命令平台的使用者認證。
適用對象
OCI IAM 專業人員和 Rapid7 管理員。
目標
- 透過 SAML 整合 OCI 與 Rapid7，可讓組織運用 OCI 的身分識別管理功能，同時確保安全地存取 Rapid7 的安全平台。此設定透過 SSO 增強使用者體驗，並透過集中管理兩個平台的身分識別，支援更強大的安全實務。它可讓 IT 和安全團隊有效地管理身分識別、追蹤存取權，以及改善其雲端和安全環境的安全性狀態。
必要條件
- OCI 租用戶和 Rapid7 命令平台的管理員存取權。
工作 1：設定 Rapid7 命令平台中的 SSO 設定值
在此工作中，我們將使用 Rapid7 命令平台中的 SAML 2.0 來設定 SSO 設定值。
-
若要存取 SSO 設定值，請遵循下列步驟：
-
移至 Rapid7 Command Platform 首頁，然後按一下管理連結。
-
按一下設定值圖示。
-
按一下認證設定值和 SSO 設定值。
-
-
從選取您的身分識別提供者 (IdP) 下拉式功能表中選取其他。
注意：我們會在完成「工作 2」之後上傳 IdP 憑證。
-
複製宣告用戶服務 (ACS) URL 、對象 (EntityID) 以及轉送狀態 URL。完成後，請前往任務 2 。
-
從「任務 2」中下載的中繼資料複製實體 ID 和 SingleSignOnService URL ，然後分別在設定的洞察分析平台區段的發行者 URL 和單一登入 URL 中使用。
注意：單一登入 URL 的格式為
https://idcs-##############.identity.oraclecloud.com/fed/v1/idp/sso。 -
上傳 IdP 憑證。
-
應指派新使用者的設定預設存取權資料檔。設定此預設存取設定檔之後，系統就會自動將它指定給透過 OCI IAM 建立的所有新使用者帳戶。現有使用者帳戶的存取將不會受到影響。
-
啟用 IdP 使用者群組同步。將 OCI IAM 群組與 Rapid7 命令平台同步，可讓您的 OCI IAM 管理 Rapid7 命令平台使用者群組成員身分。指定給 IdP 群組的 OCI 使用者會自動指定給 Rapid7 命令平台中的相符使用者群組。只要使用者仍然是原始 IdP 群組的一部分，以此方式指派的使用者就會繼承所有已定義的產品、角色和資料權限。
-
按一下是，透過外部 IdP 啟用 SSO。
-
按一下下載，即可下載 SP 的描述資料。
-
從其中擷取 X509Certificate 以建立
.pem檔案。
作業 2：在 OCI IAM 識別網域中建立 SAML 應用程式
我們將在個別的 OCI IAM 識別網域中建立 SAML 應用程式。您必須使用 SSO 的 SAML 2.0 協定，在 OCI IAM 與 Rapid7 命令平台之間建立安全通訊連結。
-
登入 OCI 主控台，前往識別與安全，然後按一下網域。
-
選取您的網域，按一下整合的應用程式至新增應用程式，選取 SAML 應用程式，然後按一下啟動工作流程。
-
輸入您應用程式的名稱、轉送狀態，然後按一下下一步。
-
在設定單一登入區段中，輸入實體 ID 、宣告用戶 URL ，選取名稱 ID 格式作為未指定、名稱 ID 值作為使用者名稱，然後上傳從 Rapid7 主控台下載的簽署憑證。
注意：在 Rapid7 命令平台中設定 SSO 之後，即可從下載的描述資料擷取憑證。
-
在其他組態區段中，選取在簽章中包括簽署憑證，然後取消選取啟用單一登出。保留其他參數作為預設值。
注意：根據您的需求，選取或取消選取啟用單一登出功能。若要啟用此功能，必須在個別欄位中新增 SLO URL。
-
請使用屬性組態區段中的下列組態。
注意：影像中的下列屬性敘述句是 Rapid7 命令平台認證的必要屬性敘述句。
-
按一下完成與啟用來完成設定。
-
下載簽署憑證和識別提供者描述資料。完成後，請返回「任務 1.4」並繼續。
作業 3：群組同步化
群組同步可讓您控制 OCI IAM 內的使用者群組指定。
這項功能是透過在 SAML 回應中包含標籤為 rbacGroups 的屬性，其中包含每個使用者之 Rapid7 命令平台群組的名稱。系統會自動將使用者指派給 Rapid7 命令平台中的對應群組，並繼承與這些群組關聯的產品、角色和資源存取權。
注意：啟用群組同步時，IdP 使用者將會從 SAML 宣告中未包含的任何 Rapid7 命令平台群組中移除。IdP 使用者將保留任何直接指派給他們的角色或權限，包括來自預設存取權資料檔的角色或權限。
若要在 Rapid7 命令平台中建立使用者群組，請瀏覽至管理、使用者管理，然後按一下使用者群組。
作業 4：設定使用者群組
由於群組同步需要使用 Rapid7 Command Platform 使用者群組，因此請務必先設定群組，再啟用。
-
新增群組屬性。在 OCI IAM 中，我們必須確定將使用者指定給與對應 Rapid7 命令平台使用者群組同名的群組。如果您尚未建立這些群組，請依照下列步驟進行：
-
在「OCI 識別網域主控台」中，瀏覽至群組。
-
按一下建立群組。
-
輸入與對應的 Rapid7 命令平台使用者群組相同的名稱。
-
在使用者區段中，選取要指派此群組的使用者。
-
按一下建立。
設定群組之後，您必須將屬性新增至 SAML 宣告，其中包含每個使用者被指派的群組名稱。
-
-
將屬性新增至 OCI IAM 識別網域中的 SAML 宣告。
-
在 OCI Identity Domains 主控台中，瀏覽至整合的應用程式，然後選取您的 Rapid7 應用程式。
-
在 SAML 設定值區段中，按一下編輯 SSO 組態。
-
新增下列屬性敘述句，然後按一下儲存。
使用者使用 SSO 進行認證時，現在將從您的 OCI IAM 將使用者同步至 Rapid7 命令平台使用者群組所需的所有資訊納入其中。
-
作業 5：測試 SSO
-
前往 Rapid7 Insight URL (
https://insight.rapid7.com)，然後按一下使用 SSO 登入。
-
輸入證明資料。
您現在已順利登入 Rapid7 命令平台。
此外，使用者也會根據 OCI IAM 中的群組成員身分自動新增至使用者群組。
認可
- 作者 - Gautam Mishra (主要雲端架構師)
其他學習資源
探索 docs.oracle.com/learn 上的其他實驗室，或存取 Oracle Learning YouTube 頻道上的更多免費學習內容。此外，請造訪 education.oracle.com/learning-explorer 以成為 Oracle Learning Explorer。
如需產品文件，請造訪 Oracle Help Center 。
Configure OCI Identity and Access Management as a SSO Source for the Rapid7 Command Platform
G18866-01
November 2024