标识提供程序配置 SAML

第 2 步 - 导入元数据并启用"验证身份提供商证书" PAN-OS

一旦 CA- 您的 IdP 上设置了已颁发的证书，您必须在 IDP 内部 PAN-OS 和 Panorama 。 为此, 请执行以下操作:

1. 向您的IdP管理员询问IdP元数据。
2. 将 IdP 元数据导入 PAN-OS 和/或 Panorama 并确保启用 验证身份提供商证书 复选框。 单击 OK 。
3. 使用 CA 已签发 IdP 证书的相同证书创建证书配置文件。
4. 将新创建的 IdP 服务器配置文件和证书配置文件添加到您的 SAML 身份验证配置文件中。
5. 将配置提交 给 Panorama 和/或 firewall 。

配置 CA- 已颁发证书并启用验证身份提供商证书的步骤 PAN-OS 

第 1 步 - 在 CA- Azure 上添加已颁发的证书作为 Idp 证书 AD

1. 使用您的企业证书管理局生成证书。
2. 按照 Azure 的指示 AD 添加新 CA- 颁发的证书 https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/manage-certificates-for-federated-single-sign-on#create-a-new-certificate。
3. 请在导出 IdP 元数据以完成下一步之前删除旧证书。

第 2 步 - 导入元数据并启用"验证身份提供商证书" PAN-OS

一旦 CA- 您的 IdP 上设置了已颁发的证书，您必须在 IDP 内部 PAN-OS 和 Panorama 。 为此, 请执行以下操作:

1. 向您的IdP管理员询问IdP元数据。
2. 将 IdP 元数据导入 PAN-OS 和/或 Panorama 并确保启用 验证身份提供商证书 复选框。 单击 OK 。
3. 使用 CA 已签发 IdP 证书的相同证书创建证书配置文件。
4. 将新创建的 IdP 服务器配置文件和证书配置文件添加到您的 SAML 身份验证配置文件中。
5. 将配置提交 给 Panorama 和/或 firewall 。

多

从 Duo 发送签名回复或断言的步骤

您可以 SAML 通过三种方式设置配置：

1. 应用程序： 通用服务提供商， 保护类型： 2FA 与 SSO 托管的二重奏 （单一登录）
   • 无需采取其他行动 来发送来自 SAML Duo 的签名回复或断言。
2. 申请： 帕洛阿尔托网络， 保护类型： 2FA 与 SSO 自托管 （Duo 访问网关）
   • 无需采取其他行动 来发送来自 SAML Duo 的签名回复或断言。
3. 申请： 通用服务提供商， 保护类型： 2FA 与 SSO 自托管 （Duo 访问网关）
   • 如果您 SAML 使用此应用程序创建配置，默认情况下，您的 SAML 回复和断言已签名。 以验证您的 SAML 回复和/或断言是否已签名：

1. 单击您创建的 通用服务提供商 应用程序。

2. 确保选择"签名响应"""签名"或"同时选择"，然后单击"保存配置"。

从 Okta 发送签名回复或断言的步骤

您可以 SAML 通过两种方式设置配置：

冈田集成网络 （ OIN ） 集成：

• 如果您在 OIN （Okta 集成网络）上使用了以下任何集成项，则无需采取其他操作才能从 Okta 发送签名 SAML 回复或断言。
• 帕洛阿尔托网络 - GlobalProtect 
• 帕洛阿尔托网络 - 管理员 UI 
• 帕洛阿尔托网络 - 俘虏波尔图

应用集成向导

• 如果您 SAML 使用 应用集成向导创建了配置，默认情况下，您的 SAML 响应已签名。要验证您的 SAML 回复是否已签名：

1. 单击您创建的新应用集成，并选择 "一般 > SAML 设置 > 编辑。

配置 CA- 已颁发证书并启用验证身份提供商证书的步骤 PAN-OS 

第 1 步 - 添加 CA-颁发 IDP 的证书作为 Okta 证书

按照 Okta 的指示将 CA- 已颁发的证书配置为 IDP 此处使用 Okta 文档的证书 ：https://developer.okta.com/docs/guides/sign-your-own-saml-csr/overview/

1. 为了完成Okta 文档中的"签名CSR"步骤，您必须按照您的企业流程进行签名 CSR 。 以下是有关如何使用微软证书管理局和 OpenSL 实现此目的的快速指南：

• 使用微软证书管理局：保存 CSR 从 生成证书签名请求 CSR （） 步骤在 Okta 文档中，并使用 MSFT Technet 网站上 的说明来签署 CSR 。 签署 CSR 创建签名的证书，您必须在 发布 CSROkta 文档中的步骤中将该证书传回 Okta。
• 使用 OpenSSL：保存 CSR 从 生成证书签名请求 CSR （） 步骤在 Okta 文档中，并使用 OpenSSL CA 命令 签署 CSR 创建一个签名证书，您需要在下一步传回 Okta， 发布 CSR. 命令示例如下所示，但请参阅 OpenSSL 文档 以获取更多信息。
  • 打开卡- 配置<openssl config="" file="">- 在 CSR 上面获得> - 出 <certificate.cer> </openssl>

第 2 步 - 导入元数据并启用"验证身份提供商证书" PAN-OS

一旦 CA- 您的 IdP 上设置了已颁发的证书，您必须在 IDP 内部 PAN-OS 和 Panorama 。 为此, 请执行以下操作:

1. 向您的IdP管理员询问IdP元数据。
2. 将 IdP 元数据导入 PAN-OS 和/或 Panorama 并确保启用 验证身份提供商证书 复选框。 单击 OK 。
3. 使用 CA 已签发 IdP 证书的相同证书创建证书配置文件。
4. 将新创建的 IdP 服务器配置文件和证书配置文件添加到您的 SAML 身份验证配置文件中。
5. 将配置提交 给 Panorama 和/或 firewall 。

配置 CA- 已颁发证书并启用验证身份提供商证书的步骤 PAN-OS 

第 1 步 - 在 CA Onelogin 上添加带有标志的 Idp 证书

按照 OneLogin 的说明创建 CA 基本约束扩展中带有标志的证书：

https://onelogin.service-now.com/support?id=kb_article&sys_id=732a9943db109700d5505eea4b96192e

• 注意：您必须在 CA 上面链接的第 7 步中启用标志。 这一步骤是强制性的。

第 2 步 - 导入元数据并启用"验证身份提供商证书" PAN-OS

一旦 CA- 您的 IdP 上设置了已颁发的证书，您必须在 IDP 内部 PAN-OS 和 Panorama 。 为此, 请执行以下操作:

1. 向您的IdP管理员询问IdP元数据。
2. 将 IdP 元数据导入 PAN-OS 和/或 Panorama 并确保启用 验证身份提供商证书 复选框。 单击 OK 。
3. 使用 CA 已签发 IdP 证书的相同证书创建证书配置文件。
4. 将新创建的 IdP 服务器配置文件和证书配置文件添加到您的 SAML 身份验证配置文件中。
5. 将配置提交 给 Panorama 和/或 firewall 。

配置 CA- 已颁发证书并启用验证身份提供商证书的步骤 PAN-OS 

第 1 步 - 在 CA- PingOne 上添加已颁发的证书作为 Idp 证书

按照 PingOne 的指示，将 CA- 已颁发的证书配置为 IDP 证书 ：https://docs.pingidentity.com/bundle/pingone/page/mfi1564020498415-1.html 

第 2 步 - 导入元数据并启用"验证身份提供商证书" PAN-OS

一旦 CA- 您的 IdP 上设置了已颁发的证书，您必须在 IDP 内部 PAN-OS 和 Panorama 。 为此, 请执行以下操作:

1. 向您的IdP管理员询问IdP元数据。
2. 将 IdP 元数据导入 PAN-OS 和/或 Panorama 并确保启用 验证身份提供商证书 复选框。 单击 OK 。
3. 使用 CA 已签发 IdP 证书的相同证书创建证书配置文件。
4. 将新创建的 IdP 服务器配置文件和证书配置文件添加到您的 SAML 身份验证配置文件中。
5. 将配置提交 给 Panorama 和/或 firewall 。