使用 AzureAD 启用验证身份提供商证书 FW CA

使用 AzureAD 启用验证身份提供商证书 FW CA

68237
Created On 07/02/20 19:35 PM - Last Modified 09/21/21 00:40 AM


Symptom


为了确保 SAML 部署形式CVE-2020-2021， PAN-OS帕洛阿尔托网络发布了以下文件，共享解决方案，而无需升级 Firewall PAN-OS 。 有关详细信息，请关注以下链接。

保护您的 SAML 部署
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u0000008UXK


快速总结：

已签名 SAML 回复：如果您使用的IdP是 ADFS ，Azure， AD 谷歌，OneLogin，平费德拉特或PingOne，您不需要采取任何行动来发送签名 SAML 的回复或断言。 如果您正在使用 Okta 或任何其他 Idp，请检查您是否已配置 IDP 以签署 SAML 响应或断言。 作为安全最佳实践，您必须配置 IDP 才能签署 SAML 响应、 SAML 断言或两者兼有。

启用验证身份提供商证书：为了能够启用验证身份提供商证书复选框，您的 IdP 提供商的证书必须由证书管理局签发。许多流行的身份提供商默认生成自签名的 IdP 证书 ADFS ，但是，Azure、Okta、Ping AD One 和 OneLogin 提供了使用 CA- 已颁发的 IdP 证书的方法。

本文讨论了解决方案，以启用验证身份提供商证书，而无需 SAML 升级配置与 AD Azure。

Environment


如果您是帕洛阿尔托网络的客户，并使用 SAML 您的 NGFW ， VM- 系列 Panorama ，设备，或上 Prisma Access ，你是 IMPACTED CVE-2020由-2021： PAN-OS 身份验证旁路 SAML 认证。
  • NGFW， VM- 系列
  • Panorama
  • GlobalProtect 门户/网关
  • Prisma Access
  • SAML
 


 

Cause


Palo Alto Networks 最近意识到了影响使用 PAN-OS 基于身份验证 SAML 的功能的问题，这可能允许恶意攻击者在没有有效凭据的情况下成功对各种服务进行身份验证。 受影响的设备和软件包括 GlobalProtect 网关、门户、无客户 VPN 端、俘虏门户 Prisma Access 以及 Web PAN-OS Panorama 管理界面。 该漏洞需要启用特定的配置设置 PAN-OS 才能成功开发。 我们相信，影响潜力很大，使用 Okta 等单签提供商时，所需的配置可能很常见。

Resolution



蔚蓝 AD 

配置 CA- 已颁发证书并启用验证身份提供商证书的步骤 PAN-OS 

第 1 步 - 在 CA- Azure 上添加已颁发的证书作为 Idp 证书 AD

  1. 按照 Azure 的指示 AD 添加新 CA- 颁发的证书https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/manage-certificates-for-federated-single-sign-on#create-a-new-certificate
  2. 请在导出 IdP 元数据以完成下一步之前删除旧证书。

第 2 步 - 导入元数据并启用"验证身份提供商证书" PAN-OS

一旦 CA- 您的 IdP 上设置了已颁发的证书，您必须在 IDP 内部 PAN-OS 和 Panorama 。 为此, 请执行以下操作:

  1. 向 IDP 管理员询问 IDP 元数据
  2. 将 IdP 元数据导入 PAN-OS 和/或 Panorama 并确保启用验证身份提供商证书复选框。 点击 OK
  3. 使用 CA 已签发 IDP 证书的相同证书创建证书配置文件
  4. 将新创建的 IdP 服务器配置文件和证书配置文件添加到您的 SAML 身份验证配置文件
  5. 将配置提交给 Panorama 和/或 firewall
注意： 使用您的企业证书管理局生成证书。下面 Firewall 用于为此目的生成自签名证书链。

 
用户添加的图像
 
  1. PKCS12 文件格式的出口证书
用户添加的图像
 
用户添加的图像
 
  1. 登录到 Azure 门户并选择 Azure 活动目录
用户添加的图像
 
  1. 选择 企业应用程序
用户添加的图像
 
  1. 选择 全球保护
用户添加的图像
 
  1. 在全球保护下，选择 单个登录
用户添加的图像
 
  1. SAML-在基于登录的情况下，选择SAML签名证书选项
用户添加的图像
 
  1. 带密码的进口证书（SAML_AzureSign） PFX
用户添加的图像
 
  1. 导入证书后，请务必激活并删除前一个
  2. 现在，联邦元数据 XML 可以下载或导出到 firewall
用户添加的图像
 
  1. 导入下载元数据到 firewall
用户添加的图像
 
用户添加的图像
 
用户添加的图像
 
  1. SAML 配置文件将显示与链接，调用SAML_AzureSign证书在选项身份提供商证书
用户添加的图像
 
  1. 使用根和中间证书创建证书配置文件
用户添加的图像
 
  1. 导航到 Auth 配置文件，调用 IdP 服务器和证书配置文件
用户添加的图像
 
  1. 提交所有更改并尝试登录到任何使用 SAML 身份验证配置文件的功能
Other users also viewed:
Actions
  • Print
  • Copy Link

    https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA14u0000008UfECAU&lang=zh_CN&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

Choose Language