การตั้งค่า Web SSO บน IAG

ภาพรวมของ Web SSO

Web SSO บน Sangfor IAG ใช้สำหรับองค์กรที่มี Web Server เป็นของตัวเอง และ Web Server นั้นเก็บข้อมูล Account ของผู้ใช้งาน เมื่อผู้ใช้งาน Login เข้าสู่ Web Server สำเร็จ IAG จะทำการ Authenticate ผู้ใช้งานโดยอัตโนมัติพร้อมกัน ทำให้ไม่ต้อง Login ซ้ำบน IAG ฟีเจอร์นี้รองรับทั้ง Scenario ที่ Web Server อยู่ภายใน Intranet หรืออยู่ภายนอก

Scenario 1: Web Server อยู่ใน Intranet

เมื่อ Web Server อยู่ใน Intranet เดียวกับ IAG ระบบจะทำงานดังนี้:

1. ผู้ใช้งาน Login เข้าสู่ Web Server โดยกระบวนการทั้งหมดใช้ Plaintext Data และ IAG จะ Monitor การสื่อสาร
2. IAG ตรวจสอบ Keyword ที่อยู่ใน Response จาก Web Server เพื่อระบุว่าผู้ใช้ Authenticate สำเร็จหรือไม่ หากสำเร็จ Web SSO จะ Authenticate ผู้ใช้งานบน IAG โดยอัตโนมัติ

ขั้นตอนการตั้งค่า Web SSO

ขั้นตอนที่ 1: ตั้งค่า Authentication Policy โดยไปที่ Access Mgt > Authentication > Web Authentication > Authentication Policy คลิก Add แล้วกำหนด Policy ตาม IP หรือ MAC Address ของผู้ใช้ที่ต้องการใช้ SSO

ขั้นตอนที่ 2: ไปที่ Access Mgt > Authentication > Web Authentication > Single Sign On SSO > Web แล้วเลือก Enable Web SSO

ขั้นตอนที่ 3: กำหนดค่าพารามิเตอร์ดังนี้:

• Web Authentication Server: IP Address ของ Web Server ที่ใช้สำหรับ Authentication หากข้อมูลการ Login ของผู้ใช้ไม่ผ่าน IAG ให้ไปที่แท็บ Others แล้วเปิดใช้งาน Mirror Interface เพื่อ Mirror ข้อมูลมายัง IAG
• Type: เลือกประเภทของ Form ที่ใช้ เช่น Form submitted using POST
• User Form Name: ชื่อของ Username Form Field ที่ส่งไปยัง Web Server เมื่อทำ Web Authentication เช่น pwuser
• Authentication Success Keyword: Keyword ที่ปรากฏใน Response เมื่อ Authentication สำเร็จ เช่น success หาก Response จาก POST Method มี Keyword นี้ แสดงว่า Web SSO สำเร็จ
• Authentication Failure Keyword: Keyword ที่ปรากฏใน Response เมื่อ Authentication ล้มเหลว หาก Response มี Keyword นี้ แสดงว่า Web SSO ล้มเหลว
• Form encoding: เลือก Encoding ของ Form หากจำเป็น

หมายเหตุ: สามารถเลือกใช้ Authentication Success Keyword หรือ Authentication Failure Keyword อย่างใดอย่างหนึ่ง โดยระบบจะตรวจสอบ Keyword จาก Response ที่ส่งกลับมาจาก Web Server ผ่าน POST Method

การตั้งค่า Mirror Interface (กรณี Login Data ไม่ผ่าน IAG)

ขั้นตอนที่ 3 (เพิ่มเติม): หาก Login Data ไม่ผ่าน IAG โดยตรง ให้ตั้งค่า Mirroring Port บน Switch เพื่อ Forward Login Data Packet มายัง IAG โดย:

1. ไปที่แท็บ Others ในหน้า Single Sign-On (SSO)
2. เลือก Enable Mirror Interface
3. เลือก Interface ที่ว่างอยู่ (ไม่ได้ใช้งาน) เพื่อรับข้อมูล Mirror จาก Switch

ข้อควรทราบ

• Web SSO ทำงานได้เฉพาะกับ Plaintext (HTTP) Data เท่านั้น หาก Web Server ใช้ HTTPS จะไม่สามารถ Monitor ข้อมูลการ Login ได้
• ต้องระบุ User Form Name ให้ถูกต้องตาม HTML Form ของ Web Server มิฉะนั้น IAG จะไม่สามารถดึง Username ได้
• Keyword สำหรับ Success/Failure ต้องเป็นข้อความที่ปรากฏใน Response ของ Web Server อย่างชัดเจน
• หาก Web Server อยู่ใน Intranet และ Traffic ไม่ผ่าน IAG จำเป็นต้องใช้ Mirror Interface
• แนะนำให้ทดสอบการ Login บน Web Server ก่อนเพื่อตรวจสอบ Form Name และ Keyword ที่ถูกต้อง