아이덴티티 및 액세스 통합

Panther는 다양한 SAML 공급자와 통합되어 사용자가 싱글 사인온(SSO)을 통해 Panther 콘솔에 로그인하도록 할 수 있습니다. SSO 공급자가 구성되면, 선택적으로 강제화할 수 있습니다 귀하의 인스턴스의 모든 사용자에 대해.

가이드

다음 신원 공급자(IdP) 중 하나와 SAML 통합을 구성하려면 단계별 가이드를 따르십시오:

• Azure Active Directory

• Duo

• G Suite

• OneLogin

• Okta

• 기타

용어

• Identity Provider (IdP): OneLogin, Okta 등과 같이 인증 자격 증명을 제공하는 시스템입니다.

• Service Provider (SP): 인증 자격 증명을 받는 시스템입니다. 이 경우 Panther입니다.

• Security Assertion Markup Language (SAML): 인증 자격 증명을 교환하기 위한 오픈 표준입니다.

• Single Sign-On (SSO): 사용자가 하나의 로그인 세션으로 여러 서비스에 접근할 수 있게 하는 중앙 허브입니다. 이 문맥에서는 SAML IdP와 동의어로 사용됩니다.

기능

• SP-시작 로그인 흐름: Panther는 로그인 페이지에 특별한 링크를 표시하며, 클릭하면 IdP로 리디렉션되어 로그인이 진행됩니다

• IdP-시작 로그인 흐름: 사용자는 IdP에서 직접 로그인할 수 있습니다

• 자동 프로비저닝: Panther SAML 계정은 첫 번째 로그인 시 생성됩니다; 사전에 생성할 필요가 없습니다

• 역할 통합: 단일 선택한 Panther 역할 이 기본적으로 SAML 사용자에게 할당되며, 첫 로그인 이후 사용자 역할을 변경할 수 있습니다

• 싱글 사인온 강제화: SSO는 귀하의 Panther 인스턴스에 대해 강제화할 수 있습니다.

SAML 통합을 활성화한 후에도 표준 비밀번호 기반 로그인은 계속 지원됩니다. 사용자는 어느 흐름에서든 생성 및 권한 부여될 수 있습니다.

제한사항

Panther는 다음을 지원하지 않습니다:

• SCIM: IdP에서 삭제된 사용자는 Panther에서 자동으로 삭제되지 않습니다(단지 더 이상 로그인할 수 없습니다)

• 속성 매핑: SAML 속성을 통해 Panther 역할을 할당할 수 없습니다

이러한 제한사항은 Panther가 기반으로 하는 사용자 관리 서비스인 Amazon Cognito에서 기인합니다.

IdP-시작 vs. SP-시작 로그인

Panther는 IdP-시작 및 SP-시작 로그인 흐름 모두를 지원합니다.

SP-시작 로그인(권장)

SP-시작 로그인에서 사용자는 Panther의 로그인 페이지에서 인증 프로세스를 시작합니다. 사용자가 클릭하면 SSO로 로그인Panther는 인증을 위해 사용자를 귀하의 IdP로 리디렉션한 다음, 성공적으로 로그인하면 Panther로 다시 반환합니다.

SP-시작 로그인은 인증 과정 전체에서 상태를 유지하여 로그인 CSRF 공격으로부터 보호하기 때문에 일반적으로 더 안전하다고 여겨집니다.

IdP-시작 로그인

IdP-시작 로그인에서 사용자는 IdP의 포털이나 대시보드에서 시작하여 Panther에 직접 접근하는 링크를 클릭합니다. 중앙 포털에서 여러 애플리케이션에 접근하는 사용자에게 편리할 수 있습니다.

SSO를 강제화하는 방법

SSO를 강제화하면 귀하의 Panther 인스턴스 사용자는 구성된 SAML 공급자를 사용하여 로그인해야 합니다. 사용자는 더 이상 사용자 이름과 비밀번호 자격 증명으로 로그인할 수 없습니다.

SSO를 강제화하기 위한 다음 전제 조건을 참고하십시오:

• SAML 통합이 성공적으로 설정되어야 합니다.

• 이 작업은 관리자(Admin) 역할을 가진 사용자만 수행할 수 있습니다.

귀하의 Panther 인스턴스에 대해 SSO를 강제화하려면:

1. Panther 콘솔에 로그인하십시오.

2. 오른쪽 상단의 기어 아이콘을 클릭한 다음 > 일반 > 식별 및 접근.

3. 토글 싱글 사인온(SSO) 강제 적용 에서 켜기.

   
4. 클릭 변경 사항 저장(Save Changes).

강제화된 SSO 브레이크 글래스

다음 권한을 가진 사용자만 관리자 역할 SSO는 강제화하거나 비활성화할 수 있습니다. SSO가 강제화되어 있고(예: SSO 통합에 문제가 있는 경우) 비활성화하려는 경우 인스턴스의 어느 사용자에게도 관리자 역할이 할당되어 있지 않다면 Panther 지원팀에 문의하십시오.

Panther 지원팀이 싱글 사인온 강제화 설정을 비활성화한 후에는 사용자 이름과 비밀번호 자격 증명으로 로그인할 수 있으며, 준비가 되면 싱글 사인온 강제화 다시 켤 수 있습니다.

만약 당신이 Cloud Connected 고객인 경우 AWS CLI를 사용하여 강제화된 SSO를 비활성화할 수도 있습니다—자세한 내용은 이 지식 기반 문서 을 참조하십시오.