HOWTO: WatchGuard FireCloud mit Entra ID als Identitätsanbieter

In diesem Blog-Artikel zeigen wir Schritt für Schritt, wie die Anmeldung an der WatchGuard FireCloud mithilfe von Microsoft Entra ID als Identitätsanbieter (Identity Provider, IdP) eingerichtet werden kann. Durch die Integration von Entra ID lässt sich die Authentifizierung zentral über die bestehende Microsoft-Identitätsplattform verwalten. Dadurch können vorhandene Benutzerkonten und Authentifizierungsrichtlinien genutzt werden, um den Zugriff auf die FireCloud zu steuern.

Die folgende Abbildung zeigt den Datenaustausch zwischen der WatchGuard FireCloud und Microsoft Entra ID während des Anmeldevorgangs:

1. Voraussetzungen

• Zugriff auf den Microsoft Tennant als globaler Administrator sowie der Zugriff auf die WatchGuard Cloud muss vorhanden sein.
• Benutzer und Gruppen sind in Entra ID vorhanden (dabei ist es egal ob in Entra ID verwaltet oder aus einer OnPremises AD synchronisiert).
• Die Benutzer haben bereits einen zweiten Faktor für ihren Benutzer bei Entra ID konfiguriert (beispielsweise MFA mit der MS Authenticator App, Passkey usw.).
• Lizenzen bei Microsoft müssen vorhanden sein für die Zweifaktor-Anmeldung (zum Zeitpunkt des Blog-Artikels Azure P1 Lizenz).

2. Konfiguration auf der Microsoft EntraID-Seite

Der erste Schritt ist die Anmeldung bei Entra ID mit einem globalen Administrator-Konto. Anschließend muss in den Bereich des Entra Admin Centers gewechselt werden. Hier gibt es links im Menü den Punkt Unternehmens-Apps (1).

Für die Verbindung zur FireCloud wird eine neue Anwendung benötigt, die über Alle Anwendungen -> Neue Anwendung (2 und 3) angelegt wird.

Vom Typ wird eine Eigene Anwendung erstellt (4), in diesem Beispiel der Name WG-FireCloud verwendet (5) und die Anwendung über den Button Erstellen (6) gespeichert.

Die neu angelegte Anwendung muss nun konfiguriert werden. Im Bereich Einmaliges Anmelden (7) wird die Anmeldemethode SAML angeklickt (8), daraufhin öffnet sich die Konfigurationsseite für „Einmaliges Anmelden (SSO) mit SAML“.

In Abschnitt 1 dieser Microsoft-Konfigurationsseite wird über Bearbeiten (9) eine Identitäts-ID sowie die Antwort-URL eingetragen:

• Entitäts-ID: WatchGuardFireCloud
• Antwort-URL: https://authsvc.firecloud.deu.cloud.watchguard.com/v1/acs/

Die Identitäts-ID muss eindeutig sein und wird später in der WatchGuard FireCloud (Case-Sensitiv!) benötigt. Die Antwort-URL ist ein Standard von WatchGuard, der sich nur darin unterscheiden kann, in welcher Region der WatchGuard Account liegt. Die in diesem Beispiel verwendete Region ist EMEA, und wird durch das fette deu repräsentiert (siehe dazu auch WatchGuard Cloud URLs).

Nach dem Speichern der beiden Werte müssen noch die Attribute & Ansprüche unter Abschnitt 2 der Microsoft-Konfigurationsseite bearbeitet werden (10). Hier wird ein Gruppenanspruch hinzugefügt (11):

• Der Anwendung zugewiesene Gruppen auswählen
• Das Quellattribut ist sAMAccountName
• Der Name des Gruppenanspruchs muss groups sein (alles klein geschrieben!)

Das Quellattribut sAMAccountName gilt sowohl für Gruppen die von OnPremises sychronisiert wurden als auch für EntraID Cloud-Gruppen.

Abschnitt 3 der Microsoft-Konfigurationsseite enthält Informationen, welche für die FireCloud gespeichert werden müssen. Die beiden Links hinter Zertifikat (Base64) und Verbundmetadaten-XML (12) anklicken und an einem sicheren Ort ablegen.

Die Konfiguration für die Anmeldung ist jetzt abgeschlossen, es folgt die Zuweisung welche Benutzer/Gruppen diese Anwendung benutzen dürfen. Dazu links im Menü den Punkt Benutzer und Gruppen (13) auswählen und die gewünschten Parameter zuweisen (14) – in diesem Beispiel wird die Gruppe WG-FireCloud verwendet.

Der letzte Punkt in der Konfiguration bei Entra ID ist die Definition des Bedingten Zugriffs (15). Dort wird eine neue Richtlinie erstellt (16) und die folgenden Parameter eingetragen:

• Name (17): in diesem Beispiel MFA-for-FireCloud
• Zuweisungen -> Benutzer (18):
  Die Richtlinie schließt Benutzer und Gruppen der Gruppe WG-FireCloud ein
• Zugriffskontrollen -> Gewähren (19):
  Zugriff gewähren und Multi-Faktor-Authentifizierung erfordern wird ausgewählt
• Die Richtlinie wird aktiviert (20)

Nachdem die Werte der Richtlinie alle eingestellt sind wird alles mit Erstellen gespeichert.

3. WatchGuard FireCloud konfigurieren

Nach der Anmeldung an der WatchGuard Cloud muss noch die Authentifizierung konfiguriert werden. Im Bereich Konfigurieren -> FireCloud -> Authentifizierung (20) wird Externer SAML-Identitätsanbieter ausgewählt (21), und folgende Werte eingetragen (22):

• SAML-Service-Provider-Entitäts-ID: hier kommt der Wert aus Punkt 9 der Microsoft Entra ID Konfiguration rein (Case-Sensitiv)
• ID des Identitätsanbieters: den Pfad findet man in der gespeicherten Verbundmetadaten-XML aus Punkt 12 (23)
• URL für Single Sign-on: auch diese URL ist in der gespeicherten Verbundmetadaten-XML aus Punkt 12 zu finden (24)
• IDP-Zertifikat: das Zertifikat wurde auch in Punkt 12 gespeichert und wird hier nun eingefügt

Nachdem alles korrekt eingetragen wurde kann das Fenster mit dem Button Speichern verlassen werden.

Hier ist wichtig darauf zu achten, das ein FireCloud-Zertifikat erstellt wird – sollte das nicht der Fall sein, kann das Zertifikat neu erzeugt werden über Konfigurieren -> FireCloud -> Authentifizierung -> Neues FireCloud Zertifikat generieren.

4. WatchGuard FireCloud verbinden

Die Programme zur Einwahl in die WatchGuard FireCloud sind unter Konfigurieren -> FireCloud -> Client Download zu finden (23). Hier wird das Installationsprogramm für die jeweilige Plattform sowie die dazugehörige Konfigurationsdatei benötigt.

WICHTIG: Der Connection-Manager funktioniert nicht mit einem parallel installierten PANDA-Endpunktschutz!!

Nachdem die Installation auf dem Endgerät durchgelaufen ist, öffnet sich der Connection-Manager und fragt nach EntraID Benutzer und Passwort.

5. Fazit

Mit dem SAML-Standard können bereits in Entra ID vorhandene Zugangsdaten für die Anmeldung an der WatchGuard FireCloud verwendet werden.

Wenn die Infrastruktur schon vorhanden ist, macht das die Benutzerverwaltung für die Administratoren einfacher und für die Benutzer kann ein „bereits gelernter“ Anmeldeprozess auch für sicheres surfen (WatchGuard Internet-Access) oder zusätzlich den Zugriff auf eine OnPremises Infrastruktur (WatchGuard Total-Access) verwendet werden.

Nützliche Links

• WatchGuard FireCloud Integration with Microsoft Entra ID
• WatchGuard Cloud URLs and Network Access Requirements