Como configurar conectores de rede privada para Microsoft Entra Private Access e proxy de aplicativo Microsoft Entra

Os conectores são agentes leves que estão localizados em um servidor em uma rede privada e facilitam a conexão de saída com o serviço Acesso Seguro Global. Os conectores devem ser instalados em um Windows Server que tenha acesso aos recursos e aplicativos de back-end. Você pode organizar os conectores em grupos de conector, com cada grupo tratando o tráfego de aplicativos específicos. Para saber mais sobre conectores, confira Noções básicas sobre conectores de rede privada do Microsoft Entra.

Pré-requisitos

Para adicionar recursos e aplicativos privados ao Microsoft Entra ID, você precisa:

• O produto requer uma licença. Para saber mais sobre licenciamento, consulte a seção de licenciamento de O que é Acesso Seguro Global. Se necessário, você pode adquirir licenças ou obter licenças de avaliação.
• Uma conta de Administrador de Aplicativo.

As identidades de usuário precisam ser sincronizadas de um diretório local ou criadas diretamente nos locatários do Microsoft Entra. A Sincronização de Identidades permite que o Microsoft Entra ID pré-autentique os usuários antes de conceder-lhes acesso aos aplicativos publicados pelo proxy de aplicativo e tenha as informações de identificação do usuário necessárias para executar o SSO (logon único).

Windows Server

O conector de rede privada Microsoft Entra requer um servidor que execute o Windows Server 2012 R2 ou posterior. Você vai instalar o conector de rede privada no servidor. Esse servidor conector precisa se conectar ao serviço Microsoft Entra Private Access ou ao serviço de proxy de aplicativo e aos recursos ou aplicativos privados que você planeja publicar.

• Para alta disponibilidade no seu ambiente, é recomendável ter mais de um servidor Windows.
• A versão mínima do .NET necessária para o conector é v4.7.1+.
• Para obter mais informações, confira conectores de rede privada
• Para obter mais informações, consulte Determinar quais versões do .NET Framework estão instaladas.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"EnableDefaultHTTP2"=dword:00000000

Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

Requisitos de TLS (protocolo TLS)

O servidor conector do Windows deve ter o TLS 1.2 habilitado antes de instalar o conector de rede privada.

Para habilitar o TLS 1.2:

1. Definir chaves do Registro.

   Windows Registry Editor Version 5.00
   
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
   "DisabledByDefault"=dword:00000000
   "Enabled"=dword:00000001
   [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
   "SchUseStrongCrypto"=dword:00000001
   

2. Reinicie o servidor.

Recomendações para o servidor do conector

• Otimize o desempenho entre o conector e o aplicativo. Localize fisicamente o servidor conector perto dos servidores de aplicativos. Para obter mais informações, confira Otimizar o fluxo de tráfego com o Proxy de Aplicativo do Microsoft Entra.
• Certifique-se de que o servidor do conector e os servidores de aplicativos Web estejam no mesmo domínio do Active Directory ou abranjam domínios confiáveis. Ter os servidores no mesmo domínio ou em domínios confiáveis é um requisito para usar o SSO (logon único) com IWA (autenticação integrada do Windows) e KCD (Delegação Restrita do Kerberos). Se o servidor do conector e os servidores de aplicativos Web estiverem em domínios diferentes do Active Directory, use a delegação baseada em recursos para logon único.

Preparar o ambiente local

Primeiro, habilite a comunicação com os data centers do Azure para preparar o ambiente para o Proxy de Aplicativo do Microsoft Entra. Se houver um firewall no caminho, verifique se ele está aberto. Com o firewall aberto, o conector pode enviar solicitações HTTPS (TCP) para o Proxy de Aplicativo.

Abrir portas

Abra as seguintes portas para o tráfego de saída.

Se o firewall impor o tráfego de acordo com os usuários originadores, abra também as portas 80 e 443 para o tráfego proveniente dos serviços do Windows que são executados como um serviço de rede.

Permitir acesso às URLs

Permita o acesso às seguintes URLs:

Você poderá permitir conexões a *.msappproxy.net, *.servicebus.windows.net e outras URLs acima se o firewall ou o proxy permitir a configuração de regras de acesso com base em sufixos de domínio. Caso contrário, você precisa permitir o acesso aos Intervalos de IP e Marcas de Serviço – Nuvem Pública do Azure. Os intervalos de IP são atualizados a cada semana.

Instalar e registrar um conector

Para usar o Acesso Privado, instale um conector em cada servidor Windows que você está usando para o Acesso privado do Microsoft Entra. O conector é um agente que gerencia a conexão de saída de servidores de aplicativos locais para o Acesso Global Seguro. Você pode instalar um conector em servidores que também tenham outros agentes de autenticação instalados, como o Microsoft Entra Connect.

Para instalar o conector do centro de administração do Microsoft Entra:

1. Entre no centro de administração Microsoft Entra como Administrador de Aplicativos do diretório que usa o Proxy de Aplicativos.

   • Por exemplo, se o domínio de locatário for contoso.com, o administrador deverá ser admin@contoso.com ou qualquer outro alias de administrador nesse domínio.

2. Escolha o nome de usuário no canto superior direito. Verifique se você está conectado a um diretório que usa o Proxy de Aplicativo. Se for necessário alterar diretórios, escolha Mudar diretório e escolha um diretório que usa o Proxy de Aplicativo.

3. Navegue até Acesso Global Seguro>Conectar>Conectores.

4. Escolha Baixar o serviço do conector.

   

5. Leia os Termos de serviço. Quando estiver pronto, escolha Aceitar termos e baixar.

6. Na parte inferior da janela, escolha Executar para instalar o conector. Um assistente de instalação é aberto.

7. Siga as instruções do assistente para instalar o serviço. Quando for solicitado que você registre o conector com o Proxy de Aplicativo do seu locatário do Microsoft Entra, forneça suas credenciais de Administrador do Aplicativo.

   • Para IE (Internet Explorer): se a Configuração de Segurança Aprimorada do IE estiver Ativada, você poderá não ver a tela de registro. Siga as instruções na mensagem de erro para obter o acesso. Verifique se a Configuração da Segurança Aprimorada do Internet Explorer está definida como Desativada.

Observações importantes

Se você já instalou um conector, reinstale-o para obter a versão mais recente. Ao atualizar, desinstale o conector existente e exclua as pastas relacionadas. Para saber mais sobre as versões lançadas anteriormente e quais alterações elas incluem, confira Proxy de Aplicativo: histórico de lançamento de versões.

Se você optar por ter mais de um servidor Windows para seus aplicativos locais, será necessário instalar e registrar o conector em cada servidor. Você pode organizar os conectores em grupos de conectores. Para obter mais informações, veja grupos de conectores.

Para obter informações sobre conectores, planejamento de capacidade e como eles permanecem atualizados, confira Noções básicas sobre conectores de rede privada do Microsoft Entra.

Verificar a instalação e o registro

Você pode usar o portal do Acesso Global Seguro ou seu servidor Windows para confirmar que um novo conector foi instalado corretamente.

Para obter informações sobre como solucionar problemas de proxy de aplicativo, veja Depurar problemas de aplicativo de proxy de aplicativo.

Verificar a instalação por meio do centro de administração do Microsoft Entra

Para confirmar se o conector foi instalado e registrado corretamente:

1. Entre no centro de administração Microsoft Entra como Administrador de Aplicativos do diretório que usa o Proxy de Aplicativos.

2. Navegue até Acesso Global Seguro>Conectar>Conectores

   • Todos os seus conectores e grupos de conector são exibidos nesta página.

3. Exiba um conector para verificar os detalhes.

   • Expanda o conector para exibir os detalhes, se ele ainda não estiver expandido.
   • Um rótulo verde ativo indica que seu conector pode se conectar ao serviço. No entanto, mesmo que o rótulo esteja verde, um problema de rede ainda poderá bloquear o recebimento de mensagens pelo conector.

   

Para obter mais ajuda com a instalação de um conector, veja solucionar problemas de conectores.

Verificar a instalação por meio do servidor Windows

Para confirmar se o conector foi instalado e registrado corretamente:

1. Selecione a chave Windows e digite services.msc para abrir o Gerenciador de Serviços do Windows.

2. Verifique se o status dos serviços a seguir é Em Execução.

   • O conector de rede privada do Microsoft Entra habilita a conectividade.
   • O Atualizador do conector de rede privada do Microsoft Entra é um serviço de atualização automatizado.
   • O atualizador verifica novas versões do conector e o atualiza conforme necessário.

   

3. Se o status dos serviços não for Em execução, clique com o botão direito do mouse em cada serviço e escolha Iniciar.

Criar grupos de conectores

Para criar tantos grupos de conectores quantos você desejar:

1. Navegue até Acesso Global Seguro>Conectar>Conectores.
2. Selecione Novo grupo de conectores.
3. Nomeie o novo grupo de conectores e use o menu suspenso para selecionar quais conectores pertencem a esse grupo.
4. Selecione Salvar.

Para saber mais sobre grupos de conectores, confira Entender os grupos de conectores de rede privada do Microsoft Entra.

Próximas etapas

A próxima etapa para começar a usar o Acesso privado do Microsoft Entra é configurar o aplicativo Acesso Rápido ou o Acesso Global Seguro:

• Configurar o Acesso Rápido para seus recursos privados
• Configurar o acesso por aplicativo para o Acesso privado do Microsoft Entra