Настройка Akamai с помощью внешнего идентификатора Microsoft Entra

Akamai предоставляет мастер быстрого запуска , который поможет вам подключить новые имена узлов и защитить их с помощью решения WAF с именем "Защита приложений и API".

Ion Standard — это дополнительное решение, которое повышает производительность приложения и оптимизирует доставку содержимого на платформе Akamai.

Чтобы получить доступ к мастеру, выберите Начать работу"App & API Protector + Ion Standard". На начальном экране отображаются шаги, необходимые для завершения подключения. Нажмите кнопку "Начать".

Дополнительные сведения см. в разделе " Настройка AKamai WAF " в документации akamai.

Если вы предпочитаете расширенный подход, сначала создайте и настройте свойство в Диспетчере свойств. Свойство — это файл конфигурации, который сообщает пограничным серверам Akamai, как обрабатывать входящие запросы от конечных пользователей и реагировать на них.

Дополнительные сведения см. в разделе "Что такое свойство?". Чтобы создать и настроить свойство, выполните следующие действия.

Создание и настройка свойства

1. Перейдите в Центр управления Akamai , чтобы войти.
2. Перейдите к диспетчеру свойств.
3. Для версии свойства выберите "Стандартный " или "Расширенный TLS " (рекомендуется).
4. Для имен узлов свойств добавьте имя узла свойства для личного домена.
   Пример: login.domain.com

Параметры конфигурации свойств сервера-источника

Используйте следующие параметры для исходного сервера:

1. Для типа Origin введите тип источника.
2. Для имени узла сервера-источника введите имя узла.
   Пример: yourafddomain.azurefd.net
3. Для заголовка пересылаемого узла выберите входящий заголовок узла.
4. Для имени узла ключа кэша выберите заголовок входящего узла.

Настройка DNS

Создайте запись канонического имени (CNAME) в вашей DNS, например login.domain.com, которая указывает на имя узла Microsoft Edge, введенное в поле имя узла свойства.

Настройка AKamai WAF

1. Перейдите в Центр управления Akamai , чтобы войти.
2. Перейдите к конфигурациям безопасности.
3. Чтобы создать новую конфигурацию безопасности, выберите "Защитить существующее свойство".
4. Введите имя конфигурации в разделе "Сведения о конфигурации", а затем нажмите кнопку "Создать и активировать конфигурацию в рабочей сети".
5. Сведения о начале работы с конфигурацией безопасности см. в статье https://techdocs.akamai.com/cloud-security/docs/app-api-protector.
6. В последующей версии конфигурации безопасности измените действие в брандмауэре веб-приложения для группы атак и задайте для действия группызапрет.

Конфигурация поставщика WAF

1. Войдите в Центр администрирования Microsoft Entra как минимум с правами читателя безопасности.

2. Если у вас есть доступ к нескольким тенантам, используйте значок Настройки в верхнем меню, чтобы переключиться на внешний тенант, который вы создали ранее из меню Каталоги и подписки.

3. Перейдите к Entra ID>Security Store.

4. Выберите элемент "Защита приложений от атак DDoS" с помощью плитки WAF, выбрав " Начать работу".

5. В разделе "Выбор поставщика WAF" выберите Akamai и нажмите кнопку "Далее".

   

6. Создайте учетную запись Akamai. Если у вас еще нет учетной записи, создайте и приобретите ее в Магазине безопасности.

7. Чтобы предоставить доступ к API Akamai для выполнения действий, создайте учетные данные проверки подлинности EdgeGrid и запишите все созданные сведения (client_secret, host, , access_tokenclient_token). Эти значения используются позже в процессе установки.

Кроме того, обновите ограничения API для действий на соответствующий уровень доступа, показанный в следующей таблице:

8. Вернитесь в Центр администрирования Microsoft Entra, чтобы завершить настройку.
9. В разделе "Настройка AKamai WAF" можно выбрать существующую конфигурацию или создать новую. Если вы создаете новую конфигурацию, добавьте следующие сведения:
   • Имя конфигурации: имя для конфигурации WAF.
   • Префикс узла: префикс узла из учетных данных API Akamai EdgeGrid.
   • Клиентский секрет: клиентский секрет из учетных данных API Akamai EdgeGrid.
   • Маркер доступа: маркер из ваших учетных данных API Akamai EdgeGrid.
   • Маркер клиента: маркер клиента из учетных данных API Akamai EdgeGrid.

10. Выберите Далее, чтобы перейти к следующему шагу.

Проверка домена

Выберите пользовательские домены URL, которые Azure Front Door (AFD) позволяет проверить, и подключите их к вашей конфигурации Akamai WAF. Этот шаг гарантирует, что выбранные домены защищены с помощью расширенных функций безопасности.

1. Выберите "Проверить домен ", чтобы запустить процесс проверки.
2. Выберите личные домены URL-адресов, которые вы хотите защитить с помощью Akamai WAF, а затем нажмите кнопку "Проверить".

3. После проверки нажмите кнопку "Готово ", чтобы завершить процесс.

Api Microsoft Graph можно использовать с помощью Graph Explorer для настройки интеграции AKamai WAF.

Убедитесь, что вызывающий абонент имеет роль Security Reader и дал согласие на разрешение RiskPreventionProviders.Read.All.

Это разрешение позволяет вызвать POST .../riskPrevention/webApplicationFirewallProviders для создания поставщика, а затем вызвать POST .../riskPrevention/webApplicationFirewallProviders/{webApplicationFirewallProviderId}/verify для проверки.

Шаг 1. Создание поставщика WAF Akamai с помощью API

Убедитесь, что у вас есть клиент API, созданный в Akamai. Чтобы предоставить доступ к API Akamai для выполнения действий, создайте учетные данные проверки подлинности EdgeGrid и запишите все созданные сведения (client_secret, host, , access_tokenclient_token).

Кроме того, обновите ограничения API для действий на соответствующий уровень доступа, показанный в следующей таблице:

Эти сведения необходимы, чтобы серверная часть может вызвать Akamai от вашего имени, чтобы извлечь и проверить конфигурацию WAF.

Просьба

Ниже показан пример запроса.

POST https://graph.microsoft.com/beta/identity/riskPrevention/webApplicationFirewallProviders
Content-Type: application/json
{
    "@odata.type": "#microsoft.graph.akamaiWebApplicationFirewallProvider",
    "displayName": "Akamai Provider Example",
    "hostPrefix": "akab-exampleprefix",
    "clientSecret": "akamai_example_secret_123",
    "clientToken": "akamai_example_token_456",
    "accessToken": "akamai_example_token_789"
}

Ответ

Ниже показан пример отклика. Объект ответа, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 201 Created
Content-Type: application/json
{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#identity/riskPrevention/webApplicationFirewallProviders/$entity",
    "@odata.type": "#microsoft.graph.akamaiWebApplicationFirewallProvider",
    "id": "00000000-0000-0000-0000-000000000002",
    "displayName": "Akamai Provider Example",
    "hostPrefix": "akab-exampleprefix"
}

Шаг 2. Проверка поставщика WAF Akamai с помощью API

В следующем примере показано, как проверить домен с помощью webApplicationFirewallProvider, используя hostName.

Просьба

Ниже показан пример запроса.

POST https://graph.microsoft.com/v1.0/identity/riskPrevention/webApplicationFirewallProviders/{webApplicationFirewallProviderId}/verify
Content-Type: application/json
{
  "hostName": "www.contoso.com"
}identity\authentication\tutorial-enable-cloud-sync-sspr-writeback

Ответ

Ниже показан пример отклика. Объект ответа, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.webApplicationFirewallVerificationModel",
    "id": "00000000-0000-0000-0000-000000000000",
    "verifiedHost": "www.contoso.com",
    "providerType": "akamai",
    "verificationResult": {
        "status": "success",
        "verifiedOnDateTime": "2025-10-04T00:50:26.4909654Z",
        "errors": [],
        "warnings": []
    },
    "verifiedDetails": {
        "@odata.type": "#microsoft.graph.akamaiVerifiedDetailsModel",
        "zoneId": "11111111111111111111111111111111",
        "dnsConfiguration": {
            "name": "www.contoso.com",
            "isProxied": true,
            "recordType": "cname",
            "value": "contoso.azurefd.net",
            "isDomainVerified": true
        },
        "enabledRecommendedRulesets": [
            {
                "rulesetId": "22222222222222222222222222222222",
                "name": "akamai Managed Ruleset",
                "phaseName": "http_request_firewall_managed"
            }
        ],
        "enabledCustomRules": [
            {
                "ruleId": "33333333333333333333333333333333",
                "name": "Block SQL Injection",
                "action": "block"
            },
            {
                "ruleId": "44444444444444444444444444444444",
                "name": "Block XSS",
                "action": "block"
            }
        ]
    }
}