Към съдържанието

Microsoft Entra ID

Тази статия представя конфигурацията на федерация на самоличност SAMLv2 между Microsoft Entra ID и CyberElements.

Конфигуриране на доставчик на самоличност SAML с Microsoft Entra ID

Създаване на корпоративното приложение

Влезте в центъра за администриране на Microsoft Entra: Център за администриране на Microsoft Entra

В менюто отворете Entra ID > Enterprise apps, след което създайте ново приложение с New application:

В галерията изберете Create your own application:

Дайте име на приложението, изберете Integrate any other application you don't find in the gallery (Non-gallery) и го създайте с Create:

След като корпоративното ви приложение за CyberElements бъде създадено, присвоете му упълномощените потребители и групи от Users and groups > Add user/group:

Присвоете групи на приложението

Конфигурираното по-долу твърдение за групи изпраща само групите, присвоени на приложението, в които потребителят членува. Потребител, присвоен на приложението индивидуално, може да влезе, но без никаква група: тогава приложенията, отворени за него чрез група, не му се предлагат.

След това отидете в менюто Single sign-on и изберете метода SAML:

В долната част на страницата копирайте стойността на Microsoft Entra Identifier:

Създаване на домейна SAML в CyberElements

Оставете раздела отворен и от административната конзола на CyberElements отворете доставчиците на самоличност:

След това добавете нов:

  1. Изберете типа домейн SAML domain
  2. Дайте име на новия си домейн
  3. Добавете незадължително описание
  4. Посочете вашия локален домейн; той ще се използва от механизма за SSO, когато е активиран
  5. Коригирайте времето на изтичане на неактивните потребителски сесии (потребителски сесии, в които не се изпълнява приложение на CyberElements)
  6. Коригирайте броя на едновременните сесии, разрешени за всеки потребител
  7. Активирайте или деактивирайте автоматичното изтриване на най-старата сесия, ако потребителят влиза, когато вече е достигнал максималния брой едновременни сесии
  8. Изберете доставчика на самоличност Azure
  9. Въведете стойността на Microsoft Entra Identifier, извлечена по-рано
  10. Въведете променливата за имената на групите: groups
  11. Изберете формата Unspecified за променливата за имената на групите
  12. Въведете променливата за влизане: name
  13. Изберете формата Basic за променливата за влизане
  14. Добавете или не домейна към последователното удостоверяване
  15. Потвърдете създаването на домейна

Защо два различни формата

Microsoft Entra ID изпраща твърдението name във формата Basic, зададен по-долу при конфигурирането му. Твърдението groups обаче се изпраща без никакъв формат: панелът за твърдението за групи не позволява да се избере формат. Форматът Unspecified отговаря на това, което действително се получава; с формата Basic групите не се разпознават.

След това редактирайте домейна отново, за да отидете на втория раздел, Access service. Оттам изтеглете метаданните за конфигурация за IDP с връзката Metadata to set on the IDP:

Конфигуриране на еднократна идентификация в Microsoft Entra ID

Върнете се в раздела за конфигурация на корпоративното приложение и качете файла Metadata, извлечен от CyberElements, с Upload metadata file:

Панелът Basic SAML Configuration се отваря предварително попълнен. Променете стойността на Logout Url (Optional), като замените /SLO/Artifact с /SLO/Redirect в края, и запазете конфигурацията със Save:

Защо да промените URL адреса за излизане

Метаданните на CyberElements декларират няколко адреса за излизане, а Microsoft Entra ID запазва първия. Той използва обвързването HTTP-Artifact, което Microsoft Entra ID не поддържа за излизане.

След това редактирайте атрибутите и твърденията от Attributes & Claims > Edit:

Изтрийте твърденията emailaddress, givenname и surname, които CyberElements не използва, с Delete в тяхното меню …:

Щракнете върху твърдението name и в панела Manage claim:

  1. Изчистете полето Namespace
  2. Разгънете Choose name format и изберете формата Basic
  3. Запазете със Save

След това добавете твърдение за групи:

  1. Щракнете върху Add a group claim
  2. Изберете групите за изпращане: Groups assigned to the application (препоръчително) или All groups
  3. Оставете атрибута на източника зададен на Group ID: изпраща се идентификаторът на обекта на групата
  4. Разгънете Advanced options, поставете отметка на Customize the name of the group claim, въведете името groups и оставете полето Namespace (optional) празно
  5. Запазете със Save

Проверете получения списък: освен уникалния идентификатор на потребителя трябва да останат само твърденията groups и name:

Накрая извлечете URL адреса на метаданните за федерация, App Federation Metadata Url:

Върнете се в административната конзола на CyberElements, в раздела Access service на домейна, въведете този URL адрес в IDP metadata URL и потвърдете с Validate:

След потвърждаването новият ви домейн SAML е готов за използване.

Добавяне на групи

Новият домейн SAML може да се използва директно, но тъй като SAMLv2 не предвижда директен обмен между доставчика на самоличност (IDP) и доставчика на услуги (SP), който в нашия контекст е CyberElements, CyberElements не може да знае за потребителските групи, налични в Entra ID.
За да се преодолее този проблем, потребителските групи могат или да бъдат синхронизирани при поискване, или да бъдат добавени ръчно в продукта.

Синхронизация при поискване

Синхронизацията при поискване на потребителските групи от Entra ID е възможна чрез функцията на Azure device login.
Тази функция ще синхронизира всички групи, налични в Entra ID.

За да извършите тази синхронизация, отворете списъка с наличните домейни и щракнете върху бутона за синхронизация :

Ще се отвори прозорец, в който ще трябва да копирате код и да го поставите в удостоверяването на Azure, достъпно чрез предоставената връзка:

След удостоверяването CyberElements ще синхронизира всички групи, за да ги направи използваеми в решението. В зависимост от броя на групите за синхронизиране операцията може да отнеме до 5 минути (при хиляди групи за синхронизиране).

Ръчно

Отворете управлението на потребителските групи:

Изберете вашия домейн Entra ID и щракнете върху бутона за добавяне :

Накрая попълнете различните полета, за да добавите група, налична в Entra ID:

  1. Въведете показваното име на вашата потребителска група в CyberElements (за да се опрости управлението, препоръчително е да я наименувате по същия начин, както в Entra ID)
  2. Посочете идентификатора на обекта на групата, който може да бъде получен от управлението на групи в Azure
  3. По желание добавете описание на групата потребители