Microsoft Entra ID

Tento článek představuje konfiguraci federace identit SAMLv2 mezi Microsoft Entra ID a CyberElements.

Konfigurace zprostředkovatele identity SAML s Microsoft Entra ID

Vytvoření podnikové aplikace

Přihlaste se do Centra pro správu Microsoft Entra: Centrum pro správu Microsoft Entra

V nabídce otevřete Entra ID > Enterprise apps a poté vytvořte novou aplikaci pomocí New application:

V galerii vyberte Create your own application:

Pojmenujte aplikaci, vyberte Integrate any other application you don't find in the gallery (Non-gallery) a vytvořte ji pomocí Create:

Jakmile je podniková aplikace pro CyberElements vytvořena, přiřaďte k ní autorizované uživatele a skupiny v části Users and groups > Add user/group:

Přiřaďte k aplikaci skupiny

Níže nakonfigurovaná deklarace skupiny odesílá pouze skupiny přiřazené k aplikaci, jejichž je uživatel členem. Uživatel přiřazený k aplikaci samostatně se může přihlásit, ale bez jakékoli skupiny: aplikace, které jsou mu zpřístupněny prostřednictvím skupiny, se mu pak nenabízejí.

Poté přejděte do nabídky Single sign-on a vyberte metodu SAML:

V dolní části stránky zkopírujte hodnotu Microsoft Entra Identifier:

Vytvoření domény SAML v CyberElements

Nechte kartu otevřenou a v konzole pro správu CyberElements otevřete zprostředkovatele identit:

Poté přidejte nového:

1. Vyberte typ domény SAML domain
2. Pojmenujte novou doménu
3. Přidejte volitelný popis
4. Zadejte svou místní doménu; bude ji používat mechanismus SSO, pokud je povolen
5. Upravte dobu vypršení platnosti neaktivních uživatelských relací (uživatelských relací, ve kterých není spuštěna žádná aplikace CyberElements)
6. Upravte počet souběžných relací povolených pro každého uživatele
7. Povolte nebo zakažte automatické odstranění nejstarší relace, pokud se uživatel přihlásí ve chvíli, kdy již dosáhl maximálního počtu souběžných relací
8. Vyberte zprostředkovatele identity Azure
9. Zadejte dříve získanou hodnotu Microsoft Entra Identifier
10. Zadejte proměnnou názvů skupin: groups
11. Pro proměnnou názvů skupin vyberte formát Unspecified
12. Zadejte proměnnou přihlášení: name
13. Pro proměnnou přihlášení vyberte formát Basic
14. Přidejte nebo nepřidejte doménu do sériového ověřování
15. Potvrďte vytvoření domény

Proč dva různé formáty

Microsoft Entra ID odesílá deklaraci name ve formátu Basic, který se nastavuje níže při její konfiguraci. Deklaraci groups však odesílá bez jakéhokoli formátu: panel deklarace skupiny formát zvolit neumožňuje. Formát Unspecified odpovídá tomu, co je skutečně přijato; s formátem Basic nejsou skupiny rozpoznány.

Poté doménu znovu upravte a přejděte na druhou kartu, Access service. Odtud stáhněte konfigurační metadata pro IDP pomocí odkazu Metadata to set on the IDP:

Konfigurace jednotného přihlašování v Microsoft Entra ID

Vraťte se na kartu konfigurace podnikové aplikace a nahrajte soubor Metadata získaný z CyberElements pomocí Upload metadata file:

Otevře se předvyplněný panel Basic SAML Configuration. Změňte hodnotu Logout Url (Optional) tak, že na konci nahradíte /SLO/Artifact řetězcem /SLO/Redirect, a uložte konfiguraci pomocí Save:

Proč změnit adresu URL odhlášení

Metadata CyberElements deklarují několik adres pro odhlášení a Microsoft Entra ID si ponechá první z nich. Ta používá vazbu HTTP-Artifact, kterou Microsoft Entra ID pro odhlášení nepodporuje.

Poté upravte atributy a deklarace v části Attributes & Claims > Edit:

Odstraňte deklarace emailaddress, givenname a surname, které CyberElements nepoužívá, pomocí Delete v jejich nabídce …:

Klikněte na deklaraci name a v panelu Manage claim:

1. Vymažte pole Namespace
2. Rozbalte Choose name format a vyberte formát Basic
3. Uložte pomocí Save

Poté přidejte deklaraci skupiny:

1. Klikněte na Add a group claim
2. Vyberte skupiny k odeslání: Groups assigned to the application (doporučeno) nebo All groups
3. Ponechte zdrojový atribut nastavený na Group ID: odešle se ID objektu skupiny
4. Rozbalte Advanced options, zaškrtněte Customize the name of the group claim, zadejte název groups a pole Namespace (optional) nechte prázdné
5. Uložte pomocí Save

Zkontrolujte výsledný seznam: kromě jedinečného identifikátoru uživatele by měly zůstat pouze deklarace groups a name:

Nakonec získejte adresu URL metadat federace, App Federation Metadata Url:

Vraťte se do konzoly pro správu CyberElements na kartu Access service domény, zadejte tuto adresu URL do pole IDP metadata URL a potvrďte pomocí Validate:

Po potvrzení je vaše nová doména SAML připravena k použití.

Přidání skupin

Nová doména SAML je přímo použitelná, ale protože SAMLv2 nepočítá s přímou výměnou mezi zprostředkovatelem identity (IDP) a poskytovatelem služeb (SP), kterým je v našem kontextu CyberElements, nemůže CyberElements znát skupiny uživatelů, které existují v Entra ID.
Tento problém lze vyřešit tak, že se skupiny uživatelů buď synchronizují ad hoc, nebo se do produktu přidají ručně.

Synchronizace ad hoc

Skupiny uživatelů Entra ID lze synchronizovat ad hoc pomocí funkce Azure device login.
Tato funkce synchronizuje všechny skupiny, které existují v Entra ID.

Chcete-li tuto synchronizaci provést, otevřete seznam dostupných domén a klikněte na tlačítko synchronizace :

Otevře se okno, ve kterém je třeba zkopírovat kód a vložit ho do ověření Azure, které je dostupné přes uvedený odkaz:

Po ověření CyberElements synchronizuje všechny skupiny, aby je bylo možné v řešení používat. V závislosti na počtu synchronizovaných skupin může operace trvat až 5 minut (při tisících synchronizovaných skupin).

Ručně

Otevřete správu skupin uživatelů:

Vyberte svou doménu Entra ID a klikněte na tlačítko přidání :

Nakonec vyplňte jednotlivá pole a přidejte skupinu, která existuje v Entra ID:

1. Zadejte zobrazovaný název své skupiny uživatelů v CyberElements (pro zjednodušení správy se doporučuje pojmenovat ji stejně jako v Entra ID)
2. Uveďte ID objektu skupiny, které lze zjistit ve správě skupin v Azure
3. Volitelně přidejte ke skupině uživatelů popis