Gå til indholdet

Microsoft Entra ID

Denne artikel beskriver konfigurationen af SAMLv2-identitetsføderation mellem Microsoft Entra ID og CyberElements.

Konfiguration af en SAML-identitetsudbyder med Microsoft Entra ID

Oprettelse af virksomhedsapplikationen

Log ind på Microsoft Entra-administrationscentret: Microsoft Entra-administrationscenter

Åbn Entra ID > Enterprise apps i menuen, og opret derefter en ny applikation med New application:

Vælg Create your own application i galleriet:

Giv applikationen et navn, vælg Integrate any other application you don't find in the gallery (Non-gallery), og opret den med Create:

Når din virksomhedsapplikation er oprettet til CyberElements, skal du tildele den de autoriserede brugere og grupper fra Users and groups > Add user/group:

Tildel grupper til applikationen

Den gruppe-claim, der konfigureres nedenfor, sender kun de grupper, der er tildelt applikationen, og som brugeren er medlem af. En bruger, der er tildelt applikationen individuelt, kan logge ind, men uden nogen gruppe: de applikationer, der er åbnet for brugeren via en gruppe, tilbydes så ikke.

Gå derefter til menuen Single sign-on, og vælg metoden SAML:

Kopiér nederst på siden værdien af Microsoft Entra Identifier:

Oprettelse af SAML-domænet i CyberElements

Lad fanen være åben, og åbn identitetsudbyderne i CyberElements-administrationskonsollen:

Tilføj derefter en ny:

  1. Vælg domænetypen SAML domain
  2. Giv dit nye domæne et navn
  3. Tilføj en valgfri beskrivelse
  4. Angiv dit lokale domæne; det bruges af SSO-mekanismen, når den er slået til
  5. Tilpas udløbstiden for inaktive brugersessioner (brugersessioner, hvor ingen CyberElements-applikation kører)
  6. Tilpas antallet af samtidige sessioner, der er tilladt for hver bruger
  7. Slå automatisk sletning af den ældste session til eller fra, hvis brugeren logger ind, når vedkommende allerede har nået det maksimale antal samtidige sessioner
  8. Vælg identitetsudbyderen Azure
  9. Indtast den værdi af Microsoft Entra Identifier, der blev hentet tidligere
  10. Indtast variablen for gruppenavne: groups
  11. Vælg formatet Unspecified for variablen for gruppenavne
  12. Indtast loginvariablen: name
  13. Vælg formatet Basic for loginvariablen
  14. Vælg, om domænet skal indgå i den serielle autentificering
  15. Bekræft oprettelsen af domænet

Hvorfor to forskellige formater

Microsoft Entra ID sender claimen name i formatet Basic, som angives nedenfor, når claimen konfigureres. Claimen groups sender den derimod uden noget format: panelet for gruppe-claims giver ikke mulighed for at vælge et. Formatet Unspecified svarer til det, der faktisk modtages; med formatet Basic genkendes grupperne ikke.

Rediger derefter domænet igen for at gå til den anden fane, Access service. Download derfra konfigurationsmetadataene til IDP'en med linket Metadata to set on the IDP:

Konfiguration af single sign-on i Microsoft Entra ID

Vend tilbage til konfigurationsfanen for virksomhedsapplikationen, og upload den Metadata-fil, der er hentet fra CyberElements, med Upload metadata file:

Panelet Basic SAML Configuration åbnes, allerede udfyldt. Ændr værdien af Logout Url (Optional) ved at erstatte /SLO/Artifact med /SLO/Redirect i slutningen, og gem konfigurationen med Save:

Hvorfor logout-URL'en skal ændres

Metadataene fra CyberElements angiver flere logout-adresser, og Microsoft Entra ID beholder den første. Den bruger bindingen HTTP-Artifact, som Microsoft Entra ID ikke understøtter ved logout.

Rediger derefter attributterne og claims fra Attributes & Claims > Edit:

Slet de tre claims emailaddress, givenname og surname, som CyberElements ikke bruger, med Delete i deres menu …:

Klik på claimen name, og gør følgende i panelet Manage claim:

  1. Ryd feltet Namespace
  2. Fold Choose name format ud, og vælg formatet Basic
  3. Gem med Save

Tilføj derefter en gruppe-claim:

  1. Klik på Add a group claim
  2. Vælg de grupper, der skal sendes: Groups assigned to the application (anbefales) eller All groups
  3. Lad kildeattributten stå på Group ID: det er id'et for gruppeobjektet, der sendes
  4. Fold Advanced options ud, markér Customize the name of the group claim, indtast navnet groups, og lad feltet Namespace (optional) være tomt
  5. Gem med Save

Kontrollér den resulterende liste: bortset fra brugerens unikke identifikator må kun de to claims groups og name være tilbage:

Hent til sidst URL'en til føderationsmetadataene, App Federation Metadata Url:

Vend tilbage til CyberElements-administrationskonsollen, fanen Access service for domænet, indtast denne URL i IDP metadata URL, og bekræft med Validate:

Når den er bekræftet, er dit nye SAML-domæne klar til brug.

Tilføjelse af grupper

Det nye SAML-domæne kan bruges med det samme, men da SAMLv2 ikke giver mulighed for direkte udveksling mellem Identity Provider (IDP) og Service Provider (SP) — i vores kontekst CyberElements — kan denne ikke kende de brugergrupper, der findes i Entra ID.
For at komme omkring dette problem kan brugergrupperne enten synkroniseres punktvist eller tilføjes manuelt i produktet.

Punktvis synkronisering

Punktvis synkronisering af Entra ID-brugergrupperne er mulig via Azure-funktionen device login.
Denne funktion synkroniserer alle de grupper, der findes i Entra ID.

Åbn listen over tilgængelige domæner for at udføre denne synkronisering, og klik på synkroniseringsknappen :

Der åbnes et vindue, hvor du skal kopiere en kode og indsætte den i den Azure-autentificering, der er tilgængelig via det angivne link:

Efter autentificeringen synkroniserer CyberElements alle grupper, så de kan bruges i løsningen. Afhængigt af antallet af grupper, der skal synkroniseres, kan handlingen tage op til 5 minutter (ved flere tusind grupper).

Manuelt

Åbn administrationen af brugergrupperne:

Vælg dit Entra ID-domæne, og klik på knappen til at tilføje :

Udfyld til sidst de forskellige felter for at tilføje en gruppe, der findes i Entra ID:

  1. Indtast visningsnavnet på din brugergruppe i CyberElements (for at forenkle administrationen anbefales det at give den samme navn som i Entra ID)
  2. Angiv id'et for gruppeobjektet, som kan hentes i Azures gruppeadministration
  3. Tilføj eventuelt en beskrivelse til brugergruppen