Zum Inhalt

Microsoft Entra ID

Dieser Artikel beschreibt die Konfiguration der SAMLv2-Identitätsföderation zwischen Microsoft Entra ID und CyberElements.

Konfiguration eines SAML-Identitätsanbieters mit Microsoft Entra ID

Die Unternehmensanwendung erstellen

Melden Sie sich beim Microsoft Entra Admin Center an: Microsoft Entra Admin Center

Öffnen Sie im Menü Entra ID > Enterprise apps und erstellen Sie dann mit New application eine neue Anwendung:

Wählen Sie im Katalog Create your own application aus:

Geben Sie der Anwendung einen Namen, wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) aus und erstellen Sie sie mit Create:

Sobald Ihre Unternehmensanwendung für CyberElements erstellt ist, weisen Sie ihr über Users and groups > Add user/group die berechtigten Benutzer und Gruppen zu:

Der Anwendung Gruppen zuweisen

Der weiter unten konfigurierte Gruppenanspruch überträgt nur die der Anwendung zugewiesenen Gruppen, in denen der Benutzer Mitglied ist. Ein Benutzer, der der Anwendung einzeln zugewiesen ist, kann sich anmelden, jedoch ohne jede Gruppe: Die Anwendungen, die ihm über eine Gruppe freigegeben sind, werden ihm dann nicht angeboten.

Wechseln Sie anschließend in das Menü Single sign-on und wählen Sie die Methode SAML aus:

Kopieren Sie am Ende der Seite den Wert von Microsoft Entra Identifier:

Die SAML-Domäne in CyberElements erstellen

Lassen Sie die Registerkarte geöffnet und öffnen Sie in der CyberElements-Administrationskonsole die Identitätsanbieter:

Fügen Sie anschließend einen neuen hinzu:

  1. Wählen Sie den Domänentyp SAML domain aus
  2. Geben Sie Ihrer neuen Domäne einen Namen
  3. Fügen Sie eine optionale Beschreibung hinzu
  4. Geben Sie Ihre lokale Domäne an; sie wird vom SSO-Mechanismus verwendet, sobald dieser aktiviert ist
  5. Passen Sie die Ablaufzeit für inaktive Benutzersitzungen an (Benutzersitzungen, in denen keine CyberElements-Anwendung läuft)
  6. Passen Sie die Anzahl der pro Benutzer zulässigen gleichzeitigen Sitzungen an
  7. Aktivieren oder deaktivieren Sie das automatische Löschen der ältesten Sitzung, wenn sich der Benutzer anmeldet, obwohl er die maximale Anzahl gleichzeitiger Sitzungen bereits erreicht hat
  8. Wählen Sie den Identitätsanbieter Azure aus
  9. Geben Sie den zuvor abgerufenen Wert von Microsoft Entra Identifier ein
  10. Geben Sie die Variable der Gruppennamen ein: groups
  11. Wählen Sie für die Variable der Gruppennamen das Format Unspecified aus
  12. Geben Sie die Anmeldevariable ein: name
  13. Wählen Sie für die Anmeldevariable das Format Basic aus
  14. Fügen Sie die Domäne der kaskadierten Authentifizierung hinzu oder nicht
  15. Bestätigen Sie die Erstellung der Domäne

Warum zwei unterschiedliche Formate

Microsoft Entra ID überträgt den Anspruch name im Format Basic, das weiter unten bei seiner Konfiguration festgelegt wird. Den Anspruch groups überträgt es hingegen ohne Format: Sein Bereich für den Gruppenanspruch lässt keine Auswahl zu. Das Format Unspecified entspricht dem, was tatsächlich empfangen wird; mit dem Format Basic werden die Gruppen nicht erkannt.

Bearbeiten Sie die Domäne anschließend erneut, um zur zweiten Registerkarte Access service zu wechseln. Laden Sie dort über den Link Metadata to set on the IDP die Konfigurationsmetadaten für den IDP herunter:

Single Sign-on in Microsoft Entra ID konfigurieren

Kehren Sie zur Registerkarte mit der Konfiguration der Unternehmensanwendung zurück und laden Sie die aus CyberElements abgerufene Datei Metadata mit Upload metadata file hoch:

Der Bereich Basic SAML Configuration öffnet sich vorausgefüllt. Ändern Sie den Wert von Logout Url (Optional), indem Sie am Ende /SLO/Artifact durch /SLO/Redirect ersetzen, und speichern Sie die Konfiguration mit Save:

Warum die Abmelde-URL geändert wird

Die Metadaten von CyberElements deklarieren mehrere Abmeldeadressen, und Microsoft Entra ID übernimmt die erste davon. Diese verwendet die Bindung HTTP-Artifact, die Microsoft Entra ID für die Abmeldung nicht unterstützt.

Bearbeiten Sie anschließend die Attribute und Ansprüche über Attributes & Claims > Edit:

Löschen Sie die Ansprüche emailaddress, givenname und surname, die CyberElements nicht verwendet, jeweils mit Delete in ihrem Menü …:

Klicken Sie auf den Anspruch name und gehen Sie im Bereich Manage claim wie folgt vor:

  1. Leeren Sie das Feld Namespace
  2. Klappen Sie Choose name format auf und wählen Sie das Format Basic aus
  3. Speichern Sie mit Save

Fügen Sie anschließend einen Gruppenanspruch hinzu:

  1. Klicken Sie auf Add a group claim
  2. Wählen Sie die zu übertragenden Gruppen aus: Groups assigned to the application (empfohlen) oder All groups
  3. Belassen Sie das Quellattribut auf Group ID: Es wird die ID des Gruppenobjekts übertragen
  4. Klappen Sie Advanced options auf, aktivieren Sie Customize the name of the group claim, geben Sie den Namen groups ein und lassen Sie das Feld Namespace (optional) leer
  5. Speichern Sie mit Save

Prüfen Sie die resultierende Liste: Neben der eindeutigen Benutzerkennung dürfen nur noch die Ansprüche groups und name übrig bleiben:

Rufen Sie schließlich die URL der Föderationsmetadaten ab, App Federation Metadata Url:

Kehren Sie zur CyberElements-Administrationskonsole zurück, geben Sie auf der Registerkarte Access service der Domäne diese URL in IDP metadata URL ein und bestätigen Sie mit Validate:

Nach der Bestätigung ist Ihre neue SAML-Domäne einsatzbereit.

Gruppen hinzufügen

Die neue SAML-Domäne ist unmittelbar nutzbar; da SAMLv2 jedoch keinen direkten Austausch zwischen dem Identity Provider (IDP) und dem Service Provider (SP) — in unserem Kontext CyberElements — vorsieht, kann dieser die auf Entra ID vorhandenen Benutzergruppen nicht kennen.
Um dieses Problem zu umgehen, können die Benutzergruppen entweder punktuell synchronisiert oder manuell im Produkt hinzugefügt werden.

Punktuelle Synchronisierung

Die punktuelle Synchronisierung der Entra ID-Benutzergruppen ist über die Azure-Funktion device login möglich.
Diese Funktion synchronisiert alle in Entra ID vorhandenen Gruppen.

Öffnen Sie für diese Synchronisierung die Liste der verfügbaren Domänen und klicken Sie auf die Synchronisierungsschaltfläche :

Es öffnet sich ein Fenster, in dem Sie einen Code kopieren und in die über den angegebenen Link erreichbare Azure-Authentifizierung einfügen müssen:

Nach der Authentifizierung synchronisiert CyberElements alle Gruppen, damit sie in der Lösung nutzbar sind. Je nach Anzahl der zu synchronisierenden Gruppen kann der Vorgang bis zu 5 Minuten dauern (bei mehreren Tausend Gruppen).

Manuell

Öffnen Sie die Verwaltung der Benutzergruppen:

Wählen Sie Ihre Entra ID-Domäne aus und klicken Sie auf die Schaltfläche zum Hinzufügen :

Füllen Sie zum Schluss die verschiedenen Felder aus, um eine in Entra ID vorhandene Gruppe hinzuzufügen:

  1. Geben Sie den Anzeigenamen Ihrer Benutzergruppe in CyberElements ein (zur Vereinfachung der Verwaltung empfiehlt es sich, denselben Namen wie in Entra ID zu verwenden)
  2. Geben Sie die ID des Gruppenobjekts an, die Sie in der Gruppenverwaltung von Azure abrufen können
  3. Fügen Sie der Benutzergruppe optional eine Beschreibung hinzu