Microsoft Entra ID

Αυτό το άρθρο παρουσιάζει τη διαμόρφωση της ομοσπονδίας ταυτοτήτων SAMLv2 μεταξύ του Microsoft Entra ID και του CyberElements.

Διαμόρφωση παρόχου ταυτότητας SAML με το Microsoft Entra ID

Δημιουργία της εταιρικής εφαρμογής

Συνδεθείτε στο κέντρο διαχείρισης του Microsoft Entra: Microsoft Entra admin center

Στο μενού, ανοίξτε το Entra ID > Enterprise apps και, στη συνέχεια, δημιουργήστε μια νέα εφαρμογή με το New application:

Στη συλλογή, επιλέξτε Create your own application:

Δώστε ένα όνομα στην εφαρμογή, επιλέξτε Integrate any other application you don't find in the gallery (Non-gallery) και δημιουργήστε την με το Create:

Μόλις δημιουργηθεί η εταιρική εφαρμογή σας για το CyberElements, αναθέστε της τους εξουσιοδοτημένους χρήστες και τις εξουσιοδοτημένες ομάδες, από το Users and groups > Add user/group:

Αναθέστε ομάδες στην εφαρμογή

Η αξίωση ομάδας που διαμορφώνεται παρακάτω στέλνει μόνο τις ομάδες που έχουν ανατεθεί στην εφαρμογή στις οποίες είναι μέλος ο χρήστης. Ένας χρήστης στον οποίο έχει ανατεθεί η εφαρμογή μεμονωμένα μπορεί να συνδεθεί, αλλά χωρίς καμία ομάδα: οι εφαρμογές που του είναι διαθέσιμες μέσω μιας ομάδας δεν του προσφέρονται τότε.

Στη συνέχεια, μεταβείτε στο μενού Single sign-on και επιλέξτε τη μέθοδο SAML:

Στο κάτω μέρος της σελίδας, αντιγράψτε την τιμή του Microsoft Entra Identifier:

Δημιουργία του τομέα SAML στο CyberElements

Αφήστε την καρτέλα ανοιχτή και, από την κονσόλα διαχείρισης του CyberElements, ανοίξτε τους παρόχους ταυτότητας:

Στη συνέχεια, προσθέστε έναν νέο:

1. Επιλέξτε τον τύπο τομέα SAML domain
2. Δώστε ένα όνομα στον νέο τομέα σας
3. Προσθέστε μια προαιρετική περιγραφή
4. Καθορίστε τον τοπικό τομέα σας· θα χρησιμοποιείται από τον μηχανισμό SSO όταν είναι ενεργοποιημένος
5. Προσαρμόστε τον χρόνο λήξης των ανενεργών περιόδων λειτουργίας χρηστών (περίοδοι λειτουργίας χρηστών στις οποίες δεν εκτελείται καμία εφαρμογή CyberElements)
6. Προσαρμόστε τον αριθμό των ταυτόχρονων περιόδων λειτουργίας που επιτρέπονται για κάθε χρήστη
7. Ενεργοποιήστε ή απενεργοποιήστε την αυτόματη διαγραφή της παλαιότερης περιόδου λειτουργίας, εάν ο χρήστης συνδεθεί ενώ έχει ήδη φτάσει τον μέγιστο αριθμό ταυτόχρονων περιόδων λειτουργίας
8. Επιλέξτε τον πάροχο ταυτότητας Azure
9. Εισαγάγετε την τιμή του Microsoft Entra Identifier που ανακτήσατε προηγουμένως
10. Εισαγάγετε τη μεταβλητή των ονομάτων ομάδων: groups
11. Επιλέξτε τη μορφή Unspecified για τη μεταβλητή των ονομάτων ομάδων
12. Εισαγάγετε τη μεταβλητή σύνδεσης: name
13. Επιλέξτε τη μορφή Basic για τη μεταβλητή σύνδεσης
14. Προσθέστε ή όχι τον τομέα στον διαδοχικό έλεγχο ταυτότητας
15. Επικυρώστε τη δημιουργία του τομέα

Γιατί δύο διαφορετικές μορφές

Το Microsoft Entra ID στέλνει την αξίωση name στη μορφή Basic, η οποία ορίζεται παρακάτω κατά τη διαμόρφωσή της. Ωστόσο, στέλνει την αξίωση groups χωρίς καμία μορφή: το παράθυρο της αξίωσης ομάδας δεν παρέχει δυνατότητα επιλογής μορφής. Η μορφή Unspecified αντιστοιχεί σε αυτό που λαμβάνεται πραγματικά· με τη μορφή Basic, οι ομάδες δεν αναγνωρίζονται.

Στη συνέχεια, επεξεργαστείτε ξανά τον τομέα για να μεταβείτε στη δεύτερη καρτέλα, Access service. Από εκεί, κατεβάστε τα μεταδεδομένα διαμόρφωσης για τον IDP με τον σύνδεσμο Metadata to set on the IDP:

Διαμόρφωση της καθολικής σύνδεσης στο Microsoft Entra ID

Επιστρέψτε στην καρτέλα διαμόρφωσης της εταιρικής εφαρμογής και αποστείλετε το αρχείο Metadata που ανακτήσατε από το CyberElements με το Upload metadata file:

Ανοίγει το παράθυρο Basic SAML Configuration, προσυμπληρωμένο. Αλλάξτε την τιμή του Logout Url (Optional) αντικαθιστώντας στο τέλος το /SLO/Artifact με το /SLO/Redirect και αποθηκεύστε τη διαμόρφωση με το Save:

Γιατί αλλάζει η διεύθυνση URL αποσύνδεσης

Τα μεταδεδομένα του CyberElements δηλώνουν πολλές διευθύνσεις αποσύνδεσης και το Microsoft Entra ID κρατά την πρώτη. Αυτή χρησιμοποιεί τη δέσμευση HTTP-Artifact, την οποία το Microsoft Entra ID δεν υποστηρίζει για την αποσύνδεση.

Στη συνέχεια, επεξεργαστείτε τα χαρακτηριστικά και τις αξιώσεις, από το Attributes & Claims > Edit:

Διαγράψτε τις αξιώσεις emailaddress, givenname και surname, τις οποίες δεν χρησιμοποιεί το CyberElements, με το Delete στο μενού … της καθεμιάς:

Κάντε κλικ στην αξίωση name και, στο παράθυρο Manage claim:

1. Εκκαθαρίστε το πεδίο Namespace
2. Επεκτείνετε το Choose name format και επιλέξτε τη μορφή Basic
3. Αποθηκεύστε με το Save

Στη συνέχεια, προσθέστε μια αξίωση ομάδας:

1. Κάντε κλικ στο Add a group claim
2. Επιλέξτε τις ομάδες που θα αποστέλλονται: Groups assigned to the application (συνιστάται) ή All groups
3. Αφήστε το χαρακτηριστικό πηγής ορισμένο σε Group ID: αποστέλλεται το αναγνωριστικό του αντικειμένου ομάδας
4. Επεκτείνετε το Advanced options, επιλέξτε Customize the name of the group claim, εισαγάγετε το όνομα groups και αφήστε κενό το πεδίο Namespace (optional)
5. Αποθηκεύστε με το Save

Ελέγξτε τη λίστα που προκύπτει: εκτός από το μοναδικό αναγνωριστικό χρήστη, θα πρέπει να παραμένουν μόνο οι αξιώσεις groups και name:

Τέλος, ανακτήστε τη διεύθυνση URL των μεταδεδομένων ομοσπονδίας, App Federation Metadata Url:

Επιστρέψτε στην κονσόλα διαχείρισης του CyberElements, στην καρτέλα Access service του τομέα, εισαγάγετε αυτή τη διεύθυνση URL στο IDP metadata URL και επικυρώστε με το Validate:

Μετά την επικύρωση, ο νέος τομέας SAML σας είναι έτοιμος για χρήση.

Προσθήκη ομάδων

Ο νέος τομέας SAML μπορεί να χρησιμοποιηθεί αμέσως, αλλά επειδή το SAMLv2 δεν προβλέπει άμεσες ανταλλαγές μεταξύ του παρόχου ταυτότητας (IDP) και του παρόχου υπηρεσιών (SP), ο οποίος στο πλαίσιό μας είναι το CyberElements, ο τελευταίος δεν μπορεί να γνωρίζει τις ομάδες χρηστών που υπάρχουν στο Entra ID.
Για να ξεπεραστεί αυτό το πρόβλημα, οι ομάδες χρηστών μπορούν είτε να συγχρονιστούν κατά περίπτωση είτε να προστεθούν μη αυτόματα στο προϊόν.

Συγχρονισμός κατά περίπτωση

Ο συγχρονισμός κατά περίπτωση των ομάδων χρηστών του Entra ID είναι δυνατός με τη λειτουργία device login του Azure.
Αυτή η λειτουργία θα συγχρονίσει όλες τις ομάδες που υπάρχουν στο Entra ID.

Για να πραγματοποιήσετε αυτόν τον συγχρονισμό, ανοίξτε τη λίστα των διαθέσιμων τομέων και κάντε κλικ στο κουμπί συγχρονισμού :

Θα ανοίξει ένα παράθυρο στο οποίο θα πρέπει να αντιγράψετε έναν κωδικό και να τον επικολλήσετε στον έλεγχο ταυτότητας του Azure, στον οποίο έχετε πρόσβαση μέσω του παρεχόμενου συνδέσμου:

Μετά τον έλεγχο ταυτότητας, το CyberElements θα συγχρονίσει όλες τις ομάδες, ώστε να μπορούν να χρησιμοποιηθούν στη λύση. Ανάλογα με τον αριθμό των ομάδων προς συγχρονισμό, η διαδικασία μπορεί να διαρκέσει έως και 5 λεπτά (για χιλιάδες ομάδες προς συγχρονισμό).

Μη αυτόματα

Ανοίξτε τη διαχείριση ομάδων χρηστών:

Επιλέξτε τον τομέα Entra ID σας και κάντε κλικ στο κουμπί προσθήκης :

Τέλος, συμπληρώστε τα διάφορα πεδία για να προσθέσετε μια ομάδα που υπάρχει στο Entra ID:

1. Εισαγάγετε το εμφανιζόμενο όνομα της ομάδας χρηστών σας στο CyberElements (για την απλοποίηση της διαχείρισης, συνιστάται να της δώσετε το ίδιο όνομα με αυτό στο Entra ID)
2. Καθορίστε το αναγνωριστικό του αντικειμένου ομάδας, το οποίο μπορείτε να ανακτήσετε από τη διαχείριση ομάδων του Azure
3. Προσθέστε προαιρετικά μια περιγραφή στην ομάδα χρηστών