Keri sisuni

Microsoft Entra ID

Selles artiklis tutvustatakse SAMLv2-identiteedifederatsiooni konfigureerimist Microsoft Entra ID ja CyberElements platvormi vahel.

SAML-identiteedipakkuja konfigureerimine Microsoft Entra ID abil

Ettevõtterakenduse loomine

Logige sisse Microsoft Entra halduskeskusesse: Microsoft Entra halduskeskus

Avage menüüs Entra ID > Enterprise apps ja looge seejärel nupuga New application uus rakendus:

Valige galeriis Create your own application:

Andke rakendusele nimi, valige Integrate any other application you don't find in the gallery (Non-gallery) ja looge see nupuga Create:

Kui ettevõtterakendus on CyberElements platvormi jaoks loodud, määrake sellele autoriseeritud kasutajad ja rühmad jaotises Users and groups > Add user/group:

Määrake rakendusele rühmad

Allpool konfigureeritav rühmaväide saadab ainult need rakendusele määratud rühmad, mille liige kasutaja on. Rakendusele üksikult määratud kasutaja saab sisse logida, kuid ilma ühegi rühmata: siis ei pakuta talle rakendusi, mis on talle rühma kaudu avatud.

Seejärel avage menüü Single sign-on ja valige meetod SAML:

Kopeerige lehe allosas välja Microsoft Entra Identifier väärtus:

SAML-domeeni loomine CyberElements platvormis

Jätke vahekaart avatuks ja avage CyberElements halduskonsoolis identiteedipakkujad:

Seejärel lisage uus:

  1. Valige domeeni tüüp SAML domain
  2. Andke uuele domeenile nimi
  3. Lisage soovi korral kirjeldus
  4. Määrake oma kohalik domeen; SSO-mehhanism kasutab seda, kui see on sisse lülitatud
  5. Kohandage passiivsete kasutajaseansside aegumisaega (kasutajaseansid, milles ükski CyberElements rakendus ei tööta)
  6. Kohandage iga kasutaja jaoks lubatud samaaegsete seansside arvu
  7. Lülitage sisse või välja vanima seansi automaatne kustutamine juhuks, kui kasutaja logib sisse ajal, mil ta on juba jõudnud samaaegsete seansside maksimumarvuni
  8. Valige identiteedipakkuja Azure
  9. Sisestage varem hangitud Microsoft Entra Identifier väärtus
  10. Sisestage rühmanimede muutuja: groups
  11. Valige rühmanimede muutuja vorminguks Unspecified
  12. Sisestage sisselogimismuutuja: name
  13. Valige sisselogimismuutuja vorminguks Basic
  14. Valige, kas lisada domeen jadaautentimisse või mitte
  15. Kinnitage domeeni loomine

Miks kaks erinevat vormingut

Microsoft Entra ID saadab väite name vormingus Basic, mis määratakse allpool selle konfigureerimisel. Väite groups saadab see aga ilma vorminguta: selle rühmaväite paanil ei saa vormingut valida. Vorming Unspecified vastab sellele, mida tegelikult vastu võetakse; vorminguga Basic rühmi ei tuvastata.

Seejärel redigeerige domeeni uuesti, et minna teisele vahekaardile Access service. Laadige sealt IDP jaoks mõeldud konfiguratsiooni metaandmed alla, klõpsates Metadata to set on the IDP:

Ühekordse sisselogimise konfigureerimine Microsoft Entra ID-s

Naaske ettevõtterakenduse konfiguratsiooni vahekaardile ja laadige nupuga Upload metadata file üles CyberElements platvormist hangitud fail Metadata:

Avaneb eeltäidetud paan Basic SAML Configuration. Muutke välja Logout Url (Optional) väärtust, asendades lõpus oleva /SLO/Artifact väärtusega /SLO/Redirect, ja salvestage konfiguratsioon nupuga Save:

Miks muuta väljalogimise URL-i

CyberElements platvormi metaandmetes on deklareeritud mitu väljalogimisaadressi ja Microsoft Entra ID jätab alles neist esimese. See kasutab sidumist HTTP-Artifact, mida Microsoft Entra ID väljalogimisel ei toeta.

Seejärel redigeerige atribuute ja väiteid jaotises Attributes & Claims > Edit:

Kustutage väited emailaddress, givenname ja surname, mida CyberElements ei kasuta, nende menüü … käsuga Delete:

Klõpsake väidet name ja tehke paanil Manage claim järgmist:

  1. Tühjendage väli Namespace
  2. Laiendage jaotist Choose name format ja valige vorming Basic
  3. Salvestage nupuga Save

Seejärel lisage rühmaväide:

  1. Klõpsake Add a group claim
  2. Valige saadetavad rühmad: Groups assigned to the application (soovitatav) või All groups
  3. Jätke lähteatribuudiks Group ID: saadetakse rühmaobjekti ID
  4. Laiendage jaotist Advanced options, märkige Customize the name of the group claim, sisestage nimi groups ja jätke väli Namespace (optional) tühjaks
  5. Salvestage nupuga Save

Kontrollige saadud loendit: peale kasutaja kordumatu identifikaatori peaksid alles jääma ainult väited groups ja name:

Lõpuks hankige federatsiooni metaandmete URL App Federation Metadata Url:

Naaske CyberElements halduskonsooli domeeni vahekaardile Access service, sisestage see URL väljale IDP metadata URL ja kinnitage nupuga Validate:

Pärast kinnitamist on teie uus SAML-domeen kasutamiseks valmis.

Rühmade lisamine

Uus SAML-domeen on kohe kasutatav, kuid kuna SAMLv2 ei näe ette otsest andmevahetust identiteedipakkuja (IDP) ja teenusepakkuja (SP) vahel — meie kontekstis on selleks CyberElements —, ei saa see teada Entra ID-s olevatest kasutajarühmadest.
Selle probleemi lahendamiseks saab kasutajarühmi kas ühekordselt sünkroonida või tootesse käsitsi lisada.

Ühekordne sünkroonimine

Entra ID kasutajarühmade ühekordne sünkroonimine on võimalik Azure'i funktsiooniga device login.
See funktsioon sünkroonib kõik Entra ID-s olevad rühmad.

Sünkroonimiseks avage saadaolevate domeenide loend ja klõpsake sünkroonimisnuppu :

Avaneb aken, kus peate kopeerima koodi ja kleepima selle Azure'i autentimisse, mis avaneb esitatud aadressil:

Pärast autentimist sünkroonib CyberElements kõik rühmad, et neid saaks lahenduses kasutada. Olenevalt sünkroonitavate rühmade arvust võib toiming kesta kuni 5 minutit (tuhandete sünkroonitavate rühmade korral).

Käsitsi

Avage kasutajarühmade haldus:

Valige oma Entra ID domeen ja klõpsake lisamisnuppu :

Lõpuks täitke Entra ID-s oleva rühma lisamiseks erinevad väljad:

  1. Sisestage kasutajarühma kuvatav nimi CyberElements platvormis (halduse lihtsustamiseks on soovitatav anda sellele sama nimi kui Entra ID-s)
  2. Määrake rühmaobjekti ID, mille saate Azure'i rühmahaldusest
  3. Soovi korral lisage kasutajarühmale kirjeldus