Microsoft Entra ID¶

Tässä artikkelissa esitellään, miten SAMLv2-identiteettifederaatio määritetään Microsoft Entra ID:n ja CyberElements-ympäristön välille.

SAML-identiteetintarjoajan määrittäminen Microsoft Entra ID:n avulla¶

Yrityssovelluksen luominen¶

Kirjaudu Microsoft Entra -hallintakeskukseen: Microsoft Entra -hallintakeskus

Avaa valikosta Entra ID > Enterprise apps ja luo sitten uusi sovellus painikkeella New application:

Valitse valikoimasta Create your own application:

Anna sovellukselle nimi, valitse Integrate any other application you don't find in the gallery (Non-gallery) ja luo sovellus painikkeella Create:

Kun yrityssovelluksesi on luotu CyberElements-ympäristöä varten, määritä sille valtuutetut käyttäjät ja ryhmät kohdassa Users and groups > Add user/group:

Määritä ryhmät sovellukselle

Jäljempänä määritettävä ryhmä-claim lähettää vain ne sovellukselle määritetyt ryhmät, joiden jäsen käyttäjä on. Sovellukselle yksittäin määritetty käyttäjä voi kirjautua, mutta ilman yhtään ryhmää: hänelle ei silloin tarjota sovelluksia, jotka on avattu hänelle ryhmän kautta.

Siirry seuraavaksi valikkoon Single sign-on ja valitse menetelmä SAML:

Kopioi sivun alalaidassa arvo Microsoft Entra Identifier:

SAML-toimialueen luominen CyberElements-ympäristössä¶

Jätä välilehti auki ja avaa CyberElements-hallintakonsolissa identiteetintarjoajat:

Lisää sen jälkeen uusi:

Valitse toimialueen tyypiksi SAML domain
Anna uudelle toimialueellesi nimi
Lisää valinnainen kuvaus
Määritä paikallinen toimialueesi; SSO-mekanismi käyttää sitä, kun se on otettu käyttöön
Säädä käyttämättömien käyttäjäistuntojen vanhenemisaikaa (käyttäjäistunnot, joissa mikään CyberElements-sovellus ei ole käynnissä)
Säädä kutakin käyttäjää kohti sallittujen samanaikaisten istuntojen määrää
Ota käyttöön tai poista käytöstä vanhimman istunnon automaattinen poistaminen, jos käyttäjä kirjautuu sisään, vaikka hän on jo saavuttanut samanaikaisten istuntojen enimmäismäärän
Valitse identiteetintarjoaja Azure
Anna aiemmin noudettu Microsoft Entra Identifier -arvo
Anna ryhmänimien muuttuja: groups
Valitse ryhmänimien muuttujan muodoksi Unspecified
Anna kirjautumismuuttuja: name
Valitse kirjautumismuuttujan muodoksi Basic
Lisää toimialue sarjatodennukseen tai jätä lisäämättä
Vahvista toimialueen luominen

Miksi kaksi eri muotoa

Microsoft Entra ID lähettää name-claimin muodossa Basic, joka asetetaan jäljempänä claimia määritettäessä. groups-claimin se sen sijaan lähettää ilman muotoa: sen ryhmä-claimin paneelissa muotoa ei voi valita. Muoto Unspecified vastaa sitä, mitä todellisuudessa vastaanotetaan; muodolla Basic ryhmiä ei tunnisteta.

Muokkaa sitten toimialuetta uudelleen siirtyäksesi toiselle välilehdelle, Access service. Lataa sieltä IDP:lle tarkoitetut määritysmetatiedot linkistä Metadata to set on the IDP:

Kertakirjautumisen määrittäminen Microsoft Entra ID:ssä¶

Palaa yrityssovelluksen määritysvälilehdelle ja lähetä CyberElements-ympäristöstä noudettu tiedosto Metadata painikkeella Upload metadata file:

Paneeli Basic SAML Configuration avautuu esitäytettynä. Muuta kentän Logout Url (Optional) arvoa korvaamalla sen lopussa oleva /SLO/Artifact merkkijonolla /SLO/Redirect ja tallenna määritys painikkeella Save:

Miksi uloskirjautumisen URL-osoitetta muutetaan

CyberElements-ympäristön metatiedoissa ilmoitetaan useita uloskirjautumisosoitteita, ja Microsoft Entra ID säilyttää niistä ensimmäisen. Se käyttää HTTP-Artifact-sidontaa, jota Microsoft Entra ID ei tue uloskirjautumisessa.

Muokkaa sitten attribuutteja ja claimeja kohdassa Attributes & Claims > Edit:

Poista claimit emailaddress, givenname ja surname, joita CyberElements ei käytä, niiden …-valikon komennolla Delete:

Napsauta claimia name ja toimi paneelissa Manage claim seuraavasti:

Tyhjennä kenttä Namespace
Laajenna Choose name format ja valitse muoto Basic
Tallenna painikkeella Save

Lisää sitten ryhmä-claim:

Napsauta Add a group claim
Valitse lähetettävät ryhmät: Groups assigned to the application (suositeltu) tai All groups
Jätä lähdeattribuutiksi Group ID: tällöin lähetetään ryhmäobjektin tunnus
Laajenna Advanced options, valitse Customize the name of the group claim, anna nimeksi groups ja jätä kenttä Namespace (optional) tyhjäksi
Tallenna painikkeella Save

Tarkista saatu luettelo: käyttäjän yksilöllisen tunnisteen lisäksi jäljellä saa olla vain claimit groups ja name:

Nouda lopuksi federaation metatietojen URL-osoite, App Federation Metadata Url:

Palaa CyberElements-hallintakonsoliin toimialueen välilehdelle Access service, anna tämä URL-osoite kenttään IDP metadata URL ja vahvista painikkeella Validate:

Kun tiedot on vahvistettu, uusi SAML-toimialueesi on käyttövalmis.

Ryhmien lisääminen¶

Uusi SAML-toimialue on heti käytettävissä, mutta koska SAMLv2 ei mahdollista suoraa tiedonvaihtoa Identity Providerin (IDP) ja Service Providerin (SP) — meidän tapauksessamme CyberElements-ympäristön — välillä, tämä ei voi tuntea Entra ID:ssä olevia käyttäjäryhmiä.
Tämän ongelman kiertämiseksi käyttäjäryhmät voidaan joko synkronoida kertaluonteisesti tai lisätä tuotteeseen käsin.

Kertaluonteinen synkronointi¶

Entra ID:n käyttäjäryhmien kertaluonteinen synkronointi on mahdollista Azuren device login -toiminnolla.
Tämä toiminto synkronoi kaikki Entra ID:ssä olevat ryhmät.

Avaa tätä synkronointia varten käytettävissä olevien toimialueiden luettelo ja napsauta synkronointipainiketta :

Avautuu ikkuna, jossa sinun on kopioitava koodi ja liitettävä se annetun linkin kautta avautuvaan Azure-tunnistautumiseen:

Tunnistautumisen jälkeen CyberElements synkronoi kaikki ryhmät, jotta ne ovat käytettävissä ratkaisussa. Synkronoitavien ryhmien määrän mukaan toimenpide voi kestää jopa 5 minuuttia (kun ryhmiä on tuhansia).

Käsin¶

Avaa käyttäjäryhmien hallinta:

Valitse Entra ID -toimialueesi ja napsauta lisäyspainiketta :

Täytä lopuksi eri kentät lisätäksesi Entra ID:ssä olevan ryhmän:

Anna käyttäjäryhmäsi näyttönimi CyberElements-ympäristössä (hallinnan helpottamiseksi on suositeltavaa käyttää samaa nimeä kuin Entra ID:ssä)
Anna ryhmäobjektin tunnus, jonka voit noutaa Azuren ryhmienhallinnasta
Lisää käyttäjäryhmälle halutessasi kuvaus