Microsoft Entra ID¶

Ez a cikk a Microsoft Entra ID és a CyberElements közötti SAMLv2-identitásföderáció konfigurálását mutatja be.

SAML-identitásszolgáltató konfigurálása a Microsoft Entra ID használatával¶

A vállalati alkalmazás létrehozása¶

Jelentkezzen be a Microsoft Entra felügyeleti központba: Microsoft Entra admin center

A menüben nyissa meg az Entra ID > Enterprise apps elemet, majd hozzon létre egy új alkalmazást a New application gombbal:

A katalógusban válassza a Create your own application lehetőséget:

Nevezze el az alkalmazást, válassza az Integrate any other application you don't find in the gallery (Non-gallery) lehetőséget, és hozza létre a Create gombbal:

Miután létrehozta a CyberElements vállalati alkalmazását, rendelje hozzá az engedélyezett felhasználókat és csoportokat a Users and groups > Add user/group menüpontban:

Csoportok hozzárendelése az alkalmazáshoz

Az alább konfigurált csoportjogcím csak azokat az alkalmazáshoz hozzárendelt csoportokat küldi el, amelyeknek a felhasználó tagja. Az alkalmazáshoz egyénileg hozzárendelt felhasználó bejelentkezhet, de csoport nélkül: a számára csoporton keresztül megnyitott alkalmazások ekkor nem jelennek meg számára.

Ezután lépjen a Single sign-on menübe, és válassza a SAML módszert:

Az oldal alján másolja ki a Microsoft Entra Identifier értékét:

A SAML-tartomány létrehozása a CyberElements platformon¶

Hagyja nyitva a lapot, és a CyberElements felügyeleti konzolban nyissa meg az identitásszolgáltatókat:

Ezután adjon hozzá egy újat:

Válassza a SAML domain tartománytípust
Nevezze el az új tartományt
Adjon hozzá egy nem kötelező leírást
Adja meg a helyi tartományt; ezt az SSO-mechanizmus használja, ha be van kapcsolva
Állítsa be az inaktív felhasználói munkamenetek lejárati idejét (olyan felhasználói munkamenetek, amelyekben nem fut CyberElements alkalmazás)
Állítsa be a felhasználónként megengedett egyidejű munkamenetek számát
Kapcsolja be vagy ki a legrégebbi munkamenet automatikus törlését arra az esetre, ha a felhasználó úgy jelentkezik be, hogy már elérte az egyidejű munkamenetek maximális számát
Válassza az Azure identitásszolgáltatót
Adja meg a korábban lekért Microsoft Entra Identifier értéket
Adja meg a csoportnevek változóját: groups
Válassza az Unspecified formátumot a csoportnevek változójához
Adja meg a bejelentkezési változót: name
Válassza a Basic formátumot a bejelentkezési változóhoz
Döntse el, hozzáadja-e a tartományt a soros hitelesítéshez
Erősítse meg a tartomány létrehozását

A két különböző formátum oka

A Microsoft Entra ID a name jogcímet Basic formátumban küldi el, amelyet alább, a jogcím konfigurálásakor kell beállítani. A groups jogcímet viszont formátum nélkül küldi: a csoportjogcím panelje nem teszi lehetővé formátum kiválasztását. Az Unspecified formátum felel meg annak, ami ténylegesen érkezik; Basic formátummal a rendszer nem ismeri fel a csoportokat.

Ezután szerkessze újra a tartományt, és lépjen a második, Access service lapra. Innen töltse le az IDP-hez tartozó konfigurációs metaadatokat a Metadata to set on the IDP elemre kattintva:

Egyszeri bejelentkezés konfigurálása a Microsoft Entra ID-ban¶

Térjen vissza a vállalati alkalmazás konfigurációs lapjára, és töltse fel a CyberElements platformról lekért Metadata fájlt az Upload metadata file gombbal:

Megnyílik az előre kitöltött Basic SAML Configuration panel. Módosítsa a Logout Url (Optional) értékét úgy, hogy a végén a /SLO/Artifact részt /SLO/Redirect értékre cseréli, majd mentse a konfigurációt a Save gombbal:

A kijelentkezési URL módosításának oka

A CyberElements metaadatai több kijelentkezési címet is deklarálnak, és a Microsoft Entra ID az elsőt tartja meg. Ez a HTTP-Artifact kötést használja, amelyet a Microsoft Entra ID nem támogat a kijelentkezéshez.

Ezután szerkessze az attribútumokat és jogcímeket az Attributes & Claims > Edit menüpontban:

Törölje az emailaddress, a givenname és a surname jogcímet, amelyeket a CyberElements nem használ, a … menüjükben található Delete paranccsal:

Kattintson a name jogcímre, majd a Manage claim panelen:

Ürítse ki a Namespace mezőt
Bontsa ki a Choose name format részt, és válassza a Basic formátumot
Mentse a Save gombbal

Ezután adjon hozzá egy csoportjogcímet:

Kattintson az Add a group claim elemre
Válassza ki az elküldendő csoportokat: Groups assigned to the application (ajánlott) vagy All groups
Hagyja a forrásattribútumot a Group ID értéken: ekkor a rendszer a csoportobjektum azonosítóját küldi el
Bontsa ki az Advanced options részt, jelölje be a Customize the name of the group claim lehetőséget, adja meg a groups nevet, és hagyja üresen a Namespace (optional) mezőt
Mentse a Save gombbal

Ellenőrizze az így kapott listát: az egyedi felhasználóazonosítón kívül csak a groups és a name jogcím maradhat meg:

Végül kérje le a föderációs metaadatok URL-címét, az App Federation Metadata Url értéket:

Térjen vissza a CyberElements felügyeleti konzolhoz, a tartomány Access service lapjára, adja meg ezt az URL-címet az IDP metadata URL mezőben, és erősítse meg a Validate gombbal:

A megerősítés után az új SAML-tartomány használatra kész.

Csoportok hozzáadása¶

Az új SAML-tartomány azonnal használható, de mivel a SAMLv2 nem ír elő közvetlen adatcserét az identitásszolgáltató (IDP) és a szolgáltató (SP) – esetünkben a CyberElements – között, a szolgáltató nem ismerheti az Entra ID-ban található felhasználói csoportokat.
A probléma megoldására a felhasználói csoportok eseti jelleggel szinkronizálhatók, vagy manuálisan hozzáadhatók a termékhez.

Eseti szinkronizálás¶

Az Entra ID felhasználói csoportjainak eseti szinkronizálása az Azure device login funkciójával lehetséges.
Ez a funkció az Entra ID-ban található összes csoportot szinkronizálja.

A szinkronizálás végrehajtásához nyissa meg az elérhető tartományok listáját, és kattintson a szinkronizálás gombra:

Megnyílik egy ablak, amelyben ki kell másolnia egy kódot, és be kell illesztenie a megadott címen elérhető Azure-hitelesítési oldalra:

A hitelesítés után a CyberElements az összes csoportot szinkronizálja, hogy azok használhatók legyenek a megoldásban. A szinkronizálandó csoportok számától függően a művelet akár 5 percig is eltarthat (több ezer szinkronizálandó csoport esetén).

Manuálisan¶

Nyissa meg a felhasználói csoportok kezelését:

Válassza ki az Entra ID-tartományt, és kattintson a hozzáadás gombra:

Végül töltse ki a különböző mezőket egy Entra ID-ban található csoport hozzáadásához:

Adja meg a felhasználói csoport megjelenítendő nevét a CyberElements platformon (a kezelés egyszerűsítése érdekében ajánlott ugyanazt a nevet adni, mint az Entra ID-ban)
Adja meg a csoportobjektum azonosítóját, amely az Azure csoportkezelési felületéről kérhető le
Igény szerint adjon leírást a felhasználói csoporthoz