Vai al contenuto

Microsoft Entra ID

Questo articolo presenta la configurazione della federazione delle identità SAMLv2 tra Microsoft Entra ID e CyberElements.

Configurazione di un provider di identità SAML con Microsoft Entra ID

Creazione dell'applicazione aziendale

Accedere all'interfaccia di amministrazione di Microsoft Entra: Interfaccia di amministrazione di Microsoft Entra

Nel menu, aprire Entra ID > Enterprise apps, quindi creare una nuova applicazione con New application:

Nella galleria, selezionare Create your own application:

Assegnare un nome all'applicazione, selezionare Integrate any other application you don't find in the gallery (Non-gallery) e crearla con Create:

Una volta creata l'applicazione aziendale per CyberElements, assegnarle gli utenti e i gruppi autorizzati, da Users and groups > Add user/group:

Assegnare i gruppi all'applicazione

L'attestazione di gruppo configurata più avanti trasmette solo i gruppi assegnati all'applicazione di cui l'utente è membro. Un utente assegnato all'applicazione singolarmente può connettersi, ma senza alcun gruppo: le applicazioni a cui ha accesso tramite un gruppo non gli vengono quindi proposte.

Accedere quindi al menu Single sign-on e selezionare il metodo SAML:

In fondo alla pagina, copiare il valore di Microsoft Entra Identifier:

Creazione del dominio SAML in CyberElements

Mantenere la scheda aperta e, dalla console di amministrazione CyberElements, aprire i provider di identità:

Aggiungerne quindi uno nuovo:

  1. Selezionare il tipo di dominio SAML domain
  2. Assegnare un nome al nuovo dominio
  3. Aggiungere una descrizione facoltativa
  4. Indicare il proprio dominio locale; verrà utilizzato dal meccanismo di SSO quando è abilitato
  5. Regolare il tempo di scadenza delle sessioni utente inattive (sessioni utente in cui non è in esecuzione alcuna applicazione CyberElements)
  6. Regolare il numero di sessioni simultanee consentite per ciascun utente
  7. Abilitare o disabilitare l'eliminazione automatica della sessione più vecchia se l'utente si connette quando ha già raggiunto il numero massimo di sessioni simultanee
  8. Selezionare il provider di identità Azure
  9. Immettere il valore di Microsoft Entra Identifier recuperato in precedenza
  10. Immettere la variabile dei nomi dei gruppi: groups
  11. Selezionare il formato Unspecified per la variabile dei nomi dei gruppi
  12. Immettere la variabile di login: name
  13. Selezionare il formato Basic per la variabile di login
  14. Aggiungere o meno il dominio all'autenticazione in serie
  15. Convalidare la creazione del dominio

Perché due formati diversi

Microsoft Entra ID trasmette l'attestazione name nel formato Basic, impostato più avanti durante la sua configurazione. Trasmette invece l'attestazione groups senza alcun formato: il suo pannello dell'attestazione di gruppo non consente di sceglierne uno. Il formato Unspecified corrisponde a ciò che viene effettivamente ricevuto; con il formato Basic, i gruppi non vengono riconosciuti.

Modificare quindi di nuovo il dominio per passare alla seconda scheda, Access service. Da qui, scaricare i metadati di configurazione destinati all'IDP con il collegamento Metadata to set on the IDP:

Configurazione dell'autenticazione unica in Microsoft Entra ID

Tornare alla scheda di configurazione dell'applicazione aziendale e caricare il file Metadata recuperato da CyberElements con Upload metadata file:

Si apre il pannello Basic SAML Configuration, precompilato. Modificare il valore di Logout Url (Optional) sostituendo, alla fine, /SLO/Artifact con /SLO/Redirect, e salvare la configurazione con Save:

Perché modificare l'URL di disconnessione

I metadati di CyberElements dichiarano più indirizzi di disconnessione, e Microsoft Entra ID conserva il primo. Questo utilizza il binding HTTP-Artifact, che Microsoft Entra ID non supporta per la disconnessione.

Modificare quindi gli attributi e le attestazioni, da Attributes & Claims > Edit:

Eliminare le attestazioni emailaddress, givenname e surname, che CyberElements non utilizza, con Delete nel relativo menu …:

Fare clic sull'attestazione name e, nel pannello Manage claim:

  1. Svuotare il campo Namespace
  2. Espandere Choose name format e selezionare il formato Basic
  3. Salvare con Save

Aggiungere quindi un'attestazione di gruppo:

  1. Fare clic su Add a group claim
  2. Selezionare i gruppi da trasmettere: Groups assigned to the application (consigliato) oppure All groups
  3. Lasciare l'attributo di origine impostato su Group ID: viene trasmesso l'ID dell'oggetto gruppo
  4. Espandere Advanced options, selezionare Customize the name of the group claim, immettere il nome groups e lasciare vuoto il campo Namespace (optional)
  5. Salvare con Save

Verificare l'elenco ottenuto: oltre all'identificativo univoco dell'utente, devono rimanere solo le attestazioni groups e name:

Infine, recuperare l'URL dei metadati di federazione, App Federation Metadata Url:

Tornare alla console di amministrazione CyberElements, scheda Access service del dominio, immettere questo URL in IDP metadata URL e convalidare con Validate:

Una volta convalidato, il nuovo dominio SAML è pronto all'uso.

Aggiunta di gruppi

Il nuovo dominio SAML è utilizzabile direttamente, ma poiché SAMLv2 non prevede scambi diretti tra l'Identity Provider (IDP) e il Service Provider (SP) — che nel nostro contesto è CyberElements — quest'ultimo non può conoscere i gruppi di utenti presenti in Entra ID.
Per risolvere questo problema, i gruppi di utenti possono essere sincronizzati puntualmente oppure aggiunti manualmente al prodotto.

Sincronizzazione puntuale

La sincronizzazione puntuale dei gruppi di utenti di Entra ID è possibile tramite la funzionalità device login di Azure.
Questa funzionalità sincronizzerà tutti i gruppi presenti in Entra ID.

Per eseguire questa sincronizzazione, aprire l'elenco dei domini disponibili e fare clic sul pulsante di sincronizzazione :

Si apre una finestra in cui è necessario copiare un codice e incollarlo nell'autenticazione Azure accessibile tramite il collegamento indicato:

Dopo l'autenticazione, CyberElements sincronizzerà tutti i gruppi per renderli utilizzabili nella soluzione. In funzione del numero di gruppi da sincronizzare, l'operazione può richiedere fino a 5 minuti (nel caso di migliaia di gruppi da sincronizzare).

Manualmente

Aprire la gestione dei gruppi di utenti:

Selezionare il proprio dominio Entra ID e fare clic sul pulsante di aggiunta :

Infine, compilare i diversi campi per aggiungere un gruppo presente in Entra ID:

  1. Immettere il nome visualizzato del proprio gruppo di utenti in CyberElements (per semplificare la gestione, si consiglia di assegnargli lo stesso nome che ha in Entra ID)
  2. Indicare l'ID dell'oggetto gruppo, che può essere recuperato dalla gestione dei gruppi di Azure
  3. Se lo si desidera, aggiungere una descrizione al gruppo di utenti