Microsoft Entra ID

Šiame straipsnyje pristatoma SAMLv2 tapatybės federavimo tarp Microsoft Entra ID ir CyberElements konfigūracija.

SAML tapatybės teikėjo konfigūravimas su Microsoft Entra ID

Įmonės taikomosios programos kūrimas

Prisijunkite prie Microsoft Entra administravimo centro: Microsoft Entra admin center

Meniu atidarykite Entra ID > Enterprise apps, tada sukurkite naują taikomąją programą naudodami New application:

Galerijoje pasirinkite Create your own application:

Pavadinkite taikomąją programą, pasirinkite Integrate any other application you don't find in the gallery (Non-gallery) ir sukurkite ją naudodami Create:

Sukūrę įmonės taikomąją programą CyberElements, priskirkite jai leidžiamus vartotojus ir grupes per Users and groups > Add user/group:

Priskirkite grupes taikomajai programai

Toliau sukonfigūruotas grupių teiginys siunčia tik tas taikomajai programai priskirtas grupes, kurių narys yra vartotojas. Vartotojas, priskirtas taikomajai programai individualiai, gali prisijungti, bet be jokios grupės: tada jam nesiūlomos taikomosios programos, kurios jam atvertos per grupę.

Tada eikite į meniu Single sign-on ir pasirinkite metodą SAML:

Puslapio apačioje nukopijuokite Microsoft Entra Identifier reikšmę:

SAML domeno kūrimas CyberElements

Palikite skirtuką atidarytą ir CyberElements administravimo konsolėje atidarykite tapatybės teikėjus:

Tada pridėkite naują:

1. Pasirinkite domeno tipą SAML domain
2. Pavadinkite naująjį domeną
3. Pridėkite pasirinktinį aprašą
4. Nurodykite savo vietinį domeną; jį naudos SSO mechanizmas, kai šis bus įjungtas
5. Pakoreguokite neaktyvių vartotojų seansų (vartotojų seansų, kuriuose neveikia jokia CyberElements taikomoji programa) galiojimo laiką
6. Pakoreguokite kiekvienam vartotojui leidžiamų vienu metu vykdomų seansų skaičių
7. Įjunkite arba išjunkite automatinį seniausio seanso naikinimą, jei vartotojas prisijungia jau pasiekęs didžiausią vienu metu vykdomų seansų skaičių
8. Pasirinkite tapatybės teikėją Azure
9. Įveskite anksčiau gautą Microsoft Entra Identifier reikšmę
10. Įveskite grupių pavadinimų kintamąjį: groups
11. Grupių pavadinimų kintamajam pasirinkite formatą Unspecified
12. Įveskite prisijungimo kintamąjį: name
13. Prisijungimo kintamajam pasirinkite formatą Basic
14. Pasirinkite, ar įtraukti domeną į nuoseklųjį autentifikavimą
15. Patvirtinkite domeno kūrimą

Kodėl du skirtingi formatai

Microsoft Entra ID siunčia teiginį name formatu Basic, kuris nustatomas toliau jį konfigūruojant. Tačiau teiginį groups jis siunčia be jokio formato: jo grupių teiginio skydelyje formato pasirinkti negalima. Formatas Unspecified atitinka tai, kas iš tikrųjų gaunama; naudojant formatą Basic, grupės neatpažįstamos.

Tada vėl redaguokite domeną ir pereikite į antrąjį skirtuką Access service. Ten atsisiųskite IDP konfigūracijos metaduomenis naudodami saitą Metadata to set on the IDP:

Bendrosios autentifikacijos konfigūravimas Microsoft Entra ID

Grįžkite į įmonės taikomosios programos konfigūracijos skirtuką ir nusiųskite iš CyberElements gautą failą Metadata naudodami Upload metadata file:

Atsidaro iš anksto užpildytas skydelis Basic SAML Configuration. Pakeiskite Logout Url (Optional) reikšmę, pabaigoje /SLO/Artifact pakeisdami į /SLO/Redirect, ir įrašykite konfigūraciją naudodami Save:

Kodėl reikia pakeisti atsijungimo URL

CyberElements metaduomenyse deklaruojami keli atsijungimo adresai, o Microsoft Entra ID išlaiko pirmąjį. Jis naudoja susiejimą HTTP-Artifact, kurio Microsoft Entra ID nepalaiko atsijungimui.

Tada redaguokite atributus ir teiginius per Attributes & Claims > Edit:

Panaikinkite teiginius emailaddress, givenname ir surname, kurių CyberElements nenaudoja, jų meniu … pasirinkę Delete:

Spustelėkite teiginį name ir skydelyje Manage claim:

1. Išvalykite lauką Namespace
2. Išskleiskite Choose name format ir pasirinkite formatą Basic
3. Įrašykite naudodami Save

Tada pridėkite grupių teiginį:

1. Spustelėkite Add a group claim
2. Pasirinkite siunčiamas grupes: Groups assigned to the application (rekomenduojama) arba All groups
3. Palikite šaltinio atributą Group ID: siunčiamas grupės objekto ID
4. Išskleiskite Advanced options, pažymėkite Customize the name of the group claim, įveskite pavadinimą groups ir palikite lauką Namespace (optional) tuščią
5. Įrašykite naudodami Save

Patikrinkite gautą sąrašą: be unikalaus vartotojo identifikatoriaus, turi likti tik teiginiai groups ir name:

Galiausiai gaukite federavimo metaduomenų URL – App Federation Metadata Url:

Grįžkite į CyberElements administravimo konsolę, domeno skirtuke Access service įveskite šį URL lauke IDP metadata URL ir patvirtinkite naudodami Validate:

Patvirtintas naujasis SAML domenas paruoštas naudoti.

Grupių pridėjimas

Naujasis SAML domenas iškart tinkamas naudoti, tačiau kadangi SAMLv2 nenumato tiesioginių mainų tarp tapatybės teikėjo (IDP) ir paslaugų teikėjo (SP), kuris mūsų kontekste yra CyberElements, jis negali žinoti apie Entra ID esančias vartotojų grupes.
Šiai problemai išspręsti vartotojų grupes galima arba vienkartiškai sinchronizuoti, arba įtraukti į produktą rankiniu būdu.

Vienkartinis sinchronizavimas

Vienkartinis Entra ID vartotojų grupių sinchronizavimas galimas naudojant Azure funkciją device login.
Ši funkcija sinchronizuos visas Entra ID esančias grupes.

Norėdami atlikti šį sinchronizavimą, atidarykite galimų domenų sąrašą ir spustelėkite sinchronizavimo mygtuką :

Atsidarys langas, kuriame turėsite nukopijuoti kodą ir įklijuoti jį į Azure autentifikavimą, pasiekiamą per pateiktą saitą:

Po autentifikavimo CyberElements sinchronizuos visas grupes, kad jas būtų galima naudoti sprendime. Priklausomai nuo sinchronizuojamų grupių skaičiaus, operacija gali užtrukti iki 5 minučių (kai sinchronizuojama tūkstančiai grupių).

Rankiniu būdu

Atidarykite vartotojų grupių valdymą:

Pasirinkite savo Entra ID domeną ir spustelėkite pridėjimo mygtuką :

Galiausiai užpildykite įvairius laukus, kad pridėtumėte Entra ID esančią grupę:

1. Įveskite vartotojų grupės rodomą pavadinimą CyberElements (kad būtų paprasčiau valdyti, rekomenduojama ją pavadinti taip pat kaip Entra ID)
2. Nurodykite grupės objekto ID, kurį galima gauti Azure grupių valdymo srityje
3. Jei norite, pridėkite vartotojų grupės aprašą