Pāriet uz saturu

Microsoft Entra ID

Šajā rakstā ir aprakstīta SAMLv2 identitātes federācijas konfigurēšana starp Microsoft Entra ID un CyberElements.

SAML identitātes sniedzēja konfigurēšana ar Microsoft Entra ID

Uzņēmuma lietojumprogrammas izveide

Piesakieties Microsoft Entra administrēšanas centrā: Microsoft Entra admin center

Izvēlnē atveriet Entra ID > Enterprise apps, pēc tam izveidojiet jaunu lietojumprogrammu, izmantojot New application:

Galerijā atlasiet Create your own application:

Piešķiriet lietojumprogrammai nosaukumu, atlasiet Integrate any other application you don't find in the gallery (Non-gallery) un izveidojiet to, izmantojot Create:

Kad uzņēmuma lietojumprogramma CyberElements ir izveidota, piešķiriet tai autorizētos lietotājus un grupas, izmantojot Users and groups > Add user/group:

Grupu piešķiršana lietojumprogrammai

Tālāk konfigurētais grupas apgalvojums nosūta tikai tās lietojumprogrammai piešķirtās grupas, kurās lietotājs ir dalībnieks. Lietotājs, kas lietojumprogrammai piešķirts individuāli, var pieteikties, taču bez jebkādas grupas: tad lietotājam netiek piedāvātas lietojumprogrammas, kas tam pieejamas ar grupas starpniecību.

Pēc tam atveriet izvēlni Single sign-on un atlasiet metodi SAML:

Lapas apakšā nokopējiet Microsoft Entra Identifier vērtību:

SAML domēna izveide CyberElements

Atstājiet cilni atvērtu un CyberElements administrēšanas konsolē atveriet identitātes sniedzējus:

Pēc tam pievienojiet jaunu:

  1. Atlasiet domēna tipu SAML domain
  2. Piešķiriet jaunajam domēnam nosaukumu
  3. Pievienojiet neobligātu aprakstu
  4. Norādiet savu lokālo domēnu; to izmantos SSO mehānisms, kad tas būs iespējots
  5. Pielāgojiet neaktīvu lietotāju sesiju derīguma termiņu (lietotāju sesijas, kurās nedarbojas neviena CyberElements lietojumprogramma)
  6. Pielāgojiet katram lietotājam atļauto vienlaicīgo sesiju skaitu
  7. Iespējojiet vai atspējojiet vecākās sesijas automātisku dzēšanu, ja lietotājs piesakās, kad jau sasniegts maksimālais vienlaicīgo sesiju skaits
  8. Atlasiet identitātes sniedzēju Azure
  9. Ievadiet iepriekš izgūto Microsoft Entra Identifier vērtību
  10. Ievadiet grupu nosaukumu mainīgo: groups
  11. Grupu nosaukumu mainīgajam atlasiet formātu Unspecified
  12. Ievadiet pieteikšanās mainīgo: name
  13. Pieteikšanās mainīgajam atlasiet formātu Basic
  14. Pievienojiet vai nepievienojiet domēnu secīgajai autentifikācijai
  15. Apstipriniet domēna izveidi

Kāpēc divi dažādi formāti

Microsoft Entra ID nosūta apgalvojumu name formātā Basic, kas tiek iestatīts tālāk tā konfigurēšanas laikā. Taču apgalvojumu groups tas nosūta bez jebkāda formāta: tā grupas apgalvojuma panelī formātu izvēlēties nevar. Formāts Unspecified atbilst tam, kas faktiski tiek saņemts; ar formātu Basic grupas netiek atpazītas.

Pēc tam vēlreiz rediģējiet domēnu, lai pārietu uz otro cilni Access service. Tur lejupielādējiet IDP konfigurācijas metadatus, izmantojot saiti Metadata to set on the IDP:

Vienotās pierakstīšanās konfigurēšana Microsoft Entra ID

Atgriezieties uzņēmuma lietojumprogrammas konfigurācijas cilnē un augšupielādējiet no CyberElements izgūto failu Metadata, izmantojot Upload metadata file:

Tiek atvērts iepriekš aizpildīts panelis Basic SAML Configuration. Mainiet Logout Url (Optional) vērtību, beigās aizstājot /SLO/Artifact ar /SLO/Redirect, un saglabājiet konfigurāciju, izmantojot Save:

Kāpēc jāmaina izrakstīšanās URL

CyberElements metadatos ir deklarētas vairākas izrakstīšanās adreses, un Microsoft Entra ID izmanto pirmo no tām. Šī adrese izmanto saistījumu HTTP-Artifact, ko Microsoft Entra ID neatbalsta izrakstīšanās vajadzībām.

Pēc tam rediģējiet atribūtus un apgalvojumus, izmantojot Attributes & Claims > Edit:

Izdzēsiet apgalvojumus emailaddress, givenname un surname, ko CyberElements neizmanto, ar komandu Delete to izvēlnē …:

Noklikšķiniet uz apgalvojuma name un panelī Manage claim rīkojieties šādi:

  1. Notīriet lauku Namespace
  2. Izvērsiet Choose name format un atlasiet formātu Basic
  3. Saglabājiet, izmantojot Save

Pēc tam pievienojiet grupas apgalvojumu:

  1. Noklikšķiniet uz Add a group claim
  2. Atlasiet nosūtāmās grupas: Groups assigned to the application (ieteicams) vai All groups
  3. Atstājiet avota atribūta vērtību Group ID: tiek nosūtīts grupas objekta ID
  4. Izvērsiet Advanced options, atzīmējiet Customize the name of the group claim, ievadiet nosaukumu groups un atstājiet lauku Namespace (optional) tukšu
  5. Saglabājiet, izmantojot Save

Pārbaudiet iegūto sarakstu: bez unikālā lietotāja identifikatora jāpaliek tikai apgalvojumiem groups un name:

Visbeidzot izgūstiet federācijas metadatu URL App Federation Metadata Url:

Atgriezieties CyberElements administrēšanas konsolē, domēna cilnē Access service ievadiet šo URL laukā IDP metadata URL un apstipriniet ar Validate:

Pēc apstiprināšanas jūsu jaunais SAML domēns ir gatavs lietošanai.

Grupu pievienošana

Jauno SAML domēnu var izmantot uzreiz, taču, tā kā SAMLv2 neparedz tiešu apmaiņu starp identitātes sniedzēju (IDP) un pakalpojumu sniedzēju (SP), kas mūsu kontekstā ir CyberElements, pakalpojumu sniedzējs nevar zināt par Entra ID esošajām lietotāju grupām.
Lai novērstu šo problēmu, lietotāju grupas var vai nu sinhronizēt pēc vajadzības, vai pievienot produktam manuāli.

Sinhronizēšana pēc vajadzības

Entra ID lietotāju grupu sinhronizēšana pēc vajadzības ir iespējama, izmantojot Azure funkciju device login.
Šī funkcija sinhronizēs visas Entra ID esošās grupas.

Lai veiktu šo sinhronizēšanu, atveriet pieejamo domēnu sarakstu un noklikšķiniet uz sinhronizēšanas pogas :

Tiks atvērts logs, kurā jums būs jānokopē kods un jāielīmē tas Azure autentifikācijā, kas pieejama, izmantojot norādīto saiti:

Pēc autentifikācijas CyberElements sinhronizēs visas grupas, lai tās varētu izmantot risinājumā. Atkarībā no sinhronizējamo grupu skaita darbība var ilgt līdz 5 minūtēm (ja sinhronizējami tūkstošiem grupu).

Manuāli

Atveriet lietotāju grupu pārvaldību:

Atlasiet savu Entra ID domēnu un noklikšķiniet uz pievienošanas pogas :

Visbeidzot aizpildiet dažādos laukus, lai pievienotu Entra ID esošu grupu:

  1. Ievadiet savas lietotāju grupas parādāmo nosaukumu CyberElements (lai vienkāršotu pārvaldību, ieteicams to nosaukt tāpat kā Entra ID)
  2. Norādiet grupas objekta ID, ko var izgūt Azure grupu pārvaldībā
  3. Pēc izvēles pievienojiet lietotāju grupai aprakstu