Microsoft Entra ID¶

Dit artikel beschrijft de configuratie van de SAMLv2-identiteitsfederatie tussen Microsoft Entra ID en CyberElements.

Een SAML-identiteitsprovider configureren met Microsoft Entra ID¶

De bedrijfsapplicatie aanmaken¶

Meld u aan bij het Microsoft Entra-beheercentrum: Microsoft Entra-beheercentrum

Open in het menu Entra ID > Enterprise apps en maak vervolgens een nieuwe applicatie aan met New application:

Selecteer in de galerie Create your own application:

Geef de applicatie een naam, selecteer Integrate any other application you don't find in the gallery (Non-gallery) en maak deze aan met Create:

Zodra uw bedrijfsapplicatie voor CyberElements is aangemaakt, wijst u er via Users and groups > Add user/group de toegestane gebruikers en groepen aan toe:

Wijs groepen toe aan de applicatie

De hieronder geconfigureerde groepsclaim verzendt alleen de groepen die aan de applicatie zijn toegewezen en waarvan de gebruiker lid is. Een gebruiker die individueel aan de applicatie is toegewezen, kan zich aanmelden, maar zonder enige groep: de applicaties die via een groep voor deze gebruiker zijn opengesteld, worden dan niet aangeboden.

Ga vervolgens naar het menu Single sign-on en selecteer de methode SAML:

Kopieer onderaan de pagina de waarde van Microsoft Entra Identifier:

Het SAML-domein aanmaken in CyberElements¶

Laat het tabblad open en open in de CyberElements-beheerconsole de identiteitsproviders:

Voeg daarna een nieuwe toe:

Selecteer het domeintype SAML domain
Geef uw nieuwe domein een naam
Voeg een optionele beschrijving toe
Geef uw lokale domein op; dit wordt gebruikt door het SSO-mechanisme wanneer dit is ingeschakeld
Pas de vervaltijd aan voor inactieve gebruikerssessies (gebruikerssessies waarin geen enkele CyberElements-applicatie wordt uitgevoerd)
Pas het aantal gelijktijdige sessies aan dat per gebruiker is toegestaan
Schakel het automatisch verwijderen van de oudste sessie in of uit wanneer de gebruiker zich aanmeldt terwijl het maximale aantal gelijktijdige sessies al is bereikt
Selecteer de identiteitsprovider Azure
Voer de eerder opgehaalde waarde van Microsoft Entra Identifier in
Voer de variabele van de groepsnamen in: groups
Selecteer voor de variabele van de groepsnamen de indeling Unspecified
Voer de aanmeldvariabele in: name
Selecteer voor de aanmeldvariabele de indeling Basic
Neem het domein al dan niet op in de seriële authenticatie
Bevestig het aanmaken van het domein

Waarom twee verschillende indelingen

Microsoft Entra ID verzendt de claim name in de indeling Basic, die hieronder bij de configuratie ervan wordt ingesteld. De claim groups verzendt het echter zonder indeling: het paneel voor de groepsclaim biedt geen mogelijkheid om er een te kiezen. De indeling Unspecified komt overeen met wat daadwerkelijk wordt ontvangen; met de indeling Basic worden de groepen niet herkend.

Bewerk het domein daarna opnieuw om naar het tweede tabblad, Access service, te gaan. Download daar de configuratiemetadata voor de IDP via de link Metadata to set on the IDP:

Single sign-on configureren in Microsoft Entra ID¶

Ga terug naar het configuratietabblad van de bedrijfsapplicatie en upload het bestand Metadata dat u uit CyberElements hebt opgehaald, met Upload metadata file:

Het paneel Basic SAML Configuration wordt vooraf ingevuld geopend. Wijzig de waarde van Logout Url (Optional) door aan het einde /SLO/Artifact te vervangen door /SLO/Redirect, en sla de configuratie op met Save:

Waarom de afmeld-URL wijzigen

De metadata van CyberElements vermelden meerdere afmeldadressen, en Microsoft Entra ID behoudt het eerste. Dat adres gebruikt de binding HTTP-Artifact, die Microsoft Entra ID niet ondersteunt voor het afmelden.

Bewerk vervolgens de attributen en claims, via Attributes & Claims > Edit:

Verwijder de claims emailaddress, givenname en surname, die CyberElements niet gebruikt, met Delete in hun menu …:

Klik op de claim name en voer in het paneel Manage claim de volgende stappen uit:

Maak het veld Namespace leeg
Vouw Choose name format uit en selecteer de indeling Basic
Sla op met Save

Voeg vervolgens een groepsclaim toe:

Klik op Add a group claim
Selecteer de te verzenden groepen: Groups assigned to the application (aanbevolen) of All groups
Laat het bronattribuut op Group ID staan: de ID van het groepsobject wordt verzonden
Vouw Advanced options uit, vink Customize the name of the group claim aan, voer de naam groups in en laat het veld Namespace (optional) leeg
Sla op met Save

Controleer de resulterende lijst: naast de unieke gebruikersidentificatie mogen alleen de claims groups en name overblijven:

Haal ten slotte de URL van de federatiemetadata op, App Federation Metadata Url:

Ga terug naar de CyberElements-beheerconsole, tabblad Access service van het domein, voer deze URL in bij IDP metadata URL en bevestig met Validate:

Na bevestiging is uw nieuwe SAML-domein klaar voor gebruik.

Groepen toevoegen¶

Het nieuwe SAML-domein is direct bruikbaar, maar omdat SAMLv2 geen rechtstreekse uitwisseling tussen de Identity Provider (IDP) en de Service Provider (SP) voorziet — in onze context CyberElements — kan deze de gebruikersgroepen op Entra ID niet kennen.
Om dit probleem te omzeilen kunnen de gebruikersgroepen ofwel eenmalig worden gesynchroniseerd, ofwel handmatig aan het product worden toegevoegd.

Eenmalige synchronisatie¶

De eenmalige synchronisatie van de Entra ID-gebruikersgroepen is mogelijk via de Azure-functie device login.
Deze functie synchroniseert alle groepen die in Entra ID aanwezig zijn.

Open voor deze synchronisatie de lijst van beschikbare domeinen en klik op de synchronisatieknop :

Er opent een venster waarin u een code moet kopiëren en plakken in de Azure-authenticatie die via de opgegeven link toegankelijk is:

Na de authenticatie synchroniseert CyberElements alle groepen om ze bruikbaar te maken in de oplossing. Afhankelijk van het aantal te synchroniseren groepen kan de bewerking tot 5 minuten duren (bij duizenden groepen).

Handmatig¶

Open het beheer van de gebruikersgroepen:

Selecteer uw Entra ID-domein en klik op de toevoegknop :

Vul ten slotte de verschillende velden in om een groep toe te voegen die in Entra ID aanwezig is:

Voer de weergavenaam van uw gebruikersgroep in CyberElements in (om het beheer te vereenvoudigen is het raadzaam dezelfde naam te gebruiken als in Entra ID)
Geef de ID van het groepsobject op, die u in het groepsbeheer van Azure kunt ophalen
Voeg desgewenst een beschrijving toe aan de gebruikersgroep