Gå til innhold

Microsoft Entra ID

Denne artikkelen presenterer konfigurasjonen av SAMLv2-identitetsføderasjon mellom Microsoft Entra ID og CyberElements.

Konfigurasjon av en SAML-identitetsleverandør med Microsoft Entra ID

Opprette bedriftsapplikasjonen

Logg på Microsoft Entra-administrasjonssenteret: Microsoft Entra-administrasjonssenter

Åpne Entra ID > Enterprise apps i menyen, og opprett deretter en ny applikasjon med New application:

Velg Create your own application i galleriet:

Gi applikasjonen et navn, velg Integrate any other application you don't find in the gallery (Non-gallery) og opprett den med Create:

Når bedriftsapplikasjonen din er opprettet for CyberElements, tilordner du de autoriserte brukerne og gruppene til den fra Users and groups > Add user/group:

Tilordne grupper til applikasjonen

Gruppe-claimen som konfigureres nedenfor, sender bare de gruppene tilordnet applikasjonen som brukeren er medlem av. En bruker som er tilordnet applikasjonen enkeltvis, kan logge på, men uten noen gruppe: applikasjonene som er åpnet for brukeren gjennom en gruppe, blir da ikke tilbudt.

Gå deretter til menyen Single sign-on og velg metoden SAML:

Nederst på siden kopierer du verdien av Microsoft Entra Identifier:

Opprette SAML-domenet i CyberElements

La fanen stå åpen, og åpne identitetsleverandørene fra CyberElements-administrasjonskonsollet:

Legg deretter til en ny:

  1. Velg domenetypen SAML domain
  2. Gi det nye domenet ditt et navn
  3. Legg til en valgfri beskrivelse
  4. Angi det lokale domenet ditt; det brukes av SSO-mekanismen når den er aktivert
  5. Juster utløpstiden for inaktive brukerøkter (brukerøkter der ingen CyberElements-applikasjon kjører)
  6. Juster antallet samtidige økter som er tillatt for hver bruker
  7. Aktiver eller deaktiver automatisk sletting av den eldste økten hvis brukeren logger på etter allerede å ha nådd det maksimale antallet samtidige økter
  8. Velg identitetsleverandøren Azure
  9. Skriv inn verdien til Microsoft Entra Identifier som ble hentet tidligere
  10. Skriv inn variabelen for gruppenavn: groups
  11. Velg formatet Unspecified for variabelen for gruppenavn
  12. Skriv inn påloggingsvariabelen: name
  13. Velg formatet Basic for påloggingsvariabelen
  14. Velg om domenet skal legges til i den kaskaderte autentiseringen
  15. Bekreft opprettelsen av domenet

Hvorfor to forskjellige formater

Microsoft Entra ID sender claimen name i formatet Basic, som fastsettes nedenfor under konfigurasjonen av den. Derimot sender Microsoft Entra ID claimen groups uten noe format: panelet for gruppe-claimen lar deg ikke velge et. Formatet Unspecified tilsvarer det som faktisk mottas; med formatet Basic blir gruppene ikke gjenkjent.

Rediger deretter domenet på nytt for å gå til den andre fanen, Access service. Derfra laster du ned konfigurasjonsmetadataene for IDP-en med lenken Metadata to set on the IDP:

Konfigurere single sign-on i Microsoft Entra ID

Gå tilbake til konfigurasjonsfanen for bedriftsapplikasjonen, og last opp filen Metadata som ble hentet fra CyberElements, med Upload metadata file:

Panelet Basic SAML Configuration åpnes, forhåndsutfylt. Endre verdien til Logout Url (Optional) ved å erstatte /SLO/Artifact med /SLO/Redirect på slutten, og lagre konfigurasjonen med Save:

Hvorfor endre avloggings-URL-en

CyberElements-metadataene angir flere avloggingsadresser, og Microsoft Entra ID beholder den første. Den bruker bindingen HTTP-Artifact, som Microsoft Entra ID ikke støtter for avlogging.

Rediger deretter attributtene og claimene fra Attributes & Claims > Edit:

Slett claimene emailaddress, givenname og surname, som CyberElements ikke bruker, med Delete i menyen … til hver av dem:

Klikk på claimen name, og i panelet Manage claim:

  1. Tøm feltet Namespace
  2. Utvid Choose name format og velg formatet Basic
  3. Lagre med Save

Legg deretter til en gruppe-claim:

  1. Klikk på Add a group claim
  2. Velg gruppene som skal sendes: Groups assigned to the application (anbefalt) eller All groups
  3. La kildeattributtet stå på Group ID: det er ID-en til gruppeobjektet som sendes
  4. Utvid Advanced options, merk av for Customize the name of the group claim, skriv inn navnet groups og la feltet Namespace (optional) stå tomt
  5. Lagre med Save

Kontroller den resulterende listen: bortsett fra den unike brukeridentifikatoren skal bare claimene groups og name gjenstå:

Hent til slutt URL-en til føderasjonsmetadataene, App Federation Metadata Url:

Gå tilbake til CyberElements-administrasjonskonsollet, fanen Access service for domenet, skriv inn denne URL-en i IDP metadata URL og bekreft med Validate:

Når det er bekreftet, er det nye SAML-domenet ditt klart til bruk.

Legge til grupper

Det nye SAML-domenet kan brukes direkte, men siden SAMLv2 ikke gir mulighet for direkte utveksling mellom Identity Provider (IDP) og Service Provider (SP), som i vår sammenheng er CyberElements, kan denne ikke kjenne brukergruppene som finnes i Entra ID.
For å komme rundt dette problemet kan brukergruppene enten synkroniseres ved behov eller legges til manuelt i produktet.

Synkronisering ved behov

Synkronisering ved behov av Entra ID-brukergruppene er mulig ved hjelp av Azure-funksjonen device login.
Denne funksjonen synkroniserer alle gruppene som finnes i Entra ID.

For å utføre denne synkroniseringen åpner du listen over tilgjengelige domener og klikker på synkroniseringsknappen :

Det åpnes et vindu der du må kopiere en kode og lime den inn i Azure-autentiseringen som er tilgjengelig via lenken som oppgis:

Etter autentiseringen synkroniserer CyberElements alle gruppene slik at de kan brukes i løsningen. Avhengig av antallet grupper som skal synkroniseres, kan operasjonen ta opptil 5 minutter (ved flere tusen grupper).

Manuelt

Åpne administrasjonen av brukergrupper:

Velg Entra ID-domenet ditt og klikk på knappen for å legge til :

Fyll til slutt ut de ulike feltene for å legge til en gruppe som finnes i Entra ID:

  1. Skriv inn visningsnavnet til brukergruppen din i CyberElements (for å forenkle administrasjonen anbefales det å gi den samme navn som i Entra ID)
  2. Angi ID-en til gruppeobjektet, som kan hentes fra gruppeadministrasjonen i Azure
  3. Legg eventuelt til en beskrivelse for brukergruppen