Microsoft Entra ID

Ten artykuł przedstawia konfigurację federacji tożsamości SAMLv2 między Microsoft Entra ID a CyberElements.

Konfiguracja dostawcy tożsamości SAML z Microsoft Entra ID

Tworzenie aplikacji firmowej

Zaloguj się do centrum administracyjnego Microsoft Entra: Centrum administracyjne Microsoft Entra

W menu otwórz Entra ID > Enterprise apps, a następnie utwórz nową aplikację za pomocą New application:

W galerii wybierz Create your own application:

Nadaj nazwę aplikacji, wybierz Integrate any other application you don't find in the gallery (Non-gallery) i utwórz ją za pomocą Create:

Gdy aplikacja firmowa dla CyberElements zostanie utworzona, przypisz do niej autoryzowanych użytkowników i grupy z poziomu Users and groups > Add user/group:

Przypisz grupy do aplikacji

Skonfigurowane poniżej oświadczenie grupy przekazuje tylko te grupy przypisane do aplikacji, których członkiem jest użytkownik. Użytkownik przypisany do aplikacji indywidualnie może się zalogować, ale bez żadnej grupy: aplikacje udostępnione mu za pośrednictwem grupy nie są mu wtedy oferowane.

Następnie przejdź do menu Single sign-on i wybierz metodę SAML:

Na dole strony skopiuj wartość Microsoft Entra Identifier:

Tworzenie domeny SAML w CyberElements

Pozostaw kartę otwartą i w konsoli administracyjnej CyberElements otwórz dostawców tożsamości:

Następnie dodaj nowego:

1. Wybierz typ domeny SAML domain
2. Nadaj nazwę swojej nowej domenie
3. Dodaj opcjonalny opis
4. Podaj swoją domenę lokalną; będzie ona używana przez mechanizm SSO, gdy zostanie włączony
5. Dostosuj czas wygaśnięcia nieaktywnych sesji użytkowników (sesji użytkowników, w których nie działa żadna aplikacja CyberElements)
6. Dostosuj liczbę jednoczesnych sesji dozwoloną dla każdego użytkownika
7. Włącz lub wyłącz automatyczne usuwanie najstarszej sesji, gdy użytkownik loguje się, mimo że osiągnął już maksymalną liczbę jednoczesnych sesji
8. Wybierz dostawcę tożsamości Azure
9. Wprowadź pobraną wcześniej wartość Microsoft Entra Identifier
10. Wprowadź zmienną nazw grup: groups
11. Wybierz format Unspecified dla zmiennej nazw grup
12. Wprowadź zmienną logowania: name
13. Wybierz format Basic dla zmiennej logowania
14. Włącz domenę do uwierzytelniania kaskadowego lub nie
15. Zatwierdź utworzenie domeny

Dlaczego dwa różne formaty

Microsoft Entra ID przesyła oświadczenie name w formacie Basic, ustawianym poniżej podczas jego konfiguracji. Natomiast oświadczenie groups przesyła bez żadnego formatu: panel oświadczenia grupy nie pozwala go wybrać. Format Unspecified odpowiada temu, co jest faktycznie odbierane; przy formacie Basic grupy nie są rozpoznawane.

Następnie ponownie edytuj domenę, aby przejść do drugiej karty, Access service. Stamtąd pobierz metadane konfiguracji dla IDP za pomocą łącza Metadata to set on the IDP:

Konfiguracja pojedynczego logowania w Microsoft Entra ID

Wróć do karty konfiguracji aplikacji firmowej i wgraj plik Metadata pobrany z CyberElements za pomocą Upload metadata file:

Otworzy się wstępnie wypełniony panel Basic SAML Configuration. Zmień wartość Logout Url (Optional), zastępując na końcu /SLO/Artifact przez /SLO/Redirect, i zapisz konfigurację za pomocą Save:

Dlaczego zmieniać adres URL wylogowania

Metadane CyberElements deklarują kilka adresów wylogowania, a Microsoft Entra ID zachowuje pierwszy z nich. Używa on powiązania HTTP-Artifact, którego Microsoft Entra ID nie obsługuje przy wylogowaniu.

Następnie edytuj atrybuty i oświadczenia z poziomu Attributes & Claims > Edit:

Usuń oświadczenia emailaddress, givenname i surname, których CyberElements nie używa, za pomocą Delete w ich menu …:

Kliknij oświadczenie name i w panelu Manage claim:

1. Wyczyść pole Namespace
2. Rozwiń Choose name format i wybierz format Basic
3. Zapisz za pomocą Save

Następnie dodaj oświadczenie grupy:

1. Kliknij Add a group claim
2. Wybierz grupy do przesłania: Groups assigned to the application (zalecane) lub All groups
3. Pozostaw atrybut źródłowy ustawiony na Group ID: przesyłany jest identyfikator obiektu grupy
4. Rozwiń Advanced options, zaznacz Customize the name of the group claim, wprowadź nazwę groups i pozostaw pole Namespace (optional) puste
5. Zapisz za pomocą Save

Sprawdź otrzymaną listę: poza unikalnym identyfikatorem użytkownika powinny pozostać tylko oświadczenia groups i name:

Na koniec pobierz adres URL metadanych federacji, App Federation Metadata Url:

Wróć do konsoli administracyjnej CyberElements, na kartę Access service domeny, wprowadź ten adres URL w polu IDP metadata URL i zatwierdź za pomocą Validate:

Po zatwierdzeniu Twoja nowa domena SAML jest gotowa do użycia.

Dodawanie grup

Nowa domena SAML jest od razu użyteczna, ale ponieważ SAMLv2 nie przewiduje bezpośredniej wymiany między Identity Provider (IDP) a Service Provider (SP), którym w naszym kontekście jest CyberElements, ten drugi nie może poznać grup użytkowników istniejących w Entra ID.
Aby obejść ten problem, grupy użytkowników można albo synchronizować doraźnie, albo dodać ręcznie w produkcie.

Synchronizacja doraźna

Doraźna synchronizacja grup użytkowników Entra ID jest możliwa dzięki funkcji Azure device login.
Ta funkcja synchronizuje wszystkie grupy istniejące w Entra ID.

Aby wykonać tę synchronizację, otwórz listę dostępnych domen i kliknij przycisk synchronizacji :

Otworzy się okno, w którym trzeba skopiować kod i wkleić go w uwierzytelnianiu Azure dostępnym pod podanym odnośnikiem:

Po uwierzytelnieniu CyberElements zsynchronizuje wszystkie grupy, aby były użyteczne w rozwiązaniu. Zależnie od liczby grup do synchronizacji operacja może potrwać do 5 minut (przy tysiącach grup).

Ręcznie

Otwórz zarządzanie grupami użytkowników:

Wybierz swoją domenę Entra ID i kliknij przycisk dodawania :

Na koniec wypełnij poszczególne pola, aby dodać grupę istniejącą w Entra ID:

1. Wprowadź nazwę wyświetlaną swojej grupy użytkowników w CyberElements (dla uproszczenia zarządzania zaleca się nadanie jej takiej samej nazwy jak w Entra ID)
2. Podaj identyfikator obiektu grupy, który można pobrać z zarządzania grupami w Azure
3. Opcjonalnie dodaj opis grupy użytkowników