Microsoft Entra ID

Acest articol prezintă configurarea federalizării identităților SAMLv2 între Microsoft Entra ID și CyberElements.

Configurarea unui furnizor de identitate SAML cu Microsoft Entra ID

Crearea aplicației de întreprindere

Conectați-vă la centrul de administrare Microsoft Entra: Centrul de administrare Microsoft Entra

În meniu, deschideți Entra ID > Enterprise apps, apoi creați o nouă aplicație cu New application:

În galerie, selectați Create your own application:

Denumiți aplicația, selectați Integrate any other application you don't find in the gallery (Non-gallery) și creați-o cu Create:

Odată creată aplicația dumneavoastră de întreprindere pentru CyberElements, atribuiți-i utilizatorii și grupurile autorizate, din Users and groups > Add user/group:

Atribuiți grupuri aplicației

Claimul de grup configurat mai jos transmite numai grupurile atribuite aplicației din care face parte utilizatorul. Un utilizator atribuit individual aplicației se poate conecta, dar fără niciun grup: aplicațiile care îi sunt deschise prin intermediul unui grup nu îi sunt atunci oferite.

Accesați apoi meniul Single sign-on și selectați metoda SAML:

În partea de jos a paginii, copiați valoarea Microsoft Entra Identifier:

Crearea domeniului SAML în CyberElements

Păstrați tabul deschis și, din consola de administrare CyberElements, deschideți furnizorii de identitate:

Adăugați apoi unul nou:

1. Selectați tipul de domeniu SAML domain
2. Dați un nume noului dumneavoastră domeniu
3. Adăugați o descriere opțională
4. Indicați domeniul dumneavoastră local; acesta va fi utilizat de mecanismul de SSO atunci când este activat
5. Ajustați termenul de expirare al sesiunilor de utilizator inactive (sesiuni de utilizator în care nu rulează nicio aplicație CyberElements)
6. Ajustați numărul de sesiuni simultane permise pentru fiecare utilizator
7. Activați sau dezactivați ștergerea automată a celei mai vechi sesiuni atunci când utilizatorul se conectează după ce a atins deja numărul maxim de sesiuni simultane
8. Selectați furnizorul de identitate Azure
9. Introduceți valoarea Microsoft Entra Identifier recuperată anterior
10. Introduceți variabila numelor de grupuri: groups
11. Selectați formatul Unspecified pentru variabila numelor de grupuri
12. Introduceți variabila de login: name
13. Selectați formatul Basic pentru variabila de login
14. Adăugați sau nu domeniul la autentificarea în serie
15. Validați crearea domeniului

De ce două formate diferite

Microsoft Entra ID transmite claimul name în formatul Basic, stabilit mai jos la configurarea acestuia. În schimb, transmite claimul groups fără niciun format: panoul său de claim de grup nu permite alegerea unuia. Formatul Unspecified corespunde cu ceea ce se primește efectiv; cu formatul Basic, grupurile nu sunt recunoscute.

Modificați apoi din nou domeniul pentru a accesa al doilea tab, Access service. De acolo, descărcați metadatele de configurare destinate IDP-ului cu linkul Metadata to set on the IDP:

Configurarea single sign-on în Microsoft Entra ID

Reveniți la tabul de configurare a aplicației de întreprindere și încărcați fișierul Metadata recuperat din CyberElements cu Upload metadata file:

Se deschide panoul Basic SAML Configuration, precompletat. Modificați valoarea Logout Url (Optional) înlocuind, la sfârșit, /SLO/Artifact cu /SLO/Redirect, și salvați configurarea cu Save:

De ce se modifică URL-ul de deconectare

Metadatele CyberElements declară mai multe adrese de deconectare, iar Microsoft Entra ID o reține pe prima. Aceasta utilizează legătura HTTP-Artifact, pe care Microsoft Entra ID nu o acceptă pentru deconectare.

Modificați apoi atributele și claimurile, din Attributes & Claims > Edit:

Ștergeți claimurile emailaddress, givenname și surname, pe care CyberElements nu le utilizează, cu Delete din meniul lor …:

Faceți clic pe claimul name și, în panoul Manage claim:

1. Goliți câmpul Namespace
2. Extindeți Choose name format și selectați formatul Basic
3. Salvați cu Save

Adăugați apoi un claim de grup:

1. Faceți clic pe Add a group claim
2. Selectați grupurile de transmis: Groups assigned to the application (recomandat) sau All groups
3. Lăsați atributul sursă setat la Group ID: se transmite ID-ul obiectului grup
4. Extindeți Advanced options, bifați Customize the name of the group claim, introduceți numele groups și lăsați gol câmpul Namespace (optional)
5. Salvați cu Save

Verificați lista obținută: în afară de identificatorul unic al utilizatorului, trebuie să rămână numai claimurile groups și name:

În final, recuperați URL-ul metadatelor de federalizare, App Federation Metadata Url:

Reveniți la consola de administrare CyberElements, tabul Access service al domeniului, introduceți acest URL în IDP metadata URL și validați cu Validate:

Odată validat, noul dumneavoastră domeniu SAML este gata de utilizare.

Adăugarea grupurilor

Noul domeniu SAML este direct utilizabil, dar, deoarece SAMLv2 nu prevede schimburi directe între furnizorul de identitate (IDP) și furnizorul de servicii (SP) — care în contextul nostru este CyberElements —, acesta nu poate cunoaște grupurile de utilizatori prezente în Entra ID.
Pentru a rezolva această problemă, grupurile de utilizatori pot fi sincronizate punctual sau adăugate manual în produs.

Sincronizare punctuală

Sincronizarea punctuală a grupurilor de utilizatori din Entra ID este posibilă cu ajutorul funcționalității device login din Azure.
Această funcționalitate va sincroniza toate grupurile prezente în Entra ID.

Pentru a efectua această sincronizare, deschideți lista domeniilor disponibile și faceți clic pe butonul de sincronizare :

Se va deschide o fereastră în care va trebui să copiați un cod și să îl lipiți în autentificarea Azure accesibilă prin linkul indicat:

După autentificare, CyberElements va sincroniza toate grupurile pentru a le face utilizabile în soluție. În funcție de numărul de grupuri de sincronizat, operațiunea poate dura până la 5 minute (în cazul a mii de grupuri).

Manual

Deschideți gestionarea grupurilor de utilizatori:

Selectați domeniul dumneavoastră Entra ID și faceți clic pe butonul de adăugare :

În final, completați diferitele câmpuri pentru a adăuga un grup prezent în Entra ID:

1. Introduceți numele de afișare al grupului dumneavoastră de utilizatori în CyberElements (pentru a simplifica gestionarea, se recomandă să îi dați același nume ca în Entra ID)
2. Indicați ID-ul obiectului de grup, care poate fi recuperat din gestionarea grupurilor Azure
3. Dacă doriți, adăugați o descriere grupului de utilizatori