Microsoft Entra ID¶

Tento článok predstavuje konfiguráciu federácie identít SAMLv2 medzi Microsoft Entra ID a CyberElements.

Konfigurácia poskytovateľa identity SAML pomocou Microsoft Entra ID¶

Vytvorenie podnikovej aplikácie¶

Prihláste sa do Centra spravovania Microsoft Entra: Centrum spravovania Microsoft Entra

V ponuke otvorte Entra ID > Enterprise apps a potom vytvorte novú aplikáciu pomocou New application:

V galérii vyberte Create your own application:

Pomenujte aplikáciu, vyberte Integrate any other application you don't find in the gallery (Non-gallery) a vytvorte ju pomocou Create:

Po vytvorení podnikovej aplikácie pre CyberElements jej priraďte autorizovaných používateľov a skupiny cez Users and groups > Add user/group:

Priraďte skupiny k aplikácii

Deklarácia skupiny nakonfigurovaná nižšie odosiela iba tie skupiny priradené k aplikácii, ktorých je používateľ členom. Používateľ priradený k aplikácii samostatne sa môže prihlásiť, ale bez akejkoľvek skupiny: aplikácie, ktoré sú mu sprístupnené prostredníctvom skupiny, sa mu potom neponúknu.

Potom prejdite do ponuky Single sign-on a vyberte metódu SAML:

V dolnej časti stránky skopírujte hodnotu Microsoft Entra Identifier:

Vytvorenie domény SAML v CyberElements¶

Nechajte kartu otvorenú a v konzole na správu CyberElements otvorte poskytovateľov identity:

Potom pridajte nového:

Vyberte typ domény SAML domain
Pomenujte svoju novú doménu
Pridajte voliteľný opis
Zadajte svoju lokálnu doménu; použije ju mechanizmus SSO, keď bude povolený
Upravte čas vypršania platnosti neaktívnych relácií používateľov (relácií používateľov, v ktorých nie je spustená žiadna aplikácia CyberElements)
Upravte počet súčasných relácií povolených pre každého používateľa
Povoľte alebo zakážte automatické odstránenie najstaršej relácie, ak sa používateľ prihlási v čase, keď už dosiahol maximálny počet súčasných relácií
Vyberte poskytovateľa identity Azure
Zadajte predtým získanú hodnotu Microsoft Entra Identifier
Zadajte premennú názvov skupín: groups
Pre premennú názvov skupín vyberte formát Unspecified
Zadajte premennú prihlasovacieho mena: name
Pre premennú prihlasovacieho mena vyberte formát Basic
Pridajte alebo nepridajte doménu do sériového overovania
Potvrďte vytvorenie domény

Prečo dva rôzne formáty

Microsoft Entra ID odosiela deklaráciu name vo formáte Basic, ktorý sa nastaví nižšie pri jej konfigurácii. Deklaráciu groups však odosiela bez akéhokoľvek formátu: jej panel deklarácie skupiny neumožňuje formát zvoliť. Formát Unspecified zodpovedá tomu, čo sa skutočne prijme; pri formáte Basic sa skupiny nerozpoznajú.

Potom doménu znova upravte, aby ste prešli na druhú kartu, Access service. Odtiaľ stiahnite konfiguračné metadáta pre IDP pomocou prepojenia Metadata to set on the IDP:

Konfigurácia jednotného prihlasovania v Microsoft Entra ID¶

Vráťte sa na kartu konfigurácie podnikovej aplikácie a nahrajte súbor Metadata získaný z CyberElements pomocou Upload metadata file:

Otvorí sa vopred vyplnený panel Basic SAML Configuration. Zmeňte hodnotu Logout Url (Optional) tak, že na konci nahradíte /SLO/Artifact hodnotou /SLO/Redirect, a uložte konfiguráciu pomocou Save:

Prečo zmeniť URL adresu odhlásenia

Metadáta CyberElements uvádzajú niekoľko adries odhlásenia a Microsoft Entra ID si ponechá prvú z nich. Tá používa väzbu HTTP-Artifact, ktorú Microsoft Entra ID pri odhlasovaní nepodporuje.

Potom upravte atribúty a deklarácie cez Attributes & Claims > Edit:

Odstráňte deklarácie emailaddress, givenname a surname, ktoré CyberElements nepoužíva, pomocou Delete v ich ponuke …:

Kliknite na deklaráciu name a na paneli Manage claim:

Vymažte pole Namespace
Rozbaľte Choose name format a vyberte formát Basic
Uložte pomocou Save

Potom pridajte deklaráciu skupiny:

Kliknite na Add a group claim
Vyberte skupiny na odoslanie: Groups assigned to the application (odporúča sa) alebo All groups
Zdrojový atribút ponechajte nastavený na Group ID: odošle sa ID objektu skupiny
Rozbaľte Advanced options, začiarknite Customize the name of the group claim, zadajte názov groups a pole Namespace (optional) nechajte prázdne
Uložte pomocou Save

Skontrolujte výsledný zoznam: okrem jedinečného identifikátora používateľa by mali zostať iba deklarácie groups a name:

Nakoniec získajte URL adresu metadát federácie, App Federation Metadata Url:

Vráťte sa do konzoly na správu CyberElements, na kartu Access service domény, zadajte túto URL adresu do poľa IDP metadata URL a potvrďte pomocou Validate:

Po potvrdení je vaša nová doména SAML pripravená na použitie.

Pridanie skupín¶

Nová doména SAML je priamo použiteľná, ale keďže SAMLv2 neumožňuje priamu výmenu medzi poskytovateľom identity (IDP) a poskytovateľom služieb (SP), ktorým je v našom kontexte CyberElements, CyberElements nemôže poznať skupiny používateľov existujúce v Entra ID.
Na prekonanie tohto problému možno skupiny používateľov buď synchronizovať ad hoc, alebo ich do produktu pridať manuálne.

Synchronizácia ad hoc¶

Synchronizácia ad hoc skupín používateľov Entra ID je možná pomocou funkcie Azure device login.
Táto funkcia synchronizuje všetky skupiny existujúce v Entra ID.

Ak chcete vykonať túto synchronizáciu, otvorte zoznam dostupných domén a kliknite na tlačidlo synchronizácie :

Otvorí sa okno, v ktorom budete musieť skopírovať kód a prilepiť ho do overovania Azure, ktoré je dostupné cez poskytnuté prepojenie:

Po overení CyberElements synchronizuje všetky skupiny, aby boli použiteľné v riešení. V závislosti od počtu synchronizovaných skupín môže operácia trvať až 5 minút (pri tisícoch skupín na synchronizáciu).

Manuálne¶

Otvorte správu skupín používateľov:

Vyberte svoju doménu Entra ID a kliknite na tlačidlo pridania :

Nakoniec vyplňte jednotlivé polia na pridanie skupiny existujúcej v Entra ID:

Zadajte zobrazovaný názov skupiny používateľov v CyberElements (na zjednodušenie správy sa odporúča pomenovať ju rovnako ako v Entra ID)
Zadajte ID objektu skupiny, ktoré možno získať zo správy skupín v Azure
Voliteľne pridajte popis skupiny používateľov