Skoči na vsebino

Microsoft Entra ID

Ta članek predstavlja konfiguracijo federacije identitet SAMLv2 med Microsoft Entra ID in CyberElements.

Konfiguracija ponudnika identitete SAML z Microsoft Entra ID

Ustvarjanje aplikacije za podjetja

Prijavite se v skrbniško središče Microsoft Entra: Skrbniško središče Microsoft Entra

V meniju odprite Entra ID > Enterprise apps, nato z New application ustvarite novo aplikacijo:

V galeriji izberite Create your own application:

Poimenujte aplikacijo, izberite Integrate any other application you don't find in the gallery (Non-gallery) in jo ustvarite z Create:

Ko je aplikacija za podjetja za CyberElements ustvarjena, ji v Users and groups > Add user/group dodelite avtorizirane uporabnike in skupine:

Dodelite skupine aplikaciji

Spodaj konfigurirani zahtevek skupine pošilja samo tiste skupine, dodeljene aplikaciji, katerih član je uporabnik. Uporabnik, ki je aplikaciji dodeljen posamično, se lahko prijavi, vendar brez kakršne koli skupine: aplikacije, ki so mu odprte prek skupine, mu takrat niso ponujene.

Nato odprite meni Single sign-on in izberite metodo SAML:

Na dnu strani kopirajte vrednost Microsoft Entra Identifier:

Ustvarjanje domene SAML v CyberElements

Zavihek pustite odprt in v skrbniški konzoli CyberElements odprite ponudnike identitete:

Nato dodajte novega:

  1. Izberite vrsto domene SAML domain
  2. Poimenujte novo domeno
  3. Dodajte neobvezen opis
  4. Navedite svojo lokalno domeno; uporabljal jo bo mehanizem SSO, ko bo omogočen
  5. Prilagodite čas poteka neaktivnih uporabniških sej (uporabniških sej, v katerih se ne izvaja nobena aplikacija CyberElements)
  6. Prilagodite dovoljeno število sočasnih sej za vsakega uporabnika
  7. Omogočite ali onemogočite samodejno brisanje najstarejše seje, če se uporabnik prijavi, ko je že dosegel največje število sočasnih sej
  8. Izberite ponudnika identitete Azure
  9. Vnesite prej pridobljeno vrednost Microsoft Entra Identifier
  10. Vnesite spremenljivko imen skupin: groups
  11. Za spremenljivko imen skupin izberite format Unspecified
  12. Vnesite spremenljivko prijave: name
  13. Za spremenljivko prijave izberite format Basic
  14. Izberite, ali naj se domena doda v zaporedno preverjanje pristnosti
  15. Potrdite ustvarjanje domene

Zakaj dva različna formata

Microsoft Entra ID pošilja zahtevek name v formatu Basic, ki ga nastavite spodaj med njegovo konfiguracijo. Zahtevek groups pa pošilja brez kakršnega koli formata: njegovo podokno za zahtevek skupine ne omogoča izbire formata. Format Unspecified ustreza temu, kar je dejansko prejeto; s formatom Basic skupine niso prepoznane.

Nato domeno znova uredite in odprite drugi zavihek, Access service. Tam s povezavo Metadata to set on the IDP prenesite konfiguracijske metapodatke za IDP:

Konfiguracija enotne prijave v Microsoft Entra ID

Vrnite se na zavihek s konfiguracijo aplikacije za podjetja in z Upload metadata file naložite datoteko Metadata, pridobljeno iz CyberElements:

Odpre se vnaprej izpolnjeno podokno Basic SAML Configuration. Spremenite vrednost Logout Url (Optional) tako, da na koncu /SLO/Artifact zamenjate z /SLO/Redirect, in konfiguracijo shranite z Save:

Zakaj spremeniti URL za odjavo

Metapodatki CyberElements navajajo več naslovov za odjavo, Microsoft Entra ID pa ohrani prvega. Ta uporablja vezavo HTTP-Artifact, ki je Microsoft Entra ID pri odjavi ne podpira.

Nato v Attributes & Claims > Edit uredite atribute in zahtevke:

Zahtevke emailaddress, givenname in surname, ki jih CyberElements ne uporablja, izbrišite z Delete v njihovem meniju …:

Kliknite zahtevek name in v podoknu Manage claim:

  1. Počistite polje Namespace
  2. Razširite Choose name format in izberite format Basic
  3. Shranite z Save

Nato dodajte zahtevek skupine:

  1. Kliknite Add a group claim
  2. Izberite skupine, ki naj se pošiljajo: Groups assigned to the application (priporočeno) ali All groups
  3. Izvorni atribut pustite nastavljen na Group ID: pošlje se identifikator objekta skupine
  4. Razširite Advanced options, označite Customize the name of the group claim, vnesite ime groups in polje Namespace (optional) pustite prazno
  5. Shranite z Save

Preverite dobljeni seznam: poleg enoličnega identifikatorja uporabnika naj ostaneta samo zahtevka groups in name:

Na koncu pridobite URL metapodatkov federacije, App Federation Metadata Url:

Vrnite se v skrbniško konzolo CyberElements, na zavihek Access service domene, ta URL vnesite v polje IDP metadata URL in potrdite z Validate:

Po potrditvi je vaša nova domena SAML pripravljena za uporabo.

Dodajanje skupin

Nova domena SAML je takoj uporabna, vendar ker SAMLv2 ne predvideva neposredne izmenjave med ponudnikom identitete (IDP) in ponudnikom storitev (SP), ki je v našem kontekstu CyberElements, ta ne more poznati skupin uporabnikov, ki obstajajo v Entra ID.
Za rešitev te težave lahko skupine uporabnikov sinhronizirate po potrebi ali jih ročno dodate v izdelek.

Sinhronizacija po potrebi

Sinhronizacija skupin uporabnikov Entra ID po potrebi je mogoča s funkcijo Azure device login.
Ta funkcija sinhronizira vse skupine, ki obstajajo v Entra ID.

Če želite izvesti to sinhronizacijo, odprite seznam razpoložljivih domen in kliknite gumb za sinhronizacijo :

Odpre se okno, v katerem morate kopirati kodo in jo prilepiti v preverjanje pristnosti Azure, dostopno prek navedene povezave:

Po preverjanju pristnosti bo CyberElements sinhroniziral vse skupine, da jih bo mogoče uporabljati v rešitvi. Glede na število skupin za sinhronizacijo lahko postopek traja do 5 minut (pri več tisoč skupinah za sinhronizacijo).

Ročno

Odprite upravljanje skupin uporabnikov:

Izberite svojo domeno Entra ID in kliknite gumb za dodajanje :

Na koncu izpolnite posamezna polja, da dodate skupino, ki obstaja v Entra ID:

  1. Vnesite prikazno ime svoje skupine uporabnikov v CyberElements (za lažje upravljanje je priporočljivo, da jo poimenujete enako kot v Entra ID)
  2. Navedite ID predmeta skupine, ki ga lahko pridobite v upravljanju skupin v Azure
  3. Po želji dodajte opis skupine uporabnikov