Microsoft Entra ID¶

Den här artikeln beskriver konfigurationen av SAMLv2-identitetsfederation mellan Microsoft Entra ID och CyberElements.

Konfigurera en SAML-identitetsleverantör med Microsoft Entra ID¶

Skapa företagsapplikationen¶

Logga in i administrationscentret för Microsoft Entra: Administrationscenter för Microsoft Entra

Öppna Entra ID > Enterprise apps i menyn och skapa sedan en ny applikation med New application:

Välj Create your own application i galleriet:

Namnge applikationen, välj Integrate any other application you don't find in the gallery (Non-gallery) och skapa den med Create:

När företagsapplikationen har skapats för CyberElements tilldelar du den de auktoriserade användarna och grupperna, från Users and groups > Add user/group:

Tilldela grupper till applikationen

Gruppanspråket som konfigureras nedan skickar bara de grupper som tilldelats applikationen och som användaren är medlem i. En användare som tilldelats applikationen enskilt kan logga in, men utan någon grupp: de applikationer som görs tillgängliga för användaren via en grupp erbjuds då inte.

Gå sedan till menyn Single sign-on och välj metoden SAML:

Kopiera värdet för Microsoft Entra Identifier längst ner på sidan:

Skapa SAML-domänen i CyberElements¶

Låt fliken vara öppen och öppna identitetsleverantörerna i administrationskonsolen för CyberElements:

Lägg därefter till en ny:

Välj domäntypen SAML domain
Namnge den nya domänen
Lägg till en valfri beskrivning
Ange din lokala domän; den används av SSO-mekanismen när den är aktiverad
Justera utgångstiden för inaktiva användarsessioner (användarsessioner där ingen CyberElements-applikation körs)
Justera antalet samtidiga sessioner som tillåts för varje användare
Aktivera eller inaktivera automatisk borttagning av den äldsta sessionen om användaren loggar in efter att redan ha nått det maximala antalet samtidiga sessioner
Välj identitetsleverantören Azure
Ange värdet för Microsoft Entra Identifier som hämtades tidigare
Ange gruppnamnsvariabeln: groups
Välj formatet Unspecified för gruppnamnsvariabeln
Ange inloggningsvariabeln: name
Välj formatet Basic för inloggningsvariabeln
Välj om domänen ska läggas till i den seriella autentiseringen eller inte
Bekräfta skapandet av domänen

Varför två olika format

Microsoft Entra ID skickar anspråket name i formatet Basic, som ställs in nedan när det konfigureras. Anspråket groups skickas däremot utan något format: panelen för gruppanspråk gör det inte möjligt att välja ett. Formatet Unspecified motsvarar det som faktiskt tas emot; med formatet Basic känns grupperna inte igen.

Redigera sedan domänen igen för att gå till den andra fliken, Access service. Ladda därifrån ned konfigurationsmetadata för IDP:n med länken Metadata to set on the IDP:

Konfigurera enkel inloggning i Microsoft Entra ID¶

Gå tillbaka till företagsapplikationens konfigurationsflik och ladda upp filen Metadata som hämtades från CyberElements med Upload metadata file:

Panelen Basic SAML Configuration öppnas med förifyllda värden. Ändra värdet för Logout Url (Optional) genom att ersätta /SLO/Artifact med /SLO/Redirect i slutet, och spara konfigurationen med Save:

Varför utloggnings-URL:en ska ändras

Metadata från CyberElements anger flera utloggningsadresser, och Microsoft Entra ID behåller den första. Den adressen använder bindningen HTTP-Artifact, som Microsoft Entra ID inte stöder för utloggning.

Redigera sedan attributen och anspråken, från Attributes & Claims > Edit:

Ta bort anspråken emailaddress, givenname och surname, som CyberElements inte använder, med Delete i deras meny …:

Klicka på anspråket name och gör följande i panelen Manage claim:

Töm fältet Namespace
Expandera Choose name format och välj formatet Basic
Spara med Save

Lägg sedan till ett gruppanspråk:

Klicka på Add a group claim
Välj vilka grupper som ska skickas: Groups assigned to the application (rekommenderas) eller All groups
Låt källattributet vara inställt på Group ID: det är gruppobjektets ID som skickas
Expandera Advanced options, markera Customize the name of the group claim, ange namnet groups och lämna fältet Namespace (optional) tomt
Spara med Save

Kontrollera den resulterande listan: förutom den unika användaridentifieraren ska endast anspråken groups och name finnas kvar:

Hämta slutligen URL:en för federationsmetadata, App Federation Metadata Url:

Gå tillbaka till administrationskonsolen i CyberElements, fliken Access service för domänen, ange denna URL i IDP metadata URL och bekräfta med Validate:

När den är bekräftad är din nya SAML-domän klar att användas.

Lägga till grupper¶

Den nya SAML-domänen är direkt användbar, men eftersom SAMLv2 inte innebär något direkt utbyte mellan Identity Provider (IDP) och Service Provider (SP) — i vårt sammanhang CyberElements — kan denna inte känna till de användargrupper som finns i Entra ID.
För att komma runt detta problem kan användargrupperna antingen synkroniseras punktvis eller läggas till manuellt i produkten.

Punktvis synkronisering¶

Punktvis synkronisering av användargrupperna i Entra ID är möjlig med Azure-funktionen device login.
Denna funktion synkroniserar alla grupper som finns i Entra ID.

Öppna listan över tillgängliga domäner och klicka på synkroniseringsknappen för att utföra denna synkronisering:

Ett fönster öppnas där du måste kopiera en kod och klistra in den i den Azure-autentisering som nås via den angivna länken:

Efter autentiseringen synkroniserar CyberElements alla grupper så att de kan användas i lösningen. Beroende på antalet grupper som ska synkroniseras kan åtgärden ta upp till 5 minuter (vid flera tusen grupper).

Manuellt¶

Öppna hanteringen av användargrupper:

Välj din Entra ID-domän och klicka på knappen för att lägga till :

Fyll till sist i de olika fälten för att lägga till en grupp som finns i Entra ID:

Ange visningsnamnet för din användargrupp i CyberElements (för att förenkla hanteringen rekommenderas det att den får samma namn som i Entra ID)
Ange ID:t för gruppobjektet, som du kan hämta i grupphanteringen i Azure
Lägg valfritt till en beskrivning för användargruppen