Проблем

Как се конфигурира удостоверяване чрез SAML за Ariba Buyer On-Premise?

Решение

SAML удостоверяване за Ariba Buyer On-Premise

Този документ дава примери за това как може да се внедри SAML удостоверяването и има за цел да илюстрира процесите и концепциите, които стоят зад него. Има няколко решения за SAML доставчик на самоличност („IdP“ по-долу), които се предлагат от доставчици трети страни. Отговорността за внедряването на SAML IdP от страна на клиента се носи от клиента.

1 поток на протокол за свързване на SAML HTTP POST

1.1 Предварителни изисквания

За да може даден клиент да има достъп до Ariba, се прилагат следните предварителни условия:

• Потребителят трябва да има създаден акаунт в Ariba Buyer, където Ariba UserID е идентичен с ИД на корпоративния акаунт на потребителя, както е посочено в ИД на име на отговор SAML.
• Браузърът на потребителя позволява бисквитки и JavaScript.
• Клиентът предоставя на Ariba валиден публичен сертификат, URL на корпоративна страница за предаване на вход и URL за изход.

1.2 Начална връзка с Ariba

• Потребител осъществява достъп до URL адреса на Ariba Sourcing или Ariba Buyer. Това може да е началната страница или дълбок URL адрес, който потребителят е отбелязал като отметка или е получил в имейл.
• Ariba търси приложимия метод за удостоверяване, който в този случай ще бъде SAML Corporate Authentication.
• Ariba създава уеб сесия, задава бисквитката за ИД на сесията в браузъра на потребителя и запазва местоположението на крайния URL адрес на местоназначението в сесията.

Вместо да се показва страница за вход в Ariba, браузърът на потребителя се пренасочва към страницата на защитения от клиента ресурс. URL адресът за пренасочване по желание ще включва ИД на доставчика на услугата (SPID). Този параметър може да помогне на клиента да идентифицира доставчика на услугата и къде трябва да публикува отговора SAML след удостоверяването, ако хоства родов URL на SAML IdP.

1.3 Удостоверяване на потребители с корпоративно удостоверяване на клиента

• Браузърът на потребителя се пренасочва към страницата на ресурса чрез URL адреса за пренасочване на Ariba.
• Пренасочващият URL адрес съдържа и SPID.
• Тъй като тази страница на ресурс е защитен ресурс, корпоративната услуга за удостоверяване SAML прихваща тази заявка и подканва за потребителско име и парола (или други методи за идентификация), които се въвеждат от потребителя и се връщат към корпоративната услуга за удостоверяване.
• Услугата за удостоверяване със SAML Corporate проверява идентификационните данни спрямо централното хранилище за идентификационни данни.
• Относно успеха:
• • Корпоративната услуга за удостоверяване SAML задава бисквитка за сесия с идентификационни данни в браузъра на потребителя
  • Корпоративната услуга за удостоверяване SAML извлича URL адреса за връщане на Ariba въз основа на SPID
  • Корпоративната услуга за удостоверяване SAML подготвя подписан SAML отговор и пренасочва браузъра да публикува отговора към URL адреса за връщане на Ariba.
• При неуспех:
• • Корпоративната услуга за удостоверяване SAML показва страница с неуспешно удостоверяване.

1.4 Окончателно удостоверяване с Ariba

• Браузърът е пренасочен към страницата, както е посочено в URL адреса за връщане на Ariba.
• Уеб сървърът на Ariba мапира връзката към правилната сесия въз основа на идентификатора на сесията в бисквитката на браузъра. Логиката, която се изпълнява в приложението на Ariba, обработва документа за отговор SAML и удостоверява подписа с публичния сертификат на клиента.
• На положително съвпадение:
• • Дефинираният от потребителя NameID е същото лице, което по-рано в този процес на удостоверяване е удостоверявало корпоративната услуга за удостоверяване.
  • След това Ariba извлича целевата страница от сесията и приземява потребителя на страницата. Потребителят може да продължи да използва Ariba като удостоверен потребител, обвързан с привилегиите за достъп, свързани с удостоверения ИД на име.
• В противен случай се показва грешка.

• При изход от системата приложението на Ariba ще излезе от своите приложения и ще може да премине през URL адреса за изход, предоставен от клиента.
• Уеб сесията се конфигурира да изтече след 30 минути престой.
• Стъпката „Удостоверяване на потребител с корпоративно удостоверяване на клиента“ е вътрешното внедряване на клиента и ще бъде определена от неговата корпоративна инфраструктура за сигурност.

2 Примерна конфигурация

Този пример демонстрира конфигурацията за удостоверяване SAML с еднократна идентификация с Microsoft Azure AD.

Стъпката „Конфигуриране на корпоративно удостоверяване в Ariba Buyer“ е обща конфигурация в Ariba Buyer. Други стъпки за различни SAML IdP сървъри трябва да се отнасят до документацията от съответните доставчици на софтуер на трета страна.

2.1 Подробни данни за проба

• URL за SPID на Ariba Buyer:

https://mycompany.com/Buyer/Main?област=Система&passwordadapter=PasswordAdapter1

• URL за потребление на отговор за Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&област=Система

2.2 Конфигуриране на Azure AD Single Sign-On

1. В портала Azure изберете да добавите приложение „Негалерийно“.
   В този образец името на приложението е „Ariba_Buyer“.
2. След създаването, от „Бърз старт“, изберете „Конфигуриране на еднократна идентификация“ и „Подписване на база SAML-базирано“

На страницата Single sign-on въведете следните стойности:

Идентификаторът трябва да бъде „URL за SPID на Ariba Buyer“.
URL адресът за отговор трябва да бъде „URL за потребление на отговор за Ariba SAML“.

Натиснете Идентификатор на потребител. Този потребителски идентификатор ще бъде изпратен като “ИД на име” в отговора SAML и ще се използва като ИД на потребител в Ariba Buyer.

Изтеглете и запазете локално копие на „Удостоверение (Base64)“. Този сертификат ще бъде инсталиран за Ariba Buyer в по-късна стъпка.

3. Направете новия сертификат активен и запазете промяната. Това завършва конфигурирането на Single sign-on на Azure.

На същата страница кликнете върху връзката „Конфигуриране на Ariba_Buyer“. Това е инструкцията на Azure за конфигуриране на доставчика на услуги. Копирайте следните URL от тази инструкция.

2.3 Конфигуриране на корпоративното удостоверяване на Ariba Buyer

2.3.1 Активиране на корпоративна проверка на автентичност

Намерете „Корпоративно удостоверяване“ от Основна администрация > Профил на сайт.

Следната фигура е само за информационни цели. Тя демонстрира полетата за въвеждане, които Ariba използва, за да активира услугата.

1. Проверете „Активиране на корпоративно средство за удостоверяване“ и натиснете „SAML удостоверяване“.
2. Той следва протокола SAML 1.1 по подразбиране. Изберете Използване на SAML заявка, за да активирате SAML 2.0 протокол. Тя ще публикува SAML заявка на URL адреса за вход.
3. Изберете „Добавяне на URL за връщане на доставчик на услуги“, за да помолите Ariba да генерира обратен URL в името на параметъра на URL „ret“. Клиентът може да използва този URL, за да публикува своя отговор SAML.
4. Копирайте съдържанието на сертификата, изтеглено от Azure AD.
5. Запазете промяната.
   

Тази стъпка ще влезе в сила незабавно.

Но преди да тествате удостоверяването SAML с Azure AD, следващата стъпка все още трябва да бъде приложена.

2.3.2 Добавяне на частен ключ за Ariba

Преди да продължите към следващата стъпка, трябва да получите RSA двойка ключове и да импортирате RSA двойка ключове в хранилище за ключове на Java (*.jks файл).

Личният ключ на Ariba ще се използва за подписване на SAML заявката.

1. Копирайте JKS файла в местоположение: папка <buyer_install>/Server/etc/certs.
2. Добавете или променете „System.Authentication.Keystores.AribaPrivateKeystore“ от таблицата Parameters.table, за да съдържа съдържанието, показано в получер шрифт в следния фрагмент от код.

• Рестартирайте сървъра на Ariba Buyer, за да влезе в сила промяната на параметъра.

Допълнителна информация

След като инсталирате WebLogic 11gR1 на нова машина, уверете се, че SAML удостоверяването работи със сървъра на приложението WebLogic 11gR1. Трябва да извършите следните ръчни промени, за да се уверите, че SAML удостоверяването работи:
За да се гарантира, че SAML удостоверяването работи:
1 Спрете сървърите.
2 Отидете в папката с модули под местоположението, където е инсталирана WebLogic 11gR1 (/opt/bea10mp36/modules/).
3 Намерете файла с името com.be.core.be.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Изтрийте този jar файл или го преименувайте на com.be.core.be.opensaml2_1.0.0.0.0_6-2-0-0.jar.old, за да сте сигурни, че този jar файл не се зарежда при стартиране на сървърите и вместо това зарежда коригиране.SAML jar файл, наличен в папка /Server/Classes/. Този jar файл се използва от системата, за да вземе правилния клас XMLConfigurator за зареждане на правилните SAML данни.
5 Рестартирайте сървърите.

On-Premise > On-Premise - Ariba Buyer