Problém

Jak nakonfigurovat autentizaci SAML pro Ariba Buyer On-Premise?

Řešení

Autentizace SAML pro Ariba Buyer On-Premise

Tento dokument uvádí příklady, jak lze autentizaci SAML implementovat, a jeho účelem je ilustrovat procesy a koncepty, které za ní vycházejí. Existuje několik řešení poskytovatele identity SAML („IdP“), která jsou nabízena externími dodavateli. Odpovědnost za implementaci libovolného SAML IdP na straně zákazníka spočívá na zákazníkovi.

1 tok vazebného protokolu SAML HTTP POST

1.1 Předpoklady

Aby měl zákazník přístup ke Aribě, platí následující předpoklady:

• Uživatel musí mít účet vytvořený v Ariba Buyer, kde je ID uživatele Ariba identické s ID firemního zákazníka uživatele, jak je uvedeno v ID názvu reakce SAML.
• V prohlížeči uživatele jsou povoleny soubory cookie a JavaScript.
• Zákazník poskytne Aribě platný veřejný certifikát, adresu URL stránky přenosu firemního přihlášení a URL odhlášení.

1.2 Počáteční připojení k Aribě

• Uživatel přistupuje k URL Ariba Sourcing nebo Ariba Buyer. Může se jednat o domovskou stránku nebo hlubokou adresu URL, kterou uživatel přidal do záložek nebo kterou obdržel v e-mailu.
• Ariba vyhledá příslušnou metodu autentizace, která bude v tomto případě podniková autentizace SAML.
• Ariba vytvoří webovou relaci, nastaví soubor cookie ID relace v prohlížeči uživatele a uloží umístění cílové cílové adresy URL v relaci.

Místo zobrazení přihlašovací stránky Ariba je prohlížeč uživatele přesměrován na stránku prostředků chráněných zákazníky. URL přesměrování bude volitelně zahrnovat ID poskytovatele služeb (SPID), tento parametr může pomoci zákazníkovi identifikovat poskytovatele služby a kde by měl po autentizaci zveřejnit odpověď SAML, pokud hostuje generickou adresu URL SAML IdP.

1.3 Autentizace uživatelů s firemní autentizací zákazníka

• Na stránku zdrojů bude přesměrován prohlížeč uživatele prostřednictvím adresy URL přesměrování Ariba.
• URL přesměrování obsahuje také SPID.
• Vzhledem k tomu, že tato stránka zdrojů je chráněným zdrojem, podniková autentizační služba SAML zachytí tento požadavek a vyzve k zadání uživatelského jména a hesla (nebo jiných metod pověření), které uživatel zadá a vrátí do podnikové autentizační služby.
• Ověřovací služba SAML Corporate ověřuje přihlašovací údaje oproti centrálnímu úložišti přihlašovacích údajů.
• Při úspěchu:
• • Podniková autentizační služba SAML nastaví soubor cookie relace přihlašovacích údajů v prohlížeči uživatele
  • Podniková autentizační služba SAML načte návratovou adresu URL Ariba založenou na SPID.
  • Podniková autentizační služba SAML připraví podepsanou odpověď SAML a přesměruje prohlížeč, aby zaúčtoval reakci na URL vrácení Ariba.
• Při selhání:
• • Služba ověřování SAML Corporate zobrazuje stránku selhání ověřování.

1.4 Konečná autentizace s Aribou

• Prohlížeč je přesměrován na stránku, jak je uvedeno v URL Ariba Return.
• Webový server Ariba mapuje připojení ke správné relaci na základě ID relace v souboru cookie prohlížeče. Logika spuštěná v aplikaci Ariba zpracuje dokument reakce SAML a ověří podpis s veřejným certifikátem zákazníka.
• Při pozitivní shodě:
• • Uživatelsky definované NameID je stejná osoba, která byla v tomto procesu autentizace ověřena firemní autentizační službou dříve.
  • Ariba pak vyvolá cílovou stránku z relace a přistaví uživatele na stránce. Uživatel může nadále používat Aribu jako ověřeného uživatele vázaného přístupovými oprávněními spojenými s ID ověřeného jména.
• Jinak se zobrazí chyba.

• Při odhlášení se aplikace Ariba odhlásí ze svých aplikací a může přejít na adresu URL odhlášení poskytnutou zákazníkem.
• Webová relace vyprší po 30 minutách nečinnosti.
• Krok „Ověřování uživatele s firemní autentizací Zákazníka“ je interní implementací zákazníka a rozhodne o něm jeho podniková bezpečnostní infrastruktura.

2 Ukázka konfigurace

Tato ukázka konfigurace autentizace SAML s jednotným přihlášením Microsoft Azure AD.

Krok Konfigurace firemní autentizace Ariba Buyer je běžnou konfigurací v Ariba Buyer. Další kroky pro různé servery SAML IdP by měly odkazovat na dokumentaci od příslušných dodavatelů softwaru třetích stran.

2.1 Detaily vzorku

• URL SPID kupujícího Ariba:

https://mycompany.com/Buyer/Main?realm=System&passwordAdapter=PasswordAdapter1

• URL spotřeby reakce Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=Systém

2.2 Konfigurace Azure AD Single Sign-On

1. Na portálu Azure zvolte přidání aplikace „Non-gallery aplikace“.
   V této ukázce je název aplikace „Ariba_Buyer“.
2. Po vytvoření vyberte v části „Rychlé spuštění“ možnost „Konfigurovat jednotné přihlašování“ a „Přihlášení založené na SAML“.

Na stránce jednotného přihlášení zadejte následující hodnoty:

Identifikátor by měl být „URL Ariba Buyer SPID“.
URL odpovědi by mělo být „URL spotřeby reakce Ariba SAML“.

Zvolte Identifikátor uživatele. Tento identifikátor uživatele bude odeslán jako „ID jména“ v reakci SAML a bude použit jako ID uživatele Ariba Buyer.

Stáhnout a ponechat místní kopii „Certifikátu(Base64)“. Tento certifikát bude nainstalován do Ariba Buyer v pozdějším kroku.

3. Aktivujte nový certifikát a uložte změnu. Tím se dokončí nastavení jednotného přihlašování Azure.

Na stejné stránce klikněte na odkaz „Konfigurovat Ariba_Buyer“. Toto je instrukce Azure ke konfiguraci poskytovatele služeb. Zkopírujte následující adresy URL z tohoto pokynu.

2.3 Konfigurace autentizace společnosti Ariba Buyer

2.3.1 Povolit podnikové ověřování

V části „Firemní autentizace“ vyhledejte položku Core Administration (Hlavní administrace) > Site Profile (Profil webu).

Následující údaj slouží pouze k informačním účelům. Ukazuje vstupní pole, která Ariba používá k aktivaci služby.

1. Zaškrtněte políčko „Aktivovat podnikové ověřování“ a zvolte možnost „Autentizace SAML“.
2. Standardně se řídí protokolem SAML 1.1. Vyberte Použít požadavek SAML pro aktivaci protokolu SAML 2.0. Bude zveřejňovat požadavek SAML na přihlašovací adresu URL.
3. Výběrem možnosti „Přidat URL vrácení poskytovatele služeb“ požádáte Aribu, aby vygenerovala návratovou adresu URL v názvu parametru URL „ret“. Zákazník může pomocí této adresy URL odeslat svou odpověď SAML.
4. Zkopírujte obsah certifikátu staženého z Azure AD.
5. Uložte změnu.
   

Tento krok se projeví okamžitě.

Před testováním ověřování SAML pomocí Azure AD je však třeba ještě použít další krok.

2.3.2 Přidat privátní klíč Ariba

Před pokračováním k následujícímu kroku byste měli získat pár klíčů RSA a importovat pár klíčů RSA do úložiště klíčů Java (*.jks soubor).

Soukromý klíč Ariba se použije k podepsání požadavku SAML.

1. Zkopírujte soubor JKS do umístění: <buyer_install>/Server/etc/certs složky.
2. Přidejte nebo upravte „System.Authentication.Keystores.AribaPrivateKeystore“ z tabulky Parameters.table tak, aby obsahoval obsah zobrazený tučně v následujícím fragmentu kódu.

• Restartujte server Ariba Buyer, aby se změna parametru projevila.

Doplňkové informace

Po instalaci WebLogic 11gR1 na nový počítač se ujistěte, že ověřování SAML funguje s WebLogic 11gR1 Application Server. Aby ověřování SAML fungovalo, musíte provést následující manuální změny:
Pro zajištění funkčnosti autentizace SAML:
1 Zastavte servery.
2 Přejděte do složky modulů pod místem, kde je nainstalován WebLogic 11gR1 (/opt/bea10mp36/moduly/).
3 Vyhledejte soubor s názvem com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Vymažte tento soubor jar nebo jej přejmenujte na com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old, abyste zajistili, že tento soubor jar nebude načten při spuštění serverů a namísto toho načte soubor pro „pro aktualizaci .SAML jar“, který se nachází ve složce /Server/Classes/. Tento soubor jar používá systém k vyzvednutí správné třídy XMLConfigurator pro načtení správných dat SAML.
5 Restartujte servery.

On-Premise > On-Premise – kupující Ariba