Problem

Hvordan konfigureres SAML-godkendelse for Ariba Buyer On-Premise?

Løsning

SAML-godkendelse for Ariba Buyer On-Premise

Dette dokument giver eksempler på, hvordan SAML-autentifikationen kan implementeres, og har til formål at illustrere processerne og koncepterne bag den. Der findes flere SAML-identitetsudbyderløsninger (IdP), som tilbydes af tredjepartsleverandører. Ansvaret for implementeringen af enhver SAML-IdP på kundesiden ligger hos kunden.

1 SAML HTTP POST-bindingsprotokolforløb

1.1 Forudsætninger

For at en kunde kan få adgang til Ariba, gælder følgende forudsætninger:

• Brugeren skal have en konto oprettet i Ariba Buyer, hvor Ariba-bruger-id'et er identisk med brugerens virksomhedskonto-id som angivet i SAML-svarens navne-id.
• Brugerens browser tillader cookies og JavaScript.
• Kunden giver Ariba et gyldigt offentligt certifikat, en URL til virksomhedens logonrelæside og en logoff-URL.

1.2 Første forbindelse til Ariba

• En bruger tilgår Ariba Sourcing- eller Ariba Buyer-URL'en. Dette kan være startsiden eller en dyb URL, som en bruger har bogmærket eller modtaget i en e-mail.
• Ariba søger efter den relevante godkendelsesmetode, som i dette tilfælde vil være SAML Corporate Authentication.
• Ariba opretter en websession, indstiller sessions-id-cookien i brugerens browser og gemmer placeringen af den endelige destinations-URL i sessionen.

I stedet for at vise en Ariba-logonside omdirigeres brugerens browser til ressourcesiden, der er beskyttet af kunden. Omdirigerings-URL'en vil valgfrit inkludere serviceudbyder-id'et (SPID). Denne parameter kan hjælpe kunden med at identificere serviceudbyderen, og hvor den skal slå SAML-svaret op efter godkendelsen, hvis den er vært for en generisk SAML-IdP-URL.

1.3 Brugergodkendelse med kundens virksomhedsgodkendelse

• Brugerens browser omdirigeres til ressourcesiden via Aribas omdirigerings-URL.
• Omdirigerings-URL'en indeholder også SPID.
• Da denne ressourceside er en beskyttet ressource, opsnapper SAML-virksomhedsgodkendelsestjenesten denne anmodning og beder om brugernavn og adgangskode (eller andre metoder til legitimationsoplysninger), der angives af brugeren og returneres til virksomhedens autentifikationstjeneste.
• SAML Corporate Authentication-tjenesten validerer legitimationsoplysningerne mod det centrale legitimationsoplysningslager.
• Om udført:
• • SAML-virksomhedsautentifikationstjenesten indstiller en cookie til legitimationsoplysningssession i brugerens browser
  • SAML-virksomhedsgodkendelsestjenesten henter Ariba-retur-URL'en baseret på SPID
  • SAML-virksomhedsautentifikationsservicen forbereder et signeret SAML-svar og omdirigerer browseren til at slå svaret op på Aribas returnerings-URL.
• Ved fejl:
• • SAML Corporate Authentication-service viser en side med autentifikationsfejl.

1.4 Endelig godkendelse med Ariba

• Browseren omdirigeres til siden som angivet i Ariba Retur-URL'en.
• Ariba-webserveren tilknytter forbindelsen til den korrekte session baseret på sessions-id'et i browsercookien. Den logik, der kører på Ariba-applikationen, behandler SAML-svardokumentet og bekræfter signaturen med kundens offentlige certifikat.
• På et positivt match:
• • Det brugerdefinerede navne-id er den samme person, der blev autentificeret til virksomhedens autentifikationsservice tidligere i denne autentifikationsproces.
  • Ariba henter derefter destinationssiden fra sessionen og lander brugeren på siden. Brugeren kan fortsætte med at bruge Ariba som en godkendt bruger, der er bundet af de adgangsrettigheder, der er knyttet til id'et for godkendt navn.
• Ellers vises der en fejl.

• Ved logoff logger Ariba-applikationen af sine applikationer og kan lande på den logoff-URL, der er angivet af kunden.
• Websessionen er konfigureret til at være udløbet efter 30 minutters inaktiv tid.
• Trinnet "Brugerautentifikation med kundens virksomhedsgodkendelse" er kundens interne implementering og besluttes af virksomhedens sikkerhedsinfrastruktur.

2 Konfigurationsprøve

Dette eksempel viser konfigurationen af SAML-godkendelse med Microsoft Azure AD Single Sign-On.

Trinnet 'Konfiguration af Ariba Buyer Corporate Authentication' er en fælles konfiguration i Ariba Buyer. Andre trin for forskellige SAML IdP-servere bør referere til dokumentation fra de respektive tredjepartssoftwareleverandører.

2.1 Eksempeloplysninger

• Ariba Buyer SPID URL:

https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1

• Forbrugs-URL for Ariba SAML-svar:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System

2.2 Konfiguration af Azure AD Single Sign-On

1. I Azure-portalen skal du vælge at tilføje et program, der ikke er et galleri.
   I dette eksempel er applikationsnavnet 'Ariba_Buyer'.
2. Efter oprettelsen skal du fra 'Hurtig start' vælge 'Konfigurer Single Sign-On' og 'SAML-baseret logon'

På siden Single sign-on skal du angive følgende værdier:

Identifikatoren skal være 'URL for Ariba Buyer SPID'.
Svar-URL'en skal være 'URL til forbrug af Ariba SAML-svar'.

Vælg bruger-id. Dette bruger-id sendes som "Navne-id" i SAML-svaret og bruges som Ariba Buyer-bruger-id.

Download og opbevar en lokal kopi af »Certifikat(Base64)«. Dette certifikat installeres til Ariba Buyer i et senere trin.

3. Gør det nye certifikat aktivt, og gem ændringen. Dette afslutter konfigurationen af Azure Single Sign-On.

Klik derefter på linket 'Konfigurer Ariba_Buyer' på samme side. Dette er Azures instruktion til at konfigurere tjenesteudbyderen. Kopier følgende URL'er fra denne instruktion.

2.3 Konfiguration af Ariba Buyer-virksomhedsgodkendelse

2.3.1 Aktiver virksomhedsgodkendelse

Find 'Virksomhedsgodkendelse' fra Kerneadministration > Webstedsprofil.

Følgende tal er kun til orientering. Det viser de inputfelter, som Ariba bruger til at aktivere tjenesten.

1. Marker "Aktiver virksomhedsautentifikator", og vælg "SAML-godkendelse".
2. Den følger som standard SAML 1.1-protokollen. Vælg Brug SAML-anmodning for at aktivere SAML 2.0-protokollen. Den vil sende SAML-anmodning til logon-URL'en.
3. Vælg 'Tilføj retur-URL for serviceudbyder' for at bede Ariba om at generere en retur-URL i URL-parameternavnet "ret". Kunden kan bruge denne URL til at sende sit SAML-svar.
4. Kopier indholdet af det certifikat, der er downloadet fra Azure AD.
5. Gem ændringen.
   

Dette trin træder i kraft med det samme.

Men inden du tester SAML-godkendelsen med Azure AD, skal det næste trin stadig anvendes.

2.3.2 Tilføj privat Ariba-nøgle

Før du fortsætter til følgende trin, skal du hente et RSA-nøglepar og importere RSA-nøgleparret til et Java-nøglelager (*.jks-fil).

Den private Ariba-nøgle bruges til at signere SAML-anmodningen.

1. Kopier JKS-filen til placeringen: <buyer_installation>/Server/etc/certs-mappen.
2. Tilføj eller rediger ‘System.Authentication.Keystores.AribaPrivateKeystore’ fra tabellen Parameters.table for at indeholde indholdet vist med fed i følgende kodestykke.

• Genstart Ariba Buyer-serveren, så parameterændringen træder i kraft.

Yderligere informationer

Når du har installeret WebLogic 11gR1 på en ny maskine, skal du sikre dig, at SAML-godkendelse fungerer sammen med WebLogic 11gR1-applikationsserveren. Du skal foretage følgende manuelle ændringer for at sikre, at SAML-godkendelse fungerer:
Sådan sikrer du, at SAML-autentifikation fungerer:
1 Stop serverne.
2 Gå til modulmappen under den placering, hvor WebLogic 11gR1 er installeret (/opt/bea10mp36/moduler/).
3 Find filen med navnet com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Slet denne jar-fil, eller omdøb den til com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old for at sikre, at denne jar-fil ikke bliver indlæst, når du starter serverne og i stedet indlæser korrekt.SAML-filen, der findes i /Server/Classes/-mappen. Denne JAR-fil bruges af systemet til at hente den korrekte XMLConfigurator-klasse til at indlæse korrekte SAML-data.
5 Genstart serverne.

On-Premise > On-Premise - Ariba Buyer