Problem

Konfigurieren der SAML-Authentifizierung für Ariba Buyer On-Premise

Lösung

SAML-Authentifizierung für Ariba Buyer On-Premise

Dieses Dokument zeigt beispielhaft, wie die SAML-Authentifizierung implementiert werden kann, und soll die zugrunde liegenden Prozesse und Konzepte veranschaulichen. Es gibt mehrere Lösungen für SAML-Identity-Provider (im Folgenden „IdP“), die von Drittanbietern angeboten werden. Die Verantwortung für die Implementierung eines SAML-IdP auf Kundenseite liegt beim Kunden.

1 SAML-HTTP-POST-Binding-Protokollfluss

1.1 Voraussetzungen

Damit ein Kunde Zugriff auf Ariba hat, gelten folgende Voraussetzungen:

• Der Benutzer muss über ein in Ariba Buyer erstelltes Konto verfügen, bei dem die Ariba-Benutzer-ID mit der Unternehmenskonto-ID des Benutzers identisch ist, wie in der SAML-Antwortnamen-ID angegeben.
• Der Browser des Nutzers erlaubt Cookies und JavaScript.
• Der Kunde stellt Ariba ein gültiges öffentliches Zertifikat, eine Relay-Seiten-URL für die Unternehmensanmeldung und eine Abmelde-URL zur Verfügung.

1.2 Erste Verbindung mit Ariba

• Ein Benutzer greift auf die Ariba-Sourcing- oder Ariba-Buyer-URL zu. Dies kann die Startseite oder eine tiefe URL sein, die ein Benutzer mit einem Lesezeichen versehen hat oder die er in einer E-Mail erhalten hat.
• Ariba sucht nach der entsprechenden Authentifizierungsmethode, in diesem Fall der SAML-Unternehmensauthentifizierung.
• Ariba erstellt eine Web-Sitzung, legt das Sitzungs-ID-Cookie im Browser des Benutzers fest und speichert den Speicherort der endgültigen Ziel-URL in der Sitzung.

Anstatt eine Ariba-Anmeldeseite anzuzeigen, wird der Browser des Benutzers zur vom Kunden geschützten Ressourcenseite umgeleitet. Die Umleitungs-URL enthält optional die Service-Provider-ID (SPID). Dieser Parameter kann dem Kunden dabei helfen, den Service-Provider zu identifizieren und die SAML-Antwort nach der Authentifizierung zu senden, wenn er eine generische SAML-IdP-URL hostet.

1.3 Benutzerauthentifizierung mit Unternehmensauthentifizierung des Kunden

• Der Browser des Benutzers wird über die Umleitungs-URL von Ariba zur Ressourcenseite umgeleitet.
• Die Redirect-URL enthält auch die SPID.
• Da es sich bei dieser Ressourcenseite um eine geschützte Ressource handelt, fängt der SAML-Unternehmensauthentifizierungsdienst diese Anforderung ab und fordert zur Eingabe von Benutzername und Kennwort (oder anderen Anmeldedaten-Methoden) auf, die vom Benutzer eingegeben und an den Unternehmensauthentifizierungsdienst zurückgegeben werden.
• Der SAML Corporate Authentication Service validiert die Anmeldeinformationen anhand des zentralen Credential-Repositorys.
• Bei Erfolg:
• • Der SAML-Unternehmensauthentifizierungsservice setzt ein Credential-Sitzungs-Cookie im Browser des Benutzers.
  • Der SAML-Unternehmensauthentifizierungsservice ruft die Ariba-Rückgabe-URL basierend auf der SPID ab.
  • Der SAML-Unternehmensauthentifizierungsservice bereitet eine signierte SAML-Antwort vor und leitet den Browser um, um die Antwort an die Ariba-Rückgabe-URL zu senden.
• Bei Fehler:
• • Der SAML Corporate Authentication Service zeigt eine Seite für Authentifizierungsfehler an.

1.4 Endgültige Authentifizierung mit Ariba

• Der Browser wird wie in der Ariba-Rückgabe-URL angegeben auf die Seite umgeleitet.
• Der Ariba-Webserver ordnet die Verbindung der richtigen Sitzung basierend auf der Sitzungs-ID im Browser-Cookie zu. Die in der Ariba-Anwendung ausgeführte Logik verarbeitet das SAML-Antwortdokument und verifiziert die Signatur mit dem öffentlichen Zertifikat des Kunden.
• Bei einer positiven Übereinstimmung:
• • Die benutzerdefinierte NameID ist dieselbe Person, die sich zuvor in diesem Authentifizierungsprozess beim Unternehmensauthentifizierungsservice authentifiziert hat.
  • Ariba ruft dann die Zielseite aus der Sitzung ab und überträgt den Benutzer auf die Seite. Der Benutzer kann Ariba weiterhin als authentifizierten Benutzer verwenden, der an die Zugriffsrechte gebunden ist, die mit der authentifizierten Namens-ID verknüpft sind.
• Andernfalls wird ein Fehler angezeigt.

• Nach der Abmeldung meldet sich die Ariba-Anwendung von ihren Anwendungen ab und kann auf die vom Kunden bereitgestellte Abmelde-URL gelangen.
• Die Web-Sitzung ist so konfiguriert, dass sie nach 30 Minuten Leerlaufzeit abgelaufen ist.
• Der Schritt „Benutzerauthentifizierung mit Unternehmensauthentifizierung des Kunden“ ist die interne Implementierung des Kunden und wird durch seine unternehmensweite Sicherheitsinfrastruktur festgelegt.

2 Konfigurationsbeispiel

Dieses Beispiel zeigt die SAML-Authentifizierungskonfiguration mit Microsoft Azure AD Single Sign-On.

Der Schritt „Unternehmensauthentifizierung für Ariba Buyer konfigurieren“ ist eine allgemeine Konfiguration in Ariba Buyer. Andere Schritte für verschiedene SAML-IdP-Server sollten sich auf die Dokumentation der jeweiligen Drittanbieter von Software beziehen.

2.1 Beispieldetails

• URL der Ariba Buyer SPID:

https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1

• Ariba-SAML-Antwortnutzungs-URL:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System

2.2 Konfigurieren von Azure AD Single Sign-On

1. Wählen Sie im Azure-Portal die Option zum Hinzufügen einer Nicht-Galerie-Anwendung.
   In diesem Beispiel lautet der Anwendungsname „Ariba_Buyer“.
2. Wählen Sie nach dem Anlegen unter „Schnellstart“ die Optionen „Single Sign-On konfigurieren“ und „SAML-basiertes Sign-On“.

Geben Sie auf der Seite Single Sign-On die folgenden Werte ein:

Der Identifikator sollte die „Ariba Buyer SPID URL“ sein.
Die Antwort-URL sollte die „Ariba-SAML-Antwortnutzungs-URL“ sein.

Wählen Sie die Benutzer-ID. Diese Benutzer-ID wird als „Namens-ID“ in der SAML-Antwort gesendet und als Ariba-Buyer-Benutzer-ID verwendet.

Laden Sie eine lokale Kopie des Zertifikats (Base64) herunter, und behalten Sie sie bei. Dieses Zertifikat wird in einem späteren Schritt in Ariba Buyer installiert.

3. Aktivieren Sie das neue Zertifikat, und sichern Sie die Änderung. Damit ist die Azure-Single-Sign-On-Einrichtung abgeschlossen.

Klicken Sie dann auf derselben Seite auf den Link „Ariba_Buyer konfigurieren“. Dies ist die Anweisung von Azure zum Konfigurieren des Service-Providers. Kopieren Sie die folgenden URLs aus dieser Anleitung.

2.3 Konfigurieren der Ariba-Buyer-Unternehmensauthentifizierung

2.3.1 Unternehmensauthentifizierung aktivieren

Suchen Sie unter Ariba Administration > Site-Profil nach „Unternehmensauthentifizierung“.

Die folgende Abbildung dient nur zu Informationszwecken. Sie zeigt die Eingabefelder, die Ariba zum Aktivieren des Service verwendet.

1. Markieren Sie "Enable Corporate Authenticator", und wählen Sie "SAML Authentication".
2. Es folgt standardmäßig dem SAML-1.1-Protokoll. Wählen Sie SAML-Anforderung verwenden, um das SAML-2.0-Protokoll zu aktivieren. Die SAML-Anforderung wird an die Anmelde-URL gesendet.
3. Wählen Sie „URL für Serviceanbieterrückgabe hinzufügen“, um Ariba aufzufordern, eine Rückgabe-URL im URL-Parameternamen „ret“ zu generieren. Der Kunde kann diese URL verwenden, um seine SAML-Antwort zu senden.
4. Kopieren Sie den Inhalt des von Azure AD heruntergeladenen Zertifikats.
5. Sichern Sie die Änderung.
   

Dieser Schritt wird sofort wirksam.

Bevor Sie die SAML-Authentifizierung mit Azure AD testen, muss jedoch noch der nächste Schritt ausgeführt werden.

2.3.2 Privaten Ariba-Schlüssel hinzufügen

Bevor Sie mit dem folgenden Schritt fortfahren, sollten Sie ein RSA-Schlüsselpaar erhalten und das RSA-Schlüsselpaar in einen Java-Keystore (*.jks-Datei) importieren.

Der private Ariba-Schlüssel wird zum Signieren der SAML-Anforderung verwendet.

1. Kopieren Sie die JKS-Datei in den Ordner <buyer_install>/Server/etc/certs.
2. Fügen Sie 'System.Authentication.Keystores.AribaPrivateKeystore' aus der Parameters.table hinzu, oder ändern Sie ihn so, dass er den fett formatierten Inhalt im folgenden Code-Snippet enthält.

• Starten Sie den Ariba-Buyer-Server neu, damit die Parameteränderung wirksam wird.

Zusätzliche Informationen

Stellen Sie nach der Installation von WebLogic 11gR1 auf einem neuen Rechner sicher, dass die SAML-Authentifizierung mit dem WebLogic 11gR1 Application Server funktioniert. Sie müssen die folgenden manuellen Änderungen vornehmen, um sicherzustellen, dass die SAML-Authentifizierung funktioniert:
So stellen Sie sicher, dass die SAML-Authentifizierung funktioniert:
1 Stoppen Sie die Server.
2. Navigieren Sie zum Ordner modules unter dem Speicherort, an dem WebLogic 11gR1 installiert ist (/opt/bea10mp36/modules/).
3 Suchen Sie die Datei com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4. Löschen Sie diese JAR-Datei, oder benennen Sie sie in com.bea.core.bea.opensaml2_1.0.0.0_6-0-0.jar.old um, um sicherzustellen, dass diese JAR-Datei beim Starten der Server nicht geladen wird. Stattdessen wird die korrekte SAML-jar-Datei geladen, die im Ordner /Server/Classes/ vorhanden ist. Diese JAR-Datei wird vom System verwendet, um die richtige XMLConfigurator-Klasse zum Laden der richtigen SAML-Daten abzurufen.
5 Starten Sie die Server neu.

On-Premise > On-Premise - Ariba Buyer