Πρόβλημα

Πώς να διαμορφώσετε την Ταυτοποίηση SAML για το Ariba Buyer On-Premise;

Λύση

Ταυτοποίηση SAML για Ariba Buyer On-Premise

Αυτό το έγγραφο παρέχει παραδείγματα του τρόπου με τον οποίο η Ταυτοποίηση SAML μπορεί να υλοποιηθεί και προορίζεται να απεικονίσει τις διαδικασίες και τις έννοιες πίσω από αυτήν. Υπάρχουν αρκετές λύσεις SAML Identity Provider («IdP» στο εξής) που προσφέρονται από τρίτους προμηθευτές. Η ευθύνη για την υλοποίηση οποιουδήποτε SAML IdP από την πλευρά του πελάτη επαφίεται στον πελάτη.

1 SAML HTTP POST Δεσμευτική Ροή Πρωτοκόλλου

1.1 Προϋποθέσεις

Προκειμένου ένας πελάτης να έχει πρόσβαση στο Ariba, ισχύουν οι ακόλουθες προϋποθέσεις:

• Ο χρήστης πρέπει να έχει έναν λογαριασμό δημιουργημένο στο Ariba Buyer όπου το Ariba UserID είναι ίδιο με το ID εταιρικού λογαριασμού χρήστη όπως ορίζεται στο ID Ονόματος απάντησης SAML.
• Το πρόγραμμα περιήγησης του χρήστη επιτρέπει cookies και JavaScript.
• Ο πελάτης παρέχει στο Ariba έγκυρο δημόσιο πιστοποιητικό, URL σελίδας αναμετάδοσης εταιρικής σύνδεσης και URL αποσύνδεσης.

1.2 Αρχική Σύνδεση με Ariba

• Ένας χρήστης έχει πρόσβαση στο URL Ariba Sourcing ή Ariba Buyer. Αυτή μπορεί να είναι η αρχική σελίδα ή ένα βαθύ URL που ένας χρήστης έχει σημειώσει με σελιδοδείκτη ή έχει λάβει σε ένα email.
• Το Ariba αναζητά την ισχύουσα μέθοδο ταυτοποίησης, που σε αυτή την περίπτωση θα είναι η Εταιρική Ταυτοποίηση SAML.
• Το Ariba δημιουργεί μία διαδικτυακή σύνοδο, καθορίζει το cookie ID συνόδου στο πρόγραμμα περιήγησης του χρήστη και αποθηκεύει την τοποθεσία του τελικού URL προορισμού στην σύνοδο.

Αντί να εμφανίσετε μια σελίδα σύνδεσης Ariba, το πρόγραμμα περιήγησης του χρήστη ανακατευθύνεται στη σελίδα πόρου που προστατεύεται από πελάτη. Το URL ανακατεύθυνσης θα περιλαμβάνει προαιρετικά το ID Παρόχου Υπηρεσιών (SPID), αυτή η παράμετρος μπορεί να βοηθήσει τον πελάτη να ταυτοποιήσει τον πάροχο υπηρεσίας και όπου πρέπει να καταχωρίσει την Απάντηση SAML μετά την ταυτοποίηση αν φιλοξενεί ένα γενικό SAML IdP URL.

1.3 Ταυτοποίηση Χρήστη με εταιρική ταυτοποίηση πελάτη

• Το πρόγραμμα περιήγησης χρήστη ανακατευθύνεται στη σελίδα πόρου από το URL ανακατεύθυνσης Ariba.
• Το URL ανακατεύθυνσης περιέχει επίσης το SPID.
• Εφόσον αυτή η σελίδα πόρου είναι προστατευμένος πόρος, η εταιρική υπηρεσία ταυτοποίησης SAML αναχαιτίζει αυτό το αίτημα και ζητά όνομα χρήστη και κωδικό πρόσβασης (ή άλλες μεθόδους διαπιστευτηρίων) που εισάγονται από τον χρήστη και επιστρέφονται στην υπηρεσία εταιρικής ταυτοποίησης.
• Η υπηρεσία εταιρικής ταυτοποίησης SAML επικυρώνει τα διαπιστευτήρια έναντι του κεντρικού αποθηκευτικού χώρου διαπιστευτηρίων.
• Σχετικά με την επιτυχία:
• • Η εταιρική υπηρεσία ελέγχου ταυτότητας SAML ορίζει ένα cookie περιόδου λειτουργίας διαπιστευτηρίων στο πρόγραμμα περιήγησης του χρήστη
  • Η υπηρεσία εταιρικής ταυτοποίησης SAML ανακτά το URL Επιστροφής Ariba βάσει του SPID
  • Η εταιρική υπηρεσία ταυτοποίησης SAML προετοιμάζει μια υπογεγραμμένη Απάντηση SAML και ανακατευθύνει το πρόγραμμα περιήγησης για να καταχωρίσει την απάντηση στο URL Επιστροφής Ariba.
• Σε αποτυχία:
• • Η υπηρεσία εταιρικής ταυτοποίησης SAML εμφανίζει μια σελίδα αποτυχίας ελέγχου ταυτότητας.

1.4 Τελική Ταυτοποίηση με Ariba

• Το πρόγραμμα περιήγησης ανακατευθύνεται στη σελίδα όπως καθορίζεται στο URL Επιστροφής Ariba.
• Ο διακομιστής web Ariba αντιστοιχίζει τη σύνδεση στη σωστή σύνοδο βάσει του ID συνόδου στο cookie του προγράμματος περιήγησης. Η λογική που εκτελείται στην εφαρμογή Ariba επεξεργάζεται το έγγραφο Απόκρισης SAML και επαληθεύει την υπογραφή με το δημόσιο πιστοποιητικό του πελάτη.
• Σε έναν θετικό αγώνα:
• • Το καθορισμένο από χρήστη NameID είναι το ίδιο άτομο που ταυτοποιήθηκε στην υπηρεσία εταιρικής ταυτοποίησης νωρίτερα σε αυτήν τη διαδικασία ταυτοποίησης.
  • Το Ariba τότε ανακτά τη σελίδα προορισμού από την σύνοδο και τοποθετεί τον χρήστη στη σελίδα. Ο χρήστης μπορεί να συνεχίσει να χρησιμοποιεί το Ariba ως ταυτοποιημένο χρήστη, δεσμευμένος από τα προνόμια πρόσβασης που σχετίζονται με το ταυτοποιημένο ID Ονόματος.
• Διαφορετικά, εμφανίζεται ένα σφάλμα.

• Κατά την αποσύνδεση, η εφαρμογή Ariba θα αποσυνδεθεί από τις εφαρμογές της και μπορεί να εμφανιστεί στο URL αποσύνδεσης που παρέχεται από τον πελάτη.
• Η διαδικτυακή σύνοδος διαμορφώθηκε ώστε να λήξει μετά από 30 λεπτά αδράνειας.
• Το βήμα "Ταυτοποίηση Χρήστη με Εταιρική Ταυτοποίηση Πελάτη" είναι η εσωτερική υλοποίηση του πελάτη και θα αποφασιστεί από την υποδομή εταιρικής ασφάλειας.

2 Δείγμα Διαμόρφωσης

Αυτό το δείγμα παρουσιάζει τη διαμόρφωση ταυτοποίησης SAML με το Microsoft Azure AD single sign-on.

Το βήμα «Διαμόρφωση εταιρικής ταυτοποίησης Ariba Buyer» είναι μια κοινή διαμόρφωση στο Ariba Buyer. Άλλα βήματα για διαφορετικούς διακομιστές SAML IdP πρέπει να αναφέρονται στην τεκμηρίωση από τους αντίστοιχους προμηθευτές λογισμικού τρίτων.

2.1 Λεπτομέρειες Δείγματος

• Διεύθυνση URL SPID Ariba Buyer:

https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1

• URL Ανάλωσης Απόκρισης Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=Σύστημα

2.2 Διαμόρφωση του Azure AD Single Sign-On

1. Στην πύλη του Azure, επιλέξτε να προσθέσετε μια εφαρμογή «Non-gallery application».
   Σε αυτό το δείγμα, το όνομα εφαρμογής είναι ‘Ariba_Buyer’.
2. Μετά τη δημιουργία, από το ‘Quick Start’, επιλέξτε ‘Διαμόρφωση Single sign-on’ και ‘SAML based Sign-on’

Στη σελίδα Single sign-on, καταχωρίστε τις ακόλουθες τιμές:

Το αναγνωριστικό πρέπει να είναι το «SPID URL Ariba Buyer».
Το URL Απάντησης πρέπει να είναι το URL Ανάλωσης Απόκρισης Ariba SAML.

Επιλέξτε το Αναγνωριστικό Χρήστη. Αυτό το αναγνωριστικό χρήστη θα σταλεί ως «Αναγν/κό ονόματος» στην απάντηση SAML και θα χρησιμοποιηθεί ως αναγν/κό χρήστη Ariba Buyer.

Κατεβάστε και κρατήστε ένα τοπικό αντίγραφο του «Πιστοποιητικού (Base64)». Αυτό το πιστοποιητικό θα εγκατασταθεί στο Ariba Buyer σε επόμενο βήμα.

3. Ενεργοποιήστε το νέο πιστοποιητικό και Αποθηκεύστε την αλλαγή. Αυτό ολοκληρώνει τη διαμόρφωση Azure Single sign-on.

Στη συνέχεια, στην ίδια σελίδα, κάντε κλικ στη σύνδεση «Διαμόρφωση Ariba Buyer». Αυτή είναι η οδηγία του Azure για τη διαμόρφωση του Παρόχου Υπηρεσίας. Αντιγράψτε τα ακόλουθα URL από αυτή την οδηγία.

2.3 Διαμόρφωση Εταιρικής Ταυτοποίησης Ariba Buyer

2.3.1 Ενεργοποίηση Εταιρικού Ελέγχου Ταυτότητας

Βρείτε τον 'Εταιρικό Έλεγχο Ταυτότητας' από το Core Administration > Site Profile.

Ο ακόλουθος αριθμός είναι μόνο για πληροφοριακούς σκοπούς. Παρουσιάζει τα πεδία εισόδου που χρησιμοποιεί το Ariba για να ενεργοποιήσει την υπηρεσία.

1. Επιλέξτε «Ενεργοποίηση εταιρικού ελέγχου ταυτότητας» και επιλέξτε «Ταυτοποίηση SAML».
2. Ακολουθεί το πρωτόκολλο SAML 1.1 από προεπιλογή. Επιλέξτε Χρήση Αίτησης SAML για να ενεργοποιήσετε το πρωτόκολλο SAML 2.0. Θα καταχωρίσει Αίτηση SAML στο URL σύνδεσης.
3. Επιλέξτε ‘Προσθήκη URL Επιστροφής Παρόχου Υπηρεσιών’ για να ζητήσετε από την Ariba να δημιουργήσει URL επιστροφής στο όνομα παραμέτρου URL “ret”. Ο πελάτης μπορεί να χρησιμοποιήσει αυτό το URL για να καταχωρίσει την Απόκριση SAML.
4. Αντιγράψτε το περιεχόμενο του πιστοποιητικού που έχει ληφθεί από το Azure AD.
5. Αποθηκεύστε την αλλαγή.
   

Αυτό το βήμα θα τεθεί σε ισχύ αμέσως.

Αλλά, πριν ελέγξετε την ταυτοποίηση SAML με Azure AD, το επόμενο βήμα πρέπει ακόμη να εφαρμοστεί.

2.3.2 Προσθήκη ιδιωτικού κλειδιού Ariba

Πριν συνεχίσετε με το ακόλουθο βήμα, πρέπει να αποκτήσετε ένα ζεύγος κλειδιών RSA και να εισάγετε το ζεύγος κλειδιών RSA σε ένα Java Key Store (*.jks αρχείο).

Το ιδιωτικό κλειδί Ariba θα χρησιμοποιηθεί για την υπογραφή της αίτησης SAML.

1. Αντιγράψτε το αρχείο JKS στην τοποθεσία: <buyer_install>/Server/κλπ/certs φάκελος.
2. Προσθέστε ή τροποποιήστε το 'System.Authentication.Keystores.AribaPrivateKeystore' από τον πίνακα Parameters.για να περιέχει το περιεχόμενο που εμφανίζεται με έντονους χαρακτήρες στο παρακάτω snippet κωδικού.

• Επανεκκινήστε τον Διακομιστή Ariba Buyer για να ισχύσει η αλλαγή παραμέτρου.

Πρόσθετες Πληροφορίες

Αφού εγκαταστήσετε το WebLogic 11gR1 σε ένα νέο μηχάνημα, βεβαιωθείτε ότι η Ταυτοποίηση SAML λειτουργεί με το WebLogic 11gR1 Application Server. Πρέπει να κάνετε τις ακόλουθες μη αυτόματες αλλαγές για να διασφαλίσετε ότι ο έλεγχος ταυτότητας SAML λειτουργεί:
Για να διασφαλίσετε ότι ο έλεγχος ταυτότητας SAML λειτουργεί:
1 Σταματήστε τους διακομιστές.
2 Μεταβείτε στο φάκελο των ενοτήτων κάτω από τη θέση εγκατάστασης του WebLogic 11gR1 (/opt/be10mp36/modules/).
3 Εντοπίστε το αρχείο με το όνομα com.bea.core.be.opensaml2_1.0.0_6-2-0-0.jar.
4 Διαγράψτε αυτό το αρχείο jar ή μετονομάστε το σε com.bea.core.be.be.pe.opensaml2_1.0.0_6-2-0-0.jar.old, για να βεβαιωθείτε ότι αυτό το αρχείο jar δεν φορτώνεται κατά την εκκίνηση των διακομιστών και αντίθετα φορτώνει το σωστό αρχείο jar SAML που υπάρχει στον φάκελο /Server/Classes/. Αυτό το αρχείο jar χρησιμοποιείται από το σύστημα για την επιλογή της σωστής κατηγορίας XMLConfigurator για τη φόρτωση κατάλληλων δεδομένων SAML.
5 Επανεκκινήστε τους διακομιστές.

On-Premise > On-Premise - Αγοραστής Ariba