 |
| ||||||||
Ongelma
Kuinka konfiguroida SAML-todentaminen Ariba Buyer On-Premiselle?
Ratkaisu
SAML-todentaminen - Ariba Buyer On-Premise
Tämä asiakirja antaa esimerkkejä siitä, miten SAML-todennus voidaan toteuttaa, ja sen tarkoituksena on havainnollistaa sen taustalla olevia prosesseja ja konsepteja. Kolmannen osapuolen toimittajat tarjoavat useita SAML-tunnistustietojen tarjoajan (jäljempänä IdP) ratkaisuja. Vastuu minkä tahansa SAML IdP:n käyttöönotosta asiakkaan puolella on asiakkaalla.
1 SAML HTTP POST -sidontaprotokollan työnkulku
1.1 Edellytykset
Jotta asiakkaalla on pääsy Aribaan, seuraavat edellytykset täyttyvät:
- Käyttäjällä on oltava Ariba Buyerissa luotu tili, jossa Ariba-käyttäjätunnus on identtinen SAML-vastauksen nimitunnuksessa määritetyn käyttäjän yritystilin tunnuksen kanssa.
- Käyttäjän selain sallii evästeet ja JavaScriptin.
- Asiakas toimittaa Ariballe voimassa olevan julkisen varmenteen, yrityksen kirjautumisvälityssivun URL:n ja uloskirjautumisen URL:n.
1.2 Alkuperäinen yhteys Aribaan
- Käyttäjä käyttää Ariba Sourcing- tai Ariba Buyer -URL:ää. Tämä voi olla kotisivu tai syvä URL, jonka käyttäjä on lisännyt kirjanmerkkeihin tai vastaanottanut sähköpostissa.
- Ariba hakee soveltuvan todentamismenetelmän, joka tässä tapauksessa on SAML-yritystodennus.
- Ariba luo verkkoistunnon, asettaa istuntotunnusevästeen käyttäjän selaimeen ja tallentaa lopullisen kohde-URL:n sijainnin istuntoon.
Sen sijaan, että käyttäjän selain näyttäisi Ariban kirjautumissivun, hänet ohjataan asiakkaan suojaaman resurssin sivulle. Uudelleenohjaus-URL sisältää valinnaisesti palveluntarjoajan tunnuksen (SPID). Tämä parametri voi auttaa asiakasta tunnistamaan palveluntarjoajan ja julkaisemaan SAML-vastauksen todentamisen jälkeen, jos se isännöi geneeristä SAML IdP URL:ää.
1.3 Käyttäjän todentaminen asiakkaan yritystodennuksen avulla
- Ariban uudelleenohjaus-URL ohjaa käyttäjän selaimen resurssisivulle.
- Uudelleenohjauksen URL sisältää myös SPID:n.
- Koska tämä resurssisivu on suojattu resurssi, SAML-yritystodennuspalvelu sieppaa tämän pyynnön ja pyytää käyttäjätunnusta ja salasanaa (tai muita valtuustietomenetelmiä), jotka käyttäjä syöttää ja palauttaa yrityksen todennuspalveluun.
- SAML-yritystodennuspalvelu validoi valtuustiedot keskitettyä valtuustietohakemistoa vastaan.
- Onnistumisen perusteella:
- SAML-yritystodennuspalvelu asettaa istuntoevästeen käyttäjän selaimeen
- SAML-yritystodennuspalvelu hakee Ariban palautus-URL:n SPID:n perusteella
- SAML-yritystodennuspalvelu valmistelee allekirjoitetun SAML-vastauksen ja ohjaa selaimen julkaisemaan vastauksen Ariban palautus-URL:ään.
- Epäonnistumisen yhteydessä:
- SAML-yritystodennuspalvelu näyttää todennusvirhesivun.
1.4 Lopullinen todentaminen Ariban kanssa
- Selain ohjataan sivulle Ariban palautus-URL:ssä määritetyllä tavalla.
- Ariba-verkkopalvelin kohdistaa yhteyden oikeaan istuntoon selaimen evästeen istuntotunnuksen perusteella. Ariba-sovelluksessa käytettävä logiikka käsittelee SAML-vastausasiakirjan ja vahvistaa allekirjoituksen asiakkaan julkisella varmenteella.
- Positiivisessa vastaavuudessa:
- Käyttäjän määrittämä NameID on sama henkilö, joka todennettiin yrityksen todentamispalveluun aiemmin tässä todennusprosessissa.
- Ariba hakee kohdesivun istunnosta ja siirtää käyttäjän sivulle. Käyttäjä voi jatkaa Ariban käyttöä todennettuna käyttäjänä, jota sitovat todennettuun nimitunnukseen liittyvät käyttöoikeudet.
- Muussa tapauksessa näytetään virhe.
- Kirjauduttaessa ulos Ariba-sovellus kirjautuu ulos sovelluksistaan ja voi siirtyä asiakkaan antamaan uloskirjautumis-URL:ään.
- Web-istunto on määritetty vanhenemaan 30 minuutin käyttämättömyyden jälkeen.
- Käyttäjän todentaminen asiakkaan yritystodennuksella -vaihe on asiakkaan sisäinen toteutus, ja siitä päättää asiakkaan yrityksen turvallisuusinfrastruktuuri.
2 määritysotos
Tämä esimerkki esittelee SAML-todentamisen konfiguraation Microsoft Azure AD -kertakirjautumisen kanssa.
"Ariba Buyer -yrityksen todentamisen konfigurointi" -vaihe on yleinen konfiguraatio Ariba Buyerissa. Muiden SAML IdP -palvelimien vaiheiden tulee viitata vastaavien kolmannen osapuolen ohjelmistotoimittajien dokumentaatioon.
2.1 Otoksen lisätiedot
- Ariba Buyer -palvelun SPID:n URL:
https://mycompany.com/Buyer/Main?realm=System&passwordsovitin=PasswordAdapter1
- Ariba SAML -vastauksen kulutuksen URL:
https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=järjestelmä
2.2 Azure AD:n kertakirjautumisen konfigurointi
- Lisää Azure-portaaliin ei-galleriasovellus.
Tässä esimerkissä sovelluksen nimi on "Ariba_Buyer". - Valitse luonnin jälkeen pikakäynnistyksestä Konfiguroi kertakirjautuminen ja SAML-pohjainen kirjautuminen
Ilmoita Kertakirjautuminen -sivulla seuraavat arvot:
Tunnuksen tulee olla "Ariba Buyer SPID URL".
Vastaus-URL:n on oltava "Ariba SAML -vastauksen kulutuksen URL".
Valitse käyttäjätunnus. Tämä käyttäjätunnus lähetetään SAML-vastauksen nimitunnuksena, ja sitä käytetään Ariba Buyer -käyttäjätunnuksena.
Lataa ja säilytä paikallinen kopio ”Sertifikaatista (Base64)”. Tämä varmenne asennetaan Ariba Buyeriin myöhemmässä vaiheessa.
- Tee uusi varmenne aktiiviseksi ja tallenna muutos. Tämä suorittaa loppuun Azure Single Sign-on -asetusten määrityksen.
Napsauta sitten samalla sivulla Konfiguroi Ariba_Buyer -linkkiä. Tämä on Azuren ohje palveluntarjoajan konfigurointia varten. Kopioi seuraavat URL-osoitteet tästä ohjeesta.
2.3 Ariba Buyer -yritystodennuksen konfigurointi
2.3.1 Ota yritystodennus käyttöön
Etsi Yrityksen todentaminen kohdasta Core Administration > Site Profile.
Seuraava kuva on tarkoitettu vain tiedoksi. Se esittelee syöttökentät, joita Ariba käyttää palvelun aktivointiin.
- Valitse Ota yrityksen todentaja käyttöön ja valitse SAML-todentaminen.
- Se noudattaa SAML 1.1 -protokollaa oletusarvoisesti. Ota SAML 2.0 -yhteyskäytäntö käyttöön valitsemalla Käytä SAML-pyyntöä. Se julkaisee SAML-pyynnön kirjautumisen URL-osoitteeseen.
- Valitsemalla "Lisää palveluntarjoajan palautus-URL" voit pyytää Aribaa generoimaan palautus-URL:n URL-parametrin nimessä "ret". Asiakas voi käyttää tätä URL-osoitetta SAML-vastauksen julkaisemiseen.
- Kopioi Azure AD:stä ladatun varmenteen sisältö.
- Tallenna muutos.
Tämä vaihe tulee voimaan välittömästi.
Ennen SAML-todentamisen testausta Azure AD:n kanssa on kuitenkin noudatettava seuraavaa askelta.
2.3.2 Lisää Ariban yksityinen avain
Ennen seuraavaan vaiheeseen siirtymistä sinun tulee hankkia RSA-avainpari ja tuoda RSA-avainpari Java Key Storeen (*.jks-tiedosto).
Ariban yksityistä avainta käytetään SAML-pyynnön allekirjoittamiseen.
- Kopioi JKS-tiedosto sijaintiin: <buyer_install>/Server/etc/certs -kansio.
- Lisää tai muuta kohtaa ”System.Authentication.Keystores.AribaPrivateKeystore” Parameters.table-taulusta sisältämään seuraavassa koodikatkelmassa lihavoituna näytettävä sisältö.
|
Todentaminen = { Tunnistetiedot = { OmaTunnistetiedot = { Salasana = ""; Käyttäjänimi = "";};}; Avaimet = { AribaPrivateKeystore = { Tiedosto = "etc/certs/<sample_key_store>.jks"; Avaimet = { Key1 = { Alias = <sample_alias>; KeyPassword = "<sample_key_pass>"; (s) (s) StorePassword = "<sample_store_pass>"; Tyyppi = jks; (s) (s) (s) |
- Käynnistä Ariba Buyer -palvelin uudelleen, jotta parametrimuutos tulee voimaan.
Lisätiedot
Kun olet asentanut WebLogic 11gR1:n uuteen koneeseen, varmista, että SAML-todennus toimii WebLogic 11gR1 -sovelluspalvelimen kanssa. Sinun on tehtävä seuraavat manuaaliset muutokset varmistaaksesi, että SAML-todentaminen toimii:
SAML-todentamisen toimivuuden varmistaminen:
1 Pysäytä palvelimet.
2 Siirry moduulikansioon sen sijainnin alla, johon WebLogic 11gR1 on asennettu (/opt/bea10mp36/Module/).
3 Etsi tiedosto nimeltä com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Poista tämä jar-tiedosto tai nimeä se uudelleen muotoon com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old, jotta varmistetaan, että tämä jar-tiedosto ei lataudu palvelimia käynnistettäessä ja lataa sen sijaan korjattu SAML-jar-tiedosto /Server/Class/ -kansiossa. Järjestelmä käyttää tätä JAR-tiedostoa oikean XMLConfigurator-luokan noutamiseen oikeiden SAML-tietojen lataamista varten.
5 Käynnistä palvelimet uudelleen.
On-Premise > On-Premise - Ariba Buyer