 |
| ||||||||
Problème
Comment configurer l'authentification SAML pour Ariba Buyer On-Premise ?
Solution
Authentification SAML pour Ariba Buyer On-Premise
Ce document donne des exemples de la manière dont l'authentification SAML peut être implémentée et vise à illustrer les processus et les concepts sous-jacents. Plusieurs solutions de fournisseur d'identités SAML (« IdP » par la suite) sont proposées par des fournisseurs tiers. La responsabilité de l'implémentation de tout fournisseur d'identités SAML côté client incombe au client.
1 Flux de protocole de liaison HTTP POST SAML
1.1 Conditions préalables
Pour qu'un client ait accès à Ariba, les conditions préalables suivantes s'appliquent :
- L'utilisateur doit disposer d'un compte créé dans Ariba Buyer où l'ID utilisateur Ariba est identique à l'ID de compte d'entreprise de l'utilisateur spécifié dans l'ID de nom de réponse SAML.
- Le navigateur de l’utilisateur autorise les cookies et JavaScript.
- Le client fournit à Ariba un certificat public valide, une URL de page de relais de connexion d'entreprise et une URL de déconnexion.
1.2 Connexion initiale à Ariba
- Un utilisateur accède à l'URL Ariba Sourcing ou Ariba Buyer. Il peut s'agir de la page d'accueil ou d'un URL profond qu'un utilisateur a ajouté à un signet ou reçu dans un e-mail.
- Ariba recherche la méthode d'authentification applicable, qui dans ce cas sera l'authentification SAML Corporate.
- Ariba crée une session Web, définit le cookie d'ID de session dans le navigateur de l'utilisateur et enregistre l'emplacement de l'URL de destination finale dans la session.
Au lieu d'afficher une page de connexion Ariba, le navigateur de l'utilisateur est redirigé vers la page de ressources protégée par le client. L'URL de redirection inclura facultativement l'ID du fournisseur de services (SPID). Ce paramètre peut aider le client à identifier le fournisseur de services et à quel endroit il doit publier la réponse SAML après l'authentification s'il héberge une URL de fournisseur d'identités SAML générique.
1.3 Authentification des utilisateurs avec authentification Entreprise du client
- Le navigateur de l'utilisateur est redirigé vers la page des ressources par l'URL de redirection Ariba.
- L'URL de redirection contient également le SPID.
- Étant donné que cette page de ressource est une ressource protégée, le service d'authentification Entreprise SAML intercepte cette demande et invite à saisir un nom d'utilisateur et un mot de passe (ou d'autres méthodes d'identification) qui sont saisis par l'utilisateur et renvoyés au service d'authentification Entreprise.
- Le service d'authentification SAML Corporate valide les identifiants par rapport au référentiel d'identifiants central.
- En cas de réussite :
- Le service d'authentification Entreprise SAML définit un cookie de session d'identification dans le navigateur de l'utilisateur.
- Le service d'authentification Entreprise SAML récupère l'URL de retour Ariba en fonction du SPID.
- Le service d'authentification Entreprise SAML prépare une réponse SAML signée et redirige le navigateur pour publier la réponse à l'URL de retour Ariba.
- En cas d'échec :
- Le service d'authentification SAML Corporate affiche une page d'échec de l'authentification.
1.4 Authentification finale avec Ariba
- Le navigateur est redirigé vers la page comme indiqué dans l'URL de retour Ariba.
- Le serveur Web Ariba mappe la connexion à la session appropriée en fonction de l'ID de session dans le cookie du navigateur. La logique exécutée sur l'application Ariba traite le document de réponse SAML et vérifie la signature avec le certificat public du client.
- Sur une correspondance positive :
- NameID défini par l'utilisateur est la même personne que celle qui s'est authentifiée auprès du service d'authentification Entreprise précédemment dans ce processus d'authentification.
- Ariba récupère ensuite la page de destination de la session et accède à l'utilisateur sur la page. L'utilisateur peut continuer à utiliser Ariba en tant qu'utilisateur authentifié, lié aux droits d'accès associés à l'ID de nom authentifié.
- Sinon, une erreur s'affiche.
- À la déconnexion, l'application Ariba se déconnectera de ses applications et pourra accéder à l'URL de déconnexion fournie par le client.
- La session Web est configurée pour expirer au bout de 30 minutes de temps d'inactivité.
- L'étape « Authentification des utilisateurs avec l'authentification d'entreprise du Client » est l'implémentation interne du client et sera décidée par son infrastructure de sécurité d'entreprise.
2 Exemple de configuration
Cet exemple illustre la configuration de l'authentification SAML avec la connexion unique Microsoft Azure AD.
L'étape "Configurer l'authentification d'entreprise Ariba Buyer" est une configuration courante dans Ariba Buyer. Les autres étapes pour différents serveurs de fournisseur d'identités SAML doivent se référer à la documentation des fournisseurs de logiciels tiers respectifs.
2.1 Détails de l'échantillon
- URL SPID Ariba Buyer :
https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1
- URL de consommation de réponse SAML Ariba :
https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=Système
2.2 Configuration de la connexion unique Azure AD
- Dans le portail Azure, choisissez d’ajouter une application « Non-gallery application ».
Dans cet exemple, le nom de l'application est "Ariba_Buyer". - Après la création, à partir de "Démarrage rapide", sélectionnez "Configurer Single Sign-On" et "Connexion basée sur SAML".
Sur la page Single Sign-On, indiquez les valeurs suivantes :
L'identifiant doit être l'"URL SPID Ariba Buyer".
L'URL de réponse doit être l'"URL de consommation de réponse SAML Ariba".
Sélectionnez l' Identifiant utilisateur. Cet identifiant utilisateur est envoyé comme "ID du nom" dans la réponse SAML et utilisé comme ID utilisateur acheteur Ariba.
Téléchargez et conservez une copie locale du « Certificat (Base64) ». Ce certificat sera installé dans Ariba Buyer lors d'une étape ultérieure.
- Rendez le nouveau certificat actif et sauvegardez la modification. Cela termine la configuration de l'authentification unique Azure.
Sur la même page, cliquez sur le lien "Configurer Ariba_Buyer". Il s’agit de l’instruction d’Azure de configurer le fournisseur de services. Copiez les URL suivantes à partir de cette instruction.
2.3 Configurer l'authentification d'entreprise Ariba Buyer
2.3.1 Activer l'authentification de l'entreprise
Recherchez « Authentification d'entreprise » dans Administration centrale > Profil du site.
La figure suivante est fournie à titre d'information uniquement. Il présente les champs d'entrée qu'Ariba utilise pour activer le service.
- Cochez "Activer l'authentificateur d'entreprise" et sélectionnez "Authentification SAML".
- Il suit le protocole SAML 1.1 par défaut. Sélectionnez Utiliser une demande SAML pour activer le protocole SAML 2.0. Il enverra la demande SAML à l'URL de connexion.
- Sélectionnez "Ajouter l'URL de retour du prestataire de services" pour demander à Ariba de générer une URL de retour dans le nom du paramètre URL "ret". Le client peut utiliser cette URL pour publier sa réponse SAML.
- Copiez le contenu du certificat téléchargé à partir d’Azure AD.
- Sauvegardez la modification.
Cette étape prendra effet immédiatement.
Mais, avant de tester l’authentification SAML avec Azure AD, l’étape suivante doit encore être appliquée.
2.3.2 Ajouter une clé privée Ariba
Avant de passer à l'étape suivante, vous devez obtenir une paire de clés RSA et importer la paire de clés RSA dans un keystore Java (fichier *.jks).
La clé privée Ariba sera utilisée pour signer la demande SAML.
- Copiez le fichier JKS à l'emplacement suivant : dossier <buyer_install>/Server/etc/certs.
- Ajoutez ou modifiez "System.Authentication.Keystores.AribaPrivateKeystore" à partir de la table Parameters.table pour qu'il contienne le contenu affiché en gras dans l'extrait de code suivant.
|
Authentification = { Identifiants = { Mes identifiants = { Mot de passe = "" ; Nom d'utilisateur = "";};} ; Keystores = { AribaPrivateKeystore = { Fichier = "etc/certs/<sample_key_store>.jks" ; Clés = { Clé1 = { Alias = <alias sample_alias> ; KeyPassword = "<sample_key_pass>" ; } ; } ; StorePassword = "<sample_store_pass>" ; Type = jks ; } ; } ; } ; |
- Redémarrez le serveur Ariba Buyer pour que la modification des paramètres prenne effet.
Informations supplémentaires
Après avoir installé WebLogic 11gR1 sur un nouvel ordinateur, assurez-vous que l'authentification SAML fonctionne avec le serveur d'applications WebLogic 11gR1. Vous devez effectuer les modifications manuelles suivantes pour vous assurer que l'authentification SAML fonctionne :
Pour vous assurer que l'authentification SAML fonctionne :
1 Arrêtez les serveurs.
2 Accédez au dossier des modules sous l'emplacement où WebLogic 11gR1 est installé (/opt/bea10mp36/modules/).
3 Recherchez le fichier nommé com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Supprimez ce fichier jar ou renommez-le com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old pour vous assurer que ce fichier jar n'est pas chargé lors du démarrage des serveurs et charge le fichier jar correct.SAML présent dans le dossier /Server/Classes/. Ce fichier jar est utilisé par le système pour récupérer la classe XMLConfigurator correcte afin de charger les données SAML appropriées.
5 Redémarrez les serveurs.
On-Premise > On-Premise - Ariba Buyer