Problem

Kako konfigurirati SAML provjeru autentičnosti za Ariba Buyer On-Premise?

Rješenje

SAML provjera autentičnosti za lokalni Ariba Buyer

Ovaj dokument daje primjere kako se SAML provjera autentičnosti može implementirati i namijenjena je ilustraciji procesa i koncepata koji stoje iza nje. Postoji nekoliko rješenja SAML davatelja identiteta (‘IdP’ u daljnjem tekstu) koja nude dobavljači treće strane. Odgovornost za implementaciju SAML IdP-a na strani stranke nalazi se na stranci.

1 Tok protokola povezivanja SAML HTTP POST

1.1 Preduvjeti

Kako bi stranka imala pristup Aribi, primjenjuju se sljedeći preduvjeti:

• Korisnik mora imati stvoren račun u Ariba Buyeru u kojem je Ariba UserID identičan ID-u korporativnog računa korisnika kako je navedeno u ID-u naziva odgovora SAML.
• Korisnikov preglednik dopušta kolačiće i JavaScript.
• Stranka daje Aribi valjan javni certifikat, URL stranice releja za korporativnu prijavu i URL odjave.

1.2 Početno povezivanje s Aribom

• Korisnik pristupa URL-u Ariba Sourcinga ili Ariba Buyera. To može biti početna stranica ili duboki URL koji je korisnik označio ili primio u e-poruci.
• Ariba traži primjenjivu metodu autentifikacije, koja će u ovom slučaju biti SAML korporativna provjera autentičnosti.
• Ariba stvara web-sesiju, postavlja kolačić ID-a sesije u korisnikov preglednik i sprema lokaciju konačnog odredišnog URL-a u sesiju.

Umjesto prikaza Aribine stranice za prijavu, korisnikov preglednik preusmjerava se na stranicu zaštićenog resursa stranke. URL preusmjeravanja neobvezno će uključivati ID davatelja usluge (SPID), ovaj parametar može pomoći stranci da identificira davatelja usluge i gdje treba objaviti odgovor SAML nakon provjere autentičnosti ako hostira generički URL SAML IdP-a.

1.3 Provjera autentičnosti korisnika s korporativnom provjerom autentičnosti korisnika

• Aribin URL za preusmjeravanje preusmjerava korisnikov preglednik na stranicu resursa.
• URL preusmjeravanja sadržava i SPID.
• Budući da je ova stranica resursa zaštićeni resurs, SAML servis za provjeru autentičnosti poduzeća presreće ovaj zahtjev i traži korisničko ime i lozinku (ili druge metode vjerodajnica) koje korisnik unese i vrati na servis za provjeru autentičnosti poduzeća.
• Usluga SAML za korporativnu provjeru autentičnosti validira vjerodajnice u odnosu na središnje spremište vjerodajnica.
• O uspjehu:
• • Korporativni servis za provjeru autentičnosti SAML postavlja kolačić sesije vjerodajnica u korisnikov preglednik
  • Servis za korporativnu provjeru autentičnosti SAML dohvaća URL povrata iz Aribe na osnovi SPID-a
  • Servis za provjeru autentičnosti poduzeća SAML priprema potpisani odgovor SAML i preusmjerava preglednik kako bi objavio odgovor na Aribin URL povrata.
• Nakon neuspjeha:
• • Usluga provjere autentičnosti poduzeća SAML prikazuje stranicu neuspjeha provjere autentičnosti.

1.4 Konačna provjera autentičnosti s Aribom

• Preglednik se preusmjerava na stranicu kako je navedeno u Aribinu URL-u za povrat.
• Aribin web-poslužitelj mapira vezu na ispravnu sesiju na osnovi ID-a sesije u kolačiću preglednika. Logika koja se izvodi na Aribinoj aplikaciji obrađuje dokument SAML odgovora i verificira potpis s pomoću javnog certifikata stranke.
• Na pozitivnoj utakmici:
• • Korisnički definiran NameID ista je osoba koja je ranije u ovom procesu provjere autentičnosti provjerila autentičnost za servis za provjeru autentičnosti poduzeća.
  • Ariba zatim dohvaća odredišnu stranicu iz sesije i korisnika stavlja na tu stranicu. Korisnik može nastaviti upotrebljavati Aribu kao autentificiranog korisnika koji je vezan ovlastima pristupa povezanim s provjerenim ID-om naziva.
• U suprotnom se prikazuje pogreška.

• Nakon odjave, Aribina aplikacija odjavit će se iz svojih aplikacija i može doći na URL odjave koji navodi stranka.
• Web-sesija konfigurirana je tako da istekne nakon 30 minuta neaktivnosti.
• Korak "Provjera autentičnosti korisnika s korporativnom provjerom autentičnosti korisnika" interna je implementacija korisnika i o njoj će odlučiti njihova korporativna sigurnosna infrastruktura.

2 Uzorak konfiguracije

Ovaj uzorak pokazuje konfiguraciju provjere autentičnosti za SAML uz jedinstvenu prijavu Microsoft Azure AD.

Korak ‘Konfiguriranje korporativne provjere autentičnosti Ariba Buyer’ uobičajena je konfiguracija u Ariba Buyeru. Drugi koraci za različite poslužitelje SAML IdP-a trebaju se odnositi na dokumentaciju odgovarajućih dobavljača softvera treće strane.

2.1 Detalji uzorka

• URL SPID-a Ariba Buyera:

https://mycompany.com/Buyer/Main?područje=System&passwordadapter=PasswordAdapter1

• URL potrošnje odgovora Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System

2.2 Konfiguriranje jedinstvene prijave Azure AD

1. Na portalu Azure izaberite dodavanje aplikacije ‘Aplikacija bez galerije’.
   U ovom uzorku naziv aplikacije je ‘Ariba_Buyer’.
2. Nakon stvaranja iz ‘Brzog pokretanja’ izaberite ‘Konfiguriraj jedinstvenu prijavu’ i ‘Prijava na osnovi SAML-a’

Na stranici Jedinstvena prijava navedite sljedeće vrijednosti:

Identifikator mora biti "URL SPID-a Ariba Buyera".
URL odgovora treba biti ‘URL potrošnje odgovora Ariba SAML’.

Izaberite Identifikator korisnika. Ovaj identifikator korisnika poslat će se kao "ID imena" u SAML odgovoru i upotrebljavat će se kao korisnički ID Ariba Buyera.

Preuzmite i zadržite lokalni primjerak ‘Certifikata (Base64)’. Ovaj certifikat instalirat će se u Ariba Buyeru u kasnijem koraku.

3. Aktivirajte novi certifikat i spremite promjenu. Time se dovršava postavljanje Azure jedinstvene prijave.

Zatim na istoj stranici kliknite vezu 'Konfiguriraj Ariba_Buyer'. Ovo je Azurina uputa za konfiguriranje davatelja usluga. Kopirajte sljedeće URL-ove iz ove upute.

2.3 Konfiguriranje korporativne provjere autentičnosti Ariba Buyera

2.3.1 Omogući korporativnu provjeru autentičnosti

Pronađite ‘Provjera autentičnosti poduzeća’ u Glavna administracija > Profil stranice.

Sljedeća brojka služi samo u informativne svrhe. Pokazuje polja unosa koja Ariba upotrebljava za omogućivanje servisa.

1. Označite ‘Omogući korporativni autentikator’ i odaberite ‘SAML provjera autentičnosti’.
2. Prema zadanim postavkama slijedi protokol SAML 1.1. Odaberite Upotrijebi zahtjev SAML kako biste omogućili protokol SAML 2.0. Objavit će SAML zahtjev na URL prijave.
3. Odaberite 'Dodaj URL povrata davatelja usluga' kako biste od Aribe zatražili da generira povratni URL u nazivu parametra URL-a “ret”. Stranka može upotrijebiti ovaj URL kako bi objavila svoj SAML odgovor.
4. Kopirajte sadržaj certifikata preuzetog iz Azure AD.
5. Spremite promjenu.
   

Ovaj korak stupit će na snagu odmah.

Međutim, prije testiranja SAML provjere autentičnosti s Azure AD, još uvijek je potrebno primijeniti sljedeći korak.

2.3.2 Dodavanje Aribina privatnog ključa

Prije nego što nastavite na sljedeći korak, trebate dobiti par RSA ključeva i uvesti par RSA ključeva u Java Key Store (*.jks datoteku).

Aribin privatni ključ upotrijebit će se za potpisivanje zahtjeva SAML.

1. Kopirajte datoteku JKS na lokaciju: <buyer_mide>/Server/etc/certs mapu.
2. Dodajte ili izmijenite ‘System.Authentication.Keystores.AribaPrivateKeystore’ iz Parameters.table kako bi sadržavao sadržaj prikazan podebljano u sljedećem isječku koda.

• Ponovo pokrenite poslužitelj Ariba Buyer kako bi promjena parametra stupila na snagu.

Dodatne informacije

Nakon instalacije WebLogic 11gR1 na novom računalu, provjerite radi li SAML provjera autentičnosti s WebLogic 11gR1 aplikacijskim poslužiteljem. Morate izvršiti sljedeće ručne promjene kako biste osigurali da SAML provjera autentičnosti funkcionira:
Za osiguravanje da SAML provjera autentičnosti funkcionira:
1 Zaustavite poslužitelje.
2 Idite na mapu modula ispod lokacije gdje je instalirana WebLogic 11gR1 (/opt/bea10mp36/module/).
3 Pronađite datoteku pod nazivom com.bea.core.bea.opensaml2_1.0.0_6-2-0-0.jar.
4 Izbrišite ovu datoteku jar ili je preimenujte u com.bea.core.bea.opensaml2_1.0.0_6-2-0-0.jar.old kako biste osigurali da se ova jar datoteka ne učita pri pokretanju poslužitelja i umjesto toga učitava ispravku.SAML jar datoteku koja se nalazi u mapi /Server/Class/. Ovu datoteku jar upotrebljava sustav za preuzimanje točne klase XMLConfiguratora za učitavanje ispravnih SAML podataka.
5 Ponovno pokrenite poslužitelje.

Lokalno > Lokalno - Ariba Buyer