Probléma

Hogyan lehet konfigurálni az SAML-hitelesítést az Ariba Buyer On-Premise megoldáshoz?

Megoldás

SAML-hitelesítés az Ariba Buyer On-Premise megoldáshoz

Ez a dokumentum példákat tartalmaz arra, hogyan valósítható meg az SAML-hitelesítés, és célja a mögötte álló folyamatok és koncepciók bemutatása. A továbbiakban számos SAML-identitásszolgáltatói (IdP) megoldás érhető el, amelyeket külső szolgáltatók kínálnak. Az ügyféloldalon bármely SAML IdP implementálásáért az ügyfél tartozik felelősséggel.

1 SAML HTTP POST kötési protokoll folyamat

1.1 Előfeltételek

Annak érdekében, hogy az ügyfél hozzáférhessen az Aribához, a következő előfeltételek érvényesek:

• A felhasználónak rendelkeznie kell egy olyan fiókkal az Ariba Buyerben, amelyben az Ariba UserID megegyezik a felhasználó SAML-válaszban megadott vállalati ügyfél-azonosítójával.
• A felhasználó böngészője engedélyezi a cookie-kat és a JavaScriptet.
• Az ügyfél egy érvényes nyilvános tanúsítványt, egy vállalati bejelentkezési relay oldal URL-címet és egy kijelentkezési URL-t biztosít az Aribának.

1.2 Kezdeti kapcsolat az Aribával

• Egy felhasználó hozzáfér az Ariba Sourcing vagy az Ariba Buyer URL-címhez. Ez lehet a kezdőlap vagy a felhasználó által könyvjelzőként megjelölt vagy e-mailben kapott mély URL.
• Az Ariba kikeresi az alkalmazandó hitelesítési módszert, amely ebben az esetben SAML vállalati hitelesítés lesz.
• Az Ariba létrehoz egy webes munkamenetet, beállítja a munkamenet-azonosító cookie-t a felhasználó böngészőjében, és elmenti a végső cél-URL helyét a munkamenetben.

Az Ariba bejelentkezési oldalának megjelenítése helyett a felhasználó böngészője az ügyfélvédett erőforrások oldalára lesz átirányítva. Az átirányítási URL opcionálisan tartalmazni fogja a szolgáltatóazonosítót (SPID) is. Ez a paraméter segíthet az ügyfélnek azonosítani a szolgáltatót, és ha általános SAML IdP URL-t tárol, akkor a hitelesítést követően hol kell elküldenie a SAML-választ.

1.3 Felhasználóhitelesítés az ügyfél vállalati hitelesítésével

• Az Ariba átirányítási URL-címe átirányítja a felhasználó böngészőjét az erőforrásoldalra.
• Az átirányítási URL tartalmazza az SPID-t is.
• Mivel ez az erőforrásoldal védett erőforrás, az SAML vállalati hitelesítési szolgáltatás leállítja ezt a kérést, és rákérdez a felhasználónévre és a jelszóra (vagy más hitelesítési módszerekre), amelyeket a felhasználó ad meg, és visszaküldi a vállalati hitelesítési szolgáltatásnak.
• Az SAML Corporate Authentication szolgáltatás ellenőrzi a hitelesítő adatokat a központi hitelesítő adatok tárházával szemben.
• A sikerről:
• • A SAML vállalati hitelesítési szolgáltatás beállítja a hitelesítő adatok munkamenetének cookie-ját a felhasználó böngészőjében
  • Az SAML vállalati hitelesítési szolgáltatás az Ariba visszaküldési URL-jét az SPID alapján hívja le
  • A SAML vállalati hitelesítési szolgáltatás előkészít egy aláírt SAML-választ, és átirányítja a böngészőt, hogy tegye közzé a választ az Ariba visszatérési URL-jére.
• Hiba esetén:
• • Az SAML vállalati hitelesítési szolgáltatás megjeleníti a hitelesítési hibák oldalát.

1.4 Végső hitelesítés az Aribával

• A böngésző az Ariba visszaküldési URL-jében megadott oldalra lesz átirányítva.
• Az Ariba webszerver a megfelelő munkamenethez rendeli hozzá a kapcsolatot a böngésző cookie-ban lévő munkamenet-azonosító alapján. Az Ariba alkalmazáson futó logika feldolgozza az SAML-válaszdokumentumot, és ellenőrzi az aláírást az ügyfél nyilvános tanúsítványával.
• Pozitív mérkőzésen:
• • A felhasználó által definiált névazonosító ugyanaz a személy, aki a hitelesítési folyamat során korábban hitelesítette magát a vállalati hitelesítési szolgáltatásban.
  • Az Ariba ezután lehívja a céloldalt a munkamenetből, és az oldalra irányítja a felhasználót. A felhasználó továbbra is használhatja az Aribát hitelesített felhasználóként, a hitelesített névazonosítóhoz kapcsolódó hozzáférési jogosultságokhoz kötve.
• Ellenkező esetben hiba jelenik meg.

• Kijelentkezéskor az Ariba alkalmazás kijelentkezik az alkalmazásaiból, és az ügyfél által megadott kijelentkezési URL-címre jut.
• A webes munkamenet 30 perc üresjárati idő után lejár.
• A „Felhasználóhitelesítés az Ügyfél Vállalati Hitelesítésével” lépés az ügyfél belső implementációja, amelyről a vállalati biztonsági infrastruktúrája dönt.

2 Konfigurációs minta

Ez a minta az SAML-hitelesítés konfigurációját mutatja be a Microsoft Azure AD egyszeri bejelentkezéssel.

Az „Ariba Buyer vállalati hitelesítésének konfigurálása” lépés az Ariba Buyer általános konfigurációja. A különböző SAML IdP-szerverek további lépéseit az érintett külső szoftvergyártók dokumentációjában találja.

2.1 Minta részletei

• Ariba Buyer SPID URL-címe:

https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1

• Ariba SAML-válasz felhasználási URL-címe:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=Rendszer

2.2 Az Azure AD Single Sign-On konfigurálása

1. Az Azure Portalon válassza ki, hogy hozzáad egy „Nem galéria alkalmazás” alkalmazást.
   Ebben a mintában az alkalmazás neve „Ariba_Buyer”.
2. A létrehozás után a „Quick Start”-ból válassza az „Egyszeri bejelentkezés konfigurálása” és a „SAML-alapú bejelentkezés” lehetőséget.

Az Egyszeri bejelentkezés oldalon adja meg a következő értékeket:

Az azonosító csak az „Ariba Buyer SPID URL” lehet.
A válasz URL-címe csak az „Ariba SAML-válasz felhasználási URL-címe” lehet.

Válassza a Felhasználóazonosító lehetőséget. Ezt a felhasználóazonosítót a rendszer „névazonosítóként” küldi el az SAML-válaszban, és Ariba Buyer felhasználói azonosítóként használja.

Töltse le és őrizze meg a „Certificate(Base64)” helyi másolatát. Ez a tanúsítvány egy későbbi lépésben kerül telepítésre az Ariba Buyer számára.

3. Állítsa aktívra az új tanúsítványt, és mentse a módosítást. Ezzel befejeződik az Azure Single Sign-on beállítása.

Ezután ugyanezen az oldalon kattintson az „Ariba_Buyer konfigurálása” hivatkozásra. Ez az Azure útmutatója a szolgáltató konfigurálására. Másolja ki a következő URL-címeket ebből az utasításból.

2.3 Az Ariba Buyer vállalati hitelesítésének konfigurálása

2.3.1 Vállalati hitelesítés engedélyezése

Keresse meg a „Vállalati hitelesítés” elemet az Alapadminisztráció > Oldalprofil menüpontban.

A következő ábra csak tájékoztatási célt szolgál. Bemutatja azokat a beviteli mezőket, amelyeket az Ariba a szolgáltatás engedélyezésére használ.

1. Jelölje be az „Enable Corporate Authenticator” (Vállalati hitelesítő engedélyezése) jelölőnégyzetet, és válassza a „SAML-hitelesítés” lehetőséget.
2. Alapértelmezés szerint a SAML 1.1 protokollt követi. A SAML 2.0 protokoll engedélyezéséhez válassza a SAML-kérelem használata lehetőséget. A SAML-kérést a bejelentkezési URL-címre küldi.
3. Válassza a „Szolgáltató visszatérési URL-címének hozzáadása” lehetőséget, hogy megkérje az Aribát, hogy generáljon visszatérési URL-t a „ret” URL-paraméternévben. Az ügyfél ezzel az URL-lel küldheti el az SAML-válaszát.
4. Másolja az Azure AD-ból letöltött tanúsítvány tartalmát.
5. Mentse a módosítást.
   

Ez a lépés azonnal érvénybe lép.

De mielőtt az SAML-hitelesítést az Azure AD-szel tesztelné, a következő lépést továbbra is alkalmazni kell.

2.3.2 Saját Ariba kulcs hozzáadása

Mielőtt továbblépne a következő lépésre, szerezzen be egy RSA-kulcspárt, és importálja az RSA-kulcspárt egy Java kulcstárolóba (*.jks fájl).

Az SAML-kérés aláírására az Ariba privát kulcs szolgál.

1. Másolja a JKS fájlt a <buyer_install>/Server/etc/certs mappába.
2. Adja hozzá vagy módosítsa a Parameters.table „System.Authentication.Keystores.AribaPrivateKeystore” mezőjét, hogy az alábbi kódrészletben félkövéren megjelenő tartalmat tartalmazza.

• A paraméter módosításának érvénybe léptetéséhez indítsa újra az Ariba Buyer Servert.

Kiegészítő információk

Miután telepítette a WebLogic 11gR1-et egy új gépre, győződjön meg róla, hogy a SAML Authentication működik a WebLogic 11gR1 applikációs szerverrel. A SAML-hitelesítés működéséhez a következő manuális módosításokat kell végrehajtania:
Az SAML-hitelesítés működésének biztosítása érdekében:
1 Állítsa le a szervereket.
2 Menjen a modulok mappájába a WebLogic 11gR1 telepítésének helye alatt (/opt/bea10mp36/Module/).
3 Keresse meg a com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar nevű fájlt.
4 Törölje ezt a jar fájlt, vagy nevezze át com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old névre, hogy a jar-fájl ne töltődjön be a szerverek indításakor, hanem a /Server/Classes/ mappában található helyes SAML jar fájlt töltse be. Ezt a JAR-fájlt a rendszer arra használja, hogy felvegye a megfelelő XMLConfigurator osztályt a megfelelő SAML-adatok betöltéséhez.
5 Indítsa újra a szervereket.

Helyszínen nyújtott > Helyszínen nyújtott - Ariba Buyer