 |
| ||||||||
問題
Ariba Buyer オンプレミスの SAML Authentication を設定する方法を教えてください。
ソリューション
Ariba Buyer オンプレミスの SAML 認証
この文書では、SAML 認証の実装方法の例を示します。この文書は、SAML 認証の背後にあるプロセスおよびコンセプトを説明することを目的としています。サードパーティベンダが提供する SAML アイデンティティプロバイダ ('IdP') ソリューションは複数あります。カスタマ側での SAML IdP の実装に対する責任は、カスタマにあります。
1 SAML HTTP POST Binding プロトコルフロー
1.1 前提条件
顧客が Ariba にアクセスできるようにするには、以下の前提条件が適用されます。
- ユーザーは、Ariba Buyer で作成されたアカウントを持っている必要があります。Ariba ユーザー ID は、SAML 応答の名前 ID で指定されたユーザーの法人アカウント ID と同一です。
- ユーザのブラウザでは、クッキーおよび JavaScript が許可されます。
- 顧客は、有効な公開証明書、企業ログインリレーページの URL、およびログアウト URL を Ariba に提供します。
1.2 Ariba との初期接続
- ユーザーが Ariba Sourcing または Ariba Buyer の URL にアクセスします。これは、ユーザーがブックマークしたホームページまたはディープ URL、または電子メールで受信したディープ URL です。
- Ariba は該当する認証方法 (この場合は SAML Corporate Authentication) を検索します。
- Ariba は Web セッションを作成し、ユーザーのブラウザーでセッション ID クッキーを設定し、最終送信先 URL の場所をセッションに保存します。
ユーザーのブラウザは、Ariba ログインページを表示する代わりに、お客様が保護したリソースページにリダイレクトされます。リダイレクト URL には、オプションでサービスプロバイダ ID (SPID) が含まれます。このパラメータは、カスタマがサービスプロバイダを識別するのに役立ち、汎用 SAML IdP URL をホストする場合に認証後に SAML 応答を投稿する場所に役立ちます。
1.3 顧客の企業認証によるユーザー認証
- ユーザーのブラウザは、Ariba リダイレクト URL によってリソースページにリダイレクトされます。
- リダイレクト URL には SPID も含まれています。
- このリソースページは保護されたリソースであるため、SAML 企業認証サービスはこのリクエストを傍受し、ユーザーが入力し、コーポレート認証サービスに返されるユーザー名とパスワード (またはその他の認証情報方法) の入力を要求します。
- SAML Corporate authentication サービスでは、セントラル認証情報リポジトリに照らして認証情報が検証されます。
- 成功時:
- SAML Corporate Authentication サービスにより、ユーザのブラウザに認証情報セッションクッキーが設定されます。
- SAML Corporate Authentication サービスにより、Ariba Return URL が SPID に基づいて取得されます。
- SAML Corporate Authentication サービスは、署名された SAML 応答を準備し、Ariba Return URL に応答を送信するようにブラウザをリダイレクトします。
- 失敗時:
- SAML Corporate authentication service に認証失敗ページが表示されます。
1.4 Ariba との最終認証
- ブラウザは、Ariba 返品 URL で指定されたページにリダイレクトされます。
- Ariba Web サーバーでは、ブラウザークッキーのセッション ID に基づいて、正しいセッションに接続がマッピングされます。Ariba アプリケーションで実行されるロジックでは、SAML 応答ドキュメントが処理され、顧客の公開証明書を使用して署名が検証されます。
- 肯定的な一致の場合:
- ユーザ定義の NameID は、この認証プロセスの早い段階で企業認証サービスに認証された人物と同じです。
- その後、セッションから宛先ページが取得され、そのページにユーザーが表示されます。ユーザーは、引き続き Ariba を認証ユーザーとして使用することができます。これは、認証された名前 ID に関連付けられたアクセス権限によってバインドされます。
- それ以外の場合は、エラーが表示されます。
- ログアウト時に、Ariba アプリケーションはそのアプリケーションからログアウトし、お客様から提供されたログアウト URL にアクセスすることができます。
- Web セッションは、30 分のアイドル時間後に期限切れになるように設定されています。
- 「顧客の Corporate Authentication によるユーザー認証」ステップは、お客様の内部実装であり、お客様の企業セキュリティインフラストラクチャーによって決定されます。
2 設定サンプル
このサンプルは、Microsoft Azure AD シングルサインオンによる SAML 認証設定を示しています。
「Ariba Buyer Corporate Authentication の設定」手順は、Ariba Buyer の共通設定です。さまざまな SAML IdP サーバに対するその他のステップは、それぞれのサードパーティソフトウェアベンダの文書を参照する必要があります。
2.1 サンプル詳細
- Ariba Buyer SPID URL:
https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1
- Ariba SAML 応答消費 URL:
https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=システム
2.2 Azure AD シングルサインオンの設定
- Azure ポータルで、を選択して '非ギャラリーアプリケーション' アプリケーションを追加します。
この例では、アプリケーション名は 'Ariba_Buyer' です。 - 作成後、'クイックスタート' から、'シングルサインオンの設定' および 'SAML ベースのサインオン' を選択します。
シングルサインオンページで、以下の値を指定します。
ID は「Ariba Buyer SPID URL」である必要があります。
応答 URL は、'Ariba SAML 応答消費 URL' にする必要があります。
ユーザ ID を選択します。このユーザー ID は SAML 応答の「名前 ID」として送信され、Ariba Buyer ユーザー ID として使用されます。
'証明書 (Base64)' のローカルコピーをダウンロードして保持します。この証明書は、後の手順で Ariba Buyer にインストールされます。
- 新しい証明書を有効にし、変更を保存します。これにより、Azure シングルサインオンの設定が完了します。
次に、同じページで [Ariba_Buyer の設定] リンクをクリックします。これは、サービスプロバイダを設定するための Azure の指示です。この指示から以下の URL をコピーします。
2.3 Ariba Buyer Corporate Authentication の設定
2.3.1 企業認証の有効化
[コアシステム管理] > [サイトプロファイル] から [会社認証] を見つけます。
以下の図は、情報提供のみを目的としています。Ariba がサービスの有効化に使用する入力フィールドを示します。
- 'Enable Corporate Authenticator' をチェックし、'SAML Authentication' を選択します。
- これは、デフォルトで SAML 1.1 プロトコルに従います。SAML 要求を使用を選択して、SAML 2.0 プロトコルを有効化します。SAML 要求がログイン URL に送信されます。
- [Add Service Provider Return URL] を選択して、URL パラメータ名 "ret" でリターン URL を生成するように Ariba に依頼します。顧客は、この URL を使用して SAML 応答を投稿することができます。
- Azure AD からダウンロードした証明書の内容をコピーします。
- 変更内容を保存します。
このステップはすぐに有効になります。
ただし、Azure AD で SAML 認証をテストする前に、引き続き次のステップを適用する必要があります。
2.3.2 Ariba 秘密鍵の追加
次の手順に進む前に、RSA キーペアを取得し、RSA キーペアを Java キーストア (*.jks ファイル) にインポートする必要があります。
Ariba 秘密鍵は SAML 要求への署名に使用されます。
- JKS ファイルを <buyer_install>/Server/etc/certs フォルダにコピーします。
- Parameters.table から 'System.Authentication.Keystores.AribaPrivateKeystore' を追加または変更し、以下のコードスニペットで太字で示されている内容を含めます。
|
認証 = { 認証情報 = { MyCredentials = { Password = ""; Username = "";};}; キーストア = { AribaPrivateKeystore = { File = "etc/certs/<sample_key_store>.jks"; キー = { キー 1 = { Alias = <sample_alias>; KeyPassword = "<sample_key_pass>"; }; }; StorePassword = "<sample_store_pass>"; Type = jks; }; }; }; |
- Ariba Buyer サーバーを再起動して、パラメータの変更を有効にします。
追加情報
WebLogic 11gR1 を新しいマシンにインストールした後、SAML 認証が WebLogic 11gR1 アプリケーションサーバで動作することを確認します。SAML 認証が機能するようにするには、以下のマニュアル変更を行う必要があります。
SAML 認証が機能するようにするには、以下の手順に従います。
1 サーバを停止します。
2 WebLogic 11gR1 がインストールされている場所にある modules フォルダに移動します (/opt/bea10mp36/modules/)。
3 com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar という名称のファイルを見つけます。
4 この jar ファイルを削除するか、名称を com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old に変更します。これにより、サーバの起動時にこの jar ファイルがロードされず、代わりに /Server/Classes/ フォルダに存在する正しい SAML jar ファイルがロードされます。この jar ファイルは、適切な SAML データをロードするために適切な XMLConfigurator クラスを取得するために使用されます。
5 サーバを再起動します。
オンプレミス > オンプレミス - Ariba Buyer