Isu

Bagaimanakah cara mengkonfigurasikan Pengesahan SAML untuk Pembeli On-Premise Ariba?

Pyelesaian

Pengesahan SAML untuk Ariba Buying On-Premise

Dokumen ini memberikan contoh cara Pengesahan SAML boleh dilaksanakan dan bertujuan untuk menggambarkan proses dan konsep di belakangnya. Terdapat beberapa penyelesaian Pembekal Identiti SAML (‘IdP’ kemudian) yang ditawarkan oleh vendor pihak ketiga. Tanggungjawab untuk pelaksanaan mana-mana SAML IdP pada bahagian pelanggan kembali dengan pelanggan.

1 Aliran Protokol Pengikatan SAML HTTP POST

1.1 Prasyarat

Untuk memastikan pelanggan mempunyai capaian kepada Ariba, prasyarat berikut terpakai:

• Pengguna mesti mempunyai akaun yang dicipta dalam Pembeli Ariba yang ID Pengguna Ariba sama dengan ID akaun korporat pengguna seperti yang dinyatakan dalam ID Nama maklum balas SAML.
• Pelayar pengguna membenarkan kuki dan JavaScript.
• Pelanggan menyediakan Ariba dengan sijil awam yang sah, URL halaman hubungan log masuk korporat dan URL halaman log keluar.

1.2 Sambungan Awal dengan Ariba

• Pengguna mencapai URL Sumber Ariba atau Pembeli Ariba. Ini mungkin halaman utama atau URL dalam untuk pengguna yang ditanda buku atau diterima dalam e-mel.
• Ariba mencari kaedah pengesahan yang berkenaan, yang dalam kes ini akan menjadi Pengesahan Korporat SAML.
• Ariba mencipta sesi web, menetapkan kuki ID sesi dalam pelayar pengguna dan menyimpan lokasi URL destinasi akhir dalam sesi.

Daripada memaparkan halaman log masuk Ariba, pelayar pengguna diubah hala ke halaman sumber terlindung pelanggan. URL hala semula akan memasukkan ID Pembekal Perkhidmatan (SPID) secara pilihan, parameter ini boleh membantu pelanggan mengenal pasti pembekal perkhidmatan dan ia perlu mengeposkan Maklum Balas SAML selepas pengesahan jika ia mengehos URL SAML IdP generik.

1.3 Pengesahan Pengguna dengan pengesahan korporat pelanggan

• Pelayar pengguna dihalakan semula ke halaman sumber melalui URL ubah hala Ariba.
• URL ubah hala juga mengandungi SPID.
• Oleh sebab halaman sumber ini ialah sumber yang dilindungi, perkhidmatan pengesahan korporat SAML mengganggu permintaan ini dan prom untuk nama pengguna dan kata laluan (atau kaedah kelayakan lain) yang dimasukkan oleh pengguna dan dipulangkan kepada perkhidmatan pengesahan korporat.
• Perkhidmatan pengesahan Korporat SAML mengesahkan kelayakan terhadap repositori kelayakan pusat.
• Pada kejayaan:
• • Perkhidmatan pengesahan korporat SAML menetapkan kuki sesi kelayakan dalam pelayar pengguna
  • Perkhidmatan pengesahan korporat SAML mendapatkan semula URL Pulangan Ariba berdasarkan SPID
  • Perkhidmatan pengesahan korporat SAML menyediakan Maklum Balas SAML yang ditandatangani dan menghalakan semula pelayar untuk mengeposkan maklum balas ke URL Pulangan Ariba.
• Pada kegagalan:
• • Perkhidmatan pengesahan Korporat SAML memaparkan halaman kegagalan pengesahan.

1.4 Pengesahan Akhir dengan Ariba

• Pelayar diubah hala ke halaman seperti yang ditentukan dalam URL Pulangan Ariba.
• Pelayan web Ariba memetakan sambungan kepada sesi yang betul berdasarkan ID sesi dalam kuki pelayar. Logik yang dijalankan pada aplikasi Ariba memproses dokumen Maklum Balas SAML dan mengesahkan tandatangan dengan sijil umum pelanggan.
• Pada padanan positif:
• • ID Nama yang ditakrifkan pengguna ialah orang yang sama yang disahkan ke perkhidmatan pengesahan korporat lebih awal dalam proses pengesahan ini.
  • Ariba kemudian mendapatkan semula halaman destinasi daripada sesi dan masukkan pengguna pada halaman. Pengguna boleh terus menggunakan Ariba sebagai pengguna yang disahkan, terikat dengan keistimewaan capaian yang berkaitan dengan ID Nama yang disahkan.
• Jika tidak, ralat dipaparkan.

• Pada log keluar, aplikasi Ariba akan log keluar daripada aplikasinya dan boleh mendapatkan tanah pada URL log keluar yang disediakan oleh pelanggan.
• Sesi web dikonfigurasi untuk tamat tempoh selepas 30 minit dari masa melahu.
• Langkah "Pengesahan Pengguna dengan Pengesahan Korporat Pelanggan" ialah pelaksanaan dalaman pelanggan dan akan ditentukan oleh infrastruktur keselamatan korporat mereka.

2 Sampel Konfigurasi

Sampel ini menunjukkan konfigurasi pengesahan SAML dengan daftar masuk tunggal Microsoft Azure AD.

Langkah ‘Mengkonfigurasi Pengesahan Korporat Pembeli Ariba’ ialah konfigurasi sepunya dalam Pembeli Ariba. Langkah lain untuk pelayan SAML IdP yang berbeza perlu merujuk dokumentasi daripada vendor perisian pihak ketiga masing-masing.

2.1 Butiran Sampel

• URL SPID Pembeli Ariba:

https://mycompany.com/Buyer/Main?realm=System&passwordAdapter=PasswordAdapter1

• URL Penggunaan Maklum Balas SAML Ariba:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=Sistem

2.2 Mengkonfigurasi Azure AD Single Sign-On

1. Dalam portal Azure, pilih untuk menambah aplikasi 'Aplikasi bukan galeri'.
   Dalam sampel ini, nama aplikasi ialah ‘Ariba_Buying’.
2. Selepas penciptaan, daripada 'Permulaan Cepat', pilih 'Konfigurasikan Daftar Masuk Tunggal' dan 'Daftar Masuk berdasarkan SAML'

Pada halaman daftar masuk Tunggal, sediakan nilai berikut:

Pengenal Pasti perlulah 'URL SPID Pembeli Ariba'.
URL Balasan sepatutnya ‘URL Penggunaan Maklum Balas SAML Ariba’.

Pilih Pengenal Pasti Pengguna. Pengenal pasti pengguna ini akan dihantar sebagai “Id Nama” dalam Maklum Balas SAML dan digunakan sebagai Id Pengguna Pembeli Ariba.

Muat turun dan simpan salinan tempatan bagi ‘Sijil(Base64)’. Sijil ini akan dipasang kepada Pembeli Ariba dalam langkah seterusnya.

3. Buat sijil baharu aktif dan Simpan perubahan. Berikut menyelesaikan persediaan daftar masuk Tunggal Azure.

Kemudian pada halaman yang sama, klik pautan ‘Konfigurasikan Ariba_Buying’. Ini ialah arahan Azure untuk mengkonfigurasikan Pembekal Perkhidmatan. Salin URL berikut daripada arahan ini.

2.3 Mengkonfigurasi Pengesahan Korporat Pembeli Ariba

2.3.1 Dayakan Pengesahan Korporat

Cari ‘Pengesahan Korporat’ daripada Pentadbiran Teras > Profil Laman.

Angka berikut adalah untuk tujuan maklumat sahaja. Ia menunjukkan medan input yang Ariba gunakan untuk mendayakan perkhidmatan.

1. Semak ‘Dayakan Pengesah Korporat’ dan pilih ‘Pengesahan SAML’.
2. Ia mengikuti protokol SAML 1.1 secara lalai. Pilih Gunakan Permintaan SAML untuk mendayakan protokol SAML 2.0. Ia akan mengeposkan Permintaan SAML ke URL log masuk.
3. Pilih ‘Tambah URL Pulangan Pembekal Perkhidmatan’ untuk meminta Ariba menjana URL kembali dalam nama parameter URL “ret”. Pelanggan boleh menggunakan URL ini untuk mengeposkan Maklum Balas SAML mereka.
4. Salin kandungan sijil yang dimuat turun daripada Azure AD.
5. Simpan perubahan.
   

Langkah ini akan berkuat kuasa serta-merta.

Tetapi, sebelum menguji pengesahan SAML dengan Azure AD, langkah seterusnya masih perlu digunakan.

2.3.2 Tambah kod persendirian Ariba

Sebelum meneruskan ke langkah berikut, anda perlu memperoleh pasangan kod RSA dan mengimport pasangan kod RSA ke Simpanan Kunci Java (*.jks file).

Kod persendirian Ariba akan digunakan untuk menandatangani permintaan SAML.

1. Salin fail JKS ke lokasi: <buyer_exit>/Server/etc/certs folder.
2. Tambah atau ubah suai ‘System.Authentication.Keystores.AribaPrivateKeystore’ daripada Parameters.table untuk mengandungi kandungan yang ditunjukkan dalam tebal dalam coretan kod berikut.

• Mulakan semula Pelayan Pembeli Ariba untuk membuat perubahan parameter berkuat kuasa.

Maklumat Tambahan

Selepas memasang WebLogik 11gR1 pada mesin baharu, pastikan Pengesahan SAML berfungsi dengan WebLogik 11gR1 Pelayan Aplikasi. Anda mesti melakukan perubahan manual berikut untuk memastikan pengesahan SAML berfungsi:
Untuk memastikan pengesahan SAML berfungsi:
1 Hentikan pelayan.
2 Pergi ke folder modul di bawah lokasi di mana WebLogistics 11gR1 dipasang (/opt/bea10mp36/modul/).
3 Cari fail bernama com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Padam fail jar ini, atau namakannya semula kepada com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old untuk memastikan fail jar ini tidak dimuatkan apabila memulakan pelayan dan sebaliknya memuat fail jar /Server/Class/ yang ada dalam folder /Server/Class/. Fail jar ini digunakan oleh sistem untuk mengambil kelas XMLConfigurator yang betul untuk memuatkan data SAML yang betul.
5 Mula semula pelayan.

On-Premise > On-Premise - Ariba Buyer