Probleem

Hoe configureert u SAML-verificatie voor Ariba Buyer On-Premise?

Oplossing

SAML-verificatie voor Ariba Buyer On-Premise

Dit document geeft voorbeelden van hoe de SAML-verificatie kan worden geïmplementeerd en is bedoeld om de processen en concepten erachter te illustreren. Er zijn verschillende SAML Identity Provider-oplossingen (‘IdP’ hierna) die worden aangeboden door externe leveranciers. De klant is verantwoordelijk voor de implementatie van een SAML-IdP aan de klantzijde.

1 SAML HTTP POST Binding Protocolflow

1.1 Vereisten

Een klant heeft alleen toegang tot Ariba als aan de volgende voorwaarden is voldaan:

• De gebruiker moet een account hebben gemaakt in Ariba Buyer waar de Ariba-gebruikers-ID identiek is aan de bedrijfsaccount-ID van de gebruiker zoals opgegeven in de Naam-ID SAML-reactie.
• De browser van de gebruiker staat cookies en JavaScript toe.
• De klant verstrekt Ariba een geldig openbaar certificaat, een URL voor een relaispagina voor zakelijke aanmelding en een afmeldings-URL.

1.2 Initiële verbinding met Ariba

• Een gebruiker heeft toegang tot de URL van Ariba Sourcing of Ariba Buyer. Dit kan de startpagina of een deep-URL zijn die een gebruiker van een bladwijzer heeft voorzien of in een e-mail heeft ontvangen.
• Ariba zoekt de toepasselijke verificatiemethode op, in dit geval SAML Corporate Authentication.
• Ariba maakt een websessie, stelt de sessie-ID-cookie in de browser van de gebruiker in en slaat de locatie van de uiteindelijke bestemmings-URL in de sessie op.

In plaats van een Ariba-aanmeldingspagina weer te geven, wordt de browser van de gebruiker omgeleid naar de door de klant beveiligde resourcepagina. De omleidings-URL bevat optioneel de serviceprovider-ID (SPID). Deze parameter kan de klant helpen de serviceprovider te identificeren en waar de SAML-respons na de verificatie moet worden geboekt als deze een generieke SAML IdP-URL host.

1.3 Gebruikersverificatie met bedrijfsverificatie van de klant

• De browser van de gebruiker wordt omgeleid naar de resourcepagina via de Ariba-omleidings-URL.
• De omleidings-URL bevat ook de SPID.
• Aangezien deze bronpagina een beveiligde bron is, onderschept de SAML-bedrijfsverificatieservice deze aanvraag en wordt gevraagd om een gebruikersnaam en wachtwoord (of andere aanmeldingsmethoden) die door de gebruiker worden ingevoerd en worden teruggestuurd naar de bedrijfsverificatieservice.
• De SAML Corporate Authentication Service valideert de aanmeldgegevens ten opzichte van de centrale referentierepository.
• Bij succes:
• • De SAML-bedrijfsverificatieservice stelt een cookie voor de aanmeldingssessie in de browser van de gebruiker in
  • De SAML-bedrijfsverificatieservice haalt de Ariba-retour-URL op op basis van SPID
  • De SAML-bedrijfsverificatieservice bereidt een ondertekende SAML-reactie voor en stuurt de browser door om de reactie te publiceren naar de Ariba-retour-URL.
• Bij mislukken:
• • De SAML Corporate Authentication-service geeft een pagina met verificatiefouten weer.

1.4 Definitieve verificatie bij Ariba

• De browser wordt doorgestuurd naar de pagina zoals aangegeven in de Ariba-retour-URL.
• De Ariba-webserver wijst de verbinding toe aan de juiste sessie op basis van de sessie-ID in het browsercookie. Logica die wordt uitgevoerd op de Ariba-toepassing verwerkt het SAML-antwoorddocument en verifieert de handtekening met het openbare certificaat van de klant.
• Bij een positieve match:
• • De door de gebruiker gedefinieerde NameID is dezelfde persoon die eerder in dit verificatieproces naar de bedrijfsverificatieservice is geverifieerd.
  • Ariba haalt vervolgens de bestemmingspagina op uit de sessie en landt de gebruiker op de pagina. De gebruiker kan Ariba blijven gebruiken als een geverifieerde gebruiker, gebonden aan de toegangsrechten die zijn gekoppeld aan de geverifieerde naam-ID.
• Anders wordt een fout weergegeven.

• Bij afmelding meldt de Ariba-applicatie zich af bij de bijbehorende applicaties en kan deze gebruikmaken van de afmeldings-URL die door de klant is verstrekt.
• De websessie is geconfigureerd om te verlopen na 30 minuten inactieve tijd.
• De stap "Gebruikersverificatie met bedrijfsverificatie van de Klant" is de interne implementatie van de klant en wordt bepaald door de beveiligingsinfrastructuur van het bedrijf.

2 Configuratievoorbeeld

In dit voorbeeld wordt de SAML-verificatieconfiguratie met eenmalige aanmelding voor Microsoft Azure AD gedemonstreerd.

De stap 'Bedrijfsverificatie van Ariba Buyer configureren' is een algemene configuratie in Ariba Buyer. Andere stappen voor verschillende SAML IdP-servers moeten verwijzen naar de documentatie van de respectieve softwareleveranciers van derden.

2.1 Steekproefdetails

• URL Ariba Buyer SPID:

https://mycompany.com/Buyer/Main?omgeving=System&passwordadapter=PasswordAdapter1

• Ariba SAML-responsverbruik URL:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=systeem

2.2 Azure AD Single Sign-On configureren

1. In de Azure-portal kiest u ervoor om een applicatie ‘Niet-galerij’ toe te voegen.
   In dit voorbeeld is de naam van de toepassing 'Ariba_Buyer'.
2. Kies na het maken van ‘Quick Start’ ‘Single Sign-On configureren’ en ‘SAML-gebaseerde aanmelding’.

Geef op de pagina Eenmalige aanmelding de volgende waarden op:

De ID moet de ‘Ariba Buyer SPID URL’ zijn.
De antwoord-URL moet de 'Ariba SAML Response Usage URL' zijn.

Selecteer de gebruikers-ID. Deze gebruikers-ID wordt verzonden als de "Naam-ID" in de SAML-reactie en wordt gebruikt als Ariba Buyer-gebruikers-ID.

Download en bewaar een lokale kopie van het „Certificate(Base64)”. Dit certificaat wordt in een latere stap geïnstalleerd bij Ariba Buyer.

3. Maak het nieuwe certificaat actief en sla de wijziging op. Hiermee wordt de configuratie van Azure Single Sign-On voltooid.

Klik vervolgens op dezelfde pagina op de link 'Ariba_Buyer configureren'. Dit is de instructie van Azure om de serviceprovider te configureren. Kopieer de volgende URL's uit deze instructie.

2.3 Bedrijfsverificatie voor Ariba Buyer configureren

2.3.1 Bedrijfsverificatie inschakelen

Ga naar ‘Bedrijfsverificatie’ in Kernadministratie > Siteprofiel.

De volgende figuur dient alleen ter informatie. Het toont de invoervelden die Ariba gebruikt om de service in te schakelen.

1. Schakel ‘Corporate Authenticator inschakelen’ in en kies ‘SAML-verificatie’.
2. Het volgt standaard het SAML 1.1-protocol. Selecteer SAML-aanvraag gebruiken om het SAML 2.0-protocol in te schakelen. Er wordt een SAML-verzoek naar de aanmeldings-URL verzonden.
3. Selecteer ‘Retour-URL serviceprovider toevoegen’ om Ariba te vragen een retour-URL te genereren in de URL-parameternaam “ret”. De klant kan deze URL gebruiken om zijn SAML-reactie te publiceren.
4. Kopieer de inhoud van het certificaat dat is gedownload van Azure AD.
5. Sla de wijziging op.
   

Deze stap wordt onmiddellijk van kracht.

Maar voordat de SAML-verificatie met Azure AD wordt getest, moet de volgende stap nog steeds worden toegepast.

2.3.2 Persoonlijke Ariba-sleutel toevoegen

Voordat u doorgaat met de volgende stap, moet u een RSA-sleutelpaar verkrijgen en het RSA-sleutelpaar importeren in een Java Key Store (*.jks -bestand).

De persoonlijke sleutel van Ariba wordt gebruikt om het SAML-verzoek te ondertekenen.

1. Kopieer het JKS-bestand naar locatie: map <buyer_install>/Server/etc/certs.
2. Voeg de ‘System.Authentication.Keystores.AribaPrivateKeystore’ uit de tabel Parameters.tabel toe of wijzig deze om de inhoud te bevatten die vet wordt weergegeven in het volgende codefragment.

• Start de Ariba Buyer Server opnieuw om de parameterwijziging door te voeren.

Aanvullende informatie

Nadat u WebLogic 11gR1 op een nieuwe computer hebt geïnstalleerd, moet u ervoor zorgen dat SAML-verificatie werkt met de WebLogic 11gR1-toepassingsserver. U moet de volgende handmatige wijzigingen doorvoeren om ervoor te zorgen dat SAML-verificatie werkt:
Ga als volgt te werk om ervoor te zorgen dat SAML-verificatie werkt:
1 Stop de servers.
2 Ga naar de modulemap onder de locatie waar WebLogic 11gR1 is geïnstalleerd (/opt/bea10mp36/modules/).
3 Zoek het bestand com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar op.
4 Verwijder dit JAR-bestand of wijzig de naam in com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old om ervoor te zorgen dat dit JAR-bestand niet wordt geladen bij het starten van de servers en in plaats daarvan het correct.SAML jar-bestand in de map /Server/Classes/ laadt. Dit JAR-bestand wordt door het systeem gebruikt om de juiste XMLConfigurator-klasse op te halen om de juiste SAML-gegevens te laden.
5 Start de servers opnieuw op.

On-Premise > On-Premise - Ariba Buyer