Problem

Hvordan konfigurerer jeg SAML-autentisering for Ariba Buyer On-Premise?

Løsning

SAML-autentisering for Ariba Buyer On-Premise

Dette dokumentet gir eksempler på hvordan SAML-autentisering kan implementeres og er ment å illustrere prosessene og konseptene bak det. Det finnes flere løsninger for SAML-identitetsleverandør ("IdP" heretter) som tilbys av tredjepartsleverandører. Ansvarsområdet for implementeringen av en SAML-IdP på kundesiden ligger hos kunden.

1 SAML HTTP POST-bindingsprotokollflyt

1.1 Forutsetninger

For at en kunde skal ha tilgang til Ariba, gjelder følgende forutsetninger:

• Brukeren må ha en konto opprettet i Ariba Buyer, der Ariba-bruker-ID-en er identisk med brukerens bedriftskonto-ID som angitt i ID-en for SAML-svarnavn.
• Brukerens nettleser tillater informasjonskapsler og JavaScript.
• Kunden gir Ariba et gyldig offentlig sertifikat, en URL-adresse til firmaets påloggingsformidlingsside og en avloggings-URL.

1.2 Initial forbindelse med Ariba

• En bruker får tilgang til URL-en Ariba Sourcing eller Ariba Buyer. Dette kan være startsiden eller en dyp URL-adresse som en bruker har bokmerket eller mottatt i en e-post.
• Ariba søker etter den gjeldende autentiseringsmetoden, som i dette tilfellet vil være SAML-bedriftsautentisering.
• Ariba oppretter en webøkt, angir informasjonskapselen for økt-ID-en i brukerens nettleser og lagrer plasseringen av den endelige mål-URL-en i økten.

I stedet for å vise en påloggingsside for Ariba, omdirigeres brukerens nettleser til siden for kundebeskyttet ressurs. Omdirigerings-URL-en inkluderer eventuelt tjenesteleverandør-ID-en (SPID), denne parameteren kan hjelpe kunden med å identifisere tjenesteleverandøren og hvor den skal postere SAML-svaret etter autentiseringen hvis den er vert for en generisk SAML IdP-URL.

1.3 Brukerautentisering med kundens firmaautentisering

• Brukerens nettleser omdirigeres til ressurssiden av Ariba-omdirigerings-URL.
• Omdirigerings-URL-en inneholder også SPID.
• Siden denne ressurssiden er en beskyttet ressurs, avskjærer firmaautentiseringstjenesten SAML denne forespørselen og ledetekstene for brukernavn og passord (eller andre legitimasjonsmetoder) som oppgis av brukeren og returneres til firmaautentiseringstjenesten.
• SAML Corporate Authentication-tjenesten validerer påloggingsinformasjonen mot det sentrale lageret for påloggingsinformasjon.
• Ved vellykket:
• • SAML-firmaautentiseringstjenesten definerer en informasjonskapsel for en påloggingsøkt i brukerens nettleser
  • SAML-firmaautentiseringstjenesten henter Ariba-retur-URL-en basert på SPID
  • SAML-firmaautentiseringstjenesten klargjør et signert SAML-svar og omdirigerer nettleseren til å publisere svaret på URL-en for Ariba-retur.
• Ved feil:
• • SAML-firmaautentiseringstjenesten viser en side for mislykket autentisering.

1.4 Endelig autentisering med Ariba

• Nettleseren omdirigeres til siden slik den er angitt i Ariba Retur-URL-en.
• Ariba-webserveren tilordner forbindelsen til den riktige økten basert på økt-ID-en i informasjonskapselen i nettleseren. Logikk som kjører på Ariba-applikasjonen, behandler SAML-svardokumentet og verifiserer signaturen med kundens offentlige sertifikat.
• Ved positiv overensstemmelse:
• • Den brukerdefinerte navne-ID-en er samme person som autentiserte for firmaautentiseringstjenesten tidligere i denne autentiseringsprosessen.
  • Ariba henter deretter målsiden fra økten og legger til brukeren på siden. Brukeren kan fortsette å bruke Ariba som en autentisert bruker, bundet av tilgangsrettighetene som er knyttet til den autentiserte navne-ID-en.
• Ellers vises en feil.

• Når du logger av, logger Ariba-applikasjonen av fra applikasjonene og kan gå til avloggings-URL-en som er oppgitt av kunden.
• Webøkten er konfigurert til å utløpe etter 30 minutter med inaktiv tid.
• Trinnet "Brukerautentisering med kundens firmaautentisering" er kundens interne implementering og vil bli bestemt av bedriftens sikkerhetsinfrastruktur.

2 Konfigurasjonseksempel

Dette eksempelet viser SAML-autentiseringskonfigurasjonen med Microsoft Azure AD Single Sign-On.

Trinnet Konfigurere firmaautentisering for Ariba Buyer er en vanlig konfigurasjon i Ariba Buyer. Andre trinn for forskjellige SAML IdP-servere bør referere til dokumentasjon fra de respektive tredjepartsprogramvareleverandørene.

2.1 Eksempeldetaljer

• URL-adresse for Ariba Buyer SPID:

https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1

• Forbruks-URL for Ariba SAML-svar:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System

2.2 Konfigurere Azure AD Single Sign-On

1. I Azure-portalen velger du å legge til en «Ikke-galleri-applikasjon»-applikasjon.
   I dette eksempelet er applikasjonsnavnet Ariba_Buyer.
2. Fra Hurtigstart velger du Konfigurer Single Sign-On og SAML-basert pålogging

Oppgi følgende verdier på siden for engangspålogging:

Identifikatoren må være "Ariba Buyer SPID URL".
Svar-URL-en skal være "Forbruks-URL for Ariba SAML-svar".

Velg bruker-ID. Denne brukeridentifikatoren sendes som “Navne-ID” i SAML-svaret og brukes som Ariba Buyer-bruker-ID.

Last ned og oppbevar en lokal kopi av sertifikatet (Base64). Dette sertifikatet blir installert på Ariba Buyer i et senere trinn.

3. Gjør det nye sertifikatet aktivt og lagre endringen. Dette fullfører konfigurasjonen av Azure Single Sign-On.

Klikk deretter på koblingen Konfigurer Ariba_Buyer på samme side. Dette er Azures instruksjon om å konfigurere tjenesteleverandøren. Kopier følgende URL-er fra denne instruksjonen.

2.3 Konfigurere firmaautentisering for Ariba Buyer

2.3.1 Aktiver firmaautentisering

Finn 'Bedriftsgodkjenning' fra Kjerneadministrasjon > Områdeprofil.

Figuren nedenfor er kun til informasjonsformål. Den demonstrerer inndatafeltene som Ariba bruker til å aktivere tjenesten.

1. Sjekk ‘Aktiver firmaautentisering’ og velg ‘SAML-autentisering’.
2. Den følger SAML 1.1-protokollen som standard. Velg Bruk SAML Request for å aktivere SAML 2.0-protokoll. Det publiserer SAML-forespørsel på påloggings-URL-en.
3. Velg "Legg til retur-URL for tjenesteleverandør" for å be Ariba om å generere en retur-URL i URL-parameternavnet "ret". Kunden kan bruke denne URL-en til å publisere sitt SAML-svar.
4. Kopier innholdet i sertifikatet som er lastet ned fra Azure AD.
5. Lagre endringen.
   

Dette trinnet trer i kraft umiddelbart.

Men før du tester SAML-autentiseringen med Azure AD, må det neste trinnet fortsatt tas i bruk.

2.3.2 Legg til privat nøkkel for Ariba

Før du fortsetter til følgende trinn, bør du få et RSA-nøkkelpar og importere RSA-nøkkelparet til et Java Key Store (*.jks fil).

Den private Ariba-nøkkelen brukes til å signere SAML-forespørselen.

1. Kopier JKS-filen til plasseringen: <buyer_installasjon>/Server/etc/certs-mappen.
2. Legg til eller endre System.Authentication.Keystores.AribaPrivateKeystore fra Parameters.table slik at den inneholder innholdet som vises i fet skrift i den følgende kodesnutten.

• Start Ariba Buyer Server på nytt for at parameterendringen skal tre i kraft.

Tilleggsinformasjon

Etter at WebLogic 11gR1 er installert på en ny maskin, må du sørge for at SAML-autentisering fungerer med WebLogic 11gR1 Application Server. Du må gjøre følgende manuelle endringer for å sikre at SAML-autentisering fungerer:
For å sikre at SAML-autentisering fungerer:
1 Stopp serverne.
2 Gå til modulmappen under plasseringen der WebLogic 11gR1 er installert (/opt/bea10mp36/moduler/).
3 Finn filen som heter com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Slett denne JAR-filen, eller gi den nytt navn til com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old, for å sikre at denne JAR-filen ikke blir lastet når du starter serverne, og laster i stedet korrigering.SAML-jar-filen som finnes i /Server/Classes/-mappen. Denne JAR-filen brukes av systemet til å hente riktig XMLConfigurator-klasse for å laste inn riktige SAML-data.
5 Start serverne på nytt.

On-premise > On-premise - Ariba Buyer