Problem

Jak skonfigurować uwierzytelnianie SAML dla Ariba Buyer On-Premise?

Rozwiązanie

Uwierzytelnianie SAML dla Ariba Buyer On-Premise

Ten dokument zawiera przykłady implementacji uwierzytelniania SAML i ma na celu zilustrowanie procesów i koncepcji, które się za nim kryją. Istnieje kilka rozwiązań dostawcy tożsamości SAML („IdP”) oferowanych przez dostawców zewnętrznych. Odpowiedzialność za wdrożenie dowolnego dostawcy tożsamości SAML po stronie klienta spoczywa na kliencie.

1 Przepływ protokołu wiązania HTTP POST SAML

1.1 Wymagania wstępne

Aby klient miał dostęp do Ariba, obowiązują następujące warunki wstępne:

• Użytkownik musi mieć konto utworzone w Ariba Buyer, gdzie identyfikator użytkownika Ariba jest identyczny z identyfikatorem konta korporacyjnego użytkownika, jak określono w identyfikatorze nazwy odpowiedzi SAML.
• Przeglądarka użytkownika zezwala na pliki cookies i JavaScript.
• Klient zapewnia Ariba ważny certyfikat publiczny, korporacyjny adres URL strony przekazu logowania oraz adres URL wylogowania.

1.2 Początkowe połączenie z Ariba

• Użytkownik uzyskuje dostęp do adresu URL Ariba Sourcing lub Ariba Buyer. Może to być strona główna lub głęboki adres URL, który użytkownik oznaczył zakładką lub otrzymał w wiadomości e-mail.
• Ariba wyszukuje odpowiednią metodę uwierzytelniania, którą w tym przypadku będzie uwierzytelnianie korporacyjne SAML.
• Ariba tworzy sesję internetową, ustawia plik cookie ID sesji w przeglądarce użytkownika i zapisuje lokalizację końcowego adresu URL miejsca docelowego w sesji.

Zamiast wyświetlać stronę logowania Ariba, przeglądarka użytkownika jest przekierowywana na stronę zasobów chronionych przez klienta. Adres URL przekierowania będzie opcjonalnie zawierał identyfikator dostawcy usług (SPID), ten parametr może pomóc klientowi zidentyfikować dostawcę usług i gdzie powinna opublikować odpowiedź SAML po uwierzytelnieniu, jeśli obsługuje ogólny adres URL dostawcy tożsamości SAML.

1.3 Uwierzytelnianie użytkowników za pomocą uwierzytelniania korporacyjnego klienta

• Przeglądarka użytkownika jest przekierowywana na stronę zasobów za pomocą adresu URL przekierowania Ariba.
• Adres URL przekierowania zawiera również SPID.
• Ponieważ ta strona zasobu jest zasobem chronionym, usługa uwierzytelniania korporacyjnego SAML przechwytuje ten wniosek i monituje o nazwę użytkownika i hasło (lub inne metody uwierzytelniania), które są wprowadzane przez użytkownika i zwracane do korporacyjnej usługi uwierzytelniania.
• Korporacyjna usługa uwierzytelniania SAML sprawdza poprawność danych uwierzytelniających względem centralnego repozytorium danych uwierzytelniających.
• W przypadku powodzenia:
• • Usługa uwierzytelniania korporacyjnego SAML ustawia plik cookie sesji uwierzytelniania w przeglądarce użytkownika
  • Usługa uwierzytelniania korporacyjnego SAML pobiera zwrotny adres URL Ariba na podstawie SPID
  • Usługa uwierzytelniania korporacyjnego SAML przygotowuje podpisaną odpowiedź SAML i przekierowuje przeglądarkę do publikowania odpowiedzi na adres URL zwrotu Ariba.
• W przypadku niepowodzenia:
• • Usługa uwierzytelniania korporacyjnego SAML wyświetla stronę błędu uwierzytelniania.

1.4 Ostateczne uwierzytelnianie za pomocą Ariba

• Przeglądarka jest przekierowywana na stronę, jak określono w adresie URL zwrotu Ariba.
• Serwer WWW Ariba mapuje połączenie z prawidłową sesją na podstawie ID sesji w pliku cookie przeglądarki. Logika działająca w aplikacji Ariba przetwarza dokument odpowiedzi SAML i weryfikuje podpis z certyfikatem publicznym klienta.
• Na meczu pozytywnym:
• • Zdefiniowany przez użytkownika ID nazwy to ta sama osoba, która wcześniej uwierzytelniła się w korporacyjnej usłudze uwierzytelniania w tym procesie uwierzytelniania.
  • Ariba pobiera następnie stronę docelową z sesji i przenosi użytkownika na stronę. Użytkownik może nadal korzystać z Ariba jako uwierzytelnionego użytkownika powiązanego z uprawnieniami dostępu powiązanymi z uwierzytelnionym identyfikatorem nazwy.
• W przeciwnym razie zostanie wyświetlony błąd.

• Po wylogowaniu aplikacja Ariba wyloguje się ze swoich aplikacji i może przejść do adresu URL wylogowania podanego przez klienta.
• Sesja WWW jest skonfigurowana tak, aby wygasła po 30 minutach czasu bezczynności.
• Krok „Uwierzytelnianie użytkownika za pomocą uwierzytelniania korporacyjnego klienta” to wewnętrzne wdrożenie klienta, o którym zadecyduje korporacyjna infrastruktura bezpieczeństwa.

2 Próbka konfiguracji

Ten przykład demonstruje konfigurację uwierzytelniania SAML za pomocą mechanizmu jednokrotnej autoryzacji Microsoft Azure AD.

Krok „Konfiguracja uwierzytelniania korporacyjnego Ariba Buyer” to wspólna konfiguracja w Ariba Buyer. Inne kroki dla różnych serwerów IdP SAML powinny odnosić się do dokumentacji odpowiednich zewnętrznych dostawców oprogramowania.

2.1 Szczegóły próbki

• Adres URL SPID Ariba Buyer:

https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1

• Adres URL wykorzystania odpowiedzi Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System

2.2 Konfigurowanie mechanizmu jednokrotnej autoryzacji Azure AD

1. W portalu Azure Portal wybierz opcję dodania aplikacji ‘Bez galerii’.
   W tym przykładzie nazwa aplikacji to „Ariba_Buyer”.
2. Po utworzeniu w sekcji ‘Szybki start’ wybierz opcje ‘Skonfiguruj mechanizm jednokrotnej autoryzacji’ i ‘Logowanie oparte na SAML’

Na stronie Jednokrotne logowanie podaj następujące wartości:

Identyfikator powinien być „adresem URL SPID Ariba Buyer”.
Adres URL odpowiedzi powinien być adresem URL do wykorzystania odpowiedzi Ariba SAML.

Wybierz Identyfikator użytkownika. Ten identyfikator użytkownika zostanie wysłany jako „Id. nazwy” w odpowiedzi SAML i będzie używany jako identyfikator użytkownika Ariba Buyer.

Pobierz i zachowaj lokalną kopię „Certyfikatu(Base64)”. Ten certyfikat zostanie zainstalowany w Ariba Buyer w późniejszym kroku.

3. Ustaw nowy certyfikat jako aktywny i zapisz zmianę. Spowoduje to zakończenie konfiguracji mechanizmu jednokrotnej autoryzacji Azure.

Następnie na tej samej stronie kliknij łącze „Konfiguruj Ariba_Buyer”. To jest instrukcja Azure dotycząca konfigurowania dostawcy usług. Skopiuj poniższe adresy URL z tej instrukcji.

2.3 Konfigurowanie uwierzytelniania korporacyjnego Ariba Buyer

2.3.1 Włączenie uwierzytelniania korporacyjnego

Znajdź ‘Uwierzytelnianie korporacyjne’ w menu Główny moduł administracji > Profil witryny.

Poniższy rysunek służy wyłącznie celom informacyjnym. Przedstawia pola wprowadzania, których Ariba używa do aktywacji usługi.

1. Zaznacz ‘Włącz korporacyjną aplikację uwierzytelniającą’ i wybierz opcję ‘Uwierzytelnianie SAML’.
2. Jest to domyślnie zgodne z protokołem SAML 1.1. Wybierz opcję Użyj żądania SAML, aby włączyć protokół SAML 2.0. Spowoduje to opublikowanie żądania SAML w adresie URL logowania.
3. Wybierz opcję ‘Dodaj zwrotny adres URL dostawcy usług’, aby poprosić firmę Ariba o wygenerowanie zwrotnego adresu URL w nazwie parametru URL „ret”. Klient może użyć tego adresu URL do opublikowania odpowiedzi SAML.
4. Skopiuj zawartość certyfikatu pobranego z Azure AD.
5. Zapisz zmianę.
   

Ten krok wejdzie w życie natychmiast.

Przed przetestowaniem uwierzytelniania SAML za pomocą usługi Azure AD należy jeszcze wykonać kolejny krok.

2.3.2 Dodanie klucza prywatnego Ariba

Przed przejściem do kolejnego kroku należy uzyskać parę kluczy RSA i zaimportować parę kluczy RSA do magazynu kluczy Java (plik*.jks).

Klucz prywatny Ariba zostanie użyty do podpisania żądania SAML.

1. Skopiuj plik JKS do lokalizacji: <buyer_install>/Server/etc/certs folder.
2. Dodaj lub zmodyfikuj „System.Authentication.Keystores.AribaPrivateKeystore” z tabeli Parameters.table tak, aby zawierały treść pogrubioną czcionką w poniższym fragmencie kodu.

• Uruchom ponownie serwer Ariba Buyer, aby zmiana parametrów zaczęła obowiązywać.

Dodatkowe informacje

Po zainstalowaniu WebLogic 11gR1 na nowym komputerze upewnij się, że uwierzytelnianie SAML współpracuje z serwerem aplikacji WebLogic 11gR1. Należy wprowadzić następujące zmiany ręczne, aby upewnić się, że uwierzytelnianie SAML działa:
Aby upewnić się, że uwierzytelnianie SAML działa:
1 Zatrzymaj serwery.
2 Przejdź do folderu modułów pod lokalizacją, w której zainstalowany jest WebLogic 11gR1 (/opt/bea10mp36/module/).
3 Zlokalizuj plik o nazwie com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Usuń ten plik jar lub zmień jego nazwę na com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old, aby upewnić się, że ten plik jar nie zostanie załadowany podczas uruchamiania serwerów i zamiast tego ładuje poprawiony plik jar SAML znajdujący się w folderze /Server/Classes/. Ten plik JAR jest używany przez system do pobierania prawidłowej klasy XMLConfigurator w celu załadowania odpowiednich danych SAML.
5 Uruchom ponownie serwery.

Oprogramowanie lokalne > Oprogramowanie lokalne - nabywca Ariba