 |
| ||||||||
Problema
Como configurar a autenticação SAML para Ariba Buyer On-Premise?
Solução
Autenticação SAML para Ariba Buyer On-Premise
Este documento fornece exemplos de como a autenticação SAML pode ser implementada e tem como objetivo ilustrar os processos e conceitos por trás dela. Há várias soluções de provedor de identidade SAML (“IdP”) oferecidas por fornecedores terceirizados. A responsabilidade pela implementação de qualquer IdP SAML do lado do cliente cabe ao cliente.
1 fluxo de protocolo de ligação HTTP POST SAML
1.1 Pré-requisitos
Para que um cliente tenha acesso à Ariba, aplicam-se os seguintes pré-requisitos:
- O usuário deve ter uma conta criada no Ariba Buyer em que o ID do usuário Ariba é idêntico ao ID da conta corporativa do usuário, como especificado no ID do nome da resposta SAML.
- O navegador do usuário permite cookies e JavaScript.
- O cliente fornece à Ariba um certificado público válido, um URL de página de retransmissão de acesso corporativo e um URL de logout.
1.2 Conexão inicial com o Ariba
- Um usuário acessa o URL do Ariba Sourcing ou do Ariba Buyer. Esta pode ser a página inicial ou um URL profundo que um usuário marcou ou recebeu em um e-mail.
- A Ariba procura o método de autenticação aplicável, que, neste caso, será Autenticação corporativa SAML.
- A Ariba cria uma sessão da Web, define o cookie de ID de sessão no navegador do usuário e salva o local do URL de destino final na sessão.
Em vez de exibir uma página de acesso da Ariba, o navegador do usuário é redirecionado para a página de recursos protegidos pelo cliente. O URL de redirecionamento incluirá opcionalmente o ID do provedor de serviços (SPID). Este parâmetro pode ajudar o cliente a identificar o provedor de serviços e onde deve publicar a resposta SAML após a autenticação se ele hospedar um URL IdP SAML genérico.
1.3 Autenticação de usuário com autenticação corporativa do cliente
- O navegador do usuário é redirecionado para a página de recursos pelo URL de redirecionamento da Ariba.
- O URL de redirecionamento também contém o SPID.
- Como esta página de recursos é um recurso protegido, o serviço de autenticação corporativa SAML intercepta essa solicitação e solicita o nome de usuário e a senha (ou outros métodos de credencial) que são inseridos pelo usuário e retornados ao serviço de autenticação corporativa.
- O serviço de autenticação corporativa SAML valida a credencial em relação ao repositório central de credenciais.
- Em caso de sucesso:
- O serviço de autenticação corporativa SAML define um cookie de sessão de credencial no navegador do usuário
- O serviço de autenticação corporativa SAML recupera o URL de retorno da Ariba com base no SPID
- O serviço de autenticação corporativa SAML prepara uma resposta SAML assinada e redireciona o navegador para publicar a resposta ao URL do Ariba Return.
- Em caso de falha:
- O serviço de autenticação empresarial SAML exibe uma página de falha de autenticação.
1.4 Autenticação final com Ariba
- O navegador é redirecionado para a página como especificado no URL de retorno da Ariba.
- O servidor da Web da Ariba mapeia a conexão para a sessão correta com base no código de sessão no cookie do navegador. A lógica em execução no aplicativo Ariba processa o documento de resposta SAML e verifica a assinatura com o certificado público do cliente.
- Em uma correspondência positiva:
- O NameID definido pelo usuário é a mesma pessoa que foi autenticada para o serviço de autenticação da empresa anteriormente neste processo de autenticação.
- Em seguida, a Ariba recupera a página de destino da sessão e coloca o usuário na página. O usuário pode continuar usando o Ariba como um usuário autenticado, vinculado pelos privilégios de acesso associados ao ID de nome autenticado.
- Caso contrário, é exibido um erro.
- Ao fazer logout, o aplicativo Ariba sairá de seus aplicativos e poderá acessar o URL de logout fornecido pelo cliente.
- A sessão da Web é configurada para expirar após 30 minutos de tempo ocioso.
- A etapa "Autenticação de usuário com autenticação corporativa do cliente" é a implementação interna do cliente e será decidida por sua infraestrutura de segurança corporativa.
2 Amostra de configuração
Essa amostra demonstra a configuração de autenticação SAML com o início de sessão único do Microsoft Azure AD.
A etapa ‘Configurando a autenticação corporativa do Ariba Buyer’ é uma configuração comum no Ariba Buyer. Outras etapas para diferentes servidores IdP SAML devem consultar a documentação dos respectivos fornecedores de software de terceiros.
2.1 Detalhes da amostra
- URL do SPID do Ariba Buyer:
https://mycompany.com/Buyer/Main?realm=System&passwordAdapter=PasswordAdapter1
- URL de consumo de resposta SAML da Ariba:
https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System
2.2 Configurando o Single Sign-On do Azure AD
- No portal do Azure, opte por adicionar um aplicativo "Não galeria".
Nesta amostra, o nome da aplicação é ‘Ariba_Buyer’. - Após a criação, a partir de ‘Início rápido’, selecione ‘Configurar Single Sign-On’ e ‘Sign-On baseado em SAML’
Na página Início de sessão único, forneça os seguintes valores:
O identificador deve ser o ‘URL do SPID do Ariba Buyer’.
O URL de resposta deve ser o ‘URL de consumo de resposta SAML da Ariba’.
Selecione o Identificador do usuário. Esse identificador de usuário será enviado como "ID do nome" na resposta SAML e será usado como ID de usuário do Ariba Buyer.
Faça o download e mantenha uma cópia local do “Certificado (Base64)”. Este certificado será instalado no Ariba Buyer em uma etapa posterior.
- Torne o novo certificado ativo e Salve a modificação. Isso conclui a configuração do Single Sign-On do Azure.
Em seguida, na mesma página, clique no link ‘Configurar Ariba_Buyer’. Esta é a instrução do Azure para configurar o provedor de serviços. Copie os seguintes URLs desta instrução.
2.3 Configurando a autenticação corporativa do Ariba Buyer
2.3.1 Ativar autenticação corporativa
Encontre ‘Autenticação corporativa’ em Administração principal > Perfil do site.
A figura a seguir é somente para fins informativos. Ela demonstra os campos de entrada que a Ariba usa para ativar o serviço.
- Marque ‘Enable Corporate Authenticator’ e selecione ‘SAML Authentication’.
- Ele segue o protocolo SAML 1.1 por padrão. Selecione Usar solicitação SAML para ativar o protocolo SAML 2.0. Ele publicará a solicitação SAML no URL de login.
- Selecione ‘Adicionar URL de retorno do provedor de serviços’ para solicitar à Ariba que gere um URL de retorno no nome do parâmetro de URL “ret”. O cliente pode usar esse URL para publicar sua resposta SAML.
- Copie o conteúdo do certificado baixado do Azure AD.
- Grave a modificação.
Esta etapa terá efeito imediato.
Mas, antes de testar a autenticação SAML com o Azure AD, a próxima etapa ainda precisa ser aplicada.
2.3.2 Adicionar chave privada Ariba
Antes de prosseguir para a etapa seguinte, você deve obter um par de chaves RSA e importar o par de chaves RSA para um Java Key Store (arquivo *.jks).
A chave privada do Ariba será usada para assinar a solicitação SAML.
- Copie o arquivo JKS para o local: <buyer_install>/Server/etc/certs folder.
- Adicione ou modifique o 'System.Authentication.Keystores.AribaPrivateKeystore' da Parameters.table para conter o conteúdo mostrado em negrito no seguinte snippet de código.
|
Autenticação = { Credenciais = { MyCredentials = { Password = ""; Username = "";};}; Keystores = { AribaPrivateKeystore = { File = "etc/certs/<sample_key_store>.jks"; Chaves = { Chave1 = { Alias = <sample_alias>; Senha da chave = "<sample_key_pass>"; }; }; StorePassword = "<sample_store_pass>"; Tipo = jks; }; }; }; |
- Reinicie o servidor do Ariba Buyer para que a alteração do parâmetro entre em vigor.
Informações adicionais
Após instalar o WebLogic 11gR1 em uma nova máquina, certifique-se de que a autenticação SAML funcione com o servidor de aplicativos WebLogic 11gR1. Você deve fazer as seguintes alterações manuais para garantir que a autenticação SAML funcione:
Para garantir que a autenticação SAML funcione:
1 Interrompa os servidores.
2 Vá para a pasta de módulos no local onde o WebLogic 11gR1 está instalado (/opt/bea10mp36/blocks/).
3 Localize o arquivo com o nome com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Exclua este arquivo jar ou renomeie-o como com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old para garantir que esse arquivo jar não seja carregado ao iniciar os servidores e, em vez disso, carregue o arquivo jar correct.SAML presente na pasta /Server/Classes/. Este arquivo jar é usado pelo sistema para selecionar a classe XMLConfigurator correta para carregar dados SAML adequados.
5 Reinicie os servidores.
On-Premise > On-Premise - Ariba Buyer