Problemă

Cum să configurați autentificarea SAML pentru Ariba Buyer local?

Soluție

Autentificare SAML pentru Ariba Buyer local

Acest document oferă exemple despre modul în care Autentificarea SAML poate fi implementată și este menită să ilustreze procesele și conceptele din spatele acesteia. Există mai multe soluții de furnizor de identitate SAML („IdP” de mai jos) care sunt oferite de furnizori terți. Responsabilitatea pentru implementarea oricărui IdP SAML pe partea de client revine clientului.

1 flux protocol legare SAML HTTP POST

1.1 Condiții preliminare

Pentru ca un client să aibă acces la Ariba, se aplică următoarele condiții prealabile:

• Utilizatorul trebuie să aibă un cont creat în Ariba Buyer unde ID-ul de utilizator Ariba este identic cu ID-ul contului de companie al utilizatorului, așa cum este specificat în ID-ul numelui de răspuns SAML.
• Browserul utilizatorului permite cookie-uri și JavaScript.
• Clientul furnizează companiei Ariba un certificat public valid, un URL al paginii de releu de conectare la nivel de companie și un URL de deconectare.

1.2 Conexiunea inițială cu Ariba

• Un utilizator accesează URL-ul Ariba Sourcing sau Ariba Buyer. Aceasta poate fi pagina inițială sau un URL profund pe care un utilizator l-a marcat sau primit într-un e-mail.
• Ariba caută metoda de autentificare aplicabilă, care, în acest caz, va fi autentificarea SAML la nivel corporativ.
• Ariba creează o sesiune web, setează modulul cookie cu ID-ul sesiunii în browserul utilizatorului și salvează locația URL-ului de destinație final în sesiune.

În loc să afișeze o pagină de conectare Ariba, browserul utilizatorului este redirecționat către pagina de resurse protejate de client. URL-ul de redirecționare va include opțional ID-ul furnizorului de servicii (SPID), acest parametru poate ajuta clientul să identifice furnizorul de servicii și unde ar trebui să înregistreze răspunsul SAML după autentificare dacă găzduiește un URL SAML IdP generic.

1.3 Autentificarea utilizatorului cu autentificarea corporativă a clientului

• Browserul utilizatorului este redirecționat către pagina de resurse prin URL-ul de redirecționare Ariba.
• URL-ul de redirecționare conține și SPID.
• Deoarece această pagină de resurse este o resursă protejată, serviciul de autentificare corporativă SAML interceptează această cerere și solicită numele de utilizator și parola (sau alte metode de acreditare) care sunt introduse de utilizator și returnate la serviciul de autentificare corporativă.
• Serviciul de autentificare SAML Corporate validează acreditările în raport cu repository-ul de acreditări central.
• Cu privire la succes:
• • Serviciul de autentificare corporativă SAML setează un cookie de sesiune de acreditare în browserul utilizatorului
  • Serviciul SAML de autentificare corporativă regăsește URL-ul de retur Ariba bazat pe SPID
  • Serviciul de autentificare corporativă SAML pregătește un răspuns SAML semnat și redirecționează browserul pentru a publica răspunsul la URL-ul de retur Ariba.
• La eroare:
• • Serviciul de autentificare SAML Corporate afișează o pagină de eroare de autentificare.

1.4 Autentificarea finală cu Ariba

• Browserul este redirecționat către pagina specificată în URL-ul de retur Ariba.
• Serverul web Ariba mapează conexiunea la sesiunea corectă pe baza ID-ului de sesiune din modulul cookie al browserului. Logica care rulează pe aplicația Ariba procesează documentul de răspuns SAML și verifică semnătura cu certificatul public al clientului.
• La un meci pozitiv:
• • ID nume definit de utilizator este aceeași persoană care s-a autentificat anterior în serviciul de autentificare corporativ în acest proces de autentificare.
  • Ariba regăsește apoi pagina de destinație din sesiune și plasează utilizatorul pe pagină. Utilizatorul poate continua să utilizeze Ariba ca utilizator autentificat, cu privilegiile de acces asociate cu ID-ul de nume autentificat.
• În caz contrar, este afișată o eroare.

• La deconectare, aplicația Ariba se va deconecta de la aplicațiile sale și poate găsi URL-ul de deconectare furnizat de client.
• Sesiunea web este configurată să expire după 30 de minute de timp de inactivitate.
• Etapa „Autentificare utilizator cu autentificare corporativă client” este implementarea internă a clientului și va fi decisă de infrastructura de securitate corporativă a acestuia.

2 Exemplu de configurare

Acest exemplu demonstrează configurarea autentificării SAML cu Microsoft Azure AD Single Sign-On.

Etapa „Configurare autentificare corporativă Ariba Buyer” este o configurare comună în Ariba Buyer. Alți pași pentru diferite servere SAML IdP trebuie să se refere la documentația de la respectivii furnizori terți de software.

2.1 Detalii eșantion

• URL SPID Ariba Buyer:

https://mycompany.com/Buyer/Main?domeniu=System&passwordadaptor=PasswordAdapter1

• URL consum răspuns SAML Ariba:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&domeniu=Sistem

2.2 Configurarea unei singure conectări Azure AD

1. În portalul Azure, alegeți să adăugați o aplicație ‘Aplicație non-galerie’.
   În acest exemplu, numele aplicației este „Ariba_Buyer”.
2. După creare, de la ‘Lansare rapidă’, alegeți ‘Configurare Single Sign-On’ și ‘Conectare bazată pe SAML’

Pe pagina Single Sign-on, furnizați următoarele valori:

Identificatorul trebuie să fie „URL SPID Ariba Buyer”.
URL-ul de răspuns trebuie să fie „URL de consum răspuns SAML Ariba”.

Alegeți Identificator utilizator. Acest identificator de utilizator va fi trimis ca „Cod de nume” în răspunsul SAML și va fi utilizat ca cod de utilizator Ariba Buyer.

Descărcați și păstrați o copie locală a „Certificatului (Base64)”. Acest certificat va fi instalat în Ariba Buyer într-o etapă ulterioară.

3. Setează certificatul nou ca activ și salvează modificarea. Astfel se finalizează configurarea Azure Single Sign-On.

Apoi, pe aceeași pagină, faceți clic pe linkul „Configurare Ariba_Buyer”. Aceasta este instrucțiunea Azure de configurare a furnizorului de servicii. Copiați următoarele URL-uri din această instrucțiune.

2.3 Configurarea autentificării corporative Ariba Buyer

2.3.1 Activare autentificare la nivel de companie

Găsiți „Autentificare corporativă” din Administrare de bază > Profil site.

Cifra următoare are doar scop informativ. Demonstrează câmpurile de intrare pe care Ariba le utilizează pentru a activa serviciul.

1. Bifați opțiunea „Activare autentificator corporativ” și alegeți „Autentificare SAML”.
2. Urmează protocolul SAML 1.1 în mod implicit. Selectați Utilizare cerere SAML pentru a activa protocolul SAML 2.0. Aceasta va publica SAML Request în URL-ul de conectare.
3. Selectați „Adăugare URL retur furnizor servicii” pentru a solicita companiei Ariba să genereze un URL de retur în numele parametrului URL „ret”. Clientul poate utiliza acest URL pentru a-și publica răspunsul SAML.
4. Copiați conținutul certificatului descărcat din Azure AD.
5. Salvați modificarea.
   

Această etapă va intra în vigoare imediat.

Dar, înainte de a testa autentificarea SAML cu Azure AD, următorul pas trebuie încă să fie aplicat.

2.3.2 Adăugați cheia privată Ariba

Înainte de a trece la pasul următor, trebuie să obțineți o pereche de chei RSA și să importați perechea de chei RSA într-o arhivă de chei Java (*.jks fișier).

Cheia privată Ariba va fi utilizată pentru a semna cererea SAML.

1. Copiați fișierul JKS în locație: <buyer_install>/Server/etc/certs folder.
2. Adăugați sau modificați „System.Authentication.Keystores.AribaPrivateKeystore” din Parameters.table pentru a conține conținutul afișat cu bold în următorul fragment de cod.

• Repornește serverul Ariba Buyer pentru a aplica modificarea parametrilor.

Informații suplimentare

După instalarea WebLogic 11gR1 pe un computer nou, asigurați-vă că autentificarea SAML funcționează cu serverul de aplicații WebLogic 11gR1. Trebuie să efectuați următoarele modificări manuale pentru a vă asigura că autentificarea SAML funcționează:
Pentru a vă asigura că autentificarea SAML funcționează:
1 Opriți serverele.
2 Mergeți la folderul de module sub locația în care este instalat WebLogic 11gR1 (/opt/bea10mp36/module/).
3 Localizați fișierul numit com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Ștergeți acest fișier jar sau redenumiți-l în com.bea.core.bea.opensaml2_1.0.0.0_6-0-0.jar.old, pentru a vă asigura că acest fișier jar nu se încarcă la pornirea serverelor și, în schimb, încarcă fișierul jar SAML corect prezent în folderul /Server/Class/. Acest fișier JAR este utilizat de sistem pentru a ridica clasa XMLConfigurator corectă pentru a încărca datele SAML corespunzătoare.
5 Reporniți serverele.

On-Premise > On-Premise - Ariba Buyer