Problém

Ako nakonfigurovať autentifikáciu SAML pre Ariba Buy On-Premise?

Riešenie

Autentifikácia SAML pre Ariba Buy On-Premise

Tento dokument uvádza príklady toho, ako sa autentifikácia SAML môže implementovať a je určená na ilustráciu procesov a konceptov, ktoré sú za ním. Existuje niekoľko riešení SAML Identity Provider (ďalej len „IdP“), ktoré ponúkajú dodávatelia tretích strán. Zodpovednosť za implementáciu ľubovoľného poskytovateľa identity SAML na strane zákazníka nesie zákazník.

1 Tok protokolu väzby SAML HTTP POST

1.1 Predpoklady

Na to, aby mal zákazník prístup k Ariba, platia nasledujúce predpoklady:

• Používateľ musí mať vytvorený účet v Ariba Buy, kde je ID používateľa Ariba identické s ID podnikového účtu používateľa, ako je uvedené v ID názvu odpovede SAML.
• Prehliadač používateľa povoľuje súbory cookie a JavaScript.
• Zákazník poskytuje Ariba platný verejný certifikát, adresu URL podnikovej prihlasovacej stránky a adresu URL odhlásenia.

1.2 Počiatočné spojenie s Ariba

• Používateľ pristupuje k adrese URL Ariba Sourcing alebo Ariba Buy. Môže to byť domovská stránka alebo hlboká adresa URL, ktorú používateľ označil záložkou alebo ktorú dostal v e-maile.
• Ariba vyhľadá príslušnú metódu autentifikácie, ktorá v tomto prípade bude SAML Corporate Authentication.
• Ariba vytvorí webovú reláciu, nastaví súbor cookie ID relácie v prehľadávači používateľa a uloží umiestnenie cieľovej adresy URL do relácie.

Namiesto zobrazenia prihlasovacej stránky Ariba je prehliadač používateľa presmerovaný na stránku zdrojov chránených zákazníkom. Adresa URL presmerovania bude voliteľne obsahovať ID poskytovateľa služby (SPID), tento parameter môže zákazníkovi pomôcť identifikovať poskytovateľa služieb a kde by mal po autentifikácii odoslať odpoveď SAML, ak je hostiteľom generickej adresy URL IdP SAML.

1.3 Autentifikácia používateľa s firemnou autentifikáciou zákazníka

• Prehľadávač používateľa je presmerovaný na stránku zdrojov pomocou adresy URL presmerovania Ariba.
• Adresa URL presmerovania obsahuje aj SPID.
• Keďže táto stránka zdrojov je chráneným zdrojom, podniková overovacia služba SAML zachytí túto požiadavku a vyzve na zadanie mena používateľa a hesla (alebo iných metód poverení), ktoré zadal používateľ a vrátilo sa do podnikovej overovacej služby.
• Služba podnikovej autentifikácie SAML overuje poverenia voči centrálnemu úložisku poverení.
• Pri úspechu:
• • Podniková overovacia služba SAML nastavuje súbor cookie relácie poverení v prehliadači používateľa
  • Podniková overovacia služba SAML načíta URL vrátenia Ariba na základe SPID
  • Podniková overovacia služba SAML pripraví podpísanú odpoveď SAML a presmeruje prehliadač na odoslanie odpovede na URL vrátenia Ariba.
• Pri zlyhaní:
• • Firemná overovacia služba SAML zobrazuje stránku zlyhania autentifikácie.

1.4 Konečná autentifikácia s Ariba

• Prehliadač je presmerovaný na stránku, ako je uvedené v URL vrátenia Ariba.
• Webový server Ariba mapuje pripojenie k správnej relácii na základe ID relácie v súbore cookie prehliadača. Logika spustená v aplikácii Ariba spracuje dokument SAML Response a overí podpis s verejným certifikátom zákazníka.
• Pri pozitívnej zhode:
• • Používateľom definované ID mena je rovnaká osoba, ktorá bola autentifikovaná v podnikovej overovacej službe predtým v tomto procese autentifikácie.
  • Ariba potom načíta cieľovú stránku z relácie a pridelí používateľa na stránku. Používateľ môže naďalej používať Ariba ako overeného používateľa, viazaného prístupovými oprávneniami priradenými k overenému ID mena.
• V opačnom prípade sa zobrazí chyba.

• Po odhlásení sa aplikácia Ariba odhlási zo svojich aplikácií a môže pristáť na adrese URL pre odhlásenie, ktorú poskytuje zákazník.
• Webová relácia je nakonfigurovaná tak, aby exspirovala po 30 minútach nečinnosti.
• Krok „Autentifikácia používateľov s podnikovou autentifikáciou zákazníka“ je interná implementácia zákazníka a bude rozhodnutý o nej jeho podniková infraštruktúra zabezpečenia.

2 Ukážka konfigurácie

Táto ukážka demonštruje konfiguráciu overenia SAML pomocou jediného prihlásenia Microsoft Azure AD.

Krok „Konfigurácia podnikovej autentifikácie kupujúceho Ariba“ je bežná konfigurácia v kupujúcom Ariba. Ďalšie kroky pre rôzne servery IdP SAML by mali odkazovať na dokumentáciu od príslušných dodávateľov softvéru tretích strán.

2.1 Detaily vzorky

• URL API kupujúceho Ariba:

https://mycompany.com/Buyer/Main?realm=System&passwordapter=PasswordAdapter1

• URL spotreby odpovede Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System

2.2 Konfigurácia jediného prihlásenia Azure AD

1. Na portáli Azure vyberte pridať aplikáciu ‘Non-gallery application’.
   V tejto vzorke je názov aplikácie „Ariba_Buy“.
2. Po vytvorení z ‘Rýchleho spustenia’ zvoľte ‘Konfigurovať jediné prihlásenie’ a ‘Prihlásenie založené na SAML’

Na stránke jediného prihlásenia zadajte nasledujúce hodnoty:

Identifikátor by mal byť „URL API kupujúceho Ariba“.
Adresa URL pre odpoveď by mala byť „URL spotreby odpovede Ariba SAML“.

Zvoľte Identifikátor používateľa. Tento identifikátor používateľa sa v odpovedi SAML odošle ako „ID mena“ a použije sa ako ID používateľa Ariba Buy.

Stiahnite si a ponechajte si miestnu kópiu certifikátu (Base64). Tento certifikát sa nainštaluje kupujúcemu Ariba neskôr.

3. Nastavte nový certifikát ako aktívny a zmenu uložte. Týmto sa dokončí nastavenie jediného prihlásenia Azure.

Potom na tej istej stránke kliknite na prepojenie Konfigurovať Ariba_Buy. Toto je pokyn Azure na konfiguráciu poskytovateľa služieb. Skopírujte nasledujúce adresy URL z tohto návodu.

2.3 Konfigurácia podnikovej autentifikácie kupujúceho Ariba

2.3.1 Aktivovať podnikovú autentifikáciu

„Firemná autentifikácia“ nájdete v časti Hlavná správa > Profil lokality.

Nasledujúci obrázok slúži len na informačné účely. Demonštruje vstupné polia, ktoré Ariba používa na aktiváciu služby.

1. Skontrolujte „Aktivovať podnikový autentifikátor“ a vyberte možnosť „Autentifikácia SAML“.
2. Štandardne sa riadi protokolom SAML 1.1. Ak chcete aktivovať protokol SAML 2.0, vyberte možnosť Použiť požiadavku SAML. Požiadavka SAML sa odošle na prihlasovaciu URL adresu.
3. Vyberte „Pridať návratovú adresu URL poskytovateľa služby“, aby ste požiadali Ariba o vygenerovanie návratovej adresy URL v názve parametra URL „vrátené“. Zákazník môže pomocou tejto adresy URL odoslať svoju odpoveď SAML.
4. Skopírujte obsah certifikátu prevzatého z Azure AD.
5. Uložte zmenu.
   

Tento krok nadobudne účinnosť okamžite.

Pred testovaním autentifikácie SAML pomocou Azure AD je však ešte potrebné použiť ďalší krok.

2.3.2 Pridať súkromný kľúč Ariba

Pred pokračovaním na nasledujúci krok by ste mali získať dvojicu kľúčov RSA a importovať pár kľúčov RSA do Java Key Store (*.jks súbor).

Súkromný kľúč Ariba sa použije na podpísanie požiadavky SAML.

1. Skopírujte súbor JKS do umiestnenia: <buyer_install>/Server/etc/certs priečinok.
2. Pridajte alebo upravte „System.Authentication.Keystores.AribaPrivateKeystore“ z tabuľky Parameters.table, aby obsahovala obsah zobrazený tučným písmom v nasledujúcom zlomku kódu.

• Reštartujte server kupujúceho Ariba, aby sa prejavila zmena parametrov.

Doplnkové informácie

Po inštalácii WebLogic 11gR1 na nový počítač sa uistite, že autentifikácia SAML funguje s aplikačným serverom WebLogic 11gR1. Aby ste sa uistili, že autentifikácia SAML funguje, musíte vykonať nasledujúce manuálne zmeny:
Ak chcete zabezpečiť, aby overovanie SAML fungovalo:
1 Zastavte servery.
2 Prejdite do priečinka modulov pod miestom, kde je WebLogic 11gR1 nainštalovaný (/opt/bea10mp36/moduly/).
3 Vyhľadajte súbor s názvom com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Odstráňte tento súbor jar alebo ho premenujte na com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old, aby ste sa uistili, že sa tento súbor jar nenačíta pri spustení serverov a namiesto toho načíta správne.Súbor SAML jar sa nachádza v priečinku /Server/Classes/. Tento súbor jar používa systém na vyzdvihnutie správnej triedy XMLConfigurator na načítanie správnych dát SAML.
5 Reštartujte servery.

On-Premise > On-Premise - Ariba Buyer