Problem

Kako konfigurisati SAML potvrdu identiteta za kupca Ariba lokalno?

Rešenje

SAML potvrda identiteta za Ariba Customer On-Premise

Ovaj dokument daje primere načina na koji se SAML provera autentičnosti može implementirati i namenjen je za ilustraciju procesa i koncepata koji stoje iza njega. Postoji nekoliko SAML dobavljača identiteta (‘IdP’ ovde) rešenja koja nude dobavljači treće strane. Odgovornost za implementaciju SAML davaoca identiteta na strani kupca je u odnosu na kupca.

1 SAML HTTP POST tok protokola povezivanja

1.1 Preduslovi

Da bi kupac imao pristup rešenju Ariba, primenjuju se sledeći preduslovi:

• Korisnik mora imati nalog kreiran u rešenju Ariba Customer gde je Ariba UserID identičan ID-u korporativnog naloga korisnika kao što je navedeno u ID-u imena SAML odgovora.
• Korisnički pretraživač dozvoljava kolačiće i JavaScript.
• Kupac kompaniji Ariba obezbeđuje važeći javni sertifikat, URL stranice prenosa prijave kompanije i URL za odjavu.

1.2 Početna veza s Ariba

• Korisnik pristupa URL-u rešenja Ariba Sourcing ili Ariba Customer. Ovo može biti početna stranica ili duboki URL koji je korisnik označio ili primio u e-pošti.
• Ariba traži primenljiv metod potvrde identiteta, koji će u ovom slučaju biti SAML korporativna potvrda identiteta.
• Ariba kreira web sesiju, postavlja ID sesije cookie u pretraživač korisnika i snima lokaciju URL konačnog odredišta u sesiji.

Umesto prikaza stranice prijave na Ariba, pretraživač korisnika se preusmerava na stranicu resursa zaštićenu od kupca. URL preusmeravanja će opciono uključiti ID davaoca usluga (SPID), ovaj parametar može pomoći kupcu da identifikuje davaoca usluga i gde treba da knjiži SAML odgovor nakon potvrde identiteta ako hostuje generički URL SAML davaoca identiteta.

1.3 Provera autentičnosti korisnika sa korporativnom potvrdom identiteta kupca

• URL preusmeravanja na stranicu resursa preusmerava pretraživač korisnika.
• URL preusmeravanja takođe sadrži SPID.
• Pošto je ova stranica resursa zaštićeni resurs, usluga SAML korporativne potvrde identiteta preseca ovaj zahtev i upite za korisničko ime i lozinku (ili druge metode podataka pristupa) koje unosi korisnik i vraća u uslugu korporativne potvrde identiteta.
• Usluga SAML korporativne potvrde identiteta validira podatke pristupa u odnosu na centralni repozitorijum podataka pristupa.
• Uspešno:
• • Usluga SAML korporativne potvrde identiteta postavlja kolačić sesije podataka pristupa u pretraživaču korisnika
  • Usluga SAML korporativne potvrde identiteta poziva URL vraćanja Ariba na osnovu SPID-a
  • Usluga SAML korporativne potvrde identiteta priprema potpisani SAML odgovor i preusmerava pretraživač da knjiži odgovor na URL za vraćanje Ariba.
• Na neuspehu:
• • Usluga SAML Corporate Authentication prikazuje stranicu greške provere autentičnosti.

1.4 Završna provera autentičnosti uz Ariba

• Pretraživač se preusmerava na stranicu kako je navedeno u URL-u za vraćanje rešenja Ariba.
• Ariba web server preslikava vezu u tačnu sesiju na osnovu ID-a sesije u kolačiću pretraživača. Logika koja se izvodi u aplikaciji Ariba obrađuje SAML dokument odgovora i verifikuje potpis sa javnim sertifikatom kupca.
• Pri pozitivnom podudaranju:
• • Korisnički definisani NameID je ista osoba koja je proverila identitet za uslugu korporativne potvrde identiteta ranije u ovom procesu potvrde identiteta.
  • Ariba zatim poziva stranicu odredišta iz sesije i stavlja korisnika na stranicu. Korisnik može i dalje koristiti Ariba kao korisnika s potvrđenim identitetom, vezan ovlašćenjima za pristup povezanim sa ID-om naziva s potvrđenim identitetom.
• U suprotnom, prikazuje se greška.

• Prilikom odjave, Ariba aplikacija će se odjaviti iz svojih aplikacija i može se prijaviti na URL adresu za odjavu koji obezbeđuje kupac.
• Web sesija je konfigurisana da istekne nakon 30 minuta vremena neaktivnosti.
• Korak „Provera autentičnosti korisnika pomoću korporativne potvrde identiteta klijenta“ je interna implementacija kupca i o kojoj će se odlučiti njihova korporativna bezbednosna infrastruktura.

2 Uzorak konfiguracije

Ovaj uzorak pokazuje konfiguraciju SAML potvrde identiteta koristeći Single Sign-On za Microsoft Azure AD.

Korak ‘Konfigurisanje korporativne potvrde identiteta kupca kompanije Ariba’ je zajednička konfiguracija u kupcu rešenja Ariba. Drugi koraci za različite SAML IdP servere treba da se odnose na dokumentaciju od odgovarajućih dobavljača softvera treće strane.

2.1 detalji uzorka

• URL SPID-a kupca Ariba:

https://mycompany.com/Buyer/Main?relm=System&passwordadapter=PasswordAdapter1

• URL za upotrebu odgovora SAML rešenja Ariba:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=sistem

2.2 Konfigurisanje Azure AD Single Sign-On-a

1. Na portalu Azure izaberite da dodate aplikaciju 'Aplikacija koja nije galerija'.
   U ovom uzorku, naziv aplikacije je ‘Ariba_Customer’.
2. Nakon kreiranja izaberite ‘Brzo pokretanje’ i ‘Konfiguriši Single Sign-On’ i ‘Prijava zasnovana na SAML’

Na stranici Single Sign-On navedite sledeće vrednosti:

Identifikator treba da bude „URL SPID-a kupca Ariba“.
URL odgovora treba da bude „URL korišćenja odgovora Ariba SAML“.

Izaberite Identifikator korisnika. Identifikator korisnika će biti poslat kao „ID imena“ u SAML odgovoru i koristiće se kao ID korisnika kupca Ariba.

Prenesite sa servera i zadržite lokalnu kopiju ‘Sertifikata(Base64)’. Ovaj sertifikat će biti instaliran u Ariba Customer u kasnijem koraku.

3. Aktivirajte novi sertifikat i sačuvajte promenu. Time se završava podešavanje za Azure Single Sign-On.

Zatim na istoj stranici kliknite na vezu ‘Konfiguriši Ariba_Customer’. Ovo je Azure uputstvo za konfiguraciju davaoca usluga. Kopirajte sledeće URL-ove iz ovog uputstva.

2.3 Konfigurisanje korporativne potvrde identiteta kupca Ariba

2.3.1 Aktiviraj korporativnu potvrdu identiteta

Nađite ‘Korporativnu potvrdu identiteta’ iz administracije jezgra > Profil sajta.

Sledeća brojka služi samo u informativne svrhe. Pokazuje polja unosa koja Ariba koristi za aktiviranje usluge.

1. Proverite ‘Aktiviraj ovlašćenog autentifikatora’ i izaberite ‘SAML potvrda identiteta’.
2. Podrazumevano prati SAML 1.1 protokol. Odaberite Koristi SAML zahtev da biste aktivirali SAML 2.0 protokol. Objaviće SAML zahtev na URL prijave.
3. Odaberite ‘Dodaj URL vraćanja davaoca usluga’ da biste pitali Ariba da generiše URL vraćanja u nazivu parametra URL-a “ret”. Kupac može da koristi ovaj URL za objavljivanje svog SAML odgovora.
4. Kopirajte sadržaj sertifikata prenetog sa servera iz Azure AD.
5. Sačuvajte promenu.
   

Ovaj korak će odmah stupiti na snagu.

Međutim, pre testiranja SAML provere autentičnosti sa Azure AD, potrebno je primeniti sledeći korak.

2.3.2 Dodaj Ariba privatni ključ

Pre nego što nastavite sa sledećim korakom, treba da dobijete par ključeva RSA i uvezete par ključeva RSA u Java Key Store (*.jks fajl).

Privatni ključ rešenja Ariba koristiće se za potpisivanje SAML zahteva.

1. Kopirajte JKS fajl na lokaciju: <buyer_instal>/Server/etc/certs folder.
2. Dodajte ili izmenite ‘System.Authentication.Keystores.AribaPrivateKeystore’ iz tabele Parameters.table da biste sadržali sadržaj prikazan podebljano u sledećem isečku koda.

• Ponovo pokrenite server kupca Ariba da bi promena parametra stupila na snagu.

Dodatne informacije

Nakon instaliranja WebLogic 11gR1 na novoj mašini, uverite se da SAML provera autentičnosti funkcioniše pomoću aplikacijskog servera WebLogic 11gR1. Morate izvršiti sledeće ručne promene da biste osigurali da SAML potvrda identiteta funkcioniše:
Da bi se osiguralo da SAML potvrda identiteta funkcioniše:
1 Zaustavite servere.
2 Idite na fasciklu modula pod lokacijom na kojoj je instalirana WebLogic 11gR1 (/opt/bea10mp36/module/).
3 Locirajte datoteku pod nazivom com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Izbrišite ovaj jar fajl ili ga preimenujte u com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jardi old, da biste se uverili da se ova jar datoteka ne učitava prilikom pokretanja servera i umesto toga učitava korekt.SAML jar fajl prisutan u folderu /Server/Class/. Sistem koristi ovaj jar fajl za preuzimanje tačne XMLConfigurator klase za učitavanje odgovarajućih SAML podataka.
5 Ponovo pokrenite servere.

On-Premise > On-Premise - Ariba Buyer