Problem

Hur konfigurerar jag SAML-autentisering för Ariba Buyer On-Premise?

Lösning

SAML-autentisering för Ariba Buyer On-Premise

Detta dokument ger exempel på hur SAML-autentisering kan implementeras och är avsett att illustrera processerna och koncepten bakom den. Det finns flera SAML-identitetsleverantörslösningar (nedan kallade IdP) som erbjuds av tredjepartsleverantörer. Ansvaret för implementeringen av eventuella SAML-identitetsleverantörer på kundsidan ligger hos kunden.

1 SAML HTTP POST-bindningsprotokollflöde

1.1 Förutsättningar

För att en kund ska få åtkomst till Ariba gäller följande förutsättningar:

• Användaren måste ha ett konto skapat i Ariba Buyer där Ariba-användar-ID är identiskt med användarens företagskonto-ID enligt vad som angetts i namn-ID för SAML-svar.
• Användarens webbläsare tillåter cookies och JavaScript.
• Kunden förser Ariba med ett giltigt offentligt certifikat, en webbadress till företagets reläsida för inloggning och en utloggnings-URL.

1.2 Initial anslutning till Ariba

• En användare går till webbadressen för Ariba Sourcing eller Ariba Buyer. Detta kan vara startsidan eller en djup URL som en användare har bokmärkt eller fått i ett e-postmeddelande.
• Ariba letar upp relevant autentiseringsmetod, som i detta fall blir SAML-företagsautentisering.
• Ariba skapar en webbsession, ställer in sessions-ID-cookien i användarens webbläsare och sparar platsen för slutdestinations-URL:en i sessionen.

I stället för att visa en inloggningssida för Ariba omdirigeras användarens webbläsare till den kundskyddade resurssidan. Omdirigerings-URL inkluderar Tjänsteleverantörs-ID (SPID), denna parameter kan hjälpa kunden att identifiera tjänsteleverantören och var den ska boka SAML-svaret efter autentiseringen om den är värd för en generisk SAML-IdP-URL.

1.3 Användarautentisering med kundens företagsautentisering

• Användarens webbläsare omdirigeras till resurssidan via omdirigerings-URL för Ariba.
• Omdirigerings-URL innehåller även SPID.
• Eftersom denna resurssida är en skyddad resurs fångar SAML-företagets autentiseringstjänst denna begäran och uppmanar till användarnamn och lösenord (eller andra autentiseringsmetoder) som anges av användaren och returneras till företagets autentiseringstjänst.
• Autentiseringstjänsten SAML Corporate validerar inloggningsuppgifterna mot den centrala lagringsplatsen för inloggningsuppgifter.
• Om framgång:
• • SAML-företagsautentiseringstjänsten ställer in en sessionscookie för inloggningsuppgifter i användarens webbläsare
  • SAML-företagsautentiseringstjänsten hämtar Ariba-returwebbadressen baserat på SPID
  • SAML-företagsautentiseringstjänsten förbereder ett signerat SAML-svar och omdirigerar webbläsaren för att publicera svaret på Ariba-returwebbadressen.
• Vid fel:
• • Autentiseringstjänsten SAML Corporate visar en autentiseringsfelsida.

1.4 Slutlig autentisering med Ariba

• Webbläsaren omdirigeras till den sida som anges i Ariba-returwebbadressen.
• Aribas webbserver mappar anslutningen till rätt session baserat på sessions-ID:t i webbläsarens cookie. Logik som körs i Ariba-programmet bearbetar SAML-svarsdokumentet och verifierar signaturen med kundens offentliga certifikat.
• Vid en positiv matchning:
• • Det användardefinierade namn-ID:t är samma person som autentiserade sig för företagsautentiseringstjänsten tidigare i den här autentiseringsprocessen.
  • Ariba hämtar sedan destinationssidan från sessionen och placerar användaren på sidan. Användaren kan fortsätta att använda Ariba som autentiserad användare, bunden av de åtkomstbehörigheter som är kopplade till autentiserad namn-ID.
• Annars visas ett fel.

• Vid utloggning kommer Ariba-applikationen att logga ut från sina applikationer och kan komma till den utloggnings-URL som kunden har tillhandahållit.
• Webbsessionen är konfigurerad att upphöra att gälla efter 30 minuters inaktiv tid.
• Steget ”User Authentication with Customer’s Corporate Authentication” är kundens interna implementering och kommer att beslutas av företagets säkerhetsinfrastruktur.

2 Konfigurationsexempel

Det här exemplet visar SAML-autentiseringskonfigurationen med Microsoft Azure AD Single Sign-On.

Steget "Konfigurera företagsautentisering för Ariba Buyer" är en vanlig konfiguration i Ariba Buyer. Andra steg för olika SAML IdP-servrar ska hänvisa till dokumentation från respektive mjukvaruleverantörer från tredje part.

2.1 Provgruppsdetaljer

• SPID-webbadress för Ariba Buyer:

https://mycompany.com/Buyer/Main?sfär=System&passwordadapter=PasswordAdapter1

• Förbruknings-URL för Ariba SAML-svar:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&sfär=System

2.2 Konfigurera Azure AD Single Sign-On

1. I Azure-portalen väljer du att lägga till ett program som inte är ett galleri.
   I det här exemplet är programnamnet ”Ariba_Buyer”.
2. Välj ”Konfigurera Single Sign-On” och ”SAML-baserad inloggning” från ”Snabbstart” när du har skapat

Ange följande värden på Single Sign-On-sidan:

Identifieraren ska vara "SPID-webbadressen för Ariba Buyer".
Svarswebbadressen ska vara "Förbruknings-URL för Ariba SAML-svar".

Välj Användar-ID. Denna användar-ID kommer att skickas som "Namn-ID" i SAML-svaret och användas som användar-ID för Ariba Buyer.

Ladda ner och spara en lokal kopia av ”Certificate(Base64)”. Certifikatet installeras i Ariba Buyer i ett senare steg.

3. Gör det nya certifikatet aktivt och spara ändringen. Då slutförs konfigurationen för Azure Single Sign-On.

Klicka sedan på länken "Konfigurera Ariba_Buyer" på samma sida. Det här är Azures instruktion om att konfigurera tjänsteleverantören. Kopiera följande URL:er från denna instruktion.

2.3 Konfigurera Ariba Buyer Corporate Authentication

2.3.1 Aktivera företagsautentisering

Hitta ”Företagsautentisering” under Grundadministration > Webbplatsprofil.

Följande siffra används endast i informationssyfte. Den visar de indatafält som Ariba använder för att möjliggöra tjänsten.

1. Markera "Aktivera Corporate Authenticator" och välj "SAML-autentisering".
2. Det följer SAML 1.1-protokollet som standard. Välj Använd SAML-begäran för att aktivera SAML 2.0-protokoll. Den kommer att publicera SAML-begäran till inloggnings-URL:en.
3. Välj "Lägg till retur-URL för tjänsteleverantör" för att be Ariba att generera en retur-URL i URL-parameternamnet "ret". Kunden kan använda denna URL för att publicera sitt SAML-svar.
4. Kopiera innehållet i certifikatet som hämtats från Azure AD.
5. Spara ändringen.
   

Detta steg börjar gälla omedelbart.

Men innan SAML-autentiseringen med Azure AD testas måste nästa steg fortfarande tillämpas.

2.3.2 Lägg till privat Ariba-nyckel

Innan du fortsätter till följande steg bör du hämta ett RSA-nyckelpar och importera RSA-nyckelparet till en Java-nyckelarkiv (*.jks-fil).

Aribas privata nyckel används för att signera SAML-begäran.

1. Kopiera JKS-filen till följande plats: <buyer_installation>/Server/etc/certs-mappen.
2. Lägg till eller ändra "System.Authentication.Keystores.AribaPrivateKeystore" från Parameters.table så att innehållet visas i fetstil i följande kodavsnitt.

• Starta om Ariba Buyer-servern för att parameterändringen ska börja gälla.

Ytterligare information

När du har installerat WebLogic 11gR1 på en ny dator kontrollerar du att SAML-autentisering fungerar med WebLogic 11gR1 Application Server. Du måste göra följande manuella ändringar för att säkerställa att SAML-autentisering fungerar:
Gör så här för att säkerställa att SAML-autentisering fungerar:
1 Stoppa servrarna.
2 Gå till modulmappen under den plats där WebLogic 11gR1 är installerad (/opt/bea10mp36/moduler/).
3 Hitta filen med namnet com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.
4 Radera denna jar-fil eller byt namn på den till com.bea.core.bea.opensaml2_1.0.0.0_6-2-0-0.jar.old, för att säkerställa att denna jar-fil inte läses in när servrarna startas och istället läser in den korrekta SAML-jar-filen som finns i mappen /Server/Classes/. Denna jar-fil används av systemet för att hämta rätt XMLConfigurator-klass för att läsa in korrekta SAML-data.
5 Starta om servrarna.

On-Premise > On-Premise - Ariba Buyer