Проблема

Як налаштувати автентифікацію SAML для локального покупця Ariba?

Рішення

Автентифікація SAML для локального покупця Ariba

У цьому документі наведено приклади того, як можна впровадити автентифікацію SAML, і він призначений для ілюстрації процесів і концепцій, що стоять за ним. Існує кілька рішень SAML Identity Provider («IdP» далі), які пропонуються сторонніми постачальниками. Відповідальність за впровадження будь-якого постачальника ідентичності SAML на стороні клієнта покладається на клієнта.

1 потік протоколу прив’язки HTTP POST SAML

1.1 Передумови

Щоб клієнт мав доступ до Ariba, застосовуються такі попередні умови:

• Користувач повинен створити обліковий запис в Ariba Buyer, де ідентифікатор користувача Ariba ідентичний ідентифікатору корпоративного облікового запису користувача, зазначеному в ідентифікаторі імені відповіді SAML.
• Браузер користувача дозволяє файли cookie та JavaScript.
• Клієнт надає Ariba дійсний публічний сертифікат, URL-адресу корпоративної сторінки ретрансляції входу та URL-адресу виходу.

1.2 Початкове підключення з Ariba

• Користувач отримує доступ до URL-адреси Ariba Sourcing або Ariba Buyer. Це може бути домашня сторінка або глибока URL-адреса, яку користувач додав до закладок або отримав в електронному листі.
• Ariba шукає відповідний метод автентифікації, який у цьому випадку буде корпоративною автентифікацією SAML.
• Ariba створює вебсеанс, встановлює файл cookie ідентифікатора сеансу в браузері користувача та зберігає розташування кінцевої цільової URL-адреси в сеансі.

Замість відображення сторінки входу в Ariba браузер користувача перенаправляється на сторінку захищеного клієнтом ресурсу. URL-адреса перенаправлення за бажанням включатиме ІД постачальника послуг (SPID), цей параметр може допомогти клієнту ідентифікувати постачальника послуг і де він має публікувати відповідь SAML після автентифікації, якщо він містить загальну URL-адресу провайдера ідентичності SAML.

1.3 Автентифікація користувача з корпоративною автентифікацією клієнта

• Браузер користувача перенаправляється на сторінку ресурсу за URL-адресою переадресації Ariba.
• URL-адреса переадресації також містить SPID.
• Оскільки ця сторінка ресурсу є захищеним ресурсом, корпоративна служба автентифікації SAML перехоплює цей запит і запитує ім’я користувача та пароль (або інші методи облікових даних), які вводяться користувачем і повертаються до корпоративної служби автентифікації.
• Служба корпоративної автентифікації SAML перевіряє облікові дані за центральним репозиторієм облікових даних.
• Про успіх:
• • Корпоративний сервіс автентифікації SAML встановлює файл cookie сеансу облікових даних у браузері користувача
  • Сервіс корпоративної автентифікації SAML отримує URL-адресу Ariba Return на основі SPID
  • Сервіс корпоративної автентифікації SAML готує підписану Відповідь SAML і перенаправляє браузер для публікації відповіді на URL-адресу повернення Ariba.
• У разі невдачі:
• • Сервіс корпоративної автентифікації SAML відображає сторінку помилки автентифікації.

1.4 Остаточна автентифікація в Ariba

• Браузер перенаправляється на сторінку, як зазначено в URL-адресі Ariba Return.
• Вебсервер Ariba зіставляє з’єднання з правильним сеансом на основі ідентифікатора сеансу в файлі cookie браузера. Логіка, що виконується в застосунку Ariba, обробляє документ відповіді SAML і перевіряє підпис за допомогою публічного сертифіката клієнта.
• При позитивному збігу:
• • Визначений користувачем NameID - це та сама особа, яка автентифікувалася в корпоративному сервісі автентифікації раніше в цьому процесі автентифікації.
  • Після цього Ariba отримує сторінку призначення з сеансу та визначає користувача на сторінці. Користувач може продовжувати використовувати Ariba як автентифікований користувач, пов’язаний привілеями доступу, пов’язаними з автентифікованим ідентифікатором імені.
• В іншому випадку відображається помилка.

• Під час виходу застосунок Ariba виходитиме зі своїх застосунків і може перейти за URL-адресою виходу, наданою клієнтом.
• Веб-сеанс сконфігуровано як прострочений через 30 хвилин часу простою.
• Крок "Автентифікація користувача з корпоративною автентифікацією клієнта" є внутрішнім впровадженням клієнта і буде вирішуватися його корпоративною інфраструктурою безпеки.

2 Зразок конфігурації

Цей зразок демонструє конфігурацію автентифікації SAML за допомогою єдиного входу Microsoft Azure AD.

Крок «Налаштування корпоративної автентифікації Ariba Buyer» — це загальна конфігурація в Ariba Buyer. Інші кроки для різних серверів SAML IdP мають посилатися на документацію від відповідних сторонніх постачальників програмного забезпечення.

2.1 Подробиці зразка

• URL-адреса Ariba Buyer SPID:

https://mycompany.com/Buyer/Main?reality=System&passwordadapter=PasswordAdapter1

• URL-адреса споживання відповіді Ariba SAML:

https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&site=System

2.2 Налаштування єдиного входу Azure AD

1. На порталі Azure виберіть, щоб додати додаток «Non-gallery application».
   У цьому прикладі назва застосунку – Ariba_Buyer.
2. Після створення з ‘Швидкий запуск’ оберіть ‘Налаштувати єдиний вхід’ і ‘Вхід на основі SAML’

На сторінці єдиного входу надайте наступні значення:

Ідентифікатором має бути «URL-адреса Ariba Buyer SPID».
URL-адреса відповіді має бути «URL-адреса споживання відповіді Ariba SAML».

Виберіть ідентифікатор користувача. Цей ідентифікатор користувача буде надіслано як «Ідентифікатор імені» у відповіді SAML і використано як ідентифікатор користувача Ariba Buyer.

Завантажити та зберегти локальну копію «Сертифікату (Base64)». Цей сертифікат буде інстальовано в Ariba Buyer на наступному кроці.

3. Зробіть новий сертифікат активним і збережіть зміну. Завершує налаштування Azure Single Single Sign-on.

Потім на тій самій сторінці натисніть на посилання «Налаштувати Ariba_Buyer». Це інструкція Azure для налаштування постачальника послуг. Скопіюйте наступні URL-адреси з цієї інструкції.

2.3 Налаштування корпоративної автентифікації Ariba Buyer

2.3.1 Увімкнути корпоративну автентифікацію

Знайдіть «Корпоративну автентифікацію» у Основне адміністрування > Профіль сайту.

Наступна цифра призначена лише для інформаційних цілей. Він демонструє поля введення, які Ariba використовує для активації послуги.

1. Установіть прапорець "Активувати корпоративний автентифікатор" і виберіть "Автентифікація SAML".
2. За замовчуванням слідує протоколу SAML 1.1. Виберіть Використовувати запит SAML, щоб активувати протокол SAML 2.0. Буде опубліковано запит SAML за URL-адресою для входу.
3. Виберіть «Додати URL-адресу повернення постачальника послуг», щоб попросити Ariba сформувати URL-адресу повернення в імені параметра URL-адреси «ret». Клієнт може використовувати цю URL-адресу, щоб опублікувати свою відповідь SAML.
4. Скопіюйте вміст сертифіката, завантаженого з Azure AD.
5. Збережіть зміну.
   

Цей крок набере чинності негайно.

Але, перш ніж тестувати SAML-автентифікацію за допомогою Azure AD, наступний крок все одно потрібно застосувати.

2.3.2 Додайте закритий ключ Ariba

Перш ніж перейти до наступного кроку, ви повинні отримати пару ключів RSA та імпортувати пару ключів RSA до сховища ключів Java (файл*.jks).

Закритий ключ Ariba використовуватиметься для підписання запиту SAML.

1. Скопіюйте файл JKS у розташування: папка <buyer_install>/Server/etc/certs.
2. Додайте або змініть ‘System.Authentication.Keystores.AribaPrivateKeystore’ з таблиці Parameters.table, щоб містити вміст, виділений жирним шрифтом, у наступному фрагменті коду.

• Перезапустіть сервер Ariba Buyer, щоб зміни параметрів набули чинності.

Додаткова інформація

Після інсталяції WebLogic 11gR1 на новий комп'ютер, переконайтеся, що SAML Authentication працює з WebLogic 11gR1 Application Server. Щоб автентифікація SAML працювала, потрібно внести такі зміни вручну:
Щоб забезпечити роботу автентифікації SAML:
1 Зупиніть роботу серверів.
2 Перейдіть до папки модулів у місці, де встановлено WebLogic 11gR1 (/opt/beo10mp36/modules/).
3 Знайдіть файл під назвою com.bea.core.be.opensaml2_1.0.00_6-2-0-0.jar.
4 Видаліть цей jar-файл або перейменуйте його на com.bea.core.be.opensaml2_1.0.00_6-2-0-0.jar.old, щоб переконатися, що цей jar-файл не завантажується при запуску серверів і замість цього завантажує файл correct.SAML jar, присутній в папці /Server/Classes/. Цей jar-файл використовується системою для отримання правильного класу XMLConfigurator для завантаження належних даних SAML.
5 Перезапустіть сервери.

Локально > Локально – Ariba Buyer