 |
| ||||||||
問題
如何設定 Ariba Buyer On-Premise 的 SAML 驗證？
解決方案
Ariba Buyer 內部部署的 SAML 驗證
本文件提供如何實作 SAML 驗證的範例，並用於說明背後的程序和概念。有數個 SAML 識別提供者 (以下稱為「IdP」) 解決方案由第三方供應商提供。客戶方的任何 SAML IdP 建置責任由客戶負責。
1.1 先決條件
客戶若要存取 Ariba，則適用下列先決條件：
- 使用者必須在 Ariba Buyer 中建立 帳號，其中 Ariba UserID 必須與 SAML 回應名稱 ID 中指定的使用者公司帳戶 ID 相同。
- 使用者的瀏覽器允許 Cookie 和 JavaScript。
- 客戶向 Ariba 提供有效的公開憑證、企業登入中繼頁面 URL 和登出 URL。
1.2 與 Ariba 的初始連線
- 使用者可存取 Ariba Sourcing 或 Ariba Buyer URL。這可能是使用者已加入書籤或電子郵件收到的首頁或深層 URL。
- Ariba 會查詢適用的驗證方法，在此情況下將為 SAML 公司驗證。
- Ariba 建立網路工作階段、在使用者瀏覽器中設定工作階段 ID Cookie，並在工作階段中儲存最終目的地 URL 的位置。
使用者瀏覽器將重新導向至客戶保護的資源頁面，而非顯示 Ariba 登入頁面。重新導向 URL (選擇性) 會包含服務提供者 ID (SPID)，此參數可協助客戶識別服務提供者，以及當其主控一般 SAML IdP URL 時，應在驗證後發佈 SAML 回應的位置。
1.3 客戶公司驗證的使用者驗證
- 使用者的瀏覽器會由 Ariba 重新導向 URL 重新導向至資源頁面。
- 重新導向 URL 也包含 SPID。
- 由於此資源頁面是受保護的資源，因此 SAML 公司驗證服務會攔截此請求和提示輸入的使用者名稱和密碼 (或其他憑證方法)，並返回公司驗證服務。
- SAML Corporate 驗證服務會將憑證與中央憑證儲存機制進行驗證。
- 成功時：
- SAML 公司驗證服務會在使用者瀏覽器中設定憑證工作階段 Cookie
- SAML 公司驗證服務會根據 SPID 檢索 Ariba Return URL
- SAML 公司驗證服務會準備簽署的 SAML 回應，並將瀏覽器重新導向至 Ariba Return URL 的回應。
- 失敗時：
- SAML 公司驗證服務會顯示驗證失敗頁面。
1.4 Ariba 最終驗證
- 瀏覽器將重新導向至 Ariba Return URL 中指定的頁面。
- Ariba 網路伺服器會根據瀏覽器 Cookie 中的工作階段 ID 將連線對應至正確的工作階段。在 Ariba 應用程式上執行的邏輯會處理 SAML 回應文件，並使用客戶的公開憑證驗證簽名。
- 符合正數時：
- 使用者定義的 NameID 是先前在此驗證程序中向公司驗證服務驗證的人員。
- Ariba 接著從工作階段擷取目的地頁面，並將使用者登陸頁面。使用者可繼續使用 Ariba 作為已驗證使用者，並由與驗證名稱 ID 相關聯的存取權限繫結。
- 否則，系統會顯示錯誤。
- 登出後，Ariba 應用程式將從其應用程式登出，並可登陸客戶提供的登出 URL。
- Web 工作階段設定為在閒置時間 30 分鐘後到期。
- 「客戶企業驗證的使用者驗證」步驟是客戶的內部建置，並將由其公司安全性基礎架構決定。
2 組態範例
此範例展示使用 Microsoft Azure AD 單一登入的 SAML 驗證組態。
「設定 Ariba Buyer 公司驗證」步驟是 Ariba Buyer 中的常見設定。不同 SAML IdP 伺服器的其他步驟應參考來自個別第三方軟體廠商的文件。
2.1 樣本明細
- Ariba Buyer SPID URL：
https://mycompany.com/Buyer/Main?realm=System&passwordadapter=PasswordAdapter1
- Ariba SAML 回應使用 URL：
https://mycompany.com/Buyer/Main/ad/samlAuth/SSOActions?awr=1&realm=System
2.2 設定 Azure AD 單一登入
- 在 Azure 入口網站中，選擇新增「非圖庫應用程式」應用程式。
在這個範例中，應用程式名稱為「Ariba_PerBuyer」。 - 建立後，請從 [快速開始] 選擇 [組態單一登入] 和 [以 SAML 為基礎的登入]
在 單一登入 頁面上提供下列值：
識別碼應為「Ariba Buyer SPID URL」。
回覆 URL 應為「Ariba SAML 回應使用 URL」。
選擇 [使用者識別碼] 。此使用者識別碼將在 SAML 回應中作為「名稱 ID」傳送，並作為 Ariba Buyer 使用者識別碼使用。
下載並保留「憑證 (Base64)」的本端副本。此憑證將在後續步驟安裝至 Ariba Buyer。
- 將新憑證設為啟用中並儲存更改。這完成 Azure 單一登入設定。
接著按一下同一頁的「設定 Ariba_Puily」連結。此為 Azure 設定服務提供者的指示。從此指令複製下列 URL。
2.3 設定 Ariba Buyer 公司驗證
2.3.1 啟用公司驗證
從「核心管理」>「網站設定檔」尋找「公司驗證」。
以下圖表僅供參考。其中會展示 Ariba 用於啟用服務的輸入欄位。
- 勾選 [啟用公司驗證器] 並選擇 [SAML 驗證]。
- 依預設，這會遵循 SAML 1.1 通訊協定。選取 使用 SAML 請求 以啟用 SAML 2.0 通訊協定。它會將 SAML 要求發佈至登入 URL。
- 選擇「新增服務提供者傳回 URL」以要求 Ariba 在 URL 參數名稱「ret」中產生傳回 URL。客戶可使用此 URL 發佈 SAML 回應。
- 複製從 Azure AD 下載的憑證內容。
- 儲存更改。
此步驟將立即生效。
但使用 Azure AD 測試 SAML 驗證前，仍需套用下一步。
2.3.2 新增 Ariba 私密金鑰
繼續下列步驟前，您應取得 RSA 金鑰配對，並將 RSA 金鑰組匯入 Java 金鑰儲存區 (*.jks 檔案)。
Ariba 私密金鑰將用於簽署 SAML 請求。
- 將 JKS 檔案複製到位置： <buyer_install>/Server/etc/certs 資料夾。
- 從 Parameters.table 新增或修改「System.Authentication.Keystores.AribaPrivateKeystore」，以在下列程式碼片段中包含以粗體顯示的內容。
|
驗證 = { 資格證明 = { MyCredentials = { Password = ""; Username = "";};}; Keystore = { AribaPrivateKeystore = { 檔案 = "etc/certs/<sample_key_store>.jks"; 索引鍵 = { Key1 = { 別名 = <sample_alias>; KeyPassword = "<sample_key_pass>"; }; }; StorePassword = "<sample_store_pass>"; 類型 = jks; }; }; }; |
- 重新啟動 Ariba Buyer Server 以使參數變更生效。
附加資訊
在新電腦上安裝 WebLogic 11gR1 後，請確定 SAML 驗證與 WebLogic 11gR1 應用程式伺服器搭配使用。您必須進行下列手動變更，以確保 SAML 驗證正常運作：
若要確保 SAML 驗證正常運作：
1 停止伺服器。
2 移至 WebLogic 11gR1 安裝位置下的模組資料夾 (/opt/bea10mp36/modules/)。
3 找出 com.bea.core.be.opensaml2_1.0.0_6-2-0-0.jar 的檔案。
4 刪除此 jar 檔案，或將其重新命名為 com.bea.core.opensaml2_1.0.0_6-2-0-0.jar.old ，以確保在啟動伺服器時無法載入此 jar 檔案，並改為載入 /Server/Classes/ 資料夾內出現的 correct.SAML jar 檔案。系統使用此 Jar 檔案挑選正確的 XMLConfigurator 類別，以載入適當的 SAML 資料。
5 重新啟動伺服器。
內部部署 > 內部部署 - Ariba Buyer