Tämä artikkeli sisältää ohjeet asiakkaalle Microsoft Entra ID:n (aiemmin Azure AD) määrittämiseen todennusta varten Matrix42 Pro- ja IGA-ratkaisuissa.

Yleensä tämän määrityksen tekee asiakkaan Entra ID- tai tunnistautumisasiantuntija. Käyttöönotto ja testaus eivät yleensä vie enempää kuin puoli päivää. Huomaa, että osa kuvakaappauksista voi näyttää erilaisilta asiakkaan Entra ID:ssä.

Nämä ohjeet koskevat kaikkia Matrix42 Pro- ja IGA-ratkaisuja (esim. ITSM, IGA, HR), jotka käyttävät Secure Access -komponenttia todennukseen.

Kuinka määrittää Entra ID SAML:lla

Enterprise applications

Asiakkaan on määritettävä Entra ID niin, että Secure Access -komponentti voi hakea käyttäjätilejä ja ryhmiä. Kaikki seuraavat määritysvaiheet tehdään Microsoft Entra admin center.

1. Siirry osoitteeseen https://entra.microsoft.com ja valitse kirjautumisen jälkeen Identity → Applications → Enterprise applications.
   
   

   Tämä EI ole "App Registration", joka luodaan toista kautta, mutta saatetaan sekoittaa tähän.

   Jos Enterprise application -sovellusta ei käytetä, tämä määritys ei toimi.

    
2. Luo uusi Enterprise-sovellus valitsemalla “+ New application” ylävalikosta.
   
3. Valitse "Create you own application".
   
4. Täytä nimi kohdassa “What's the name of your app” ja valitse sitten "Integrate any other application you don't find in the gallery (Non-gallery)" -vaihtoehto lopusta. Paina sitten “Create”-painiketta.
   
5. Nyt Enterprise application on luotu. Seuraava vaihe on käyttäjien ja ryhmien määrittäminen sovellukselle. Yleiskatsauksesta näet seuraavat vaiheet. Valitse 1. Assign users and groups.
   Tämä on valinnainen vaihe, ja se on tehtävä vain, jos haluat rajoittaa, mitkä käyttäjät ja ryhmät sallitaan tässä todennuksessa ja sisällytetään väitteisiin (claims).
   
6. Lisää tarvittavat ryhmät, jotka käyttävät SSO:ta Matrix42 Pro- ja IGA-ratkaisuissa, valitsemalla + Add user/group.
   
7. Napsauta “Users and Groups”. Valitse sitten kaikki ryhmät, joita organisaatiosi käyttää SSO:hon Matrix42 Pro- ja IGA-ratkaisuissa, ja napsauta sitten "Select".
   
8. Seuraava vaihe on SSO:n määrittäminen. Yleiskatsauksesta näet seuraavat vaiheet. Valitse 2. Set up Single sing on. Federointiprotokolliin perustuva SSO-toteutus parantaa tietoturvaa, luotettavuutta ja loppukäyttäjäkokemusta, ja sen käyttöönotto on helpompaa.
   
9. Valitse SAML -vaihtoehto.
   
10. Aseta Identifier (Entity ID) ja Reply URL (Assertion Consumer Service URL):
    1. Identifier (Entity ID) on vastattava Secure Access -identiteetintarjoajan Service provider entity ID-arvoa. (Sama kuin Reply URL, mutta ei pääty /broker/<tenant>/endpoint -part).
       1. Esimerkki Entity ID -arvosta: https://your-keycloak.example.com/auth/realms/myrealm
          1. Secure Accessissa (vanha nimi ESA) Entity ID löytyy kohdasta Service provider entity ID ja Reply URL löytyy kohdasta Redirect URI.
    2. Reply URL on vastattava Secure Access -identiteetintarjoajan Redirect URI-arvoa.
    3. Täytä kenttä Matrix42 Pro- ja IGA-ratkaisujesi ympäristön URL-osoitteella.
       1. Jos käytössä on useita ympäristöjä, esim. testi- tai kehitysympäristö tuotantoympäristön lisäksi, voit lisätä niiden URI:t myöhemmin.
11. Esimerkiksi. https://example.m42cloud.com/auth/realms/example/broker/baseline/endpoint

12. Save
13. Kopioi App Federation Metadata Url ja toimita se Matrix42-konsultille, joka tekee SSO-toteutusta.
    

API-oikeudet

API-oikeudet myönnetään vähimmäistasoisina, mikä tarkoittaa, että Secure Access -sovellukselle sallitaan vain välttämätön käyttöoikeus. Nämä oikeudet on määritettävä niin, että Secure Access voi todentautua, muodostaa yhteyden Entra ID:hen ja lukea käyttäjätili- ja ryhmätietoja.

1. API-oikeudet voidaan avata sen jälkeen, kun sovellus on rekisteröity.
2. Valitse “API permissions” sivupalkista ja valitse sillä sivulla “Add a permission”. Jos sinulla on jo Microsoft Graph > User.Read.All lisättynä, voit jättää tämän ennalleen.
    
3. Valitse "Microsoft Graph".

4. Valitse API-oikeudet.
   

1. Vieritä alas kohtaan Directory ja valitse “User.Read.All” ja napsauta “Add permissions”.
    
2. Napsauta lopuksi “Grant admin consent for <Organization name>” ja napsauta “Yes”. Tämän jälkeen sovellus on valmis Matrix42:n käytettäväksi.
    

Oikeuksia käytetään eri toiminnoissa alla kuvatulla tavalla:

Sähköposti- ja upn-väitteiden lisääminen

On erittäin suositeltavaa lähettää myös käyttäjän sähköpostiosoite Entra-palvelusta Secure Access-palveluun. Sieltä käyttäjän sähköpostitiedot lähetetään Matrix42 Pro- ja IGA-ratkaisuun. Tämä tarvitaan Chat-toimintoa varten (jos sähköposti puuttuu, chat ei ole käytettävissä).

Tätä varten sinun on lisättävä email-väite:

1. Siirry kohtaan Token configuration, napsauta Add optional claim lisätäksesi sähköposti- ja upn-väitteet.
2. Valitse token-tyyppi: SAML ja Claim: email ja upn

Ryhmäväitteen lisääminen

On myös mahdollista lähettää ryhmät väitteinä Entra ID:stä ESA:an lisäämällä yksi ylimääräinen väite Entra-konsolissa.

Groups claim tarvitaan, jos oikeudet on tarkoitus tuoda järjestelmään tämän SAML-todennuksen mukana. Jos oikeudet käsitellään ESM:ssä eikä niitä tarvita käyttäjän todennuksen yhteydessä, groups claims -väitteitä ei tarvita.

Siirry kohtaan Token configuration juuri luomassasi sovelluksessa / +Add groups claim

1. Valitse Directory roles -valintaruutu
2. Tarkista, että SAML-kohdassa Group ID on valittuna
3. Save

Lisätietoja ja seuraavat vaiheet ryhmäväitteen käyttöön:

• Configure: EPE or ESA to use ESM roles
• https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-fed-group-claims

Valinnainen: Määritä Entra ID lähettämään federoitu/vierailija-UPN SAML:ssa

Tämä määritys suositellaan tehtäväksi, jos sallit vierailijakäyttäjien kirjautumisen.

Avaa SAML App Registration -sovelluksesi

Siirry kohtaan Token configuration

Add optional claim
Valitse token type = SAML ja Claim upn

Napsauta Add lisätäksesi kyseisen tokenin

Valitse tässä ponnahdusikkunassa valintaruutu “Turn on the Microsoft Graph profile permission” ja napsauta sitten Add

Muokkaa kyseistä väitettä valitsemalla Edit-vaihtoehto kolmen pisteen takaa

Aseta Externally authenticated arvoon Yes ja tallenna (Save)

Tarkista, että SAML-yrityssovelluksesi Single sign-on -määritysten Attributes & Claims -osio käyttää tätä upn:ää muodossa user.userprincipalname.

Federoitujen/vierailijakäyttäjien määritys on nyt valmis.

Heidän upn:nsä näkyy SAML-tokenissa tässä muodossa: <upn>_<homedomain>#EXT#@<resourcedomain> esimerkiksi: john_contoso.com#EXT#@contoso.onmicrosoft.com

Tämä asetus ei vaikuta sisäisten käyttäjien upn-muotoon, joka pysyy normaalissa upn-muodossa, esimerkiksi: john.doe@contoso.com