Secure Access – Kundenanweisungen zur Entra ID Konfiguration SAML
Secure Access – Kundenanweisungen zur Entra ID Konfiguration SAML
Dieser Artikel enthält Anweisungen für Kunden zum Konfigurieren der Microsoft Entra ID (früher Azure AD ) für Single Sign-On (SSO) mit Matrix42 Pro and IGA -Lösungen.
Normalerweise wird diese Konfiguration vom Entra ID oder Authentifizierungsspezialisten des Kunden durchgeführt. Die Implementierung und der Test sollten nicht länger als einen halben Tag dauern. Bitte beachten Sie, dass einige Screenshots in der Entra ID des Kunden anders aussehen können.
Diese Anleitung ist für alle Matrix42 Pro and IGA Lösungen (z. B. ITSM, IGA , HR) anwendbar, die die Secure Access Komponente zur Authentifizierung verwenden.
So konfigurieren Sie Entra ID mit SAML
Anwendungsregistrierung
Der Kunde muss seine Entra ID konfigurieren, damit die Security Access-Komponente Benutzerkonten und Gruppen abrufen kann. Alle Konfigurationsschritte erfolgen im Entra ID -Admin-Center.
- Gehen Sie zu https://entra.microsoft.com und wählen Sie nach der Anmeldung Identität → Anwendungen → Unternehmensanwendungen .
Es handelt sich hierbei NICHT um eine „ App-Registrierung “, die über einen anderen Weg erstellt wird, aber mit dieser verwechselt werden könnte.
- Erstellen Sie eine neue Unternehmensanwendung, indem Sie im oberen Menü „ + Neue Anwendung “ auswählen.
- Wählen Sie „Erstellen Sie Ihre eigene Anwendung“.
- Geben Sie den Namen unter „Wie heißt Ihre App?“ ein. und wählen Sie am Ende die Option „Nicht-Galerie“ aus. Drücken Sie nun die Schaltfläche „Erstellen“.
- Die Enterprise-Anwendung ist nun erstellt. Im nächsten Schritt werden Benutzer und Gruppen für die Anwendung zugewiesen. Die nächsten Schritte sind in der Übersicht ersichtlich. Wählen Sie 1. Benutzer und Gruppen zuweisen .
- Fügen Sie die benötigten Gruppen hinzu, die SSO in Matrix42 Pro and IGA Lösungen verwenden, indem Sie + Benutzer/Gruppe hinzufügen auswählen.
- Klicken Sie auf „Benutzer und Gruppen“. Wählen Sie anschließend alle Gruppen aus, die Ihre Organisation für SSO in Matrix42 Pro and IGA Lösungen verwendet, und klicken Sie anschließend auf „Auswählen“.
- Der nächste Schritt ist die Einrichtung von SSO. In der Übersicht sehen Sie die nächsten Schritte. Wählen Sie 2. „Einzelanmeldung einrichten“ .
Eine SSO-Implementierung auf Basis von Föderationsprotokollen verbessert die Sicherheit, Zuverlässigkeit und das Endbenutzererlebnis und ist einfacher zu implementieren.
- Wählen Sie SAML Option.
- Kennung (Entitäts-ID) und Antwort-URL (Assertion Consumer Service-URL) festlegen:
- Der Bezeichner (Entitäts-ID) muss mit der Entitäts-ID des Secure Access Identity Providers Service Providers übereinstimmen. (Dasselbe wie die Antwort-URL, endet jedoch nicht mit
/broker/<tenant>/endpoint -part). - Die Antwort-URL muss mit der Umleitungs-URI des Secure Access Identity-Anbieters übereinstimmen.
- Geben Sie die URL Ihrer Matrix42 Pro and IGA Lösungsumgebung ein.
- Wenn Sie über mehrere Umgebungen verfügen, z. B. Test- oder Entwicklungsumgebungen zusätzlich zu Ihrer Produktionsumgebung, können Sie die URI dafür später hinzufügen.
- Zum Beispiel:
https://example.m42cloud.com/auth/realms/example/broker/baseline/endpoint
- Der Bezeichner (Entitäts-ID) muss mit der Entitäts-ID des Secure Access Identity Providers Service Providers übereinstimmen. (Dasselbe wie die Antwort-URL, endet jedoch nicht mit
- Kopieren Sie die App Federation Metadata URL und geben Sie diese an den Matrix42 -Berater weiter, der die SSO-Implementierung durchführt.
2. Zertifikate und Geheimnisse
Secure Access unterstützt eine sichere Verbindung mit Entra ID durch die Verwendung von Client Secrets.
Anweisungen zum Clientgeheimnis
- Wählen Sie im Microsoft Entra Admin Center unter „App-Registrierungen“ Ihre Anwendung aus.
- Wählen Sie Zertifikate und Geheimnisse > Clientgeheimnisse > Neues Clientgeheimnis.
- Fügen Sie eine Beschreibung für Ihr Client-Geheimnis hinzu.
- Wählen Sie ein Ablaufdatum für das Geheimnis aus oder geben Sie eine benutzerdefinierte Lebensdauer an.
- Die Lebensdauer des Clientgeheimnisses ist auf maximal zwei Jahre (24 Monate) begrenzt. Sie können keine benutzerdefinierte Lebensdauer von mehr als 24 Monaten angeben.
- Microsoft empfiehlt, einen Ablaufwert von weniger als 12 Monaten festzulegen.
- Wählen Sie Hinzufügen.
- Notieren Sie den Wert des Geheimnisses zur Verwendung in Ihrem Client-Anwendungscode. Dieser geheime Wert wird nach dem Verlassen dieser Seite nie wieder angezeigt.
Beachten!
Markieren Sie im Kalender und im Lösungsjahres-Umhang, dass Sie daran denken, ein neues Geheimnis hinzuzufügen und es in Secure Access zu verwenden, bevor das alte abläuft.
Planen Sie die Änderung des geheimen Schlüssels im Voraus, denn sobald der geheime Schlüssel abläuft, können sich Benutzer nicht mehr bei Matrix42 Core , Pro and IGA Lösungen authentifizieren.
Wenn dieselbe Anwendung zum Bereitstellen oder Importieren von Daten von/nach Entra zu Matrix42 Core , Pro oder IGA verwendet wird, funktioniert sie auch nicht mehr, wenn das Geheimnis abläuft.
3. API Berechtigungen
API Berechtigungen werden als Mindestberechtigung gewährt, d. h., es muss nur der notwendige Zugriff auf Efecte Secure Access -Anwendung gewährt werden. Diese Berechtigungen müssen so konfiguriert werden, dass Efecte Secure Access die Authentifizierung durchführen, eine Verbindung zur Entra ID herstellen und Benutzerkonto- und Gruppeninformationen lesen kann.
1. API Berechtigungen können geöffnet werden, nachdem die Anwendung registriert wurde
2. Wählen Sie in der Seitenleiste „ API Berechtigungen“ und auf dieser Seite „Berechtigung hinzufügen“. Microsoft Graph > User.Read sollte bereits hinzugefügt sein. Sie können dies so belassen.
3. Wählen Sie „Microsoft Graph“
4. API Berechtigungen auswählen
5. Scrollen Sie nach unten zum Verzeichnis, wählen Sie „Directory.Read.All“ und klicken Sie auf „Berechtigungen hinzufügen“.
6. Klicken Sie abschließend auf „Administratorzustimmung für <Name der Organisation> erteilen“ und anschließend auf „Ja“. Danach ist die Anwendung für Efecte einsatzbereit.
7. Die Konfiguration sollte so aussehen 
Berechtigungen werden in verschiedenen Funktionen verwendet, wie unten aufgeführt:
| Erlaubnis |
Funktion |
| Verzeichnis.Alles.Lesen |
Geplant |
| Gruppe.Alles.Lesen |
Ereignis |
| Benutzer.Lesen |
Login |
| Benutzer.Alles lesen |
Ereignis |
Es ist auch möglich, Gruppen von Entra ID an ESA zu senden, indem lediglich ein zusätzlicher Anspruch in Entra Konsole konfiguriert wird: 
4. Konfiguration der Weiterleitungs-URL
1. Wählen Sie Authentifizierung
2. Jetzt sollten Sie die Umleitungs-URIs sehen, die wir zuvor konfiguriert haben. 
3. Scrollen Sie nach unten und überprüfen Sie, ob die richtigen Token ausgewählt sind. Zugriffstoken (für implizite Flows verwendet) 
4. Überprüfen Sie, ob die unterstützten Kontotypen auf „Konten in einem beliebigen Organisationsverzeichnis“ eingestellt sind (beliebiges Entra ID Verzeichnis – Multitenant).
- Wenn ein einzelner Mandant ausgewählt ist, können alle Benutzer- und Gastkonten in Ihrem Verzeichnis Ihre Anwendung oder API verwenden.
Verwenden Sie diese Option, wenn Ihre Zielgruppe intern in Ihrer Organisation ist und das Zielverzeichnis Entra ID ist. - Alle Benutzer und Gäste mit einem Geschäfts-, Schul- oder Unikonto von Microsoft können Ihre Anwendung oder API verwenden. Dies gilt auch für Schulen und Unternehmen, die Microsoft 365 verwenden. Verwenden Sie diese Option, wenn Ihre Zielgruppe Geschäfts- oder Bildungskunden oder Entra ID Verzeichnis sind.
