Dieser Artikel bietet Kunden Anweisungen zur Konfiguration von Microsoft Entra ID (ehemals Azure AD ) für Single Sign-On (SSO) mit OpenID Connect ( OIDC ) unter Verwendung von Matrix42 Pro and IGA Lösungen.

Diese Konfiguration wird üblicherweise vom Entra ID oder Authentifizierungsspezialisten des Kunden durchgeführt. Die Implementierung und das Testen sollten nicht länger als einen halben Tag dauern. Bitte beachten Sie, dass einige der Screenshots in der Entra ID des Kunden möglicherweise anders aussehen.

Diese Anweisungen gelten für alle Matrix42 Pro and IGA -Lösungen (z. B. ITSM, IGA , HR), die die Komponente Secure Access zur Authentifizierung verwenden.

Alle nachfolgenden Schritte sind erforderlich, sofern nicht gesondert als optional angegeben.

So konfigurieren Sie Entra ID für OpenID Connect ( OIDC )

Anmeldung zur Anmeldung

Der Kunde muss seinen Entra Tenant so konfigurieren, dass Matrix42 Sicherheitszugriffskomponente Benutzerkonten- und Gruppeninformationen abrufen kann. Die Konfiguration erfolgt nach der Anmeldung an Entra ID Konsole (ehemals Azure AD ).

1. Gehen Sie zu https://entra.microsoft.com und wählen Sie nach der Anmeldung App registrations aus (HINWEIS! Dies ist keine " Enterprise Application ", die über einen anderen Weg erstellt wird, könnte aber damit verwechselt werden).
   
2. Wählen Sie New registration .
   
3. Geben Sie einen Namen für die Bewerbung ein.
4. Wählen Sie die passenden Supported Account Types je nach Anwendungsfall aus. Diese Auswahl ist sehr wichtig . Wenn Sie sich nicht sicher sind, welche Kontotypen Sie auswählen sollen, wenden Sie sich an jemanden mit mehr Erfahrung in dieser Konfiguration.
   1. Option 1 - in den meisten Fällen bevorzugt : Wenn Sie eine Basiskonfiguration erstellen, bei der alle Benutzer, die sich im Matrix42 -System anmelden sollen, zu Ihrem Mandanten gehören, wählen Sie Accounts in this organizational directory only (<this tenant> only - Single tenant)
   2. Option 2 : - In diesem Anwendungsfall möchten Sie, dass sich auch Benutzer anderer Mandanten bei Ihren Matrix42 Lösungen anmelden können (Sie haben beispielsweise einen Multi-Service-Provider (MSP)).
      Auswählen: Accounts in any organizational directory (Any Microsoft Entra ID tenant - Multitenant) .
      1. Beachten Sie, dass Azure bei Multi-Tenant-Apps Gruppen nicht als Namen, sondern immer nur als IDs sendet.
      2. Hinweis! Wenn Sie diese Mandantenfähigkeitsoption auswählen, muss Matrix42 alle zulässigen Mandanten im Feld „Aussteller“ des Identitätsanbieters als durch Kommas getrennte Liste konfigurieren.
         
5. Wählen Sie unter Redirect URI Web als Plattform aus und geben Sie dann die Antwort-URL von Secure Access ein (diese kann später hinzugefügt werden, falls Matrix42 noch keine URI bereitgestellt hat).
   
6. Wählen Sie Register .

So legen Sie die Umleitungs-URI nach der Erstellung der Anwendung fest

1. Gehen Sie zu https://entra.microsoft.com und wählen Sie nach der Anmeldung App registrations aus.
2. Suchen und öffnen Sie die von Ihnen erstellte Anwendung.
3. Wählen Sie im linken Menü „Authentifizierung“ aus.
   
4. Umleitungs-URI hinzufügen
   Plattformtyp: Web
   Redirect-URI: die URL, die Sie vom Matrix42 OpenID Connect v1.0 Identity providers Redirect URI -attribute erhalten haben.
   

Zertifikate & Geheimnisse

Secure Access unterstützt die sichere Verbindung mit Entra ID durch die Verwendung Client Secrets .

Geheime Anweisungen für den Kunden

1. Im Microsoft Entra Admin Center wählen Sie unter App registrations Ihre Anwendung aus.
   
2. Wählen Sie Certificates & secrets > Client secrets > New client secret .
   
3. Fügen Sie eine Beschreibung für Ihr Client-Geheimnis hinzu.
4. Wählen Sie ein Ablaufdatum für das Geheimnis oder geben Sie eine benutzerdefinierte Gültigkeitsdauer an.
   1. Die Gültigkeitsdauer des Clientgeheimnisses ist auf maximal 730 Tage / 24 Monate (zwei Jahre) begrenzt. Eine benutzerdefinierte Gültigkeitsdauer von mehr als 730 Tagen / 24 Monaten ist nicht möglich.
   2. Microsoft empfiehlt, ein Ablaufdatum festzulegen, das weniger als 365 Tage / 12 Monate in der Zukunft liegt.
5. Wählen Sie Add .
   
6. Notieren Sie den Wert des Geheimnisses zur Verwendung im Code Ihrer Clientanwendung.
   

   Dieser geheime Wert wird nach dem Verlassen dieser Seite nicht mehr angezeigt. Falls der geheime Wert verloren geht oder nicht gespeichert wird, kann er nur durch erneutes Konfigurieren wiederhergestellt werden.
   

Token-Konfiguration

Für die grundlegende Anmeldung OpenID Connect ( OIDC ) ist es nicht erforderlich, Optional claim hinzuzufügen.

E-Mail-Anspruch hinzufügen

Es wird jedoch dringend empfohlen, die E-Mail-Adresse des Benutzers auch von Entra an Secure Access zu senden. Von dort werden die E-Mail-Informationen des Benutzers an Matrix42 Pro and IGA Lösung weitergeleitet. Dies ist für die Chat-Funktion erforderlich.

Dazu müssen Sie die E-Mail-Behauptung hinzufügen:

1. Gehen Sie zu Token configuration und klicken Sie auf Add optional claim um einen E-Mail-Anspruch hinzuzufügen.
2. Token-Typ auswählen: ID and Claim: email
   

Gruppen-Token hinzufügen

Optional können Sie, wenn Sie auch die Gruppeninformationen der Benutzer von Entra an Secure Access senden möchten, einen Gruppenanspruch hinzufügen.

In Secure Access können Sie Gruppenanspruchsinformationen verwenden, um userLevel und esm Rollen zu berechnen:

1. Gehen Sie zu Token configuration und klicken Sie auf Add groups claim .
2. Wählen Sie die richtigen Gruppentypen aus, je nachdem, welche Art von Gruppen Sie an die Secure Access Komponente senden möchten.
   1. Normalerweise reichen Security groups aus, es kommt aber darauf an, wie Entra ID Gruppen der Kunden gestaltet wurden.
3. Wählen Sie Customize token properties by type .
   1. Beachten Sie, dass standardmäßig die Group ID verwendet wird. Bei Matrix42 Professional und IGA Lösung ist jedoch sAMAccountName in der Regel die bessere Option, wenn Gruppen nicht direkt aus Entra erstellt werden.
      
   2. Wenn Sie Cloud-Gruppen im Anspruch als groupIDs senden möchten, wählen Sie einfach " group type " und anschließend IDs aus.
      

API Berechtigungen

API Berechtigungen werden als Mindestberechtigungssatz vergeben. Das bedeutet, dass der Secure Access Anwendung nur der notwendige Zugriff gewährt werden muss.

1. Wählen Sie in der Seitenleiste „ API Berechtigungen“ aus.
2. Wählen Sie auf dieser Seite „Berechtigung hinzufügen“.
   1. Microsoft Graph > User.Read sollte bereits hinzugefügt sein, Sie können dies so belassen.
      
3. Wählen Sie „Microsoft Graph“ aus.
4. Delegated permissions auswählen
   
5. Scrollen Sie nach unten zu Directory und wählen Sie die benötigten Berechtigungen aus.
   1. Berechtigung: Benutzer.Lesen, Typ: Delegiert
   2. Berechtigung: E-Mail, Typ: Delegiert
      1. Dies ist nur erforderlich, wenn ein E-Mail-Anspruch konfiguriert wurde und erforderlich ist.
6. Klicken Sie auf „ Add permissions “.
7. Nun werden die konfigurierten Berechtigungen angezeigt.
   

Optional: Entra ID so konfigurieren, dass föderierte/Gast UPN in OIDC -ID-Tokens ausgegeben werden.

Diese Konfiguration wird empfohlen, wenn Sie Gastbenutzern die Anmeldung ermöglichen.

1. Öffnen Sie Ihre App Registration .
2. Wählen Sie Ihre erstellte App aus (im Screenshot: Riku M42 native connectors ).
3. Gehen Sie zur Token configuration
4. Wählen Sie Add optional claim .
5. Wählen Sie als Token type ID und als Claim upn aus.
6. Klicken Sie auf Add “, um dieses Token hinzuzufügen.
   
7. Es erscheint ein Popup-Fenster. Aktivieren Sie das Kontrollkästchen und klicken Sie auf Add .
   
8. Bearbeiten Sie den soeben konfigurierten Anspruch, indem Sie die Option Edit hinter den drei Punkten auswählen:
   
9. Setzen Sie Externally authenticated auf Yes und Save .

Die Konfiguration für Verbund-/Gastbenutzer ist nun abgeschlossen.

Ihr upn wird im ID-Token in diesem Format angezeigt: < upn >_<homedomain>#EXT#@<resourcedomain> zum Beispiel: john_contoso.com#EXT#@contoso.onmicrosoft.com

Diese Einstellung hat keinen Einfluss auf upn Format interner Benutzer; es bleibt im normalen upn Format, zum Beispiel: john.doe@contoso.com