Tässä artikkelissa on ohjeet asiakkaalle Microsoft Entra ID (aiemmin Azure AD ) määrittämiseen kertakirjautumista (SSO) varten OpenID Connect ( OIDC ) avulla Matrix42 Pro and IGA ratkaisujen avulla.

Yleensä tämän määrityksen suorittaa asiakkaan Entra ID tai todennusasiantuntija. Käyttöönoton ja testauksen pitäisi kestää enintään puoli päivää. Huomaa, että jotkin kuvakaappaukset saattavat näyttää erilaisilta asiakkaan Entra ID ssä.

Nämä ohjeet koskevat kaikkia Matrix42 Pro and IGA -ratkaisuja (esim. ITSM, IGA , HR), jotka käyttävät Secure Access -komponenttia todennukseen.

Kaikki alla olevat vaiheet ovat pakollisia, ellei niitä ole erikseen mainittu valinnaisina.

Entra ID määrittäminen OpenID Connect ( OIDC ) varten

Hakemuksen rekisteröinti

Asiakkaan on määritettävä Entra -vuokraajansa sallimaan Matrix42 Security Access -komponentin hakea käyttäjätilien ja ryhmien tietoja. Määritys tehdään Entra ID -konsoliin (aiemmin Azure AD ) kirjautumisen jälkeen.

1. Siirry osoitteeseen https://entra.microsoft.com ja kirjaudu sisään valitsemalla App registrations (HUOM! Tämä ei ole " Enterprise Application ", joka luodaan toisen polun kautta, mutta se voidaan sekoittaa tähän). 
   
2. Valitse New registration . 
   
3. Anna sovellukselle nimi.
4. Valitse oikeat Supported Account Types käyttötapauksesi mukaan. Tämä on erittäin tärkeä valinta , joten jos et ole varma, minkä valita, ota yhteyttä jonkun kokeneemman henkilön kanssa tästä määrityksestä.
   1. Vaihtoehto 1 – useimmissa tapauksissa suositeltava : Jos luot peruskonfiguraatiota, jossa kaikki Matrix42 järjestelmään kirjautuvat käyttäjät kuuluvat vuokraajaasi, valitse Accounts in this organizational directory only (<this tenant> only - Single tenant)
   2. Vaihtoehto 2 : - Tässä käyttötapauksessa olet varma, että haluat myös muiden vuokralaisten käyttäjien voivan kirjautua Matrix42 -ratkaisuihisi (sinulla on esimerkiksi useita palveluntarjoajia (MSP)).
      Valitse: Accounts in any organizational directory (Any Microsoft Entra ID tenant - Multitenant) .
      1. Huomaa, että usean vuokraajan sovellusta käytettäessä Azure ei lähetä ryhmiä niminä, vaan aina vain tunnuksina.
      2. Huomautus! Jos valitset tämän monivuokraaja-vaihtoehdon, Matrix42 on määritettävä kaikki sallitut vuokraajat Tunnistetietojen tarjoajien myöntäjä -kenttään pilkuilla erotettuna luettelona. 
         
5. Valitse kohdassa Redirect URI alustaksi Web ja anna sitten Secure Access vastaus-URL-osoite (tämä voidaan lisätä myöhemmin, jos Matrix42 ei ole vielä antanut URI-osoitetta). 
   
6. Valitse Register .

Uudelleenohjauksen URI:n asettaminen sovelluksen luomisen jälkeen

1. Siirry osoitteeseen https://entra.microsoft.com ja kirjaudu sisään valitsemalla App registrations .
2. Etsi ja avaa luomasi sovellus.
3. Valitse vasemmanpuoleisesta valikosta Todennus. 
   
4. Lisää uudelleenohjaus-URI
   Alustan tyyppi: Web
   Redirect URI: URL-osoite, jonka sait Matrix42 OpenID Connect v1.0:n identiteettipalveluntarjoajien Redirect URI -attribute . 
   

Sertifikaatit ja salaisuudet

Secure Access tukee suojattua yhteyttä Entra ID Client Secrets avulla.

Asiakkaan salaiset ohjeet

1. Valitse sovelluksesi Microsoft Entra -hallintakeskuksessa App registrations . 
   
2. Valitse Certificates & secrets > Client secrets > New client secret . 
   
3. Lisää kuvaus asiakassalaisuudellesi.
4. Valitse salaisuudelle vanhenemisaika tai määritä mukautettu käyttöikä.
   1. Asiakkaan salaisuuden vanhenemisaika on rajoitettu 730 päivään / 24 kuukauteen (kaksi vuotta) tai vähemmän. Et voi määrittää mukautettua vanhenemisaikaa, joka on yli 730 päivää / 24 kuukautta.
   2. Microsoft suosittelee, että asetat vanhenemispäivämäärän, joka on alle 365 päivän / 12 kuukauden päässä.
5. Valitse Add . 
   
6. Kirjaa salaisuuden arvo asiakassovelluskoodiasi varten.
   

   Tätä salaista arvoa ei enää koskaan näytetä tältä sivulta poistumisen jälkeen. Jos salainen arvo katoaa / sitä ei tallenneta, ainoa tapa saada uusi salainen arvo on määrittää jokin uudelleen.

    
   

Tunnuksen määritys

Jotta perus OpenID Connect ( OIDC ) -kirjautuminen toimisi, sinun ei tarvitse lisätä Optional claim .

Sähköpostivaatimuksen lisääminen

Mutta on erittäin suositeltavaa lähettää käyttäjän sähköpostiosoite myös Entra Secure Access . Sieltä käyttäjän sähköpostiosoite lähetetään Matrix42 Pro and IGA ratkaisuun. Tätä tarvitaan chat-toimintoa varten.

Tätä varten sinun on lisättävä sähköpostivaatimus:

1. Siirry kohtaan Token configuration ja Add optional claim .
2. Valitse tunnuksen tyyppi: ID and Claim: email 
   

Lisää ryhmän tunnus

Vaihtoehtoisesti, jos haluat lähettää myös käyttäjän ryhmätiedot Entra Secure Access , sinun on lisättävä groups-claim.

Secure Access voit käyttää groups-claim-tietoja userLevel ja esm -roolien laskemiseen:

1. Siirry kohtaan Token configuration ja napsauta Add groups claim .
2. Valitse oikeat ryhmätyypit sen mukaan, minkä tyyppisiä ryhmiä haluat lähettää Secure Access -komponenttiin.
   1. Yleensä Security groups riittävät, mutta se riippuu siitä, miten asiakkaiden Entra ID -ryhmät on suunniteltu.
3. Valitse Customize token properties by type .
   1. Huomaa, että oletusarvo on Group ID , mutta Matrix42 Professional ja IGA ratkaisun kanssa sAMAccountName on yleensä parempi vaihtoehto, jos ryhmiä ei luoda suoraan Entra . 
      
   2. Jos haluat lähettää pilviryhmiä vaatimuksessa groupIDs , valitse vain " group type " ja valitse sitten IDs . 
      

API käyttöoikeudet

API käyttöoikeudet myönnetään vähimmäismääränä käyttöoikeuksia. Tämä tarkoittaa, että Secure Access -sovellukselle tarvitsee myöntää vain välttämättömät käyttöoikeudet.

1. Valitse sivupalkista ” API -käyttöoikeudet”.
2. Valitse tuolta sivulta "Lisää käyttöoikeus".
   1. Sinulla pitäisi jo olla Microsoft Graph > User.Read lisättynä, voit jättää tämän sellaisenaan. 
      
3. Valitse "Microsoft Graph".
4. Valitse Delegated permissions 
   
5. Vieritä alas Directory ja valitse tarvittavat käyttöoikeudet.
   1. Käyttöoikeus: Käyttäjä.Luku, Tyyppi: Delegoitu
   2. Käyttöoikeus: sähköposti, Tyyppi: Delegoitu
      1. Tämä vaaditaan vain, jos sähköpostivaatimus on määritetty ja se on pakollinen.
6. Napsauta " Add permissions ".
7. Nyt näytetään määritetyt käyttöoikeudet. 
   

Valinnainen: Määritä Entra ID lähettämään Federated/Guer UPN OIDC ID -tunnuksissa

Tämän määrityksen tekemistä suositellaan, jos sallit vieraskäyttäjien kirjautumisen.

1. Avaa App Registration .
2. Valitse luomasi sovelluksesi (kuvakaappauksessa Riku M42 native connectors ).
3. Siirry Token configuration
4. Valitse Add optional claim .
5. Valitse ID Token type ja Claim :ksi upn
6. Lisää kyseinen tunnus napsauttamalla Add . 
   
7. Näyttöön tulee ponnahdusikkuna, valitse valintaruutu ja napsauta Add . 
   
8. Muokkaa juuri määrittämäämme vaatimusta valitsemalla Edit vaihtoehto kolmen pisteen takaa: 
   
9. Aseta Externally authenticated Yes ja Save .

Liitännäiskäyttäjien/vieraskäyttäjien määritys on nyt valmis.

Heidän upn näytetään ID-tokenissa tässä muodossa: < upn >_<homedomain>#EXT#@<resourcedomain> esimerkiksi: john_contoso.com#EXT#@contoso.onmicrosoft.com

Tämä asetus ei vaikuta sisäisten käyttäjien upn muotoon, se on edelleen normaalissa upn muodossa, esimerkiksi: john.doe@contoso.com