Conexión Única con Servicios de Federación de MSAD

Puede activar Essbase para utilizar el inicio de sesión único (SSO) desde Microsoft Active Directory (MSAD) Federation Services (FS).

  • Debe integrar Essbase con MSAD de acuerdo con las instrucciones de Integrate WebLogic to Use Microsoft Active Directory. Tenga en cuenta que no es necesaria ninguna asignación de rol explícita en este tema de conexión única, ya que ya se trata en la integración de WebLogic como requisito previo.
  • Debe activar SSL del servidor gestionado de WebLogic y solo se puede proteger la URL HTTPS. Esta tarea se incluye en los siguientes pasos.
  • Las siguientes tareas, para permitir que Essbase utilice Single Sign-On con MSAD Federation Services, se deben realizar en el orden en que se presentan.

Parte A: Inicio de Active Directory Federated Services (ADFS) y descarga de metadatos de federación XML

  1. Conéctese al sistema Microsoft Windows que ejecuta ADFS e inicie la interfaz de gestión de ADFS. Esto proporciona acceso SSO para equipos cliente. Después del inicio, vuelva al sistema de origen.
  2. En el sistema local de Essbase, descargue los metadatos de ADFS mediante el siguiente enlace de ejemplo:
    https://<ADFS_hostname>/federationmetadata/2007-06/federationmetadata.xml
    Estos metadatos son necesarios para la integración de WebLogic con ADFS.
  3. Edite federationmetadata.xml y elimine las siguientes etiquetas, ya que WebLogic no las reconoce. Suprima las etiquetas completas, incluidas las etiquetas secundarias.
    • <ds:Signaturexmlns:ds="http://www.w3.org/2000/09/xmldsig#"> .......... </X509Data></KeyInfo></ds:Signature>
    • <RoleDescriptor xsi:type="fed:ApplicationServiceType" ........... </EndpointReference></fed:PassiveRequestorEndpoint></RoleDescriptor>
    • <RoleDescriptor xsi:type="fed:SecurityTokenServiceType" ........... </EndpointReference></fed:PassiveRequestorEndpoint></RoleDescriptor>
    • <SPSSODescriptor WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"> ........... </SPSSODescriptor>

Parte B: Configuración de SSO de proveedor de servicios (SP)

  1. Activar SSL:
    1. En la consola de administración de WebLogic, vaya a myrealm > Providers Summary of Environment > Summary of Servers > essbase_server1 (configuración de la página para el servidor de Essbase).
    2. En el separador Configuration > General, seleccione la casilla de control SSL Listen Port Enabled (Puerto de Recepción SSL Activado).
    3. Especifique un puerto de recepción SSL.
    4. Haga clic en Guardar.
    5. Vaya al separador Protocols (Protocolos) > HTTP y especifique los detalles del host de frontend, el puerto HTTP y el puerto HTTPS.
    6. Guarde y active los cambios.
  2. Crear una afirmación de identidad:
    1. Vaya a Dominios de seguridad > myrealm > Proveedores.
    2. Seleccione Bloquear y Editar.
    3. Haga clic en Nuevo y cree un nuevo SAML2IdentityAsserter, como saml_IA.
  3. Creación de nuevo proveedor de autenticación:
    1. Introduzca un nuevo proveedor introduciendo el nombre del proveedor, como samauth.
    2. Seleccione un nuevo tipo de proveedor, como SAMLAuthenticator, y haga clic en OK (Aceptar).
    3. Haga clic en el proveedor recién creado y seleccione el valor Indicador de control para cambiarlo a SUFFICIENT.
    4. Guardar los cambios.
  4. En myrealm > Providers, vuelva a ordenar los proveedores. Por ejemplo:
    Imagen de la lista de proveedores de autenticación de seguridad

  5. Haga clic en Todos los cambios para activar y reiniciar los servidores gestionados y de administración de WebLogic.
  6. Después de reiniciar WebLogic, inicie sesión en la consola de administración de WebLogic y vaya a Entorno > Servidores > essbase_server1 > Servicios de federación > Proveedor de servicios de SAML 2.0.
  7. Haga clic en Bloquear y editar.
  8. Seleccione Activado.
  9. Especificar la URL por defecto como 
    https://<your-essbase-host>:<your Essbase SSL port>/essbase/jet/
    Asegúrese de que Enlace preferido esté definido en POST y haga clic en Guardar.
  10. En Servidores > Servicios de federación essbase_server1 > SAML 2.0 General, especifique los siguientes detalles.
    1. Datos de la persona de contacto. Al agregar en ADFS, no debe entrar en conflicto con otros registros.
    2. La URL del sitio publicado debe ser 
      https://<Managed_server_host>:<Managed_Server_SSL_Port>/saml2
    3. Identificador de entidad como <wls_sp_for_adfs_hostname>. Asegúrese de especificar un nombre único, al agregar en ADFS, para que no entre en conflicto con otros registros.
  11. Haga clic en Activate changes.
  12. Haga clic en Publicar Metadatos y guarde el archivo en un directorio. Debe registrar este archivo con ADFS. Copie el archivo spd.xml en el sistema donde se encuentra ADFS.
  13. Para registrar ADFS en el servidor de WebLogic, copie el archivo descargado federationmetadata.xml (generado en STEP A) de la máquina de ADFS en la máquina de WebLogic Server. Debe ser accesible para AdminServer de WebLogic, por ejemplo: /scratch/user/federationmetadata.xml.
  14. Vaya a Proveedores de myrealm de dominios de seguridad > Autenticación > saml_IA Management > Nuevo > Nuevo socio de proveedor de identidad de inicio de sesión único web.
  15. Haga clic en WebSSO-IdP-Partner-0 e introduzca lo siguiente:
    1. Descripción: introduzca el mismo valor que para el nombre.
    2. Introduzca los URI de redirección:
      
/essbase/jet/*
/essbase/smartview
/essbase/smartview/*
/essbase/smartview*
/essbase/ui
  16. Edite ./Oracle/domains/esscs/bin/setDomainEnv.sh y agregue -DLOGOUT_URL al argumento de JVM EXTRA_JAVA_PROPERTIES: EXTRA_JAVA_PROPERTIES="<Extra_Java_Properties> -DLOGOUT_URL=https://MSAD-Host/adfs/ls/?wa=wsignout1.0" export <Extra_Java_Properties>

    Atención:

    La plataforma de Essbase incluye scripts en <DOMAIN HOME>/bin que pueden personalizar el entorno y los comportamientos de la funcionalidad de Essbase. Sin embargo, los cambios en estos scripts de inicio o entorno de dominio pueden tener efectos no deseados, incluido un fallo de inicio. Oracle recomienda realizar primero los cambios en un entorno de prueba. Antes de editar estos scripts, siempre debe:

    1. Detenga los servidores gestionados de Essbase mediante <DOMAIN HOME>/esstools/bin/stop.sh (en Linux) o <DOMAIN HOME>\esstools\bin\stop.cmd (en Windows).

    2. En <DOMAIN HOME>/bin, realice una copia de seguridad del archivo que desea editar. Por ejemplo,

      En Linux

      cp setStartupEnv.sh setStartupEnv_bak.sh

      En Windows

      copy setStartupEnv.cmd setStartupEnv_bak.cmd

    3. Edítelo cuidadosamente siguiendo únicamente las instrucciones documentada de Oracle o trabajando con los Servicios de Soporte Oracle.

    4. Reinicie Essbase mediante <DOMAIN HOME>/esstools/bin/start.sh (en Linux) o <DOMAIN HOME>\esstools\bin\start.cmd (en Windows). Compruebe que el inicio se ha completado normalmente.

  17. Reinicie el servidor de administración de WebLogic y los servidores gestionados después de activar los cambios.

Parte C: Configuración de ADFS IDP

  1. Vaya al sistema ADFS en el que se ejecuta la interfaz de gestión de ADFS. En Trust Relationships > Relying Party Trusts, haga clic con el botón derecho y abra Add Relying Party Trust....
  2. Haga clic en Iniciar.
  3. En la opción Importar datos sobre la parte de confianza desde un archivo, vaya a la ubicación del archivo de metadatos de federación spd.xml para descargar desde WebLogic y haga clic en Siguiente.
  4. Especifique un nombre mostrado y haga clic en Siguiente.
  5. Seleccione No quiero configurar varios factores... y haga clic en Siguiente.
  6. Acepte la opción por defecto y haga clic en Siguiente.
  7. Seleccione la casilla de control Abrir el cuadro de diálogo Editar reglas de reclamación....
  8. En la ventana Editar reglas de reclamación, haga clic en Agregar regla.
  9. Seleccione la plantilla de regla Enviar atributos LDAP como reclamaciones.
  10. Introduzca lo siguiente:
    1. Introduzca el nombre de regla de reclamación: Name.
    2. Seleccione Almacén de atributos: Active Directory.
    3. En Atributo de LDAP, seleccione SAM-Account-Name.
    4. En Tipo de notificación saliente, seleccione Name ID.
  11. Haga clic en Terminar.
  12. Del mismo modo, agregue otra regla, Nombre de regla de reclamación: Nombre de pila; Almacén de atributos: Active Directory; En Atributo de LDAP, seleccione Nombre de pila; y en Tipo de reclamación saliente, seleccione Nombre de pila y haga clic en Finalizar.
  13. Haga clic en Aplicar en el recuadro de diálogo Editar Reglas de Reclamación y cierre el cuadro.
  14. Haga doble clic en la confianza de parte de retransmisión recién agregada y vaya a la ficha Avanzado. Seleccione el algoritmo hash seguro: SHA-1.
  15. Haga clic en Endpoints > Add SAML e introduzca los detalles que se muestran a continuación.
    1. Tipo de punto final: desconexión de SAML
    2. Enlace: POST
    3. Trusted URL: (en el formato de:) https://host:port/adfs/ls/?wa=wsignout1.0
  16. Registre el ID de entidad que introdujo en la Parte B: Configurar SSO de proveedor de servicios (SP) anterior, paso 10c. A continuación, abra el shell de energía y ejecute el comando: 
    set-AdfsRelyingPartyTrust -targetIdentifier <Entity ID> -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None

    La configuración se ha completado.

Parte D - Conexión única MSAD FS de prueba

  1. Inicie Essbase en la URL de HTTPS, como HTTPS://host:port/essbase/jet.
  2. Debe ver el usuario MSAD en la esquina superior derecha de la interfaz de usuario de Essbase.

    Note:

    Si, después de la desconexión, la sesión del explorador se cierra (se suprime), reinicie el explorador para conectarse como un usuario diferente.