Connexion unique avec les services de fédération MSAD

Vous pouvez activer Essbase pour utiliser l'accès avec connexion unique (SSO) à partir de Microsoft Active Directory (MSAD) Federation Services (FS).

  • Vous devez intégrer Essbase à MSAD conformément aux instructions de la section Intégrer WebLogic pour utiliser Microsoft Active Directory. Notez qu'aucune affectation de rôle explicite n'est nécessaire dans cette rubrique SSO, car elle est déjà traitée dans l'intégration prérequis de WebLogic.
  • Vous devez activer SSL pour le serveur géré WebLogic, et seule l'URL HTTPS peut être protégée. Cette tâche est incluse dans les étapes suivantes.
  • Pour permettre à Essbase d'utiliser l'accès avec connexion unique à l'aide de MSAD Federation Services, les tâches suivantes doivent être effectuées dans l'ordre indiqué.

Partie A : lancement d'Active Directory Federated Services (ADFS) et téléchargement de métadonnées de fédération au format XML

  1. Connectez-vous au système Microsoft Windows exécutant ADFS et démarrez l'interface de gestion ADFS. Cela fournit un accès SSO pour les ordinateurs client. Après le lancement, revenez au système source.
  2. A partir du système local Essbase, téléchargez les métadonnées ADFS à l'aide de l'exemple de lien suivant :
    https://<ADFS_hostname>/federationmetadata/2007-06/federationmetadata.xml
    Ces métadonnées sont requises pour l'intégration de WebLogic avec ADFS.
  3. Modifiez federationmetadata.xml et enlevez les balises suivantes, car elles ne sont pas reconnues par WebLogic. Supprimez les balises complètes, y compris les balises enfant.
    • <ds:Signaturexmlns:ds="http://www.w3.org/2000/09/xmldsig#"> .......... </X509Data></KeyInfo></ds:Signature>
    • <RoleDescriptor xsi:type="fed:ApplicationServiceType" ........... </EndpointReference></fed:PassiveRequestorEndpoint></RoleDescriptor>
    • <RoleDescriptor xsi:type="fed:SecurityTokenServiceType" ........... </EndpointReference></fed:PassiveRequestorEndpoint></RoleDescriptor>
    • <SPSSODescriptor WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"> ........... </SPSSODescriptor>

Partie B - SSO de configuration de fournisseur de services

  1. Activer SSL :
    1. Dans la console d'administration WebLogic, accédez à myrealm > Providers Summary of Environment > Summary of Servers > essbase_server1 (page de définition de votre serveur Essbase).
    2. Dans l'onglet Configuration > onglet Général, cochez la case Port d'écoute SSL activé.
    3. Indiquez un port d'écoute SSL.
    4. Cliquez sur Enregistrer.
    5. Accédez à l'onglet Protocoles > HTTP et indiquez les détails de l'hôte frontal, du port HTTP et du port HTTPS.
    6. Enregistrez et activez les modifications.
  2. Créez un asserteur d'identité :
    1. Accédez à Domaines de sécurité > myrealm > Fournisseurs.
    2. Sélectionnez Verrouiller et modifier
    3. Cliquez sur Nouveau et créez un nouvel SAML2IdentityAsserter, tel que saml_IA.
  3. Créer un fournisseur d'authentification:
    1. Entrez un nouveau fournisseur en saisissant son nom, par exemple samauth.
    2. Sélectionnez un nouveau type de fournisseur, tel que SAMLAuthenticator, puis cliquez sur OK.
    3. Cliquez sur le fournisseur que vous venez de créer et sélectionnez la valeur Indicateur de contrôle pour le remplacer par SUFFICIENT.
    4. Enregistrez les modifications.
  4. Sous myrealm > Fournisseurs, réorganisez les fournisseurs. Exemple :
    Image de la liste des fournisseurs d'authentification de sécurité

  5. Cliquez sur Toutes les modifications pour activer et redémarrer les serveurs d'administration et gérés WebLogic.
  6. Après le redémarrage de WebLogic, connectez-vous à la console d'administration WebLogic et accédez à Environnement > Serveurs > essbase_server1 > Services de fédération > Fournisseur de services SAML 2.0.
  7. Cliquez sur Verrouiller et modifier.
  8. Sélectionnez Activé.
  9. Indiquer l'URL par défaut comme 
    https://<your-essbase-host>:<your Essbase SSL port>/essbase/jet/
    Assurez-vous que l'option Liaison préférée est définie sur POST et cliquez sur Enregistrer.
  10. Sous Serveurs > essbase_server1 Federation Services > SAML 2.0 General, indiquez les détails suivants.
    1. Détails du contact. Lors de l'ajout dans ADFS, il ne doit pas entrer en conflit avec d'autres enregistrements.
    2. L'URL du site publié doit être 
      https://<Managed_server_host>:<Managed_Server_SSL_Port>/saml2
    3. ID entité <wls_sp_for_adfs_hostname>. Veillez à indiquer un nom unique lors de l'ajout dans ADFS afin qu'il ne soit pas en conflit avec les autres inscriptions.
  11. Cliquez sur Activation des modifications.
  12. Cliquez sur Publier les métadonnées et enregistrez le fichier dans un répertoire. Vous devez enregistrer ce fichier auprès d'ADFS. Copiez le fichier spd.xml dans le système où ADFS se trouve.
  13. Pour enregistrer ADFS dans le serveur WebLogic, copiez le fichier téléchargé federationmetadata.xml (généré dans l'étape A) de l'ordinateur ADFS vers l'ordinateur WebLogic Server. Il doit être accessible au serveur d'administration WebLogic, par exemple /scratch/user/federationmetadata.xml.
  14. Accédez à Security Realms myrealm Providers > Authentication > saml_IA Management > New > New Web Single Sign-On Identity Provider Partner.
  15. Cliquez sur WebSSO-IdP-Partner-0 et entrez les informations suivantes :
    1. Description : entrez la même valeur que pour name.
    2. Entrer les URI de redirection :
      
/essbase/jet/*
/essbase/smartview
/essbase/smartview/*
/essbase/smartview*
/essbase/ui
  16. Modifiez ./Oracle/domains/esscs/bin/setDomainEnv.sh et ajoutez -DLOGOUT_URL à l'argument JVM EXTRA_JAVA_PROPERTIES: EXTRA_JAVA_PROPERTIES="<Extra_Java_Properties> -DLOGOUT_URL=https://MSAD-Host/adfs/ls/?wa=wsignout1.0" export <Extra_Java_Properties>.

    Attention :

    La plate-forme Essbase inclut des scripts dans <DOMAIN HOME>/bin qui peuvent personnaliser l'environnement et les comportements de la fonctionnalité Essbase. Toutefois, toute modification apportée à ces scripts de démarrage ou d'environnement de domaine peut avoir des effets indésirables, comme l'échec du démarrage. Oracle recommande d'effectuer d'abord les modifications dans un environnement de test. Avant de modifier ces scripts, effectuez toujours les opérations suivantes :

    1. Arrêtez les serveurs gérés Essbase à l'aide de <DOMAIN HOME>/esstools/bin/stop.sh (sous Linux) ou <DOMAIN HOME>\esstools\bin\stop.cmd (sous Windows).

    2. Dans <DOMAIN HOME>/bin, effectuez une copie de sauvegarde du fichier à modifier. Exemple :

      Sous Linux

      cp setStartupEnv.sh setStartupEnv_bak.sh

      Sous Windows

      copy setStartupEnv.cmd setStartupEnv_bak.cmd

    3. Effectuez les modifications prudemment : suivez uniquement les instructions de la documentation Oracle ou du support technique Oracle.

    4. Redémarrez Essbase en utilisant <DOMAIN HOME>/esstools/bin/start.sh (sous Linux) ou <DOMAIN HOME>\esstools\bin\start.cmd (sous Windows). Assurez-vous que le démarrage s'effectue normalement.

  17. Redémarrez le serveur d'administration WebLogic et les serveurs gérés après avoir activé les modifications.

Partie C : Configuration du fournisseur d'identités ADFS

  1. Accédez au système ADFS dans lequel l'interface de gestion ADFS est exécutée. Sous Trust Relationships > Relying Party Trusts, cliquez avec le bouton droit de la souris et lancez Add Relying Party Trust....
  2. Cliquez sur Démarrer.
  3. Dans l'option Importer des données sur la partie de confiance à partir d'un fichier, accédez à l'emplacement du fichier de métadonnées de fédération spd.xml pour le téléchargement à partir de WebLogic et cliquez sur Suivant.
  4. Indiquez un nom d'affichage et cliquez sur Suivant.
  5. Sélectionnez Je ne veux pas configurer le facteur multiple..., puis cliquez sur Suivant.
  6. Acceptez l'option par défaut, puis cliquez sur Suivant.
  7. Cochez la case Ouvrir la boîte de dialogue Modifier les règles de déclaration....
  8. Sur la boîte de dialogue Modifier les règles de revendication, cliquez sur Ajouter la règle.
  9. Sélectionnez le modèle de règle Envoyer les attributs LDAP en tant que réclamations.
  10. Entrez les informations suivantes :
    1. Entrez le nom de la règle de déclaration : Name.
    2. Sélectionnez Boutique d'attributs : Active Directory.
    3. Sous Attribut LDAP, sélectionnez SAM-Account-Name.
    4. Sous Type de réclamation sortante, sélectionnez Name ID.
  11. Cliquez sur Terminer.
  12. De même, ajoutez une autre règle, le nom de la règle de réclamation : GivenName ; magasin d'attributs : Active Directory ; sous Attribut LDAP, sélectionnez Nom donné ; et sous Type de demande sortante, sélectionnez Nom donné ; puis cliquez sur Terminer.
  13. Cliquez sur Appliquer dans la fenêtre Modifier les règles de réclamation, puis fermez-la.
  14. Double-cliquez sur la confiance de la partie relais nouvellement ajoutée et accédez à l'onglet Avancé. Sélectionnez l'algorithme de hachage sécurisé (Secure Hash Algorithm) SHA-1.
  15. Cliquez sur Endpoints > Add SAML, puis entrez les détails ci-dessous.
    1. Type d'adresse : déconnexion SAML
    2. Liaison : POST
    3. Trusted URL : (au format :) https://host:port/adfs/ls/?wa=wsignout1.0
  16. Enregistrez l'ID d'entité que vous avez saisi dans la partie B - Configuration de l'authentification unique du fournisseur de services ci-dessus, étape 10c. Ouvrez ensuite le shell d'alimentation et exécutez la commande suivante : 
    set-AdfsRelyingPartyTrust -targetIdentifier <Entity ID> -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None

    La configuration est maintenant terminée.

Partie D - Test de connexion unique MSAD FS

  1. Lancez Essbase à l'URL HTTPS, telle que HTTPS ://host:port/essbase/jet.
  2. L'utilisateur MSAD doit apparaître dans l'angle supérieur droit de l'interface utilisateur Essbase.

    Remarques :

    Si, après la déconnexion, la session du navigateur est fermée (supprimée), redémarrez le navigateur pour vous connecter en tant qu'utilisateur différent.