Single Sign-On mediante i servizi di federazione MSAD

È possibile abilitare Essbase per utilizzare SSO (Single Sign-On) da Microsoft Active Directory (MSAD) Federation Services (FS).

  • È necessario integrare Essbase con MSAD in base alle istruzioni riportate in Integra WebLogic per utilizzare Microsoft Active Directory. Tenere presente che non è necessaria alcuna assegnazione esplicita del ruolo in questo argomento Single Sign-On, poiché è già stata affrontata nell'integrazione WebLogic dei prerequisiti.
  • È necessario abilitare SSL per il server gestito WebLogic e proteggere solo l'URL HTTPS. Questo task è incluso nei passi seguenti.
  • Per consentire a Essbase di utilizzare Single Sign-On utilizzando MSAD Federation Services, è necessario eseguire i task riportati di seguito nell'ordine presentato.

Parte A - Avvia servizi federati di Active Directory (ADFS) e scarica XML metadati federazione

  1. Connettersi al sistema Microsoft Windows che esegue ADFS e avviare l'interfaccia di gestione ADFS. Fornisce l'accesso SSO per i computer client. Dopo l'avvio, tornare al sistema di origine.
  2. Scaricare i metadati ADFS dal sistema locale Essbase utilizzando il collegamento di esempio riportato di seguito.
    https://<ADFS_hostname>/federationmetadata/2007-06/federationmetadata.xml
    Questi metadati sono necessari per l'integrazione di WebLogic con ADFS.
  3. Modificare federationmetadata.xml e rimuovere le tag seguenti, poiché non sono riconosciute da WebLogic. Eliminare i tag completi, inclusi i tag figlio.
    • <ds:Signaturexmlns:ds="http://www.w3.org/2000/09/xmldsig#"> .......... </X509Data></KeyInfo></ds:Signature>
    • <RoleDescriptor xsi:type="fed:ApplicationServiceType" ........... </EndpointReference></fed:PassiveRequestorEndpoint></RoleDescriptor>
    • <RoleDescriptor xsi:type="fed:SecurityTokenServiceType" ........... </EndpointReference></fed:PassiveRequestorEndpoint></RoleDescriptor>
    • <SPSSODescriptor WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"> ........... </SPSSODescriptor>

Parte B - SSO Configura provider di servizi

  1. Abilita SSL:
    1. Nella console di amministrazione di WebLogic, andare a myrealm > Providers Summary of Environment > Summary of Servers > essbase_server1 (impostazione della pagina per il server Essbase).
    2. Nella scheda Configurazione > scheda Generale selezionare la casella di controllo Porta di ascolto SSL abilitata.
    3. Specificare una porta di ascolto SSL.
    4. Fare clic su Salva.
    5. Andare a Protocolli > scheda HTTP e specificare i dettagli relativi a host front-end, porta HTTP e porta HTTPS.
    6. Per rendere attive le modifiche, salvare e attivare.
  2. Creare uno strumento di asserzione delle identità:
    1. Vai a Reami di sicurezza > myrealm > Provider.
    2. Selezionare Blocca e modifica
    3. Fare clic su Nuovo e creare un nuovo SAML2IdentityAsserter, ad esempio saml_IA.
  3. Crea un nuovo provider di autenticazione:
    1. Immettere un nuovo provider immettendo il nome del provider, ad esempio samauth.
    2. Selezionare il nuovo tipo di provider, ad esempio SAMLAuthenticator, e fare clic su OK.
    3. Fare clic sul provider appena creato e selezionare il valore Flag controllo per impostarlo su SUFFICIENT.
    4. Salvare le modifiche.
  4. Sotto myrealm > Fornitori, riordinare i fornitori. Ad esempio:
    Immagine della lista dei provider di autenticazione di sicurezza

  5. Fare clic su Tutte le modifiche per attivare e riavviare i server gestiti e di amministrazione WebLogic.
  6. Dopo il riavvio di WebLogic, eseguire il login alla console di amministrazione WebLogic e andare a Ambiente > Server > essbase_server1 > Federation Services > Provider di servizi SAML 2.0.
  7. Fare clic su Blocca e modifica.
  8. Selezionare Abilitato.
  9. Specificare l'URL predefinito come 
    https://<your-essbase-host>:<your Essbase SSL port>/essbase/jet/
    Assicurarsi che Associazione preferenziale sia impostata su POST e fare clic su Salva.
  10. In Server > essbase_server1 Federation Services > SAML 2.0 General specificare i dettagli riportati di seguito.
    1. Dettagli della persona di contatto. Quando si aggiunge in ADFS, non dovrebbe essere in conflitto con altre registrazioni.
    2. L'URL del sito pubblicato deve 
      https://<Managed_server_host>:<Managed_Server_SSL_Port>/saml2
    3. ID entità come <wls_sp_for_adfs_hostname>. Assicurarsi di specificare un nome univoco quando si aggiunge in ADFS, in modo che non sia in conflitto con altre registrazioni.
  11. Fare clic su Attiva modifiche
  12. Fare clic su Pubblica metadati e salvare il file in una directory. È necessario registrare questo file con ADFS. Copiare il file spd.xml nel sistema in cui si trova ADFS.
  13. Per registrare ADFS nel server WebLogic, copiare il file scaricato federationmetadata.xml (generato nel passo A) dal computer ADFS nel computer WebLogic Server. Deve essere accessibile al server di amministrazione WebLogic, ad esempio /scratch/user/federationmetadata.xml.
  14. Andare a Provider myrealm realm di sicurezza > Autenticazione > gestione saml_IA > Nuovo > Nuovo partner provider di identità Single Sign-On Web.
  15. Fare clic su WebSSO-IdP-Partner-0 e immettere quanto segue:
    1. Descrizione: immettere lo stesso valore del nome.
    2. Immettere gli URI di reindirizzamento:
      
/essbase/jet/*
/essbase/smartview
/essbase/smartview/*
/essbase/smartview*
/essbase/ui
  16. Modificare ./Oracle/domains/esscs/bin/setDomainEnv.sh e aggiungere -DLOGOUT_URL all'argomento JVM EXTRA_JAVA_PROPERTIES: EXTRA_JAVA_PROPERTIES="<Extra_Java_Properties> -DLOGOUT_URL=https://MSAD-Host/adfs/ls/?wa=wsignout1.0" export <Extra_Java_Properties>

    Attenzione

    La piattaforma Essbase include script in <DOMAIN HOME>/bin in grado di personalizzare l'ambiente e i comportamenti della funzionalità Essbase. Tuttavia, apportare modifiche a questi script dell'ambiente di dominio o di avvio può avere effetti indesiderati, incluso il mancato avvio. Oracle consiglia di apportare le modifiche prima in un ambiente di test. Prima di modificare questi script, effettuare sempre le operazioni riportate di seguito.

    1. Arrestare i server gestiti di Essbase utilizzando <DOMAIN HOME>/esstools/bin/stop.sh (in Linux) o <DOMAIN HOME>\esstools\bin\stop.cmd (in Windows).

    2. In <DOMAIN HOME>/bin, fare una copia di backup del file che si desidera modificare. Di seguito sono riportati alcuni esempi.

      in Linux

      cp setStartupEnv.sh setStartupEnv_bak.sh

      in Windows

      copy setStartupEnv.cmd setStartupEnv_bak.cmd

    3. Apportare le modifiche con attenzione, utilizzando solo le istruzioni documentate di Oracle o collaborando con il Supporto Oracle.

    4. Riavviare Essbase utilizzando <DOMAIN HOME>/esstools/bin/start.sh (su Linux) o <DOMAIN HOME>\esstools\bin\start.cmd (su Windows). Verificare che l'avvio sia stato completato normalmente.

  17. Riavviare il server di amministrazione WebLogic e i server gestiti dopo aver attivato le modifiche.

Parte C - Configura ADFS IDP

  1. Andare al sistema ADFS in cui è in esecuzione l'interfaccia di gestione ADFS. In Relazioni fiduciarie > Fiducia parte ricevente, fare clic con il pulsante destro del mouse e avviare Aggiungi fiducia parte ricevente....
  2. Fare clic su Avvia.
  3. Nell'opzione Importa dati relativi alla parte di riferimento da un file, individuare la posizione del file di metadati federazione spd.xml per il download da WebLogic e fare clic su Successivo.
  4. Specificare un nome visualizzato e fare clic su Successivo.
  5. Selezionare Non si desidera configurare più fattori... e fare clic su Successivo.
  6. Accettare l'opzione predefinita e fare clic su Successivo.
  7. Selezionare la casella di controllo Apri la finestra di dialogo Modifica regole risarcimento....
  8. Nella finestra di dialogo Modifica regole risarcimento, fare clic su Aggiungi regola.
  9. Selezionare il modello di regola Invia attributi LDAP come richieste di risarcimento.
  10. immettere:
    1. Immettere Nome regola richiesta: Name.
    2. Selezionare Area di memorizzazione attributi: Active Directory.
    3. In Attributo LDAP selezionare SAM-Account-Name.
    4. In Tipo di risarcimento in uscita, selezionare Name ID.
  11. Fare clic su Fine.
  12. Analogamente, aggiungere un'altra regola, il nome della regola di risarcimento: GivenName; Area di memorizzazione degli attributi: Active Directory; In Attributo LDAP, selezionare Nome fornito; in Tipo di risarcimento in uscita, selezionare Nome fornito e fare clic su Fine.
  13. Fare clic su Applica nella finestra Di dialogo Modifica regole risarcimento, quindi chiuderla.
  14. Fare doppio clic sul nuovo trust parte relè aggiunto e andare alla scheda Avanzate. Selezionare l'algoritmo hash sicuro: SHA-1.
  15. Fare clic su Endpoint > Aggiungi SAML e immettere i dettagli mostrati di seguito.
    1. Tipo di endpoint: logout SAML
    2. Associazione: POST
    3. URL sicuro: (nel formato:) https://host:port/adfs/ls/?wa=wsignout1.0
  16. Registrare l'ID entità immesso nella Parte B - Configura provider di servizi (SP) SSO precedente, passo 10c. Quindi aprire la shell di alimentazione ed eseguire il comando: 
    set-AdfsRelyingPartyTrust -targetIdentifier <Entity ID> -SigningCertificateRevocationCheck None -EncryptionCertificateRevocationCheck None

    L'impostazione è stata completata.

Parte D - Test di Single Sign-On MSAD FS

  1. Avviare Essbase nell'URL HTTPS, ad esempio HTTPS://host:port/essbase/jet.
  2. L'utente MSAD dovrebbe essere visualizzato nell'angolo in alto a destra dell'interfaccia utente Essbase.

    Nota

    Se, dopo il logout, la sessione del browser viene chiusa (eliminata), riavviare il browser per eseguire il login come utente diverso.