Zum Inhalt springen

Konfigurieren Sie Microsoft Entra ID mit WS-Federation in Jitterbit App Builder

App Builder wird mit Microsoft Entra ID über das WS-Federation-Protokoll integriert und ermöglicht Single Sign-on. Jede App Builder-Instanz muss einzeln für die Arbeit mit Microsoft Entra ID konfiguriert werden und umgekehrt. Achten Sie darauf, dass Sie die Anforderungen erfüllen, und befolgen Sie dann die Anweisungen auf dieser Seite, die in drei allgemeine Schritte unterteilt sind:

Anforderungen

Um Microsoft Entra ID mit WS-Federation für App Builder zu konfigurieren, müssen Sie die folgenden Anforderungen erfüllen:

  • Sie müssen über Administratorzugriff auf ein Azure-Konto mit einem Microsoft Entra ID-Dienst verfügen.

  • Sie müssen über Administratorzugriff auf App Builder verfügen.

  • App Builder muss über HTTPS mit einem gültigen TLS-Zertifikat erreichbar sein.

Terminologie

Die folgende Tabelle definiert einige der auf dieser Seite verwendeten Begriffe.

Beispiel Hinweise
App Builder URL https://example.com/Vinyl/ App Builder muss über HTTPS erreichbar sein. Die URL muss den nachgestellten Schrägstrich enthalten. Der Pfad beachtet die Groß- und Kleinschreibung.
Anbietername Azure Der Anbietername sollte typischerweise dem Active Directory-Domänennamen entsprechen. Da der Anbietername in der Sign-on-URL angezeigt wird (siehe unten), vermeiden Sie Leerzeichen, Satzzeichen und Sonderzeichen.
Sign-on URL App Builder-Stammverzeichnis/signin-<Provider-Name>

https://example.com/Vinyl/signin-Azure		 Callback-URL, die automatisch bereitgestellt wird, wenn der Microsoft Entra ID-Sicherheitsanbieter in App Builder erstellt wird.

Das hier bereitgestellte Beispiel geht davon aus, dass: example.com der Hostname, https://example.com/Vinyl/ das App Builder-Anwendungsstammverzeichnis und Azure der Name des Azure-Sicherheitsanbieters ist.

Schritt 1: Registrieren Sie App Builder als Microsoft Entra ID-Anwendung

Die App Builder-Instanz muss als Microsoft Entra ID-Anwendung registriert werden. Die Microsoft-Dokumentation bietet ein ausführliches Tutorial zum Prozess. Ein Überblick über die Schritte wird unten angezeigt:

  1. Melden Sie sich beim Microsoft Azure Portal an.

  2. Navigieren Sie zum Azure Active Directory-Verwaltungszentrum.

  3. Klicken Sie in der Navigation auf Azure Active Directory.

  4. Klicke auf App Registrations.

  5. Erstelle eine New Registration und gebe als Name App Builder ein.

  6. Gib deine Redirect URI als https://<your-domain>/signin-<Provider-Name> ein. Ersetze <your-domain> durch deine tatsächliche Domain und <Provider-Name> durch den Namen, den du in den Security Providern von App Builder verwenden wirst.

    activedirectoryredirect.png

  7. Klicke auf Register.

  8. Öffne die neu registrierte Anwendung und wähle unter der Manage-Seitenleiste Manifest aus:

    1. Notiere die appId-Zeichenkette, formatiert als GUID (zum Beispiel 012a3b4c-d567-89ef-g012-3hi456jklm7n).

    2. Notiere deine primäre Domain, die in deinen Microsoft Entra ID-Tenant-Informationen angezeigt wird.

    3. Bearbeite die folgenden Zeilen wie folgt:

      Statt:

      "groupMembershipClaims": null,
    "identifierUris": [],

      Ändere es zu:

      "groupMembershipClaims": "SecurityGroup",
    "identifierUris": [
        "https://<your-primary-domain>/<app-id>"
    ],

      Beispiel: Wenn die primäre Domain für den Azure-Tenant zudy.com ist:

      admanifest.png

  9. Klicke auf Save.

  10. Klicke in der Navigation auf Overview.

  11. Klicke auf die Registerkarte Endpoints.

  12. Wo es Federation metadata document heißt, klicke auf das Symbol In Zwischenablage kopieren und füge es in eine temporäre Textdatei für die spätere Verwendung ein.

Schritt 2: Verbinde und richte einen neuen Security Provider in App Builder ein

In diesem Schritt definierst du einen neuen Security Provider für Microsoft Entra ID. Dies umfasst die Konfiguration der Entity ID (die als Audience oder Wtrealm fungiert) mit Werten von Microsoft.

  1. Wähle IDE > Security Providers aus.

  2. Klicke auf + Security Provider. Die Seite Provider wird geöffnet.

  3. Konfiguriere die Optionen wie folgt:

    • Settings:

      • Name: Gib einen Namen ein, der mit dem Namen übereinstimmt, den du für die Konfiguration der Redirect URI verwendet hast. Zum Beispiel: Azure.

      • Type: Wähle WS-Federation aus.

      • Enabled: Aktiviere dieses Kontrollkästchen.

    • Tokens:

      • Entity ID: Dies ist das, was Microsoft als App ID URI oder Wtrealm bezeichnet. Gib den URI ein, der deine Azure-Primärdomain und die in Schritt 1 notierte App-ID enthält, im folgenden Format: https://<your-primary-domain>/<app-id>. (Hinweis: Das Feld Audience wird automatisch standardmäßig mit der Entity ID übereinstimmen).

    • Provisioning:

      • User Provisioning: Aktiviere dieses Kontrollkästchen. Dies ermöglicht Azure, Benutzer in App Builder zu erstellen.

      • Supplies Group Membership: Aktiviere dieses Kontrollkästchen.

  4. Klicke auf Save. Nach dem Speichern gibt App Builder einen eindeutigen Identifier-Wert für diesen Provider aus.

Nach der Erstellung des Providers musst du auch einige andere Parameter konfigurieren, die Werte darstellen, die von Microsoft Azure bereitgestellt werden. Führe dazu diese Schritte aus:

  1. Finde deinen Security Provider unter IDE > Security Providers und doppelklicke auf seine Zeile.

  2. Klicke im Bereich Endpoints auf + Endpoint. Richte die folgenden Optionen ein:

    • Endpoint Type: Wähle Metadata Endpoint aus.

    • URL: Gib folgende URL ein: https://login.microsoftonline.com/<your-tenant-id>/federationmetadata/2007-06/federationmetadata.xml. Ersetze <your-tenant-id> durch deine Tenant-ID aus Entra.

  3. Klicke auf Save.

  4. Klicke anschließend im Bereich Claims auf + Claim. Richte folgendes ein:

    • Identifier: Wähle: http://schemas.microsoft.com/ws/2008/06/identity/claims/groups.

    • Usage: Wähle Group aus.

    • Name: Gib einen Namen ein, um diesen Claim zu identifizieren.

  5. Klicke auf Save.

  6. (Optional) Klicke im Bereich Claims auf Discover. Wenn du das Kontrollkästchen Store Claims aktivierst, kannst du App Builder anweisen, alle aus dem Sicherheitstoken extrahierten Claims zu protokollieren, um Probleme zu beheben.

Schritt 3: Ordne App Builder-Benutzer und -Gruppen Azure-Identitäten zu

Wenn du zu IDE > User Management gehst und die Registerkarte Identities öffnest, siehst du nun, dass der Bereich Providers einen Eintrag für den Security Provider enthält, den du erstellt hast.

Mit Benutzerbereitstellung

Wenn Sie die Benutzerbereitstellung aktiviert haben und versuchen, sich anzumelden, wird möglicherweise eine Meldung ähnlich der folgenden angezeigt und Sie werden zur Anmeldeseite von App Builder zurückgeleitet:

Fehlertext

The user account (bob@example.com) has not been granted access to an application.

Obwohl App Builder den Benutzer erfolgreich bereitgestellt hat, müssen Sie die Microsoft Entra ID-Sicherheitsgruppen den App Builder-Sicherheitsgruppen zuordnen, um Zugriff zu gewähren:

  1. Melden Sie sich als Administrator bei App Builder an.

  2. Gehen Sie zu IDE > User Management.

  3. Klicken Sie auf die Registerkarte Identities.

  4. Wählen Sie im Bereich Providers Ihren neuen Microsoft Entra ID-Sicherheitsanbieter aus.

  5. Klicken Sie im Bereich Provider Groups auf + Group:

    • Name: Geben Sie den Namen einer Gruppe ein, die Sie in Microsoft Entra ID haben.

    • Identifier: Geben Sie die Object Id der Gruppe ein, die im Microsoft Entra ID Portal zu finden ist.

    • Group: Verwenden Sie das Dropdown-Menü, um die App Builder-Gruppe auszuwählen, der die Benutzer beitreten sollen.

  6. Klicken Sie auf die Schaltfläche Save.

Ohne Benutzerbereitstellung

Wenn Sie die Benutzerbereitstellung nicht aktiviert haben, schlägt die Authentifizierung mit einer Meldung ähnlich der folgenden fehl:

Fehlertext

Although you've successfully authenticated with Azure, the account bob@example.com (bob@example.com) is not associated with a local account.

Es gibt zwei Möglichkeiten, dies zu beheben:

  • Methode 1: App Builder ermöglichen, vorhandene Benutzer abzugleichen:

    1. Gehen Sie zu IDE > Security Providers.

    2. Suchen Sie im Bereich Security Providers den erstellten Sicherheitsanbieter und wählen Sie ihn aus.

    3. Klicken Sie im Bereich Provider auf Edit.

    4. Aktivieren Sie unter Provisioning das Kontrollkästchen Match Existing User.

  • Methode 2: Einen neuen Benutzer manuell zuordnen:

    1. Gehen Sie zu IDE > User Management.

    2. Öffnen Sie die Registerkarte Users.

    3. Wählen Sie im Bereich Users den Benutzer aus, den Sie zuordnen möchten.

    4. Klicken Sie im Bereich Identities auf die Schaltfläche + Identity. Ein Dialog wird geöffnet. Geben Sie Folgendes an:

      • Name: Der Azure-Benutzername. In der oben gezeigten Fehlermeldung ist dies der Teil außerhalb der Klammern.

      • Identifier: Der Azure-Benutzernamensidentifikator. In der oben gezeigten Fehlermeldung ist dies der Teil in Klammern.

      • Provider: Verwenden Sie das Dropdown-Menü, um den erstellten Sicherheitsanbieter auszuwählen.

    5. Klicken Sie auf Save.

Die neue Anmeldemethode überprüfen

Melden Sie sich bei App Builder ab, um zu überprüfen, dass die Anmeldeseite jetzt eine Schaltfläche Sign in with ... enthält:

Sign in with security provider