Tutorial: Microsoft Entra-SSO-Integration mit Qlik Sense Enterprise Client-Managed

In diesem Tutorial erfahren Sie, wie Sie Qlik Sense Enterprise Client-Managed in Microsoft Entra ID integrieren. Die Integration von Qlik Sense Enterprise Client-Managed mit Microsoft Entra ID ermöglicht Folgendes:

• Steuern Sie in Microsoft Entra ID, wer Zugriff auf Qlik Sense Enterprise hat.
• Ermöglichen Sie es Ihren Benutzern, sich mit ihren Microsoft Entra-Konten automatisch bei Qlik Sense Enterprise anzumelden.
• Verwalten Sie Ihre Konten an einem zentralen Ort.

Es gibt zwei Versionen von Qlik Sense Enterprise. Während dieses Tutorial die Integration mit den clientverwalteten Releases behandelt, ist ein anderer Prozess für Qlik Sense Enterprise SaaS (Qlik-Cloudversion) erforderlich.

Voraussetzungen

Für die ersten Schritte benötigen Sie Folgendes:

• Ein Microsoft Entra-Abonnement. Falls Sie über kein Abonnement verfügen, können Sie ein kostenloses Azure-Konto verwenden.
• Qlik Sense Enterprise-Abonnement, für das einmaliges Anmelden (Single Sign-On, SSO) aktiviert ist
• Neben Cloudanwendungsadministrator*innen können auch Anwendungsadministrator*innen Anwendungen in Microsoft Entra ID hinzufügen und verwalten. Weitere Informationen finden Sie unter Integrierte Azure-Rollen.

Beschreibung des Szenarios

In diesem Tutorial konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra in einer Testumgebung.

• Qlik Sense Enterprise unterstützt SP-initiiertes einmaliges Anmelden.
• Qlik Sense Enterprise unterstützt die Just-In-Time-Bereitstellung.

Hinzufügen von Qlik Sense Enterprise aus dem Katalog

Zum Konfigurieren der Integration von Qlik Sense Enterprise in Microsoft Entra ID müssen Sie Qlik Sense Enterprise aus dem Katalog der Liste mit den verwalteten SaaS-Apps hinzufügen.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.
2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>Neue Anwendung.
3. Geben Sie im Abschnitt Aus Katalog hinzufügen den Suchbegriff Qlik Sense Enterprise in das Suchfeld ein.
4. Wählen Sie im Ergebnisbereich Qlik Sense Enterprise aus, und fügen Sie dann die App hinzu. Warten Sie einige Sekunden, während die App Ihrem Mandanten hinzugefügt wird.

Alternativ können Sie auch den Enterprise App Configuration Wizard verwenden. In diesem Assistenten können Sie Ihrem Mandanten eine Anwendung hinzufügen, der App Benutzer und Gruppen hinzufügen, Rollen zuweisen sowie die SSO-Konfiguration durchlaufen. Erfahren Sie mehr über Microsoft 365-Assistenten.

Konfigurieren und Testen des einmaligen Anmeldens (SSO) von Microsoft Entra für Qlik Sense Enterprise

Konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra mit Qlik Sense Enterprise mithilfe einer Testbenutzerin mit dem Namen Britta Simon. Damit SSO funktioniert, muss eine Linkbeziehung zwischen einem Microsoft Entra-Benutzer und dem entsprechenden Benutzer in Qlik Sense Enterprise eingerichtet werden.

Führen Sie zum Konfigurieren und Testen des einmaligen Anmeldens von Microsoft Entra mit Qlik Sense Enterprise die folgenden Schritte aus:

1. Konfigurieren des einmaligen Anmeldens (SSO) von Microsoft Entra, um Ihren Benutzer*innen die Verwendung dieses Features zu ermöglichen.
   1. Erstellen von Microsoft Entra-Testbenutzer*in, um das einmalige Anmelden von Microsoft Entra mit der Testbenutzerin Britta Simon zu testen.
   2. Zuweisen von Microsoft Entra-Testbenutzerin, um Britta Simon die Verwendung des einmaligen Anmeldens von Microsoft Entra zu ermöglichen.
2. Konfigurieren Sie das einmalige Anmelden für Qlik Sense Enterprise, um die Einstellungen für einmaliges Anmelden auf der Anwendungsseite zu konfigurieren.
   1. Erstellen einer Qlik Sense Enterprise-Testbenutzerin, um eine Entsprechung von Britta Simon in Qlik Sense Enterprise zu erhalten, die mit ihrer Darstellung in Microsoft Entra verknüpft ist.
3. Testen des einmaligen Anmeldens , um zu überprüfen, ob die Konfiguration funktioniert

Konfigurieren des einmaligen Anmeldens (SSO) von Microsoft Entra

Gehen Sie wie folgt vor, um das einmalige Anmelden von Microsoft Entra zu aktivieren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.

2. Navigieren Sie zur Anwendungsintegrationsseite Identität>Anwendungen>Unternehmensanwendungen>Qlik Sense Enterprise, suchen Sie den Abschnitt Verwalten, und wählen Sie Einmaliges Anmelden aus.

3. Wählen Sie auf der Seite SSO-Methode auswählen die Methode SAML aus.

4. Wählen Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten das Stiftsymbol für Grundlegende SAML-Konfiguration aus, um die Einstellungen zu bearbeiten.

   

5. Führen Sie im Abschnitt Grundlegende SAML-Konfiguration die folgenden Schritte aus:

   a. Geben Sie im Textfeld Bezeichner eine URL in einem der folgenden Formate ein:

   Bezeichner
   https://<Fully Qualified Domain Name>.qlikpoc.com
   https://<Fully Qualified Domain Name>.qliksense.com

   b. Geben Sie im Textfeld Antwort-URL eine URL nach folgendem Muster ein:

   https://<Fully Qualified Domain Name>:443{/virtualproxyprefix}/samlauthn/

   c. Geben Sie im Textfeld Anmelde-URL eine URL im folgenden Format ein: https://<Fully Qualified Domain Name>:443{/virtualproxyprefix}/hub

   Hinweis

   Hierbei handelt es sich um Beispielwerte. Aktualisieren Sie diese Werte mit dem tatsächlichen Bezeichner, der Antwort-URL und der Anmelde-URL. Diese werden später in diesem Tutorial erläutert. Wenden Sie sich alternativ an das Clientsupportteam von Qlik Sense Enterprise, um diese Werte zu erhalten. Der Standardport für die URLs ist 443, Sie können ihn jedoch gemäß den Anforderungen Ihrer Organisation anpassen.

6. Suchen Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten im Abschnitt SAML-Signaturzertifikat in den verfügbaren Optionen die Ihre Anforderungen entsprechende Verbundmetadaten-XML, und speichern Sie sie auf Ihrem Computer.

   

Erstellen einer Microsoft Entra-Testbenutzerin

In diesem Abschnitt erstellen Sie eine Testbenutzerin namens Britta Simon.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Benutzeradministrator an.
2. Browsen Sie zu Identität>Benutzer>Alle Benutzer.
3. Wählen Sie oben auf dem Bildschirm Neuer Benutzer>Neuen Benutzer erstellen aus.
4. Führen Sie unter den Eigenschaften für Benutzer die folgenden Schritte aus:
   1. Geben Sie im Feld Anzeigename den Namen B.Simon ein.
   2. Geben Sie im Feld Benutzerprinzipalname ein username@companydomain.extension. Beispiel: B.Simon@contoso.com.
   3. Aktivieren Sie das Kontrollkästchen Kennwort anzeigen, und notieren Sie sich den Wert im Feld Kennwort.
   4. Klicken Sie auf Überprüfen + erstellen.
5. Klicken Sie auf Erstellen.

Zuweisen der Microsoft Entra-Testbenutzerin

In diesem Abschnitt ermöglichen Sie Britta Simon die Verwendung des einmaligen Anmeldens von Azure, indem Sie ihr Zugriff auf Qlik Sense Enterprise gewähren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.
2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>Qlik Sense Enterprise.
3. Navigieren Sie auf der Übersichtsseite der App zum Abschnitt Verwalten, und wählen Sie Benutzer und Gruppen aus.
4. Wählen Sie Benutzenden hinzufügen, dann wählen Sie Benutzende und Gruppen im Dialog Hinzufügte Zuordnung.
5. Wählen Sie im Dialogfeld Benutzer und Gruppen in der Benutzerliste den Eintrag Britta Simon aus, und wählen Sie anschließend im unteren Bildschirmbereich die Schaltfläche Auswählen aus.
6. Wenn den Benutzern eine Rolle zugewiesen werden soll, können Sie in der Dropdownliste Rolle auswählen die gewünschte Rolle auswählen. Wurde für diese App keine Rolle eingerichtet, ist die Rolle „Standardzugriff“ ausgewählt.
7. Wählen Sie im Dialogfeld Zuordnung hinzufügen die Schaltfläche Zuordnen.

Konfigurieren des einmaligen Anmeldens für Qlik Sense Enterprise

1. Navigieren Sie als Benutzer mit Rechten zum Erstellen von Konfigurationen für virtuelle Proxys zur Qlik Sense Qlik Management Console (QMC).

2. Wählen Sie in QMC das Menüelement Virtuelle Proxys aus.

   

3. Wählen Sie unten auf dem Bildschirm die Schaltfläche Neu erstellen aus.

   

4. Der Bearbeitungsbildschirm für den virtuellen Proxy wird angezeigt. Auf der rechten Seite des Bildschirms befindet sich ein Menü zum Anzeigen von Konfigurationsoptionen.

   

5. Geben Sie bei aktivierter Menüoption „Identification“ die identifizierenden Informationen für die Azure-Konfiguration des virtuellen Proxys ein.

   

   a. Das Feld Description (Beschreibung) enthält einen Anzeigenamen für die Konfiguration des virtuellen Proxys. Geben Sie einen Wert als Beschreibung ein.

   b. Mit dem Feld Präfix wird der Endpunkt des virtuellen Proxys für die Verbindung mit Qlik Sense per einmaligem Anmelden von Microsoft Entra angegeben. Geben Sie einen eindeutigen Präfixnamen für diesen virtuellen Proxy ein.

   c. Session inactivity timeout (minutes) (Timeout bei Sitzungsinaktivität (Minuten)) ist das Timeout für Verbindungen über diesen virtuellen Proxy.

   d. Unter Session cookie header name (Headername für Sitzungscookie) wird der Cookiename zum Speichern des Sitzungsbezeichners für die Qlik Sense-Sitzung angegeben, die einem Benutzer nach der erfolgreichen Authentifizierung zugeordnet wird. Dieser Name muss eindeutig sein.

6. Klicken Sie auf die Menüoption „Authentication“, um die entsprechenden Informationen anzuzeigen. Der Bildschirm „Authentication“ wird angezeigt.

   

   a. Mit dem Dropdownmenü Anonymous access mode (anonymer Zugriffsmodus) wird festgelegt, ob anonyme Benutzer*innen über den virtuellen Proxy auf Qlik Sense zugreifen können. Die Standardoption ist No anonymous user.

   b. Mit dem Dropdownmenü Authentifizierungsmethode wird festgelegt, welches Authentifizierungsschema vom virtuellen Proxy verwendet wird. Wählen Sie in der Dropdownliste SAML aus. Daraufhin werden weitere Optionen angezeigt.

   c. Geben Sie im Feld SAML host URI den Hostnamen ein, den Benutzer*innen eingeben müssen, um über diesen virtuellen SAML-Proxy auf Qlik Sense zuzugreifen. Der Hostname ist der URI des Qlik Sense-Servers.

   d. Geben Sie im Feld SAML entity IDden gleichen Wert wie im Feld „SAML host URI“ ein.

   e. Unter SAML-IdP-Metadaten wird die Datei ausgewählt, die Sie zuvor im Abschnitt Bearbeiten von Verbundmetadaten der Microsoft Entra-Konfiguration bearbeitet haben. Vor dem Hochladen der IdP-Metadaten muss die Datei bearbeitet werden, um Informationen zu entfernen und so den richtigen Ablauf zwischen Microsoft Entra ID und dem Qlik Sense-Server sicherzustellen. Verwenden Sie die obige Anleitung, falls Sie die Datei noch bearbeiten müssen. Wenn die Datei bearbeitet wurde, können Sie die Schaltfläche zum Durchsuchen und dann die bearbeitete Metadatendatei auswählen, um sie für die Konfiguration des virtuellen Proxys hochzuladen.

   f. Geben Sie den Attributnamen oder den Schemaverweis für das SAML-Attribut ein, das für die UserID steht, die von Microsoft Entra ID an den Qlik Sense-Server gesendet wird. Informationen zum Schemaverweis sind auf den Azure-App-Bildschirmen zur Post-Konfiguration verfügbar. Geben Sie zum Verwenden des Namensattributs http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name ein.

   g. Geben Sie den Wert für das Benutzerverzeichnis ein, das Benutzern zugeordnet wird, wenn diese die Authentifizierung gegenüber dem Qlik Sense-Server über Microsoft Entra ID durchführen. Hartcodierte Werte müssen in eckige Klammern [] gesetzt werden. Wenn Sie ein Attribut verwenden möchten, das in der Microsoft Entra-SAML-Anweisung gesendet wird, geben Sie den Namen des Attributs in diesem Textfeld ohne eckige Klammern ein.

   h. Unter SAML signing algorithm wird die Service Provider-Zertifikatsignatur (hier: Qlik Sense-Server) für die Konfiguration des virtuellen Proxys festgelegt. Ändern Sie den SAML-Signaturalgorithmus in SHA-256, wenn für den Qlik Sense-Server ein vertrauenswürdiges Zertifikat verwendet wird, das per Microsoft Enhanced RSA und AES Cryptographic Provider generiert wurde.

   i. Im Abschnitt für die SAML-Attributzuordnung können weitere Attribute, z. B. Gruppen, zur Verwendung in Sicherheitsregeln an Qlik Sense gesendet werden.

7. Wählen Sie die Menüoption LASTENAUSGLEICH aus, um sie anzuzeigen. Der Bildschirm „Load Balancing“ wird angezeigt.

   

8. Wählen Sie die Schaltfläche Neuen Serverknoten hinzufügen aus, wählen Sie den Modulknoten oder Knoten aus, an die von Qlik Sense zu Lastenausgleichszwecken Sitzungen gesendet werden, und wählen Sie die Schaltfläche Hinzufügen aus.

   

9. Wählen Sie die Menüoption „Erweitert“ aus, um sie anzuzeigen. Der Bildschirm „Advanced“ wird angezeigt.

   

   In der Positivliste der Hosts sind die Hostnamen aufgeführt, die akzeptiert werden, wenn eine Verbindung mit dem Qlik Sense-Server hergestellt wird. Geben Sie den Hostnamen ein, der von Benutzern bzw. Benutzerinnen angegeben werden muss, wenn eine Verbindung mit dem Qlik Sense-Server hergestellt werden soll. Der Hostname ist der gleiche Wert wie der SAML-Host-URI ohne https://.

10. Wählen Sie die Schaltfläche Anwenden aus.

    

11. Wählen Sie „OK“ aus, um die Warnmeldung mit dem Hinweis zu akzeptieren, dass der mit dem virtuellen Proxy verknüpfte Proxy neu gestartet werden.

    

12. Rechts auf dem Bildschirm wird das Menü „Associated items“ angezeigt. Wählen Sie die Menüoption Proxys aus.

    

13. Der Proxybildschirm wird angezeigt. Wählen Sie unten die Schaltfläche Link aus, um einen Proxy mit dem virtuellen Proxy zu verknüpfen.

    

14. Wählen Sie den Proxyknoten aus, der diese Verbindung mit dem virtuellen Proxy unterstützt, und wählen Sie die Schaltfläche Link aus. Nach dem Verknüpfen wird der Proxy in der Liste mit den zugeordneten Proxys aufgeführt.

    

    

15. Nach ungefähr fünf bis zehn Sekunden wird die Meldung angezeigt, dass QMC aktualisiert wurde. Wählen Sie die Schaltfläche QMC aktualisieren aus.

    

16. Wählen Sie nach der QMC-Aktualisierung das Menüelement Virtuelle Proxys. Der Eintrag mit dem neuen virtuellen SAML-Proxy wird in der Tabelle auf dem Bildschirm angezeigt. Wählen Sie einmal den Eintrag für den virtuellen Proxy aus.

    

17. Unten auf dem Bildschirm ist die Schaltfläche zum Herunterladen der SP-Metadaten aktiviert. Wählen Sie die Schaltfläche SP-Metadaten herunterladen aus, um die Metadaten in einer Datei zu speichern.

    

18. Öffnen Sie die SP-Metadatendatei. Sehen Sie sich die Einträge entityID und AssertionConsumerService an. Diese Werte entsprechen dem Bezeichner, der Anmelde-URL und der Antwort-URL in der Microsoft Entra-Anwendungskonfiguration. Fügen Sie diese Werte in der Microsoft Entra-Anwendungskonfiguration im Abschnitt Domäne und URLs für Qlik Sense Enterprise ein. Sofern sie nicht übereinstimmen, ersetzen Sie sie im Konfiguration-Assistenten der Microsoft Entra-App.

    

Erstellen eines Qlik Sense Enterprise-Testbenutzers

Qlik Sense Enterprise unterstützt die Just-In-Time-Bereitstellung. Benutzer werden dem Repository „USERS“ (BENUTZER) von Qlik Sense Enterprise automatisch hinzugefügt, wenn sie das SSO-Feature nutzen. Darüber hinaus können Clients QMC verwenden und einen Benutzerverzeichnisconnector (User Directory Connector, UDC) erstellen, um Benutzer in Qlik Sense Enterprise aus dem LDAP ihrer Wahl (etwa Active Directory) vorab aufzufüllen.

Testen des einmaligen Anmeldens

In diesem Abschnitt testen Sie die Microsoft Entra-Konfiguration für einmaliges Anmelden mit den folgenden Optionen.

• Wählen Sie Diese Anwendung testen aus. Dadurch werden Sie zur Anmelde-URL von Qlik Sense Enterprise weitergeleitet, wo Sie den Anmeldeflow initiieren können.

• Rufen Sie direkt die Qlik Sense Enterprise-Anmelde-URL auf, und initiieren Sie den Anmeldeflow.

• Sie können „Meine Apps“ von Microsoft verwenden. Wenn Sie in „Meine Apps“ die Kachel „Qlik Sense Enterprise“ auswählen, werden Sie zur Anmelde-URL für Qlik Sense Enterprise umgeleitet. Weitere Informationen zu „Meine Apps“ finden Sie in dieser Einführung.

Nächste Schritte

Nach dem Konfigurieren von Qlik Sense Enterprise können Sie die Sitzungssteuerung erzwingen, die in Echtzeit vor der Exfiltration und Infiltration vertraulicher Unternehmensdaten schützt. Die Sitzungssteuerung basiert auf bedingtem Zugriff. Erfahren Sie, wie Sie die Sitzungssteuerung mit Microsoft Defender for Cloud Apps erzwingen.