Självstudie: Konfigurera enkel F5 BIG-IP-knapp för enkel inloggning till Oracle Personer Soft

I den här artikeln lär du dig att skydda Oracle Personer Soft (Personer Soft) med hjälp av Microsoft Entra-ID, med enkel F5 BIG-IP-knapp guidad konfiguration 16.1.

Integrera BIG-IP med Microsoft Entra-ID för många fördelar:

• Förbättrad Nolltillit styrning via Microsoft Entra-förautentisering och villkorlig åtkomst
  • Se Nolltillit ramverk för att aktivera distansarbete
  • Se, Vad är villkorlig åtkomst?
• Enkel inloggning (SSO) mellan Microsoft Entra-ID och BIG-IP-publicerade tjänster
• Hantera identiteter och åtkomst från administrationscentret för Microsoft Entra

Läs mer:

• Integrera F5 BIG-IP med Microsoft Entra-ID
• Aktivera enkel inloggning för ett företagsprogram

Beskrivning av scenario

I den här självstudien används ett Personer Soft-program som använder HTTP-auktoriseringshuvuden för att hantera åtkomst till skyddat innehåll.

Äldre program saknar moderna protokoll som stöder Microsoft Entra-integrering. Moderniseringen är kostsam, kräver planering och medför potentiella avbrottsrisker. Använd i stället en F5 BIG-IP Application Delivery Controller (ADC) för att överbrygga klyftan mellan äldre program och modern ID-kontroll, med protokollövergång.

Med en BIG-IP framför appen lägger du över tjänsten med Microsoft Entra-förautentisering och huvudbaserad enkel inloggning. Den här åtgärden förbättrar programmets säkerhetsstatus.

Kommentar

Få fjärråtkomst till den här typen av program med Microsoft Entra-programproxy.
Se Fjärråtkomst till lokala program via Microsoft Entra-programproxy.

Scenariots arkitektur

Lösningen för säker hybridåtkomst (SHA) för den här självstudien har följande komponenter:

• Personer Soft Application – BIG-IP-publicerad tjänst som skyddas av Microsoft Entra SHA
• Microsoft Entra-ID – SAML-identitetsprovider (Security Assertion Markup Language) som verifierar användarautentiseringsuppgifter, villkorsstyrd åtkomst och SAML-baserad enkel inloggning till BIG-IP
  • Via enkel inloggning tillhandahåller Microsoft Entra-ID sessionsattribut till BIG-IP
• BIG-IP – omvänd proxy och SAML-tjänstprovider (SP) till programmet. Den delegerar autentisering till SAML IdP och utför sedan huvudbaserad enkel inloggning till Personer Soft-tjänsten.

I det här scenariot stöder SHA SP- och IdP-initierade flöden. Följande diagram illustrerar det SP-initierade flödet.

1. Användaren ansluter till programslutpunkten (BIG-IP).
2. BIG-IP APM-åtkomstprincip omdirigerar användaren till Microsoft Entra ID (SAML IdP).
3. Microsoft Entra förautentiserar användaren och tillämpar principer för villkorsstyrd åtkomst.
4. Användaren omdirigeras till BIG-IP (SAML SP) och enkel inloggning sker med utfärdad SAML-token.
5. BIG-IP matar in Microsoft Entra-attribut som rubriker i begäran till programmet.
6. Programmet auktoriserar begäran och returnerar nyttolast.

Förutsättningar

• Ett kostnadsfritt Microsoft Entra-ID-konto eller senare
  • Om du inte har något får du ett kostnadsfritt Azure-konto
• En BIG-IP eller en BIG-IP Virtual Edition (VE) i Azure
  • Se Distribuera virtuell F5 BIG-IP Virtual Edition-dator i Azure
• Någon av följande F5 BIG-IP-licenser:
  • F5 BIG-IP® Bästa paket
  • Fristående F5 BIG-IP APM-licens
  • F5 BIG IP APM-tilläggslicens på en befintlig BIG-IP F5 BIG-IP® Local Traffic Manager™ (LTM)
  • Utvärderingslicens för fullständig 90-dagars BIG-IP-funktion
• Användaridentiteter synkroniserade från en lokal katalog till Microsoft Entra-ID, eller skapade i Microsoft Entra-ID och flödade tillbaka till den lokala katalogen
  • Se Microsoft Entra Anslut Sync: Förstå och anpassa synkronisering
• En av följande roller: Molnprogramadministratör eller programadministratör.
• Ett SSL-webbcertifikat för att publicera tjänster via HTTPS eller använda big-IP-standardcertifikat för testning
  • Se Distribuera virtuell F5 BIG-IP Virtual Edition-dator i Azure
• En Personer Soft-miljö

BIG-IP-konfiguration

I den här självstudien används guidad konfiguration 16.1 med en enkel knappmall.

Med enkel knapp går administratörer inte mellan Microsoft Entra-ID och en BIG-IP för att aktivera tjänster för SHA. Guiden APM Guidad konfiguration och Microsoft Graph hanterar distributions- och principhantering. Integreringen säkerställer att program stöder identitetsfederation, enkel inloggning och villkorsstyrd åtkomst.

Kommentar

Ersätt exempelsträngar eller värden i den här självstudien med dem i din miljö.

Registrera knappen Enkel

Dricks

Stegen i den här artikeln kan variera något beroende på vilken portal du börjar från.

Innan en klient eller tjänst får åtkomst till Microsoft Graph måste Microsofts identitetsplattform lita på den.

Läs mer: Snabbstart: Registrera ett program med Microsofts identitetsplattform

Följande instruktioner hjälper dig att skapa en registrering av klientappen för att auktorisera enkel knappåtkomst till Graph. Med dessa behörigheter push-överför BIG-IP konfigurationerna för att upprätta ett förtroende mellan en SAML SP-instans för publicerat program och Microsoft Entra-ID som SAML-IdP.

1. Logga in på administrationscentret för Microsoft Entra som minst molnprogramadministratör.

2. Bläddra till Identitetsprogram>> Appregistreringar > Ny registrering.

3. Ange ett programnamn.

4. För Endast konton i den här organisationskatalogen anger du vem som använder programmet.

5. Välj Registrera.

6. Gå till API-behörigheter.

7. Auktorisera följande Microsoft Graph-programbehörigheter:

   • Application.ReadWrite.All
   • Application.ReadWrite.OwnedBy
   • Directory.Read.All
   • Group.Read.All
   • IdentityRiskyUser.Read.All
   • Policy.Read.All
   • Policy.ReadWrite.ApplicationConfiguration
   • Policy.ReadWrite.ConditionalAccess
   • User.Read.All

8. Bevilja administratörsmedgivande till din organisation.

9. Gå till Certifikat och hemligheter.

10. Generera en ny klienthemlighet och anteckna den.

11. Gå till Översikt och notera klient-IDoch klient-ID.

Konfigurera knappen Enkel

1. Initiera den guidade APM-konfigurationen.
2. Starta mallen Enkel knapp.
3. Gå till Åtkomst > till guidad konfiguration.
4. Välj Microsoft-integrering.
5. Välj Microsoft Entra-program.
6. Granska konfigurationssekvensen.
7. Välj Nästa
8. Följ konfigurationssekvensen.

Konfigurationsegenskaper

Använd fliken Konfigurationsegenskaper för att skapa nya programkonfigurationer och SSO-objekt. Avsnittet Information om Azure-tjänstkonto representerar klienten som du registrerade i Microsoft Entra-klientorganisationen som ett program. Använd inställningarna för BIG-IP OAuth-klienten för att registrera en SAML SP i klientorganisationen med egenskaper för enkel inloggning. Easy Button gör den här åtgärden för BIG-IP-tjänster som publicerats och aktiverats för SHA.

Kommentar

Några av följande inställningar är globala. Du kan återanvända dem för att publicera fler program.

1. Ange ett konfigurationsnamn. Unika namn hjälper till att särskilja konfigurationer.
2. För Enkel inloggning (SSO) och HTTP-huvuden väljer du På.
3. Ange klientorganisations-ID , klient-ID och klienthemlighet som du antecknade.
4. Bekräfta att BIG-IP ansluter till klientorganisationen.
5. Välj Nästa.

Tjänstleverantör

Använd inställningarna för tjänstprovidern för att definiera SAML SP-egenskaper för den APM-instans som representerar det SHA-skyddade programmet.

1. För Värd anger du det offentliga fullständiga domännamnet för det skyddade programmet.
2. För Entitets-ID anger du den identifierare som Microsoft Entra-ID använder för att identifiera SAML SP som begär en token.

3. (Valfritt) För Säkerhets Inställningar anger du att Microsoft Entra ID krypterar utfärdade SAML-intyg. Det här alternativet ökar försäkran om att innehållstoken inte fångas upp eller att data komprometteras.

4. I listan Med privata nycklar för försäkran väljer du Skapa ny.

5. Välj OK.
6. Dialogrutan Importera SSL-certifikat och nycklar visas på en ny flik.
7. För Importtyp väljer du PKCS 12 (IIS). Det här alternativet importerar ditt certifikat och din privata nyckel.
8. Stäng webbläsarfliken för att återgå till huvudfliken.

9. Markera kryssrutan för Aktivera krypterad försäkran.
10. Om du har aktiverat kryptering väljer du certifikatet från listan Med privata nycklar för försäkrandekryptering. Den här privata nyckeln är för certifikatet som BIG-IP APM använder för att dekryptera Microsoft Entra-försäkran.
11. Om du har aktiverat kryptering väljer du certifikatet i listan Certifikat för dekryptering av försäkran. BIG-IP överför det här certifikatet till Microsoft Entra-ID för att kryptera utfärdade SAML-intyg.

Microsoft Entra ID

Easy Button har mallar för Oracle Personer Soft, Oracle E-Business Suite, Oracle JD Edwards, SAP ERP och en generisk SHA-mall.

1. Välj Oracle Personer Soft.
2. Markera Lägga till.

Azure-konfiguration

1. Ange Visningsnamn för appen BIG-IP som skapas i klientorganisationen. Namnet visas på en ikon i Mina appar.

2. (Valfritt) För Inloggnings-URL anger du det offentliga FQDN för Personer Soft-programmet.

3. Bredvid signeringsnyckeln och signeringscertifikatet väljer du Uppdatera. Den här åtgärden letar upp certifikatet som du har importerat.

4. För Lösenfras för signeringsnyckel anger du certifikatlösenordet.

5. (Valfritt) För Signeringsalternativ väljer du ett alternativ. Det här valet säkerställer att BIG-IP accepterar token och anspråk som signerats av Microsoft Entra-ID.

6. Användar- och användargrupper efterfrågas dynamiskt från Microsoft Entra-klientorganisationen.
7. Lägg till en användare eller grupp för testning, annars nekas åtkomst.

Användarattribut och anspråk

När en användare autentiserar utfärdar Microsoft Entra-ID en SAML-token med standardanspråk och attribut som identifierar användaren. Fliken Användarattribut och anspråk har standardanspråk för att utfärda för det nya programmet. Använd den för att konfigurera fler anspråk. Mallen Easy Button har det medarbetar-ID som krävs av Personer Soft.

Om det behövs kan du inkludera andra Microsoft Entra-attribut. Exempelprogrammet Personer Soft kräver fördefinierade attribut.

Ytterligare användarattribut

Fliken Ytterligare användarattribut stöder distribuerade system som kräver attribut lagras i andra kataloger för sessionsförstoring. Attribut från en LDAP-källa matas in som fler SSO-huvuden för att styra åtkomsten baserat på roller, partner-ID:n och så vidare.

Kommentar

Den här funktionen har ingen korrelation till Microsoft Entra-ID; det är en annan attributkälla.

Princip för villkorsstyrd åtkomst

Principer för villkorsstyrd åtkomst framtvingas efter Microsoft Entra-förautentisering för att styra åtkomst baserat på enheter, program, platser och risksignaler. Vyn Tillgängliga principer har principer för villkorsstyrd åtkomst utan användaråtgärder. Vyn Valda principer har principer som riktar sig till molnappar. Du kan inte avmarkera eller flytta dessa principer till listan Tillgängliga principer eftersom de tillämpas på klientorganisationsnivå.

Välj en princip för programmet.

1. I listan Tillgängliga principer väljer du en princip.
2. Välj högerpilenoch flytta principen till Valda principer.

Valda principer har alternativet Inkludera eller Exkludera markerat. Om båda alternativen är markerade tillämpas inte principen.

Kommentar

Principlistan visas en gång när du väljer fliken. Använd Uppdatera för guiden för att fråga klientorganisationen. Det här alternativet visas när programmet har distribuerats.

Egenskaper för virtuell server

En virtuell server är ett BIG IP-dataplansobjekt som representeras av en virtuell IP-adress. Servern lyssnar efter klientbegäranden till programmet. Mottagen trafik bearbetas och utvärderas mot den virtuella serverns APM-profil. Sedan dirigeras trafiken enligt principen.

1. För Måladress anger du den IPv4- eller IPv6-adress som BIG-IP använder för att ta emot klienttrafik. En motsvarande post visas i DNS, vilket gör det möjligt för klienter att matcha det publicerade programmets externa URL till IP-adressen. Använd en testdator localhost DNS för testning.
2. För Tjänstport anger du 443 och väljer HTTPS.
3. Markera kryssrutan för Aktivera omdirigeringsport.
4. För Omdirigeringsport anger du 80 och väljer HTTP. Det här alternativet omdirigerar inkommande HTTP-klienttrafik till HTTPS.
5. För Klient-SSL-profil väljer du Använd befintlig.
6. Under Vanliga väljer du det alternativ som du skapade. Om du testar lämnar du standardvärdet. Klient-SSL-profil aktiverar den virtuella servern för HTTPS, så klientanslutningar krypteras via TLS.

Poolegenskaper

Fliken Programpool har tjänster bakom en BIG-IP som representeras som en pool med programservrar.

1. För Välj en pool väljer du Skapa ny eller väljer en.
2. För Belastningsutjämningsmetod väljer du Resursallokering.
3. För poolservrar i IP-adress/nodnamn väljer du en nod eller anger en IP-adress och port för servrar som är värdar för Personer Soft-programmet.

Enkel inloggning och HTTP-huvuden

Guiden Enkel knapp stöder Kerberos-, OAuth Bearer- och HTTP-auktoriseringshuvuden för enkel inloggning till publicerade program. Personer Soft-programmet förväntar sig rubriker.

1. Markera kryssrutan för HTTP-huvuden.
2. För Rubrikåtgärd väljer du Ersätt.
3. Som Rubriknamn anger du PS_SSO_UID.
4. Som Rubrikvärde anger du %{session.sso.token.last.username}.

Kommentar

APM-sessionsvariabler inom klammerparenteser är skiftlägeskänsliga. Om du till exempel anger OrclGUID och attributnamnet är orclguid misslyckas attributmappningen.

Sessionshantering

Använd inställningar för hantering av BIG-IP-sessioner för att definiera villkor för avslutning eller fortsättning av användarsessioner. Ange gränser för användare och IP-adresser samt motsvarande användarinformation.

Mer information finns i support.f5.com för K18390492: Säkerhet | APM-driftguide för BIG-IP

Det som inte beskrivs i driftguiden är funktioner för enkel utloggning (SLO), vilket säkerställer att IdP-, BIG-IP- och användaragentsessioner avslutas när användarna loggar ut. När Enkel knapp instansierar ett SAML-program i Microsoft Entra-klientorganisationen fyller den i utloggnings-URL:en med APM SLO-slutpunkten. IdP-initierad utloggning från Mina appar avslutar BIG-IP- och klientsessioner.

SAML-federationsdata för publicerade program importeras från klientorganisationen. Den här åtgärden ger APM slutpunkten för SAML-utloggning för Microsoft Entra ID, vilket säkerställer att SP-initierad utloggning avslutar klient- och Microsoft Entra-sessioner. APM måste veta när en användare loggar ut.

När BIG-IP-webbportalen kommer åt publicerade program bearbetar APM en utloggning för att anropa Microsoft Entra-utloggningsslutpunkten. Om BIG-IP-webbportalen inte används kan användaren inte instruera APM att logga ut. Om användaren loggar ut från programmet är BIG-IP omedveten. SP-initierad utloggning kräver säker sessionsavslutning. Lägg till en SLO-funktion i appens utloggningsknapp för att omdirigera klienten till microsoft Entra SAML- eller BIG-IP-utloggningsslutpunkten. URL:en för SAML-utloggningsslutpunkt för din klientorganisation i slutpunkter för > appregistreringar.

Om du inte kan ändra appen kan du överväga att låta BIG-IP-lyssna efter utloggningsanrop för program och utlösa SLO. Mer information finns i Personer Soft Enkel utloggning i följande avsnitt.

Distribution

1. Välj distribuera.
2. Verifiera programmet i klientlistan över Företagsprogram.
3. Programmet publiceras och är tillgängligt med SHA.

Konfigurera Personer Soft

Använd Oracle Access Manager för Personer Soft-programidentitet och åtkomsthantering.

Mer information finns i docs.oracle.com för Oracle Access Manger Integration Guide, Integrating Personer Soft

Konfigurera enkel inloggning för Oracle Access Manager

Konfigurera Oracle Access Manager för att acceptera enkel inloggning från BIG-IP.

1. Logga in på Oracle-konsolen med administratörsbehörigheter.

2. Gå till Personer Tools > Security.
3. Välj Användarprofiler.
4. Välj Användarprofiler.
5. Skapa en ny användarprofil.
6. För Användar-ID anger du OAMPSFT
7. För Användarroll anger du Personer Soft-användare.
8. Välj Spara.

9. Gå till webbprofilen för Personer Verktyg>.
10. Välj webbprofilen.
11. På fliken Säkerhet går du till Offentliga användare och väljer Tillåt offentlig åtkomst.
12. För Användar-ID anger du OAMPSFT.
13. Ange lösenordet.

14. Lämna Personer soft-konsolen.
15. Starta Personer Tools Application Designer.
16. Högerklicka på fältet LDAPAUTH .
17. Välj Visa Personer Kod.

18. LDAPAUTH-kodfönstren öppnas.

19. Leta upp funktionen OAMSSO_AUTHENTICATION .

20. Ersätt värdet &defaultUserId med OAMPSFT.

    

21. Spara posten.

22. Navigera till **Personer Tools > Security.

23. Välj Säkerhetsobjekt.

24. Välj Logga in Personer Code.

25. Aktivera OAMSSO_AUTHENTICATION.

Personer Soft – enkel inloggning

När du loggar ut från Mina appar initieras Personer Soft SLO, som i sin tur anropar BIG-IP SLO-slutpunkten. BIG-IP behöver instruktioner för att utföra SLO för programmets räkning. Låt BIG-IP-lyssna efter begäranden om utloggning av användare till Personer Soft och sedan utlösa SLO.

Lägg till SLO-stöd för Personer Soft-användare.

1. Hämta utloggnings-URL:en för Personer Soft-portalen.
2. Öppna portalen med en webbläsare.
3. Aktivera felsökningsverktygen.
4. Leta upp elementet med PT_LOGOUT_MENU-ID :t.
5. Spara URL-sökvägen med frågeparametrarna. I det här exemplet: /psp/ps/?cmd=logout.

Skapa en BIG-IP-iRule för att omdirigera användare till SAML SP-utloggningsslutpunkten: /my.logout.php3.

1. Gå till listan **Lokal trafik > iRules.
2. Välj Skapa.
3. Ange ett regelnamn.
4. Ange följande kommandorader.

when HTTP_REQUEST {switch -glob -- [HTTP::uri] { "/psp/ps/?cmd=logout" {HTTP::redirect "/my.logout.php3" }}}

5. Välj Slutförd.

Tilldela iRule till den virtuella BIG-IP-servern.

1. Gå till Åtkomst > till guidad konfiguration.
2. Välj länken Personer Soft-programkonfiguration.

3. I det övre navigeringsfältet väljer du Virtuell server.
4. För Avancerat Inställningar väljer du *På.

4. Rulla längst ned.
5. Under Common lägger du till den iRule som du skapade.

5. Välj Spara.
6. Välj Nästa.
7. Fortsätt att konfigurera inställningar.

Mer information finns i support.f5.com för:

• K42052145: Konfigurera automatisk sessionsavslutning (utloggning) baserat på ett URI-refererat filnamn
• K12056: Översikt över alternativet Inkludera utloggnings-URI

Standard för Personer Soft-landningssida

Omdirigera användarbegäranden från roten ("/") till den externa Personer Soft-portalen, som vanligtvis finns i: "/psc/ps/EXTERNAL/HRMS/c/NUI_FRAMEWORK.PT_LANDINGPAGE. GBL"

1. Gå till Lokal trafik > iRule.
2. Välj iRule_Personer Soft.
3. Lägg till följande kommandorader.

when HTTP_REQUEST {switch -glob -- [HTTP::uri] {"/" {HTTP::redirect "/psc/ps/EXTERNAL/HRMS/c/NUI_FRAMEWORK.PT_LANDINGPAGE.GB"/psp/ps/?cmd=logout" {HTTP::redirect "/my.logout.php3"} } }

4. Tilldela iRule till den virtuella BIG-IP-servern.

Bekräfta konfigurationen

1. Med en webbläsare går du till den externa URL:en för Personer Soft-programmet eller väljer programikonen i Mina appar.

2. Autentisera till Microsoft Entra-ID.

3. Du omdirigeras till den virtuella BIG-IP-servern och loggas in med enkel inloggning.

   Kommentar

   Du kan blockera direkt åtkomst till programmet och därmed framtvinga en sökväg via BIG-IP.

Avancerad distribution

Ibland saknar de guidade konfigurationsmallarna flexibilitet.

Läs mer: Självstudie: Konfigurera F5 BIG-IP Access Policy Manager för huvudbaserad enkel inloggning

I BIG-IP kan du också inaktivera strikt hanteringsläge för den guidade konfigurationen. Du kan ändra konfigurationer manuellt, även om de flesta konfigurationer automatiseras med guidemallar.

1. Gå till Åtkomst > till guidad konfiguration.
2. I slutet av raden väljer du hänglåset.

Ändringar med guidens användargränssnitt är inte möjliga, men BIG-IP-objekt som är associerade med den publicerade programinstansen låss upp för hantering.

Kommentar

När du kan återanvända strikt läge och distribuera en konfiguration skrivs inställningar som utförs utanför den guidade konfigurationen över. Vi rekommenderar avancerad konfiguration för produktionstjänster.

Felsökning

Använd BIG-IP-loggning för att isolera problem med anslutning, enkel inloggning, principöverträdelser eller felkonfigurerade variabelmappningar.

Loggveroalitet

1. Gå till Översikt över åtkomstprincip>.
2. Välj Händelseloggar.
3. Välj Inställningar.
4. Välj raden i ditt publicerade program.
5. VäljRedigera.
6. Välj Åtkomstsystemloggar
7. I listan med enkel inloggning väljer du Felsök.
8. Välj OK.
9. Återskapa problemet.
10. Granska loggarna.

När du är klar återställer du den här funktionen eftersom utförligt läge genererar massor av data.

BIG-IP-felmeddelande

Om ett BIG-IP-fel visas efter Microsoft Entra-förautentisering är det möjligt att problemet gäller Microsoft Entra-ID till BIG-IP SSO.

1. Gå till Åtkomstöversikt>.
2. Välj Åtkomstrapporter.
3. Kör rapporten för den senaste timmen.
4. Granska loggarna för att få ledtrådar.

Använd sessionens vysessionslänk för att bekräfta att APM tar emot förväntade Microsoft Entra-anspråk.

Inget BIG-IP-felmeddelande

Om inget BIG-IP-felmeddelande visas kan problemet vara relaterat till serverdelsbegäran eller BIG-IP till program-SSO.

1. Gå till Översikt över åtkomstprincip>.
2. Välj Aktiva sessioner.
3. Välj den aktiva sessionslänken.

Använd länken Visa variabler för att fastställa problem med enkel inloggning, särskilt om BIG-IP APM hämtar felaktiga attribut från sessionsvariabler.

Läs mer:

• Gå till devcentral.f5.com för APM-variabeltilldela exempel
• Gå till techdocs.f5.com för sessionsvariabler