教學課程:設定 F5 BIG-IP Easy Button for SSO to Oracle JDE
在本教學課程中,瞭解如何使用 Microsoft Entra ID 保護 Oracle JD Edwards (JDE),並搭配 F5 BIG-IP 簡易按鈕引導式設定。
整合 BIG-IP 與 Microsoft Entra ID 以取得許多優點:
- 透過 Microsoft Entra 預先驗證和條件式存取改善 零信任 治理
- 請參閱 零信任 架構來啟用遠端工作
- 請參閱什麼是條件式存取?
- Microsoft Entra ID 與 BIG-IP 已發佈服務之間的單一登錄 (SSO)
- 從 Microsoft Entra 系統管理中心管理身分識別和存取權
深入了解:
案例描述
本教學課程使用 Oracle JDE 應用程式,使用 HTTP 授權標頭來管理受保護內容的存取權。
舊版應用程式缺少支援 Microsoft Entra 整合的新式通訊協定。 現代化成本高昂,需要規劃,並帶來潛在的停機時間風險。 相反地,使用 F5 BIG-IP 應用程式傳遞控制器(ADC)來橋接舊版應用程式與新式標識碼控制之間的差距,並轉換通訊協定。
在應用程式前面使用 BIG-IP,您可以使用 Microsoft Entra 預先驗證和標頭型 SSO 來重疊服務。 此動作可改善應用程式的安全性狀態。
案例架構
此案例的 SHA 解決方案是由數個元件所組成:
- Oracle JDE 應用程式 - 受 Microsoft Entra SHA 保護的 BIG-IP 已發佈服務
- Microsoft Entra ID - 安全性聲明標記語言 (SAML) 識別提供者 (IdP) 會驗證使用者認證、條件式存取和 SAM 型 SSO 到 BIG-IP
- 透過 SSO,Microsoft Entra ID 會提供 BIG-IP 的會話屬性
- BIG-IP - 應用程式的反向 Proxy 和 SAML 服務提供者 (SP)
- BIG-IP 會將驗證委派給 SAML IdP,然後對 Oracle 服務執行標頭型 SSO
在本教學課程中,SHA 支援由SP和IdP起始的流程。 下圖說明SP起始的流程。
- 用戶連線到應用程式端點 (BIG-IP)。
- BIG-IP APM 存取原則會將使用者重新導向至 Microsoft Entra ID (SAML IdP)。
- Microsoft Entra 會預先驗證使用者,並套用條件式存取原則。
- 用戶會重新導向至 BIG-IP (SAML SP)。 SSO 會使用發行的 SAML 令牌進行。
- BIG-IP 會在應用程式要求中插入 Microsoft Entra 屬性作為標頭。
- 應用程式會授權要求並傳回承載。
必要條件
- Microsoft Entra ID 免費帳戶或更新版本
- 如果您沒有帳戶,請取得 Azure 免費帳戶
- Azure 中的 BIG-IP 或 BIG-IP 虛擬版本 (VE)
- 下列任何 F5 BIG-IP 授權:
- F5 BIG-IP® 最佳套件組合
- F5 BIG-IP APM 獨立授權
- 現有 BIG-IP F5 BIG-IP® 本機 流量管理員 ™ 的 F5 BIG-IP APM 附加元件授權(LTM)
- 90 天 BIG-IP 完整功能 試用版授權
- 從內部部署目錄同步處理到 Microsoft Entra 識別碼的使用者身分識別,或在 Microsoft Entra 識別符中建立,並流回內部部署目錄
- 下列其中一個角色:Global 管理員 istrator、Cloud Application 管理員 istrator 或 Application 管理員 istrator
- 透過 HTTPS 發佈服務的 SSL Web 憑證,或使用預設 BIG-IP 憑證進行測試
- Oracle JDE 環境
BIG-IP 組態
本教學課程使用引導式設定 16.1 搭配簡易按鈕範本。 使用 [簡單按鈕] 時,系統管理員不會在 Microsoft Entra ID 與 BIG-IP 之間切換,以啟用 SHA 的服務。 APM 引導式設定精靈和 Microsoft Graph 會處理部署和原則管理。 整合可確保應用程式支援身分識別同盟、SSO 和條件式存取。
注意
將本教學課程中的範例字串或值取代為您環境中的字串或值。
註冊簡易按鈕
提示
本文中的步驟可能會根據您從開始的入口網站稍有不同。
在用戶端或服務存取 Microsoft Graph 之前,Microsoft 身分識別平台 必須信任它。
深入瞭解:快速入門:向 Microsoft 身分識別平台 註冊應用程式
下列指示可協助您建立租使用者應用程式註冊,以授權簡單按鈕存取 Graph。 透過這些許可權,BIG-IP 會推送設定,以在已發佈應用程式的 SAML SP 實例與 Microsoft Entra ID 之間建立信任,作為 SAML IdP。
以至少雲端應用程式 管理員 istrator 身分登入 Microsoft Entra 系統管理中心。
流覽至 [身分>識別應用程式> 應用程式註冊][>新增註冊]。
輸入應用程式 名稱。
僅針對 此組織目錄中的 [帳戶],指定誰使用應用程式。
選取註冊。
流覽至 API 許可權。
授權下列 Microsoft Graph 應用程式權限:
- Application.ReadWrite.All
- Application.ReadWrite.OwnedBy
- Directory.Read.All
- Group.Read.All
- IdentityRiskyUser.Read.All
- Policy.Read.All
- Policy.ReadWrite.ApplicationConfiguration
- Policy.ReadWrite.ConditionalAccess
- User.Read.All
授與系統管理員同意您的組織。
移至 [ 憑證與秘密]。
產生新的 客戶端密碼 並加以記下。
移至 [ 概觀 ],並記下 用戶端標識符 和 租用戶標識符
設定簡易按鈕
起始 APM 引導式設定。
啟動簡易按鈕範本。
流覽至 [ 存取 > 引導式設定]。
選取 [Microsoft 整合]。
選取 [Microsoft Entra 應用程式]。
檢閱組態順序。
選取下一個
遵循設定順序。
組態屬性
使用 [ 組態屬性] 索引標籤來建立新的應用程式組態和 SSO 物件。 [ Azure 服務帳戶詳細數據 ] 區段代表您在 Microsoft Entra 租用戶中註冊為應用程式的用戶端。 使用 BIG-IP OAuth 客戶端的設定,以使用 SSO 屬性在租用戶中註冊 SAML SP。 [簡單按鈕] 會針對針對針對 SHA 發佈的 BIG-IP 服務執行此動作並加以啟用。
注意
下列部分設定是全域設定。 您可以重複使用它們來發佈更多應用程式。
針對 [單一登錄][SSO] 和 [HTTP 標頭],選取 [開啟]。
輸入您注意到的 租用戶標識碼、用戶端識別碼和 客戶端密碼 。
確認 BIG-IP 連線到租使用者。
選取下一個
服務提供者
服務提供者設定會定義透過 SHA 保護之應用程式的 SAML SP 實例屬性。
針對 [ 主機],輸入安全應用程式的公用 FQDN。
針對 [實體標識符],輸入 Microsoft Entra ID 用來識別要求令牌的 SAML SP 識別符。
(選擇性)針對安全性 設定,指出 Microsoft Entra ID 會加密已發出的 SAML 判斷提示。 此選項會增加保證不會攔截內容令牌,也不會遭到數據入侵。
從 [ 判斷提示解密私鑰 ] 清單中,選取 [ 新建]。
選取 [確定]。
[匯 入 SSL 憑證和金鑰] 對話框會出現在新索引標籤 中。
針對 [ 匯入類型],選取 [ PKCS 12 (IIS)]。 這個選項會匯入您的憑證和私鑰。
關閉瀏覽器索引標籤以返回主要索引標籤。
針對 [ 啟用加密判斷提示],核取方塊。
如果您已啟用加密,請從 [ 判斷提示解密私鑰 ] 清單中選取您的憑證。 此私鑰適用於 BIG-IP APM 用來解密 Microsoft Entra 判斷提示的憑證。
如果您已啟用加密,請從 [ 判斷提示解密憑證 ] 列表中選取您的憑證。 BIG-IP 會將此憑證上傳至 Microsoft Entra ID,以加密發行的 SAML 判斷提示。
Microsoft Entra ID
Easy Button 具有 Oracle 人員 Soft、Oracle E-Business Suite、Oracle JD Edwards、SAP ERP 和一般 SHA 範本的範本。
- 選取 [受 F5 BIG-IP 保護的 JD Edwards]。
- 選取新增。
Azure 組態
輸入 租用戶中應用程式 BIG-IP 建立的顯示名稱 。 名稱會出現在 我的應用程式 中的圖示上。
(選擇性)針對 [登入 URL] 輸入 人員 Soft 應用程式公用 FQDN。
在 [ 簽署金鑰 ] 和 [簽署憑證] 旁,選取 [ 重新整理]。 此動作會找出您匯入的憑證。
針對 [簽署密鑰複雜密碼],輸入憑證密碼。
(選擇性)針對 [ 簽署選項],選取選項。 此選取專案可確保 BIG-IP 接受由 Microsoft Entra ID 簽署的令牌和宣告。
用戶和使用者群組 會從 Microsoft Entra 租用戶動態查詢。
新增用於測試的使用者或群組,否則會拒絕存取。
使用者屬性與宣告
當使用者驗證時,Microsoft Entra ID 會發出 SAML 令牌,其中包含識別用戶的預設宣告和屬性。 [ 使用者屬性與宣告 ] 索引標籤有新應用程式要發出的預設宣告。 使用它來設定更多宣告。
如有需要,請包含其他 Microsoft Entra 屬性。 Oracle JDE 案例需要默認屬性。
其他用戶屬性
[ 其他使用者屬性] 索引 標籤支援需要屬性的分散式系統會儲存在其他目錄中以進行會話增強。 LDAP 來源的屬性會插入為更多 SSO 標頭,以根據角色、合作夥伴識別碼等來控制存取。
注意
這項功能與 Microsoft Entra 識別符沒有關聯;它是另一個屬性來源。
條件式存取原則
條件式存取原則會在 Microsoft Entra 預先驗證之後強制執行,以根據裝置、應用程式、位置和風險訊號來控制存取。 [ 可用的原則 ] 檢視具有沒有使用者動作的條件式存取原則。 [ 選取的原則 ] 檢視具有以雲端應用程式為目標的原則。 您無法取消選取或將這些原則移至 [可用的原則] 列表,因為它們會在租用戶層級強制執行。
選取應用程式的原則。
- 在 [ 可用的原則] 列表中,選取原則。
- 選取向右箭號,並將原則移至 [選取的原則]。
選取的原則已 核取 [包含 ] 或 [排除] 選項。 如果檢查這兩個選項,則不會強制執行原則。
注意
當您選取索引標籤時,原則清單會出現一次。使用 [重新 整理] 精靈來查詢租使用者。 這個選項會出現在部署應用程式之後。
虛擬伺服器屬性
虛擬伺服器是由虛擬IP位址表示的BIG-IP數據平面物件。 伺服器會接聽對應用程式的用戶端要求。 接收的流量會根據虛擬伺服器 APM 配置檔進行處理和評估。 然後,流量會根據原則進行導向。
針對 [ 目的地位址],輸入IPv4或IPv6 位址 BIG-IP 用來接收用戶端流量。 DNS 中會出現對應的記錄,可讓用戶端將已發佈應用程式的外部 URL 解析為 IP。 使用測試計算機localhost DNS進行測試。
針對 [服務埠],輸入 443 ,然後選取 [ HTTPS]。
針對 [ 啟用重新導向埠],核取方塊。
針對 [ 重新導向埠],輸入 80 並選取 [ HTTP]。 此選項會將連入 HTTP 用戶端流量重新導向至 HTTPS。
針對 [ 用戶端 SSL 配置檔],選取 [ 使用現有]。
在 [一般] 下,選取您建立的選項。 如果測試,請保留預設值。 用戶端 SSL 設定檔會啟用 HTTPS 的虛擬伺服器,因此會透過 TLS 加密用戶端連線。
集區屬性
[應用程式集區] 索引標籤具有 BIG-IP 後方的服務,以具有應用程式伺服器的集區表示。
針對 [ 選取集區],選取 [新建],或選取一個集區。
針對 [負載平衡方法],選取 [迴圈配置資源]。
針對集區伺服器,在 [IP 位址/節點名稱] 中選取節點,或輸入裝載 Oracle JDE 應用程式之伺服器的 IP 和埠。
單一登錄和 HTTP 標頭
簡易按鈕精靈支援 Kerberos、OAuth Bearer 和 HTTP 授權標頭,以便 SSO 到已發佈的應用程式。 人員 Soft 應用程式需要標頭。
針對 [HTTP 標頭],核取方塊。
針對 [ 標頭作業],選取 [取代]。
針對 [標頭名稱],輸入 JDE_SSO_UID。
針對 [標頭值],輸入 %{session.sso.token.last.username}。
注意
大括弧中的 APM 會話變數會區分大小寫。 例如,如果您輸入 OrclGUID,而且屬性名稱為 orclguid,則屬性對應會失敗。
工作階段管理
使用 BIG-IP 工作階段管理設定來定義使用者工作階段終止或接續的條件。 設定使用者和IP位址的限制,以及對應的用戶資訊。
若要深入瞭解,請移至K18390492 support.f5.com :安全性 |BIG-IP APM 作業指南
作業指南中未涵蓋單一註銷 (SLO) 功能,可確保當使用者註銷時,IdP、BIG-IP 和使用者代理程式會話會終止。當 Easy Button 在 Microsoft Entra 租使用者中具現化 SAML 應用程式時,它會使用 APM SLO 端點填入註銷 URL。 從 idP 起始的註銷 我的應用程式 會終止 BIG-IP 和用戶端工作階段。
已發佈的應用程式 SAML 同盟數據會從租用戶匯入。 此動作會為 APM 提供 Microsoft Entra ID 的 SAML 註銷端點,以確保 SP 起始的註銷會終止用戶端和 Microsoft Entra 工作階段。 APM 必須知道使用者何時註銷。
當 BIG-IP Webtop 入口網站存取已發佈的應用程式時,APM 會處理註銷以呼叫 Microsoft Entra 註銷端點。 如果未使用 BIG-IP Webtop 入口網站,使用者就無法指示 APM 註銷。如果使用者註銷應用程式,BIG-IP 就會被遺忘。 SP 起始的註銷需要安全的會話終止。 將 SLO 函式新增至您的應用程式 [註銷 ] 按鈕,以將用戶端重新導向至 Microsoft Entra SAML 或 BIG-IP 註銷端點。 應用程式註冊>端點中租使用者的 SAML 註銷端點 URL。
如果您無法變更應用程式,請考慮讓 BIG-IP 接聽應用程式註銷呼叫,然後觸發 SLO。
深入瞭解:教學課程:設定 F5 BIG-IP Easy Button for SSO to Oracle 人員 Soft,人員 Soft 單一註銷
若要深入瞭解,請移至下列 support.f5.com:
部署
- 選取部署。
- 確認應用程式位於企業應用程式的租用戶清單中。
確認設定
使用瀏覽器,連線到 Oracle JDE 應用程式的外部 URL,或選取 我的應用程式 中的應用程式圖示。
向 Microsoft Entra 識別碼進行驗證。
系統會將您重新導向至應用程式的 BIG-IP 虛擬伺服器,並使用 SSO 登入。
注意
您可以封鎖直接存取應用程式,藉此強制執行透過 BIG-IP 的路徑。
進階部署
有時候,引導式設定範本缺乏彈性。
深入瞭解:教學課程: 為標頭型 SSO 設定 F5 BIG-IP 存取原則管理員
或者,在 BIG-IP 中,停用引導式設定嚴格管理模式。 您可以手動變更組態,不過大部分的組態都是使用精靈範本自動化的。
流覽至 [ 存取 > 引導式設定]。
在數據列結尾,選取 掛鎖。
無法使用精靈 UI 進行變更,但與應用程式發行實例相關聯的 BIG-IP 物件會解除鎖定以進行管理。
注意
當您重新啟用嚴格模式並部署組態時,會覆寫在引導式設定外部執行的設定。 我們建議使用生產服務的進階設定。
疑難排解
使用 BIG-IP 記錄來隔離連線、SSO、原則違規或設定錯誤的變數對應問題。
記錄詳細資訊
- 流覽至存取 原則 > 概觀。
- 選取 [事件記錄檔]。
- 選取設定。
- 選取已發佈應用程式的數據列。
- 選取 [編輯]。
- 選取 [存取系統記錄檔]
- 從 SSO 清單中,選取 [ 偵錯]。
- 選取 [確定]。
- 重現您的問題。
- 檢查記錄。
完成時,請還原此功能,因為詳細資訊模式會產生大量數據。
BIG-IP 錯誤訊息
如果 BIG-IP 錯誤出現在 Microsoft Entra 預先驗證之後,則可能與 Microsoft Entra ID 與 BIG-IP SSO 有關。
- 流覽至 [ 存取 > 概觀]。
- 選取 [ 存取報表]。
- 執行過去一小時的報表。
- 檢閱記錄以取得線索。
使用會話的 [ 檢視會話 ] 鏈接來確認 APM 收到預期的 Microsoft Entra 宣告。
沒有 BIG-IP 錯誤訊息
如果沒有出現 BIG-IP 錯誤訊息,問題可能與後端要求或 BIG-IP 至應用程式 SSO 有關。
- 流覽至存取 原則 > 概觀。
- 選取 [ 使用中會話]。
- 選取使用中的會話連結。
使用 [ 檢視變數 ] 鏈接來判斷 SSO 問題,特別是當 BIG-IP APM 從會話變數取得不正確的屬性時。
深入了解: