So konfigurieren Sie Microsoft Entra ID (Azure AD) App-Rollen und SAML-Ansprüche für EloView SSO

Zielgruppe: Öffentlich / Elo Kunden, Cloud Identity Architekten & IT-Administratoren

Artikeltyp: Single Sign-On (SSO) & Cloud Identity Konfigurationsleitfaden

Diese umfassende Anleitung beschreibt, wie Sie benutzerdefinierte App-Rollen in Microsoft Entra ID (ehemals Azure Active Directory) erstellen, sie Benutzern und Gruppen im Verzeichnis zuordnen und als SAML-Tokenansprüche in EloView® für die rollenbasierte Zugriffskontrolle (RBAC) übergeben.

Architektur: App-Rollen vs. Sicherheitsgruppen

Verständnis, wie Entra ID anwendunngsspezifische Berechtigungen im Vergleich zu verzeichnisspezifischen Sicherheitsgruppen behandelt:

Beispiel für EloView Rollenzuordnungen

Erstellen Sie benutzerdefinierte Sicherheitsrollen in EloView, die mit Ihren organisatorischen Teams übereinstimmen:

Schritt 1: App-Rollen in Azure App-Registrierungen deklarieren

1. Melden Sie sich im Azure Portal (oder Microsoft Entra Admin Center) an.
2. Navigieren Sie zu Azure Active Directory (Microsoft Entra ID) > App-Registrierungen.

3. Wählen Sie Ihre registrierte EloView-Anwendung aus. 

   

4. Klicken Sie im linken Navigationsmenü unter Verwalten auf App-Rollen, wählen Sie dann App-Rolle erstellen aus.

   

5. Konfigurieren Sie im Drawer App-Rolle erstellen die Rolleneinstellungen:

   • Anzeige Name: Kann Leerzeichen enthalten (z. B. EloView Admins).
   • Erlaubte Mitgliedstypen: Wählen Sie Benutzer/Gruppen.
   • Wert: Exakte Rollentokenzeichenfolge — darf keine Leerzeichen enthalten (z. B. EloView_Admins).
   • Beschreibung: Interne administrative Beschreibung.

   

6. Klicken Sie auf Übernehmen, um die Rolle zu speichern, und wiederholen Sie dies für alle erforderlichen EloView-Rollen.

   

Schritt 2: Benutzer und Gruppen App-Rollen zuweisen

1. Navigieren Sie im Azure-Portal zu Unternehmensanwendungen > Alle Anwendungen und wählen Sie Ihre EloView-Unternehmensanwendung aus.

   

2. Klicken Sie unter Verwalten auf Benutzer und Gruppen, wählen Sie dann Benutzer/Gruppen hinzufügen aus.

   

3. Wählen Sie den ZielBenutzer oder die Gruppe aus und klicken Sie auf Eine Rolle auswählen, um die entsprechende App-Rolle zuzuweisen (z. B. EloView_Admins).

   

4. Klicken Sie auf Auswählen, und klicken Sie dann auf Zuweisen. Wiederholen Sie dies für alle verbleibenden Benutzer und Sicherheitsgruppen.

Schritt 3: Der SAML-Rollenanspruch im Single Sign-On zuordnen

1. Navigieren Sie unter Ihrer Unternehmensanwendung zu Verwalten > Single Sign-On (SAML).

2. Klicken Sie im Abschnitt Attribute & Ansprüche auf Bearbeiten.

   

3. Klicken Sie auf Neuen Anspruch hinzufügen und konfigurieren Sie die folgenden Parameter:

   • Name: roles (Groß-/Kleinschreibung: Muss strikt klein geschrieben sein ohne Namensraum)
   • Quelle: Attribut
   • Quellattribut: user.assignedroles
   
4. Klicken Sie auf Speichern.

Schritt 4: SSO testen & Token-Ausstellung verifizieren

1. Testen des SAML-Tokens in Azure: Verwenden Sie das Test Single Sign-On-Werkzeug in Azure, um die ausgestellte SAML-Behauptung zu inspizieren. Bestätigen Sie, dass das Attribut mit Ihrer konfigurierten Rolle erscheint:

   roles = EloView_Admins

   

2. Überprüfen der Rollenzuweisung im Portal: Melden Sie sich über SSO im EloView-Portal an und verifizieren Sie, dass die aktive Sitzung des Benutzers der zugewiesenen Rolle entspricht (z. B. (SAMLUser)EloView_Admins).