Jak skonfigurować role aplikacji Microsoft Entra ID (Azure AD) i roszczenia SAML dla pojedynczego logowania EloView

Odbiorcy: Publiczny / Klienci Elo, Architekci Tożsamości w Chmurze i Administratorzy IT

Typ artykułu: Przewodnik po konfiguracji pojedynczego logowania (SSO) i tożsamości w chmurze

Ten kompleksowy przewodnik opisuje, jak tworzyć niestandardowe Role aplikacji w Microsoft Entra ID (dawniej Azure Active Directory), przypisywać je do użytkowników i grup w katalogu oraz przekazywać je jako roszczenia tokenu SAML do EloView® w celu kontroli dostępu opartej na rolach (RBAC).

Architektura: Role aplikacji vs. Grupy zabezpieczeń

Zrozumienie, jak Entra ID obsługuje uprawnienia na poziomie aplikacji w porównaniu do grup zabezpieczeń w całym katalogu:

Przykład mapowania ról EloView

Tworzenie niestandardowych ról zabezpieczeń w EloView, które są zgodne z twoimi zespołami organizacyjnymi:

Krok 1: Zadeklaruj role aplikacji w rejestracjach aplikacji Azure

1. Zaloguj się do Portalu Azure (lub centrum administracyjnego Microsoft Entra).
2. Przejdź do Azure Active Directory (Microsoft Entra ID) > Rejestracje aplikacji.

3. Wybierz swoją zarejestrowaną aplikację EloView. 

   

4. W lewym menu nawigacyjnym w sekcji Zarządzaj kliknij Role aplikacji, a następnie wybierz Utwórz rolę aplikacji.

   

5. W panelu Utwórz rolę aplikacji skonfiguruj parametry roli:

   • Nazwa wyświetlana: Może zawierać spacje (np. EloView Admins).
   • Dozwolone typy członków: Wybierz Użytkownicy/Grupy.
   • Wartość: Dokładny ciąg tokena roli — nie może zawierać spacji (np. EloView_Admins).
   • Opis: Wewnętrzny opis administracyjny.

   

6. Kliknij Zastosuj, aby zapisać rolę, i powtórz dla wszystkich wymaganych ról EloView.

   

Krok 2: Przypisz użytkowników i grupy do ról aplikacji

1. W Portalu Azure przejdź do Aplikacje przedsiębiorstw > Wszystkie aplikacje i wybierz swoją aplikację przedsiębiorstwa EloView.

   

2. W sekcji Zarządzaj kliknij Użytkownicy i grupy, a następnie wybierz Dodaj użytkownika/grupę.

   

3. Wybierz docelowego Użytkownika lub Grupę, a następnie kliknij Wybierz rolę, aby przypisać odpowiednią rolę aplikacji (np. EloView_Admins).

   

4. Kliknij Wybierz, a następnie kliknij Przypisz. Powtórz dla wszystkich pozostałych użytkowników i grup zabezpieczeń.

Krok 3: Mapuj roszczenie roli SAML w pojedynczym logowaniu

1. W ramach swojej aplikacji przedsiębiorstwa przejdź do Zarządzaj > Pojedyncze logowanie (SAML).

2. W sekcji Atrybuty i roszczenia kliknij Edytuj.

   

3. Kliknij Dodaj nowe roszczenie i skonfiguruj następujące parametry:

   • Nazwa: roles (Czułość na wielkie litery: Musi być ścisłe małe litery, bez przestrzeni nazw)
   • Źródło: Atrybut
   • Atrybut źródłowy: user.assignedroles
   
4. Kliknij Zapisz.

Krok 4: Testuj SSO i weryfikuj wydawanie tokenów

1. Testuj token SAML w Azure: Użyj narzędzia Testuj pojedyncze logowanie w Azure, aby sprawdzić wydane roszczenie SAML. Upewnij się, że atrybut pojawia się z twoją skonfigurowaną rolą:

   roles = EloView_Admins

   

2. Weryfikuj przypisanie roli w portalu: Zaloguj się do Portalu EloView przez SSO i potwierdź, że aktywna sesja użytkownika odzwierciedla przypisaną rolę (np. (SAMLUser)EloView_Admins).