Как настроить Microsoft Entra ID (Azure AD) роли приложений и SAML претензии для EloView SSO

Аудитория: Публичная / Клиенты Elo, Архитекторы облачной идентичности и IT-администраторы

Тип статьи: Руководство по единому входу (SSO) и настройке облачной идентичности

В этом исчерпывающем руководстве описывается, как создать пользовательские Роли приложений в Microsoft Entra ID (ранее Azure Active Directory), сопоставить их с пользователями и группами каталога, а также передать их в качестве претензий SAML токена в EloView® для управления доступом на основе ролей (RBAC).

Архитектура: Роли приложений против групп безопасности

Понимание того, как Entra ID обрабатывает права доступа на уровне приложения по сравнению с групповыми правами в каталоге:

Примеры сопоставления ролей EloView

Создайте пользовательские роли безопасности в EloView, которые соответствуют вашим организационным командам:

Шаг 1: Объявление ролей приложений в регистрациях приложений Azure

1. Войдите в Azure Portal (или в центр администрирования Microsoft Entra).
2. Перейдите в раздел Azure Active Directory (Microsoft Entra ID) > Регистрация приложений.

3. Выберите вашу зарегистрированную программу EloView.

   

4. В левом навигационном меню под Управление нажмите Роли приложений, затем выберите Создать роль приложения.

   

5. В панели Создание роли приложения настройте параметры роли:

   • Отображаемое имя: Может содержать пробелы (например, EloView Admins).
   • Типы членов: Выберите Пользователи/Группы.
   • Значение: Точная строка токена роли — не может содержать пробелы (например, EloView_Admins).
   • Описание: Внутреннее административное описание.

   

6. Нажмите Применить, чтобы сохранить роль, и повторите для всех необходимых ролей EloView.

   

Шаг 2: Назначение пользователей и групп ролям приложений

1. В Azure Portal перейдите в Корпоративные приложения > Все приложения и выберите ваше Корпоративное приложение EloView.

   

2. Под Управление нажмите Пользователи и группы, затем выберите Добавить пользователя/группу.

   

3. Выберите целевого Пользователя или Группу, затем нажмите Выбрать роль, чтобы назначить соответствующую роль приложения (например, EloView_Admins).

   

4. Нажмите Выбрать, затем нажмите Назначить. Повторите для всех остальных пользователей и групп безопасности.

Шаг 3: Сопоставление SAML претензий роли в едином входе

1. Под вашим корпоративным приложением перейдите в Управление > Единый вход (SAML).

2. В разделе Атрибуты и претензии нажмите Правка.

   

3. Нажмите Добавить новую претензию и настройте следующие параметры:

   • Имя: roles (Чувствительно к регистру: Должно быть строго в нижнем регистре без пространства имен)
   • Источник: Атрибут
   • Источник атрибута: user.assignedroles
   
4. Нажмите Сохранить.

Шаг 4: Протестируйте SSO и проверьте выпуск токена

1. Проверьте SAML токен в Azure: Используйте утилиту Тест единого входа в Azure для просмотра выданного утверждения SAML. Убедитесь, что атрибут отображается с вашей настроенной ролью:

   roles = EloView_Admins

   

2. Проверьте назначение роли в портале: Войдите в EloView Portal через SSO и убедитесь, что активная сессия пользователя отражает сопоставленную роль (например, (SAMLUser)EloView_Admins).