Ověřování uživatelů pomocí Azure Active Directory

Do Alvao se mohou přihlašovat pouze uživatelé z jednoho tenanta Azure Active Directory (AAD) a externí uživatelé (hosté) daného tenanta. Pokud v Alvao zapnete ověřování AAD, žádní jiní uživatelé mimo AAD se do Alvao nebudou moci přihlásit.

Import uživatelů z AAD (user provisioning)

1. V portálu Microsoft Azure přejděte do Azure Active Directory – Enterprise Applications a vytvořte novou aplikaci příkazem New Application - Create your own application.
2. Zadejte název aplikace Alvao a vyberte volbu Integrate any other application you don't find in the gallery (Non-gallery).
3. V detailu aplikace přejděte na záložku Provisioning a nastavte následující parametry zřizování:
1. Provisioning mode: Automatic
2. V sekci Admin Credentials:
   Tenant URL: {adresa ALVAO REST API}/scim
   Např.: https://app.contoso.com/alvaorestapi/scim
   Secret Token: V WebApp - Správa – Nastavení – Active Directory a Azure Active Directory vygenerujte nový tajný klíč klienta a zkopírujte jej do tohoto pole.

   Příkazem Test connection zkontrolujte, jestli je vše nastavené správně.

   
4. V sekci Mappings:
   Povolte zřizování uživatelů a skupin
   
   Klikněte na Provision Azure Active Directory Users a proveďte tyto změny:
• Povinné:
  • Atributu userName změňte prioritu porovnávání (Matching precedence) z 1 na 2
  • Atribut externalId změňte tak, aby obsahoval AAD atribut objectId (místo mailNickname) a zároveň nastavte porovnávání podle tohoto atributu s prioritou 1
• Doporučené:
  • Příkazem Add new mapping přidejte nové mapování pro synchronizaci položky uživatele Organizace:
    • Mapping type: Direct
    • Source attribute: companyName
    • Target attribute:
      urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:organization
  • Z mapování odeberte položky, které se s Alvao nesynchronizují:
    • addresses[type eq "work"].streetAddress, addresses[type eq "work"].postalCode



5. V sekci Settings:
   Volitelně vyplňte e-mailovou adresu, na kterou se budou zasílat oznámení v případě, že se vyskytnou nějaké chyby.
   V položce Scope vyberte, jestli chcete synchronizovat všechny uživatele z AAD nebo pouze vybrané.
   
6. Provisioning status nastavte na On.
7. Pokud jste v položce Scope zvolili, že chcete synchronizovat pouze vybrané uživatele a skupiny, přejděte na záložku Users and Groups a přiřaďte do aplikace uživatele a skupiny, které chcete synchronizovat s Alvao.
   Upozornění:

   Do Alvao se vždy naimportují také přímí členové (uživatelé i skupiny) skupin přiřazených do aplikace. Členové těchto přímých členů se však již automaticky neimportují. Více informací viz Understand how Application Provisioning in Azure Active Directory | Microsoft Docs.
   

Více informací o jednotlivých volbách v nastavení viz User provisioning management for enterprise apps in Azure Active Directory | Microsoft Docs.

Nastavení ověřování pomocí AAD

1. V portálu Microsoft Azure přejděte do Azure Active Directory – App registrations a vyberte prve vytvořenou aplikaci Alvao.
2. Na stránce Overview do položky Redirect URIs nastavte adresu https://<adresa WebApp>/Account/LoginMicrosoftEndpoint.
3. Na stránce Authentication zapněte volbu Access tokens (used for implicit flows) a nastavení uložte.
4. Na stránce API permissions:
1. Klikněte na Add a permission, přejděte na záložku APIs my organization uses a vyberte první Alvao aplikaci
2. Zaškrtněte use_impesonation a klikněte na Add permissions.
3. Klikněte na Grant admin consent a přidělte souhlas admina pro vámi přidanou pravomoc.
5. Poznamenejte si hodnoty z registrace aplikace, které budete později potřebovat:
   1. Client ID
   2. Directory (tenant) ID
   3. Client credentials – Client secrets – New client secret – Client Secret
6. Do následujícího SQL skriptu vložte hodnoty Directory (tenant) ID a Client ID získané výše a skript spusťte na vaší databázi Alvao.
   INSERT INTO AzureAdTenant (AzureTenantId) VALUES (N'<Directory (tenant) ID>')
   EXEC spUpdateInsertProperty N'AzureApplicationId', N'<Client ID>'
7. Na serveru v IIS Manager:
   1. V aplikaci Alvao (WebApp) změňte způsob ověření na anonymní a forms.
      V podrobnostech forms přihlášení uveďte
      adresu ~/Account/LoginMicrosoft.
   2. V aplikaci ServiceDeskWebService nastavte způsob ověření na anonymní.
   3. V aplikaci AssetWebService (AM WS) nastavte způsob ověření na anonymní.
   4. V aplikaci AlvaoRestApi nastavte způsob ověření na anonymní.
   5. V aplikaci AlvaoCustomAppsWebService (CA WS) nastavte způsob ověření na anonymní.
8. Do následujících konfiguračních souborů zapište do nastavení AAD_ClientSecret hodnotu Client Secret získanou výše:
   1. WebApp – soubor web.config
   2. ServiceDeskWebService – web.config
   3. AssetWebService – web.config
   4. MailboxReader – app.config
   5. AlvaoRestApi – web.config
   6. AlvaoCustomAppsWebService – web.config

Více informací o registraci aplikací v AAD viz Register your app with the Azure AD v2.0 endpoint - Microsoft Graph | Microsoft Docs.

Import uživatelů do stromu objektů v ALVAO Asset Management

Pokud je aktivovaný produkt ALVAO Asset Management, uživatelé se automaticky importují také do stromu objektů do složky Načtené objekty z Active Directory, odkud je přesuňte na správné místo ve stromu. Do stromu objektů se importuje stejná množina uživatelů jako do WebApp – Správa – Uživatelé.

Při odstranění uživatele z AAD se daný uživatel ve stromu objektů automaticky zablokuje (viz vlastnost Účet je zablokován) ale neodstraní se. Jednou za čas doporučujeme ve stromu zkontrolovat zablokované uživatele a případně je odstranit.

Pokud produkt Asset Management aktivujete dodatečně, kdy ve Správě už máte naimportované uživatele, již existující uživatelé se ve stromu automaticky nevytvoří. Můžete je dodatečně vytvořit připraveným SQL skriptem, který ve stromu objektů vytvoří všechny uživatele ze Správy, kteří ve stromu ještě neexistují. Hodnoty vlastností se nastaví podle výchozího mapování atributů. Existující uživatelé zůstanou beze změn.

Po provedení skriptu doporučujeme na IIS serveru recyklovat fond aplikace Alvao, aby se vypnutí importu projevilo okamžitě.

Import můžete zase zapnout skriptem:

SCIM

Import (provisioning) uživatelů z AAD do Alvao využívá rozhraní SCIM, prostřednictvím kterého se v Alvao automaticky:

• Vytvářejí, upravují a odstraňují uživatelé v WebApp – Správa – Uživatelé
• Vytvářejí, upravují a odstraňují skupiny v WebApp – Správa - Skupiny
• Aktualizuje členství uživatelů a skupin ve skupinách
• Vytvářejí a upravují uživatelé ve stromu objektů v ALVAO Asset Management

AAD prostřednictvím rozhraní SCIM do Alvao průběžně zasílá informace o změnách. Většina změn se v Alvao projeví do 40 minut, některé, jako například zablokování uživatele, i dříve. Tento interval je plně v režii AAD a není možné ho změnit.

Rozhraní SCIM je součástí aplikace ALVAO REST API, kterou je nutné mít nainstalovanou na serveru přístupném z internetu (resp. z Azure).

Nenašli jste co jste hledali? Zeptejte se našeho týmu technické podpory.