</nav><p>了解如何使用 Microsoft Entra ID 來保護 Oracle E-Business Suite (EBS)，並搭配 F5 BIG-IP 簡易按鈕引導式設定。 將 BIG-IP 與 Microsoft Entra ID 整合有許多優點：</p> 讯享网
透過 Microsoft Entra 預先驗證和條件式存取，改善了零信任治理
Microsoft Entra ID 與 BIG-IP 已發佈服務之間的完整 SSO
從一個控制平面管理身分識別和存取
請參閱 Microsoft Entra 系統管理中心
深入了解：
整合 F5 BIG-IP 與 Microsoft Entra ID
啟用企業應用程式的 SSO
此案例包含使用 HTTP 授權標頭的經典 Oracle EBS 應用程式，管理受保護內容的存取權。
舊版應用程式缺少新式通訊協定，可支援 Microsoft Entra ID 整合。 現代化成本高昂、耗時，並帶來停機時間風險。 相反地，使用 F5 BIG-IP 應用程式傳遞控制器 (ADC) 來橋接舊版應用程式與新式識別碼控制平面之間的差距，並轉換通訊協定。
應用程式前的 BIG-IP 得以使用 Microsoft Entra 預先驗證和標頭型 SSO 來重疊服務。 此設定可改善應用程式安全性態勢。
安全混合式存取 (SHA) 解決方案具有下列元件：
Oracle EBS 應用程式 - 由 Microsoft Entra SHA 保護的 BIG-IP 已發佈服務Microsoft Entra ID - 安全性聲明標記語言 (SAML) 識別提供者 (IdP) 會驗證使用者認證、條件式存取，以及對 BIG-IP 的 SAML 型 SSO
透過 SSO，Microsoft Entra ID 提供 BIG-IP 工作階段屬性
Oracle Internet Directory (OID) - 裝載使用者資料庫
Oracle E-Business Suite AccessGate - 使用 OID 服務驗證授權屬性，然後發出 EBS 存取 CookieBIG-IP - 應用程式的反向 Proxy 和 SAML 服務提供者 (SP)
驗證會委派給 SAML IdP，然後對 Oracle 應用程式進行標頭型 SSO
SHA 支援 SP 和 IdP 起始的流程。 下圖說明 SP 起始的流程。
讯享网
使用者會連線到應用程式端點 (BIG-IP)。
BIG-IP APM 存取原則會將使用者重新導向至 Microsoft Entra ID (SAML IdP)。
Microsoft Entra 會預先驗證使用者，並套用條件式存取原則。
使用者會重新導向至 BIG-IP (SAML SP)，並使用已發行的 SAML 權杖來執行 SSO。
BIG-IP 會針對使用者唯一識別碼 (UID) 屬性執行 LDAP 查詢。
BIG-IP 會將傳回的 UID 屬性作為 Oracle EBS 工作階段 Cookie 要求中的 user_orclguid 標頭插入至 Oracle AccessGate。
Oracle AccessGate 會根據 OID 服務驗證 UID，並發出 Oracle EBS 存取 Cookie。
Oracle EBS 使用者標頭和 Cookie 已傳送至應用程式，並將酬載回傳給使用者。
您需要下列元件：
Azure 訂用帳戶
雲端應用程式管理員或應用程式系統管理員角色。
BIG-IP 或在 Azure 中部署 BIG-IP 虛擬版本 (VE)
請參閱，在 Azure 中部署 F5 BIG-IP Virtual Edition VM
下列任一個 F5 BIG-IP 授權 SKU：
F5 BIG-IP® Best 搭售方案
F5 BIG-IP Access Policy Manager™ (APM) 獨立授權
BIG-IP F5 BIG-IP® 本機流量管理員™ (LTM) 上的 F5 BIG-IP 存取原則管理員™ (APM) 附加元件授權
90 天 BIG-IP 完整功能試用版。 請參閱免費試用版
從內部部署目錄同步至 Microsoft Entra ID 的使用者身分識別
請參閱 Microsoft Entra Connect 同步：瞭解和自訂同步處理
用來透過 HTTPS 發佈服務的 SSL 憑證，或在測試時使用預設的憑證
Oracle EBS、Oracle AccessGate 及已啟用 LDAP 的 Oracle Internet Database (OID)
本教學課程使用引導式設定 v16.1 簡易按鈕範本。 使用「簡易按鈕」，管理員便無需再來回切換，啟用適用於 SHA 的服務。 APM 引導式設定精靈和 Microsoft Graph 會處理部署和原則管理。 此整合可確保應用程式支援識別身分同盟、SSO 及條件式存取，進而降低系統管理額外負荷。
在用戶端或服務存取 Microsoft Graph 之前，Microsoft 身分識別平台必須予以信任。
深入瞭解：快速入門：向 Microsoft 身分識別平台註冊應用程式
建立租用戶應用程式註冊，為簡易按鈕授權存取圖表。 BIG-IP 會推送組態，建立 SAML SP 執行個體與已發行應用程式的之間的信任，並將 Microsoft Entra ID 作為 SAML IdP。
以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。
瀏覽至 [身分識別]
輸入應用程式 [名稱]
指定誰可以使用應用程式 > [僅此組織目錄中的帳戶]
選取 [註冊]
瀏覽至 [API 權限]
授權下列 Microsoft Graph [應用程式權限]：
Application.Read.All
Application.ReadWrite.All
Application.ReadWrite.OwnedBy
Directory.Read.All
Group.Read.All
IdentityRiskyUser.Read.All
Policy.Read.All
Policy.ReadWrite.ApplicationConfiguration
Policy.ReadWrite.ConditionalAccess
User.Read.All
為您的組織授與管理員同意。
移至 [憑證和密碼]
產生新的 [用戶端密碼]
移至 [概觀]
起始 APM [引導式設定]
啟動 [簡易按鈕]
瀏覽至 [存取 > 引導式設定 > Microsoft 整合]
選取 [Microsoft Entra 應用程式]
檢閱設定選項。
選取 [下一步]
使用圖形來協助發佈應用程式。
[設定屬性]Azure 服務帳戶詳細資料 」區段代表您在 Microsoft entra 租用戶中註冊的應用程式型用戶端。 透過這些設定，BIG-IP OAuth 用戶端會在租用戶中註冊 SAML SP，並具 SSO 屬性。 簡易按鈕會為針對 SHA 發佈並啟用的 BIG-IP 服務執行此操作。
若要減少時間和精力，請重複使用全域設定來發佈其他應用程式。
輸入 [設定名稱]
針對單一登入 (SSO) 和 HTTP 標頭 ，選取 [開啟]
適用於租使用者識別碼、用戶端識別碼 及用戶端密碼 輸入您在簡易按鈕用戶端註冊期間所注意到的內容。
確認 BIG-IP 連線至您的租用戶。
選取 [下一步]
適用受保護應用程式的 SAML SP 執行個體屬性使用服務提供者設定。
針對主機 ，輸入應用程式的公用 FQDN。
針對實體識別碼 ，輸入適用需要權杖之 SAML SP 的識別碼 Microsoft Entra ID。
（選用）在安全性設定 ，選取或清除 [啟用加密判斷提示]
從 [判斷提示解密私密金鑰]
選取 [確定]
匯入 SSL 憑證和金鑰 對話方塊會顯示在新的索引標籤。 選取 [PKCS 12 (IIS)]
匯入憑證和私密金鑰。
關閉瀏覽器索引標籤以返回主要索引標籤。
選取 [啟用加密的判斷提示]
若要啟用加密，請從判斷提示解密私密金鑰 清單中，選取憑證私密金鑰 BIG-IP APM 用來解密Microsoft Entra 判斷提示。
如需啟用加密，請從判斷提示解密憑證 清單中，選取憑證 BIG-IP 上傳至 Microsoft Entra ID，以加密所發出的 SAML 判斷提示。
Easy Button 具有 Oracle PeopleSoft、Oracle E-Business Suite、Oracle JD Edwards、SAP ERP 及一般 SHA 範本的應用程式範本。 以下螢幕擷取畫面是 Azure 設定下的 Oracle E-Business Suite 選項。
選取 [Oracle E-Business Suite]
選取 [新增]
Azure 設定
輸入 BIG-IP 在 Microsoft Entra 租用戶中所建立應用程式的 [顯示名稱]
在登入 URL（選用） ，輸入 EBS 應用程式公用 FQDN。
輸入 Oracle EBS 首頁的預設路徑。
在 [簽署金鑰]
找出您匯入的憑證。
在簽署金鑰複雜密碼 ，請輸入憑證密碼。
（選用）啟用 [簽署選項]
針對使用者和使用者群組 ，新增使用者或群組進行測試，否則會拒絕所有存取。 使用者和使用者群組會從您的 Microsoft Entra 租用戶動態查詢，並授權對應用程式的存取權限。
使用者屬性與宣告
當使用者進行驗證時，Microsoft Entra ID 發出 SAML 權杖，其中包含識別使用者的預設宣告和屬性。 使用者屬性與宣告 索引標籤會針對新應用程式發出的預設宣告。 使用此區域來設定更多宣告。 如有需要，請新增 Microsoft Entra 屬性，但 Oracle EBS 案例需要預設屬性。
其他使用者屬性
其他使用者屬性 索引標籤會支援分散式系統，而這些系統需要目錄中所儲存的屬性來進行工作階段增強。 插入擷取自 LDAP 來源的屬性作為更多 SSO 標頭，根據角色、合作夥伴識別碼等來控制存取。
啟用 [進階設定]
選取 [LDAP 屬性]
在選擇驗證伺服器 ，選取 [新建]
根據您的設定，選取 [使用集區]
針對服務連接埠 ，輸入 3060 （預設值）、3161 （安全）或 Oracle LDAP 服務的另一個連接埠。
輸入 [基底搜尋 DN]
針對 Admin DN ，輸入帳戶辨別名稱 APM 用來驗證 LDAP 查詢。
針對系統管理員密碼 ，請輸入密碼。
保留預設 [LDAP 結構描述屬性]
在LDAP 查詢屬性 ，為搜尋 Dn 輸入使用者物件搜尋的 LDAP 伺服器基底節點。
針對必要屬性 ，輸入要從 LDAP 目錄回傳的使用者物件屬性名稱。 針對 EBS，預設值為 orclguid 。
條件式存取原則
條件式存取原則會根據裝置、應用程式、位置及風險訊號來控制存取。 原則會在 Microsoft Entra 預先驗證之後強制執行。 「可用的原則」檢視具有無使用者動作的條件式存取原則。 「選取的原則」檢視具有雲端應用程式的原則。 您無法取消選取這些原則，或將其移至「可用的原則」，因為這些會在租用戶層級強制執行。
若要選取欲發行之應用程式的原則：
在可用的原則 ，選取原則。
選取 [向右鍵]
將原則移至 [選取的原則]
虛擬伺服器是一種 BIG-IP 資料平面物件，由接聽應用程式用戶端要求的虛擬 IP 位址表示。 收到的流量都會根據與虛擬伺服器相關聯的 APM 設定檔進行處理和評估。 然後，流量會根據原則進行導向。
輸入 [目的地位址]
針對 [服務連接埠]
選取 [啟用重新導向連接埠]
針對 [重新導向轉接連接埠]
選取您建立的用戶端 SSL 設定檔 ，或保留預設值進行測試。 用戶端 SSL 設定檔會啟用 HTTPS 的虛擬伺服器。 用戶端連線會透過 TLS 加密。
應用程式集區 索引標籤具有 BIG-IP、具有一或多個應用程式伺服器的集區後方服務。
從選取集區 ，選取 [新建]
針對負載平衡方法 ，選取 [循環配置資源]
在集區伺服器 ，選取並輸入裝載 Oracle EBS 的伺服器 [IP 位址/節點名稱]
選取 [HTTPS]
在存取閘道集區 ，確認 [Access Gate Subpath]
針對集區伺服器 ，選取並輸入裝載 Oracle EBS 的伺服器 [IP 位址/節點名稱]
選取 [HTTPS]
「簡易按鈕精靈」支援 Kerberos、OAuth 持有人和 HTTP 授權標頭，對已發佈應用程式進行 SSO。 Oracle EBS 應用程式需要標頭，因此啟用 HTTP 標頭。
在單一登入和 HTTP 標頭 ，選取 [HTTP 標頭]
針對標頭作業 ，選取 [取代]
針對標頭名稱 ，輸入 [USER_NAME]
針對標頭值 ，輸入 [%{session.sso.token.last.username}]
針對標頭作業 ，選取 [取代]
針對標頭名稱 ，輸入 [USER_ORCLGUID]
針對標頭值 ，輸入 [%{session.ldap.last.attr.orclguid}]
使用 BIG-IP 工作階段管理來定義使用者工作階段終止或接續的條件。
若要深入瞭解，請移至 support.f5.com，參閱K：安全性 | BIG-IP APM 操作指南
單一登出 (SLO) 功能可確保 IdP、BIG-IP 及使用者代理程式之間的工作階段會在使用者登出時終止。當您的 [簡易] 按鈕在您的 Microsoft Entra 租用戶中具現化 SAML 應用程式時，它會將 APM SLO 端點填入登出 URL。 因此，IdP 從 MyApps 入口網站起始的登出會終止 BIG-IP 與用戶端之間的工作階段。
請參閱，Microsoft「我的應用程式」
已發佈應用程式的 SAML 同盟中繼資料會從租用戶匯入。 此操作為 APM 提供 Microsoft Entra ID 的 SAML 登出端點。 然後，SP 起始的登出會終止用戶端和 Microsoft Entra 工作階段。 確定 APM 知道使用者何時登出。
如果您使用 BIG-IP Webtop 入口網站來存取已發佈的應用程式，APM 會處理登出程序，呼叫 Microsoft Entra 登出端點。 如果您未使用 BIG-IP Webtop 入口網站，使用者就無法指示 APM 登出。如果使用者登出應用程式，則 BIG-IP 無法察覺該動作。 確定 SP 起始的登出觸發程式會終止安全工作階段。 將 SLO 函式新增至應用程式 [登出]
若無法變更應用程式，請讓 BIG-IP 接聽應用程式登出呼叫，然後觸發 SLO。
深入了解：
PeopleSoft SLO 登出
請移至 support.f5.com，參閱：
K：根據 URI 參考的檔案名稱，設定自動工作階段終止 (登出)
K12056：包含登出 URI 選項的概觀
選取 [部署]
驗證應用程式顯示在租用戶企業應用程式清單。
從瀏覽器連線到 Oracle EBS 應用程式外部 URL，或選取[我的應用程式] 中的應用程式圖示。
對 Microsoft Entra ID 進行驗證。
系統會重新導向至應用程式的 BIG-IP 虛擬伺服器，並透過 SSO 登入。
為了提高安全性，請封鎖直接應用程式存取，藉此強制執行透過 BIG-IP 的路徑。
有時候，引導式設定範本缺乏需求靈活性。
深入瞭解：教學課程：針對標頭型 SSO 設定 F5 BIG-IP 的存取原則管理員。
或者，在 BIG-IP，停用引導式設定嚴格管理模式以手動變更設定。 精靈範本會將大部分組態自動化。
瀏覽至 [存取 > 引導式設定]
在應用程式設定的資料列右側，選取 [掛鎖]
停用 strict 模式之後，您無法使用精靈進行變更。 不過，與已發佈應用程式執行個體相關聯的 BIG-IP 物件會解除鎖定以進行管理。
請使用下列指示來協助疑難排解問題。
使用 BIG-IP 記錄來隔離與連線能力、SSO、原則違規或變數對應設定錯誤的問題。 提高記錄詳細程度層級。
導覽至 [存取原則 > 概觀 > 事件記錄檔]
選取 [設定]
選取已發佈應用程式的資料列。
選取 [編輯 > 存取系統記錄]
從 SSO 清單中，選取 [偵錯]
選取 [確定]
重現問題。
檢查記錄。
還原設定變更，因為詳細資訊模式會產生過多的資料。
如果 BIG-IP 錯誤出現在 Microsoft Entra 預先驗證之後，則問題可能與 Microsoft Entra ID 和 BIG-IP SSO 有關。
瀏覽至「存取 > 概觀」。
選取 [存取報告]
執行過去一小時的報告。
檢閱記錄以取得線索。
使用工作階段 [檢視工作階段]
如果沒有顯示 BIG-IP 錯誤頁面，則問題可能與後端要求或 BIG-IP 和應用程式 SSO 相關。
瀏覽至 [存取原則 > 概觀]
選取 [作用中工作階段]
選取作用中工作階段的連結。
使用 [檢視變數]
深入了解：
請移至 devcentral.f5.com，參閱 APM 變數指派範例
請移至 techdocs.f5.com，參閱手冊章節：工作階段變數
使用下列 bash 殼層命令來驗證 LDAP 查詢的 APM 服務帳戶。 命令會驗證和查詢使用者物件。
深入了解：
請移至 [K11072 的 support.f5.com：設定 AD 的 LDAP 遠端驗證]
請移至 techdocs.f5.com，參閱 [手冊章節：LDAP 查詢]
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请联系我们，一经查实，本站将立刻删除。
如需转载请保留出处：https://51itzy.com/kjqy/201422.html