Tutoriel : Configurer F5 BIG-IP Easy Button pour l’authentification unique à Oracle EBS

Apprenez à sécuriser Oracle E-Business Suite (EBS) avec Microsoft Entra ID à l’aide de la configuration guidée de F5 BIG-IP Easy Button. L'intégration d'un BIG-IP avec Microsoft Entra ID présente de nombreux avantages :

• Gouvernance Confiance Zéro améliorée via une pré-authentification Microsoft Entra et un accès conditionnel
  • Consultez Qu’est-ce que l’accès conditionnel ?
  • Consultez Sécurité Confiance Zéro
• Authentification unique complète entre Microsoft Entra ID et les services publiés par BIG-IP
• Identités gérés et accès à partir d’un seul plan de contrôle
  • Consultez le Centre d’administration Microsoft Entra

En savoir plus :

• Intégrer F5 BIG-IP à Microsoft Entra ID
• Activer l’authentification unique pour une application d’entreprise

Description du scénario

Ce scénario aborde l’application Oracle EBS qui utilise des en-têtes d’autorisation HTTP pour gérer l’accès au contenu protégé.

Les applications héritées ne disposent pas de protocoles modernes pour prendre en charge l’intégration de Microsoft Entra. Coûteuse et chronophage, la modernisation présente un risque de temps d’arrêt. Au lieu de cela, utilisez un contrôleur de remise d’application (ADC) F5 BIG-IP pour combler le manque entre les applications héritées et le plan de contrôle d’ID moderne, avec la transition de protocole.

BIG-IP devant l’application permet de superposer le service avec la pré-authentification Microsoft Entra et l’authentification unique basée sur l’en-tête. Cette configuration améliore l’état de la sécurité des applications.

Architecture du scénario

La solution d’accès hybride sécurisé (SHA) est constituée des composants suivants :

• Application Oracle EBS : service publié BIG-IP assurant la protection par SHA Microsoft Entra
• Microsoft Entra ID – Fournisseur d'identité (IdP) Security Assertion Markup Language (SAML) qui vérifie les informations d’identification d’utilisateur, l'accès conditionnel et l'authentification unique basée sur SAML sur le BIG-IP
  • Avec l’authentification unique, Microsoft Entra ID fournit des attributs de session à BIG-IP
• annuaire Internet Oracle (OID) : héberge la base de données utilisateur
  • BIG-IP vérifie les attributs d’autorisation avec LDAP
• Oracle E-Business Suite AccessGate : valide les attributs d’autorisation avec le service OID, puis émet des cookies d’accès EBS
• BIG-IP : proxy inverse et fournisseur de services SAML pour l’application
  • L’authentification est déléguée au fournisseur d’identité SAML, puis l’authentification unique basée sur l’en-tête à l’application Oracle se produit

SHA prend en charge les flux initiés par le fournisseur de services et le fournisseur d’identité. Le diagramme suivant montre le flux lancé par le fournisseur de services.

1. L’utilisateur se connecte au point de terminaison d’application (BIG-IP).
2. La stratégie d’accès APM BIG-IP redirige l’utilisateur vers Microsoft Entra ID (Fournisseur d’identité SAML).
3. Microsoft Entra pré-authentifie l’utilisateur et applique les stratégies d’accès conditionnel.
4. L’utilisateur est redirigé vers BIG-IP (SP SAML) et l’authentification unique s’effectue à l’aide du jeton SAML émis.
5. BIG-IP effectue une requête LDAP pour l’attribut ID unique (UID) de l’utilisateur.
6. BIG-IP injecte l’attribut UID renvoyé comme en-tête user_orclguid dans la demande de cookie de session Oracle EBS à Oracle AccessGate.
7. Oracle AccessGate valide l’UID par rapport au service OID et émet un cookie d’accès Oracle EBS.
8. En-têtes de l’utilisateur Oracle EBS et cookies envoyés à l’application pour renvoyer la charge utile à l’utilisateur.

Prérequis

Vous avez besoin des composants suivants :

• Un abonnement Azure
  • Si vous n’en avez pas déjà un, procurez-vous un compte Azure gratuit
• Un rôle Administrateur d’application cloud ou Administrateur d’application.
• Un BIG-IP, ou déployez BIG-IP Virtual Edition (VE) dans Azure
  • Consultez Déployer une machine virtuelle F5 BIG-IP Virtual Edition sur Azure
• L’une des références SKU de licence F5 BIG-IP suivantes :
  • Meilleur regroupement F5 BIG-IP®
  • Licence autonome F5 BIG-IP Access Policy Manager™ (APM)
  • Licence de composant additionnel F5 BIG-IP Access Policy Manager™ (APM) sur une instance de BIG-IP F5 BIG-IP® Local Traffic Manager™ (LTM)
  • Essai de 90 jours des fonctionnalités complètes de BIG-IP. Consultez Essais gratuits.
• Identités utilisateur synchronisées à partir d’un annuaire local vers Microsoft Entra ID
  • Voir Microsoft Entra Connect Sync : comprendre et personnaliser la synchronisation
• Un certificat SSL pour publier des services sur HTTPS, ou utilisez les certificats par défaut lors des tests
  • Consultez Profil SSL
• Oracle EBS, Oracle AccessGate et Oracle Internet Database (OID) compatible LDAP

Méthode de configuration BIG-IP

Ce tutoriel utilise le modèle Easy Button version 16.1 de la configuration guidée. Grâce à l’Easy Button, les administrateurs n’ont plus à faire des allers-retours pour activer les services pour SHA. L’Assistant de configuration guidée d’APM et Microsoft Graph gèrent les déploiements et les stratégies. Cette intégration garantit que les applications prennent en charge la fédération des identités, l’authentification unique et l’accès conditionnel, ce qui réduit la surcharge administrative.

Inscrire l’Easy Button

Avant qu’un client ou un service accède à Microsoft Graph, la plateforme d’identités Microsoft doit l’approuver.

En savoir plus : Démarrage rapide : Inscrire une application avec la plateforme d’identités Microsoft

Créez une inscription d’application client qui autorise l’accès d’Easy Button à Graph. BIG-IP envoie les configurations pour établir une relation d’approbation entre une instance SP SAML pour une application publiée et Microsoft Entra ID en tant que fournisseur d’identité SAML.

1. Connectez-vous au Centre d’administration Microsoft Entra au minimum en tant qu’Administrateur d’application cloud.

2. Accédez à Identité>Applications>Inscriptions d’applications>Nouvelle inscription.

3. Saisissez le nom d’une application. Par exemple, F5 BIG-IP Easy Button.

4. Spécifiez qui peut utiliser l’application >Comptes dans cet annuaire organisationnel uniquement.

5. Sélectionnez Inscrire.

6. Accédez à Autorisations de l’API.

7. Autorisez les autorisations d’application Microsoft Graph suivantes :

   • Application.Read.All
   • Application.ReadWrite.All
   • Application.ReadWrite.OwnedBy
   • Directory.Read.All
   • Group.Read.All
   • IdentityRiskyUser.Read.All
   • Policy.Read.All
   • Policy.ReadWrite.ApplicationConfiguration
   • Policy.ReadWrite.ConditionalAccess
   • User.Read.All

8. Accorder le consentement administrateur pour votre organisation.

9. Accédez à Certificats et secrets.

10. Générez une nouvelle clé secrète client. Notez la clé secrète client.

11. Accédez à Vue d’ensemble. Notez l’ID client et l’ID de locataire.

Configurer Easy Button

1. Lancez la configuration guidée d’APM.

2. Démarrez le modèle Easy Button.

3. Accédez à Accès > Configuration guidée > Intégration Microsoft.

4. Sélectionnez Application Microsoft Entra.

5. Passez en revue les options de configuration.

6. Sélectionnez Suivant.

7. Utilisez le graphique pour publier votre application.

   

Configuration des propriétés

L’onglet Propriétés de la configuration crée une configuration d’application BIG-IP et un objet d’authentification unique. La section Détails du compte de service Azure représente le client que vous avez inscrit dans votre client Microsoft Entra en tant qu’application. Grâce à ces paramètres, un client OAuth BIG-IP inscrit un fournisseur de services SAML dans votre client avec des propriétés d’authentification unique. Easy Button effectue cette action pour les services BIG-IP publiés et activés pour SHA.

Pour réduire le temps et les efforts nécessaires, réutilisez les paramètres globaux pour publier d’autres applications.

1. Saisissez un Nom de configuration.
2. Pour Authentification unique (SSO) et en-têtes HTTP, sélectionnez Activé.
3. Pour ID Locataire, ID client et Clé secrète client, saisissez les éléments notés lors de l’inscription du client Easy Button.
4. Vérifiez que BIG-IP se connecte à votre client.
5. Sélectionnez Suivant.

Fournisseur de services

Utilisez les paramètres du fournisseur de services pour les propriétés de l’instance du fournisseur de services SAML de l’application protégée.

1. Pour Host (Hôte), saisissez le nom de domaine complet public de l’application.

2. Pour Entity ID (ID d’entité), saisissez l’identifiant que Microsoft Entra ID utilise pour le fournisseur de services SAML qui demande un jeton.

   

3. (Facultatif) Dans Paramètres de sécurité, sélectionnez ou désactivez l’option Activer l’assertion chiffrée. Le chiffrement des assertions entre Microsoft Entra ID et l’APM BIG-IP garantit que le contenu des jetons ne peut pas être intercepté et que ni les données personnelles ni les données professionnelles ne peuvent être compromises.

4. Dans la liste Clé privée de déchiffrement d’assertion, sélectionnez Créer

   

5. Sélectionnez OK.

6. La boîte de dialogue Importer un certificat et des clés SSL s’ouvre dans un nouvel onglet.

7. Sélectionnez PKCS 12 (IIS).

8. Le certificat et la clé privée sont importés.

9. Fermez l’onglet du navigateur pour revenir à l’onglet principal.

   

10. Sélectionnez Activer l’assertion chiffrée.

11. Quand le chiffrement est activé, dans la liste Assertion Decryption Private Key (Clé privée de déchiffrement des assertions), sélectionnez la clé privée de certificat que l’APM BIG-IP utilise pour déchiffrer les assertions Microsoft Entra.

12. Quand le chiffrement est activé, dans la liste Assertion Decryption Certificate (Certificat de déchiffrement des assertions), sélectionnez le certificat que BIG-IP charge dans Microsoft Entra ID pour chiffrer les assertions SAML émises.

    

Microsoft Entra ID

Easy Button fournit des modèles d’applications pour Oracle PeopleSoft, Oracle E-business Suite, Oracle JD Edwards, SAP ERP et un modèle SHA générique. La capture d’écran suivante est l’option Oracle E-Business Suite sous Configuration Azure.

1. Sélectionnez Oracle E-Business Suite.
2. Sélectionnez Ajouter.

Configuration d’Azure

1. Saisissez le nom complet de l’application que crée BIG-IP dans votre client Microsoft Entra et l’icône dans MyApps.

2. Dans Sign On URL (optional) URL d’authentification (facultatif), saisissez le nom de domaine complet public de l’application EBS.

3. Saisissez le chemin d’accès par défaut de la page d’accueil Oracle EBS.

4. En regard des options Clé de signature et Certificat de signature, sélectionnez l’icône d’actualisation.

5. Recherchez le certificat que vous avez importé.

6. Dans La phrase secrète de la clé de signature, saisissez le mot de passe du certificat.

7. (Facultatif) Activez l’option Option de signature. Cette option garantit que BIG-IP accepte les jetons et les revendications signés par Microsoft Entra ID.

   

8. Dans la section Utilisateur et groupes d’utilisateurs, ajoutez un utilisateur ou un groupe pour les tests ; sinon, tous les accès sont refusés. Les utilisateurs et groupes d’utilisateurs sont interrogés de manière dynamique à partir du client Microsoft Entra pour autoriser l’accès à l’application.

   

Attributs utilisateur et revendications

Quand un utilisateur s’authentifie, Microsoft Entra ID émet un jeton SAML avec des revendications et des attributs par défaut qui identifient cet utilisateur. L’onglet Attributs utilisateur et revendications contient les revendications par défaut à émettre pour la nouvelle application. Utilisez cette zone pour configurer d’autres revendications. Si nécessaire, ajoutez des attributs Microsoft Entra. Toutefois, le scénario Oracle EBS nécessite les attributs par défaut.

Attributs utilisateur supplémentaires

L’onglet Attributs utilisateur supplémentaires prend en charge les systèmes distribués nécessitant des attributs stockés dans des annuaires pour l’augmentation de la session. Les attributs récupérés à partir d’une source LDAP sont injectés sous forme d’en-têtes SSO supplémentaires pour contrôler l’accès en fonction des rôles, l’ID de partenaire, etc.

1. Activez l’option Paramètres avancés.

2. Cochez la case Attributs LDAP.

3. Dans Choisir un serveur d’authentification, sélectionnez Créer.

4. En fonction de votre configuration, sélectionnez Utiliser un pool ou Direct comme mode de connexion serveur pour l’adresse du serveur du service LDAP cible. Dans le cas d’un serveur LDAP unique, sélectionnez Direct.

5. Pour Port de service, saisissez 3060 (port par défaut), 3161 (port sécurisé) ou un autre port pour le service LDAP Oracle.

6. Saisissez un nom unique de recherche de base. Utilisez le nom unique (DN) pour rechercher des groupes dans un annuaire.

7. Pour Admin DN (Nom unique d’administration), saisissez le nom unique de compte qu’APM utilise pour authentifier les requêtes LDAP.

8. Pour Mot de passe d’administration, saisissez le mot de passe correspondant.

   

9. Conservez les attributs de schéma LDAP par défaut.

   

10. Dans la section Propriétés de la requête LDAP, pour Search Dn (Nom unique de recherche), saisissez le nœud de base du serveur LDAP pour la recherche d’objets utilisateur.

11. Dans la zone Attributs obligatoires, saisissez le nom d’attribut de l’objet utilisateur à retourner à partir de l’annuaire LDAP. Pour EBS, la valeur par défaut est orclguid.

    

Stratégie d’accès conditionnel

Les stratégies d’accès conditionnel contrôlent l’accès en fonction de l’appareil, de l’application, de la localisation et des signaux de risque. Les stratégies sont appliquées après la pré-authentification Microsoft Entra. La vue Stratégies disponibles contient les stratégies d’accès conditionnel sans action de l’utilisateur. La vue Stratégies sélectionnées contient les stratégies pour les applications cloud. Vous ne pouvez pas désélectionner ces stratégies ni les déplacer vers les stratégies disponibles, car elles sont appliquées au niveau du client.

Pour sélectionner une stratégie pour l’application à publier :

1. Dans la liste Stratégies disponibles, sélectionnez une stratégie.

2. Sélectionnez la flèche droite.

3. Déplacez la stratégie vers Stratégies sélectionnées.

   Remarque

   L’option Inclure ou Exclure est sélectionnée pour certaines stratégies. Si les deux options sont activées, la stratégie n’est pas appliquée.

   

   Remarque

   Sélectionnez l’onglet Stratégie d’accès conditionnel, qui affiche la liste des stratégies. Sélectionnez Actualiser et l’Assistant interroge votre client. L’option d’actualisation s’affiche pour les applications déployées.

Propriétés du serveur virtuel

Un serveur virtuel est un objet du plan de données BIG-IP représenté par une adresse IP virtuelle à l’écoute des demandes des clients d’application. Le trafic reçu est traité et évalué par rapport au profil APM associé au serveur virtuel. Le trafic est ensuite dirigé conformément à la stratégie.

1. Saisissez une adresse de destination, une adresse IPv4 ou IPv6 utilisée par BIG-IP pour recevoir le trafic client. Un enregistrement correspondant doit exister dans DNS afin de permettre aux clients de résoudre l’URL externe de l’application BIG-IP publiée en l’adresse IP. Utilisez un DNS localhost d’ordinateur de test pour les tests.

2. Pour Port de service, saisissez 443, puis sélectionnez HTTPS.

3. Sélectionnez Activer le port de redirection.

4. Pour Port de redirection, saisissez 80, puis sélectionnez HTTP. Cette action redirige le trafic entrant du client HTTP vers HTTPS.

5. Sélectionnez le profil SSL client que vous avez créé, ou laissez la valeur par défaut pendant les tests. Le profil SSL client active le serveur virtuel pour HTTPS. Les connexions clientes sont chiffrées via TLS.

   

Propriétés du pool

L’onglet Pool d'applications a des services derrière BIG-IP, un pool avec un ou plusieurs serveurs d’application.

1. Pour Sélectionner un pool, sélectionnez Créer ou sélectionnez une autre option.

2. Pour Méthode d’équilibrage de charge, sélectionnez Tournoi toutes rondes.

3. Sous Serveurs de pool, sélectionnez et saisissez une adresse IP/nom de nœud et un port pour les serveurs hébergeant Oracle EBS.

4. Sélectionnez HTTPS.

   

5. Sous Pool de portes d’accès, confirmez le sous-chemin de porte d’accès.

6. Pour Serveurs de pool, sélectionnez et saisissez une adresse IP/nom de nœud et un port pour les serveurs hébergeant Oracle EBS.

7. Sélectionnez HTTPS.

   

Authentification unique et en-têtes HTTP

L’Assistant Easy Button prend en charge Kerberos, OAuth Bearer et les en-têtes d’autorisation HTTP pour l’authentification unique pour les applications publiées. Activez les en-têtes HTTP, car l’application Oracle EBS attend des en-têtes.

1. Dans la section Authentification unique et en-têtes HTTP, sélectionnez En-têtes HTTP.

2. Pour Opération d’en-tête, sélectionnez remplacer.

3. Pour Nom de l’en-tête, saisissez USER_NAME.

4. Pour Valeur de l’en-tête, saisissez %{session.sso.token.last.username}.

5. Pour Opération d’en-tête, sélectionnez remplacer.

6. Pour Nom de l’en-tête, saisissez USER_ORCLGUID.

7. Pour Valeur de l’en-tête, saisissez %{session.ldap.last.attr.orclguid}.

   

   Remarque

   Les variables de session APM entre accolades respectent la casse.

Gestion des sessions

Utilisez BIG-IP Session Management pour définir des conditions d’arrêt ou de continuation des sessions utilisateur.

Pour en savoir plus, accédez à support.f5.com et consultez K18390492 : Sécurité | Guide des opérations BIG-IP APM

La fonctionnalité Single Log-Out (SLO) garantit que les sessions entre le fournisseur d’identité, BIG-IP et l’agent utilisateur se terminent lorsque les utilisateurs se déconnectent. Quand Easy Button instancie une application SAML dans votre client Microsoft Entra, il remplit l’URL de déconnexion avec le point de terminaison APM SLO. De cette façon, les déconnexions initiées par le fournisseur d’identité à partir du portail Mes applications mettent également fin à la session entre BIG-IP et le client.

Consultez Mes applications Microsoft

Les métadonnées de fédération SAML pour l’application publiée sont importées à partir du client. Cette action fournit à APM le point de terminaison de déconnexion SAML pour Microsoft Entra ID. Ensuite, la déconnexion initiée par le fournisseur de services met fin à la session du client et Microsoft Entra. Vérifiez qu’APM sait quand un utilisateur se déconnecte.

Si vous utilisez le portail webtop BIG-IP pour accéder aux applications publiées, APM traite une déconnexion pour appeler le point de terminaison de déconnexion Microsoft Entra. Si vous n’utilisez pas le portail webtop BIG-IP, l’utilisateur ne peut pas demander à APM de se déconnecter. Si l’utilisateur se déconnecte de l’application, BIG-IP n’en a pas connaissance. Vérifiez que la déconnexion initiée par le fournisseur de services déclenche l’arrêt des sessions sécurisées. Ajoutez une fonction SLO au bouton de déconnexion des applications pour rediriger le client vers le point de terminaison de déconnexion Microsoft Entra SAML ou BIG-IP. Recherchez l’URL du point de terminaison de déconnexion SAML de votre client dans Inscriptions d’applications > Points de terminaison.

Si vous ne pouvez pas modifier l’application, faites en sorte que BIG-IP écoute l’appel de déconnexion d’application et déclenche SLO.

En savoir plus :

• PeopleSoft SLO Logout
• Accédez à support.f5.com pour consulter l’article :
  • K42052145 : Configuration de l’arrêt automatique de session (déconnexion) en fonction d’un nom de fichier référencé par un URI
  • K12056 : Vue d’ensemble de l’option Inclure l’URI de déconnexion

Déployer

1. Sélectionnez Déployer pour valider les paramètres.
2. Vérifiez que l’application apparaît dans la liste des applications d’entreprise du client.

Test

1. À partir d’un navigateur, connectez-vous à l’URL externe de l’application Oracle EBS ou sélectionnez l’icône de l’application dans Mes applications.
2. Authentifiez-vous auprès de Microsoft Entra ID.
3. Vous êtes redirigé vers le serveur virtuel BIG-IP de l'application et connecté par SSO.

Pour renforcer la sécurité, bloquez l’accès direct à l’application de manière à forcer l’adoption d’un chemin d’accès par le biais de BIG-IP.

Déploiement avancé

Parfois, les modèles de configuration guidée manquent de flexibilité pour répondre aux exigences.

En savoir plus : Tutoriel : Configurer F5 BIG-IP Access Policy Manager pour l'authentification unique basée sur l'en-tête.

Modifier manuellement les configurations

Dans BIG-IP, vous pouvez également désactiver le mode de gestion stricte de configuration guidée pour modifier manuellement les configurations. Les modèles de l’Assistant automatisent la plupart des configurations.

1. Accédez à Accès > Configuration guidée.

2. À l’extrémité droite de la ligne correspondant à la configuration de votre application, sélectionnez l’icône de cadenas.

   

Une fois que vous avez désactivé le mode strict, vous ne pouvez plus apporter de modifications à l’aide de l’Assistant. Toutefois, les objets BIG-IP associés à l’instance publiée de l’application sont ouverts à la gestion.

Dépannage

Utilisez les instructions suivantes pour résoudre les problèmes.

Augmenter la verbosité du journal

Utilisez la journalisation BIG-IP pour isoler toutes sortes de problèmes liés à la connectivité, à l’authentification unique, aux violations de stratégies ou aux mappages de variables mal configurés. Augmentez le niveau de verbosité du journal.

1. Accédez à Stratégie d’accès > Vue d'ensemble > Journaux d'événements.
2. Sélectionnez Paramètres.
3. Sélectionnez la ligne correspondant à votre application publiée.
4. Sélectionnez Modifier > Journaux système d’accès.
5. Dans la liste de l’authentification unique, sélectionnez Déboguer.
6. Sélectionnez OK.
7. Reproduisez le problème.
8. Inspectez les journaux d'activité.

Rétablissez les modifications des paramètres, car le mode détaillé génère des données excessives.

Message d’erreur BIG-IP

Si une erreur BIG-IP apparaît après la pré-authentification Microsoft Entra, le problème peut être lié à l’authentification unique Microsoft Entra ID et BIG-IP.

1. Accédez à **Accès > Vue d’ensemble.
2. Sélectionnez Rapports d’accès.
3. Exécutez le rapport pour la dernière heure.
4. Passez en revue les journaux à la recherche d’indices.

Utilisez le lien Afficher la session pour votre session pour vérifier qu’APM reçoit les revendications Microsoft Entra attendues.

Aucun message d’erreur BIG-IP

Si aucune page d’erreur BIG-IP ne s’affiche, le problème peut être lié à la requête back-end ou à l’authentification unique entre BIG-IP et l’application.

1. Accédez à Stratégie d’accès > Vue d'ensemble.
2. Sélectionnez Sessions actives.
3. Sélectionnez le lien correspondant à votre session active.

Utilisez le lien View Variables (Afficher les variables) pour examiner les problèmes d’authentification unique, en particulier si l’APM BIG-IP n’obtient pas les attributs corrects de Microsoft Entra ID ou d’une autre source.

En savoir plus :

• Accédez au site devcentral.f5.com pour obtenir des exemples d’affectation de variables APM
• Accédez à techdocs.f5.com et consultez Manual Chapter: Session Variables

Valider le compte de service APM

Utilisez la commande suivante de l’interpréteur de commandes pour valider le compte de service APM pour les requêtes LDAP. La commande authentifie et interroge les objets utilisateur.

ldapsearch -xLLL -H 'ldap://192.168.0.58' -b "CN=oraclef5,dc=contoso,dc=lds" -s sub -D "CN=f5-apm,CN=partners,DC=contoso,DC=lds" -w 'P@55w0rd!' "(cn=testuser)"

En savoir plus :

• Accédez à support.f5.com pour consulter l’article K11072 : Configuration de l’authentification à distance LDAP pour AD
• Accédez à techdocs.f5.com pour consulter Manual Chapter: LDAP Query