LDAP AzureAD/ EntraID integratie

Inhoud

1. Mogelijke koppelingen. 3

1.1. CardAccess 4000 mogelijkheden. 3

1.2. Opmerking: 3

2. LDAP. 4

2.1. Belangrijke opmerkingen. 4

2.2. Active Directory. 4

3. LDAP Single Sign-On. 5

3.1. Belangrijke opmerkingen. 5

3.2. Instellen. 5

3.3. AD-authenticatiemodus configureren. 6

3.4. AD-autorisatiemodus configureren. 8

4. Active Directory kaart importeren. 11

4.1. Belangrijke opmerkingen. 11

4.2. AD kaart importeren configureren....... 12

4.2.1. AD-gebruikersintegratie mogelijk maken. 13

4.2.2. Integratie-interval 13

4.2.3. AD Leesbevoegdheid. 13

4.2.4. AD-groepslijst laden. 13

4.2.5. Active Directory velden map. 13

4.2.6. Opmerkingen. 14

4.2.7. CA4K veld naam dropdownlijst 14

4.2.8. Active Directory veld namen (Attributes) keuzelijst 14

4.2.9. Synchroniseer AD nu. 14

4.2.10. Logbestanden voor probleemoplossing. 14

5. Azure/Entra AD Authenticatie. 15

5.1. Belangrijke opmerkingen. 15

6. Azure AD/Entra ID configuratie. 16

6.1. Belangrijke opmerkingen. 16

6.2. Azure omgeving instellen. 16

6.3. Voeg nieuwe klantgegevens toe en haal het client secret op. 18

6.4. Stel App API permissions in. 21

6.5. App-overzicht om Client-ID en Tenant ID te krijgen. 23

6.6. Nieuwe gebruiker op Azure AD/Entra ID. 24

6.7. Test nieuwe gebruikerslogin op AzureAD. 25

6.8. AzureAD-authenticatie programmeren in CA4K: 27

6.9. Test nieuwe gebruikerslogin op CA4K: 27

 

1. Mogelijke koppelingen

1.1. CardAccess 4000 mogelijkheden

-       Mogelijkheid om te koppelen met AD. Dit zorgt ervoor dat je met je Windows Account tevens in CardAccess kunt inloogen (Single SignOn).

-      Mogelijkheid om gebruikers te synchroniseren wat inhoudt dat een nieuwe Windows gebruiker automatisch als kaarthouder in CardAccess verschijnt met de juiste toegangsrechten.

-      Mogelijkheid om te koppelen met Azure / Entra ID Authenticatiefunctie (Identity Provider).

-      Mogelijkheid om Multi Factor Authenticatie (MFA) toe te passen.

 

1.2. Opmerking:

Er kan slechts één authenticatietype tegelijk worden ingeschakeld (MFA, LDAP of Identity Provider).

 

2. LDAP

2.1. Belangrijke opmerkingen

 

In V1.2.x en later moet LDAP Single Sign-On en AD Badge Import geconfigureerd worden onder het tabblad System>Systeeminstellingen>Systeem instellingen>Identity provider

De LDAP-opties in de CA4K bieden de volgende functionaliteit: Single Sign-On en Active Directory Badge Import.

Als de LDAP-instellingen voorkomen dat CA4K wordt gestart en niet wil inloggen, MOETEN de LDAP-instellingen worden GERESET in de CA4K DBUtilities.

Single Sign-On wordt niet ondersteund op de Web Client.

Single Sign-On wordt niet ondersteund in de CA4K Mobile App

 

2.2. Active Directory

Wat is Active Directory?  Active Directory is een directoryservice die Microsoft heeft ontwikkeld voor de Windows-domeinnetwerken. Het is opgenomen in de meeste Windows Server-besturingssystemen, als een verzameling processen en services. In Active Directory wordt alles als een object beschouwd en bevat elk AD-object objectattributen. Alle Actie Directory-objecten hebben attributen die unieke of meerdere waarden aannemen. Deze waarden beschrijven de objectkenmerken. Een gebruikersobject in Active Directory heeft bijvoorbeeld attributen zoals zijn voornaam, tweede naam, Managernaam, enzovoort.

De volgende pagina's leggen uit over LDAP Single Sign-On en import van AD Badge.

 

3. LDAP Single Sign-On

3.1. Belangrijke opmerkingen

 

Het configureren van LDAP Single Sign-On vereist een ervaren Active Directory-beheerder om Active Directory-groepen en andere administratieve functies aan te maken. 

Om de LDAP-autorisatiemodus te gebruiken, moet een Active Directory-beheerder een Active Directory-groep aanmaken met de Windows-gebruiker erin.

 

Opmerking: LDAPS wordt ondersteund, vergelijkbaar met HTTPS. Je moet SSL toepassen op de LDAP-server en LDAPS invoeren in de CA4k voor de LDAPS-URL.

3.2. Instellen

 

Klik op  het tabblad Systeem>Systeeminstellingen>Systeem instellingen>Identity Provider>LDAP toont het onderstaande scherm.  

Opmerking: De bovenste helft van de LDAP-pagina is voor de Single Sign-On-functie. De onderste helft van de LDAP-pagina is voor de AD Badge Import-functie.

 

De volgende stappen leggen uit hoe je LDAP Single Sign-On configureert.

Er zijn twee modi en beide modi worden uitgelegd om automatisch in te loggen op CA4K.

3.3. AD-authenticatiemodus configureren   

Selecteer AD-authenticatie gebruiken.

Typ het pad van de Active Directory Server in.

           BELANGRIJK: Het pad moet beginnen met "LDAP://".

Klik op de knop Pad verifiëren . Dit zal het netwerkpad van de Active Directory-server verifiëren.

Bij het klikken op Pad verifiëren, als het lukt, toont een dialoogvenster "Het LDAP-pad is bevestigd".

  

 

BELANGRIJK: Tijdens het gebruik van de modus 'Gebruik AD Authenticatie'  moet de Windows-gebruiker als operator in de CA4K worden geconfigureerd.

In het onderstaande voorbeeld is 'csmith' de Windows-gebruiker:

3.4. AD-autorisatiemodus configureren

Selecteer AD authenticatie gebruiken.

Selecteer AD autorisatie gebruiken.

Typ het pad van de Active Directory Server in.

 Klik op de knop Pad verifiëren . Dit zal het netwerkpad van de Active Directory-server verifiëren.


Bij het klikken op Pad verifiëren, toont een dialoogvenster "Het LDAP-pad is bevestigd".

 

BELANGRIJK: Om de LDAP-autorisatiemodus te gebruiken, moet een Active Directory-beheerder een Active Directory-groep aanmaken met de Windows-gebruiker erin.

 

 

 

 

Tijdens gebruik van de Gebruik AD autorisatie moet de naam van de Windows-gebruiker Privilege Role overeenkomen met een naam van een Active Directory-groep op de Active Directory-server. In het onderstaande voorbeeld moet de  naam van de AD User-privilegerol (AD User) ook de naam zijn van een Active Directory-groep op de Active Directory-server.

Opmerking: In deze modus wordt de CA4K-operator automatisch toegevoegd aan de CA4K.

  

 

 

 

 

4. Active Directory kaart importeren

4.1. Belangrijke opmerkingen

Het configureren van AD Badge Import vereist een ervaren Active Directory-beheerder met de mogelijkheid om Active Directory-attributen te creëren en Active Directory-tools te gebruiken.

Om de AD Badge Import te gebruiken, moet deze worden ingeschakeld en geconfigureerd onder  het tabblad System>Systeeminstellingen>Systeem Instellingen >Identity Provider>LDAP

De AD kaart import instellingen staan in de onderste helft van het LDAP-scherm.

Om een AD kaart import uit te voeren, is een Active Directory-inloggegevens met leesrechten voor gebruikersgegevens en gerelateerde gegevens vereist.

Nieuwe AD-gebruikers of AD-gebruikers die verwijderd zijn, zullen niet direct synchroniseren. Ze synchroniseren op het ingestelde interval.

Een AD-beheerder heeft de mogelijkheid om extra Active Directory-attributen aan te maken zoals badge, projectcode, toegangsgroepen en andere benodigde attributen.

Als een badge-attribuut niet door de AD-beheerder in Active Directory wordt aangemaakt, moet het employeeid-attribuut  worden geconfigureerd met het badgenummer om te importeren.

Als een badge-attribuut wordt aangemaakt in Active Directory en gekoppeld in de CA4K, moet het badge-attribuut aan de Active Directory-kant worden gevuld met het badge-nummer.

·         Voordat je de AD Badge Import-functie configureert en uitvoert, moet je bepalen of je het fysieke badgenummer hebt of dat je een uniek personeelsnummer als tijdelijke functie gebruikt.

Als Access Groups-attributen worden aangemaakt in Active Directory en toegewezen in de CA4K, moeten ze worden gevuld met een waarde van 1 of hoger.

4.2. AD kaart importeren configureren

De belangrijkste functie van de AD kaart import is het automatisch synchroniseren van de detail- en badgenummers van een persoon van Active Directory naar de CA4K-software.

Zoals hierboven vermeld, is het erg belangrijk dat een ervaren Active Directory-beheerder de AD Import Badge-functie instelt. Het zal vereist zijn dat de AD-beheerder de vereiste AD-velden invult die aan de CA4K-velden moeten worden toegewezen. De beheerder heeft ook de mogelijkheid om extra AD-attributen aan te maken, zoals kaart, project code, toegangsgroepen en andere benodigde attributen voor hun applicatie.

 

 

4.2.1. AD-gebruikersintegratie mogelijk maken

Bij het inschakelen van de AD gebruikers integratie functie moet je het LDAP-pad configureren en verifiëren.

4.2.2. Integratie-interval

De integratie intervalopties zijn dagelijks om middernacht of wekelijks op zondagavond om middernacht. Naast geplande synchronisaties kun je ook  op elk moment handmatig synchroniseren door op de ‘knop Nu AD synchroniseren’ te klikken.   

4.2.3. AD Leesbevoegdheid

Op het AD kaart import scherm moet je een Active Directory-credential invoeren met leestoegang tot de velden in Active Directory, inclusief gebruikersgegevens en andere gerelateerde gegevens.

4.2.4. AD-groepslijst laden

Het  vak 'Laad AD groep-lijst’ biedt de mogelijkheid om één of meer Active Directory-groepen te selecteren. Deze groepen moeten GLOBAL SECURITY-groepen zijn in Active Directory.

Opmerking: Als je alleen een AD-gebruiker wilt synchroniseren die tot een van deze groepen behoort, moet je alleen die ene groep selecteren.

4.2.5. Active Directory velden map

Het AD velden map scherm bevat alle bedieningselementen om CA4K-velden toe te wijzen op overeenkomstige AD-velden (attributen).

Opmerking: De onderstaande velden zijn standaard toegewezen.

Voornaam Achternaam Tussenvoegsel Activeren Afdeling Bedrijf Supervisor Locatie SupervisorID Telefoon Laatst bijgewerkt

 

 

 

 

4.2.6. Opmerkingen

 

1) Als de Active Directory-beheerder een AD Kaart-attribuut aanmaakt, moet dit worden gekoppeld aan het CA4K-badge-veld in het mapping-scherm. Als er geen aangepaste badge-attribuut wordt aangemaakt, wordt het AD employeeid-veld automatisch gekoppeld en gesynchroniseerd met het CA4K-badgeveld.

Om het badge te importeren, moet er een nummer in het employeeid-veld staan. Het doel van deze functionaliteit is om een tijdelijk Badge Number te gebruiken als het fysieke badgenummer bij de eerste configuratie niet bekend is.     

2) Als de Active Directory-beheerder geen project code attribuut aanmaakt, zal de CA4K de project code Code standaard op 0 zetten.

3) Als andere velden worden gebruikt voor de AD-import, zoals toegangsgroepen, moet de Active Directory-beheerder ook deze extra AD-attributen aanmaken om deze toe te wijzen op de bijbehorende CA4K-velden.

4.2.7. CA4K veld naam dropdownlijst

De keuzelijst CA4K Veldennamen toont alle beschikbare CA4K-velden die aan een AD-veld kunnen worden gekoppeld.  

4.2.8. Active Directory veld namen (Attributes) keuzelijst

De Active Directory veld namen dropdownlijst toont alle beschikbare Active Directory-attributen die blootgesteld zijn en kunnen worden toegewezen. De attributen die in deze lijst worden vermeld, verschillen per systeem.

Om aangepaste attributen in deze lijst te laten weergeven, moeten er waarden aan deze worden toegekend onder het READ ONLY AD-CREDENTIAL dat wordt gebruikt om dit scherm te configureren.

4.2.9. Synchroniseer AD nu

De knop ‘Nu AD syncrhoniseren’ biedt de mogelijkheid om handmatig te synchroniseren.

4.2.10. Logbestanden voor probleemoplossing

 Na elke AD kaart import worden logbestanden aangemaakt in de Import\Log-map telkens wanneer de achtergrond AD-synchronisatie door de Data Pump Service wordt uitgevoerd.  (Bestandsnaam: ADImport_xxxxx.txt). Dit logbestand kan bekeken worden op eventuele fouten die zijn opgetreden. Naast het logbestand in de Log-map is er ook een bestand onder de PROCESSED-map dat alle records toont die vanuit Active Directory zijn verzonden.

 

5. Azure/Entra AD Authenticatie

5.1. Belangrijke opmerkingen

De Azure / Entra ID Authenticatiefunctie is beschikbaar in V1.2.x en later.

Er kan slechts één authenticatietype tegelijk worden ingeschakeld (MFA, LDAP of Identity Provider).

 

Azure Active Directory heet nu Microsoft Entra ID. Microsoft Entra ID is een cloudgebaseerde identiteitsoplossing die talrijke functionaliteiten biedt die van elke identiteitsoplossing nodig zijn. Voor sommigen is het verplicht om je identiteit naar de cloud te verplaatsen, voor bepaalde SaaS-applicaties of de functionaliteit ervan zou je iets kunnen willen gebruiken. Let op: accounts en identiteiten in de cloud plaatsen kan ook een beveiligingsrisico zijn voor bedrijven.  Raadpleeg Microsoft alstublieft over de functies en voordelen.

 

6. Azure AD/Entra ID configuratie

6.1. Belangrijke opmerkingen

 

De volgende stappen moeten worden uitgevoerd voordat AzureAD-authenticatie met CA4K wordt geconfigureerd.

6.2. Azure omgeving instellen

 

Klik op het linkermenu Identity > Overview.   Dit toont je standaard gegevens Klik op Toevoegen > App-registration

  

 

Vul de onderstaande gegevens in en registreer de nieuwe aanvraag

 

  

 

6.3. Voeg nieuwe klantgegevens toe en haal het client secret op

 

Ga naar  de detailpagina van App-registrations door op het linkermenu te klikken: Applications > App-registrations

Klik dan op All applications, klik op de CA4K-app

 

 

Klik nu op Certificates & secrets menu

 

 

 

 

  

Op de pagina Certificates & secrets klik je op New client secret en vul je de onderstaande gegevens in

 

 

 

Het toont je nieuw aangemaakte klantgegevens. Klik op het kopieer-icoon om de Secret ID te kopiëren  en op een veilige plek op te slaan.

Opmerking: je zult deze waarde de volgende keer niet kunnen zien of kopiëren.

 

 

 

6.4. Stel App API permissions in

 

 

Klik op API permissions en voeg een permission toe

  

Er verschijnt een pop-up, klik op Microsoft API's > Microsoft Graph

 

 

Klik op Delegated permissions

 

 

Zoek naar "User.ReadWrite", selecteer het selectievakje User.ReadWrite.All en druk op Add permissions

 

 

Deze toestemming wordt nu weergegeven op de lijst, klik op de link "Grant admin consent for" (je hebt beheerdersrechten nodig om admin-toestemming te verlenen).

Klik op "Ja" om toestemming van de beheerder te geven.  

 

 

6.5. App-overzicht om Client-ID en Tenant ID te krijgen

Ga naar het overzicht en kopieer je Application (cliënt)-ID en Directory (tenant)-ID

 

  

 

6.6. Nieuwe gebruiker op Azure AD/Entra ID

 

Ga naar het linkermenu Identity > Overview

Klik nu bovenaan op  het menu Add en vervolgens User en Create new user:

 

Vul de gebruikersgegevens in en klik op Next: Properties:

 

BELANGRIJK: Voer voor -en achternaam in. Deze velden zijn niet verplicht voor een Entra ID-gebruiker, maar voor de CA4K-gebruiker zijn ze wel verplicht.

Klik op de knop "Review + create" en maak het gebruikersaccount aan:

  

6.7. Test nieuwe gebruikerslogin op AzureAD

Open een andere browser en ga naar https://entra.microsoft.com

Voer het nieuwe gebruikers-e-mailadres en wachtwoord in

 

Werk je wachtwoord bij

  

Nu word je doorgestuurd naar het dashboard

 

 

6.8.   AzureAD-authenticatie programmeren in CA4K:

Om Azure/Entra ID-authenticatie te configureren, moet je de volgende configuratie-informatie invoeren in het CA4K-systeeminstellingenscherm.

Ga naar het menu: Systeem > Systeeminstellingen en klik op het  tabblad Systeem Instellingen

Klik op het  tabblad Identiteits provider, dan vind je een ander tabblad Identiteits provider

Selecteer AzureAD

 

Voer je door AzureAD geconfigureerde client-ID, client Secret en huurder ID in.

Rol-ID: als een gebruiker succesvol is geverifieerd in Azure maar die gebruiker niet bestaat in onze lokale CA4K-applicatie, zal ons systeem die gebruiker automatisch aanmaken en deze rol aan die gebruiker toewijzen. 

6.9. Test nieuwe gebruikerslogin op CA4K:

Als de nieuwe gebruiker succesvol is en kan inloggen op het Azure-portaal, zou die gebruiker ook moeten kunnen inloggen op de CA4K-applicatie