LDAP AzureAD/ EntraID integratie
Inhoud
1.1. CardAccess 4000 mogelijkheden
3.3. AD-authenticatiemodus configureren
3.4. AD-autorisatiemodus configureren
4. Active Directory kaart importeren
4.2. AD kaart importeren configureren
4.2.1. AD-gebruikersintegratie mogelijk maken
4.2.5. Active Directory velden map
4.2.7. CA4K veld naam dropdownlijst
4.2.8. Active Directory veld namen (Attributes) keuzelijst
4.2.10. Logbestanden voor probleemoplossing
5. Azure/Entra AD Authenticatie
6. Azure AD/Entra ID configuratie
6.3. Voeg nieuwe klantgegevens toe en haal het client secret op
6.4. Stel App API permissions in
6.5. App-overzicht om Client-ID en Tenant ID te krijgen
6.6. Nieuwe gebruiker op Azure AD/Entra ID
6.7. Test nieuwe gebruikerslogin op AzureAD
6.8. AzureAD-authenticatie programmeren in CA4K:
6.9. Test nieuwe gebruikerslogin op CA4K:
1. Mogelijke koppelingen
1.1. CardAccess 4000 mogelijkheden
- Mogelijkheid om te koppelen met AD. Dit zorgt ervoor dat je met je Windows Account tevens in CardAccess kunt inloogeninloggen (Single SignOn).
- Mogelijkheid om gebruikers te synchroniseren wat inhoudt dat een nieuwe Windows gebruiker automatisch als kaarthouder in CardAccess verschijnt met de juiste toegangsrechten.
- Mogelijkheid om te koppelen met Azure / Entra ID Authenticatiefunctie (Identity Provider).
- Mogelijkheid om Multi Factor Authenticatie (MFA) toe te passen.
1.2. Opmerking:
- Er kan slechts één authenticatietype tegelijk worden ingeschakeld (MFA, LDAP of Identity Provider).
2. LDAP
2.1. Belangrijke opmerkingen
- In V1.2.x en later moet LDAP Single Sign-On en AD Badge Import geconfigureerd worden onder het tabblad System>Systeeminstellingen>Systeem instellingen>Identity provider
- De LDAP-opties in de CA4K bieden de volgende functionaliteit: Single Sign-On en Active Directory Badge Import.
- Als de LDAP-instellingen voorkomen dat CA4K wordt gestart en niet wil inloggen, MOETEN de LDAP-instellingen worden GERESET in de CA4K DBUtilities.
- Single Sign-On wordt niet ondersteund op de Web Client.
- Single Sign-On wordt niet ondersteund in de CA4K Mobile App
2.2. Active Directory
Wat is Active Directory? Active Directory is een directoryservice die Microsoft heeft ontwikkeld voor de Windows-domeinnetwerken. Het is opgenomen in de meeste Windows Server-besturingssystemen, als een verzameling processen en services. In Active Directory wordt alles als een object beschouwd en bevat elk AD-object objectattributen. Alle Actie Directory-objecten hebben attributen die unieke of meerdere waarden aannemen. Deze waarden beschrijven de objectkenmerken. Een gebruikersobject in Active Directory heeft bijvoorbeeld attributen zoals zijn voornaam, tweede naam, Managernaam, enzovoort.
De volgende pagina's leggen uit over LDAP Single Sign-On en import van AD Badge.
3. LDAP Single Sign-On
3.1. Belangrijke opmerkingen
- Het configureren van LDAP Single Sign-On vereist een ervaren Active Directory-beheerder om Active Directory-groepen en andere administratieve functies aan te maken.
- Om de LDAP-autorisatiemodus te gebruiken, moet een Active Directory-beheerder een Active Directory-groep aanmaken met de Windows-gebruiker erin.
Opmerking: LDAPS wordt ondersteund, vergelijkbaar met HTTPS. Je moet SSL toepassen op de LDAP-server en LDAPS invoeren in de CA4k voor de LDAPS-URL.
3.2. Instellen
- Klik op het tabblad Systeem>Systeeminstellingen>Systeem instellingen>Identity Provider>LDAP toont het onderstaande scherm.
Opmerking: De bovenste helft van de LDAP-pagina is voor de Single Sign-On-functie. De onderste helft van de LDAP-pagina is voor de AD Badge Import-functie.
De volgende stappen leggen uit hoe je LDAP Single Sign-On configureert.
Er zijn twee modi en beide modi worden uitgelegd om automatisch in te loggen op CA4K.
3.3. AD-authenticatiemodus configureren
- Selecteer AD-authenticatie gebruiken.
- Typ het pad van de Active Directory Server in.
BELANGRIJK: Het pad moet beginnen met "LDAP://".
- Klik op de knop Pad verifiëren . Dit zal het netwerkpad van de Active Directory-server verifiëren.
Bij het klikken op Pad verifiëren, als het lukt, toont een dialoogvenster "Het LDAP-pad is bevestigd".
BELANGRIJK: Tijdens het gebruik van de modus 'Gebruik AD Authenticatie' moet de Windows-gebruiker als operator in de CA4K worden geconfigureerd.
In het onderstaande voorbeeld is 'csmith' de Windows-gebruiker:
3.4. AD-autorisatiemodus configureren
- Selecteer AD authenticatie gebruiken.
- Selecteer AD autorisatie gebruiken.
- Typ het pad van de Active Directory Server in.
- Klik op de knop Pad verifiëren . Dit zal het netwerkpad van de Active Directory-server verifiëren.
Bij het klikken op Pad verifiëren, toont een dialoogvenster "Het LDAP-pad is bevestigd".
BELANGRIJK: Om de LDAP-autorisatiemodus te gebruiken, moet een Active Directory-beheerder een Active Directory-groep aanmaken met de Windows-gebruiker erin.
Tijdens gebruik van de Gebruik AD autorisatie moet de naam van de Windows-gebruiker Privilege Role overeenkomen met een naam van een Active Directory-groep op de Active Directory-server. In het onderstaande voorbeeld moet de naam van de AD User-privilegerol (AD User) ook de naam zijn van een Active Directory-groep op de Active Directory-server.
Opmerking: In deze modus wordt de CA4K-operator automatisch toegevoegd aan de CA4K.
4. Active Directory kaart importeren
4.1. Belangrijke opmerkingen
- Het configureren van AD Badge Import vereist een ervaren Active Directory-beheerder met de mogelijkheid om Active Directory-attributen te creëren en Active Directory-tools te gebruiken.
- Om de AD Badge Import te gebruiken, moet deze worden ingeschakeld en geconfigureerd onder het tabblad System>Systeeminstellingen>Systeem Instellingen >Identity Provider>LDAP
- De AD kaart import instellingen staan in de onderste helft van het LDAP-scherm.
- Om een AD kaart import uit te voeren, is een Active Directory-inloggegevens met leesrechten voor gebruikersgegevens en gerelateerde gegevens vereist.
- Nieuwe AD-gebruikers of AD-gebruikers die verwijderd zijn, zullen niet direct synchroniseren. Ze synchroniseren op het ingestelde interval.
- Een AD-beheerder heeft de mogelijkheid om extra Active Directory-attributen aan te maken zoals badge, projectcode, toegangsgroepen en andere benodigde attributen.
- Als een badge-attribuut niet door de AD-beheerder in Active Directory wordt aangemaakt, moet het employeeid-attribuut worden geconfigureerd met het badgenummer om te importeren.
- Als een badge-attribuut wordt aangemaakt in Active Directory en gekoppeld in de CA4K, moet het badge-attribuut aan de Active Directory-kant worden gevuld met het badge-nummer.
· Voordat je de AD Badge Import-functie configureert en uitvoert, moet je bepalen of je het fysieke badgenummer hebt of dat je een uniek personeelsnummer als tijdelijke functie gebruikt.
- Als Access Groups-attributen worden aangemaakt in Active Directory en toegewezen in de CA4K, moeten ze worden gevuld met een waarde van 1 of hoger.
4.2. AD kaart importeren configureren
De belangrijkste functie van de AD kaart import is het automatisch synchroniseren van de detail- en badgenummers van een persoon van Active Directory naar de CA4K-software.
Zoals hierboven vermeld, is het erg belangrijk dat een ervaren Active Directory-beheerder de AD Import Badge-functie instelt. Het zal vereist zijn dat de AD-beheerder de vereiste AD-velden invult die aan de CA4K-velden moeten worden toegewezen. De beheerder heeft ook de mogelijkheid om extra AD-attributen aan te maken, zoals kaart, project code, toegangsgroepen en andere benodigde attributen voor hun applicatie.
4.2.1. AD-gebruikersintegratie mogelijk maken
Bij het inschakelen van de AD gebruikers integratie functie moet je het LDAP-pad configureren en verifiëren.
4.2.2. Integratie-interval
De integratie intervalopties zijn dagelijks om middernacht of wekelijks op zondagavond om middernacht. Naast geplande synchronisaties kun je ook op elk moment handmatig synchroniseren door op de ‘knop Nu AD synchroniseren’ te klikken.
4.2.3. AD Leesbevoegdheid
Op het AD kaart import scherm moet je een Active Directory-credential invoeren met leestoegang tot de velden in Active Directory, inclusief gebruikersgegevens en andere gerelateerde gegevens.
4.2.4. AD-groepslijst laden
Het vak 'Laad AD groep-lijst’ biedt de mogelijkheid om één of meer Active Directory-groepen te selecteren. Deze groepen moeten GLOBAL SECURITY-groepen zijn in Active Directory.
Opmerking: Als je alleen een AD-gebruiker wilt synchroniseren die tot een van deze groepen behoort, moet je alleen die ene groep selecteren.
4.2.5. Active Directory velden map
Het AD velden map scherm bevat alle bedieningselementen om CA4K-velden toe te wijzen op overeenkomstige AD-velden (attributen).
Opmerking: De onderstaande velden zijn standaard toegewezen.
- Voornaam
- Achternaam
- Tussenvoegsel
- Activeren
- Afdeling
- Bedrijf
- Supervisor
- Locatie
- SupervisorID
- Telefoon
- Laatst bijgewerkt
4.2.6. Opmerkingen
1) Als de Active Directory-beheerder een AD Kaart-attribuut aanmaakt, moet dit worden gekoppeld aan het CA4K-badge-veld in het mapping-scherm. Als er geen aangepaste badge-attribuut wordt aangemaakt, wordt het AD employeeid-veld automatisch gekoppeld en gesynchroniseerd met het CA4K-badgeveld.
Om het badge te importeren, moet er een nummer in het employeeid-veld staan. Het doel van deze functionaliteit is om een tijdelijk Badge Number te gebruiken als het fysieke badgenummer bij de eerste configuratie niet bekend is.
2) Als de Active Directory-beheerder geen project code attribuut aanmaakt, zal de CA4K de project code Code standaard op 0 zetten.
3) Als andere velden worden gebruikt voor de AD-import, zoals toegangsgroepen, moet de Active Directory-beheerder ook deze extra AD-attributen aanmaken om deze toe te wijzen op de bijbehorende CA4K-velden.
4.2.7. CA4K veld naam dropdownlijst
De keuzelijst CA4K Veldennamen toont alle beschikbare CA4K-velden die aan een AD-veld kunnen worden gekoppeld.
4.2.8. Active Directory veld namen (Attributes) keuzelijst
De Active Directory veld namen dropdownlijst toont alle beschikbare Active Directory-attributen die blootgesteld zijn en kunnen worden toegewezen. De attributen die in deze lijst worden vermeld, verschillen per systeem.
Om aangepaste attributen in deze lijst te laten weergeven, moeten er waarden aan deze worden toegekend onder het READ ONLY AD-CREDENTIAL dat wordt gebruikt om dit scherm te configureren.
4.2.9. Synchroniseer AD nu
De knop ‘Nu AD syncrhoniseren’ biedt de mogelijkheid om handmatig te synchroniseren.
4.2.10. Logbestanden voor probleemoplossing
Na elke AD kaart import worden logbestanden aangemaakt in de Import\Log-map telkens wanneer de achtergrond AD-synchronisatie door de Data Pump Service wordt uitgevoerd. (Bestandsnaam: ADImport_xxxxx.txt). Dit logbestand kan bekeken worden op eventuele fouten die zijn opgetreden. Naast het logbestand in de Log-map is er ook een bestand onder de PROCESSED-map dat alle records toont die vanuit Active Directory zijn verzonden.
5. Azure/Entra AD Authenticatie
5.1. Belangrijke opmerkingen
- De Azure / Entra ID Authenticatiefunctie is beschikbaar in V1.2.x en later.
- Er kan slechts één authenticatietype tegelijk worden ingeschakeld (MFA, LDAP of Identity Provider).
Azure Active Directory heet nu Microsoft Entra ID. Microsoft Entra ID is een cloudgebaseerde identiteitsoplossing die talrijke functionaliteiten biedt die van elke identiteitsoplossing nodig zijn. Voor sommigen is het verplicht om je identiteit naar de cloud te verplaatsen, voor bepaalde SaaS-applicaties of de functionaliteit ervan zou je iets kunnen willen gebruiken. Let op: accounts en identiteiten in de cloud plaatsen kan ook een beveiligingsrisico zijn voor bedrijven. Raadpleeg Microsoft alstublieft over de functies en voordelen.
6. Azure AD/Entra ID configuratie
6.1. Belangrijke opmerkingen
De volgende stappen moeten worden uitgevoerd voordat AzureAD-authenticatie met CA4K wordt geconfigureerd.
6.2. Azure omgeving instellen
- Klik op het linkermenu Identity > Overview.
- Dit toont je standaard gegevens
- Klik op Toevoegen > App-registration
- Vul de onderstaande gegevens in en registreer de nieuwe aanvraag
6.3. Voeg nieuwe klantgegevens toe en haal het client secret op
- Ga naar de detailpagina van App-registrations door op het linkermenu te klikken: Applications > App-registrations
- Klik dan op All applications, klik op de CA4K-app
- Klik nu op Certificates & secrets menu
- Op de pagina Certificates & secrets klik je op New client secret en vul je de onderstaande gegevens in
- Het toont je nieuw aangemaakte klantgegevens. Klik op het kopieer-icoon om de Secret ID te kopiëren en op een veilige plek op te slaan.
Opmerking: je zult deze waarde de volgende keer niet kunnen zien of kopiëren.
6.4. Stel App API permissions in
- Klik op API permissions en voeg een permission toe
- Er verschijnt een pop-up, klik op Microsoft API's > Microsoft Graph
- Klik op Delegated permissions
- Zoek naar "User.ReadWrite", selecteer het selectievakje User.ReadWrite.All en druk op Add permissions
- Deze toestemming wordt nu weergegeven op de lijst, klik op de link "Grant admin consent for" (je hebt beheerdersrechten nodig om admin-toestemming te verlenen).
- Klik op "Ja" om toestemming van de beheerder te geven.
6.5. App-overzicht om Client-ID en Tenant ID te krijgen
- Ga naar het overzicht en kopieer je Application (cliënt)-ID en Directory (tenant)-ID
6.6. Nieuwe gebruiker op Azure AD/Entra ID
- Ga naar het linkermenu Identity > Overview
- Klik nu bovenaan op het menu Add en vervolgens User en Create new user:
- Vul de gebruikersgegevens in en klik op Next: Properties:
- BELANGRIJK: Voer voor -en achternaam in. Deze velden zijn niet verplicht voor een Entra ID-gebruiker, maar voor de CA4K-gebruiker zijn ze wel verplicht.
- Klik op de knop "Review + create" en maak het gebruikersaccount aan:
6.7. Test nieuwe gebruikerslogin op AzureAD
- Open een andere browser en ga naar https://entra.microsoft.com
- Voer het nieuwe gebruikers-e-mailadres en wachtwoord in
- Werk je wachtwoord bij
- Nu word je doorgestuurd naar het dashboard
6.8. AzureAD-authenticatie programmeren in CA4K:
Om Azure/Entra ID-authenticatie te configureren, moet je de volgende configuratie-informatie invoeren in het CA4K-systeeminstellingenscherm.
- Klik op het tabblad Identiteits provider, dan vind je een ander tabblad Identiteits provider
- Selecteer AzureAD
- Voer je door AzureAD geconfigureerde client-ID, client Secret en huurder ID in.
- Rol-ID: als een gebruiker succesvol is geverifieerd in Azure maar die gebruiker niet bestaat in onze lokale CA4K-applicatie, zal ons systeem die gebruiker automatisch aanmaken en deze rol aan die gebruiker toewijzen.
6.9. Test nieuwe gebruikerslogin op CA4K:
- Als de nieuwe gebruiker succesvol is en kan inloggen op het Azure-portaal, zou die gebruiker ook moeten kunnen inloggen op de CA4K-applicatie
