Azure AD Federation 구성

페더레이션에 대한 이해

페더레이션은 고객의 ID 공급자(IdP)와 Lexmark Cloud 서비스 같은 외부 서비스 간에 트러스트 관계를 생성하는 프로세스입니다. 다음은 IdP의 예입니다.

Microsoft Azure Active Directory
Google Identity
SAML 2.0 호환 ID 관리 시스템

트러스트 관계를 설정한 후 사용자는 다른 내부 사이트 및 서비스에서와 동일한 사용자 이름과 암호를 사용하여 Lexmark Cloud 서비스에 액세스할 수 있습니다. 고객의 IdP는 암호 검증, 복잡성 요구 사항, 만료 및 잠재적 다단계 인증 사용 등 자격 증명 관리의 모든 측면을 관리합니다. 또한 IdP는 SSO(Single Sign-On)를 지원하므로 사용자가 서비스 간에 전환할 때 인증해야 하는 횟수를 줄일 수 있습니다.

사용자 경험

IdP를 사용하는 고객 환경

사용자가 Lexmark Cloud 서비스에 처음 액세스하면 이메일 주소 프롬프트가 나타난 다음 사용자가 IdP로 리디렉션됩니다.
사용자가 이미 IdP에 로그인했고 IdP가 SSO를 지원하는 경우 사용자는 암호를 입력할 필요가 없습니다. 다단계 인증 질문이 방지됩니다. 이 프로세스는 최종 사용자의 빠른 로그인 경험을 만듭니다.

IdP가 없는 고객 환경

사용자가 IdP에 로그인하지 않은 경우 사용자 이름 및 암호 프롬프트가 나타납니다. 다단계 인증 질문이 제시됩니다. 로그인 후 사용자는 Lexmark Cloud 서비스로 리디렉션됩니다.

페더레이션 로그인의 워크플로

Lexmark Cloud 서비스가 사용자의 이메일 주소를 요청합니다. Lexmark Cloud 서비스는 이 정보를 통해 Lexmark Cloud 서비스 내에서 사용자의 조직을 확인할 수 있습니다.
참고: 조직의 페더레이션 설정에는 고객의 ID 공급자의 URL이 포함됩니다.
Lexmark Cloud 서비스가 사용자를 IdP로 리디렉션합니다. Lexmark Cloud 서비스가 개체 ID 필드를 전달합니다.
IdP는 개체 ID를 사용하여 이 로그인 시도에 적용할 설정을 결정합니다. 설정에 따라 IdP는 사용자 이름과 암호를 인증하고, 다단계 인증을 수행할 수 있습니다. IdP가 SSO를 지원하고 사용자가 이미 IdP에 로그인되어 있는 경우 사용자는 자동으로 로그인됩니다.
IdP는 사용자를 Lexmark Cloud 서비스로 리디렉션하고 다음과 같은 사전 정의된 클레임을 전달합니다.
- 사용자 이름
- 이메일 주소
- 조직
- 사용자의 부서 및 비용 센터와 같은 선택적 정보
IdP는 개인 인증서를 사용하여 이러한 클레임에 서명합니다.
Lexmark Cloud 서비스는 공용 인증서로 사전 구성되어 있으며, 이를 사용하여 이 정보의 소스가 예상과 같은지 확인합니다. 이 프로세스를 통해 Lexmark Cloud 서비스는 IdP가 전달하는 정보를 신뢰하고 로그인 프로세스를 완료할 수 있습니다.

Azure Active Directory 구성

아래 이미지는 실제와 다를 수 있습니다.

Azure 포털에서 Azure Active Directory로 이동합니다.
엔터프라이즈 응용 프로그램 > 새 응용 프로그램을 클릭합니다.
자체 응용 프로그램 만들기 를 클릭하고 > 갤러리에 없는 다른 응용 프로그램을 통합(비갤러리)합니다.
응용 프로그램 이름을 입력합니다.
엔터프라이즈 응용 프로그램 개요 스크린에서 Single Sign-On 설정을 클릭한 다음 SAML을 선택합니다.
기본 SAML 구성 섹션에서 다음 설정을 구성합니다.
참고: 서비스 공급자로부터 설정을 가져옵니다.
- 식별자(개체 ID)
  참고: 기본 Lexmark Cloud 서비스 개체 ID는 https://idp.iss.lexmark.com입니다. Azure의 개체 ID가 Lexmark Cloud 서비스 포털의 개체 ID와 일치하는지 확인합니다.
- 회신 URL(어설션 소비자 서비스 URL)
  위치에 따라 전체 회신 URL의 예는 다음과 같습니다.
  - https://idp.us.iss.lexmark.com/users/auth/saml/callback?organization_id=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXX
  - https://idp.eu.iss.lexmark.com/users/auth/saml/callback?organization_id=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXX
  참고: organization_id 매개 변수의 값을 확인하려면 Lexmark Cloud 서비스 포털에 로그인한 다음 계정 관리를 클릭합니다. organization_id가 URL에 나타납니다.
사용자 속성 및 클레임 섹션에서 편집을 클릭합니다.

새 클레임 추가를 클릭한 다음 각 클레임의 이름과 소스를 입력합니다.

필요한 클레임
속성	소스	네임스페이스
firstname	user.givenname	이 필드는 비워 둡니다.
lastname	user.surname	이 필드는 비워 둡니다.
email	user.mail	이 필드는 비워 둡니다.

선택적 클레임
속성	소스	네임스페이스
badge	조직의 소스 속성	이 필드는 비워 둡니다.
pin	조직의 소스 속성	이 필드는 비워 둡니다.
costCenter	조직의 소스 속성	이 필드는 비워 둡니다.
department	user.department	이 필드는 비워 둡니다.

SAML 인증서 서명 섹션에서 다음을 수행합니다.
- Base64 인증서를 다운로드합니다.
- 로그인 URL과 로그아웃 URL을 복사합니다.
Azure 구성에 따라 생성된 엔터프라이즈 응용 프로그램에 사용자를 할당합니다.
설정을 저장합니다.

Lexmark Cloud 서비스 구성

계정 관리 웹 포털에서 조직 > 인증 공급자 > 인증 공급자 구성을 클릭합니다.
도메인 섹션에서 ID 공급자의 도메인을 입력한 다음 추가를 클릭합니다.
Single Sign-On 설정 섹션에서 다음 필드에 올바른 정보를 입력합니다.
- 서비스 제공업체 개체 ID
  참고: 기본 Lexmark Cloud 서비스 개체 ID는 https://idp.iss.lexmark.com입니다. Azure의 개체 ID가 Lexmark Cloud 서비스 포털의 개체 ID와 일치하는지 확인합니다.
- SSO 대상 URL - 생성한 Azure 엔터프라이즈 응용 프로그램의 로그인 URL입니다.
- SSO 로그아웃 URL - 이 URL은 사용자가 Lexmark Cloud 서비스 포털에서 로그아웃할 때의 동작을 결정합니다.
  - 사용자가 Azure 테넌트에서 완전히 로그아웃하도록 하려면 생성한 Azure 엔터프라이즈 응용 프로그램의 로그아웃 URL을 입력합니다.
  - 사용자가 Lexmark Cloud 서비스에서만 로그아웃하도록 하려면 다른 URL을 입력합니다. URL이 유지 관리하는 페이지("성공적으로 로그아웃되었습니다")를 가리키거나 조직에 적합한 Lexmark Cloud 서비스 로그인 페이지를 사용할 수 있습니다. 위치에 따라 URL은 https://idp.us.iss.lexmark.com 또는 https://Idp.eu.iss.lexmark.com이 될 수 있습니다.
인증서 필드에서 ID 공급자의 토큰 서명 인증서에 있는 base-64 인증서 키를 복사하여 붙여넣습니다.
대신 URL과 인증서 데이터가 포함된 metadata.xml 파일이 있는 경우에는 머리글과 바닥글을 수동으로 추가하십시오.
```
-----BEGIN CERTIFICATE----
MIIC8DCCAdigAwIBAgIQdzA…
-----END CERTIFICATE-----
```
인증 공급자 구성을 클릭합니다.
참고: Lexmark Cloud 서비스 포털을 종료하거나 시간 초과되도록 하지 마십시오. 테스트하는 동안 발견한 문제를 해결하기 위해 로그인하지 못할 수도 있습니다.

Lexmark Cloud 서비스에 액세스

사용자가 다음 방법 중 하나를 사용하여 로그인하도록 하여 페더레이션 설정을 테스트합니다.

동일한 워크스테이션의 다른 브라우저에서 로그인합니다.
동일한 워크스테이션의 비공개 또는 시크릿 브라우저 창에서 로그인합니다.
다른 사용자가 자체 워크스테이션에서 로그인하도록 합니다.

Lexmark 담당자가 제공한 올바른 URL을 사용하여 Lexmark Cloud 서비스에 액세스합니다.
ID 공급자에서 사용자 이름과 암호를 입력합니다.
참고: 사용자 이름은 전체 이메일 주소여야 합니다. 자세한 내용은 Lexmark Cloud 서비스 대시보드 액세스를 참조하십시오.