Grundlegende SAML-SSO-Funktionen für Rechenzentren

1. Einmaliges Abmelden

Sitzungen aller verbundenen Anwendungen mit einem einzigen Klick beenden?

Normalerweise melden sich Benutzer nicht von jeder Anwendung ab, wenn sie an mehreren Anwendungen arbeiten. Es ist einfach nervig, sich täglich bei allen Anwendungen an- und abzumelden. Stellen Sie sich vor, Sie verwenden Jira und Confluence Data Center, die mit Ihrem Identitätsanbieter (IdP) verbunden sind.

• Wenn Sie sich von Jira und Confluence abmelden, werden Sie auch vom Identitätsanbieter und den anderen mit dem IDP verbundenen Anwendungen wie Confluence abgemeldet.
• Wenn Sie sich vom Identitätsanbieter abmelden, werden Sie gleichzeitig von Jira und Confluence abgemeldet.

Dies kann erreicht werden mit Einmaliges Abmelden (SLO) Funktionalität und wird durch das SAML SSO-Protokoll unterstützt.

Bei der einmaligen Abmeldung werden alle mit dem IDP verbundenen Anwendungen automatisch abgemeldet, wenn für eine der Anwendungen ein Abmeldevorgang ausgeführt wird.

Wenn wir keine Option für einmaliges Abmelden haben, müssen wir uns immer darauf verlassen, dass sich der Benutzer bei jeder Anwendung einzeln abmeldet. Im Allgemeinen dauern die Anmeldesitzungen für diese Atlassian-Anwendungen (Jira, Confluence) sehr lange und Benutzer können lange Zeit aktiv sein. Durch einmaliges Abmelden werden alle über SSO erstellten Sitzungen beendet, indem die Abmeldung von einem Dienstanbieter (SP) initiiert wird, sodass der Benutzer keine vernachlässigte Sitzung in anderen verbundenen Anwendungen hat.

2. Metadaten/Zertifikats-Rollover

IDP hat sein Zertifikat aktualisiert? Kein Grund zur Sorge! Wäre es nicht mühsam, bei jeder Iteration die Aktualisierung des Metadateninhalts an den IDP-Anbieter delegieren zu müssen? Verfahren zum Ersetzen von Zertifikaten befolgen zu müssen, um SSO ohne Dienstunterbrechungen zu ermöglichen? Einige IDPs aktualisieren ihre Zertifikate regelmäßig aus Sicherheitsgründen, sodass nur vertrauenswürdige Dienstanbieter im Besitz des aktualisierten Zertifikats sind.

Das miniOrange SAML-Plugin ist sehr praktisch mit dem Zertifikats-Rollover Funktion, die es ermöglicht, ein Zertifikats-Rollover durchzuführen, um sicherzustellen, dass es während des Single Sign On zu keiner Unterbrechung kommt. Damit Service Provider ein IdP-Zertifikat erkennen können, enthalten die SAML-Metadaten das Zertifikat des IdP. Aktivieren Sie einfach die Metadaten-Rollover und stellen Sie die Aktualisierungshäufigkeit kleiner oder gleich der Aktualisierungshäufigkeit des IDP ein. Dadurch wird eine nahtlose, unterbrechungsfreie SSO-Funktionalität gewährleistet, während Sie sich entspannen, ohne dass Sie etwas manuell konfigurieren müssen.

3. Automatische Weiterleitung zur Anwendung

Was ist der nächste Schritt, wenn die Single Sign On-Integration für Atlassian Jira Data Center erfolgreich ist? Nahtlose und gute Benutzeranmeldung? Ja, natürlich!

Für eine einfache und bequeme Anmeldung können Sie die Anmeldeseite für den lokalen Data Center-Benutzer und den Identity Provider-Benutzer einfach trennen. Lokale Benutzer können sich über die Jira Data Center-Anmeldeseite anmelden und andere können eine Authentifizierung über SSO anfordern. Dann wird ihnen die IDP-Anmeldeseite anstelle der Standard-Anmeldeseite angezeigt. Daher wird einigen Benutzern der Zugriff auf die Software unter Verwendung der lokalen Anmeldeinformationen verweigert.

Bild: Erzwungenes SSO (Automatische Weiterleitung)

4. Notfall-URL/Backdoor-URL zur Umgehung des Data Center SSO

Nehmen wir an, Ihr IDP fällt leider aus oder Sie haben etwas vermasselt, das bei der Durchführung von Atlassian SSO einen Fehler verursacht. Was dann? Ihre Benutzer werden ausgesperrt und können nicht auf ihr eigenes Konto und ihre Daten zugreifen. Und das ist noch nicht alles. Selbst Sie als Administrator können nicht auf die Standardanmeldeseite zugreifen, um in Jira/Confluence zu gelangen. Und dann werden Sie sich fragen, ob Sie das SSO vorerst vielleicht umgehen können.

Hier bietet miniOrange SAML SSO eine nützliche Funktion namens Backdoor-URL oder genauer Notfall-URL. Damit können Sie auf die Standardanmeldeseite von Jira/Confluence zugreifen, auch wenn SSO für alle Benutzer erzwungen wird.

Im Grunde handelt es sich dabei um eine URL, mit der Sie Single Sign On (SSO) umgehen und die lokalen Anmeldeinformationen verwenden können. Außerdem ist sie konfigurierbar, sodass der Administrator entscheiden kann, was sie sein soll. Sie denken an mehr Sicherheit? Wir haben das für Sie! Dafür können Sie eine Gruppenbeschränkung für die Notfall-URL aktivieren, sodass nur Benutzer bestimmter Gruppen auf die Standardanmeldeseite zugreifen können.

5. Verwaltung interner und externer Benutzer

Die Infrastruktur von Unternehmen ist komplex und die Verwaltung interner und externer Benutzeranmeldungen im Rechenzentrum ist immer ein großes Problem. Manchmal werden Benutzeridentitäten in mehreren Identitätsanbietern gespeichert oder manchmal befinden sich mehrere Verzeichnisse unter demselben Identitätsanbieter.

Wie können Sie also dieses kritische Problem lösen und ein reibungsloses Benutzer-Login-Erlebnis sicherstellen? Nun, bei den miniOrange SSO-Apps ist das nicht so schwierig.

Sie müssen bestimmte Regeln für den Benutzersatz definieren, um interne und externe Benutzer zu verwalten. Diese Regeln können auf den Anwendungsgruppen, Verzeichnissen oder sogar der E-Mail-Domäne der Benutzer basieren. Einige dieser Regeln können sein:

• Mapping-Set von Gruppen oder Berechtigungen für interne und externe Benutzer
• Zuweisen interner und externer Benutzer zu bestimmten Verzeichnisse
• Nach der Reparatur E-Mail-Domains für interne und externe Benutzer
• Oder sogar unterschiedliche Anwendungen URL für die interne und externe Benutzeranmeldung

Sie müssen lediglich Differenzierungsfaktoren für Benutzer definieren und den Rest erledigt das miniOrange SSO-Plugin.

Ein weiterer Differenzierungsfaktor kann sein IPs oder IP-Bereich. Sie müssen im miniOrange SSO-Plugin einen IP-Bereich für interne und externe Benutzer festlegen und schon kann es losgehen.

Für alle Benutzer, die unter keine der Regeln fallen, Standard Die Einstellung kann für die übrigen Benutzer festgelegt werden.

Betrachten wir ein Beispiel für eine auf E-Mail-Domänen basierende Zuordnung für interne und externe Benutzer.

6. Ändern Sie bequem den Benutzernamen und melden Sie sich mit regulären Ausdrücken an!

Reguläre Ausdrücke, kurz Regex, sind ein leistungsstarkes Tool zum Durchführen von Such- und Manipulationsvorgängen in Zeichenfolgen. Es kann vorkommen, dass Sie Ihren Attributwert in einem bestimmten Format wünschen, die Attributwerte der SAML-Antwort Ihres IDP jedoch nicht mit dem gewünschten oder bevorzugten Format übereinstimmen. In solchen Szenarien sind Regex sehr praktisch.

Stellen Sie sich eine Situation vor, in der der Benutzername des Benutzers aus seiner E-Mail-ID „user@domain.com“ extrahiert werden muss. Wenden Sie einen regulären Ausdruck auf das Feld „Benutzername“ an, wobei der Attributname die E-Mail des Benutzers als Wert im Feld „Benutzername“ enthält. Nach der Anwendung des regulären Ausdrucks.*?(?=@) im Feld „Regulärer Ausdruck“ extrahiert der eingegebene Ausdruck den Wert „Benutzer“ und zeigt den Benutzernamen im Profil des Benutzers an.

7. Konfigurationseinrichtung mit einem Klick

Die Einrichtung von SSO ist ein komplexer Vorgang, der eine korrekte Konfiguration erfordert. Es ist wichtig, sicherzustellen, dass die Zugriffsrechte und Berechtigungen aller Benutzer richtig eingerichtet sind. Dies ist ein zeitaufwändiger und langwieriger Prozess und fehleranfällig, was zu einer Sperrung führen kann!

Wenn Sie das Setup in Ihrer Testumgebung testen, können Sie dieselbe Konfiguration für die Bereitstellung in der Produktionsumgebung verwenden. Mit exportierten Daten müssen Administratoren die gesamte Einstellung nicht erneut konfigurieren. Dies reduziert die gesamte Setup-Zeit und die Wahrscheinlichkeit, die Konfiguration auf dem sehr kritischen System durcheinander zu bringen.

Exportieren Sie die Konfiguration aus der Testinstanz mithilfe der Konfigurationsdatei des Backup-Plugins:

Administratoren können alle Plugin-Konfigurationen im JSON-Format exportieren und sie per Dateiübertragung an einer anderen Instanz importieren. Der gesamte Vorgang kann innerhalb weniger Minuten durchgeführt werden und ist nur für Administratoren zugänglich.

8. Gestalten Sie Ihre eigene Login-, Logout- und Fehlerseite

Ein Produkt, das in seiner Existenz statisch ist, sei es in Bezug auf Sprache oder Benutzeroberfläche, wirkt sich negativ auf die Benutzererfahrung aus. Das miniOrange SAML SSO-Add-on durchbricht diese Grenzen, indem es anpassbare Anmelde-, Abmelde- und Fehlervorlagen bereitstellt. Mit dieser Funktion können Benutzer auf der ganzen Welt ihre eigene Vorlage je nach Verwendung und Bedarf konfigurieren.

Jeder Abschnitt mit anpassbaren Vorlagen, sei es eine Anmelde- oder eine Fehlervorlage, verfügt über eine Schaltfläche zum Aktivieren/Deaktivieren. Durch Aktivieren dieser Schaltfläche können Benutzer Änderungen im Vorlagenentwurfsbereich vornehmen. Jetzt können Administratoren je nach Interesse und Bedarf ihre eigene entworfene Vorlage codieren und in diesen Abschnitt eingeben und ihre Änderungen speichern, indem sie auf die Schaltfläche „Speichern“ klicken. Sobald die Änderungen gespeichert sind, werden sie angezeigt, wenn der Benutzer versucht, sich erneut bei der Anwendung anzumelden. Von da an können Benutzer auch die aktivierten Abmelde- und Fehlervorlagen anzeigen. Machen Sie also weiter und hinterlassen Sie bleibende Eindrücke bei den zuschauenden Benutzern, von einer einfachen Anmeldung bis zu einer unvergesslichen Abmeldung. Standardmäßig bietet das miniOrange SAML SSO-Add-on eine benutzerdefinierte Anmelde- und Fehlervorlage, die jedoch vom Benutzer geändert werden kann.

9. Konfigurationen mit REST-APIs

Die Verwendung der Rest-API macht den Menschen das Leben sehr einfach. Da sie für Remote-Aufrufe an den Server konzipiert ist und sich leichter in das Programm einbetten lässt, ist sie eine mühelose Möglichkeit, mit dem gewünschten System zu kommunizieren.

Mit dem miniOrange SSO-Plugin können Sie die Rest-API für Ihre Plugin-Konfiguration verwenden und haben so viele Möglichkeiten, manuelle und mühsame Arbeiten zu automatisieren. Sie können dies mit Ihrem eigenen System koppeln, das Ihre Plugin-Konfiguration aktualisiert, wobei die Daten ebenfalls über die Rest-API abgerufen oder die Datei heruntergeladen werden können.

Da es sich bei Rest API um ein weithin akzeptiertes Protokoll handelt, werden Sie bei der Verwendung keine großen Schwierigkeiten haben. Und was Ihre Sicherheit betrifft, bietet das miniOrange-Plugin eine erweiterte Autorisierung für Rest API, sodass Sie sicher sein können, dass nur verifizierte Administratoren darauf Zugriff haben.