So fügen Sie eine SAML-App hinzu
miniOrange unterstützt Single Sign-on in Ihren Apps, um Administratoren und Benutzern eine sichere Anmeldung zu ermöglichen. miniOrange unterstützt verschiedene Protokolle für Ihre Anwendungen, wie zum Beispiel
SAML, WS-FED, OAuth, OIDC, JWT, RADIUS, usw. Mit Single Sign-on können sich Benutzer mit einem Satz Anmeldeinformationen bei mehreren Anwendungen anmelden. Dies verbessert die Sicherheit, da es die Möglichkeiten für Phishing-Angriffe verringert und auch den Zugriff auf Ihre Anwendung verbessert.
Security Assertion Markup Language (SAML) ist ein XML-Standard, der sicheren Webdomänen den Austausch von Benutzerauthentifizierungs- und Autorisierungsdaten ermöglicht. Mithilfe von SAML kann ein Online-Dienstanbieter (SP) einen separaten Online-Identitätsanbieter kontaktieren, um Benutzer zu authentifizieren, die versuchen, auf sichere Inhalte zuzugreifen. miniOrange bietet eine Lösung zur Durchführung von Single Sign-On (SSO) für Anwendungen, die das SAML-Protokoll unterstützen, wie AWS, WordPress, Atlassian, Dropbox Enterprise, Moodle, SAP, Zoho, Zendesk usw. Die Schritte zum Konfigurieren der SSO-Einstellungen für SAML-Anwendungen auf miniOrange sind wie folgt.
Konfigurieren Sie Single Sign-On (SSO)-Einstellungen für SAML-Apps:
- Melden Sie sich bei der miniOrange-Admin-Konsole an.
- Klicken Sie auf Apps. Es wird eine Liste aller konfigurierten Anwendungen und die Möglichkeit, diese zu ändern, angezeigt. Klicken Sie auf Anwendung hinzufügen.
- Wählen Sie unter Anwendung auswählen SAML/WS-FED von der Alle Apps Dropdown-Liste.
- Suchen Sie im nächsten Schritt in der Liste nach Ihrer Bewerbung, falls Ihre Bewerbung nicht gefunden wird. Suchen nach Original und Sie können Ihre App einrichten über Benutzerdefinierte SAML-App. Klicken Sie auf Senden Sie eine neue App-Anfrage wenn Sie einen neuen SSO-Antrag einreichen möchten.
- Unter dem Grundeinstellungen Registerkarte, hinzufügen SP-Identitäts-ID und ACS-URL (erforderlich). Sie können auch hinzufügen Zielgruppen-URL und Einzelne Abmelde-URL wenn verfügbar.
- Nachfolgend finden Sie eine Beschreibung der einzelnen Felder unter Grundeinstellungen Abschnitt bedeutet.
- SP-Entitäts-ID oder Aussteller wird verwendet, um Ihre App anhand der von SP empfangenen SAML-Anforderung zu identifizieren. Die SP-Entitäts-ID oder der Aussteller können entweder im URL- oder im String-Format vorliegen.
- ACS-URL or URL des Assertion-Verbraucherdienstes definiert, wohin die SAML-Assertion nach der Authentifizierung gesendet werden soll. Stellen Sie sicher, dass die ACS-URL hat das Format:
https://www.domain-name.com/a/[domain_name]/acs.
- Zielgruppen-URL, gibt, wie der Name schon sagt, die gültige Zielgruppe für SAML-Assertion an. Normalerweise ist es dasselbe wie SP-Entitäts-ID. Wenn Zielgruppen-URL Wird vom SP nicht separat angegeben, lassen Sie es leer.
- Einzelne Abmelde-URL – Die URL, an die die Abmeldeanforderung gesendet werden soll und an die Ihre Benutzer nach einmaliger Abmeldung von den Anwendungen weitergeleitet werden sollen.
- Sie können auch nur die SP-Metadaten für die Konfiguration importieren, indem Sie auf das SP-Metadaten importieren .
- Geben Sie die App Name nach Ihren Wünschen und klicken Sie auf Reichen Sie das wenn Sie eine Metadatendatei haben oder die URL, wenn Sie die Metadaten-URL der Anwendung haben. Sie können beide Informationen aus Ihrer Anwendung abrufen.
| URL | Die URL für die Metadateninformationen erhalten Sie vom Dienstanbieter. Sie können diese URL direkt in das bereitgestellte Eingabefeld einfügen. |
| Text | Wenn Sie auswählen Text Option, müssen Sie alle Attribute manuell ausfüllen |
| Reichen Sie das | Wenn Sie die Option „Datei“ auswählen, können Sie die XML-Datei mit allen Informationen direkt hochladen. |
- Nachdem Sie die entsprechende Option ausgewählt haben, klicken Sie auf Import.
- Klicken Sie auf Weiter, um zum Attributzuordnung Seite. Hier können Sie die Attribute hinzufügen und konfigurieren, die an die App gesendet werden sollen.
- Hier ist eine Beschreibung der einzelnen Felder unter dem Attributzuordnung Abschnitt bedeutet:
- NameID definiert, was SP im Betreffelement der SAML-Assertion erwartet. Im Allgemeinen ist NameID der Benutzername der E-Mail-Adresse
- NameID-Format definiert das Format des Inhalts des Betreffelements, d. h. NameID. Beispielsweise definiert das NameID-Format für E-Mail-Adressen, dass die NameID die Form einer E-Mail-Adresse hat, genauer gesagt „addr-spec“. Eine addr-spec hat die Form local-part@domain, hat keine Phrase (wie einen allgemeinen Namen) davor, keinen Kommentar (Text in Klammern) danach und ist nicht von „<“ und „>“ umgeben. Wenn NameID-Format wird nicht extern von SP angegeben, lassen Sie es unspezifiziert.
- Option „Mehrwertige Attribute aktivieren“:
- Wenn diese Option aktiviert ist, werden sowohl Kommas (,) als auch Semikolons (;) als Trennzeichen behandelt. Jedes Attribut, das diese Zeichen enthält, wird automatisch aufgeteilt und in ein mehrwertiges Attribut basierend auf ihrer Positionierung.
- Diese Funktion stellt sicher, dass Attribute mit mehreren Werten in einer strukturiertes Format anstatt als einzelne verkettete Zeichenfolge.
- Beispielsweise: Wenn diese Option aktiviert ist, werden Attribute als Liste angezeigt wie Rollen = ['Administrator', 'Editor', 'Betrachter'] anstelle einer einzelnen Zeichenfolge wie Rollen = "Administrator; Editor; Betrachter".
- Wenn diese Option deaktiviert ist, werden Attribute, die als einzelne, mit Kommas (,) und Semikolons (;) verknüpfte Zeichenfolge gespeichert sind, so behandelt, wie sie gespeichert sind, und nicht als strukturierte Liste.
- In diesem Fall werden Kommas (,) und Semikolons (;) nicht als Trennzeichen behandelt, sodass die Werte in einer Zeichenfolge zusammengefasst bleiben.
- Nutze einfach das Attribute hinzufügen in SAML-Assertion an SP gesendet werden. Die Attribute umfassen Profilattribute des Benutzers wie Vorname, Nachname, vollständiger Name, Benutzername, E-Mail, benutzerdefinierte Profilattribute und Benutzergruppen usw.
- In Anmelderichtliniekönnen Sie die folgenden Einstellungen konfigurieren:
- Wählen Sie ein Gruppenname aus der Dropdown-Liste – die Gruppe, die mit dieser App Zugriff auf das SAML SSO haben soll.
- Geben Sie einen Richtliniennamen für die benutzerdefinierte App ein Versicherungsname.
- Wähle aus Typ der Anmeldemethode zur Authentifizierung wie Passwort, Mobiltelefon usw.
- Ermöglichen 2-Faktor/Adaptiv zur Authentifizierung bei Bedarf. Zu unseren Stellenangeboten für die ausführliche Dokumentation zur Konfiguration der 2FA/MFA für Ihre Anwendung.
- Klicken Sie auf Gespeichert Schaltfläche zum Hinzufügen einer Richtlinie für Apps (Single Sign-On).
- In Erweiterte Einstellungenkönnen Sie die folgenden Einstellungen konfigurieren -
| Relaiszustand |
Geben Sie die URL ein, zu der der Benutzer nach der Anmeldung bei der Anwendung weitergeleitet werden soll. |
| Relaisstatus überschreiben |
Aktivieren Sie diese Option, um den Standard-Relay-Status des SP zu überschreiben. |
| Auf Endbenutzer-Dashboard anzeigen |
Deaktivieren Sie diese Option, wenn die App nicht für alle Benutzer im Endbenutzer-Dashboard sichtbar sein soll. |
| Unterzeichnete Anfrage |
Aktivieren Sie diese Option, um die vom SP an den IdP gesendete Anforderung zu signieren. Geben Sie das X509-Zertifikat an oder laden Sie das Zertifikat hoch. |
| Signaturalgorithmus |
Wählen Sie den Algorithmus aus, der zum Signieren der SAML-Anfrage/-Antwort verwendet wird. |
| Behauptung verschlüsseln |
Wählen Sie diese Option aus, wenn Sie die Assertion in der SAML-Antwort verschlüsseln und den Algorithmus und das Zertifikat für die Verschlüsselung angeben möchten. |
| Gültigkeitsdauer der SAML-Authentifizierung |
Die Zeit, für die die Authentifizierung als gültig angesehen werden soll und der Benutzer SSO durchführen kann. Danach muss sich der Benutzer erneut anmelden. |
| Namensformat hinzufügen |
Aktivieren Sie dies, um basierend auf dem SP ein benutzerdefiniertes Namensformat auszuwählen. |
| Namensformat |
Wählen Sie das vom SP unterstützte Format aus. |
| Primärer Identitätsanbieter |
Wählen Sie die Identitätsquelle aus, von der aus die Authentifizierung erfolgen soll. Sie sehen die Liste aller konfigurierten Quellen. |
| Authentifizierung erzwingen |
Aktivieren Sie diese Option, um bei jeder Anforderung zum Zugriff auf die Anwendung eine Authentifizierung zu erzwingen. |
| Bindung der Abmeldeantwort |
Eine Abmeldeantwort wird als Antwort auf eine Abmeldeanforderung von SP gesendet. Sie kann von einem Identitätsanbieter oder Dienstanbieter gesendet werden. |
| Vom IdP initiierte Abmeldeanforderungsbindung |
Eine Abmeldeantwort wird als Antwort auf eine Abmeldeanforderung vom IdP-Dashboard gesendet. Sie kann von einem Identitätsanbieter oder Dienstanbieter gesendet werden.
- HTTP-Umleitung - Eine Abmeldeantwort mit ihrer Signatur
- HTTP POST - Eine Abmeldeantwort mit eingebetteter Signatur
|
- Klicken Sie auf Gespeichert. Ihre Bewerbung wurde erfolgreich gespeichert.
Service Provider (SP) konfigurieren
- In der Liste der konfigurierten Apps können Sie die von Ihnen erstellte App finden. Klicken Sie dazu auf das Symbol ' ' >> Metadaten Option vor dieser bestimmten App.
- Klicken Sie auf der Seite „Metadaten“ auf Metadatendetails anzeigen und wählen Sie eine der beiden Metadatenoptionen:
- Wenn Sie verwenden möchten miniOrange als User-Store d. h. Ihre Benutzeridentitäten werden in miniOrange gespeichert. Laden Sie dann die Metadatendatei unter der Überschrift „Erforderliche Informationen, um miniOrange als IDP festzulegen'.
- Wenn Sie Ihre Benutzer über eine beliebige externer Identitätsanbieter wie Active Directory, Okta, OneLogin usw. oder andere benutzerdefinierte IDPs, dann laden Sie die Metadatendatei unter der Überschrift 'FÜR DIE AUTHENTIFIZIERUNG ÜBER EXTERNE IDPS ERFORDERLICHE INFORMATIONEN'.
