Hallo!
Brauchen Sie Hilfe? Wir sind hier!
Brauchen Sie Hilfe? Wir sind hier!
Search Results:
×FortiClient Single Sign-On (SSO) von miniOrange bietet Ihnen eine sichere Single-Sign-On-Lösung für lokale und Cloud-Anwendungen mit nur einem Satz Anmeldeinformationen – einschließlich FortiClient VPN und zugehöriger Fortinet-Dienste. Mit miniOrange als SAML-Identitätsanbieter (IdP) melden sich Benutzer über miniOrange (oder Ihr verknüpftes Verzeichnis) an, anstatt separate Fortinet-spezifische Passwörter zu verwalten. Wenn Ihre Benutzer bereits einen Drittanbieter- Identitätsanbieter (z. B. Microsoft Entra ID, Okta, Auth0) nutzen , können Sie diese Anmeldeinformationen weiterhin für den Zugriff auf FortiClient und Fortinet verwenden.
Umfang: In den Schritten 1–2 konfigurieren Sie miniOrange als SAML-Identitätsanbieter (IdP) für FortiAuthenticator (oder entsprechende SP-Metadaten). Für IPsec-VPN mit IKE-SAML (SAML während IKEv2) konfigurieren Sie SAML zusätzlich auf FortiGate , binden den IKE-SAML-Listener an Ihr WAN, erstellen Benutzergruppen und einen IKEv2-Tunnel und verweisen FortiClient auf dieses VPN – siehe Schritte 3–7 unten. Wenn Sie nur Security Fabric oder SSL-VPN-SAML ohne IPsec-IKE-SAML benötigen, folgen Sie der Anleitung Ihrer FortiOS-Version und führen Sie die für Ihre Bereitstellung geltenden Schritte aus.
miniOrange bietet Benutzerauthentifizierung aus verschiedenen externen Quellen, darunter Verzeichnisse (wie ADFS, Microsoft Active Directory, OpenLDAP, AWS usw.), Identitätsanbieter (wie Microsoft Entra ID, Okta, AWS) und viele mehr. Sie können Ihr bestehendes Verzeichnis/Ihren Benutzerspeicher konfigurieren oder Benutzer in miniOrange hinzufügen.
| SP-Entitäts-ID | SP Entity ID oder Aussteller von der Voraussetzungen:. |
| Behauptung Verbraucherdienst | ACS-URL von Voraussetzungen. |
| Primärer Identitätsanbieter | Wählen Sie die Identitätsquelle aus, von der aus die Authentifizierung erfolgen soll. Sie sehen die Liste aller konfigurierten Quellen. |
| Authentifizierung erzwingen | Aktivieren Sie diese Option, um bei jeder Anforderung zum Zugriff auf die Anwendung eine Authentifizierung zu erzwingen. |
| Auf Endbenutzer-Dashboard anzeigen | Deaktivieren Sie diese Option, wenn die App nicht für alle Benutzer im Endbenutzer-Dashboard sichtbar sein soll. |
| NameID | Die NameID ist die eindeutige Kennung des authentifizierten Benutzers in der SAML-Assertion. Sie ermöglicht dem Dienstanbieter, den Benutzer zu erkennen und einem Konto zuzuordnen. In der Regel handelt es sich bei der NameID um einen Benutzernamen oder eine E-Mail-Adresse. |
| NameID-Format | Legt fest, welcher Identifikatortyp (z. B. E-Mail, persistent, temporär) in der NameID verwendet wird, damit der Service Provider (SP) den Benutzer korrekt zuordnen kann. Falls der SP kein bestimmtes Format anfordert, kann der Identity Provider (IdP) dieses nicht spezifizieren und einen Standardwert verwenden. |
| Namensformat hinzufügen | Das Namensformat definiert, wie Attributnamen in einer SAML-Assertion dargestellt werden (z. B. als einfache Zeichenketten oder URIs). Es hilft dem Service Provider (SP), die Attributbenennung korrekt zu interpretieren und gewährleistet die Konsistenz zwischen Identity Provider (IdP) und SP. |
| Mehrwertige Attribute aktivieren | Aktiviert: Kommas (,) und Semikolons (;) werden als Trennzeichen behandelt, sodass das Attribut in eine übersichtliche Liste aufgeteilt wird. Beispiel: roles = ['admin', 'editor', 'viewer']. Deaktiviert: Kommas und Semikolons werden nicht als Trennzeichen behandelt, daher bleibt das Attribut als eine zusammenhängende Zeichenkette erhalten. Beispiel: roles = "admin;editor;viewer". |
| Attributzuordnung | Sie können Attribute hinzufügen, die in der SAML-Assertion an den Service Provider (SP) gesendet werden sollen. Zu diesen Attributen gehören Benutzerprofilattribute wie Vorname, Nachname, vollständiger Name, Benutzername, E-Mail-Adresse, benutzerdefinierte Profilattribute und Benutzergruppen usw. |
Um miniOrange-Metadaten für die Konfiguration von FortiClient zu erhalten:
| IDP-Entitäts-ID | Entitäts-ID oder Aussteller in miniOrange |
| IDP-Einzelanmeldungs-URL | SAML-Anmelde-URL in miniOrange Metadaten |
| IDP-Einzelabmelde-URL | SAML-Abmelde-URL in miniOrange Metadaten |
auth-ike-saml-port (gültiger Bereich 1–65535; Standardwert ist oft 1001—verwenden Sie denselben Wert, den Sie in Benutzer & Authentifizierung > Einmaliges AnmeldenBeispielsweise 10428Falls Ihre FortiOS-Version dies erfordert, stellen Sie dies in der CLI so ein, dass es dem entsprechenden Port entspricht:
config system global
set auth-ike-saml-port 10428
end
config system interface
edit "wan1"
set ike-saml-server enable
next
end
Hinweis: Um Warnungen wegen ungültiger Zertifikate in FortiClient zu vermeiden, muss der Betreff oder der SAN des Zertifikats mit dem Hostnamen oder FQDN des IPsec-Remote-Gateways übereinstimmen, den der Benutzer eingibt. Falls das Serverzertifikat auf eine private Zertifizierungsstelle (CA) verweist, importieren Sie diese CA in den vertrauenswürdigen Stammzertifikatspeicher des Endpunkts (oder stellen Sie sie über Ihre Geräteverwaltungsrichtlinie bereit).
FAC-VPN) auf der Phase-1-Schnittstelle. Beispiel (passen Sie den Tunnelnamen an Ihren an):
config vpn ipsec phase1-interface
edit "IPsec-SAML"
set authusrgrp "FAC-VPN"
next
end
FAC-VPN Gruppe zu einem Test-Subnetz:
Testen Sie die SSO-Anmeldung bei Ihrem FortiClient-Konto mit miniOrange IdP:
diag debug reset
diag debug application ike -1
diag debug application samld -1
diag debug application fnbamd -1
diag debug console timestamp enable
diag debug enable
Fortinet Single Sign-On (FSSO) ist ein Authentifizierungsprotokoll, das es Fortinet-Sicherheitsprodukten wie FortiGate ermöglicht, Benutzer transparent zu identifizieren und zu authentifizieren, indem Anmeldeereignisse in Active Directory oder anderen unterstützten Identitätsspeichern überwacht werden. Wenn SAML auf FortiGate als Dienstanbieter konfiguriert ist, kann FortiClient denselben SSO-Ablauf für VPN und zugehörige Zugriffe gemäß Ihren FortiOS- und SSL-VPN-Einstellungen verwenden.
