Hallo!
Brauchen Sie Hilfe? Wir sind hier!
Brauchen Sie Hilfe? Wir sind hier!
Search Results:
×Die Single Sign-On (SSO)-Lösung von miniOrange ermöglicht sicheren Single Sign-On- Zugriff auf MediaWiki mit nur einem Satz Anmeldedaten. Sie können sich mit Ihren miniOrange-Anmeldedaten, Azure AD-Anmeldedaten oder den Anmeldedaten eines Ihrer bestehenden Identitätsanbieter bei MediaWiki anmelden. Mit den miniOrange SSO-Diensten können Sie sich neben MediaWiki auch bei anderen lokalen und Cloud-Anwendungen mit Ihren bestehenden Anmeldedaten Ihrer Identitätsanbieter/Benutzerdatenbanken (Azure Active Directory, Okta, Ping) anmelden . Folgen Sie der bereitgestellten Einrichtungsanleitung, um SAML SSO für Ihr MediaWiki-Konto zu integrieren.
miniOrange bietet Benutzerauthentifizierung aus verschiedenen externen Quellen, darunter Verzeichnisse (wie ADFS, Microsoft Active Directory, OpenLDAP, AWS usw.), Identitätsanbieter (wie Microsoft Entra ID, Okta, AWS) und viele mehr. Sie können Ihr bestehendes Verzeichnis/Ihren Benutzerspeicher konfigurieren oder Benutzer in miniOrange hinzufügen.
Holen Sie sich IdP-Metadatendetails zum Hochladen auf Mediawiki:
# miniOrange SAML-Erweiterungseinstellungen # Lädt die SAML-Erweiterung # Für 1.25 und höher wfLoadExtension( 'SamlSingleSignOnAuth' ); # Für 1.24 und darunter require_once "extensions/SamlSingleSignOnAuth/SamlSingleSignOnAuth.php"; # Geben Sie den IDP-Namen ein $wgMoSamlIdpName = 'miniOrange'; # Geben Sie die SAML-Aussteller-URL oder die Entitäts-ID ein $wgMoSamlIssuer = 'https://login.xecurify.com/moas'; # Geben Sie hier die SAML-Anmelde-URL oder die ACS-URL (Assertion Consumer Service) ein $wgMoSamlLoginURL = 'https://login.xecurify.com/moas/idp/samlsso'; # Legen Sie den Bindungstyp für die Anmeldung fest. Zwei mögliche Werte – HttpRedirect und HttpPost $wgMoSamlLoginBindingType = 'HttpRedirect'; # Geben Sie die Zertifikatsinformationen ein. $wgMoSamlX509CertDesc = '-----BEGIN CERTIFICATE----- . . . . . . . . . . . . . -----END CERTIFICATE-----'; # Nur auf „true“ setzen, wenn SAML über miniOrange vermittelt wird $wgMoSamlIsBrokerOn = false; # OPTIONAL – Geben Sie ggf. den Relay-Status ein $wgMoSamlRelayState = ''; # Auf „true“ setzen, wenn die Antwort signiert ist, standardmäßig auf „false“ setzen $wgMoSamlIsResponseSigned = false; # Auf „true“ setzen, wenn die Assertion signiert ist, standardmäßig auf „true“ setzen $wgMoSamlIsAssertionSigned = true; # Auf „true“ setzen, wenn Sie den Benutzer bei jeder Benutzeranmeldung mit eingehenden Attributen aktualisieren möchten $wgMoSamlUpdateUser = true; # Benutzer automatisch erstellen, wenn der Benutzer nicht existiert $wgMoSamlCreateUser = true; # Attribute zuordnen $wgMoSamlEmailAttr = 'E-Mail'; $wgMoSamlUsernameAttr = 'Benutzername'; $wgMoSamlFNameAttr = 'Fname'; $wgMoSamlLNameAttr = 'Lname'; $wgMoSamlGroupAttr = 'Rolle'; # Standardgruppe für Benutzer festlegen $wgMoSamlDefaultGroup = 'Benutzer'; # OPTIONAL – Legen Sie dies fest, um $wgServer als Site-URL in der Erweiterung zu überschreiben. Bitte stellen Sie sicher, dass dies # die URL ist, unter der MediaWiki gehostet wird, und dass '/extensions/SamlSingleSignOnAuth/' daran angehängt werden kann. $wgMoSamlServer = 'https:// /mediawiki';
| wgMoSamlIdpName | Geben Sie hier den Namen des IDP ein. Beispiel: miniOrange |
| wgMoSamlIssuer | Geben Sie hier die Aussteller-/Entitäts-ID des IDP ein. Beispiel: https://login.xecurify.com/moas |
| wgMoSamlLoginURL | Geben Sie hier die SAML-Anmelde-URL oder die ACS-URL (Assertion Consumer Service) des IDP ein. Beispiel: https://login.xecurify.com/moas/idp/samlsso |
| wgMoSamlX509CertDesc | Öffnen Sie das Zertifikat im Editor und kopieren/fügen Sie den gesamten Inhalt hier ein. |
| wgMoSamlIsBrokerOn | Auf „true“ setzen, wenn miniOrange Broker für einen anderen IDP ist. Standardmäßig auf „false“ setzen. |
| wgMoSamlRelayState | Geben Sie hier die Relay State-URL des IDP ein. |
| wgMoSamlIsResponseSigned | Auf „True“ setzen, wenn die Antwort vom IDP signiert ist. Standardmäßig auf „False“ setzen. |
| wgMoSamlIsAssertionSigned | Auf „true“ setzen, wenn die Antwort vom IDP signiert ist. Standardmäßig auf „true“ setzen. |
| wgMoSamlUpdateUser | Setzen Sie dies auf „true“, wenn Sie den Benutzer bei jeder Anmeldung mit eingehenden Attributen aktualisieren möchten. |
| wgMoSamlCreateUser | Setzen Sie dies auf „true“, wenn Sie Benutzer automatisch erstellen möchten. Wenn Sie den Zugriff nur auf registrierte Benutzer beschränken möchten, setzen Sie dies auf „false“. |
| wgMoSamlEmailAttr | Geben Sie den Attributnamen ein, der die MediaWiki-E-Mail enthält. Verwenden Sie NameID wenn die E-Mail im Betreffelement steht. |
| wgMoSamlUsernameAttr | Geben Sie den Attributnamen ein, der den MediaWiki-Benutzernamen enthält. Verwenden Sie NameID wenn der Benutzername im Betreffelement steht. |
| wgMoSamlFNameAttr | OPTIONAL – Geben Sie den Attributnamen ein, der den Vornamen von MediaWiki enthält. |
| wgMoSamlUsernameAttr | OPTIONAL – Geben Sie den Attributnamen ein, der den MediaWiki-Nachnamen enthält. |
| wgMoSamlGroupAttr | Geben Sie den Attributnamen ein, der die MediaWiki-Gruppe/-Rolle enthält. |
| wgMoSamlDefaultGroup | Dies ist der MediaWiki-Standardgruppen-/Rollenname, dem Benutzer zugeordnet werden. |
| wgMoSamlServer | OPTIONAL – Dies ist die URL, unter der MediaWiki gehostet wird. Daran kann „/extensions/SamlSingleSignOnAuth/“ angehängt werden. Beispiel: https:// /Medienwiki |
Testen Sie die SSO-Anmeldung bei Ihrem Mediawiki-Konto mit miniOrange IdP:
Kontaktieren Sie uns oder senden Sie uns eine E-Mail an idpsupport@xecurify.com , und wir helfen Ihnen umgehend bei der Einrichtung.
miniOrange bietet Benutzerauthentifizierung aus verschiedenen externen Quellen, darunter Verzeichnisse (wie ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito usw.), Identitätsanbieter (wie Okta, Shibboleth, Ping, OneLogin, Keycloak), Datenbanken (wie MySQL, MariaDB, PostgreSQL) und viele mehr . Sie können Ihr bestehendes Verzeichnis/Ihren Benutzerspeicher konfigurieren oder Benutzer in miniOrange hinzufügen.
1. Benutzer in miniOrange erstellen
2. Massenupload von Benutzern in miniOrange durch Hochladen einer CSV-Datei.
Hier ist die Liste der Attribute und was sie bewirken, wenn wir sie aktivieren. Sie können sie entsprechend aktivieren/deaktivieren.
| Attribut | Beschreibung |
|---|---|
| Aktivieren Sie LDAP | Alle Benutzerauthentifizierungen werden mit LDAP-Anmeldeinformationen durchgeführt, wenn Sie es aktivieren |
| Fallback-Authentifizierung | Wenn die LDAP-Anmeldeinformationen fehlschlagen, wird der Benutzer über miniOrange authentifiziert. |
| Administratoranmeldung aktivieren | Wenn Sie dies aktivieren, wird Ihr miniOrange Administrator-Login über Ihren LDAP-Server authentifiziert. |
| Benutzern IdP anzeigen | Wenn Sie diese Option aktivieren, ist dieser IdP für Benutzer sichtbar |
| Benutzer in miniOrange synchronisieren | Benutzer werden in miniOrange nach der Authentifizierung mit LDAP erstellt |
An SP gesendeter Attributname = Organisation
Attributname vom IDP = Unternehmen
Die Konfiguration „AD als externes Verzeichnis einrichten“ ist abgeschlossen.
Hinweis: In unserer Anleitung erfahren Sie , wie Sie LDAP auf einem Windows-Server einrichten.
miniOrange lässt sich in verschiedene externe Benutzerquellen wie Verzeichnisse, Identitätsanbieter usw. integrieren.
Kontaktieren Sie uns oder senden Sie uns eine E-Mail an idpsupport@xecurify.com , und wir helfen Ihnen umgehend bei der Einrichtung.
Die adaptive Authentifizierung für MediaWiki ermöglicht Administratoren die Durchsetzung kontextbezogener Zugriffsrichtlinien durch die Auswertung von Benutzeranmeldebedingungen wie IP-Adresse, Gerät, Standort und Anmeldezeitpunkt. Basierend auf der konfigurierten Richtlinie kann Benutzern der Zugriff gewährt, eine zusätzliche Verifizierung angefordert oder der Zugriff verweigert werden. Administratoren können zudem E-Mail-Benachrichtigungen konfigurieren, Fehlermeldungen für Benutzer anpassen, Richtlinieneinstellungen vor der Bereitstellung überprüfen und adaptive Authentifizierungsrichtlinien Anwendungsanmelderichtlinien zuweisen, um die Sicherheit zu erhöhen und unberechtigten Zugriff zu verhindern.
[Hinweis: Der Abschnitt „Adaptive Authentifizierung“ wurde aus dem linken Navigationsmenü verschoben. Sie können nun auf adaptive Authentifizierungsrichtlinien zugreifen und diese verwalten, indem Sie zu „Richtlinien“ >> „Adaptive Zugriffsrichtlinie“ navigieren.]
A. Beschränkung des Zugriffs auf MediaWiki mittels IP-basierter Zugriffsbeschränkung
Die IP-basierte Zugriffsbeschränkung ermöglicht Administratoren die Steuerung des Benutzerzugriffs anhand der Quell-IP-Adresse der Anmeldeanfrage. Administratoren können vertrauenswürdige oder eingeschränkte IP-Adressen und IP-Bereiche konfigurieren und festlegen, welche Aktion ausgeführt werden soll, wenn die IP-Adresse eines Benutzers den konfigurierten Kriterien entspricht. Während der Authentifizierung wird die IP-Adresse des Benutzers anhand der konfigurierten Richtlinie geprüft, und der Zugriff wird je nach Konfiguration entweder erlaubt, verweigert oder überprüft .
Sie können die adaptive Authentifizierung mit IP-basierter Beschränkung wie folgt konfigurieren:
| Attribut (Option) | Beschreibung |
|---|---|
| Erlauben | Erlauben Sie Benutzern die Authentifizierung und Nutzung von Diensten, wenn die Bedingung für die adaptive Authentifizierung erfüllt ist. |
| Ablehnen | Verweigern Sie Benutzerauthentifizierungen und den Zugriff auf Dienste, wenn die Bedingung für die adaptive Authentifizierung erfüllt ist. |
| Herausforderung | Fordern Sie Benutzer mit einer der drei unten genannten Methoden zur Überprüfung der Benutzerauthentizität heraus. |
| Attribut | Beschreibung |
|---|---|
| Benutzer zweiter Faktor | Der Benutzer muss sich mit dem zweiten Faktor authentifizieren, den er gewählt oder zugewiesen hat, wie zum Beispiel
|
| KBA (Wissensbasierte Authentifizierung) | Das System stellt dem Benutzer zwei von drei Fragen, die er in seiner Self-Service-Konsole konfiguriert hat. Erst wenn beide Fragen richtig beantwortet wurden, kann der Benutzer fortfahren. |
| OTP über alternative E-Mail | Der Benutzer erhält ein OTP an die alternative E-Mail-Adresse, die er über die Self-Service-Konsole konfiguriert hat. Sobald der Benutzer das richtige OTP angegeben hat, kann er fortfahren. |
B. Beschränkung des Zugriffs auf MediaWiki mittels gerätebasierter Zugriffsbeschränkung
Die gerätebasierte Zugriffsbeschränkung ermöglicht Administratoren die Steuerung des Benutzerzugriffs anhand vertrauenswürdiger und registrierter Geräte. Mithilfe von Geräteidentifizierungs- und Verifizierungsmechanismen können Administratoren Richtlinien definieren, die das während der Authentifizierung verwendete Gerät auswerten. Beim Anmeldeversuch eines Benutzers wird das Gerät anhand der konfigurierten Richtlinie geprüft und die entsprechende Aktion – Zulassen, Hinterfragen oder Verweigern – basierend auf den konfigurierten Bedingungen angewendet.
Sie können die adaptive Authentifizierung mit gerätebasierter Einschränkung wie folgt konfigurieren:
C. Einschränkung des Zugriffs auf MediaWiki durch standortbasierte Zugriffsbeschränkung
Bei Standortbeschränkungen konfiguriert der Administrator eine Liste von Standorten, an denen sich Endbenutzer je nach den vom Administrator festgelegten Bedingungen anmelden oder der Zugriff verweigert werden soll. Wenn sich ein Benutzer mit aktivierter adaptiver Authentifizierung anmeldet, werden seine Standortattribute (z. B. Breitengrad, Längengrad und Ländercode) mit der vom Administrator konfigurierten Standortliste abgeglichen. Basierend darauf wird dem Benutzer der Zugriff entweder erlaubt, eine Abfrage durchgeführt oder verweigert.
Sie können die adaptive Authentifizierung mit standortbasierter Einschränkung wie folgt konfigurieren:
D. Beschränkung des Zugriffs auf MediaWiki durch zeitbasierte Zugriffsbeschränkung
Bei der Zeitbeschränkung konfiguriert der Administrator eine Zeitzone mit Start- und Endzeit. Benutzer erhalten je nach den in der Richtlinie festgelegten Bedingungen entweder Zugriff, werden abgewiesen oder zur Eingabe einer Sicherheitsabfrage aufgefordert. Wenn sich ein Endbenutzer mit aktivierter adaptiver Authentifizierung anmeldet, werden seine zeitzonenbezogenen Attribute wie Zeitzone und aktuelle Systemzeit mit der vom Administrator konfigurierten Liste abgeglichen. Basierend auf dieser Konfiguration wird der Benutzer entweder zugelassen, abgewiesen oder zur Eingabe einer Sicherheitsabfrage aufgefordert.
Sie können die adaptive Authentifizierung mit zeitbasierter Beschränkung wie folgt konfigurieren:
E. E-Mail-Benachrichtigungen und benutzerdefinierte E-Mail-Nachrichten
Dieser Abschnitt behandelt Benachrichtigungen und Warnungen im Zusammenhang mit der Richtlinie für adaptiven Zugriff. Er bietet folgende Optionen:
| Option | Beschreibung |
|---|---|
| Benutzer melden sich von unbekannten IP-Adressen, Geräten oder Standorten aus an | Durch Aktivieren dieser Option können Sie sich von unbekannten IP-Adressen oder Geräten und sogar Standorten aus anmelden. |
| Herausforderung abgeschlossen und Gerät registriert | Durch Aktivieren dieser Option können Sie eine E-Mail-Benachrichtigung senden, wenn ein Endbenutzer eine Herausforderung abschließt und ein Gerät registriert. |
| Herausforderung abgeschlossen, aber Gerät nicht registriert | Durch Aktivieren dieser Option können Sie eine E-Mail-Benachrichtigung senden, wenn ein Endbenutzer eine Herausforderung abschließt, das Gerät jedoch nicht registriert. |
| Herausforderung fehlgeschlagen | Durch Aktivieren dieser Option können Sie eine E-Mail-Benachrichtigung senden, wenn ein Endbenutzer die Herausforderung nicht meistert. |
F. Überprüfung
Überprüfen Sie die konfigurierten Richtlinienbedingungen, Verhaltensänderungsaktionen, E-Mail-Benachrichtigungseinstellungen und benutzerdefinierten Fehlermeldungen, bevor Sie die adaptive Authentifizierungsrichtlinie erstellen. Dieser Schritt bietet eine Übersicht aller konfigurierten Einstellungen, sodass Sie die Richtlinienkonfiguration überprüfen und gegebenenfalls Änderungen vornehmen können, bevor Sie sie speichern.
