Vorheriges Thema Nächstes Thema

SAML Single Sign-On Konfiguration

Hinweis: SSO für Anwendungen ist nur mit dem Endpoint MFA.

ADSelfService Plus verwendet die sichere und weit verbreitete Industriestandard Security Assertion Markup Language 2.0 (SAML 2.0) für SSO. Es unterstützt auch Multi-Faktor-Authentifizierung während der Anmeldung, um Sicherheit zu gewährleisten.

Auf dieser Seite behandeln wir:

• IdP-initiierten vs. SP-initiierten SSO Ablauf
• Unterstützte Anwendung
• Konfiguration von SAML Assertion Attributen
• Erneuerung der SAML-Zertifizierung

Identity Provider-initiiert vs. Service Provider-initiiert Ablauf:

Es gibt zwei Möglichkeiten, wie Benutzer sich mit SSO bei einer Anwendung oder einem Dienst anmelden können.

Hierbei bezeichnet der Identity Provider (IdP) ADSelfService Plus und der Service Provider (SP) die Cloud-Anwendung oder den Dienst. Um SSO zu starten, können Benutzer entweder beim IdP oder beim SP beginnen.

Bei einem IdP-initiierten SSO melden sich Benutzer auf der ADSelfService Plus-Seite an und klicken auf eine Anwendung. Die Anwendung wird in einem neuen Tab geöffnet und die Benutzer werden automatisch angemeldet.

Bei einem SP-initiierten SSO werden Benutzer beim Klicken auf einen Anwendungslink zur Anmeldeseite des SP weitergeleitet. Nach Eingabe ihres Benutzernamens oder Auswahl der SAML SSO-Option leitet der SP die Benutzer zum IdP weiter. Benutzer müssen sich dann beim IdP anmelden, um Zugriff auf den SP zu erhalten.

ADSelfService Plus unterstützt für einige Anwendungen nur einen dieser Abläufe.

Unterstützte Anwendungen

ADSelfService Plus ermöglicht Active Directory-basierte SSO für jede SAML-fähige Anwendung.

• Benutzerdefinierte Anwendungen
• Vorgefertigte Anwendungen

SAML-Assertion-Attribute

Mit dieser Einstellung können Sie die Attribute auswählen, die im SAML-Antworttoken enthalten sein sollen, das von ADSelfService Plus an den Dienstanbieter gesendet wird, um die Identität eines Benutzers zu bestätigen. Dies ist auch nützlich bei der Just-in-Time-Bereitstellung für Dienstanbieter, die spezifische Attribute benötigen, um die Konfiguration abzuschließen und somit die Anmeldung zu ermöglichen.

1. Gehen Sie zu Konfiguration → Self-Service → Passwortsynchronisierung/Single Sign On → Anwendung hinzufügen.
2. Wählen Sie die gewünschte Anwendung aus und gehen Sie zur Konfigurationsseite.
3. Navigieren Sie zu Erweitert → SAML-Assertion-Attribute.

   

4. Klicken Sie auf das Symbol, um ein neues SAML-Assertion-Attribut hinzuzufügen, und geben Sie Folgendes ein:
   • Attribut: Name des Attributs auf der Seite des Dienstanbieters, z. B. ApplicationID.
   • Wert: Active Directory-Attribute und die über ADSelfService Plus hinzugefügten benutzerdefinierten Attribute sind in diesem Dropdown-Menü aufgeführt. Sie sollten die Option auswählen, die denselben Wert speichert wie das zuvor ausgewählte Attribut des Dienstanbieters, z. B. name.
5. Klicken Sie auf Speichern.

Erneuerung der SAML-Zertifizierung

Ein SAML-Zertifikat ist erforderlich, um eine Vertrauensbeziehung zwischen dem Identitätsanbieter (IdP) und dem Dienstanbieter (SP) herzustellen. Es stellt sicher, dass Nachrichten zwischen dem erwarteten SP und IdP übertragen werden. Dieses Zertifikat hat ein Ablaufdatum, und es ist wichtig, das Zertifikat vor dem Ablauf zu erneuern, um sicherzustellen, dass Benutzer beim Zugriff auf die Anwendungen über Single Sign-On keine Probleme haben.

1. Melden Sie sich an bei ADSelfService Plus.
2. Gehen Sie zu Konfiguration → Self-Service → Passwortsynchronisierung/Single Sign On.
3. Klicken Sie in der Liste der angezeigten Anwendungen auf den Erneuern- Button in der Spalte Zertifikatablauf neben der Anwendung, für die Sie das SAML-Zertifikat erneuern möchten.



4. Nach dem Klicken auf Erneuern erscheint ein Pop-up. Klicken Sie auf X.509-Zertifikat herunterladen im Pop-up, um das neueste SAML-Zertifikat herunterzuladen.



5. Klicken Sie als Nächstes im selben Pop-up auf IdP-Metadaten herunterladen , um die neueste Metadatendatei herunterzuladen.
Hinweis:
• Einige Anwendungen erfordern für die SSO-Konfiguration sowohl das Zertifikat als auch die Metadaten, während andere möglicherweise nur eines davon benötigen. Lesen Sie die SSO-Konfigurationsschritte für die Zielanwendung, bevor Sie das SAML-Zertifikat für diese Anwendung erneuern.
• Das generierte SAML-Zertifikat ist ab dem Erneuerungszeitpunkt zwei Jahre gültig.
6. Aktualisieren Sie das neueste Zertifikat und die Metadaten in den SAML-Einstellungen der Zielanwendung.

Vorheriges ThemaNächstes Thema