Konfigurer SAML i AD FS

1. Log ind på din AD FS server
2. Start AD FS-administrationskonsollen
3. Vælg "Relying Party Trust" i trævisningen til venstre og "Add Relying Party Trust..." i panelet Actions.
   Vælg "Claims aware" i guiden "Add Relying Party Trust Wizard", og klik på "Start".
   
4. I "Vælg datakilde" skal du vælge "Indtast data om den afhængige part manuelt".
   Klik derefter på 'Næste'.
   
5. I 'Angiv visningsnavn' skal du udfylde 'Visningsnavn' med '.GoBright'.
   Klik derefter på 'Næste'.
   
6. Klik på "Næste" i "Konfigurer certifikat".
   
7. I "Configure URL" skal du vælge "Enable support for the SAML 2.0 WebSSO protocol".
   Udfyld 'Relying party SAML 2.0 SSO service URL' med 'Svar-URL (Assertion Consumer Service URL)', som du har fundet i trin 1.
   Klik derefter på 'Næste'.
   
8. I 'Konfigurer identifikatorer':
   Udfyld 'Relying party trust identifier' med: 'Identifikator for den afhængige part / Entitets-id'
   Klik derefter på 'Tilføj' og 'Næste'.
   
9. I 'Choose Access Control Policy' kan du konfigurere, hvem der skal have adgang til GoBright. Sørg for, at du (som minimum) har adgang med den konto, du vil bruge til at teste SAML-integrationen.
   Klik derefter på 'Næste'.
   
10. I "Klar til at tilføje tillid" kan du gennemgå indstillingerne og klikke på "Næste".
11. I "Finish" skal du markere "Configure claims issuance policy for this application" og klikke på "Close".
    

1. Åbn egenskaberne for Claims Issuance Policy (hvis den ikke allerede er åben):
   
2. Vælg 'Tilføj regel ...':
   
3. Guiden 'Tilføj transformationsregel' åbnes.
   Vælg som 'Claim rule template' indstillingen 'Send LDAP-attributter som Claims'.
   Klik derefter på 'Næste'.
   
4. Konfigurer nu claim-reglen:
   - Indstil 'Claim rule name' til: GoBright standardkrav
   - Indstil 'Attributlager' til: Active Directory
   - Konfigurer 'Tilknytning af LDAP-attributter til udgående kravtyper' med præcis værdier:
   (kopier og indsæt venligst værdierne)
   

   LDAP-attribut	Udgående kravtype	Påkrævet
   Bruger-hovedperson-navn	Navn ID	ja
   Visningsnavn	Almindeligt navn	ja
   objektGuid	http://schemas.microsoft.com/identity/claims/objectidentifier	ja
   [din pinkode-attribut].	gobright.pincode	nej
   [din nfc-attribut]	gobright.nfc	nej
   [din standard costcenter-attribut].	gobright.defaultcostcenteridorname	nej

   Bemærk: Den udgående kravtype 'Name ID' vil blive brugt som brugerens e-mailadresse i GoBright. Det er vigtigt, at det er den primære e-mailadresse i brugerens postkasse. I de fleste tilfælde er brugerens principielle navn det samme som den primære e-mailadresse, men i dit specifikke tilfælde kan det være anderledes.

   

5. Klik derefter på 'Afslut', og klik på 'OK'.

1. Bekræft, at 'Sikker hashalgoritme' er indstillet til 'SHA-256' ved at følge disse trin.
2. Åbn egenskaberne for 'GoBright' Relying Party Trusts
3. Åbn fanen 'Avanceret'
4. Indstil 'Sikker hashalgoritme' til 'SHA-256', hvis den ikke allerede er det.
5. Klik på 'OK'.
   

1. I AD FS-administrationskonsollen skal du vælge "Certifikater" i trævisningen til venstre.
2. Højreklik på det aktive 'Token-signing'-certifikat.
3. Vælg "Vis certifikat".
   
4. Vælg fanen "Detaljer", og vælg "Kopier til fil ...".
   
5. Guiden "Certificate Export Wizard" åbnes, klik på "Next".
   Vælg "Base-64-kodet X.509 (.CER)", og klik på "Næste".
   
6. Gem filen et sted, du ønsker, for eksempel i 'C:tokencertificate.cer'.
7. Klik på 'Næste' og 'Afslut'.
8. Åbn nu 'Notepad', og indlæs det eksporterede certifikat (for eksempel 'C:tokencertificate.cer').
9. Du vil nu se tekstindholdet i følgende format:
   

   -----BEGIN CERTIFICATE-----
   ..........DATA.............
   -----END CERTIFICATE-----

   Det skal du bruge i trin 3 for at konfigurere GoBright .

Bestem venligst service-url'en for din AD FS-installation.

Bestem 'Single Sign-on service url':

• For det meste er 'Single Sign-on service url' i følgende format:
  

  https://[adfs service url, e.g. adfs.company.com]/adfs/ls

• Et eksempel fra den virkelige verden kunne være:

  https://adfs.company.com/adfs/ls

Bestem 'Single Logout service url':

• 'Single Logout service url' er 'Single Sign-on service url' plus følgende udvidelse:

  /?wa=wsignout1.0

• Det fulde format ville så være:

  https://[adfs service url, e.g. adfs.company.com]/adfs/ls/?wa=wsignout1.0

• Et eksempel fra den virkelige verden kunne være:

  https://adfs.company.com/adfs/ls/?wa=wsignout1.0

Du skal bruge disse oplysninger i trin 3 for at konfigurere GoBright .