Integration von SAML2-Verbundidentitäten
Verwenden Sie Azure AD?
Bevor Sie fortfahren, sollten Sie, wenn Sie Azure AD verwenden, eine bessere Möglichkeit nutzen: Azure AD Enterprise Application Integration (SSO/Office365).
Die SAML2-Integration ist in der Lage, Single Sign-On (SSO) mit dem Azure Active Directory (Azure AD) oder ActiveDirectory Federation Services (AD FS) Ihres Unternehmens zu ermöglichen.
Einführung
Bevor wir beginnen, geben wir eine kurze Einführung in die SAML2-Integration:
Da es sich um eine Integration handelt, sind zwei Systeme beteiligt, die konfiguriert werden müssen:
- Der Identitätsanbieter (IdP), also Azure AD oder AD FS:
Der IdP muss so konfiguriert werden, dass er der GoBright Plattform als Dienstanbieter vertraut, und die Ansprüche müssen konfiguriert werden.Bitte beachten Sie: Für die Aktivierung von SAML in Azure AD benötigen Sie Azure AD Premium P1 oder höher, für SAML in AD FS gibt es keine zusätzlichen Anforderungen.
- Die GoBright Plattform ist der Service Provider (SP):
Die SAML-Integration muss als "Integration" vom Typ "SAML" im Portal erstellt werden, wobei Sie die Details des IdP konfigurieren müssen.
Sie können eine SAML-Integration in einer GoBright Umgebung haben.
Bei entsprechender Konfiguration können Sie auch automatisch Benutzer erstellen, so dass Benutzer, die dem System unbekannt sind, nach erfolgreicher SAML-basierter Anmeldung automatisch erstellt werden.
Schritt 1: Erstellen Sie die SAML-Integration im GoBright Portal
Integrationen werden im Admin-Center konfiguriert. Melden Sie sich mit Ihrem Admin-Konto bei GoBright an und klicken Sie auf die Schaltfläche "Wechseln" in der oberen rechten Ecke.
Im Verwaltungszentrum können Sie oben auf "Integrationen" klicken.
Hier können Sie eine neue Integration "hinzufügen". Geben Sie der Integration einen Namen, setzen Sie das "Externe System" auf "SAML" und speichern Sie.
Nun werden Sie weitere Details sehen, zunächst müssen Sie Folgendes kopieren:
- Kennung der vertrauenswürdigen Partei / Entity Id".
- Antwort-URL (Assertion Consumer Service URL)'.
Diese beiden werden Sie im nächsten Schritt benötigen.
Sie können nun mit Schritt 2 fortfahren, die anderen Angaben auf diesem Bildschirm werden in Schritt 3 ausgefüllt.
Schritt 2: Konfigurieren Sie den IdP
Nun müssen Sie den IdP konfigurieren. Wählen Sie den IdP, den Sie verwenden, unten aus, und folgen Sie den Schritten in einem unserer nächsten Artikel:
- SAML in Azure AD konfigurieren
- SAML in AD FS konfigurieren
- SAML in OneLogin konfigurieren
- SAML in SURF konfigurieren
- SAML in Okta konfigurieren
Wenn Sie diesen Schritt abgeschlossen haben, fahren Sie bitte mit Schritt 3 unten fort.
Schritt 3: Konfigurieren Sie die SAML-Integration im Portal GoBright
In Schritt 2 haben Sie den IdP konfiguriert, und als Ergebnis haben Sie 3 Informationen:
- Single Sign-on Dienst Url
- Einzelne Abmeldedienst-URL
- Token-Signatur-Zertifikat
Nun müssen Sie die letzten Schritte im Portal GoBright konfigurieren:
- Gehen Sie zurück zum Portal GoBright und melden Sie sich mit einem Manager-Benutzer an, falls Sie das noch nicht sind.
- Gehen Sie zu Einstellungen > Integrationen
- Öffnen Sie die in Schritt 1 erstellte "SAML"-Integration.
- Füllen Sie nun die Felder mit den entsprechenden Daten aus:
- Single Sign-on Dienst Url
- Einzelne Abmeldedienst-URL
- Token-Signatur-Zertifikat
- Die "Verwandte Exchange/Office365-Integration" sollte auf die Exchange/Office365-Konfiguration gesetzt werden, die im Portal konfiguriert ist und in der diese Benutzer ihre Postfächer haben.
- Wie Sie die automatische Benutzererstellung aktivieren, erfahren Sie in Schritt 4 unten.
- Die "direkte Anmelde-URL" ist ein Link, den Sie z. B. in Ihrem Intranet veröffentlichen können. Dieser Link verweist automatisch auf die konfigurierte SAML-Integration und führt eine direkte Anmeldung durch. Wenn ein Benutzer sich ohne "direkte Login-URL" anmelden möchte, kann er zu www.gobright.com gehen, "Login" wählen und seine E-Mail-Adresse eingeben. Anhand der E-Mail-Adresse wird der Anmeldevorgang gestartet.
Schritt 4: Aktivieren der automatischen Benutzererstellung
Um das automatische Anlegen von Benutzern zu ermöglichen, sind zwei Schritte erforderlich:
- Konfigurieren Sie die SAML-Integration so, dass die automatische Benutzererstellung aktiviert ist, und wählen Sie die Standardrolle für automatisch erstellte Benutzer.
- Die Plattform muss wissen, welche Unternehmensdomänen zu Ihrer Umgebung gehören, z. B. "@company.com".
Bitte übermitteln Sie diese Domains über das Anfrageformular an GoBright .
Geben Sie in Ihrer Anfrage Folgendes an: Ihre Organisation, die Domänen, die Sie für die automatische Benutzererstellung verwenden möchten.
Bitte beantragen Sie dies über dieses Formular.Wenn Sie GoBright zur Verfügung stellen, wird dies konfiguriert, und Sie erhalten eine Rückmeldung.
Fehlersuche
Fehlersuche bei AD FS
Wenn der SAML-Prozess nicht funktioniert oder unerwartete Fehlermeldungen ausgibt, ist es am einfachsten, im Windows-Ereignisprotokoll nachzusehen, welche Probleme vorliegen könnten.
- Anmeldung bei Ihrem AD FS-Server
- Starten Sie die Ereignisanzeige (führen Sie Verwaltung > Ereignisanzeige aus)
- Wählen Sie in der linken Baumansicht: Anwendungen und Dienstprotokolle > AD FS > Admin
- Wahrscheinlich werden Sie die Probleme gleich in den obersten Punkten sehen, aber wenn Sie sie nicht sehen, können Sie die "Suchen"-Optionen in den "Aktionen" auf der rechten Seite verwenden. Suchen Sie dann nach dem Begriff "SAML".