|
|
|
|
|
In diesem Thema werden einige Hinweise zu unserem Test von Single Sign-On per SAML mit den unterstützten Identitätsanbietern dokumentiert. Diese können Ihnen bei der Konfiguration und beim Testen Ihrer Implementierung Unterstützung bieten.
Hinweis: Ihre Organisation stellt möglicherweise Anforderungen an den Identitätsanbieter, die die für die MOVEit-Konfiguration nötigen Anforderungen übersteigen. Aus diesem Grund können wir kein vollständiges Schritt-für-Schritt-Verfahren für die Konfiguration des Identitätsanbieters bereitstellen. Detaillierte Informationen zur Konfiguration finden Sie in der Dokumentation Ihres Identitätsanbieters.
Weitere Informationen zu den MOVEit-Einstellungen, die für die SAML-Single Sign-On-Unterstützung erforderlich sind, finden Sie auf der Seite Benutzerauthentifizierung – Single Sign-On.
Hinweis: Wenn Sie Clientzertifikate verwenden möchten, müssen Sie den Identitätsanbieter für deren Verarbeitung konfigurieren. Das SAML-Single Sign-On-Verfahren in MOVEit Transfer unterstützt Clientzertifikate nicht. In MOVEit Transfer muss unter dem Benutzerprofil für SAML-Benutzer die Option SSL Client Certificate Required (SSL-Clientzertifikat erforderlich) auf No (Nein) eingestellt werden.
Im Folgenden finden Sie Hinweise zu unseren Testkonfigurationen mit ADFS als Identitätsanbieter. Die Hinweise gehen davon aus, dass ADFS mit einem Active Directory-Server verbunden ist.
Ab Windows Server 2012 bezeichnet Microsoft ADFS als Windows Server AD FS. Beide Abkürzungen bezeichnen die Microsoft Active Directory-Verbunddienste.
Hinweise zur Installation/Konfiguration des Identitätsanbieters
Konfigurieren Sie die MOVEit-Einstellungen, die für ADFS erforderlich sind.
Der SAML-Dienstanbieter und -Identitätsanbieter müssen gegenseitig registriert werden, um den Anforderungen und Assertionen, die zwischen den beiden Servern ausgetauscht werden, ordnungsgemäß vertrauen zu können. Dies erfolgt in der Regel durch den Austausch von Metadatendateien, in denen XML-Beschreibungen der Dienste, Endpunkte und Zertifikate der Server enthalten sind.
Registrieren Sie MOVEit als vertrauende Seite in ADFS. Verwenden Sie die ADFS-Verwaltungskonsole, um eine Vertrauensstellung der vertrauenden Seite hinzuzufügen. Hier können Sie die URL für die Metadatendatei des Dienstanbieters (MOVEit) oder eine Kopie der Metadatendatei bereitstellen.
Die Einstellungen für die Benutzerattribute werden sowohl in der Konfiguration des Identitätsanbieters als auch in den MOVEit-Einstellungen vorgenommen. Diese Einstellungen legen fest, welche Benutzerinformationen (wie Kontoname, allgemeiner Name, E-Mail-Adresse) an MOVEit Transfer in Authentifizierungsassertionen gesendet werden.
Sie legen die Benutzerattribute, die in ADFS als „Claims“ (Ansprüche) bezeichnet werden, über das Dialogfeld „Add Claim Rules“ (Anspruchsregeln hinzufügen) (in der ADFS-Verwaltungskonsole) fest.
Wir legen die folgenden Attribute fest:
Klicken Sie auf der Registerkarte „Issuance Transform Rules“ (Ausstellungstransformationsregeln) auf die Schaltfläche Add Rule (Regel hinzufügen).
Wählen Sie Send Claims Using a Custom Rule (Ansprüche über benutzerdefinierte Regel senden) aus.
Geben Sie einen Regelnamen ein, wie z. B. „Create transient session ID“ (Vorübergehende Sitzungs-ID erstellen).
Geben Sie den folgenden Regeltext ein:
c1:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname"]
&& c2:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationinstant"]
=> add(store = "_OpaqueIdStore",
types = („http://beispiel.de/transientsessionid"),
query = "{0};{1};{2};{3};{4}",
param = "useEntropy",
param = c1.Value,
param = c1.OriginalIssuer,
param = "",
param = c2.Value);
Klicken Sie auf Finish (Fertig stellen), um die Regel hinzuzufügen.
Klicken Sie erneut auf die Schaltfläche Add Rule (Regel hinzufügen).
Wählen Sie Transform an Incoming Claim (Eingehenden Anspruch transformieren) aus.
Geben Sie einen Regelnamen ein, wie z. B. „Send transient session ID as NameID“ (Vorübergehende Sitzungs-ID als Namens-ID senden).
Geben Sie als Typ für den eingehenden Anspruch Folgendes ein: http://beispiel.de/transientsessionid
Wählen Sie Name ID (Namens-ID) als Typ für den ausgehenden Anspruch aus.
Wählen Sie Transient Identifier (Vorübergehende Kennung) als Format für die ausgehende Namens-ID aus.
Klicken Sie auf Finish (Fertig stellen), um die Regel hinzuzufügen.
Wählen Sie in den (MOVEit) Single Sign-On-Einstellungen die Bearbeitung des Identitätsanbieters aus. Legen Sie dann unter „User Settings“ (Benutzereinstellungen) Folgendes fest:
Legen Sie weitere Benutzer- oder Gruppeneinstellungen bei Bedarf fest.
Nachdem MOVEit Transfer auf dem ADFS-Server registriert wurde, muss dies nun auch umgekehrt erfolgen. Sie können wiederum entweder die Metadaten des ADFS-Servers herunterladen (der Speicherort der Metadaten des ADFS-Servers ist in der Regel „<ADFS-Server-URL>/FederationMetadata/2007-06/FederationMetadata.xml“) oder die Metadaten-URL MOVEit Transfer als Teil der Konfiguration des Identitätsanbieters bereitstellen.
Zum Testen der Konfiguration melden Sie sich bei MOVEit als Organisationsadministrator an und kopieren Sie den Direktlink für die Benutzeranmeldung auf der Seite „Edit Federated Identity Provider Settings“ (Einstellungen für Verbundidentitätsanbieter bearbeiten) (für den konfigurierten Identitätsanbieter). Melden Sie sich bei MOVEit ab und fügen Sie dann die kopierte URL in die Adressleiste Ihres Browsers ein. Bei ordnungsgemäßer Konfiguration werden Sie vom Identitätsanbieter authentifiziert und zu MOVEit Transfer weitergeleitet, wo Sie angemeldet werden. (Der Identitätsanbieter kann Sie zur Eingabe der Anmeldedaten auffordern oder nicht. Dies ist von der Konfiguration abhängig.)
Hinweis: Die Anmeldeaufforderung entspricht nicht der MOVEit-Anmeldeseite. Die Anmeldeaufforderung stammt vom Identitätsanbieter (ADFS verwendet ein Standardeingabefenster des Browsers für die Anmeldedaten).
Häufige Konfigurationsprobleme finden Sie auf der Seite Fehlerbehebung von Single Sign-On-Problemen.
Im Folgenden finden Sie Hinweise zu unseren Testkonfigurationen mit Shibboleth als Identitätsanbieter. Die Hinweise gehen davon aus, dass Shibboleth als Benutzerspeicher eingerichtet oder mit einem Active Directory-Server verbunden ist.
Hinweise zur Installation/Konfiguration des Identitätsanbieters
Konfigurieren Sie die MOVEit-Einstellungen, die für Shibboleth erforderlich sind.
Hinweis: Bei Verwendung von selbstsignierten Zertifikaten müssen Sie bei der Konfiguration des Identitätsanbieters die Metadatendatei von MOVEit kopieren, statt die URL für die Metadaten zu verwenden.
Der SAML-Dienstanbieter und -Identitätsanbieter müssen gegenseitig registriert werden, um den Anforderungen und Assertionen, die zwischen den beiden Servern ausgetauscht werden, ordnungsgemäß vertrauen zu können. Dies erfolgt in der Regel durch den Austausch von Metadatendateien, in denen XML-Beschreibungen der Dienste, Endpunkte und Zertifikate der Server enthalten sind.
Hinweis: Derzeit ist Shibboleth nicht in der Lage, die Metadatendatei des Dienstanbieters von MOVEit Transfer herunterzuladen. Aus diesem Grund müssen Sie die Datei, wie unter dem ersten Schritt beschrieben, kopieren.
Die Einstellungen für die Benutzerattribute werden sowohl in der Konfiguration des Identitätsanbieters als auch in den MOVEit-Einstellungen vorgenommen. Diese Einstellungen legen fest, welche Benutzerinformationen (wie Kontoname, allgemeiner Name, E-Mail-Adresse) an MOVEit Transfer in Authentifizierungsassertionen gesendet werden.
Legen Sie weitere Benutzer- oder Gruppeneinstellungen bei Bedarf fest.
Nachdem MOVEit Transfer auf dem Shibboleth-Server registriert wurde, muss dies nun auch umgekehrt erfolgen. Sie können wiederum entweder die Metadaten des Shibboleth-Servers herunterladen oder die Metadaten-URL MOVEit Transfer als Teil der Konfiguration des Identitätsanbieters bereitstellen.
Sie können entweder eine lokale Kopie der Metadatendatei des Identitätsanbieters auswählen [C:\[Ordner]\Metadata.xml] oder die URL von https://<idp-computer>:<port>/idp/shibboleth kopieren. Wählen Sie dann die Option zum Hinzufügen eines Identitätsanbieters aus und fügen Sie die URL in das Feld „Identity Provider Metadata URL“ (Identitätsanbieter-Metadaten-URL) ein.
Zum Testen der Konfiguration melden Sie sich bei MOVEit als Organisationsadministrator an und kopieren Sie den Direktlink für die Benutzeranmeldung auf der Seite „Edit Federated Identity Provider Settings“ (Einstellungen für Verbundidentitätsanbieter bearbeiten) (für den konfigurierten Identitätsanbieter). Melden Sie sich bei MOVEit ab und fügen Sie dann die kopierte URL in die Adressleiste Ihres Browsers ein. Bei ordnungsgemäßer Konfiguration werden Sie vom Identitätsanbieter authentifiziert und zu MOVEit Transfer weitergeleitet, wo Sie angemeldet werden. (Der Identitätsanbieter kann Sie zur Eingabe der Anmeldedaten auffordern oder nicht. Dies ist von der Konfiguration abhängig.)
Hinweis: Die Anmeldeaufforderung entspricht nicht der MOVEit-Anmeldeseite. Die Anmeldeaufforderung stammt vom Identitätsanbieter (Shibboleth verwendet einen eigenen Begrüßungsbildschirm).
Häufige Konfigurationsprobleme finden Sie auf der Seite Fehlerbehebung von Single Sign-On-Problemen.
Im Folgenden finden Sie Hinweise zu unseren Testkonfigurationen mit OneLogin als Identitätsanbieter. Die Hinweise gehen davon aus, dass OneLogin als Benutzerspeicher eingerichtet oder mit einem Active Directory-Server verbunden ist.
Konfigurieren Sie die Dienstanbieter-Einstellungen, die für OneLogin erforderlich sind.
Der SAML-Dienstanbieter und -Identitätsanbieter müssen gegenseitig registriert werden, um den Anforderungen und Assertionen, die zwischen den beiden Servern ausgetauscht werden, ordnungsgemäß vertrauen zu können. Dies erfolgt in der Regel durch den Austausch von Metadatendateien, in denen XML-Beschreibungen der Dienste, Endpunkte und Zertifikate der Server enthalten sind.
Öffnen Sie in den Dienstanbieter-Einstellungen in MOVEit die Metadatendateien des Dienstanbieters und kopieren Sie die Entitäts-ID für die MOVEit Transfer-Organisation. Öffnen Sie dann die Seite OneLogin > Configuration (OneLogin > Konfiguration) und fügen Sie die Entitäts-ID in das Feld SAML Audience (SAML-Publikum) ein.
Kopieren Sie in den Dienstanbieter-Einstellungen in MOVEit die URL für die Assertion-Kundenschnittstelle, öffnen Sie anschließend die Seite OneLogin > Configuration (OneLogin > Konfiguration) und fügen Sie die URL in das Feld SAML Consumer URL (SAML-Kunden-URL) und SAML Recipient (SAML-Empfänger) ein.
Kopieren Sie in den Dienstanbieter-Einstellungen in MOVEit die URL für die Single-Logout-Schnittstelle (Umleitungsmethode), öffnen Sie anschließend die Seite OneLogin > Configuration (OneLogin > Konfiguration) und fügen Sie die URL in das Feld SAML Single Logout URL (SAML-Single-Logout-URL) ein. Für die Single-Logout-Einstellung unterstützt OneLogin derzeit nur die Umleitungsmethode.
Wir haben das Feld RelayState leer gelassen.
Die Einstellungen für die Benutzerattribute werden in den Identitätsanbieter-Einstellungen in MOVEit und in der OneLogin-Konfiguration vorgenommen. Diese Einstellungen legen fest, welche Benutzerinformationen (wie Kontoname, allgemeiner Name, E-Mail-Adresse) an MOVEit Transfer in Authentifizierungsassertionen gesendet werden.
Wählen Sie in den (MOVEit) Single Sign-On-Einstellungen die Bearbeitung des Identitätsanbieters aus. Legen Sie dann unter „User Settings“ (Benutzereinstellungen) den Login name (Anmeldenamen) auf „SAML NameID“ (SAML-Namens-ID) fest. Dies ist die einzige erforderliche Einstellung. Legen Sie weitere Benutzer- oder Gruppeneinstellungen bei Bedarf fest.
Wählen Sie in OneLogin die Registerkarte „Access Control“ (Zugriffssteuerung) aus und wählen Sie die Verwendung von Default role (Standardrolle) aus.
Nachdem MOVEit Transfer auf dem OneLogin-Server registriert wurde, muss dies nun auch umgekehrt erfolgen. Sie müssen die Metadaten-URL MOVEit Transfer als Teil der Identitätsanbieter-Konfiguration bereitstellen.
Kopieren Sie auf der Seite OneLogin > Configuration (OneLogin > Konfiguration) die URL unter Single Signon > Issuer URL (Single Sign-On > Aussteller-URL). Gehen Sie dann zu den MOVEit-Einstellungen und wählen Sie unter Single Sign-On das Hinzufügen eines Identitätsanbieters aus. Fügen Sie die URL in das Feld „Identity Provider Metadata URL“ (Identitätsanbieter-Metadaten-URL) ein.
Zum Testen der Konfiguration melden Sie sich bei MOVEit als Organisationsadministrator an und kopieren Sie die Direktlink-URL von Ihrer Identitätsanbieter-Konfiguration. Melden Sie sich bei MOVEit ab und fügen Sie dann die URL in die Adressleiste Ihres Browsers ein. Bei ordnungsgemäßer Konfiguration werden Sie vom Identitätsanbieter authentifiziert und zu MOVEit Transfer weitergeleitet, wo Sie angemeldet werden. (Der Identitätsanbieter kann Sie zur Eingabe der Anmeldedaten auffordern oder nicht. Dies ist von der Konfiguration abhängig.)
Hinweis: Die Anmeldeaufforderung entspricht nicht der MOVEit-Anmeldeseite. Die Anmeldeaufforderung stammt vom Identitätsanbieter.
Häufige Konfigurationsprobleme finden Sie auf der Seite Fehlerbehebung von Single Sign-On-Problemen.