SAML SSO mit ADFS

Active Directory Federation Services (ADFS) ist Microsofts lokaler Identitätsanbieter, der federierte Identität und Single Sign-on über Anwendungen hinweg ermöglicht. Mit SAML SSO zwischen ADFS und Document360 konfiguriert können sich Ihre Teammitglieder und Leser mit ihren bestehenden Active Directory-Zugangsdaten bei Document360 anmelden.

Was du mit ADFS als deinem IdP machen kannst.

Bevor du anfängst

• Du hast administrativen Zugriff sowohl auf Document360 als auch auf deinen ADFS-Server.
• Du hast Eigentümer - oder Administratorzugriff in deinem Document360-Projekt.
• Öffne Document360 und ADFS in zwei separaten Browser-Tabs. Du musst während der Einrichtung mehrmals zwischen ihnen wechseln.

Schritt 1: Erstellen Sie einen vertrauenswürdigen Trust in ADFS

Fügen Sie die Anwendung in ADFS hinzu

1. Melden Sie sich in der ADFS-Verwaltungskonsole auf Ihrem ADFS-Server an.
2. In der ADFS-Verwaltungskonsole navigieren Sie zu Vertrauensparteien (Vertrauenswürdige Parteitreuer).
3. Klicken Sie mit der rechten Maustaste auf Relying Party Trusts und wählen Sie "Trust für vertrauende Partei hinzufügen".
4. Im Wizard Add Relying Party Trust wählen Sie Claims aware und klicken Sie auf Start.
5. Wählen Sie Daten über die vertrauende Partei manuell eingeben und klicken Sie auf Nächst.
6. Geben Sie einen Anzeigenamen an (zum Beispiel "Document360 SAML SSO") und klicken Sie auf Weiter.
7. Im Schritt Zertifikat konfigurieren klickst du auf Nächste (du kannst das überspringen, wenn du kein Zertifikat benutzt).
8. Unter URL konfigurieren wählen Sie Unterstützung für das SAML 2.0 Web SSO-Protokoll aktivieren.

Schritt 2: ADFS mit den Parametern des Document360-Dienstanbieters konfigurieren

Hol dir die SP-Parameter von Document360

1. Öffne Document360 in einem separaten Tab.
2. Navigiere zu Einstellungen () > Benutzer & Berechtigungen > SSO-Konfiguration.
3. Klicken Sie auf Create SSO.

4. Wählen Sie ADFS als Ihren Identitätsanbieter (IdP) aus, um automatisch zur Seite "Service Provider konfigurieren" (SP) zu gelangen.

5. Auf der Seite "Service Provider (SP) konfigurieren " wählen Sie die SAML-Funktaste als Protokoll aus.
6. Ein Satz von Parametern wird angezeigt, um die SAML-Konfiguration in ADFS abzuschließen.

Geben Sie die Document360-Parameter in ADFS ein

Geben Sie die Document360-Parameter in die entsprechenden Felder in den Elementen URL konfigurieren und Identifikatoren in ADFS mithilfe der untenstehenden Zuordnung ein.

8. Klicken Sie auf Nächstes und schließen Sie die restlichen Schritte im Wizard ab, wie zum Beispiel die Einrichtung der Mehrfaktor-Authentifizierung bei Bedarf und die Erlaubnis des Zugriffs auf die Anwendung aller Nutzer.
9. Überprüfen Sie Ihre Einstellungen und klicken Sie auf Weiter, um den vertrauenswürdigen Trust hinzuzufügen.
10. Auf dem letzten Bildschirm aktivieren Sie das Kästchen " Öffnen im Dialog Anspruchsregeln bearbeiten" und klicken Sie auf Schließen.

Schritt 3: Formulieren Sie die Anspruchsregeln in ADFS

Hinzufügen von Anspruchsregeln

1. Im Dialogfeld Anspruchsregeln bearbeiten klicken Sie auf Regel hinzufügen.
2. Wählen Sie LDAP-Attribute als Claims als Regelvorlage senden und klicken Sie auf Weiter.
3. Gib einen Namen für die Claim-Regel an (zum Beispiel "Send LDAP Attributes").
4. Konfigurieren Sie Folgendes:
   • Attribute Store: Wählen Sie Active Directory aus.
   • Kartierung:
     • LDAP-Attribut: Benutzer-Principal-Name | Ausgehende Antragsart: Namens-ID
     • LDAP-Attribut: E-Mail-Adressen | Ausgehende Antragsart: E-Mail-Adressen
     • LDAP-Attribut: Display-Name | Ausgehender Anspruchstyp: Name
5. Klicken Sie auf Beenden , um die Regel hinzuzufügen.
6. Klicken Sie auf Anwenden , um Ihre Änderungen zu speichern und den Dialog zu schließen.

Schritt 4: Schließen Sie die SSO-Konfiguration in Document360 ab

Konfigurieren Sie den Identitätsanbieter in Document360

1. Kehren Sie zum Reiter Document360 zurück, der die Seite "Service Provider konfigurieren" (SP) anzeigt, und klicken Sie auf Next , um zur Seite "Configure the Identity Provider (IdP) zu gelangen.

2. Das Feld "Eine bestehende Verbindung konfigurieren" erlaubt es Ihnen, eine SSO-Konfiguration zu erben, die SCIM bereits von einem Elternprojekt aktiviert hat. Durch die Wahl dieser Option wird die aktuelle SSO-Konfiguration zum Kind und erbt automatisch die SCIM-Einstellungen vom Elternprojekt.
3. Gib die entsprechenden Werte aus deiner ADFS-Konfiguration mit der untenstehenden Abbildung ein.

4. Laden Sie das X.509-Zertifikat von ADFS herunter und laden Sie es im SAML-Zertifikatsfeld in Document360 hoch.

5. Schalte die Option "IdP-initiierte Anmeldung erlauben " je nach Projektbedarf ein oder aus.
6. Klicken Sie auf Weiter, um zur SCIM-Bereitstellungsseite zu gelangen.

Schritt 5: Konfigurieren Sie die SCIM-Bereitstellung

SCIM-Provisionierung ermöglicht es Ihnen, das Lebenszyklusmanagement von Benutzern und Lesern zwischen ADFS und Document360 zu automatisieren. Da ADFS SCIM nicht nativ unterstützt, erfordert dies ein Drittanbieter-Tool oder eine eigens entwickelte Integration.

Wenn Sie keine SCIM-Bereitstellung benötigen, springen Sie zu Schritt 6: Weitere Einstellungen.

Aktivieren Sie SCIM in Document360

1. Schalte den Enable SCIM-Provisionierungs-Schalter ein.

2. Ein Bestätigungsdialog erscheint. Überprüfen Sie die Bedingungen, aktivieren Sie das Kästchen und klicken Sie auf Zustimmen.
3. Die Parameter, die zur Durchführung der SCIM-Konfiguration erforderlich sind, werden dann angezeigt.

4. Gib die erforderlichen Parameter aus Document360 in die entsprechenden Felder in deiner benutzerdefinierten App ein.

Vergabe von Standardrollen und Gruppen in Document360

1. Im Feld Standardrolle ist die Rolle standardmäßig auf Beitragsmitglied gesetzt. Du kannst das bei Bedarf im Dropdown-Menü ändern.
2. In den Feldern Benutzergruppen und Lesergruppen wählen Sie die Gruppen aus, die Sie hinzufügen möchten. Mehrere Gruppen können hinzugefügt werden, und sie übernehmen die zuvor gewählte Standardrolle.
3. Klicken Sie auf Weiter, um zur Seite Mehr-Einstellungen zu gelangen.

Schritt 6: Mehr Einstellungen

Konfigurieren Sie den SSO-Namen und die Anmeldeoptionen

1. Im SSO-Namensfeld geben Sie einen Namen für die SSO-Konfiguration ein.
2. Im Login-Anpassen-Button geben Sie den Text für den Login-Button ein, der den Nutzern angezeigt wird.
3. Automatische Zuweisung der Lesergruppe – diese Option ist nur für bestehende SSO-Konfigurationen verfügbar. Bei neu erstellten SSO-Konfigurationen wird dieser Schalter nicht angezeigt, da SCIM Benutzer und Gruppen automatisch bereitstellt. Erfahren Sie mehr über die Auto-Assign-Lesergruppe.
4. Aktivieren Sie den Ausloggen-Idle SSO-Benutzer bei Bedarf und schalten Sie je nach Ihren Anforderungen um.

5. Klicken Sie auf Erstellen , um die SAML SSO-Konfiguration abzuschließen.

Verwaltung von Benutzern in ADFS

Um Reader anzuzeigen, die durch Ihre ADFS-Integration hinzugefügt wurden:

1. In Document360 navigieren Sie zu Einstellungen () > Benutzer & Berechtigungen > Leser & Gruppen.
2. Wählen Sie den Leser aus, um zu seinem Leserprofil zu gelangen.

Leser, die über SCIM bereitgestellt wurden, zeigen neben ihrem Namen ein SSO-SCIM-Badge an.

Verwaltung des Inhaltszugriffs von Lesern, Nutzern und Gruppen

Die Standard-Inhaltsrolle, die jedem neuen Nutzer, Leser oder Gruppe zugewiesen wird, basiert auf dem, was während der SCIM-Bereitstellung konfiguriert wurde. Die Berechtigungen werden standardmäßig auf Keine gesetzt, können aber jederzeit aktualisiert werden.

1. Wählen Sie den gewünschten Reader aus und klicken Sie auf Inhaltszugriff verwalten.
2. Wählen Sie die gewünschte Zugriffsstufe aus dem Dropdown-Menü und klicken Sie auf Aktualisieren.

Best Practices

• Exportiere das Zertifikat in Base-64 codiert (. CER)-Format. Das standardmäßig kodierte DER-Format von ADFS wird von Document360 nicht unterstützt. Wählen Sie beim Export des X.509-Zertifikats immer die Base-64-Codierung.
• Nutze ein Drittanbieter-Tool für SCIM. ADFS unterstützt keine native SCIM-Bereitstellung. Plane deinen Ansatz zur Benutzerbereitstellung, bevor du SCIM in Document360 aktivierst.
• Konfigurieren Sie die Anspruchsregeln sorgfältig. Stellen Sie sicher, dass alle drei LDAP-Attributzuordnungen (Name-ID, E-Mail-Adressen und Name) korrekt konfiguriert sind. Fehlende oder falsche Angaben führen zu Authentifizierungsfehlern.
• Teste zuerst mit einem einzelnen Nutzer. Bevor Sie das SSO für alle Nutzer ausrollen, testen Sie die Konfiguration mit einem Nutzer, um sicherzustellen, dass Claim-Regeln, Zertifikate und URLs alle korrekt funktionieren.

FAQ