SSO/SAML-Anmeldung

Innerhalb von Valispace können wir uns mit Single Sign-On (SSO) unter Verwendung von Security Assertion Markup Language Version 2 (SAML v2) anmelden. Wenn Sie einen mit SAML v2 kompatiblen Identity Provider (IdP) haben, können Sie ihn mit Ihrer Valispace-Instanz verbinden, und Benutzer können sich mit ihren bestehenden Konten anmelden.

SSO-Anmeldung

Die SSO-Einrichtung für die Valispace-Anwendung weist je nach Bereitstellungstyp Besonderheiten auf.

01. Serverseitige Konfiguration:

Nachdem die SSO-Einstellung aktualisiert wurde, kann sie konfiguriert werden. Für die unten aufgeführten Einstellungen ist kein
Neustart der Anwendung erforderlich.

Step 1: Navigieren Sie in der Bereitstellung zu: https://{your.valispace.deploy}/admin/constance/config/

1. AUTH_SSO_SP_ENTITY_ID
   Ersetzen Sie den Standardwert http://127.0.0.1:8000/rest/auth/sso/metadata/ durch die URL der Bereitstellung, z. B.: https://<url/rest/auth/sso/metadata/>

2. AUTH_SSO_SP_ACS
   Ersetzen Sie die URL durch die tatsächliche URL, z. B. https://<url/rest/auth/sso/acs/>

3. AUTH_SSO_SP_SLS
   Ersetzen Sie die URL durch die tatsächliche URL, z. B. https://<url/rest/auth/sso/sls/>

4. AUTH_SSO_X509CERT
   Dies kann als optionale Einstellung leer bleiben. Falls x509-Zertifikate erforderlich sind, finden Sie Hilfe unter Altium Support zum Aktivieren dieser Funktion.

5. AUTH_SSO_IDP_XML
   IdP-Metadaten-XML, das beide verbindet. Dies wird weiter unten erläutert.

6. AUTH_SSO_NAMEID_FORMAT
   Unterschiedliche NameID-Formate werden von den IdPs unterstützt. Im Abschnitt „Authentication SSO Attributes“ der Konfigurationsseite haben Sie die Möglichkeit, spezifische Namen zu definieren, die Ihr Identity Provider (IdP) für verschiedene Felder verwendet. Nachfolgend zeigen wir ein Beispiel, wie diese Eigenschaften benannt sein könnten:

   1. AUTH_SSO_EMAIL_ATTRIBUTE mail

   2. AUTH_SSO_USERNAME_ATTRIBUTE uid

   3. AUTH_SSO_FIRST_NAME_ATTRIBUTE givenName

   4. AUTH_SSO_LAST_NAME_ATTRIBUTE sn

   Note: Diese Namen sollten von Ihrem IdP dokumentiert sein. Falls jedoch nach der Konfiguration von IdP und SP 500-Fehler auftreten, ist ein hilfreiches Werkzeug SAML-tracer. Dabei handelt es sich um ein Add-on für Chrome oder Firefox, das die Informationen und Feldnamen anzeigt, die Ihr IdP an Valispace sendet, damit diese korrekt zugeordnet werden können.

Note for Azure Configuration: Valispace versucht nur, die Felder AUTH_SSO_*_ATTRIBUTE im Attributabschnitt der SAML-Antwort zu finden. Wenn Sie sowohl die E-Mail-Adresse als auch den Benutzernamen als „nameId“ (E-Mail) festlegen, ist es außerdem erforderlich, diese auch unter der Eigenschaft „emailAddress“ anzugeben.

Wenn Azure so konfiguriert ist, dass die „nameId“ im Format „emailAddress“ übertragen wird, wird sie nicht als Attribut gesendet. Die Claim-Funktion von Azure besitzt ein Attribut namens „namespace“. Dieser „namespace“ sollte entweder leer gelassen werden (standardmäßig ist er nicht leer) oder mit den Admin-Einstellungen von Valispace übereinstimmen.

Im Fall von Microsoft Azure sollte beispielsweise der „namespace“ in den Claims leer gelassen werden. Alternativ sollte er dem entsprechenden Attribut in den Admin-Einstellungen von Valispace entsprechen.

Setzen Sie zunächst, falls möglich, Ihr NameIDPolicy-Element in der AuthnRequest von Azure auf „persistent“. Nach Abschluss dieses Schritts passen Sie die entsprechende Valispace-Einstellung (AUTH_SSO_NAMEID_FORMAT) entsprechend an.

Dadurch erhält jeder Benutzer ein eindeutiges Token, das eine Verknüpfung zwischen Azure und Valispace herstellt. Diese Methode hat Vorrang vor Änderungen an E-Mail-Adressen.

Überprüfen Sie anschließend die folgenden Einstellungen in Valispace und passen Sie sie an die unten stehende Konfiguration an:

AUTH_SSO_EMAIL_ATTRIBUTE: Setzen Sie dies auf „emailaddress“

AUTH_SSO_USERNAME_ATTRIBUTE: Setzen Sie dies auf „emailaddress“

Diese Einstellungen basieren auf der Annahme, dass die E-Mail-Adresse als „username“ dienen soll.

02. IdP-Einrichtung und Validierung:

Dies hängt vollständig vom jeweils in der Einrichtung verwendeten IdP ab. Dieses Dokument enthält einige der gängigsten Dokumentationslinks für bestimmte IdPs, wie folgt:

• Azure AD SAML Azure/active-directory-setup-sso

• Auth0 Auth0 configure-auth0-saml-identity-provider

• Google https://support.google.com/a/answer/6087519?hl=en

• Keycloak https://www.keycloak.org/docs/latest/server_admin/#_saml

Beim Hinzufügen einer neuen Anwendung/Konfiguration in Ihrem IdP werden normalerweise die folgenden Informationen über die Anwendung abgefragt, die Sie hinzufügen möchten:

1. ENTITY_ID

https://<url/rest/auth/sso/metadata/>

1. ACS (Assertion Consumer Service)

https://<url/rest/auth/sso/acs/>

1. SLS (Single Logout Service)

https://<url/rest/auth/sso/sls/>

Es kann außerdem möglich sein zu konfigurieren, welche Benutzerfelder mit welchen Namen an die konfigurierte Anwendung gesendet werden. Diese können dann im Abschnitt „Authentication SSO Attributes“ der Admin-Konfiguration hinzugefügt werden, wie im vorherigen Abschnitt beschrieben.

Nachdem der IdP nun konfiguriert ist, müssen wir unseren SP mit dem IdP verknüpfen. Dazu benötigen wir eine XML-formatierte Datei, die die Verbindungsinformationen des IdP enthält. Dies variiert von einem IdP zum anderen, aber es gibt zwei Möglichkeiten, diese zu erhalten.

1. Direkt als XML vom IdP verfügbar

2. Der IdP zeigt die Verbindungsinformationen an, jedoch nicht im XML-Format. In diesem Fall wird empfohlen, zu https://www.samltool.com/idp_metadata.php zu gehen; dort werden die Metadaten anhand der bereitgestellten Informationen automatisch erstellt.

Nachdem Sie die XML-Datei erhalten haben, kopieren Sie ihren gesamten Inhalt und fügen Sie ihn in das Feld ein: AUTH_SSO_IDP_XML das in den vorherigen Schritten eingeführt wurde.

Auf der Anmeldeseite von Valispace sollte nach jedem abgeschlossenen Schritt eine Schaltfläche für die SSO-Anmeldung angezeigt werden, die zur Anmeldeseite des zuletzt konfigurierten IdP weiterleitet und die Anmeldung ermöglicht.

Note: Falls Ihre Organisation noch registrierte Benutzer innerhalb der Valispace-Anwendung hat, werden diese anhand der Werte im E-Mail-Feld des IdP validiert und bei Übereinstimmung automatisch verknüpft.

The SSO Configuration for Valispace is done.

Nur SSO-Anmeldung

Sobald Single Sign-On (SSO) aktiviert ist, können sich Benutzer bei der Bereitstellung entweder per SSO oder mit Benutzername und Passwort anmelden. Wenn Sie verhindern möchten, dass sich Benutzer mit Benutzername und Passwort anmelden, können Sie dies durch Umschalten eines „Flags“ im Admin-Bereich tun. Dieses Flag blendet die Option „Benutzername und Passwort“ auf der Anmeldeseite aus. Um diese Funktion zu aktivieren, muss sich der Administrator im Admin-Bereich anmelden, zu „Constants“ und dann zu „Config“ navigieren. Dort kann der Administrator die Option „AUTH_USERNAME_PASSWORD“ deaktivieren.

Sehen Sie sich diese Demo an, um zu erfahren, wie Sie dies schnell und einfach umsetzen.