Konfigurowanie uwierzytelniania Single Sign-on
Administratorzy Enterprise Server mogą skonfigurować i włączyć funkcję logowania jednokrotnego (SSO) na serwerze. System konfiguracji zaplecza umożliwia administratorom konfigurowanie, testowanie, włączanie i wyłączanie funkcji SSO dla użytkowników serwera. Opcja SSO jest dostępna podczas logowania do interfejsu przeglądarkowego Enterprise Server. Po skonfigurowaniu dla użytkowników serwera funkcja SSO zapewnia wygodny dostęp do serwera przy użyciu tych samych danych logowania, które obowiązują w systemach całej firmy.
Więcej informacji o uzyskiwaniu dostępu do interfejsu przeglądarkowego Enterprise Server można znaleźć na stronie Poznawanie interfejsu przeglądarkowego.
Logowanie jednokrotne SAML
Po skonfigurowaniu i włączeniu w Enterprise Server system SSO ustala autoryzowane tożsamości na podstawie danych wyznaczonego przez firmę dostawcy tożsamości (IdP), na przykład Okta, OneLogin itp., przy czym komunikacja dotycząca potwierdzania tożsamości opiera się na standardzie Security Assertion Markup Language (SAML 2.0). Firmowy interfejs logowania SSO, jeśli jeszcze nie istnieje, jest zwykle tworzony na podstawie szablonu lub przykładu udostępnionego przez dostawcę tożsamości — inicjuje on wymianę potwierdzeń uwierzytelniania opartą na SAML i zapewnia dostęp do usług firmowych.
Po wybraniu opcji SAML z listy rozwijanej SSO na stronie Administracja – Ustawienia – Uwierzytelnianie interfejsu przeglądarkowego wyświetlane są wstępnie skonfigurowane adresy URL usługi SSO Enterprise Server (Altium Metadata Configuration) oraz opcja przesłania lub ręcznego wprowadzenia danych połączenia autoryzacyjnego dostawcy tożsamości (SAML Identity Provider Configuration).
Metadane konfiguracji dostawcy tożsamości powinny być dostępne u tego dostawcy po skonfigurowaniu integracji z usługami firmy — zobacz poniższe przykłady integracji dostawców tożsamości. Aby skonfigurować system SAML SSO w Enterprise Server (jeśli nie zostało to jeszcze zrobione), użyj przycisku 
, aby znaleźć i przesłać plik XML konfiguracji SAML IdP wygenerowany przez firmowego dostawcę tożsamości. Przesłany plik XML dostawcy tożsamości jest analizowany przez system w celu wyodrębnienia głównych pól konfiguracji (X509 Certificate, adres URL Identity Provider Issuer i IdP Single Sign-On URL). Można też ręcznie dodać poszczególne elementy konfiguracji (certyfikat bezpieczeństwa i adresy URL) do odpowiednich pól.
Funkcja SSO nie zostanie włączona do czasu przeprowadzenia testu integracji, uruchamianego przyciskiem 
. Test weryfikuje proces identyfikacji SSO oraz firmowe logowanie SSO. Po pomyślnym przetestowaniu konfiguracji można zapisać ustawienia, klikając przycisk 
(
), co spowoduje ich zastosowanie w Enterprise Server.
-
Jeśli funkcja SSO zostanie później wyłączona — ręcznie lub w wyniku zmiany konfiguracji — przycisk
stanie się dostępny, umożliwiając ponowne przeprowadzenie testu.
-
W razie potrzeby można zmienić pole Entity ID w ustawieniach Altium Metadata Configuration (na przykład w celu rozróżnienia dwóch instancji serwera).
-
Podczas konfigurowania SSO upewnij się, że nazwa użytkownika przekazywana przez dostawcę tożsamości jest dokładnie zgodna z wartością Username odpowiedniego istniejącego użytkownika w Enterprise Server (niezależnie od tego, czy użytkownik jest skonfigurowany do korzystania z uwierzytelniania Built-in czy Windows). Przy dopasowywaniu nazw użytkowników rozróżniana jest wielkość liter.
Przykłady integracji dostawców tożsamości
Rozwiń poniższą sekcję, aby zobaczyć przykład procesu integracji z OneLogin jako dostawcą tożsamości, opisany krok po kroku.
Integracja z OneLogin
-
Zaloguj się do OneLogin jako administrator.
-
Wybierz Applications, a następnie Add Apps.
-
Wyszukaj „SAML” i wybierz opcję aplikacji dostawcy tożsamości SAML Test Connector (Advanced).
-
Podaj nazwę aplikacji (Display Name). Służy ona wyłącznie do wyświetlania.
-
Kliknij przycisk Save.
-
Skopiuj (
) wpisy Entity ID i Single Sign-On URL (usługa odbioru potwierdzeń) ze strony Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server do pól wskazanych poniżej.
W konfiguracji aplikacji OneLogin:
-
Wklej powyższą wartość Entity ID (nazwa dostawcy usług) jako adres URL Audience (EntityID).
-
Wklej powyższą wartość Single Sign-On URL (usługa odbioru potwierdzeń) jako ACS (Consumer) URL Validator.
-
Wklej również wartość Single Sign-On URL (usługa odbioru potwierdzeń) jako ACS (Consumer) URL.
-
Pola RelayState, Recipient, Single Logout URL i Login URL można pozostawić puste.
-
-
Upewnij się, że opcja SAML nameID format ma wartość Email, a opcja SAML signature element ma wartość Both. Kliknij przycisk Save, aby potwierdzić ustawienia.
-
Kliknij przycisk More Actions, a następnie opcję menu SAML Metadata, aby pobrać metadane SAML dostawcy tożsamości w postaci pliku XML.
-
Ten plik metadanych zostanie przesłany na stronie Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server w celu skonfigurowania usługi SSO OneLogin — patrz poniżej.
-
Jeśli wolisz ręcznie skonfigurować usługę SSO OneLogin w Enterprise Server, wymagane parametry znajdziesz, wybierając opcję menu SSO w interfejsie aplikacji OneLogin.
-
-
Kolejne kroki to dodanie użytkowników i przypisanie im aplikacji.
Rozwiń poniższą sekcję, aby zobaczyć przykład procesu integracji z Okta jako dostawcą tożsamości, opisany krok po kroku.
Integracja z Okta
-
Zaloguj się do Okta jako administrator.
-
Kliknij łącze/przycisk Admin, a następnie przycisk Add Application w sekcji firmy Applications.
-
Kliknij przycisk Create New App.
-
Wybierz SAML 2.0 jako Sign-on method.
-
Podaj App name. Ta wartość służy wyłącznie do wyświetlania.
-
Zwróć uwagę na wpisy Single Sign On URL (Assertion Consumer Service) i Entity ID na stronie Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server.
-
Skopiuj (
) wpis Single Sign-On URL z Enterprise Server i wklej go w polu Single sign on URL ustawień SAML w Okta.
-
Skopiuj (
) wpis Entity ID z Enterprise Server i wklej go w polu Audience URI ustawień SAML w Okta.
Wpis Default RelayState nie jest wymagany.
-
Ustaw pozostałe pola w następujący sposób:
-
Wartość Name ID format to
EmailAddress. -
Wartość Application username to (Okta)
Email. -
W sekcji ATTRIBUTE STATEMENTS ustaw pole Name na:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, a pole Value na:user.email
-
-
Kliknij przycisk Next i wybierz opcję ..Okta customer adding an internal app.
-
Kliknij przycisk Finish.
-
Kliknij łącze Identity Provider metadata i zapisz plik XML z metadanymi na komputerze lub kliknij przycisk View Setup Instructions, aby wyświetlić opcje konfiguracji ręcznej.
-
W sekcji SAML Identity Provider configuration na stronie Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server prześlij zapisany plik XML z metadanymi lub skonfiguruj poszczególne sekcje ręcznie — patrz wyżej.
-
Rozwiń poniższą sekcję, aby zobaczyć przykład integracji krok po kroku z Microsoft Entra ID jako dostawcą tożsamości.
Integracja z Microsoft Entra ID
-
Zaloguj się do centrum administracyjnego Microsoft Entra.
-
Wybierz Identity, a następnie opcję Enterprise applications.
-
Utwórz własną aplikację.
-
Wybierz Users and groups, a następnie Add user/group.
-
Wybierz Single sign-on, Step 1, a następnie Edit.
-
Skopiuj (
) Entity ID i Single Sign-On URL ze strony Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server. Wklej skopiowane ciągi do pól Entity ID i Assertion Consumer Service URL w obszarze konfiguracji SAML aplikacji Microsoft Entra. Upewnij się, że pola wyboru Default są zaznaczone dla tych pól, a następnie zapisz konfigurację.
-
Pobierz utworzony plik XML metadanych federacji.
-
Prześlij plik XML metadanych federacji na stronie Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server, a następnie przetestuj połączenie integracji SAML — patrz wyżej.
Rozwiń poniższą sekcję, aby zobaczyć przykład integracji krok po kroku z JumpCloud jako dostawcą tożsamości.
Integracja z JumpCloud
-
W interfejsie JumpCloud wybierz SSO z drzewa nawigacji, a następnie przycisk Add New Application na stronie SSO.
-
Wpisz „
saml” w polu wyszukiwania okna konfiguracji, aby znaleźć, a następnie zainstalować Custom SAML App.
-
Nadaj nazwę swojej instancji Custom SAML App — w tym przykładzie etykieta to
Altium.
-
Przejdź na kartę SSO w interfejsie konfiguracji JumpCloud i wprowadź ustawienia Entity/URL ze strony Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server, jak pokazano.
-
Wprowadź punkt końcowy JumpCloud IDP URL i włącz opcję Declare Redirect Endpoint.
-
Użyj opcji Export Metadata, aby pobrać wygenerowany plik XML z metadanymi SAML.
-
Prześlij plik XML z metadanymi na stronie Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server, a następnie przetestuj połączenie integracji SAML — patrz wyżej.
Rozwiń poniższą sekcję, aby zobaczyć przykład integracji krok po kroku z Microsoft Administrative Domain Federated Services (AD FS) jako dostawcą tożsamości.
Integracja z Microsoft AD FS
-
Otwórz aplikację AD FS Management (zazwyczaj Start → Windows Administrative Tools → AD FS Management).
-
Przejdź do Relying Party Trusts i kliknij opcję Add Relying Party Trust... (1).
-
W wyskakującym oknie upewnij się, że wybrano Claims aware (2), i kliknij Start (3).
-
W kroku Select Data Source wybierz Enter data about the relying party manually (1) i kliknij Next (2).
-
Podaj nazwę wyświetlaną relacji zaufania. W tym przykładzie jako nazwa wyświetlana używana jest
AltiumLive.
-
W zależności od konfiguracji zabezpieczeń możesz wskazać opcjonalny certyfikat szyfrowania tokenów. W tym przewodniku nie będziemy go używać.
-
W kroku Configure URL upewnij się, że wybrano opcję Enable support for the SAML 2.0 WebSSO protocol (1), i wprowadź Single Sign-On URL skopiowany ze strony Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server w polu Relying party SAML 2.0 SSO service URL: (2). Kliknij Next (3).
-
W kroku Configure Identifiers wprowadź identyfikator tej relacji zaufania w polu wejściowym (1). Identyfikator musi pochodzić z wpisu Entity ID znajdującego się w obszarze Altium Metadata Configuration na stronie Admin – Settings – Authentication interfejsu przeglądarkowego Enterprise Server. Pamiętaj, aby kliknąć przycisk Add (2).
Wynik powinien wyglądać jak poniżej. Kliknij Next.
-
W zależności od konfiguracji zabezpieczeń w następnym kroku możesz wybrać opcjonalne zasady kontroli dostępu. W tym przykładzie nie wybierzemy żadnych dodatkowych zasad i przejdziemy dalej, korzystając z opcji
Permit everyone.
-
Sprawdź konfigurację i wybierz Next.
-
Nie wszystkie ustawienia są dostępne podczas konfigurowania relacji zaufania. Aby umożliwić użycie
SHA-1jako bezpiecznego algorytmu skrótu, kliknij prawym przyciskiem myszy nazwę dodanej relacji Relying Party Trust i wybierz Properties.
-
W oknie właściwości wybierz kartę Advanced (1) i ustaw
SHA-1jako bezpieczny algorytm skrótu (2). Kliknij OK, aby zapisać zmiany.
-
Wróć do okna zarządzania AD FS, zaznacz dodaną relację zaufania strony zależnej i wybierz opcję Edit Claim Issuance Policy....
-
W oknie Edit Claim Issuance Policy wybierz Add Rule...
-
W kroku Choose Rule Type kreatora upewnij się, że wybrano Send LDAP Attributes as Claims, a następnie kliknij Next.
-
Podaj Claim rule name (1), wybierz
Active Directoryjako Attribute store (2) i wybierz LDAP Attribute (3) z identyfikatora zawierającego nazwę użytkownika Enterprise Server. Ten atrybut musi zostać zmapowany na Name ID w Outgoing Claim Type (3). Kliknij Finish (4).
Important Note: W tym przykładzie zmapowaliśmy Surname lub Last name tak, aby zawierały wymaganą wartość. Twoja konfiguracja może być inna.
-
Upewnij się, że zasady wystawiania oświadczeń zostały zapisane, klikając OK.
-
Pobierz plik
FederationMetadata.xmlz odpowiedniego serwera. -
Prześlij plik XML metadanych na stronę Admin – Settings – Authentication w interfejsie przeglądarkowym Enterprise Server, a następnie przetestuj połączenie integracji SAML – patrz wyżej.
Rozwiń poniższą sekcję, aby zobaczyć przykład procesu integracji krok po kroku z AWS IAM Identity Center jako dostawcą tożsamości:
Integracja z AWS IAM Identity Center
-
Przejdź do IAM Identity Center i dodaj niestandardową aplikację SAML 2.0 (Add Application).
-
Wprowadź ustawienia adresu URL metadanych AWS ze swojej strony Altium SSO. Potwierdź ustawienia przyciskiem Submit.
-
Pobierz plik metadanych z obszaru IAM Identity Center metadata.
-
Przejdź do Edit attribute mappings.
-
Podaj atrybut, który będzie zawierać nazwę użytkownika Enterprise Server, i wybierz
unspecifieddla Format. -
Utwórz nowych użytkowników w AWS i przypisz aplikację do utworzonych użytkowników lub grupy.
-
Upewnij się, że ci sami użytkownicy istnieją zarówno po stronie Altium, jak i IAM.
-
Prześlij plik XML metadanych na stronę Admin – Settings – Authentication w interfejsie przeglądarkowym Enterprise Server, a następnie przetestuj połączenie integracji SAML – patrz wyżej.
Logowanie jednokrotne OAuth / OIDC
Funkcję SSO dla Enterprise Server można również skonfigurować przy użyciu standardu OAuth / OIDC. Po wybraniu opcji OAuth / OIDC z listy rozwijanej SSO na stronie Administracja – Ustawienia – Uwierzytelnianie w interfejsie przeglądarkowym można wprowadzić dane udostępnione przez wybranego dostawcę tożsamości (IdP).
-
Application Credentials:
-
Client ID – identyfikator aplikacji od dostawcy tożsamości.
-
Client Secret – klucz tajny aplikacji od dostawcy tożsamości.
-
-
Configuration:
-
Scopes to Request – zakresy określają poziom dostępu, o który aplikacja prosi użytkownika.
-
Authentication Endpoint – ten punkt końcowy obsługuje uwierzytelnianie użytkownika i udzielanie zgody. Aplikacja przekierowuje użytkowników do tego punktu końcowego, aby mogli się zalogować i przyznać uprawnienia.
-
Token Endpoint – ten punkt końcowy służy do wymiany kodu autoryzacyjnego lub tokenu odświeżania na token dostępu. Jest to bezpieczna komunikacja kanałem zaplecza między aplikacją a serwerem autoryzacji.
-
User Profile Endpoint – ten punkt końcowy pobiera informacje z profilu użytkownika (np. imię i nazwisko, adres e-mail) przy użyciu tokenu dostępu. Zwracane dane zależą od zakresów przyznanych podczas autoryzacji.
-
-
Mappings – w polu Mapped Attribute tabeli wprowadź atrybut, który zostanie zmapowany na nazwę użytkownika po stronie Enterprise Server.
SSO nie zostanie włączone, dopóki nie zostanie przeprowadzony test integracji uruchamiany przyciskiem . Test weryfikuje proces potwierdzania tożsamości SSO oraz logowanie SSO w Twojej firmie. Po pomyślnym przetestowaniu konfiguracji możesz zapisać ustawienia, klikając przycisk (
), co spowoduje ich zastosowanie w Enterprise Server.
Jeśli SSO zostanie później wyłączone, ręcznie lub w wyniku zmiany konfiguracji, przycisk stanie się dostępny, umożliwiając ponowne przeprowadzenie testu.
Tłumaczenie SI