Zum Inhalt springen

Active Directory Federation Services mit SAML Single Sign-On in Jitterbit App Builder konfigurieren

App Builder kann sich über das SAML Single Sign-On (SSO)-Protokoll mit Active Directory Federation Services (AD FS) integrieren. Das SAML SSO-Protokoll definiert die folgenden operativen Rollen:

Akteur Rolle
App Builder Service Provider (SP)
AD FS Identity Provider (IdP) / Security Token Service (STS)
Benutzer Browser

Die Konfiguration umfasst die folgenden Verfahren:

  1. Erstelle einen App Builder-Sicherheitsanbieter für AD FS
  2. Erstelle eine AD FS Relying Party Trust für App Builder

Anforderungen

Zum Fortfahren benötigst du Folgendes:

  • Administratorzugriff auf AD FS.
  • Administratorzugriff auf App Builder.
  • App Builder muss sich über HTTPS mit AD FS verbinden, um das Metadatendokument abzurufen. AD FS muss ein TLS-Zertifikat mit einer vertrauenswürdigen Root verwenden: App Builder kann das Metadatendokument nicht abrufen, wenn das Zertifikat nicht vertrauenswürdig oder anderweitig ungültig ist.
  • App Builder muss über HTTPS verfügbar sein. Der Sicherheitsanbieter „Require HTTPS" sollte aktiviert sein (oder es sollten andere Maßnahmen getroffen werden, um sicherzustellen, dass App Builder nur über HTTPS zugänglich ist).
  • Clientmaschinen müssen so konfiguriert sein, dass sie AD FS vertrauen. Andernfalls fordert AD FS den Benutzer auf, sich anzumelden.

Die folgenden Anweisungen beziehen sich auf die folgenden Eigenschaften:

Beispiel Hinweise
App Builder-URL https://example.com/Vinyl/ App Builder muss über HTTPS zugänglich sein. Die URL muss einen Schrägstrich am Ende enthalten. Der Pfad unterscheidet zwischen Groß- und Kleinschreibung.
Anbietername ADFS Jeder App Builder-Sicherheitsanbieter erhält einen logischen Namen. Da der Anbietername in der Assertion Consumer Service URL (siehe unten) angezeigt wird, vermeidest du Leerzeichen, Satzzeichen und Sonderzeichen.
Assertion Consumer Service URL https://example.com/Vinyl/signin-Okta App Builder stellt automatisch einen Assertion Consumer Service (ACS)-Endpunkt für SAML Single Sign-On (SSO)-Sicherheitsanbieter bereit. AD FS bezieht sich auf die ACS URL als „Relying party SAML 2.0 SSO service URL". Beachte, dass der Anbietername in der URL angezeigt wird.
Audience URI https://example.com/Vinyl/ Obwohl die Audience URI beliebig ist, müssen AD FS und App Builder denselben Wert verwenden. Erwäge die Verwendung der App Builder-URL.
Federation Metadata Document URL https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml Die Federation Metadata Document URL kann von AD FS abgerufen werden. Starte dazu die AD FS-Verwaltungskonsole. Wähle AD FS → Service → Endpoints. Suche den Endpunkt vom Typ Federation Metadata.

Erstellen eines App Builder-Sicherheitsanbieters für AD FS

Melden Sie sich zunächst als Administrator bei App Builder an, um den Sicherheitsanbieter zu erstellen:

  1. Navigieren Sie zur IDE
  2. Wählen Sie die Schaltfläche Security Providers aus
  3. Klicken Sie auf die Schaltfläche + Security Provider

  4. Geben Sie Folgendes an:

    • Name: Security Provider Name (siehe oben) Beispiel: ADFS
    • Type: SAML
    • Enabled: Aktivieren
    • User Provisioning: Aktivieren, um Just-in-Time (JIT)-Benutzerbereitstellung zu ermöglichen
    • Supplies Group Membership: Aktivieren, wenn AD FS konfiguriert wurde, um die Gruppenmitgliedschaft des Benutzers zu übergeben
    • Show On Login Form: Aktivieren

  5. Klicken Sie auf die Schaltfläche Save

  6. Klicken Sie im Properties-Bereich auf + Property

  7. Geben Sie Folgendes an:

    • Parameter: MetadataEndpoint

    • Value: Federation Metadata Document URL (siehe oben).

      Beispiel: https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

  8. Klicken Sie auf das Save-Symbol (Häkchen)

  9. Klicken Sie im Properties-Bereich auf + Property

  10. Geben Sie Folgendes an:

    • Parameter: Audience

    • Value: Audience URI (siehe oben).

      Beispiel: https://example.com/Vinyl/

  11. Klicken Sie auf das Save-Symbol (Häkchen)

Darüber hinaus müssen alle in AD FS zugeordneten Ansprüche in App Builder zugeordnet werden. Um beispielsweise den E-Mail-Anspruch zuzuordnen:

  1. Klicken Sie im Claim-Bereich auf + Claim

  2. Geben Sie Folgendes an:

    • Identifier: Name des Anspruchstyps.

      Beispiel: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    • Usage: Verwendung des Anspruchstyps.

      Beispiel: Email Address

  3. Klicken Sie auf das Save-Symbol (Häkchen)

Erstellen einer AD FS-Relying-Party-Vertrauensstellung für App Builder

Jede Instanz von App Builder muss in AD FS als Relying-Party-Vertrauensstellung registriert werden. Die Details zum Erstellen, Konfigurieren und Verwalten von Relying-Party-Vertrauensstellungen fallen außerhalb des Geltungsbereichs dieses Dokuments. Weitere Informationen zum Erstellen einer AD FS-Relying-Party-Vertrauensstellung finden Sie im folgenden TechNet-Artikel:

https://technet.microsoft.com/en-ca/library/dd807108.aspx

Das Erstellen einer Relying-Party-Vertrauensstellung erfordert die folgenden Informationen:

  • Relying party SAML 2.0 SSO service URL: Entspricht der Assertion Consumer Service URL.

    Beispiel: https://example.com/Vinyl/signin-ADFS

  • Relying party trust identifier: Entspricht der Audience URI-Eigenschaft.

    Beispiel: https://example.com/Vinyl/

Sie können auch optionale Anspruchszuordnungen angeben. Der folgende TechNet-Artikel beschreibt, wie Sie Anspruchsregeln für die AD FS-Relying-Party-Vertrauensstellung erstellen:

https://technet.microsoft.com/en-us/library/dd807115.aspx

Häufig zugeordnete Ansprüche sind:

  • Email Address - http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
  • Group Membership - http://schemas.xmlsoap.org/claims/Group

Weitere Informationen zu Ansprüchen finden Sie unter Claims.

Fehlerbehebung

Führen Sie den folgenden PowerShell-Befehl vom AD FS-Server aus, um die Relying-Party-Vertrauensstellungseinstellungen zu drucken:

> Get-ADFSRelyingPartyTrust -Identifier https://example.com/Vinyl/signin-ADFS

Das Identifier-Argument entspricht der Assertion Consumer Service URL (wie oben beschrieben).

Fehlende Gruppenmitgliedschaft

Standardmäßig fügt ADFS Gruppenansprüche nicht in SAML-Assertionen ein. Administratoren müssen eine oder mehrere Anspruchsregeln erstellen, um die Gruppenmitgliedschaft einzubeziehen. Es ist möglich, eine einzelne Anspruchsregel zu erstellen, die alle Gruppenmitgliedschaften einbezieht. Bei Verwendung der integrierten ADFS-Regel "Group Claim" ist jedoch für jede Gruppe eine separate Regel erforderlich.

Der folgende Artikel beschreibt, wie Sie Gruppenmitgliedschaften einbeziehen, die mit einem regulären Ausdruck übereinstimmen (z. B. Gruppen, die mit "App Builder" beginnen):

http://social.technet.microsoft.com/wiki/contents/articles/8008.ad-fs-2-0-selectively-send-group-membership-s-as-a-claim.aspx

Der folgende Artikel beschreibt die Verwendung von regulären Ausdrücken in Anspruchstransformationsregeln:

http://social.technet.microsoft.com/wiki/contents/articles/16161.ad-fs-2-0-using-regex-in-the-claims-rule-language.aspx

Fehler „The AudienceRestrictionCondition was not valid because the specified Audience is not present in AudienceUris."

Dieser Fehler zeigt an, dass die Audience-URI nicht übereinstimmt. Stellen Sie sicher, dass die Eigenschaft Audience explizit festgelegt wurde. Wenn diese nicht festgelegt ist, wird standardmäßig die aktuelle URL verwendet, die je nach Benutzer unterschiedlich sein kann. Der Wert ist Groß- und Kleinschreibung beachtet.