Google SAML-Konfigurationsleitfaden für Jitterbit App Builder

Zweck dieses Dokuments

Beschreibung der erforderlichen Konfigurationsschritte zum Konfigurieren von App Builder für die Verwendung von Google als externem SAML-Sicherheitsanbieter zur Verarbeitung der Benutzerauthentifizierung.

Einführung

SAML verwendet die Begriffe IdP (Identity Provider) und SP (Service Provider), um die beiden beteiligten Systeme in einer SAML-Konfiguration zu beschreiben. In diesem Fall ist Google Workspace der IdP und die App Builder-Instanz der SP.

Die Konfiguration der externen Authentifizierung erfordert Konfigurationsschritte sowohl im IdP als auch im SP. In beiden Fällen sind Administratorrechte erforderlich.

Schritte in App Builder

Sicherheitsanbieter erstellen

1. Melden Sie sich als Administrator bei App Builder an
2. Navigieren Sie zu IDE > Security Providers
3. Klicken Sie auf + Security Provider, um einen neuen Sicherheitsanbieter hinzuzufügen

4. Füllen Sie die folgenden Werte aus:

   • Name: Kurzer, aussagekräftiger Name für den Sicherheitsanbieter. Idealerweise sollten Leerzeichen vermieden werden. Diese Zeichenkette wird in ihrer exakten Form Teil der ACS-URL.
   • Type: External Authentication > SAML
   • Priority: Akzeptieren Sie den Standardwert oder aktualisieren Sie ihn nach Ihren Vorlieben
   • Enabled: Aktiviert
   • Redirect on Challenge: Aktiviert
   • Show on login form: Aktiviert
   • User Provisioning: Aktiviert
   • Store Claims: Aktiviert. Diese Einstellung ist beim anfänglichen Setup und bei der Fehlerbehebung wichtig, kann aber später bei Bedarf entfernt werden.

5. Klicken Sie auf Save

Schritte in Google Workspace

Benutzerdefinierte SAML-App einrichten

1. Melden Sie sich bei Ihrer Google Admin-Konsole an
2. Gehen Sie auf der Startseite der Admin-Konsole zu Apps > Web and mobile apps
3. Klicken Sie auf Add App > Add custom SAML app

4. Auf der Seite „App Details":

   1. Geben Sie den App Name der benutzerdefinierten App ein. Beispiel: App Builder Instance. Normalerweise würden Sie Dev, QA oder Prod oder den Zweck der Instanz, falls anders, als Teil des App Name angeben. Dieser Wert wird ausschließlich als Bezeichnung in Google Workspace verwendet und wird nicht anderswo verwendet.
   2. (Optional) Laden Sie ein App icon hoch. Wenn Sie kein Symbol hochladen, wird ein Symbol mit den ersten zwei Buchstaben des App Name erstellt.

   

   Beispielkonfiguration der benutzerdefinierten SAML-App

5. Klicken Sie auf Continue

6. Notieren Sie auf der Seite „Google Identity Provider details" die vom Service Provider erforderlichen Setupinformationen. Diese Werte sind spezifisch für das Google Workspace-Konto und nicht generisch:

   • SSO URL: Beispiel: https://accounts.google.com/o/saml2/idp?idpid=C01D02E032
   • Entity ID: Beispiel: https://accounts.google.com/o/saml2?idpid=C01D02E032
   • Certificate

7. Klicken Sie auf Continue. Sie können später auf diese Werte zurückgreifen, indem Sie auf Download Metadata klicken.

8. Geben Sie im Fenster „Service Provider Details" eine ACS URL und Entity ID für Ihre benutzerdefinierte App ein. Beachten Sie, dass die Pfadteile der folgenden URLs case-sensitive sind (d. h. der Teil nach dem FQDN).

9. ACS URL: Die URL der App Builder-Instanzwurzel mit Folgendem angehängt: /signin-<name of service provider>

   • Beispiel: https://example.zudy.com/Vinyl/signin-GoogleSAML
   • Hinweis: Die ACS-URL muss mit https:// beginnen

10. Entity ID: Die Wurzel der App Builder-Instanz. Diese muss mit einem Schrägstrich enden. - Beispiel: https://example.zudy.com/Vinyl/

11. Aktivieren Sie das Kontrollkästchen Signed Response
12. Das Standard-Name ID-Format kann beim Standard belassen werden (primäre E-Mail).
13. Zusätzliche Name ID-Zuordnungsinformationen finden Sie hier: SAML app catalog. Bei Bedarf können Sie auch benutzerdefinierte Attribute entweder in der Admin-Konsole oder über Google Admin SDK APIs erstellen und diesen zuordnen. Benutzerdefinierte Attribute müssen vor der Einrichtung Ihrer SAML-App erstellt werden und sind für App Builder in der Regel nicht erforderlich. Beispielkonfiguration:

Konfiguration der Custom SAML-App in Google Workspace

1. Klicken Sie auf Weiter
2. Auf der Seite Attributzuordnung können bei Bedarf zusätzliche Zuordnungen erstellt werden. Klicken Sie auf Fertig. Falls später zusätzliche Zuordnungen erforderlich sind, können diese später konfiguriert werden. Bei der Konfiguration von Zuordnungen müssen die Werte von App Attribute mit den Werten von Identifier übereinstimmen, die in App Builder unter Claim Types festgelegt sind.
3. Klicken Sie auf Fertig
4. Klicken Sie auf der Seite Anwendung (unter Web- und Mobile-Apps) auf den Abwärtspfeil im Bereich Benutzerzugriff

5. Der Zugriff kann für Gruppen, Organisationseinheiten oder alle Benutzer des Kontos konfiguriert werden. Der Einfachheit halber empfehlen wir, den Zugriff für alle zu aktivieren. Falls nur eine begrenzte Anzahl von Benutzern Zugriff erhalten soll, finden Sie in der Google Workspace-Dokumentation Informationen zum Erstellen und Konfigurieren von Gruppen und Organisationseinheiten sowie zum Zuweisen des Anwendungszugriffs auf dieser Ebene.

   Hinweis

   Beim erstmaligen Konfigurieren des Zugriffs gibt Google Workspace an, dass es bis zu 24 Stunden dauern kann, bis diese Änderung für alle Benutzer übernommen wird. Beim Testen: Falls eine Fehlermeldung angezeigt wird, die besagt, dass der Benutzer keinen Zugriff auf die Anwendung hat oder diese für ihn nicht aktiviert ist, vergewissern Sie sich, dass nach der Konfiguration ausreichend Zeit vergangen ist, bevor Sie erneut testen.

6. Damit sind die Schritte in Google Workspace abgeschlossen. Weitere Informationen finden Sie unter: https://support.google.com/a/answer/6087519

Schritte in App Builder

Sicherheitsanbietereigenschaften und Anspruchstypen konfigurieren

1. Kehren Sie zur Konfigurationsseite für den in den Schritten 1 bis 5 der zuvor beschriebenen App Builder-Konfiguration erstellten Service Provider zurück
2. Klicken Sie im Bereich Properties auf + Property und Speichern Sie die folgenden Eigenschaften mit den angegebenen Werten:
   • Audience: das Stammverzeichnis der App Builder-Instanz. Beispiel: https://example.zudy.com/Vinyl/
     • Hinweis: Dies stimmt mit der in Google Workspace konfigurierten Entity ID überein
   • Recipient: Dies stimmt mit der in Google Workspace konfigurierten ACS-URL überein und besteht aus der URL des App Builder-Instanzstammverzeichnisses mit dem folgenden Zusatz: /signin-<Name des Service Provider>
     • Beispiel: https://example.zudy.com/Vinyl/signin-GoogleSAML
   • RequestRedirectEndpoint: Dies ist die SSO-URL aus Google Workspace, siehe Schritt 6 aus den Google-Konfigurationsschritten. Beispiel: https://accounts.google.com/o/saml2/idp?idpid=C01D02E032
   • SigningCertificate: Dies ist die lange Textzeichenkette aus Schritt 6. Achten Sie beim Kopieren des Zertifikats darauf, BEGIN und END auszuschließen und alle Zeilenumbrüche sowie führende oder nachfolgende Leerzeichen zu entfernen.

     • Beispiel für Zertifikatsinhalte, die kopiert werden sollten:

       MIIDdDCCAlygAwIBAgIGAXy6QtfkMA0GCSqGSIb3DQEBCwUAMHsxFDASBgNVBAoTC0dvb2dsZSBJ bmMuMRYwFAYDVQQHEw1Nb3VudGFpbiBWaWV3MQ8wDQYDVQQDEwZHb29nbGUxGDAWBgNVBAsTD0dv b2dsZSBGb3IgV29yazELMAkGA1UEBhMCVVMxEzARBgNVBAgTCkNhbGlmb3JuaWEwHhcNMjExMDI2 MDE0MTU0WhcNMjYxMDI1MDE0MTU0WjB7MRQwEgYDVQQKEwtHb29nbGUgSW5jLjEWMBQGA1UEBxMN TW91bnRhaW4gVmlIjANBgkqhkiG9w0BAQEFAAOCAQ8A MIIBCgKCAQEAlwzhMrwH3WO1rbv5Ftkkg7USOhE6bBl7xVPyy3o6HCq1Rcnh/T5zsvmNyLQ3n7GL Q7AomWFRTa8sriXQPqz8xT67fVq5tWpl3t0CiJ36XxM8AUd1u9juaxSTdYFDRQf5JCvE/RK1aqR/ qVIqU/keehoozfhMM9jlrxqNfcwKPiKb3583jHGpu6TvSet4Dmg5NzE0y28ZFDaB2NBa0fE9euEq o3Ulf2uqY2RSGw8x92d8YMLX/1qZtp+/xkYmAQaIUNGe0PhHpLoDhjxNN6RVRESiA/Jkcyc6ZCUd Wn+6B5ZNq0X4OZkdfgkjfgdskrTTSRFASSF3333fgfsg/LZNPSDlbwJId2SX48ejzbcNpGBWCPPKNeSwIDAQABMA0GCSqGSIb3DQEBCwUA A4IBAQBzokabj8aD6/DStvpzuUPn0P/EIu4fKEx8MwsDnKzGC0s/3EcWZuiutKmaTdLbWY2BJhZmaj 5mg8Xs+EtGAQqZ2DxFJDeyWruGMKW3S5NMMtZC+w8fj7kdHRByBTVgEqAGfehCoP7zjf7jAQfLe/ wjeehVlc8Q0nNzueNNrPQABgdyAuknS5Syzkjl8Wmd611uUjMXlBsoLY3gBvSuF8WNzqQXYOUQuL OIJXJ2K/o8dBNRQC015ygcRi57nHaBMTh3BL22jMX
       

Anspruchstypen des Sicherheitsanbieters konfigurieren (optional)

1. Kehren Sie zur Konfigurationsseite für den Service Provider zurück oder minimieren Sie das Bedienfeld Properties
2. Klicken Sie im Bereich Claims auf + Claim und Speichern Sie den folgenden Anspruchstyp. Dies ist optional, stellt jedoch sicher, dass das E-Mail-Adress-Attribut des App Builder-Benutzers beim Anmelden des Benutzers bei App Builder mit dem externen Authentifizierungsanbieter aufgefüllt wird.

3. Klicken Sie auf + Claim und verwenden Sie die folgenden Werte:

4. Identifier: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier

5. Usage: E-Mail-Adresse

6. Name: Beschreibendes Label. Beispiel: Email Address

7. Klicken Sie auf Speichern

Testen

An dieser Stelle ist die Konfiguration bereit zum Testen. Es wird empfohlen, alle Tests in neuen Incognito- oder Privatfenstern oder in einem anderen Browser durchzuführen.

Testschritte

1. Klicken Sie in Google Workspace unter Web- und mobile Apps auf SAML-ANMELDUNG TESTEN und überprüfen Sie das Ergebnis

2. Navigieren Sie zur Anmeldeseite der App Builder-Instanz und:

   1. Bestätigen Sie, dass die neue Authentifizierungsmethode ordnungsgemäß angezeigt wird
   2. Versuchen Sie sich mit der neuen Authentifizierungsmethode anzumelden und überprüfen Sie das Ergebnis. Dies sollte mit einer separaten Anmeldung erfolgen, die nicht für die Verwaltung von App Builder verwendet wird.

3. Wenn Fehler gemeldet werden, überprüfen Sie die gesamte Konfiguration und bestätigen Sie, dass die Elemente, die übereinstimmen müssen, korrekt sind – unter Beachtung von Groß-/Kleinschreibung und mit entsprechenden nachgestellten / usw.

4. Wenn eine Fehlermeldung von einer Google-Seite angezeigt wird, die besagt, dass die Anwendung für den Benutzer nicht aktiviert ist, bestätigen Sie, dass die Schritte 17 und 18 abgeschlossen wurden und dass genügend Zeit verstrichen ist, damit der Zugriff in der Google Workspace verbreitet werden kann.
5. Wenn alle Einstellungen vorhanden und korrekt sind, aber die externe Authentifizierung immer noch nicht funktioniert, wenden Sie sich bitte an den Jitterbit-Support.