App Builder als Identitätsanbieter in Jitterbit App Builder konfigurieren

App Builder kann sowohl als SAML Service Provider (SP) als auch als SAML Identity Provider (IdP) fungieren. Dies ermöglicht es einer Instanz von Viny (dem IdP), Benutzer im Namen einer anderen Instanz (des SP) zu authentifizieren.

Es gibt vier Hauptaufgaben:

1. Ein Signaturzertifikat generieren.
2. Einen SAML IdP-Sicherheitsanbieter erstellen.
3. Einen SAML SP-Sicherheitsanbieter erstellen.
4. Testen

Diese Anleitung geht von den folgenden Voraussetzungen aus:

1. Es stehen mindestens zwei App Builder-Instanzen zur Verfügung.
2. Es besteht Administratorzugriff auf jede App Builder-Instanz.

Die folgenden Anweisungen beziehen sich auf die nachfolgenden Eigenschaften:

Ein Signaturzertifikat generieren

Bei SAML Single Sign-On (SSO) wird Vertrauen über Signaturzertifikate hergestellt. Der Prozess zum Erwerben eines Zertifikats liegt außerhalb des Umfangs dieses Dokuments. Zu Illustrationszwecken zeigen die folgenden Befehle jedoch, wie ein kompatibles Zertifikat mit dem OpenSSL-Befehlszeilenprogramm generiert wird.

Der folgende Befehl generiert einen PEM-codierten privaten Schlüssel (key.pem) und ein selbstsigniertes Zertifikat (cert.pem):

$ openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -nodes -days 1095 -subj "/CN=idp.example.com/O=App BuilderIdP"

Der Inhalt der Datei cert.pem wird benötigt, um den App Builder SP-Sicherheitsanbieter zu konfigurieren.

Der folgende Befehl generiert ein PKCS#12-Archiv (cert.pfx), das sowohl den privaten Schlüssel als auch das Zertifikat enthält:

$ openssl pkcs12 -export -in cert.pem -inkey key.pem -out cert.pfx

Es wird um die Eingabe eines Passworts aufgefordert. Das Passwort wird benötigt, um den App Builder IdP-Sicherheitsanbieter zu konfigurieren.

Abschließend wird das PKCS#12-Archiv mit dem folgenden Befehl Base64-codiert:

$ openssl base64 -in cert.pfx -out cert.txt -A

Der Inhalt der Datei cert.txt wird benötigt, um den App Builder IdP-Sicherheitsanbieter zu konfigurieren.

SAML-IdP-Sicherheitsanbieter erstellen

Um einen SAML-IdP-Sicherheitsanbieter zu erstellen, melden Sie sich zunächst bei der App-Builder-Instanz an, die als IdP dienen wird.

1. Navigieren Sie zur IDE
2. Klicken Sie auf die Schaltfläche Security Providers
3. Klicken Sie auf die Schaltfläche + Security Provider

4. Geben Sie folgendes an:

   • Name: Name des IdP-Sicherheitsanbieters, z. B. VinylIdP
   • Type: SAML Identity Provider

5. Klicken Sie auf die Schaltfläche Save

6. Klicken Sie im Panel Properties auf die Schaltfläche + Property, um jede der folgenden Eigenschaften hinzuzufügen:

   • AssertionConsumerService: Assertion Consumer Service URL, z. B. https://sp.example.com/Vinyl/signin-VinylSP.
   • Audience: App-Builder-SP-URL, z. B. https://sp.example.com/Vinyl/.
   • Issuer: App-Builder-IdP-URL, z. B. https://idp.example.com/Vinyl/.
   • Recipient: Assertion Consumer Service URL, z. B. https://sp.example.com/Vinyl/signin-VinylSP.
   • SigningCertificate: base64-codiertes PKCS#12-Archiv (siehe Signaturzertifikat generieren).
   • SigningCertificatePassword: Passwort des Signaturzertifikats (siehe Signaturzertifikat generieren).

7. Klicken Sie im Panel Claims auf die Schaltfläche + Claim, um jede der folgenden Eigenschaften zuzuordnen:

   • Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
   • Group: http://schemas.xmlsoap.org/claims/Group

8. Klicken Sie im Panel Provider auf die Schaltfläche Edit

9. Aktivieren Sie die Option Enabled
10. Klicken Sie auf die Schaltfläche Save

Die obigen Schritte enthalten einen Gruppenanspruch. Der Gruppenanspruch wird verwendet, um die Gruppenmitgliedschaft an den SP zu übergeben. Gruppen werden jedoch nicht standardmäßig übergeben. Um eine Gruppe zu übergeben, fügen Sie diese zum IdP-Sicherheitsanbieter hinzu. Beispiel:

1. Navigieren Sie zur IDE
2. Klicken Sie auf die Schaltfläche User Management
3. Klicken Sie auf die Schaltfläche Identities
4. Wählen Sie den IdP-Sicherheitsanbieter aus, z. B. VinylIdP
5. Klicken Sie im Panel Provider Groups auf die Schaltfläche + Group
6. Geben Sie einen Name an, z. B. Administrators
7. Wählen Sie die Group aus, z. B. Administrators
8. Klicken Sie auf die Schaltfläche Save

SAML-SP-Sicherheitsanbieter erstellen

Um einen SAML-SP-Sicherheitsanbieter zu erstellen, melden Sie sich zunächst bei der App-Builder-Instanz an, die als SP dienen wird.

1. Navigieren Sie zur IDE
2. Klicken Sie auf die Schaltfläche Security Providers
3. Klicken Sie auf die Schaltfläche + Security Provider

4. Geben Sie folgendes an:

   • Name: Name des SP-Sicherheitsanbieters, z. B. VinylSP.
   • Type: SAML
   • User Provisioning: Aktivieren Sie diese Option, um die Benutzerbereitstellung zu aktivieren.
   • Show On Login Form: Aktivieren Sie diese Option, um den Authentifizierungsanbieter auf dem Anmeldeformular anzuzeigen.

5. Klicken Sie auf die Schaltfläche Save

6. Klicken Sie im Panel Properties auf die Schaltfläche + Property, um jede der folgenden Eigenschaften hinzuzufügen:

   • Audience: App-Builder-SP-URL, z. B. https://sp.example.com/Vinyl/.
   • Issuer: App-Builder-IdP-URL, z. B. https://idp.example.com/Vinyl/.
   • Recipient: Assertion Consumer Service URL, z. B. https://sp.example.com/Vinyl/signin-VinylSP.
   • RequestRedirectEndpoint: Request Redirect Endpoint, z. B. https://idp.example.com/Vinyl/signin-VinylIdP.
   • SigningCertificate: PEM-codiertes Zertifikat (siehe Signaturzertifikat generieren).

7. Klicken Sie im Panel Claims auf die Schaltfläche + Claim, um jede der folgenden Eigenschaften zuzuordnen:

   • Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
   • Group: http://schemas.xmlsoap.org/claims/Group

8. Klicken Sie im Panel Provider auf die Schaltfläche Edit

9. Aktivieren Sie die Option Enabled
10. Klicken Sie auf die Schaltfläche Save

Die obigen Schritte enthalten einen Gruppenanspruch. Der Gruppenanspruch wird verwendet, um Ansprüche Sicherheitsanbieter-Gruppen zuzuordnen. Sicherheitsanbieter-Gruppen werden jedoch standardmäßig nicht App-Builder-Sicherheitsgruppen zugeordnet. Um eine Sicherheitsanbieter-Gruppe einer App-Builder-Sicherheitsgruppe zuzuordnen:

1. Navigieren Sie zur IDE
2. Klicken Sie auf die Schaltfläche User Management
3. Klicken Sie auf die Schaltfläche Identities
4. Wählen Sie den SP-Sicherheitsanbieter aus, z. B. VinylSP
5. Klicken Sie im Panel Provider Groups auf die Schaltfläche + Group
6. Geben Sie einen Name an, z. B. Administrators
7. Wählen Sie die Group aus, z. B. Administrators
8. Klicken Sie auf die Schaltfläche Save

Test

Um zu testen, starten Sie zunächst einen Browser im Inkognito-/Privatmodus.

1. Navigieren Sie zur App Builder SP-URL, z. B. https://sp.example.com/Vinyl/.
2. Klicken Sie im Anmeldeformular auf die Option zum Anmelden mit App Builder SP, z. B. VinylSP. Sie werden zum App Builder IdP-Anmeldeformular weitergeleitet.
3. Melden Sie sich bei der App Builder IdP-Instanz an. Sie werden zurück zu App Builder SP weitergeleitet.

War der Test erfolgreich, melden Sie sich bei der App Builder SP-Instanz an.

Fehlerbehebung

"Anmelden mit..."-Option fehlt im Anmeldeformular

Fehlt die Option "Anmelden mit..." im Anmeldeformular, ist der App Builder SP-Sicherheitsanbieter entweder nicht aktiviert oder die Option Bei Anmeldeformular anzeigen war nicht aktiviert.

404-Fehler nach Klick auf "Anmelden mit..."

Wenn nach dem Klick auf die Schaltfläche "Anmelden mit..." im Anmeldeformular ein 404 Not Found-Fehler angezeigt wird, deutet dies möglicherweise darauf hin, dass der App Builder IdP-Sicherheitsanbieter nicht aktiviert ist, falsch benannt oder nicht ordnungsgemäß konfiguriert wurde. Um Serviceunterbrechungen zu vermeiden, deaktiviert App Builder den Sicherheitsanbieter zur Laufzeit, wenn eine Fehlkonfiguration erkannt wird.