Siirry YuJaan
  1. YuJa-ohjekeskus
  2. Engage-opiskelijavastausjärjestelmä
  3. SSO-integraatiot

Engagen integrointi ADFS:n kanssa (SAML)

Avatar
YuJa
  • Päivitetty

Järjestelmänvalvojat voivat määrittää suojatun yhteyden Engagen ja ADFS:n välille todentaakseen Engageen kirjautuvat käyttäjät. Engagen ja ADFS:n määrittäminen mahdollistaa käyttäjien turvallisen todennuksen ja sisäänkirjautumisen.

ADFS-määrityksen vaatimukset

ADFS-määritys koostuu kolmesta vaiheesta.

  1. Luottavan osapuolen luottamussuhteen (RPT) luominen Engagea varten.
  2. Väittämäsääntöjen lisääminen RPT:lle, jotta SAML-vastaukset sisältävät oikeat tiedot käyttäjästä.
  3. RPT:n tiivistealgoritmin säätäminen. Näin varmistetaan, että kaikki 3 osaa on suoritettu ja määritys on tehty oikein. 

Luottavan osapuolen luottamussuhteen luominen

Varmista ennen aloittamista, että olet saanut luottavan osapuolen SAML 2.0 SSO -palvelun URL-osoitteen asiakkuuspäälliköltäsi. 

  1. Avaa ADFS-palvelimella sovellus ADFS-hallinta.
  2. Napsauta vasemmassa paneelissa kohdassa Luottamussuhteet kohtaa Luottavan osapuolen luottamussuhteet (RPT). 
  3. Napsauta välilehdessä Toiminnot kohtaa Lisää luottavan osapuolen luottamussuhde. 
    ADFS:n Luottavan osapuolen luottamussuhde -kansio, jossa Lisää luottavan osapuolen luottamussuhde -vaihtoehto on korostettu.
  4. Napsauta ikkunassa Ohjattu RPT:n lisääminen kohtaa Aloita.
    Ohjattu luottavan osapuolen luottamussuhteen lisääminen pyytää käyttäjää aloittamaan prosessin suorittamalla useita vaiheita.
  5. Valitse Anna luottavan osapuolen tiedot manuaalisesti. 
  6. Napsauta Seuraava.
    Tietolähteen valinta -vaiheessa vaihtoehto Anna luottavan osapuolen tiedot on valittu ja Seuraava-painike on korostettu.
  7. Anna RPT:lle näyttönimi (esim. ”YuJa Engage”) ja napsauta Seuraava.
    Näyttönimen määrittäminen -vaiheessa on annettu näyttönimi ja Seuraava-painike on korostettu.
  8. Valitse ADFS-profiili ja napsauta Seuraava.
    Profiilin valinta -vaiheessa AD FS -profiili on valittu ja Seuraava-painike on korostettu.
  9. Napsauta Seuraava. Älä salaa YuJalle lähetettäviä väittämiä.
    Seuraava-painike on korostettu Varmenteen määrittäminen -vaiheessa.
  10. Valitse Ota käyttöön SAML 2.0 WebSSO -protokollan tuki -valintaruutu.
  11. Anna Luottavan osapuolen SAML 2.0 SSO -palvelun URL-osoite, jonka sait asiakkuuspäälliköltäsi, ja napsauta Seuraava.
    URL-osoitteen määrittäminen -vaiheessa SAML 2.0 Web SSO -protokollan tuki on otettu käyttöön ja Seuraava-painike on korostettu.
  12. Kirjoita kenttään Luottavan osapuolen luottamussuhteen tunniste arvo https://<YOUR_YUJA_ENGAGE_DOMAIN>.engage.yuja.com.
  13. Napsauta Lisää > Seuraava. 
    Tunnisteiden määrittäminen -vaiheessa luottavan osapuolen luottamussuhteen tunniste on lisätty ja Seuraava-painike on korostettu.
  14. Valitse En halua määrittää monivaiheisen todennuksen asetuksia tälle luottavan osapuolen luottamussuhteelle tällä hetkellä ja napsauta Seuraava.
    Monivaiheisen todennuksen määrittäminen nyt -vaiheessa vaihtoehto En halua määrittää monivaiheista todennusta on valittu ja Seuraava-painike on korostettu.
  15. Valitse Salli kaikille käyttäjille pääsy tähän luottavaan osapuoleen ja napsauta Seuraava.
    Myöntämissääntöjen valinta -vaiheessa vaihtoehto Salli kaikille käyttäjille pääsy luottavaan osapuoleen on valittu ja Seuraava-painike on korostettu.
  16. Tarkista asetukset varmistaaksesi, että kaikki on oikein, ja napsauta Seuraava.
    Valmis lisäämään luottamussuhteen -vaiheessa Seuraava-painike on korostettu.
  17. Valitse Avaa Muokkaa väittämäsääntöjä -valintaikkuna tälle luottavan osapuolen luottamussuhteelle, kun ohjattu toiminto sulkeutuu, ja napsauta Sulje.
    Viimeistelyvaiheessa vaihtoehto Avaa väittämäsääntöjen muokkaus on valittu ja Seuraava-painike on korostettu.

Väittämäsääntöjen lisääminen

  1. Jos haluat luoda tai muokata väittämäsääntöjä, napsauta kohdetta RPT. 
  2. Napsauta oikeanpuoleisessa paneelissa kohtaa Muokkaa väittämäsääntöjä.
    AD FS -sovelluksessa YuJa Engage -luottavan osapuolen luottamussuhde on valittu.
  3. Napsauta ikkunassa Muokkaa väittämäsääntöjä: YuJa Engage kohtaa Lisää sääntö.
    Väittämäsääntöjen muokkausikkuna, jossa Lisää sääntö -painike on korostettu.
  4. Valitse Lähetä LDAP-määritteet väittäminä ja napsauta Seuraava.
    Lähetä LDAP-määritteet väittäminä on valittu avattavasta valikosta ja Seuraava-painike on korostettu.
  5. Anna väittämäsäännölle nimi kenttään Väittämäsäännön nimi (esim. YuJa Engage).
  6. Valitse Active Directory kohdassa Määritteiden tallennustila.

  7. Luo neljä väittämäyhdistämistä alla olevan taulukon mukaisesti ja napsauta sitten Valmis.
    LDAP-määritteiden yhdistäminen lähteviin väittämätyyppeihin

    LDAP-määrite Lähtevän väittämän tyyppi
    Email-Addresses Sähköpostiosoite
    Given-Name Etunimi
    Surname Sukunimi
    <Käyttäjän rooliin liittyvä määrite (esim. ITManager)> Rooli

    LDAP-määritteet näkyvät taulukossa, jossa on LDAP-määritteet ja niiden lähtevän väittämän tyyppi.

  8. Luo toinen väittämäsääntö napsauttamalla Lisää sääntö.
    Väittämäsäännön muokkausikkuna, jossa Lisää sääntö -painike on korostettu.
  9. Valitse Muunna saapuva väittämä ja napsauta Seuraava.
    Väittämäsäännön malliksi on valittu Muunna saapuva väittämä ja Seuraava-painike on korostettu.
  10. Anna Väittämäsäännön nimi.
  11. Valitse avattavasta kentästä Saapuvan väittämän tyyppi vaihtoehto Sähköpostiosoite (jos jokaisella ADFS-järjestelmän käyttäjällä on sähköpostiosoite) tai Etunimi.
  12. Valitse kentästä Lähtevän väittämän tyyppi vaihtoehto Nimitunnus.
  13. Valitse kentästä Lähtevän nimitunnuksen muoto vaihtoehto Sähköposti. 
  14. Napsauta Valmis.
    Väittämäsäännön tiedot on täytetty ja Valmis-painike on korostettu.
  15. Napsauta OK.
    OK-painike on korostettu väittämäsäännön muokkausikkunassa.

Tiivistealgoritmin säätäminen 

  1. Kaksoisnapsauta kohdetta RPT. 
    Engagen luottavan osapuolen luottamussuhde on valittu AD FS -sovelluksessa.
  2. Valitse välilehti Lisäasetukset.
  3. Valitse avattavasta kentästä Suojattu tiivistealgoritmi vaihtoehto SHA-1.
  4. Napsauta OK.
    YuJa Engage -ominaisuuksien Lisäasetukset-välilehti on valittu ja Suojattu tiivistealgoritmi -kentässä on valittu SHA-1.

Engagen määrittäminen

Kun olet säätänyt kaikki ADFS:n asetukset, voit määrittää asetukset Engagessa.

  1. Kirjaudu Engageen IT-hallinnoijana.
  2. Valitse sivupalkista Integraatiot.
    Engagen integraatiot
  3. Valitse avattavasta kentästä SSO - ADFS [SAML].
    Engagen SSO-ADFS-integraatio
     

  4. Anna tiedot kuvan mukaisesti integraation jokaiseen paneeliin—Yleiset kertakirjautumisen tiedot, Käyttäjän valtuuttaminen, Roolikartoitus ja Ristiintegrointi LTI:n kanssa. 
    Integraatioon annettavat Engage-tiedot

    Määrite Pakollinen? Kuvaus
    Yleiset kertakirjautumisen tiedot 
    ADFS SSO -URL-osoite  Kyllä

    SSO:ssa käytettävä URL-osoite. YuJa Engage lähettää AuthnRequest-tunnisteet tähän osoitteeseen. Löytyy IDP-metatiedoista ”Location”-määritteenä. Huomautus: Engage käyttää HTTP-Redirect-sidontaa.

    Esimerkki: ”https:///adfs/ls/”
    Nimitunnuksen muoto Kyllä

    Muoto, jota SP ja IDP käyttävät keskustellessaan subjektista. Löytyy IDP-metatiedoista kyseisen tunnisteen arvona. Huomautus: Jos mahdollista, sähköpostiosoitteet tulee priorisoida ja ottaa käyttöön.

    Esimerkki: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Etäuloskirjautumisen URL-osoite Ei tuettu tällä hetkellä Jätä tämä arvo tyhjäksi.
    ADFS-allekirjoitusvarmenteen sormenjälki Kyllä

    IDP:n varmenteen yksilöllistä sormenjälkeä käytetään SAML-vastausten allekirjoituksessa. Sormenjälkeä ei ole nimenomaisesti metatiedoissa, mutta varmennetta käytetään joko SAMLResponse- tai Assertion-osan allekirjoittamiseen. Katso lisätietoja kohdasta Varmenteen sormenjäljen johtaminen tämän dokumentin Lisätyökalut-osiossa.

    Esimerkki: 7j2mka9cfe2d09j23eefe01442f6a49d1222391
    Uloskirjautumisen URL-osoite Ei tuettu tällä hetkellä Jätä tämä arvo tyhjäksi.
    Käyttäjän valtuuttaminen 
    Etunimimäärite Ei

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän etunimeä. Löytyy IDP-metatiedoista. XML-tiedostossa on osio, jonka pitäisi sisältää tunnisteiden luettelon. Anna ”Name”-avaimen arvo etunimeä vastaavan kohdan alta.

    Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Sukunimimäärite Ei

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän sukunimeä. Löytyy IDP-metatiedoista. XML-tiedostossa on osio, jonka pitäisi sisältää tunnisteiden luettelon. Anna ”Name”-avaimen arvo sukunimeä vastaavan kohdan alta.

    Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Sähköpostimäärite Ei

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän sähköpostiosoitetta. Löytyy IDP-metatiedoista. XML-tiedostossa on osio, jonka pitäisi sisältää tunnisteiden luettelon. Anna ”Name”-avaimen arvo sähköpostiosoitetta vastaavan kohdan alta. 

    Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Roolimäärite Ei

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän roolia. Löytyy IDP-metatiedoista. XML-tiedostossa on osio, jonka pitäisi sisältää tunnisteiden luettelon. Anna ”Name”-avaimen arvo roolia vastaavan kohdan alta.  

    Arvon tulee olla: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Roolikartoitus
    IT-hallinnoija Ei

    Voit käyttää pilkuilla erotettua arvoluetteloa. Jos Roolimäärite-kentässä vastaanotettu arvo vastaa mitä tahansa näistä arvoista, käyttäjä luodaan IT-hallinnoijaksi.

    Esimerkki: IT Manager
    Opettaja Ei 

    Voit käyttää pilkuilla erotettua arvoluetteloa. Jos Roolimäärite-kentässä vastaanotettu arvo vastaa mitä tahansa näistä arvoista, käyttäjä luodaan opettajaksi.

    Esimerkki: Instructor, Teacher tai TA
    Ristiintegrointi LTI:n kanssa
    Linkitysmäärite Ei Yksilöllinen määrite, joka yhdistää SSO:n LMS:ään. Näin käyttäjä tunnistetaan yhdeksi käyttäjäksi riippumatta siitä, kirjautuuko hän sisään SSO:lla vai LMS:llä (esim. määrite: sähköposti)
  5. Napsauta Tallenna muutokset. 
    Engagen integraation muutosten tallentaminen

Lisätyökalut

Varmenteen sormenjäljen johtaminen

IDP:n varmenteen sormenjälkeä käytetään lisäturvallisuuteen, kun SP varmentaa IDP:ltä saadun SAML-vastauksen. Johda varmenteen sormenjälki seuraavien ohjeiden mukaisesti:

  1. Pura Google IDP -metatiedoista X509-varmenne. Sen pitäisi sijaita kohdassa: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Kun sinulla on varmenne, siirry seuraavalle verkkosivustolle: https://www.samltool.com/fingerprint.php.
  3. Liitä varmenne ”X509 cert” -tekstikenttään.
  4. Varmista, että Algorithm-arvoksi on valittu ”sha1”.
  5. Napsauta ”Calculate Fingerprint”.
  6. Kopioi luotu ”FingerPrint”-arvo. Tätä arvoa käytetään tietokannassa. Sormenjäljen tulee olla 20 tavun taulukko ”sha1”-algoritmille.

Aiheeseen liittyvät artikkelit

Ota yhteyttä tukeen