Siirry YuJaan
  1. YuJa-ohjekeskus
  2. Panorama-LMS-saavutettavuusalusta
  3. Hallinta-alusta

Panoraman integrointi ADFS:n kanssa (SAML)

Avatar
YuJa
  • Päivitetty

Ylläpitäjät voivat muodostaa suojatun yhteyden Panoramen ja ADFS:n välille Panoramaan kirjautuvien käyttäjien todentamista varten. Jotta käyttäjät voidaan todentaa ja kirjata sisään turvallisesti, varmista, että Panorama ja ADFS on määritetty seuraavien ohjeiden mukaisesti.  

ADFS-määrityksen vaatimukset

ADFS-määritys edellyttää, että sinulla on mukautettu Panorama-URL-osoite (esimerkki: hudsonu.panorama.yuja.com). Jos sinulla ei ole sellaista, ota yhteyttä asiakkuuspäällikköösi

Luotettavan osapuolen luottamussuhteen luominen

Tämä toimenpide luo Panoramalle luotettavan osapuolen luottamussuhteen.

  1. Avaa ADFS-palvelimella sovellus ADFS-hallinta.
  2. Napsauta vasemmassa paneelissa kohdassa Luottamussuhteet kohtaa Luotettavan osapuolen luottamussuhteet (RPT). 
  3. Kohdassa Toiminnot napsauta Lisää luotettavan osapuolen luottamussuhde. 
    Luotettavan osapuolen luottamussuhteet -kansio näkyy ADFS:ssä, ja Lisää luotettavan osapuolen luottamussuhde -vaihtoehto on korostettu.
  4. Kohdassa Ohjattu RPT:n lisääminen napsauta Aloita.
    Luotettavan osapuolen luottamussuhteen lisäämisen ohjattu toiminto pyytää käyttäjää aloittamaan prosessin suorittamalla useita vaiheita.
  5. Valitse Anna luotettavan osapuolen tiedot manuaalisesti, ja napsauta Seuraava.
    Valitse tietolähde -vaiheessa on valittu vaihtoehto, jossa luotettavan osapuolen tiedot annetaan, ja Seuraava-painike on korostettu.
  6. Anna RPT:lle näyttönimi (esim. ”Panorama”) ja napsauta Seuraava.
    Määritä näyttönimi -vaiheessa on annettu näyttönimi ja Seuraava-painike on korostettu.
  7. Valitse ADFS-profiili ja napsauta Seuraava.
    Valitse profiili -vaiheessa AD FS -profiili on valittu ja Seuraava-painike on korostettu.
  8. Kun olet Määritä varmenne -vaiheessa, napsauta Seuraava. Älä salaa YuJalle lähetettäviä vaatimuksia.
    Seuraava-painike on korostettu Määritä varmenne -vaiheessa.
  9. Valitse Ota SAML 2.0 WebSSO -protokollan tuki käyttöön.
  10. Anna Luotettavan osapuolen SAML 2.0 SSO -palvelun URL-osoite. 
    • Palvelun URL-osoite: https://YOUR_CUSTOM_PANORAMA_URL/api/sso/samlReceiveResponse
      • Esimerkki: https://hudsonu.panorama.yuja.com/api/sso/samlReceiveResponse
  11. Napsauta Seuraava.
    Määritä URL-osoite -vaiheessa SAML 2.0 Web SSO -protokollan tuki on otettu käyttöön ja Seuraava-painike on korostettu.
  12. Kohdassa Luotettavan osapuolen luottamussuhteen tunniste, anna mukautettu Panorama-URL-osoitteesi.
    • Esimerkki: https://hudsonu.panorama.yuja.com
  13. Napsauta Lisää, ja napsauta sitten Seuraava. 
    Määritä tunnisteet -vaiheessa luotettavan osapuolen luottamussuhteen tunniste on lisätty ja Seuraava-painike on korostettu.
  14. Valitse En halua määrittää monivaiheisen todennuksen asetuksia tälle luotettavan osapuolen luottamussuhteelle tällä kertaa. Napsauta sitten Seuraava.
    Määritä monivaiheinen todennus nyt -vaiheessa on valittu vaihtoehto, jolla monivaiheista todennusta ei määritetä, ja Seuraava-painike on korostettu.
  15. Valitse Salli kaikkien käyttäjien käyttää tätä luotettavaa osapuolta. Napsauta Seuraava.
    Valitse myöntämisen valtuutussäännöt -vaiheessa Salli kaikkien käyttäjien käyttää luotettavaa osapuolta on valittu ja Seuraava-painike on korostettu.
  16. Tarkista asetukset varmistaaksesi, että kaikki on oikein, ja napsauta sitten Seuraava.
    Valmis lisäämään luottamussuhteen -vaiheessa Seuraava-painike on korostettu.
  17. Varmista, että Avaa tämän luotettavan osapuolen luottamussuhteen Muokkaa vaatimussääntöjä -valintaikkuna, kun ohjattu toiminto sulkeutuu on valittuna, ja napsauta sitten Sulje.
    Viimeistelyvaiheessa Avaa vaatimussääntöjen muokkaus -vaihtoehto on valittu ja Seuraava-painike on korostettu.

Vaatimussääntöjen lisääminen

Lisää RPT:lle vaatimussäännöt, jotta SAML-vastaukset sisältävät oikeat käyttäjätiedot.

  1. Voit luoda tai muokata vaatimussääntöjä napsauttamalla ensin RPT. Napsauta oikeanpuoleisessa paneelissa Muokkaa vaatimussääntöjä.
    AD FS -sovelluksessa Panorama-luotettava osapuoli on valittuna.
  2. Napsauta Lisää sääntö.
  3. Valitse Lähetä LDAP-määritteet vaatimuksina ja napsauta Seuraava.
    Vaatimussääntöjen muokkausikkuna, jossa Lisää sääntö -painike on korostettu.
  4. Anna vaatimussäännön nimi (esim. Panorama).
  5. Valitse Active Directory määritesäilöksi.

  6. Luo neljä vaatimusyhdistämistä alla olevan taulukon mukaisesti ja napsauta sitten Valmis.
    LDAP-määritteiden yhdistäminen lähteviin vaatimustyyppeihin: 

    LDAP-määrite Lähtevän vaatimuksen tyyppi
    Email-Addresses E-mail Address
    Given-Name Given Name
    Surname Surname
    <Käyttäjän rooliin liittyvä määrite (esim. Admin)> Role

    LDAP-määritteet näkyvät taulukossa, jossa on LDAP-määritteet ja niiden lähtevän vaatimuksen tyyppi.

  7. Luo nyt toinen vaatimussääntö. Napsauta Lisää sääntö.
    Vaatimussäännön muokkausikkuna, jossa Lisää sääntö -painike on korostettu.
  8. Valitse Muunna saapuva vaatimus. Napsauta Seuraava.
    Vaatimussääntömalliksi on valittu Muunna saapuva vaatimus ja Seuraava-painike on korostettu.
  9. Anna vaatimussäännön nimi. Valitse kohdassa Saapuvan vaatimuksen tyyppi E-Mail Address. Tärkeää: Tämä edellyttää, että jokaisella ADFS-järjestelmän käyttäjällä on sähköpostiosoite. Jos näin ei ole, valitse sen sijaan Given-Name .
  10. Valitse kohdassa Lähtevän vaatimuksen tyyppi Name ID. Valitse kohdassa Lähtevän Name ID -muoto Sähköposti. 
  11. Napsauta Valmis.
    Vaatimussäännön tiedot on täytetty ja Valmis-painike on korostettu.
  12. Napsauta OK kohdassa Muokkaa vaatimussääntöjä -ikkunassa.
    OK-painike on korostettu vaatimussääntöjen muokkausikkunassa.

Tiivistealgoritmin säätäminen

Näin varmistetaan, että kaikki kolme osaa on suoritettu ja että määritys on tehty oikein. 

  1. Kaksoisnapsauta omaa RPT:täsi.
    Engage-luotettavan osapuolen luottamussuhde on valittuna AD FS -sovelluksessa.
  2. Siirry välilehdelle Lisäasetukset .
  3. Valitse avattavasta Suojattu tiivistealgoritmi -luettelosta SHA-1.
  4. Napsauta OK.
    Panoraman ominaisuuksissa Lisäasetukset-välilehti on valittuna ja Suojattu tiivistealgoritmi -asetukseksi on valittu SHA-1.

Panoraman määritys

Kun olet säätänyt kaikki ADFS:n asetukset, voit määrittää Panoraman asetukset.

  1. Kirjaudu sisään LMS-järjestelmääsi ja avaa Panorama.
  2. Valitse Määritykset ja sitten Integraatiot.
  3. Valitse avattavasta Valitse integraatio -valikosta SSO-SAML.
    SSO-SAML-integraatio, jossa Valitse integraatio on ympyröity

  4. Sinun on täytettävä integraation jokaisen paneelin tiedot: Yleiset kertakirjautumisen tiedot, Käyttäjän valtuuttaminen, Roolikartoitus ja ristiintegraatio LTI 1.3:n kanssa. Täytä tiedot alla olevan taulukon mukaisesti.

    Määrite Pakollinen? Kuvaus
    Yleiset kertakirjautumisen tiedot 
    SSO-URL-osoite  Kyllä

    Kertakirjautumiseen käytettävä URL-osoite. Tähän Panorama lähettää AuthnRequest-tunnisteet. Löytyy IDP-metatiedoista ”Location”-määritteenä. Huomautus: Panoramassa käytetään HTTP-Redirect-sidontaa.

    Esimerkki: ”https:///adfs/ls/”
    Name ID -muoto Kyllä

    Muoto, jota SP ja IDP käyttävät keskenään viestiessään kohteesta. Löytyy IDP-metatiedoista kyseisen tunnisteen arvona. Huomautus: Jos saatavilla, sähköpostiosoitteet tulisi priorisoida ja ottaa käyttöön.

    Esimerkki: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    ADFS-allekirjoitusvarmenteen sormenjälki Kyllä

    IDP:n varmenteen yksilöllistä sormenjälkeä käytetään SAML-vastausten allekirjoittamisessa. Sormenjälki ei ole nimenomaisesti metatiedoissa, mutta varmennetta käytetään joko SAMLResponse- tai Assertion-osion allekirjoittamiseen. Katso lisätietoja kohdasta Varmenteen sormenjäljen johtaminen tämän asiakirjan Lisätyökalut-osiosta.

    Esimerkki: 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Käyttäjän valtuuttaminen 
    Etunimimääritte Kyllä

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän etunimeä. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelon tunnisteista. Anna ”Name”-avaimen arvo asianmukaisen etunimen kohdalta.

    Arvon tulisi olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Sukunimimääritte Kyllä

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän sukunimeä. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelon tunnisteista. Anna ”Name”-avaimen arvo asianmukaisen sukunimen kohdalta.

    Arvon tulisi olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Sähköpostimääritte Kyllä

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän sähköpostiosoitetta. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelon tunnisteista. Anna ”Name”-avaimen arvo asianmukaisen sähköpostiosoitteen kohdalta. 

    Arvon tulisi olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Roolimääritte Kyllä

    SAML-vastauksen määritteen nimi, joka kuvaa käyttäjän roolia. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelon tunnisteista. Anna ”Name”-avaimen arvo asianmukaisen roolin kohdalta.  

    Arvon tulisi olla: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Roolikartoitus
    Ylläpitäjäkartoitus Kyllä

    Voit käyttää pilkuilla erotettua arvoluetteloa. Jos roolimääritteessä saatu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan IT-ylläpitäjäksi.

    Esimerkki: IT Manager
    Opettajakartoitus Kyllä

    Voit käyttää pilkuilla erotettua arvoluetteloa. Jos roolimääritteessä saatu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan opettajaksi.

    Esimerkki: Instructor, Teacher tai TA
    Ristiintegraatio LTI:n kanssa
    SSO-liitosmääritte Ei Yksilöllinen määrite, joka yhdistää SSO:n ja LMS:n. Tämän ansiosta käyttäjä tunnistetaan yhdeksi käyttäjäksi riippumatta siitä, kirjautuuko hän SSO:lla vai LMS:llä. Sinun on annettava SSO-palvelusi tarjoaman liitosmääritteen nimi.
    LTI 1.3 -liitoksen mukautettu kenttä Ei Yksilöllinen määrite, joka yhdistää SSO:n ja LMS:n. Tämän ansiosta käyttäjä tunnistetaan yhdeksi käyttäjäksi riippumatta siitä, kirjautuuko hän SSO:lla vai LMS:llä. Sinun on annettava LTI-käynnistyksen määrittämiseen käytetyn mukautetun kentän nimi. 

  5. Kun olet säätänyt kaikki tarvittavat asetukset, napsauta Tallenna muutokset viimeistelläksesi integraation. Huomautus: Voit testata SSO-integraatiota valitsemalla Käynnistä kertakirjautumisen sisäänkirjautumissivu ja kirjautumalla sisään integraatiollasi.
    SSO-SAML-integraatio, jossa Tallenna muutokset on ympyröity
     

     

Lisätyökalut  

Varmenteen sormenjäljen johtaminen

IDP:n varmenteen sormenjälkeä käytetään lisäturvallisuuteen, kun SP vahvistaa IDP:ltä tulevan SAML-vastauksen. Johda varmenteen sormenjälki seuraavien ohjeiden mukaisesti:

  1. Poimi Google IDP -metatiedoista X509-varmenne. Sen pitäisi sijaita kohdassa: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Kun sinulla on varmenne, siirry seuraavalle verkkosivustolle: https://www.samltool.com/fingerprint.php.
  3. Liitä varmenne ”X509 cert” -tekstikenttään.
  4. Varmista, että algoritmiksi on valittu ”sha1”.
  5. Napsauta ”Calculate Fingerprint”.
  6. Kopioi luotu ”FingerPrint”-arvo. Tätä arvoa käytetään tietokannassa. Sormenjäljen tulisi olla 20 tavun taulukko ”sha1”-algoritmille.

Aiheeseen liittyvät artikkelit

Ota yhteyttä tukeen