Siirry YuJaan
  1. YuJa-ohjekeskus
  2. EqualGround-verkkosaavutettavuusalusta
  3. Integraatiot
  4. SSO-integraatiot

EqualGroundin integroiminen ADFS:n kanssa (SAML)

Avatar
YuJa
  • Päivitetty

Ylläpitäjät voivat luoda suojatun yhteyden EqualGroundin ja ADFS:n välille EqualGroundiin kirjautuvien käyttäjien todentamiseksi. Varmistaaksesi, että käyttäjät todennetaan ja kirjataan sisään turvallisesti, määritä EqualGround ja ADFS alla olevien ohjeiden mukaisesti.  

Mitä ADFS-määrityksessä tarvitaan

ADFS-määritys edellyttää kolmea vaihetta, jotka on lueteltu alla.

  1. Relying Party Trust (RPT) -luottamussuhteen luominen EqualGroundia varten.
  2. RPT:n vaatimussääntöjen lisääminen, jotta SAML-vastaukset sisältävät oikeat tiedot käyttäjästä.
  3. RPT:n tiivistealgoritmin säätäminen. Näin varmistetaan, että kaikki 3 osaa on suoritettu ja määritys on tehty oikein. 

Relying Party Trust -luottamussuhteen luominen

  1. Avaa ADFS-palvelimella sovellus ADFS-hallinta.
  2. Etsi vasemmasta ruudusta Luottamussuhteet, napsauta kohtaa Luottavan osapuolen luottamussuhteet (RPT). 
  3. Napsauta Toiminnot -välilehdessä kohtaa Lisää luottavan osapuolen luottamussuhde. 
    Luottavan osapuolen luottamussuhteet -kansio näkyy ADFS:ssä, ja Lisää luottavan osapuolen luottamussuhde -vaihtoehto on korostettu.
  4. Napsauta Lisää RPT -ohjattu toiminto -ikkunassa painiketta Aloita.
    Luottavan osapuolen luottamussuhteen lisäämisen ohjattu toiminto kehottaa käyttäjää aloittamaan prosessin suorittamalla useita vaiheita.
  5. Valitse Anna tiedot luottavasta osapuolesta manuaalisesti, ja napsauta Seuraava.
    Valitse tietolähde -vaiheessa on valittu vaihtoehto Anna tiedot luottavasta osapuolesta, ja Seuraava-painike on korostettu.
  6. Anna RPT:lle näyttönimi (esim. ”EqualGround”), ja napsauta Seuraava.
    Specify Display Name -vaiheessa on annettu näyttönimi, ja Seuraava-painike on korostettu.
  7. Valitse AD FS -profiili ja napsauta Seuraava.
    Choose Profile -vaiheessa AD FS -profiili on valittu, ja Seuraava-painike on korostettu.
  8. Kun olet Määritä varmenne -vaiheessa, napsauta Seuraava. Älä salaa YuJalle lähetettäviä vaatimuksia.
    Seuraava-painike on korostettu Määritä varmenne -vaiheessa.
  9. Valitse Ota SAML 2.0 WebSSO -protokollan tuki käyttöön.
  10. Anna Luottavan osapuolen SAML 2.0 SSO -palvelun URL-osoite vyöhykkeesi mukaan. Tärkeää: Jos käytössäsi on mukautettu EqualGround-alustan URL-osoite, anna se vyöhyke-URL-osoitteen sijaan. 
    • Yhdysvaltain vyöhyke: https://EqualGround.yuja.com/api/sso/samlReceiveResponse 
    • Kanadan vyöhyke: https://EqualGround-cz.yuja.com/api/sso/samlReceiveResponse 
    • Euroopan vyöhyke: https://EqualGround-ez.yuja.com/api/sso/samlReceiveResponse
    • Australian vyöhyke: https://EqualGround-az.yuja.com/api/sso/samlReceiveResponse
    • Mukautettu URL-osoite: https://YOUR_CUSTOM_EqualGround_URL/api/sso/samlReceiveResponse
      • Esimerkki: https://hudsonu.EqualGround.yuja.com/api/sso/samlReceiveResponse
  11. Napsauta Seuraava.
    Configure URL -vaiheessa Ota SAML 2.0 Web SSO -protokollan tuki käyttöön on valittu, ja Seuraava-painike on korostettu.
  12. Kohtaan Luottavan osapuolen luottamussuhteen tunniste, anna vyöhykkeesi mukainen URL-osoite. Tärkeää: Jos käytössäsi on mukautettu EqualGround-alustan URL-osoite, anna se vyöhyke-URL-osoitteen sijaan. 
    • Yhdysvaltain vyöhyke: https://EqualGround.yuja.com 
       
    • Kanadan vyöhyke: https://EqualGround-cz.yuja.com
       
    • Euroopan vyöhyke: https://EqualGround-ez.yuja.com 
       
    • Australian vyöhyke: https://EqualGround-az.yuja.com 
    • Mukautettu URL-osoite:  YOUR_CUSTOM_EqualGround_URL
      • Esimerkki: https://hudsonu.EqualGround.yuja.com
  13. Napsauta Lisää, sitten napsauta Seuraava.
    Configure Identifiers -vaiheessa luottavan osapuolen luottamussuhteen tunniste on lisätty, ja Seuraava-painike on korostettu.
  14. Valitse En halua määrittää monivaiheisen todennuksen asetuksia tälle luottavan osapuolen luottamussuhteelle tällä hetkellä. Napsauta sitten Seuraava.
    Configure Multi-factor Authentication Now -vaiheessa vaihtoehto En halua määrittää monivaiheista todennusta on valittu, ja Seuraava-painike on korostettu.
  15. Valitse Salli kaikkien käyttäjien käyttää tätä luottavaa osapuolta. Napsauta Seuraava.
    Choose Issuance Authorization Rules -vaiheessa Salli kaikkien käyttäjien käyttää luottavaa osapuolta on valittu, ja Seuraava-painike on korostettu.
  16. Tarkista asetukset varmistaaksesi, että kaikki on oikein, ja napsauta sitten Seuraava.
    Ready to Add Trust -vaiheessa Seuraava-painike on korostettu.
  17. Varmista, että Avaa Muokkaa vaatimussääntöjä -valintaikkuna tälle luottavan osapuolen luottamussuhteelle, kun ohjattu toiminto sulkeutuu on valittuna, ja napsauta sitten Sulje.
    Finish-vaiheessa Avaa Muokkaa vaatimussääntöjä -asetus on valittu, ja seuraava-painike on korostettu.

Vaatimussääntöjen lisääminen

  1. Voit luoda tai muokata vaatimussääntöjä napsauttamalla ensin kohtaa RPT. Napsauta oikeanpuoleisessa ruudussa Muokkaa vaatimussääntöjä.
    AD FS -sovelluksessa EqualGround-luottava osapuoli on valittu.
  2. Napsauta Lisää sääntö.
  3. Valitse Lähetä LDAP-määritteet vaatimuksina ja napsauta Seuraava.
    Edit Claim Rules -ikkuna näkyy, ja Lisää sääntö -painike on korostettu.
  4. Anna Vaatimussäännön nimi (esim. EqualGround).
  5. Valitse Active Directory määritetallennustilaksi.

  6. Luo neljä vaatimuskartoitusta alla olevan taulukon mukaisesti ja napsauta sitten Valmis.
    LDAP-määritteiden kartoitus lähteviin vaatimustyyppeihin: 

    LDAP-määrite Lähtevä vaatimustyyppi
    Email-Addresses E-mail Address
    Given-Name Given Name
    Surname Surname
    <Käyttäjän rooliin liittyvä määrite (esim. Admin)> Role

    LDAP-määritteet näytetään taulukossa yhdessä niiden lähtevien vaatimustyyppien kanssa.

  7. Luo nyt toinen vaatimussääntö. Napsauta Lisää sääntö.
    Edit Claim Rules -ikkunassa Lisää sääntö -painike on korostettu.
  8. Valitse Muunna saapuva vaatimus. Napsauta Seuraava.
    Muunna saapuva vaatimus on valittu vaatimussääntömalliksi, ja Seuraava-painike on korostettu.
  9. Anna Vaatimussäännön nimi. Valitse kohtaan Saapuva vaatimustyyppi E-Mail Address. Tärkeää: Tämä edellyttää, että jokaisella ADFS-järjestelmän käyttäjällä on sähköpostiosoite. Jos näin ei ole, valitse sen sijaan Given-Name .
  10. Valitse kohtaan Lähtevä vaatimustyyppi arvo Name ID. Valitse kohtaan Lähtevän nimitunnuksen muoto arvo Sähköposti. 
  11. Napsauta Valmis.
    Vaatimussäännön tiedot on täytetty, ja Valmis-painike on korostettu.
  12. Napsauta OK -painiketta Muokkaa vaatimussääntöjä -ikkunassa.
    OK-painike on korostettu Muokkaa vaatimussääntöjä -ikkunassa.

Tiivistealgoritmin säätäminen 

  1. Kaksoisnapsauta RPT-luottamussuhdettasi.
    Engage-luottamussuhde on valittu AD FS -sovelluksessa.
  2. Valitse Lisäasetukset -välilehti.
  3. Valitse Suojattu tiivistealgoritmi -avattavasta luettelosta SHA-1.
  4. Napsauta OK.
    Lisäasetukset-välilehti on valittu EqualGroundin ominaisuuksissa, ja SHA-1 on valittu Suojattu tiivistealgoritmi -kohtaan.

EqualGroundin määritys

Kun olet säätänyt kaikki asetukset ADFS:ssä, voit määrittää asetukset EqualGroundissa.

  1. Kirjaudu sisään EqualGroundiin.
  2. Valitse Konfigurointi ja sitten Integraatioasetukset.
  3. Avattavasta Valitse integraatiot -valikosta valitse SSO-SAML ja ota käyttöön Salli autentikointi kertakirjautumisen kautta.
    EqualGroundin SSO-SAML-integraatiosivu.

  4. Sinun on täytettävä integraation jokaisen paneelin tiedot—Yleiset kertakirjautumisen tiedot, Käyttäjän valtuuttaminen, Roolikartoitus ja Ristiinintegrointi LTI 1.3:n kanssa. Täytä tiedot alla olevan taulukon mukaisesti.

    Attribuutti Pakollinen? Kuvaus
    Yleiset kertakirjautumisen tiedot 
    SSO-URL-osoite  Kyllä

    SSO:ssa käytettävä URL-osoite. Tähän osoitteeseen EqualGround lähettää AuthnRequest-tunnisteet. Löytyy IDP-metatiedoista ”Location”-attribuuttina. Huomautus: EqualGroundissa käytetään HTTP-Redirect-sidontaa.

    Esimerkki: ”https:///adfs/ls/”
    Name ID -muoto Kyllä

    Muoto, jota SP ja IDP käyttävät keskustellessaan subjektista. Löytyy IDP-metatiedoista kyseisen tunnisteen arvona. Huomautus: Jos mahdollista, sähköpostiosoitteet tulee asettaa etusijalle ja niitä tulee käyttää.

    Esimerkki: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    ADFS-allekirjoitusvarmenteen sormenjälki Kyllä

    IDP:n varmenteen yksilöllistä sormenjälkeä käytetään SAML-vastausten allekirjoittamisessa. Sormenjälkeä ei ole nimenomaisesti metatiedoissa, mutta varmennetta käytetään joko SAMLResponse- tai Assertion-elementin allekirjoittamiseen. Katso lisätietoja kohdasta Varmenteen sormenjäljen määrittäminen tämän asiakirjan Lisätyökalut-osiossa.

    Esimerkki: 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Käyttäjän valtuuttaminen 
    Etunimiattribuutti Kyllä

    SAML-vastauksessa olevan attribuutin nimi, joka kuvaa käyttäjän etunimeä. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tunnisteista. Anna ”Name”-avaimen arvo vastaavan etunimen kohdalta.

    Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Sukunimiattribuutti Kyllä

    SAML-vastauksessa olevan attribuutin nimi, joka kuvaa käyttäjän sukunimeä. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tunnisteista. Anna ”Name”-avaimen arvo vastaavan sukunimen kohdalta.

    Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Sähköpostiattribuutti Kyllä

    SAML-vastauksessa olevan attribuutin nimi, joka kuvaa käyttäjän sähköpostiosoitetta. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tunnisteista. Anna ”Name”-avaimen arvo vastaavan sähköpostiosoitteen kohdalta. 

    Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Rooliattribuutti Kyllä

    SAML-vastauksessa olevan attribuutin nimi, joka kuvaa käyttäjän roolia. Löytyy IDP-metatiedoista. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tunnisteista. Anna ”Name”-avaimen arvo vastaavan roolin kohdalta.  

    Arvon tulee olla: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Roolikartoitus
    Ylläpitäjäkartoitus Kyllä

    Voit käyttää pilkuilla erotettua arvoluetteloa. Jos Rooliattribuutissa vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä valtuutetaan IT-vastaavaksi.

    Esimerkki: IT Manager
    Opettajakartoitus Kyllä

    Voit käyttää pilkuilla erotettua arvoluetteloa. Jos Rooliattribuutissa vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä valtuutetaan opettajaksi.

    Esimerkki: Instructor, Teacher tai TA
    Ristiinintegrointi LTI:n kanssa
    SSO-linkitysattribuutti Ei Yksilöllinen attribuutti, joka yhdistää SSO:n LMS:ään. Tämän ansiosta käyttäjä tunnistetaan yhdeksi käyttäjäksi riippumatta siitä, kirjautuuko hän sisään SSO:lla vai LMS:llä. Sinun on annettava SSO-palvelusi tarjoaman linkitysattribuutin nimi.
    LTI 1.3 -linkityksen mukautettu kenttä Ei Yksilöllinen attribuutti, joka yhdistää SSO:n LMS:ään. Tämän ansiosta käyttäjä tunnistetaan yhdeksi käyttäjäksi riippumatta siitä, kirjautuuko hän sisään SSO:lla vai LMS:llä. Sinun on annettava LTI-käynnistyksen määrittämiseen käytetyn mukautetun kentän nimi. 
  5. Kun olet säätänyt kaikki tarvittavat asetukset, napsauta Tallenna muutokset integraation viimeistelemiseksi. Huomautus: Voit testata SSO-integraatiotasi valitsemalla Käynnistä kertakirjautumisen sisäänkirjautumissivu ja kirjautumalla sisään integraatiollasi.
    Tallenna-painike on korostettu EqualGroundin SSO-SAML-integraatiosivulla.

Lisätyökalut

Varmenteen sormenjäljen määrittäminen

IDP:n varmenteen sormenjälkeä käytetään lisäturvallisuuteen, kun SP vahvistaa IDP:ltä saatua SAML-vastausta. Voit määrittää varmenteen sormenjäljen seuraamalla alla olevia ohjeita:

  1. Poimi Googlen IDP-metatiedoista X509-varmenne. Sen pitäisi sijaita kohdassa: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Kun sinulla on varmenne, siirry seuraavalle verkkosivustolle: https://www.samltool.com/fingerprint.php.
  3. Liitä varmenne ”X509 cert” -tekstikenttään.
  4. Varmista, että algoritmiksi on valittu ”sha1”.
  5. Napsauta ”Calculate Fingerprint”.
  6. Kopioi luotu ”FingerPrint”-arvo. Tämä on tietokannassa käytettävä arvo. Sormenjäljen tulisi olla 20 tavun taulukko ”sha1”-algoritmille.

Aiheeseen liittyvät artikkelit

Ota yhteyttä tukeen