Luminan integrointi ADFS:n kanssa (SAML)

1. Avaa ADFS-palvelimella sovellus AD FS -hallinta.
2. Napsauta vasemmassa paneelissa osiossa Luottamussuhteet kohtaa Luotettavan osapuolen luottamussuhteet. 
3. Valitse välilehdessä Toiminnot kohta Lisää luotettavan osapuolen luottamussuhde. 
4. Napsauta ikkunassa Luotettavan osapuolen luottamussuhteen lisäämisen ohjattu toiminto kohtaa Aloita.
5. Valitse Anna luotettavaa osapuolta koskevat tiedot manuaalisesti. Määritä RPT noudattamalla alla olevia vaiheita.
6. Anna RPT:lle näyttönimi (esim. ”YuJa”).
7. Napsauta Seuraava.
8. Valitse AD FS -profiili ja napsauta Seuraava.
9. Napsauta vaiheessa Määritä varmenne kohtaa Seuraava. Älä salaa YuJalle lähetettäviä väitteitä.
10. Valitse Ota käyttöön SAML 2.0 WebSSO -protokollan tuki.
11. Anna kenttään Luotettavan osapuolen SAML 2.0 SSO -palvelun URL-osoite arvo https://<YOUR_YUJA_DOMAIN>.yuja.com/D/SamlReceiveResponse.
12. Napsauta Seuraava.
13. Anna kenttään Luotettavan osapuolen luottamussuhteen tunniste arvo https://<YOUR_YUJA_DOMAIN>.yuja.com.
14. Napsauta Lisää, ja napsauta sitten Seuraava. 
15. Valitse valintaruutu En halua määrittää tämän luotettavan osapuolen luottamussuhteen monivaiheisen todennuksen asetuksia tällä hetkellä ja napsauta sitten Seuraava.
16. Valitse Salli kaikkien käyttäjien käyttää tätä luotettavaa osapuolta ja napsauta sitten Seuraava.
17. Tarkista asetukset ja napsauta sitten Seuraava.
18. Valitse vaihtoehto Avaa tämän luotettavan osapuolen luottamussuhteen väitesääntöjen muokkausikkuna, kun ohjattu toiminto suljetaan ja napsauta sitten Sulje.

1. Napsauta kohtaa RPT. 
2. Napsauta oikeanpuoleisessa paneelissa kohtaa Muokkaa väitesääntöjä.
3. Napsauta ikkunassa Muokkaa väitesääntöjä kohtaa Lisää sääntö.
4. Valitse Lähetä LDAP-määritteet väitteinä, ja napsauta sitten Seuraava.
5. Anna Väitesäännön nimi.
6. Valitse Active Directory kohdassa Attribuuttivarasto.

7. Luo neljä väitemääritystä. Viides, yujaUserIDmapping, on valinnainen, ja sillä korvataan käyttäjän YuJa-tunnus yujaUserIDmapping-kentän arvolla.  

    

   LDAP-määrite	Lähtevän väitteen tyyppi
   E-Mail-Addresses	E-mail Address
   Given-Name	Given Name
   Surname	Surname
   <Käyttäjän rooliin liittyvä attribuutti>	Role
   <Käyttäjän rooliin liittyvä attribuutti>	yujaUserIDmapping

   Role-väitteellä määritetään, luodaanko käyttäjät opiskelijoiksi (oletus) vai annetaanko heille laajemmat oikeudet (Instructor/IT Manager). Tämän kentän ehdotetut arvot ovat IT Manager ja Instructor (käyttäjille, joille haluat antaa IT Manager- tai Instructor-oikeudet), mutta voit käyttää myös olemassa olevia tai mukautettuja arvoja.

8. Napsauta Valmis.
9. Jos haluat luoda toisen väitesäännön, napsauta Lisää sääntö. 
10. Valitse Siirrä saapuva väite ja napsauta sitten Seuraava.
11. Anna Väitesäännön nimi.
12. Valitse kohdassa Saapuvan väitteen tyyppi arvo E-Mail Address, jos jokaisella ADFS-järjestelmän käyttäjällä on sähköpostiosoite. Muussa tapauksessa valitse sen sijaan Given Name.
13. Valitse kohdassa Lähtevän väitteen tyyppi arvo NameID. 
14. Valitse kohdassa Lähtevä nimitunnus muodoksi Sähköposti. 
15. Napsauta Valmis.
16. Napsauta OK.

1. Kaksoisnapsauta omaa RPT-kohdettasi.
2. Valitse Lisäasetukset-välilehti.
3. Valitse avattavasta valikosta SHA-1.
4. Napsauta OK.

1. Siirry luotettuun juurivarmenteeseesi.
2. Lisää YuJa SAML -varmenne, joka löytyy täältä.

Jos käytät SAML-palveluntarjoajanasi Microsoft ADFS:ää, voit avata varmenteen asennusohjatun toiminnon salausmääritysruudusta lisättyäsi YuJa SAML -varmenteen. Lue lisää luotetun juurivarmenteen asentamisesta. 

1. Kirjaudu Luminaan ylläpitäjänä. 
2. Napsauta painiketta Päävalikko > Hallintapaneeli.
3. Valitse sivupalkista Integraatiot.
4. Valitse kentässä Valitse määritettävä API vaihtoehto SSO - ADFS (SAML). 

5. Anna tiedot:

   Määrite	Pakollinen?	Kuvaus
   ADFS SSO -URL-osoite	Kyllä	SSO:ssa käytettävä URL-osoite. Tähän YuJa lähettää AuthnRequest-tunnisteet. Löytyy IDP-metadatasta ”Location”-määritteenä. Huomaa, että YuJa käyttää HTTP-Redirect-sidosta. Esimerkiksi: ”https:///adfs/ls/”
   Nimitunnuksen muoto	Kyllä	Muoto, jota palveluntarjoaja (SP) ja identiteetintarjoaja (IDP) käyttävät keskenään viestiessään käyttäjästä. Löytyy IDP-metadatasta kyseisen tagin arvona. Huomaa, että emailAddress tulee asettaa etusijalle ja ottaa käyttöön, jos se on saatavilla. Esimerkiksi: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
   Etäuloskirjautumisen URL-osoite	Ei tuettu tällä hetkellä	Jätä tämä arvo tyhjäksi
   ADFS:n allekirjoitusvarmenteen sormenjälki	Kyllä	IDP:n varmenteen yksilöllistä sormenjälkeä käytetään SAML-vastauksia allekirjoitettaessa. Sormenjälkeä ei ole merkitty metadataan erikseen, mutta varmennetta käytetään joko SAMLResponsen tai Assertionin allekirjoittamiseen. Lisätietoja on kohdassa Varmenteen sormenjäljen määrittäminen tämän dokumentin Lisätyökalut-osiossa. Esimerkiksi: 7j2mka9cfe2d09j23eefe21442f6a49d1222391f
   Etunimen määrite	Ei	SAML-vastauksen määrite, joka kuvaa käyttäjän etunimen. Löytyy IDP-metadatasta. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tageista. Anna ”Name”-avaimen arvo etunimeä vastaavan kohdan alta. Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
   Sukunimen määrite	Ei	SAML-vastauksen määrite, joka kuvaa käyttäjän sukunimen. Löytyy IDP-metadatasta. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tageista. Anna ”Name”-avaimen arvo sukunimeä vastaavan kohdan alta. Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
   Sähköpostin määrite	Ei	SAML-vastauksen määrite, joka kuvaa käyttäjän sähköpostiosoitteen. Löytyy IDP-metadatasta. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tageista. Anna ”Name”-avaimen arvo sähköpostiosoitetta vastaavan kohdan alta.  Arvon tulee olla: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   Roolin määrite	Ei	SAML-vastauksen määrite, joka kuvaa käyttäjän roolin. Löytyy IDP-metadatasta. .XML-tiedostossa on osio, jonka pitäisi sisältää luettelo tageista. Anna ”Name”-avaimen arvo roolia vastaavan kohdan alta.   Arvon tulee olla: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
   IT-ylläpitäjä	Ei	Kenttään voi syöttää pilkuilla erotetun arvoluettelon. Jos Roolin määritteessä vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan IT-ylläpitäjänä. Esimerkiksi: IT Manager
   Opettaja	Ei	Kenttään voi syöttää pilkuilla erotetun arvoluettelon. Jos Roolin määritteessä vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan opettajana. Esimerkiksi: Instructor or, Teacher, TA
   Synkronoi tiedot automaattisesti käyttäjän kirjautuessa	Ei	Jos valittuna, aina kun käyttäjä kirjautuu ADFS:n kautta, hänen perustietonsa päivitetään SAML-vastaustunnisteessa vastaanotettujen tietojen perusteella

6. Ota tunnistuspyynnön allekirjoitus käyttöön valitsemalla valintaruutu Ota käyttöön tunnistuspyynnön allekirjoitus.
   Huomautus: Tämä edellyttää YuJa SAML -varmenteen lisäämistä luotettujen juurivarmenteiden säilöön.
7. Napsauta OK. Jos teit virheen, voit päivittää määritysasetuksia.
8. Tallenna muutokset napsauttamalla Tallenna.
9. Voit testata, onko määritys oikein, napsauttamalla Testaa SAML sisäänkirjautuminen. Tämä avaa uuden välilehden ja siirtyy ADFS-palvelimellesi, jossa sinua pyydetään kirjautumaan. Anna kelvolliset kirjautumistiedot ja kirjaudu. Sinut ohjataan takaisin YuJaan, jossa olet kirjautuneena uutena käyttäjänä. Uutena käyttäjänä kirjautuminen voi kirjata alkuperäisen tilin ulos. Kirjaudu ulos juuri luodulta tililtä ja kirjaudu takaisin ylläpitäjänä. Siirry sitten kohtaan Hallintapaneeli > Integraatiot > SSO > ADFS (SAML).
10. Voit ottaa uuden todennusmallin käyttöön organisaatiossasi napsauttamalla Aktivoi.

11. Napsauta OK.

    Tärkeää: Ota uusi todennusmalli käyttöön vasta, kun olet onnistuneesti suorittanut testikirjautumisen ja olet valmis tekemään sen kaikkien organisaatiosi käyttäjien saataville

1. Määritä LMS välittämään YuJa-työkalulle mukautettu LTI-parametri nimeltä lis_person_sourcedid, joka sisältää ristiinvertailtavan SSO-arvon. Tämä voi olla sähköpostiosoite, työntekijätunnus tai jokin muu kenttä. Mukautettujen LTI-parametrien asettamisesta saattaa olla tarpeen tutustua LMS:si tuotedokumentaatioon. Lumina hyödyntää tätä ominaisuutta yhdistääkseen kaksi kirjautumistapaa samaan tiliin.
2. Selvitä SAML-vastaustunnisteessa käytettävän määritteen tarkka nimi, jonka arvo vastaa LTI-palveluntarjoajan käyttämää yksilöllistä tunnistetta (edellä vaiheessa 1). Jos yksilöllinen tunniste on esimerkiksi käyttäjän sähköpostiosoite, yhdistävä määrite voi olla http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress. Täydellinen luettelo mahdollisista määritteiden nimistä löytyy ADFS-metadatatiedostosta Attribute-tageista. 
3. Anna tämä arvo kenttään Linkityksen määrite. Tämä tekstikenttä näkyy vain, jos organisaatiossasi on otettu käyttöön LTI-käyttö.
4. Napsauta Tallenna. Nyt kun käyttäjä kirjautuu ensimmäistä kertaa ADFS:n (SAML) kautta, Lumina etsii yhteyttä LTI-tiliin linkityksen määritteen arvon avulla. Jos tili löytyy, SAML-tili linkitetään olemassa olevaan tiliin. Muussa tapauksessa uusi tili luodaan normaalisti. Kaikki ensimmäisen jälkeiset kirjautumiset linkittyvät edelleen ensimmäisellä kirjautumisella luotuun tai löytyneeseen Lumina-tiliin.

1. Poimi ADFS IDP -metadatasta X509-varmenne. Se sijaitsee seuraavassa polussa:
   <IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate>
2. Siirry verkkosivustolle: https://www.samltool.com/fingerprint.php.
3. Liitä varmenne kenttään X509 cert. 
4. Valitse kohdassa Algorithm arvo sha1.
5. Napsauta Calculate Fingerprint.
6. Kopioi luotu Fingerprint-arvo. Tätä arvoa käytetään tietokannassa.
   Huomautus: Sormenjäljen tulisi olla 20 tavun taulukko, kun käytetään algoritmia sha1.