Tämä ohje opastaa käyttäjiä integroimaan oppilaitoksensa Dell Cloud
Access Manager (DCAM) -palvelimen SSO-järjestelmäksi, jolla käyttäjät kirjataan sisään YuJa Enterprise
-videoalustalle. Kun määritys on tehty oikein, YuJa-palveluihin yrittävä käyttäjä ohjataan ensin
kirjautumaan IDP:lle, jonka kanssa DCAM on määritetty, ja sen jälkeen takaisin YuJaan, jossa hänet vahvistetaan
ja kirjataan sisään.
DCAM:n määritys
Määritykseen kuuluu uuden sovelluksen luominen One Identity Cloud Access Managerin konsolissa ja sen jälkeen DCAM-palvelimen integroiminen YuJan puolella. Kun molemmat puolet on määritetty oikein, määrityksen viimeistelyyn kuuluu SSO-testi DCAM:ia IDP:nä käyttäen ja sen jälkeen uuden SSO:n aktivoiminen, jotta oppilaitoksesi käyttäjät voivat kirjautua sisään DCAM-järjestelmän kautta.
Huomautus: Joissakin vaiheissa <organization> korvataan videoalustaan liittyvän organisaation wildcard-DNS-nimellä. Esimerkiksi osoitteessa ”https://hudson.yuja.com” tilalle tulisi ”hudson”.
Videoalustan lisääminen sovellukseksi Cloud Access Managerin konsolissa
- Siirry DCAM-palvelimellasi osoitteeseen: https:///CloudAccessManager/UI/Admin/Go Jos sinua pyydetään kirjautumaan, kirjaudu kelvollisilla tunnuksilla.
- Napsauta Home-välilehden Applications-osiossa Add New.
- Napsauta Configure Manually.
- Valitse kohdassa Federated SSO Methods, vaihtoehto SAML. Napsauta Next.
- Anna asetukset manuaalisesti:
Parametri Arvo Assertion Consumer Service URLs → Recipient https://<organization>.yuja.com/D/samlReceiveResponse Audience / SP Identity https://<organization>.yuja.com Application Logout Anna haluamasi uloskirjautumis-URL-osoite. Upload Signing Certificate YuJa ei allekirjoita eikä salaa todennuspyyntöjä, joten älä lataa allekirjoitusvarmennetta palvelimeen. Upload Encryption Certificate YuJa ei tue salattuja todennusvastauksia, joten älä lataa salausvarmennetta palvelimeen. - Napsauta Next.
- Valitse ”Use the username (subject) provided by ”Your Authenticator”. Napsauta Next.
- Valitse Do not proxy this application. Napsauta Next.
- Valitse kumpikin kohta Admin ja Users, ja napsauta Allow Role Access. Napsauta Next.
- Anna Application Name, esimerkiksi ”YuJa”. Napsauta Next.
- Anna seuraavat tiedot:
a. SSO Mode - SP Initiated.
b. URL - ”https://.yuja.com/D/SamlAuthentication”.
c. Section - Applications
d. Title - Description
e. Valitse ”Add application to application portal home”.
f. Älä valitse ”Allow users to remove application from application portal home”. Napsauta Finish. - Application Created -sivulla tarvitaan varmennetta YuJan puolen määrittämiseen. Älä lataa sitä. Tallenna vain tekstiosa (eli jätä pois rivit ”-----BEGIN CERTIFICATE-----” ja ”-----END CERTIFICATE-----” ja tallenna vain keskiosa).
- Siirry vasemmassa sivupalkissa kohdasta Applications kohtaan View and Edit. Kaksoisnapsauta juuri luotua uutta sovellusta.
- Siirry vasemmassa sivupalkissa kohtaan Token Settings.
- Valitse asetukselle samltoken.name_id arvo ”urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress”. Valitse asetukselle samltoken.signature arvo ”AssertionOnly”. Jätä kaikki muut asetukset oletusarvoihinsa. Napsauta Finish.
Videoalustan määrittäminen
- Siirry organisaatiosi videoalustan verkkotunnukseen (eli https://.yuja.com).
- Kirjaudu sisään ylläpitäjänä ja siirry kohdasta Päävalikko kohtaan Hallintapaneeli. Valitse Integraatiot-välilehti.
- Valitse kohdassa Valitse integraatio vaihtoehto SSO – DCAM(SAML).
- Anna seuraavat määritysparametrit:
Parametri Arvo IDP:n kirjautumis-URL-osoite Luodun sovelluksesi IDP Login URL. Se löytyy DCAM-sovelluksen Federation Settings -välilehdeltä. Name ID -muoto urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress Etäuloskirjautumisen URL-osoite <jätä tämä arvo tyhjäksi> DCAM:n allekirjoitusvarmenteen sormenjälki Hae DCAM-määrityksestä saamasi varmenne. Noudata kohdan Varmenteen sormenjäljen määrittäminen ohjeita. Etunimen määrite SAML-vastauksessa** olevan attribuutin nimi, joka kuvaa käyttäjän etunimeä. - Esimerkiksi: urn:oid:2.5.4.42 Sukunimen määrite SAML-vastauksessa** olevan attribuutin nimi, joka kuvaa käyttäjän sukunimeä. Esimerkiksi: urn:oid:2.5.4.4 Sähköpostin määrite SAML-vastauksessa** olevan attribuutin nimi, joka kuvaa käyttäjän sähköpostiosoitetta. Esimerkiksi: urn:mace:dir:attribute-def:mail Roolin määrite SAML-vastauksessa** olevan attribuutin nimi, joka kuvaa käyttäjän roolia. Esimerkiksi: urn:mace:dir:attribute def:eduPersonScopedAffiliation IT-päällikkö Voit käyttää pilkuilla erotettua arvoluetteloa -Jos Roolin määrite -kentässä vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan IT-päällikkönä. -Esimerkiksi: IT Manager Opettaja Voit käyttää pilkuilla erotettua arvoluetteloa -Jos Roolin määrite -kentässä vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan opettajana. -Esimerkiksi: Instructor tai Instructor,Teacher,TA Synkronoi tiedot automaattisesti käyttäjän kirjautuessa Jos valittuna, aina kun käyttäjä kirjautuu ADFS:n kautta, hänen perustietonsa päivitetään SAML-vastaustokenissa saatujen tietojen perusteella. - Napsauta Luo. Napsauta vahvistusikkunassa OK.
- Voit tarvittaessa päivittää määritysasetuksia, jos teit virheen. Pidä muutokset napsauttamalla
Tallenna. Voit testata määrityksen oikeellisuuden napsauttamalla Testaa SAML sisäänkirjautuminen. Tämän pitäisi avata uusi välilehti ja siirtyä IDP:lle, jonka kanssa DCAM-palvelimesi on määritetty, ja pyytää kirjautumaan sisään. - Anna kelvolliset kirjautumistiedot ja kirjaudu sisään. Sinut pitäisi ohjata takaisin videoalustalle uutena käyttäjänä kirjautuneena.
- Kun olet varmistanut, että DCAM SSO toimii, voit halutessasi ottaa uuden
todennustavan käyttöön organisaatiossasi.
Tärkeää: Aktivoi uusi todennustapa vasta, kun olet onnistuneesti tehnyt
testikirjautumisen ja olet valmis tekemään sen käytettäväksi kaikille oppilaitoksesi käyttäjille.
Ristiinintegraatio LTI:n kanssa
Jos oppilaitoksessasi on otettu käyttöön sekä LMS-integraatio LTI:n kautta että SSO-käyttö, voit halutessasi yhdistää nämä kaksi integraatiota. Suosittelemme tätä yleensä, koska silloin käyttäjille näytetään samat videoalustan tilin tiedot riippumatta siitä, kirjautuvatko he sisään LMS:n vai SSO:n kautta. Jos taas ristiinintegraatiota LTI:n kanssa ei ole otettu käyttöön, käyttäjälle, joka käyttää YuJaa sekä LMS:n että SSO:n kautta, luodaan kaksi erillistä tiliä, mikä ei monissa tapauksissa ole toivottavaa.
- Määritä LMS välittämään YuJa-työkalulle mukautettu LTI-parametri nimeltä
lis_person_sourcedid, joka sisältää ristiin täsmäytettävän SSO-arvon. Tämä voi olla sähköposti,
työntekijätunnus tai jokin muu kenttä. Mukautettujen LTI-parametrien asettaminen voi edellyttää LMS-alustasi
tuotedokumentaatioon tutustumista. Videoalusta käyttää tätä ominaisuutta yhdistääkseen molemmat kirjautumistavat samaan tiliin. - Hanki sen SAML-vastaustokenissa käytetyn attribuutin nimi, jonka arvo
vastaa LTI-palveluntarjoajan käyttämää yksilöllistä tunnistetta.
a. Jos yksilöllinen tunniste on esimerkiksi käyttäjän sähköpostiosoite, linkityksen
määrite voi olla ”urn:mace:dir:attribute-def:mail”
b. Täydellinen luettelo mahdollisista attribuuttien nimistä löytyy DCAM-metatietotiedostosta
Attribute-tagien sisältä. - Kirjoita tämä arvo kenttään Linkityksen määrite. Huomautus: tämä tekstikenttä näkyy vain, jos
oppilaitoksessasi on otettu käyttöön LTI-käyttö. - Napsauta Tallenna.
Varmenteen sormenjäljen määrittäminen
IDP:n varmenteen sormenjälkeä käytetään lisäturvana, kun SP varmentaa IDP:ltä saapuvan SAML-vastauksen. Voit määrittää varmenteen sormenjäljen seuraavien ohjeiden mukaisesti:
- Pura ADFS IDP:n metatiedoista X509-varmenne. Sen pitäisi sijaita kohdassa:
<IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate> - Kun sinulla on varmenne, siirry seuraavalle verkkosivustolle: https://www.samltool.com/fingerprint.php
- Liitä varmenne X509 cert -tekstikenttään.
- Varmista, että Algorithm-asetukseksi on valittu sha1 .
- Napsauta Calculate Fingerprint.
- Kopioi luotu Fingerprint-arvo. Tätä arvoa käytetään tietokannassa. Huomautus: sormenjäljen tulisi olla 20 tavun taulukko sha1-algoritmille.