Siirry YuJaan
  1. YuJa-ohjekeskus
  2. Lumina-videoalusta
  3. Hallintapaneeli
  4. SSO-alustaintegraatio

Videoalustan integroiminen Google Appsiin SAML:n avulla

Avatar
YuJa
  • Päivitetty

Google Apps on tuote, joka tarjoaa federoidun identiteettiratkaisun, jolla käyttäjät yhdistetään sovelluksiin sekä organisaatioiden sisällä että niiden ulkopuolella. Videoalustan joustava SSO Module Provider -kehys on suunniteltu tukemaan monenlaisia identiteettiratkaisuja, minkä ansiosta Google Apps voidaan integroida täysimääräisesti infrastruktuuriisi.

Tämä ohje opastaa käyttäjiä integroimaan videoalustan palveluntarjoajaksi (Service Provider, SP) käyttämällä Googlea identiteetintarjoajana (Identity Provider, IDP). Kun määritys on tehty oikein, videoalustan palveluihin yrittävät käyttäjät ohjataan ensin Googleen, joka pyytää kirjautumistunnukset. Todennuksen jälkeen selain ohjaa heidät takaisin videoalustalle, jossa he ovat kirjautuneina uutena tai olemassa olevana käyttäjänä.

Määritys

Määritykseen kuuluu uuden SAML-sovelluksen luominen Googlen hallintakonsolissa ja sen jälkeen videoalustan puolen määrittäminen integroimalla Google IDP:ksi sekä SAML SSO:n testaaminen ja aktivoiminen oppilaitoksen käyttäjille.

Joissakin vaiheissa <organization> korvataan videoalustaan liittyvän organisaation wildcard-DNS-nimellä. Esimerkiksi osoitteessa ”https://hudson.yuja.com” organization korvattaisiin tekstillä ”hudson”.

 

Uuden SAML-sovelluksen luominen videoalustalle Googlen hallintakonsolissa

SAML-sovelluksen luomisen vaiheet löytyvät osoitteesta: https://support.google.com/a/answer/6087519?hl=en

Noudata ohjeita seuraavissa osioissa: Set up your own SAML app, Turn on SSO to your new SAML app ja Verify SSO between Google Apps and your new SAML app, ja palaa tähän ohjeeseen tiettyjen vaiheiden tarkempia ohjeita varten.

Viittaus osioon: Set up your own SAML app

  1. Lataa IDP metadata. Sitä käytetään videoalustan puolen määrittämiseen.
  2. Anna seuraavat tiedot:
    Parametri Arvo
    ACS URL https://<organization>.yuja.com/D/SamlReceiveResponse
    Entity ID https://<organization>.yuja.com
    Start URL **jätä tämä tyhjäksi**
    Name ID Basic Information, Primary Email
    Name ID Format Email
  3. Valitse Signed Response. Tämä parantaa tietoturvaa SP:n ja IDP:n välisessä viestinnässä.
  4. Luo neljä yhdistämistä (mapping):
    Application Attribute Category User Field
    Given Name Basic Information First Name
    Family Name Basic Information Last Name
    Email Basic Information Email
    Role Job Details Job Title (tai jokin muu sopiva kenttä). Tämän kentän avulla määritetään, luodaanko käyttäjille opiskelijan tunnukset (oletus) vai annetaanko heille laajemmat oikeudet (opettaja tai IT-päällikkö). Kentän suositellut arvot ovat IT Manager ja Instructor (käyttäjille, joille haluat antaa IT-päällikön tai opettajan oikeudet), mutta voit käyttää olemassa olevia tai mukautettuja arvoja (IT Manager- ja Instructor-yhdistämisestä on lisätietoja alla) 

Videoalustan puolen SAML-määritys

  1. Siirry osoitteeseen https://<organization>.yuja.com ja kirjaudu sisään oppilaitoksesi IT-päällikkönä.
  2. Siirry kohdassa Päävalikko olevalle Hallintapaneeli-välilehdelle.
  3. Siirry vasemmasta sivupalkista kohtaan Integraatiot.
  4. Valitse pudotusvalikosta Valitse integraatio vaihtoehto SSO – Google Apps (SAML).
  5. Anna seuraavat tiedot alla olevan taulukon mukaisesti: 
    Attribuutti Pakollinen? Kuvaus
    Google SSO URL Kyllä

    SSO:ssa käytettävä URL-osoite. Tähän videoalusta lähettää AuthnRequest-tokenit.
    Löytyy Google IDP:n metatiedoista kohdasta: <IDPSSODescriptor> → <SingleSignOnService>
    ”Location”-attribuutin arvona. Huomaa, että videoalusta käyttää HTTP-Redirect-sidontaa.

    Esimerkiksi https://accounts.google.com/o/saml2/idp?idpid=B05pakw7
    Nimitunnuksen formaatti Kyllä

    Muoto, jota SP ja IDP käyttävät keskustellessaan subjektista.
    Löytyy Google IDP:n metatiedoista kohdasta:
    <IDPSSODescriptor> → <NameIDFormat>
    kyseisen tagin arvona. Huomaa, että jos emailAddress on käytettävissä, sitä tulee suosia ja käyttää.

    Esimerkiksi: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Etäuloskirjautumisen URL-osoite Ei tällä hetkellä tuettu Jätä tyhjäksi
    Googlen allekirjoitusvarmenteen sormenjälki Ei, mutta erittäin suositeltava

    IDP:n varmenteen yksilöllinen sormenjälki, jota käytetään SAML-vastausten allekirjoittamisessa.
    Katso lisätietoja tämän ohjeen osiosta Varmenteen sormenjäljen määrittäminen.

    Esimerkiksi: 7j2mka9cfe2d09j23eefe01442f6a49d1222391f
    Etunimen määrite Ei

    (Kirjainkoko on merkitsevä) Anna seuraava arvo: First Name

    Tämä on täsmälleen sama arvo, jota käytettiin Application Attribute -kentässä attribuuttiyhdistämisiä luotaessa.
    Sukunimen määrite Ei

    (Kirjainkoko on merkitsevä) Anna seuraava arvo: Last Name 

    Tämä on täsmälleen sama arvo, jota käytettiin Application Attribute -kentässä attribuuttiyhdistämisiä luotaessa.
    Sähköpostin määrite Ei

    (Kirjainkoko on merkitsevä) Anna seuraava arvo: Email

    Tämä on täsmälleen sama arvo, jota käytettiin Application Attribute -kentässä attribuuttiyhdistämisiä luotaessa.
    Roolin määrite Ei

    (Kirjainkoko on merkitsevä) Anna seuraava arvo: Title

    Tämä on täsmälleen sama arvo, jota käytettiin Application Attribute -kentässä attribuuttiyhdistämisiä luotaessa.
    IT-päällikkö Ei Voit käyttää pilkuilla erotettua arvoluetteloa.
    Jos Roolin määrite -kentässä vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan IT-päällikkönä.
    Esimerkiksi: IT Manager
    Opettaja Ei

    Voit käyttää pilkuilla erotettua arvoluetteloa
    Jos Roolin määrite -kentässä vastaanotettu arvo vastaa jotakin näistä arvoista, käyttäjä luodaan opettajana.

    Esimerkiksi: Instructor tai Teacher, TA
    Synkronoi tiedot automaattisesti käyttäjän kirjautuessa Ei Jos valittuna, aina kun käyttäjä kirjautuu Google SAML Appsin kautta, hänen perustietonsa päivitetään SAML-vastauksessa saatujen tietojen perusteella.
  6. Napsauta Luo. Napsauta vahvistusikkunassa OK.
  7. Voit tarvittaessa päivittää määritysasetuksia, jos teit virheen. Pidä muutokset napsauttamalla
    Tallenna.
  8. Voit testata, että määritys on tehty oikein molemmilla puolilla, napsauttamalla Testaa SAML-sisäänkirjautuminen. Tämän pitäisi avata uusi välilehti ja siirtyä Googleen, joka pyytää tunnistetiedot.
  9. Kirjaudu käyttämällä kelvollista Google-tiliä.
  10. Onnistuneen kirjautumisen jälkeen sinut pitäisi ohjata takaisin videoalustalle uutena käyttäjänä kirjautuneena.
    Uutena käyttäjänä kirjautuminen kirjaa alkuperäisen tilin ulos. Kirjaudu ulos vasta luodusta tilistä ja kirjaudu takaisin sisään IT-päällikkönä. Siirry sitten takaisin kohtaan Hallintapaneeli → Integraatiot → SSO – Google Apps (SAML).
  11. Kun olet varmistanut, että Google SAML Apps SSO toimii, voit halutessasi ottaa uuden todennustavan käyttöön organisaatiossasi. Napsauta tätä varten Aktivoi ja napsauta sitten OK.
    Tärkeää: Aktivoi uusi todennustapa vasta, kun olet onnistuneesti tehnyt testikirjautumisen ja olet valmis tekemään sen käytettäväksi kaikille oppilaitoksesi käyttäjille.

Kaksoisintegraatio LTI:n kanssa

Jos organisaatiossasi on otettu käyttöön sekä LMS-integraatio LTI:n kautta että SSO-käyttö, voit halutessasi yhdistää nämä kaksi integraatiota. Suosittelemme tätä yleensä, koska silloin käyttäjille näytetään samat videoalustan tilin tiedot riippumatta siitä, kirjautuvatko he sisään LMS:n vai SSO:n kautta. Jos taas kaksoisintegraatiota LTI:n kanssa ei ole otettu käyttöön, käyttäjälle, joka käyttää videoalustaa sekä LMS:n että SSO:n kautta, luodaan kaksi erillistä tiliä, mikä ei monissa tapauksissa ole toivottavaa. Jos LMS:n LTI-palveluntarjoaja voidaan määrittää antamaan videoalustalle käyttäjän yksilöllinen tunniste SAML-järjestelmässä, nämä kaksi tiliä voidaan yhdistää.

  1. Määritä LMS välittämään videoalustan työkalulle mukautettu LTI-parametri nimeltä lis_person_sourcedid, joka sisältää ristiin täsmäytettävän SSO-arvon. Tämä voi olla sähköposti, työntekijätunnus tai jokin muu kenttä. Mukautettujen LTI-parametrien asettaminen voi edellyttää LMS-alustasi tuotedokumentaatioon tutustumista. Videoalusta käyttää tätä ominaisuutta yhdistääkseen molemmat kirjautumistavat samaan tiliin.
  2. Hanki SAML-vastaustokenissa käytetyn attribuutin nimi, jonka arvo vastaa LTI-palveluntarjoajan käyttämää yksilöllistä tunnistetta (yllä olevassa vaiheessa 1). Jos yksilöllinen tunniste on esimerkiksi käyttäjän sähköpostiosoite, linkityksen määrite olisi ”email”. Käytettävissä olevat arvot ovat nimenomaan ne, jotka on asetettu Google Admin Consolessa SAML-sovellusta määritettäessä. Ne ovat attribuuttiyhdistämisvaiheessa käytetyt nimet.
  3. Syötä tämä arvo kenttään Linkityksen määrite. Tämä tekstikenttä näkyy vain, jos oppilaitoksessasi on otettu käyttöön LTI-käyttö.
  4. Napsauta Tallenna.
  5. Kun käyttäjä kirjautuu ensimmäistä kertaa ADFS:n (SAML) kautta, videoalusta etsii linkkiä LTI-tiliin linkityksen määritteen arvon avulla. Jos linkki löytyy, SAML-tili yhdistetään olemassa olevaan tiliin. Muussa tapauksessa uusi tili luodaan tavalliseen tapaan.
  6. Kaikki ensimmäisen kirjautumisen jälkeiset kirjautumiset linkittyvät edelleen ensimmäisellä kirjautumisella luotuun tai löydettyyn videoalustan tiliin.

Käyttö

Kun molemmat puolet on määritetty ja SAML SSO on aktivoitu, on helppoa testata, onko kaikki tehty oikein.

  1. Siirry organisaation videoalustan verkkotunnukseen (eli https://<organization>.yuja.com) ja paina Sisäänkirjautuminen. Tämän pitäisi ohjata käyttäjä SSO-palvelimen kirjautumissivulle.
  2. Anna kelvolliset tunnistetiedot ja kirjaudu sisään.
  3. Kun todennus on onnistunut, käyttäjä pitäisi ohjata takaisin videoalustalle ja kirjautumisen pitäisi onnistua.

Varmenteen sormenjäljen määrittäminen

IDP:n varmenteen sormenjälkeä käytetään lisäturvana, kun SP varmentaa IDP:ltä saapuvan SAML-vastauksen. Voit määrittää varmenteen sormenjäljen seuraavien ohjeiden mukaisesti:

  1. Pura Google IDP:n metatiedoista X509-varmenne. Sen pitäisi sijaita kohdassa:
    <IDPSSODescriptor> → <KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> →
    <X509Certificate>
  2. Kun sinulla on varmenne, siirry seuraavalle verkkosivustolle: https://www.samltool.com/fingerprint.php
  3. Liitä varmenne X509 cert -tekstikenttään.
  4. Varmista, että Algorithm-asetukseksi on valittu sha1 .
  5. Napsauta Calculate Fingerprint.
  6. Kopioi luotu Fingerprint-arvo. Tätä arvoa käytetään tietokannassa. Huomautus: sormenjäljen tulisi olla 20 tavun taulukko sha1-algoritmille.

Hyödyllinen Chrome-laajennus SAML-tokenin virheenkorjaukseen

  1. Jos käytät selaimena Chromea, voit asentaa hyödyllisen SAML-laajennuksen osoitteesta:
    https://chrome.google.com/webstore/detail/saml-chrome-panel/paijfdbeoenhembfhkhllainmocckace?hl=en
  2. Kun laajennus on asennettu, avaa selaimen kehittäjätyökalut (F12) ja napsauta SAML-välilehteä. Nyt kun teet SP-aloitteisen kirjautumisen, selaimen lähettämät SAML-tokenit näytetään yksityiskohtaisesti. Tämä työkalu voi olla erittäin hyödyllinen SAML-pyyntöjen ja -vastausten virheenkorjauksessa.

Aiheeseen liittyvät artikkelit

Ota yhteyttä tukeen