Naar YuJa
  1. YuJa Helpcentrum
  2. Studentenresponssysteem Engage
  3. SSO-integraties

Het studentenresponssysteem Engage integreren met ADFS (SAML)

Avatar
YuJa
  • Bijgewerkt

Beheerders kunnen een beveiligde verbinding instellen tussen het studentenresponssysteem Engage en ADFS om gebruikers te verifiëren die zich aanmelden bij Engage. Door Engage en ADFS te configureren, kunnen gebruikers zich veilig verifiëren en aanmelden.

Vereisten voor de ADFS-configuratie

De ADFS-configuratie bestaat uit drie stappen.

  1. Een vertrouwensrelatie met een relying party (Relying Party Trust, RPT) met Engage maken.
  2. Claimregels toevoegen voor de RPT, zodat SAML-antwoorden de juiste informatie over de gebruiker bevatten.
  3. Het hashalgoritme van de RPT aanpassen. Zo weet u zeker dat alle 3 de onderdelen zijn voltooid en de configuratie goed is uitgevoerd. 

Een vertrouwensrelatie met een relying party maken

Zorg ervoor dat u, voordat u begint, de SAML 2.0 SSO-service-URL van de relying party van uw Account Manager hebt ontvangen. 

  1. Open op de ADFS-server de toepassing AD FS-beheer.
  2. Klik in het linkerpaneel onder Vertrouwensrelaties op Vertrouwensrelaties met relying parties (RPT). 
  3. Klik in het tabblad Acties op Vertrouwensrelatie met relying party toevoegen. 
    De map Vertrouwensrelaties met relying parties wordt weergegeven in ADFS met de optie Vertrouwensrelatie met relying party toevoegen gemarkeerd.
  4. Klik in het venster Wizard RPT toevoegen op Start.
    De wizard Vertrouwensrelatie met relying party toevoegen vraagt de gebruiker het proces te starten door een aantal stappen te doorlopen.
  5. Selecteer Gegevens over de relying party handmatig invoeren. 
  6. Klik op Volgende.
    In de stap Gegevensbron selecteren is de optie om gegevens over de relying party in te voeren geselecteerd en de knop Volgende is gemarkeerd.
  7. Voer een weergavenaam in voor de RPT (bijv. “YuJa Engage”) en klik op Volgende.
    In de stap Weergavenaam opgeven is een weergavenaam ingevoerd en de knop Volgende is gemarkeerd.
  8. Selecteer AD FS-profiel en klik op Volgende.
    In de stap Profiel kiezen is het AD FS-profiel geselecteerd en de knop Volgende is gemarkeerd.
  9. Klik op Volgende. Versleutel de claims die naar YuJa worden verzonden niet.
    De knop Volgende is gemarkeerd in de stap Certificaat configureren.
  10. Schakel het selectievakje Ondersteuning voor het SAML 2.0 WebSSO-protocol inschakelen in.
  11. Voer de SAML 2.0 SSO-service-URL van de relying party in die u van uw Account Manager hebt ontvangen en klik op Volgende.
    In de stap URL configureren is Ondersteuning voor het SAML 2.0 WebSSO-protocol inschakelen geselecteerd en de knop Volgende is gemarkeerd.
  12. Voer in het veld Identificatie van de vertrouwensrelatie met de relying party de waarde https://<YOUR_YUJA_ENGAGE_DOMAIN>.engage.yuja.com in.
  13. Klik op Toevoegen > Volgende. 
    In de stap Identificaties configureren is een identificatie van de vertrouwensrelatie met de relying party toegevoegd en de knop Volgende is gemarkeerd.
  14. Selecteer Ik wil op dit moment geen instellingen voor meervoudige verificatie configureren voor deze vertrouwensrelatie met een relying party en klik op Volgende.
    In de stap Meervoudige verificatie nu configureren is de optie dat u geen meervoudige verificatie wilt configureren geselecteerd en de knop Volgende is gemarkeerd.
  15. Selecteer Alle gebruikers toegang tot deze relying party verlenen en klik op Volgende.
    In de stap Autorisatieregels voor uitgifte kiezen is Alle gebruikers toegang tot de relying party verlenen geselecteerd en de knop Volgende is gemarkeerd.
  16. Controleer de instellingen om na te gaan of alles juist is en klik op Volgende.
    In de stap Gereed om vertrouwensrelatie toe te voegen is de knop Volgende gemarkeerd.
  17. Selecteer Het dialoogvenster Claimregels bewerken voor deze vertrouwensrelatie met een relying party openen wanneer de wizard wordt gesloten, en klik op Sluiten.
    In de laatste stap is de optie om Claimregels bewerken te openen aangevinkt en de knop Volgende is gemarkeerd.

Claimregels toevoegen

  1. Om claimregels te maken of te bewerken, klikt u op de RPT. 
  2. Klik in het rechterpaneel op Claimregels bewerken.
    In de AD FS-toepassing is de relying party YuJa Engage geselecteerd.
  3. Klik in het venster Claimregels bewerken voor YuJa Engage op Regel toevoegen.
    Het venster Claimregels bewerken wordt weergegeven met de knop Regel toevoegen gemarkeerd.
  4. Selecteer LDAP-kenmerken verzenden als claims en klik op Volgende.
    LDAP-kenmerken verzenden als claims is geselecteerd in het vervolgkeuzemenu en de knop Volgende is gemarkeerd.
  5. Voer een Naam van claimregel in (bijv. YuJa Engage).
  6. Selecteer Active Directory als Kenmerkenarchief.

  7. Maak vier claimtoewijzingen zoals weergegeven in de onderstaande tabel en klik vervolgens op Voltooien.
    Toewijzing van LDAP-kenmerken aan uitgaande claimtypen

    LDAP-kenmerk Uitgaand claimtype
    Email-Addresses E-mail Address
    Given-Name Given Name
    Surname Surname
    <Een kenmerk dat betrekking heeft op de rol van een gebruiker (bijv. ITManager)> Role

    De LDAP-kenmerken worden weergegeven in een tabel met de LDAP-kenmerken en hun uitgaande claimtype.

  8. Om een tweede claimregel te maken, klikt u op Regel toevoegen.
    Het venster Claimregel bewerken wordt weergegeven met de knop Regel toevoegen gemarkeerd.
  9. Selecteer Een binnenkomende claim transformeren en klik op Volgende.
    Een binnenkomende claim transformeren is geselecteerd als sjabloon voor de claimregel en de knop Volgende is gemarkeerd.
  10. Voer een Naam van claimregel in.
  11. Selecteer in de vervolgkeuzelijst Type binnenkomende claim de optie E-Mail Address (als elke gebruiker in het ADFS-systeem een e-mailadres heeft) of Given Name.
  12. Selecteer in het veld Type uitgaande claim de optie Name ID.
  13. Selecteer in het veld Indeling uitgaande naam-id de optie E-mail. 
  14. Klik op Voltooien.
    De informatie voor de claimregel is ingevuld en de knop Voltooien is gemarkeerd.
  15. Klik op OK.
    De knop OK is gemarkeerd in het venster Claimregel bewerken.

Het hashalgoritme aanpassen 

  1. Dubbelklik op uw RPT. 
    De vertrouwensrelatie met de relying party Engage is geselecteerd in de AD FS-toepassing.
  2. Selecteer het tabblad Geavanceerd.
  3. Selecteer in de vervolgkeuzelijst Beveiligd hashalgoritme de optie SHA-1.
  4. Klik op OK.
    Het tabblad Geavanceerd is geselecteerd voor de eigenschappen van YuJa Engage en SHA-1 is geselecteerd voor Beveiligd hashalgoritme.

Engage configureren

Nadat u alle instellingen in ADFS hebt aangepast, kunt u de instellingen in Engage configureren.

  1. Meld u als IT-manager aan bij Engage.
  2. Selecteer in de zijbalk Integraties.
    Engage-integraties
  3. Selecteer in het vervolgkeuzeveld SSO - ADFS [SAML].
    Engage SSO-ADFS-integratie
     

  4. Voer de gegevens in zoals weergegeven voor elk van de panelen van de integratie—Algemene SSO-details, Gebruikersbeheer, Rolkoppeling en Kruisintegratie met LTI. 
    Engage-gegevens die voor de integratie moeten worden ingevoerd

    Attribuut Verplicht? Beschrijving
    Algemene SSO-details 
    ADFS-SSO-URL  Ja

    De URL die voor de SSO wordt gebruikt. Hier verstuurt YuJa Engage AuthnRequest-tokens naartoe. Te vinden in de IDP-metadata als het attribuut “Location”. Opmerking: Voor Engage wordt een HTTP-Redirect-binding gebruikt.

    Voorbeeld: “https:///adfs/ls/”
    Name ID-indeling Ja

    De indeling die de SP en de IDP gebruiken wanneer zij met elkaar communiceren over een subject. Te vinden in de IDP-metadata als de waarde van die tag. Opmerking: Indien beschikbaar, moeten e-mailadressen voorrang krijgen en worden gebruikt.

    Voorbeeld: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    URL voor extern afmelden Momenteel niet ondersteund Laat deze waarde leeg.
    Vingerafdruk van het ADFS-ondertekeningscertificaat Ja

    De unieke vingerafdruk van het certificaat van de IDP wordt gebruikt bij het ondertekenen van SAML-antwoorden. De thumbprint staat niet expliciet in de metadata, maar het certificaat wordt gebruikt om ofwel de SAMLResponse ofwel de Assertion te ondertekenen. Zie “Hoe u de vingerafdruk van een certificaat afleidt” in de sectie Aanvullende hulpmiddelen van dit document voor meer informatie.

    Voorbeeld: 7j2mka9cfe2d09j23eefe01442f6a49d1222391
    URL voor afmelden Momenteel niet ondersteund Laat deze waarde leeg.
    Gebruikersbeheer 
    Attribuut voornaam Nee

    De naam van het attribuut in het SAML-antwoord dat de voornaam van de gebruiker beschrijft (oftewel de eerste naam). Te vinden in de IDP-metadata. In het XML-bestand staat een sectie die een lijst met tags moet bevatten. Voer de waarde in van de sleutel “Name” onder de juiste voornaam.

    De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Attribuut achternaam Nee

    De naam van het attribuut in het SAML-antwoord dat de achternaam van de gebruiker beschrijft (oftewel de laatste naam of familienaam). Te vinden in de IDP-metadata. In het XML-bestand staat een sectie die een lijst met tags moet bevatten. Voer de waarde in van de sleutel “Name” onder de juiste achternaam.

    De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Attribuut e-mail Nee

    De naam van het attribuut in het SAML-antwoord dat het e-mailadres van de gebruiker beschrijft. Te vinden in de IDP-metadata. In het XML-bestand staat een sectie die een lijst met tags moet bevatten. Voer de waarde in van de sleutel “Name” onder het juiste e-mailadres. 

    De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Attribuut rol Nee

    De naam van het attribuut in het SAML-antwoord dat de rol van de gebruiker beschrijft. Te vinden in de IDP-metadata. In het XML-bestand staat een sectie die een lijst met tags moet bevatten. Voer de waarde in van de sleutel “Name” onder de juiste rol.  

    De waarde moet zijn: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Rolkoppeling
    IT-manager Nee

    Er kan een door komma's gescheiden lijst met waarden worden gebruikt. Als de waarde die in het attribuut rol wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker aangemaakt als IT-manager.

    Voorbeeld: IT Manager
    Docent Nee 

    Er kan een door komma's gescheiden lijst met waarden worden gebruikt. Als de waarde die in het attribuut rol wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker aangemaakt als docent.

    Voorbeeld: Instructor, Teacher of TA
    Kruisintegratie met LTI
    Koppelingsattribuut Nee Een uniek attribuut dat de SSO koppelt aan de LMS. Hierdoor wordt een gebruiker als één gebruiker herkend, ongeacht of deze zich aanmeldt via de SSO of via de LMS (bijv. attribuut: e-mail)
  5. Klik op Wijzigingen opslaan. 
    Engage waarbij de wijzigingen voor de integratie worden opgeslagen

Aanvullende hulpmiddelen

Hoe u de vingerafdruk van een certificaat afleidt

De vingerafdruk van het certificaat van de IDP wordt gebruikt voor extra beveiliging wanneer de SP een SAML-antwoord van de IDP verifieert. Volg de onderstaande instructies om de vingerafdruk van het certificaat af te leiden:

  1. Haal in de Google IDP-metadata het X509-certificaat op. Dit bevindt zich onder: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Ga, zodra u het certificaat hebt, naar de volgende website: https://www.samltool.com/fingerprint.php.
  3. Plak het certificaat in het tekstvak “X509 cert”.
  4. Zorg ervoor dat “sha1” is geselecteerd bij Algorithm.
  5. Klik op “Calculate Fingerprint”.
  6. Kopieer de gegenereerde waarde “FingerPrint”. Dit is de waarde die in de database wordt gebruikt. De vingerafdruk moet een array van 20 bytes zijn voor “sha1”.

Verwante artikelen

Neem contact op met support