Naar YuJa
  1. YuJa Helpcentrum
  2. LMS-toegankelijkheidsplatform Panorama
  3. Beheerplatform

Panorama integreren met ADFS (SAML)

Avatar
YuJa
  • Bijgewerkt

Beheerders kunnen een beveiligde verbinding instellen tussen het LMS-toegankelijkheidsplatform Panorama en ADFS om gebruikers te verifiëren die zich aanmelden bij Panorama. Om gebruikers veilig te verifiëren en aan te melden, moet u ervoor zorgen dat Panorama en ADFS zijn geconfigureerd volgens de onderstaande stappen.  

Wat is vereist voor de ADFS-configuratie

Voor de ADFS-configuratie hebt u een aangepaste Panorama-URL nodig (voorbeeld: hudsonu.panorama.yuja.com). Als u die niet hebt, neem dan contact op met uw Account Manager.

Een Relying Party Trust aanmaken

Met dit proces wordt een Relying Party Trust met Panorama aangemaakt.

  1. Open op de ADFS-server de toepassing ADFS-beheer.
  2. Klik in het linkerpaneel onder Vertrouwensrelaties op Vertrouwensrelaties van relying parties (RPT). 
  3. Klik in het tabblad Acties op Vertrouwensrelatie van relying party toevoegen. 
    De map Relying Party Trusts wordt weergegeven in ADFS, met de optie Vertrouwensrelatie van relying party toevoegen gemarkeerd.
  4. Klik in het venster Wizard RPT toevoegen op Starten.
    De wizard Vertrouwensrelatie van relying party toevoegen vraagt de gebruiker het proces te starten door enkele stappen te voltooien.
  5. Selecteer Gegevens over de relying party handmatig invoeren en klik op Volgende.
    In de stap Gegevensbron selecteren is de optie om gegevens over de relying party in te voeren geselecteerd en is de knop Volgende gemarkeerd.
  6. Voer een weergavenaam in voor de RPT (bijvoorbeeld “Panorama”) en klik op Volgende.
    In de stap Weergavenaam opgeven is een weergavenaam ingevoerd en is de knop Volgende gemarkeerd.
  7. Selecteer ADFS-profiel en klik op Volgende.
    In de stap Profiel kiezen is het AD FS-profiel geselecteerd en is de knop Volgende gemarkeerd.
  8. Klik in de stap Certificaat configureren op Volgende. Versleutel de claims die naar YuJa worden verzonden niet.
    De knop Volgende is gemarkeerd in de stap Certificaat configureren.
  9. Selecteer Ondersteuning voor het WebSSO-protocol van SAML 2.0 inschakelen.
  10. Voer de URL van de SAML 2.0 SSO-service van de relying party in. 
    • Service-URL: https://YOUR_CUSTOM_PANORAMA_URL/api/sso/samlReceiveResponse
      • Voorbeeld: https://hudsonu.panorama.yuja.com/api/sso/samlReceiveResponse
  11. Klik op Volgende.
    In de stap URL configureren is Ondersteuning voor het WebSSO-protocol van SAML 2.0 inschakelen geselecteerd en is de knop Volgende gemarkeerd.
  12. Voer bij Id van de relying party trust, uw aangepaste Panorama-URL in.
    • Voorbeeld: https://hudsonu.panorama.yuja.com
  13. Klik op Toevoegen, en klik vervolgens op Volgende. 
    In de stap Id's configureren is een id van de relying party trust toegevoegd en is de knop Volgende gemarkeerd.
  14. Selecteer Ik wil op dit moment geen instellingen voor multifactorauthenticatie configureren voor deze vertrouwensrelatie van relying party. Klik vervolgens op Volgende.
    In de stap Multifactorauthenticatie nu configureren is de optie om geen multifactorauthenticatie te configureren geselecteerd en is de knop Volgende gemarkeerd.
  15. Selecteer Alle gebruikers toegang tot deze relying party toestaan. Klik op Volgende.
    In de stap Autorisatieregels voor uitgifte kiezen is Alle gebruikers toegang tot de relying party toestaan geselecteerd en is de knop Volgende gemarkeerd.
  16. Controleer de instellingen om er zeker van te zijn dat alles klopt en klik vervolgens op Volgende.
    In de stap Klaar om vertrouwensrelatie toe te voegen is de knop Volgende gemarkeerd.
  17. Zorg ervoor dat Het dialoogvenster Claimregels bewerken openen voor deze vertrouwensrelatie van relying party wanneer de wizard wordt gesloten is geselecteerd en klik vervolgens op Sluiten.
    In de laatste stap is de optie om het dialoogvenster Claimregels bewerken te openen aangevinkt en is de knop Volgende gemarkeerd.

Claimregels toevoegen

Voeg claimregels toe voor de RPT, zodat SAML-antwoorden de juiste gebruikersinformatie bevatten.

  1. Om claimregels te maken of te bewerken, klikt u eerst op de RPT. Klik in het rechterpaneel op Claimregels bewerken.
    In de AD FS-toepassing is de relying party Panorama geselecteerd.
  2. Klik op Regel toevoegen.
  3. Selecteer LDAP-kenmerken verzenden als claims en klik op Volgende.
    Het venster Claimregels bewerken wordt weergegeven met de knop Regel toevoegen gemarkeerd.
  4. Voer een naam voor de claimregel (bijvoorbeeld Panorama).
  5. Selecteer Active Directory als kenmerkenarchief.

  6. Maak vier claimtoewijzingen zoals weergegeven in de onderstaande tabel en klik vervolgens op Voltooien.
    Toewijzing van LDAP-kenmerken aan uitgaande claimtypen: 

    LDAP-kenmerk Uitgaand claimtype
    Email-Addresses E-mailadres
    Given-Name Voornaam
    Surname Achternaam
    <Een kenmerk met betrekking tot de rol van een gebruiker (bijvoorbeeld Admin)> Rol

    De LDAP-kenmerken worden weergegeven in een tabel met de LDAP-kenmerken en hun uitgaande claimtype.

  7. Maak nu een tweede claimregel aan. Klik op Regel toevoegen.
    Het venster Claimregel bewerken met de knop Regel toevoegen gemarkeerd.
  8. Selecteer Een binnenkomende claim transformeren. Klik op Volgende.
    Een binnenkomende claim transformeren is geselecteerd als sjabloon voor de claimregel en de knop Volgende is gemarkeerd.
  9. Voer een naam voor de claimregel in. Selecteer bij Type binnenkomende claim E-mailadres. Belangrijk: Dit gaat ervan uit dat elke gebruiker in het ADFS-systeem een gekoppeld e-mailadres heeft. Is dat niet het geval, selecteer dan Given-Name in plaats daarvan.
  10. Selecteer bij Type uitgaande claim de optie Naam-id. Selecteer bij Indeling van uitgaande naam-id de optie E-mail. 
  11. Klik op Voltooien.
    De gegevens van de claimregel zijn ingevuld en de knop Voltooien is gemarkeerd.
  12. Klik op OK in het venster Claimregels bewerken.
    De knop OK is gemarkeerd voor het venster Claimregels bewerken.

Het hashalgoritme aanpassen

Hiermee zorgt u ervoor dat alle drie de onderdelen zijn voltooid, zodat de configuratie correct is uitgevoerd. 

  1. Dubbelklik op uw RPT.
    De relying party trust van Engage is geselecteerd in de AD FS-toepassing.
  2. Selecteer het tabblad Geavanceerd .
  3. Selecteer in de vervolgkeuzelijst Beveiligd hash-algoritme SHA-1.
  4. Klik op OK.
    Het tabblad Geavanceerd is geselecteerd voor de eigenschappen van Panorama en SHA-! is geselecteerd bij Beveiligd hash-algoritme.

Panorama-configuratie

Nadat u alle instellingen in ADFS hebt aangepast, kunt u de instellingen in Panorama configureren.

  1. Meld u aan bij uw LMS en open Panorama.
  2. Selecteer Configuraties en selecteer vervolgens Integraties.
  3. Selecteer in het vervolgkeuzemenu Integraties selecteren de optie SSO-SAML.
    SSO-SAML-integratie met Integratie selecteren omcirkeld

  4. U moet de gegevens invullen voor elk van de panelen van de integratie: Algemene SSO-details, Gebruikersbeheer, Roltoewijzing en Kruisintegratie met LTI 1.3. Volg de onderstaande tabel om de gegevens in te vullen.

    Kenmerk Vereist? Beschrijving
    Algemene SSO-details 
    SSO-URL  Ja

    De URL die voor de SSO wordt gebruikt. Hier stuurt Panorama AuthnRequest-tokens naartoe. Te vinden in de IDP-metadata als het kenmerk “Location”. Opmerking: Voor Panorama wordt een HTTP-Redirect-binding gebruikt.

    Voorbeeld: “https:///adfs/ls/”
    Indeling van naam-id Ja

    De indeling die de SP en de IDP gebruiken bij de communicatie over een onderwerp. Te vinden in de IDP-metadata als de waarde van die tag. Opmerking: Indien beschikbaar moeten e-mailadressen bij voorkeur worden gebruikt.

    Voorbeeld: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Vingerafdruk van het ADFS-ondertekeningscertificaat Ja

    De unieke vingerafdruk van het certificaat van de IDP wordt gebruikt bij het ondertekenen van SAML-antwoorden. De thumbprint staat niet expliciet in de metadata, maar het certificaat wordt gebruikt om de SAMLResponse of de Assertion te ondertekenen. Zie het onderdeel Hoe u de vingerafdruk van een certificaat afleidt in de sectie Aanvullende hulpmiddelen van dit document voor meer informatie.

    Voorbeeld: 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Gebruikersbeheer 
    Kenmerk voor voornaam Ja

    De naam van het kenmerk in het SAML-antwoord dat de voornaam van de gebruiker beschrijft (d.w.z. de eerste naam). Te vinden in de IDP-metadata. In het .XML-bestand staat een sectie met een lijst met tags. Voer de waarde van de sleutel “Name” in, onder de juiste voornaam.

    De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Kenmerk voor achternaam Ja

    De naam van het kenmerk in het SAML-antwoord dat de achternaam van de gebruiker beschrijft (d.w.z. de familienaam). Te vinden in de IDP-metadata. In het .XML-bestand staat een sectie met een lijst met tags. Voer de waarde van de sleutel “Name” in, onder de juiste achternaam.

    De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Kenmerk voor e-mailadres Ja

    De naam van het kenmerk in het SAML-antwoord dat het e-mailadres van de gebruiker beschrijft. Te vinden in de IDP-metadata. In het .XML-bestand staat een sectie met een lijst met tags. Voer de waarde van de sleutel “Name” in, onder het juiste e-mailadres. 

    De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Kenmerk voor rol Ja

    De naam van het kenmerk in het SAML-antwoord dat de rol van de gebruiker beschrijft. Te vinden in de IDP-metadata. In het .XML-bestand staat een sectie met een lijst met tags. Voer de waarde van de sleutel “Name” in, onder de juiste rol.  

    De waarde moet zijn: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Roltoewijzing
    Beheerderstoewijzing Ja

    U kunt een door komma’s gescheiden lijst met waarden gebruiken. Als de waarde die in het kenmerk voor rol wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker ingericht als IT-manager.

    Voorbeeld: IT Manager
    Docenttoewijzing Ja

    U kunt een door komma’s gescheiden lijst met waarden gebruiken. Als de waarde die in het kenmerk voor rol wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker ingericht als docent.

    Voorbeeld: Instructor, Teacher, of TA
    Kruisintegratie met LTI
    SSO-koppelingskenmerk Nee Een uniek kenmerk dat de SSO koppelt aan het LMS. Hierdoor wordt een gebruiker als één gebruiker herkend, ongeacht of deze zich aanmeldt via SSO of via het LMS. U moet de naam invoeren van het koppelingskenmerk dat door uw SSO wordt geleverd.
    Aangepast koppelingsveld voor LTI 1.3 Nee Een uniek kenmerk dat de SSO koppelt aan het LMS. Hierdoor wordt een gebruiker als één gebruiker herkend, ongeacht of deze zich aanmeldt via SSO of via het LMS. U moet de naam invoeren van het aangepaste veld dat wordt gebruikt om de LTI-launch te configureren. 

  5. Nadat u alle vereiste instellingen hebt aangepast, klikt u op Wijzigingen opslaan om de integratie te voltooien. Opmerking: U kunt uw SSO-integratie testen door Start SSO inlogpagina te selecteren en u aan te melden met uw integratie.
    SSO-SAML-integratie met Wijzigingen opslaan omcirkeld
     

     

Aanvullende hulpmiddelen  

Hoe u de vingerafdruk van een certificaat afleidt

De vingerafdruk van het certificaat van de IDP wordt gebruikt voor extra beveiliging wanneer de SP een SAML-antwoord van de IDP verifieert. Volg de onderstaande instructies om de vingerafdruk van het certificaat af te leiden:

  1. Haal in de Google IDP-metadata het X509-certificaat op. Dit bevindt zich onder: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Zodra u het certificaat hebt, gaat u naar de volgende website: https://www.samltool.com/fingerprint.php.
  3. Plak het certificaat in het tekstvak “X509 cert”.
  4. Zorg ervoor dat “sha1” is geselecteerd als algoritme.
  5. Klik op “Calculate Fingerprint”.
  6. Kopieer de gegenereerde waarde van “FingerPrint”. Dit is de waarde die in de database wordt gebruikt. De vingerafdruk moet een array van 20 bytes zijn voor “sha1”.

Verwante artikelen

Neem contact op met support