Lumina integreren met ADFS (SAML)

1. Open op de ADFS-server de toepassing AD FS-beheer.
2. Klik in het linkerpaneel onder Vertrouwensrelaties op Relying Party Trusts. 
3. Klik in het tabblad Acties op Relying Party Trust toevoegen. 
4. Klik in het venster Wizard Relying Party Trust toevoegen op Start.
5. Selecteer Gegevens over de relying party handmatig invoeren. Volg de onderstaande stappen om de RPT te configureren.
6. Voer een weergavenaam in voor de RPT (bijvoorbeeld “YuJa”).
7. Klik op Volgende.
8. Selecteer AD FS-profiel en klik op Volgende.
9. Klik in de stap Certificaat configureren op Volgende. Versleutel de claims die naar YuJa worden verzonden niet.
10. Selecteer Ondersteuning voor het SAML 2.0 WebSSO-protocol inschakelen.
11. Voer in het veld Service-URL voor SAML 2.0 SSO van de relying party de URL https://<YOUR_YUJA_DOMAIN>.yuja.com/D/SamlReceiveResponse in.
12. Klik op Volgende.
13. Voer in het veld Id van relying party trust de waarde https://<YOUR_YUJA_DOMAIN>.yuja.com in.
14. Klik op Toevoegen, en klik daarna op Volgende. 
15. Schakel het selectievakje Voor deze relying party trust wil ik op dit moment geen instellingen voor meervoudige verificatie configureren in en klik daarna op Volgende.
16. Selecteer Alle gebruikers toegang tot deze relying party toestaan en klik daarna op Volgende.
17. Controleer de instellingen en klik daarna op Volgende.
18. Selecteer de optie Het dialoogvenster Claimregels bewerken voor deze relying party trust openen wanneer de wizard wordt gesloten en klik daarna op Sluiten.

1. Klik op de RPT. 
2. Klik in het rechterpaneel op Claimregels bewerken.
3. Klik in het venster Claimregels bewerken op Regel toevoegen.
4. Selecteer LDAP-kenmerken als claims verzenden en klik daarna op Volgende.
5. Voer een Naam van claimregel in.
6. Selecteer Active Directory als Kenmerkenarchief.

7. Maak vier claimtoewijzingen aan. De vijfde, yujaUserIDmapping, is optioneel en wordt gebruikt om de YuJa-id van de gebruiker te vervangen door het veld yujaUserIDmapping.  

    

   LDAP-kenmerk	Type uitgaande claim
   E-Mail-Addresses	E-mail Address
   Given-Name	Given Name
   Surname	Surname
   <Een kenmerk met betrekking tot de rol van een gebruiker>	Role
   <Een kenmerk met betrekking tot de rol van een gebruiker>	yujaUserIDmapping

   De Role-claim wordt gebruikt om te bepalen of gebruikers als student worden ingericht (de standaardinstelling) of uitgebreide rechten krijgen (docent/IT-manager). De voorgestelde waarden voor dit veld zijn IT Manager en Instructor (voor gebruikers die respectievelijk IT-manager- of docentrechten moeten krijgen), maar u kunt ook bestaande of aangepaste waarden gebruiken.

8. Klik op Voltooien.
9. Om een tweede claimregel aan te maken, klik op Regel toevoegen. 
10. Selecteer Een binnenkomende claim transformeren en klik daarna op Volgende.
11. Voer een Naam van claimregel in.
12. Selecteer voor Type binnenkomende claim de optie E-Mail Address als aan elke gebruiker in het ADFS-systeem een e-mailadres is gekoppeld. Is dat niet het geval, selecteer dan in plaats daarvan Given Name.
13. Selecteer voor Type uitgaande claim de optie NameID. 
14. Selecteer voor de indeling van Uitgaande naam-id de optie Email. 
15. Klik op Voltooien.
16. Klik op OK.

1. Dubbelklik op uw RPT.
2. Selecteer het tabblad Geavanceerd.
3. Selecteer in het vervolgkeuzemenu SHA-1.
4. Klik op OK.

1. Ga naar uw vertrouwde basiscertificaat.
2. Voeg het YuJa SAML-certificaat toe dat u hier vindt.

Als u Microsoft ADFS als SAML-provider gebruikt, hebt u toegang tot de wizard voor het installeren van certificaten via het configuratiepaneel voor versleuteling nadat u het YuJa SAML-certificaat hebt toegevoegd. Meer informatie over het installeren van het vertrouwde basiscertificaat. 

1. Log in bij Lumina als beheerder. 
2. Klik op de knop Hoofdmenu > Admin Paneel.
3. Selecteer in de zijbalk Integraties.
4. Selecteer in het veld Selecteer een API om te configureren de optie SSO - ADFS (SAML). 

5. Voer de gegevens in:

   Kenmerk	Vereist?	Beschrijving
   ADFS SSO-URL	Ja	De URL die voor SSO wordt gebruikt. Hier stuurt YuJa AuthnRequest-tokens naartoe. Te vinden in de IDP-metadata als het kenmerk “Location”. Houd er rekening mee dat YuJa een HTTP-Redirect-binding gebruikt. Bijvoorbeeld: “https:///adfs/ls/”
   Indeling van naam-id	Ja	De indeling die de SP en de IDP gebruiken bij de communicatie over een onderwerp. Te vinden in de IDP-metadata als de waarde van die tag. Houd er rekening mee dat emailAddress, indien beschikbaar, bij voorkeur moet worden gebruikt. Bijvoorbeeld: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
   URL voor uitloggen op afstand	Momenteel niet ondersteund	Laat deze waarde leeg
   Vingerafdruk van het ADFS-ondertekeningscertificaat	Ja	De unieke vingerafdruk van het certificaat van de IDP wordt gebruikt bij het ondertekenen van SAML-antwoorden. De vingerafdruk staat niet expliciet in de metadata, maar het certificaat wordt gebruikt om de SAMLResponse of de Assertion te ondertekenen. Zie voor meer informatie “De vingerafdruk van een certificaat afleiden” in de sectie Aanvullende hulpmiddelen van dit document. Bijvoorbeeld: 7j2mka9cfe2d09j23eefe21442f6a49d1222391f
   Kenmerk voornaam	Nee	De naam van het kenmerk in het SAML-antwoord dat de voornaam van de gebruiker beschrijft. Te vinden in de IDP-metadata. Het .XML-bestand bevat een sectie die een lijst met tags moet bevatten. Voer de waarde in voor de sleutel “Name”, onder de tag die bij de voornaam hoort. De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
   Kenmerk achternaam	Nee	De naam van het kenmerk in het SAML-antwoord dat de achternaam van de gebruiker beschrijft (d.w.z. familienaam). Te vinden in de IDP-metadata. Het .XML-bestand bevat een sectie die een lijst met tags moet bevatten. Voer de waarde in voor de sleutel “Name”, onder de tag die bij de achternaam hoort. De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
   E-mailkenmerk	Nee	De naam van het kenmerk in het SAML-antwoord dat het e-mailadres van de gebruiker beschrijft. Te vinden in de IDP-metadata. Het .XML-bestand bevat een sectie die een lijst met tags moet bevatten. Voer de waarde in voor de sleutel “Name”, onder de tag die bij het e-mailadres hoort.  De waarde moet zijn: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   Rolkenmerk	Nee	De naam van het kenmerk in het SAML-antwoord dat de rol van de gebruiker beschrijft. Te vinden in de IDP-metadata. Het .XML-bestand bevat een sectie die een lijst met tags moet bevatten. Voer de waarde in voor de sleutel “Name”, onder de tag die bij de rol hoort.   De waarde moet zijn: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
   IT-manager	Nee	U kunt een door komma’s gescheiden lijst met waarden gebruiken. Komt de waarde die in het rolkenmerk wordt ontvangen overeen met een van deze waarden, dan wordt de gebruiker ingericht als IT-manager. Bijvoorbeeld: IT Manager
   Docent	Nee	U kunt een door komma’s gescheiden lijst met waarden gebruiken. Komt de waarde die in het rolkenmerk wordt ontvangen overeen met een van deze waarden, dan wordt de gebruiker ingericht als docent. Bijvoorbeeld: Instructor of, Teacher, TA
   Gegevens automatisch synchroniseren bij het inloggen van de gebruiker	Nee	Als dit is ingeschakeld, worden telkens wanneer een gebruiker via ADFS inlogt de basisgegevens van de gebruiker bijgewerkt op basis van de gegevens in het SAML-antwoordtoken

6. Schakel het selectievakje Ondertekening van authenticatieverzoeken inschakelen in om het ondertekenen van het authenticatieverzoek mogelijk te maken.
   Opmerking: Hiervoor moet het YuJa SAML-certificaat worden toegevoegd aan uw archief met vertrouwde basiscertificaten.
7. Klik op OK. Als u een fout hebt gemaakt, kunt u de configuratie-instellingen bijwerken.
8. Klik op Opslaan om de wijzigingen te bewaren.
9. Klik op SAML-login testen om te testen of de configuratie correct is. Hiermee opent u een nieuw tabblad en gaat u naar uw ADFS-server, waar u wordt gevraagd om in te loggen. Voer geldige inloggegevens in en log in. U wordt teruggestuurd naar YuJa en bent ingelogd als nieuwe gebruiker. Door in te loggen als nieuwe gebruiker kan het oorspronkelijke account worden uitgelogd. Log uit bij het nieuw aangemaakte account en log opnieuw in als beheerder. Ga vervolgens naar Admin Paneel > Integraties > SSO > ADFS (SAML).
10. Om het nieuwe authenticatieschema voor uw organisatie te activeren, klikt u op Activeer.

11. Klik op OK.

    Belangrijk: Activeer het nieuwe authenticatieschema pas nadat u met succes een testlogin hebt uitgevoerd en u het voor alle gebruikers in uw organisatie beschikbaar wilt maken

1. Configureer uw LMS zo dat het een aangepaste LTI-parameter met de naam lis_person_sourcedid doorgeeft aan de YuJa-tool, die de SSO-waarde voor de koppeling bevat. Dit kan een e-mailadres, werknemers-id of een ander veld zijn. Mogelijk moet u de productdocumentatie van uw LMS raadplegen over het instellen van aangepaste LTI-parameters. Lumina gebruikt deze functie om de twee inlogmethoden aan hetzelfde account te koppelen.
2. Zoek de specifieke kenmerknaam op die in het SAML Response-token wordt gebruikt en waarvan de waarde overeenkomt met de unieke identificatiecode die de LTI-provider gebruikt (in stap 1 hierboven). Als de unieke identificatiecode bijvoorbeeld het e-mailadres van de gebruiker is, kan het koppelingskenmerk http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress zijn. Een volledige lijst met mogelijke kenmerknamen vindt u in het ADFS-metadatabestand, in de Attribute-tags. 
3. Voer deze waarde in het veld Koppelingsattribuut in. Dit tekstveld wordt alleen weergegeven als uw organisatie LTI-toegang heeft ingeschakeld.
4. Klik op Opslaan. Wanneer een gebruiker zich nu voor het eerst via ADFS (SAML) aanmeldt, zoekt Lumina met de waarde van het koppelingskenmerk naar een koppeling met een LTI-account. Als er een wordt gevonden, wordt het SAML-account gekoppeld aan het bestaande account. Anders wordt een nieuw account op de gebruikelijke manier ingericht. Alle volgende logins worden gekoppeld aan het Lumina-account dat bij de eerste login is aangemaakt of gevonden.

1. Haal in de ADFS IDP-metadata het X509-certificaat op. Dit staat onder:
   <IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate>
2. Ga naar de website: https://www.samltool.com/fingerprint.php.
3. Plak in het veld X509 cert het certificaat. 
4. Selecteer sha1 als Algorithm.
5. Klik op Calculate Fingerprint.
6. Kopieer de gegenereerde waarde voor Fingerprint. Dit is de waarde die in de database wordt gebruikt.
   Opmerking: De vingerafdruk moet een array van 20 bytes zijn voor sha1.