Dit document begeleidt gebruikers bij het integreren van de Dell Cloud
Access Manager (DCAM)-server van hun instelling als SSO-systeem om gebruikers in te laten loggen bij het YuJa Enterprise Video
Platform. Na correcte configuratie wordt een gebruiker die toegang probeert te krijgen tot YuJa-diensten eerst doorgestuurd
naar de IDP waarmee DCAM is ingesteld om in te loggen, en vervolgens teruggestuurd naar YuJa, waar de gebruiker wordt geverifieerd
en ingelogd.
DCAM instellen
De configuratie omvat het maken van een nieuwe toepassing in de console van One Identity Cloud Access Manager en vervolgens het integreren van de DCAM-server aan de kant van YuJa. Zodra beide kanten correct zijn geconfigureerd, bestaat het afronden van de installatie uit een SSO-test met DCAM als IDP en het activeren van de nieuwe SSO, zodat gebruikers van uw instelling via het DCAM-systeem kunnen inloggen.
Opmerking: Voor sommige stappen moet <organization> worden vervangen door de wildcard-DNS van de organisatie die aan het videoplatform is gekoppeld. Voor “https://hudson.yuja.com” zou bijvoorbeeld “hudson” in de plaats komen.
Het videoplatform toevoegen als toepassing in de Cloud Access Manager-console
- Ga op uw DCAM-server naar: https:///CloudAccessManager/UI/Admin/Go Log indien nodig in met geldige inloggegevens.
- Klik op het tabblad Home, in de sectie Applications, op Add New.
- Klik op Configure Manually.
- Selecteer onder Federated SSO Methods, de optie SAML. Klik op Next.
- Voer de instellingen handmatig in:
Parameter Waarde Assertion Consumer Service URLs → Recipient https://<organization>.yuja.com/D/samlReceiveResponse Audience / SP Identity https://<organization>.yuja.com Application Logout Geef uw gewenste uitlog-URL op. Upload Signing Certificate YuJa ondertekent of versleutelt authenticatieverzoeken niet, dus upload geen ondertekeningscertificaat. Upload Encryption Certificate YuJa ondersteunt geen versleutelde authenticatieantwoorden, dus upload geen versleutelingscertificaat. - Klik op Next.
- Selecteer “Use the username (subject) provided by “Your Authenticator”. Klik op Next.
- Selecteer Do not proxy this application. Klik op Next.
- Selecteer zowel Admin als Users, en klik telkens op Allow Role Access. Klik op Next.
- Voer een Application Name in, bijvoorbeeld “YuJa”. Klik op Next.
- Voer de volgende gegevens in:
a. SSO Mode - SP Initiated.
b. URL - “https://.yuja.com/D/SamlAuthentication”.
c. Sectie - Applications
d. Titel - Description
e. Selecteer “Add application to application portal home”.
f. Selecteer “Allow users to remove application from application portal home” niet. Klik op Finish. - Op de pagina Application Created hebt u het certificaat nodig om de YuJa-kant te configureren. Download het niet. Sla alleen de tekst op (d.w.z. laat de regels “-----BEGIN CERTIFICATE-----” en “-----END CERTIFICATE-----” weg en bewaar alleen het middengedeelte).
- Ga in de linkerzijbalk, onder Applications, naar View and Edit. Dubbelklik op de zojuist gemaakte nieuwe toepassing.
- Ga in de linkerzijbalk naar Token Settings.
- Selecteer voor samltoken.name_id de waarde “urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress”. Selecteer voor samltoken.signature de waarde “AssertionOnly”. Laat alle andere instellingen op hun standaardwaarden staan. Klik op Finish.
Het videoplatform instellen
- Ga naar het domein van het videoplatform van uw organisatie (bijv. https://.yuja.com).
- Log in als beheerder en ga naar het Admin Paneel via het Hoofdmenu. Kies het tabblad Integraties.
- Kies onder Selecteer een API om te configureren de optie SSO – DCAM(SAML).
- Voer de volgende configuratieparameters in:
Parameter Waarde IDP-inlog-URL De IDP-inlog-URL van de toepassing die u hebt gemaakt. Deze vindt u op het tabblad Federation Settings in de DCAM-toepassing. Name ID-indeling urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress Externe uitlog-URL <laat deze waarde leeg> Vingerafdruk van DCAM-ondertekeningscertificaat Haal het certificaat op dat u uit de DCAM-configuratie hebt gekregen. Volg de stappen onder De vingerafdruk van een certificaat afleiden. Voornaamattribuut De naam van het attribuut in het SAML-antwoord** waarin de voornaam (given name) van de gebruiker staat. - Bijvoorbeeld: urn:oid:2.5.4.42 Achternaamattribuut De naam van het attribuut in het SAML-antwoord** waarin de achternaam (family name) van de gebruiker staat. Bijvoorbeeld: urn:oid:2.5.4.4 E-mailattribuut De naam van het attribuut in het SAML-antwoord** waarin het e-mailadres van de gebruiker staat. Bijvoorbeeld: urn:mace:dir:attribute-def:mail Rolattribuut De naam van het attribuut in het SAML-antwoord** waarin de rol van de gebruiker staat. Bijvoorbeeld: urn:mace:dir:attribute def:eduPersonScopedAffiliation IT-manager Er kan een door komma's gescheiden lijst met waarden worden gebruikt -Als de waarde die in het rolattribuut wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker als IT-manager geprovisioneerd. -Bijvoorbeeld: IT Manager Docent Er kan een door komma's gescheiden lijst met waarden worden gebruikt -Als de waarde die in het rolattribuut wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker als docent geprovisioneerd. -Bijvoorbeeld: Instructor of Instructor,Teacher,TA Gegevens automatisch synchroniseren bij inloggen van gebruiker Indien aangevinkt worden de basisgegevens van een gebruiker, telkens wanneer deze via ADFS inlogt, bijgewerkt op basis van de gegevens in het SAML-responstoken. - Klik op Creëren. Klik in het bevestigingsdialoogvenster op OK.
- Indien nodig kunt u de configuratie-instellingen bijwerken als u een fout hebt gemaakt. Klik gewoon op
Opslaan om de wijzigingen te bewaren. Om te testen of de configuratie correct is, klikt u op SAML-login testen. Hierdoor zou een nieuw tabblad moeten openen dat navigeert naar de IDP waarmee uw DCAM-server is ingesteld, waar om inloggegevens wordt gevraagd. - Voer geldige inloggegevens in en log in. U zou naar het videoplatform teruggestuurd moeten worden, ingelogd als nieuwe gebruiker.
- Zodra u hebt gecontroleerd dat de DCAM SSO werkt, kunt u ervoor kiezen het
nieuwe authenticatieschema voor uw organisatie te activeren.
BELANGRIJK: Activeer het nieuwe authenticatieschema pas nadat u met succes een test
login hebt uitgevoerd en u het voor alle gebruikers in uw instelling beschikbaar wilt maken.
Kruisintegratie met LTI
Als uw instelling zowel LMS-integratie via LTI als SSO-toegang heeft ingeschakeld, kunt u ervoor kiezen de twee integraties te koppelen. Dit raden we over het algemeen aan, omdat gebruikers dan dezelfde accountgegevens van het videoplatform te zien krijgen, ongeacht of ze via hun LMS of via hun SSO inloggen. Als Kruisintegratie met LTI daarentegen niet is ingesteld, krijgt een gebruiker die zowel het LMS als SSO met YuJa gebruikt twee afzonderlijke accounts, wat in veel gevallen niet ideaal is.
- Configureer uw LMS zo dat het een aangepaste LTI-parameter met de naam
lis_person_sourcedid aan de YuJa-tool doorgeeft, die de overeenkomende SSO-waarde bevat. Dit kan een e-mailadres,
personeelsnummer of een ander veld zijn. Mogelijk moet u de productdocumentatie van uw
LMS-platform raadplegen over het instellen van aangepaste LTI-parameters. Het videoplatform gebruikt deze functie om de twee aanmeldmethoden aan hetzelfde account te koppelen. - Zoek de specifieke attribuutnaam op die in het SAML-responstoken wordt gebruikt en waarvan de waarde
overeenkomt met de unieke identificatie die de LTI-provider gebruikt.
a. Als de unieke identificatie bijvoorbeeld het e-mailadres van de gebruiker is, kan het koppelings
attribuut “urn:mace:dir:attribute-def:mail” zijn
b. Een volledige lijst met mogelijke attribuutnamen vindt u in het DCAM-metadata
bestand, in de Attribute-tags. - Voer deze waarde in het veld Koppelingsattribuut in. Opmerking: Dit tekstvak verschijnt alleen als uw
instelling LTI-toegang heeft ingeschakeld. - Klik op Opslaan.
De vingerafdruk van een certificaat afleiden
De vingerafdruk van het certificaat van de IDP wordt gebruikt voor extra beveiliging wanneer de SP een SAML-antwoord van de IDP verifieert. Volg de onderstaande instructies om de vingerafdruk van het certificaat af te leiden:
- Haal in de ADFS IDP-metadata het X509-certificaat op. Dit staat onder:
<IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate> - Ga zodra u het certificaat hebt naar de volgende website: https://www.samltool.com/fingerprint.php
- Plak het certificaat in het X509 cert tekstvak.
- Zorg ervoor dat sha1 is geselecteerd als Algorithm.
- Klik op Calculate Fingerprint.
- Kopieer de gegenereerde Fingerprint-waarde. Dit is de waarde die in de database wordt gebruikt. Opmerking: De vingerafdruk moet een array van 20 bytes zijn voor sha1.