Google Apps is een product dat een gefedereerde identiteitsoplossing biedt om gebruikers te verbinden met toepassingen, zowel binnen als buiten organisaties. Het flexibele SSO Module Provider-framework van het videoplatform is ontworpen om een breed scala aan identiteitsoplossingen te ondersteunen, waardoor Google Apps volledig in uw infrastructuur kan worden geïntegreerd.
Dit document begeleidt gebruikers bij het integreren van het videoplatform als serviceprovider (SP) met Google als identiteitsprovider (IDP). Na correcte configuratie worden gebruikers die toegang proberen te krijgen tot diensten van het videoplatform eerst doorgestuurd naar Google, waar om hun inloggegevens wordt gevraagd. Na authenticatie stuurt de browser hen opnieuw terug naar het videoplatform, waar ze als nieuwe of bestaande gebruiker zijn ingelogd.
Installatie
De installatie omvat het maken van een nieuwe SAML-app in de Google-beheerconsole en vervolgens het configureren van de zaken aan de kant van het videoplatform door te integreren met Google als IDP, en het testen en activeren van de SAML SSO voor de gebruikers van de instelling.
Voor sommige stappen moet <organization> worden vervangen door de wildcard-DNS van de organisatie die aan het videoplatform is gekoppeld. Voor “https://hudson.yuja.com” wordt organization bijvoorbeeld vervangen door “hudson”.
Een nieuwe SAML-app voor het videoplatform maken in de Google-beheerconsole
Volg de instructies onder de volgende secties: Set up your own SAML app, Turn on SSO to your new SAML app en Verify SSO between Google Apps and your new SAML app, en raadpleeg dit document voor specifieke instructies bij bepaalde stappen.
Verwijzing naar de sectie: Set up your own SAML app
- Download de IDP-metadata. Hiermee configureert u de zaken aan de kant van het videoplatform.
- Voer de volgende gegevens in:
Parameter Waarde ACS-URL https://<organization>.yuja.com/D/SamlReceiveResponse Entiteits-ID https://<organization>.yuja.com Start-URL **laat dit leeg** Naam-ID Basisinformatie, Primair e-mailadres Naam-ID-indeling E-mail - Vink Ondertekend antwoord. aan. Dit verhoogt de beveiliging van de communicatie tussen de SP en de IDP.
- Maak vier toewijzingen:
Toepassingsattribuut Categorie Gebruikersveld Given Name Basisinformatie Voornaam Family Name Basisinformatie Achternaam Email Basisinformatie E-mail Role Functiegegevens Functietitel (of een ander geschikt veld). Dit veld wordt gebruikt om te bepalen of gebruikers worden geprovisioneerd als student (de standaardinstelling) of uitgebreidere rechten krijgen (docent/IT-manager). De voorgestelde waarden voor dit veld zijn IT Manager en Instructor (voor gebruikers aan wie u respectievelijk IT-manager- of docentrechten wilt geven), maar u kunt bestaande of aangepaste waarden gebruiken (zie hieronder voor een toelichting op de toewijzing van IT-manager en docent)
SAML-configuratie aan de kant van het videoplatform
- Ga naar https://<organization>.yuja.com en log in als IT-manager van uw instelling.
- Ga naar het tabblad Admin Paneel in het Hoofdmenu.
- Ga in de linkerzijbalk naar Integraties.
- Selecteer in de vervolgkeuzelijst onder Selecteer integratie de optie SSO – Google Apps (SAML).
- Voer de volgende gegevens in:
Attribuut Verplicht? Beschrijving Google SSO-URL Ja De URL die voor SSO wordt gebruikt. Hier verstuurt het videoplatform AuthnRequest-tokens naartoe.
Te vinden in de Google IDP-metadata onder: <IDPSSODescriptor> → <SingleSignOnService>
als het attribuut “Location”. Houd er rekening mee dat voor het videoplatform een HTTP-Redirect-binding wordt gebruikt.Bijvoorbeeld https://accounts.google.com/o/saml2/idp?idpid=B05pakw7
Name ID-indeling Ja De indeling die de SP en de IDP gebruiken wanneer ze over een onderwerp communiceren.
Te vinden in de Google IDP-metadata onder:
<IDPSSODescriptor> → <NameIDFormat>
als de waarde van die tag. Houd er rekening mee dat emailAddress, indien beschikbaar, de voorkeur heeft en moet worden gebruikt.Bijvoorbeeld: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
Externe uitlog-URL Momenteel niet ondersteund Laat dit leeg Vingerafdruk van Google-ondertekeningscertificaat Nee, maar sterk aanbevolen De unieke vingerafdruk van het certificaat van de IDP wordt gebruikt bij het ondertekenen van SAML-antwoorden.
Zie voor meer informatie het gedeelte De vingerafdruk van een certificaat afleiden in dit artikel.Bijvoorbeeld: 7j2mka9cfe2d09j23eefe01442f6a49d1222391f
Voornaamattribuut Nee (Hoofdlettergevoelig) Voer de volgende waarde in: First Name
Dit is de exacte waarde die u bij het maken van de attribuuttoewijzingen in het veld Toepassingsattribuut hebt gebruikt.
Achternaamattribuut Nee (Hoofdlettergevoelig) Voer de volgende waarde in: Last Name
Dit is de exacte waarde die u bij het maken van de attribuuttoewijzingen in het veld Toepassingsattribuut hebt gebruikt.
E-mailattribuut Nee (Hoofdlettergevoelig) Voer de volgende waarde in: Email
Dit is de exacte waarde die u bij het maken van de attribuuttoewijzingen in het veld Toepassingsattribuut hebt gebruikt.
Rolattribuut Nee (Hoofdlettergevoelig) Voer de volgende waarde in: Title
Dit is de exacte waarde die u bij het maken van de attribuuttoewijzingen in het veld Toepassingsattribuut hebt gebruikt.
IT-manager Nee Er kan een door komma's gescheiden lijst met waarden worden gebruikt.
Als de waarde die in het rolattribuut wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker als IT-manager geprovisioneerd.
Bijvoorbeeld: IT ManagerDocent Nee Er kan een door komma's gescheiden lijst met waarden worden gebruikt
Als de waarde die in het rolattribuut wordt ontvangen overeenkomt met een van deze waarden, wordt de gebruiker als docent geprovisioneerd.Bijvoorbeeld: Instructor of Teacher, TA
Gegevens automatisch synchroniseren bij inloggen van gebruiker Nee Indien aangevinkt worden de basisgegevens van een gebruiker, telkens wanneer deze via Google SAML Apps inlogt, bijgewerkt op basis van de gegevens in het SAML-antwoord. - Klik op Creëren. Klik in het bevestigingsdialoogvenster op OK.
- Indien nodig kunt u de configuratie-instellingen bijwerken als u een fout hebt gemaakt. Klik gewoon op
Opslaan om de wijzigingen te bewaren. - Om te testen of de configuratie aan beide kanten correct is uitgevoerd, klikt u op SAML-login testen. Hierdoor zou een nieuw tabblad moeten openen dat naar Google navigeert, waar om inloggegevens wordt gevraagd.
- Log in met een geldig Google-account.
- Na het succesvol inloggen wordt u teruggestuurd naar het videoplatform, ingelogd als nieuwe gebruiker.
Als u als nieuwe gebruiker inlogt, wordt het oorspronkelijke account uitgelogd. Log uit bij het nieuw aangemaakte account en log opnieuw in als IT-manager. Ga vervolgens terug naar het Admin Paneel → Integraties → SSO – Google Apps (SAML).
- Zodra u hebt gecontroleerd dat Google SAML Apps SSO werkt, kunt u ervoor kiezen het nieuwe authenticatieschema voor uw organisatie te activeren. Klik hiervoor op Activeer en klik vervolgens op OK.
Belangrijk: Activeer het nieuwe authenticatieschema pas nadat u met succes een testlogin hebt uitgevoerd en u het voor alle gebruikers in uw instelling beschikbaar wilt maken.
Dubbele integratie met LTI
Als uw organisatie zowel LMS-integratie via LTI als SSO-toegang heeft ingeschakeld, kunt u ervoor kiezen de twee integraties te koppelen. Dit raden we over het algemeen aan, omdat gebruikers dan dezelfde accountgegevens van het videoplatform te zien krijgen, ongeacht of ze via hun LMS of via hun SSO inloggen. Als dubbele integratie met LTI daarentegen niet is ingesteld, krijgt een gebruiker die zowel het LMS als SSO met het videoplatform gebruikt twee afzonderlijke accounts, wat in veel gevallen niet ideaal is. Als uw LTI-provider binnen uw LMS kan worden geconfigureerd om het videoplatform een unieke identificatie voor de gebruiker in het SAML-systeem te geven, is het mogelijk de twee accounts te koppelen.
- Configureer uw LMS zo dat het een aangepaste LTI-parameter met de naam lis_person_sourcedid aan de tool van het videoplatform doorgeeft, die de overeenkomende SSO-waarde bevat. Dit kan een e-mailadres, personeelsnummer of een ander veld zijn. Mogelijk moet u de productdocumentatie van uw LMS-platform raadplegen over het instellen van aangepaste LTI-parameters. Het videoplatform gebruikt deze functie om de twee aanmeldmethoden aan hetzelfde account te koppelen.
- Zoek de specifieke attribuutnaam op die in het SAML-responstoken wordt gebruikt en waarvan de waarde overeenkomt met de unieke identificatie die de LTI-provider gebruikt (in stap 1 hierboven). Als de unieke identificatie bijvoorbeeld het e-mailadres van de gebruiker is, is het koppelingsattribuut “email”. De waarden die u kunt gebruiken, zijn specifiek de waarden die in de Google-beheerconsole zijn ingesteld bij het configureren van de SAML-app. Het zijn de namen die in de stap voor de attribuuttoewijzing zijn gebruikt.
- Voer deze waarde in het veld Koppelingsattribuut in. Dit tekstvak verschijnt alleen als uw instelling LTI-toegang heeft ingeschakeld.
- Klik op Opslaan.
- Wanneer een gebruiker nu voor het eerst via ADFS (SAML) inlogt, zoekt het systeem van het videoplatform met de waarde van het koppelingsattribuut naar een koppeling met een LTI-account. Als die wordt gevonden, wordt het SAML-account gekoppeld aan het bestaande account. Anders wordt, zoals gebruikelijk, een nieuw account geprovisioneerd.
- Alle aanmeldingen na de eerste blijven gekoppeld aan het account van het videoplatform dat bij de eerste aanmelding is aangemaakt of gevonden.
Gebruik
Zodra beide kanten zijn geconfigureerd en SAML SSO is geactiveerd, is het eenvoudig om te testen of alles correct is uitgevoerd.
- Ga naar het videoplatformdomein van de organisatie (bijv. https://<organization>.yuja.com) en klik op Inloggen. De gebruiker zou nu moeten worden doorgestuurd naar de inlogpagina van de SSO-server.
- Voer geldige inloggegevens in en log in.
- Zodra de gebruiker is geauthenticeerd, zou hij of zij terug naar het videoplatform moeten worden doorgestuurd en is het inloggen gelukt.
De vingerafdruk van een certificaat afleiden
De vingerafdruk van het certificaat van de IDP wordt gebruikt voor extra beveiliging wanneer de SP een SAML-antwoord van de IDP verifieert. Volg de onderstaande instructies om de vingerafdruk van het certificaat af te leiden:
- Haal in de Google IDP-metadata het X509-certificaat op. Dit staat onder:
<IDPSSODescriptor> → <KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> →
<X509Certificate> - Ga zodra u het certificaat hebt naar de volgende website: https://www.samltool.com/fingerprint.php
- Plak het certificaat in het tekstvak X509 cert.
- Zorg ervoor dat sha1 is geselecteerd als Algorithm.
- Klik op Calculate Fingerprint.
- Kopieer de gegenereerde Fingerprint-waarde. Dit is de waarde die in de database wordt gebruikt. Opmerking: De vingerafdruk moet een array van 20 bytes zijn voor sha1.
Handige Chrome-extensie voor het debuggen van SAML-tokens
- Als u Chrome als webbrowser gebruikt, kunt u een handige SAML-extensie installeren via:
https://chrome.google.com/webstore/detail/saml-chrome-panel/paijfdbeoenhembfhkhllainmocckace?hl=en - Open na de installatie gewoon de ontwikkelaarstools van de browser (F12) en klik op het tabblad SAML. Wanneer u nu een door de SP geïnitieerde aanmelding uitvoert, worden de SAML-tokens die door de browser worden verstuurd gedetailleerd weergegeven. Dit hulpmiddel kan zeer nuttig zijn bij het debuggen van SAML-verzoeken en -antwoorden.