Registrer eAdm hos en SAML-identitetsudbyder

Oversigt

Registrer metadataene for eAdm-tjenesteudbyderen hos identitetsudbyderen, og udsted derefter den påstand, der er tilknyttet i eAdm, samt nøjagtigt ét NameID.

Hent disse metadata fra Single Sign-On hos kunden, som beskrevet på oversigtssiden. Hver kunde har sine egne metadata for tjenesteudbyderen. En fælles identitetsudbyder skal have én registrering for hver eAdm-kunde.

Eksempel: Fableton Kommune, org NO999000001. Login-knappen er Fableton AD FS. Testbrugerens UPN i begge mapper er teacher@fableton.example.

Inden du går i gang

Du skal bruge:

• Metadataene for denne kundes eAdm-tjenesteudbyder, fra Single Sign-On.

• En administrator hos identitetsudbyderen.

• Den URI, der er knyttet til udbyderen i eAdm. Oversigtssiden indeholder oplysninger om UPN, e-mail og nationalt ID.

1. Eksporter metadataene for identitetsudbyderen

Eksporter de offentlige SAML-metadata. De skal indeholde enheds-ID’et, login-URL’en, logout-URL’en og de offentlige signeringscertifikater. Indtast denne fil eller en offentlig HTTPS-URL i guiden på den overordnede side i eAdm. Du må ikke sende en privat nøgle eller en PFX-fil.

AD FS

URL’en til metadataene er:

https://<your-adfs-host>/FederationMetadata/2007-06/FederationMetadata.xml

Åbn den, og gem XML-filen. En intern AD FS-host eller en, der kan nås via en privat adresse, forbliver en filoverførsel.

2. Registrer eAdm

Importer metadataene for eAdm-tjenesteudbyderen. Dette registrerer:

• Enheds-ID’et for denne kunde.

• URL’en til forbrugeren af påstanden (HTTP POST).

• URL’en til enkeltlogout (HTTP POST og HTTP-omdirigering).

• Det offentlige certifikat, som eAdm bruger til at underskrive anmodninger.

Konfigurer ikke dette certifikat til kryptering. eAdm dekrypterer ikke påstande. Underskriv påstande med SHA-256.

Hvis eAdm-værten skifter, skal du downloade metadataene igen fra Single Sign-On og opdatere tillidsindstillingen. Forbruger-URL’en og logout-URL’en skal stemme overens med filen.

AD FS

1. Åbn AD FS-administration.

2. Gå til »Relying Party Trusts«.

3. Vælg »Tilføj tillid til afhængig part«.

4. Vælg »Claims aware«.

5. Importer metadatafilen for eAdm-tjenesteudbyderen.

6. Indtast et visningsnavn, f.eks. eAdm — Fableton.

7. Vælg en adgangskontrolpolitik, der kun tillader de brugere eller grupper, der skal logge ind på eAdm.

8. Afslut guiden.

I egenskaberne for den afhængige part skal du kontrollere følgende:

To eAdm-kunder i samme AD FS-farm udgør to tillidsforhold mellem pålidelige parter. AD FS tillader ét tillidsforhold pr. enheds-ID.

3. Udsted det tilknyttede krav og ét NameID

Frigiv den kravpost, der er registreret i eAdm.

Single logout kræver desuden præcis ét NameID i påstanden samt et sessionsindeks. NameID’et behøver ikke at være den påstand, som eAdm bruger til at finde brugeren. Hvis der er mere end ét NameID, kan det medføre, at påstanden mislykkes, eller at logout-processen afbrydes.

Log ind igen, når du har tilføjet eller ændret NameID-reglen. Eksisterende sessioner får ikke tildelt et NameID bagefter. Administratorens »Test af Single Sign-On« -funktion viser en fejlmeddelelse, indtil udlogningen er afsluttet, selvom brugeren blev fundet.

AD FS

Åbn den pålidelige part, og vælg »Rediger politik for udstedelse af krav«.

Der skal angives to regler i følgende rækkefølge:

1. En LDAP-regel, der henter login-id’et fra Active Directory.

2. En transformationsregel, der genererer én SAML NameID.

AD FS sender kun de påstande, som disse regler genererer.

UPN. Tilføj »Send LDAP-attributter som krav«:

• Regelnavn: Udsted UPN fra Active Directory

• Attributlager: Active Directory

• LDAP-attribut: User-Principal-Name

• Udgående kravtype: UPN

I eAdm skal du knytte UPN-kravets URI til UPN.

E-mail. Tilføj »Send LDAP-attributter som krav«:

• Regelnavn: Udsted e-mail-adresse og UPN fra Active Directory

• Attributlager: Active Directory

• LDAP-attribut: E-mail-adresser → udgående kravtype: E-mail-adresse

• LDAP-attribut: User-Principal-Name → udgående kravtype UPN

I eAdm skal du knytte e-mail-kravets URI til e-mailen. UPN udstedes stadig, så det kan fungere som NameID.

Nationalt ID. Kun hvis oplysningen er gemt i Active Directory, og kunden giver tilladelse hertil.

• Regelnavn: Udstedelse af nationalt ID-nummer og UPN fra Active Directory

• Attributlager: Active Directory

• LDAP-attribut: det attribut, der indeholder det nationale ID → din brugerdefinerede claim-URI

• LDAP-attribut: User-Principal-Name → udgående kravtype UPN

I eAdm skal du knytte den brugerdefinerede URI til det nationale ID.

NameID. Efter LDAP-reglen skal du tilføje »Transformér en indgående påstand«:

• Regelnavn: Konverter UPN til NameID

• Type af indgående krav: UPN

• Udgående kravtype: Navn-ID

• Format for udgående navne-ID: Ikke angivet

• Gennemgå alle erstatningsbeløb

Hvis UPN ikke er stabil, skal du anvende den samme regel med den indgående kravtype »E-mail-adresse«.

Hold det nationale ID ude af NameID. Brug det kun som den tilknyttede identifikator, og kun når du har brug for det.

4. Bevis for ind- og udtjekning

Kør testen for Single Sign-On, og log derefter ind fra eAdm-login-siden, som beskrevet på oversigtssiden. Start der. En indlogning, der påbegyndes på identitetsudbyderens egen login-side, afvises.

AD FS

AD FS-formularen accepterer brugerens UPN eller DOMAIN\username. Attributten »mail« fungerer kun som brugernavn, hvis værdien er brugerens logonnavn.

Ved aflogning, der startes i AD FS, skal den IdP-initierede logonside være tilgængelig:

1. Log ind på eAdm via AD FS.

2. Åbn i samme browser https://<your-adfs-host>/adfs/ls/idpinitiatedsignon.aspx.

3. Vælg »Log ud af alle de websteder, du har besøgt«.

En AD FS-administrator kan aktivere denne side ved at:

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

/adfs/ls/?wa=wsignout1.0 er en WS-Federation-afmelding. Den afslutter AD FS-sessionen og sender ikke en SAML-afmeldingsanmodning til eAdm.

Fejlfinding

eAdm-symptomer, såsom en afvist metadata-URL, en manglende bruger eller en krypteret påstand, findes på den overordnede side.

Ændringer i certifikatet

Når eAdm viser, at et certifikat til underskrivelse af anmodninger skal udskiftes i forbindelse med Single Sign-On, skal du downloade de aktuelle metadata og opdatere identitetsudbyderen, inden eAdm underskriver med det nye certifikat. Du kan læse mere om, hvordan eAdm opdaterer identitetsudbyderens certifikater, på den overordnede side.

AD FS

AD FS-metadata kan indeholde mere end ét offentligt tokensigneringscertifikat under en overgang. Med en fil:

1. Download de nye AD FS-metadata, inden det gamle certifikat til tokensignering udløber.

2. Upload den til den samme udbyder i eAdm.

3. Log ind og ud én gang.

Hos den tillidsgivende part skal du udskifte eAdm-signaturcertifikatet, når eAdm genererer sin egen nøgle. Lad feltet »Kryptering« stå tomt.

Tjekliste til idriftsættelse

• Denne kundes metadata om tjenesteudbyderen importeres som en selvstændig tillid

• Det angives, at forbrugeren bruger HTTP POST, og at logout-endpointet findes

• Listen over krypteringscertifikater er tom, og signaturalgoritmen er SHA-256

• Den kortlagte krav er udstedt

• Der udstedes præcis ét NameID ved en ny login

• Adgangen hos identitetsudbyderen er begrænset til de personer, der skal åbne eAdm

• Administratortesten af Single Sign-On er gennemført med succes

• Afmelding fra identitetsudbyderen er en SAML-afmelding af de afhængige parter, og eAdm-sessionen afsluttes

Fableton Kommune (org NO999000001) er fiktiv.

Senest opdateret: 27. oktober 2026