Hinzufügen eines SAML 2.0-Identitätsanbieters zu eAdm

Übersicht

Auf dieser Seite erfahren Sie, wie Sie einen SAML 2.0-Identitätsanbieter hinzufügen.

eAdm ist der SAML-Dienstanbieter. Der Kunde übermittelt eAdm die Metadaten seines Identitätsanbieters. eAdm gibt ein Metadaten-Dokument des Dienstanbieters zurück. Die Benutzer gelangen zunächst auf die Anmeldeseite von eAdm. eAdm akzeptiert die Antwort nur, wenn eAdm diese Anmeldung selbst angefordert hat.

SAML-Anbieter hinzufügen

Öffnen Sie auf dem Client „Single Sign-On “ und fügen Sie einen Anbieter hinzu. Wählen Sie „SAML 2.0“ aus.

Verbindung

1. Geben Sie einen Anzeigenamen ein. Dies ist der Text der Anmeldeschaltfläche. Beispiel: Fableton AD FS.

2. Kopieren Sie die URL der Metadaten des Dienstanbieters oder laden Sie die Datei herunter und importieren Sie sie beim Identitätsanbieter. eAdm signiert die Anmelde- und Abmeldeanfrage mit einem Zertifikat aus den Metadaten des Dienstanbieters. Die Metadaten-URL auf der Registerkarte ist öffentlich. Der Identitätsanbieter oder ein Browser auf einem Administratorrechner muss in der Lage sein, sie zu öffnen, wenn Sie die URL abonnieren, anstatt eine Datei zu importieren.

3. Stellen Sie die Metadaten des Identitätsanbieters auf eine der beiden folgenden Arten bereit:

• URL. Ein absolutes <https://> Adresse, maximal 1000 Zeichen, ohne Benutzernamen oder Passwort in der URL. Der Host muss öffentlich erreichbar sein. Private, Loopback- und Link-Local-Adressen werden abgelehnt.

• Datei. Die Metadaten-XML-Datei, maximal 256 KB. Verwenden Sie eine Datei, wenn die Metadaten-URL intern ist.

3. Warten Sie, bis eAdm die ID der analysierten Entität, die Anmelde-URL und das Signaturzertifikat anzeigt. Ohne eine erfolgreiche Analyse können Sie nicht fortfahren.

eAdm liest die Entitäts-ID, die Anmelde-URL, die Abmelde-URL, das NameID-Format und die Signaturzertifikate ein. Ein Verschlüsselungszertifikat in der Datei wird ignoriert. Eine Anmelde- oder Abmelde-URL, die nicht über HTTPS läuft, wird ignoriert. Die hier angezeigten Signaturzertifikate stammen aus den Metadaten. Um sie zu ersetzen, laden Sie neue Metadaten hoch oder aktualisieren Sie sie über die URL. Es gibt keine separate Möglichkeit zum Hochladen von Zertifikaten.

Die gleiche Entitäts-ID darf nicht zweimal für denselben Kunden hinzugefügt werden.

Wenn Sie eine öffentliche Metadaten-URL speichern, aktualisiert eAdm dieses Dokument etwa einmal täglich und am letzten Tag vor Ablauf der Metadaten etwa einmal pro Stunde. Bei einer fehlgeschlagenen Aktualisierung bleiben die bereits gespeicherten Metadaten erhalten. Wenn die Metadaten ein Ablaufdatum haben, keine Aktualisierungs-URL vorhanden ist und dieses Datum bereits überschritten ist, wird die Anmeldung gesperrt, bis Sie eine neue Datei hochladen.

Sicherheit

eAdm entschlüsselt keine Assertions. Das Zertifikat in den Metadaten des Dienstanbieters dient zur Signierung von Anfragen. Wenn der Identitätsanbieter die Assertion verschlüsselt, schlägt die Anmeldung fehl.

Attribute

Ordnen Sie einen Anspruch einem eAdm-Feld zu.

UPN und E-Mail nutzen dieselbe Abfrage. Ein Wert, der mit der E-Mail-Adresse eines Benutzers und dem UPN eines anderen Benutzers übereinstimmt, entspricht zwei Benutzern, und die Anmeldung schlägt fehl.

Im Feld „Claim“ werden die in den Metadaten enthaltenen Attributnamen aufgelistet. Sie können auch eine Claim-URI eingeben, die in den Metadaten nicht aufgeführt ist. Der Identitätsanbieter muss diesen Claim tatsächlich übermitteln.

Um das SAML-Subjekt (NameID) als Identifikator zu verwenden, geben Sie Folgendes ein: nameid. Dies wird nur akzeptiert, wenn das NameID-Format der Metadaten E-Mail oder nicht näher angegeben. Eine persistente NameID ist ein undurchsichtiger Wert, anhand dessen eAdm keinen Benutzer ermitteln kann. Eine temporäre NameID ändert sich bei jeder Anmeldung. Keine der beiden kann als Identifikator dienen.

NameID ist für das einmalige Abmelden weiterhin erforderlich, auch wenn es sich bei der Kennung um einen anderen Claim handelt. Für das Abmelden wird eine NameID benötigt. Es muss sich dabei nicht um den Claim handeln, über den der Benutzer identifiziert wird.

Die nationale Identifikationsnummer ist ein sensibles Datum. Verwenden Sie die UPN oder die E-Mail-Adresse, es sei denn, der Kunde hat einen Grund, die nationale Identifikationsnummer anzugeben.

Speichern, aktivieren und Rolle

Mit „Speichern“ wird der deaktivierte Anbieter gespeichert. Er bleibt auf der Anmeldeseite ausgeblendet, bis Sie ihn über die Liste aktivieren. Lassen Sie ihn deaktiviert und führen Sie zunächst den Test für Single Sign-On durch, damit den Benutzern keine fehlgeschlagene Einrichtung angeboten wird. Der Test wird im Abschnitt „Testen“ beschrieben.

Öffnen Sie einen aktivierten Anbieter, um zwischen „Primär“ und „Sekundär“ zu wählen. Die Option „Primär“ ist nur verfügbar, solange der Anbieter aktiviert ist. Mit der Option „Primär“ wird SAML zur Hauptanmeldemethode des Unternehmens, sodass diese Schaltflächen an erster Stelle aufgeführt werden.

Wenn mehrere SAML-Anbieter aktiviert sind, wird der primäre Anbieter an erster Stelle aufgeführt. Die anderen folgen nach ihrem Anzeigenamen.

SAML ist zwar die primäre Methode, der zuletzt aktivierte SAML-Anbieter kann jedoch weder deaktiviert noch gelöscht werden. Wählen Sie zunächst eine andere primäre Methode aus.

Ein- und Auschecken

Anmelden

1. Der Benutzer öffnet die eAdm-Anmeldeseite und wählt den Anzeigenamen des Anbieters aus.

2. eAdm leitet den Browser zum Identitätsanbieter weiter.

3. Der Identitätsanbieter sendet die SAML-Antwort an die URL des Assertion-Consumers zurück.

4. eAdm überprüft, ob diese Antwort auf die soeben gesendete Anfrage Bezug nimmt, gleicht die Signatur mit den gespeicherten Signaturzertifikaten ab und liest den zugeordneten Identifikator aus.

5. UPN oder E-Mail-Adresse: Bei einem Übereinstimmungsergebnis öffnet der entsprechende Benutzer eAdm unter diesem Benutzer. Bei keiner Übereinstimmung oder bei zwei Übereinstimmungen schlägt die Anmeldung fehl.

6. Nationale ID: Ein passender Benutzer öffnet eAdm als dieser Benutzer. Mehrere passende Benutzer sehen eine Seite, auf der diese Profile aufgelistet sind. Sie wählen eines aus, und eAdm öffnet dieses Profil. Die anderen passenden Benutzer werden abgemeldet.

Eine Anmeldung, die der Benutzer beim Identitätsanbieter initiiert hat und für die keine entsprechende Anfrage von eAdm vorliegt, wird abgelehnt.

Die Abmeldung in eAdm hat begonnen

Durch das Abmelden bei eAdm wird zunächst die eAdm-Sitzung beendet. Wenn die Metadaten des Identitätsanbieters eine Abmelde-URL enthalten, leitet eAdm den Browser mit einer Abmeldeanfrage dorthin weiter. Der Identitätsanbieter sendet die Abmeldeantwort zurück, und der Browser gelangt auf die Abmeldeseite von eAdm. Wenn die Metadaten keine Abmelde-URL enthalten, kehrt eAdm direkt zur Abmeldeseite zurück.

Die Angabe aus der aktuellen Anmeldung muss eine NameID und einen Sitzungsindex enthalten. Fügen Sie diese Regel beim Identitätsanbieter hinzu oder ändern Sie sie, und melden Sie sich anschließend erneut an. Ältere Sitzungen erhalten danach keine NameID.

Die Abmeldung wurde beim Identitätsanbieter gestartet

Der Identitätsanbieter sendet eine Abmeldeanfrage an die Single-Logout-URL in den eAdm-Metadaten. eAdm beendet die entsprechende Sitzung und gibt eine Abmeldeantwort zurück. Eine Anfrage, die keiner Sitzung zugeordnet werden kann, erhält dennoch eine Erfolgsmeldung. Es wird keine Anmeldung initiiert.

Testen

Der Test in der Anbieterzeile wird in einem eigenen Fenster ausgeführt. Es handelt sich um eine kurzlebige Sitzung, die eine bereits bestehende eAdm-Sitzung nicht ersetzt.

eAdm gleicht den Benutzer ab und beendet anschließend diese Testsitzung in eAdm. Wenn die Metadaten des Identitätsanbieters eine Abmelde-URL enthalten und die Assertion eine NameID aufweist, sendet eAdm außerdem eine Abmeldung für dieselbe Testsitzung an den Identitätsanbieter. Die Zeile meldet erst dann einen Erfolg, wenn diese Abmeldung abgeschlossen ist. Ohne eine Abmelde-URL beendet eAdm zwar weiterhin seine eigene Testsitzung, kann die Sitzung beim Identitätsanbieter jedoch nicht beenden, sodass der Test als fehlgeschlagen gemeldet wird.

Der Admin-Test meldet einen Fehler, wenn der Benutzer zwar gefunden wurde, die Abmeldung jedoch nicht abgeschlossen werden konnte. Dies tritt auf, wenn die Metadaten keine Abmelde-URL enthalten oder die Assertion keine NameID aufweist. Beheben Sie diesen Fehler und versuchen Sie es erneut. Auch ein Popup-Blocker führt zum Fehlschlagen des Tests.

Fehlerbehebung

Änderungen am Zertifikat

Signaturzertifikat des Identitätsanbieters. Sobald die URL für die öffentlichen Metadaten festgelegt ist, aktualisiert eAdm diese. Wenn Sie eine Datei verwenden, laden Sie neue Metadaten herunter, bevor das alte Signaturzertifikat abläuft, und laden Sie diese beim selben Anbieter hoch. eAdm speichert jedes Signaturzertifikat aus der Datei und akzeptiert eine mit einem beliebigen dieser Zertifikate signierte Assertion, wodurch ein Übergangszeitraum abgedeckt wird.

eAdm-Zertifikat zum Signieren von Anfragen. Wenn im Dienstanbieter-Panel ein Rollover angezeigt wird, laden Sie die aktuellen Metadaten herunter und aktualisieren Sie den Identitätsanbieter, bevor eAdm mit dem neuen Zertifikat signiert. Behalten Sie den bisherigen öffentlichen Schlüssel bei, bis eAdm ihn entfernt.

Checkliste für die Inbetriebnahme

Gemeinde Fableton (org NO999000001) ist fiktiv.

Zuletzt aktualisiert: 27. Oktober 2026