eAdm bei einem SAML-Identitätsanbieter registrieren

Übersicht

Registrieren Sie die Metadaten des eAdm-Dienstanbieters beim Identitätsanbieter und stellen Sie anschließend den in eAdm zugeordneten Anspruch sowie genau eine NameID aus.

Laden Sie diese Metadaten über das Single-Sign-On des Kunden herunter, wie auf der übergeordneten Seite beschrieben. Jeder Kunde verfügt über eigene Metadaten des Dienstanbieters. Ein gemeinsamer Identitätsanbieter benötigt eine Registrierung für jeden eAdm-Kunden.

Beispiel: Gemeinde Fableton, org NO999000001. Die Schaltfläche „Anmelden“ ist Fableton AD FS. Der UPN des Testbenutzers lautet in beiden Verzeichnissen teacher@fableton.example.

Bevor Sie beginnen

Du brauchst:

• Die Metadaten des eAdm-Dienstanbieters für diesen Kunden aus dem Single-Sign-On-System.

• Ein Administrator des Identitätsanbieters.

• Die dem Anbieter in eAdm zugeordnete Claim-URI. Auf der übergeordneten Seite werden UPN, E-Mail-Adresse und nationale Identifikationsnummer beschrieben.

1. Exportieren Sie die Metadaten des Identitätsanbieters

Exportieren Sie die öffentlichen SAML-Metadaten. Diese sollten die Entitäts-ID, die Anmelde-URL, die Abmelde-URL und die öffentlichen Signaturzertifikate enthalten. Übergeben Sie diese Datei oder eine öffentliche HTTPS-URL im Assistenten auf der übergeordneten Seite an eAdm. Senden Sie keinen privaten Schlüssel und kein PFX-Dateiformat.

AD FS

Die URL der Metadaten lautet:

https://<your-adfs-host>/FederationMetadata/2007-06/FederationMetadata.xml

Öffnen Sie die Datei und speichern Sie die XML-Datei. Bei einem internen AD FS-Host oder einem Host, der über eine private Adresse erreichbar ist, erfolgt der Upload weiterhin als Datei.

2. Bei eAdm registrieren

Importieren Sie die Metadaten des eAdm-Dienstanbieters. Dadurch werden folgende Elemente registriert:

• Die Entitäts-ID dieses Kunden.

• Die URL des Assertion-Consumers (HTTP-POST).

• Die URL für die einmalige Abmeldung (HTTP-POST und HTTP-Weiterleitung).

• Das öffentliche Zertifikat, das eAdm zum Signieren von Anfragen verwendet.

Konfigurieren Sie dieses Zertifikat nicht für die Verschlüsselung. eAdm entschlüsselt keine Assertions. Signieren Sie Assertions mit SHA-256.

Sollte sich der eAdm-Host ändern, laden Sie die Metadaten erneut von Single Sign-On herunter und aktualisieren Sie die Vertrauensstellung. Die Verbraucher-URL und die Abmelde-URL müssen mit den Angaben in der Datei übereinstimmen.

AD FS

1. Öffnen Sie die AD FS-Verwaltung.

2. Gehen Sie zu „Vertrauensbeziehungen der vertrauenden Partei“.

3. Wählen Sie „Vertrauensstellung für vertrauende Partei hinzufügen“ aus.

4. Wählen Sie „Claims-fähig“ aus.

5. Importieren Sie die Metadatendatei des eAdm-Dienstanbieters.

6. Geben Sie einen Anzeigenamen ein, z. B. „eAdm – Fableton“.

7. Wählen Sie eine Zugriffskontrollrichtlinie aus, die nur den Benutzern oder Gruppen den Zugriff auf eAdm gestattet, die sich dort anmelden sollen.

8. Schließen Sie den Assistenten ab.

Überprüfen Sie in den Eigenschaften der vertrauenden Partei Folgendes:

Zwei eAdm-Kunden in derselben AD FS-Farm stellen zwei Vertrauensbeziehungen zwischen vertrauenden Parteien dar. AD FS erlaubt eine Vertrauensbeziehung pro Entitäts-ID.

3. Die zugeordnete Forderung und eine NameID ausstellen

Die in eAdm zugeordnete Forderung freigeben.

Für das Single-Logout ist außerdem genau eine NameID in der Assertion sowie ein Sitzungsindex erforderlich. Die NameID muss nicht unbedingt die Angabe sein, anhand derer eAdm den Benutzer ermittelt. Mehr als eine NameID kann dazu führen, dass die Assertion fehlschlägt oder das Abmelden nicht funktioniert.

Melden Sie sich erneut an, nachdem Sie die NameID-Regel hinzugefügt oder geändert haben. Bestehende Sitzungen erhalten danach keine NameID. Der Administrator-Test für Single Sign-On meldet einen Fehler, bis die Abmeldung abgeschlossen ist, selbst wenn der Benutzer gefunden wurde.

AD FS

Öffnen Sie die vertrauende Partei und wählen Sie „Richtlinie zur Ausstellung von Ansprüchen bearbeiten“ aus.

Es sind zwei Regeln erforderlich, und zwar in dieser Reihenfolge:

1. Eine LDAP-Regel, die die Anmeldekennung aus Active Directory ausliest.

2. Eine Transformationsregel, die eine SAML-NameID ausgibt.

AD FS sendet nur die Ansprüche, die durch diese Regeln generiert werden.

UPN. „LDAP-Attribute als Ansprüche senden“ hinzufügen:

• Regelname: UPN aus Active Directory ausstellen

• Attributspeicher: Active Directory

• LDAP-Attribut: User-Principal-Name

• Art der ausgehenden Forderung: UPN

Ordnen Sie in eAdm die UPN-Claim-URI dem UPN zu.

E-Mail. „LDAP-Attribute als Ansprüche senden“ hinzufügen:

• Regelname: E-Mail-Adresse und UPN aus Active Directory ausgeben

• Attributspeicher: Active Directory

• LDAP-Attribut: E-Mail-Adressen → ausgehender Anspruchstyp „E-Mail-Adresse“

• LDAP-Attribut: User-Principal-Name → Typ der ausgehenden Behauptung: UPN

Ordnen Sie in eAdm die E-Mail-Claim-URI der E-Mail-Adresse zu. Da weiterhin ein UPN vergeben wird, kann dieser als NameID dienen.

Nationale Identifikationsnummer. Nur wenn der Wert in Active Directory gespeichert ist und der Kunde dessen Freigabe erteilt hat.

• Regelname: Nationale ID und UPN aus Active Directory ausstellen

• Attributspeicher: Active Directory

• LDAP-Attribut: das Attribut, das die nationale Identifikationsnummer enthält → Ihre benutzerdefinierte Claim-URI

• LDAP-Attribut: User-Principal-Name → Typ der ausgehenden Behauptung: UPN

Ordnen Sie in eAdm diese benutzerdefinierte URI der nationalen Identifikationsnummer zu.

NameID. Fügen Sie nach der LDAP-Regel die Option „Eingehenden Anspruch transformieren“ hinzu:

• Regelname: UPN in NameID umwandeln

• Art der eingehenden Forderung: UPN

• Ausgehende Forderungsart: Name ID

• Format der ausgehenden Namens-ID: Nicht angegeben

• Alle Anspruchswerte durchlaufen

Falls UPN nicht stabil ist, wenden Sie dieselbe Regel auf eingehende Anträge vom Typ „E-Mail-Adresse“ an.

Verwenden Sie die nationale ID nicht in NameID. Verwenden Sie sie nur als zugeordneten Bezeichner und nur dann, wenn Sie sie benötigen.

4. An- und Abmeldung nachweisen

Führen Sie den Test für Single Sign-On durch und melden Sie sich anschließend über die eAdm-Anmeldeseite an, wie auf der übergeordneten Seite beschrieben. Beginnen Sie dort. Eine Anmeldung, die auf der eigenen Anmeldeseite des Identitätsanbieters gestartet wurde, wird abgelehnt.

AD FS

Das AD FS-Formular akzeptiert den UPN des Benutzers oder DOMAIN\username. Das Attribut „mail“ gilt nur dann als Anmeldename, wenn dieser Wert dem Anmeldenamen des Benutzers entspricht.

Für eine in AD FS initiierte Abmeldung muss die vom Identitätsanbieter (IdP) initiierte Anmeldeseite verfügbar sein:

1. Melden Sie sich über AD FS bei eAdm an.

2. Öffne im selben Browser https://<your-adfs-host>/adfs/ls/idpinitiatedsignon.aspx.

3. Wählen Sie „Von allen Websites abmelden“, auf die Sie zugegriffen haben.

Ein AD FS-Administrator kann diese Seite wie folgt aktivieren:

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

/adfs/ls/?wa=wsignout1.0 Dies ist eine Abmeldung über WS-Federation. Dabei wird die AD FS-Sitzung beendet, und es wird keine SAML-Abmeldeanforderung an eAdm gesendet.

Fehlerbehebung

eAdm-Symptome wie eine abgelehnte Metadaten-URL, ein fehlender Benutzer oder eine verschlüsselte Assertion sind auf der übergeordneten Seite aufgeführt.

Änderungen am Zertifikat

Wenn eAdm bei Single Sign-On eine Erneuerung des Zertifikats zur Signierung von Anfragen anzeigt, laden Sie die aktuellen Metadaten herunter und aktualisieren Sie den Identitätsanbieter, bevor eAdm mit dem neuen Zertifikat signiert. Wie eAdm die Zertifikate des Identitätsanbieters aktualisiert, erfahren Sie auf der übergeordneten Seite.

AD FS

AD FS-Metadaten können während eines Rollovers mehr als ein öffentliches Zertifikat zur Token-Signierung auflisten. In einer Datei:

1. Laden Sie aktuelle AD FS-Metadaten herunter, bevor das alte Zertifikat zur Token-Signierung abläuft.

2. Laden Sie es bei eAdm beim selben Anbieter hoch.

3. Einmal anmelden und abmelden.

Ersetzen Sie auf der vertrauenden Seite das eAdm-Signaturzertifikat, wenn eAdm einen eigenen Schlüssel generiert. Lassen Sie das Feld „Verschlüsselung“ leer.

Checkliste für die Inbetriebnahme

• Die Metadaten des Dienstanbieters dieses Kunden werden als eigene Vertrauensbasis importiert

• Es wird ein HTTP-POST-Request gesendet, und der Endpunkt zum Abmelden ist vorhanden

• Die Liste der Verschlüsselungszertifikate ist leer, und der Signaturalgorithmus ist SHA-256.

• Der zugeordnete Anspruch wird erteilt

• Bei jeder neuen Anmeldung wird genau eine NameID vergeben.

• Der Zugriff beim Identitätsanbieter ist auf die Personen beschränkt, die eAdm öffnen dürfen.

• Der Admin-Test zum Single Sign-On war erfolgreich

• Die Abmeldung beim Identitätsanbieter erfolgt als SAML-Abmeldung der vertrauenden Parteien, und die eAdm-Sitzung wird beendet

Gemeinde Fableton (org NO999000001) ist fiktiv.

Zuletzt aktualisiert: 27. Oktober 2026