Rekisteröi eAdm SAML-tunnistuspalveluntarjoajaan

Yleiskatsaus

Rekisteröi eAdm-palveluntarjoajan metatiedot identiteetin tarjoajaan ja luo sitten eAdm:ssä määritelty väite sekä täsmälleen yksi NameID.

Lataa kyseiset metatiedot asiakkaan Single Sign-On -palvelusta, kuten pääsivulla on kuvattu. Jokaisella asiakkaalla on omat palveluntarjoajan metatiedot. Jaetun identiteetin tarjoaja tarvitsee yhden rekisteröinnin jokaiselle eAdm-asiakkaalle.

Esimerkki: Fabletonin kunta, org NO999000001. Kirjautumispainike on Fableton AD FS. Testikäyttäjän UPN on molemmissa hakemistoissa teacher@fableton.example.

Ennen kuin aloitat

Tarvitset:

• Tätä asiakasta koskevat eAdm-palveluntarjoajan metatiedot, jotka ovat peräisin Single Sign-On-järjestelmästä.

• Identiteetin tarjoajan järjestelmänvalvoja.

• Vaatimuksen URI, joka on liitetty palveluntarjoajaan eAdm-järjestelmässä. Yläivulla kuvataan UPN, sähköpostiosoite ja kansallinen henkilötunnus.

1. Vie identiteetin tarjoajan metatiedot

Vie julkiset SAML-metatiedot. Niiden tulisi sisältää entiteetin tunnus, kirjautumis-URL, uloskirjautumis-URL sekä julkiset allekirjoitussertifikaatit. Anna kyseinen tiedosto tai julkinen HTTPS-URL eAdm-ohjelmistolle pääsivun ohjatussa toiminnossa. Älä lähetä yksityistä avainta tai PFX-tiedostoa.

AD FS

Metatietojen URL-osoite on:

https://<your-adfs-host>/FederationMetadata/2007-06/FederationMetadata.xml

Avaa se ja tallenna XML-tiedosto. Sisäinen AD FS -palvelin tai yksityisellä osoitteella tavoitettava palvelin pysyy tiedostonlatauksena.

2. Rekisteröidy eAdm-palveluun

Tuo eAdm-palveluntarjoajan metatiedot. Tämä rekisteröi seuraavat:

• Tämän asiakkaan tunniste.

• Vahvistuksen vastaanottajan URL-osoite (HTTP POST).

• Yksi uloskirjautumisosoite (HTTP POST ja HTTP-uudelleenohjaus).

• Julkinen varmenne, jota eAdm käyttää pyyntöjen allekirjoittamiseen.

Älä määritä kyseistä varmennetta salausta varten. eAdm ei pura väitteiden salausta. Allekirjoita väitteet SHA-256-algoritmilla.

Jos eAdm-palvelin vaihtuu, lataa metatiedot uudelleen Single Sign-On -palvelusta ja päivitä luottamusasetukset. Kuluttajan URL-osoitteen ja uloskirjautumis-URL-osoitteen on vastattava tiedostossa olevia tietoja.

AD FS

1. Avaa AD FS Management.

2. Siirry kohtaan ”Relying Party Trusts”.

3. Valitse ”Lisää luotettava osapuoli”.

4. Valitse ”Claims aware”.

5. Tuo eAdm-palveluntarjoajan metatietotiedosto.

6. Kirjoita näyttönimi, esimerkiksi eAdm — Fableton.

7. Valitse pääsynhallintakäytäntö, joka sallii pääsyn vain niille käyttäjille tai ryhmille, joiden on tarkoitus kirjautua eAdm-järjestelmään.

8. Viimeistele ohjatun toiminnon suorittaminen.

Varmista luottavan osapuolen ominaisuuksista seuraavat seikat:

Kaksi samassa AD FS -farmissa olevaa eAdm-asiakasta muodostavat kaksi luottavien osapuolten luottamussuhdetta. AD FS sallii yhden luottamussuhteen kutakin entiteettitunnusta kohti.

3. Myönnä kartoitettu vaade ja yksi NameID

Vapauta eAdm-järjestelmään liitetty vaatimus.

Yhden kirjautumisen lopettaminen edellyttää myös, että väitteessä on täsmälleen yksi NameID sekä istunnon indeksi. NameID:n ei tarvitse olla sama väite, jota eAdm käyttää käyttäjän löytämiseen. Useampi kuin yksi NameID voi aiheuttaa väitteen epäonnistumisen tai keskeyttää kirjautumisen lopettamisen.

Kirjaudu sisään uudelleen, kun olet lisännyt tai muuttanut NameID-sääntöä. Aiemmat istunnot eivät saa NameID-tunnistetta tämän jälkeen. Yhden kirjautumisen ( Single Sign-On ) järjestelmänvalvojan testitoiminto ilmoittaa virheestä, kunnes uloskirjautuminen on suoritettu loppuun, vaikka käyttäjä olisi löytynyt.

AD FS

Avaa luottava osapuoli ja valitse ”Muokkaa vaatimusten myöntämiskäytäntöä”.

Tarvitaan kaksi sääntöä, tässä järjestyksessä:

1. LDAP-sääntö, joka lukee kirjautumistunnuksen Active Directorysta.

2. Muunnossääntö, joka luo yhden SAML NameID:n.

AD FS lähettää ainoastaan ne väitteet, jotka nämä säännöt tuottavat.

UPN. Lisää ”Lähetä LDAP-attribuutteja vaatimuksina”:

• Säännön nimi: UPN:n myöntäminen Active Directorysta

• Ominaisuustietovarasto: Active Directory

• LDAP-attribuutti: User-Principal-Name

• Lähtevän korvaushakemuksen tyyppi: UPN

Määritä eAdm-järjestelmässä UPN-vaatimuksen URI vastaamaan UPN:ää.

Sähköposti. Lisää vaihtoehto ”Lähetä LDAP-attribuutit vaatimuksina”:

• Säännön nimi: Lähetä sähköpostiosoite ja UPN Active Directorysta

• Ominaisuustietovarasto: Active Directory

• LDAP-attribuutti: Sähköpostiosoitteet → lähtevä vaatimustyyppi Sähköpostiosoite

• LDAP-attribuutti: User-Principal-Name → lähtevä väitetyyppi UPN

Määritä eAdm-järjestelmässä sähköpostiväitteen URI-tunniste sähköpostiosoitteeksi. UPN myönnetään edelleen, joten se voi toimia NameID-tunnisteena.

Kansallinen henkilötunnus. Vain silloin, kun arvo on tallennettu Active Directoryyn ja asiakas voi antaa luvan sen käyttöön.

• Säännön nimi: Kansallisen tunnisteen ja UPN:n myöntäminen Active Directorysta

• Ominaisuustietovarasto: Active Directory

• LDAP-attribuutti: attribuutti, joka sisältää kansallisen tunnistenumeron → mukautetun väitteen URI

• LDAP-attribuutti: User-Principal-Name → lähtevä väitetyyppi UPN

Määritä eAdm-järjestelmässä kyseisen mukautetun URI:n vastaavuus kansalliseen henkilötunnukseen.

NameID. Lisää LDAP-säännön jälkeen kohta ”Muunna saapuva väite”:

• Säännön nimi: Muunna UPN NameID:ksi

• Saapuvan korvaushakemuksen tyyppi: UPN

• Lähtevän vaatimuksen tyyppi: Nimi-tunnus

• Lähtevän viestin nimi-tunnisteen muoto: Määrittelemätön

• Käsittele kaikki korvausvaatimusten arvot

Jos UPN ei ole vakaa, käytä samaa sääntöä saapuvien vaatimusten tyypille ”Sähköpostiosoite”.

Älä lisää kansallista henkilötunnusta NameID:hen. Käytä sitä vain liitettynä tunnisteena ja vain silloin, kun sitä tarvitset.

4. Kirjaudu sisään ja ulos

Suorita kertakirjautumisen testi ja kirjaudu sitten sisään eAdm-kirjautumissivulta, kuten pääsivulla on kuvattu. Aloita siitä. Kirjautuminen, joka aloitetaan identiteetin tarjoajan omalla kirjautumissivulla, hylätään.

AD FS

AD FS -lomakkeessa voidaan syöttää käyttäjän UPN tai DOMAIN\username. Mail-attribuutti toimii kirjautumisnimisenä vain silloin, kun sen arvona on käyttäjän kirjautumisnimi.

AD FS:ssä käynnistetyn uloskirjautumisen yhteydessä IdP:n käynnistämän kirjautumissivun on oltava käytettävissä:

1. Kirjaudu eAdm-palveluun AD FS:n kautta.

2. Avaa samassa selaimessa https://<your-adfs-host>/adfs/ls/idpinitiatedsignon.aspx.

3. Valitse ”Kirjaudu ulos kaikista sivustoista, joilla olet käynyt”.

AD FS -järjestelmänvalvoja voi ottaa kyseisen sivun käyttöön seuraavasti:

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

/adfs/ls/?wa=wsignout1.0 on WS-Federation-ulosskirjautuminen. Se tyhjentää AD FS -istunnon eikä lähetä SAML-ulosskirjautumispyyntöä eAdm:lle.

Vianmääritys

eAdm-virheilmoitukset, kuten hylätty metatietojen URL-osoite, puuttuva käyttäjä tai salattu vahvistus, löytyvät yläsivulta.

Sertifikaatin muutokset

Kun eAdm ilmoittaa pyynnön allekirjoittamiseen käytettävän varmenteen uusimisesta kertakirjautumisessa (Single Sign-On), lataa nykyiset metatiedot ja päivitä identiteetin tarjoaja ennen kuin eAdm allekirjoittaa pyynnön uudella varmenteella. Ohjeet siitä, miten eAdm päivittää identiteetin tarjoajan varmenteet, löytyvät ylävalikosta.

AD FS

AD FS:n metatiedoissa voi olla lueteltuna useampi kuin yksi julkinen tunnuksen allekirjoitussertifikaatti siirtymävaiheen aikana. Tiedostossa:

1. Lataa uudet AD FS -metatiedot ennen kuin vanha tunnuksen allekirjoitussertifikaatti vanhenee.

2. Lataa se samaan palveluntarjoajaan eAdm-järjestelmässä.

3. Kirjaudu sisään ja ulos kerran.

Korvaa eAdm-allekirjoitussertifikaatti luottavalla osapuolella, kun eAdm vaihtaa oman avaimensa. Jätä ”Salaus”-kenttä tyhjäksi.

Käyttöönoton tarkistuslista

• Tämän asiakkaan palveluntarjoajan metatiedot tuodaan omana luottamuksenaan

• Vahvistuksen vastaanottaja on HTTP POST, ja uloskirjautumispäätepiste on olemassa

• Salausvarmenneluettelo on tyhjä, ja allekirjoitusalgoritmina käytetään SHA-256:ta

• Kartoitettu vaatimus on hyväksytty

• Uuden kirjautumisen yhteydessä annetaan täsmälleen yksi NameID

• Pääsy identiteetin tarjoajan järjestelmään on rajoitettu niihin henkilöihin, joiden on tarkoitus avata eAdm

• Yhden kirjautumisen järjestelmän järjestelmänvalvojan testi onnistui

• Irrottautuminen identiteetin tarjoajasta tarkoittaa luottavien osapuolten SAML-ulossisäänkirjautumista, ja eAdm-istunto päättyy

Fabletonin kunta (org NO999000001) on kuvitteellinen.

Viimeksi päivitetty: 27. lokakuuta 2026