Registrer eAdm hos en SAML-identitetsleverandør

Oversikt

Registrer metadataene for eAdm-tjenesteleverandøren hos identitetsleverandøren, og utsted deretter kravet som er tilordnet i eAdm samt nøyaktig én NameID.

Last ned disse metadataene fra Single Sign-On for den aktuelle kunden, slik det er beskrevet på oversiktssiden. Hver kunde har sine egne metadata for tjenesteleverandøren. En felles identitetsleverandør trenger én registrering for hver eAdm-kunde.

Eksempel: Fableton kommune, org NO999000001. Innloggingsknappen er Fableton AD FS. Testbrukerens UPN i begge katalogene er teacher@fableton.example.

Før du begynner

Du trenger:

• Metadataene for eAdm-tjenesteleverandøren for denne kunden, fra Single Sign-On.

• En administrator hos identitetsleverandøren.

• URI-en for kravet er tilordnet leverandøren i eAdm. Oversiktssiden beskriver UPN, e-postadresse og nasjonalt ID-nummer.

1. Eksporter metadataene for identitetsleverandøren

Eksporter de offentlige SAML-metadataene. Disse skal inneholde enhets-ID, påloggings-URL, utloggings-URL og de offentlige signeringssertifikatene. Oppgi denne filen, eller en offentlig HTTPS-URL, til eAdm i veiviseren på oversiktssiden. Ikke send en privat nøkkel eller en PFX-fil.

AD FS

Metadata-URL-en er:

https://<your-adfs-host>/FederationMetadata/2007-06/FederationMetadata.xml

Åpne den og lagre XML-filen. En intern AD FS-vert, eller en som nås via en privat adresse, forblir en filopplasting.

2. Registrer deg i eAdm

Importer metadataene for eAdm-tjenesteleverandøren. Dette registrerer:

• Enhets-ID-en for denne kunden.

• URL-en til forbrukeren av påstanden (HTTP POST).

• URL-adressen for enkeltutlogging (HTTP POST og HTTP-omdirigering).

• Det offentlige sertifikatet som eAdm bruker til å signere forespørsler.

Ikke konfigurer dette sertifikatet for kryptering. eAdm dekrypterer ikke påstander. Signer påstander med SHA-256.

Hvis eAdm-verten endres, må du laste ned metadataene på nytt fra Single Sign-On og oppdatere tillitsinnstillingene. Forbruker-URL-en og utloggings-URL-en må stemme overens med filen.

AD FS

1. Åpne AD FS-administrasjon.

2. Gå til «Relying Party Trusts».

3. Velg «Legg til tillit til avhengig part».

4. Velg «Claims aware».

5. Importer metadatafilen for eAdm-tjenesteleverandøren.

6. Skriv inn et visningsnavn, for eksempel eAdm — Fableton.

7. Velg en tilgangskontrollpolicy som kun gir tilgang til de brukerne eller gruppene som skal logge seg på eAdm.

8. Fullfør veiviseren.

I egenskapene til den avhengige parten må du bekrefte følgende:

To eAdm-kunder i samme AD FS-farm utgjør to tillitsforhold mellom pålitelige parter. AD FS tillater ett tillitsforhold per enhets-ID.

3. Utsted det tilordnede kravet og én NameID

Frigjør kravet som er registrert i eAdm.

Enkeltutlogging krever også nøyaktig én NameID i påstanden, i tillegg til en sesjonsindeks. NameID-en trenger ikke å være den påstanden som eAdm bruker for å finne brukeren. Hvis det finnes mer enn én NameID, kan dette føre til at påstanden mislykkes eller at utloggingen ikke fungerer.

Logg inn på nytt etter at du har lagt til eller endret NameID-regelen. Eksisterende økter får ikke NameID i etterkant. Administratorens «Test på Single Sign-On »-funksjon melder om feil inntil utloggingen er fullført, selv om brukeren ble funnet.

AD FS

Åpne den avhengige parten og velg «Rediger retningslinjer for utstedelse av krav».

Det kreves to regler, i denne rekkefølgen:

1. En LDAP-regel som henter innloggings-ID-en fra Active Directory.

2. En transformasjonsregel som genererer én SAML NameID.

AD FS sender kun de påstandene som disse reglene genererer.

UPN. Legg til «Send LDAP-attributter som krav»:

• Regelnavn: Utstede UPN fra Active Directory

• Attributlager: Active Directory

• LDAP-attributt: User-Principal-Name

• Utgående kravtype: UPN

I eAdm skal du tilordne UPN-krav-URI-en til UPN.

E-post. Legg til «Send LDAP-attributter som krav»:

• Regelnavn: Utstede e-postadresse og UPN fra Active Directory

• Attributlager: Active Directory

• LDAP-attributt: E-postadresser → utgående kravtype «E-postadresse»

• LDAP-attributt: User-Principal-Name → utgående kravtype UPN

I eAdm skal du tilordne e-postkravets URI til e-postadressen. UPN utstedes fortsatt, så det kan brukes som NameID.

Nasjonalt ID. Kun når verdien er lagret i Active Directory og kunden kan gi tillatelse til dette.

• Regelnavn: Utstede nasjonalt ID-nummer og UPN fra Active Directory

• Attributlager: Active Directory

• LDAP-attributt: attributtet som inneholder det nasjonale ID-nummeret → din egendefinerte krav-URI

• LDAP-attributt: User-Principal-Name → utgående kravtype UPN

I eAdm må du knytte den tilpassede URI-en til det nasjonale ID-nummeret.

NameID. Etter LDAP-regelen legger du til «Transform an Incoming Claim»:

• Regelnavn: Konverter UPN til NameID

• Type innkommende krav: UPN

• Utgående kravtype: Navn-ID

• Format for utgående navn-ID: Uspesifisert

• Gå gjennom alle erstatningsbeløpene

Hvis UPN ikke er stabilt, bruk den samme regelen med den innkommende kravtypen «E-postadresse».

Ikke ta med det nasjonale ID-nummeret i NameID. Bruk det kun som tilordnet identifikator, og bare når du trenger det.

4. Bekreft innlogging og utlogging

Kjør testen for Single Sign-On, og logg deretter inn fra eAdm-innloggingssiden, slik det er beskrevet på oversiktssiden. Begynn der. En innlogging som startes på identitetsleverandørens egen innloggingsside, blir avvist.

AD FS

AD FS-skjemaet godtar brukerens UPN eller DOMAIN\username. Attributtet «mail» fungerer kun som påloggingsnavn når verdien er brukerens påloggingsnavn.

For utlogging som startes i AD FS, må påloggingssiden som initieres av IdP være tilgjengelig:

1. Logg inn på eAdm via AD FS.

2. Åpne følgende i samme nettleser: https://<your-adfs-host>/adfs/ls/idpinitiatedsignon.aspx.

3. Velg «Logg av fra alle nettsteder du har besøkt».

En AD FS-administrator kan aktivere denne siden ved å:

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

/adfs/ls/?wa=wsignout1.0 er en utlogging via WS-Federation. Den avslutter AD FS-økten og sender ikke en SAML-utloggingsforespørsel til eAdm.

Feilsøking

eAdm-feilmeldinger, for eksempel en avvist metadata-URL, en manglende bruker eller en kryptert påstand, finnes på oversiktssiden.

Endringer i sertifikatet

Når eAdm viser at et sertifikat for signering av forespørsler skal fornyes i Single Sign-On, må du laste ned de gjeldende metadataene og oppdatere identitetsleverandøren før eAdm signerer med det nye sertifikatet. Informasjon om hvordan eAdm oppdaterer identitetsleverandørens sertifikater, finner du på oversiktssiden.

AD FS

AD FS-metadata kan inneholde mer enn ett offentlig sertifikat for tokensignering under en overgang. Med en fil:

1. Last ned oppdaterte AD FS-metadata før det gamle sertifikatet for tokensignering utløper.

2. Last den opp til den samme leverandøren i eAdm.

3. Logg inn og ut én gang.

På den avhengige parten må du bytte ut eAdm-signatursertifikatet når eAdm ruller sin egen nøkkel. La feltet «Kryptering » stå tomt.

Sjekkliste for idriftsettelse

• Metadataene for denne kundens tjenesteleverandør importeres som en egen tillit

• Det er bekreftet at forbrukeren bruker HTTP POST, og at utloggingsendepunktet finnes

• Listen over krypteringssertifikater er tom, og signaturalgoritmen er SHA-256

• Det kartlagte kravet er utstedt

• Det utstedes nøyaktig én NameID ved en ny pålogging

• Tilgang hos identitetsleverandøren er begrenset til de personene som skal åpne eAdm

• Administratortesten for Single Sign-On er vellykket

• Utlogging fra identitetsleverandøren innebærer en SAML-utlogging av de avhengige partene, og eAdm-økten avsluttes

Fableton kommune (org NO999000001) er fiktiv.

Sist oppdatert: 27. oktober 2026