Registrera eAdm hos en SAML-identitetsleverantör

Översikt

Registrera eAdm-tjänsteleverantörens metadata hos identitetsleverantören och utfärda därefter det anspråk som är mappat i eAdm samt exakt ett NameID.

Ladda ner dessa metadata från Single Sign-On för kunden, enligt beskrivningen på översiktssidan. Varje kund har sina egna metadata för tjänsteleverantören. En gemensam identitetsleverantör behöver en registrering för varje eAdm-kund.

Exempel: Fableton kommun, org NO999000001. Inloggningsknappen är Fableton AD FS. Testanvändarens UPN i båda katalogerna är teacher@fableton.example.

Innan du börjar

Du behöver:

• Metadata för tjänsteleverantören eAdm för denna kund, från Single Sign-On.

• En administratör hos identitetsleverantören.

• Den URI för anspråket som är kopplad till leverantören i eAdm. På den överordnade sidan beskrivs UPN, e-postadress och nationellt ID.

1. Exportera identitetsleverantörens metadata

Exportera de offentliga SAML-metauppgifterna. De ska innehålla entitets-ID, inloggnings-URL, utloggnings-URL och de offentliga signeringscertifikaten. Ange den filen, eller en offentlig HTTPS-URL, i guiden på översiktssidan i eAdm. Skicka inte någon privat nyckel eller någon PFX-fil.

AD FS

Metadata-URL:en är:

https://<your-adfs-host>/FederationMetadata/2007-06/FederationMetadata.xml

Öppna den och spara XML-filen. En intern AD FS-värd, eller en som nås via en privat adress, förblir en filuppladdning.

2. Registrera dig på eAdm

Importera metadata för eAdm-tjänsteleverantören. Detta registrerar:

• Entitets-ID för denna kund.

• URL för påståendekonsumenten (HTTP POST).

• URL:en för enstaka utloggning (HTTP POST och HTTP-omdirigering).

• Det offentliga certifikatet som eAdm använder för att signera förfrågningar.

Konfigurera inte det certifikatet för kryptering. eAdm dekrypterar inte påståenden. Signera påståenden med SHA-256.

Om eAdm-värden ändras ska du ladda ner metadata på nytt från Single Sign-On och uppdatera förtroendeinställningarna. Användar-URL:en och utloggnings-URL:en måste stämma överens med uppgifterna i filen.

AD FS

1. Öppna AD FS-hanteringen.

2. Gå till ”Relying Party Trusts”.

3. Välj ”Lägg till förtroende för beroende part”.

4. Välj ”Claims aware”.

5. Importera metadatafilen för eAdm-tjänsteleverantören.

6. Ange ett visningsnamn, till exempel eAdm – Fableton.

7. Välj en åtkomstkontrollpolicy som endast tillåter de användare eller grupper som ska kunna logga in på eAdm.

8. Avsluta guiden.

Kontrollera följande i egenskaperna för den förlitande parten:

Två eAdm-kunder i samma AD FS-farm utgör två förtroendeförhållanden mellan förlitande parter. AD FS tillåter ett förtroendeförhållande per enhets-ID.

3. Utfärda den mappade anspråket och ett NameID

Frigör den fordran som är registrerad i eAdm.

För enkel utloggning krävs dessutom exakt ett NameID i påståendet, samt ett sessionsindex. NameID:t behöver inte vara samma uppgift som eAdm använder för att identifiera användaren. Om det finns fler än ett NameID kan påståendet misslyckas eller så kan utloggningen avbrytas.

Logga in på nytt efter att du har lagt till eller ändrat NameID-regeln. Befintliga sessioner tilldelas inte ett NameID i efterhand. Administratörstestet för Single Sign-On visar ett felmeddelande tills utloggningen har slutförts, även om användaren hittades.

AD FS

Öppna den förlitande parten och välj ”Redigera policy för utfärdande av anspråk”.

Två regler krävs, i följande ordning:

1. En LDAP-regel som hämtar inloggnings-ID:t från Active Directory.

2. En omvandlingsregel som genererar ett SAML NameID.

AD FS skickar endast de anspråk som dessa regler genererar.

UPN. Lägg till ”Skicka LDAP-attribut som anspråk”:

• Regelnamn: Utfärda UPN från Active Directory

• Attributlagring: Active Directory

• LDAP-attribut: User-Principal-Name

• Typ av utgående anspråk: UPN

I eAdm ska du koppla UPN-anspråkets URI till UPN.

E-post. Lägg till ”Skicka LDAP-attribut som anspråk”:

• Regelnamn: Skicka e-post och UPN från Active Directory

• Attributlagring: Active Directory

• LDAP-attribut: E-postadresser → typ av utgående anspråk: E-postadress

• LDAP-attribut: User-Principal-Name → typ av utgående anspråk: UPN

I eAdm ska du koppla e-postadressens URI till e-postadressen. UPN utfärdas fortfarande, så det kan fungera som NameID.

Nationellt ID. Endast när uppgiften lagras i Active Directory och kunden kan godkänna detta.

• Regelnamn: Utfärda nationellt ID och UPN från Active Directory

• Attributlagring: Active Directory

• LDAP-attribut: det attribut som innehåller det nationella ID-numret → din anpassade anspråks-URI

• LDAP-attribut: User-Principal-Name → typ av utgående anspråk: UPN

I eAdm ska du koppla den anpassade URI:n till det nationella ID-numret.

NameID. Efter LDAP-regeln lägger du till ”Transformera ett inkommande anspråk”:

• Regelnamn: Omvandla UPN till NameID

• Typ av inkommande anspråk: UPN

• Utgående ansprågstyp: Namn-ID

• Format för utgående namn-ID: Ej specificerat

• Gå igenom alla ersättningsbelopp

Om UPN inte är stabilt, använd samma regel för den inkommande anspråkstypen ”E-postadress”.

Låt det nationella ID-numret inte ingå i NameID. Använd det endast som den mappade identifieraren, och endast när du behöver det.

4. Bekräfta in- och utloggning

Kör testet för Single Sign-On och logga sedan in från eAdm:s inloggningssida enligt beskrivningen på översiktssidan. Börja där. En inloggning som påbörjas på identitetsleverantörens egen inloggningssida avvisas.

AD FS

I AD FS-formuläret kan man ange användarens UPN eller DOMAIN\username. Attributet ”mail” fungerar endast som inloggningsnamn om värdet är användarens inloggningsnamn.

För utloggning som initieras i AD FS måste den IdP-initierade inloggningssidan vara tillgänglig:

1. Logga in på eAdm via AD FS.

2. Öppna följande i samma webbläsare: https://<your-adfs-host>/adfs/ls/idpinitiatedsignon.aspx.

3. Välj ”Logga ut från alla webbplatser som du har besökt”.

En AD FS-administratör kan aktivera den sidan genom att:

Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

/adfs/ls/?wa=wsignout1.0 är en utloggning via WS-Federation. Den avslutar AD FS-sessionen och skickar ingen SAML-utloggningsbegäran till eAdm.

Felsökning

Symtom på eAdm-fel, till exempel en avvisad metadatum-URL, en saknad användare eller en krypterad påstående, finns på översiktssidan.

Ändringar av certifikat

När eAdm visar att ett certifikat för signering av förfrågningar ska bytas ut i Single Sign-On ska du ladda ner de aktuella metauppgifterna och uppdatera identitetsleverantören innan eAdm signerar med det nya certifikatet. Information om hur eAdm uppdaterar identitetsleverantörens certifikat finns på översiktssidan.

AD FS

AD FS-metadata kan innehålla mer än ett offentligt certifikat för tokensignering under en övergång. Med en fil:

1. Ladda ner nya AD FS-metadata innan det gamla certifikatet för tokensignering löper ut.

2. Ladda upp den till samma leverantör i eAdm.

3. Logga in och ut en gång.

På den förlitande parten ska du byta ut eAdm-signaturcertifikatet när eAdm genererar en ny nyckel. Lämna fältet ”Kryptering” tomt.

Checklista inför driftsättning

• Denna kunds metadata om tjänsteleverantörer importeras som en egen förtroendegrupp

• Det har konstaterats att det rör sig om en HTTP POST-begäran, och att utloggningsändpunkten finns

• Listan över krypteringscertifikat är tom, och signaturalgoritmen är SHA-256

• Den kartlagda anspråket har utfärdats

• Exakt ett NameID utfärdas vid en ny inloggning

• Åtkomsten hos identitetsleverantören är begränsad till de personer som ska öppna eAdm

• Administratörstestet för Single Sign-On lyckades

• Utloggning från identitetsleverantören innebär en SAML-utloggning av de beroende parterna, och eAdm-sessionen avslutas

Fableton kommun (org NO999000001) är fiktiv.

Senast uppdaterad: 27 oktober 2026