SSO-Konfiguration
Einführung
Lucy unterstützt Single Sign-on für Administratoren und Endbenutzer über SSO/SAML. SAML (Security Assertion Markup Language) und OAuth 2.0 (offene Autorisierung) sind weithin anerkannte Standards für Authentifizierung und Autorisierung, die jeweils die Implementierung von SSO erleichtern.
Diese Technologien ermöglichen es Administratoren/Benutzern, mit einem einzigen Satz von Anmeldedaten auf Lucy zuzugreifen, was sowohl den Benutzerkomfort als auch die Sicherheit erhöht. Obwohl SAML und OAuth 2.0 darauf abzielen, Authentifizierungsprozesse zu vereinfachen, unterscheiden sie sich in ihren spezifischen Zwecken und Vorgehensweisen:
Zweck: OAuth 2.0 ist ein Framework für Autorisierung. Es ermöglicht Anwendungen, begrenzten Zugriff auf Benutzerkonten auf einem HTTP-Dienst zu erhalten. Während OAuth für die Authentifizierung verwendet werden kann (und dies mit Erweiterungen wie OpenID Connect oft auch wird), besteht seine Hauptaufgabe darin, Drittanbieteranwendungen zu autorisieren, auf das Konto eines Benutzers zuzugreifen, ohne dessen Passwort offenzulegen.
So funktioniert es: OAuth 2.0 verwendet Zugriffstoken anstelle von Benutzeranmeldedaten, um Anfragen zu autorisieren. Wenn sich ein Benutzer bei einer Anwendung anmeldet und zustimmt, ihr Zugriff auf einen anderen Dienst zu gewähren, erhält die Anwendung ein Zugriffstoken. Dieses Token wird dann für nachfolgende Anfragen an den Dienst im Namen des Benutzers verwendet.
Anwendungsfall: OAuth 2.0 wird in Szenarien verwendet, in denen eine Anwendung Aktionen im Namen eines Benutzers ausführen muss, ohne dessen Passwort zu kennen.
Zweck: SAML wird hauptsächlich für die Authentifizierung in SSO-Prozessen verwendet. Es ermöglicht sicheren Domänen, Benutzerauthentifizierungs- und Autorisierungsdaten auszutauschen. SAML konzentriert sich auf die Authentifizierung von Benutzern und die Übermittlung dieses Authentifizierungsstatus an Dienstanbieter.
So funktioniert es: In einem SAML-SSO-Ablauf wird ein Benutzer, der versucht, auf einen Dienstanbieter (SP) zuzugreifen, zur Authentifizierung an einen Identitätsanbieter (IdP) weitergeleitet. Nach erfolgreicher Authentifizierung sendet der IdP eine SAML-Assertion (ein XML-Dokument) an den SP zurück. Diese Assertion enthält die Authentifizierungsanweisung und möglicherweise Attribute über den Benutzer. Der SP gewährt dann auf Grundlage dieser Assertion Zugriff.
Anwendungsfall: SAML wird häufig in Unternehmensanwendungen und -diensten verwendet, insbesondere dort, wo die Interaktion zwischen einem Browser und Webanwendungen stattfindet.
Konfiguration
Bevor Sie eine Verbindung mit dem Identitätsanbieter herstellen, sind die folgenden Vorbereitungen erforderlich:
SSL-Zertifikat: Laden Sie ein SSL-Zertifikat für die Lucy-Admin-Konsole hoch oder erstellen Sie eins. Dieser Schritt ist entscheidend, um sicherzustellen, dass die Verbindung und die zwischen Lucy und Azure AD ausgetauschten Daten sicher sind.
Administrator-Kontoabgleich: Vergewissern Sie sich, dass Sie in Lucy ein Administrator-Konto haben, das Sie unter Einstellungen -> Benutzer -> Administrative Benutzer finden. Die mit diesem Konto verknüpfte E-Mail-Adresse muss mit der E-Mail-Adresse Ihres Kontos im Identitätsanbieter übereinstimmen.
OAuth 2.0 (Entra ID)
App-Registrierung
Stellen Sie sicher, dass Sie die App-Registrierung in Entra ID wie beschrieben erstellt haben hier.
Mit Lucy verbinden
Fügen Sie Ihre Client-ID, Ihr Client-Geheimnis und Ihre Mandanten-ID aus Ihrer Azure-Entra-ID-Anwendung hinzu.
Admin-Zustimmungsfluss in Azure einrichten
Zweck
Die Integration von Drittanbieteranwendungen wie Lucy mit Azure erfordert eine sorgfältige Konfiguration, um sicherzustellen, dass die API-Berechtigungen korrekt festgelegt sind. Dies ist für Anwendungen wie Lucy von entscheidender Bedeutung, die Zugriff über den Azure-Berechtigungssatz der Lucy-Administratoren hinaus benötigen. Eine häufige Herausforderung während der Integration ist eine Berechtigungsabweichung, die zu Integrationsfehlern führt. Diese Anleitung soll Administratoren durch das Zustimmungsframework in Azure führen, damit Lucy die erforderlichen Berechtigungen erhält und gleichzeitig die Sicherheit und Integrität der Azure-Umgebung gewahrt bleibt.
Wer sollte diese Anleitung verwenden?
Diese Anleitung richtet sich an Lucy-Administratoren, denen Azure-Administratorrechte fehlen, um die organisationsweite Zustimmung zu erteilen, sowie an Situationen, in denen Lucy-Server ohne Azure-Administrator betrieben werden, um das Speichern von Azure-Anwendungskonfigurationen innerhalb von Lucy zu ermöglichen.
Das Fehlen der administrativen Zustimmung ist daran erkennbar, wenn nach dem Speichern Ihrer Anwendung in Lucy die folgende Meldung angezeigt wird:
Konfiguration
Auf Azure zugreifen
Melden Sie sich im Azure-Portal an: Besuchen Sie zunächst portal.azure.com und melden Sie sich mit Ihren Zugangsdaten an.
Einrichtung des Zustimmungsflusses
Navigieren Sie zu Microsoft Entra ID: Suchen und wählen Sie die Option „Microsoft Entra ID“, um fortzufahren.
Unternehmensanwendungen: Suchen Sie im Abschnitt Microsoft Entra ID nach „Unternehmensanwendungen“ und klicken Sie darauf.
Zustimmung und Berechtigungen: Wählen Sie in den Einstellungen für Unternehmensanwendungen „Zustimmung und Berechtigungen“ aus.
Admin-Zustimmungseinstellungen: Suchen Sie nach „Admin-Zustimmungseinstellungen“ und klicken Sie darauf, um die Einstellungen des Zustimmungsflusses zu ändern.
Zustimmungsanfragen aktivieren: Aktivieren Sie die Option „Benutzer können die Admin-Zustimmung für Apps anfordern, für die sie keine Zustimmung erteilen können“, indem Sie sie auf „Ja“ setzen. Dadurch können Nicht-Administratoren die Admin-Zustimmung für Anwendungen anfordern.
Prüfer festlegen: Legen Sie Azure-Administratoren für den Zustimmungsprüfprozess fest und wählen Sie unter Prüftyp Ihren Azure-Admin als „Benutzer“ aus.
Speichern Sie Ihre Einstellungen: Klicken Sie auf „Speichern“, um die Änderungen zu übernehmen.
Konfiguration in Lucy abschließen
Anpassungen in Lucy: Weisen Sie den Lucy-Admin an, erneut zu versuchen, die Anwendungskonfiguration zu speichern, vorzugsweise in einem Inkognito-Fenster, um Caching-Probleme zu vermeiden.
Einleitung der Zustimmungsanfrage: Der Lucy-Admin sieht einen Dialog zur Zustimmungsanfrage, mit dem er eine Zustimmungsanfrage an den Azure-Admin senden kann.
Zustimmungsfreigabeprozess
Genehmigung einleiten: Der Lucy-Admin klickt auf „Genehmigung anfordern“, um den Zustimmungsprozess zu starten.
Benachrichtigung an den Administrator: Eine Genehmigungsanfrage wird an die E-Mail des Azure-Administrators gesendet, und die Anfrage erscheint im Azure-Portal unter Unternehmensanwendungen -> Admin-Zustimmungsanfragen.
Überprüfung durch den Admin und Erteilung der Zustimmung: Der Azure-Administrator prüft die Anfrage im Portal und erteilt die Zustimmung im Namen der Organisation.
Bestätigung an den Lucy-Admin: Der Azure-Administrator sollte den Lucy-Admin über die erteilte Zustimmung informieren.
Integration abschließen
Abschließen in den Lucy-Einstellungen: Der Lucy-Admin geht in Lucy zu Allgemeine Systemeinstellungen -> Azure-Anwendungen, wählt die Anwendung aus und klickt auf „Speichern“, um mit der Integration fortzufahren.
Microsoft-Anmeldung und Token-Zuweisung: Dadurch wird der Lucy-Admin aufgefordert, sich erneut mit Microsoft-Anmeldedaten anzumelden, um ein Aktualisierungstoken für die Integration zu erzeugen.
Bindung an den Lucy-Server: Das erfolgreiche Abrufen des Aktualisierungstokens schließt die Integration ab und bindet die Azure-App-Registrierung effektiv an den Lucy-Server.
Welche API-Berechtigungen sind für diese Integration erforderlich?
User.read
Delegiert
Anmelden und Benutzerprofil lesen
Nein
Directory.Read.All
Delegiert
Verzeichnisdaten lesen
Ja
Delegiert
E-Mail-Adresse der Benutzer anzeigen
Nein
offline_access
Delegiert
Zugriff auf Daten beibehalten, für die Sie ihm Zugriff gewährt haben
Nein
OpenID
Delegiert
Benutzer anmelden
Nein
User.Read.All
Delegiert
Die vollständigen Profile aller Benutzer lesen
Ja
Entra ID (SAML 2.0)
Microsoft Entra ID unterstützt außerdem SSO mit SAML 2.0.
Anwendung erstellen
Melden Sie sich zunächst bei Ihrem Entra-ID-Portal an und gehen Sie zu Verwalten -> Unternehmensanwendungen. Wählen Sie + Neue Anwendung und wählen Sie dann die Option für eine Anwendung ohne Galerie Anwendung:
Klicken Sie auf Erstellen um die neue Anwendung zu erstellen.
App-Konfiguration
Gehen Sie zu Verwalten -> Single Sign-on und wählen Sie SAML für die SSO-Methode.
Grundlegende SAML-Konfiguration
Klicken Sie auf das Bearbeiten Schaltfläche und geben Sie diese Werte ein, dann Speichern.
Kennung (Entity ID)
Reply-URL (Assertion Consumer Service-URL)
Attribute und Ansprüche
Klicken Sie auf das Bearbeiten Schaltfläche und dann + Neuen Anspruch hinzufügen. Erstellen Sie einen neuen Anspruch mit dem Namen mail unter Verwendung des Attributs user.mail, dann klicken Sie auf Speichern:
Benutzer und Gruppen hinzufügen
Gehen Sie anschließend zu Verwalten -> Benutzer und Gruppen und wählen Sie + Benutzer/Gruppe hinzufügen.
Suchen und fügen Sie die gewünschten Benutzer/Gruppen hinzu, damit sie die Anwendung verwenden können, um sich bei Lucy anzumelden.
Wenn Sie der Anwendung keine bestimmten Benutzer oder Gruppen hinzufügen möchten, gehen Sie zu Eigenschaften und setzen Sie Zuweisung erforderlich? auf Nein:
Zertifikatsdaten hochladen
Im SAML-Zertifikate Laden Sie im Abschnitt die XML-Metadaten der Föderation. Im Richten Sie <Application Name> ein Abschnitt kopieren Sie den Microsoft-Entra-Kennung.
Gehen Sie in Lucy zu Einstellungen -> Allgemeine Systemeinstellungen -> SSO-Einstellungen.
Wählen Sie SAML 2.0 für die Methode.
Geben Sie Ihre Lucy-Admin-Domain in das Domänenname Feld ein.
Geben Sie den Microsoft-Entra-Kennung in der Endpunkt des Identitätsanbieters Feld angegebene Domain.
Laden Sie die Föderationsmetadatei in den XML-Metadaten des Identitätsanbieters Feld angegebene Domain.
Die Fingerabdruck in Entra ID wird mit SHA256 erstellt. Lucy verlangt jedoch, dass der Fingerabdruck SHA1 ist.
Um den SHA1-Fingerabdruck zu erhalten, öffnen Sie die Metadaten-XML-Datei und suchen Sie nach dem Feld mit der Bezeichnung X509Certificate:
Kopieren Sie nur den Zertifikatstext und erstellen Sie eine neue Datei mit diesem Format (Sie können diesen Text kopieren):
Speichern Sie dies als eine .pem Datei, dann verwenden Sie ein Online-Tool oder den openssl Befehl, um den SHA1-Fingerabdruck zu erhalten:
Fügen Sie schließlich den Fingerabdruck in den Zertifikats-Fingerabdruck des Identitätsanbieters Feld angegebene Domain.
Klicken Sie auf Speichern ein, um die Einstellungen anzuwenden, und klicken Sie dann auf Verbindung testen. Sie sollten zur SSO-Anmeldeseite weitergeleitet werden, auf der Sie testen können, ob Ihre Verbindung funktioniert.
Google Workspace (SAML 2.0)
Erstellen Sie eine App in Ihrem Workspace
Melden Sie sich bei Ihrem Google Workspace-Admin-Dashboard an und gehen Sie zu Apps > Web- und mobile Apps. Wählen Sie "App hinzufügen" und dann "Benutzerdefinierte SAML-App hinzufügen", um zu beginnen.
1. App-Details
Geben Sie Ihrer App einen Namen und erstellen Sie optional eine Beschreibung und ein Symbol, dann wählen Sie "Continue".
2. Google-IdP-Details
Wählen Sie die erste Option, "Metadata herunterladen". Kopieren Sie dann die Entitäts-ID und Zertifikat Werte und speichern Sie sie für später in einer Notiz.
3. Details des Service Providers
Um die ACS-URL und die Entity-ID des Service Providers abzurufen, melden Sie sich bei Ihrem Lucy-Portal an und gehen Sie zu Einstellungen > Allgemeine Systemeinstellungen > SSO-Konfiguration. Aktivieren Sie SSO und wählen Sie "SAML 2.0" für das Protokoll.
Kopieren Sie dann die Meta-Endpunkt URL und fügen Sie sie in Ihren Browser ein. Es wird eine Datei namens "lucy-sp.xml" heruntergeladen, die die für diesen Schritt erforderlichen Informationen enthält.
Öffnen Sie die XML-Datei und suchen Sie (Strg + f) nach "entityID". Der Eintrag sollte sich nahe am Anfang der Datei befinden. Kopieren Sie die URL (ohne Anführungszeichen) und tragen Sie sie im Feld "Entity ID" zurück in Google Workspace ein. Sie sollte so aussehen:
Dann suchen Sie nach "Assertion Consumer Service" und lokalisieren Sie den "Location"-Teil dieses Eintrags. Kopieren Sie diese URL und tragen Sie sie im Feld "ACS URL" in Google Workspace ein. Sie sollte so aussehen:
Schließlich wählen Sie unter Name ID wählen Sie "Email" als Format und belassen Sie die Name ID Standardeinstellung als primäre E-Mail. Wählen Sie "Continue", um mit der Attributzuordnung fortzufahren.
4. Attributzuordnung
Erstellen Sie eine Zuordnung für Primäre E-Mail > mail wie folgt:
Es ist nicht erforderlich, Gruppeninformationen zu konfigurieren.
5. Benutzerzugriff
Nachdem Sie Ihre App erstellt haben, wählen Sie das Dashboard "Benutzerzugriff" und anschließend "EIN für alle", dann speichern Sie.
Jetzt sind wir bereit, den Vorgang in Lucy abzuschließen.
SSO in Lucy konfigurieren
Füllen Sie das Formular auf der SSO-Konfigurations Seite wie folgt aus:
Protokoll
SAML 2.0
Auto Login
Nicht vor dem Testen aktivieren
Domänenname
Ihre Lucy-URL
Endpunkt des Identitätsanbieters
Die Entitäts-ID der Wert, den Sie aus Google Workspace kopiert haben
XML-Metadaten des Identitätsanbieters
Laden Sie die Metadatendatei hoch, die Sie aus Google Workspace heruntergeladen haben
Zertifikats-Fingerabdruck des Identitätsanbieters
Ermitteln Sie den Fingerabdruck im SHA-1-Format mithilfe der Zertifikatsdaten, die Sie aus Google Workspace kopiert haben, und einem Tool wie diesem: https://www.samltool.com/fingerprint.php
Token-Verschlüsselung
Nicht aktivieren, es sei denn, Sie verwenden Token-Verschlüsselung in Ihrem SSO-Workflow
Wenn Sie bereit sind, klicken Sie auf "Speichern".
Verbindung testen
Sie können testen, ob der SSO-Workflow sowohl auf Lucy-Seite als auch in Google Workspace funktioniert. Um von Lucy aus zu testen, wählen Sie einfach die Schaltfläche "Verbindung testen" nachdem Sie die Konfiguration gespeichert haben.
Um von Google Workspace aus zu testen, können Sie auf der Anwendungsseite "SAML-Anmeldung testen" auswählen.
SAML 2.0 (Beliebig)
Die genaue Art der Bereitstellung einer SAML-Anwendung für SSO hängt von der Anwendung ab, die Ihre Organisation verwendet. Dies sind die allgemeinen Schritte zum Bereitstellen einer SAML-App und zum Verbinden mit Lucy.
Konfigurieren Sie den IdP
Definieren Sie Lucy innerhalb des IdP als SP und geben Sie dabei dessen Endpunkt und die erforderlichen SAML-Attribute an.
IdP-Metadaten hochladen
Navigieren Sie in Lucy zu Einstellungen -> Allgemeine Systemeinstellungen -> SSO-Einstellungen.
Geben Sie Ihre administrative Domain und den IdP-Endpunkt ein.
Laden Sie dann Ihre IdP-Metadatendatei hoch und fügen Sie den Fingerabdruck ein. Ihr IdP sollte einen Fingerabdruck für Ihr X.509-Zertifikat bereitstellen, aber Sie können auch ein Online-Tool wie https://www.samltool.com/fingerprint.php.
Attributzuordnung
Ordnen Sie Benutzerattribute vom IdP den Feldern in Lucy zu (z. B. E-Mail, vollständiger Name), wie erforderlich.
Authentifizierung testen
Überprüfen Sie die SSO-Verbindung mit dem IdP, indem Sie auf Verbindung testen. Der Test sollte vor der Aktivierung von Auto Login abgeschlossen werden, um Anmeldeprobleme zu vermeiden.
Automatische Anmeldung aktivieren (optional)
Diese Einstellung ermöglicht eine nahtlose Anmeldung, sollte aber mit Vorsicht verwendet werden, da ihre Aktivierung alternative Zugriffsmethoden einschränken kann. Kontaktieren Sie den Lucy-Support wenn die automatische Anmeldung den Zugriff verhindert.
Zuletzt aktualisiert
War das hilfreich?