Skip to main content

Single Sign-On

Akamai SAML2 SSO

Akamai SAML2 SSO

Einführung

Verbinden Sie Flexopus über SAML2 für Single Sign-On (SSO) mit Akamai. Mit der Integration können Sie über Akamai verwalten, welche Nutzer Zugriff auf Flexopus haben sollen, und diese dazu verpflichten, ihre Akamai-Zugangsdaten für den Login zu verwenden.

Basierend auf den SAML2-Einstellungen in Flexopus können Sie Nutzerprofile nach dem ersten erfolgreichen SAML2 SSO-Loginversuch automatisch erstellen lassen. Dadurch vermeiden Sie die manuelle Erstellung von Nutzern in Flexopus.

💡
Hinweis: Weitere Informationen finden Sie auf der offiziellen Akamai-Website.

Einrichtungsanleitung

Folgen Sie der Schritt-für-Schritt-Anleitung, um die Integration zu konfigurieren. Die Anleitung enthält außerdem Best Practices und Lösungen für einige häufige Fehler während der Konfiguration. Falls Sie dennoch Unterstützung bei der Einrichtung benötigen, wenden Sie sich gerne an unser Support-Team unter support@flexopus.com.

SCHRITT 1 - SAML2-App erstellen

Öffnen Sie Ihr Akamai Dashboard und klicken Sie im Tab Applications > Applications auf den Button Add Applications.

Anwendung für SAML2 erstellen

Geben Sie die folgenden Parameter ein:
Type: New SaaS App
Name: Flexopus App
Description: Desk Sharing Software
Protocol: SAML 2.0

Allgemeine Einstellungen

Auf dieser Seite müssen Sie die Application URL eingeben. Dabei handelt es sich grundsätzlich um die URL der Flexopus-Anwendung: https://{your-company}.flexopus.com

Application URL eingeben

Um die erforderlichen Konfigurationsparameter zu finden:

  1. Navigieren Sie in Flexopus als Administrator zu Dashboard > Globale Einstellungen > Authentifizierung.
  2. Klicken Sie auf den Button Anbieter hinzufügen.
  3. Wählen Sie die Option SAML2 SSO aus.

Dadurch werden die Entity ID, ACS URL und der Default Relay State angezeigt, die für die Konfiguration der SAML-Einstellungen benötigt werden.

SAML2 SSO-Anbieter erstellen

Geben Sie die folgenden Parameter ein:
Entity ID: Entity ID
ACS URL ID: Callback (ACS URL)
Default Relay State: initiate-sp-login
NameID format: Persistent
Name attribute: user.persistentId
Verify single logout: Off
Enable ECP: On (sign only assertions)

Parameter konfigurieren
Konfigurationsparameter
💡
Hinweis: Relay State. Wir müssen diesen Wert setzen, um den IdP-initiierten Login in einen SP-initiierten Login umwandeln zu können. Diese Einstellung ermöglicht den Login, wenn der Nutzer in Akamai auf die Anwendung klickt.
💡
Hinweis: Sie können mehrere Single Sign-On-Anbieter gleichzeitig konfigurieren. In den meisten Fällen gibt es nur einen Identity Provider (IdP). Eine Organisation mit mehreren Unternehmen kann jedoch mehrere IdPs haben. Aus diesem Grund gibt es in der URL ein Präfix, um zwischen den SAML2-URLs je IdP zu unterscheiden.

SCHRITT 2 - Attributzuordnung

Konfigurieren Sie die korrekten Attributzuordnungen. Den Friendly Name können Sie leer lassen.

Hinweis: department und jobtitle sind nur optionale Attribute für Flexopus. Sie können diese auch leer lassen.

NameNamensformatWertHinweis
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givennameURL Referenceuser.firstNameerforderlich
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddressURL Referenceuser.emailerforderlich
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upnURL Referenceuser.userPrincipleNameerforderlich
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surnameURL Referenceuser.lastNameerforderlich
departmentBasicuser.departmentoptional
jobtitleBasicuser.titleoptional
❗
WICHTIG! Sobald Sie den UPN gesetzt haben, ändern Sie ihn nicht mehr. UPN = Unique Principal Name. Eindeutige Attribute sollten nicht geändert werden. Kontaktieren Sie uns, wenn Sie dabei Unterstützung benötigen. Eine Änderung dieses Felds kann zu doppelten Nutzereinträgen führen. Das Vertauschen von UPNs zwischen Nutzern kann noch größere Probleme verursachen.

Speichern und deployen Sie die App. Warten Sie, bis die App bereitgestellt wurde. Dies kann einige Zeit dauern.

Änderungen der Anwendung bereitstellen

SCHRITT 3 - Flexopus konfigurieren

  • Laden Sie auf der SAML Settings-Seite in Akamai die Metadatendatei herunter.
  • Navigieren Sie in Flexopus zu Dashboard > Globale Einstellungen > Authentifizierung.
  • Wählen Sie den erstellten SAML2-Anbieter aus.
  • Aktivieren Sie SAML2 SSO und wählen Sie die Option Metadatendatei statt Metadata URL.
  • Laden Sie die von Akamai heruntergeladene Metadatendatei hoch.
Metadatendatei hochladen

Geben Sie den Namen des SAML2-Login-Buttons ein, der auf der Login-Seite angezeigt werden soll.

    • Empfehlung: „SSO Login“
  • Optional: Aktivieren Sie die Synchronisierung der Felder, die Sie in den SAML2-Einstellungen konfiguriert haben, zum Beispiel jobtitle oder department.
Felder und Buttonname

Legen Sie in den Sicherheitseinstellungen die erlaubten Domains für SSO auf * (Stern) fest und drücken Sie ENTER.

Diese Einstellung erlaubt jedem Nutzer, der in Ihrem Akamai Directory konfiguriert ist, sich anzumelden.

Standardmäßig werden SAML2 SSO-Nutzer nach ihrem ersten Loginversuch automatisch registriert. Dadurch müssen Nutzerprofile vor dem Login nicht manuell erstellt werden.

  • Das Deaktivieren dieser Einstellung wird nicht empfohlen.
Sicherheitseinstellungen

Speichern Sie Ihre Einstellungen unten auf der Seite.

SCHRITT 4 - Konfigurieren, wer sich anmelden darf

Wenn Sie jetzt versuchen, sich in Flexopus anzumelden, sehen Sie eine Fehlermeldung, da Sie noch nicht konfiguriert haben, wer sich aus Ihrem Akamai-Nutzerverzeichnis anmelden darf oder nicht. Weisen Sie der Anwendung einen Testnutzer zu und testen Sie die Verbindung in Flexopus.

Öffnen Sie die Einstellungen und entscheiden Sie, welcher Nutzer oder welche Gruppe sich in der Anwendung anmelden darf. Es wird empfohlen, den Login für die gesamte Organisation zu aktivieren, sofern keine sinnvollen Einschränkungen bestehen. In diesem Fall müssen Sie den Nutzerzugriff für den Login nicht pflegen und können die Anzahl möglicher Supportfälle zur Login-Konfiguration reduzieren.

SCHRITT 5 - Konfiguration testen

Öffnen Sie Flexopus in einem neuen Inkognito-Fenster und testen Sie den Login. Sie sollten sich mit einem bestehenden oder neuen Nutzer anmelden können, abhängig davon, wie Sie die Zugriffsrechte in Akamai und Flexopus konfiguriert haben.

Sobald SAML2 SSO erfolgreich konfiguriert ist, können Sie optional den Login mit E-Mail und Passwort deaktivieren und alle Nutzer verpflichten, Single Sign-On zu verwenden. Navigieren Sie zu Dashboard > Globale Einstellungen > Authentifizierung. Dort finden Sie zwei Optionen:

E-Mail- und Passwort-Login deaktivieren

Fehlerbehebung / FAQ

Ich erhalte beim Login einen 500-Fehler.

Wenn Sie einen 500-Fehler erhalten, haben Sie möglicherweise die URLs oder Attribute falsch konfiguriert. Prüfen Sie die Einstellungen anhand der Anleitung erneut. Wenn Sie das Problem nicht finden können, kontaktieren Sie uns unter support@flexopus.com. Wir verfügen über Serverprotokolle, mit denen wir nachvollziehen können, wo das Problem liegt.

Kann ich den UPN der Nutzer ändern?

Wie Sie wissen, steht UPN für Unique Principal Name. Eindeutige Attribute sollten niemals geändert werden. Insbesondere der UPN des Nutzers sollte gleich bleiben. Er kann eine Nummer oder ein anderer eindeutiger Wert sein. Externe Anwendungen identifizieren Nutzer anhand ihres UPN. Wenn Sie ihn ändern, riskieren Sie, dass in Flexopus ein neuer Nutzer erstellt wird. Dennoch kann es Gründe geben, den UPN zu ändern. Kontaktieren Sie uns in diesem Fall unter support@flexopus.com. Wir können Sie unterstützen, indem wir die UPNs und External IDs der Nutzer löschen, damit Sie die UPNs in Ihrem IdP ändern können.

Kann ich auch die Profilbilder der Nutzer synchronisieren?

Leider unterstützt das SAML2 SSO-Protokoll keine Synchronisierung von Profilbildern.

Ich habe ein Attribut costcenters gesehen. Was macht es?

Tatsächlich haben wir ein zusätzliches Attribut namens costcenters. Die Funktion befindet sich aktuell in einer BETA-Testphase. Weitere Informationen folgen.

Unterstützt Flexopus Identity Provider (IdP) Initiated Single Sign-On Login?

Ja und nein. Wir stellen einen Workaround für IdP-initiierte Logins bereit. Sie müssen den Parameter initiate-sp-login für den RelayState konfigurieren. Dadurch wird die IdP-initiierte Login-Anfrage in einen SP-initiierten Login umgewandelt. Auf diese Weise können wir einen sicheren Login-Prozess gewährleisten. Grund: Ein klassischer IdP-initiierter Login würde Hackern einen Man-in-the-Middle-Angriff ermöglichen. Durch einen SP-initiierten Login können wir dies vermeiden. Dieser Artikel erklärt die Gründe ausführlicher: https://www.identityserver.com/articles/the-dangers-of-saml-idp-initiated-sso