Schritte: SAML-SSO mit MS-AD FS 2.0 konfigurieren

Voraussetzungen

Ein Rechner, bei dem folgende Voraussetzungen erfüllt sind:
Windows Server 2008 R2 und AD FS 2.0 sind installiert.
Hotfix AD FS 2.0 Rollup 2 ist installiert und die Verwendung von
RelayState
-Parameter aktiviert. Weitere Informationen finden Sie unter „AD FS 2.0 Rollup 2 Hotfix“.
Ist in eine Domäne eingebunden.
An
Adaptive Planning
-Konto mit Administratorberechtigungen.
Eine Bestätigungs-E-Mail von
Adaptive Planning
die angibt, dass Sie SAML auf Ihrem provisioniert haben
Adaptive Planning
-Instanz.
Eine Zertifizierungsstelle hat das Tokensignaturzertifikat verifiziert.

Wechseln Sie zu
MS AD FS Management Console > Service > Certificates
.
Klicken Sie in der Liste
Certificates
mit der rechten Maustaste auf
Token-Signing
und klicken Sie auf
View Certificate
.
Wechseln Sie zum Register
Details
und klicken Sie auf
Copy to File
.
Wenn der
Certificate Export Wizard
angezeigt wird, klicken Sie auf
Next
.
Wählen Sie
DER encoded binary X.509 (.cer)
und klicken Sie auf
Next
.
Wählen Sie ein Verzeichnis, in dem die Datei gespeichert werden soll, geben Sie einen Namen dafür ein und klicken Sie auf
Next
.
Klicken Sie auf
Finish
.

AD FS 2.0 Rollup 2 Hotfix

Wenn Sie den Hotfix noch nicht installiert haben, finden Sie ihn hier:

http://support.microsoft.com/kb/2681584

Aktivieren Sie nach der Hotfix-Installation die Verwendung des Parameters „RelayState“ im vom ID-Anbieter initiierten SSO:

Öffnen Sie
inetpub\adfs\ls\web.config
-Datei in einem Editor.
Suchen Sie den Abschnitt, der mit beginnt
<microsoft.identityServer.web>
Fügen Sie folgende Zeile zu diesem Abschnitt hinzu:
<useRelayStateForIdpInitiatedSignOn enabled="true" />
Speichern Sie die Datei.

Konfigurieren

Adaptive Planning

Als vertrauende Seite

Navigieren Sie zur AD FS 2.0-Management-Konsole.
Klicken Sie auf
AD FS 2.0
und blenden Sie
Trust Relationships
ein.
Klicken Sie mit der rechten Maustaste auf
Relying Party Trusts
und klicken Sie auf
Add Relying Party Trust
.
Aktivieren Sie auf der Seite
Select Data Source
das Kontrollkästchen
Enter data about the relying party manually
und klicken Sie auf
Next
.
Geben Sie einen geeigneten Anzeigenamen an. Beispiel: AdaptivePlanning. Geben Sie gegebenenfalls Anmerkungen ein und klicken Sie auf
Next
.
Wählen Sie das
AD FS 2.0 Profile
.
Überspringen Sie den Schritt zum Konfigurieren des Zertifikats.
Richten Sie die ein
Adaptive Planning
SSO-URL, die Sie auf der Seite mit den SAML-Einstellungen erhalten. Beispiel:
https://login.adaptiveplanning.com:443/samlsso/VkdHUkVFTkNPQURGUoMzNA==
Geben Sie auf der Seite
Configure Identifiers
die URL von der Seite mit den SAML-Einstellungen in ein
Adaptive Planning
als Bezeichner und klicken Sie auf
Hinzufügen
.
Wählen Sie auf der nächsten Seite
Permit all users access to this relying party.
Wählen Sie
Deny
, wenn Sie diese Anwendung später bestimmten Benutzern zuweisen möchten und klicken Sie auf
Next
.
Klicken Sie auf der Seite
Ready to Add Trust
auf
Next
.
Deaktivieren Sie auf der Seite
Finish
das Kontrollkästchen für
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
und klicken Sie auf
Close
.

Anspruchsregeln konfigurieren

Beispiel: Anspruchsregel Nr. 1

In dieser Anspruchsregel wird der Wert der

E-Mail-Adresse

eines Benutzers als Attributanweisung in der SAML-Antwort gesendet. Sie können ein beliebiges LDAP-Attribut im SAML-Token verwenden, solange dieses Attribut jeden einzelnen Benutzer eindeutig identifiziert. Für den „Outgoing Claim Type“ können Sie einen Wert aus der Liste auswählen oder den Namen eingeben.

Klicken Sie mit der rechten Maustaste in der Liste
Relying Party Trusts
auf den Eintrag
AdaptivePlanning
und wählen Sie
Edit Claim Rules
.
Klicken Sie auf dem Register
Issuance Transform Rules
auf
Add Rule
.
Wählen Sie in der Dropdown-Liste der
Claim Rule
-Vorlagen die Option
Send LDAP Attribute as Claims
.
Klicken Sie auf
Next
.
Geben einen Namen für den Anspruch ein, beispielsweise
E-Mail als Anspruch
.
Wählen Sie unter
Attribute Store
die Option
Active Directory
, unter
LDAP Attribute
die Option
Email-Addresses
und unter
Outgoing Claim Type
die Option
Email Address
.
Klicken Sie auf
Finish
.

Beispiel: Anspruchsregel Nr. 2

Bei dieser Anspruchsregel senden wir die in Anspruchsregel Nr. 1 konfigurierte E-Mail-Adresse als

NameID

des Betreffs.

Klicken Sie auf
Add Rule
.
Wählen Sie
Transform an Incoming Claim
als zu verwendende Vorlage für die Anspruchsregel.
Geben Sie einen Namen ein. In diesem Beispiel verwenden wir
Email Address to Name ID
.
Die eingehende Anspruchsart sollte
E-mail Address sein (
ODER muss mit dem „Outgoing Claim Type“ übereinstimmen, der unter „Beispiel: Anspruchsregel Nr. 1“ verwendet wird).
Wählen Sie unter
Outgoing Claim Type
die Option
NameID
und unter
Outgoing name ID format
die Option
Email
.
Wählen Sie
Pass through all claim values
.
Klicken Sie auf
Finish
.

Diese Regel sendet den E-mail-Address-Wert eines Benutzers als NameID des Betreffs mit dem Format

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

AD FS in als ID-Anbieter einrichten

Adaptive Planning

Melden Sie sich bei an
Adaptive Planning
-Instanz als Benutzer mit Benutzeradministrator-Berechtigungen.
Wechseln Sie zu
Administrator > Manage SAML SSO Settings
.
Geben Sie die folgenden Einstellungen ein:
Name des ID-Anbieters:
Geben Sie hier den Namen Ihres AD FS 2.0-Servers ein.
Entitäts-ID des ID-Anbieters:
Geben Sie den Wert ein, den Sie in der FS Server AD FS 2.0 Management Console finden. Klicken Sie dazu mit der rechten Maustaste auf
Service
, klicken Sie auf
Edit Federation Services Properties
und kopieren Sie den Wert aus dem Feld
Federation Service Identifier
.
SSO-URL des ID-Anbieters:
Geben Sie die URL auf der MS AD FS-Seite ein, um sich direkt bei anzumelden
Adaptive Planning
Ähnlich wie:
https://ADFS_HOST/adfs/ls
.
Benutzerdefinierte Abmelde-URL
:
Optional. Geben Sie eine URL ein, die geladen wird, wenn der Benutzer in auf „Abmelden“ klickt
Adaptive Planning
. Wenn Sie keine UR angeben, wird die
Adaptive Planning
-Anmeldeseite verwendet wird.
Zertifikat des ID-Anbieters:
Wählen Sie die in den Voraussetzungen aufgeführte Zertifikatsdatei aus.
SAML-Benutzer-ID
:
Wählen Sie die Federation-ID des Benutzers. Wenn Sie Ihre Anspruchsregel so einrichten, dass die E-Mail-Adresse des Benutzers verwendet wird und diese Adresse mit dem Anmeldefeld im Benutzerprofil übereinstimmt, wählen Sie
Benutzer
Adaptive Planning
-Benutzername
für
die SAML-Benutzer-ID.
Ort der SAML-Benutzer-ID
: Wenn Sie bei den Anspruchsregeln der vertrauenden Seite nur die Anspruchsregel Nr. 1 konfiguriert haben, wählen Sie „Benutzer-ID im Attribut“. Wenn Sie die Anspruchsregel Nr. 2 konfiguriert haben, wählen Sie
„Benutzer-ID
in NameID des Betreffs
“.
SAML-Attribut
und
SAML NameID-Format:
Sie müssen nur eines davon eingeben:
Wenn Sie nur die Anspruchsregel Nr. 1 konfiguriert haben, füllen Sie das Feld
SAML-Attribut
mit der Art des ausgehenden Anspruchs aus Anspruchsregel Nr. 1 aus. Lassen Sie das Feld „SAML NameID-Format“ leer.
Wenn Sie beide Anspruchsregeln konfiguriert haben, überspringen Sie das Feld
SAML-Attribut
und füllen das Feld
SAML NameID-Format
aus. Verwenden Sie das ausgehende NameID-Format aus der Anspruchsregel Nr. 2 (E-Mail).
SAML aktivieren
: Wählen Sie „Nicht aktiviert“ (dies ist der Standardwert). Rufen Sie nach dem Testen der Konfiguration diese Seite erneut auf und aktivieren Sie SAML für andere Benutzer.
Klicken Sie auf
Speichern.
Die
Adaptive Planning
Die -Seite „Administrator-Übersicht“ wird geladen.
Suchen Sie nach
Adaptive Planning
SSO-URL
unten auf der Seite und kopieren Sie den gesamten Zeichenfolgenwert. Speichern Sie diesen Wert, da Sie ihn im nächsten Abschnitt benötigen. Beispiel:

https://login.adaptiveplanning.com:443/samlsso/VkdHUKVFTkNPQURGU0MzNA--

Konfiguration der vertrauenden Seite in AD FS abschließen

Wechseln Sie wieder zur AD FS 2.0 Management Console.
Klicken Sie mit der rechten Maustaste in der Liste
Relying Party Trusts
auf
AdaptivePlanning
und wählen Sie
Properties
.
Klicken Sie auf das Register
Endpoints
und klicken Sie auf
Add
.
Setzen Sie
Endpoint Type
auf
SAML Assertion Consumer
.
Wählen Sie unter
Binding
die Option
POST
.
Fügen Sie den Wert ein
Adaptive Planning
SSO-URL, die Sie in Schritt 6 im Abschnitt „MS AD FS in Adaptive Planning als ID-Anbieter einrichten“ kopiert haben, in das Feld
URL
.
Klicken Sie auf
OK
und dann im Dialogfeld „Properties“ auf
Apply
.

Setup testen

Wählen Sie einen Benutzer in AD FS und in aus
Adaptive Planning
. Die
Adaptive Planning
Der -Benutzer muss über eine SAML-Administrator-Berechtigung verfügen.
Geben Sie die E-Mail-Adresse für diesen Benutzer (oder das in Anspruchsregel Nr. 1 ausgewählte LDAP-Attribut) in AD FS ein.
Von
Adaptive Planning
, geben Sie die E-Mail-Adresse für den Benutzer auf der Seite
Verwaltung > Benutzer
in das Feld
SAML-Federation-ID
ein und klicken Sie auf
Übermitteln
.
Melden Sie diesen AD FS-Benutzer bei einem Computer an, der Teil der Active Directory-Domäne ist.
Öffnen Sie in einem Webbrowser auf diesem Computer zu
https://login.adaptiveplanning.com/app
If your instance uses non-US based, regional authentication, then your authorization URLs and API endpoints vary based on your region. See Reference: Regional Authentication URLs.
Wenn alles korrekt konfiguriert ist, werden Sie zu den weitergeleitet
Adaptive Planning
Willkommensseite. Geben Sie den Benutzernamen ein, aber lassen Sie das Kennwortfeld auf der Anmeldeseite leer. Klicken Sie auf
Übermitteln
.

SSO Into Excel Interface for Planning and OfficeConnect