Procedura: Configurare SSO SAML con MS-AD FS 2.0

Prerequisiti

Un computer configurato nel modo seguente:
Windows Server 2008 R2 e AD FS 2.0.
È installato l'hotfix AD FS 2.0 Rollup 2 e l'utilizzo di
RelayState
parametro abilitato. Per ulteriori informazioni, consultare Aggiornamento rapido AD FS 2.0 Rollup 2.
Incluso in un dominio.
An
Adaptive Planning
conto con autorizzazioni amministrative.
Un'e-mail di conferma da
Adaptive Planning
indicando che è stato eseguito il provisioning di SAML nel file
Adaptive Planning
istanza
Un certificato di firma del token verificato dall'autorità di certificazione.

Accedere a
MS AD FS Management Console > Service > Certificates
.
Nell'elenco
Certificates
, fare clic con il pulsante destro del mouse su
Token-Signing
, quindi fare clic su
View Certificate
.
Passare alla scheda
Details
e fare clic su
Copy to File
.
Quando viene visualizzato
Certificate Export Wizard
, fare clic su
Next
.
Selezionare
DER encoded binary X.509 (.cer)
e fare clic su
Next
.
Selezionare una directory in cui salvare il file e assegnargli un nome, quindi fare clic su
Next
.
Fare clic su
Finish
.

Aggiornamento rapido AD FS 2.0 Rollup 2

Se non è ancora stato installato l'aggiornamento rapido, consultare:

http://support.microsoft.com/kb/2681584

Dopo aver installato l'aggiornamento rapido, abilitare l'utilizzo del parametro RelayState nell'SSO avviato dal provider di identità:

Aprire il
inetpub\adfs\ls\web.config
file in un editor.
Individuare la sezione che inizia con
<microsoft.identityServer.web>
Aggiungere questa riga alla sezione:
<useRelayStateForIdpInitiatedSignOn enabled="true" />
Salvare il file.

Configurare

Adaptive Planning

In qualità di relying party

Accedere a AD FS 2.0 Management Console.
Fare clic su
AD FS 2.0
ed espandere
Trust Relationships
.
Fare clic con il pulsante destro del mouse su
Relying Party Trusts
, quindi fare clic su
Add Relying Party Trust
.
Nella pagina
Select Data Source
, selezionare
Enter data about the relying party manually
e fare clic su
Next
.
Specificare un nome appropriato per il nome visualizzato. Esempio: AdaptivePlanning. Immettere le eventuali note e fare clic su
Next
.
Selezionare
AD FS 2.0 Profile
.
Ignorare lo step Configure Certificate.
Configurare
Adaptive Planning
URL SSO, disponibile nella pagina Impostazioni SAML. Esempio:
https://login.adaptiveplanning.com:443/samlsso/VkdHUkVFTkNPQURGUoMzNA==
Nella pagina
Configure Identifiers
, immettere l'URL dalla pagina Impostazioni SAML in
Adaptive Planning
come identificativo e fare clic su
Aggiungi
.
Nella pagina successiva, selezionare
Permit all users access to this relying party
. Selezionare
Deny
se si desidera assegnare l'applicazione a utenti specifici in un secondo momento e fare clic su
Next
.
Nella pagina
Ready to Add Trust
, fare clic su
Next
.
Nella pagina
Finish
, deselezionare
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
e fare clic su
Close
.

Configurare le regole delle attestazioni

Regola di attestazione di esempio n. 1

In questa regola di attestazione, il valore

Email-Address

di un utente viene inviato come istruzione di attributo nella risposta SAML. È possibile utilizzare qualsiasi attributo LDAP nel token SAML, a condizione che tale attributo identifichi ogni utente in modo univoco. Allo stesso modo, per Outgoing Claim Type, selezionare un attributo dall'elenco o digitare il nome.

Fare clic con il pulsante destro del mouse sulla voce
AdaptivePlanning
nell'elenco
Relying Party Trusts
e selezionare
Edit Claim Rules
.
Fare clic su
Add Rule
nella scheda
Issuance Transform Rules
.
Selezionare
Send LDAP Attribute as Claims
dall'elenco a discesa del modello
Claim Rule
.
Fare clic su
Avanti
.
Assegnare un nome all'attestazione, ad esempio
Attestazione con e-mail
.
Impostare il campo
Attribute Store
su
Active Directory
,
LDAP Attribute
su
Email-Addresses
e
Outgoing Claim Type
su
Email Address
.
Fare clic su
Finish
.

Regola di attestazione di esempio n. 2

In questa regola di attestazione, l'indirizzo e-mail configurato nella Regola di attestazione n. 1 verrà inviato come

NameID

dell'oggetto.

Fare clic su
Add Rule
.
Selezionare
Transform an Incoming Claim
come modello di regola di attestazione da utilizzare.
Assegnare un nome. In questo esempio, viene utilizzato
Email Address to Name ID
.
Il tipo di attestazione in entrata deve essere
E-mail Address (
OPPURE deve corrispondere al tipo di attestazione in uscita utilizzato nella regola di attestazione di esempio n. 1).
Impostare
Outgoing claim type
su
Name ID
e
Outgoing name ID format
su
Email
.
Selezionare
Pass through all claim values
.
Fare clic su
Finish
.

Questa regola invierà il valore E-mail-Address di un utente come NameID dell'oggetto con il formato

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

Configurazione di AD FS come provider di identità in

Adaptive Planning

Accedi a
Adaptive Planning
istanza come utente con autorizzazioni di amministratore utente.
Accedere ad
Amministratore > Impostazioni SSO SAML
.
Immettere queste impostazioni:
Nome provider di identità:
immettere qui il nome del server AD FS 2.0.
ID entità provider di identità:
immettere il valore trovato nella AD FS 2.0 Management Console del server FS. A tale scopo, fare clic con il pulsante destro del mouse su
Service
, fare clic su
Edit Federation Services Properties
e copiare il valore del campo
Federation Service Identifier
.
URL Single Sign-On del provider di identità:
immettere l'URL dal lato MS AD FS a cui accedere direttamente
Adaptive Planning
simile a:
https://ADFS_HOST/adfs/ls
.
URL di disconnessione personalizzato
:
facoltativo. Immettere un URL da caricare quando l'utente fa clic su Esci da
Adaptive Planning
. Se non si specifica un UR, il file
Adaptive Planning
viene utilizzata la pagina di accesso.
Certificato provider di identità:
selezionare il file del certificato incluso in Prerequisiti.
ID utente SAML
:
selezionare ID federazione utente. Se si imposta la regola di attestazione in modo che utilizzi l'indirizzo e-mail dell'utente e tale indirizzo è lo stesso del campo di accesso nel profilo utente, selezionare
Utente
Adaptive Planning
nome utente
per
l'ID utente SAML.
Posizione ID utente SAML
: se è stata configurata solo la Regola di attestazione di esempio n. 1 nelle regole delle attestazioni della relying party, selezionare ID utente in Attributo. Se è stata configurata la Regola di attestazione di esempio n. 2, selezionare
ID utente
per
NameID dell'oggetto.
Attributo SAML
e
Formato NameID SAML:
è sufficiente immettere uno dei seguenti elementi:
Se è stata configurata solo la Regola di attestazione di esempio n. 1, compilare il campo
Attributo SAML
con il tipo di attestazione in uscita della Regola di attestazione di esempio n. 1. Lasciare vuoto il campo Formato NameID SAML.
Se sono state configurate entrambe le regole di attestazione di esempio, ignorare il campo
Attributo SAML
e compilare il campo
Formato NameID SAML
. Utilizzare il formato ID nome in uscita indicato nella Regola di attestazione di esempio n. 2 (E-mail).
Abilita SAML
: selezionare Non abilitato (questo è il valore predefinito). Dopo aver testato la configurazione, tornare a questa pagina e abilitare SAML per altri utenti.
Fare clic su
Salva
. Il
Adaptive Planning
Verrà caricata la pagina Panoramica amministratore.
Cerca
Adaptive Planning
SSO URL
nella parte inferiore della pagina e copiare l'intero valore della stringa. Salvare questo valore perché sarà necessario nella sezione successiva. Esempio:

https://login.adaptiveplanning.com:443/samlsso/VkdHUKVFTkNPQURGU0MzNA--

Completare la configurazione della Relying Party AD FS

Tornare alla AD FS 2.0 Administration Console.
Fare clic con il pulsante destro del mouse su
AdaptivePlanning
nell'elenco
Relying Party Trusts
e selezionare
Properties
.
Fare clic sulla scheda
Endpoints
, quindi su
Add
.
Impostare
Endpoint Type
su
SAML Assertion Consumer
.
Impostare
Binding
su
POST
.
Incollare il valore di
Adaptive Planning
URL SSO, copiato nello step 6 di Configurazione di MS AD FS come provider di identità in Adaptive Planning, nel campo
URL
.
Fare clic su
OK
, quindi su
Apply
nella finestra di dialogo delle proprietà.

Verificare la configurazione

Selezionare un utente in AD FS e oltre
Adaptive Planning
. Il
Adaptive Planning
l'utente deve disporre dell'autorizzazione di amministratore SAML.
Immettere l'indirizzo e-mail (o l'attributo LDAP selezionato nella Regola di attestazione n. 1) in AD FS per tale utente.
Da
Adaptive Planning
, immettere l'indirizzo e-mail nel campo
ID federazione SAML
dell'utente nella pagina
Amministrazione > Utenti
e fare clic su
Inoltra
.
Accedere con l'utente AD FS a un computer che fa parte del dominio Active Directory.
All'interno di un browser Web sul computer, accedere a
https://login.adaptiveplanning.com/app
Se l'istanza utilizza un'autenticazione regionale non statunitense, gli URL di autorizzazione e gli endpoint API variano in base all'area geografica. Consultare Riferimenti: URL di autenticazione internazionali.
Se è stato configurato tutto correttamente, si viene reindirizzati al file
Adaptive Planning
pagina di benvenuto Immettere il nome utente ma lasciare vuoto il campo della password nella pagina di accesso. Fare clic su
Inoltra
.

SSO in Excel Interface for Planning e OfficeConnect