Stappen: eenmalige aanmelding via SAML configureren met MS-AD FS 3.0

Vooraf vereist

Een computer:
Waarop de parameter Windows Server 2008 R2 of RelayState is ingeschakeld. Zie
MS AD FS 3.0 RelayState
voor meer informatie.
Die is opgenomen in een domein.
An
Adaptive Planning
rekening met beheerdersmachtigingen
Een e-mail van
Adaptive Planning
met de melding dat SAML is ingericht voor uw instance
Een certificaat voor tokenondertekening dat is geverifieerd door een certificeringsinstantie.

Ga naar
MS AD FS Management Console > Service > Certificates
.
Klik in de lijst met certificaten met de rechtermuisknop op
Token-Signing
en
klik vervolgens op
View Certificate.
Ga naar het tabblad
Details
en klik op
Copy to File...
Wanneer de
Certificate Export Wizard
wordt weergegeven, klikt u op
Next.
Selecteer
DER encoded binary X.509 (.cer)
en klik op
Next.
Selecteer een map om het bestand in op te slaan, geef een naam voor het bestand op en klik op
Next.
Klik op
Finish.

MS AD FS 3.0 RelayState

Voor ADFS 3.0 opent u het volgende bestand in Kladblok:
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
Voeg in de sectie
microsoft.identityServer.web
als volgt een regel voor
useRelayStateForIdpInitiatedSignOn
toe en sla de wijziging op:
<microsoft.identityServer.web>
...
<useRelayStateForIdpInitiatedSignOn enabled="true" />
</microsoft.identityServer.web>
Sla het bestand op.
Start de service Active Directory Federation Services (adfssrv) opnieuw.

Configureren:

Adaptive Planning

als een Relying Party

Ga naar de beheerconsole van MS AD FS 3.0.
Klik op
MS AD FS 3.0
en vouw
Trust Relationships
uit.
Klik met de rechtermuisknop op
Relying Party Trusts
en klik op
Add Relying Party Trust
.
Op de pagina Select Data Source selecteert u de optie
Enter data about the relying party manually
en klikt u op
Next
.
Geef een geschikte naam op als weergavenaam. Voorbeeld: AdaptivePlanning. Voer eventuele opmerkingen in en klik op
Next
.
Selecteer
AD FS profile.
Sla de stap Configure Certificate over.
De . instellen
Adaptive Planning
URL voor eenmalig aanmelden via het scherm SAML-instellingen in
Adaptive Planning
. Voorbeeld:
https://login.adaptiveplanning/samlsso/R0xPQk8==
Voer op de pagina
ID's configureren
in
de URL van het scherm SAML-instellingen in
Adaptive Planning
als ID en klik op
Toevoegen.
Selecteer op de volgende pagina
Permit all users access to this Relying Party
(selecteer
Deny
als u deze toepassing later aan specifieke gebruikers wilt toewijzen) en klik op
Next.
Klik op de pagina
Ready to Add Trust
op
Next
.
Schakel op de pagina
Finish
de optie
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
uit en klik op
Close
.

Claimregels configureren

Voorbeeldclaimregel 1

In deze claimregel wordt de waarde van het

e-mailadres

van een gebruiker verzonden als kenmerkstatement in het SAML-antwoord. U kunt elk LDAP-kenmerk in het SAML-token gebruiken, zolang dat kenmerk elke gebruiker op unieke wijze identificeert. Op dezelfde manier kiest u een type uitgaande claim uit de lijst of typt u de naam.

Klik met de rechtermuisknop op
AdaptivePlanning
in de lijst
Relying Party Trusts
en selecteer
Edit Claim Rules
.
Klik op
Add Rule
op het tabblad
Issuance Transform Rules
.
Selecteer
Send LDAP Attribute as Claims
in de vervolgkeuzelijst van de sjabloon
Claim Rule
.
Klik op
Next.
Geef een naam voor de claim op, bijvoorbeeld
E-mail als claim
.
Stel het veld
Attribute Store
in op Active Directory,
LDAP Attribute
op Email Addresses en
Outgoing Claim Type
op Email Address.
Klik op
Finish
.
SAML-kenmerk:
als u slechts één claimregel 1 hebt geconfigureerd, voert u Outgoing Claim Type in op basis van claimregel 1.
Ga naar de ADFS-beheerconsole en zoek het type uitgaande claim.
Klik op Service > Claim Descriptions
Klik met de rechtermuisknop op het claimtype dat u gebruikt en klik op Eigenschappen.
Kopieer de waarde in
Claim Type
en plak deze in de SAML-kenmerknaam. Het kan er als volgt uitzien:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
' of de korte naam die u mogelijk hebt getypt.

Voorbeeldclaimregel 2

In deze claimregel verzenden we het e-mailadres dat is geconfigureerd in claimregel 1 als de

NameID

van het onderwerp.

Klik op
Add Rule
.
Selecteer
Transform an incoming claim
als de te gebruiken claimregelsjabloon.
Geef deze een naam. In dit voorbeeld gebruiken we
E-mailadres naar naam-ID
.
Het type inkomende claim moet
E-mail Address
zijn (OF het moet overeenkomen met het type uitgaande claim dat wordt gebruikt in voorbeeldclaimregel 1).
Stel
Outgoing claim type
in op
Name ID
en stel
Outgoing name ID format
in op
Email
.
Selecteer
Pass through all claim values
.
Klik op
Finish.

Met deze regel wordt de waarde van het e-mailadres van een gebruiker verzonden als de NameID van het onderwerp met de notatie

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

MS AD FS instellen als identiteitsprovider in

Adaptive Planning

Meld u bij uw Adaptive Planning instance aan als gebruiker met gebruikersbeheerdersmachtigingen.
Ga naar
Beheer > Instellingen voor eenmalig aanmelden via SAML.
Voer de volgende instellingen in:
Naam identiteitsprovider
:
voer hier uw MS AD FS 3.0-servernaam in.
Entiteits-ID identiteitsprovider
:
voer de waarde in die in de beheerconsole van FS Server MS AD FS 3.0 staat. U vindt dit door met de rechtermuisknop op
Service
te klikken, op
Edit Federation Services Properties
te klikken en de waarde uit het veld
Federation Service Identifier
te kopiëren.
URL voor eenmalige aanmelding identiteitsprovider:
voer de URL in die lijkt op (dit is de URL van MS AD FS om u rechtstreeks aan te melden bij Adaptive Planning):
https://ADFS_HOST/adfs/ls
URL aangepaste afmelding
: optioneel. Voer een URL in die moet worden geladen wanneer de gebruiker
op Afmelden
bij Adaptive Planning klikt. Als er geen URL is opgegeven, wordt de Adaptive Planning aanmeldingspagina gebruikt.
Certificaat identiteitsprovider:
selecteer het certificaatbestand dat wordt beschreven bij Vooraf vereist.
Type SAML-gebruikers-ID
: selecteer de federatie-ID van de gebruiker. Als u uw claimregel instelt om het e-mail mailadres van de gebruiker te gebruiken en dat adres hetzelfde is als het aanmeldingsveld in het profiel van de gebruiker, kunt u
de Adaptive Planning gebruikersnaam van de gebruiker selecteren voor SAML-gebruikers-ID.
Locatie SAML-gebruikers-ID
:
als u alleen voorbeeldclaimregel 1 hebt geconfigureerd in de claimregels van de Relying Party, selecteert u
Gebruikers-ID in Kenmerk.
Als u voorbeeldclaimregel 2 hebt geconfigureerd, selecteert u
Gebruikers-ID
voor
NameID van onderwerp.
SAML-kenmerk
en
Notatie NameID SAML:
u hoeft slechts één van deze velden in te voeren. Als u alleen voorbeeldclaimregel 1 hebt geconfigureerd, vult u in het veld SAML-kenmerk het type uitgaande claim uit Voorbeeldclaimregel 1 in en laat u het veld
Notatie NameID SAML
leeg. Als u beide voorbeeldclaimregels hebt geconfigureerd, kunt u het veld
SAML-kenmerk
overslaan en het veld
Notatie NameID SAML
invullen met de notatie voor de uitgaande naam-ID uit Voorbeeldclaimregel 2 (E-mail).
SAML inschakelen
:
selecteer
Niet ingeschakeld
(dit is de standaardwaarde). Ga na het testen van de configuratie terug naar dit scherm en schakel SAML in voor andere gebruikers.
Klik op
Opslaan.
Het beheeroverzicht wordt weergegeven.
Ga terug naar de pagina
Instellingen voor eenmalig aanmelden via SAML
om te controleren of de instellingen zijn opgeslagen. Controleer de uitgever en de geldigheid van het certificaat van de identiteitsprovider.
Zoek naar
URL voor eenmalig aanmelden
Adaptive Planning onderaan de pagina en kopieer de volledige tekenreekswaarde. Sla deze waarde op, want u hebt deze nodig in de volgende sectie.

De configuratie van de Relying Party voor MS AD FS voltooien

Ga terug naar de beheerconsole van MS AD FS 3.0.
Klik met de rechtermuisknop op
AdaptivePlanning
in de lijst
Relying Party Trusts
en selecteer
Properties
.
Klik op het tabblad
Endpoints
en klik op
Add
.
Stel
Endpoint type
in op
SAML Assertion Consumer
.
Stel
Binding
in op
POST
.
Plak de waarde van de URL voor eenmalig aanmelden voor Adaptive Planning in het veld
URL
. Houd er rekening mee dat u de URL hebt gekopieerd in de stap
MS AD FS instellen als identiteitsprovider in Adaptive Planning
.
Klik op
OK
en klik op
Apply
(Toepassen) in het eigenschappenvenster.

De instellingen testen

Selecteer een gebruiker aan de kant van MS AD FS en Adaptive Planning . De
Adaptive Planning
De gebruiker moet een SAML-beheerdersmachtiging hebben.
Voer het e-mailadres (of het LDAP-kenmerk dat is geselecteerd in claimregel 1) in MS AD FS in voor die gebruiker.
Voer in Adaptive Planning het e-mail mailadres (mogelijk dezelfde waarde) in het veld
SAML-federatie-ID
in voor de gebruiker op de pagina
Beheer > Gebruiker bewerken
.
Meld die AD FS-gebruiker aan op een computer die deel uitmaakt van het Active Directory-domein.
Ga in een webbrowser op die computer naar
https://login.adaptiveplanning.com/app
Op basis van de locatie van uw Adaptive Planning instance kunnen uw autorisatie-URL's en API-eindpunten variëren. Zie voor meer informatie:Adaptive Planning verificatie-URL's en IP-adressen .
Als alles correct is geconfigureerd, wordt u omgeleid naar de welkomstpagina van Adaptive Planning . Voer de gebruikersnaam in, maar laat het wachtwoordveld blanco op de aanmeldingspagina. Klik op
Verzenden
.

SSO in Excel-interface voor Planning en OfficeConnect