Stappen: eenmalige aanmelding via SAML configureren met MS-AD FS 2.0

Vooraf vereist

Een computer:
Waarop Windows Server 2008 R2 en AD FS 2.0 zijn geïnstalleerd.
Heeft de hotfix AD FS 2.0 Rollup 2 geïnstalleerd en het gebruik van de
RelayState
parameter ingeschakeld. Zie de hotfix AD FS 2.0 Rollup 2 voor meer informatie.
Die is opgenomen in een domein.
An
Adaptive Planning
rekening met beheerdersmachtigingen.
Een e-mail van
Adaptive Planning
waarin staat dat u SAML hebt ingericht op uw
Adaptive Planning
instance.
Een certificaat voor tokenondertekening dat is geverifieerd door een certificeringsinstantie.

Ga naar
MS AD FS Management Console > Service > Certificates
.
Klik in de lijst
Certificates
met de rechtermuisknop op
Token-Signing
en klik op
View Certificate
.
Ga naar het tabblad
Details
en klik op
Copy to File
.
Wanneer de
Certificate Export Wizard
wordt weergegeven, klikt u op
Next
.
Selecteer
DER encoded binary X.509 (.cer)
en klik op
Next
.
Selecteer een map om het bestand in op te slaan, geef een naam voor het bestand op en klik op
Next
.
Klik op
Finish
.

De hotfix AD FS 2.0 Rollup 2

Als u de hotfix nog niet hebt geïnstalleerd, gaat u naar:

http://support.microsoft.com/kb/2681584

Schakel na het installeren van de hotfix het gebruik van de parameter RelayState in de door de identiteitsprovider gestarte eenmalige aanmelding in:

Open de
inetpub\adfs\ls\web.config
bestand in een editor.
Zoek de sectie die begint met
<microsoft.identityServer.web>
Voeg deze regel toe aan die sectie:
<useRelayStateForIdpInitiatedSignOn enabled="true" />
Sla het bestand op.

Configureren:

Adaptive Planning

Als Relying Party

Ga naar de AD FS 2.0-beheerconsole.
Klik op
AD FS 2.0
en vouw
Trust Relationships
uit.
Klik met de rechtermuisknop op
Relying Party Trusts
en klik op
Add Relying Party Trust
.
Op de pagina
Select Data Source
selecteert u de optie
Enter data about the relying party manually
en klikt u op
Next
.
Geef een geschikte naam op als weergavenaam. Voorbeeld: AdaptivePlanning. Voer eventuele opmerkingen in en klik op
Next
.
Selecteer
AD FS 2.0 Profile
.
Sla de stap Configure Certificate over.
De . instellen
Adaptive Planning
URL voor eenmalig aanmelden, die u ophaalt op de pagina SAML-instellingen. Voorbeeld:
https://login.adaptiveplanning.com:443/samlsso/VkdHUkVFTkNPQURGUoMzNA==
Voer op de pagina
Configure Identifiers
de URL in op de pagina SAML Settings in
Adaptive Planning
als ID en klik op
Toevoegen
.
Selecteer op de volgende pagina
Permit all users access to this relying party
. Selecteer
Deny
als u deze toepassing later aan specifieke gebruikers wilt toewijzen en klik op
Next
.
Klik op de pagina
Ready to Add Trust
op
Next
.
Schakel op de pagina
Finish
de optie
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
uit en klik op
Close
.

Claimregels configureren

Voorbeeldclaimregel 1

In deze claimregel wordt de waarde van het

e-mailadres

van een gebruiker verzonden als kenmerkstatement in het SAML-antwoord. U kunt elk LDAP-kenmerk in het SAML-token gebruiken, zolang dat kenmerk elke gebruiker op unieke wijze identificeert. Selecteer op dezelfde manier een kenmerk voor Type uitgaande claim in de lijst of typ de naam.

Klik met de rechtermuisknop op
AdaptivePlanning
in de lijst
Relying Party Trusts
en selecteer
Edit Claim Rules
.
Klik op
Add Rule
op het tabblad
Issuance Transform Rules
.
Selecteer
Send LDAP Attribute as Claims
in de vervolgkeuzelijst van de sjabloon
Claim Rule
.
Klik op
Next
.
Geef een naam voor de claim op, bijvoorbeeld
E-mail als claim
.
Stel het veld
Attribute Store
in op
Active Directory
,
LDAP Attribute
op
Email-Adresses
en
Outgoing Claim Type
op
Email Address
.
Klik op
Finish
.

Voorbeeldclaimregel 2

In deze claimregel verzenden we het e-mailadres dat is geconfigureerd in claimregel 1 als de

NameID

van het onderwerp.

Klik op
Add Rule
.
Selecteer
Transform an Incoming Claim
als de te gebruiken claimregelsjabloon.
Geef deze een naam. In dit voorbeeld gebruiken we
E-mailadres naar naam-ID
.
Het type inkomende claim moet
E-mail Address
zijn (OF het moet overeenkomen met het type uitgaande claim dat wordt gebruikt in voorbeeldclaimregel 1).
Stel
Outgoing Claim Type
(het type uitgaande claim) in op
Name ID
en stel
Outgoing name ID format
(notatie voor uitgaande naam-ID) in op
Email
.
Selecteer
Pass through all claim values
.
Klik op
Finish
.

Met deze regel wordt de waarde van het e-mailadres van een gebruiker verzonden als de NameID van het onderwerp met de notatie

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

AD FS instellen als identiteitsprovider in

Adaptive Planning

Aanmelden bij uw
Adaptive Planning
instance als gebruiker met gebruikersbeheerdersmachtigingen.
Ga naar
Beheer > Instellingen voor eenmalig aanmelden via SAML beheren
.
Voer deze instellingen in:
Naam identiteitsprovider:
voer hier uw AD FS 2.0-servernaam in.
Entiteits-ID identiteitsprovider:
voer de waarde in die staat in de beheerconsole van FS Server AD FS 2.0. U vindt dit door met de rechtermuisknop op
Service
te klikken, op
Edit Federation Services Properties
te klikken en de waarde uit het veld
Federation Service Identifier
te kopiëren.
URL voor eenmalige aanmelding identiteitsprovider:
voer de URL van MS AD FS in om u rechtstreeks aan te melden bij:
Adaptive Planning
vergelijkbaar met:
https://ADFS_HOST/adfs/ls
.
URL voor aangepaste afmelding
:
optioneel. Voer een URL in die moet worden geladen wanneer de gebruiker op Afmelden bij klikt
Adaptive Planning
. Als u geen URL opgeeft, wordt de
Adaptive Planning
aanmeldingspagina wordt gebruikt.
Certificaat identiteitsprovider:
selecteer het certificaatbestand dat is opgenomen bij Vooraf vereist
Type SAML-gebruikers-ID
:
selecteer de gebruikersfederatie-ID. Als u uw claimregel instelt om het e-mail van de gebruiker te gebruiken en dat adres hetzelfde is als het aanmeldingsveld in het gebruikersprofiel, selecteert
u Gebruikers
Adaptive Planning
gebruikersnaam
voor
SAML-gebruikers-ID.
Locatie SAML-gebruikers-ID
: als u alleen voorbeeldclaimregel 1 hebt geconfigureerd in de claimregels van de Relying Party, selecteert u Gebruikers-ID in Kenmerk. Als u voorbeeldclaimregel 2 hebt geconfigureerd, selecteert u
Gebruikers-ID
voor
NameID van onderwerp.
SAML-kenmerk
en
Notatie NameID SAML:
u hoeft slechts een van deze twee velden in te voeren:
Als u alleen voorbeeldclaimregel 1 hebt geconfigureerd, vult u in het veld
SAML-kenmerk
het type uitgaande claim uit Voorbeeldclaimregel 1 in. Laat het veld Notatie NameID SAML leeg.
Als u beide voorbeeldclaimregels hebt geconfigureerd, slaat u het veld
SAML-kenmerk
over en vult u het veld
NameID SAML
in. Gebruik de notatie voor de uitgaande naam-ID uit voorbeeldclaimregel 2 (e-mail).
SAML inschakelen
: selecteer Niet ingeschakeld (dit is de standaardwaarde). Ga na het testen van de configuratie terug naar deze pagina en schakel SAML in voor andere gebruikers.
Klik op
Opslaan.
De
Adaptive Planning
De pagina Beheerdersoverzicht wordt geladen.
Zoeken naar
Adaptive Planning
URL voor eenmalig aanmelden
onderaan de pagina en kopieer de volledige tekenreekswaarde. Sla deze waarde op, want u hebt deze nodig in de volgende sectie. Voorbeeld:

https://login.adaptiveplanning.com:443/samlsso/VkdHUKVFTkNPQURGU0MzNA--

De configuratie van de Relying Party voor AD FS voltooien

Ga terug naar uw AD FS 2.0-beheerconsole.
Klik met de rechtermuisknop op
AdaptivePlanning
in de lijst
Relying Party Trusts
en selecteer
Properties
.
Klik op het tabblad
Endpoints
en klik op
Add
.
Stel
Endpoint Type
in op
SAML Assertion Consumer
.
Stel
Binding
in op
POST
.
Plak de waarde van de
Adaptive Planning
URL voor eenmalig aanmelden, die u in stap 6 van MS AD FS instellen als identiteitsprovider in Adaptive Planning hebt gekopieerd naar het veld
URL
.
Klik op
OK
en klik op
Apply
in het eigenschappenvenster.

De instellingen testen

Selecteer een gebruiker op de AD FS en op
Adaptive Planning
. De
Adaptive Planning
gebruiker moet beschikken over SAML-beheerdersmachtigingen.
Voer het e-mailadres (of het LDAP-kenmerk dat is geselecteerd in claimregel 1) in AD FS in voor die gebruiker.
Van
Adaptive Planning
voert u het e-mail mailadres in het veld
SAML-federatie-ID
voor de gebruiker in op de pagina
Beheer > Gebruikers
en klikt u op
Verzenden
.
Meld die AD FS-gebruiker aan op een computer die deel uitmaakt van het Active Directory-domein.
Ga in een webbrowser op die computer naar:
https://login.adaptiveplanning.com/app
Op basis van de locatie van uw Adaptive Planning instance kunnen uw autorisatie-URL's en API-eindpunten variëren. Zie voor meer informatie:Adaptive Planning verificatie-URL's en IP-adressen .
Als u alles correct hebt geconfigureerd, wordt u omgeleid naar de:
Adaptive Planning
welkomstpagina. Voer de gebruikersnaam in, maar laat het wachtwoordveld op de aanmeldingspagina leeg. Klik op
Verzenden
.

SSO in Excel-interface voor Planning en OfficeConnect