Mit dem Zusatzmodul SAML (Security Assertion Markup Language) machen Sie sich das XML-Framework zum Austausch von Authentifizierungs- und Autorisierungsinformationen auch in raum]für[raum zunutze.
Die Funktion ist im programMANAGER implementiert und kann dort über die „Setup SAML"-Seite und die darin verlinkte „SimpleSAMLphp-Installationsseite" installiert und konfiguriert werden.
Im Anschluss ist raum]für[raum als Service Provider (SP) in der Lage, anhand von SAML assertions, die vom Identity Provider (IdP) übertragen werden, über das Zulassen eines Zugriffs zu entscheiden.

Füllen Sie die ersten beiden Abschnitte „Ident" und „SAML SP" aus und senden Sie das Formular ab.

Ident

Fieldnames

Tragen Sie hier die vom SAML-Request zurückgelieferten User-Attribute ein, unter denen die Benutzer-ID vom Web-Server übermittelt wird.
Kommasepariert (ohne Leerzeichen!) können mehrere User-Attribute angegeben werden. Diese werden nacheinander abgefragt, ob eine davon gesetzt ist. Der erste Treffer wird für SSO verwendet.

Convert UTF8

Oftmals wird die Benutzer-ID im ISO-8859-1 Zeichensatz übergeben. Mit dieser Option wird die Benutzer-ID nach UTF8 konvertiert.

Cut Identifier

Hier kann eine Zeichenkette angegeben werden, um die Benutzer-ID vom Domänennamen zu trennen.
Beispiel Windows: Hier ist die Benutzer-ID meist domain\username. Wird bei dieser Option "\" angegeben, wird die domain abgeschnitten und nur der username für SSO benutzt.

Userfield

Mit welchem Benutzerfeld soll die Benutzer-ID verglichen werden? Default: "username"

SAML SP

Entity ID

Die Entity-ID vom Service Provider (SP). Entspricht dem Domainnamen von raum]für[raum.

Technical contact name

Tragen Sie hier den Namen des technischen Kontakts ein.

Technical contact email

Hinterlegen Sie die E-Mail-Adresse der Kontaktperson.

Secret salt

Wählen Sie eine zufällige Zeichenfolge, um die Entropie der Eingabe und somit die Informationssicherheit zu erhöhen.

Admin password

Legen Sie ein Admin-Passwort für die SimpleSAMLphp-Installationsseite fest.

Log level

Definieren Sie die Art/Menge der ausgegebenen Log-Daten.

Log handler

Wählen Sie das gewünschte Ziel der Log-Daten.

Production

Über die Checkbox können Sie zwischen Produktions- und Testbetrieb unterscheiden.

Private key

Hier können Sie den privaten Teil des SAML-Zertifikates hochladen.
Der Screenshot zeigt den Zustand, wenn noch keine Datei hochgeladen wurde.

Delete certificate

Der öffentliche Teil des SAML-Zertifikates wird an dieser Stelle hochgeladen.
Der Screenshot zeigt den Zustand, wenn die Datei bereits hochgeladen wurde. Über die Checkbox lässt sich diese wieder entfernen.

Klicken Sie auf den Link zur „SimpleSAMLphp installation page" und melden Sie sich mit dem soeben vergebenen Passwort an. Anschließend wählen Sie den Tab „Föderation"/„Federation".

 

Klicken Sie unter „SAML 2.0 SP Metadaten"/„SAML 2.0 SP Metadata" auf den Link „Metadaten zeigen"/„Show metadata".

Kopieren Sie alle drei ausgegebenen Textblöcke URL/XML/PHP und lassen Sie sie dem Administrator des SAML-IdP zukommen.


Die im Gegenzug vom SAML-IdP-Administrator übermittelten IdP-Metadaten fügen Sie anschließend im PHP-Format (für Konvertierung siehe nachfolgenden Hinweis!) im programMANAGER im dritten Abschnitt ein und senden diese ab.

Bitte beachten Sie, dass die Metadaten hier im SimpleSAML-PHP-Format eingefügt werden müssen!
Auf der „SimpleSAMLphp-Installationsseite" unter dem Reiter „Föderation"/„Federation" (Abschnitt „Werkzeuge") befindet sich ein Link, mit dem Metadaten im XML-Format ins PHP-Format gewandelt werden können.

Nach dem Einfügen der IdP-Metadaten wird auf der „Setup SAML"-Seite im programMANAGER die erste gefundene Entity-ID angezeigt.


SAML-Testbetrieb

SAML-Produktivbetrieb

  • Nach erfolgreicher Konfiguration kann die Authentifizierung des Benutzers auf der „SimpleSAMLphp-Installationsseite" getestet werden.
  • Anschließend kann die Authentifizierung/Benutzerberechtigung in raum]für[raum getestet werden.
    Dafür rufen Sie die URL <BASE_URL>/saml.php&testsso auf.
  • Nach erfolgreichem Test der Benutzerauthentifizierung/-berechtigung, kann SAML produktiv in raum]für[raum genutzt werden.
  • Dafür verwenden Sie folgende Einstiegs-URL: <BASE_URL>/saml.php
  • Diese kann in der System-Initialisierung unter „SSO" eingetragen werden.