ONLYOFFICE SP und Shibboleth IdP konfigurieren

Systemsteuerung v3.5 ONLYOFFICE Systemsteuerung: Änderungsprotokoll

Einleitung

Single Sign-On (SSO) ist eine Technologie, mit der sich Benutzer nur einmal anmelden und dann ohne erneute Authentifizierung auf mehrere Anwendungen/Dienste zugreifen können.

SSO wird immer durch den gemeinsamen Betrieb von zwei Anwendungen sichergestellt: einem Identitätsanbieter und einem Dienstanbieter (im Folgenden als "IdP" und "SP" bezeichnet). ONLYOFFICE SSO implementiert nur den SP. Viele verschiedene Anbieter können als IdP fungieren, aber dieser Artikel befasst sich mit der Implementierung von Shibboleth.

Vorbereiten des ONLYOFFICE Workspace für das SSO-Setup

1. Installieren Sie ONLYOFFICE Workspace v. 11.0.0 für Docker oder eine spätere Version mit SSO-Unterstützung.
2. Fügen Sie einen Domainnamen hinzu, z.B. myportal-address.com.
3. Gehen Sie in Ihrem Portal zur Systemsteuerung -> HTTPS, erstellen Sie das letsencrypt-Zertifikat für die Traffic-Verschlüsselung und wenden Sie es an (um HTTPS in Ihrem Portal zu aktivieren).

Shibboleth IdP erstellen

Anforderungen

• Um Shibboleth IDP bereitzustellen, ist ein sauberer CentOS 7-Hostcomputer erforderlich.
• Die Uhrzeit soll richtig eingestellt sein und der Zeitsynchronisationsdienst soll auf dem Host-Rechner für IDP installiert sein:

  timedatectl  status
  yum install ntp
  systemctl enable ntpd.service
  ntpdate time.apple.com

• Das Unzip-Paket soll auf dem Computer installiert sein:

  yum install unzip

• Docker und Docker Compose sollen auf der Maschine installiert werden.
• Der Maschine soll ein Domainname zugeordnet sein (z.B., your-idp-domain.com)

Shibboleth IdP erstellen

Laden Sie das Skript install.sh herunter und führen Sie es aus, um Shibboleth IDP zu erstellen, konfigurieren und starten.

Hier ist, was das Skript macht:

• lädt Docker-Dateien zum Erstellen von Shibboleth-Idp-Images und -Containern von github herunter,
• ändert die Standarddomain idptestbed.edu in den Konfigurationsdateien an die Domain, die beim Ausführen des Skripts angegeben wurde,
• fügt den Zugriff über das SAML-Protokoll für die angegebene ONLYOFFICE SP-Domains hinzu,
• gibt an, welche Attribute für ONLYOFFICE SP erforderlich sind, um Informationen über Benutzer von Shibboleth IDP auszugeben (Einstellung Attributzuordnung),
• erstellt und konfiguriert LDAP und erstellt Benutzer für die Ausgabe,
• ermöglicht das dynamische Laden von Metadaten von ONLYOFFICE SP zu Shibboleth IDP,
• aktiviert Shibboleth SLO, falls erforderlich.

1. Laden Sie das install.sh-Skript herunter:

   curl -L https://bit.ly/3fwo5e6 -o install.sh

2. Machen Sie das Skript ausführbar:

   chmod +x install.sh

3. Führen Sie das Skript aus und ersetzen Sie die Parameter durch Ihre eigenen:

   ./install.sh -id your-idp-domain.com -sd myportal-address.com --no_slo

   Skriptparameter:

   • -id - ein Domainname des aktuellen Computers für Shibboleth IDP.
   • -sd - ein Domainname, in dem ONLYOFFICE SP bereitgestellt wird.
   • --no_slo - deaktiviert Single Logout in Shibboleth IDP (optionaler Parameter).
4. Warten Sie, wenn Shibboleth IDP nach der Ausführung des Skripts startet.
5. Um zu überprüfen, ob Shibboleth IDP korrekt gestartet wurde, öffnen Sie den Link https://your-idp-domain.com/idp/shibboleth in Ihrem Browser. Eine XML-Datei sollte angezeigt werden.
6. Kopieren Sie den Link https://{your_idp_domain}/idp/shibboleth (z.B., https://your-idp-domain.com/idp/shibboleth) und gehen Sie zum ONLYOFFICE-Portal, indem Sie sich als Administrator anmelden. Öffnen Sie die Seite Systemsteuerung -> SSO.

ONLYOFFICE SP konfigurieren

1. Stellen Sie sicher, dass Sie als Administrator in Ihrer ONLYOFFICE-Systemsteuerung angemeldet sind, und klicken Sie im Abschnitt PORTALEINSTELLUNGEN in der linken Seitenleiste auf die Registerkarte SSO.
   Sie können im ONLYOFFICE-Portal nur einen Enterprise Identity Provider für Ihre Organisation registrieren.
   
2. Aktivieren Sie SSO mit dem Umschalter Authentifizierung mit Einmalanmeldung einschalten und fügen Sie den Link zum Shibboleth-IdP in das Feld URL-Adresse zur IdP Metadaten-XML-Datei ein.
   
3. Drücken Sie die Schaltfläche mit dem Aufwärtspfeil, um die IdP-Metadaten zu laden. Das Formular ONLYOFFICE SP-Einstellungen wird automatisch mit Ihren Daten vom Shibboleth-IdP ausgefüllt.

   Da wir SLO beim Ausführen des install.sh-Skripts durch Angabe des Parameters --no_slo deaktiviert haben, ist das Feld Einzel-Abmeldung-URL des Endpunkts von IdP leer.

4. Sobald die IdP-Metadaten geladen sind, werden im Abschnitt Öffentliches Zertifikat des Identity-Providers zwei Zertifikate hinzugefügt. Außerdem sehen Sie das Pop-Up-Fenster mit dem folgenden Text: 'Mehrere ldp Zertifikate zur Verifizierung werden nicht unterstützt. Bitte stellen Sie nur das primäre Zertifikat bereit'.

   Sie müssen das zweite Zertifikat in der Liste löschen und nur das erste Zertifikat belassen, das das primäre Zertifikat ist. Verwenden Sie den Link Löschen neben dem zweiten Zertifikat, um es zu entfernen. Wenn Sie das Zertifikat nicht entfernen, können Sie die Einstellungen nicht speichern.

5. Im Feld Benutzerdefinierte Beschriftung des Login-Buttons können Sie einen beliebigen Text anstelle des Standardtexts eingeben (Single Sign-On). Dieser Text wird auf der Schaltfläche angezeigt, mit der Sie sich mit dem Single Sign-On-Dienst auf der ONLYOFFICE-Authentifizierungsseite beim Portal anmelden.
   
6. Jetzt müssen Sie selbstsignierte Zertifikate erstellen oder andere Zertifikate im Abschnitt SP-Zertifikate hinzufügen.
   Wichtig!Wählen Sie in der Liste Nutzen Sie für die Option zum Signieren und Verschlüsseln aus, da Ihr Shibboleth-IdP automatisch mit dem install.sh-Skript konfiguriert wird, um zu überprüfen, ob die Daten digital signiert und verschlüsselt sind.
   

   Sie sollten fast das gleiche Ergebnis erhalten:

   
7. Legen Sie im Abschnitt Attributzuordnung die Übereinstimmung der Felder im Modul ONLYOFFICE Personen mit den Benutzerattributen fest, die vom Shibboleth-IdP zurückgegeben werden.

   First Name	urn:oid:2.5.4.42
   Last Name	urn:oid:2.5.4.4
   Email	urn:oid:0.9.2342.19200300.100.1.3
   Location	urn:oid:2.5.4.7
   Title	urn:oid:2.5.4.12
   Phone	urn:oid:0.9.2342.19200300.100.1.41

   

   Im Abschnitt Erweiterte Einstellungen können Sie die Option Authentifizierungsseite ausblenden aktivieren, um die Standardauthentifizierungsseite auszublenden und automatisch zum SSO-Dienst weiterzuleiten.

8. Klicken Sie auf die Schaltfläche Speichern.
9. Der Abschnitt ONLYOFFICE SP-Metadata sollte geöffnet werden.
10. Überprüfen Sie, ob unsere Einstellungen öffentlich verfügbar sind, indem Sie auf die Schaltfläche Laden Sie SP Metadaten XML herunter klicken. Der Inhalt der XML-Datei sollte angezeigt werden.
    

    Diese XML-Datei wird normalerweise verwendet, um Shibboleth IDP zu konfigurieren, aber da das install.sh-Skript DynamicHTTPMetadataProvider aktiviert, müssen wir dies nicht tun (Shibboleth IDP lädt diese XML-Datei bei der ersten Anfrage für die Anmeldung herunter).

Überprüfung der Arbeit des ONLYOFFICE SP mit dem Shibboleth IdP

Das Skript install.sh erstellt 4 Benutzer, die zum Testen der Arbeit des ONLYOFFICE SP mit dem Shibboleth IdP verwendet werden können.

E-Mail	Nutzername	Kennwort	Kommentar
student1@{your_idp_domain}	student1	password	Standard
student2@{your_idp_domain}	student2	password	Without givenName
student3@{your_idp_domain}	student3	password	With umlauts
staff1@{your_idp_domain}	staff1	password	Obligatory fields only

Bei ONLYOFFICE auf der SP-Seite anmelden

1. Öffnen Sie die ONLYOFFICE-Authentifizierungsseite auf (z.B., https://myportal-address.com/Auth.aspx).
2. Klicken Sie auf die Schaltfläche Single Sign-On (die Beschriftung kann abweichen, wenn Sie bei der Konfiguration von ONLYOFFICE SP einen eigenen Text angegeben haben). Wenn die Schaltfläche fehlt, bedeutet dies, dass SSO nicht aktiviert ist.
   
3. Wenn alle SP- und IdP-Parameter richtig eingestellt sind, werden wir zum Shibboleth IdP-Anmeldeformular weitergeleitet:
   
4. Geben Sie den Benutzernamen und das Kennwort des Shibboleth IdP-Kontos ein (Benutzername: student1, Kennwort: password) und aktivieren Sie das Kästchen Don't Remember Login (Nicht an die Anmeldung erinnern).
5. Wenn die Anmeldeinformationen korrekt sind, wird ein neues Fenster geöffnet. Erlauben Sie die Bereitstellung von Informationen für den Dienst, indem Sie auf die Schaltfläche Accept (Annehmen) klicken.
   
6. Wenn alles korrekt ist, werden wir auf die Hauptseite des Portals weitergeleitet (der Benutzer wird automatisch angelegt, wenn er fehlt, oder die Daten werden aktualisiert, wenn er im IDP geändert wird).
   

Profile für Benutzer, die mit SSO-Authentifizierung hinzugefügt wurden

Die Möglichkeit, mit der SSO-Authentifizierung erstellte Benutzerprofile zu bearbeiten, ist eingeschränkt. Die vom IdP erhaltenen Benutzerprofilfelder sind zur Bearbeitung deaktiviert (d.h. First Name (Vorname), Last Name (Nachname), Email (E-Mail), Title (Titel) und Location (Standort)). Sie können diese Felder nur von Ihrem IdP-Konto aus bearbeiten.

Die folgende Abbildung zeigt das Aktionsmenü für einen SSO-Benutzer:

Die folgende Abbildung zeigt ein zur Bearbeitung geöffnetes SSO-Benutzerprofil:

Die mit der SSO-Authentifizierung erstellten Benutzer sind in der Benutzerliste für die Portaladministratoren mit dem SSO-Symbol gekennzeichnet:

Um sich vom Shibboleth-IdP abzumelden (wenn Sie beim Anmelden das Kästchen Don't Remember Login (Nicht an die Anmeldung erinnern) nicht aktiviert haben), gehen Sie zu dem Link, der so aussieht: https://{shibboleth-idp-domain}/idp/profile/Logout