ONLYOFFICE SP und AD FS IdP konfigurieren

Systemsteuerung v3.5 ONLYOFFICE Systemsteuerung: Änderungsprotokoll

Einleitung

Single Sign-on (SSO) ist eine Technologie, mit der sich Benutzer nur einmal anmelden und dann ohne erneute Authentifizierung auf mehrere Anwendungen/Dienste zugreifen können.

SSO wird immer durch den gemeinsamen Betrieb von zwei Anwendungen sichergestellt: einem Identitätsanbieter und einem Dienstanbieter (im Folgenden als "IdP" und "SP" bezeichnet). ONLYOFFICE SSO implementiert nur den SP. Viele verschiedene Anbieter können als IdP fungieren, aber dieser Artikel befasst sich mit der Implementierung von Active Directory Federation Services (AD FS).

Systemanforderungen

Die Systemanforderungen umfassen die folgende Software, die mit ONLYOFFICE SSO getestet wurde und nachweislich ordnungsgemäß funktioniert:

• Windows Server 2008 R2, Windows Server 2016;
• AD FS Version 3.0 oder höher.

Vorbereiten des ONLYOFFICE Workspace für das SSO-Setup

1. Installieren Sie ONLYOFFICE Workspace für Docker oder eine spätere Version mit SSO-Unterstützung (AD FS wird ab Community Server v9.5 unterstützt).
2. Fügen Sie einen Domainnamen hinzu, z.B. myportal-address.com.
3. Gehen Sie in Ihrem Portal zur Systemsteuerung -> HTTPS, erstellen Sie das letsencrypt-Zertifikat für die Traffic-Verschlüsselung und wenden Sie es an (um HTTPS in Ihrem Portal zu aktivieren).

Vorbereiten von AD FS für das SSO-Setup

1. Installieren Sie die neueste AD DS-Version (Active Directory Domain Service) mit allen offiziellen Updates und Patches.
2. Installieren Sie die neueste AD FS-Version mit allen offiziellen Updates und Patches.
   Um AD FS bereitzustellen, können Sie die folgenden Anweisungen verwenden.
3. Stellen Sie sicher, dass der Link zu den AD FS-Metadaten öffentlich verfügbar ist. Dazu,
   1. Im Server Manager öffnen Sie Tools (Werkzeuge) -> AD FS Management (AD FS Verwaltung),
   2. Öffnen Sie AD FS \ Service \ Endpoints (AD FS \ Dienst \ Endpunkte),
   3. Suchen Sie in der Tabelle die Zeile mit dem Typ Federation Metadata (Föderationsmetadaten). Der Link zu den IdP-Metadaten ist nach folgendem Schema aufgebaut:

      https://{ad-fs-domain}/{path-to-FederationMetadata.xml}

      

      Sie können auch den folgenden PowerShell-Befehl verwenden:

      PS C:\Users\Administrator> (Get-ADFSEndpoint | Where {$_.Protocol -eq "FederationMetadata" -or $_.Protocol -eq "Federation Metadata"}).FullUrl.ToString()

      Sie sollten einen Link erhalten, der so aussieht:

      https://onlyofficevm.northeurope.cloudapp.azure.com/FederationMetadata/2007-06/FederationMetadata.xml

   4. Um zu überprüfen, ob AD FS ordnungsgemäß gestartet wurde, öffnen Sie den erhaltenen Link in einem Webbrowser. Das XML sollte angezeigt oder heruntergeladen werden. Kopieren Sie den Link zum Metadaten-XML: Er wird im nächsten Schritt benötigt.

ONLYOFFICE SP konfigurieren

1. Stellen Sie sicher, dass Sie als Administrator in Ihrer ONLYOFFICE-Systemsteuerung angemeldet sind, und klicken Sie im Abschnitt PORTALEINSTELLUNGEN in der linken Seitenleiste auf die Registerkarte SSO.
   Sie können im ONLYOFFICE-Portal nur einen Enterprise Identity Provider für Ihre Organisation registrieren.
   
2. Aktivieren Sie SSO mit dem Umschalter Authentifizierung mit Einmalanmeldung einschalten und fügen Sie den Link zum AD FS in das Feld URL-Adresse zur IdP Metadaten-XML-Datei ein.
   

   Drücken Sie die Schaltfläche mit dem Aufwärtspfeil, um die IdP-Metadaten zu laden. Das Formular ONLYOFFICE SP-Einstellungen wird automatisch mit Ihren Daten vom AD FS-IdP ausgefüllt.

3. Im Feld Benutzerdefinierte Beschriftung des Login-Buttons können Sie einen beliebigen Text anstelle des Standardtexts eingeben (Single Sign-On). Dieser Text wird auf der Schaltfläche angezeigt, mit der Sie sich mit dem Single Sign-On-Dienst auf der ONLYOFFICE-Authentifizierungsseite beim Portal anmelden.
   
4. Wählen Sie in der Auswahl für das NameID Format den folgenden Wert aus: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress.
   
5. Im Abschnitt Öffentliches Zertifikat des Identity-Providers \ Erweiterte Einstellungen deaktivieren Sie die Option Signatur der Abmelde-Response prüfen, da AD FS dies standardmäßig nicht erfordert.
   
6. Jetzt müssen Sie selbstsignierte Zertifikate erstellen oder andere Zertifikate im Abschnitt SP-Zertifikate hinzufügen.
   Wählen Sie im Fenster Neues Zertifikat, in der Liste Nutzen für die Option zum Signieren und Verschlüsseln aus, da Ihr AD FS-IdP automatisch konfiguriert wird, um zu überprüfen, ob die Daten digital signiert und verschlüsselt sind.
   

   Sie sollten fast das gleiche Ergebnis erhalten:

   
7. Im Abschnitt SP-Zertifikate \ Erweiterte Einstellungen deaktivieren Sie die Option Abmelde-Responses signieren, da AD FS dies standardmäßig nicht erfordert.
   
   Es ist nicht erforderlich, das Formular für die Attributzuordnung anzupassen, da wir diese Parameter später im AD FS-IdP festlegen. Im Abschnitt Erweiterte Einstellungen können Sie die Option Anmeldeseite ausblenden aktivieren, um die Standardauthentifizierungsseite auszublenden und automatisch zum SSO-Dienst weiterzuleiten.
8. Klicken Sie auf die Schaltfläche Speichern. Der Abschnitt ONLYOFFICE SP-Metadata sollte geöffnet werden.
   

   Überprüfen Sie, ob unsere Einstellungen öffentlich verfügbar sind, indem Sie auf die Schaltfläche Laden Sie SP Metadaten XML herunter klicken. Der Inhalt der XML-Datei sollte angezeigt werden.

9. Kopieren Sie den Link zu den ONLYOFFICE SP-Metadaten aus dem Feld SP-Entitäts ID (Link zu Metadaten der XML-Datei) und wechseln Sie zu dem Computer, auf dem AD FS installiert ist.
   

AD FS IdP konfigurieren

1. Im Server Manager öffnen Sie die Seite Tools (Werkzeuge) -> AD FS Management (AD FS Verwaltung),
   
2. Wählen Sie im Feld AD FS Management (AD FS Verwaltung) die Option Trust Relationships > Relying Party Trusts (Vertrauensbeziehungen > Vertrauensstellungen der vertrauenden Seite) aus. Klicken Sie rechts auf die Option Add Relying Party Trust... (Vertrauen der vertrauenden Seite hinzufügen...). Der Assistent Add Relying Party Trust Wizard (Assistent zum Hinzufügen einer Vertrauensstellung der vertrauenden Seite) wird geöffnet.
   
3. Wählen Sie im Assistentenfenster das Optionsfeld Import data about the relying party published online or on a local network (Online oder in einem lokalen Netzwerk veröffentlichte Daten über die vertrauende Seite importieren), fügen Sie den zuvor kopierten Link zu den ONLYOFFICE SP-Metadaten in das Feld Federation metadata address (host name or URL) (Föderation-Metadatenadresse (Hostname oder URL)) ein und klicken Sie auf die Schaltfläche Next (Weiter).
   
4. Geben Sie im Feld Display name (Display name) einen beliebigen Namen ein und klicken Sie auf die Schaltfläche Next (Weiter).
   
5. Wählen Sie die Option I do not want to configure multi-factor authentication settings for this relying party trust at this time (Ich möchte derzeit keine Multi-Faktor-Authentifizierungseinstellungen für diese Vertrauensstellung der vertrauenden Seite konfigurieren) aus und klicken Sie auf die Schaltfläche Next (Weiter).
   
6. Wählen Sie die Option Permit all users to access this relying party (Allen Benutzern den Zugriff auf diese vertrauende Seite erlauben) aus und klicken Sie auf die Schaltfläche Next (Weiter).
   
7. Überprüfen Sie die resultierenden Einstellungen und klicken Sie auf die Schaltfläche Next (Weiter).
   
8. Lassen Sie die Standardoption unverändert und klicken Sie auf die Schaltfläche Close (Schließen).
   
9. Ein neues Fenster wird geöffnet. Klicken Sie auf der Registerkarte Issuance Transform Rules (Ausgabetransformationsregeln) auf die Schaltfläche Add Rule... (Regel hinzufügen).
   
10. Wählen Sie die Option Send LDAP Attributes as Claims (LDAP-Attribute als Ansprüche versenden) aus der Liste Claim rule template (Vorlage für eine Anspruchsregel) aus und klicken Sie auf die Schaltfläche Next (Weiter).
    
11. Geben Sie einen beliebigen Namen in das Feld Claim rule name (Name der Anspruchsregel) ein. Wählen Sie die Option Active Directory (Aktives Verzeichnis) aus der Liste Attribute store (Attributspeicher) aus und füllen Sie das Formular Mapping of LDAP attributes to outgoing claim types (Zuordnung von LDAP-Attributen zu ausgehenden Anspruchstypen) gemäß der folgenden Tabelle aus. Wenn Sie fertig sind, klicken Sie auf Finish (Fertig).

    LDAP-Attribut (auswählen oder eingeben, um weitere hinzuzufügen)	Art des ausgehenden Anspruchs (auswählen oder eingeben, um weitere hinzuzufügen)
    Given-Name	givenName
    Surname (Nachname)	sn
    E-Mail-Addresses	mail
    Telephone-Number (Telefonnummer)	mobile
    Title (Titel)	title
    physicalDeliveryOfficeName	l

    
12. Klicken Sie im Fenster Edit Claim Rules (Anspruchsregeln bearbeiten) erneut auf die Schaltfläche Add Rule... (Regel hinzufügen), wählen Sie die Option Transform an Incoming Claim (Einen eingehenden Anspruch transformieren) aus der Liste Claim rule template (Vorlage für eine Anspruchsregel) und klicken Sie auf Next (Weiter).
    
13. Geben Sie einen beliebigen Namen in das Feld Claim rule name (Name der Anspruchsregel) ein und wählen Sie die folgenden Optionen aus den Listen aus:
    • Incoming claim type (Eingehender Anspruchstyp): mail,
    • Outgoing claim type (Ausgehender Anspruchstyp): Name ID,
    • Outgoing name ID format (Ausgehendes Namens-ID-Format): Email
    

    Wenn Sie fertig sind, klicken Sie auf Finish (Fertig).

    Sie sollten fast das gleiche Ergebnis erhalten.

    

    Wenn die Abmeldung von AD FS nicht funktioniert, wird es empfohlen, eine benutzerdefinierte Anspruchsregel hinzuzufügen, die {portal-domain} durch Ihre SP-Domain ersetzt und {ad-fs-domain} in Ihre IdP-Domain ändert:

    c:[Type == "mail"]
     => issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier", Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer, Value = c.Value, ValueType = c.ValueType, Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"] = "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/namequalifier"] = "http://{ad-fs-domain}/adfs/services/trust", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/spnamequalifier"] = "https://{portal-domain}/sso/metadata");

    
14. Klicken Sie auf die Schaltfläche OK.
15. Damit SSO über das Intranet funktionieren kann, müssen Sie die Option Forms Authentication (Formularauthentifizierung) in Edit Global Authentication Policy (Globale Authentifizierungsrichtlinie bearbeiten) bearbeiten (Kontextmenü AD FS / Authentication Policies (AD FS / Authentifizierungsrichtlinien)) aktivieren,
    
16. Öffnen Sie die Eigenschaften der erstellten Vertrauensstellung der vertrauenden Seite und wechseln Sie zur Registerkarte Advanced (Erweitert).
    

    Wählen Sie die OptionSHA-1 in der Liste Secure hash algorithm (Sicherer Hash-Algorithmus) aus.

    

Überprüfung der Operation des ONLYOFFICE SP mit dem AD FS IdP

Bei ONLYOFFICE auf der SP-Seite anmelden

1. Öffnen Sie die ONLYOFFICE-Authentifizierungsseite auf (z. B., https://myportal-address.com/auth.aspx).
2. Klicken Sie auf die Schaltfläche Single Sign-On (die Beschriftung kann abweichen, wenn Sie bei der Konfiguration von ONLYOFFICE SP einen eigenen Text angegeben haben). Wenn die Schaltfläche fehlt, bedeutet dies, dass SSO nicht aktiviert ist.
   
3. Wenn alle SP- und IdP-Parameter richtig eingestellt sind, werden wir zum AD FS IdP-Anmeldeformular weitergeleitet:
   
4. Geben Sie den Benutzernamen und das Kennwort des AD FS IdP-Kontos ein und klicken Sie auf die Schaltfläche ANMELDEN.
5. Wenn alles korrekt ist, werden wir auf die Hauptseite des Portals weitergeleitet (der Benutzer wird automatisch angelegt, wenn er fehlt, oder die Daten werden aktualisiert, wenn er im IDP geändert wird).

Profile für Benutzer, die mit SSO-Authentifizierung hinzugefügt wurden

Die Möglichkeit, mit der SSO-Authentifizierung erstellte Benutzerprofile zu bearbeiten, ist eingeschränkt. Die vom IdP erhaltenen Benutzerprofilfelder sind zur Bearbeitung deaktiviert (d.h. Vorname, Nachname, E-Mail, Titel und Standort). Sie können diese Felder nur von Ihrem IdP-Konto aus bearbeiten.

Die folgende Abbildung zeigt das Aktionsmenü für einen SSO-Benutzer:

Die folgende Abbildung zeigt ein zur Bearbeitung geöffnetes SSO-Benutzerprofil:

Die mit der SSO-Authentifizierung erstellten Benutzer sind in der Benutzerliste für die Portaladministratoren mit dem SSO-Symbol gekennzeichnet: