SAML Login für Portale

In der OXOMI-Verwaltungsoberfläche müssen u. a. der SAML-Antragssteller, der zugehörige Index, die SAML-URL, der SAML-Provider-Name und insbesondere der SAML-Fingerprint angegeben werden. Diese und weitere Konfigurationsmöglichkeiten finden Sie allesamt unter dem Menüpunkt „SAML 2.0“ in den Portaleinstellungen. Die entsprechenden Werte ergeben sich aus der Konfiguration Ihres Authentifizierungsdienstes, also etwa ADFS oder Microsoft Entra ID.

SAML-Einstellungen am OXOMI-Portal

Sobald die Konfiguration erfolgreich abgeschlossen ist, können sich die Nutzer mit ihren Firmen-Login-Daten in Ihren OXOMI-Portalen anmelden. Es erscheint hierfür in der Login-Maske des Portals ein zusätzlicher Button, über den der SAML-Login gestartet werden kann.

Portal-Login mit SAML-Option

Wenn Sie ADFS (Active Directory Federation Services) verwenden, begeben Sie sich in deren Einstellungen zunächst zu den „Vertrauensstellungen der vertrauenden Seite“ (englisch: Standard Relying Party Trust) und wählen Sie rechts „Vertrauensstellung der vertrauenden Seite hinzufügen“.

Vertrauensstellung der vertrauenden Seite

Es öffnet sich anschließend ein sogenannter Wizard, der Sie durch die weiteren Schritte führt. Im ersten solchen Schritt wählen Sie nun die Option „Ansprüche unterstützend“.

Vertrauensstellung der vertrauenden Seite hinzufügen

Im nächsten Schritt – „Datenquelle auswählen“ – wird die „manuelle Dateneingabe“ ausgewählt.

Datenquelle auswählen

Anschließend geben Sie einen Namen ein, mit dem Sie die Konfiguration auch in Zukunft wiedererkennen. Dies ist vor allem dann wichtig, wenn Sie mehrere Konfigurationen anlegen, etwa für andere OXOMI-Portale oder für andere Dienste, die Sie mit ADFS verbinden möchten.

Anzeigename angeben

Die folgenden Einstellungen zum Zertifikat können übersprungen werden.

Zertifikat konfigurieren

In der URL-Konfiguration wählen Sie die Option zur Unterstützung von SAML 2.0. Dort ist die URL https://oxomi.com/saml/<PORTAL-CODE> zu hinterlegen, wobei der Platzhalter <PORTAL-CODE> durch den Code Ihres Portales ersetzt wird. Diesen entnehmen Sie am einfachsten der URL, mit der Sie Ihr Portal erreichen – hinter dem Präfix https://oxomi.com/p/ folgt Ihr Code. So hat beispielsweise unser eigenes Portal https://oxomi.com/p/125/search den Code 125.

URL Konfigurieren

Fügen Sie nun einen Bezeichner mit beliebigem Namen hinzu. Dieser wird in OXOMI in das Feld „SAML-Antragssteller“ eingetragen.

Bezeichner konfigurieren

Die Zugriffssteuerungsrichtlinie können Sie nach eigenen Wünschen wählen.

Zugriffssteuerungsrichtlinie auswählen

Anschließend können Sie Ihre Einstellungen nochmals überprüfen.

Einstellungen überprüfen

Nach der Fertigstellung wählen Sie für die weitere Konfiguration „Anspruchsausstellungsrichtlinie bearbeiten“. Wählen Sie hier „LDAP-Attribute als Ansprüche senden“.

LDAP als Regelvorlage auswählen

Wählen Sie nun das Attribut, welches als Portalbenutzername in OXOMI fungieren soll. Es empfiehlt sich z. B. die E-Mail-Adresse. Optional können nun noch eine oder mehrere Regeln erstellt werden, um Attribute direkt als Portalrollen festzulegen.

LDAP Regel konfigurieren

Dafür wird die Vorlage „Gruppenmitgliedschaft als Anspruch senden“ gewählt.

Gruppenmitgliedschaft als Anspruch senden als Regelvorlage auswählen

Wählen Sie die LDAP-Gruppe und definieren Sie als Typ „Gruppe“. Bei „Wert des ausgehenden Anspruchs“ werden eine oder mehrere Portalrollen (kommagetrennt) angegeben.

Gruppenmitgliedschaft als Anspruch senden Regel konfigurieren

Weitere Informationen für die Konfiguration des OXOMI-Portals erhalten Sie anschließend über Befehle, die Sie in der PowerShell ausführen können.

• Der „SAML-Provider Name“ kann mit dem Befehl Get-AdfsProperties ausgelesen werden und ist bei dem Wert „Identifier“ sichtbar.
• Der „SAML-Fingerprint“ des Zertifikats kann mit dem Befehl Get-ADFSCertificate ausgelesen werden. Relevant ist der Fingerprint des „Token-Signing“-Zertifikats.

In der Verwaltungsoberfläche von Microsoft Entra muss zunächst eine „Enterprise Application“ angelegt werden. Hierzu wird der Dialog „Create your own application“ verwendet. Vergeben Sie dort einen passenden, frei gewählten Namen, und wählen Sie die Option „Integrate any other application you don't find in the gallery (Non-gallery)“ aus.

Einrichtung einer Enterprise Application

Nach dem Anlegen der neuen Enterprise Application wird der Menüeintrag „Single sign-on“ ausgewählt. Auf der sich öffnenden Seite „Select a single sign-on method“ wird dann „SAML“ als Login-Methode aktiviert.

Menüeintrag „Single sign-on“

Auswahl von SAML als Login-Methode

Anschließend öffnen sich die SAML Einstellungen als eine Liste von nummerierten Kästchen. Dort werden zunächst unter Punkt 1, „Basic SAML Configuration“, die beiden als „Required“ (verpflichtend) markierten Einstellungen gemacht. Hierzu den Punkt „Edit“ (Bearbeiten) anklicken.

Grundlegende SAML Einstellungen mit Button zum Bearbeiten (Kästchen 1)

Im anschließenden Dialog, der ebenfalls mit „Basic SAML Configuration“ überschrieben ist, muss zunächst ein Wert „Identifier (Entity ID)“ definiert werden. Dieser Wert ist grundsätzlich im Rahmen der Anforderungen von Entra frei wählbar, muss aber später exakt in den Portaleinstellungen von OXOMI in das Feld „SAML-Antragssteller“ übertragen werden.

Außerdem muss bei Microsoft Entra als „Reply URL“ die Rücksprungadresse bei OXOMI gesetzt werden. Diese lautet https://oxomi.com/saml/<PORTAL-CODE>, wobei der Platzhalter <PORTAL-CODE> durch den Code Ihres Portales ersetzt wird. Diesen entnehmen Sie am einfachsten der URL, mit der Sie Ihr Portal erreichen – hinter dem Präfix https://oxomi.com/p/ folgt Ihr Code. So hat beispielsweise unser eigenes Portal https://oxomi.com/p/125/search den Code 125.

Verwendung der Rücksprungadresse sowohl als „Entity ID“ als auch als „Reply URL“

Anschließend können die Werte von Microsoft Entra in der OXOMI-Verwaltungsoberfläche unter Menüpunkt „SAML 2.0“ in die Einstellungen des OXOMI-Portals übernommen werden. Richten Sie sich dabei nach folgender Tabelle, um die richtigen Werte an den richtigen Stellen zu hinterlegen.

Für OXOMI relevante Werte bei Microsoft Entra (Kästchen 3 und 4)

Abschließend können Sie zu den Einstellungen von Microsoft Entra zurückkehren und festlegen, welche Ihrer Nutzer den SAML-Login nutzen dürfen. Öffnen Sie hierfür den Menüpunkt „Properties“. Dort können Sie durch den Schalter „Enabled for users to sign-in?“ den Login generell an- und ausschalten. Über den Schalter „Assignment required?“ können Sie zusätzlich festlegen, dass nur bestimmte Ihrer Benutzer oder Gruppen Zugriff auf das Portal erhalten sollen.

Einstellungen zum Login mit generellem An/Aus-Schalter und Schalter für eingeschränkten Zugriff

Sollten Sie sich dazu entschließen, den Zugriff auf das Portal auf bestimmte Benutzer oder Gruppen zu beschränken, dann müssen Sie diese unter dem Punkt „Users and groups“ anschließend noch einrichten.

Pflege von zugriffsberechtigten Benutzern und Gruppen im Entra Portal

Auch mit Entra ID können Portalrollen an OXOMI übergeben werden. Falls noch nicht geschehen, muss dafür zunächst die entsprechende Rolle im OXOMI-Portal angelegt werden. Dies geschieht in der OXOMI-Verwaltungsoberfläche bei den Portaleinstellungen unter dem Menüpunkt „Portalrollen“.

Pflege von Portalrollen bei OXOMI mit Rolle „scireum“

Im Microsoft Entra Verwaltungsportal kann anschließend in der Detailansicht der für das Portal angelegten „Enterprise Application“ unter dem Menüpunkt „App roles“ eine neue Rolle angelegt werden. Der „Value“ ist der Name der Rolle im OXOMI-Portal, wie er zuvor angelegt wurde.

Hinzufügen einer App Role für Portalrolle „scireum“

Nach dem Speichern der „App Role“ wechselt man anschließend nach Rückkehr zur Detailansicht der „Enterprise Application“ über den Menüpunkt „Users and groups“ in die Nutzerverwaltung. Hier kann die „App Role“ nun bei Erstellung einer neuen Gruppe sofort ausgewählt werden, oder sie kann bestehenden Benutzern oder Gruppen zugewiesen werden. Auf diese Weise wird die Entra Gruppe direkt mit der Portalrolle im OXOMI-Portal verknüpft.

Nutzerübersicht bei Microsoft Entra mit zugewiesenen „App Roles“

Es besteht die Möglichkeit, die Daten der Benutzer von ADFS, aus Microsoft Entra oder einem anderen Dienst in das OXOMI-Portal zu übernehmen. Hierfür muss in OXOMI in der Portalkonfiguration unter „Profile“ die Einstellung „Automatisch Portal-Benutzer anlegen/aktualisieren“ aktiviert werden.

Die weitere Konfiguration erfolgt für ADFS oder Microsoft Entra unter Attribute & Ansprüche.

Attribute Mapping bei Microsoft Entra