SAML Single Sign On handmatige configuratie

Overzicht handmatige configuratie MyWorkDrive SAML

Security Assertion Markup Language (SAML) is een open standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen partijen, met name tussen een identiteitsprovider en een serviceprovider. Zoals de naam al aangeeft, is SAML een op XML gebaseerde opmaaktaal voor beveiligingsbeweringen (statements die serviceproviders gebruiken om beslissingen over toegangscontrole te nemen).

MyWorkDrive Server 5.0 ondersteunt op SAML gebaseerde Web File Manager Single Sign On (SSO) naast ADFS (die afzonderlijk wordt geconfigureerd). Voor SAML fungeert MyWorkDrive als Service Provider (SP) terwijl de partner optreedt als identiteitsprovider (IdP), bijvoorbeeld: Shibboleth, OneLogin, Centrify, Azure AD, OKTA, etc.

Voorgeconfigureerde SAML-installatiehandleidingen

Verschillende SAML-providers zijn vooraf geconfigureerd in MyWorkDrive en gebruiken een vereenvoudigd installatieproces. Bezoek de volgende artikelen voor het instellen van Azure AD, Okta en OneLogin. Het is niet nodig en ook niet aanbevolen om MyWorkDrive handmatig te configureren voor deze providers.

Azure AD SAML

OKTA SAML

OneLogin SAML

Handmatige SAML-vereisten

• Zorg ervoor dat gebruikers een upn-achtervoegsel hebben toegepast op de domeinnaam die overeenkomt met de SAML-provideraanmeldingsnaam, zodat ze met hun e-mailadres kunnen inloggen op uw MyWorkDrive-server.
• Zorg ervoor dat de MyWorkDrive-server wordt vertrouwd voor delegatie volgens onze Delegatie artikel
• Maak uw server beschikbaar via Cloud Web Connector of stel uw eigen openbare SSL-certificaat en hostnaam in die verwijzen naar uw MyWorkDrive-server via poort 443 (SSL) en zorg ervoor dat uw server openbaar toegankelijk is. Ondersteuningsartikel bekijken.

Aanmeldingsstroom

 

Hieronder wordt de gebruikersaanmeldingsstroom voor MyWorkDrive vanaf een identiteitsprovider (IdP) uitgelegd:

 

• Er wordt aangenomen dat alle gebruikers inloggen op de ldP met hun UPN-achtervoegsel (bijv. @uwdomein.com) en dat dit overeenkomt met hun Active Directory-gebruikersnaam UPN.
• Uw MyWorkDrive-server gebruikt uw eigen hostnaam en SSL-certificaat (*.MyWorkDrive.net wordt niet ondersteund voor SAML).
• De gebruiker klikt op de MyWorkDrive assertion-consumentenservice-URL (bijv. https://YourMWDserver.yourdomain.com/SAML/AssertionConsumerService.aspx) als de single sign-on-URL.
• Als de gebruiker nog niet is aangemeld bij de ldP, leidt de MyWorkDrive-server de gebruiker om naar de SSL-service om in te loggen.
• Na bevestiging genereert de IdP-service een geldig SAML-antwoord en leidt de gebruiker terug naar MyWorkdrive om het SAML-antwoord te verifiëren.
• Als de gebruikersauthenticatie met succes is gevalideerd, worden ze automatisch aangemeld bij MyWorkDrive Web File Manager van hun bedrijf.

SAML SSL MyWorkDrive Server-configuratiestappen

 

Om SAML succesvol te configureren op de MyWorkDrive-server zijn de volgende handmatige stappen nodig:

IdP-serviceconfiguratie

Als uw IdP instellingen uit metagegevens importeert, kunt u de MyWorkDrive-metagegevenslink van uw server gebruiken op https://YourMWDserver.yourdomain.com/SAML/ServiceProviderMetadata

• Maak een SAML-configuratie op de IdP die verwijst naar de MyWorkDrive:
• Geef de URL van de assertion-consumentenservice op (bijv. https://YourMWDserver.yourdomain.com/SAML/AssertionConsumerService.aspx) als de URL voor eenmalige aanmelding.
• Specificeer de doelgroep-URI (SP Entity ID) - voer "MyWorkDrive" in als de doelgroep-URI.
• Geef de enkele uitlogservice-URL op (bijv. https://YourMWDServer.yourdomain.com/SAML/SLOService.aspx) als de uitlog-URL.
• Geef de SP-uitgever op. Dit is de naam van de lokale serviceprovider. Voer "MyWorkDrive" in.
• Download het ldP-certificaat en plaats het in C:\Wanpath\WanPath.Data\Settings\Certificates

MyWorkDrive-serverconfiguratie

1. Werk de SAML-configuratie in C:\Wanpath\WanPath.Data\Settings bij om het commentaar op de vermelding voor uw IdP. Als er geen vermelding aanwezig is voor uw IdP, kunt u het MWD-voorbeeld gebruiken.
2. Lokaal certificaatbestand. Deze stap moet voor u worden voltooid in MyWorkDrive-serverversie 5.2 en hoger en er moet een certificaat aanwezig zijn in de map met het wachtwoord in het saml.config-bestand. Als dit niet het geval is, gaat u verder met Exporteren van uw openbare SSL-certificaat dat overeenkomt met uw MyWorkDrive-hostnaam zoals vermeld in uw IdP met een wachtwoord en plaatst u het PFX-exportbestand van het SL-certificaat in C:\Wanpath\WanPath.Data\Settings\Certificates en verwijst ernaar in het serviceprovidergedeelte met het wachtwoord dat u tijdens het exporteren hebt gebruikt.
3. In het gedeelte identiteitsprovider: Stel de naam in op de uitgever van de identiteitsprovider. Deze waarde wordt ook wel de entiteit-ID metagegevens genoemd.
4. In het gedeelte Identiteitsprovider: Stel de SingleSignOnServiceUrl in op de URL voor eenmalige aanmelding van de identiteitsprovider.
5. In het gedeelte Identiteitsprovider: Stel de SingleLogoutServiceUrl in op de enkele uitlog-URL van de identiteitsprovider.
6. Werk de sectie PartnerCertificateFile van de identiteitsprovider bij met het volledige pad en de naam van het certificaatbestand van de identiteitsproviders.

Het configuratiegedeelte van de partneridentiteitsprovider moet vergelijkbaar zijn met het volgende saml.conf

<!– Okta –>

<PartnerIdentityProvider Name=” http://www.okta.com/exkxxxxxxsyyyyyzzzz55″

Beschrijving=”Okta”

SignAuthnRequest=”true”

SignLogoutRequest=”true”

SignLogoutResponse=”true”

WantLogoutRequestSigned=”true”

WantLogoutResponseSigned=”true”

SingleSignOnServiceUrl=”https://uwbedrijf.okta.com/app/uwbedrijf_mwdserver1_1/exkxxxxxyyyy555/sso/saml”

SingleLogoutServiceUrl=”https://uwbedrijf.okta.com/app/uwbedrijf_mwdtest1_1/exkrcdasxxxxxxyyyyy55/slo/saml”

PartnerCertificateFile=”C:\Wanpath\WanPath.Data\Settings\Certificates\okta.cer”/>

 

De configuratie van de sectie Serviceprovider moet vergelijkbaar zijn met de volgende saml.conf

 

<ServiceProvider Name=”MyWorkDrive”

Description=”MWD Service Provider” AssertionConsumerServiceUrl=”~/SAML/AssertionConsumerService.aspx” LocalCertificateFile=”C:\Wanpath\WanPath.Data\Settings\Certificates\uwdomein.pfx”

LocalCertificatePassword=”wachtwoord”/>

 

Zorg er ten slotte voor dat u, voordat u gaat testen, enkele gebruikers hebt toegevoegd aan uw nieuwe MyWorkDrive-item in uw IdP om ze toegang te verlenen tot MyWorkDrive. Gebruik de volgende URL om SAML te testen zonder dat het vereist is nadat u het hebt ingeschakeld: http://yourserver.yourdomain.com/account/login-saml.aspx