Single Sign-On in Workfront Proof: AD FS-Konfiguration

Laden Sie Microsoft AD FS 2.0 auf Ihren Computer herunter.

Öffnen Sie die heruntergeladene Datei „AdfsSetup.exe“, um den Installationsassistenten für ADFS (Active Directory Federation Services) zu starten.

Wählen Sie im Bildschirm „Serverrolle“ eine der Optionen aus (Sie benötigen mindestens einen Verbundserver).

Wenn Sie IIS auf Ihrem AD-Server nicht dem Internet aussetzen möchten (Ports 80 und 443 für HTTP und HTTPS), können Sie zunächst einen Verbundserver hinter der Firewall einrichten und dann einen zweiten Verbundserverproxy erstellen, der Anforderungen über die Firewall an den Verbundserver weiterleitet.

Nachdem Sie die AD FS-Einrichtung abgeschlossen haben, wählen Sie Start the AD FS 2.0 Management Snap-In und klicken Sie dann auf Beenden. Sobald dies abgeschlossen ist, sollte sich das AD FS 2.0-Verwaltungsfenster sofort öffnen. Andernfalls können Sie es über Start > Admin Tools > AD FS 2.0 Management. Dies ist die Hauptanwendung der AD FS-Steuerung.

Klicken Sie zunächst auf AD FS 2.0 Federation Server Configuration Wizard (Assistent für die Serverkonfiguration).
Auf diese Weise können Sie AD FS konfigurieren und sowohl über IIS als auch mit AD eine Verbindung zum Internet herstellen.

Wenn Sie einen neuen AD FS-Server konfigurieren, wählen Sie Neuen Verbunddienst erstellen aus.

Wählen Sie Eigenständiger Verbundserver (zu Test- und Auswertungszwecken) aus.

Klicken Sie für hohe Verfügbarkeit und Lastenausgleich auf Neue Verbundserverfarm.

Geben Sie den Namen Ihres Verbunddiensts an.
Standardmäßig ruft der Konfigurationsassistent das SSL-Zertifikat ab, das an die Standardwebsite in IIS gebunden ist, und verwendet den dort angegebenen Antragstellernamen. Wenn Sie ein Platzhalterzertifikat verwenden, müssen Sie den Namen des Verbunddienstes eingeben.
Wenn in IIS kein SSL-Zertifikat konfiguriert ist, sucht der Konfigurationsassistent im Zertifikatspeicher des lokalen Computers nach gültigen Zertifikaten. Diese werden in der Dropdown-Liste SSL-Zertifikat angezeigt. Wenn keine Zertifikate gefunden werden, können Sie mit dem Server-Zertifikatgenerator in IIS ein Zertifikat erstellen.

Fahren Sie mit der Konfiguration fort, und klicken Sie Schließen sobald sie abgeschlossen ist.

Klicken Sie auf Einstellungen > Kontoeinstellungen und öffnen Sie dann die Registerkarte Single Sign-On.

Fügen Sie im Feld SSO URL Ihre Entitäts-ID ein.
Im Folgenden finden Sie ein Beispiel für eine Entitäts-ID:
http://<adfs.your-company.com>/adfs/services/trust
Ihre Entitäts-ID finden Sie in Ihrer Verbundmetadaten-XML-Datei.

Verbundmetadaten befinden sich im Ordner AD FS 2.0-Snap-In > Dienst > Endpunkte . Suchen Sie im Abschnitt Metadaten die Variable mit dem Verbundmetadaten-Typ. Um Metadaten anzuzeigen, fügen Sie diesen Endpunkt in Ihren Browser ein. Sie können auch direkt zu diesem Link gehen: https://<adfs.your-company.com>/FederationMetadata/2007-06/FederationMetadata.xml, nachdem Sie {adfs.your-company.com} durch Ihre eigenen Details ersetzt haben.

Fügen Sie im Feld Anmelde URL Ihre SSO-Anmeldung ein.

Im Folgenden finden Sie ein Beispiel für eine SSO-Anmeldung:

http://<adfs.your-company.com>/adfs/ls.

Dieser Link kann sich in der Verbundmetadaten-XML-Datei befinden.

Geben Sie im Feld Abmelde ​URL den Link ein und speichern Sie ihn.
Im Folgenden finden Sie ein Beispiel für eine Abmelde-URL:
https://<adfs.your-company.com>/adfs/ls/?wa=wsignout1.0

1. Gehen Sie zu Ihrem AD FS-Manager > Vertrauensstellungen > Vertrauensstellungen vertrauender Parteien - ProofHQ Eigenschaften.

2. Klicken Sie unter „Endpunkte​ auf „Hinzufügen und ​" mit den folgenden Details:

   • Endpunkttyp = SAML-Abmeldung
   • Bindung = POST
   • URL = https://<adfs.your-company.com>/adfs/ls/?wa=wsignout1.0
   • Dieser Schritt kann ausgeführt werden, nachdem die Vertrauensstellung der vertrauenden Seite in der AD FS konfiguriert wurde (siehe unten).

3. Geben in das Feld Zertifikatfingerabdruck“ die Daten aus Ihrem Zertifikat ein.

4. Navigieren Sie zu Ihrem ADFS 2.0-Snap-In zu Service > Zertifikate > Token-Signatur.

5. Klicken Sie mit der rechten Maustaste auf diesen Eintrag, um das Zertifikat anzuzeigen.

6. Kopieren Sie auf der Zertifikatdetails den Fingerabdruck und fügen Sie ihn auf der Registerkarte Konfiguration für einmaliges Anmelden Workfront Proof ein.

7. Die Fingerabdruckzeichen können durch Doppelpunkte oder Leerzeichen getrennt werden. Wir empfehlen jedoch, diese zu entfernen. Sollten Sie Probleme mit Ihrer Single-Sign-On-Konfiguration haben, wenden Sie sich bitte an das Support-Team.

Navigieren Sie zum Ordner Vertrauensstellungen > Vertrauensstellungen vertrauenden Seite) und klicken Sie dann auf Vertrauensstellung für vertrauende Seite hinzufügen, um den Konfigurationsassistenten zu starten.

Datenquelle auswählen.
Alle Metadaten für Ihr ProofHQ-Konto befinden sich unter einem Link wie diesem:
https://<yoursubdomain*>.proofhq.com/saml/module.php/saml/sp/metadata.php/phq
Dadurch wird der größte Teil des Vertrauensbereichs der vertrauenden Seite konfiguriert.

Öffnen Sie Dialogfeld Anspruchsregeln bearbeiten“.

Gehen Sie zu ProofHQ Vertrauen vertrauender Parteien und klicken Sie dann auf Anspruchsregeln bearbeiten (1).
Das Popup sollte automatisch geöffnet werden, wenn Sie diese Option am Ende der Konfiguration der Vertrauensstellung ausgewählt haben.

Klicken Sie Regel hinzufügen (2), um das Fenster für die Anspruchskonfiguration zu öffnen.

• E-Mail (LDAP-Attribute als Anspruchsregelvorlage senden)
• NameID (Umwandlung einer Regelvorlage für eingehende Ansprüche)