Drupal SAML Single Sign On mit SimpleSAMLphp als Identitätsanbieter

Die Drupal SAML-Integration mithilfe von miniOrange SAML SP Das Modul stellt nahtloses SSO zwischen SimpleSAMLphp und der Drupal-Site her. Die Benutzer können sich mit ihren SimpleSAMLphp-Anmeldeinformationen bei der Drupal-Site anmelden. Dieses Dokument führt Sie durch die Schritte zum Konfigurieren von Single Sign-On – SSO zwischen Drupal als Service Provider (SP) und SimpleSAMLphp als Identitätsanbieter (IdP). Das Modul ist mit Drupal 7, Drupal 8, Drupal 9 und Drupal 10 kompatibel.

Drupal SAML SP-Metadaten

• Nach der Installation des Moduls auf der Drupal-Site im Verwaltung Menü, navigieren Sie zu Konfiguration → Personen → miniOrange SAML-Anmeldekonfiguration. (/admin/config/people/miniorange_saml/idp_setup)

• Kopieren Sie die SP-Entitäts-ID/Aussteller und für SP ACS-URL der Metadaten des Dienstanbieters Tab. Halten Sie es griffbereit. (Dies ist erforderlich, um OneLogin als Identitätsanbieter (IdP) zu konfigurieren.)

Konfigurieren Sie SimpleSAMLphp als IDP:

• Öffnen Sie im SimpleSAML-Installationsverzeichnis config/config.php und folgendes bearbeiten:

  'enable.saml20-idp' ⇒ wahr

• Aktivieren Sie die UserPass-Authentifizierung Modul (in exampleauth enthalten). Dies geschieht durch Erstellen einer Datei mit dem Namen ermöglichen (Dateiname) in module/exampleath/.

• Erstellen Sie eine Authentifizierungsquelle in config/authsources.php. Die Datei sollte einen einzelnen Eintrag enthalten, siehe unten:

    '__DEFAULT__', /* * Der private Schlüssel und das Zertifikat, die beim Signieren von Antworten verwendet werden sollen. * Diese werden im Zertifikatsverzeichnis gespeichert. */ 'privatekey' => 'example.org.pem', 'certificate' => 'example.org.crt', /* * Die Authentifizierungsquelle, die zur Authentifizierung des * Benutzers verwendet werden soll. Dies muss mit einem der Einträge in config/authsources.php übereinstimmen. */ 'auth' => '' Beispiel:- 'example-userpass', // Sie finden dies in Schritt Nummer 1 ];
  

Diese Konfiguration erstellt zwei Benutzer – Student und Employee – mit den Passwörtern „Studentpass“ und „Employeepass“. Der Benutzername und das Passwort werden im Array-Index gespeichert (student:studentpass für den student-user). Die Attribute für jeden Benutzer werden in dem Array konfiguriert, auf das der Index verweist. Für den studentischen Benutzer sind dies also:

  [ 'uid' => ['student'], 'eduPersonAffiliation' => ['member', 'student'], ],

Die Attribute werden vom IdP zurückgegeben, wenn sich der Benutzer anmeldet.

• Generieren Sie ein selbstsigniertes Zertifikat mit einer der folgenden Methoden:

• Verwenden des OpenSSL-Befehls

  openssl req -newkey rsa:3072 -new -x509 -days 3652 -nodes -out example.org.crt -keyout example.org.pem

• Generieren Sie es mit beliebigen Online-Tools und fügen Sie sie dem Zertifikatsverzeichnis hinzu.

  Die Erweiterung sollte wie folgt aussehen

  example.org.crt //(Öffentlicher Schlüssel)example.org.pem //(Privater Schlüssel)

Hinweis:SimpleSAMLphp funktioniert nur mit RSA-Zertifikaten. DSA-Zertifikate werden nicht unterstützt.

• Der SAML 2.0 IdP wird durch die in gespeicherten Metadaten konfiguriert metadata/saml20-idp-hosted.php. Dies ist eine Minimalkonfiguration:

    '__DEFAULT__', /* * Der private Schlüssel und das Zertifikat, die beim Signieren von Antworten verwendet werden sollen. * Diese werden im Zertifikatsverzeichnis gespeichert. */ 'privatekey' => 'example.org.pem', 'certificate' => 'example.org.crt', /* * Die Authentifizierungsquelle, die zur Authentifizierung des * Benutzers verwendet werden soll. Dies muss mit einem der Einträge in config/authsources.php übereinstimmen. */ ' auth' => '' Beispiel:- 'example-userpass', // Sie finden dies in Schritt Nummer 1 ];
  

• Der Identitätsanbieter, den Sie konfigurieren, muss wissen, mit welchen Dienstanbietern Sie eine Verbindung herstellen möchten. Dies wird durch Metadaten konfiguriert, die in metadata/saml20-sp-remote.php gespeichert sind. Dies ist ein minimales Beispiel einer metadata/saml20-sp-remote.php-Metadatendatei für einen SimpleSAMLphp SP: (Ersetzen example.com mit Ihrem Drupal-Domänenname.)

    'https://example.com/samlassertion', 'SingleLogoutService' => 'https://example.com/user/logout', 'NameIDFormat' => 'urn:oasis:names:tc:SAML:1.1:nameid -format:emailAddress', 'simplesaml.nameidattribute' => 'mail', 'simplesaml.attributes' => true, 'attributes' => array('mail', 'givenname', 'sn', 'memberOf'), ];
  

Hinweis: Dass sich der URI in der Entitäts-ID und die URLs zu den Endpunkten AssertionConsumerService und Single Logout Service zwischen verschiedenen Dienstanbietern ändern. Wenn Sie die Metadaten des Remote-SP als XML-Datei haben, können Sie den integrierten XML-zu-SimpleSAMLphp-Metadatenkonverter verwenden, der standardmäßig als /admin/metadata-converter.php in Ihrer SimpleSAMLphp-Installation verfügbar ist.

• Gehen Sie zur SimpleSAMLphp-Homepage der Installation. (Die URL einer Installation kann z. B. sein https://service.example.com/simplesaml/ wobei service.example.com durch Ihren SimpleSAMLphp-Pfad ersetzt werden muss.)
• Navigieren Sie zur Registerkarte „Föderation“ und klicken Sie auf Metadaten anzeigen. (Diese IdP-Metadaten werden benötigt, um Drupal als SP zu konfigurieren.)

Konfigurieren Sie Drupal als SAML-Dienstanbieter:

• Navigieren Sie zu der Einrichtung des Dienstanbieters Registerkarte des SAML-Moduls auf der Drupal-Site und klicken Sie auf Laden Sie SP-Metadaten hoch um es zu erweitern.

• Laden Sie die zuvor heruntergeladene Metadatendatei von SimpleSAML in die hoch Metadatendatei hochladen Textfeld und klicken Sie auf Datei hochladen .

• Nachdem Sie die Konfigurationen erfolgreich gespeichert haben, klicken Sie auf Test Link

• Melden Sie sich in einem Testkonfigurations-Popup mit OneLogincredentials an (wenn keine aktive Sitzung vorhanden ist). Nach erfolgreicher Authentifizierung wird eine Liste der von OneLogin empfangenen Attribute angezeigt. Klick auf das Erledigt .

Glückwunsch! Sie haben SimpleSAML erfolgreich als SAML-Identitätsanbieter und Drupal als SAML-Dienstanbieter konfiguriert.

Wie funktioniert die SAML-SSO-Anmeldung?

• Öffnen Sie einen neuen Browser/ein neues privates Fenster und navigieren Sie zur Anmeldeseite der Drupal-Site.
• Klicken Sie auf die Anmeldung mit Identitätsanbieter (SimpleSAMLphp) Link.
• Sie werden zur SimpleSAMLphp-Anmeldeseite weitergeleitet. Geben Sie die SimpleSAMLphp-Anmeldeinformationen ein. Nach erfolgreicher Authentifizierung wird der Benutzer zurück zur Drupal-Site weitergeleitet.