SAML Single Sign-On (SSO) in Drupal mit ADFS als IdP

Die Drupal SAML-Integration mithilfe von miniOrange SAML SP Das Modul stellt nahtloses SSO zwischen ADFS und der Drupal-Site her. Die Benutzer können sich mit ihren ADFS-Anmeldeinformationen bei der Drupal-Site anmelden. Dieses Dokument führt Sie durch die Schritte zum Konfigurieren von Single Sign-On – SSO zwischen Drupal als Service Provider (SP) und ADFS als Identitätsanbieter (IdP). Das Modul ist kompatibel mit Drupal 7, Drupal 8, Drupal 9 und Drupal 10.

Drupal SAML SP-Metadaten

• Nach der Installation des Moduls auf der Drupal-Site im Verwaltung Menü, navigieren Sie zu Konfiguration → Personen → miniOrange SAML-Anmeldekonfiguration. (/admin/config/people/miniorange_saml/idp_setup)

• Navigieren Sie zu der Metadaten des Dienstanbieters und laden Sie die Metadaten herunter. (Dies ist bei der Konfiguration des ADFS als SAML-IdP erforderlich)

Konfigurieren Sie die SAML Single Sign-On-Anwendung

• In Server-Manager, klicke auf Tools und dann auswählen ADFS-Verwaltung.

• Wählen Sie im rechten Seitenbereich aus Vertrauensstellung der vertrauenden Seite hinzufügen unter dem ADFS Abschnitt

• Um fortzufahren, klicken Sie auf Startseite Schaltfläche auf dem Begrüßungsbildschirm.

• Wähle aus Importieren Sie Daten über die vertrauende Seite aus einer Datei Möglichkeit. Laden Sie die SP-Metadatendatei von hoch Drupal. Klicken Sie auf Weiter um fortzufahren.

• Im Display Name, geben Sie den Namen der Anwendung ein und klicken Sie dann auf Weiter .

• Auswählen Erlaube allen Klicken Sie auf der Seite „Zugriffskontrollrichtlinie auswählen“ auf „ Weiter .

• Klicken Sie auf der Seite „Bereit zum Hinzufügen von Vertrauen“ auf die Schaltfläche „Weiter“.

• Überprüfen Sie auf der Seite „Fertig stellen“, ob das Kontrollkästchen neben aktiviert ist Konfigurieren Sie die Anspruchsausstellungsrichtlinie für diese Anwendung ausgewählt ist, dann klicken Sie auf Menu.

• Den Antrag finden Sie unten Relay Party Trust in ADFS, sobald es erstellt wurde.
• Klicken Sie im rechten Bereich auf Anspruchsausstellungsrichtlinie bearbeiten aus dem Dropdown-Menü der Anwendung, die Sie in ADFS erstellt haben (in diesem Fall DrupalSAML).

• Klicken Sie auf die Regel hinzufügen Taste auf der Ausgabetransformationsregeln Tab.

• Auf dem Wählen Sie Regelvorlage aus Seite klicke auf die Weiter .

• Geben Sie die angegebenen Informationen auf der Seite „Regel konfigurieren“ ein:

  Name der Anspruchsregel	Geben Sie den Namen der Anspruchsregel (beliebig) ein, zum Beispiel „Attribut“.
  Attributspeicher	Active Directory aus der Dropdown-Liste

• Ordnen Sie das ausgehende LDAP-Attribut wie folgt zu:

  LDAP-Attribut (Auswählen oder eingeben, um weitere hinzuzufügen)	Art des ausgehenden Anspruchs (Auswählen oder eingeben, um weitere hinzuzufügen)
  E-mailadressen	Name ID
  Anzeigename	Name und Vorname

• Klicken Sie zum Fortfahren auf Endziel .

• Auf dem Ausgabetransformationsregeln Tab, klicken Sie auf Jetzt bewerben, Und klicken Sie auf OK um fortzufahren.

• Wählen Sie, wie im Bild unten gezeigt, aus Verbunddiensteigenschaften bearbeiten aus der AD FS-Dropdown-Liste.

Holen Sie sich die Metadaten von ADFS:

• Auf dem Verbunddiensteigenschaften Fenster, gehe zum Allgemeines Tab und kopieren Sie die Föderationsdienst Namen.

• Ersetzen " " in der URL https://<your_ADFS_domain>/federationmetadata/2007-06/federationmetadata.xm> mit Ihrem tatsächlichen „Federation Service-Namen“. Wenn Ihr Verbunddienstname beispielsweise „example.com“ lautet, sollte die aktualisierte Metadaten-URL lauten https://<your_ADFS_domain>/federationmetadata/2007-06/federationmetadata.xml.
• Kopieren Sie als Nächstes einfach die „ADFS-IdP-Metadaten-URL“ in der Form: https://<your_ADFS_domain>/federationmetadata/2007-06/federationmetadata.xml. (Dies wird für die weitere Konfiguration von Drupal benötigt)

Konfigurieren Sie Drupal als SAML-Dienstanbieter:

• Öffnen Sie Ihre Drupal-Site. Gehen Sie zur Registerkarte „Dienstanbieter-Setup“ des Moduls.
• Klicken Sie auf Laden Sie IDP-Metadaten hoch Abschnitt
• Fügen Sie nun die Metadaten-URL aus dem ein ADFS IdP.

• Klicken Sie auf die Test Link zur Überprüfung der Verbindung zwischen Drupal und ADFS.

• Im Testkonfigurationsfenster wird eine Erfolgsmeldung mit SAML-Antwortattributen angezeigt, wenn die Konfigurationen korrekt sind; Andernfalls werden Fehlermeldungen mit zusätzlichen Anweisungen zur Fehlerbehebung angezeigt. Klicke auf Erledigt

Glückwunsch! Sie haben ADFS erfolgreich als Identitätsanbieter und Drupal als Dienstanbieter konfiguriert.

Wie funktioniert die SAML-SSO-Anmeldung?

• Öffnen Sie einen neuen Browser/ein neues privates Fenster und navigieren Sie zur Anmeldeseite der Drupal-Site.
• Klicken Sie auf die Anmeldung mit Identitätsanbieter (ADFS) Link.
• Sie werden zur ADFS-Anmeldeseite weitergeleitet. Geben Sie die ADFS-Anmeldeinformationen ein. Nach erfolgreicher Authentifizierung wird der Benutzer zurück zur Drupal-Site weitergeleitet.

Windows-SSO

 Schritte zum Konfigurieren von ADFS für die Windows-Authentifizierung

• Öffnen Sie die Eingabeaufforderung mit erhöhten Rechten auf dem ADFS-Server und führen Sie den folgenden Befehl darauf aus:

setspn -a HTTP/##ADFS-Server-FQDN## ##Domänendienstkonto##

FQDN ist ein vollständig qualifizierter Domänenname (Beispiel: adfs4.example.com)

Das Domänendienstkonto ist der Benutzername des Kontos in AD.

Beispiel: setspn -a HTTP/adfs.example.com Benutzername/Domäne

• Öffnen Sie die AD FS-Verwaltungskonsole, gehen Sie zum Abschnitt „Authentifizierungsrichtlinien“ und bearbeiten Sie die globalen Authentifizierungsrichtlinien. Überprüfen Sie die Windows-Authentifizierung in der Intranetzone.

• Öffnen Sie den Internet Explorer. Navigieren Sie in den Internetoptionen zur Registerkarte „Sicherheit“.
• Fügen Sie den FQDN von AD FS zur Liste der Websites im lokalen Intranet hinzu und starten Sie den Browser neu.
• Wählen Sie „Benutzerdefinierte Stufe“ für die Sicherheitszone. Wählen Sie in der Liste der Optionen die Option Automatische Anmeldung nur in der Intranetzone aus.

• Öffnen Sie die Powershell und führen Sie die folgenden zwei Befehle aus, um die Windows-Authentifizierung im Chrome-Browser zu aktivieren.

Set-AdfsProperties -WIASupportedUserAgents ((Get-ADFSProperties | Select -ExpandProperty WIASupportedUserAgents) + „Chrome“)

Get-AdfsProperties | Wählen Sie -ExpandProperty WIASupportedUserAgents aus

• Sie haben ADFS für die Windows-Authentifizierung konfiguriert. Um nun eine Relying Party für Ihr Drupal hinzuzufügen, können Sie diese Schritte ausführen.