SAML Single Sign-On (SSO) für WordPress mit Shibboleth-3 als IDP | Shibboleth-3 SSO-Anmeldung
Übersicht
Shibboleth-3 Single Sign-On (SSO)-Login für WordPress kann durch den Einsatz unserer erreicht werden WordPress SAML Single Sign-On (SSO)-Plugin. Unser Plugin ist mit allen SAML-kompatiblen Identitätsanbietern kompatibel. Hier führen wir Schritt für Schritt durch die Konfiguration der SSO-Anmeldung zwischen der Wordpress-Site und Shibboleth-3 indem Shibboleth-3 als IdP (Identity Provider) und WordPress als SP (Service Provider) berücksichtigt werden.
Sie können unsere besuchen WordPress-SSO Plugin, um mehr über die anderen von uns angebotenen Funktionen zu erfahren.
Voraussetzungen: Download und Installation
Um Shibboleth-3 als SAML IdP mit WordPress zu konfigurieren, müssen Sie das miniOrange WP SAML SP SSO plugin.
Konfigurationsschritte
1. Shibboleth-3 als IdP (Identitätsanbieter) einrichten
Führen Sie die folgenden Schritte aus, um Shibboleth-3 als IdP zu konfigurieren:
Konfigurieren Sie Shibboleth-3 als IdP
- Navigieren Sie im miniOrange SAML SP SSO-Plugin zu Metadaten des Dienstanbieters Tab. Hier finden Sie die SP-Metadaten wie die SP-Entitäts-ID und die ACS-URL (AssertionConsumerService), die zur Konfiguration des Identitätsanbieters erforderlich sind.
- Entfernen Sie in conf/idp.properties das Kommentarzeichen und setzen Sie „idp.encryption.optional“ auf „true“.
z.B. idp.encryption.optional = true
- In conf/metadata-providers.xml, konfigurieren Sie den Dienstanbieter wie folgt
<MetadataProvider xmlns:samlmd="urn:oasis:
names:tc:SAML:2.0:metadata"
id="miniOrangeInLineEntity" xsi:type="InlineMetadata
Provider"
sortKey="1">
<samlmd:EntityDescriptor ID="entity" entityID="<SP-EntityID /
Issuer
from Service Provider Info tab in plugin.>"
validUntil="2020-09-06T04:13:32Z">
<samlmd:SPSSODescriptor AuthnRequests
Signed="false"
WantAssertionsSigned="true"
protocolSupportEnumeration="urn:oasis:names:
tc:SAML:2.0:protocol">
<samlmd:NameIDFormat>
urn:oasis:names:tc:SAML:
1.1:nameid-format:emailAddress
</samlmd:NameIDFormat>
<samlmd:AssertionConsumerService
Binding="urn:oasis:names:tc:
SAML:2.0:bindings:HTTP-POST"
Location="<ACS (AssertionConsumerService) URL from
Step1 of
the plugin under Identity Provider Tab.>"
index="1" />
</samlmd:SPSSODescriptor>
</samlmd:EntityDescriptor>
</MetadataProvider>
- In conf/saml-nameid.properties, Kommentar entfernen und Standard festlegen NameID as Email-Adresse so
idp.nameid.saml2.default=urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
- In conf/saml-nameid-xml, suchen Sie nach shibboleth.SAML2NameIDGenerators. Kommentieren Sie die Bean shibboleth.SAML2AttributeSourcedGenerator aus und kommentieren Sie alle anderen Ref-Beans
<!-- SAML 2 NameID Generation -->
<util:list id="shibboleth.SAML2NameIDGenerators">
<!--<ref bean="shibboleth.SAML2TransientGenerator" /> -->
<!-->ref bean="shibboleth.SAML2PersistentGenerator" /> -->
<bean parent="shibboleth.SAML2AttributeSourcedGenerator"
p:format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
p:attributeSourceIds="#{ {'email'} }" />
</util:list>
- Stellen Sie sicher, dass Sie AttributeDefinition in definiert haben conf/attribute-resolver.xml.
<!-- Note: AttributeDefinitionid must be same as what
you provided in
attributeSourceIds in conf/saml-nameid.xml -->
<resolver:AttributeDefinitionxsi:type="ad:Simple"
id="email"
sourceAttributeID="mail">
<resolver:Dependency ref="ldapConnector" />
<resolver:AttributeEncoderxsi:type="enc:SAML2String"
name="email"
friendlyName="email" />
</resolver:AttributeDefinition >
<resolver:DataConnector id="ldapConnector"
xsi:type="dc:LDAPDirectory"
ldapURL="%{idp.authn.LDAP.ldapURL}"
baseDN="%{idp.authn.LDAP.baseDN}"
principal="%{idp.authn.LDAP.bindDN}"
principalCredential="%{idp.authn.LDAP.bindDNCredential}">
<dc:FilterTemplate>
<!-- Define you User Search Filter here -->
<![CDATA[
(&(objectclass=*)
(cn=$requestContext.principalName)) ]]>
</dc:FilterTemplate>
<dc:ReturnAttributes>*</dc:ReturnAttributes>
</resolver:DataConnector>
- Stellen Sie sicher, dass AttributeFilterPolicy in definiert ist conf/attribute-filter.xml.
<afp:AttributeFilterPolicy id="ldapAttributes">
<afp:PolicyRequirementRulexsi:type="basic:ANY"/>
<afp:AttributeRuleattributeID="email">
<afp:PermitValueRulexsi:type="basic:ANY"/>
</afp:AttributeRule>
</afp:AttributeFilterPolicy>
- Starten Sie den Shibboleth-Server neu.
- Sie müssen diese Endpunkte im miniOrange SAML-Plugin konfigurieren.
| IDP-Entitäts-ID |
https://<your_domain>/idp/shibboleth |
| Einzelne Login-URL |
https://<your_domain>/idp/profile/SAML2/Redirect/SSO |
| Einzelne Abmelde-URL |
https://<your_domain>/idp/shibboleth |
| X.509-Zertifikat |
Das öffentliche Schlüsselzertifikat Ihres Shibboleth-3-Servers |
Sie haben Shibboleth-3 erfolgreich als SAML-IdP (Identitätsanbieter) konfiguriert, um die Shibboleth-3-SSO-Anmeldung bei Ihrer WordPress (WP)-Site zu erreichen.
Schritt 2: WordPress als SP (Service Provider) konfigurieren
Gehen Sie im WordPress SAML SSO-Plugin zur Registerkarte „Service Provider Setup“ des Plugins. Es gibt zwei Möglichkeiten, das WordPress SSO-Plugin zu konfigurieren:
A. Durch Hochladen von IDP-Metadaten:
- Klicken Sie auf Laden Sie IDP-Metadaten hoch .
- Geben Sie die Identitätsanbieter Name
- Du kannst entweder Laden Sie eine Metadatendatei hoch und klicken Sie auf Hochladen Taste oder verwenden Sie a
Metadaten-URL und klicken Sie auf Metadaten abrufen.
B. Manuelle Konfiguration:
- Geben Sie die erforderlichen Einstellungen (z. B. Name des Identitätsanbieters, IDP-Entitäts-ID oder Aussteller, SAML-Anmelde-URL, X.509-Zertifikat) ein, die Ihnen von Ihrem Identitätsanbieter bereitgestellt wurden, und klicken Sie auf das Gespeichert
.
- Klicken Sie auf Testkonfiguration um die vom IDP gesendeten Attribute und Werte zu überprüfen.
Schritt 3: Attributzuordnung
- Nur im kostenlosen Plugin NameID wird für die E-Mail- und Benutzernamenattribute des WordPress-Benutzers unterstützt.
- Wenn ein Benutzer SSO durchführt, wird der vom IDP gesendete NameID-Wert der E-Mail und dem Benutzernamen des WordPress-Benutzers zugeordnet.
Gehen Sie im WordPress SAML SSO-Plugin zur Registerkarte „Service Provider Setup“ des Plugins. Es gibt zwei Möglichkeiten, das WordPress SSO-Plugin zu konfigurieren:
A. Durch Hochladen von IDP-Metadaten:
- Klicken Sie auf Laden Sie IDP-Metadaten hoch .
- Geben Sie die Identitätsanbieter Name
- Du kannst entweder Laden Sie eine Metadatendatei hoch und klicken Sie auf Hochladen Taste oder verwenden Sie a
Metadaten-URL und klicken Sie auf Metadaten abrufen.
B. Manuelle Konfiguration:
- Geben Sie die erforderlichen Einstellungen (z. B. Name des Identitätsanbieters, IDP-Entitäts-ID oder Aussteller, SAML-Anmelde-URL, X.509-Zertifikat) ein, die Ihnen von Ihrem Identitätsanbieter bereitgestellt wurden, und klicken Sie auf das Gespeichert
.
- Klicken Sie auf Testkonfiguration um die vom IDP gesendeten Attribute und Werte zu überprüfen.
Schritt 3: Attributzuordnung
- Attributzuordnung Mit dieser Funktion können Sie die Karte zuordnen Benutzerattribute vom IDP während des SSO an die Benutzerattribute bei WordPress gesendet.
- Gehen Sie im WordPress SAML-Plugin zu Attribut-/Rollenzuordnung und füllen Sie die folgenden Felder aus Attributzuordnung .
Anmerkungen: Wenn Sie auf der Registerkarte „Dienstanbieter-Setup“ auf die Schaltfläche „Konfiguration testen“ klicken und sich bei Ihrem IDP authentifizieren, können Sie auf der Registerkarte „Attribut-/Rollenzuordnung“ eine Liste der vom IDP gesendeten Attribute sehen. Diese Informationen können verwendet werden, um die obige Zuordnung bereitzustellen.
Gehen Sie im WordPress SAML SSO-Plugin zur Registerkarte „Service Provider Setup“ des Plugins. Es gibt zwei Möglichkeiten, das WordPress SSO-Plugin zu konfigurieren:
A. Durch Hochladen von IDP-Metadaten:
- Klicken Sie auf Laden Sie IDP-Metadaten hoch .
- Geben Sie die Name des Identitätsanbieters
- Du kannst entweder Laden Sie eine Metadatendatei hoch und klicken Sie auf Hochladen Taste oder verwenden Sie a
Metadaten-URL und klicken Sie auf Metadaten abrufen.
- Im Premium-Plugin, es können Aktivieren Sie die automatische Synchronisierung für die Metadaten-URL Dadurch wird die Plugin-Konfiguration nach einem festgelegten Zeitintervall automatisch gemäß den IDP-Metadaten aktualisiert
B. Manuelle Konfiguration:
- Geben Sie die erforderlichen Einstellungen an (z. B. Name des Identitätsanbieters, IDP-Entitäts-ID oder Aussteller, SAML-Anmelde-URL, X.509-Zertifikat), wie von Ihrem Identitätsanbieter und klicken Sie auf
Gespeichert .
- Klicken Sie auf Testkonfiguration um die vom IDP gesendeten Attribute und Werte zu überprüfen.
-
Im Premium-Plugin können Sie die SAML-Abmelde-URL angeben, um eine einmalige Abmeldung auf Ihrer WordPress-Site zu erreichen.
Schritt 3: Attributzuordnung
-
Attributzuordnung Mit dieser Funktion können Sie die Karte zuordnen Benutzerattribute vom IDP während des SSO an die Benutzerattribute bei WordPress gesendet.
-
Gehen Sie im WordPress SAML-Plugin zu Attribut-/Rollenzuordnung und füllen Sie die folgenden Felder aus Attributzuordnung .
-
Benutzerdefinierte Attributzuordnung: Mit dieser Funktion können Sie jedes vom IDP gesendete Attribut dem Benutzermeta Tabelle von WordPress.
Schritt 4: Rollenzuordnung
- Im kostenlosen Plugin können Sie ein auswählen Standardrolle die allen Nicht-Administrator-Benutzern zugewiesen wird, wenn sie SSO durchführen.
- Gehen Sie zu Attribut-/Rollenzuordnung Tab und navigieren Sie zu Rollenzuordnung .
- Wähle aus Standardrolle und klicken Sie auf Aktualisierung .
Schritt 4: Rollenzuordnung
Im Standard-Plugin können Sie eine Standardrolle auswählen, die allen Nicht-Administratorbenutzern zugewiesen wird, wenn sie SSO durchführen.
- Gehen Sie zu Attribut-/Rollenzuordnung Tab und navigieren Sie zu Rollenzuordnung .
- Wähle aus Standardrolle und klicken Sie auf Gespeichert .
Schritt 4: Rollenzuordnung
Mit dieser Funktion können Sie den Benutzern Rollen zuweisen und verwalten, wenn sie SSO durchführen. Neben den standardmäßigen WordPress-Rollen ist dies auch mit allen benutzerdefinierten Rollen kompatibel.
- Von dem Attributzuordnung Stellen Sie im Abschnitt des Plugins eine Zuordnung für das genannte Feld bereit
Gruppe/Rolle. Dieses Attribut enthält die vom IDP gesendeten rollenbezogenen Informationen und wird für die Rollenzuordnung verwendet.
- Navigieren Sie zum Abschnitt „Rollenzuordnung“ und geben Sie die Zuordnungen für die hervorgehobenen Rollen an.
-
Wenn Sie beispielsweise einen Benutzer möchten, dessen Gruppe/Rolle Der Attributwert ist wp-editor, um als Editor in WordPress zugewiesen zu werden. Geben Sie einfach die Zuordnung als wp-editor in der Herausgeber
Feld des Abschnitts „Rollenzuordnung“.
Schritt 5: SSO-Einstellungen
- Im kostenlosen Plugin können Sie durch Aktivieren eine Single-Sign-On-Schaltfläche hinzufügen Fügen Sie auf der WordPress-Anmeldeseite eine Schaltfläche für die einmalige Anmeldung hinzu einschalten Option 1.
- Wenn Ihr WordPress-Design das Anmelde-Widget unterstützt, können Sie ein Anmelde-Widget hinzufügen, um SP-initiiertes SSO auf Ihrer Site zu aktivieren.
- Navigieren Sie zur Registerkarte „Umleitungs- und SSO-Links“ und befolgen Sie die unten aufgeführten Schritte Option 2: Verwenden Sie ein Widget um ein Login-Widget auf Ihrer Website hinzuzufügen.
Schritt 5: SSO-Einstellungen
Im Standard-Plugin können Sie SP-initiiertes SSO mit den folgenden Optionen aktivieren.
- Automatische Weiterleitung von der Website: Wenn diese Option aktiviert ist, wird jeder nicht authentifizierte Benutzer, der versucht, auf Ihre Site zuzugreifen, auf die IDP-Anmeldeseite umgeleitet und nach erfolgreicher Authentifizierung auf dieselbe Seite Ihrer Site zurückgeleitet, auf die er zugreifen wollte.
Schritte:
- Gehen Sie zur Registerkarte „Umleitung und SSO-Links“ des Plugins und navigieren Sie zu Option 1: Automatisch - Weiterleitung von der Site.
- Ermöglichen Weiterleitung zu IDP, wenn der Benutzer nicht angemeldet ist [GESAMTE SITE SCHÜTZEN].
- Automatische Umleitung vom WordPress-Login: Wenn diese Option aktiviert ist, wird jeder nicht authentifizierte Benutzer, der versucht, auf die standardmäßige WordPress-Anmeldeseite zuzugreifen, zur Authentifizierung auf die IDP-Anmeldeseite umgeleitet. Nach erfolgreicher Authentifizierung wird er zurück zur WordPress-Site umgeleitet.
Schritte:
- Gehen Sie zur Registerkarte „Umleitung und SSO-Links“ des Plugins und navigieren Sie zu Option 2: Automatische Weiterleitung vom WordPress-Login.
- Ermöglichen Von der WordPress-Anmeldeseite zu IDP weiterleiten .
Anmerkungen: Bitte aktivieren Sie die Backdoor-Anmeldung und notieren Sie sich die Backdoor-URL. So können Sie auf die WordPress-Anmeldeseite zugreifen, falls Sie aus dem IDP ausgesperrt werden.
-
SSO-Links: Sie können SSO-Links überall auf Ihrer Website hinzufügen, indem Sie den Shortcode und das Widget verwenden, die in Registerkarte „Umleitung und SSO-Links“ > Option 3: SSO-Links Abschnitt des Plugins
Schritt 5: SSO-Einstellungen
Im Premium-Plugin können Sie SP-initiiertes SSO mit den folgenden Optionen aktivieren.
- Automatische Weiterleitung von der Website: Wenn diese Option aktiviert ist, wird jeder nicht authentifizierte Benutzer, der versucht, auf Ihre Site zuzugreifen, auf die IDP-Anmeldeseite umgeleitet und nach erfolgreicher Authentifizierung auf dieselbe Seite Ihrer Site zurückgeleitet, auf die er zugreifen wollte.
Schritte:
- Gehen Sie zur Registerkarte „Umleitung und SSO-Links“ des Plugins und navigieren Sie zu Option 1: Automatische Weiterleitung von der Site.
- Ermöglichen Weiterleitung zu IDP, wenn der Benutzer nicht angemeldet ist [GESAMTE SITE SCHÜTZEN] .
-
Automatische Umleitung vom WordPress-Login: Wenn diese Option aktiviert ist, wird jeder nicht authentifizierte Benutzer, der versucht, auf die standardmäßige WordPress-Anmeldeseite zuzugreifen, zur Authentifizierung auf die IDP-Anmeldeseite umgeleitet. Nach erfolgreicher Authentifizierung wird er zurück zur WordPress-Site umgeleitet.
Schritte:
-
Gehen Sie zur Registerkarte „Umleitung und SSO-Links“ des Plugins und navigieren Sie zu Option 2: Automatische Weiterleitung vom WordPress-Login.
- Ermöglichen Von der WordPress-Anmeldeseite zu IDP weiterleiten .
Anmerkungen: Bitte aktivieren Sie die Backdoor-Anmeldung und notieren Sie sich die Backdoor-URL. So können Sie auf die WordPress-Anmeldeseite zugreifen, falls Sie vom IDP-Login ausgeschlossen werden.
- Login-Button: Sie können überall auf Ihrer Site oder WordPress-Anmeldeseite eine benutzerdefinierte Anmeldeschaltfläche hinzufügen, indem Sie zu Option 3: Anmeldeschaltfläche Abschnitt der Registerkarte „Umleitung und SSO-Links“.
-
SSO-Links: Sie können SSO-Links überall auf Ihrer Website hinzufügen, indem Sie den Shortcode und das Widget verwenden, die in Option 4: SSO-Links Abschnitt der Registerkarte Umleitung und SSO-Links.
Sie haben WordPress (WP) erfolgreich als SAML SP konfiguriert, um die Shibboleth-3-SSO-Anmeldung bei Ihrer WordPress (WP)-Site zu erreichen.
In diesem Handbuch haben Sie die Konfiguration erfolgreich durchgeführt Shibboleth-3 SAML Single Sign-On (Shibboleth-3 SSO-Anmeldung) Auswahl Shibboleth-3 als IdP und WordPress als SP Verwendung von miniOrange-Plugin – SAML Single Sign On – SSO-Anmeldung. Diese Lösung stellt sicher, dass Sie innerhalb von Minuten bereit sind, den sicheren Zugriff auf Ihre WordPress(WP)-Site mit Shibboleth-3-Anmeldeinformationen einzurichten.
Ähnliche Artikel
Registrieren
