Единая авторизация SAML в Joomla с использованием CAS-сервера.
Обзор
Плагин miniOrange для Joomla SAML SP SSO помогает вам интегрировать ваши Сайт Joomla в Сервер CAS Используя протокол SAML 2.0, наш удобный плагин упрощает процесс настройки единого входа (SSO) с сервером CAS в Joomla, обеспечивая безопасный вход в систему. Это позволяет пользователям легко получать доступ к различным сайтам Joomla, используя свои учетные данные IDP сервера CAS.
Наш плагин разработан для совместимости с Joomla 3, 4 и 5 и бесперебойно работает со всеми поставщиками идентификации, совместимыми с SAML 2.0. Для подробного обзора обширных функций, предлагаемых плагином Joomla SAML SP, ниже мы приводим пошаговое руководство по настройке входа в систему SAML SSO между вашим сайтом Joomla и сервером CAS. Сервер CAS выступая в качестве Поставщик удостоверений (IDP) и Joomla как Поставщик услуг (SP).
Шаги настройки
В этой установке Сервер CAS служит хранилищем для хранения пользователей, то есть будет выступать в роли поставщика идентификационных данных, в то время как Joomla Здесь пользователи будут входить в систему, используя свои учетные данные с сервера CAS. Плагин Joomla SAML SP SSO будет установлено.
Шаг 1: Установите плагин Joomla SAML SP.
- Войдите на свой сайт Joomla. Администратора приставка.
- В левом выпадающем меню нажмите на Системазатем в разделе «Установка» нажмите на Расширения.
- Теперь нажмите Или выберите файл. кнопка для поиска и установки ранее загруженного файла плагина.
- Установка плагина прошла успешно. Теперь нажмите на Начать!
- Перейдите на сайт Метаданные поставщика услуг Вкладка, здесь вы найдете URL метаданных, скачайте XML-файл метаданныхили вы можете скопировать Идентификатор объекта и URL ACS непосредственно.
Шаг 2: Настройте сервер CAS в качестве поставщика идентификации (IDP).
- Сервер CAS URL-адрес должен иметь следующий формат: https://www.testcasserver.org/cas
- Проверка сервиса CAS URL-адрес должен иметь следующий формат:
- Для версии CAS 1 это:
https:// www.testcasserver.org/ cas/ validate
- Для версий CAS 2 и 3 это выглядит так:
https:// www.testcasserver.org/ cas /p3 /serviceValidate
- Если у вас указан собственный URL-адрес проверки сервиса, предоставленный вашим поставщиком CAS, пожалуйста, введите его.
- URL для выхода с сервера CAS должен быть в следующем формате:
https:// www.testcasserver.org/ cas/ logout?service=< redirect_url>- где Это URL-адрес, на который пользователи будут перенаправлены после выхода из системы на сервере CAS.
- Войдите в административный портал, а затем перейдите по следующему URL-адресу:
https:// www.testcasserver.org/ cas /login
- Затем вас перенаправят на панель управления CAS.
- Теперь перейдите к Управление услугами. Нажмите Добавить новую услугу .
- Под Тип Обслуживания Выберите тип услуги на вкладке «Вставка». SAML-клиент Затем введите все данные из плагина Joomla SAML SP.
- На следующем экране настройте следующие параметры:
|
URL-адрес СКД
URL-адрес ACS (Assertion Consumer Service) из плагина в разделе Метаданные поставщика услуг Tab.
|
|
Идентификатор объекта
Идентификатор сущности SP / Эмитент из плагина в разделе Метаданные поставщика услуг Tab.
|
Теперь вы настроили сервер CAS в качестве поставщика идентификации с пакетом SAML miniOrange Joomla. Ваши пользователи теперь могут аутентифицироваться, используя учетные данные CAS, для единого входа в другие приложения.
Шаг 3: Настройте Joomla в качестве поставщика услуг (SP).
В плагине Joomla SAML перейдите на вкладку «Настройка поставщика услуг», затем нажмите на Добавить нового IDPСуществует 3 способа настройки IDP:
А. Загружая метаданные IDP:
- В плагине Joomla SAML перейдите в Настройка поставщика услуг вкладка, здесь нажмите на Выберите файл Нажмите кнопку, чтобы выбрать файл метаданных, а затем нажмите на Загрузите .
Б. По URL-адресу метаданных:
- Enter URL метаданных (Скопируйте из приложения IDP) и нажмите на Получить метаданные .
C. Ручная настройка:
- Копировать Идентификатор сущности SAML, URL-адрес конечной точки единого входа SAML и сертификат X.509. из документа «Метаданные федерации» и вставьте его. Идентификатор сущности IDP, URL-адрес единого входа, сертификат X.509. соответственно в полях плагина.
| Идентификатор объекта IdP | Идентификатор сущности SAML в документе метаданных федерации |
| URL-адрес единого входа | URL-адрес конечной точки единого входа SAML в документе метаданных федерации. |
| Стоимость сертификата X.509 | Сертификат X.509 в документе метаданных федерации. |
Шаг 4: Сопоставление атрибутов — Премиум-функция
- Атрибуты — это данные пользователя, которые хранятся в вашем поставщике идентификационных данных.
- Сопоставление атрибутов помогает получать атрибуты пользователя от вашего поставщика идентификации (IDP) и сопоставлять их с атрибутами пользователя Joomla, такими как имя, фамилия, адрес, телефон и т. д.
- При автоматической регистрации пользователей на вашем сайте Joomla эти атрибуты будут автоматически сопоставлены с данными пользователей Joomla.
- Перейдите на вкладку «Сопоставление» и заполните все поля. Отображение атрибутов .
| Имя пользователя: | Название атрибута имени пользователя из IdP (по умолчанию использовать NameID) |
| Электронная почта: | Название атрибута email из IdP (по умолчанию использовать NameID) |
| Имя: | Название атрибута имени из IdP |
- Чтобы лучше понять, какие значения следует здесь сопоставить, вы можете проверить результаты проверки конфигурации на вкладке «Настройка поставщика услуг».
Примечание: Вы можете посмотреть, как работает сопоставление атрибутов. здесь.
Шаг 5: Групповое сопоставление — Премиум-функция
- Сопоставление групп/ролей помогает назначать определенные роли пользователям определенной группы в вашем поставщике идентификации (IdP).
- При автоматической регистрации пользователям назначаются роли в зависимости от группы, к которой они отнесены.
Примечание: Вы можете посмотреть, как работает сопоставление групп/ролей. здесь.
Шаг 6: Перенаправление и ссылки единого входа (SSO)
- Перейдите на вкладку «Настройки входа». Вы можете добавить URL-адрес для входа, чтобы использовать SAML SSO на вашем сайте Joomla, выполнив следующие шаги.
- На этой вкладке доступно множество функций, таких как автоматическое перенаправление пользователя на сайт поставщика идентификационных данных и включение входа в бэкэнд для суперпользователей. Чтобы использовать эти функции, установите флажки в соответствующих полях.
- Нажмите на вкладку «Обновить», чтобы ознакомиться с полным списком функций и различными планами лицензирования. ИЛИ вы можете нажать здесь, чтобы проверить функции и планы лицензирования.
- В случае возникновения проблем или вопросов, вы можете связаться с нами, отправив запрос через кнопку «Поддержка» в плагине или написав нам письмо по адресу [адрес электронной почты]. joomlasupport@xecurify.com.
Часто задаваемые вопросы (FAQ)
Дополнительные часто задаваемые вопросы ➔Моя тестовая конфигурация прошла успешно, но при попытке входа я попадаю в цикл перенаправления. 
Этому могут быть несколько причин:
1. На сайте включено кэширование.
Когда включено автоматическое перенаправление, пользователь перенаправляется на страницу входа в IDP, а после входа возвращается на основной сайт. Но поскольку включено кэширование, происходит перенаправление на страницу входа в IDP, что приводит к зацикливанию.
2. Несоответствие HTTP/HTTPS:
Это происходит, когда HTTPS не принудительно используется на сайте, но настроен на стороне поставщика идентификационных данных с использованием URL-адреса HTTPS. Эту проблему можно решить, принудительно включив HTTPS на сайте путем определения правила перенаправления в файле .htaccess или на уровне Apache.
3. Фальсификация печенья:
Файл cookie, созданный плагином после авторизации пользователя, изменяется другим плагином, в результате чего пользователь не авторизуется на сайте Joomla, но сессия создается на IDP.
Почему при нажатии на кнопку «Проверить конфигурацию» меня перенаправляет на сайт Joomla вместо IDP?
В плагине Joomla SAML, если после установки плагина не включено какое-либо расширение, при нажатии на кнопку «Проверить конфигурацию» происходит перенаправление на ваш собственный сайт вместо переадресации на IDP. Для решения этой проблемы необходимо включить все расширения плагина после его установки.
Для решения этой проблемы выполните следующие действия:
1. В административной панели Joomla перейдите в раздел Расширения -> Управление -> Управление.
2. Найдите в интернете «миниатюрный апельсин».
3. Включите все расширения плагинов.
Я вошел в свою учетную запись поставщика идентификационных данных, и меня перенаправило на сайт Joomla, но я не авторизован?
Вот некоторые распространенные ошибки, которые могут возникать:
INVALID_ISSUER: Это означает, что вы НЕ ввели правильное значение идентификатора эмитента или организации, предоставленное вашим поставщиком идентификации. В сообщении об ошибке вы увидите ожидаемое значение (которое вы настроили) и то, что фактически было найдено в ответе SAML.
INVALID_AUDIENCE: Это означает, что вы неправильно настроили URL-адрес аудитории в вашем поставщике идентификации. В вашем поставщике идентификации он должен быть установлен на https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/.
INVALID_DESTINATION: Это означает, что вы неправильно настроили URL-адрес назначения в вашем поставщике идентификации. Он должен быть установлен на https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php в вашем поставщике идентификации.
INVALID_SIGNATURE: Это означает, что предоставленный вами сертификат не соответствует сертификату, найденному в ответе SAML. Убедитесь, что вы предоставили тот же сертификат, который загрузили с вашего IdP. Если у вас есть XML-файл метаданных вашего IdP, убедитесь, что вы предоставили сертификат, заключенный в тег X509 Certificate, который имеет атрибут use='signing'.
INVALID_CERTIFICATE: Это означает, что предоставленный вами сертификат имеет неправильный формат. Убедитесь, что вы скопировали весь сертификат, предоставленный вашим поставщиком идентификации (IdP). Если вы скопировали сертификат из XML-файла метаданных IdP, убедитесь, что вы скопировали все значение целиком.
Не удалось найти сертификат, соответствующий заданному отпечатку.
Это возможно только в том случае, если сертификат, полученный в ответе SAML, не совпадает с сертификатом, настроенным в плагине. Скопируйте значение сертификата, отображаемое в окне «Конфигурация теста», и вставьте его в поле «Сертификат X.509» на вкладке «Поставщик услуг» в плагине.
Как экспортировать конфигурацию в Joomla SAML?
Пожалуйста, выполните следующие шаги для настройки экспорта:
1) Перейдите в плагин miniOrange SAML SP и откройте вкладку «Настройка поставщика услуг».
2) Затем нажмите кнопку «Импорт/Экспорт» внизу страницы, а затем кнопку «Экспорт конфигурации».
3) Перейдите в раздел Система >> Управление и введите miniOrange в строку поиска. Затем удалите все расширения miniOrange.
Пожалуйста, выполните следующие действия для импорта конфигурации:
1) Установите последнюю версию плагина и войдите в систему, используя свои учетные данные miniOrange, через плагин.
2) Перейдите на вкладку «Настройка поставщика услуг» и нажмите кнопку «Импорт/Экспорт».
3) Загрузите скачанный файл конфигурации, а затем нажмите кнопку «Импорт конфигурации».
Почему при обновлении плагина Joomla SAML у меня возникает ошибка "отсутствует таблица"?
При обновлении плагина Joomla SAML, если таблица или столбец не добавлены в базу данных, вы получите ошибку «отсутствует таблица». Эта проблема обычно возникает, когда таблица или столбец не добавлены в базу данных при обновлении плагина.
Для решения этой проблемы можно переустановить плагин. Пожалуйста, выполните следующие действия:
Удалите существующий плагин (перед удалением плагина сделайте его резервную копию).
– Перейдите в Расширения -> Управление -> Управление
– Поиск miniOrange
– Выберите все расширения и нажмите «Удалить».
Теперь установите плагин снова и настройте его.
Как устранить фатальную ошибку: Невозможно объявить класс, поскольку имя уже используется?
Сайт Joomla может использоваться либо в качестве поставщика услуг (Service Provider), либо в качестве поставщика идентификации (Identity Provider) с помощью соответствующего плагина SP или IDP. Вероятно, вы столкнулись с этой ошибкой, потому что установили оба плагина на одном и том же сайте.
Для решения этой проблемы выполните следующие действия: Удалите следующие папки из каталога Joomla:
1. /libraries/miniorangejoomlaidpplugin
2. /libraries/miniorangesamlplugin
3. /plugins/system/samlredirect
Теперь вы сможете войти на свой сайт Joomla.
Удалите оставшиеся расширения:
1. В консоли администратора вашего сайта Joomla перейдите в раздел Расширения -> Управление -> Управление.
2. Найдите в поиске «миниапельсин».
3. Выберите все расширения и нажмите «Удалить».
SSO не работает? Вы используете инструменты администрирования вместе с плагином SAML SP?
Проблема с перенаправлением возникает при использовании плагина Admin Tools для Joomla SAML SSO, когда плагин Admin Tools вносит изменения в файл .htaccess и добавляет определенные правила, предотвращающие перенаправление с сайта.
Вы можете решить указанную выше проблему, выполнив следующие шаги:
1. Перейдите в раздел «Администрирование» >> «Панель управления», затем нажмите на опцию «Создатель .htaccess».
2. Затем отключите параметр «Защита от распространенных атак с внедрением файлов».
Затем очистите кэш вашего сайта и проверьте работу системы единого входа (SSO).
Как проверить или загрузить запросы/ответы SAML с помощью логов трассировки SAML?
Журналы трассировки SAML:
1. Загрузите дополнение SAML tracer: Firefox: [ Ссылка
] | Хром:[ Ссылка 2. Откройте трассировщик SAML с панели инструментов браузера.
3. Держите окно трассировки SAML открытым.
4. Выполните настройку SSO/тестирование и воспроизведите проблему.
5. Перейдите в окно трассировки SAML.
6. Вам будет предложена опция «Экспорт логов трассировки SAML в файл» (в верхней панели меню). Сохраните логи в файл, выберите «Нет» при появлении соответствующего запроса и отправьте нам этот файл.
При входе в систему я вижу ошибку «Не удалось выполнить вход, пожалуйста, свяжитесь с администратором».
Похоже, ваш поставщик идентификации отправляет ошибку в ответе SAML. Для устранения этой проблемы перейдите на вкладку «Настройка поставщика услуг» плагина SAML SP. Нажмите «Проверить конфигурацию» и просмотрите окно результатов настройки. Убедитесь, что сопоставление атрибутов выполнено правильно, и проверьте точность значения сертификата X.509.
