Единая авторизация SAML в Joomla с использованием JBoss Keycloak
Обзор
Плагин miniOrange Joomla SAML SP SSO помогает интегрировать ваш сайт Joomla с Keycloak, используя протокол SAML 2.0. Наш удобный плагин упрощает процесс настройки единого входа (SSO) с Keycloak в Joomla, обеспечивая безопасный вход в систему. Это позволяет пользователям легко получать доступ к различным сайтам Joomla, используя свои учетные данные Keycloak IDP.
Наш плагин разработан для совместимости с Joomla 3, 4 и 5 и бесперебойно работает со всеми поставщиками идентификации, совместимыми с SAML 2.0. Для получения подробного обзора комплексных функций, предлагаемых плагином Joomla SAML SP, посетите нашу страницу здесь. Ниже мы приводим пошаговое руководство по настройке входа в систему SAML SSO между вашим сайтом Joomla и Keycloak, где Keycloak выступает в качестве поставщика идентификации (IDP), а Joomla — в качестве поставщика услуг (SP).
Для настройки единого входа (Single Sign-On) между JBoss Keycloak и Joomla вы также можете следовать этому пошаговому видеоинструкции по настройке.
Шаги настройки
В этой конфигурации JBoss Keycloak служит хранилищем для пользователей, то есть выступает в роли поставщика идентификационных данных (IDP), а Joomla — это платформа, где пользователи будут входить в систему, используя свои учетные данные из JBoss Keycloak, на котором будет установлен плагин Joomla SAML SP SSO .
Шаг 1: Установите плагин Joomla SAML SP.
- Войдите на свой сайт Joomla. Администратора приставка.
- В левом выпадающем меню нажмите на Системазатем в разделе «Установка» нажмите на Расширения.
- Теперь нажмите Или выберите файл. кнопка для поиска и установки ранее загруженного файла плагина.
- Установка плагина прошла успешно. Теперь нажмите на Начать!
- Перейдите на сайт Метаданные поставщика услуг Вкладка, здесь вы найдете URL метаданных, скачайте XML-файл метаданныхили вы можете скопировать Идентификатор объекта и URL ACS Его можно использовать без дополнительной настройки.
Шаг 2: Настройте Jboss Keycloak в качестве поставщика идентификации (IDP).
- Ручная настройка
- Автоматическая настройка
Шаг 3: Настройте Joomla в качестве поставщика услуг (SP).
В плагине Joomla SAML перейдите на вкладку «Настройка поставщика услуг», затем нажмите «Добавить нового поставщика услуг» . Существует 3 способа настройки поставщика услуг:
А. Загружая метаданные IDP:
- В плагине Joomla SAML перейдите в Настройка поставщика услуг вкладка, здесь нажмите на Выберите файл Нажмите кнопку, чтобы выбрать файл метаданных, а затем нажмите на Загрузите .
Б. По URL-адресу метаданных:
- Enter URL метаданных (Скопируйте из приложения IDP) и нажмите на Получить метаданные .
C. Ручная настройка:
- Копировать Идентификатор сущности SAML, URL-адрес конечной точки единого входа SAML и сертификат X.509. из документа «Метаданные федерации» и вставьте его. Идентификатор сущности IDP, URL-адрес единого входа, сертификат X.509. соответственно в полях плагина.
| Идентификатор объекта IdP | Идентификатор сущности SAML в документе метаданных федерации |
| URL-адрес единого входа | URL-адрес конечной точки единого входа SAML в документе метаданных федерации. |
| Стоимость сертификата X.509 | Сертификат X.509 в документе метаданных федерации. |
Шаг 4: Настройка теста
- Нажмите Сохранено Для сохранения вашей конфигурации. После сохранения настроенный IDP отобразится в Список внутренне перемещенных лицгде вы можете скопировать URL-адрес единого входа или управлять настройками, редактируя сконфигурированный IDP или удаляя его по мере необходимости.
- Наконец, проверьте конфигурацию, нажав на кнопку. Тест кнопка. В окне успешного тестирования вы увидите атрибуты, полученные от вашего поставщика идентификации (IDP), что позволит вам убедиться в правильности работы настройки.
Шаг 5: Сопоставление атрибутов — Премиум-функция
- Атрибуты — это данные пользователя, которые хранятся в вашем поставщике идентификационных данных.
- Сопоставление атрибутов помогает получать атрибуты пользователя от вашего поставщика идентификации (IDP) и сопоставлять их с атрибутами пользователя Joomla, такими как имя, фамилия, адрес, телефон и т. д.
- При автоматической регистрации пользователей на вашем сайте Joomla эти атрибуты будут автоматически сопоставлены с данными пользователей Joomla.
- Перейдите на вкладку «Сопоставление» и заполните все поля. Отображение атрибутов .
| Имя пользователя: | Название атрибута имени пользователя из IdP (по умолчанию использовать NameID) |
| Электронная почта: | Название атрибута email из IdP (по умолчанию использовать NameID) |
| Имя: | Название атрибута имени из IdP |
- Чтобы лучше понять, какие значения следует здесь сопоставить, вы можете проверить результаты проверки конфигурации на вкладке «Настройка поставщика услуг».
Примечание: здесь вы можете ознакомиться с принципом работы сопоставления атрибутов.
Шаг 6: Групповое сопоставление — Премиум-функция
- Сопоставление групп/ролей помогает назначать определенные роли пользователям определенной группы в вашем поставщике идентификации (IdP).
- При автоматической регистрации пользователям назначаются роли в зависимости от группы, к которой они отнесены.
Примечание: здесь вы можете посмотреть, как работает сопоставление групп/ролей.
Шаг 7: Перенаправление и ссылки единого входа (SSO)
- Перейдите на вкладку «Настройки входа». Вы можете добавить URL-адрес для входа, чтобы использовать SAML SSO на вашем сайте Joomla, выполнив следующие шаги.
- На этой вкладке доступно множество функций, таких как автоматическое перенаправление пользователя на сайт поставщика идентификационных данных и включение входа в бэкэнд для суперпользователей. Чтобы использовать эти функции, установите флажки в соответствующих полях.
- Нажмите на вкладку «Обновить», чтобы ознакомиться с полным списком функций и различными планами лицензирования. ИЛИ вы можете нажать здесь, чтобы проверить функции и планы лицензирования.
- В случае возникновения проблем или вопросов, вы можете связаться с нами, отправив запрос через кнопку «Поддержка» в плагине или написав нам письмо по адресу [адрес электронной почты]. joomlasupport@xecurify.com.
Часто задаваемые вопросы (FAQ)
Дополнительные часто задаваемые вопросы ➔Моя тестовая конфигурация прошла успешно, но при попытке входа я попадаю в цикл перенаправления. 
Этому могут быть несколько причин:
1. На сайте включено кэширование.
Когда включено автоматическое перенаправление, пользователь перенаправляется на страницу входа в IDP, а после входа возвращается на основной сайт. Но поскольку включено кэширование, происходит перенаправление на страницу входа в IDP, что приводит к зацикливанию.
2. Несоответствие HTTP/HTTPS:
Это происходит, когда HTTPS не принудительно используется на сайте, но настроен на стороне поставщика идентификационных данных с использованием URL-адреса HTTPS. Эту проблему можно решить, принудительно включив HTTPS на сайте путем определения правила перенаправления в файле .htaccess или на уровне Apache.
3. Фальсификация печенья:
Файл cookie, созданный плагином после авторизации пользователя, изменяется другим плагином, в результате чего пользователь не авторизуется на сайте Joomla, но сессия создается на IDP.
Почему при нажатии на кнопку «Проверить конфигурацию» меня перенаправляет на сайт Joomla вместо IDP?
В плагине Joomla SAML, если после установки плагина не включено какое-либо расширение, при нажатии на кнопку «Проверить конфигурацию» происходит перенаправление на ваш собственный сайт вместо переадресации на IDP. Для решения этой проблемы необходимо включить все расширения плагина после его установки.
Для решения этой проблемы выполните следующие действия:
1. В административной панели Joomla перейдите в раздел Расширения -> Управление -> Управление.
2. Найдите в интернете «миниатюрный апельсин».
3. Включите все расширения плагинов.
Я вошел в свою учетную запись поставщика идентификационных данных, и меня перенаправило на сайт Joomla, но я не авторизован?
Вот некоторые распространенные ошибки, которые могут возникать:
INVALID_ISSUER: Это означает, что вы НЕ ввели правильное значение идентификатора эмитента или организации, предоставленное вашим поставщиком идентификации. В сообщении об ошибке вы увидите ожидаемое значение (которое вы настроили) и то, что фактически было найдено в ответе SAML.
INVALID_AUDIENCE: Это означает, что вы неправильно настроили URL-адрес аудитории в вашем поставщике идентификации. В вашем поставщике идентификации он должен быть установлен на https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/.
INVALID_DESTINATION: Это означает, что вы неправильно настроили URL-адрес назначения в вашем поставщике идентификации. Он должен быть установлен на https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php в вашем поставщике идентификации.
INVALID_SIGNATURE: Это означает, что предоставленный вами сертификат не соответствует сертификату, найденному в ответе SAML. Убедитесь, что вы предоставили тот же сертификат, который загрузили с вашего IdP. Если у вас есть XML-файл метаданных вашего IdP, убедитесь, что вы предоставили сертификат, заключенный в тег X509 Certificate, который имеет атрибут use='signing'.
INVALID_CERTIFICATE: Это означает, что предоставленный вами сертификат имеет неправильный формат. Убедитесь, что вы скопировали весь сертификат, предоставленный вашим поставщиком идентификации (IdP). Если вы скопировали сертификат из XML-файла метаданных IdP, убедитесь, что вы скопировали все значение целиком.
Не удалось найти сертификат, соответствующий заданному отпечатку.
Это возможно только в том случае, если сертификат, полученный в ответе SAML, не совпадает с сертификатом, настроенным в плагине. Скопируйте значение сертификата, отображаемое в окне «Конфигурация теста», и вставьте его в поле «Сертификат X.509» на вкладке «Поставщик услуг» в плагине.
Как экспортировать конфигурацию в Joomla SAML?
Пожалуйста, выполните следующие шаги для настройки экспорта:
1) Перейдите в плагин miniOrange SAML SP и откройте вкладку «Настройка поставщика услуг».
2) Затем нажмите кнопку «Импорт/Экспорт» внизу страницы, а затем кнопку «Экспорт конфигурации».
3) Перейдите в раздел Система >> Управление и введите miniOrange в строку поиска. Затем удалите все расширения miniOrange.
Пожалуйста, выполните следующие действия для импорта конфигурации:
1) Установите последнюю версию плагина и войдите в систему, используя свои учетные данные miniOrange, через плагин.
2) Перейдите на вкладку «Настройка поставщика услуг» и нажмите кнопку «Импорт/Экспорт».
3) Загрузите скачанный файл конфигурации, а затем нажмите кнопку «Импорт конфигурации».
Почему при обновлении плагина Joomla SAML у меня возникает ошибка "отсутствует таблица"?
При обновлении плагина Joomla SAML, если таблица или столбец не добавлены в базу данных, вы получите ошибку «отсутствует таблица». Эта проблема обычно возникает, когда таблица или столбец не добавлены в базу данных при обновлении плагина.
Для решения этой проблемы можно переустановить плагин. Пожалуйста, выполните следующие действия:
Удалите существующий плагин (перед удалением плагина сделайте его резервную копию).
– Перейдите в Расширения -> Управление -> Управление
– Поиск miniOrange
– Выберите все расширения и нажмите «Удалить».
Теперь установите плагин снова и настройте его.
Как устранить фатальную ошибку: Невозможно объявить класс, поскольку имя уже используется?
Сайт Joomla может использоваться либо в качестве поставщика услуг (Service Provider), либо в качестве поставщика идентификации (Identity Provider) с помощью соответствующего плагина SP или IDP. Вероятно, вы столкнулись с этой ошибкой, потому что установили оба плагина на одном и том же сайте.
Для решения этой проблемы выполните следующие действия: Удалите следующие папки из каталога Joomla:
1. /libraries/miniorangejoomlaidpplugin
2. /libraries/miniorangesamlplugin
3. /plugins/system/samlredirect
Теперь вы сможете войти на свой сайт Joomla.
Удалите оставшиеся расширения:
1. В консоли администратора вашего сайта Joomla перейдите в раздел Расширения -> Управление -> Управление.
2. Найдите в поиске «миниапельсин».
3. Выберите все расширения и нажмите «Удалить».
SSO не работает? Вы используете инструменты администрирования вместе с плагином SAML SP?
Проблема с перенаправлением возникает при использовании плагина Admin Tools для Joomla SAML SSO, когда плагин Admin Tools вносит изменения в файл .htaccess и добавляет определенные правила, предотвращающие перенаправление с сайта.
Вы можете решить указанную выше проблему, выполнив следующие шаги:
1. Перейдите в раздел «Администрирование» >> «Панель управления», затем нажмите на опцию «Создатель .htaccess».
2. Затем отключите параметр «Защита от распространенных атак с внедрением файлов».
Затем очистите кэш вашего сайта и проверьте работу системы единого входа (SSO).
Как проверить или загрузить запросы/ответы SAML с помощью логов трассировки SAML?
Журналы трассировки SAML:
1. Загрузите дополнение SAML tracer: Firefox: [ Ссылка
] | Хром:[ Ссылка 2. Откройте трассировщик SAML с панели инструментов браузера.
3. Держите окно трассировки SAML открытым.
4. Выполните настройку SSO/тестирование и воспроизведите проблему.
5. Перейдите в окно трассировки SAML.
6. Вам будет предложена опция «Экспорт логов трассировки SAML в файл» (в верхней панели меню). Сохраните логи в файл, выберите «Нет» при появлении соответствующего запроса и отправьте нам этот файл.
При входе в систему я вижу ошибку «Не удалось выполнить вход, пожалуйста, свяжитесь с администратором».
Похоже, ваш поставщик идентификации отправляет ошибку в ответе SAML. Для устранения этой проблемы перейдите на вкладку «Настройка поставщика услуг» плагина SAML SP. Нажмите «Проверить конфигурацию» и просмотрите окно результатов настройки. Убедитесь, что сопоставление атрибутов выполнено правильно, и проверьте точность значения сертификата X.509.
