Единая авторизация SAML в Joomla с использованием PingFederate
Обзор
Плагин miniOrange Joomla SAML SP SSO помогает интегрировать ваш сайт Joomla с PingFederate, используя протокол SAML. Плагин miniOrange Joomla SAML SP Single Sign-on (SSO) упрощает настройку SSO PingFederate в Joomla и обеспечивает безопасный вход в систему Joomla. В результате пользователи могут получить доступ к нескольким приложениям Joomla с помощью одного логина после аутентификации с использованием своих учетных данных PingFederate IDP.
Наш плагин совместим как с Joomla 3, так и с Joomla 4 со всеми поставщиками идентификации, поддерживающими SAML 2.0. Здесь мы рассмотрим пошаговое руководство по настройке входа в систему SAML SSO между сайтом Joomla и PingFederate, рассматривая PingFederate как поставщика идентификации (IDP), а Joomla как поставщика услуг (SP).
Шаги настройки
В этой установке ПингФедерация служит хранилищем для хранения пользователей, то есть будет выступать в роли поставщика идентификационных данных, в то время как Joomla Здесь пользователи будут входить в систему, используя свои учетные данные из PingFederate. Плагин Joomla SAML SP SSO будет установлено.
Шаг 1: Установите плагин Joomla SAML SP.
- Войдите на свой сайт Joomla. Администратора приставка.
- В левом выпадающем меню нажмите на Системазатем в разделе «Установка» нажмите на Расширения.
- Теперь нажмите Или выберите файл. кнопка для поиска и установки ранее загруженного файла плагина.
- Установка плагина прошла успешно. Теперь нажмите на Начать!
- Перейдите на сайт Метаданные поставщика услуг Вкладка, здесь вы найдете URL метаданных, скачайте XML-файл метаданныхили вы можете скопировать Идентификатор объекта и URL ACS Его можно использовать без дополнительной настройки.
Шаг 2: Настройте PingFederate в качестве поставщика идентификационных данных (IDP).
- Вход в свой файл ПингФедерация Панель администратора пользователя.
- Нажмите на Поставщик удостоверений в левом навигационном меню.
- Под SP-СОЕДИНЕНИЕ, нажмите на Создать новый .
- Вы увидите следующий экран. Нажмите на Создать интеграцию приложений .
- Выберите Профили единого входа браузера шаблон подключения на Тип соединения нажмите и перейдите по вкладке Следующая.
- Выберите «Единый вход через браузер» Параметры подключения вкладку и нажмите Следующая.
- Выберите Файл в качестве метода импорта метаданных и кликов Выбирайте файл для выбора плагина miniOrange SSO метаданных На вкладке «Импорт метаданных» нажмите... Следующая.
- Ознакомьтесь с информацией на Сводка метаданных вкладку и нажмите Следующая.
- В Вкладка «Общая информация» убедитесь, что Идентификатор организации поставщика услуг, Название соединения и Базовый URL Поля заполняются автоматически на основе метаданных. Нажмите Следующая.
- Перейдите в Единый вход в браузере и нажмите Настройка единого входа в браузереВы будете перенаправлены на мастер настройки единого входа в браузере.
- Выберите Единый вход, инициированный поставщиком удостоверений и SSO, инициированный SP варианты на Профили SAML вкладку и нажмите Следующая.
- Введите желаемый срок действия утверждения в соответствующем поле. Срок действия утверждения вкладку и нажмите СледующаяПо умолчанию для обоих параметров установлено 5 минут.
- Перейдите в раздел «Создание утверждений» и нажмите «Настроить создание утверждений». Вы будете перенаправлены на мастер настройки создания утверждений.
- На вкладке «Сопоставление идентификаторов» выберите STANDARD и нажмите «Далее».
- Выберите формат имени субъекта для поля SAML_SUBJECT. Атрибутный контракт Нажмите клавишу Tab и затем «Далее».
- В разделе «Сопоставление источников аутентификации» нажмите кнопку «Сопоставить новый экземпляр адаптера».
- Выберите Экземпляр адаптера и нажмите СледующаяАдаптер должен содержать адрес электронной почты пользователя.
- Выберите Используйте только значения контракта адаптера в параметре утверждения SAML. на Метод картирования нажмите и перейдите по вкладке Следующая.
- Выберите экземпляр вашего адаптера в качестве... Источник и электронная почта как Значение на Выполнение контракта по атрибутам вкладку и нажмите Следующая.
- (Необязательно) Выберите любые условия авторизации, которые вы хотели бы установить. Критерии выдачи нажмите и перейдите по вкладке Следующая.
- Нажмите Готово на Резюме.
- Нажмите Далее на Сопоставление источников аутентификации меню.
- Нажмите Готово на вкладке «Сводка».
- Нажмите Следующая на Создание утверждения.
- Перейдите на вкладку «Настройки протокола» мастера настройки единого входа в браузере и нажмите «Настроить параметры протокола».
- Выберите POST для Переплет и указать единый вход в систему. URL конечной точки в поле «URL-адрес конечной точки» URL-адрес службы обработки утверждений потребителя Нажмите Следующая.
- Выберите POST на Допустимые привязки SAML вкладку и нажмите Следующая.
- Выберите желаемые политики подписи для утверждений в Политика подписи Нажмите клавишу Tab и затем «Далее».
- Выберите желаемую политику шифрования для утверждений на Политика шифрования вкладку и нажмите Следующая.
- Нажмите Готово на Сводка настроек протокола меню.
- Нажмите Готово на Обзор единого входа в браузере.
- Перейдите в Полномочия и нажмите на Настройка учетных данныхВы будете перенаправлены на Полномочия Мастер установки.
- Выберите сертификат подписи, который будет использоваться со службой единого входа (SSO), и выберите «Включить сертификат в элемент подписи» на вкладке «Настройки цифровой подписи». Нажмите «Готово».
- Нажмите Готово на Резюме.
- Нажмите Следующая на Полномочия.
- Выберите Активных для Состояние подключения на Вкладка «Активация и сводка» и нажмите Сохранено.
- Теперь перейдите на панель управления администратора пользователей Ping Federate в раздел «Поставщик идентификации».
- Нажмите Управлять всем недооценивают ее SP-соединения.
- Нажмите Экспорт метаданных для подключения желаемого поставщика услуг.
- Нажмите Экспортировать на Вкладка «Экспорт и сводка» и нажмите Готово.
Шаг 3: Настройте Joomla в качестве поставщика услуг (SP).
В плагине Joomla SAML перейдите на вкладку «Настройка поставщика услуг», затем нажмите на Добавить нового IDPСуществует 3 способа настройки IDP:
А. Загружая метаданные IDP:
- В плагине Joomla SAML перейдите в Настройка поставщика услуг вкладка, здесь нажмите на Выберите файл Нажмите кнопку, чтобы выбрать файл метаданных, а затем нажмите на Загрузите .
Б. По URL-адресу метаданных:
- Enter URL метаданных (Скопируйте из приложения IDP) и нажмите на Получить метаданные .
C. Ручная настройка:
- Копировать Идентификатор сущности SAML, URL-адрес конечной точки единого входа SAML и сертификат X.509. из документа «Метаданные федерации» и вставьте его. Идентификатор сущности IDP, URL-адрес единого входа, сертификат X.509. соответственно в полях плагина.
| Идентификатор объекта IdP | Идентификатор сущности SAML в документе метаданных федерации |
| URL-адрес единого входа | URL-адрес конечной точки единого входа SAML в документе метаданных федерации. |
| Стоимость сертификата X.509 | Сертификат X.509 в документе метаданных федерации. |
Шаг 4: Настройка теста
- Нажмите Сохранено Для сохранения вашей конфигурации. После сохранения настроенный IDP отобразится в Список внутренне перемещенных лицгде вы можете скопировать URL-адрес единого входа или управлять настройками, редактируя сконфигурированный IDP или удаляя его по мере необходимости.
- Наконец, проверьте конфигурацию, нажав на кнопку. Тест кнопка. В окне успешного тестирования вы увидите атрибуты, полученные от вашего поставщика идентификации (IDP), что позволит вам убедиться в правильности работы настройки.
Шаг 5: Сопоставление атрибутов — Премиум-функция
- Атрибуты — это данные пользователя, которые хранятся в вашем поставщике идентификационных данных.
- Сопоставление атрибутов помогает получать атрибуты пользователя от вашего поставщика идентификации (IDP) и сопоставлять их с атрибутами пользователя Joomla, такими как имя, фамилия, адрес, телефон и т. д.
- При автоматической регистрации пользователей на вашем сайте Joomla эти атрибуты будут автоматически сопоставлены с данными пользователей Joomla.
- Перейдите на вкладку «Сопоставление» и заполните все поля. Отображение атрибутов .
| Имя пользователя: | Название атрибута имени пользователя из IdP (по умолчанию использовать NameID) |
| Электронная почта: | Название атрибута email из IdP (по умолчанию использовать NameID) |
| Имя: | Название атрибута имени из IdP |
- Чтобы лучше понять, какие значения следует здесь сопоставить, вы можете проверить результаты проверки конфигурации на вкладке «Настройка поставщика услуг».
Примечание: Вы можете посмотреть, как работает сопоставление атрибутов. здесь.
Шаг 6: Групповое сопоставление — Премиум-функция
- Сопоставление групп/ролей помогает назначать определенные роли пользователям определенной группы в вашем поставщике идентификации (IdP).
- При автоматической регистрации пользователям назначаются роли в зависимости от группы, к которой они отнесены.
Примечание: Вы можете посмотреть, как работает сопоставление групп/ролей. здесь.
Шаг 7: Перенаправление и ссылки единого входа (SSO)
- Перейдите на вкладку «Настройки входа». Вы можете добавить URL-адрес для входа, чтобы использовать SAML SSO на вашем сайте Joomla, выполнив следующие шаги.
- На этой вкладке доступно множество функций, таких как автоматическое перенаправление пользователя на сайт поставщика идентификационных данных и включение входа в бэкэнд для суперпользователей. Чтобы использовать эти функции, установите флажки в соответствующих полях.
- Нажмите на вкладку «Обновить», чтобы ознакомиться с полным списком функций и различными планами лицензирования. ИЛИ вы можете нажать здесь, чтобы проверить функции и планы лицензирования.
- В случае возникновения проблем или вопросов, вы можете связаться с нами, отправив запрос через кнопку «Поддержка» в плагине или написав нам письмо по адресу [адрес электронной почты]. joomlasupport@xecurify.com.
Часто задаваемые вопросы (FAQ)
Дополнительные часто задаваемые вопросы ➔Моя тестовая конфигурация прошла успешно, но при попытке входа я попадаю в цикл перенаправления. 
Этому могут быть несколько причин:
1. На сайте включено кэширование.
Когда включено автоматическое перенаправление, пользователь перенаправляется на страницу входа в IDP, а после входа возвращается на основной сайт. Но поскольку включено кэширование, происходит перенаправление на страницу входа в IDP, что приводит к зацикливанию.
2. Несоответствие HTTP/HTTPS:
Это происходит, когда HTTPS не принудительно используется на сайте, но настроен на стороне поставщика идентификационных данных с использованием URL-адреса HTTPS. Эту проблему можно решить, принудительно включив HTTPS на сайте путем определения правила перенаправления в файле .htaccess или на уровне Apache.
3. Фальсификация печенья:
Файл cookie, созданный плагином после авторизации пользователя, изменяется другим плагином, в результате чего пользователь не авторизуется на сайте Joomla, но сессия создается на IDP.
Почему при нажатии на кнопку «Проверить конфигурацию» меня перенаправляет на сайт Joomla вместо IDP?
В плагине Joomla SAML, если после установки плагина не включено какое-либо расширение, при нажатии на кнопку «Проверить конфигурацию» происходит перенаправление на ваш собственный сайт вместо переадресации на IDP. Для решения этой проблемы необходимо включить все расширения плагина после его установки.
Для решения этой проблемы выполните следующие действия:
1. В административной панели Joomla перейдите в раздел Расширения -> Управление -> Управление.
2. Найдите в интернете «миниатюрный апельсин».
3. Включите все расширения плагинов.
Я вошел в свою учетную запись поставщика идентификационных данных, и меня перенаправило на сайт Joomla, но я не авторизован?
Вот некоторые распространенные ошибки, которые могут возникать:
INVALID_ISSUER: Это означает, что вы НЕ ввели правильное значение идентификатора эмитента или организации, предоставленное вашим поставщиком идентификации. В сообщении об ошибке вы увидите ожидаемое значение (которое вы настроили) и то, что фактически было найдено в ответе SAML.
INVALID_AUDIENCE: Это означает, что вы неправильно настроили URL-адрес аудитории в вашем поставщике идентификации. В вашем поставщике идентификации он должен быть установлен на https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/.
INVALID_DESTINATION: Это означает, что вы неправильно настроили URL-адрес назначения в вашем поставщике идентификации. Он должен быть установлен на https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php в вашем поставщике идентификации.
INVALID_SIGNATURE: Это означает, что предоставленный вами сертификат не соответствует сертификату, найденному в ответе SAML. Убедитесь, что вы предоставили тот же сертификат, который загрузили с вашего IdP. Если у вас есть XML-файл метаданных вашего IdP, убедитесь, что вы предоставили сертификат, заключенный в тег X509 Certificate, который имеет атрибут use='signing'.
INVALID_CERTIFICATE: Это означает, что предоставленный вами сертификат имеет неправильный формат. Убедитесь, что вы скопировали весь сертификат, предоставленный вашим поставщиком идентификации (IdP). Если вы скопировали сертификат из XML-файла метаданных IdP, убедитесь, что вы скопировали все значение целиком.
Не удалось найти сертификат, соответствующий заданному отпечатку.
Это возможно только в том случае, если сертификат, полученный в ответе SAML, не совпадает с сертификатом, настроенным в плагине. Скопируйте значение сертификата, отображаемое в окне «Конфигурация теста», и вставьте его в поле «Сертификат X.509» на вкладке «Поставщик услуг» в плагине.
Как экспортировать конфигурацию в Joomla SAML?
Пожалуйста, выполните следующие шаги для настройки экспорта:
1) Перейдите в плагин miniOrange SAML SP и откройте вкладку «Настройка поставщика услуг».
2) Затем нажмите кнопку «Импорт/Экспорт» внизу страницы, а затем кнопку «Экспорт конфигурации».
3) Перейдите в раздел Система >> Управление и введите miniOrange в строку поиска. Затем удалите все расширения miniOrange.
Пожалуйста, выполните следующие действия для импорта конфигурации:
1) Установите последнюю версию плагина и войдите в систему, используя свои учетные данные miniOrange, через плагин.
2) Перейдите на вкладку «Настройка поставщика услуг» и нажмите кнопку «Импорт/Экспорт».
3) Загрузите скачанный файл конфигурации, а затем нажмите кнопку «Импорт конфигурации».
Почему при обновлении плагина Joomla SAML у меня возникает ошибка "отсутствует таблица"?
При обновлении плагина Joomla SAML, если таблица или столбец не добавлены в базу данных, вы получите ошибку «отсутствует таблица». Эта проблема обычно возникает, когда таблица или столбец не добавлены в базу данных при обновлении плагина.
Для решения этой проблемы можно переустановить плагин. Пожалуйста, выполните следующие действия:
Удалите существующий плагин (перед удалением плагина сделайте его резервную копию).
– Перейдите в Расширения -> Управление -> Управление
– Поиск miniOrange
– Выберите все расширения и нажмите «Удалить».
Теперь установите плагин снова и настройте его.
Как устранить фатальную ошибку: Невозможно объявить класс, поскольку имя уже используется?
Сайт Joomla может использоваться либо в качестве поставщика услуг (Service Provider), либо в качестве поставщика идентификации (Identity Provider) с помощью соответствующего плагина SP или IDP. Вероятно, вы столкнулись с этой ошибкой, потому что установили оба плагина на одном и том же сайте.
Для решения этой проблемы выполните следующие действия: Удалите следующие папки из каталога Joomla:
1. /libraries/miniorangejoomlaidpplugin
2. /libraries/miniorangesamlplugin
3. /plugins/system/samlredirect
Теперь вы сможете войти на свой сайт Joomla.
Удалите оставшиеся расширения:
1. В консоли администратора вашего сайта Joomla перейдите в раздел Расширения -> Управление -> Управление.
2. Найдите в поиске «миниапельсин».
3. Выберите все расширения и нажмите «Удалить».
SSO не работает? Вы используете инструменты администрирования вместе с плагином SAML SP?
Проблема с перенаправлением возникает при использовании плагина Admin Tools для Joomla SAML SSO, когда плагин Admin Tools вносит изменения в файл .htaccess и добавляет определенные правила, предотвращающие перенаправление с сайта.
Вы можете решить указанную выше проблему, выполнив следующие шаги:
1. Перейдите в раздел «Администрирование» >> «Панель управления», затем нажмите на опцию «Создатель .htaccess».
2. Затем отключите параметр «Защита от распространенных атак с внедрением файлов».
Затем очистите кэш вашего сайта и проверьте работу системы единого входа (SSO).
Как проверить или загрузить запросы/ответы SAML с помощью логов трассировки SAML?
Журналы трассировки SAML:
1. Загрузите дополнение SAML tracer: Firefox: [ Ссылка
] | Хром:[ Ссылка 2. Откройте трассировщик SAML с панели инструментов браузера.
3. Держите окно трассировки SAML открытым.
4. Выполните настройку SSO/тестирование и воспроизведите проблему.
5. Перейдите в окно трассировки SAML.
6. Вам будет предложена опция «Экспорт логов трассировки SAML в файл» (в верхней панели меню). Сохраните логи в файл, выберите «Нет» при появлении соответствующего запроса и отправьте нам этот файл.
При входе в систему я вижу ошибку «Не удалось выполнить вход, пожалуйста, свяжитесь с администратором».
Похоже, ваш поставщик идентификации отправляет ошибку в ответе SAML. Для устранения этой проблемы перейдите на вкладку «Настройка поставщика услуг» плагина SAML SP. Нажмите «Проверить конфигурацию» и просмотрите окно результатов настройки. Убедитесь, что сопоставление атрибутов выполнено правильно, и проверьте точность значения сертификата X.509.
