Руководство по настройке единого входа SAML в ASP.NET Framework с использованием ADFS в качестве поставщика идентификации.

Предварительные условия: загрузка и установка

A] Установка NuGet:

• Войти, чтобы http://portal.miniorange.com/ и перейдите в Скачать Вкладка. Там найдите приобретенный плагин и нажмите на него. Скачать плагин Чтобы скачать ZIP-файл плагина.

• Распакуйте загруженный zip-файл на свой компьютер и поместите файл пакета NuGet (.nupkg) в папку, например, "C:\miniOrangePackages".
• Выполните следующую команду в терминале Visual Studio, чтобы добавить его в качестве источника пакетов:

• Откройте свой проект в терминале:

• Установите пакет в свой проект, используя следующую команду:

OR

• После размещения пакета NuGet (.nupkg-файла) в локальной папке, вместо использования терминала, вы также можете установить его с помощью Visual Studio, выполнив следующие действия:
• Откройте ваше .NET-приложение в Visual Studio, затем нажмите на Инструменты в верхней панели навигации и перейдите к Диспетчер пакетов NuGet → Управление пакетами NuGet для решения.

• Откроется новое окно; нажмите на него. значок передач рядом с выпадающим списком «Источник пакета».

• Откроется всплывающее окно; выберите Источники пакетов В левой панели навигации нажмите на значок плюса. (+) значок, введите имя В качестве источника пакета укажите путь к папке, куда вы поместили пакет NuGet. Источник поле, затем щелкните Обновление ПО и, наконец, нажмите OK Чтобы сохранить изменения, как показано на изображении.

• После закрытия всплывающего окна выберите недавно добавленный источник пакетов из списка. Источник пакета падать.

• Теперь нажмите на Вставить вкладка, поиск miniOrange.SAML.SSOВыберите пакет из результатов поиска и нажмите «Установить».

B] Ручная установка:

• Распакуйте загруженный пакет из портал miniOrange, Он содержит Ручная установка папка с miniorange-saml-sso.dll а также другие DLL-файлы, которые необходимо разместить в вашем приложении. бункер папку.
• Поместите saml.config файла и miniOrangeContent папка в корневом каталоге вашего приложения.
• Зарегистрируйте модуль miniOrange в вашей системе. web.config выполнив действия, описанные в интеграция.мд.

Получите доступ к панели управления модуля.

• После установки откройте браузер и перейдите в панель управления модуля по указанному ниже URL-адресу:
  

 http(s)<your-dotnet-application-base-url>?ssoaction=config


• Если появляется страница входа в систему, значит, вы успешно добавили модуль miniOrange SAML SSO в свое приложение.

• Для настройки модуля войдите в систему, используя свою лицензированную учетную запись miniOrange.
• После входа в систему Настройка учетной записи Откроется панель управления. Введите лицензионный ключ для активации плагина, который вы получите после входа в систему. portal.miniorange.com и переход к Управление лицензиями → Лицензионные ключи.

• Затем поставьте галочку в соответствующем поле. «Я ознакомился с двумя вышеуказанными условиями и хочу активировать плагин»., и нажмите Активировать лицензию .

A] Использование URL-адреса метаданных SAML или файла метаданных

• В Меню настроек плагина, искать Настройки поставщика услугНиже вы найдете URL-адрес метаданных, а также возможность загрузки метаданных SAML.

• Скопируйте URL-адрес метаданных или загрузите файл метаданных, чтобы настроить его на стороне вашего поставщика идентификации.

• Вы можете ознакомиться с приведенным ниже скриншотом:

B] Загрузка метаданных вручную

• Из издания Настройки поставщика услуг В этом разделе вы можете вручную скопировать метаданные поставщика услуг, например: Идентификатор сущности SP, URL-адрес ACS, URL-адрес единого выхода.и поделитесь им со своим поставщиком идентификации для настройки.
• Вы также можете скачать сертификат SP, нажав на кнопку. Скачать сертификат SP и предоставьте его своему поставщику идентификационных данных, если это потребуется.
• Под Сертификат шифрования В этом разделе выберите соответствующий тип сертификата в соответствии с вашими потребностями.
• После выполнения вышеуказанных шагов нажмите на Сохранено применить конфигурацию.

• Вы можете ознакомиться с приведенным ниже скриншотом:

Шаги по настройке поставщика идентификации ADFS.

• Сначала найдите Управление ADFS приложение на вашем сервере ADFS.

• В разделе «Управление ADFS» выберите Доверие проверяющей стороны и нажмите на Добавить доверие проверяющей стороны.

• Выбрать Претензии осведомлены в Мастере доверия проверяющей стороны нажмите на Начать .

Выберите источник данных

• В разделе «Выбор источника данных» выберите источник данных для добавления доверительной стороны, проверяющей данные.

• URL метаданных
• XML-файл метаданных
• Ручная настройка

• Перейдите в Метаданные поставщика услуг скопируйте этот фрагмент из модуля ASP.NET SAML. URL метаданных.
• Выбрать Импорт данных о проверяющей стороне, опубликованных в Интернете или локальной сети опция и добавьте URL-адрес метаданных (из Step 1a) в поле адреса метаданных Федерации.
• Нажмите на Следующая.

• Перейдите в Метаданные поставщика услуг в разделе модуля ASP.NET SAML нажмите на Скачать метаданные XML кнопка для загрузки файла метаданных плагина.
• Выбрать Импорт данных о проверяющей стороне из файла выберите опцию и загрузите файл метаданных, скачанный с сайта. Step 1a
• Нажмите на Следующая.

• Перейдите в Метаданные поставщика услуг раздел модуля ASP.NET SAML (как подробно описано в Шаг 1B) чтобы получить конечные точки, необходимые для ручной настройки поставщика услуг.
• In Мастер добавления доверительной стороны выберите опцию Введите данные о проверяющей стороне вручную. и нажмите на Следующая.

Укажите отображаемое имя

• Enter Display Name и нажмите Следующая.

Настройка сертификата (премиум-функция)

• Загрузите сертификат по ссылке: Вкладка «Метаданные поставщика услуг».
• Загрузите сертификат и нажмите на кнопку. Следующая.

Настройте URL-адрес

• Выбрать Включить поддержку протокола SAML 2.0 WebSSO и введите URL-адрес СКД из плагина Метаданные поставщика услуг Tab.
• Нажмите на Следующая.

Настройка идентификаторов

• В Идентификатор доверия зависимой стороны, добавить SP-EntityID / Эмитент из плагина Метаданные поставщика услуг меню.

Выберите политику контроля доступа

• Выбрать Разрешить всем в качестве политики контроля доступа и нажмите на Следующая.

Готов добавить доверие

• In Готов добавить доверие нажмите Следующая , а затем Закрыто.

Изменить политику выдачи претензий

• В списке Доверие проверяющей стороныВыберите созданное вами приложение и нажмите на кнопку. Изменить политику выдачи претензий.

• На вкладке «Правило преобразования выпуска» нажмите на Добавить правило .

Выберите тип правила

• Выбрать Отправлять атрибуты LDAP как утверждения и нажмите на Следующая.

Настройка правила обработки утверждений

• Добавить Название правила подачи претензии И выберите Хранилище атрибутов Выберите нужный вариант из выпадающего списка.
• Под Сопоставление атрибутов LDAP с типами исходящих запросов.Выберите атрибут LDAP как Адрес электронной почты и тип исходящего требования как Имя ID.

• После настройки атрибутов нажмите на Завершить.
• После настройки ADFS в качестве поставщика идентификационных данных (IDP) вам потребуется следующее: Метаданные федерации для настройки вашего поставщика услуг.
• Для получения метаданных федерации ADFS можно использовать этот URL-адрес.
  https://< ADFS_Server_Name >/federationmetadata/2007-06/federationmetadata.xml
• Вы успешно настроили ADFS в качестве поставщика идентификации SAML (IdP) для обеспечения единого входа (SSO) в систему ADFS.

Единый вход Windows (необязательно)

Выполните следующие шаги для настройки единого входа Windows (SSO).

• Шаги по настройке ADFS для аутентификации Windows.
  • Откройте командную строку с правами администратора на сервере ADFS и выполните следующую команду:
    setspn -a HTTP/##ADFS Server FQDN## ##Domain Service Account##
  • FQDN — это полное доменное имя (например: adfs4.example.com).
  • Учетная запись службы домена — это имя пользователя учетной записи в Active Directory.
  • Пример: setspn -a HTTP/adfs.example.com username/domain.

• Откройте консоль управления AD FS, затем нажмите на Услуги и перейдите в Методы аутентификации раздел. Справа нажмите на Редактировать основные методы аутентификацииПроверьте аутентификацию Windows в зоне интрасети.

• Откройте Internet Explorer. Перейдите на вкладку «Безопасность» в параметрах интернета.
• Добавьте полное доменное имя (FQDN) AD FS в список сайтов в локальной интрасети и перезапустите браузер.
• Выберите «Настраиваемый уровень» для зоны безопасности. В списке параметров выберите Автоматический вход только в зоне интрасети.

• Откройте PowerShell и выполните следующие две команды, чтобы включить аутентификацию Windows в браузере Chrome.

 Set-AdfsProperties -WIASupportedUserAgents ((Get-ADFSProperties | Select -ExpandProperty  WIASupportedUserAgents) + "Chrome")
 Get-AdfsProperties | Select -ExpandProperty WIASupportedUserAgents;


• Вы успешно настроили ADFS для аутентификации Windows.

• Нажмите на Добавить нового IDP кнопка для настройки нового поставщика идентификации.

• Под Плагин Настройки вкладка, выберите ADFS в качестве поставщика идентификационных данных из представленного списка.

Ниже описаны два способа настройки метаданных поставщика идентификации SAML в модуле.

A] Загрузите метаданные, используя кнопку «Загрузить метаданные IDP»:

• Если ваш поставщик идентификационных данных предоставил вам URL-адрес метаданных или файл метаданных (только в формате .xml), то вы можете просто настроить метаданные поставщика идентификационных данных в модуле, используя... Загрузка метаданных IDP опцию.

• Скопируйте URL-адрес метаданных или загрузите файл метаданных, чтобы настроить его на стороне вашего поставщика идентификации.

• Вы можете ознакомиться с приведенным ниже скриншотом:

• Вы можете выбрать любой из вариантов в зависимости от доступного вам формата метаданных.

B] Настройте метаданные поставщика идентификации вручную:

• После настройки вашего Поставщик удостоверений, это предоставит вам Идентификатор сущности IDP, URL-адрес единого входа IDP и Сертификат SAML X509 поля соответственно.

• Нажмите Сохранено чтобы сохранить данные вашего IDP.

• После загрузки метаданных перейдите по ссылке. Настройки поставщика идентификации раздел. Наведите курсор на Выберите действия раскрывающийся список и нажмите на Тестовая конфигурация.

• На скриншоте ниже показан успешный результат теста. Пожалуйста, нажмите на нажмите здесь. для завершения оставшихся шагов интеграции SSO.

• Если на стороне модуля возникнет ошибка, вы увидите окно, похожее на приведенное ниже.

• Для устранения ошибки выполните следующие действия:
• Под Устранение неполадок Вкладка, включите переключатель, чтобы получать журналы плагина.

• После включения вы сможете получать журналы плагина, перейдя по адресу... Плагин Настройки вкладку и нажав на Тестовая конфигурация.
• Скачать журнальный файл из Устранение неполадок Нажмите вкладку, чтобы посмотреть, что пошло не так.
• Вы можете поделиться журнальный файл с нами в aspnetsupport@xecurify.com Наша команда свяжется с вами, чтобы решить вашу проблему.

• После проверки конфигурации сопоставьте атрибуты вашего приложения с атрибутами поставщика идентификации (IdP).

• В левом меню модуля miniOrange ASP.NET SAML SSO нажмите на Сопоставление атрибутов/ролей вкладка, как показано на изображении.
• Составьте необходимую карту. атрибуты IdP (например, имя пользователя, адрес электронной почты, имя и фамилия), полученные в SAML-ответе, отображаются в соответствующих полях.

• Примечание: Все сопоставленные атрибуты будут сохранены в сессии, чтобы вы могли получить к ним доступ в своем приложении.
• После сопоставления атрибутов нажмите Сохранить сопоставление атрибутов для внесения изменений.

Пользовательское сопоставление атрибутов

• Если вы хотите передать дополнительные атрибуты из вашего поставщика идентификации (IdP), введите имя атрибута и соответствующее значение атрибута в соответствующем поле. Пользовательское сопоставление атрибутов.
• Из издания Значение атрибута (заявление) В выпадающем списке выберите одно из утверждений, полученных в результатах проверки конфигурации. Например: NameID.
• Эти утверждения соответствуют атрибутам, отправленным вашим поставщиком идентификационных данных (IdP).

• Эти утверждения соответствуют атрибутам, отправленным вашим поставщиком идентификационных данных (IdP).

• В имя атрибута В поле введите имя атрибута так, как вы хотите, чтобы он отображался или использовался в вашем .NET-приложении.
• Если вашему приложению требуется несколько атрибутов, вы можете добавить несколько сопоставлений, нажав на соответствующую кнопку. + .
• После определения всех необходимых сопоставлений нажмите на Сохранить сопоставление атрибутов для хранения конфигурации.

• Теперь модуль будет преобразовывать входящие данные SSO от вашего поставщика идентификации (IdP) в имена пользовательских атрибутов, определенные здесь.

Сопоставление ролей

• В Сопоставление ролей раздел, введите Название атрибута группы В точности так, как настроено в вашем поставщике идентификации для получения информации о группах пользователей.
• Введите Имя роли полученную от поставщика идентификационных данных информацию сопоставить с соответствующей информацией. Ценность роли В поле «Значение роли» введите роли, определенные в вашем .NET-приложении.
• Например: сопоставьте группу IdP Group1 или Group10, полученную в атрибуте UserGroups, с соответствующей ролью, настроенной в вашем .NET-приложении.
• После добавления необходимых сопоставлений нажмите на Сохранить сопоставление ролей Для успешного сохранения конфигурации.

Ограничение домена

• Эта функция позволяет ограничить доступ пользователей к сайту на основе домена, указанного в атрибуте "Email".
• В Атрибут электронной почты В это поле введите имя атрибута, содержащего адрес электронной почты пользователя, полученный от вашего поставщика идентификационных данных (IdP).

• В Имя домена В поле введите домены, которые вы хотите разрешить или ограничить, разделяя их запятыми, если добавляете несколько доменов.
• Включите Ограничить переключатель В зависимости от ваших требований к настройке доступа по черному или белому списку.
• После завершения настройки нажмите на Сохранить домены Чтобы успешно сохранить настройки.

• Эти шаги позволяют получить информацию о пользователе SSO в вашем приложении в виде сессии.
• Вы также можете посмотреть установка тура чтобы понять, как будет работать интеграция SSO в вашем модульном приложении ASP.NET.
• Просто скопируйте и вставьте этот фрагмент кода туда, где вам нужно получить доступ к атрибутам пользователя.

• Наведите указатель мыши на Выберите действия и нажмите на Скопировать ссылку SSO.

• Используйте следующий URL-адрес в качестве ссылки в приложении, из которого вы хотите выполнить единый вход (SSO):

• Например, вы можете использовать его следующим образом:

• Используйте следующий URL-адрес в качестве ссылки на ваше приложение, из которого вы хотите выполнить SLO:

• Например, вы можете использовать его следующим образом: