SAML enkel inloggning till Joomla med Azure AD B2C
Översikt
miniOrange Joomla SAML SP SSO-plugin hjälper dig att integrera din Joomla-webbplats med Azure AD B2C med SAML 2.0-protokoll. MiniOrange Joomla SAML SP Single Sign-on (SSO)-plugin är enkel att konfigurera Azure AD B2C SSO i Joomla och aktivera säker inloggning till Joomla. Som ett resultat kan användare komma åt flera Joomla-applikationer med en inloggning efter autentisering med sina Azure AD B2C IDP-uppgifter.
Vårt plugin är kompatibelt med Joomla 3 såväl som Joomla 4 med alla SAML 2.0-kompatibla identitetsleverantörer. Här kommer vi att gå igenom en steg-för-steg-guide för att konfigurera SAML SSO-inloggning mellan Joomla-webbplatsen och Azure AD B2C genom att betrakta Azure AD B2C som IDP (Identity Provider) & Joomla som SP (Service Provider).
Konfigurationssteg
I denna inställning, Azure AD B2C fungerar som lagringsplats för användare, dvs det kommer att fungera som IDP medan Joomla är där användare kommer att logga in med sina referenser från Azure AD B2C där Joomla SAML SP SSO Plugin kommer att installeras.
Steg 1: Installera Joomla SAML SP Plugin
- Logga in på din Joomla-sajt Administratör konsol.
- Från vänster växlingsmeny, klicka på Systemkrav, klicka sedan på under Installera förlängningar.
- Klicka nu på Eller bläddra efter fil för att hitta och installera plugin-filen som laddades ner tidigare.
- Installationen av plugin har lyckats. Klicka nu på Kom igång!
- Gå till Tjänsteleverantörens metadata fliken, här hittar du Metadata URL, ladda ner metadata XML-fil, eller så kan du kopiera Enhets-ID och ACS-URL direkt.
Steg 2: Konfigurera Azure AD B2C som IDP (Identity Provider)
- Logga in på ditt Azure AD B2C administratörens instrumentpanel.
- Från Azure AD B2C-klienten väljer du AppregistreringarOch väljer sedan Ny registrering.
- För Namn , stiga på IdentityExperienceFramework.
- Enligt Kontotyper som stöds, Välj Endast konton i denna organisationskatalog.
- Enligt Omdirigera URI, välj Webb och ange sedan https://ditt-hyresgästnamn.b2clogin.com/ditt-hyresgästnamn.onmicrosoft.com, där ditt hyresgästnamn är ditt Azure AD B2C-hyresgästdomännamn.
OBS: I följande steg om "Behörigheter" avsnittet inte är synligt så kan det vara anledningen till att du inte har en aktiv AzureAD B2C-prenumeration för den hyresgästen. Du kan hitta information om AzureAD B2C-prenumerationen och du kan skapa en ny hyresgäst genom att följa stegen här..
- Enligt behörigheter, markera kryssrutan Ge administratörssamtycke till behörigheter för openid och offline_access.
- Välja Registrera.
- Spela in Program (klient) ID för användning i ett senare steg.
Registrera applikationen Identity Experience Framework:
- Enligt hantera, Välj Exponera ett API.
- Välja Lägg till ett omfång, välj sedan Spara och fortsätt att acceptera standardprogram-ID-URI.
- Ange följande värden för att skapa ett omfång som tillåter anpassad policykörning i din Azure AD B2C-klient:
- Omfattningsnamn: user_impersonation
- Visningsnamn för administratörssamtycke: Få tillgång till IdentityExperienceFramework
- Beskrivning av administratörens samtycke: Tillåt appen att komma åt IdentityExperienceFramework på uppdrag av den inloggade användaren.
- Välja Lägg till omfattning.
Registrera applikationen ProxyIdentityExperienceFramework:
- Välja AppregistreringarOch väljer sedan Ny registrering.
- För Namn , stiga på ProxyIdentityExperienceFramework.
- Enligt Kontotyper som stöds, Välj Endast konton i denna organisationskatalog.
- Enligt Omdirigera URI, använd rullgardinsmenyn för att välja Offentlig klient/native (mobil & desktop).
- För Omdirigera URI, ange myapp://auth.
- Enligt behörigheter, markera kryssrutan Ge administratörssamtycke till behörigheter för openid och offline_access.
- Välja Registrera.
- Spela in Program (klient) ID för användning i ett senare steg.
Ange sedan att ansökan ska behandlas som en offentlig klient:
- Enligt hantera, Välj Autentisering.
- Enligt Avancerade inställningar, Gör det möjligt Tillåt offentliga kundflöden (välj Ja).
- Välja Spara.
Ge nu behörigheter till API-omfattningen som du visade tidigare i IdentityExperienceFramework-registreringen:
- Enligt hantera, Välj API-behörigheter.
- Enligt Konfigurerade behörigheter, Välj Lägg till en behörighet.
- Välj Mina API:er och välj sedan IdentityExperienceFramework ansökan.
- Enligt tillstånd, Välj user_impersonation omfattning som du definierade tidigare.
- Välja Lägg till behörigheter. Vänta några minuter enligt anvisningarna innan du fortsätter till nästa steg.
- Välja Ge administratörsmedgivande för (ditt hyresgästnamn).
- Välj ditt för närvarande inloggade administratörskonto eller logga in med ett konto i din Azure AD B2C-klient som har tilldelats åtminstone rollen som molnapplikationsadministratör.
- Välja Ja.
- Välja refresh, och kontrollera sedan att "Beviljas för ..." visas under Status för scopes - offline_access, openid och user_impersonation. Det kan ta några minuter innan behörigheterna sprids.
Registrera Joomla-applikationen:
- Välja AppregistreringarOch väljer sedan Ny registrering.
- Ange ett namn för applikationen såsom: Joomla.
- Enligt Kontotyper som stöds, Välj Konton i en organisationskatalog eller vilken identitetsleverantör som helst, för autentisering av användare med Azure AD B2C.
- Enligt Omdirigera URI, välj Webb och ange sedan ACS URL från Fliken Metadata för tjänsteleverantör av miniOrange SAML-plugin.
- Välja Registrera.
- Enligt hantera, Klicka på Exponera ett API.
- Klicka på uppsättning för applikations-ID-URI och klicka sedan på Spara, accepterar standardvärdet.
- När du har sparat kopierar du applikations-ID-URI och navigerar till Fliken Metadata för tjänsteleverantör av plugin-programmet.
- Klistra in det kopierade värdet under SP Entity ID / Emittent fältet på den här fliken.
- Klicka på Spara.
Generera SSO-policyer:
- Från vår Azure B2C-portal, navigera till avsnittet Översikt för din B2C-klient och registrera ditt klientnamn. OBS: Om din B2C-domän är b2ctest.onmicrosoft.com, är din hyresgästnamn b2ctest.
- Ange din Azure B2C klientnamn här., tillsammans med applikations-ID:t för apparna IdentityExperienceFramework och ProxyIdentityExperienceFramework som registrerats i stegen ovan.
- Klicka sedan på Generera Azure B2C-policyer knappen för att ladda ner SSO-policyerna.
- Extrahera den nedladdade zip-filen. Den innehåller policyfilerna och certifikatet (.pfx), som du behöver i följande steg.
Installationscertifikat:
OBS: I följande steg om 'Identity Experience Framework' inte är klickbart kan det vara anledningen till att du inte har en aktiv Azure AD B2C-prenumeration för den klienten. Du kan hitta information om Azure AD B2C-prenumerationen här. och du kan skapa en ny hyresgäst genom att följa stegen här..
- Logga in på Azur portalen och bläddra till din Azure AD B2C-hyresgäst.
- Enligt policies, Välj Identity Experience Framework och då Policynycklar.
- Välja Lägg tillOch väljer sedan Alternativ > Ladda upp.
- Ange namnet som SamlIdpCert. Prefixet B2C_1A_ läggs automatiskt till i namnet på din nyckel.
- Använd uppladdningsfilkontrollen och ladda upp ditt certifikat som genererades i stegen ovan tillsammans med SSO-policyerna (tenantname-cert.pfx).
- Ange certifikatets lösenord som ditt hyresgästnamn och klicka på Skapa. Om ditt klientnamn till exempel är xyzb2c.onmicrosoft.com anger du lösenordet som xyzb2c.
- Du bör kunna se en ny policynyckel med namnet B2C_1A_SamlIdpCert.
- På översiktssidan för din Azure AD B2C-klient, under Policies, välj Identity Experience Framework.
- Välja Policynycklar och välj sedan Lägg till.
- För Montering, välj Generera.
- In Namn , ange TokenSigningKeyContainer.
- För Nyckeltyp, välj RSA.
- För Nyckelanvändning, välj Signatur.
- Välja Skapa.
- På översiktssidan för din Azure AD B2C-klient, under policies, Välj Identity Experience Framework.
- För Montering, välj Generera.
- In Namn , ange TokenEncryptionKeyContainer.
- För Nyckeltyp, välj RSA.
- För Nyckelanvändning, välj Kryptering.
- Välja Skapa.
Ladda upp policyerna:
- Välj Identity Experience Framework menyalternativ i din B2C-klient i Azure-portalen.
- Välja Ladda upp anpassad policy.
- Ladda upp policyfilerna som laddats ner i stegen ovan enligt följande ordning:
- TrustFrameworkBase.xml
- TrustFrameworkExtensions.xml
- SignUpOrSignin.xml
- ProfilEdit.xml
- PasswordReset.xml
- SignUpOrSigninSAML.xml
- När du laddar upp filerna lägger Azure till prefixet B2C_1A_ till var och en.
Steg 3: Konfigurera Joomla som SP (tjänsteleverantör)
I Joomla SAML-pluginet, gå till fliken Inställningar för tjänsteleverantör och klicka sedan på Lägg till ny IDPDet finns 3 sätt att konfigurera IDP:n:
S. Genom att ladda upp IDP-metadata:
- I Joomla SAML-plugin, gå till Konfiguration av tjänsteleverantör fliken, klicka här på Välj fil för att välja metadatafilen och klicka sedan på Ladda knapp.
B. Efter metadata-URL:
- ange Metadata URL (Kopiera från IDP-appen) och klicka på Hämta metadata knapp.
C. Manuell konfiguration:
- Kopiera SAML Entity ID, SAML Single-Sign-On Endpoint URL och X.509-certifikat från Federation Metadata-dokument och klistra in det IDP-enhets-ID, URL för enkel inloggning, X.509-certifikat fälten i plugin-programmet.
| IdP Entitets-ID | SAML Entity ID i Federation Metadata-dokumentet |
| URL för enkel inloggning | SAML Single-Sign-On Endpoint URL i Federation Metadata-dokumentet |
| X.509 Certifikatvärde | X.509-certifikat i dokumentet Federation Metadata |
Steg 4: Testa konfigurationen
- Klicka Spara för att lagra din konfiguration. När den konfigurerade IDP:n har sparats visas den i Lista över internflyktingar, där du kan kopiera SSO URL eller hantera konfigurationen genom att redigera den konfigurerade IDP:n eller ta bort den efter behov.
- Testa slutligen konfigurationen genom att klicka på Testa knappen. I fönstret för lyckat test ser du attributen som mottagits från din IDP, vilket gör att du kan verifiera att installationen fungerar korrekt.
Steg 5: Attributmappning - Premiumfunktion
- Attribut är användarinformation som lagras i din identitetsleverantör.
- Attributmapping hjälper dig att få användarattribut från din identitetsleverantör (IDP) och mappa dem till Joomla användarattribut som förnamn, efternamn, adress, telefon etc.
- När användarna registreras automatiskt på din Joomla-webbplats kommer dessa attribut automatiskt att mappas till dina Joomla-användaruppgifter.
- Gå till fliken Mappning och fyll i alla fält i Attributmappning sektion.
| Användarnamn: | Namn på användarnamnsattributet från IdP (Behåll NameID som standard) |
| E-post: | Namn på e-postattributet från IdP (Behåll NameID som standard) |
| Namn: | Namn på namnattributet från IdP |
- Du kan kontrollera testkonfigurationsresultaten under fliken Service Provider Setup för att få en bättre uppfattning om vilka värden som ska mappas här.
Obs! Du kan se hur attributmappning fungerar här..
Steg 6: Gruppmappning - Premiumfunktion
- Grupp-/rollmappning hjälper dig att tilldela specifika roller till användare av en viss grupp i din identitetsleverantör (IdP).
- Vid automatisk registrering tilldelas användarna roller baserat på gruppen de är mappade till.
Obs! Du kan se hur grupp-/rollmappning fungerar här..
Steg 7: Omdirigering & SSO-länkar
- Gå till fliken Inloggningsinställningar. Du kan lägga till inloggningsurl för att utföra SAML SSO på din Joomla-webbplats genom att följa stegen nedan.
- Det finns flera funktioner tillgängliga på den här fliken som Auto omdirigera användaren till identitetsleverantör och Aktivera backend-inloggning för superanvändare. För att använda dessa funktioner, klicka på respektive kryssruta.
- Klicka på fliken Uppgradera för att kolla in vår kompletta lista med funktioner och olika licensplaner. ELLER så kan du klicka här för att kontrollera funktioner och licensplaner.
- Om du står inför något problem eller har någon fråga i åtanke kan du kontakta oss genom att skicka din fråga till oss via Support-knappen i plugin-programmet eller genom att skicka ett e-postmeddelande till oss på joomlasupport@xecurify.com.
Vanliga frågor
Fler vanliga frågor ➔Min testkonfiguration lyckades men när jag försöker logga in fastnar jag i en omdirigeringsslinga. 
Det finns ett par anledningar till varför detta kan hända:
1. Cachning är aktiverat på webbplatsen.
När automatisk omdirigering är aktiverat omdirigeras användaren till IDP-inloggningssidan och efter att ha loggat in tillbaka till huvudsidan, men när cachelagring är aktiverad omdirigeras den till IDP-inloggningssidan, vilket innebär en loop.
2. HTTP/HTTPS-avvikelse:
Detta händer när HTTPS inte tillämpas på webbplatsen utan är konfigurerat på IDP-sidan med en HTTPS-URL. Detta kan lösas genom att upprätthålla HTTPS på webbplatsen genom att definiera en omdirigeringsregel i .htaccess-filen eller på Apache-nivå.
3. Cookieförfalskning:
Cookien som skapas av insticksprogrammet efter att användaren loggat in ändras av ett annat insticksprogram som gör att användaren inte loggar in på Joomla-webbplatsen utan sessionen skapas på IDP.
Varför omdirigeras jag till Joomla-webbplatsen istället för IDP när jag klickar på Testa konfiguration?
I Joomla SAML-plugin, när ett tillägg inte är aktiverat efter att ha installerat plugin-programmet, efter att du klickat på "Testa konfiguration" tar det dig till din egen webbplats istället för att omdirigera dig till IDP. För att lösa det måste du aktivera alla tillägg för plugin-programmet efter att du har installerat det.
Följ stegen nedan för att lösa problemet:
1. I Joomla admin-gränssnitt, gå till Extensions -> Hantera -> Hantera.
2. Sök efter 'miniorange'.
3. Aktivera alla tillägg av plugin-program.
Jag loggade in på min identitetsleverantör och den omdirigerade mig till Joomlas webbplats, men jag är inte inloggad?
Här är några vanliga fel som kan uppstå:
INVALID_ISSUER: Detta betyder att du INTE har angett rätt värde för utfärdaren eller enhets-ID från din identitetsleverantör. Du kommer att se i felmeddelandet vad som var det förväntade värdet (som du har konfigurerat) och vad som faktiskt hittades i SAML-svaret.
INVALID_AUDIENCE: Det betyder att du INTE har konfigurerat målgrupps-URL i din identitetsleverantör korrekt. Den måste vara inställd på https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/ i din identitetsleverantör.
INVALID_DESTINATION: Detta betyder att du INTE har konfigurerat destinationsadressen korrekt i din identitetsleverantör. Den måste vara inställd på https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php i din identitetsleverantör.
INVALID_SIGNATURE: Detta betyder att certifikatet du angav inte matchade certifikatet som hittades i SAML-svaret. Se till att du tillhandahåller samma certifikat som du laddade ner från din IdP. Om du har din IdP:s XML-fil för metadata, se till att du tillhandahåller certifikat inkluderat i X509 Certificate-tagg som har ett attribut use='signing'.
INVALID_CERTIFICATE: Detta betyder att certifikatet du angav inte är i ett korrekt format. Se till att du har kopierat hela certifikatet från din IdP. Om kopierad från IdP:s Metadata XML-fil, se till att du kopierade hela värdet.
Det gick inte att hitta ett certifikat som matchar det konfigurerade fingeravtrycket.
Detta är endast möjligt när ett certifikat som kommer i SAML Response inte stämmer överens med certifikatet som konfigurerats i plugin-programmet. Kopiera certifikatvärdet som visas i fönstret Testkonfiguration och klistra in det i X.509-certifikatfältet på fliken Tjänsteleverantör i plugin-programmet.
Hur exporterar man konfiguration i Joomla SAML?
Följ stegen för att exportera konfigurationen:
1) Gå till miniOrange SAML SP-plugin och navigera till fliken Service Provider Setup.
2) Klicka sedan på knappen Importera/Exportera längst ned på sidan och klicka sedan på knappen Exportera konfiguration.
3) Navigera till System >> Hantera och sök miniOrange i sökfältet. Avinstallera sedan alla miniOrange-tillägg.
Följ stegen för att importera konfiguration:
1) Installera det senaste plugin-programmet och logga in med dina miniOrange-uppgifter i plugin-programmet.
2) Navigera till fliken Service Provider Setup och klicka på knappen Import/Export.
3) Ladda upp den nedladdade konfigurationsfilen och klicka sedan på knappen Importera konfiguration.
Varför får jag ett missing table-fel när jag uppdaterar Joomla SAML-plugin?
När du uppdaterar Joomla SAML Plugin, om tabell eller kolumn inte läggs till i databasen kommer du att få ett tabellfel som saknas. Det här problemet uppstår vanligtvis när en tabell eller kolumn inte läggs till i databasen när plugin-programmet uppdateras.
Du kan installera om plugin-programmet för att lösa det här problemet, följ stegen nedan:
Avinstallera det befintliga insticksprogrammet (Ta säkerhetskopian av det befintliga insticksprogrammet innan du avinstallerar insticksprogrammet)
– Gå till Tillägg -> Hantera -> Hantera
– Sök efter miniOrange
– Välj alla tillägg och klicka på "Avinstallera".
Installera nu plugin-programmet igen och konfigurera det.
Hur man löser det fatala felet: Kan inte deklarera klass, eftersom namnet redan används?
En Joomla-webbplats kan antingen användas som en tjänsteleverantör eller en identitetsleverantör med den relevanta SP- eller IDP-plugin. Du står inför det här felet förmodligen för att du har installerat båda plugin-programmen på samma sida.
För att lösa detta problem, följ stegen nedan: Ta bort följande mappar från din Joomla-katalog:
1. /libraries/miniorangejomlaidpplugin
2. /libraries/miniorangesamlplugin
3. /plugins/system/samlredirect
Nu bör du kunna logga in på din Joomla-sajt.
Ta bort de återstående tilläggen:
1. I din Joomla-webbplatsadministratörskonsol, gå till Extensions -> Hantera -> Hantera.
2. Sök efter "miniorange"
3. Välj alla tillägg och klicka på Avinstallera
SSO fungerar inte? Använder du Admin Tools tillsammans med SAML SP-plugin?
Omdirigeringsproblemet uppstår när du använder Admin Tools plugin för Joomla SAML SSO, där Admin Tools plugin gör ändringar i .htaccess-filen och lägger till vissa regler som förhindrar omdirigering från webbplatsen.
Du kan lösa problemet ovan genom att följa stegen nedan:
1. Navigera till Admin-verktyg >> Kontrollpanelen och klicka sedan på alternativet .htaccess maker.
2. Avaktivera sedan alternativet 'Skydda mot vanliga filinjektionsattacker'.
Rensa sedan cachen för din webbplats och testa för enkel inloggning.
Hur kontrollerar eller laddar man ner SAML-förfrågan/svar med SAML-spårningsloggar?
SAML-spårningsloggar:
1. Ladda ner SAML-spårningstillägget : Firefox: [ Länk
] | Krom:[ Länk ] 2. Öppna SAML-spåraren från webbläsarens verktygsfält.
3. Håll SAML-spårningsfönstret öppet.
4. Utför SSO/Test-konfiguration och återskapa problemet.
5. Gå till SAML-spårningsfönstret.
6. Du kommer att få alternativet att exportera SAML-spårningslogg i en fil (Översta menyraden). Spara loggarna i en fil, välj "Ingen" när du uppmanas och skicka oss den här filen.
Jag ser felet "vi kunde inte logga in dig, kontakta din administratör" under inloggningen.
Det verkar som att din identitetsleverantör skickar ett fel i SAML-svaret. För att felsöka detta, gå till fliken Service Provider Setup i SAML SP Plugin. Klicka på Test Configuration och granska fönstret för konfigurationsresultatet. Se till att attributmappningen har gjorts korrekt och verifiera att X.509-certifikatvärdet är korrekt.
