Identity Providers

In dieser Ansicht können Identitätsanbieter zum STAGE-System hinzugefügt werden. Anstatt die Identität eines Benutzers selbst zu überprüfen, nutzt STAGE einen oder mehrere externe Identitätsanbieter-Dienste, die die Benutzerauthentifizierung für STAGE übernehmen. In diesem Szenario speichert STAGE keine Passwörter und bietet auch keinen Mechanismus zur Zwei-Faktor-Authentifizierung für diese Benutzer an, da dieser Teil durch den Identitätsanbieter für sie externalisiert wird.

STAGE gibt Informationen an den Identitätsanbieter weiter. Es gibt jedoch eine Reihe verschiedener Identitätsanbieter, die unterstützt werden, und die Art und Weise, wie Sie den Identitätsanbieter konfigurieren müssen, ist unterschiedlich, ebenso wie die Art und Weise, wie Benutzer in einem bestimmten Identitätsanbieter gespeichert werden. In allen Fällen verwendet STAGE SAML v2.0 für die Kommunikation mit dem Identitätsanbieter. Dies ist eine fortgeschrittene Konfigurationsaufgabe, die fundierte Kenntnisse über die Konfiguration und den Betrieb Ihres Identitätsanbieters erfordert.

STAGE behält mindestens immer das Admin-Konto bei, das nicht gelöscht werden kann, sodass der Zugriff auf die STAGE-Konfiguration jederzeit verfügbar bleibt. Dadurch wird sichergestellt, dass bei einer Unterbrechung der Verbindung zu einem Identitätsanbieter der Zugriff auf die STAGE-Konfiguration durch den STAGE-Systemadministrator weiterhin verfügbar bleibt.

VORAUSSETZUNG: Diese Konfigurationsvorgänge können nur von einem erfahrenen Administrator Ihres Identitätsanbieterdienstes durchgeführt werden.

Übersicht

Failed to load the diagram preview image.

Authentication Required

Page ID: 895189086

User Management - Identity Provider

Verwendung der Ansicht Identity Providers

Hinzufügen eines Identitätsanbieters

Um einen Identitätsanbieter hinzuzufügen, müssen Sie die Verbindungsdetails des Identitätsanbieters festlegen und anschließend die Verbindungsdetails von STAGE an den Identitätsanbieter übermitteln. Das folgende Verfahren bezieht sich auf Keycloak als Beispiel für einen Identitätsanbieter. Der von Ihnen verwendete Identitätsanbieter wird ähnlich sein, aber nicht identisch.

1. Klicken Sie auf . Siehe Abschnitt #Configured-Identity-Providers.

2. Wählen Sie die SAML 2.0-Schnittstelle aus.

3. Geben Sie im Bereich Identity Provider Details im Tab Setup einen Namen und einen Alias für den Identitätsanbieter ein. Siehe Abschnitt #Identity-Provider-Configuration.

4. Importieren Sie die SAML 2-Verbindungsdaten mit einer der folgenden Methoden:

   1. Von einer URL:

      1. Wählen Sie die Option Import from URL, um die Verbindungsinformationen des Identitätsanbieters aus einer vom Identitätsanbieter bereitgestellten URL zu importieren.

      2. Geben Sie die URL zu den XML-Metadaten des Identitätsanbieters in das Feld Metadata URL ein. Diese URL finden Sie in der Konfiguration des Identitätsanbieters. Bei Keycloak beispielsweise finden Sie sie unter Realm settings, Endpoints. Weitere Informationen finden Sie in der Dokumentation Ihres Identitätsanbieters.

      3. Klicken Sie auf .

   2. Aus einer XML-Datei:

      1. Speichern Sie die Verbindungsmetadaten aus der Konfiguration Ihres Identitätsanbieters als XML-Datei auf Ihrem PC. Diese XML-Datei stammt aus der Konfiguration des Identitätsanbieters. Bei Keycloak finden Sie sie beispielsweise unter Realm settings, Endpoints. Weitere Informationen finden Sie in der Dokumentation Ihres Identitätsanbieters.

      2. Wählen Sie die Option Import from XML, um die Verbindungsinformationen des Identitätsanbieters aus einer vom Identitätsanbieter bereitgestellten XML-Datei zu importieren.

      3. Klicken Sie auf .

      4. Wählen Sie die XML-Datei auf Ihrem Computer aus, die die Verbindungsmetadaten des Identitätsanbieters enthält.

      5. Klicken Sie auf .

   3. Manuelle Eingabe der Verbindungsdaten:

      1. Wählen Sie die Option Manual Setup, bei der Sie die Verbindungsdaten des Identitätsanbieters konfigurieren müssen.

      2. Klicken Sie auf .

      3. Geben Sie im Tab Connection alle relevanten Verbindungsinformationen zum Identitätsanbieter in alle Felder ein. Siehe Abschnitt #Connection-Tab.

      4. Klicken Sie auf .

5. Klicken Sie im Tab Setup auf .

6. Im Tab Setup sollte der Status auf Enabled stehen.

7. Exportieren Sie die XML-Datei mit den SAML 2.0-Metadaten des Identitätsanbieters von STAGE auf Ihren PC: Klicken Sie im Tab Setup auf Export to File.

8. Der Identitätsanbieter benötigt die SAML-Metadaten von STAGE, um die Verbindung zwischen STAGE und dem Identitätsanbieter herzustellen. Importieren Sie in der Konfiguration Ihres Identitätsanbieters einen Client:

   1. In der Client-Liste des Identitätsanbieters importieren Sie einen neuen Client.

   2. Suchen Sie nach der SAML 2.0-Metadaten-XML-Datei (Ressourcendatei) von STAGE.

   3. Klicken Sie auf Save.

STAGE wird als Client in Ihrem Identitätsanbieter unter dem Namen hinzugefügt, den Sie in Schritt 3 oben definiert haben.

9. Fügen Sie in der Konfiguration Ihres Identitätsanbieters für die STAGE-Verbindung Mapper für bestimmte STAGE-Client-Eigenschaften hinzu. Beispielsweise müssen Sie in Ihrem Identitätsanbieter eine Zuordnung für email, givenName,surname und username hinzufügen.

   

   
   

10. In Keycloak beispielsweise ist der für den username zu verwendende Mapper-Typ User Attribute For NameID.

    

    
    

11. Fügen Sie im STAGE Identity Provider Management im Tab Identity Provider Management, Property / Group Mapping die entsprechenden SAML-Attribute hinzu, wie sie in Ihrem Identity Provider unter der Spalte SAML Attribute definiert sind. In diesem Beispiel verwendet der Identity Provider die folgenden Attribute: email, givenName und surname.

    

    
    

12. Klicken Sie auf Save.

13. Klicken Sie im Tab Setup auf Enable. Der Status sollte nun Enabled sein. Unter Users (siehe Kapitel Users) wurden die Benutzer aus dem Identitätsanbieter zur Benutzerliste hinzugefügt und sind in der Spalte Origin als Identitätsanbieter gekennzeichnet.

14. Weisen Sie diese Benutzer den Groups zu oder erteilen Sie ihnen Berechtigungen für den Zugriff auf STAGE. Siehe Kapitel Users.

15. Melden Sie sich bei STAGE ab und dann wieder an. Dieser neue Identitätsanbieter wurde dem Anmeldebildschirm unter dem Namen hinzugefügt, den Sie in Schritt 3 oben unter Or sign in with definiert haben.

    

    
    

16. Klick Sie auf den Identity Provider. Sie werden zur Anmeldeseite des Identitätsanbieters weitergeleitet, wo Sie sich mit Ihren zuvor beim Identitätsanbieter eingerichteten Anmeldedaten anmelden. Siehe Kapitel Start & Login.

Zuordnung von Identitätsanbieter-Benutzern zu einer Benutzergruppe in STAGE

Benutzeridentitäten aus einem Identitätsanbieter können STAGE-Benutzergruppen zugeordnet werden, wenn Benutzer bereits einer oder mehreren Gruppen im Identitätsanbieter zugewiesen wurden. Diese Benutzergruppen werden STAGE-Benutzergruppen zugeordnet, wo sie entsprechend den der Benutzergruppe zugewiesenen Berechtigungen Zugriff auf STAGE haben.

VORAUSSETZUNG: Sie müssen eine oder mehrere Benutzergruppen in STAGE erstellt haben. Siehe Kapitel User Groups. Es müssen eine oder mehrere Gruppen im Identitätsanbieter erstellt worden sein. Benutzeridentitäten im Identitätsanbieter sollten einer oder mehreren Gruppen zugewiesen sein.

1. Wenn der Verbindungsstatus im Tab Setup auf Enabled steht, klicken Sie auf Disable, um die Verbindung zwischen STAGE und dem Identitätsanbieter zu trennen. Diese Aktion führt zu einem Ausfall für Benutzer, die versuchen, sich beim Identitätsanbieter zu authentifizieren. Führen Sie diese Aktion nur außerhalb der Einsatzzeiten durch.

2. Klicken Sie im Bereich Group Mapping auf Add.

3. Wählen Sie im Bereich Group Mapping in der Spalte STAGE Group eine STAGE-Benutzergruppe aus.

4. Legen Sie im Bereich Attribute den Namen fest, den der Identitätsanbieter für eine Gruppe verwendet. Dies ist beispielsweise häufig group oder groups.

5. Legen Sie im Bereich Attribute Value den Namen der Gruppe fest, die im Identitätsanbieter verwendet wird, um sie der ausgewählten Gruppe in STAGE zuzuordnen.

6. Klicken Sie auf Save.

7. Klicken Sie im Tab Setup auf Enable, um die Verbindung zwischen STAGE und dem Identitätsanbieter wiederherzustellen.

Configured Identity Providers

Die Tabelle listet alle Identitätsanbieter auf, die in der STAGE-Konfiguration eingerichtet sind.

Wenn Sie auf einen Identitätsanbieter klicken, werden die Details auf der rechten Seite angezeigt.

Identity Provider Configuration

Der Bereich Details auf der rechten Seite zeigt alle Informationen zum ausgewählten Identitätsanbieter an.

• Alle Änderungen in diesem Bereich müssen durch Klicken auf die Schaltfläche bestätigt werden.

• Klicken Sie auf die Schaltfläche, um alle Änderungen zu verwerfen.

• Die Schaltfläche entfernt den ausgewählten Identitätsanbieter nach Bestätigung.

Setup-Tab

Identity Provider Details

Import

Dieser Bereich wird angezeigt, nachdem Sie auf geklickt haben.

Connection-Tab

Wenn Sie im Tab Setup die Option Manual Setup ausgewählt haben, müssen Sie die Verbindungsdetails zum Identitätsanbieter manuell hinzufügen, indem Sie die Werte für die Felder in diesem Tab eingeben. Siehe Abschnitt #Hinzufügen eines Identitätsanbieters.

Wenn Sie bereits einen Identitätsanbieter hinzugefügt haben, werden in diesem Tab die aktuellen Konfigurationsparameter des Identitätsanbieters angezeigt.

URL

Connection Details

Property / Group Mapping-Tab

Um die Mitgliedschaften von Benutzergruppen in Ihrem SAML-System zu verwalten, muss STAGE herausfinden können, wie diese als Attribute in einem SAML-System zugeordnet sind, die nicht fest vorgegeben sind. Daher müssen Sie die im SAML-System verwendeten Attributnamen für STAGE-Parameter wie E-Mail-Adresse, Vorname und Nachname zuordnen.

Für jede STAGE-Benutzergruppe (wie im Tab User Groups konfiguriert) müssen Sie im Bereich Property Mapping ein Attribut und einen Wert angeben.

STAGE überprüft dann für jeden Benutzer das SAML-System:

• Ob das Attribut vorhanden ist.

• Ob der Wert des Attributs den angegebenen Wert enthält. Wenn ja, darf der Benutzer Teil der Gruppe sein.