Skip to main content

​
Über SAML-basiertes Single Sign-On

SAML (Security Assertion Markup Language) ist ein Standard, der verschiedenen Systemen hilft, Informationen zur Benutzerauthentifizierung und -autorisierung auszutauschen. Er wird hauptsächlich für Single Sign-On (SSO) verwendet. Das bedeutet, dass Sie sich einmal anmelden und auf mehrere Anwendungen zugreifen können, ohne Ihre Anmeldedaten erneut einzugeben. In Iru Endpoint können Sie SAML für den Zugriff auf die Iru Endpoint-Web-App und für Require Authentication mit Automated Device Enrollment verwenden.

​
Funktionsweise

Eine SAML-Konfiguration besteht aus drei Komponenten:
  • Identity Provider (IdP) – Dies ist das System, das Ihre Identität überprüft. Es prüft Ihre Anmeldedaten und gibt diese Informationen an den Dienst weiter, den Sie nutzen möchten.
  • Service Provider (SP) – Dies ist die Anwendung oder der Dienst, auf den Sie zugreifen möchten. Er vertraut darauf, dass der IdP Ihre Identität bestätigt, und gewährt Ihnen auf dieser Grundlage Zugriff.
  • SAML-Assertions – Dies sind Nachrichten, die Informationen über Ihre Identität und Zugriffsrechte vom IdP an den SP übermitteln. Es gibt drei Typen:
    • Authentication Assertion – Bestätigt Ihre Identität und wie Sie authentifiziert wurden.
    • Attribute Assertion – Übermittelt zusätzliche Details über Sie.
    • Authorization Decision Assertion – Gibt an, ob Sie auf den Dienst zugreifen dürfen.
Der SAML-Authentifizierungsprozess läuft im Allgemeinen wie folgt ab:
1

Benutzer fordert Zugriff an

Der Benutzer versucht, auf einen Service Provider zuzugreifen, in diesem Fall Iru Endpoint.
2

Generierung der SAML-Anfrage

Iru Endpoint generiert eine SAML-Authentifizierungsanfrage und leitet den Benutzer an den IdP weiter.
3

Benutzerauthentifizierung

Der IdP authentifiziert den Benutzer, in der Regel indem er ihn zur Anmeldung auffordert, falls er noch nicht authentifiziert ist.
4

Erstellung und Übermittlung der SAML-Antwort

Sobald der Benutzer authentifiziert ist, generiert der IdP eine SAML-Antwort, die eine SAML-Assertion enthält. Diese Assertion enthält Informationen über den Benutzer, wie seine Identität und alle Attribute oder Rollen, die er besitzt. Die SAML-Antwort wird über den Browser des Benutzers an Iru Endpoint zurückgesendet.
5

Validierung der Assertion

Iru Endpoint empfängt die SAML-Antwort und validiert die SAML-Assertion. Dabei wird die digitale Signatur geprüft, um sicherzustellen, dass sie von einem vertrauenswürdigen IdP stammt.
6

Zugriff gewährt

Ist die Assertion gültig, ermöglicht Iru Endpoint dem Benutzer die Anmeldung bei der Iru Endpoint-Web-App oder die Registrierung während der Automated Device Enrollment.
SSO kann für die Anmeldung bei der Iru Endpoint-Web-App und für Require Authentication mit Automated Device Enrollment verwendet werden.

​
Einrichten einer SAML-Verbindung

Diese Anleitung beschreibt, wie Sie eine generische Custom SAML-SSO-Verbindung erstellen. Weitere Informationen zum Erstellen IdP-spezifischer Custom SAML-Verbindungen finden Sie in den folgenden Support-Artikeln:
1

Zur Schaltfläche des Kontomenüs navigieren

Wählen Sie in Iru Endpoint in der Seitenleiste die Schaltfläche Kontomenü aus.
2

Authentifizierungseinstellungen öffnen

Wählen Sie im Menü die Option Zugriff aus.
Screenshot des Kontomenüs mit hervorgehobener Option Access
3

Verwaltung und Authentifizierung auswählen

Wählen Sie die Registerkarte Verwaltung und Authentifizierung aus (standardmäßig ausgewählt) und scrollen Sie nach unten zu Authentifizierungsmethoden.
4

Authentifizierungsmethode hinzufügen

Wählen Sie + Authentifizierungsmethode aus, geben Sie dann einen Anzeigenamen für die SSO-Verbindung ein und wählen Sie SAML aus.
5

Verbindung erstellen

Wählen Sie Erstellen aus.
6

Konfigurationsinformationen

Wählen Sie Konfigurationsinformationen aus, falls dieser Abschnitt noch nicht erweitert ist.
7

Service Provider Entity ID kopieren

Kopieren Sie die Service provider entity ID zur späteren Verwendung in ein Textdokument.
8

ACS-URL kopieren

Kopieren Sie die Assertion consumer service (ACS) URL zur späteren Verwendung in ein Textdokument.
9

Tab geöffnet lassen

Lassen Sie diesen Browser-Tab geöffnet, während Sie mit den folgenden Anweisungen fortfahren.

​
Konfigurieren der SAML-Verbindung

Nachdem Sie die Verbindung erstellt haben, werden im Dialogfeld die folgenden Konfigurationsoptionen angezeigt.

​
Konfigurationsoptionen

Metadata File: Dies ist die URL zur Metadatendatei mit den Details des Service Providers. Stellen Sie diese Metadatendatei Ihrem Identitätsanbieter bereit, sofern er Metadatendateien unterstützt. Beachten Sie, dass dieser Link erst aktiv ist, nachdem Sie die Verbindungsseite gespeichert haben. Configuration Information: Wenn Ihr Identitätsanbieter keine Metadatendateien unterstützt, wählen Sie Konfigurationsinformationen aus. Der Abschnitt Konfigurationsinformationen, der später in diesem Artikel behandelt wird, enthält die Informationen aus der Metadatendatei. Name: Geben Sie einen Anzeigenamen für die Verbindung an. Dieser wird auf der Anmeldeseite angezeigt. Sign-In URL: Dies ist die Anmelde-URL der Anwendung, die von Ihrem Identitätsanbieter bereitgestellt wird. IdP Entity ID: Dies ist die Entity ID Ihres Identitätsanbieters (Google, Okta, Microsoft Entra ID usw.), nicht die Entity ID auf der Iru-Seite. Dieses Feld ist erforderlich und muss mit der in Ihrem Identitätsanbieter konfigurierten Entity ID übereinstimmen. Signing Certificate: Fügen Sie den Inhalt des Signaturzertifikats Ihres Identitätsanbieters im X.509-PEM-Format ein. Dieses Zertifikat wird verwendet, um die Gültigkeit eines eingehenden SAML-Claims zu prüfen. Fügen Sie den vollständigen Inhalt des Zertifikats einschließlich der Kopf- und Fußzeile BEGIN CERTIFICATE und END CERTIFICATE ein. User ID Attribute: Geben Sie das Attribut im SAML-Claim an, das mit einem vorhandenen Administrator abgeglichen werden soll. In der Regel ist dies der NAME ID URI (Beispiel unten), sofern Ihr Identitätsanbieter so konfiguriert ist, dass er die E-Mail-Adresse des Benutzers als NAME ID-Wert sendet. Andernfalls gleichen Sie mit einem zusätzlichen benutzerdefinierten Attribut ab, das Sie im Claim senden möchten.
Sign Request: Wählen Sie aus, ob die Anfrage vom Service Provider (Iru Endpoint) an den Identity Provider signiert werden soll. Sign Request Algorithm: Wählen Sie den von Ihrem Identitätsanbieter benötigten Signaturalgorithmus aus. Sign Request Algorithm Digest: Wählen Sie den von Ihrem Identitätsanbieter benötigten Digest des Signaturalgorithmus aus. Request Binding: Wie der Service Provider (Iru Endpoint) Anfragen an den Identitätsanbieter weiterleiten soll (in der Regel HTTP-Redirect). Speichern: Speichert Ihre SAML-Konfiguration.

​
Erforderliche Claim-Attribute

Die folgenden Attribute sind in Ihrem SAML-Claim erforderlich. NameID ist in Iru Endpoint technisch optional, sofern ein anderes Attribut für den Abgleich mit der E-Mail-Adresse angegeben ist.
Wenn die Attribute für Nachname und Vorname in Ihrem Claim fehlen, wird die E-Mail-Adresse für diese Werte verwendet.
Attribut-URI
NameIDhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifierDie E-Mail-Adresse des Benutzers, die mit der E-Mail-Adresse eines Teammitglieds in Ihrem Iru Endpoint-Tenant übereinstimmt.Erforderlich, um den Benutzer zuzuordnen, der sich bei Iru Endpoint authentifiziert.
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surnameDer Nachname des Benutzers.Erforderlich, um den Nachnamen des Benutzers zu aktualisieren.
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givennameDer Vorname des Benutzers.Erforderlich, um den Vornamen des Benutzers zu aktualisieren.

​
Erweiterte Details

Wenn Ihr Identitätsanbieter die Konfiguration einer Service-Provider-Anwendung über eine Metadatendatei nicht unterstützt, geben Sie diese Informationen manuell ein.
1

Service Provider-Metadatendatei

Dies ist die URL zur Metadatendatei mit den Details des Service Providers. Stellen Sie diese Metadatendatei Ihrem Identitätsanbieter bereit, sofern er Metadatendateien unterstützt.
2

ACS-URL

Die URL, an die eine SAML-Assertion gesendet werden soll.
3

Entity ID

Die Entity ID des Service Providers (dies ist auch die SP Issuer ID, die für SLO-Anfragen verwendet wird).
4

Signaturzertifikat des Service Providers

Dieses Zertifikat wird verwendet, um Anfragen vom Service Provider an den Identity Provider zu signieren.

​
Für Tenant-Authentifizierung zulassen

Nachdem Sie die SAML-Verbindung in Iru Endpoint und in Ihrem Identitätsanbieter konfiguriert haben, können Sie deren Verwendung für die Tenant-Authentifizierung zulassen. Schrittweise Anleitungen finden Sie im Abschnitt Tenant-Authentifizierung zulassen und Verbindungen verwalten in unserem Support-Artikel zu Single Sign-On.

​
Authentifizierung auf Domain beschränken

Bei der Konfiguration der SAML-Verbindung können Sie die Authentifizierung optional auf eine oder mehrere Domains beschränken. Dies kann nützlich sein, wenn die SSO-Verbindung bei mehreren Domains authentifizieren könnte. Sie können die Authentifizierung bei Ihrem Iru-Tenant auf eine Teilmenge der verfügbaren Domains beschränken.

​
Single Sign-On erzwingen

Sobald Sie mindestens eine Single Sign-On-Verbindung konfiguriert haben, können Sie die Verbindungen Passkey, Google Social und Microsoft Social deaktivieren. Durch das Deaktivieren dieser Verbindungen können sich Iru Endpoint-Administratoren in Ihrem Tenant nicht mehr über diese Methoden authentifizieren. Schrittweise Anleitungen finden Sie in unserem Support-Artikel zu Single Sign-On.

​
Überlegungen

Sicherheit: Stellen Sie sicher, dass in Ihrem Identitätsanbieter geeignete Sicherheitsrichtlinien für die SAML-Authentifizierung konfiguriert sind. Zertifikatsverwaltung: Behalten Sie die Ablaufdaten der Zertifikate im Blick und sorgen Sie für eine rechtzeitige Erneuerung, damit die SAML-Funktionalität erhalten bleibt. Testen: Testen Sie die SAML-Integration immer mit einer kleinen Gruppe von Benutzern, bevor Sie sie in Ihrer gesamten Organisation einführen. Attributzuordnung: Eine korrekte Attributzuordnung ist entscheidend für eine erfolgreiche Benutzerauthentifizierung und Profilsynchronisierung.