Bei den meisten Organisationen, die Iru Identity als Identitätsanbieter verwenden, melden sich Benutzer
direkt mit einem Passkey oder der Iru Access-App an. Verbinden Sie einen SAML-Anbieter,
wenn Sie Iru Identity als Authentifizierungsschicht für die Iru-Plattform
statt als primären Identitätsanbieter verwenden oder um eine Migration zu Iru
Identity zu erleichtern. Siehe Föderierte Authentifizierung.
Sie benötigen Administratorzugriff auf Ihren Iru-Mandanten sowie Administratorzugriff auf
Ihren SAML-Identitätsanbieter, um diese Verbindung einzurichten. Bei der Einrichtung von SAML
werden einige Werte in beide Richtungen ausgetauscht; diese Seite führt Sie durch beide
Seiten.
So wird das Vertrauen hergestellt
Iru und Ihr Anbieter müssen einander jeweils vertrauen. Iru stellt Ihnen die Angaben bereit, die Ihr Anbieter benötigt, um Iru zu erkennen, und Ihr Anbieter stellt Ihnen die Angaben bereit, die Iru benötigt, um dessen Antworten zu verifizieren.Bevor Sie beginnen
1
Service-Provider-Angaben von Iru sammeln
Sammeln Sie aus der Verbindung in Iru die Werte, die Ihr Anbieter abfragen wird –
die SP-Metadaten von Iru, die Entity-ID und die ACS-URL (die Adresse,
an die Ihr Anbieter seine SAML-Antwort sendet). Viele Anbieter können diese
in einem Schritt aus den Metadaten importieren.
2
Angaben Ihres Anbieters sammeln
Sammeln Sie von Ihrem SAML-Anbieter dessen Entity-ID, die Single-Sign-On-URL
und das Signaturzertifikat (das Zertifikat, mit dem Iru
die signierten Antworten des Anbieters verifiziert).
3
Sicherstellen, dass Ihre Benutzer in Iru vorhanden sind
Eine Anmeldung über eine Verbindung wird einem vorhandenen Iru-Benutzer zugeordnet. Fügen Sie
Ihre Benutzer zuerst hinzu oder importieren Sie sie; siehe Benutzer importieren
oder Directory Sync.
Einen SAML-Anbieter verbinden
1
Verbindung hinzufügen
Fügen Sie unter Access → Authentication eine Authentifizierungsmethode hinzu und wählen Sie SAML.
Iru generiert die Service-Provider-Angaben für diese Verbindung.
2
Iru bei Ihrem Anbieter registrieren
Erstellen Sie in Ihrem SAML-Anbieter eine neue Anwendung (Relying Party) für Iru und
geben Sie die Entity-ID und ACS-URL von Iru an oder importieren Sie die SP-Metadaten von Iru, sofern
Ihr Anbieter dies unterstützt. Konfigurieren Sie den Anbieter so, dass er die NameID und
alle Attribute freigibt, über die Sie die Zuordnung vornehmen möchten. Die genauen Relying-Party-Bildschirme finden Sie
in der Konsole Ihres Anbieters; folgen Sie dessen aktueller Dokumentation.
3
Angaben Ihres Anbieters in Iru eingeben
Geben Sie zurück in Iru die Entity-ID und Single-Sign-On-URL Ihres Anbieters ein
und laden Sie dann das Signaturzertifikat Ihres Anbieters hoch, damit Iru die
empfangenen SAML-Antworten verifizieren kann.
4
Benutzerzuordnung festlegen
Teilen Sie Iru mit, welcher Wert in der SAML-Antwort den Benutzer identifiziert: das
Betreff (NameID) oder ein benanntes Attribut, das der Anbieter sendet, und mit welchem
Iru-Benutzerwert es abgeglichen wird (UPN, Benutzername, externe ID oder ein benutzerdefiniertes
Attribut). Siehe Benutzerzuordnung.
5
Verwendungszweck der Verbindung wählen
Wählen Sie die Anwendungsfälle der Verbindung: Endbenutzer-Anmeldung, Geräteregistrierung
oder beides.
6
Auf Ihre Domänen beschränken
Wenn nur Benutzer in bestimmten E-Mail-Domänen diese Verbindung verwenden sollen,
aktivieren Sie Domänenbeschränkungen und fügen Sie diese Domänen hinzu.
7
Speichern und testen
Speichern Sie die Verbindung und melden Sie sich dann als Testbenutzer an, um den gesamten Ablauf zu bestätigen:
Iru sendet die Anfrage, Ihr Anbieter authentifiziert den Benutzer und Iru
ordnet ihn dem richtigen Benutzer zu.
Die Verbindung funktionsfähig halten
Zertifikate laufen ab
Zertifikate laufen ab
Das Signaturzertifikat, das Sie von Ihrem Anbieter hochladen, hat ein Ablaufdatum.
Wenn Ihr Anbieter sein Zertifikat rotiert, laden Sie das neue in Iru hoch, damit
die Anmeldung weiterhin funktioniert. Planen Sie den Austausch, bevor das alte Zertifikat abläuft.
Anmeldung landet beim falschen Benutzer oder bei niemandem
Anmeldung landet beim falschen Benutzer oder bei niemandem
Dies ist fast immer auf die Benutzerzuordnung zurückzuführen. Bestätigen Sie, dass der Wert, den Ihr
Anbieter sendet (das Subject oder Attribut), für alle vorhanden und eindeutig ist
und dass er dem von Ihnen gewählten Iru-Benutzerwert entspricht.
Verwandte Themen
Föderierte Authentifizierung
Anwendungsfälle, Domänenbeschränkungen und Benutzerzuordnung an einem Ort erklärt.
Benutzerdefiniertes OIDC
Verbinden Sie einen Identitätsanbieter, der OpenID Connect statt SAML verwendet.
Systemarchitektur
Erfahren Sie, wie sich die föderierte Anmeldung in die übergeordnete Identitätsschicht einfügt.
Anmeldeerlebnis
Gestalten Sie, was Benutzer bei der Anmeldung sehen.