Ctrlk
WebsiteAdvisorDemo
For the complete documentation index, see llms.txt. This page is also available as Markdown.

SAML-SSO

App für SAML Single Sign-On

Die SAML SSO-App (Security Assertion Markup Language Single Sign-On) ermöglicht es Benutzern, sich bei BuildingPro Suites mit verschiedenen SAML-2.0-SSO-Anbietern anzumelden, einschließlich Microsoft ADFS. Diese Einrichtung vereinfacht die Authentifizierung durch die Verwendung eines einzigen Satzes von Anmeldedaten.

Migration von ADFS zu SAML SSO

Hinweis: Dieser Abschnitt ist nur relevant, wenn Sie zuvor die ADFS-App verwendet haben und ein Upgrade auf BuildingPro Suites v13.2 oder neuer durchführen. Wenn Sie BuildingPro Suites zum ersten Mal installieren, können Sie diesen Abschnitt überspringen.

Vor BuildingPro Suites v13.2 wurde die „ADFS“-App für Single Sign-On (SSO) mit Azure verwendet. Seit v13.2 unterstützt BuildingPro Suites eine größere Bandbreite an Identitätsanbietern und implementiert das vollständige SAML-SSO-Protokoll. Daher wurde die „ADFS“-App durch die neue „SAML SSO“-App ersetzt.

Wichtig: Nach dem Upgrade auf BuildingPro Suites v13.2 funktioniert die ADFS-Anmeldung nicht mehr. Um die SSO-Funktionalität wiederherzustellen, folgen Sie diesen Schritten:

  1. Installieren Sie die SAML SSO App.

  2. Überprüfen Sie die Konfiguration der SAML SSO-App. Sie sollte die vorherige ADFS-Konfiguration automatisch erkennen und übernehmen. (Die Konfigurationen beider Apps sollten ähnlich sein.)

  3. In Ihrer Azure- Konfiguration aktualisieren Sie die Reply-URL auf: https://{your-eliona-domain.com}/apps-public/saml-sso/saml/acs

  4. Stellen Sie sicher, dass die Entity ID in Ihrer Azure-Konfiguration mit der in der SAML SSO-App übereinstimmt.

Nachdem Sie diese Schritte abgeschlossen haben, testen Sie den Anmeldevorgang, um sicherzustellen, dass SSO korrekt funktioniert. Nach einer erfolgreichen Prüfung können Sie die ADFS App.

Konfiguration

Der SAML-2.0-Service Provider wird durch die Definition eines oder mehrerer Authentifizierungsdatensätze konfiguriert:

Attribut
Beschreibung

id

Konfigurations-ID. Kann nur 1 sein

enable

Ob die Konfiguration aktiv ist oder nicht

serviceProviderCertificate

Das Zertifikat dieses SAML-Service-Providers (SP). Kann ein selbstsigniertes x509-Zertifikat sein.

serviceProviderPrivateKey

Der private Schlüssel, der zum Zertifikat dieses SAML-Service-Providers (SP) passt. Verwenden Sie KEINE RSA-Schlüssellänge unter 2048

idpMetadataUrl

Die Metadaten-URL des Identity Providers (IdP), falls verfügbar. Andernfalls verwenden Sie metadataXml, um die Metadaten des IdP direkt bereitzustellen, und lassen Sie dieses Feld leer

idpMetadataXml

Geben Sie das IdP-Metadaten-XML direkt an, wenn Sie keinen Zugriff auf die idpMetadataUrl haben

ownUrl

Die eigene URL dieser BuildingPro Suites-Instanz

userToArchive

Wenn aktiviert, wird der neu erstellte Benutzer archiviert und kann sich nicht anmelden, bis ein Administrator ihn aktiviert hat

allowInitializationByIdp

Von IdP initiierte Assertions zulassen.

signedRequest

Ob der SP eine signierte SAML-Authn-Anfrage senden soll oder nicht

forceAuthn

Normalerweise wird dieser Wert für einen SP auf false gesetzt. Wenn er auf true gesetzt ist, muss sich der Benutzer erneut authentifizieren (sich beim IdP anmelden), selbst wenn er eine gültige Sitzung mit dem IdP hat

entityId

Entity ID des Service Providers. Eindeutige URI zur Identifizierung, normalerweise basierend auf der Domäne des Mandanten. Normalerweise kann der Standardwert unverändert bleiben

loginFailedUrl

Die URL, zu der weitergeleitet wird, wenn die Anmeldung fehlschlägt. Wenn dieser Wert null ist, wird die Standardseite /noLogin angezeigt

Die Konfiguration erfolgt über eine entsprechende JSON-Struktur. Beispielsweise kann die folgende JSON-Struktur verwendet werden, um einen Endpunkt für App-Berechtigungen zu definieren:

Konfigurationen können in BuildingPro Suites mit dieser Struktur unter Einstellungen > Apps > System > SAML SSO-App. erstellt werden. Wählen Sie dazu den /configs-Endpunkt mit der POST-Methode aus.

Informationen zur Konfiguration auf der Anbieterseite finden Sie in der Dokumentation Ihres SSO-Anbieters.

Attributzuordnung

Die Standard-Attributzuordnung (geeignet für Azure AD) kann mit /configuration/attribute-mapping.

Wenn Sie E-Mail als Identifikator verwenden möchten (empfohlen), lassen Sie das Feld uuid leer. Wenn Sie einen anderen eindeutigen Benutzeridentifikator verwenden möchten (z. B. UPN), füllen Sie das Feld uuid mit dem Namen des SAML-Attributs aus.

Berechtigungszuordnung

Um die Zugriffskontrollliste zu übergeben, ermöglicht die SAML SSO-App die Zuweisung von Benutzerrollen bei der Benutzererstellung.

Beispiel für die Einrichtung von Rollen:

Erstellen Sie zunächst die Rollen „Mandantenbenutzer“ und „Mandantengast“ im BuildingPro Suites Engineering-Modul und konfigurieren Sie dann den Endpunkt /configuration/permission-mapping mit der folgenden Konfiguration:

Azure AD als SAML-SSO-Identitätsanbieter

Um Azure Active Directory (Azure AD) speziell für SAML-basiertes Single Sign-On (SSO) zu konfigurieren, folgen Sie diesen Schritten:

  1. Erstellen Sie eine Unternehmensanwendung in Azure AD

    • Gehen Sie zu Azure-Portal.

    • Navigieren Sie zu Azure Active Directory > Unternehmensanwendungen. (Hinweis: App-Registrierungen sind für den OAuth/OIDC-Workflow, während Unternehmensanwendungen für SAML vorgesehen sind.)

    • Klicken Sie auf Neue Anwendung und wählen Sie dann „Eigene Anwendung erstellen“ aus.

    • Geben Sie den Namen Ihrer Anwendung ein und wählen Sie „Eine beliebige andere Anwendung integrieren, die Sie nicht in der Galerie finden“ aus.

    • Klicken Sie auf Erstellen.

  2. Single Sign-On (SAML) konfigurieren

    • Wählen Sie in Ihrer Unternehmensanwendung unter Verwalten die Option Single sign-on aus.

    • Wählen Sie SAML als Single-Sign-On-Methode aus.

  3. Grundlegende SAML-Konfiguration einrichten

    • Klicken Sie im Bereich Grundlegende SAML-Konfiguration auf Bearbeiten.

    • Bezeichner (Entity ID): Setzen Sie dies auf eine eindeutige URI, typischerweise basierend auf der Domäne Ihres Mandanten oder einer anderen verifizierten Domäne. Beispiel: yourtenant.onmicrosoft.com/your-app-id. Muss nicht mit der tatsächlichen Domäne der BuildingPro Suites-Instanz übereinstimmen. Kann auch über das Manifest-Feld festgelegt werden "identifierUris".

    • Reply-URL (Assertion Consumer Service URL): Geben Sie die URL ein, an die Azure AD SAML-Antworten sendet, z. B.: https://customer.eliona.cloud/apps-public/saml-sso/saml/acs.

  4. Azure AD-Metadaten herunterladen

    • Laden Sie im Bereich SAML Signing Certificate die Datei Federation Metadata XML herunter oder kopieren Sie die bereitgestellte Metadaten-URL:

    • Ersetzen Sie {tenant-id} durch Ihre tatsächliche Azure-AD-Mandanten-ID.

  5. Benutzer und Gruppen zuweisen

    • Weisen Sie unter Benutzer und Gruppen Benutzer oder Gruppen zu, die sich über SAML bei BuildingPro Suites authentifizieren dürfen.

  6. SAML SSO-Einstellungen in BuildingPro Suites konfigurieren

    • MS-Anmeldung: Aktivieren Sie die Anmeldeschaltfläche „via Microsoft“, indem Sie die Konfiguration auf „Aktiv“ setzen.

    • Metadaten-URL: Geben Sie die von Azure AD kopierte Metadaten-URL ein (siehe Schritt 4).

    • Eigene URL: Geben Sie die URL Ihrer BuildingPro Suites-Instanz ein (z. B., https://customer.eliona.cloud).

    • Entity ID: Setzen Sie die Entity ID aus Schritt 3.

    • Zertifikat: Optional können Sie ein selbst erstelltes Zertifikat verwenden, um die Kommunikation zu sichern.

Eine detailliertere Anleitung finden Sie in der offiziellen Microsoft-Azure-SAML-Dokumentation.

VorherigeROOMZ
NächsteSignify

Zuletzt aktualisiert

War das hilfreich?