Настройка аутентификации SAML через AD FS

Настройка аутентификации в Proceset посредством SAML через AD FS, описанная в данной статье, является примером. Возможны иные варианты настройки на стороне AD FS. Подробности можно получить в официальной документации к продукту AD FS.

Предварительные требования

• Работа веб-сервера Proceset должна вестись по защищенному протоколу HTTPS. Обратите внимание, что обязательно следует запускать службу Proceset с указанием переменной FE_URL для корректного формирования метаданных сервера Proceset.
• Настроенная синхронизация пользователей с Active Directory в Proceset.
• Корректно настроенные службы федерации AD. Проверить вход можно по адресу https://<адрес сервера>/adfs/ls/idpinitiatedsignon.aspx, где <адрес сервера> — адрес службы AD FS, если эта страница включена. В AD FS на Windows Server 2016 она по умолчанию отключена. Проверьте свойство EnableIdpInitiatedSignonPage командой Get-AdfsProperties. Если страница отключена, её недоступность сама по себе не означает неисправность AD FS; включение страницы согласуйте с администратором AD FS.

Порядок настройки

1. В оснастке AD FS перейдите в раздел Endpoints, в подразделе Metadata найдите ссылку, по которой вы сможете скачать необходимые метаданные (здесь: https://<адрес сервера>/FederationMetadata/2007-06/FederationMetadata.xml). Сохраните их на компьютере, с которого вы далее будете подключаться к веб-интерфейсу Proceset.
2. Зайдите в веб-интерфейс Proceset с правами администратора:
   1. Нажмите на «шестеренку» в правом верхнем углу, перейдите в раздел Администрирование, выберите пункт Аутентификация.
   2. Нажмите кнопку Добавить, выберите пункт SAML.
   3. Введите произвольное название для способа аутентификации. Выполните экспорт метаданных Proceset и сохраните их в расположении, доступном для сервера, на котором используется роль AD FS. Импортируйте данные, полученные вами в пункте 1, выберите, по какому полю будет проводиться сопоставление данных (в данном руководстве сопоставление производится по полю «Логин»).
3. Вернитесь в оснастку AD FS, перейдите в раздел Relying Party Trusts и нажмите кнопку Add Relying Party Trust справа в разделе Actions:
   1. Выберите параметр Claims aware на первом шаге Welcome.
   2. Выберите пункт Import data about the relying party from a file и, нажав кнопку Browse, выполните импорт файла, экспортированного в пункте 2.3 в Proceset при создании способа аутентификации.
   3. Задайте имя для создаваемого Relying Party Trust.
   4. Выберите пункт Permit everyone.
   5. Завершите создание отношений доверия. На завершающем шаге вам будет предложено сразу же приступить к настройке Claim для преобразования данных, но вы можете сделать это и отдельным следующим шагом.
4. Нажмите правой кнопкой мыши на созданное в пункте 3 отношение доверия и выберите Edit Claim Issuance Policy:
   1. Выберите пункт Add Rule….
   2. На первом экране («Choose Rule Type») из предлагаемых «Claim rule template» выберите Send LDAP Attributes as Claims.
   3. На втором экране («Configure Claim Rule») введите произвольное имя в поле Claim rule name, в поле Attribute store выберите Active Directory. В качестве LDAP Attribute выберите атрибут, значение которого совпадает со значением поля пользователя, выбранного в Proceset в пункте 2.3. Для поля «Логин» это может быть sAMAccountName или userPrincipalName — в зависимости от фактического значения логина в Proceset. В Outgoing Claim Type укажите Name ID. Атрибут Given-Name (givenName) содержит имя человека и не является универсальным атрибутом логина.
5. Назначьте пользователей, для которых будет использоваться SAML-авторизация, в Proceset:
   1. Нажмите на «шестеренку» в правом верхнем углу, перейдите в раздел Администрирование, выберите пункт Пользователи.
   2. Выберите отдельных пользователей или всех, затем нажмите на кнопку контекстного меню и выберите пункт Аутентификация.
   3. Назначьте тип аутентификации «SAML» (название может отличаться, указывается в пункте 2.3) единственным или совместно с другими типами для необходимых пользователей.

Справочная информация

Примеры соответствия полей (пункт 2.3) и LDAP-атрибутов (пункт 4.3). Передаваемое в Name ID значение должно совпадать со значением выбранного поля пользователя в Proceset:

Также дополнительная информация представлена по ссылкам на сайте Microsoft:

• Описание настройки ADFS;
• Описание настройки лабораторной среды для служб федерации Active Directory.