Skip to main content

Przewodnik instalacji BriefCam

SAML – ADFS Relying Party Setup for BriefCam Requirements

Ostatnia aktualizacja: Czas czytania: 4 min.
Wersja2024r2
JęzykPolski

  1. Aby korzystać z usług ADFS w celu logowania się do BriefCaminstancji , potrzebne są następujące składniki:

    • Instancja Active Directory.

    • Ten przewodnik wykorzystuje zrzuty ekranu z serwera 2012R2, ale podobne kroki powinny być możliwe w innych wersjach.

    • Certyfikat SSL do podpisania strony logowania usługi ADFS oraz odcisk palca dla tego certyfikatu.

    • Po spełnieniu tych podstawowych wymagań należy zainstalować usługi ADFS na serwerze. Konfigurowanie i instalowanie usług ADFS wykracza poza zakres tego przewodnika, ale zostało to szczegółowo opisane w artykule KB firmy Microsoft .

    Uwaga

    BriefCam wykorzystuje adres e-mail użytkownika dostarczony przez ADFS w ramach potwierdzeń SAML w celu identyfikacji użytkownika.

  2. W przypadku pełnej instalacji usług ADFS zanotuj wartość adresu URL SAML 2.0/W-Federation w sekcji Punkty końcowe usług ADFS . W przypadku wybrania domyślnych ustawień instalacji zostanie to .'/adfs/ls/'

Krok 1: Dodanie zaufania jednostki uzależnionej

  1. Na tym etapie należy być gotowym do skonfigurowania połączenia ADFS z BriefCaminstancją . Połączenie między usługami ADFS i BriefCamjest definiowane za pomocą protokołu RPT (Relying Party Trust).

  2. Wybierz folder Zaufania jednostek uzależnionych z zarządzania usługami ADFS i dodaj nowe standardowe zaufanie jednostek uzależnionych na pasku bocznym akcji . Spowoduje to uruchomienie kreatora konfiguracji nowego zaufania.

    SAML welcome.png

  3. Na ekranie Wybierz źródło danych wybierz ostatnią opcję, wpisz dane o jednostce uzależnionej ręcznie .

    SAML select source.png

  4. Na następnym ekranie wpisz nazwę wyświetlaną , którą rozpoznasz w przyszłości, oraz wszystkie notatki, które chcesz zrobić.

    SAML display name.png

  5. Na następnym ekranie wybierz przycisk opcji Profil usług AD FS .

    SAML AD FS profile.png

  6. Na następnym ekranie zostaw ustawienia certyfikatów z ich ustawieniami domyślnymi.

    SAML configure certificate.png

  7. Na następnym ekranie zaznacz pole wyboru Włącz obsługę protokołu SAML 2.0 WebSSO . Adres URL usługi będzie następujący: https://<WebServices>/ProWebApi/AuthenticationApi/AuthenticateSaml

    Zastąp <WebServices>adresem serwera usług Web BriefCamServices. Pamiętaj, że na końcu adresu URL nie ma końcowego ukośnika.

    SAML Enable support for protocol.png

  8. Na następnym ekranie dodaj identyfikator zaufania jednostki uzależnionej .

    https://<WebServices>/prowebapi Musi odpowiadać dokładnemu adresowi Prowebapi w ustawieniach (rozróżniana jest wielkość liter).

    Zastąp <WebServices>adresem serwera usług BriefCamWeb Services.

    SAML relying identifier.png

    W adresie jest wymagany protokół HTTPS.

  9. Na następnym ekranie można skonfigurować uwierzytelnianie wieloskładnikowe, ale wykracza to poza zakres tego przewodnika.

    SAML multi-factor.png

  10. Na następnym ekranie wybierz przycisk opcji Zezwól wszystkim użytkownikom na dostęp do jednostki uzależnionej .

    SAML permit all.png

  11. Na kolejnych dwóch ekranach kreator wyświetli przegląd ustawień. Na ekranie końcowym użyj przycisku Zamknij , aby wyjść i otworzyć edytor Reguł zgłaszania .

    SAML claim rules.png

Krok 2: Tworzenie Reguł Roszczeń

Po utworzeniu zaufania jednostki uzależnionej można utworzyć reguły oświadczeń.

  1. Aby utworzyć nową regułę, kliknij przycisk Dodaj regułę . Tworzenie reguły Wyślij atrybuty LDAP jako oświadczenia .

    SAML claim rule template.png

  2. Na następnym ekranie, korzystając z Active Directory jako magazynu atrybutów, wykonaj następujące czynności:

    • W kolumnie Atrybut LDAP wybierz opcję Adresy e-mail .

    • W sekcji Typ oświadczenia wychodzącego wybierz opcję Adres e-mail .

      SAML configure rule.png

  3. Powtórz krok dla głównej nazwy użytkownika.

  4. Kliknij OK , aby zapisać nową regułę.

Krok 3: Konfigurowanie BriefCam

  1. Po skonfigurowaniu usług ADFS należy skonfigurować BriefCaminstancję w celu uwierzytelniania za pomocą protokołu SAML.

  2. Użyjesz pełnego adresu URL serwera ADFS z punktem końcowym SAML jako adresem URL logowania jednokrotnego.

  3. Odcisk palca będzie odciskiem palca certyfikatu podpisywania tokenu zainstalowanego w wystąpieniu usług ADFS. W narzędziu do certyfikatów systemu Windows jest to również określane jako odcisk palca SHA-1.

  4. Eksportuj certyfikat podpisywania tokenu ADFS (na serwerze ADFS) w programie PowerShell jako administrator:

    $certRefs=Get-AdfsCertificate -CertificateType Token-Signing

    $certBytes=$certRefs[0].Certificate.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Cert)

    [System.IO.File]::WriteAllBytes("c:\foo.cer", $certBytes)

  5. Kopiuj c:\foo.cerna BriefCamserwera.

  6. Uruchom narzędzie MMC.

  7. Plik -> dodaj lub usuń przystawki .

  8. Certyfikaty -> dodaj -> konto komputera -> komputer lokalny .

  9. Przejdź do sekcji Certyfikaty -> Osobiste -> Certyfikaty .

  10. Kliknij prawym przyciskiem myszy na Certyfikaty i wybierz Wszystkie zadania -> Importfoo.cer .

    SAML import certificate.png

  11. Kliknij dwukrotnie nowy certyfikat, przejdź na kartę szczegółów i skopiuj odcisk palca certyfikatu.

  12. Wklej odcisk kciuka do edytora tekstu, usuń spacje, a następnie skopiuj i wklej go do sekcji ProWebAPI w polu web admin > Ustawienia SamlCertificate .

  13. Skonfiguruj następujące pola w ustawieniach BriefCam Administrator Consoleśrodowiska :

    • SamlLoginUrl = https:// <adres serwera ADFS>/adfs/ls/idpinitiatedSignon

    • SamlLogoutUrl = adres URL wylogowywania z serwera ADFS

    • SamlCertificate = <Certyfikat SAML>

    Uwaga

    Nie należy zmieniać ustawień środowiska ProWebApiAddress i ProWebClientAddress (należy pozostawić wartości domyślne).

  14. W menedżerze IIS na komputerze z usługami Web Services przejdź do opcji BriefCam Web Services > Powiązania > Dodaj, w menu rozwijanym Typ wybierz https i kliknij OK.

    SAML Add binding.png

  15. Uruchom ponownie usługi IIS (otwierając usługi Windows, klikając prawym przyciskiem myszy usługę publikowania w sieci WWW i klikając przycisk Uruchom ponownie ).

  16. Powinieneś być teraz skonfigurowany i gotowy do pracy. Aby przetestować, uruchom: https://localhost/authenticationApi/RequestAuthenticationRoute

Jeśli użytkownik został przekierowany na stronę logowania, zalogował się i otrzymał prawidłowe wyjście (identyfikator sesji i nazwa użytkownika), gratulujemy przetrwania tego przewodnika.

W przeciwnym razie upewnij się, że wszystkie kroki zostały prawidłowo wykonane.