So konfigurieren Sie SSO mit Microsoft AD FS

Systemanforderungen

Ein Server mit Microsoft Server 2019/ 2016/ 2012 R2
AD FS 5.0/4.0/3.0 auf Ihrem Server installiert
Ein SSL-Zertifikat zum Signieren Ihrer ADFS-Anmeldeseite und der Fingerabdruck für dieses Zertifikat
Ein iSpring Learn-Konto
Ein LMS-Benutzer mit der Rolle Kontoinhaber oder Kontoadministrator

Dieses Handbuch behandelt die SAML-SSO-Einrichtung mit AD FS 4.0 auf Windows Server.

Schritt 1. AD FS-Einstellungen überprüfen

Melden Sie sich bei Ihrem AD FS-Server an und starten Sie die ADFS-Managementkonsole über die Verknüpfung in Systemsteuerung (Control Panel) → System und Sicherheit (System and Security) → Verwaltungstools (Administrative Tools).
Klicken Sie mit der rechten Maustaste auf Dienst (Service) und wählen Sie Föderationsdiensteigenschaften bearbeiten (Edit Federation Service Properties).
Stellen Sie sicher, dass die Allgemeinen Einstellungen (General Settings) mit Ihren DNS-Einträgen und Zertifikatsnamen übereinstimmen. Notieren Sie sich den Föderationsdienst- (Federation Service) Identifier, da dieser in den iSpring Learn SAML 2.0-Konfigurationseinstellungen verwendet wird.
Verwenden Sie im Feld Name des Föderationsdienstes (Federation Service) eine Domäne der dritten Ebene, z. B. adfs.ispring.com.

Schritt 2. iSpring Learn-Einstellungen

Navigieren Sie zu den Zertifikaten.
Klicken Sie mit der rechten Maustaste auf das Zertifikat und wählen Sie Zertifikat ansehen (View Certificate).
Gehen Sie zur Registerkarte Details.
Suchen Sie das Feld Daumenabdruck (Thumbprint) und kopieren Sie den Inhalt.
Melden Sie sich bei Ihrem iSpring Learn-Konto an. Gehen Sie dann zu Dienste → SSO-Einstellungen und klicken Sie auf SAML.
Fügen Sie Ihren Daumenabdruck in das Feld Certificate Fingerprint ein und entfernen Sie alle Leerzeichen zwischen den Zeichen.

Füllen Sie in iSpring Learn auf der Seite SSO-Integrationseinstellungen diese Felder aus:

Feldname	Beispiel
Issuer URL (idP Entity ID)	http://YOUR_ADFS_SERVERNAME/adfs/services/trust
Sign On URL	https://YOUR_ADFS_SERVERNAME/adfs/ls/idpinitiatedsignon.aspx
Logout URL	https://YOUR_ADFS_SERVERNAME/adfs/ls/?wa=wsignout1.0

Die Parameter für die Sign On URL und die Logout URL können je nach AD FS unterschiedlich sein.

Issuer URL (IdP Entity ID)	Die URL, die den Dienst des Identitätsanbieters eindeutig identifiziert. Dieser Wert ist gleich dem Issuer-Element in der SAML-Anforderung, die vom Identitätsanbieter gesendet wird.
Sign On URL	Pfad zum Serverskript, das SAML-Identifikator-Bestätigungsanfragen zur Autorisierung generiert.
Logout URL	Pfad zum Serverskript, das SAML-Identifikator-Bestätigungsanforderungen zur Verarbeitung der Abmeldung generiert.
Certificate Fingerprint	Eine Kurzversion des Public-Key-Zertifikats zur Überprüfung einer digitalen Signatur. Es wird verwendet, um Signierungsanfragen eines Identitätsanbieters zu bestätigen. Erfahren Sie hier mehr über Zertifikatsfingerabdrücke.
Redirect users to the SSO login page	Wenn diese Option aktiviert ist, hat die iSpring-Anmeldeseite die folgende URL: https://yourcompany.ispringlearn.com/sso/login.

Klicken Sie auf Aktivieren.
Dann Link hinzufügen zur Unternehmenswebseite im Abschnitt Quick-Links.

Schritt 3. AD FS-Konfiguration der vertrauenden Partei

Gehen Sie zur AD FS-Verwaltungskonsole und wählen Sie Trusts der vertrauenden Partei (Relying Party Trusts), klicken Sie mit der rechten Maustaste darauf und wählen Sie Trust der vertrauenden Partei hinzufügen (Add Relying Party Trust).
Wählen Sie Claims Aware und klicken Sie auf Start.
Wählen Sie im Schritt Datenquelle auswählen (Select Data Source) die letzte Option: Daten über die vertrauende Partei manuell eingeben (Enter data about the relying party manually).
Geben Sie auf dem nächsten Bildschirm einen Anzeigenamen (Display name) ein, den Sie in Zukunft wiedererkennen werden. Klicken Sie auf Weiter (Next).
Behalten Sie in der Phase Zertifikat konfigurieren (Configure Certificate) die Standardwerte bei. Klicken Sie auf Weiter (Next).
Aktivieren Sie auf dem nächsten Bildschirm das Kontrollkästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren (Enable support for the SAML 2.0 WebSSO protocol). Die Service-URL lautet: https://youraccount.ispringlearn.com/module.php/saml/sp/saml2-acs.php/default-sp.
Fügen Sie im Schritt Identifikatoren konfigurieren (Configure Identifiers) die Vertrauenskennung der vertrauenden Partei (Relying party trust identifier) als https://youraccount.ispringlearn.com/module.php /saml/sp/metadata.php/default-sp hinzu. Klicken Sie auf Hinzufügen (Add).
Klicken Sie dann auf Weiter (Next).
Wählen Sie im nächsten Schritt Alle zulassen (Permit everyone) aus. Klicken Sie auf Weiter (Next).
Behalten Sie in der Phase Bereit zum Hinzufügen von Trust (Ready to Add Trust) die Standardwerte bei. Klicken Sie auf Weiter (Next).
Aktivieren Sie im letzten Schritt das Kontrollkästchen Claims-Ausgaberichtlinie für diese Anwendung konfigurieren (Configure claims issuance policy for this application). Klicken Sie dann auf Schließen (Close).

Schritt 4. Claims-Regeln erstellen

Öffnen Sie die AD FS-Systemsteuerung. Klicken Sie im Abschnitt Trusts der vertrauenden Partei (Relying Party Trusts) mit der rechten Maustaste auf den Namen und klicken Sie auf Claims-Ausgaberichtlinie bearbeiten (Edit Claims Issuance Policy).
Fügen Sie die erste Regel hinzu. Klicken Sie dazu auf Regel hinzufügen... (Add Rule...)
Wählen Sie LDAP-Attribute als Claims senden (Send LDAP Attributes as Claims). Klicken Sie auf Weiter (Next).
Geben Sie im Schritt Claim-Regel konfigurieren (Configure Claim Rule) im Feld Name der Claim-Regel einen Namen für den Claim ein, z. B. Attribute an iSpring Learn.
Wählen Sie Active Directory als Attributspeicher.
Wählen Sie als Nächstes diese Werte aus:
- Legen Sie in der Spalte LDAP-Attribut (LDAP Attribute) E-Mail-Adressen fest.
- Legen Sie in der Spalte Ausgehender Claim-Typ (Outgoing Claim Type) den E-Mail-Wert fest, wie im iSpring Learn LMS https://youraccount.ispringlearn.com/settings/sso.
Klicken Sie auf Fertig stellen (Finish), um die neue Regel zu speichern.
Fügen Sie dann die zweite Regel hinzu und wählen Sie Eine eingehende Forderung transformieren (Transform an Incoming Claim) als Vorlage.
Geben Sie den Namen des Transformationskontos (Transform Account Name) ein und klicken Sie auf OK.
Klicken Sie auf Anwenden (Apply) und dann zur Bestätigung auf OK.

Schritt 5. Anpassen der Trust-Einstellungen

Stellen Sie sicher, dass der Sichere Hash-Algorithmus (Secure hash algorithm) in den Sicherheitseinstellungen auf SHA-256 eingestellt ist. Um dies zu tun:

Öffnen Sie die AD FS-Systemsteuerung. Klicken Sie im Abschnitt Trusts der vertrauenden Partei (Relying Party Trusts) mit der rechten Maustaste auf den Namen und klicken Sie auf Eigenschaften (Properties).
Gehen Sie auf die Registerkarte Erweitert (Advanced) und wählen Sie SHA-256 im Feld Sicherer Hash-Algorithmus (Secure hash algorithm).
Klicken Sie auf ОК.

Schritt 6. Endpunkteinstellungen

Öffnen Sie die AD FS-Systemsteuerung. Klicken Sie im Abschnitt Trusts der vertrauenden Partei (Relying Party Trusts) mit der rechten Maustaste auf den Namen und klicken Sie auf Eigenschaften (Properties).
Überprüfen Sie auf der Registerkarte Endpunkte (Endpoints) den Standardpunkt:
- Wählen Sie für den Endpunkttyp (Endpoint type) SAML Assertion Consumer aus.
- Wählen Sie für den Indextyp 0 aus.
- Wählen Sie für den Bindungstyp POST aus.
- Geben Sie im Feld Vertraute URL (Trusted URL) eine Adresse wie https://youraccount.ispringlearn.com/module.php/saml/sp/saml2-acs.php/default-sp ein. Lassen Sie das Feld Antwort-URL (Response URL) leer und klicken Sie auf OK.
1. So fügen Sie einen Punkt hinzu:

Page tree