Конфигурация SSO c AD FS

7min
В инструкции, в качестве примера, используется имя сервера с AD FS ssotest.passwork.org и имя сервера Пассворка passwork.passwork.org
Проверка настроек AD FS
Откройте Управление AD FS и проверьте настройки, кликнув Изменить свойства службы федерации.
Убедитесь, что поля на вкладке Общие соответствуют именам в DNS-записи и имени в сертификате. Адрес в поле Идентификатор службы федерации также будет использоваться при настройке SSO SAML 2.0 на стороне Passwork.
﻿
В Управление AD FS откройте Сертификаты, выберите сертификат из Для подписи маркера и экспортируйте его в base64. В будущем содержимое необходимо будет вставить в настройки SSO.
﻿
Настройка «Отношений доверия проверяющей» стороны в AD FS
Выберите Отношения доверия проверяющей стороны, кликните Добавить отношение доверия проверяющей стороны.
﻿
Выполните следующие действия:
«Поддерживающие утверждения».
«Ввод данных о проверяющей стороне вручную».
Укажите отображаемое имя.
В «Настройка сертификата» нажмите Далее.
Выберите «Включить поддержку протокола SAML 2.0 Web SSO» и добавьте «URL проверяющей стороны» — https://passwork.passwork.org/sso/acs.
Добавьте https://passwork.passwork.org/sso/metadata в «Идентификатор отношения доверия проверяющей стороны» и нажмите Добавить.
В «Выбрать политику управления доступом» нажмите Далее.
В «Готовность для добавления отношения доверия» нажмите Далее.
Нажмите Закрыть.
Отройте Свойства вашего отношения доверия проверяющей стороны, выберите Конечные точки, кликните Добавить SAML, выберите Завершение сеанса SAML в Тип конечной точки и введите https://passwork.passwork.org/sso/sls в Доверенный URL адрес.
﻿
Настройка Правил преобразования выдачи для «Отношения доверия проверяющей стороны»
Перейдите на Отношения доверия проверяющей стороны и выберите Изменить политику подачи запросов для созданного отношения доверия. Добавьте правило Отправка атрибутов LDAP как утверждение. Выберите атрибут LDAP из хранилища атрибутов, содержащий User Principal Name. Сопоставьте его с типом исходящего утверждения UPN.
﻿
Создайте второе правило Преобразование входящего утверждения. Настройте входящее утверждение UPN на тип исходящего утверждения Name ID.
﻿
Настройка SSO в веб-интерфейсе сервера Пассворка
Укажите необходимые данные и в поле сертификата вставьте содержимое файла сертификата, который вы экспортировали в начале.
﻿
Добавление файла sso.phpизменяет поведение SSO к тому, которое требуется для работы с AD FS
Создайте файл: <path-to-passwork>/app/config/sso.php
Поместите в созданный файл следующее содержимое.
PHP
<?php
return [
    'sp'  => [
        'entityId'                 => "https://passwork.passwork.org/sso/metadata",
        'assertionConsumerService' => [
            'url' => "https://passwork.passwork.org/sso/acs",
        ],
        'singleLogoutService'      => [
            'url' => "https://passwork.passwork.org/sso/sls",
        ],
        'NameIDFormat'             => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',
    ],
];
<?php
return [
    'sp'  => [
        'entityId'                 => "https://passwork.passwork.org/sso/metadata",
        'assertionConsumerService' => [
            'url' => "https://passwork.passwork.org/sso/acs",
        ],
        'singleLogoutService'      => [
            'url' => "https://passwork.passwork.org/sso/sls",
        ],
        'NameIDFormat'             => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',
    ],
];
﻿
На этом установка завершена. Возможно, вам потребуется перезапустить сервер или службу AD FS.
Чтобы исключить ошибки, связанные с сертификатами, можно воспользоваться командами PowerShell.
PowerShell
Set-ADFSRelyingPartyTrust -Targetname "<relying_party_name>" -SigningCertificateRevocationCheck "none"
Set-ADFSRelyingPartyTrust -Targetname "<relying_party_name>" -EncryptionCertificateRevocationCheck "none"
Set-ADFSRelyingPartyTrust -Targetname "<relying_party_name>" -SigningCertificateRevocationCheck "none"
Set-ADFSRelyingPartyTrust -Targetname "<relying_party_name>" -EncryptionCertificateRevocationCheck "none"
﻿
﻿
﻿
Обновлено 28 Nov 2024
Помогла ли вам эта страница?
Конфигурация SSO c Keycloak
Конфигурация SSO c Google