Google-Authentifizierung

Konfigurieren von Google auf Erkennung einer neuen Orchestrator-Instanz

Hinweis: Die folgenden Schritte beziehen sich auf das Google SSO-Setup. Beachten Sie, dass das folgende Verfahren eine umfassende Beschreibung einer Beispielkonfiguration ist. Eine ausführliche Anleitung finden Sie in der offiziellen Google-Dokumentation.

Falls Sie nicht über die erforderlichen Berechtigungen verfügen, wenden Sie sich diesbezüglich an Ihren Systemadministrator. Stellen Sie sicher, dass die folgenden Dienst-Details erfüllt sind.

1. Der Dienst muss auf EIN für jeden (ON for everyone) eingestellt sein.
   Abbildung 1. Einstellung „Dienst ist für alle auf EIN gestellt“
   

   

   
   
2. Die folgenden Zuordnungsdetails für Orchestrator-Attribute müssen im Fenster Attributszuordnung (Attribute Mapping) vorhanden sein:
   • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

   • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn

     Abbildung 2. Attributzuordnung
     

     

     
     
3. Im Fenster Dienstanbieter (Service Provider) müssen folgende Details vorhanden sein:
   • https://orchestratorURL/identity/Saml2/Acs als die ACS URL
   • https://orchestratorURL/identity als die ID der Entität (Entity ID)

Konfigurieren vom Orchestrator/Identity Server zur Verwendung der Google-Authentifizierung

1. Definieren Sie einen Benutzer in Orchestrator und richten Sie auf der Seite Benutzer (Users) eine gültige E-Mail-Adresse ein.
2. Importieren Sie das Signaturzertifikat (vom Identitäts-Provider bereitgestellt) über die Microsoft Management-Konsole in den Windows-Zertifikatspeicher.
3. Melden Sie sich als Systemadministrator beim Host-Verwaltungsportal an.
4. Wechseln Sie zu Benutzer und wählen Sie die Registerkarte Sicherheitseinstellungen aus.
5. Klicken Sie im Abschnitt Externe Anbieter unter SAML 2.0 auf Konfigurieren:
   
   

   

   
   

   Der Bereich SAML 2.0 konfigurieren wird rechts neben dem Fenster geöffnet.

6. Richten Sie es wie folgt ein:
   • Wählen Sie das Kontrollkästchen Aktiviert aus.
   • Legen Sie den Parameter Entitäts-ID des Dienstanbieters auf https://orchestratorURL/identity.
   • Legen Sie den Identity Provider Entity ID-Parameter auf den Wert fest, den Sie durch Konfigurieren der Google-Authentifizierung erhalten haben.
   • Legen Sie den URL-Parameter des Single-Sign-On-Service auf den Wert fest, den Sie durch Konfigurieren der Google-Authentifizierung erhalten haben.
   • Aktivieren Sie das Kontrollkästchen Unangeforderte Authentifizierungsantwort zulassen.
   • Legen Sie den Parameter Rückgabe-URL auf https://orchestratorURL/identity/externalidentity/saml2redirectcallback fest.
   • Legen Sie den Parameter Zuordnungsstrategie für externen Benutzer auf By user email fest.
   • Legen Sie den Parameter des SAML-Bindungstyps auf HTTP redirect.
   • Legen Sie im Abschnitt Signaturzertifikat den Parameter Speichername über das Dropdown-Feld auf My fest.
   • Legen Sie den Parameter Speicherort auf LocalMachine fest.

   • Legen Sie den Fingerabdruck-Parameter auf den Fingerabdruck-Wert fest, der im Windows-Zertifikatspeicher angegeben ist. Details finden Sie hier.

     
     

     

     
     
     Hinweis:

     Ersetzen Sie alle vorkommenden https://orchestratorURL durch die URL Ihrer Orchestrator-Instanz.

     Stellen Sie sicher, dass die URL der Orchestrator-Instanz keinen nachgestellten Schrägstrich enthält. Geben Sie sie immer als https://orchestratorURL/identity und nicht als https://ochestratorURL/identity/ ein.
7. Klicken Sie auf Speichern, um die Änderungen an den Einstellungen des externen Identitätsanbieters zu speichern.
8. Starten Sie den IIS-Server neu.