Authentication domain¶
Eine Authentifizierungsdomäne legt fest, wo und wie die Identitäten der Benutzer bei der Verbindung überprüft werden. Jedes Konto gehört zu einer Gruppe und jede Gruppe zu einer Domäne: Die Domäne bestimmt, woher die Konten stammen — ein Unternehmensverzeichnis, eine interne Datenbank oder ein externer Identitätsanbieter.
Dieses Modul listet die deklarierten Domänen auf. Klicken Sie auf +, um eine hinzuzufügen, oder doppelklicken Sie auf einen Namen, um sie zu konfigurieren. Der Verzeichnistyp wird bei der Erstellung gewählt und kann danach nicht mehr geändert werden.
Es werden vier Typen angeboten:
| Verzeichnistyp | Herkunft der Konten | Verwendung |
|---|---|---|
| LDAP directory | Externes Verzeichnis (Active Directory, OpenLDAP…) | Der übliche Fall: vorhandene Konten und Gruppen werden unverändert weiterverwendet, ohne Kopie. |
| Local directory | Datenbank innerhalb der Plattform | Konten, die direkt über die Konsole erstellt und verwaltet werden, neben einem Verzeichnis oder für einen kleinen Geltungsbereich. |
| SAML domain | Externer Identitätsanbieter (IdP) | Die Authentifizierung wird an den IdP delegiert; die Plattform tritt als Dienstanbieter auf. |
| Anonymous directory | Keine | Seltene Fälle, in denen der Zugriff auf eine Anwendung überhaupt keine Authentifizierung erfordert. |
Reihenfolge der Erstellung
Erstellen Sie zuerst die Domäne, dann die Gruppen und schließlich die Benutzerkonten: Die Zugriffsrechte auf die Anwendungen werden anschließend über einen Zugriffsvertrag den Gruppen erteilt.
Gemeinsame Konfigurationselemente¶
Diese Parameter sind bei jedem Domänentyp vorhanden:
| Feld | Beschreibung |
|---|---|
| Name | Wählen Sie einen sprechenden Domänennamen. |
| Shortcut URL | Wird nur im Bearbeitungsmodus angezeigt. Direkte URL, die den Zugriff auf das Benutzerportal für diese spezifische Domäne ermöglicht, ohne über die Liste der verfügbaren Domänen zu gehen. Format: https://{server}/cloud/?orgname={organisation}&domainid={id}. |
| Description | Optionales Feld, das den Inhalt der Domäne beschreibt. |
| Microsoft domain | Information, die die Identifizierung des Benutzers begleitet, wenn das Single Sign-on (SSO) aktiviert ist. |
| Expiration | Maximale Dauer der Inaktivität, bevor eine Sitzung abläuft. Standardwert: 60 Minuten. |
| Number of attempts before lockout | Begrenzt die Anzahl der Anmeldeversuche. Empfohlener Wert: 3 Versuche (Schutz vor Brute-Force-Angriffen). Diese Grenze muss ≤ jeder im LDAP-Verzeichnis festgelegten Grenze sein. |
| Time before unlock (minutes) | Wartezeit, bevor gesperrte Sitzungen entsperrt werden. Setzen Sie den Wert auf 0, um die Funktion zu deaktivieren. |
| The domain is part of cascading authentication | Siehe Abschnitt Kaskadierte Authentifizierung. |
| Delegate authentication to an external server | Optionen: No, CAS, IdeoSSO. |
| Alternative username attribute | LDAP-Attribut, das als sekundäre Kennung dient, wenn der Benutzer über das primäre Attribut nicht gefunden werden kann (z. B. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Empfohlener Wert: 1 Sitzung. |
| Automatic deletion of the oldest session | Schließt automatisch eine aktive Sitzung, wenn eine neue angefordert wird. |
| Note displayed in the authentication form | Hinweis, der ausschließlich für die Benutzer der Domäne bestimmt ist. |
Authentifizierungsmethode¶
| Feld | Beschreibung |
|---|---|
| Authentication method | Legt fest, wie die Identität des Benutzers bei der Anmeldung überprüft wird: Form (Benutzername und Kennwort werden manuell eingegeben) / User certificate (der Benutzername wird dem Feld CN des Zertifikats entnommen) / User certificate and form (nach der Authentifizierung über das Zertifikat wird zusätzlich ein Kennwort verlangt) / Apache authentication (Authentifizierung an den Webserver Apache delegiert) / Pro Santé Connect (CIBA) (Authentifizierung über den französischen nationalen Identitätsanbieter des Gesundheitswesens). |
| Force the use of the virtual keyboard | Zeigt auf der Authentifizierungsseite eine Bildschirmtastatur an, um die Eingabe des Kennworts vor Keyloggern zu schützen. |
Pro Santé Connect (CIBA)¶
Diese Felder werden nur angezeigt, wenn die Authentifizierungsmethode Pro Santé Connect (CIBA) gewählt ist. Pro Santé Connect ist der französische nationale Identitätsanbieter für Angehörige der Gesundheitsberufe.
| Feld | Beschreibung |
|---|---|
| Identifier (client id) | Client-Kennung, die Pro Santé Connect bei der Registrierung der Anwendung bereitstellt. |
| Secret (client secret) | Zugehöriges Client-Geheimnis, mit dem die OIDC-Austausche mit Pro Santé Connect validiert werden. |
| Sandbox | Wenn aktiviert, verbindet sich CyberElements mit der Testumgebung von PSC anstelle der Produktionsumgebung. Nur für Integrationstests verwenden. |
| RPPS retrieval | Legt fest, woher die RPPS-Nummer des Benutzers stammt (französisches Register der Angehörigen der Gesundheitsberufe): Use the authentication attribute (die RPPS wird dem primären Authentifizierungsattribut entnommen) oder Use another user attribute (die RPPS wird einem gesonderten Attribut entnommen, das im nächsten Feld anzugeben ist). |
| User attribute containing the RPPS | Name des Attributs, das die RPPS-Nummer enthält (z. B. rpps, healthcareProfessionalId). Nur sichtbar und erforderlich, wenn die vorherige Option auf „Use another user attribute“ gesetzt ist. |
OTP-Authentifizierungstoken¶
| Feld | Beschreibung |
|---|---|
| Authentication token | Auswahl des oder der zu verwendenden OTP-Generatoren (zuvor über das Menü der OTP-Token-Generatoren deklariert). Eine Mehrfachauswahl ist möglich. |
| User attribute used to send the OTP | Gibt das Benutzerattribut an, über das das OTP für jedes ausgewählte Token zugestellt wird (z. B. mobile für den Versand per SMS, mail für den Versand per E-Mail). Pro ausgewähltem Token wird ein Feld angezeigt. |
| Token expiration duration | Dauer, nach der ein gesendetes OTP nicht mehr akzeptiert wird. Setzen Sie den Wert auf 0, um den Ablauf zu deaktivieren. |
| Time unit | Einheit der Ablaufdauer: Hours oder Days. Der im vorherigen Feld eingegebene Wert wird mit dieser Einheit multipliziert (1 für Stunden, 24 für Tage). |
| Expiration starts | Ausgangspunkt für den Ablauf: From the last OTP validation (das OTP läuft X Stunden nach seiner Validierung ab) oder From the last successful login (das OTP läuft X Stunden nach der Öffnung der Sitzung ab). |
| Replace OTP characters with "*" | Verbirgt die Zeichen, die bei der Anmeldung in das Feld des Einmalkennworts eingegeben werden. |
Authentifizierung mit neomia Pulse¶
neomia Pulse ist eine Lösung für kontinuierliche Authentifizierung auf Grundlage einer Verhaltensanalyse. Diese Felder werden angezeigt, wenn das Kontrollkästchen Enable neomia Pulse authentication aktiviert ist.
| Feld | Beschreibung |
|---|---|
| Enable neomia Pulse authentication | Aktiviert die Integration mit neomia Pulse. Für die Domäne wird eine Pulse-Konfiguration erstellt. |
| API URL | Basis-URL der API von neomia Pulse für die Überprüfung der Benutzer (zum Beispiel https://pulse.example.com/api). |
| Authentication API URL | URL des Authentifizierungsendpunkts von Pulse, wenn er sich von der Haupt-URL unterscheidet. |
| API key | Geheimer Schlüssel, mit dem sich CyberElements gegenüber der API von Pulse authentifiziert. |
| Number of neomia Pulse attempts | Maximale Anzahl von Authentifizierungsversuchen mit Pulse, bevor die Anfrage blockiert wird. Standardwert: 3. |
| If Pulse authentication succeeds | Verhalten, wenn Pulse den Benutzer erfolgreich validiert: Skip the OTP token (alle für die Domäne konfigurierten OTP werden übersprungen) oder Reinforce authentication (die OTP bleiben auch nach einer erfolgreichen Validierung durch Pulse verpflichtend). |
| If Pulse authentication fails | Ausweichverhalten, wenn Pulse fehlschlägt oder nicht verfügbar ist: Block access (der Benutzer kann sich nicht anmelden, es wird der Fehlercode PULSE_API_ERROR zurückgegeben) oder Request an additional authentication factor (automatischer Rückfall auf die Standard-OTP-Authentifizierung). |
| Display graphical components | Zeigt auf der Authentifizierungsseite die visuellen Elemente des Tippmusters der Oberfläche von neomia Pulse an. |
| Display authentication factors | Zeigt dem Benutzer die Liste der von Pulse erkannten Authentifizierungsfaktoren an. |
Delegation der Authentifizierung an einen externen Server¶
CAS-Server¶
| Feld | Beschreibung |
|---|---|
| CAS server URL | Vollständige URL des CAS-Servers, an den die Authentifizierung delegiert wird. |
IdeoSSO¶
| Feld | Beschreibung |
|---|---|
| CAS server URL | Vollständige URL des IdeoSSO-Servers. |
| IdeoSSO, user property matching the identifier | Name der Benutzereigenschaft von IdeoSSO, die in CyberElements als Anmeldekennung verwendet wird. |
Eine Domäne vom Typ „Local directory“ konfigurieren¶
Registerkarte: General information¶
| Feld | Beschreibung |
|---|---|
| Invisible shortcut | Wenn mehrere Domänen existieren, aktivieren Sie dieses Kästchen, damit die Domäne nicht in der dem Benutzer angebotenen Liste erscheint. Die Domäne ist dann nur über ihre vollständige Shortcut-URL erreichbar. |
| Display the access condition if it is invalid | Wenn aktiviert, wird dem Benutzer die entsprechende Fehlermeldung angezeigt, sobald eine ungültige Zugriffsbedingung ihn an der Anmeldung hindert. Wenn nicht aktiviert, erhält der Benutzer keine Erklärung. Nur im Bearbeitungsmodus verfügbar. |
Registerkarte: Password¶
Auf dieser Registerkarte wird die Verwaltung der Kennwörter der Benutzer der lokalen Domäne konfiguriert.
| Feld | Beschreibung |
|---|---|
| Change the user's password at first login | Wenn aktiviert, wird der Benutzer bei seiner allerersten Anmeldung automatisch auf eine Seite zum Ändern des Kennworts umgeleitet. Er kann das Portal erst nach der Änderung erreichen. |
| Display the password change form | Wenn aktiviert, wird auf der Anmeldeseite ein Link angezeigt, mit dem der Benutzer sein Kennwort ändern kann. |
| Define a custom password policy | Erlaubt die Festlegung einer Richtlinie für Komplexität und Lebensdauer der Kennwörter, die dieser Domäne eigen ist. |
Wenn Define a custom password policy aktiviert ist, werden die folgenden Parameter verfügbar:
| Feld | Beschreibung |
|---|---|
| Display the password policy to the user | Wenn aktiviert, werden dem Benutzer die Komplexitätsregeln angezeigt, wenn er sein Kennwort festlegt oder ändert. |
| Minimum number of characters | Mindestlänge, die für das Kennwort verlangt wird. Standardwert: 10. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Minimum number of lowercase letters | Verlangte Mindestanzahl an Kleinbuchstaben. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Minimum number of uppercase letters | Verlangte Mindestanzahl an Großbuchstaben. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Minimum number of digits | Verlangte Mindestanzahl an Ziffern. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Minimum number of special characters | Verlangte Mindestanzahl an Sonderzeichen. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Minimum password lifetime (days) | Mindestwartezeit, bevor der Benutzer sein Kennwort ändern darf. Verhindert zu häufige Änderungen. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Maximum password lifetime (days) | Zeitraum, nach dem das Kennwort abläuft und erneuert werden muss. Standardwert: 60 Tage. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
| Notify the user before expiration (days) | Sendet dem Benutzer die angegebene Anzahl von Tagen vor dem Ablauf seines Kennworts eine E-Mail. Erfordert eine konfigurierte maximale Lebensdauer, einen SMTP-Server und eine Absenderadresse. Setzen Sie den Wert auf 0, um die Funktion zu deaktivieren. |
| SMTP server | Server, über den die Benachrichtigungen zum Ablauf gesendet werden (aus den in der SMTP-Konfiguration deklarierten Servern). |
| Source e-mail | E-Mail-Adresse, die als Absender der Benachrichtigungen erscheint. |
| Reject the new password if it contains the login | Wenn aktiviert, sind Kennwörter verboten, die die Anmeldekennung des Benutzers enthalten (Schutz vor offensichtlichen Kennwörtern). |
| Reject the new password if it matches one of the last X | Führt eine Historie der Kennwörter und verbietet die Wiederverwendung der angegebenen Anzahl früherer Kennwörter. Setzen Sie den Wert auf 0, um die Prüfung zu deaktivieren. |
Eine Domäne vom Typ „LDAP directory“ konfigurieren¶
Registerkarte: General information¶
| Feld | Beschreibung |
|---|---|
| Invisible shortcut | Wenn mehrere Domänen existieren, aktivieren Sie dieses Kästchen, damit die Domäne nicht in der dem Benutzer angebotenen Liste erscheint. |
Registerkarte: LDAP settings¶
Verbindung¶
| Feld | Beschreibung |
|---|---|
| Authentication through a site | Wenn markiert, verwendet CyberElements das Edge Gateway eines Standorts, um das Verzeichnis zu erreichen, wodurch keine eingehenden Firewall-Regeln aus der DMZ geöffnet werden müssen. Ein zweites Feld ermöglicht die Auswahl des zu verwendenden Standorts. |
| Authentication type | Bind-Protokoll zum LDAP-Server: SIMPLE (Bind mit DN und Kennwort im Klartext über TLS) / NTLM (Windows-Authentifizierung, erfordert das Microsoft-Domänensuffix) / SASL/Digest-MD5 (SASL-Authentifizierung mit MD5-Hashing, überträgt das Kennwort nicht im Klartext). |
| Microsoft domain suffix | Suffix der Windows-Domäne, aus dem die NTLM-Kennung gebildet wird (z. B. CONTOSO). Nur sichtbar, wenn der Authentifizierungstyp NTLM ist. |
Suche nach Benutzern und Gruppen¶
| Feld | Beschreibung |
|---|---|
| Search mode | Legt die Strategie fest, mit der die Gruppen aus dem Verzeichnis abgerufen werden: Retrieve groups from a group attribute (durchläuft die Gruppen und liest ihre Mitglieder — für Standardverzeichnisse geeignet) / Retrieve groups from a user attribute (liest das Attribut memberOf jedes Benutzers — schneller bei Active Directory) / Retrieve nested groups through the TokenGroups attribute (nutzt das spezielle AD-Attribut tokenGroups, um verschachtelte Gruppen rekursiv aufzulösen — bei Active Directory empfohlen). |
| User attribute containing the groups | Name des Attributs des Benutzerobjekts, das die Gruppen aufführt, denen es angehört. Nur sichtbar, wenn der Modus „from a user attribute“ gewählt ist. |
| Use the user's DN to log in | Wenn aktiviert, wird der vollständige DN des Benutzers beim LDAP-Bind (Authentifizierung) verwendet. |
| User authentication attribute | LDAP-Attribut, das bei der Anmeldung als eindeutige Kennung des Benutzers dient. Vorgeschlagene Werte: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID oder benutzerdefiniert. |
| User attribute customisation | Erlaubt die manuelle Eingabe eines Attributs, das nicht in der Liste enthalten ist. Nur sichtbar, wenn „custom“ gewählt ist. |
| Group authentication attribute | LDAP-Attribut, mit dem die Gruppen eindeutig identifiziert werden (z. B. cn, sAMAccountName). |
Baum¶
| Feld | Beschreibung |
|---|---|
| Users branch | Vollständiger DN der Organisationseinheit, die die Benutzer enthält (z. B. ou=Users,dc=example,dc=com). |
| Groups branch | Vollständiger DN der Organisationseinheit, die die Gruppen enthält (z. B. ou=Groups,dc=example,dc=com). |
| Manual group management | Wenn aktiviert, werden die Gruppen nicht automatisch aus dem LDAP-Verzeichnis synchronisiert. Die Administratoren müssen die Gruppen in CyberElements manuell hinzufügen und entfernen. |
Dienstkonto¶
| Feld | Beschreibung |
|---|---|
| Read access account | Vollständiger DN des Dienstkontos, mit dem CyberElements das Verzeichnis abfragt (z. B. cn=service-cye,ou=ServiceAccounts,dc=example,dc=com). Es wird dringend empfohlen, ein eigenes Proxy-Konto zu definieren und den anonymen Bind zum Verzeichnis zu deaktivieren. |
| Password | Kennwort des Dienstkontos. |
| User class | LDAP-Objektklasse der Benutzer, die im Verzeichnis gesucht werden sollen (z. B. person, inetOrgPerson, user bei Active Directory). |
| Group filter | Zusätzlicher Filter aus Attribut und Wert, um die Gruppen im Verzeichnis zu bestimmen. Wird nur mit dem Suchmodus „from a group attribute“ verwendet. |
Kennwort der Benutzer¶
| Feld | Beschreibung |
|---|---|
| Display the password change form | Wenn aktiviert, wird auf der Anmeldeseite ein Link zum Ändern des Kennworts angezeigt. Diese Option ist nur verfügbar, wenn die Verbindung zum Verzeichnis SSL (LDAPS) verwendet oder über einen Standort läuft. |
| Check whether the password must be changed | Wenn aktiviert, fragt CyberElements das LDAP-Verzeichnis ab, um zu erfahren, ob der Benutzer sein Kennwort ändern muss (Attribut pwdLastSet bei Active Directory), und verpflichtet ihn bei Bedarf dazu. |
| Check the password complexity when it is changed | Wenn aktiviert, prüft CyberElements, ob das neue Kennwort der im Verzeichnis definierten Komplexitätsrichtlinie entspricht, wenn die Änderung vom Portal aus angestoßen wird. |
Option Radius¶
| Feld | Beschreibung |
|---|---|
| Enable the Radius option | Aktivieren Sie dieses Kästchen nur dann, wenn das LDAP-Verzeichnis mit einer Radius-Authentifizierung (zwei Faktoren) gekoppelt ist. Diese Option kann nur bei der Erstellung der Domäne aktiviert werden und lässt sich danach nicht mehr ändern. |
Wenn die Option Radius aktiviert ist, erscheinen die folgenden Parameter:
| Feld | Beschreibung |
|---|---|
| Mode | Betriebsmodus des Radius-Servers: quicklog (direkte Authentifizierung: das Kennwort wird unverändert an den Radius-Server übermittelt) oder challenge/response (der Radius-Server sendet eine Aufforderung, auf die der Benutzer antworten muss). |
| Server | IP-Adresse oder DNS-Name des Radius-Servers. |
| Port | Port, auf dem der Radius-Server lauscht. Standardwert: 1812. |
| Secret | Zwischen CyberElements und dem Radius-Server geteiltes Geheimnis, mit dem die Austausche verschlüsselt werden. |
| Number of attempts | Maximale Anzahl von Versuchen, bevor CyberElements die Anfrage an den Radius-Server aufgibt. Standardwert: 3. |
| Timeout (seconds) | Maximale Wartezeit auf die Antwort des Radius-Servers, bevor die Frist abläuft. Standardwert: 10 Sekunden. |
| Radius NAS IP address | Quell-IP-Adresse, die CyberElements dem Radius-Server angibt (Attribut NAS-IP-Address). Zu setzen, wenn der Radius-Server die Anfragen nach der Quell-IP-Adresse filtert. |
Weitere Parameter¶
| Feld | Beschreibung |
|---|---|
| Allow RDS server management | Wenn aktiviert, können die Konten dieser Domäne im Modul zur Verwaltung der RDS-Server mit RDS-Servern verknüpft werden. |
| Use specific certificate authorities to validate LDAPS certificates | Wenn aktiviert, verwendet CyberElements ein eigenes CA-Zertifikat, um das vom LDAP-Server bei SSL-Verbindungen vorgelegte Zertifikat zu validieren. Wenn nicht aktiviert, werden die CA des Systems verwendet (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | Datei, die die Wurzel-CA im PEM-Format enthält (Text, der mit -----BEGIN CERTIFICATE----- beginnt). Nur sichtbar und erforderlich, wenn die vorherige Option aktiviert ist. |
LDAP-Server¶
Die Servertabelle listet die der Domäne zugeordneten Server auf (Spalten: Server, Port, Protocol). Mehrere Server zu definieren ermöglicht Hochverfügbarkeit: CyberElements wechselt bei einem Ausfall automatisch zu einem verfügbaren Server.
Um einen Server hinzuzufügen, klicken Sie auf +. Geben Sie ein:
| Feld | Beschreibung |
|---|---|
| Server | IP-Adresse oder DNS-Name des LDAP-Servers. |
| Port | Zugriffsport. Standardwert: 389 (LDAP) oder 636 (LDAPS). |
| Protocol | LDAP oder LDAP über SSL. Die Verwendung von SSL wird auch in einem internen Netz dringend empfohlen. |
Um einen vorhandenen Server zu bearbeiten, wählen Sie ihn aus und klicken Sie auf das Symbol Properties.
Um einen Server zu löschen, wählen Sie ihn aus und klicken Sie auf ×.
Eine Domäne vom Typ „Anonymous directory“ konfigurieren¶
Eine anonyme Domäne lässt sich in den seltenen Fällen einsetzen, in denen der Zugriff auf eine Anwendung keine Authentifizierung erfordert, weil der Benutzer bereits auf besondere Weise authentifiziert wurde.
| Feld | Beschreibung |
|---|---|
| Maximum number of connections | Begrenzt die Anzahl der gleichzeitig auf dieser Domäne zulässigen Verbindungen. |
| Use the certificate CN as the user identifier | Wenn aktiviert, wird die Kennung des Benutzers automatisch dem Feld CN des bei der Verbindung vorgelegten Client-Zertifikats entnommen. Diese Kennung wird anschließend für das SSO verwendet. |
| Identifier format, from the DN | Ausdruck, mit dem die Kennung aus den Bestandteilen des Zertifikats-DN gebildet wird (z. B. %CN%@%OU%). Nur sichtbar, wenn die vorherige Option aktiviert ist. |
Eine Domäne vom Typ „SAML“ konfigurieren¶
Wenn eine SAML-Domäne verwendet wird, tritt CyberElements als Dienstanbieter (SP) auf und delegiert die Authentifizierung an einen externen Identitätsanbieter (IdP).
Registerkarte: General information¶
| Feld | Beschreibung |
|---|---|
| Identity provider | Typ des Identitätsanbieters: Other (jeder standardkonforme SAML-IdP) oder Azure (Microsoft Azure AD / Entra ID, wodurch zusätzlich die asynchrone Synchronisierung der Gruppen aktiviert wird). |
| Identity provider EntityId | Eindeutige Kennung des IdP in der SAML-Föderation. Ihr Wert wird vom IdP bereitgestellt (z. B. https://sts.windows.net/{tenant-id}/ bei Azure, https://[serverName]/idp/shibboleth bei Shibboleth). |
| Group names variable | Name des SAML-Attributs, das die Gruppenzugehörigkeiten des Benutzers in der Assertion trägt (z. B. http://schemas.microsoft.com/ws/2008/06/identity/claims/groups bei Azure). |
| Email variable | Name des SAML-Attributs, aus dem die Plattform die E-Mail-Adresse liest. Feld nur lesbar: Der Wert ist auf saml-mail festgelegt und kann nicht konfiguriert werden. |
| Login variable | Name des SAML-Attributs, das in CyberElements als Anmeldekennung verwendet wird (z. B. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Siehe Abschnitt Kaskadierte Authentifizierung. |
| Manual configuration | Wenn aktiviert, müssen die Parameter des Identitätsanbieters manuell eingegeben werden (EntityId der SAML-Endpunkte). Wenn nicht aktiviert, werden diese Parameter automatisch aus der Metadatendatei entnommen. Nur im Bearbeitungsmodus verfügbar. |
Metadaten des Identitätsanbieters
Die Administrationskonsole stellt keinen Bildschirm für den Austausch von SAML-Metadaten bereit: Diese Registerkarte gehört zum SaaS-Angebot. In client hosted werden die Metadaten des IdP und die des Dienstanbieters manuell in den Shibboleth-Konfigurationsdateien des Mediation Controller konfiguriert.
Kaskadierte Authentifizierung¶
Rufen Sie die Seite Allgemeine Optionen auf, um die kaskadierte Authentifizierung zu aktivieren.
Wenn ein Benutzer auf das Portal zugreift, sucht das System unter den kaskadierten Domänen diejenigen, bei denen eine Authentifizierung ohne Anmeldename und Kennwort möglich ist (SAML, Apache, Zertifikat). Verwendet wird die erste Domäne, die den Benutzer erkennt. Kann keine Domäne ihn ohne Kennwort authentifizieren, werden die Felder für Anmeldename und Kennwort angezeigt.
Sobald die Funktion aktiviert ist, erscheinen in der Domänenliste zwei Schaltflächen:
- Aktivieren Sie „The domain is part of cascading authentication“ für jede gewünschte Domäne.
- Die Reihenfolge lässt sich mit den Pfeilen nach oben und nach unten ändern. Die Reihenfolge 0 wird zuerst verarbeitet.
Note
Anonyme Domänen und Radius-Domänen sowie solche, die die Authentifizierung an einen externen Server delegieren (CAS), können nicht in der kaskadierten Authentifizierung verwendet werden.