Identity Providers¶
A hitelesítési tartomány határozza meg, hol és hogyan történik a felhasználói identitások ellenőrzése a kapcsolódáskor. Minden fiók egy csoporthoz, minden csoport pedig egy tartományhoz tartozik: a tartomány határozza meg, honnan származnak a fiókok — egy vállalati címtárból, egy belső adatbázisból vagy egy külső identitásszolgáltatótól.
Ez a modul a deklarált tartományokat sorolja fel. Új tartomány hozzáadásához kattintson a + gombra, egy tartomány konfigurálásához pedig kattintson duplán a nevére. A címtár típusát létrehozáskor kell kiválasztani, és utólag nem módosítható.
Négy típus érhető el:
| Címtártípus | Fiókforrás | Felhasználás |
|---|---|---|
| LDAP directory | Külső címtár (Active Directory, OpenLDAP…) | A szokásos eset: a meglévő fiókok és csoportok változatlanul, másolás nélkül újrahasznosíthatók. |
| Local directory | A platform belső adatbázisa | Közvetlenül a konzolról létrehozott és kezelt fiókok, egy címtár mellett vagy szűk hatókörhöz. |
| SAML domain | Külső identitásszolgáltató (IdP) | A hitelesítést a platform az IdP-re ruházza át; a platform szolgáltatóként működik. |
| Anonymous directory | Nincs | Ritka esetek, amikor egy alkalmazás eléréséhez egyáltalán nincs szükség hitelesítésre. |
Létrehozási sorrend
Először a tartományt, majd a csoportokat, végül a felhasználói fiókokat hozza létre: az alkalmazásokhoz való hozzáférési jogokat ezután a csoportok kapják meg, egy hozzáférési szerződésen keresztül.
Közös konfigurációs elemek¶
Ezek a beállítások minden tartománytípusnál megtalálhatók:
| Mező | Leírás |
|---|---|
| Name | Válasszon beszédes tartománynevet. |
| Shortcut URL | Csak szerkesztési módban jelenik meg. Közvetlen URL-cím, amely az adott tartomány felhasználói portáljához ad hozzáférést anélkül, hogy a felhasználónak végig kellene haladnia az elérhető tartományok listáján. Formátum: https://{server}/cloud/?orgname={tenant}&domainid={id}. |
| Description | A tartomány tartalmát leíró, nem kötelező mező. |
| Microsoft domain | Információ, amely az egyszeri bejelentkezés (SSO) bekapcsolásakor a felhasználó azonosítását kíséri. |
| Expiration | A munkamenet lejárata előtti inaktivitás maximális időtartama. Alapértelmezett érték: 60 perc. |
| Number of attempts before lockout | Korlátozza a bejelentkezési kísérletek számát. Javasolt érték: 3 kísérlet (védelem a találgatásos támadások ellen). Ennek a korlátnak ≤ kell lennie az LDAP-címtárban beállított bármely korlátnál. |
| Time before unlock (minutes) | A zárolt munkamenetek feloldása előtti várakozási idő. A kikapcsoláshoz állítsa 0-ra. |
| The domain is part of cascading authentication | Lásd a Kaszkádolt hitelesítés fejezetet. |
| Delegate authentication to an external server | Lehetőségek: No, CAS, IdeoSSO. |
| Alternative username attribute | Másodlagos azonosítóként használt LDAP-attribútum, ha az elsődleges attribútum alapján a felhasználó nem található (pl. mail, userPrincipalName). |
| Maximum number of simultaneous sessions per user | Javasolt érték: 1 munkamenet. |
| Automatic deletion of the oldest session | Automatikusan bezár egy aktív munkamenetet, ha újat kérnek. |
| Note displayed in the authentication form | Kizárólag a tartomány felhasználóinak szóló megjegyzés. |
Hitelesítési módszer¶
| Mező | Leírás |
|---|---|
| Authentication method | Meghatározza, hogyan történik a felhasználó identitásának ellenőrzése bejelentkezéskor: Form (a felhasználónevet és a jelszót kézzel kell megadni) / User certificate (a felhasználónév a tanúsítvány CN mezőjéből származik) / User certificate and form (a tanúsítvánnyal történő hitelesítés után jelszó is szükséges) / Apache authentication (a hitelesítést az Apache webkiszolgáló végzi) / Pro Santé Connect (CIBA) (hitelesítés a francia nemzeti egészségügyi identitásszolgáltatón keresztül). |
| Force the use of the virtual keyboard | A hitelesítési oldalon képernyő-billentyűzetet jelenít meg, hogy a jelszó bevitelét megvédje a billentyűleütés-naplózóktól. |
Pro Santé Connect (CIBA)¶
Ezek a mezők csak akkor jelennek meg, ha a Pro Santé Connect (CIBA) hitelesítési módszer van kiválasztva. A Pro Santé Connect az egészségügyi szakemberek francia nemzeti identitásszolgáltatója.
| Mező | Leírás |
|---|---|
| Identifier (client id) | Az ügyfél-azonosító, amelyet a Pro Santé Connect az alkalmazás regisztrálásakor ad meg. |
| Secret (client secret) | A hozzá tartozó titkos ügyfélkód, amellyel a Pro Santé Connect szolgáltatással folytatott OIDC-adatcsere hitelesíthető. |
| Sandbox | Ha be van jelölve, a CyberElements a PSC éles környezete helyett annak tesztkörnyezetéhez csatlakozik. Csak integrációs teszteléshez használja. |
| RPPS retrieval | Meghatározza, honnan származik a felhasználó RPPS-száma (a francia egészségügyi szakemberek nyilvántartása): Use the authentication attribute (az RPPS az elsődleges hitelesítési attribútumból származik) vagy Use another user attribute (az RPPS egy külön attribútumból származik, amelyet a következő mezőben kell megadni). |
| User attribute containing the RPPS | Az RPPS-számot tartalmazó attribútum neve (pl. rpps, healthcareProfessionalId). Csak akkor látható és kötelező, ha az előző lehetőség értéke „Use another user attribute”. |
OTP hitelesítési token¶
| Mező | Leírás |
|---|---|
| Authentication token | A használandó OTP-generátor(ok) kiválasztása (ezeket előzőleg az OTP-tokengenerátorok menüjében kell deklarálni). Több elem is kiválasztható. |
| User attribute used to send the OTP | Megadja azt a felhasználói attribútumot, amelyen keresztül az OTP kézbesítése történik az egyes kiválasztott tokenekhez (pl. mobile az SMS-ben, mail az e-mailben történő küldéshez). Minden kiválasztott tokenhez egy mező jelenik meg. |
| Token expiration duration | Az az időtartam, amely után az elküldött OTP már nem fogadható el. A lejárat kikapcsolásához állítsa 0-ra. |
| Time unit | A lejárati időtartam mértékegysége: Hours vagy Days. Az előző mezőben megadott értéket a rendszer ezzel az egységgel szorozza meg (órák esetén 1-gyel, napok esetén 24-gyel). |
| Expiration starts | A lejárati visszaszámlálás kezdőpontja: From the last OTP validation (az OTP az érvényesítése után X órával jár le) vagy From the last successful login (az OTP a munkamenet megnyitása után X órával jár le). |
| *Replace OTP characters with "" | Bejelentkezéskor elrejti az egyszer használatos jelszó mezőjébe beírt karaktereket. |
neomia Pulse hitelesítés¶
A neomia Pulse viselkedéselemzésen alapuló folyamatos hitelesítési megoldás. Ezek a mezők akkor jelennek meg, ha az Enable neomia Pulse authentication jelölőnégyzet be van jelölve.
| Mező | Leírás |
|---|---|
| Enable neomia Pulse authentication | Bekapcsolja a neomia Pulse integrációját. A rendszer Pulse-konfigurációt hoz létre a tartományhoz. Előfizetéshez kötött – lásd az alábbi keretet. |
| Number of neomia Pulse attempts | A Pulse-hitelesítési kísérletek maximális száma, mielőtt a kérés letiltásra kerül. Alapértelmezett érték: 3. |
| If Pulse authentication succeeds | A viselkedés, ha a Pulse sikeresen érvényesíti a felhasználót: Skip the OTP token (a tartományon konfigurált összes OTP kihagyásra kerül) vagy Reinforce authentication (az OTP-k sikeres Pulse-érvényesítés után is kötelezők maradnak). |
| If Pulse authentication fails | Tartalék viselkedés, ha a Pulse hibát jelez vagy nem érhető el: Block access (a felhasználó nem tud bejelentkezni, a rendszer a PULSE_API_ERROR hibakódot adja vissza) vagy Request an additional authentication factor (automatikus visszaállás a szokásos OTP-hitelesítésre). |
| Display graphical components | A hitelesítési oldalon megjeleníti a neomia Pulse felületének gépelésimintázat-vizualizációs elemeit. |
| Display authentication factors | Megjeleníti a felhasználónak a Pulse által észlelt hitelesítési tényezők listáját. |
Előfizetési opció, amelyet a CyberElements konfigurál
A neomia Pulse hitelesítés a CyberElements-előfizetés egyik opciója. Ha a tenant számára nem fizettek elő rá, a jelölőnégyzetnek nincs hatása: a konzol automatikusan visszaállítja nem bejelölt állapotba, és felajánlja, hogy aktiválási kérést küld a CyberElements részére. ⓘ A neomia Pulse kapcsolódási paraméterei nem adhatók meg: az API URL-címe, a hitelesítési API URL-címe és az API-kulcs az előfizetett opcióhoz tartoznak, ezeket a CyberElements tölti ki. A tenant rendszergazdája csak a fent leírt hitelesítési viselkedést állítja be.
Hitelesítés delegálása külső kiszolgálóra¶
CAS-kiszolgáló¶
| Mező | Leírás |
|---|---|
| CAS server URL | Annak a CAS-kiszolgálónak a teljes URL-címe, amelyre a hitelesítés delegálva van. |
IdeoSSO¶
| Mező | Leírás |
|---|---|
| CAS server URL | Az IdeoSSO-kiszolgáló teljes URL-címe. |
| IdeoSSO, user property matching the identifier | Annak az IdeoSSO-felhasználótulajdonságnak a neve, amelyet a CyberElements bejelentkezési azonosítóként használ. |
„Local directory” típusú tartomány konfigurálása¶
Lap: General information¶
| Mező | Leírás |
|---|---|
| Invisible shortcut | Ha több tartomány is létezik, jelölje be ezt a jelölőnégyzetet, hogy a tartomány ne jelenjen meg a felhasználónak felkínált listában. A tartomány ekkor csak a teljes parancsikon-URL-címén keresztül érhető el. |
| Display the access condition if it is invalid | Ha be van jelölve, és egy érvénytelen hozzáférési feltétel megakadályozza a felhasználó bejelentkezését, a megfelelő hibaüzenet megjelenik számára. Ha nincs bejelölve, a felhasználó nem kap magyarázatot. Csak szerkesztési módban érhető el. |
Lap: Password¶
Ezen a lapon konfigurálható a helyi tartomány felhasználóinak jelszókezelése.
| Mező | Leírás |
|---|---|
| Change the user's password at first login | Ha be van jelölve, a felhasználót a legelső bejelentkezéskor a rendszer automatikusan egy jelszómódosító képernyőre irányítja át. A módosítás elvégzéséig nem fér hozzá a portálhoz. |
| Display the password change form | Ha be van jelölve, a bejelentkezési képernyőn megjelenik egy hivatkozás, amellyel a felhasználó módosíthatja a jelszavát. |
| Define a custom password policy | Lehetővé teszi egy erre a tartományra jellemző, a jelszavak összetettségére és élettartamára vonatkozó szabályzat meghatározását. |
Ha a Define a custom password policy be van jelölve, a következő beállítások válnak elérhetővé:
| Mező | Leírás |
|---|---|
| Display the password policy to the user | Ha be van jelölve, a rendszer megjeleníti az összetettségi szabályokat a felhasználónak, amikor beállítja vagy módosítja a jelszavát. |
| Minimum number of characters | A jelszó minimálisan megkövetelt hossza. Alapértelmezett érték: 10. A kikapcsoláshoz állítsa 0-ra. |
| Minimum number of lowercase letters | A kisbetűk minimálisan megkövetelt száma. A kikapcsoláshoz állítsa 0-ra. |
| Minimum number of uppercase letters | A nagybetűk minimálisan megkövetelt száma. A kikapcsoláshoz állítsa 0-ra. |
| Minimum number of digits | A számjegyek minimálisan megkövetelt száma. A kikapcsoláshoz állítsa 0-ra. |
| Minimum number of special characters | A speciális karakterek minimálisan megkövetelt száma. A kikapcsoláshoz állítsa 0-ra. |
| Minimum password lifetime (days) | A minimális várakozási idő, mielőtt a felhasználó módosíthatja a jelszavát. Megakadályozza a túl gyakori módosítást. A kikapcsoláshoz állítsa 0-ra. |
| Maximum password lifetime (days) | Az az időtartam, amely után a jelszó lejár, és meg kell újítani. Alapértelmezett érték: 60 nap. A kikapcsoláshoz állítsa 0-ra. |
| Notify the user before expiration (days) | A felhasználó jelszavának lejárata előtt a megadott számú nappal e-mailt küld neki. Konfigurált maximális élettartamot, SMTP-kiszolgálót és feladó e-mail-címet igényel. A kikapcsoláshoz állítsa 0-ra. |
| SMTP server | A lejárati értesítések küldésére használt kiszolgáló (az SMTP-konfigurációban deklaráltak közül). |
| Source e-mail | Az értesítések feladójaként megjelenő e-mail-cím. |
| Reject the new password if it contains the login | Ha be van jelölve, tiltja azokat a jelszavakat, amelyek tartalmazzák a felhasználó bejelentkezési azonosítóját (védelem a kézenfekvő jelszavak ellen). |
| Reject the new password if it matches one of the last X | Jelszóelőzményeket vezet, és megtiltja a megadott számú korábbi jelszó újbóli használatát. A kikapcsoláshoz állítsa 0-ra. |
„LDAP directory” típusú tartomány konfigurálása¶
Lap: General information¶
| Mező | Leírás |
|---|---|
| Invisible shortcut | Ha több tartomány is létezik, jelölje be ezt a jelölőnégyzetet, hogy a tartomány ne jelenjen meg a felhasználónak felkínált listában. |
Lap: LDAP settings¶
Kapcsolat¶
| Mező | Leírás |
|---|---|
| Authentication through a site | Ha be van jelölve, a CyberElements egy site-hoz tartozó Edge Gateway komponenst használ a címtár eléréséhez, így nem kell bejövő tűzfalszabályokat nyitni a CyberElements által üzemeltetett Mediation Controller komponens felől. Egy második mezőben kiválasztható a használandó site. |
| Authentication type | Az LDAP-kiszolgálóhoz való kötés (bind) protokollja: SIMPLE (kötés DN + titkosítatlan jelszó használatával, TLS-en keresztül) / NTLM (Windows-hitelesítés, a Microsoft-tartomány utótagját igényli) / SASL/Digest-MD5 (SASL-hitelesítés MD5-kivonatolással, a jelszót nem titkosítatlanul továbbítja). |
| Microsoft domain suffix | A Windows-tartomány utótagja, amelyből az NTLM-azonosító képződik (pl. CONTOSO). Csak akkor látható, ha a hitelesítés típusa NTLM. |
Felhasználók és csoportok keresése¶
| Mező | Leírás |
|---|---|
| Search mode | Meghatározza, milyen stratégiával kéri le a rendszer a csoportokat a címtárból: Retrieve groups from a group attribute (végighalad a csoportokon, és beolvassa a tagjaikat – szabványos címtárakhoz alkalmas) / Retrieve groups from a user attribute (beolvassa az egyes felhasználók memberOf attribútumát – Active Directory esetén gyorsabb) / Retrieve nested groups through the TokenGroups attribute (a speciális AD-attribútumot, a tokenGroups attribútumot használja a beágyazott csoportok rekurzív feloldására – Active Directory esetén ajánlott). |
| User attribute containing the groups | A felhasználói objektum azon attribútumának neve, amely felsorolja azokat a csoportokat, amelyeknek az objektum a tagja. Csak akkor látható, ha a „from a user attribute” mód van kiválasztva. |
| Use the user's DN to log in | Ha be van jelölve, a rendszer a felhasználó teljes DN-jét használja az LDAP-kötési művelet (hitelesítés) során. |
| User authentication attribute | Bejelentkezéskor a felhasználó egyedi azonosítójaként használt LDAP-attribútum. Javasolt értékek: sAMAccountName (Active Directory), cn, sn, uid, mailNickname, userPrincipalName, employeeID vagy egyéni. |
| User attribute customisation | Lehetővé teszi egy listában nem szereplő attribútum kézi megadását. Csak akkor látható, ha a „custom” érték van kiválasztva. |
| Group authentication attribute | A csoportok egyedi azonosítására használt LDAP-attribútum (pl. cn, sAMAccountName). |
Fastruktúra¶
| Mező | Leírás |
|---|---|
| Users branch | A felhasználókat tartalmazó szervezeti egység teljes DN-je (pl. ou=Users,dc=example,dc=com). |
| Groups branch | A csoportokat tartalmazó szervezeti egység teljes DN-je (pl. ou=Groups,dc=example,dc=com). |
| Manual group management | Ha be van jelölve, a csoportok szinkronizálása az LDAP-címtárból nem automatikus. A rendszergazdáknak kézzel kell hozzáadniuk és eltávolítaniuk a csoportokat a CyberElements felületén. |
Szolgáltatásfiók¶
| Mező | Leírás |
|---|---|
| Service account (must be able to reset passwords) | Annak a szolgáltatásfióknak az azonosítója, amelyet a CyberElements a címtár lekérdezéséhez használ – például a fiók sAMAccountName értéke (svc_cye). Ennek a fióknak képesnek kell lennie a tartomány felhasználói jelszavainak visszaállítására, különben a jelszó módosítása a felhasználói portálról sikertelen lesz. A konzol nem javasolja a teljes DN használatát, mert az problémákat okozhat az RDS-kiszolgálók kezelésében. Erősen ajánlott egy dedikált fiók meghatározása és a címtárhoz való névtelen kötés kikapcsolása. |
| Password | A szolgáltatásfiók jelszava. |
| User class | A címtárban keresendő felhasználók LDAP-objektumosztálya (pl. person, inetOrgPerson, Active Directory esetén user). |
| Group filter | Kiegészítő attribútum/érték szűrő a címtárban lévő csoportok azonosításához. Csak a „from a group attribute” keresési móddal használatos. |
Felhasználói jelszó¶
| Mező | Leírás |
|---|---|
| Display the password change form | Ha be van jelölve, a bejelentkezési képernyőn megjelenik egy jelszómódosító hivatkozás. Ez a lehetőség csak akkor érhető el, ha a címtárkapcsolat SSL-t (LDAPS) használ, vagy egy site-on keresztül halad. |
| Check whether the password must be changed | Ha be van jelölve, a CyberElements lekérdezi az LDAP-címtárat, hogy megtudja, módosítania kell-e a felhasználónak a jelszavát (Active Directory esetén a pwdLastSet attribútum), és szükség esetén kikényszeríti a módosítást. |
| Check the password complexity when it is changed | Ha be van jelölve, a CyberElements a portálról kezdeményezett módosításkor ellenőrzi, hogy az új jelszó megfelel-e a címtárban meghatározott összetettségi szabályzatnak. |
Radius-opció¶
| Mező | Leírás |
|---|---|
| Enable the Radius option | Csak akkor jelölje be ezt a jelölőnégyzetet, ha az LDAP-címtár Radius-hitelesítéssel (kéttényezős) van összekapcsolva. Ez a lehetőség csak a tartomány létrehozásakor kapcsolható be, és utána már nem módosítható. |
Ha a Radius-opció be van kapcsolva, a következő beállítások jelennek meg:
| Mező | Leírás |
|---|---|
| Mode | A Radius-kiszolgáló működési módja: quicklog (közvetlen hitelesítés: a jelszó változatlanul jut el a Radius-kiszolgálóhoz) vagy challenge/response (a Radius-kiszolgáló kihívást küld, amelyre a felhasználónak válaszolnia kell). |
| Server | A Radius-kiszolgáló IP-címe vagy DNS-neve. |
| Port | A Radius-kiszolgáló figyelőportja. Alapértelmezett érték: 1812. |
| Secret | A CyberElements és a Radius-kiszolgáló közötti közös titkos kód, amely az adatcsere titkosítására szolgál. |
| Number of attempts | A próbálkozások maximális száma, mielőtt a CyberElements feladja a Radius-kiszolgálónak küldött kérést. Alapértelmezett érték: 3. |
| Timeout (seconds) | A Radius-kiszolgáló válaszára való várakozás maximális ideje az időtúllépés előtt. Alapértelmezett érték: 10 másodperc. |
| Radius NAS IP address | A forrás IP-címe, amelyet a CyberElements a Radius-kiszolgáló felé deklarál (NAS-IP-Address attribútum). Akkor kell beállítani, ha a Radius-kiszolgáló a forrás IP-címe alapján szűri a kéréseket. |
Egyéb beállítások¶
| Mező | Leírás |
|---|---|
| Allow RDS server management | Ha be van jelölve, a tartomány fiókjai az RDS-kiszolgálók kezelésére szolgáló modulban RDS-kiszolgálókhoz társíthatók. |
| Use specific certificate authorities to validate LDAPS certificates | Ha be van jelölve, a CyberElements egyéni CA-tanúsítványt használ az LDAP-kiszolgáló által SSL-kapcsolatok során bemutatott tanúsítvány érvényesítéséhez. Ha nincs bejelölve, a rendszer hitelesítésszolgáltatói kerülnek felhasználásra (/etc/ssl/certs/ca-certificates.crt). |
| Certificate authorities (base64 encoding) | A legfelső szintű hitelesítésszolgáltató(k) tanúsítványát PEM formátumban tartalmazó fájl (-----BEGIN CERTIFICATE----- sorral kezdődő szöveg). Csak akkor látható és kötelező, ha az előző lehetőség be van kapcsolva. |
LDAP-kiszolgálók¶
A kiszolgálótáblázat a tartományhoz társított kiszolgálókat sorolja fel (oszlopok: Server, Port, Protocol). Több kiszolgáló meghatározásával magas rendelkezésre állás érhető el: hiba esetén a CyberElements automatikusan átvált egy elérhető kiszolgálóra.
Kiszolgáló hozzáadásához kattintson a + gombra. Adja meg a következőket:
| Mező | Leírás |
|---|---|
| Server | Az LDAP-kiszolgáló IP-címe vagy DNS-neve. |
| Port | Hozzáférési port. Alapértelmezett érték: 389 (LDAP) vagy 636 (LDAPS). |
| Protocol | LDAP vagy SSL-en keresztüli LDAP. Az SSL használata belső hálózaton is erősen ajánlott. |
Meglévő kiszolgáló szerkesztéséhez jelölje ki, majd kattintson a Properties ikonra.
Kiszolgáló törléséhez jelölje ki, majd kattintson a × gombra.
„Anonymous directory” típusú tartomány konfigurálása¶
Névtelen tartomány azokban a ritka esetekben használható, amikor egy alkalmazás eléréséhez nincs szükség hitelesítésre, mert a felhasználót már valamilyen speciális módon hitelesítették.
| Mező | Leírás |
|---|---|
| Maximum number of connections | Korlátozza az ezen a tartományon engedélyezett egyidejű kapcsolatok számát. |
| Use the certificate CN as the user identifier | Ha be van jelölve, a felhasználó azonosítója automatikusan a kapcsolódáskor bemutatott ügyféltanúsítvány CN mezőjéből származik. Ezt az azonosítót a rendszer ezután az SSO-hoz használja. |
| Identifier format, from the DN | Kifejezés, amellyel az azonosító a tanúsítvány DN-jének összetevőiből áll össze (pl. %CN%@%OU%). Csak akkor látható, ha az előző lehetőség be van kapcsolva. |
„SAML” típusú tartomány konfigurálása¶
SAML-tartomány használatakor a CyberElements szolgáltatóként (SP) működik, és a hitelesítést külső identitásszolgáltatóra (IdP) delegálja.
Lap: General information¶
| Mező | Leírás |
|---|---|
| Identity provider | Az identitásszolgáltató típusa: Other (bármely szabványos SAML IdP) vagy Azure (Microsoft Azure AD / Entra ID, amely ezenfelül az aszinkron csoportszinkronizálást is bekapcsolja). |
| Identity provider EntityId | Az IdP egyedi azonosítója a SAML-összevonásban. Értékét az IdP adja meg (pl. Azure esetén https://sts.windows.net/{tenant-id}/, Shibboleth esetén https://[serverName]/idp/shibboleth). |
| Group names variable | Annak a SAML-attribútumnak a neve, amely az állításban a felhasználó csoporttagságait hordozza (pl. Azure esetén http://schemas.microsoft.com/ws/2008/06/identity/claims/groups). |
| Login variable | Annak a SAML-attribútumnak a neve, amelyet a CyberElements bejelentkezési azonosítóként használ (pl. http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name). |
| The domain is part of cascading authentication | Lásd a Kaszkádolt hitelesítés fejezetet. |
| Manual configuration | Ha be van jelölve, az identitásszolgáltató paramétereit kézzel kell megadni (a SAML-végpontok EntityId értéke). Ha nincs bejelölve, ezek a paraméterek automatikusan a metaadatfájlból származnak. Csak szerkesztési módban érhető el. |
Lap: Access service¶
Ezen a lapon konfigurálhatók az identitásszolgáltatóval cserélt metaadatok, és itt érhetők el a CyberElements által létrehozott szolgáltatói (SP) metaadatok is.
| Mező | Leírás |
|---|---|
| IDP metadata URL | Nyilvános URL-cím, ahonnan a CyberElements automatikusan letölti az identitásszolgáltató XML-metaadatfájlját. Ha meg van adva, a SAML-végpontok kinyerése automatikusan történik, és a tanúsítványok megújításakor frissülnek. |
| IDP metadata file | A jelenleg betöltött XML-metaadatfájl állapotát jelzi (dátum, érvényesség). |
| Set a new metadata file | Ha be van jelölve, egy fájlfeltöltési mező jelenik meg, amellyel kézzel betölthető az IdP által biztosított XML-metaadatfájl. |
| Metadata file (xml) | Az identitásszolgáltató betöltendő XML-metaadatfájlja. A mentés előtt a Check file gombbal ellenőrizze a tartalmat. Csak akkor látható, ha az előző jelölőnégyzet be van jelölve. |
| Service provider | Hivatkozás a CyberElements által ehhez a tartományhoz létrehozott SP XML-metaadatfájlra. Ezt a fájlt át kell adni az identitásszolgáltatónak, hogy a konfiguráció az IdP oldalán is befejezhető legyen. |
Kaszkádolt hitelesítés¶
A kaszkádolt hitelesítés bekapcsolásához keresse fel az általános beállítások oldalt.
Amikor egy felhasználó hozzáfér a portálhoz, a rendszer megkeresi azokat a kaszkádolt tartományokat, amelyeknél bejelentkezési név és jelszó nélküli hitelesítés lehetséges (SAML, Apache, tanúsítvány). A rendszer az első olyan tartományt használja, amely felismeri a felhasználót. Ha egyik tartomány sem tudja jelszó nélkül hitelesíteni, megjelennek a bejelentkezési név és a jelszó mezői.
A bekapcsolás után két gomb jelenik meg a tartománylistában:
- Jelölje be a „The domain is part of cascading authentication” jelölőnégyzetet minden kívánt tartománynál.
- A sorrend a fel és le nyilakkal módosítható. A 0 sorszámú tartomány feldolgozása történik elsőként.
Megjegyzés
A névtelen és a Radius tartományok, valamint a hitelesítést külső kiszolgálóra (CAS) delegáló tartományok nem használhatók kaszkádolt hitelesítésben.