Keycloak SAML-tunnistuspalvelun määritys

Tämä dokumentti kuvaa prosessin SAML-tunnistuspalveluiden määrittämiseksi Keycloakissa Willbaa varten. Se kattaa yleiset määritysvaiheet kaikille SAML-palveluntarjoajille, sekä palveluntarjoajakohtaiset yksityiskohdat tarvittaessa.

Edellytykset

Ennen Keycloak-asetuksien määrittämistä sinulla tulisi olla:

• SAML-metadatatiedosto tunnistuspalveluntarjoajalta (Google Workspace tai Microsoft Entra ID)
• Tiedot attribuuteista
• Tiedot ryhmistä, jos ne integroidaan

Yleiset määritysvaiheet

1. Kirjaudu realm-admin -tunnuksilla Keycloak-konsoliin
2. Avaa Identity Providers päävalikosta
3. Lisää uusi palveluntarjoaja valitsemalla SAML
4. Aseta Alias yksilöllisellä nimellä, jos sinulla on useita tunnistuspalveluntarjoajia yhdessä ympäristössä
5. Aseta Display name kuvaavalla nimellä. Se näytetään Willban kirjautumisruudun pääpainikkeessa. Jos sinulla on useita tunnistuspalveluntarjoajia yhdessä ympäristössä, käyttäjät voivat valita oikean tämän nimen perusteella.
6. Aseta Display order arvoon 1. Jos useita palveluntarjoajia, aseta 2 toiselle ja niin edelleen. Willba-tukitiimin järjestelmänvalvojan kirjautuminen on varattu Display order arvolla 100.
7. Kytke Use entity descriptor POIS PÄÄLTÄ
8. Tuo määritykset asiakkaan toimittamasta metadatatiedostosta
9. Määritä asetukset
10. Tallenna
11. Määritä attribuutit ja ryhmien mäppäys
12. Varmista, että yhteys toimii

Yleiset asetukset

Asetus	Arvo	Kuvaus
NameID policy format	Email
Principal type	Subject NameID
Allow create	On	Tärkeää, anna SAML:n luoda Willba-käyttäjät ensimmäisellä kirjautumisella
HTTP-POST binding response	On
HTTP-POST binding for AuthnRequest	On
Comparison	exact
Trust Email	On	Älä vaadi sähköpostin vahvistusta
First login flow	first broker login
Post login flow	None
Sync mode	Force	Tärkeä asetus, joka pakottaa käyttäjätietojen synkronoinnin jokaisella kirjautumisella

Attribuutit ja ryhmät

Etunimen ja sukunimen mäppäys

Google Workspace

Google Workspacea varten luo seuraavat mäppäystiedot:

Etunimi:

• ID: firstName
• Name: firstName
• Sync mode override: Inherit
• Mapper type: Attribute Importer
• Attribute Name: firstName
• Friendly Name:
• Name Format: ATTRIBUTE_FORMAT_BASIC
• User Attribute Name: firstName

Sukunimi:

• ID: lastName
• Name: lastName
• Sync mode override: Inherit
• Mapper type: Attribute Importer
• Attribute Name: lastName
• Friendly Name:
• Name Format: ATTRIBUTE_FORMAT_BASIC
• User Attribute Name: lastName

Microsoft Entra ID

Microsoft Entra ID:tä varten luo seuraavat mäppäystiedot:

Etunimi:

• ID: firstName
• Name: firstName
• Sync mode override: Inherit
• Mapper type: Attribute Importer
• Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
• Friendly Name:
• Name Format: ATTRIBUTE_FORMAT_BASIC
• User Attribute Name: firstName

Sukunimi:

• ID: lastName
• Name: lastName
• Sync mode override: Inherit
• Mapper type: Attribute Importer
• Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
• Friendly Name:
• Name Format: ATTRIBUTE_FORMAT_BASIC
• User Attribute Name: lastName

Sähköposti:

• ID: email
• Name: email
• Sync mode override: Inherit
• Mapper type: Attribute Importer
• Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
• Friendly Name:
• Name Format: ATTRIBUTE_FORMAT_BASIC
• User Attribute Name: email

Ryhmien mäppäys

Luo mäppäystiedot jokaiselle käyttäjäryhmälle, jonka haluat tuoda Willbaan tunnistuspalveluntarjoajalta.

Google Workspace

Google Workspacea varten luo ryhmien mäppäystiedot seuraavasti:

• ID: {groupName}, esimerkiksi Housekeeping
• Name: User Group {groupName}, esimerkiksi User Group Housekeeping
• Sync mode override: Force
• Mapper type: Advanced Attribute to Group
• Attributes:
  • Key: groups
  • Value: {group-exact-name-in-google-workspace}
• Regex Attribute Values: Off
• Group: Valitse oikea Willba-ryhmän nimi

Microsoft Entra ID

Microsoft Entra ID:tä varten luo ryhmien mäppäystiedot seuraavasti:

• ID: {groupName}, esimerkiksi Housekeeping
• Name: User Group {groupName}, esimerkiksi User Group Housekeeping
• Sync mode override: Force
• Mapper type: Advanced Attribute to Group
• Attributes:
  • Key: http://schemas.microsoft.com/ws/2008/06/identity/claims/groups
  • Value: {group-identifier-in-entra-id}
• Regex Attribute Values: Off
• Group: Valitse oikea Willba-ryhmän nimi

tip

Ryhmätunniste Entra ID:ssä on tyypillisesti UUID. Voit löytää sen tutkimalla SAML-vastausta tai tarkistamalla ryhmän ominaisuudet Microsoft Entra ID -portaalista.