Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Erstellen von Vertrauensstellungen von Vertrauensstellen in AD FS

Beitragende
PDFs

Sie müssen Active Directory Federation Services (AD FS) verwenden, um ein Vertrauensverhältnis für jeden Admin-Knoten in Ihrem System zu erstellen. Sie können vertraut mit PowerShell-Befehlen erstellen, SAML-Metadaten von StorageGRID importieren oder die Daten manuell eingeben.

Erstellen eines Vertrauensverhältnisses mit Windows PowerShell

Mit Windows PowerShell können Sie schnell ein oder mehrere Vertrauensstellen von vertrauenswürdigen Parteien erstellen.

Was Sie benötigen

  • Sie haben SSO in StorageGRID konfiguriert, und Sie kennen den vollständig qualifizierten Domänennamen (oder die IP-Adresse) und die bestellte Partei-ID für jeden Admin-Node in Ihrem System.

    Hinweis Sie müssen für jeden Admin-Knoten in Ihrem StorageGRID-System ein Vertrauensverhältnis aufbauen. Mit einer Vertrauensbasis für jeden Admin-Knoten wird sichergestellt, dass Benutzer sich sicher bei und aus jedem Admin-Knoten anmelden können.

  • Sie haben Erfahrung beim Erstellen von Vertrauensstellungen von Vertrauensstellen in AD FS, oder Sie haben Zugriff auf die Microsoft AD FS-Dokumentation.

  • Sie verwenden das Snap-in AD FS Management und gehören der Gruppe Administratoren an.

Über diese Aufgabe

Diese Anweisungen gelten für AD FS 4.0, das in Windows Server 2016 enthalten ist. Wenn Sie AD FS 3.0 verwenden, das in Windows 2012 R2 enthalten ist, werden Sie leichte Unterschiede feststellen. Wenn Sie Fragen haben, lesen Sie bitte die Microsoft AD FS-Dokumentation.

Schritte

  1. Klicken Sie im Windows-Startmenü mit der rechten Maustaste auf das PowerShell-Symbol und wählen Sie als Administrator ausführen aus.

  2. Geben Sie an der PowerShell-Eingabeaufforderung den folgenden Befehl ein:

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Für Admin_Node_Identifier, Geben Sie die ID für den Admin-Knoten auf, die sich auf der Seite Single Sign-On befindet, genau so ein, wie sie auf der Seite „Single Sign-On“ angezeigt wird. Beispiel: SG-DC1-ADM1.

    • Für Admin_Node_FQDN, Geben Sie den vollständig qualifizierten Domänennamen für denselben Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

  3. Wählen Sie im Windows Server Manager Tools > AD FS Management aus.

    Das AD FS Management Tool wird angezeigt.

  4. Wählen Sie AD FS > vertraut auf Partei.

    Die Liste der Vertrauensstellen wird angezeigt.

  5. Fügen Sie eine Zugriffskontrollrichtlinie zum neu erstellten Vertrauen der Vertrauensstellenden Partei hinzu:

    1. Suchen Sie das Vertrauen der Vertrauensgesellschaft, das Sie gerade erstellt haben.

    2. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Zugriffskontrollrichtlinie bearbeiten.

    3. Wählen Sie eine Zugriffskontrollrichtlinie aus.

    4. Klicken Sie auf Anwenden und klicken Sie auf OK

  6. Fügen Sie dem neu erstellten Treuhandgesellschaft eine Richtlinie zur Ausstellung von Forderungen hinzu:

    1. Suchen Sie das Vertrauen der Vertrauensgesellschaft, das Sie gerade erstellt haben.

    2. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

    3. Klicken Sie auf Regel hinzufügen.

    4. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und klicken Sie auf Weiter.

    5. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID an Name ID.

    6. Wählen Sie im Attributspeicher die Option Active Directory aus.

    7. Geben Sie in der Spalte LDAP-Attribut der Mapping-Tabelle objectGUID ein.

    8. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    9. Klicken Sie auf Fertig stellen, und klicken Sie auf OK.

  7. Bestätigen Sie, dass die Metadaten erfolgreich importiert wurden.

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

    2. Vergewissern Sie sich, dass die Felder auf den Registerkarten Endpunkte, Identifier und Signatur ausgefüllt sind.

      Wenn die Metadaten fehlen, bestätigen Sie, dass die Federation-Metadatenadresse korrekt ist, oder geben Sie einfach die Werte manuell ein.

  8. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  9. Wenn Sie fertig sind, kehren Sie zu StorageGRID und zurück "Testen Sie alle Vertrauensstellen, die sich auf die Vertrauensstellen verlassen" Um sicherzustellen, dass sie richtig konfiguriert sind.

Schaffung eines Vertrauensverhältnisses durch den Import von Federationmetadaten

Sie können die Werte für jedes Vertrauen der betreffenden Anbieter importieren, indem Sie für jeden Admin-Node auf die SAML-Metadaten zugreifen.

Was Sie benötigen

  • Sie haben SSO in StorageGRID konfiguriert, und Sie kennen den vollständig qualifizierten Domänennamen (oder die IP-Adresse) und die bestellte Partei-ID für jeden Admin-Node in Ihrem System.

    Hinweis Sie müssen für jeden Admin-Knoten in Ihrem StorageGRID-System ein Vertrauensverhältnis aufbauen. Mit einer Vertrauensbasis für jeden Admin-Knoten wird sichergestellt, dass Benutzer sich sicher bei und aus jedem Admin-Knoten anmelden können.

  • Sie haben Erfahrung beim Erstellen von Vertrauensstellungen von Vertrauensstellen in AD FS, oder Sie haben Zugriff auf die Microsoft AD FS-Dokumentation.

  • Sie verwenden das Snap-in AD FS Management und gehören der Gruppe Administratoren an.

Über diese Aufgabe

Diese Anweisungen gelten für AD FS 4.0, das in Windows Server 2016 enthalten ist. Wenn Sie AD FS 3.0 verwenden, das in Windows 2012 R2 enthalten ist, werden Sie leichte Unterschiede feststellen. Wenn Sie Fragen haben, lesen Sie bitte die Microsoft AD FS-Dokumentation.

Schritte

  1. Klicken Sie im Windows Server Manager auf Tools und wählen Sie dann AD FS Management aus.

  2. Klicken Sie unter Aktionen auf Vertrauensstellung hinzufügen.

  3. Wählen Sie auf der Begrüßungsseite * Claims Aware* aus und klicken Sie auf Start.

  4. Wählen Sie Daten über die online veröffentlichte oder auf einem lokalen Netzwerk importieren.

  5. Geben Sie unter Federation Metadatenadresse (Hostname oder URL) den Speicherort der SAML-Metadaten für diesen Admin-Node ein:

    https://Admin_Node_FQDN/api/saml-metadata

    Für Admin_Node_FQDN, Geben Sie den vollständig qualifizierten Domänennamen für denselben Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

  6. Schließen Sie den Assistenten „Vertrauen in die Vertrauensstellung“, speichern Sie das Vertrauen der zu vertrauenden Partei und schließen Sie den Assistenten.

    Hinweis Verwenden Sie bei der Eingabe des Anzeigennamens die bevertrauende Partei-ID für den Admin-Node genau so, wie sie auf der Seite Single Sign-On im Grid Manager angezeigt wird. Beispiel: SG-DC1-ADM1.

  7. Fügen Sie eine Antragsregel hinzu:

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

    2. Klicken Sie auf Regel hinzufügen:

    3. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und klicken Sie auf Weiter.

    4. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID an Name ID.

    5. Wählen Sie im Attributspeicher die Option Active Directory aus.

    6. Geben Sie in der Spalte LDAP-Attribut der Mapping-Tabelle objectGUID ein.

    7. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    8. Klicken Sie auf Fertig stellen, und klicken Sie auf OK.

  8. Bestätigen Sie, dass die Metadaten erfolgreich importiert wurden.

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

    2. Vergewissern Sie sich, dass die Felder auf den Registerkarten Endpunkte, Identifier und Signatur ausgefüllt sind.

      Wenn die Metadaten fehlen, bestätigen Sie, dass die Federation-Metadatenadresse korrekt ist, oder geben Sie einfach die Werte manuell ein.

  9. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  10. Wenn Sie fertig sind, kehren Sie zu StorageGRID und zurück "Testen Sie alle Vertrauensstellen, die sich auf die Vertrauensstellen verlassen" Um sicherzustellen, dass sie richtig konfiguriert sind.

Manuelles Erstellen eines Vertrauensverhältnisses mit einer Vertrauensbasis

Wenn Sie sich entscheiden, die Daten für die Treuhanddienste des Treuhandteils nicht zu importieren, können Sie die Werte manuell eingeben.

Was Sie benötigen

  • Sie haben SSO in StorageGRID konfiguriert, und Sie kennen den vollständig qualifizierten Domänennamen (oder die IP-Adresse) und die bestellte Partei-ID für jeden Admin-Node in Ihrem System.

    Hinweis Sie müssen für jeden Admin-Knoten in Ihrem StorageGRID-System ein Vertrauensverhältnis aufbauen. Mit einer Vertrauensbasis für jeden Admin-Knoten wird sichergestellt, dass Benutzer sich sicher bei und aus jedem Admin-Knoten anmelden können.

  • Sie haben das benutzerdefinierte Zertifikat, das für die StorageGRID Managementoberfläche hochgeladen wurde, oder Sie wissen, wie Sie sich von der Command Shell bei einem Admin-Node einloggen.

  • Sie haben Erfahrung beim Erstellen von Vertrauensstellungen von Vertrauensstellen in AD FS, oder Sie haben Zugriff auf die Microsoft AD FS-Dokumentation.

  • Sie verwenden das Snap-in AD FS Management und gehören der Gruppe Administratoren an.

Über diese Aufgabe

Diese Anweisungen gelten für AD FS 4.0, das in Windows Server 2016 enthalten ist. Wenn Sie AD FS 3.0 verwenden, das in Windows 2012 R2 enthalten ist, werden Sie leichte Unterschiede feststellen. Wenn Sie Fragen haben, lesen Sie bitte die Microsoft AD FS-Dokumentation.

Schritte

  1. Klicken Sie im Windows Server Manager auf Tools und wählen Sie dann AD FS Management aus.

  2. Klicken Sie unter Aktionen auf Vertrauensstellung hinzufügen.

  3. Wählen Sie auf der Begrüßungsseite * Claims Aware* aus und klicken Sie auf Start.

  4. Wählen Sie Geben Sie Daten über den Kunden manuell ein, und klicken Sie auf Weiter.

  5. Schließen Sie den Assistenten für Vertrauen in die vertrauende Partei ab:

    1. Geben Sie einen Anzeigenamen für diesen Admin-Node ein.

      Verwenden Sie für Konsistenz den Admin-Node mit der bewirtenden Partei-Kennung, genau wie er auf der Seite Single Sign-On im Grid Manager angezeigt wird. Beispiel: SG-DC1-ADM1.

    2. Überspringen Sie den Schritt, um ein optionales Token-Verschlüsselungszertifikat zu konfigurieren.

    3. Aktivieren Sie auf der Seite „URL konfigurieren“ das Kontrollkästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren.

    4. Geben Sie die Endpunkt-URL des SAML-Service für den Admin-Node ein:

      https://Admin_Node_FQDN/api/saml-response

      Für `Admin_Node_FQDN`Geben Sie den vollständig qualifizierten Domänennamen für den Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

    5. Geben Sie auf der Seite Configure Identifiers die befolgende Partei-ID für denselben Admin-Node an:

      Admin_Node_Identifier

      Für Admin_Node_Identifier, Geben Sie die ID für den Admin-Knoten auf, die sich auf der Seite Single Sign-On befindet, genau so ein, wie sie auf der Seite „Single Sign-On“ angezeigt wird. Beispiel: SG-DC1-ADM1.

    6. Überprüfen Sie die Einstellungen, speichern Sie das Vertrauen der Vertrauensstellungsgesellschaft, und schließen Sie den Assistenten.

      Das Dialogfeld „Forderungsrichtlinie bearbeiten“ wird angezeigt.

    Hinweis Wenn das Dialogfeld nicht angezeigt wird, klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

  6. Um den Assistenten für die Antragsregel zu starten, klicken Sie auf Regel hinzufügen:

    1. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und klicken Sie auf Weiter.

    2. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID an Name ID.

    3. Wählen Sie im Attributspeicher die Option Active Directory aus.

    4. Geben Sie in der Spalte LDAP-Attribut der Mapping-Tabelle objectGUID ein.

    5. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    6. Klicken Sie auf Fertig stellen, und klicken Sie auf OK.

  7. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

  8. Konfigurieren Sie auf der Registerkarte Endpunkte den Endpunkt für einzelne Abmeldung (SLO):

    1. Klicken Sie auf SAML hinzufügen.

    2. Wählen Sie Endpunkttyp > SAML Logout.

    3. Wählen Sie Bindung > Umleiten.

    4. Geben Sie im Feld Trusted URL die URL ein, die für Single Logout (SLO) von diesem Admin-Node verwendet wird:

      https://Admin_Node_FQDN/api/saml-logout

    Für Admin_Node_FQDN, Geben Sie den vollständig qualifizierten Domänennamen des Admin-Knotens ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

    1. Klicken Sie auf OK.

  9. Geben Sie auf der Registerkarte Signatur das Signaturzertifikat für dieses Vertrauen der bevertrauenden Partei an:

    1. Fügen Sie das benutzerdefinierte Zertifikat hinzu:

      • Wenn Sie über das benutzerdefinierte Managementzertifikat verfügen, das Sie in StorageGRID hochgeladen haben, wählen Sie dieses Zertifikat aus.

      • Wenn Sie nicht über das benutzerdefinierte Zertifikat verfügen, melden Sie sich beim Admin-Knoten an, gehen Sie zu /var/local/mgmt-api Verzeichnis des Admin-Knotens, und fügen Sie das hinzu custom-server.crt Zertifikatdatei.

        Hinweis: das Standardzertifikat des Admin-Knotens verwenden (server.crt) Wird nicht empfohlen. Wenn der Admin-Knoten ausfällt, wird das Standardzertifikat neu generiert, wenn Sie den Knoten wiederherstellen, und Sie müssen das Vertrauen der Vertrauensstelle aktualisieren.

    2. Klicken Sie auf Anwenden und klicken Sie auf OK.

      Die Eigenschaften der zu vertrauenden Partei werden gespeichert und geschlossen.

  10. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  11. Wenn Sie fertig sind, kehren Sie zu StorageGRID und zurück "Testen Sie alle Vertrauensstellen, die sich auf die Vertrauensstellen verlassen" Um sicherzustellen, dass sie richtig konfiguriert sind.