Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Erstellen Sie Vertrauensstellungen von vertrauenswürdigen Parteien in AD FS

Beitragende
PDFs

Sie müssen Active Directory Federation Services (AD FS) verwenden, um ein Vertrauensverhältnis für jeden Admin-Knoten in Ihrem System zu erstellen. Sie können vertraut mit PowerShell-Befehlen erstellen, SAML-Metadaten von StorageGRID importieren oder die Daten manuell eingeben.

Was Sie benötigen

  • Sie haben Single Sign-On für StorageGRID konfiguriert und als SSO-Typ AD FS ausgewählt.

  • Der Sandbox-Modus ist auf der Single Sign-On-Seite im Grid Manager ausgewählt. Siehe Verwenden Sie den Sandbox-Modus.

  • Sie kennen den vollständig qualifizierten Domänennamen (oder die IP-Adresse) und die bevertrauenden Partei-ID für jeden Admin-Knoten in Ihrem System. Diese Werte finden Sie in der Detailtabelle Admin Nodes auf der StorageGRID Single Sign-On-Seite.

    Hinweis Sie müssen für jeden Admin-Knoten in Ihrem StorageGRID-System ein Vertrauensverhältnis aufbauen. Mit einer Vertrauensbasis für jeden Admin-Knoten wird sichergestellt, dass Benutzer sich sicher bei und aus jedem Admin-Knoten anmelden können.

  • Sie haben Erfahrung beim Erstellen von Vertrauensstellungen von Vertrauensstellen in AD FS, oder Sie haben Zugriff auf die Microsoft AD FS-Dokumentation.

  • Sie verwenden das Snap-in AD FS Management und gehören der Gruppe Administratoren an.

  • Wenn Sie das Vertrauen der Vertrauensstelle manuell erstellen, haben Sie das benutzerdefinierte Zertifikat, das für die StorageGRID-Managementoberfläche hochgeladen wurde, oder Sie wissen, wie Sie sich von der Eingabeaufforderung-Shell bei einem Admin-Knoten anmelden.

Über diese Aufgabe

Diese Anweisungen gelten für Windows Server 2016 AD FS. Wenn Sie eine andere Version von AD FS verwenden, werden Sie kleine Unterschiede im Verfahren bemerken. Wenn Sie Fragen haben, lesen Sie bitte die Microsoft AD FS-Dokumentation.

Erstellen Sie mit Windows PowerShell ein Vertrauensverhältnis, das sich auf die Kunden stützt

Mit Windows PowerShell können Sie schnell ein oder mehrere Vertrauensstellen von vertrauenswürdigen Parteien erstellen.

Schritte

  1. Wählen Sie im Windows-Startmenü mit der rechten Maustaste das PowerShell-Symbol aus und wählen Sie als Administrator ausführen aus.

  2. Geben Sie an der PowerShell-Eingabeaufforderung den folgenden Befehl ein:

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Für Admin_Node_Identifier, Geben Sie die ID für den Admin-Knoten auf, die sich auf der Seite Single Sign-On befindet, genau so ein, wie sie auf der Seite „Single Sign-On“ angezeigt wird. Beispiel: SG-DC1-ADM1.

    • Für Admin_Node_FQDN, Geben Sie den vollständig qualifizierten Domänennamen für denselben Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

  3. Wählen Sie im Windows Server Manager Tools AD FS Management aus.

    Das AD FS Management Tool wird angezeigt.

  4. Wählen Sie AD FS Treuhand-Party-Trusts.

    Die Liste der Vertrauensstellen wird angezeigt.

  5. Fügen Sie eine Zugriffskontrollrichtlinie zum neu erstellten Vertrauen der Vertrauensstellenden Partei hinzu:

    1. Suchen Sie das Vertrauen der Vertrauensgesellschaft, das Sie gerade erstellt haben.

    2. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Zugriffskontrollrichtlinie bearbeiten.

    3. Wählen Sie eine Zugriffskontrollrichtlinie aus.

    4. Wählen Sie Anwenden, und wählen Sie OK

  6. Fügen Sie dem neu erstellten Treuhandgesellschaft eine Richtlinie zur Ausstellung von Forderungen hinzu:

    1. Suchen Sie das Vertrauen der Vertrauensgesellschaft, das Sie gerade erstellt haben.

    2. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

    3. Wählen Sie Regel hinzufügen.

    4. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und wählen Sie Weiter.

    5. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID an Name ID.

    6. Wählen Sie im Attributspeicher die Option Active Directory aus.

    7. Geben Sie in der Spalte LDAP-Attribut der Mapping-Tabelle objectGUID ein.

    8. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    9. Wählen Sie Fertig, und wählen Sie OK.

  7. Bestätigen Sie, dass die Metadaten erfolgreich importiert wurden.

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

    2. Vergewissern Sie sich, dass die Felder auf den Registerkarten Endpunkte, Identifier und Signatur ausgefüllt sind.

      Wenn die Metadaten fehlen, bestätigen Sie, dass die Federation-Metadatenadresse korrekt ist, oder geben Sie einfach die Werte manuell ein.

  8. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  9. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und testen Sie alle Treuhänder der Vertrauensstellen, um zu bestätigen, dass sie richtig konfiguriert sind. Siehe Verwenden Sie den Sandbox-Modus Weitere Anweisungen.

Erstellen Sie durch den Import von Federationmetadaten ein Vertrauen von Kunden

Sie können die Werte für jedes Vertrauen der betreffenden Anbieter importieren, indem Sie für jeden Admin-Node auf die SAML-Metadaten zugreifen.

Schritte

  1. Wählen Sie im Windows Server Manager Tools aus, und wählen Sie dann AD FS Management aus.

  2. Wählen Sie unter Aktionen Vertrauensstellung hinzufügen aus.

  3. Wählen Sie auf der Begrüßungsseite * Claims Aware* aus, und wählen Sie Start.

  4. Wählen Sie Daten über die online veröffentlichte oder auf einem lokalen Netzwerk importieren.

  5. Geben Sie unter Federation Metadatenadresse (Hostname oder URL) den Speicherort der SAML-Metadaten für diesen Admin-Node ein:

    https://Admin_Node_FQDN/api/saml-metadata

    Für Admin_Node_FQDN, Geben Sie den vollständig qualifizierten Domänennamen für denselben Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

  6. Schließen Sie den Assistenten „Vertrauen in die Vertrauensstellung“, speichern Sie das Vertrauen der zu vertrauenden Partei und schließen Sie den Assistenten.

    Hinweis Verwenden Sie bei der Eingabe des Anzeigennamens die bevertrauende Partei-ID für den Admin-Node genau so, wie sie auf der Seite Single Sign-On im Grid Manager angezeigt wird. Beispiel: SG-DC1-ADM1.

  7. Fügen Sie eine Antragsregel hinzu:

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

    2. Wählen Sie Regel hinzufügen:

    3. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und wählen Sie Weiter.

    4. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID an Name ID.

    5. Wählen Sie im Attributspeicher die Option Active Directory aus.

    6. Geben Sie in der Spalte LDAP-Attribut der Mapping-Tabelle objectGUID ein.

    7. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    8. Wählen Sie Fertig, und wählen Sie OK.

  8. Bestätigen Sie, dass die Metadaten erfolgreich importiert wurden.

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

    2. Vergewissern Sie sich, dass die Felder auf den Registerkarten Endpunkte, Identifier und Signatur ausgefüllt sind.

      Wenn die Metadaten fehlen, bestätigen Sie, dass die Federation-Metadatenadresse korrekt ist, oder geben Sie einfach die Werte manuell ein.

  9. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  10. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und testen Sie alle Treuhänder der Vertrauensstellen, um zu bestätigen, dass sie richtig konfiguriert sind. Siehe Verwenden Sie den Sandbox-Modus Weitere Anweisungen.

Erstellen Sie manuell ein Vertrauen der Vertrauensbasis

Wenn Sie sich entscheiden, die Daten für die Treuhanddienste des Treuhandteils nicht zu importieren, können Sie die Werte manuell eingeben.

Schritte

  1. Wählen Sie im Windows Server Manager Tools aus, und wählen Sie dann AD FS Management aus.

  2. Wählen Sie unter Aktionen Vertrauensstellung hinzufügen aus.

  3. Wählen Sie auf der Begrüßungsseite * Claims Aware* aus, und wählen Sie Start.

  4. Wählen Sie Geben Sie Daten über den Besteller manuell ein, und wählen Sie Weiter.

  5. Schließen Sie den Assistenten für Vertrauen in die vertrauende Partei ab:

    1. Geben Sie einen Anzeigenamen für diesen Admin-Node ein.

      Verwenden Sie für Konsistenz den Admin-Node mit der bewirtenden Partei-Kennung, genau wie er auf der Seite Single Sign-On im Grid Manager angezeigt wird. Beispiel: SG-DC1-ADM1.

    2. Überspringen Sie den Schritt, um ein optionales Token-Verschlüsselungszertifikat zu konfigurieren.

    3. Aktivieren Sie auf der Seite „URL konfigurieren“ das Kontrollkästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren.

    4. Geben Sie die Endpunkt-URL des SAML-Service für den Admin-Node ein:

      https://Admin_Node_FQDN/api/saml-response

      Für `Admin_Node_FQDN`Geben Sie den vollständig qualifizierten Domänennamen für den Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

    5. Geben Sie auf der Seite Configure Identifiers die befolgende Partei-ID für denselben Admin-Node an:

      Admin_Node_Identifier

      Für Admin_Node_Identifier, Geben Sie die ID für den Admin-Knoten auf, die sich auf der Seite Single Sign-On befindet, genau so ein, wie sie auf der Seite „Single Sign-On“ angezeigt wird. Beispiel: SG-DC1-ADM1.

    6. Überprüfen Sie die Einstellungen, speichern Sie das Vertrauen der Vertrauensstellungsgesellschaft, und schließen Sie den Assistenten.

      Das Dialogfeld „Forderungsrichtlinie bearbeiten“ wird angezeigt.

    Hinweis Wenn das Dialogfeld nicht angezeigt wird, klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

  6. Um den Assistenten für die Antragsregel zu starten, wählen Sie Regel hinzufügen:

    1. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und wählen Sie Weiter.

    2. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID an Name ID.

    3. Wählen Sie im Attributspeicher die Option Active Directory aus.

    4. Geben Sie in der Spalte LDAP-Attribut der Mapping-Tabelle objectGUID ein.

    5. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    6. Wählen Sie Fertig, und wählen Sie OK.

  7. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

  8. Konfigurieren Sie auf der Registerkarte Endpunkte den Endpunkt für einzelne Abmeldung (SLO):

    1. Wählen Sie SAML hinzufügen.

    2. Wählen Sie Endpunkttyp SAML Logout.

    3. Wählen Sie Bindung Umleiten.

    4. Geben Sie im Feld Trusted URL die URL ein, die für Single Logout (SLO) von diesem Admin-Node verwendet wird:

      https://Admin_Node_FQDN/api/saml-logout

    Für Admin_Node_FQDN, Geben Sie den vollständig qualifizierten Domänennamen des Admin-Knotens ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

    1. Wählen Sie OK.

  9. Geben Sie auf der Registerkarte Signatur das Signaturzertifikat für dieses Vertrauen der bevertrauenden Partei an:

    1. Fügen Sie das benutzerdefinierte Zertifikat hinzu:

      • Wenn Sie über das benutzerdefinierte Managementzertifikat verfügen, das Sie in StorageGRID hochgeladen haben, wählen Sie dieses Zertifikat aus.

      • Wenn Sie nicht über das benutzerdefinierte Zertifikat verfügen, melden Sie sich beim Admin-Knoten an, gehen Sie zu /var/local/mgmt-api Verzeichnis des Admin-Knotens, und fügen Sie das hinzu custom-server.crt Zertifikatdatei.

        Hinweis: das Standardzertifikat des Admin-Knotens verwenden (server.crt) Wird nicht empfohlen. Wenn der Admin-Knoten ausfällt, wird das Standardzertifikat neu generiert, wenn Sie den Knoten wiederherstellen, und Sie müssen das Vertrauen der Vertrauensstelle aktualisieren.

    2. Wählen Sie Anwenden, und wählen Sie OK.

      Die Eigenschaften der zu vertrauenden Partei werden gespeichert und geschlossen.

  10. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  11. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und testen Sie alle Treuhänder der Vertrauensstellen, um zu bestätigen, dass sie richtig konfiguriert sind. Siehe Verwenden Sie den Sandbox-Modus Weitere Anweisungen.