Skip to main content
Eine neuere Version dieses Produkts ist erhältlich.
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Erstellen von Relying-Party-Vertrauensstellungen in AD FS für StorageGRID

Änderungen vorschlagen
PDFs

Sie müssen Active Directory Federation Services (AD FS) verwenden, um für jeden Admin Node in Ihrem System eine Vertrauensstellung der vertrauenden Seite zu erstellen. Vertrauensstellungen der vertrauenden Seite können mithilfe von PowerShell-Befehlen, durch Importieren von SAML-Metadaten aus StorageGRID oder durch manuelle Eingabe der Daten erstellt werden.

Bevor Sie beginnen

  • Sie haben Single Sign-On für StorageGRID konfiguriert und AD FS als SSO-Typ ausgewählt.

  • Sie haben "Sandbox-Modus wurde aktiviert" im Grid Manager.

  • Sie kennen den vollqualifizierten Domainnamen (oder die IP-Adresse) und die Kennung der vertrauenden Partei für jeden Admin Node in Ihrem System. Diese Werte sind in der Detailtabelle der Admin Nodes auf der StorageGRID Configure SSO-Seite zu finden.

    Hinweis Sie müssen für jeden Admin-Knoten in Ihrem StorageGRID System eine Vertrauensstellung einrichten. Eine Vertrauensstellung für jeden Admin-Knoten gewährleistet, dass sich Benutzer sicher an jedem Admin-Knoten an- und ausloggen können.

  • Sie haben Erfahrung mit der Erstellung von Vertrauensstellungen für vertrauende Parteien in AD FS oder Sie haben Zugriff auf die Microsoft AD FS-Dokumentation.

  • ${post_edited_translations.segment}

  • Wenn Sie die Vertrauensstellung der vertrauenden Seite manuell erstellen, verfügen Sie über das benutzerdefinierte Zertifikat, das für die StorageGRID Managementoberfläche hochgeladen wurde, oder Sie wissen, wie Sie sich über die Befehlsshell bei einem Admin Node anmelden.

Über diese Aufgabe

Diese Anleitung gilt für Windows Server 2016 AD FS. Wenn Sie eine andere Version von AD FS verwenden, werden Sie geringfügige Unterschiede im Ablauf feststellen. In der Microsoft AD FS-Dokumentation finden sich weitere Informationen bei Fragen.

Erstellen einer Vertrauensstellung der vertrauenden Seite mithilfe von Windows PowerShell

Mit Windows PowerShell lassen sich schnell eine oder mehrere Vertrauensstellungen für vertrauende Parteien erstellen.

Schritte

  1. Im Windows-Startmenü mit der rechten Maustaste auf das PowerShell-Symbol klicken und Als Administrator ausführen auswählen.

  2. An der PowerShell-Eingabeaufforderung den folgenden Befehl eingeben:

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Für Admin_Node_Identifier den Admin-Knoten ist der Relying Party Identifier exakt so einzugeben, wie er auf der Single Sign-on-Seite angezeigt wird. Zum Beispiel SG-DC1-ADM1.

    • Für Admin_Node_FQDN den gleichen Admin-Knoten den vollqualifizierten Domänennamen eingeben. (Falls erforderlich, kann stattdessen die IP-Adresse des Knotens verwendet werden. Wenn jedoch eine IP-Adresse eingegeben wird, ist zu beachten, dass diese Relying-Party-Vertrauensstellung aktualisiert oder neu erstellt werden muss, falls sich diese IP-Adresse jemals ändert.)

  3. Wählen Sie im Windows Server-Manager Tools > AD FS Management aus.

    ${post_edited_translations.segment}

  4. AD FS > Vertrauensstellungen der vertrauenden Seite auswählen.

    Die Liste der vertrauenden Partei-Vertrauensstellungen wird angezeigt.

  5. Eine Zugriffssteuerungsrichtlinie zur neu erstellten Vertrauensstellung der vertrauenden Seite hinzufügen:

    1. Die soeben erstellte Vertrauensstellung der vertrauenden Partei befindet sich an folgender Stelle.

    2. Mit der rechten Maustaste auf die Vertrauensstellung klicken und Zugriffssteuerungsrichtlinie bearbeiten auswählen.

    3. Wählen Sie eine Zugriffskontrollrichtlinie aus.

    4. Anwenden und anschließend OK auswählen

  6. Eine Claim Issuance Policy zum neu erstellten Relying Party Trust hinzufügen:

    1. Die soeben erstellte Vertrauensstellung der vertrauenden Partei befindet sich an folgender Stelle.

    2. Klicken Sie mit der rechten Maustaste auf den Trust und wählen Sie Claim-Issuance-Richtlinie bearbeiten.

    3. Regel hinzufügen auswählen.

    4. Auf der Seite „Regelvorlage auswählen“ in der Liste LDAP-Attribute als Ansprüche senden auswählen und Weiter wählen.

    5. Auf der Seite „Regel konfigurieren“ einen Anzeigenamen für diese Regel eingeben.

      Beispielsweise ObjectGUID zu Name ID oder UPN zu Name ID.

    6. Für den Attributspeicher wird Active Directory ausgewählt.

    7. ${post_edited_translations.segment}

    8. In der Spalte „Ausgehender Anspruchstyp“ der Zuordnungstabelle wird Name ID aus der Dropdown-Liste ausgewählt.

    9. Fertigstellen und anschließend OK auswählen.

  7. ${post_edited_translations.segment}

    1. ${post_edited_translations.segment}

    2. Bestätigen Sie, dass die Felder auf den Registerkarten Endpunkte, Kennungen und Signatur ausgefüllt sind.

      Falls die Metadaten fehlen, sollte überprüft werden, ob die Federation-Metadatenadresse korrekt ist, oder die Werte können manuell eingegeben werden.

  8. ${post_edited_translations.segment}

  9. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und "${post_edited_translations.segment}", um zu bestätigen, dass sie korrekt konfiguriert sind.

${post_edited_translations.segment}

Sie können die Werte für jede Relying-Party-Trust-Beziehung importieren, indem Sie auf die SAML-Metadaten für jeden Admin-Node zugreifen.

Schritte

  1. ${post_edited_translations.segment}

  2. Unter Aktionen die Option Vertrauensstellung der vertrauenden Partei hinzufügen auswählen.

  3. Auf der Willkommensseite Claims aware auswählen und Start wählen.

  4. Daten über die vertrauende Partei importieren, die online oder in einem lokalen Netzwerk veröffentlicht wurden auswählen.

  5. ${post_edited_translations.segment}

    https://Admin_Node_FQDN/api/saml-metadata

    Für Admin_Node_FQDN den gleichen Admin-Knoten den vollqualifizierten Domänennamen eingeben. (Falls erforderlich, kann stattdessen die IP-Adresse des Knotens verwendet werden. Wenn jedoch eine IP-Adresse eingegeben wird, ist zu beachten, dass diese Relying-Party-Vertrauensstellung aktualisiert oder neu erstellt werden muss, falls sich diese IP-Adresse jemals ändert.)

  6. Den Assistenten für die Vertrauensstellung der vertrauenden Partei abschließen, die Vertrauensstellung der vertrauenden Partei speichern und den Assistenten schließen.

    Hinweis Beim Eingeben des Anzeigenamens ist der Relying Party Identifier für den Admin Node zu verwenden, genau wie er auf der Single Sign-on-Seite im Grid Manager angezeigt wird. Zum Beispiel SG-DC1-ADM1.

  7. Fügen Sie eine Anspruchsregel hinzu:

    1. Klicken Sie mit der rechten Maustaste auf den Trust und wählen Sie Claim-Issuance-Richtlinie bearbeiten.

    2. Regel hinzufügen auswählen:

    3. Auf der Seite „Regelvorlage auswählen“ in der Liste LDAP-Attribute als Ansprüche senden auswählen und Weiter wählen.

    4. Auf der Seite „Regel konfigurieren“ einen Anzeigenamen für diese Regel eingeben.

      Beispielsweise ObjectGUID zu Name ID oder UPN zu Name ID.

    5. Für den Attributspeicher wird Active Directory ausgewählt.

    6. ${post_edited_translations.segment}

    7. In der Spalte „Ausgehender Anspruchstyp“ der Zuordnungstabelle wird Name ID aus der Dropdown-Liste ausgewählt.

    8. Fertigstellen und anschließend OK auswählen.

  8. ${post_edited_translations.segment}

    1. ${post_edited_translations.segment}

    2. Bestätigen Sie, dass die Felder auf den Registerkarten Endpunkte, Kennungen und Signatur ausgefüllt sind.

      Falls die Metadaten fehlen, sollte überprüft werden, ob die Federation-Metadatenadresse korrekt ist, oder die Werte können manuell eingegeben werden.

  9. ${post_edited_translations.segment}

  10. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und "${post_edited_translations.segment}" um zu bestätigen, dass sie korrekt konfiguriert sind.

Eine Vertrauensstellung der vertrauenden Seite manuell erstellen

Wenn Sie die Daten für die vertrauenden Teilvertrauensstellungen nicht importieren, können Sie die Werte manuell eingeben.

Schritte

  1. ${post_edited_translations.segment}

  2. Unter Aktionen die Option Vertrauensstellung der vertrauenden Partei hinzufügen auswählen.

  3. Auf der Willkommensseite Claims aware auswählen und Start wählen.

  4. Daten über die vertrauende Partei manuell eingeben auswählen und Weiter auswählen.

  5. Den Assistenten für die Vertrauensstellung der vertrauenden Partei abschließen:

    1. Geben Sie einen Anzeigenamen für diesen Admin Node ein.

      Für Konsistenz ist der Relying Party Identifier für den Admin Node genau so zu verwenden, wie er auf der Single Sign-on-Seite im Grid Manager angezeigt wird. Zum Beispiel SG-DC1-ADM1.

    2. Der Schritt zur Konfiguration eines optionalen Token-Verschlüsselungszertifikats kann übersprungen werden.

    3. Auf der Seite „URL konfigurieren“ das Kontrollkästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren auswählen.

    4. Geben Sie die SAML-Service-Endpunkt-URL für den Admin-Node ein:

      https://Admin_Node_FQDN/api/saml-response

      Für Admin_Node_FQDN geben Sie den vollqualifizierten Domainnamen für den Admin Node ein. (Falls erforderlich, kann stattdessen die IP-Adresse des Knotens verwendet werden. Wenn hier jedoch eine IP-Adresse eingegeben wird, ist zu beachten, dass diese relying party trust aktualisiert oder neu erstellt werden muss, falls sich die IP-Adresse jemals ändert.)

    5. Auf der Seite „Kennungen konfigurieren“ ist die Kennung der vertrauenden Partei für denselben Admin-Knoten anzugeben:

      Admin_Node_Identifier

      Für Admin_Node_Identifier den Admin-Knoten ist der Relying Party Identifier exakt so einzugeben, wie er auf der Single Sign-on-Seite angezeigt wird. Zum Beispiel SG-DC1-ADM1.

    6. Die Einstellungen werden überprüft, die Vertrauensstellung der vertrauenden Seite gespeichert und der Assistent geschlossen.

      Das Dialogfeld „Richtlinie zur Schadensmeldung bearbeiten“ wird angezeigt.

    Hinweis Falls das Dialogfeld nicht angezeigt wird, klicken Sie mit der rechten Maustaste auf das Trust und wählen Sie Richtlinie zur Anspruchsausstellung bearbeiten.

  6. Um den Assistenten für Anspruchsregeln zu starten, Regel hinzufügen auswählen:

    1. Auf der Seite „Regelvorlage auswählen“ in der Liste LDAP-Attribute als Ansprüche senden auswählen und Weiter wählen.

    2. Auf der Seite „Regel konfigurieren“ einen Anzeigenamen für diese Regel eingeben.

      Beispielsweise ObjectGUID zu Name ID oder UPN zu Name ID.

    3. Für den Attributspeicher wird Active Directory ausgewählt.

    4. ${post_edited_translations.segment}

    5. In der Spalte „Ausgehender Anspruchstyp“ der Zuordnungstabelle wird Name ID aus der Dropdown-Liste ausgewählt.

    6. Fertigstellen und anschließend OK auswählen.

  7. ${post_edited_translations.segment}

  8. Auf der Registerkarte Endpunkte wird der Endpunkt für Single Logout (SLO) konfiguriert:

    1. SAML hinzufügen auswählen.

    2. Wählen Sie Endpunkttyp > SAML Logout.

    3. Bindung > Umleitung auswählen.

    4. Im Feld Vertrauenswürdige URL ist die URL anzugeben, die für das Single Logout (SLO) von diesem Admin-Node verwendet wird:

      https://Admin_Node_FQDN/api/saml-logout

    Für Admin_Node_FQDN geben Sie den vollqualifizierten Domainnamen des Admin Node ein. (Falls erforderlich, kann stattdessen die IP-Adresse des Node verwendet werden. Wenn jedoch eine IP-Adresse eingegeben wird, ist zu beachten, dass diese relying party trust aktualisiert oder neu erstellt werden muss, falls sich die IP-Adresse jemals ändert.)

    1. Wählen Sie OK.

  9. Auf der Registerkarte Signatur wird das Signaturzertifikat für diese Relying-Party-Vertrauensstellung angegeben:

    1. Das benutzerdefinierte Zertifikat hinzufügen:

      • Wenn Sie über das benutzerdefinierte Verwaltungszertifikat verfügen, das Sie in StorageGRID hochgeladen haben, wählen Sie dieses Zertifikat aus.

      • Falls das benutzerdefinierte Zertifikat nicht vorhanden ist, am Admin Node anmelden, in das /var/local/mgmt-api Verzeichnis des Admin Node wechseln und die custom-server.crt Zertifikatsdatei hinzufügen.

        Hinweis Die Verwendung des Standardzertifikats des Admin-Knotens (server.crt ist nicht empfohlen. Wenn der Admin-Knoten ausfällt, wird das Standardzertifikat bei der Wiederherstellung des Knotens neu generiert und die Vertrauensstellung der vertrauenden Seite muss aktualisiert werden.

    2. Anwenden und anschließend OK auswählen.

      Die Eigenschaften der Relying Party werden gespeichert und geschlossen.

  10. ${post_edited_translations.segment}

  11. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und "${post_edited_translations.segment}" um zu bestätigen, dass sie korrekt konfiguriert sind.