Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Anwendungsgruppen in AD FS für OIDC in StorageGRID erstellen

Beitragende netapp-pcarriga
Änderungen vorschlagen
PDFs

Sie müssen Active Directory Federation Services (AD FS) verwenden, um für jeden Admin Node für OpenID Connect (OIDC) in Ihrem System eine Anwendungsgruppe zu erstellen.

Bevor Sie beginnen

  • Sie verfügen über den vollqualifizierten Domainnamen (oder die IP-Adresse) und die Kennung der vertrauenden Partei für jeden Admin Node in Ihrem System.

    Hinweis Jeder Admin-Knoten in Ihrem StorageGRID System muss eine Anwendungsgruppe haben. Dadurch wird sichergestellt, dass sich Benutzer sicher bei jedem Admin-Knoten an- und abmelden können. Es kann eine einzige Anwendungsgruppe für alle Admin-Knoten erstellt werden (empfohlen) oder eine unterschiedliche Anwendungsgruppe für jeden Admin-Knoten.

  • Sie haben Erfahrung mit der Erstellung von Anwendungsgruppen in AD FS oder Zugriff auf die Microsoft AD FS-Dokumentation.

  • Sie verwenden das Snap-in AD FS Management und gehören der Gruppe Administratoren an.

Über diese Aufgabe

Diese Anleitung gilt für Windows Server 2022 AD FS. Bei Verwendung einer anderen Version von AD FS treten geringfügige Unterschiede im Ablauf auf. In der Microsoft AD FS-Dokumentation finden sich weitere Informationen bei Fragen.

Schritt 1: Erstellen einer Anwendungsgruppe

Mit Windows PowerShell kann schnell eine Anwendungsgruppe erstellt werden.

Schritte

  1. Wählen Sie im Windows Server Manager Tools > AD FS Management aus.

  2. Anwendungsgruppen > Anwendungsgruppe hinzufügen auswählen

  3. Für Name die Kennung der vertrauenden Partei eingeben.

  4. Unter Vorlage Client-Server Anwendungen > Serveranwendung, die auf eine Web-API zugreift, auswählen.

  5. Wählen Sie Weiter.

  6. Den Wert der Client Identifier notieren.

  7. Geben Sie unter Umleitungs-URI den FQDN (oder die IP-Adresse) callback und logged-out URIs für den Admin-Node ein:

    Geben Sie die URIs für jeden Admin Node ein, wenn eine Anwendungsgruppe für alle Admin Nodes verwendet wird. Wenn für jeden Admin Node eine andere Anwendungsgruppe verwendet wird, nur die URIs für den jeweiligen Admin Node eingeben.

  8. Wählen Sie Hinzufügen.

  9. Wählen Sie Gemeinsames Geheimnis generieren, notieren Sie den Wert für Geheimnis und wählen Sie dann Weiter.

  10. Geben Sie die Client-Kennung für Identifier ein.

  11. Hinzufügen auswählen und dann Weiter auswählen.

  12. Allen erlauben auswählen.

  13. Es sollte sichergestellt sein, dass die Serveranwendung unter Clientanwendung (Aufrufer) ausgewählt ist.

  14. Unter Zulässige Bereiche prüfen, dass nur die folgenden Optionen ausgewählt sind:

    • allatclaims

    • E-Mail

    • OpenID

    • Profil

  15. Weiter > Weiter auswählen.

  16. Wählen Sie Schließen.

Schritt 2: Ausgabetransformationsregeln konfigurieren

Die Ausgabetransformationsregeln für jede Anwendungsgruppe konfigurieren.

Schritte

  1. Auf der Seite AD FS Management die Anwendungsgruppe mit der rechten Maustaste auswählen und anschließend Eigenschaften wählen.

  2. Wählen Sie die zuvor erstellte Web-API aus und wählen Sie dann Bearbeiten.

  3. Wählen Sie Issuance Transform Rules > Add Rule …​.

  4. Unter Claim rule template: Send LDAP Attribute as Claims auswählen.

  5. Wählen Sie Weiter.

  6. Einen Namen für eine Anspruchsregel eingeben.

  7. Active Directory als Attributspeicher auswählen.

  8. Die LDAP-Attributzuordnungen werden den ausgehenden Anspruchstypen hinzugefügt:

    • E-Mail Addresses - E-Mail Address

    • Token-Groups - Unqualified Names - Group

  9. Wählen Sie Fertig.

  10. Anwenden > OK > OK auswählen.

Was kommt als Nächstes

Nach dem Erstellen von Anwendungsgruppen, "SSO mit OIDC konfigurieren".