Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Erstellen Sie Vertrauensstellungen von vertrauenswürdigen Parteien in AD FS

Beitragende
PDFs

Sie müssen Active Directory Federation Services (AD FS) verwenden, um ein Vertrauensverhältnis für jeden Admin-Knoten in Ihrem System zu erstellen. Sie können vertraut mit PowerShell-Befehlen erstellen, SAML-Metadaten von StorageGRID importieren oder die Daten manuell eingeben.

Bevor Sie beginnen

  • Sie haben Single Sign-On für StorageGRID konfiguriert und als SSO-Typ AD FS ausgewählt.

  • Der Sandbox-Modus ist auf der Single Sign-On-Seite im Grid Manager ausgewählt. Siehe "Verwenden Sie den Sandbox-Modus".

  • Sie kennen den vollständig qualifizierten Domänennamen (oder die IP-Adresse) und die bevertrauenden Partei-ID für jeden Admin-Knoten in Ihrem System. Diese Werte finden Sie in der Detailtabelle Admin Nodes auf der StorageGRID Single Sign-On-Seite.

    Hinweis Sie müssen für jeden Admin-Knoten in Ihrem StorageGRID-System ein Vertrauensverhältnis aufbauen. Mit einer Vertrauensbasis für jeden Admin-Knoten wird sichergestellt, dass Benutzer sich sicher bei und aus jedem Admin-Knoten anmelden können.

  • Sie haben Erfahrung beim Erstellen von Vertrauensstellungen von Vertrauensstellen in AD FS, oder Sie haben Zugriff auf die Microsoft AD FS-Dokumentation.

  • Sie verwenden das Snap-in AD FS Management und gehören der Gruppe Administratoren an.

  • Wenn Sie das Vertrauen der Vertrauensstelle manuell erstellen, haben Sie das benutzerdefinierte Zertifikat, das für die StorageGRID-Managementoberfläche hochgeladen wurde, oder Sie wissen, wie Sie sich von der Eingabeaufforderung-Shell bei einem Admin-Knoten anmelden.

Über diese Aufgabe

Diese Anweisungen gelten für Windows Server 2016 AD FS. Wenn Sie eine andere Version von AD FS verwenden, werden Sie kleine Unterschiede im Verfahren bemerken. Wenn Sie Fragen haben, lesen Sie bitte die Microsoft AD FS-Dokumentation.

Erstellen Sie mit Windows PowerShell ein Vertrauensverhältnis, das sich auf die Kunden stützt

Mit Windows PowerShell können Sie schnell ein oder mehrere Vertrauensstellen von vertrauenswürdigen Parteien erstellen.

Schritte

  1. Wählen Sie im Windows-Startmenü mit der rechten Maustaste das PowerShell-Symbol aus und wählen Sie als Administrator ausführen aus.

  2. Geben Sie an der PowerShell-Eingabeaufforderung den folgenden Befehl ein:

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Geben Sie für Admin_Node_Identifier die ID der aussetzenden Partei für den Admin-Knoten genau so ein, wie sie auf der Seite Single Sign-On angezeigt wird. `SG-DC1-ADM1`Beispiel: .

    • Geben Sie für Admin_Node_FQDN den vollständig qualifizierten Domänennamen für denselben Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

  3. Wählen Sie im Windows Server Manager Tools > AD FS Management aus.

    Das AD FS Management Tool wird angezeigt.

  4. Wählen Sie AD FS > vertraut auf Partei.

    Die Liste der Vertrauensstellen wird angezeigt.

  5. Fügen Sie eine Zugriffskontrollrichtlinie zum neu erstellten Vertrauen der Vertrauensstellenden Partei hinzu:

    1. Suchen Sie das Vertrauen der Vertrauensgesellschaft, das Sie gerade erstellt haben.

    2. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Zugriffskontrollrichtlinie bearbeiten.

    3. Wählen Sie eine Zugriffskontrollrichtlinie aus.

    4. Wählen Sie Anwenden, und wählen Sie OK

  6. Fügen Sie dem neu erstellten Treuhandgesellschaft eine Richtlinie zur Ausstellung von Forderungen hinzu:

    1. Suchen Sie das Vertrauen der Vertrauensgesellschaft, das Sie gerade erstellt haben.

    2. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

    3. Wählen Sie Regel hinzufügen.

    4. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und wählen Sie Weiter.

    5. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID zu Name ID oder UPN zu Name ID.

    6. Wählen Sie im Attributspeicher die Option Active Directory aus.

    7. Geben Sie in der Spalte LDAP Attribute der Zuordnungstabelle objectGUID ein oder wählen Sie User-Principal-Name aus.

    8. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    9. Wählen Sie Fertig, und wählen Sie OK.

  7. Bestätigen Sie, dass die Metadaten erfolgreich importiert wurden.

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

    2. Vergewissern Sie sich, dass die Felder auf den Registerkarten Endpunkte, Identifier und Signatur ausgefüllt sind.

      Wenn die Metadaten fehlen, überprüfen Sie, ob die Metadatenadresse der Föderation korrekt ist, oder geben Sie die Werte manuell ein.

  8. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  9. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und testen Sie alle Treuhänder der Vertrauensstellen, um zu bestätigen, dass sie richtig konfiguriert sind. Anweisungen finden Sie unter "Verwenden Sie den Sandbox-Modus" .

Erstellen Sie durch den Import von Federationmetadaten ein Vertrauen von Kunden

Sie können die Werte für jedes Vertrauen der betreffenden Anbieter importieren, indem Sie für jeden Admin-Node auf die SAML-Metadaten zugreifen.

Schritte

  1. Wählen Sie im Windows Server Manager Tools aus, und wählen Sie dann AD FS Management aus.

  2. Wählen Sie unter Aktionen Vertrauensstellung hinzufügen aus.

  3. Wählen Sie auf der Begrüßungsseite * Claims Aware* aus, und wählen Sie Start.

  4. Wählen Sie Daten über die online veröffentlichte oder auf einem lokalen Netzwerk importieren.

  5. Geben Sie unter Federation Metadatenadresse (Hostname oder URL) den Speicherort der SAML-Metadaten für diesen Admin-Node ein:

    https://Admin_Node_FQDN/api/saml-metadata

    Geben Sie für Admin_Node_FQDN den vollständig qualifizierten Domänennamen für denselben Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

  6. Schließen Sie den Assistenten „Vertrauen in die Vertrauensstellung“, speichern Sie das Vertrauen der zu vertrauenden Partei und schließen Sie den Assistenten.

    Hinweis Verwenden Sie bei der Eingabe des Anzeigennamens die bevertrauende Partei-ID für den Admin-Node genau so, wie sie auf der Seite Single Sign-On im Grid Manager angezeigt wird. `SG-DC1-ADM1`Beispiel: .

  7. Fügen Sie eine Antragsregel hinzu:

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

    2. Wählen Sie Regel hinzufügen:

    3. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und wählen Sie Weiter.

    4. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID zu Name ID oder UPN zu Name ID.

    5. Wählen Sie im Attributspeicher die Option Active Directory aus.

    6. Geben Sie in der Spalte LDAP Attribute der Zuordnungstabelle objectGUID ein oder wählen Sie User-Principal-Name aus.

    7. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    8. Wählen Sie Fertig, und wählen Sie OK.

  8. Bestätigen Sie, dass die Metadaten erfolgreich importiert wurden.

    1. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

    2. Vergewissern Sie sich, dass die Felder auf den Registerkarten Endpunkte, Identifier und Signatur ausgefüllt sind.

      Wenn die Metadaten fehlen, überprüfen Sie, ob die Metadatenadresse der Föderation korrekt ist, oder geben Sie die Werte manuell ein.

  9. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  10. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und testen Sie alle Treuhänder der Vertrauensstellen, um zu bestätigen, dass sie richtig konfiguriert sind. Anweisungen finden Sie unter "Verwenden Sie den Sandbox-Modus" .

Erstellen Sie manuell ein Vertrauen der Vertrauensbasis

Wenn Sie sich entscheiden, die Daten für die Treuhanddienste des Treuhandteils nicht zu importieren, können Sie die Werte manuell eingeben.

Schritte

  1. Wählen Sie im Windows Server Manager Tools aus, und wählen Sie dann AD FS Management aus.

  2. Wählen Sie unter Aktionen Vertrauensstellung hinzufügen aus.

  3. Wählen Sie auf der Begrüßungsseite * Claims Aware* aus, und wählen Sie Start.

  4. Wählen Sie Geben Sie Daten über den Besteller manuell ein, und wählen Sie Weiter.

  5. Schließen Sie den Assistenten für Vertrauen in die vertrauende Partei ab:

    1. Geben Sie einen Anzeigenamen für diesen Admin-Node ein.

      Verwenden Sie für Konsistenz den Admin-Node mit der bewirtenden Partei-Kennung, genau wie er auf der Seite Single Sign-On im Grid Manager angezeigt wird. `SG-DC1-ADM1`Beispiel: .

    2. Überspringen Sie den Schritt, um ein optionales Token-Verschlüsselungszertifikat zu konfigurieren.

    3. Aktivieren Sie auf der Seite URL konfigurieren das Kontrollkästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren.

    4. Geben Sie die Endpunkt-URL des SAML-Service für den Admin-Node ein:

      https://Admin_Node_FQDN/api/saml-response

      Geben Sie für Admin_Node_FQDN den vollständig qualifizierten Domänennamen für den Admin-Knoten ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

    5. Geben Sie auf der Seite Configure Identifiers die befolgende Partei-ID für denselben Admin-Node an:

      Admin_Node_Identifier

      Geben Sie für Admin_Node_Identifier die ID der aussetzenden Partei für den Admin-Knoten genau so ein, wie sie auf der Seite Single Sign-On angezeigt wird. `SG-DC1-ADM1`Beispiel: .

    6. Überprüfen Sie die Einstellungen, speichern Sie das Vertrauen der Vertrauensstellungsgesellschaft, und schließen Sie den Assistenten.

      Das Dialogfeld „Forderungsrichtlinie bearbeiten“ wird angezeigt.

    Hinweis Wenn das Dialogfeld nicht angezeigt wird, klicken Sie mit der rechten Maustaste auf das Vertrauen und wählen Sie Richtlinie zur Bearbeitung von Forderungen aus.

  6. Um den Assistenten für die Antragsregel zu starten, wählen Sie Regel hinzufügen:

    1. Wählen Sie auf der Seite Regelvorlage auswählen in der Liste LDAP-Attribute als Ansprüche senden aus, und wählen Sie Weiter.

    2. Geben Sie auf der Seite Regel konfigurieren einen Anzeigenamen für diese Regel ein.

      Beispiel: ObjectGUID zu Name ID oder UPN zu Name ID.

    3. Wählen Sie im Attributspeicher die Option Active Directory aus.

    4. Geben Sie in der Spalte LDAP Attribute der Zuordnungstabelle objectGUID ein oder wählen Sie User-Principal-Name aus.

    5. Wählen Sie in der Spalte Abgehender Antragstyp der Zuordnungstabelle in der Dropdown-Liste Name ID aus.

    6. Wählen Sie Fertig, und wählen Sie OK.

  7. Klicken Sie mit der rechten Maustaste auf das Vertrauen der Vertrauenssteller, um seine Eigenschaften zu öffnen.

  8. Konfigurieren Sie auf der Registerkarte Endpunkte den Endpunkt für einzelne Abmeldung (SLO):

    1. Wählen Sie SAML hinzufügen.

    2. Wählen Sie Endpunkttyp > SAML Logout.

    3. Wählen Sie Bindung > Umleiten.

    4. Geben Sie im Feld Trusted URL die URL ein, die für Single Logout (SLO) von diesem Admin-Node verwendet wird:

      https://Admin_Node_FQDN/api/saml-logout

    Geben Sie für Admin_Node_FQDN den vollständig qualifizierten Domänennamen des Admin-Knotens ein. (Bei Bedarf können Sie stattdessen die IP-Adresse des Node verwenden. Wenn Sie hier jedoch eine IP-Adresse eingeben, beachten Sie, dass Sie dieses Vertrauen der Vertrauensbasis aktualisieren oder neu erstellen müssen, wenn sich diese IP-Adresse immer ändert.)

    1. Wählen Sie OK.

  9. Geben Sie auf der Registerkarte Signatur das Signaturzertifikat für dieses Vertrauen der bevertrauenden Partei an:

    1. Fügen Sie das benutzerdefinierte Zertifikat hinzu:

      • Wenn Sie über das benutzerdefinierte Managementzertifikat verfügen, das Sie in StorageGRID hochgeladen haben, wählen Sie dieses Zertifikat aus.

      • Wenn Sie nicht über das benutzerdefinierte Zertifikat verfügen, melden Sie sich beim Admin-Knoten an, gehen Sie in das /var/local/mgmt-api Verzeichnis des Admin-Knotens, und fügen Sie die Zertifikatdatei hinzu custom-server.crt.

        Hinweis Die Verwendung des Standardzertifikats des Admin-Knotens (`server.crt`wird nicht empfohlen. Wenn der Admin-Knoten ausfällt, wird das Standardzertifikat neu generiert, wenn Sie den Knoten wiederherstellen, und Sie müssen das Vertrauen der Vertrauensstelle aktualisieren.

    2. Wählen Sie Anwenden, und wählen Sie OK.

      Die Eigenschaften der zu vertrauenden Partei werden gespeichert und geschlossen.

  10. Wiederholen Sie diese Schritte, um ein Vertrauensverhältnis für alle Administratorknoten in Ihrem StorageGRID-System zu konfigurieren.

  11. Wenn Sie fertig sind, kehren Sie zu StorageGRID zurück und testen Sie alle Treuhänder der Vertrauensstellen, um zu bestätigen, dass sie richtig konfiguriert sind. Anweisungen finden Sie unter "Verwenden Sie den Sandbox-Modus" .