Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Dienstanbieterverbindungen in PingFederate für OIDC in StorageGRID erstellen

Beitragende netapp-pcarriga
Änderungen vorschlagen
PDFs

Verwenden Sie PingFederate, um für jeden Admin-Knoten eine Service Provider (SP)-Verbindung für OpenID Connect (OIDC) in Ihrem System zu erstellen.

Bevor Sie beginnen

  • Sie haben Erfahrung beim Erstellen von SP-Verbindungen in PingFederate Server.

  • Sie haben den "Administrator's Reference Guide" für PingFederate Server. Die PingFederate-Dokumentation bietet detaillierte Schritt-für-Schritt-Anleitungen und Erklärungen.

  • Sie haben die"Administratorberechtigung" für PingFederate Server.

Über diese Aufgabe

Diese Anleitung fasst zusammen, wie PingFederate Server Version 12.1.10 als SSO-Anbieter für StorageGRID konfiguriert wird. Wenn eine andere Version von PingFederate verwendet wird, müssen diese Anweisungen möglicherweise angepasst werden. In der PingFederate Server-Dokumentation finden sich ausführliche Anweisungen für die jeweilige Version.

Verwenden Sie die Standardeinstellungen, sofern nicht anders angegeben. In einigen Fällen können Einstellungen verwendet werden, die von Ihrer Organisation gefordert werden, wie beispielsweise Einstellungen für das Authentifizierungsverfahren.

Schritt 1: Datenspeicher erstellen

Falls noch nicht geschehen, einen Datenspeicher erstellen, um PingFederate mit dem AD FS LDAP-Server zu verbinden.

Schritte

  1. Zu System > Daten- und Anmeldeinformationsspeicher wechseln.

  2. Neuen Datenspeicher auswählen.

  3. Für Typ Verzeichnis (LDAP) auswählen.

  4. Wählen Sie Weiter.

  5. Unter LDAP-Konfiguration:

    • Geben Sie die Werte für Hostname, User DN (Benutzername) und Passwort ein.

      Verwenden Sie die Werte, die Sie bei "Identitätsföderation wird konfiguriert" in StorageGRID verwendet haben.

    • Für Active Directory die Option LDAP Type auswählen.

Schritt 2: Passwort-Credential-Validator erstellen

Wenn Sie noch nicht vorhanden sind, erstellen Sie einen Validierer für Kennwortausweise.

Schritte

  1. Wählen Sie Password Credential Validators > Create New instance.

  2. Auf der Registerkarte „Typ“ sind die folgenden Informationen einzugeben:

    1. INSTANZNAME und INSTANZ-ID: Für beide kann derselbe Wert verwendet werden.

    2. Typ: LDAP Username Password Credential Validator auswählen.

  3. Wählen Sie Weiter.

  4. Auf der Registerkarte „Instanzkonfiguration“ sind die folgenden Informationen einzugeben:

    • LDAP DATASTORE: Wählen Sie den Datastore von Ihnen erstellten Datenspeicher aus.

    • SUCHBASIS: Geben Sie die Informationen für die LDAP-Konfiguration ein.

    • SUCHFILTER: sAMAccountName=${username} eingeben.

    • SUCHEUMFANG: Subtree auswählen.

  5. Wählen Sie Weiter.

  6. Auf der Registerkarte „Erweiterter Vertrag“ die folgenden Attribute hinzufügen: memberOf, objectGUID, sAMAccountName, sn und userPrincipalName

  7. Weiter > Speichern auswählen.

Schritt 3: Erstellen einer IdP-Adapterinstanz

Falls noch nicht geschehen, eine IdP-Adapterinstanz (Identity Provider) erstellen.

Hinweis Jeder Admin Node in Ihrem StorageGRID System muss über eine IdP-Verbindung verfügen. Dies stellt sicher, dass sich Benutzer sicher bei jedem Admin Node an- und abmelden können. Es kann eine einzelne IdP-Verbindung für alle Admin Nodes erstellt werden (empfohlen) oder eine separate IdP-Verbindung für jeden Admin Node.
Schritte

  1. Gehen Sie zu Authentifizierung > Integration > IdP-Adapter.

  2. Wählen Sie Neue Instanz Erstellen.

  3. Auf der Registerkarte „Typ“ sind die folgenden Informationen einzugeben:

    • INSTANZNAME und INSTANZ-ID: Für beide kann derselbe Wert verwendet werden.

    • TYP: HTML Form IdP Adapter auswählen.

  4. Wählen Sie Weiter.

  5. Auf der Registerkarte IdP Adapter die Option Add a new row to 'Credential Validators' auswählen.

  6. Wählen Sie die Gültigkeitsprüfung für Kennwortausweise aus, die Sie erstellt haben.

  7. Wählen Sie Weiter.

  8. Auf der Registerkarte „Erweiterter Vertrag“ die Attribute hinzufügen, die für den Gültigkeitsprüfung für Kennwortausweise zugeordnet wurden.

  9. Wählen Sie Weiter.

  10. Auf der Registerkarte Adapterattribute ist das Attribut username für Pseudonym auszuwählen.

  11. Weiter > Weiter auswählen.

  12. Die Zusammenfassung kann überprüft und Speichern ausgewählt werden.

Schritt 4: OAuth-Server- und Autorisierungsservereinstellungen konfigurieren

Der Autorisierungsserver wird so konfiguriert, dass er die von StorageGRID akzeptierten Grant-Typen unterstützt.

Schritte

  1. Zu System > Autorisierungsservereinstellungen wechseln.

  2. Es sollte überprüft werden, ob die folgenden Optionen für „Vorhandene dauerhafte Zugriffsberechtigungen für Berechtigungstypen wiederverwenden“ ausgewählt sind:

    • IMPLIZIT

    • AUTORISIERUNGSCODE

    • Ressourceninhaber-Passwort-Zugangsdaten

      Hinweis Wenn Ihr Unternehmen die Verwendung von RESSOURCENBESITZERPASSWORT-ANMELDEINFORMATIONEN einschränkt, kann nur AUTHORIZATION CODE verwendet werden.

  3. Für OAuth Administrative Web Services Settings die von Ihnen erstellte Gültigkeitsprüfung für Kennwortausweise auswählen.

Schritt 5: Bereiche definieren

Die Bereiche in PingFederate definieren.

Schritte

  1. Wechseln Sie zu System > OAuth Settings > Scope Management.

  2. Auf der Registerkarte „Allgemeine Bereiche“ die Werte für openid, email und profile hinzufügen, falls diese noch nicht vorhanden sind.

Schritt 6: Konfiguration der IdP-Adapterzuordnung

Die IdP-Adapterzuordnung wird so konfiguriert, dass Attribute vom IdP auf persistente Berechtigungen abgebildet werden, die an Clients ausgegeben werden, wie etwa Zugriffstoken oder Aktualisierungstoken.

Schritte

  1. Wechseln Sie zu Authentifizierung > Policy Contract Grant Mapping.

  2. IdP Adapter Grant Mapping auswählen.

  3. Im Dropdown-Menü SOURCE ADAPTER INSTANCE die von Ihnen erstellte HTML Form Adapter auswählen.

  4. Wählen Sie Zuordnung hinzufügen > Vertragserfüllung.

  5. Unter Quelle Adapter für USER_KEY und USER_NAME auswählen.

  6. Unter „Wert“ ist für USER_KEY sAMAccountName und für USER_NAME username auszuwählen.

  7. Weiter > Weiter auswählen, um zur Übersichtsseite zu navigieren.

  8. Wählen Sie Speichern.

Schritt 7: Zuordnung der Anmeldeinformationen des Ressourceninhabers einrichten

Die Zuordnung der Anmeldeinformationen des Ressourceninhabers wird eingerichtet, damit die Benutzeranmeldeinformationen während der Authentifizierung korrekt validiert werden.

Schritte

  1. Wechseln Sie zu Authentifizierung > Policy Contract Grant Mapping.

  2. Zuordnung der Berechtigungsvergabe für Ressourceninhaber auswählen.

  3. Im Dropdown-Menü „Quellpasswortvalidierungsinstanz“ die von Ihnen erstellte Gültigkeitsprüfung für Kennwortausweise auswählen.

  4. Wählen Sie Zuordnung hinzufügen > Vertragserfüllung.

  5. Die Zuordnung für USER_KEY hinzufügen:

    • Unter Quelle Password Credential Validator auswählen.

    • Unter „Wert“ sAMAccountName auswählen.

  6. Weiter > Weiter auswählen, um zur Übersichtsseite zu navigieren.

  7. Wählen Sie Speichern.

Schritt 8: Signaturzertifikat erstellen oder importieren

Wenn Sie noch nicht, erstellen oder importieren Sie das Signierungszertifikat.

Schritte

  1. Gehen Sie zu Sicherheit > Signieren & Entschlüsseln Schlüssel & Zertifikate.

  2. Neu erstellen auswählen und anschließend die folgenden Informationen eingeben:

    • Allgemeiner Name (CN): Dies sollte die vollqualifizierte Domain (FQDN) des Servers sein.

    • Organisation (Org): Der Name Ihrer Organisation.

    • Land: Geben Sie den zweistelligen Ländercode an, zum Beispiel US für die Vereinigten Staaten.

    • Schlüsselalgorithmus: Der geeignete Schlüsselalgorithmus, wie zum Beispiel RSA, kann ausgewählt werden.

    • Schlüsselgröße: Auf 2048 Bit eingestellt.

    • Signaturalgorithmus: RSA mit SHA256 als Algorithmus auswählen, um sichere kryptografische Operationen zu gewährleisten.

Schritt 9: Zugriffstoken-Management konfigurieren

StorageGRID verwendet Zugriffstoken zur Authentifizierung und Autorisierung von API-Anfragen in PingFederate.

Schritte

  1. Zu Anwendungen > Access Token Management navigieren.

  2. Wählen Sie Neue Instanz Erstellen.

  3. Auf der Registerkarte „Typ“ sind die folgenden Informationen einzugeben:

    • INSTANZNAME und INSTANZ-ID: Für beide kann derselbe Wert verwendet werden.

    • Typ: Es ist zu überprüfen, dass der Wert JSON Web Tokens ist.

  4. Wählen Sie Weiter.

  5. Auf der Registerkarte „Instanzkonfiguration“ sind die folgenden Informationen für Zertifikate einzugeben:

    • SCHLÜSSEL-ID: Eine eindeutige Kennung für den Schlüssel eingeben.

    • Zertifikat: Fügen Sie das von Ihnen erstellte Zertifikat hinzu.

    • JWS-Algorithmus: RSA mit SHA256 auswählen.

    • AKTIVE SIGNATURZERTIFIKAT SCHLÜSSEL-ID: Die SCHLÜSSEL-ID, die in diesem Schritt erstellt wurde, auswählen.

  6. Weiter > Weiter auswählen.

  7. Auf der Registerkarte „Access Token Attribute Contract“ ist für „Subject Attribute Name“ USER_KEY und für „Extend the Contract“ username auszuwählen.

  8. Wählen Sie Hinzufügen.

  9. Wählen Sie Weiter > Weiter > Weiter, um zur Übersichtsseite zu gelangen.

  10. Wählen Sie Speichern.

Schritt 10: Zugriffstoken-Zuordnung konfigurieren

Die Zugriffstokenzuordnung wird so konfiguriert, dass das erstellte Zugriffstoken verwendet wird.

Schritte

  1. Zu Anwendungen > Access Token Mappings wechseln.

  2. Access Token Mappings auswählen.

  3. Zuordnung hinzufügen auswählen.

  4. Für Kontext Standard auswählen.

  5. Für Access Token Manager den Zugriffstoken ausgewählten Token verwenden.

  6. Weiter > Vertragserfüllung auswählen:

  7. Unter Quelle Persistent Grant für Benutzernamen auswählen.

  8. Unter „Wert“ USER_KEY für den Benutzernamen auswählen.

  9. Weiter > Speichern auswählen.

Schritt 11: OpenID Connect Richtlinie einrichten

Die OpenID Connect Richtlinien für den Clientzugriff auf die Attribute, die gemäß den OpenID Spezifikationen zugeordnet sind, werden definiert.

Schritte

  1. Wechseln Sie zu Anwendungen > OAuth Clients.

  2. OpenId Connect Policy Management > Richtlinie hinzufügen auswählen.

  3. Auf der Registerkarte „Richtlinie verwalten“ sind die folgenden Informationen einzugeben:

    • RICHTLINIEN-ID: Eine eindeutige Kennung für die Richtlinie.

    • RICHTLINIENNAME: Ein beschreibender Name für die Richtlinie.

    • ACCESS TOKEN MANAGER: Das von Ihnen erstellte Zugriffstoken auswählen.

    • GÜLTIGKEIT DES ID-TOKENS: Die gewünschte Gültigkeitsdauer des ID-Tokens kann festgelegt werden, zum Beispiel 60 Minuten oder eine Stunde.

    • BENUTZERINFORMATIONEN IM ID-TOKEN EINBEZIEHEN: Das Kontrollkästchen auswählen, um Benutzerdetails im ID-Token einzuschließen.

  4. Wählen Sie Weiter.

  5. Auf der Registerkarte „Attributvertrag“ alle vorhandenen Attribute entfernen, die für den Datastore erstellt wurden, aber nicht erforderlich sind. Nur die Attribute beibehalten, die von Ping Authentifizierung an StorageGRID übergeben werden sollen.

    Hinweis Dies ist ein entscheidender Schritt. Er legt fest, welche Attributwerte im ID-Token enthalten sind. StorageGRID übernimmt diese Werte während des Authentifizierungsprozesses.

  6. Weiter > Weiter auswählen.

  7. Auf der Registerkarte „Attributquelle & Benutzersuche“ die Option Attributquelle hinzufügen auswählen. Anschließend die folgenden Informationen eingeben:

    • ATTRIBUTE SOURCE ID und ATTRIBUTE SOURCE DESCRIPTION: Sie können für beide den gleichen Wert verwenden.

    • AKTIVER DATENSPEICHER: Wählen Sie den Datastore von Ihnen erstellten Speicherort aus.

  8. Wählen Sie Weiter.

  9. Auf der Registerkarte LDAP-Verzeichnissuche:

    1. Geben Sie den Basis-DN ein, der exakt mit dem Wert übereinstimmt, den Sie in StorageGRID für den LDAP-Server eingegeben haben.

    2. Im Dropdown-Menü ROOT OBJECT CLASS ist objectClass auszuwählen.

    3. Im Dropdown-Menü ATTRIBUTE wird für jede Objektklasse, die zugeordnet werden soll, ein Attribut hinzugefügt. Beispielsweise:

      • InetOrgPerson: displayName, givenName oder HomePhone hinzufügen.

      • Benutzer: LocalID oder userPrincipalName (upn) hinzufügen.

      • oben: memberOf oder Name hinzufügen.

      • Person: Seriennummer hinzufügen.

  10. Wählen Sie Weiter.

  11. Geben Sie auf der Registerkarte LDAP-Filter sAMAccountName=€{username} ein.

    Der LDAP-Filter ist anzupassen, damit StorageGRID die Benutzerattribute entsprechend der spezifischen Active Directory- oder LDAP-Struktur Ihrer Organisation abruft. Für den passenden Filterausdruck zur eigenen Konfiguration empfiehlt sich die Rücksprache mit dem LDAP/AD-Administrator.

  12. Speichern auswählen und die Zusammenfassung überprüfen.

  13. Auf der Registerkarte „Vertragserfüllung“ sind die folgenden Informationen einzugeben:

    • Quelle: Wählen Sie die LDAP Datenspeicher von Ihnen erstellte Quelle aus.

    • Wert: Jedem Attribute Contract wird der jeweilige Wert zugeordnet.

  14. Weiter > Weiter auswählen.

  15. Die Zusammenfassung kann überprüft und Speichern ausgewählt werden.

  16. Zu Anwendungen > OAuth Clients > OpenID Connect Policy Management wechseln.

  17. Es sollte überprüft werden, ob die erstellte Richtlinie als Standardrichtlinie festgelegt ist.

Schritt 12: OAuth Client für den OAuth Server erstellen

Ein neuer OAuth-Client wird erstellt, um die erforderlichen Client-Anmeldeinformationen zu konfigurieren und Verbindungen zwischen PingFederate und StorageGRID zu autorisieren.

Schritte

  1. Wechseln Sie zu Anwendungen > OAuth Clients.

  2. Client hinzufügen auswählen und anschließend die folgenden Informationen eingeben:

    • KUNDEN-ID: Ein eindeutiger Wert ist einzugeben.

    • CLIENT AUTHENTIFIZIERUNG: Client Secret auswählen.

    • CLIENT SECRET: Geheimnis ändern > Geheimnis generieren auswählen.

      Dadurch wird der geheime Schlüssel für den Client generiert. Dieser Schlüssel sollte für die spätere Verwendung aufbewahrt werden.

    • UMLEITUNGS-URIS: Die StorageGRID Rückgabe-URLs sind im Abschnitt Umleitungs-URI anzugeben. Diese URLs sollten mit den in StorageGRID für OAuth konfigurierten URLs übereinstimmen, zum Beispiel:

    • https://<Admin IP or Hostname>/api/v4/oidc-callback

    • https://<Admin IP or Hostname>/api/v4/oidc-logged-out

    • ZULÄSSIGE GRANT-TYPEN: Die folgenden Optionen können ausgewählt werden:

      • Autorisierungscode: Dies initiiert den OAuth-Ablauf.

      • Refresh Token: Ein neues Token erhalten, wenn ein Zugriffstoken abläuft.

      • Anmeldeinformationen des Ressourceninhabers: Wenn ein direkter Zugriff auf Benutzeranmeldeinformationen für die Authentifizierung erforderlich ist.

    • OPENID CONNECT: RSA mit SHA-256 als Signieralgorithmus für ID-Token auswählen.

    • Abmeldemodus: OIDC Back-Channel auswählen.

    • Front-Channel Logout URI, Back-Channel Logout URI und Post-Logout Redirect URI: Die StorageGRID Logout-URI hinzufügen: https://<Admin IP or Hostname>/api/v4/oidc-logged-out

  3. Wählen Sie Speichern.

Was kommt als Nächstes

Nach dem Erstellen von SP-Verbindungen "SSO mit OIDC konfigurieren".