Anforderungen und Überlegungen für SSO
Änderungen vorschlagen
PDFs
Bevor Sie Single Sign-On (SSO) für ein StorageGRID-System aktivieren, lesen Sie die Anforderungen und Überlegungen.
Anforderungen an Identitätsanbieter
StorageGRID unterstützt die folgenden SSO-Identitätsanbieter (IdP):
-
Active Directory Federation Service (AD FS)
-
Microsoft Entra ID
-
PingFederate
Sie müssen die Identitätsföderation für Ihr StorageGRID-System konfigurieren, bevor Sie einen SSO-Identitätsanbieter konfigurieren können. Der Typ des LDAP-Service, den Sie für die Identitätsföderation verwenden, steuert, welcher SSO-Typ Sie implementieren können.
| Konfigurierter LDAP-Servicetyp | Optionen für SSO-Identitätsanbieter |
|---|---|
Active Directory |
|
Entra-ID |
Entra-ID |
AD-FS-Anforderungen
Sie können eine der folgenden Versionen von AD FS verwenden:
-
Windows Server 2022 AD FS
-
Windows Server 2019 AD FS
-
Windows Server 2016 AD FS
|
Windows Server 2016 sollte , oder höher verwenden "KB3201845-Update". |
Zusätzlichen Anforderungen
-
Transport Layer Security (TLS) 1.2 oder 1.3
-
Microsoft .NET Framework, Version 3.5.1 oder höher
Überlegungen zur Entra-ID
Wenn Sie Entra ID als SSO-Typ verwenden und Benutzer über Benutzerprinzipalnamen verfügen, die nicht sAMAccountName als Präfix verwenden, können Anmeldeprobleme auftreten, wenn StorageGRID die Verbindung zum LDAP-Server verliert. Um Benutzern die Anmeldung zu ermöglichen, müssen Sie die Verbindung zum LDAP-Server wiederherstellen.
Serverzertifikate-Anforderungen
Standardmäßig verwendet StorageGRID auf jedem Admin-Knoten ein Verwaltungsschnittstellenzertifikat, um den Zugriff auf den Grid Manager, den Tenant Manager, die Grid Management API und die Tenant Management API zu sichern. Wenn Sie Vertrauensstellungen der vertrauenden Seite (AD FS), Unternehmensanwendungen (Entra ID) oder Dienstanbieterverbindungen (PingFederate) für StorageGRID konfigurieren, verwenden Sie das Serverzertifikat als Signaturzertifikat für StorageGRID Anfragen.
Wenn Sie noch nicht"Ein benutzerdefiniertes Zertifikat für die Managementoberfläche konfiguriert", sollten Sie dies jetzt tun. Wenn Sie ein benutzerdefiniertes Serverzertifikat installieren, wird es für alle Administratorknoten verwendet, und Sie können es in allen StorageGRID-Vertrauensstellungen, Unternehmensanwendungen oder SP-Verbindungen verwenden.
|
|
Es wird nicht empfohlen, das Standardserverzertifikat eines Admin Node in einer Vertrauensstelle, einer Unternehmensanwendungen oder einer SP-Verbindung zu verwenden. Wenn der Knoten ausfällt und Sie ihn wiederherstellen, wird ein neues Standard-Serverzertifikat generiert. Bevor Sie sich beim wiederhergestellten Knoten anmelden können, müssen Sie das Vertrauensverhältnis der zu bestellenden Partei, die Enterprise-Anwendung oder die SP-Verbindung mit dem neuen Zertifikat aktualisieren. |
Sie können auf das Serverzertifikat eines Admin-Knotens zugreifen, indem Sie sich bei der Befehlsshell des Knotens anmelden und zum Verzeichnis wechseln /var/local/mgmt-api. Ein benutzerdefiniertes Serverzertifikat wird benannt custom-server.crt. Das Standardserverzertifikat des Knotens lautet server.crt .
Port-Anforderungen
Single Sign-On (SSO) ist auf den Ports Restricted Grid Manager oder Tenant Manager nicht verfügbar. Sie müssen den Standard-HTTPS-Port (443) verwenden, wenn Benutzer sich mit Single Sign-On authentifizieren möchten. Siehe "Kontrolle des Zugriffs über externe Firewall".