Keycloak IdP

Uvod

Jedinstvena prijava (SSO) je tehnologija koja omogućava korisnicima da se prijave samo jednom i zatim dobiju pristup više aplikacija/usluga bez ponovne autentifikacije.

SSO je uvek obezbeđen zajedničkim radom dve aplikacije: pružaoca identiteta i pružaoca usluga (takođe poznati kao "IdP" i "SP"). ONLYOFFICE SSO implementira samo SP. Mnogo različitih provajdera može delovati kao IdP, ali ovaj članak razmatra implementaciju Keycloak-a.

Kreiranje IdP u Keycloak-u

1. Prijavite se na Keycloak kao administrator.
2. Idite na Upravljanje domenima i izaberite domen gde će se veza konfigurisati.
3. Idite na Klijenti i kliknite na dugme Kreiraj klijenta.
4. Na stranici koja se otvori, postavite sledeće: U polju Tip klijenta izaberite SAML, u polju ID klijenta unesite https://myportal-address.com/sso/metadata, zamenjujući myportal-address.com nazivom domena vašeg portala. U poljima Ime i Opis unesite bilo koje ime i opis za klijenta.
   
5. Kliknite na dugme Dalje.
6. Popunite sledeća polja:
   Zamenite myportal-address.com nazivom domena vašeg portala.

   Detalji aplikacije
   Osnovni URL	https://myportal-address.com/sso
   Početni URL	https://myportal-address.com/sso
   Validni URI za preusmeravanje	https://myportal-address.com/sso/slo/callback https://myportal-address.com/sso/acs
   Validni URI za preusmeravanje nakon odjave	https://myportal-address.com/sso/slo/callback
   Glavni SAML URL za obradu	https://myportal-address.com/sso/acs

   

   Popunite sledeća polja na kartici Napredno:

   URL za POST vezivanje usluge potrošača tvrdnji	https://myportal-address.com/sso/acs
   URL za preusmeravanje usluge potrošača tvrdnji	https://myportal-address.com/sso/acs
   URL za POST vezivanje usluge odjave	https://myportal-address.com/sso/slo/callback
   URL za preusmeravanje usluge odjave	https://myportal-address.com/sso/slo/callback

   
7. Kliknite na dugme Sačuvaj.
8. U sekciji SAML sposobnosti, izaberite Format ID imena kao email.
9. U sekciji Potpisivanje i enkripcija, omogućite opciju Potpiši tvrdnje i izaberite algoritam potpisa: RSA_SHA1, RSA_SHA256, ili RSA_SHA512.
   
10. Kliknite na dugme Sačuvaj.
11. Idite na sekciju Opseg klijenata i kliknite na link sa imenom vašeg portala https://myportal-address.com/sso/metadata-dedicated.

    Kliknite na dugme Dodaj unapred definisane mape, i u iskačućem prozoru izaberite sledeće mape:

    • X500 email
    • X500 givenName
    • X500 surname

    Zatim kliknite na dugme Dodaj.

    

Konfigurisanje ONLYOFFICE SP

1. Uverite se da ste prijavljeni kao Administrator na vaš ONLYOFFICE DocSpace i idite na meni Podešavanja, izaberite sekciju Integracija, i otvorite karticu Jedinstvena prijava.
2. Omogućite SSO koristeći prekidač Omogući autentifikaciju jedinstvene prijave i nalepite https://<keycloakurl>/realms/<realm_name>/protocol/saml/descriptor u polje URL do IdP Metadata XML. Zamenite <keycloakurl> i <realm_name> adresom vašeg Keycloak servera i imenom domena gde je veza kreirana. Konačni link mora biti dostupan iz pretraživača.
   
3. Pritisnite dugme sa strelicom nagore da učitate IdP metapodatke. Forma za podešavanja ONLYOFFICE SP će automatski biti popunjena vašim podacima iz Keycloak IdP.
4. Izaberite isti Podrazumevani algoritam verifikacije potpisa kao onaj naveden u Keycloak-u.
   
5. Promenite Format ID imena na emailAddress.
   
6. Sada treba da kreirate sertifikat u sekciji SP Sertifikati. Da biste to uradili, kliknite na dugme Dodaj sertifikat u odgovarajućoj sekciji.
7. U otvorenom modalnom prozoru, kliknite na Generiši novi samopotpisani sertifikat link, i izaberite opciju potpisivanje i enkripcija u listi Koristi za. Pre nego što sačuvate sertifikat, kopirajte tekst Javnog sertifikata u klipbord i sačuvajte ga u fajl (biće potreban za Keycloak), zatim kliknite na dugme OK.
   
8. Idite na sekciju Mapiranje atributa i dodelite sledeće vrednosti atributima:
   • Ime: urn:oid:2.5.4.42
   • Prezime: urn:oid:2.5.4.4
   • Email: urn:oid:1.2.840.113549.1.9.1
   

   U sekciji Napredna podešavanja, možete označiti opciju Sakrij auth stranicu da biste sakrili podrazumevanu stranicu za autentifikaciju i automatski preusmerili na SSO servis.

   Ako trebate da vratite podrazumevanu stranicu za autentifikaciju (da biste mogli pristupiti portalu ako vaš IDP server ne radi), možete dodati ključ /login?skipssoredirect=true nakon imena domena vašeg portala u adresnoj traci pregledača.

9. Kliknite na dugme Sačuvaj.
10. Vratite se na Keycloak da konfigurišete enkripciju, otvorite vaš klijent i idite na sekciju Ključevi. Onemogućite opciju Potrebno potpisivanje klijenta i omogućite Enkriptuj tvrdnje. U iskačućem prozoru, izaberite Uvezi, postavite Format arhive na Sertifikat PEM i kliknite na dugme Pretraži. Navedite putanju do fajla sertifikata iz koraka 7 i kliknite Potvrdi.

Provera rada ONLYOFFICE SP sa Keycloak IdP

1. Idite na stranicu za autentifikaciju ONLYOFFICE DocSpace (npr., https://myportal-address.com/login).
2. Kliknite na dugme Jedinstvena prijava. Ako dugme nedostaje, to znači da SSO nije omogućeno.
   
3. Ako su svi SP i IdP parametri ispravno postavljeni, bićemo preusmereni na Keycloak IdP formu za prijavu:
   
4. Unesite korisničko ime i lozinku Keycloak korisnika i kliknite na dugme Prijavi se.
5. Ako su kredencijali ispravni, bićemo preusmereni na glavnu stranicu portala (korisnik će biti automatski kreiran ako nedostaje, ili će podaci biti ažurirani ako su promenjeni u IDP).