Keycloak IdP

Uvod

Jedinstvena prijava (SSO) je tehnologija koja omogućava korisnicima da se prijave samo jednom i zatim dobiju pristup više aplikacija/usluga bez ponovne autentifikacije.

Ako veb portal uključuje nekoliko velikih nezavisnih sekcija (forum, čet, blogovi itd.), korisnik može proći kroz proceduru autentifikacije unutar jedne od usluga i automatski dobiti pristup svim ostalim uslugama bez ponovnog unosa akreditiva.

SSO je uvek obezbeđen zajedničkim radom dve aplikacije: pružaoca identiteta i pružaoca usluga (takođe poznati kao IdP i SP). ONLYOFFICE SSO implementira samo SP. Mnogo različitih provajdera može delovati kao IdP, ali ovaj članak razmatra implementaciju Keycloak-a.

Kreiranje IdP u Keycloak-u

1. Prijavite se na Keycloak kao administrator.

2. Idite na Upravljanje domenima i izaberite domen gde će se veza konfigurisati.

3. Idite na Klijenti i kliknite na dugme Kreiraj klijenta.

4. Na stranici koja se otvori, postavite sledeće: U polju Tip klijenta izaberite SAML. U polju ID klijenta unesite https://myportal-address.com/sso/metadata, zamenjujući myportal-address.com nazivom domena vašeg radnog prostora. U poljima Ime i Opis unesite bilo koje ime i opis za klijenta.

   

5. Kliknite na dugme Dalje.

6. Popunite sledeća polja:

   note

   Zamenite myportal-address.com nazivom domena vašeg radnog prostora.

   Detalji aplikacije
   Osnovni URL	https://myportal-address.com/sso
   Početni URL	https://myportal-address.com/sso
   Validni URI za preusmeravanje	https://myportal-address.com/sso/slo/callback https://myportal-address.com/sso/acs
   Validni URI za preusmeravanje nakon odjave	https://myportal-address.com/sso/slo/callback
   Glavni SAML URL za obradu	https://myportal-address.com/sso/acs

   

   Popunite sledeća polja na kartici Napredno:

   URL za POST vezivanje usluge potrošača tvrdnji	https://myportal-address.com/sso/acs
   URL za preusmeravanje usluge potrošača tvrdnji	https://myportal-address.com/sso/acs
   URL za POST vezivanje usluge odjave	https://myportal-address.com/sso/slo/callback
   URL za preusmeravanje usluge odjave	https://myportal-address.com/sso/slo/callback

   

7. Kliknite na dugme Sačuvaj.

8. U sekciji SAML sposobnosti, podesite Format ID imena na email.

9. U sekciji Potpisivanje i enkripcija, omogućite opciju Potpiši tvrdnje i izaberite algoritam potpisa: RSA_SHA1, RSA_SHA256, ili RSA_SHA512.

   

10. Kliknite na dugme Sačuvaj.

11. Idite na sekciju Opseg klijenata i kliknite na link sa imenom vašeg radnog prostora https://myportal-address.com/sso/metadata-dedicated.

    Kliknite na dugme Dodaj unapred definisane mape, i u iskačućem prozoru izaberite sledeće mape:

    • X500 email
    • X500 givenName
    • X500 surname

    Zatim kliknite na dugme Dodaj.

    

Konfigurisanje ONLYOFFICE SP

1. Uverite se da ste prijavljeni kao Administrator na vaš ONLYOFFICE Apps radni prostor i idite na meni Podešavanja, izaberite sekciju Integracija, i otvorite karticu Jedinstvena prijava.

2. Omogućite SSO koristeći prekidač Omogući autentifikaciju jedinstvene prijave i nalepite https://<keycloakurl>/realms/<realm_name>/protocol/saml/descriptor u polje URL do IdP Metadata XML. Zamenite <keycloakurl> i <realm_name> adresom vašeg Keycloak servera i imenom domena gde je veza kreirana. Konačni link mora biti dostupan iz pretraživača.

   

3. Pritisnite dugme sa strelicom nagore da učitate IdP metapodatke. Forma za podešavanja ONLYOFFICE pružaoca usluga će automatski biti popunjena vašim podacima iz Keycloak IdP.

4. Izaberite isti Podrazumevani algoritam verifikacije potpisa kao onaj naveden u Keycloak-u.

   

5. Promenite Format ID imena na emailAddress.

   

6. Sada treba da kreirate sertifikat u sekciji SP Sertifikati. Da biste to uradili, kliknite na dugme Dodaj sertifikat.

7. U otvorenom modalnom prozoru, kliknite na link Generiši novi samopotpisani sertifikat, i izaberite opciju potpisivanje i enkripcija u listi Koristi za. Pre nego što sačuvate sertifikat, kopirajte tekst Javnog sertifikata u klipbord i sačuvajte ga u fajl (biće potreban za Keycloak), zatim kliknite na dugme OK.

   

8. Idite na sekciju Mapiranje atributa i dodelite sledeće vrednosti atributima:

   • Ime: urn:oid:2.5.4.42
   • Prezime: urn:oid:2.5.4.4
   • Email: urn:oid:1.2.840.113549.1.9.1

   

   U sekciji Napredna podešavanja, možete označiti opciju Sakrij auth stranicu da biste sakrili podrazumevanu stranicu za autentifikaciju i automatski preusmerili na SSO servis.

   Ako trebate da vratite podrazumevanu stranicu za autentifikaciju (da biste mogli pristupiti radnom prostoru ako vaš IdP server ne radi), možete dodati ključ /login?skipssoredirect=true nakon imena domena vašeg radnog prostora u adresnoj traci pregledača.

9. Kliknite na dugme Sačuvaj.

10. Vratite se na Keycloak da konfigurišete enkripciju, otvorite vaš klijent i idite na sekciju Ključevi. Onemogućite opciju Potrebno potpisivanje klijenta i omogućite Enkriptuj tvrdnje. U iskačućem prozoru, izaberite Uvezi, postavite Format arhive na Sertifikat PEM i kliknite na dugme Pretraži. Navedite putanju do fajla sertifikata iz koraka 7 i kliknite Potvrdi.

Provera rada ONLYOFFICE SP sa Keycloak IdP

1. Idite na stranicu za autentifikaciju ONLYOFFICE Apps (npr., https://myportal-address.com/login).

2. Kliknite na dugme Jedinstvena prijava. Ako dugme nedostaje, to znači da SSO nije omogućeno.

   

3. Ako su svi SP i IdP parametri ispravno postavljeni, bićete preusmereni na Keycloak IdP formu za prijavu:

   

4. Unesite korisničko ime i lozinku Keycloak korisnika i kliknite na dugme Prijavi se.

5. Ako su kredencijali ispravni, bićete preusmereni na glavnu stranicu radnog prostora (korisnik će biti automatski kreiran ako nedostaje, ili će podaci biti ažurirani ako su promenjeni u IdP).