Keycloak IdP

Giriş

Tek oturum açma (Single Sign-on, SSO), kullanıcıların yalnızca bir kez oturum açıp yeniden kimlik doğrulaması yapmadan birden fazla uygulamaya/hizmete erişmesini sağlayan bir teknolojidir.

Bir web portalı birkaç büyük bağımsız bölüm (forum, sohbet, bloglar vb.) içeriyorsa, kullanıcı hizmetlerden birinde kimlik doğrulamasından geçebilir ve kimlik bilgilerini birkaç kez girmeden diğer tüm hizmetlere otomatik olarak erişebilir.

SSO her zaman iki uygulamanın birlikte çalışmasıyla sağlanır: Kimlik Sağlayıcı (Identity Provider) ve Hizmet Sağlayıcı (Service Provider) ("IdP" ve "SP" olarak da anılır). ONLYOFFICE SSO yalnızca SP işlevini uygular. Birçok farklı sağlayıcı IdP olarak görev yapabilir, ancak bu makalede Keycloak uygulaması ele alınmaktadır.

Keycloak'ta IdP oluşturma

1. Keycloak'a yönetici olarak oturum açın.

2. Manage realms bölümüne gidin ve bağlantının yapılandırılacağı realm'i seçin.

3. Clients bölümüne gidin ve Create client düğmesine tıklayın.

4. Açılan sayfada şunları ayarlayın: Client type alanında SAML seçeneğini seçin. Client ID alanına https://myportal-address.com/sso/metadata değerini girin ve myportal-address.com yerine çalışma alanınızın alan adını yazın. Name ve Description alanlarına istediğiniz bir ad ve açıklama girin.

   

5. Next düğmesine tıklayın.

6. Aşağıdaki alanları doldurun:

   not

   myportal-address.com yerine çalışma alanınızın alan adını yazın.

   Application Details
   Root URL	https://myportal-address.com/sso
   Home URL	https://myportal-address.com/sso
   Valid redirect URIs	https://myportal-address.com/sso/slo/callback https://myportal-address.com/sso/acs
   Valid post logout redirect URIs	https://myportal-address.com/sso/slo/callback
   Master SAML Processing URL	https://myportal-address.com/sso/acs

   

   Advanced sekmesinde aşağıdaki alanları doldurun:

   Assertion Consumer Service POST Binding URL	https://myportal-address.com/sso/acs
   Assertion Consumer Service Redirect Binding URL	https://myportal-address.com/sso/acs
   Logout Service POST Binding URL	https://myportal-address.com/sso/slo/callback
   Logout Service Redirect Binding URL	https://myportal-address.com/sso/slo/callback

   

7. Save düğmesine tıklayın.

8. SAML capabilities bölümünde Name ID format değerini email olarak ayarlayın.

9. Signature and Encryption bölümünde Sign Assertions seçeneğini etkinleştirin ve bir signature algorithm seçin: RSA_SHA1, RSA_SHA256 veya RSA_SHA512.

   

10. Save düğmesine tıklayın.

11. Client Scopes bölümüne gidin ve çalışma alanınızın adını taşıyan https://myportal-address.com/sso/metadata-dedicated bağlantısına tıklayın.

    Add predefined mappers düğmesine tıklayın ve açılan pencerede aşağıdaki mapper'ları seçin:

    • X500 email
    • X500 givenName
    • X500 surname

    Ardından Add düğmesine tıklayın.

    

ONLYOFFICE SP'yi yapılandırma

1. ONLYOFFICE Apps çalışma alanına Yönetici olarak oturum açtığınızdan emin olun, Ayarlar menüsüne gidin, Entegrasyon bölümünü seçin ve Tek Seferlik Giriş sekmesini açın.

2. Tekli Oturum Açma Kimlik Doğrulamasını Etkinleştir anahtarını kullanarak SSO'yu etkinleştirin ve https://<keycloakurl>/realms/<realm_name>/protocol/saml/descriptor bağlantısını IdP Meta Veri XML URL'si alanına yapıştırın. <keycloakurl> ve <realm_name> yerine Keycloak sunucunuzun adresini ve bağlantının oluşturulduğu realm'in adını yazın. Oluşan bağlantıya bir tarayıcıdan erişilebilmelidir.

   

3. IdP meta verilerini yüklemek için yukarı oklu düğmeye basın. ONLYOFFICE hizmet sağlayıcı ayarları formu, Keycloak IdP'den alınan verilerle otomatik olarak doldurulur.

4. Keycloak'ta belirtilenle aynı Varsayılan İşaret Doğrulama Algoritması değerini seçin.

   

5. NameId Biçimi değerini emailAddress olarak değiştirin.

   

6. Şimdi SP Sertifikaları bölümünde bir sertifika oluşturmanız gerekir. Bunun için Sertifika ekle düğmesine tıklayın.

7. Açılan modal pencerede Yeni Kendinden İmzalı Sertifika Oluştur bağlantısına tıklayın ve Şunun için kullan listesinde İmzalama ve şifreleme seçeneğini belirleyin. Sertifikayı kaydetmeden önce Genel Sertifika metnini panoya kopyalayıp bir dosyaya kaydedin (Keycloak için gerekecektir), ardından Tamam düğmesine tıklayın.

   

8. Nitelik Haritalama bölümüne gidin ve niteliklere aşağıdaki değerleri atayın:

   • First name: urn:oid:2.5.4.42
   • Last name: urn:oid:2.5.4.4
   • Email: urn:oid:1.2.840.113549.1.9.1

   

   Gelişmiş Ayarlar bölümünde, varsayılan kimlik doğrulama sayfasını gizlemek ve otomatik olarak SSO hizmetine yönlendirmek için Kimlik doğrulama sayfasını gizle seçeneğini işaretleyebilirsiniz.

   Varsayılan kimlik doğrulama sayfasını geri yüklemeniz gerekirse (IdP sunucunuz çalışmazsa çalışma alanına erişebilmek için), tarayıcının adres çubuğunda çalışma alanınızın alan adından sonra /login?skipssoredirect=true anahtarını ekleyebilirsiniz.

9. Kaydet düğmesine tıklayın.

10. Şifrelemeyi yapılandırmak için Keycloak'a dönün, istemcinizi açın ve Keys bölümüne gidin. Client signature required seçeneğini devre dışı bırakın ve Encrypt assertions seçeneğini etkinleştirin. Açılan pencerede Import seçeneğini seçin, Archive format değerini Certificate PEM olarak ayarlayın ve Browse düğmesine tıklayın. 7. adımdaki sertifika dosyasının yolunu belirtin ve Confirm düğmesine tıklayın.

ONLYOFFICE SP'nin Keycloak IdP ile çalışmasını kontrol etme

1. ONLYOFFICE Apps kimlik doğrulama sayfasına gidin (örneğin https://myportal-address.com/login).

2. Single Sign-On düğmesine tıklayın. Düğme yoksa SSO etkinleştirilmemiş demektir.

   

3. Tüm SP ve IdP parametreleri doğru ayarlanmışsa, Keycloak IdP oturum açma formuna yönlendirilirsiniz:

   

4. Keycloak kullanıcısının oturum açma adını ve parolasını girin ve Sign In düğmesine tıklayın.

5. Kimlik bilgileri doğruysa çalışma alanının ana sayfasına yönlendirilirsiniz (kullanıcı yoksa otomatik olarak oluşturulur veya IdP'de değiştirilmişse verileri güncellenir).