Ana içeriğe geç

Sunucu sürümü için ONLYOFFICE Single Sign-on genel bakış

Giriş​

Control Panel'in sunduğu Single Sign-on özelliği, kurulu SSO hizmetlerini (Shibboleth, OneLogin veya Active Directory Federation Services) kullanarak üçüncü taraf kimlik doğrulamasını etkinleştirmenizi sağlar.

Single Sign-on teknolojisi, kullanıcıların yalnızca bir kez oturum açıp yeniden kimlik doğrulaması yapmadan birden fazla uygulamaya/hizmete erişmesine olanak tanır. Örneğin bir web portalı birden fazla büyük bağımsız bölüm (forum, sohbet, bloglar vb.) içeriyorsa kullanıcı bu hizmetlerden birinde kimlik doğrulaması yapabilir ve kimlik bilgilerini defalarca girmeden diğer tüm hizmetlere otomatik olarak erişebilir.

SSO her zaman iki uygulamanın birlikte çalışmasıyla sağlanır: Identity Provider ve Service Provider (bundan sonra "IdP" ve "SP" olarak anılacaktır).

ONLYOFFICE SSO yalnızca SP'yi uygular. Birçok farklı sağlayıcı IdP olarak görev yapabilir, ancak ONLYOFFICE yalnızca şu hizmetlerle test edilmiştir: Shibboleth, OneLogin ve AD FS.

SSO kimlik doğrulamasını kullanarak aşağıdaki başlıca avantajlardan yararlanırsınız:

  • Daha fazla kolaylık. Kullanıcılar birden fazla parola ve kullanıcı adı hatırlamak zorunda kalmadan portala daha hızlı ve kolay erişir.
  • Gelişmiş güvenlik. ONLYOFFICE kullanıcı parolalarını hiçbir biçimde saklamaz. Bunun yerine Identity Provider tarafındaki kimlik doğrulamanın sonuçlarını kullanır.
  • Kolay yönetim. Gerekli tüm kullanıcı bilgileri bir kimlik doğrulama belirteciyle iletilir. Kullanıcı bilgileri Identity Provider tarafında değişirse portalda bir sonraki SSO kimlik doğrulamasında otomatik olarak güncellenir. Kullanıcı profili portalda yoksa kullanıcı portalda ilk kez SSO kimlik bilgileriyle oturum açtığında otomatik olarak oluşturulur.

ONLYOFFICE'te SSO kimlik doğrulaması, güvenli ve yaygın olarak kullanılan SAML standardına dayanır. SAML (Security Assertion Markup Language), kullanıcı kimlik doğrulama ve yetkilendirme verilerinin Identity Provider ile Service Provider arasında, onaylar (assertion) içeren güvenlik belirteçleriyle iletilmesini sağlayan bir XML standardıdır.

Bu makale SSO'yu etkinleştirme sürecini genel olarak anlatır. Belirli IdP'lere ilişkin ayarları veya örnekleri arıyorsanız ONLYOFFICE SP'nin ve Shibboleth, OneLogin veya AD FS IdP'lerinin nasıl yapılandırılacağını anlatan makalelerimize bakın.

SSO'yu etkinleştirme: sunucu sürümü​

Portalınız için SSO kimlik doğrulamasını etkinleştirmek ve yapılandırmak üzere aşağıdaki iki ana adımı uygulamanız gerekir:

  1. Identity Provider'ınızı ONLYOFFICE Control Panel > SSO sayfasında kaydedin. Belirtmeniz gereken bilgileri Identity Provider hesabınızda bulabilirsiniz.

    not

    ONLYOFFICE Desktop Editors'ı ONLYOFFICE Workspace'inize bağlarken SSO kullanmak istiyorsanız Control Panel'de Private Rooms'u devre dışı bırakın.

  2. ONLYOFFICE'i Identity Provider hesabınızda güvenilir bir Service Provider olarak kaydedin. Bu işlem seçilen Identity Provider'a göre farklılık gösterir.

not

Her portal aynı anda yalnızca bir Identity Provider ile entegre edilebilir.

Identity Provider'ınızı ONLYOFFICE Service Provider'a kaydetme​

IdP'nizi ONLYOFFICE SP'ye kaydetmek için SSO sayfasının ONLYOFFICE SP Settings bölümünü kullanın.

  1. ONLYOFFICE portalınızda Control Panel'e gidin ve sol kenar çubuğundaki PORTAL SETTINGS bölümünden SSO sayfasını açın.
  2. Enable Single Sign-on Authentication düğmesini etkinleştirin.
  3. ONLYOFFICE SP Settings bölümündeki zorunlu alanları doldurun. Gerekli bilgiler aşağıdaki yollardan biriyle belirtilebilir:
    • Enter the URL address to the metadata file. IdP meta verilerinize dışarıdan bağlantıyla erişilebiliyorsa bağlantıyı URL to IdP Metadata XML alanına yapıştırın ve Load data'ya tıklayın. Veriler yüklendiğinde gerekli tüm parametreler genişletilmiş formda otomatik olarak görüntülenir.
    • Upload the metadata file. IdP'niz bir meta veri dosyası sağlıyorsa yerel makinenizde saklanan dosyaya göz atmak için Select file düğmesini kullanın. Dosya yüklendiğinde gerekli tüm parametreler genişletilmiş formda otomatik olarak görüntülenir.
    • Specify the required parameters manually. Meta veri dosyası yoksa gerekli parametreleri elle girin. Gerekli değerleri almak için IdP yöneticinizle iletişime geçin.

Aşağıdaki parametreler kullanılabilir:

  • IdP Entity Id (zorunlu alan): Service Provider'ın IdP'yi kesin olarak tanımlamak için kullanacağı Identity Provider tanımlayıcısı veya URL adresi.

    not

    Örneğin, https://example.com/idp/shibboleth

    burada example.com, SSO hizmetinizin alan adıdır

  • IdP Single Sign-On Endpoint URL (zorunlu alan): Identity Provider tarafında tek oturum açma için kullanılan URL. SP'nin kimlik doğrulama isteklerini gönderdiği IdP'nizdeki uç nokta adresidir.

    İlgili seçenek düğmelerinden birini seçerek gerekli Binding türünü ayarlayın. Binding'ler, kimlik doğrulama isteklerinin ve yanıtlarının IdP ile SP arasında temel aktarım protokolü üzerinden nasıl iletileceğini belirler: HTTP POST veya HTTP Redirect binding.

  • IdP Single Logout Endpoint URL: Service Provider tarafında tek oturum kapatma için kullanılan URL. SP'nin oturum kapatma isteklerini/yanıtlarını gönderdiği IdP'nizdeki uç nokta adresidir.

    İlgili seçenek düğmelerinden birini seçerek gerekli Binding türünü ayarlayın. Binding'ler, oturum kapatma isteklerinin ve yanıtlarının IdP ile SP arasında temel aktarım protokolü üzerinden nasıl iletileceğini belirler: HTTP POST veya HTTP Redirect binding.

  • NameId Format: NameID parametresi SP'nin bir kullanıcıyı tanımlamasını sağlar. Listeden kullanılabilir biçimlerden birini seçin.

not

ONLYOFFICE kimlik doğrulama sayfasında Single Sign-on hizmetiyle portalda oturum açmak için kullanılan düğmeyi özelleştirebilirsiniz. Bunu ONLYOFFICE SP Settings bölümündeki Custom login button caption alanını kullanarak yapabilirsiniz.

IdP ve SP sertifikalarını da ekleyebilirsiniz.

IdP Public Certificates​

IdP Public Certificates: bu bölüm, SP'nin IdP'den gelen istekleri ve yanıtları doğrulamak için kullandığı Identity Provider ortak sertifikalarını eklemenizi sağlar.

IdP meta verilerini yüklediyseniz bu sertifikalar Control Panel'e otomatik olarak eklenir. Aksi halde sertifikaları IdP hesabınızda bulabilirsiniz. Sertifikayı elle eklemek için Add certificate'e tıklayın. New Certificate penceresi açılır. Sertifikayı Public Certificate alanına girin ve OK'e tıklayın.

İlgili onay kutularını işaretleyerek sertifikalar için ek parametreler belirleyin.

IdP'den SP'ye gönderilen hangi istek/yanıt imzalarının doğrulanacağını belirtin:

  • Verify Authentication Response Signature: SP'ye gönderilen SAML kimlik doğrulama yanıtlarının imzalarını doğrulamak için.
  • Verify Logout Request Signature: SP'ye gönderilen SAML oturum kapatma isteklerinin imzalarını doğrulamak için.
  • Verify Logout Response Signature: SP'ye gönderilen SAML oturum kapatma yanıtlarının imzalarını doğrulamak için.

Default Signature Verification Algorithm listesinden gerekli algoritmayı seçin: rsa-sha1, rsa-sha256 veya rsa-sha512.

not

Varsayılan ayarlar yalnızca IdP meta verilerinde hangi algoritmanın kullanılacağı belirtilmediğinde kullanılır.

Eklenen sertifikaları ilgili bağlantıyı kullanarak düzenleyebilir veya silebilirsiniz.

SP Certificates​

SP Certificates: bu bölüm, SP'den gelen istekleri ve yanıtları imzalamak ve şifrelemek için kullanılan Service Provider sertifikalarını eklemenizi sağlar.

IdP'niz girdi verilerinin imzalanmasını ve/veya şifrelenmesini gerektiriyorsa bu bölümde ilgili sertifikaları oluşturun veya ekleyin.

Add certificate'e tıklayın. New Certificate penceresi açılır. Kendinden imzalı bir sertifika oluşturabilir veya mevcut bir sertifikayı Public Certificate alanına, ilgili özel anahtarı da Private Key alanına ekleyebilirsiniz. Use for listesinde kullanılabilir seçeneklerden birini seçin: signing, encrypt, signing and encrypt. Hazır olduğunuzda OK'e tıklayın.

Sertifikayı yüklerken/oluştururken Use for listesinde seçilen sertifika amacına bağlı olarak sertifikanın ek parametreleri belirlenir. Aşağıdaki parametreler, SP'den IdP'ye gönderilen hangi isteklerin/yanıtların imzalanacağını belirler:

  • Sign Authentication Requests: SP'nin IdP'ye gönderilen SAML kimlik doğrulama isteklerini imzalaması için.
  • Sign Logout Requests: SP'nin IdP'ye gönderilen SAML oturum kapatma isteklerini imzalaması için.
  • Sign Logout Responses: SP'nin IdP'ye gönderilen SAML oturum kapatma yanıtlarını imzalaması için.

Use for listesinde encrypt veya signing and encrypt seçeneğini seçtiyseniz Decrypt Assertions parametresi de işaretlenir. Şifre çözme, ilgili Private Key kullanılarak yapılır.

Listelerden gerekli algoritmaları seçin:

  • Signing Algorithm: rsa-sha1, rsa-sha256 veya rsa-sha512.
  • Default Decryption Algorithm: aes128-cbc, aes256-cbc veya tripledes-cbc.

Eklenen sertifikaları ilgili bağlantıyı kullanarak düzenleyebilir veya silebilirsiniz.

Attribute Mapping​

Attribute Mapping: bu bölüm, ONLYOFFICE İnsanlar modülündeki alanları IdP'den dönecek kullanıcı özellikleriyle eşleştirmenizi sağlar. Bir kullanıcı SSO kimlik bilgileriyle ONLYOFFICE SP'de oturum açtığında ONLYOFFICE SP gerekli özellikleri alır ve kullanıcı hesabındaki ad soyad ve e-posta adresi alanlarını IdP'den alınan değerlerle doldurur. Kullanıcı İnsanlar modülünde yoksa otomatik olarak oluşturulur. Kullanıcı bilgileri IdP tarafında değiştirilmişse SP'de de güncellenir.

Kullanılabilir özellikler:

  • First Name (zorunlu alan): kullanıcı kaydında kullanıcının adına karşılık gelen özellik.
  • Last Name (zorunlu alan): kullanıcı kaydında kullanıcının soyadına karşılık gelen özellik.
  • Email (zorunlu alan): kullanıcı kaydında kullanıcının e-posta adresine karşılık gelen özellik.
  • Location: kullanıcı kaydında kullanıcının konumuna karşılık gelen özellik.
  • Title: kullanıcı kaydında kullanıcının unvanına karşılık gelen özellik.
  • Phone: kullanıcı kaydında kullanıcının telefon numarasına karşılık gelen özellik.

Advanced Settings​

Hide auth page seçeneği, varsayılan kimlik doğrulama sayfasını gizlemenizi ve kullanıcıyı otomatik olarak SSO hizmetine yönlendirmenizi sağlar.

Önemli

Varsayılan kimlik doğrulama sayfasını geri yüklemeniz gerekirse (IDP sunucunuz arızalanırsa portala erişebilmek için) tarayıcı adres çubuğunda portalınızın alan adından sonra /Auth.aspx?skipssoredirect=true anahtarını ekleyebilirsiniz.

Control Panel'de tüm ayarlar belirlendiğinde Save'e tıklayın. ONLYOFFICE SP Metadata bölümü açılır.

ONLYOFFICE'i Identity Provider'ınızda güvenilir Service Provider olarak kaydetme​

Şimdi ONLYOFFICE SP meta verilerini IdP'de belirterek ONLYOFFICE'i IdP hesabınıza güvenilir Service Provider olarak eklemeniz gerekir.

Gerekli verileri almak için SSO sayfasının ONLYOFFICE SP Metadata bölümüne bakın. SP verilerinin herkese açık erişilebilir olduğunu doğrulayın. Bunun için Download SP Metadata XML'e tıklayın. XML dosyasının içeriği yeni bir tarayıcı sekmesinde görüntülenir. IdP'ye yükleyebilmek için verileri XML dosyası olarak kaydedin.

Alternatif olarak, ilgili alanlardaki Copy to clipboard düğmesine tıklayarak parametreleri tek tek elle kopyalayabilirsiniz.

Aşağıdaki parametreler kullanılabilir:

  • SP Entity ID (meta veri XML'ine bağlantı): Identity Provider'ın SP'yi kesin olarak tanımlamak için indirip kullanabileceği Service Provider XML URL adresi. Dosya varsayılan olarak şu adreste bulunur: http://example.com/sso/metadata, burada example.com ONLYOFFICE portalınızın alan adı veya genel IP adresidir.
  • SP Assertion Consumer URL (POST ve Redirect binding'i destekler): Service Provider'ın Identity Provider'dan gelen onayları aldığı ve işlediği URL adresi. Varsayılan olarak şu adres kullanılır: http://example.com/sso/acs, burada example.com ONLYOFFICE portalınızın alan adı veya genel IP adresidir.
  • SP Single Logout URL (POST ve Redirect binding'i destekler): Identity Provider tarafında tek oturum kapatma için kullanılan URL. SP'nizin Identity Provider'dan gelen oturum kapatma isteklerini/yanıtlarını aldığı ve işlediği uç nokta adresidir. Varsayılan olarak şu adres kullanılır: http://example.com/sso/slo/callback, burada example.com ONLYOFFICE portalınızın alan adı veya genel IP adresidir.
not

Bu parametreler ve XML içeriği portal yapılandırmanıza göre değişir. Örneğin portalınızı HTTPS'e geçirir veya bir alan adı belirtirseniz parametreler de değişir ve IdP'nizi yeniden yapılandırmanız gerekir.

ONLYOFFICE SP'de oturum açma​

SSO etkinleştirilip yapılandırıldıktan sonra oturum açma işlemi şu şekilde gerçekleşir:

  1. Kullanıcı, ONLYOFFICE portalının kimlik doğrulama sayfasındaki Single Sign-on düğmesine tıklayarak ONLYOFFICE'e erişim ister (düğme başlığı, ONLYOFFICE SP'yi yapılandırırken kendi metninizi belirttiyseniz farklı olabilir) (SP tarafından başlatılan SSO).
  2. Tüm IdP ve SP ayarları doğru yapılmışsa ONLYOFFICE kimlik doğrulama isteğini IdP'ye gönderir ve kullanıcıyı kimlik bilgilerinin istendiği IdP sayfasına yönlendirir.
  3. Kullanıcı IdP'de henüz oturum açmamışsa kimlik bilgilerini IdP'de girer.
  4. IdP, kullanıcı verilerini içeren kimlik doğrulama yanıtını oluşturur ve ONLYOFFICE'e gönderir.
  5. ONLYOFFICE, Identity Provider'dan kimlik doğrulama yanıtını alır ve doğrular.
  6. Yanıt doğrulanırsa ONLYOFFICE kullanıcının oturum açmasına izin verir. Kullanıcı yoksa otomatik olarak oluşturulur veya IdP'de değiştirilmişse verileri güncellenir.

Identity Provider tarafındaki oturum açma sayfasını kullanmak (IdP tarafından başlatılan SSO), kimlik bilgilerini girmek ve ardından yeniden kimlik doğrulaması yapmadan ONLYOFFICE portalına erişmek de mümkündür.

ONLYOFFICE SP'den oturumu kapatma​

Oturumu iki yolla kapatabilirsiniz:

  1. ONLYOFFICE portalından Sign Out menüsünü kullanarak. Bu durumda oturum kapatma isteği IdP'ye gönderilir. Kullanıcı, SSO kimlik doğrulamasıyla daha önce eriştiği diğer tüm uygulamalardan da çıkış yapmışsa IdP'den de otomatik olarak çıkış yapmalıdır.
  2. IdP oturum kapatma sayfasından.

SSO ile oluşturulan kullanıcı profillerini düzenleme​

SSO kimlik doğrulamasıyla oluşturulan kullanıcılar, portal yöneticisi için kullanıcı listesinde SSO simgesiyle işaretlenir.

Bu tür kullanıcı profillerini İnsanlar modülünde düzenleme olanağı kısıtlıdır. SSO kimlik doğrulamasıyla oluşturulan kullanıcı profili alanları İnsanlar modülünden düzenlemeye kapalıdır. Kullanıcı verileri yalnızca IdP tarafında değiştirilebilir.