ONLYOFFICE SP ve OneLogin IdP'yi yapılandırma

Giriş

Single Sign-on (SSO), kullanıcıların yalnızca bir kez oturum açıp yeniden kimlik doğrulaması yapmadan birden fazla uygulamaya/hizmete erişmesine olanak tanıyan bir teknolojidir.

Bir web portalı birkaç büyük bağımsız bölüm (forum, sohbet, bloglar vb.) içeriyorsa kullanıcı bu hizmetlerden birinde kimlik doğrulaması yapabilir ve kimlik bilgilerini defalarca girmeden diğer tüm hizmetlere otomatik olarak erişebilir.

SSO her zaman iki uygulamanın birlikte çalışmasıyla sağlanır: Identity Provider ve Service Provider (bundan sonra "IdP" ve "SP" olarak anılacaktır). ONLYOFFICE SSO yalnızca SP'yi uygular. Birçok farklı sağlayıcı IdP olarak görev yapabilir, ancak bu makalede OneLogin uygulaması ele alınmaktadır.

not

ONLYOFFICE Desktop Editors'ı ONLYOFFICE Workspace'inize bağlarken SSO kullanmak istiyorsanız Control Panel'de Private Rooms'u devre dışı bırakın.

ONLYOFFICE Workspace'i SSO kurulumuna hazırlama

1. Docker için ONLYOFFICE Workspace v. 11.0.0 veya SSO desteği olan daha yeni bir sürümü kurun.
2. Bir alan adı ekleyin, örneğin myportal-address.com.
3. Portalınızda Control Panel > HTTPS'e gidin ve trafik şifrelemesi için (portalınızda HTTPS'i etkinleştirmek üzere) letsencrypt sertifikasını oluşturup uygulayın.

OneLogin'de IdP oluşturma

1. Henüz kaydolmadıysanız OneLogin'e kaydolun.

2. OneLogin'de yönetici olarak oturum açın.

3. Administration bölümüne gidin.

4. Applications menüsüne tıklayın. Add App düğmesine tıklayın.

   

5. Find Application arama alanına şu metni yazın: SAML Custom Connector (Advanced):

   

6. Bulunan seçeneği seçin.

7. Açılan pencerede bu uygulamayı diğerlerinden ayırt etmek için bir Display Name girin, örneğin IDP OneLogin Onlyoffice v11 Test. İsterseniz varsayılan simgeleri kendi simgelerinizle değiştirin ve Save'e tıklayın.

   

8. Configuration alt menüsüne gidin ve alanları aşağıdaki tabloya göre doldurun:

   not

   myportal-address.com yerine ONLYOFFICE SP'nizin barındırıldığı kendi alan adınızı veya genel IP adresinizi belirtin.

   

   Application Details
   RelayState	https://myportal-address.com
   Audience (EntityID)	https://myportal-address.com/sso/
   Recipient	https://myportal-address.com/sso/acs
   ACS (Consumer) URL Validator*	^https:\/\/myportal-address\.com\/sso\/acs\/$
   ACS (Consumer) URL*	https://myportal-address.com/sso/acs
   Single Logout URL	https://myportal-address.com/sso/slo/callback
   SAML initiator	Service Provider
   SAML nameID format	Email
   SAML issuer type	Specific
   SAML signature element	Assertion
   Encrypt assertion	✔ (kutuyu işaretleyin)
   SAML encryption method	AES-128-CBC
   Sign SLO Request	✔ (kutuyu işaretleyin)
   Sign SLO Response	✔ (kutuyu işaretleyin)

   

9. Save düğmesine tıklayın ve Parameters alt menüsüne gidin.

   

10. + düğmesini kullanarak 5 parametre oluşturun (givenName, sn, mail, title, mobile). Hepsi için Include in SAML assertion seçeneğini işaretleyin ve Value listesinden LDAP dizininin alan kataloğuna uygun bir değer belirtin:

    

11. IdP'de SAML onay özellikleri için tüm alanlar doldurulduğunda sonuç aşağıdakine benzer olmalıdır. Save düğmesine tıklayın.

    

12. SSO alt menüsüne gidin. Birden fazla sertifikanız varsa Change'e tıklayarak listeden geçerli bir sertifika seçin. SAML Signature Algorithm alanında SHA-1 seçeneğini bırakın ve Save düğmesine tıklayın:

    

13. Issuer URL alanındaki bağlantıyı kopyalayın (örneğin https://app.onelogin.com/saml/metadata/4d87973f-629d-4a52-812e-bde45eff92b8) ve ONLYOFFICE portalına gidip yönetici olarak oturum açın. Control Panel > SSO sayfasını açın.

ONLYOFFICE SP'yi yapılandırma

1. ONLYOFFICE Control Panel'de Yönetici olarak oturum açtığınızdan emin olun ve sol kenar çubuğundaki PORTAL SETTINGS bölümünden SSO sekmesine tıklayın.

   not

   ONLYOFFICE portalında kuruluşunuz için yalnızca bir kurumsal Identity Provider kaydedebilirsiniz.

   

2. Enable Single Sign-on Authentication düğmesine tıklayarak SSO'yu etkinleştirin ve OneLogin issuer URL'sinden kopyaladığınız bağlantıyı URL to Idp Metadata XML alanına yapıştırın.

   

   IdP meta verilerini yüklemek için yükleme düğmesine tıklayın. OneLogin IdP, ONLYOFFICE SP Settings form alanlarını otomatik olarak dolduracaktır.

3. Custom login button caption alanına varsayılan metin (Single Sign-on) yerine istediğiniz metni girebilirsiniz. Bu metin, ONLYOFFICE kimlik doğrulama sayfasında Single Sign-on hizmetiyle portalda oturum açmak için kullanılan düğmede görüntülenir.

   

4. Şimdi SP Certificates bölümünde bir sertifika oluşturmanız gerekir. Bunun için ilgili bölümde Add certificate düğmesine tıklayın.

   

5. Açılan modal pencerede Generate New Self-Signed Certificate bağlantısına tıklayın ve Use for listesinde signing and encrypt seçeneğini seçin. Sertifikayı kaydetmeden önce Public Certificate metnini panoya kopyalayın (OneLogin için gereklidir), ardından OK'e tıklayın.

   

6. Hemen hemen aynı sonucu almanız gerekir:

   

7. OneLogin IdP'yi oluştururken aynı parametreleri belirttiğimiz için Attribute Mapping formunu ayarlamanız gerekmez. Aşağıdaki değerler kullanılır:

   Field	Attribute
   First Name	givenName
   Last Name	sn
   Email	mail
   Location	l
   Title	title
   Phone	mobile

   Advanced Settings bölümünde, varsayılan kimlik doğrulama sayfasını gizlemek ve otomatik olarak SSO hizmetine yönlendirmek için Hide auth page seçeneğini işaretleyebilirsiniz.

   Önemli

   Varsayılan kimlik doğrulama sayfasını geri yüklemeniz gerekirse (IDP sunucunuz arızalanırsa portala erişebilmek için) tarayıcı adres çubuğunda portalınızın alan adından sonra /Auth.aspx?skipssoredirect=true anahtarını ekleyebilirsiniz.

8. Save düğmesine tıklayın. ONLYOFFICE SP Metadata bölümü açılmalıdır. Download SP Metadata XML düğmesine tıklayarak ayarlarımızın herkese açık erişilebilir olduğunu doğrulayın. XML dosyasının içeriği görüntülenmelidir.

9. OneLogin'e dönün, uygulamanızı açın ve Configuration sekmesine gidin. Sayfayı aşağı kaydırın, SAML Encryption alanı görünmelidir. Bu yönergenin 4. adımında kopyaladığınız Public Certificate metnini bu alana yapıştırın ve Save düğmesine tıklayın:

   

OneLogin'de kullanıcı oluşturma ve onlara ONLYOFFICE erişimi verme

OneLogin'de kullanıcı oluşturmak ve onlara ONLYOFFICE SP erişimi vermek için aşağıdaki adımları uygulayın:

1. yönetici olarak oturum açarak OneLogin All Users sayfasına gidin,

   

2. yeni bir kullanıcı oluşturun veya mevcut bir kullanıcıyı düzenleyin,

3. Applications alt menüsüne gidin ve + düğmesine tıklayın,

4. listeden yeni oluşturduğunuz uygulamayı seçin ve CONTINUE'ya tıklayın,

   

5. açılan yeni pencerede eksik verileri ekleyin ve SAVE düğmesine tıklayın,

   

6. artık kullanıcı ONLYOFFICE SP'de çalışabilir.

ONLYOFFICE SP yapılandırmasını OneLogin IdP ile doğrulama

SP tarafında ONLYOFFICE'te oturum açma

1. ONLYOFFICE kimlik doğrulama sayfasına gidin (örneğin https://myportal-address.com/Auth.aspx).

2. Single sign-on düğmesine tıklayın (düğme başlığı, ONLYOFFICE SP'yi yapılandırırken kendi metninizi belirttiyseniz farklı olabilir). Düğme yoksa SSO etkinleştirilmemiş demektir.

   

3. Tüm SP ve IdP parametreleri doğru yapılandırılmışsa OneLogin IdP oturum açma formuna yönlendirilirsiniz:

   

4. ONLYOFFICE SP erişimi verilen kullanıcının kullanıcı adını ve parolasını girin ve LOG IN düğmesine tıklayın.

5. Kimlik bilgileri doğruysa portal ana sayfasına yönlendirilirsiniz. Kullanıcı hesabı yoksa otomatik olarak oluşturulur veya IdP'de herhangi bir veri değiştiyse güncellenir.

   

ONLYOFFICE SP'den oturumu kapatma

1. SSO kullanıcısı ONLYOFFICE portalından Sign Out menüsünü kullanarak oturumunu kapatabilir. Kullanıcı, erişim verilen diğer tüm OneLogin uygulamalarından da çıkış yapmışsa OneLogin IdP'den de otomatik olarak çıkış yapmalıdır.

   

2. Oturumu başarıyla kapattıysanız portal kimlik doğrulama sayfasına yönlendirilirsiniz.

   

3. Single Sign-on düğmesine tekrar tıklarsanız portaldan başarıyla çıkış yaptığınızı doğrulayan OneLogin oturum açma sayfasına yönlendirilirsiniz:

   

SSO kimlik doğrulamasıyla eklenen kullanıcıların profilleri

SSO kimlik doğrulamasıyla oluşturulan kullanıcı profillerini düzenleme kısıtlıdır. IdP'den alınan kullanıcı profili alanları (yani First Name, Last Name, Email, Title ve Location) düzenlenemez. Bu alanları yalnızca IdP hesabınızdan düzenleyebilirsiniz.

Aşağıdaki şekil, bir SSO kullanıcısı için Actions menüsünü gösterir:

Aşağıdaki şekil, düzenlenmek üzere açılmış bir SSO kullanıcı profilini gösterir:

SSO kimlik doğrulamasıyla oluşturulan kullanıcılar, portal yöneticileri için kullanıcı listesinde SSO simgesiyle işaretlenir: