Настройка SSO при использовании AD FS

Системные требования

• Компьютер-сервер на Windows Server 2019/ 2016/ 2012 R2
• Установленный и настроенный сервис AD FS 5.0/4.0/3.0
• SSL-сертификат для вашей страницы авторизации AD FS и отпечаток этого сертификата
• Аккаунт СДО iSpring Learn (облачное или серверное решение)
• Пользователь СДО с ролью Владелец аккаунта или Администратор аккаунта

В примере ниже мы используем AD FS 4.0 на Windows Server 2016.

Шаг 0. Включение страницы входа Idp-Initiated

По умолчанию для AD FS 5.0/4.0 в Windows Server 2019/2016 страница входа не включена. Чтобы включить ее, используйте команду PowerShell Set-AdfsProperties. Для этого:

1. Откройте Windows PowerShell.
   
   
2. Введите Get-AdfsProperties и нажмите клавишу Enter.
   
   
3. Убедитесь, что для EnableIdpIninititiatedSignonPage задано значение False.
   
   
   
   
4. В PowerShell введите Set-AdfsProperties -EnableIdpInitiatedSignonPage $true.
   
   
5. Подтверждение не появится. Повторно введите Get-AdfsProperties и убедитесь, что для EnableIdpIninititiatedSignonPage задано значение True.
   
   

Шаг 1. Проверка настроек AD FS

1. Войдите в AD FS сервер и запустите ADFS Management Console через ярлык в меню Control Panel —> System and Security —> Administrative Tools.
   
   
   
   
2. Нажмите правой кнопкой мыши на Service и выберите Edit Federation Service Properties…
   
   
   
   
3. Убедитесь, что поля во вкладке General соответствуют вашей DNS-записи и именам сертификата. Адрес в поле Federation Service Identifier будет также использован при настройке SAML 2.0 на стороне СДО iSpring Learn.
   
   
4. В поле Federation Service name используйте домен третьего уровня, например, adfs.ispring.ru. Далее будем использовать YOUR_ADFS_SERVERNAME.
   
   
   

Шаг 2. Настройка iSpring Learn

1. Найдите сертификат в базе на сервере AD.
   
   
2. Правой кнопкой мыши нажмите на сертификат и выберите View Certificate.
   
   
3. Перейдите на вкладку Details.
   
   
4. Найдите поле Thumbprint и скопируйте его значение.
   
   
   
   
5. Войдите в свой аккаунт iSpring Learn как администратор и перейдите в меню настроек SSO по ссылке: https://youraccount.ispringlearn.ru/settings/sso. 
   
   
6. Вставьте скопированное значение поля Thumbprint в поле Certificate Fingerprint и удалите из значения все пробелы между символами.
   
   

7. Введите ваши параметры в поля Metadata URL, Sign On URL и Logout URL:http://YOUR_ADFS_SERVERNAME/adfs/services/trust https://YOUR_ADFS_SERVERNAME/adfs/ls/idpinitiatedsignon.aspx https://YOUR_ADFS_SERVERNAME/adfs/ls/?wa=wsignout1.0.
   Параметры Sign On URL и Logout URL могут отличаться, в зависимости от версии и настроек. Убедитесь, что страницы входа и выхода существуют.
   
   
   

   Issuer Url (IdP Entity ID)	URL, который идентифицирует поставщика учётных записей. Это значение включено в SAML запрос как элемент Issuer.
   Sign On Url	Путь к серверному скрипту, который генерирует SAML запросы подтверждения идентификатора для осуществления логина.
   Logout Url	Путь к серверному скрипту, который генерирует SAML запросы подтверждения идентификатора для осуществления выхода.
   Certificate Fingerprint	Сокращённая версия сертификата открытого ключа проверки электронной подписи. Используется для подтверждения подписей запросов, исходящих от поставщика учётных записей (IdP). Подробнее о сертификатах fingerprint здесь.
   Перенаправлять пользователей на страницу логинации, заданную согласно SSO	Если эта опция включена, вход в ваш аккаунт iSpring Learn будет производиться на странице https://yourcompany.ispringlearn.ru/sso/login.
   Добавить на боковую панель ссылку для перехода на основной сайт	На боковой панели появится ссылка на ресурс, который укажет администратор.
   Название ссылки	Название ссылки, которая появится на боковой панели.
   Url основного сайта	Адрес ссылки, которая появится на боковой панели.

   
   

8. Нажмите Подключить.
   
   

Шаг 3. Настройка проверяющей стороны в AD FS

1. Откройте Панель управления AD FS. Затем правой кнопкой мыши нажмите на Relying Party Trusts и выберите Add Relying Party Trust…
   
   
   
   
2. Выберите Claims aware и нажмите Start.
   
   
   
   
3. На этапе Select Data Source выберите опцию Enter data about the relying party manually.
   
   
   
   
4. Затем в поле Display name введите название, которое будет использоваться в будущем.
   
   
   
   
5. На этапе Configure Certificate оставьте параметры по умолчанию.
   
   
   
   
6. Затем поставьте флажок напротив параметра Enable support for the SAML 2.0 WebSSO protocol. В поле введите URL по типу: https://youraccount.ispringlearn.ru/module.php/saml/sp/saml2-acs.php/default-sp.
   
   
   
   
7. На этапе Configure Identifiers добавьте Relying party trust identifier по типу: https://youraccount.ispringlearn.ru/module.php/saml/sp/metadata.php/default-sp. Нажмите Add.
   
   
   
   
8. Затем нажмите Next.
   
   
   
   
9. Далее на этапе Choose Access Control Policy выберите параметр Permit everyone. Затем нажмите Next.
   
   
   
   
10. На этапе Ready to Add Trust оставьте параметры по умолчанию и нажмите Next.
    
    
    
    
11. Поставьте флажок напротив параметра Configure claims issuance policy for this application. Затем нажмите Close, чтобы выйти из мастера настройки добавления проверяющей стороны.
    
    

Шаг 4. Настройка правил передачи данных о пользователе

1. Откройте Панель управления AD FS. В разделе Relying Party Trusts кликните на название правой кнопкой мыши и нажмите Edit Claim Issuance Police.
   
   
   
   
2. Добавьте первое правило. Для этого нажмите на Add Rule...
   
   
   
   

3. Затем выберите правило Send LDAP Attributes as Claims. Нажмите Next.
   
   
   
   

4. На этапе Configure Claim Rule в поле Claim rule name введите название Правила Утверждения. Например, Attributes to iSpring Learn. 
   
   
   
   
5. Затем для параметра Attribute store выберите Active Directory.
   
   
   
   
6. Далее выберите значения:
   
   • В колонке LDAP Attribute выставите E-Mail-Addresses.
   • В колонке Outgoing Claim Type выставите значение email, как в СДО iSpring Learn https://youraccount.ispringlearn.ru/settings/sso).
     
     
     
     

7. Чтобы сохранить новое правило, нажмите Finish.
   
   

   • Настройка соответствия поля в СДО iSpring Learn https://youraccount.ispringlearn.ru/settings/sso с атрибутами SSO. Подробнее о соответствии полей iSpring Learn и SSO-->
     
     

   • После проверки единого входа на шаге 7, добавьте при необходимости дополнительные атрибуты: Имя, Фамилия, Должность, Телефон и другие.
     
     На стороне AD FS:
     
     
     
     На стороне iSpring Learn:
     
     
     
     

8. Добавьте второе правило. Выберите правило Transform an Incoming Claim.
   
   
   
   

9. Введите название Transform Account Name.
   
   
   
   

10. Чтобы сохранить новое правило, нажмите ОК.
    
    

11. Затем Apply и ОК для подтверждения завершения создания правил:
    
    

Шаг 5. Настройка безопасности

Некоторые параметры настроек безопасности созданного Relying Party Trust необходимо изменить. Для перехода к этим настройкам, выберите Properties в боковой панели справа, убедившись, что также выбран параметр Relying Party Trust.

Убедитесь, что во вкладке Advanced выбран SHA-256 для параметра Secure hash algorithm.

Шаг 6. Настройка конечных точек (Endpoints)

Во вкладке Endpoints проверьте точку, сформированную по умолчанию:

В поле Trusted URL адрес по типу https://youraccount.ispringlearn.ru/module.php/saml/sp/saml2-acs.php/default-sp

Оставьте поле Response URL пустым и нажмите ОК.

Добавьте новую точку:

• Нажмите Add SAML
• Для параметра Endpoint type выберите SAML Assertion Consumer
• Для параметра Binding выберите Artifact
• Для параметра Index выберите 2
• В поле Trusted URL введите адрес по типу: https://youraccount.ispringlearn.ru/module.php/saml/sp/saml2-acs.php/default-sp
• Оставьте поле Response URL пустым и нажмите ОК

Добавьте новую точку:

• Нажмите Add SAML
• Для параметра Endpoint type выберите SAML Logout
• Для параметра Binding выберите  POST
• В поле Trusted URL введите адрес по типу: https://YOUR_ADFS_SERVERNAME/adfs/ls/?wa=wsignout1.0
• Оставьте поле Response URL пустым и нажмите ОК

Должно быть три конечные точки:

Нажмите Apply и ОК для подтверждения.

Настройки завершены.

Шаг 7. Проверка единого входа

Перейдите по адресу вашей СДО https://youraccount.ispringlearn.ru

Нажмите Войти через корпоративный доступ

Если настройки корректны, откроется личный кабинет обучающегося.

В противном случае направьте на support@ispring.ru скриншот с ошибкой.