IVA ДОКУМЕНТАЦИЯ
ОБНОВЛЕНИЯ

Настройка внешнего ADFS-сервера

Подготовка к интеграции Платформы IVA MCU с ADFS

Перед настройкой ADFS-сервера внешней аутентификации необходимо выполнить подготовку к интеграции.

Установка и первичная настройка ADFS

Если Active Directory Federation Service (ADFS) не был настроен ранее в рамках интеграции с другими внешними системами, то необходимо выполнить его установку и первичную настройку.

Установка ADFS выполняется через Server Manager добавлением новой роли.

Чтобы установить ADFS, необходимо:

  1. добавить новую роль через Server Manager:
    Раздел Server Roles → Выбрать необходимые роли → Нажать кнопку Next

    Установка ADFS

  2. выполнить первичную настройку:

    • Раздел Welcome → Выбрать Create the first federation server in a federation server farm → Нажать кнопку Next

      Настройка сервера 1

    • Раздел Specify Service Properties → В строке Federation Service Display Name ввести имя (например iva-tech, значение может быть любым) → Нажать кнопку Next

      Настройка сервера 2

    • Раздел Specify Service Account → Выбрать Create a Group Managed Service Account → В строке Account Name ввести данные (например iva, значение может быть любым) → Нажать кнопку Next

      Настройка сервера 3

    • Раздел Specify Database → Выбрать Create a database on this server using Windows Internal Database → Нажать кнопку Next

      Настройка сервера 4

  3. завершить настройку

Добавление новой точки подключения ADFS

Для добавления новой точки подключения необходимо запустить утилиту ADFS Management: Проводник → Control Panel → Administrative Tools → AD FS Management → AD FS

AD FS Management

Создание Relying Party Trust

Чтобы создать Relying Party Trust, необходимо:

  1. AD FS → Открыть папку Relying Party Trusts 1 → Выбрать Add Relying Party Trust Wizard…​ 2 → Add Relying Party Trust Wizard

    Раздел Relying Party Trusts

  2. Вкладка Welcome → Выбрать Claims aware → Нажать кнопку Start

    Relying Party Trust Wizard

  3. Вкладка Select Data Source → Выбрать Enter data about the relying party manually → Нажать кнопку Next

    Select Data Source

  4. Вкладка Specify Display Name → В поле Display name ввести имя (например iva, значение может быть любым) → Нажать кнопку Next

    Вкладка Specify Display Name

  5. Вкладка Configure Identifiers → В поле Relying party trust identifier ввести https://<iva_mcu_fqdn> → Нажать кнопку Add → Нажать кнопку Next

    где <iva_mcu_fqdn> — FQDN Платформы IVA MCU

    Вкладка Configure Identifiers

  6. Вкладка Choose Access Control Policy → Выбрать Permit everyone → Нажать кнопку Next

    Вкладка Choose Access Control Policy

  7. Вкладка Ready to Add Trust → Нажать кнопку Next (принимаются значения по умолчанию)

    Вкладка Ready to Add Trust

  8. Вкладка Finish → Проверить наличие флага Configure claims issuance policy for this application (флаговая кнопка включена по умолчанию) → Нажать кнопку Close

    Вкладка Finish

Настройка Relying Party Trust

Чтобы настроить Relying Party Trust, необходимо:

  1. открыть свойства добавленного Trust:
    AD FS → Открыть папку Relying Party Trusts 1 → Выбрать ранее созданный Trust 2 → Нажать Properties 3

    Раздел Relying Party Trusts

  2. добавить SAML Assertion Consumer: Перейти на вкладку Endpoints 1 → Нажать кнопку Add SAML… 2 → Add an Endpoint

    Вкладка Endpoints

  3. добавить Endpoint: Add an Endpoint → В поле Endpoint type выбрать SAML Assertion Consumer 1 → В поле Binding выбрать POST 2 → В поле Trusted URL ввести https://<iva_mcu_fqdn>/api/rest/public/signin-saml 3 → Нажать кнопку ОК

    где <iva_mcu_fqdn> — FQDN Платформы IVA MCU

    Добавление Endpoint

  4. добавить SAML Logout: Вкладка Endpoints → Нажать кнопку Add SAML… → Add an Endpoint → В поле Endpoint type выбрать SAML Logout 1 → В поле Binding выбрать Redirect 2 → В поле Trusted URL указать https://<iva_mcu_fqdn>/api/rest/public/signout-saml 3 → Нажать кнопку ОК

    где <iva_mcu_fqdn> — FQDN Платформы IVA MCU

    Настройка SAML Logout

  5. импортировать X.509 Сертификат: Перейти на вкладку Signature 1 → Нажать кнопку Add… 2 → Добавить сертификат из файла → Нажать кнопку ОК

    Вкладка Signature

Настройка Claims для Relying Party Trust

Чтобы настроить Claims, необходимо:

  1. AD FS → Открыть папку Relying Party Trusts 1 → Выбрать ранее созданный Trust 2 → Нажать Edit Claim Issuance Policy 3

    Раздел Relying Party Trusts

  2. в окне Edit Claim issuance Policy Нажать кнопку Add Rule… → Add Transform Claim Rule Wizard

    Настройка Claims

  3. Add Transform Claim Rule Wizard → Вкладка Choose Rule Type → В поле Claim rule template выбрать Send LDAP Attributes as Claims → Нажать кнопку Next

    Add Transform Claim Rule Wizard

  4. Вкладка Configure Claim Rule → В поле Claim rule name 1 ввести название (например iva, значение может быть любым) → В поле Attribute store 2 выбрать Active Directory → В поле Mapping of LDAP attributes to outgoing claim types 3 ввести данные LDAP атрибутов для Claims → Нажать кнопку Finish

    Создание правила

LDAP-атрибуты для Claims:

LDAP Attribute Outgoing Type Где используется

E-Mail-Address

E-Mail Address

Используется для установки E-mail.
URI: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Employee-ID

Subject Name

  1. Для правильного создания сессии и работы Single Sign Out, иначе выход будет осуществлен на SignOutUrl без параметров сессии и не подписанный

  2. При использовании как уникальный ID пользователя для данного сервера

Surname

Surname

Фамилия.
URI: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname

Display-Name

Name

Полное имя пользователя.
URI: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

Given-Name

Given Name

Имя пользователя.
URI: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname

Telephone-Number

Telephone-Number

Номер телефона.
URI: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/mobilephone

User-Principal-Name

Name ID

Идентификатор пользователя в базе

SAM-Account-Name

Имя учетной записи в Windows

Используется чтобы связать LDAP-каталог и ADFS-сервер.
URI: http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname
Для настройки интеграции LDAP- и АDFS-авторизации, на стороне ADFS-сервера необходимо указать LDAP-атрибут SAM-Account-Name
В случае реализации взаимосвязи с сервером LDAP все атрибуты для Claims будут взяты из LDAP-каталога

Получение сертификата Token-signing

Чтобы получить Token-signing Сертификат, необходимо:

  1. AD FS → Открыть папку Service → Выбрать папку Certificates 1 → Секция Token-signing → Выбрать сертификат 2 → Нажать View Certificate 3 → Certificate

    Сертификаты

  2. Certificate → Перейти на вкладку Details → Нажать кнопку Copy to file → Certificate Export Wizard

    Экспорт сертификата

  3. Certificate Export Wizard → Выбрать формат Base-64 encoded X.509 (.CER) → Нажать кнопку Next → Указать путь для сохранения файла → Завершить экспорт

    Экспорт сертификата2
Полученный сертификат будет использоваться во время настройки ADFS SSO в IVA MCU