AD FS-Konfiguration

Lesen Sie, wie Sie Ihr Serviceware Authenticator-System mit AD FS verbinden.

Active Directory Federation Services (AD FS) erlaubt Benutzern von Windows Server basierten Betriebssystemen den systemübergreifenden Single Sign-On-Zugang zu Ihren Anwendungen.

Führen Sie die folgenden Schritte aus, um Ihr AD FS mit dem Serviceware Authenticator zu verbinden.

Tipp: Wenn Sie die Konfiguration auf Basis eines privaten exportierbaren Zertifikats ausführen möchten, lesen Sie zusätzlich den Abschnitt AD FS-Konfiguration: Einfügen eines kundenspezifischen Zertifikats in den Keystore.

Erstellen Sie einen neuen SAML Identitätsanbieter innerhalb Ihres Anmeldebereiches.
1. Laden Sie die Federation Metadata Ihres AD FS-Servers über folgende URL: https://[servername]/FederationMetadata/2007-06/FederationMetadata.xml.
2. Öffnen Sie Identity Providers > Add Provider > SAML Vx.x > Import external IDP Config > Import from file.
3. Importieren Sie die Datei FederationMetadata.xml die Sie aus AD FS geladen haben über Import.
4. Speichern Sie die Eingabe über Save.
Ändern Sie die folgenden Werte:
1. Want AuthnRequests Signed: On
2. Want Assertions Signed: On
3. SAML Signature Key Name: CERT_SUBJECT
4. Validate Signature: On
Wählen Sie Save.
Wählen Sie die Registerkarte Mappers.
Erzeugen Sie einen neuen Mapper mit den folgenden Attributen:
- Name: last_name
- Mapper Type: Attribute Importer
- Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
- User Attribute Name: lastName
Erzeugen Sie einen neuen Mapper mit den folgenden Attributen:
- Name: first_name
- Mapper Type: Attribute Importer
- Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
- User Attribute Name: firstName
Erzeugen Sie einen neuen Mapper mit den folgenden Attributen:
- Name: email
- Mapper Type: Attribute Importer
- Attribute Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
- User Attribute Name: email
Erzeugen Sie einen neuen Mapper mit zur Verarbeitung von Telefonnummern mit den folgenden Attributen:
- Name: phone_number
- Mapper Type: Attribute Importer
- Attribute Name: phonenumber
- User Attribute Name: phoneNumber
Wenn Sie ein privates Zertifikat in den Keystore einfügen möchten, führen Sie zuerst die unter AD FS-Konfiguration beschriebenen Schritte aus.
Wechseln Sie zu Identity Providers > SAML > Export.
1. Wählen Sie Download.
2. Kopieren Sie die Datei in Ihre AD FS-Umgebung zur späteren Verwendung.
Öffnen Sie die Bedienoberfläche von AD FS.
1. Wechseln Sie zu Relying Party Trust.
2. Fügen Sie einen neuen Claims aware Relying Party Trust hinzu.
3. Importieren Sie die Metadaten aus der heruntergeladenen Datei.
4. Geben Sie der Datei einen sinnvollen Namen.
5. Deaktivieren Sie die Auswahlbox auf der letzten Seite.
6. Beenden Sie den Wizard ohne weitere Änderungen.
Öffnen Sie Windows PowerShell als Administrator.
1. Führen Sie das PowerShell Script ServicewareAuthenticatorRelyingPartyTrust.ps1 mit dem Anzeigenamen als Parameter aus.
  Die Verbindung zwischen AD FS und dem Serviceware Authenticator ist hergestellt.
Testen Sie die Anmeldung über AD FS in Serviceware Processes.
1. Öffnen Sie den Serviceware Processes Webclient über https://[Servername/ServicewareProcesses/.
2. Wählen Sie Single Sign-on.
3. Wählen Sie SAML (oder den von Ihnen definierten Namen).
4. Geben Sie Ihre Anmeldedaten ein.

Die Anmeldung ist erfolgt.

Anmerkung: Legen Sie für jeden Benutzer einen neuen SSO-Login zu einem bestehenden helpLine-Account im ClassicDesk an. Informationen dazu erhalten Sie im Abschnitt Lokale Serviceware Authenticator Benutzer für Processes anlegen.

AD FS-Konfiguration: Einfügen eines kundenspezifischen Zertifikats in den Keystore

Wenn Sie die AD FS-Konfiguration mit einem privaten Zertifikat ausführen wollen, führen Sie die folgenden Schritte nach Schritt 9 der Anleitung aus.

Kopieren Sie das Zertifikat mit dem exportierbaren privaten Schlüssel (PFX oder P12) in den Ordner C:\Serviceware\Common\Keystore.
Öffnen Sie eine Kommandozeile als Administrator.
Wechseln Sie in den Ordner C:\Serviceware\Common\Keystore.
Führen Sie das folgende Kommando aus, passen Sie dabei die Namen von Storepass, Keypass und Store Ihres Zertifikats an:
```
keytool -importkeystore -[deststorepass] -[destkeypass] -[destkeystore]
-[srckeystore] -srcstoretype PKCS12 -[srcstorepass]
```
Destorepass

Erstellen Sie ein Passwort für den Ziel-Keystore.

Destkeypass

Geben Sie das Passwort für den Ziel-Keystore ein.

Destkeystore

Geben Sie den Namen für den Ziel-Keystore an.

Beispiel: serviceware

Srckeystore

Geben Sie das PFX- oder P12-Zertifikat an.

Beispiel: serviceware.pfx

Srctorepass

Geben Sie das Passwort für den privaten Schlüssel an.

Beispiel: keypass
Example:
```
C:Serviceware\Common\Keystore>keytool -importkeystore -deststorepass serviceware -destkeypass serviceware 
-destkeystore serviceware.keystore -srckeystore serviceware.pfx -srcstoretype PKCS12 -srcstorepass keypass
```
Kopieren Sie den Alias aus dem Keystore. Kopieren Sie den Aliasnamen vollständig, mit den geschweiften Klammern. Sehen Sie dazu den Keystore über das folgende Kommando ein:
```
C:\Serviceware\Common\Keystore>keytool -list -v -[keystore]
```
Den Alias-Wert finden Sie im Kopf des Keystores.
Öffnen Sie den Serviceware Authenticator als Administrator.
Wechseln Sie in Ihrem Realm inRealm Settings > Keys > Providers.
Wählen Sie im Drop-down-Menü Add keystore den java-keystore.
Ändern Sie die folgenden Parameter:

Priority

100

Keystore

Vollständiger Pfad zum Keystore.

Keystore Password

Passwort des Keystores

Key Alias

Alias aus dem Keystore (siehe Schritt 4)

Key Password

Passwort für den privaten Schlüssel
Entfernen Sie im Menü Providers den bestehenden Provider rsa-generated.
Schließen sie den Serviceware Authenticator
Starten Sie den Authenticator-Dienst neu.
Wichtig: Erstellen Sie bei Ablauf des Zertifikates ein neues signiertes Zertifikat mit verlängerter Gültigkeit für den bestehenden privaten Schlüssel. So vermeiden Sie die Erstellung eines neuen Identitätsanbieters und die damit verbundene erneute Anbindung aller Benutzer.