SSO Google Apps StyleBook
Google Apps ist eine Sammlung von Cloud-Computing-, Produktivitäts- und Kollaborationstools, Software und Produkten, die von Google entwickelt werden. Single Sign-On (SSO) ermöglicht Benutzern den Zugriff auf alle ihre Unternehmens-Cloud-Anwendungen – einschließlich Administratoren, die sich bei der Admin-Konsole anmelden – indem sie sich einmalig für alle Dienste mit ihren Unternehmensanmeldeinformationen anmelden.
Das NetScaler ADM SSO Google Apps StyleBook ermöglicht Ihnen die Aktivierung von SSO für Google Apps über NetScaler-Instanzen. Das StyleBook konfiguriert die NetScaler-Instanz als SAML-Identitätsanbieter zur Authentifizierung von Benutzern für den Zugriff auf Google Apps.
Die Aktivierung von SSO für Google Apps in einer NetScaler-Instanz mithilfe dieses StyleBooks umfasst die folgenden Schritte:
- Konfigurieren des virtuellen Authentifizierungsservers
- Konfigurieren einer SAML-IdP-Richtlinie und eines Profils
- Binden der Richtlinie und des Profils an den virtuellen Authentifizierungsserver
- Konfigurieren eines LDAP-Authentifizierungsservers und einer Richtlinie auf der Instanz
- Binden des LDAP-Authentifizierungsservers und der Richtlinie an Ihren auf der Instanz konfigurierten virtuellen Authentifizierungsserver
Konfigurationsdetails:
Die folgende Tabelle listet die mindestens erforderlichen Softwareversionen auf, damit diese Integration erfolgreich funktioniert. Der Integrationsprozess unterstützt auch höhere Versionen derselben.
| Produkt | Mindestens erforderliche Version |
|---|---|
| NetScaler | Release 11.0, Advanced/Premium Lizenz |
Die folgenden Anweisungen setzen voraus, dass Sie bereits die entsprechenden externen oder internen DNS-Einträge erstellt haben, um Authentifizierungsanfragen an eine von NetScaler überwachte IP-Adresse weiterzuleiten.
Bereitstellen von SSO Google Apps StyleBook-Konfigurationen:
Die folgende Aufgabe unterstützt Sie bei der Bereitstellung des Microsoft SSO Google Apps StyleBooks in Ihrem Unternehmensnetzwerk.
So stellen Sie das SSO Google Apps StyleBook bereit
-
Navigieren Sie in NetScaler® ADM zu Anwendungen > Konfigurationen > StyleBooks. Die Seite „StyleBooks“ zeigt alle StyleBooks an, die Ihnen in NetScaler ADM zur Verfügung stehen. Scrollen Sie nach unten und suchen Sie SSO Google Apps StyleBook. Klicken Sie auf Konfiguration erstellen.
-
Das StyleBook wird als Benutzeroberflächenseite geöffnet, auf der Sie die Werte für alle in diesem StyleBook definierten Parameter eingeben können.
-
Geben Sie Werte für die folgenden Parameter ein:
-
Anwendungsname. Name der SSO Google Apps-Konfiguration, die in Ihrem Netzwerk bereitgestellt werden soll.
-
Virtuelle IP-Adresse für die Authentifizierung. Virtuelle IP-Adresse, die vom virtuellen Server für Authentifizierung, Autorisierung und Überwachung verwendet wird, an den die Google Apps SAML IdP-Richtlinie gebunden ist.
-
SAML-Regelausdruck. Standardmäßig wird der folgende NetScaler Policy (PI)-Ausdruck verwendet: HTTP.REQ.HEADER(“Referrer”).CONTAINS(“google”). Aktualisieren Sie dieses Feld mit einem anderen Ausdruck, falls Ihre Anforderung abweicht. Dieser Richtlinienausdruck gleicht den Datenverkehr ab, auf den diese SAML-SSO-Einstellungen angewendet werden, und stellt sicher, dass der Referrer-Header von einer Google-Domain stammt.
-
-
Der Abschnitt „SAML IdP-Einstellungen“ ermöglicht Ihnen die Konfiguration Ihrer NetScaler-Instanz als SAML-Identitätsanbieter, indem Sie das SAML IdP-Profil und die Richtlinie erstellen, die vom in Schritt 3 erstellten virtuellen Server für Authentifizierung, Autorisierung und Überwachung verwendet werden.
-
SAML-Ausstellername. Geben Sie in diesem Feld den öffentlichen FQDN Ihres virtuellen Authentifizierungsservers ein. Beispiel:
https://<NetScaler Auth VIP>/saml/login -
SAML Service Provider (SP) ID. (optional) Der NetScaler-Identitätsanbieter akzeptiert SAML-Authentifizierungsanfragen von einem Ausstellernamen, der dieser ID entspricht.
-
Assertion Consumer Service URL. Geben Sie die URL des Dienstanbieters ein, an die der NetScaler-Identitätsanbieter die SAML-Assertions nach erfolgreicher Benutzerauthentifizierung senden muss. Die Assertion Consumer Service URL kann auf der Seite des Identitätsanbieterservers oder auf der Seite des Dienstanbieters initiiert werden.
-
Es gibt weitere optionale Felder, die Sie in diesem Abschnitt eingeben können. Sie können beispielsweise die folgenden Optionen festlegen:
-
SAML-Bindungsprofil (Standard ist das „POST“-Profil).
-
Signaturalgorithmus zum Überprüfen/Signieren von SAML-Anfragen/Antworten (Standard ist „RSA-SHA1“).
-
Methode zum Hashen von SAML-Anfragen/Antworten (Standard ist „SHA-1“).
-
Verschlüsselungsalgorithmus (Standard ist AES256) und andere Einstellungen.
Hinweis
Citrix empfiehlt, die Standardeinstellungen beizubehalten, da diese Einstellungen auf Kompatibilität mit Google Apps getestet wurden.
-
-
Sie können auch das Kontrollkästchen „Benutzerattribute“ aktivieren, um die Benutzerdetails einzugeben, wie zum Beispiel:
-
Name des Benutzerattributs
-
NetScaler PI-Ausdruck, der zur Extraktion des Attributwerts ausgewertet wird
-
Benutzerfreundlicher Name des Attributs
-
Wählen Sie das Format des Benutzerattributs aus.
Diese Werte werden in der ausgestellten SAML-Assertion enthalten sein. Sie können bis zu fünf Sätze von Benutzerattributen in einer von NetScaler mithilfe dieses StyleBooks ausgestellten Assertion aufnehmen.
-
-
-
Geben Sie im Abschnitt „LDAP-Einstellungen“ die folgenden Details ein, um Google Apps-Benutzer zu authentifizieren. Damit Domänenbenutzer sich mit ihren Unternehmens-E-Mail-Adressen bei der NetScaler-Instanz anmelden können, müssen Sie Folgendes konfigurieren:
-
LDAP (Active Directory) Basis. Geben Sie den Basisdomänennamen für die Domäne ein, in der sich die Benutzerkonten innerhalb des Active Directory (AD) befinden, für das Sie die Authentifizierung zulassen möchten. Beispiel:
dc=netscaler,dc=com -
LDAP (Active Directory) Bind DN. Fügen Sie ein Domänenkonto hinzu (verwenden Sie eine E-Mail-Adresse zur Vereinfachung der Konfiguration), das über Rechte zum Durchsuchen des AD-Baums verfügt. Beispiel:
cn=Manager,dc=netscaler,dc=com -
LDAP (Active Directory) Bind DN-Passwort. Geben Sie das Passwort des Domänenkontos zur Authentifizierung ein.
-
Einige weitere Felder, die Sie in diesem Abschnitt eingeben müssen, sind die folgenden:
-
IP-Adresse des LDAP-Servers, mit dem NetScaler zur Authentifizierung von Benutzern eine Verbindung herstellt
-
FQDN-Name des LDAP-Servers
Hinweis
Sie müssen mindestens eine der beiden oben genannten Angaben machen – die IP-Adresse des LDAP-Servers oder den FQDN-Namen.
-
LDAP-Server-Port, mit dem NetScaler zur Authentifizierung von Benutzern eine Verbindung herstellt (Standard ist 389).
-
LDAP-Hostname. Dieser wird zur Validierung des LDAP-Zertifikats verwendet, falls die Validierung aktiviert ist (standardmäßig ist sie deaktiviert).
-
LDAP-Anmeldenamenattribut. Das Standardattribut zur Extraktion von Anmeldenamen ist „sAMAccountName“.
-
Weitere optionale sonstige LDAP-Einstellungen
-
-
-
Im Abschnitt „SAML IdP SSL-Zertifikat“ können Sie die Details des SSL-Zertifikats angeben:
-
Zertifikatsname. Geben Sie den Namen des SSL-Zertifikats ein.
-
Zertifikatsdatei. Wählen Sie die SSL-Zertifikatsdatei aus dem Verzeichnis auf Ihrem lokalen System oder in NetScaler ADM aus.
-
CertKey-Format. Wählen Sie das Format der Zertifikats- und Private-Key-Dateien aus der Dropdown-Liste aus. Die unterstützten Formate sind .pem- und .der-Erweiterungen.
-
Zertifikatsschlüsselname. Geben Sie den Namen des privaten Zertifikatsschlüssels ein.
-
Zertifikatsschlüsseldatei. Wählen Sie die Datei mit dem privaten Schlüssel des Zertifikats von Ihrem lokalen System oder aus NetScaler ADM aus.
-
Passwort für privaten Schlüssel. Wenn Ihre private Schlüsseldatei durch eine Passphrase geschützt ist, geben Sie diese in dieses Feld ein.
-
Sie können auch das Kontrollkästchen „Erweiterte Zertifikatseinstellungen“ aktivieren, um Details wie den Benachrichtigungszeitraum für den Zertifikatsablauf einzugeben, den Zertifikatsablaufmonitor zu aktivieren oder zu deaktivieren.
-
-
Optional können Sie das IdP SSL CA-Zertifikat auswählen, wenn das oben eingegebene SAML IdP-Zertifikat ein öffentliches CA-Zertifikat erfordert, das auf NetScaler installiert werden muss. Stellen Sie sicher, dass Sie in den erweiterten Einstellungen „Ist ein CA-Zertifikat“ auswählen.
-
Optional können Sie das SAML SP SSL-Zertifikat auswählen, um das Google SSL-Zertifikat (öffentlicher Schlüssel) anzugeben, das zur Validierung von Authentifizierungsanfragen von Google Apps (SAML SP) verwendet wird.
-
Klicken Sie auf Zielinstanzen und wählen Sie die NetScaler-Instanz(en) aus, auf der/denen diese Google Apps SSO-Konfiguration bereitgestellt werden soll. Klicken Sie auf Erstellen, um die Konfiguration zu erstellen und auf der/den ausgewählten NetScaler-Instanz(en) bereitzustellen.
Hinweis
Sie können auch auf das Aktualisierungssymbol klicken, um kürzlich entdeckte NetScaler-Instanzen in NetScaler ADM zur Liste der verfügbaren Instanzen in diesem Fenster hinzuzufügen.
Außerdem,
Tipp
Citrix empfiehlt, dass Sie vor dem Ausführen der eigentlichen Konfiguration Probelauf auswählen, um die Konfigurationsobjekte, die vom StyleBook auf der/den Ziel-NetScaler-Instanz(en) erstellt werden, visuell zu bestätigen.