SSO Google Apps StyleBook
Google Apps ist eine Sammlung von Cloud-Computing-, Produktivitäts- und Kollaborationstools, Software und Produkten, die von Google entwickelt werden. Single Sign-On (SSO) ermöglicht Benutzern den Zugriff auf alle ihre Unternehmens-Cloud-Anwendungen – einschließlich Administratoren, die sich bei der Admin-Konsole anmelden – indem sie sich einmalig für alle Dienste mit ihren Unternehmensanmeldeinformationen anmelden.
Das NetScaler Console SSO Google Apps StyleBook ermöglicht Ihnen die Aktivierung von SSO für Google Apps über NetScaler-Instanzen. Das StyleBook konfiguriert die NetScaler-Instanz als SAML-Identitätsanbieter zur Authentifizierung von Benutzern für den Zugriff auf Google Apps.
Die Aktivierung von SSO für Google Apps in einer NetScaler-Instanz mithilfe dieses StyleBooks führt zu den folgenden Schritten:
- Konfigurieren des virtuellen Authentifizierungsservers
- Konfigurieren einer SAML-IdP-Richtlinie und eines Profils
- Binden der Richtlinie und des Profils an den virtuellen Authentifizierungsserver
- Konfigurieren eines LDAP-Authentifizierungsservers und einer Richtlinie auf der Instanz
- Binden des LDAP-Authentifizierungsservers und der Richtlinie an Ihren auf der Instanz konfigurierten virtuellen Authentifizierungsserver
Konfigurationsdetails:
Die folgende Tabelle listet die mindestens erforderlichen Softwareversionen auf, damit diese Integration erfolgreich funktioniert. Der Integrationsprozess unterstützt auch höhere Versionen davon.
| Produkt | Mindestens erforderliche Version |
|---|---|
| NetScaler | Release 11.0, Advanced/Premium Lizenz |
Die folgenden Anweisungen gehen davon aus, dass Sie bereits die entsprechenden externen oder internen DNS-Einträge erstellt haben, um Authentifizierungsanfragen an eine von NetScaler überwachte IP-Adresse weiterzuleiten.
Bereitstellen von SSO Google Apps StyleBook-Konfigurationen:
Die folgende Aufgabe unterstützt Sie bei der Bereitstellung des SSO Google Apps StyleBooks in Ihrem Unternehmensnetzwerk.
So stellen Sie das SSO Google Apps StyleBook bereit
-
Navigieren Sie in der NetScaler Console zu Applications > Configurations > StyleBooks. Die Seite „StyleBooks“ zeigt alle StyleBooks an, die Ihnen in der NetScaler Console zur Verfügung stehen. Scrollen Sie nach unten und suchen Sie SSO Google Apps StyleBook. Klicken Sie auf Create Configuration.
-
Das StyleBook wird als Benutzeroberflächenseite geöffnet, auf der Sie die Werte für alle in diesem StyleBook definierten Parameter eingeben können.
-
Geben Sie Werte für die folgenden Parameter ein:
-
Anwendungsname. Name der SSO Google Apps-Konfiguration, die in Ihrem Netzwerk bereitgestellt werden soll.
-
Virtuelle IP-Adresse für die Authentifizierung. Virtuelle IP-Adresse, die vom virtuellen Server für Authentifizierung, Autorisierung und Auditierung verwendet wird, an den die Google Apps SAML IdP-Richtlinie gebunden ist.
-
SAML-Regelausdruck. Standardmäßig wird der folgende NetScaler Policy (PI)-Ausdruck verwendet:
HTTP.REQ.HEADER("Referrer").CONTAINS("google"). Aktualisieren Sie dieses Feld mit einem anderen Ausdruck, wenn Ihre Anforderung abweicht. Dieser Richtlinienausdruck gleicht den Datenverkehr ab, auf den diese SAML-SSO-Einstellungen angewendet werden, und stellt sicher, dass der Referrer-Header von einer Google-Domain stammt.
-
-
Der Abschnitt „SAML IdP-Einstellungen“ ermöglicht Ihnen die Konfiguration Ihrer NetScaler-Instanz als SAML-Identitätsanbieter durch Erstellen des SAML IdP-Profils und der Richtlinie, die vom in Schritt 3 erstellten virtuellen Server für Authentifizierung, Autorisierung und Auditierung verwendet wird.
-
SAML-Ausstellername. Geben Sie in diesem Feld den öffentlichen FQDN Ihres virtuellen Authentifizierungsservers ein. Beispiel:
https://<NetScaler Auth VIP>/saml/login -
SAML-Dienstanbieter (SP)-ID. (optional) Der NetScaler-Identitätsanbieter akzeptiert SAML-Authentifizierungsanfragen von einem Ausstellernamen, der dieser ID entspricht.
-
Assertion Consumer Service-URL. Geben Sie die URL des Dienstanbieters ein, an die der NetScaler-Identitätsanbieter die SAML-Assertions nach erfolgreicher Benutzerauthentifizierung senden muss. Die Assertion Consumer Service-URL kann auf der Seite des Identitätsanbieterservers oder auf der Seite des Dienstanbieters initiiert werden.
-
Es gibt weitere optionale Felder, die Sie in diesem Abschnitt eingeben können. Zum Beispiel können Sie die folgenden Optionen festlegen:
-
SAML-Bindungsprofil (Standard ist das „POST“-Profil).
-
Signaturalgorithmus zum Überprüfen/Signieren von SAML-Anfragen/Antworten (Standard ist „RSA-SHA1“).
-
Methode zum Hashen von SAML-Anfragen/Antworten (Standard ist „SHA-1“).
-
Verschlüsselungsalgorithmus (Standard ist AES256) und andere Einstellungen.
Hinweis
Wir empfehlen Ihnen, die Standardeinstellungen beizubehalten, da diese Einstellungen auf Kompatibilität mit Google Apps getestet wurden.
-
-
Sie können auch das Kontrollkästchen „Benutzerattribute“ aktivieren, um die Benutzerdetails einzugeben, wie zum Beispiel:
-
Name des Benutzerattributs
-
NetScaler PI-Ausdruck, der zur Extraktion des Attributwerts ausgewertet wird
-
Benutzerfreundlicher Name des Attributs
-
Wählen Sie das Format des Benutzerattributs aus.
Diese Werte sind in der ausgestellten SAML-Assertion enthalten. Sie können bis zu fünf Sätze von Benutzerattributen in einer von NetScaler mithilfe dieses StyleBooks ausgestellten Assertion aufnehmen.
-
-
-
Geben Sie im Abschnitt „LDAP-Einstellungen“ die folgenden Details ein, um Google Apps-Benutzer zu authentifizieren. Damit Domänenbenutzer sich mit ihren Unternehmens-E-Mail-Adressen bei der NetScaler-Instanz anmelden können, müssen Sie Folgendes konfigurieren:
-
LDAP (Active Directory)-Basis. Geben Sie den Basisdomänennamen für die Domäne ein, in der sich die Benutzerkonten innerhalb des Active Directory (AD) befinden, für die Sie die Authentifizierung zulassen möchten. Zum Beispiel:
dc=netscaler,dc=com -
LDAP (Active Directory) Bind-DN. Fügen Sie ein Domänenkonto hinzu (verwenden Sie eine E-Mail-Adresse zur Vereinfachung der Konfiguration), das Berechtigungen zum Durchsuchen des AD-Baums besitzt. Zum Beispiel:
cn=Manager,dc=netscaler,dc=com -
LDAP (Active Directory) Bind-DN-Passwort. Geben Sie das Passwort des Domänenkontos zur Authentifizierung ein.
-
Einige weitere Felder, die Sie in diesem Abschnitt eingeben müssen, sind die folgenden:
-
IP-Adresse des LDAP-Servers, mit dem sich NetScaler zur Authentifizierung von Benutzern verbindet
-
FQDN-Name des LDAP-Servers
Hinweis
Sie müssen mindestens eine der beiden oben genannten Angaben machen – die IP-Adresse des LDAP-Servers oder den FQDN-Namen.
-
LDAP-Server-Port, mit dem sich NetScaler zur Authentifizierung von Benutzern verbindet (Standard ist 389).
-
LDAP-Hostname. Dieser wird zur Validierung des LDAP-Zertifikats verwendet, wenn die Validierung aktiviert ist (standardmäßig ist sie deaktiviert).
-
LDAP-Anmeldenamenattribut. Das Standardattribut zum Extrahieren von Anmeldenamen ist „sAMAccountName“.
-
Weitere optionale LDAP-Einstellungen
-
-
-
Im Abschnitt „SAML IdP SSL-Zertifikat“ können Sie die Details des SSL-Zertifikats angeben:
-
Zertifikatsname. Geben Sie den Namen des SSL-Zertifikats ein.
-
Zertifikatsdatei. Wählen Sie die SSL-Zertifikatsdatei aus dem Verzeichnis auf Ihrem lokalen System oder in der NetScaler Console aus.
-
CertKey-Format. Wählen Sie das Format der Zertifikats- und Private-Key-Dateien aus der Dropdown-Liste aus. Die unterstützten Formate sind .pem- und .der-Erweiterungen.
-
Zertifikatsschlüsselname. Geben Sie den Namen des privaten Zertifikatsschlüssels ein.
-
Zertifikatsschlüsseldatei. Wählen Sie die Datei mit dem privaten Schlüssel des Zertifikats von Ihrem lokalen System oder aus der NetScaler Console aus.
-
Passwort für privaten Schlüssel. Wenn Ihre private Schlüsseldatei durch eine Passphrase geschützt ist, geben Sie diese in dieses Feld ein.
-
Sie können auch das Kontrollkästchen „Erweiterte Zertifikatseinstellungen“ aktivieren, um Details wie den Benachrichtigungszeitraum für den Zertifikatsablauf einzugeben, den Zertifikatsablaufmonitor zu aktivieren oder zu deaktivieren.
-
-
Optional können Sie das IdP SSL CA-Zertifikat auswählen, wenn das oben eingegebene SAML IdP-Zertifikat ein öffentliches CA-Zertifikat erfordert, das auf NetScaler installiert werden muss. Stellen Sie sicher, dass Sie in den erweiterten Einstellungen „Ist ein CA-Zertifikat“ auswählen.
-
Optional können Sie das SAML SP SSL-Zertifikat auswählen, um das Google SSL-Zertifikat (öffentlicher Schlüssel) anzugeben, das zur Validierung von Authentifizierungsanfragen von Google Apps (SAML SP) verwendet wird.
-
Klicken Sie auf Zielinstanzen und wählen Sie die NetScaler-Instanz(en) aus, auf der diese Google Apps SSO-Konfiguration bereitgestellt werden soll. Klicken Sie auf Erstellen, um die Konfiguration zu erstellen und auf den ausgewählten NetScaler-Instanz(en) bereitzustellen.
Hinweis
Sie können auch auf das Aktualisierungssymbol klicken, um kürzlich entdeckte NetScaler-Instanzen in der NetScaler Console zur verfügbaren Liste der Instanzen in diesem Fenster hinzuzufügen.
Außerdem,
> **Tipp**
>
> Wir empfehlen, dass Sie vor dem Ausführen der eigentlichen Konfiguration **Probelauf** auswählen, um die Konfigurationsobjekte, die vom StyleBook auf den Ziel-NetScaler-Instanz(en) erstellt werden, visuell zu bestätigen.