SSO Office 365 StyleBook
Microsoft™ Office 365 ist eine Suite von Cloud-basierten Produktivitäts- und Kollaborationsanwendungen, die von Microsoft auf Abonnementbasis bereitgestellt werden. Es umfasst die beliebten serverbasierten Anwendungen von Microsoft wie Exchange, SharePoint, Office und Skype for Business. Single Sign-On (SSO) ermöglicht Benutzern den Zugriff auf alle Cloud-Unternehmensanwendungen:
- Einschließlich Administratoren, die sich bei der Verwaltungskonsole anmelden
- Einmalige Anmeldung für alle Microsoft Office 365-Dienste mit ihren Unternehmensanmeldeinformationen.
Mit dem SSO Office 365 StyleBook können Sie SSO für Microsoft Office 365 über NetScaler-Instanzen aktivieren. Sie können jetzt die SAML-Authentifizierung mit NetScaler als SAML-Identitätsanbieter (IdP) und Microsoft Office 365 als SAML-Dienstanbieter konfigurieren.
Das Aktivieren von SSO für Microsoft Office 365 in einer NetScaler-Instanz mit diesem StyleBook umfasst die folgenden Schritte:
- Konfigurieren des virtuellen Authentifizierungsservers
- Konfiguration einer SAML-IDP-Richtlinie und eines Profils
- Binden der Richtlinie und des Profils an den virtuellen Authentifizierungsserver
- Konfigurieren eines LDAP-Authentifizierungsservers und einer Richtlinie für die Instanz
- Binden des LDAP-Authentifizierungsservers und der Richtlinie an Ihren virtuellen Authentifizierungsserver, der auf der Instanz konfiguriert ist.
In der Tabelle sind die erforderlichen Mindestsoftwareversionen aufgeführt, damit diese Integration erfolgreich funktioniert. Der Integrationsprozess sollte auch mit höheren Versionen derselben funktionieren. |Product|Erforderliche Mindestversion| |———|——————| |NetScaler|11.0, Advanced/Premium-Lizenz|
In den folgenden Anweisungen wird davon ausgegangen, dass Sie bereits die entsprechenden externen und internen DNS-Einträge erstellt haben. Diese Einträge sind wichtig, um Authentifizierungsanforderungen an eine von NetScaler überwachte IP-Adresse weiterzuleiten.
Die folgenden Anweisungen helfen Ihnen bei der Implementierung des SSO Office 365 StyleBook in Ihrem Unternehmensnetzwerk.
So stellen Sie SSO Microsoft Office 365 StyleBook bereit
- Navigieren Sie in NetScaler Application Delivery Management (ADM) zuAnwendungen> StyleBooks. Auf der StyleBooks-Seite werden alle StyleBooks angezeigt, die für Ihre Verwendung in NetScaler ADM verfügbar sind. Scrollen Sie nach unten und suchen Sie SSO Office 365 StyleBook. Klicken Sie auf Konfiguration erstellen.
- Das StyleBook öffnet sich als Benutzeroberflächenseite, auf der Sie die Werte für alle in diesem StyleBook definierten Parameter eingeben können.
-
Geben Sie Werte für die folgenden Parameter ein:
-
Name der Anwendung. Name der SSO Microsoft Office 365-Konfiguration, die in Ihrem Netzwerk bereitgestellt werden soll.
-
Authentifizierung Virtuelle IP-Adresse. Virtuelle IP-Adresse, die von dem virtuellen AAA-Server verwendet wird, an den die Microsoft Office 365-SAML-IdP-Richtlinie gebunden ist.
-
-
Geben Sie im Abschnitt**SSL-Zertifikatseinstellungen**die Namen des SSL-Zertifikats und den Zertifikatsschlüssel ein.
Hinweis
Dies ist nicht das Office 365-Dienstanbieterzertifikat. Dieses SSL-Zertifikat ist an den virtuellen Authentifizierungsserver der NetScaler-Instanz gebunden.
-
Wählen Sie die entsprechenden Dateien aus Ihrem lokalen Speicherordner aus. Sie können auch das Kennwort für den privaten Schlüssel eingeben, um verschlüsselte private Schlüssel im PEM-Format zu laden.
-
Sie können auch das Kontrollkästchen Erweiterte Zertifikateinstellungen aktivieren. Hier können Sie Details wie den Ablauf der Benachrichtigung des Zertifikats eingeben, den Ablaufmonitor des Zertifikats aktivieren oder deaktivieren.
-
Optional können Sie das Kontrollkästchen SSL-CA-Zertifikat für die virtuelle IP-Authentifizierung aktivieren, wenn für das SSL-Zertifikat ein öffentliches Zertifizierungsstellenzertifikat auf NetScaler installiert sein muss. Stellen Sie sicher, dass Sie im obigen Abschnitt “ Erweiterte Zertifikatseinstellungen” die Option “Ist ein CA-Zertifikat “ auswählen.
-
Geben Sie im Abschnitt LDAP-Einstellungen für SSO Office 365 die folgenden Details ein, um Office 365-Benutzer zu authentifizieren. Um Domänenbenutzern die Anmeldung bei der NetScaler-Instanz mithilfe ihrer Unternehmens-E-Mail-Adressen zu ermöglichen, konfigurieren Sie Folgendes:
-
LDAP-Basis (Active Directory). Geben Sie den Basisdomänennamen für die Domäne ein, in der sich die Benutzerkonten im Active Directory (AD) befinden, um die Authentifizierung zu ermöglichen. Zum Beispiel dc=netscaler, dc=com
-
LDAP (Active Directory) Bindet DN. Fügen Sie ein Domänenkonto hinzu (unter Verwendung einer E-Mail-Adresse zur Vereinfachung der Konfiguration), das über die Rechte zum Durchsuchen der AD-Struktur verfügt. Zum Beispiel cn=Manager, dc=netscaler, dc=com
-
LDAP (Active Directory) Bindet DN Kennwort. Geben Sie das Kennwort des Domänenkontos für die Authentifizierung ein.
-
Einige andere Felder, die Sie in diesem Abschnitt eingeben müssen, sind wie folgt:
-
LDAP-Server-IP-Adresse, mit der NetScaler eine Verbindung zur Authentifizierung von Benutzern herstellt.
-
Der FQDN-Name des LDAP-Servers.
Hinweis:
Sie müssen mindestens eine der beiden oben genannten angeben - die IP-Adresse des LDAP-Servers oder den FQDN-Namen.
-
LDAP-Serverport, mit dem NetScaler eine Verbindung zur Authentifizierung von Benutzern herstellt (Standard ist 389). LDAPS verwendet 636.
-
LDAP-Hostname. Der Hostname wird verwendet, um das LDAP-Zertifikat zu validieren, wenn die Validierung aktiviert ist (standardmäßig ist sie deaktiviert).
-
LDAP-Anmeldenamen-Attribut. Das Standardattribut, das zum Extrahieren von Anmeldenamen verwendet wird, ist samAccountname.
-
Andere optionale verschiedene LDAP-Einstellungen.
-
-
-
Im Abschnitt SAML-IdP-Zertifikat können Sie die Details der SSL-Zertifikate angeben, die für die SAML-Assertion verwendet werden.
-
Name des Zertifikats. Geben Sie den Namen des SSL-Zertifikats ein.
-
Zertifikatdatei. Wählen Sie die SSL-Zertifikatsdatei aus dem Verzeichnis auf Ihrem lokalen System.
-
CertKey-Format. Wählen Sie das Format des Zertifikats und der Dateien mit privatem Schlüssel aus dem Dropdownlistenfeld aus. Die unterstützten Formate sind die Dateierweiterungen.pem und .der.
-
Name des Zertifikatsschlüssels. Geben Sie den Namen des privaten Zertifikatsschlüssels ein.
-
Zertifikatsschlüsseldatei. Wählen Sie die Datei mit dem privaten Schlüssel des Zertifikats aus Ihrem lokalen System aus.
-
Kennwort für privaten Schlüssel. Geben Sie die Passphrase ein, die Ihre private Schlüsseldatei schützt.
Sie können auch das Kontrollkästchen Erweiterte Zertifikateinstellungen aktivieren. Hier können Sie Details wie den Ablauf der Benachrichtigung des Zertifikats eingeben, den Ablaufmonitor des Zertifikats aktivieren oder deaktivieren.
-
-
Optional können Sie SAML-IdP-Zertifizierungsstellenzertifikat auswählen, wenn für das oben eingegebene SAML-IdP-Zertifikat ein öffentliches Zertifizierungsstellenzertifikat auf NetScaler installiert werden muss. Stellen Sie sicher, dass Sie im obigen Abschnitt „ ErweiterteZertifikatseinstellungen“ die Option Ist ein CA-Zertifikat** auswählen.
-
Geben Sie im Abschnitt SAML-SP-Zertifikat die folgenden Details für das öffentliche Office 365-SSL-Zertifikat ein. Dieses Zertifikat wird von der NetScaler-Instanz verwendet, um eingehende SAML-Authentifizierungsanforderungen zu überprüfen.
-
Name des Zertifikats. Geben Sie den Namen des SSL-Zertifikats ein.
-
Zertifikatdatei. Wählen Sie die SSL-Zertifikatsdatei aus dem Verzeichnis auf Ihrem lokalen System.
-
CertKey-Format. Wählen Sie das Format des Zertifikats und der Dateien mit privatem Schlüssel aus dem Dropdownlistenfeld aus. Die unterstützten Formate sind die Dateierweiterungen.pem und .der.
-
Sie können auch das Kontrollkästchen Erweiterte Zertifikateinstellungen aktivieren. Hier können Sie Details wie den Ablauf der Benachrichtigung des Zertifikats eingeben, den Ablaufmonitor des Zertifikats aktivieren oder deaktivieren.
-
-
Im Abschnitt SAML Idp Settings können Sie Ihre NetScaler Instanz als SAML-Identitätsanbieter konfigurieren, indem Sie das SAML-IDP-Profil und die Richtlinie erstellen, die vom in Schritt 3 erstellten virtuellen AAA-Server verwendet werden.
-
Name des SAML-Ausstellers. Geben Sie in diesem Feld den öffentlichen FQDN Ihres virtuellen Authentifizierungsservers ein. Beispiel:
https://<NetScaler Auth VIP>/saml/login -
Namensbezeichner-Ausdruck. Geben Sie den NetScaler-Ausdruck ein, der ausgewertet wird, um den in der SAML-Assertion gesendeten SAML-NameIdentifier zu extrahieren. Beispiel:
"HTTP.REQ.USER.ATTRIBUTE(2).B64ENCODE" -
Signaturalgorithmus: Wählen Sie den Algorithmus zum Überprüfen/Signieren von SAML-Anfragen/Antworten aus (Standard ist „RSA-SHA256“).
-
Digest-Methode. Wählen Sie die Methode aus, um den Hash für SAML-Anforderungen/Antworten zu verdauen (Standard ist „SHA256“).
-
Name des Publikums. Geben Sie den Namen oder die URL der Entität ein, die den Dienstanbieter darstellt (Microsoft Office 365).
-
ID des SAML-Dienstanbieters (SP). (optional) Der NetScaler Identity Provider akzeptiert SAML-Authentifizierungsanforderungen von einem Ausstellernamen, der mit dieser ID übereinstimmt.
-
Assertion-Verbraucherdienst-URL. Geben Sie die URL des Dienstanbieters ein, an die der NetScaler Identity Provider die SAML-Assertionen nach erfolgreicher Benutzerauthentifizierung senden muss. Die Assertion-Consumer-Service-URL kann an der Server-Site des Identitätsanbieters oder der Service-Provider-Site initiiert werden
-
Es gibt weitere optionale Felder, die Sie in diesem Abschnitt eingeben können. Sie können beispielsweise die folgenden Optionen festlegen:
-
SAML-Attributname. Name des Benutzerattributs, das in SAML Assertion gesendet wurde.
-
SAML-Attribut-freundlicher Name. Anzeigename des in SAML Assertion gesendeten Benutzerattributs.
-
PI-Ausdruck für SAML-Attribut. Standardmäßig wird der folgende NetScaler Policy (PI) -Ausdruck verwendet: HTTP.REQ.USER.ATTRIBUTE (1). Dieses Feld gibt das erste vom LDAP-Server (E-Mail) gesendete Benutzerattribut als SAML-Authentifizierungsattribut an.
-
Wählen Sie das Format des Benutzerattributs aus.
Diese Werte sind in der ausgegebenen SAML-Assertion enthalten.
Tipp
Citrix empfiehlt, die Standardeinstellungen beizubehalten, da diese Einstellungen für die Verwendung mit Microsoft Office 365-Apps getestet wurden.
-
-
-
Klicken Sie auf Zielinstanzen, und wählen Sie die NetScaler-Instanz (en) aus, für die diese Microsoft Office 365-SSO-Konfiguration bereitgestellt werden soll. Klicken Sie auf Erstellen, um die Konfiguration zu erstellen und die Konfiguration auf den ausgewählten NetScaler-Instanzen bereitzustellen.
Tipp
Citrix empfiehlt, dass Sie vor der Ausführung der eigentlichen Konfiguration Dry Run auswählen, um die Konfigurationsobjekte anzuzeigen, die vom StyleBook auf den NetScaler-Zielinstanzen erstellt wurden.