-
Klicken Sie neben Server auf Hinzufügen.
-
Geben Sie unter Name einen Namen für das Serverprofil ein.
-
Wählen Sie unter IdP-Zertifikatname ein Zertifikat aus oder klicken Sie auf Installieren. Dies ist das auf dem SAML- oder IdP-Server installierte Zertifikat.
-
Geben Sie unter Umleitungs-URL die URL des Authentifizierungs-Identitätsanbieters (IdP) ein.
Dies ist die URL für die Benutzeranmeldung am SAML-Server. Dies ist der Server, an den NetScaler Gateway die ursprüngliche Anforderung umleitet.
-
Geben Sie unter Single Logout-URL die URL an, damit die Appliance erkennen kann, wann der Client an den IdP zurückgesendet werden soll, um den Abmeldevorgang abzuschließen.
-
Wählen Sie unter SAML-Bindung die Methode aus, die verwendet werden soll, um den Client vom SP zum IdP zu verschieben. Dies muss auf dem IdP identisch sein, damit dieser versteht, wie der Client eine Verbindung herstellt. Wenn die Appliance als SP fungiert, unterstützt sie POST-, REDIRECT- und ARTIFACT-Bindungen.
-
Wählen Sie unter Logout-Bindung die Option REDIRECT aus.
-
Wählen Sie unter IDP-Zertifikatname das IdPCert-Zertifikat (Base64) aus, das unter dem SAML-Signaturzertifikat vorhanden ist.
Sie können auch auf Metadaten importieren klicken und die URL auswählen, unter der die Metadatenkonfiguration gespeichert ist.
-
Geben Sie unter Benutzerfeld den zu extrahierenden Benutzernamen ein.
-
Wählen Sie unter Signaturzertifikatname das SAML-SP-Zertifikat (mit privatem Schlüssel) aus, das die Appliance zum Signieren von Authentifizierungsanfragen an den IdP verwendet. Dasselbe Zertifikat (ohne privaten Schlüssel) muss in den IdP importiert werden, damit der IdP die Signatur der Authentifizierungsanfrage überprüfen kann. Dieses Feld wird von den meisten IdPs nicht benötigt.
Dies ist das Zertifikat, das an die virtuelle IP-Adresse des NetScaler Gateway gebunden ist. Der SAML-Ausstellername ist der vollqualifizierte Domänenname (FQDN), bei dem sich Benutzer anmelden, z. B. lb.example.com oder ng.example.com.
-
Geben Sie unter Ausstellername den FQDN der virtuellen IP-Adresse des Lastausgleichs oder des NetScaler Gateway ein, an die die Appliance die anfängliche Authentifizierungsanfrage (GET) sendet.
-
Geben Sie unter Nicht signierte Assertion ablehnen an, ob die Assertions vom IdP signiert sein müssen. Sie können sicherstellen, dass nur die Assertion signiert sein muss (ON) oder sowohl die Assertion als auch die Antwort vom IdP signiert sein müssen (STRICT).
-
Geben Sie unter Zielgruppe die Zielgruppe ein, für die die vom IdP gesendete Assertion gilt. Dies ist typischerweise ein Entitätsname oder eine URL, die den Dienstanbieter repräsentiert.
-
Wählen Sie unter Signaturalgorithmus die Option RSA-SHA256 aus.
-
Wählen Sie unter Digest-Methode die Option SHA256 aus.
-
Geben Sie unter Standardauthentifizierungsgruppe die Standardgruppe ein, die zusätzlich zu den extrahierten Gruppen ausgewählt wird, wenn die Authentifizierung erfolgreich ist.
-
Geben Sie unter Gruppenname den Namen des Tags in der Assertion ein, der Benutzergruppen enthält.
-
Geben Sie unter Skew-Zeit (Minuten) die zulässige Taktverschiebung in Minuten an, die der Dienstanbieter bei einer eingehenden Assertion zulässt.
-
Klicken Sie auf Erstellen und dann auf Schließen.
-
Wählen Sie im Dialogfeld Authentifizierungsrichtlinie erstellen neben Benannte Ausdrücke die Option Allgemein aus, wählen Sie Wahrer Wert aus, klicken Sie auf Ausdruck hinzufügen, klicken Sie auf Erstellen und dann auf Schließen.
