SAML-Authentifizierung konfigurieren

• IdP-Zertifikatsname. Dies ist der öffentliche Schlüssel, der dem privaten Schlüssel des IdP entspricht.
• Umleitungs-URL. Dies ist die URL des Authentifizierungs-IdP. Benutzer, die nicht authentifiziert sind, werden zu dieser URL umgeleitet.
• Benutzerfeld. Sie können dieses Feld verwenden, um den Benutzernamen zu extrahieren, wenn der IdP den Benutzernamen in einem anderen Format als dem NameIdentifier-Tag des Subject-Tags sendet. Dies ist eine optionale Einstellung.
• Signaturzertifikatsname. Dies ist der private Schlüssel des NetScaler Gateway-Servers, der zum Signieren der Authentifizierungsanforderung an den IdP verwendet wird. Wenn Sie keinen Zertifikatsnamen konfigurieren, wird die Assertion unsigniert gesendet oder die Authentifizierungsanforderung wird abgelehnt.
• SAML-Ausstellername. Dieser Wert wird verwendet, wenn die Authentifizierungsanforderung gesendet wird. Im Ausstellerfeld muss ein eindeutiger Name stehen, um die Autorität zu kennzeichnen, von der die Assertion gesendet wird. Dies ist ein optionales Feld.
• Standard-Authentifizierungsgruppe. Dies ist die Gruppe auf dem Authentifizierungsserver, von der Benutzer authentifiziert werden.
• Zwei-Faktor. Diese Einstellung aktiviert oder deaktiviert die Zwei-Faktor-Authentifizierung.
• Nicht signierte Assertion ablehnen. Wenn diese Option aktiviert ist, lehnt NetScaler Gateway die Benutzerauthentifizierung ab, wenn der Signaturzertifikatsname nicht konfiguriert ist.

Konfigurieren von Active Directory Federation Services 2.0

• Vertrauende Seite. Sie geben den Speicherort der NetScaler Gateway-Metadatendatei an, z. B. https://vserver.fqdn.com/ns.metadata.xml, wobei vserver.fqdn.com der vollqualifizierte Domänenname (FQDN) des virtuellen NetScaler Gateway-Servers ist. Den FQDN finden Sie auf dem Serverzertifikat, das an den virtuellen Server gebunden ist.
• Autorisierungsregeln. Sie können Benutzern den Zugriff auf die vertrauende Seite erlauben oder verweigern.

• Vertrauende Seite. Sie geben den Speicherort der NetScaler Gateway-Metadatendatei an, z. B. https://vserver.fqdn.com/ns.metadata.xml, wobei vserver.fqdn.com der vollqualifizierte Domänenname (FQDN) des virtuellen NetScaler Gateway-Servers ist. Den FQDN finden Sie auf dem Serverzertifikat, das an den virtuellen Server gebunden ist.
• AD FS-Profil. Wählen Sie das AD FS-Profil aus.
• Zertifikat. NetScaler Gateway unterstützt keine Verschlüsselung. Sie müssen kein Zertifikat auswählen.
• Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren. Dies aktiviert die Unterstützung für SAML 2.0 SSO. Sie geben die URL des virtuellen NetScaler Gateway-Servers an, z. B. https:netScaler.virtualServerName.com/cgi/samlauth.
  Diese URL ist die Assertion Consumer Service URL auf der NetScaler Gateway Appliance. Dies ist ein konstanter Parameter, und NetScaler Gateway erwartet eine SAML-Antwort auf dieser URL.
• Bezeichner der vertrauenden Seite. Geben Sie den Namen NetScaler Gateway ein. Dies ist eine URL, die vertrauende Seiten identifiziert, z. B. https://netscalerGateway.virtualServerName.com/adfs/services/trust.
• Autorisierungsregeln. Sie können Benutzern den Zugriff auf die vertrauende Seite erlauben oder verweigern.
• Anspruchsregeln konfigurieren. Sie können die Werte für LDAP-Attribute mithilfe der Ausstellungs-Transformationsregeln konfigurieren und die Vorlage „LDAP-Attribute als Ansprüche senden“ verwenden. Anschließend konfigurieren Sie LDAP-Einstellungen, die Folgendes umfassen:
  • E-Mail-Adressen
  • sAMAccountName
  • Benutzerprinzipalname (UPN)
  • MemberOf
• Zertifikatsignatur. Sie können die Signaturüberprüfungszertifikate angeben, indem Sie die Eigenschaften einer vertrauenden Seite auswählen und dann das Zertifikat hinzufügen.
  Wenn das Signaturzertifikat kleiner als 2048 Bit ist, wird eine Warnmeldung angezeigt. Sie können die Warnung ignorieren, um fortzufahren. Wenn Sie eine Testbereitstellung konfigurieren, deaktivieren Sie die Zertifikatsperrliste (CRL) auf der vertrauenden Seite. Wenn Sie die Überprüfung nicht deaktivieren, versucht AD FS, die CRL zur Validierung des Zertifikats zu verwenden.
  Sie können die CRL deaktivieren, indem Sie den folgenden Befehl ausführen: Set-ADFWRelayingPartyTrust - SigningCertficateRevocatonCheck None-TargetName NetScaler®

• Legen Sie den sicheren Hash-Algorithmus auf SHA-1 fest.
  Hinweis: NetScaler unterstützt nur SHA-1.
• Löschen Sie das Verschlüsselungszertifikat. Verschlüsselte Zusicherungen werden nicht unterstützt.
• Bearbeiten Sie die Anspruchsregeln, einschließlich der folgenden:
  • Transformationsregel auswählen
  • Anspruchsregel hinzufügen
  • Anspruchsregelvorlage auswählen: LDAP-Attribute als Ansprüche senden
  • Einen Namen vergeben
  • Attributspeicher auswählen: Active Directory
  • LDAP-Attribut auswählen: \<Active Directory-Parameter\>
  • Ausgehende Anspruchsregel als „Name ID“ auswählen
  Hinweis: XML-Tags für Attributnamen werden nicht unterstützt.
• Konfigurieren Sie die Abmelde-URL für Single Sign-off. Die Anspruchsregel ist „Abmelde-URL senden“. Die benutzerdefinierte Regel muss wie folgt lauten:
  => issue(Type = "logoutURL", Value = "https://<adfs.fqdn.com>/adfs/ls/", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified");

Konfigurieren der SAML-Zwei-Faktor-Authentifizierung

• Wenn SAML der primäre Authentifizierungstyp ist, deaktivieren Sie die Authentifizierung in der LDAP-Richtlinie und konfigurieren Sie die Gruppenextraktion. Binden Sie dann die LDAP-Richtlinie als sekundären Authentifizierungstyp.
• Die SAML-Authentifizierung verwendet kein Kennwort und nur den Benutzernamen. Außerdem informiert die SAML-Authentifizierung Benutzer nur, wenn die Authentifizierung erfolgreich ist. Wenn die SAML-Authentifizierung fehlschlägt, werden Benutzer nicht benachrichtigt. Da keine Fehlermeldung gesendet wird, muss SAML entweder die letzte Richtlinie in der Kaskade oder die einzige Richtlinie sein.
• Es wird empfohlen, tatsächliche Benutzernamen anstelle von undurchsichtigen Zeichenfolgen zu konfigurieren.
• SAML kann nicht als sekundärer Authentifizierungstyp gebunden werden.