SSO-Login

Der SSO-Login ist in Campus Events als SAML-Service-Provider über Shibboleth umgesetzt. Die technische Konfiguration besteht aus der aktivierten SSO-Plugin-Konfiguration, den SAML-Systemeinstellungen und der Vertrauensbeziehung zum Identity Provider (IdP).

Das Module muss über die Plugin-Konfiguration durch einen Administrator im System aktiviert werden 'plugins' => [ 'sso' => true, ]

 Alternativ kann die Aktivierung über die CLI erfolgen: php bin/console app:plugins enable sso 

APP_DEFAULT_HOST muss auf die aktuelle Domain zeigen, da daraus die SP-Entity-ID https : //DOMAIN/shibboleth gebildet wird.

IdPs

In IDPs wird pro Identity Provider die Metadaten-URL eingetragen. Enthält die Metadatendatei mehrere Entity Descriptors, können unter EntityId Filter die gewünschten Entity-IDs angegeben werden. Ohne Filter werden alle Entity-IDs aus der Metadatendatei verwendet.

Beispiel für einen einzelnen IdP:

IDPs:  

• metadataUrl: login.example-university.de/idp/metadata    
• filters:      
  • login.example-university.de/idp/shibboleth

Beispiel für eine Metadatendatei mit mehreren Institutionen:

IDPs:  

• metadataUrl: wayf.example.org/metadata.xml    
• filters:      
  • idp.university-a.example/idp      
  • idp.university-b.example/idp

Die URLs und Entity-IDs sind Platzhalter. Sie müssen exakt aus den Metadaten des jeweiligen IdP übernommen werden.

Nach dem Speichern werden die lokalen IdP-Metadaten neu geladen. Bei Problemen zunächst die Metadaten-URL und danach die Hintergrundverarbeitung bzw. den lokalen Cache prüfen.

Bezeichnungen der IdPs

Über IDP Namen Überschreibungen können die im Login angezeigten Namen sprachabhängig angepasst werden. Der Eintrag wird über die Entity-ID des IdP identifiziert.

Beispiel:

IDP Namen Überschreibungen:  

• entityId: login.example-university.de/idp/shibboleth    
• labels:      
  • de: Universität Beispiel      
  • en: Example University

Benutzerattribute

Die Zuordnung besteht aus drei Teilen:

• SAML E-Mail-Attribut-Mapping: Attributnamen, aus denen die E-Mail-Adresse ermittelt wird. Ein Name pro Zeile; die Reihenfolge ist die Priorität.
• SAML Benutzernamen-Attribut-Mapping: Attributnamen, aus denen der Benutzername ermittelt wird. Ein Name pro Zeile; die Reihenfolge ist die Priorität.
• Benutzerattribut Zuordnung: SAML-Attribute zu Benutzerfeldern wie title, firstName und lastName zuordnen. Mehrere Attributnamen pro Feld sind als Fallback möglich.

Vom Service Provider angeforderte Attribute

Unter SAML Attribute wird festgelegt, welche Attribute Campus Events im SP-Metadaten-Dokument anfordert. Änderungen müssen mit der Attributfreigabe des IdP abgestimmt werden. Ein als erforderlich markiertes Attribut muss vom IdP geliefert werden.

Signierte Assertions

Signierte Assertions sollte aktiviert bleiben. Die Einstellung wird in die SP-Metadaten übernommen und teilt dem IdP mit, dass signierte SAML-Assertions erwartet werden.

Zertifikat

Unter SAML Zertifikat werden das SP-Zertifikat und der private Schlüssel verwaltet. Änderungen daran beeinflussen die SAML-Kommunikation direkt und dürfen nur durch die technische Administration vorgenommen werden. Private Schlüssel niemals in Tickets, Screenshots oder unverschlüsselten Dokumenten weitergeben.

Weitere Einstellungen

• Einschränkungen für verfügbare Domains: Kommagetrennte Liste erlaubter E-Mail-Domains. Leer bedeutet keine Einschränkung.
• IDP Cache Zeit: Cache-Dauer der IdP-Konfiguration in Sekunden.