Single Sign-On in ZIVVER met Microsoft ADFS

Transcriptie

1 Single Sign-On in ZIVVER met Microsoft ADFS Versie: 2.4 Datum: 16 april

2 Inhoudsopgave Inhoudsopgave Inleiding Wat heb je nodig? SSO instellen in ZIVVER SSO instellen in ADFS Claim rules instellen Authentication methods Inloggen in de webapp met SSO Inloggen in Outlook met SSO

3 1. Inleiding ZIVVER ondersteunt Single Sign-On (SSO) via Microsoft ADFS, zodat gebruikers met de inloggegevens van hun werkplek in ZIVVER kunnen inloggen. Deze handleiding legt uit hoe je als beheerder SSO activeert. SSO werkt op basis van Security Assertion Markup Language (SAML). Hierbij is ADFS de Identity Provider (IdP) en ZIVVER de Service Provider (SP). 2. Wat heb je nodig? Om SSO in ZIVVER te kunnen activeren, heb je de volgende zaken nodig: 1. Je bent beheerder. 2. Je hebt toegang tot de ADFS management console op de ADFS server. 3. Je hebt de inhoud van het FederationMetaData.xml bestand gekopieerd. Dit vind je als volgt: 1. Open je browser 2. Vul de URL van je ADFS-server in de adresbalk in, gevolgd door: /FederationMetadata/ /FederationMetadata.xml (b.v Sla dit bestand op je computer op 4. Open het bestand in een teksteditor (b.v. Kladblok) 5. Kopieer de volledige inhoud van het bestand naar het klembord 3

4 3. SSO instellen in ZIVVER De eerste stap is om SSO in ZIVVER in te stellen. Dit doe je in de webapp van ZIVVER: Log hier in als beheerder. 1. Klik linksonder op de knop. Je komt dan in de organisatie-instellingen. 2. Ga naar de pagina Single sign-on. 3. Klik op het schuifje bij Zet Single Sign-On met SAML aan. 4. Plak de inhoud van het FederationMetaData-bestand in het tekstvak op de pagina. 5. Klik op Download Metadata om een bestand met informatie over de SAMLverbinding vanuit ZIVVER te downloaden. Dit heb je nodig bij de volgende stap. Je hebt nu in ZIVVER alles goed ingesteld om met Single Sign-On aan de slag te gaan. Nu moet je alleen nog de instellingen in de ADFS Management Console aanpassen. Let op: als je Single Sign-On inschakelt, zal ZIVVER vanaf dat moment altijd proberen via SAML in te loggen. Het is daarom verstandig om SSO tijdelijk weer uit te schakelen, tot je aan de ADFS-kant alles goed ingesteld hebt. Gebruikers die al ingelogd zijn, blijven wel gewoon ingelogd als je SSO inschakelt. 4

5 4. SSO instellen in ADFS Je moet nu in de ADFS Management Console de toegang tot ZIVVER goed instellen. Dit doe je als volgt: 1. Klik aan de rechterkant op Add Relying Party Trust 2. Als je een keuze hebt tussen Claims aware en Non-claims aware, kies dan voor Claims aware. Klik vervolgens op Start. 3. Nu moet je het metadata-bestand dat je in de vorige paragraaf hebt gedownload toevoegen. Kies voor de optie Import data about the replying party from a file. Zoek dan het gedownloade bestand op je computer op. Klik dan op Next. 5

6 4. Voer een naam voor de integratie, bijvoorbeeld ZIVVER. Klik dan weer op Next. 5. Kies welke access control policy je wilt instellen. Hiermee kun je bijvoorbeeld instellen dat alleen gebruikers van een specifieke gebruikersgroep toegang hebben tot ZIVVER. Klik daarna weer op Next. 6

7 6. In het volgende scherm zie je een kleine samenvatting van de ingestelde ADFSkoppeling. Hier kun je controleren of alles goed is ingesteld. Als alles goed staat, klik dan op Next. 7. Laat het vinkje bij Open the Edit Claim Rules dialog staan en klik op Close. 7

8 4. Claim rules instellen ZIVVER moet informatie over de gebruiker uit de ADFS ophalen. Hiervoor moet je in de ADFS Management Console de zogenaamde claim rules instellen. Deze regels vertalen attributen uit de ADFS naar waarden die ZIVVER kan lezen en gebruiken. Als je net een ADFS-koppeling hebt aangemaakt, kom je vanzelf al in onderstaand scherm. Zie je dit niet? Ga dan naar: Relying Party Trusts > app.zivver.com > Edit Claim Issuance Policy. 1. Klik in dit scherm op Add Rule. 2. Zorg dat Send LDAP Attributes as Claims is geselecteerd en klik op Next. 8

9 3. Vul bij Claim rule name een naam in, bijvoorbeeld AD Attributen 4. Kies onder Attribute Store voor Active Directory 5. Vul in het schema daaronder de volgende attributen in: LDAP Attribute Unieke gebruikerssleutel*: - objectguid Addresses Outgoing Claim Type Address Let op: ZIVVER gebruikt ZivverAccountKey in het encryptieproces. Het is daarom belangrijk dat het nummer lang, uniek en willekeurig is. Bij voorkeur is dit nummer zelf gegenereerd en wordt het niet gebruikt in andere koppelingen/systemen. Als het niet mogelijk is om dit nummer zelf te genereren, dan is objectguid een alternatief. Dit nummer wordt echter vaak gebruikt in andere koppelingen en vormt daarmee een veiligheidsrisico. Het gebruik van ObjectSID of andere AD-attributen raden we sterk af, omdat dit makkelijk te raden waarden zijn. 9

10 6. Klik op Finish om de claim rules op te slaan. 7. Voeg een tweede claim rule toe met de knop Add Rule. 8. Kies voor de template Transform an Incoming Claim en klik op Next. 10

11 9. Vul bij Incoming claim type Address in, zet Outgoing claim type op Name ID en Outgoing name ID format op . Dit zorgt ervoor dat het e- mailadres van de gebruiker als primaire waarde doorgegeven wordt. 10. Klik op Finish. Je hebt nu de koppeling tussen ZIVVER en ADFS succesvol gerealiseerd! 5. Authentication methods Een ZIVVER-account is standaard beveiligd met een extra inlogcode (MFA). Ook bij het inloggen via SSO is een MFA vereist. ADFS kan de Authentication Method doorgeven aan 11

12 ZIVVER, om daarmee de vereiste MFA af te vangen. In de SAML-standaard heet dit Authentication Context. Bij de volgende Authentication Methods vraagt ZIVVER bij het inloggen niet om een MFA. urn:oasis:names:tc:saml:2.0:ac:classes:kerberos urn:federation:authentication:windows Let op: de bovenstaande Authentication Methods zorgen ervoor dat er nooit om een MFA wordt gevraagd bij het inloggen in ZIVVER. Dit is een mogelijk veiligheidsrisico wanneer toegang tot ZIVVER-accounts op geen enkele andere manier met MFA zijn beveiligd. Wees vooraf voorzichtig met het toepassen van deze Authentication Methods en denk na over de mogelijke consequenties! Bij de volgende Authentication Methods vraagt ZIVVER bij het inloggen wel om een MFA. urn:oasis:names:tc:saml:2.0:ac:classes:passwordprotectedtransport urn:oasis:names:tc:saml:2.0:ac:classes:password 6. Inloggen in de webapp met SSO In de webapp log je op de volgende manier in met SSO: 1. Ga naar 2. Vul je adres in. 3. Je wordt direct omgeleid naar het inlogscherm van je organisatie. 4. Log in met de werkplekinloggegevens van je organisatie. 5. Als je nog nooit eerder in ZIVVER bent ingelogd, wordt er een account voor je aangemaakt. Je krijgt misschien de vraag om bepaalde informatie nog aan te vullen, als die niet uit ADFS gehaald kan worden. 6. Je komt nu in je online veilige postvak waar je veilige berichten kunt versturen 7. Inloggen in Outlook met SSO In de ZIVVER Office plug-in in Outlook log je op de volgende manier in met SSO: 1. Ga naar het ZIVVER-menu en klik op Accounts beheren. 2. Klik op de link Voeg een account toe. 3. Selecteer het mailadres waarmee je wilt inloggen. 4. Klik op Ja, ik wil nu inloggen. 5. Je wordt nu omgeleid naar het inlogscherm van je organisatie. 6. Log in met de werkplekinloggegevens van je organisatie. 7. Als je nog nooit eerder in ZIVVER bent ingelogd, wordt er een account voor je aangemaakt. Je krijgt misschien de vraag om bepaalde informatie nog aan te vullen, als die niet uit ADFS gehaald kan worden. 12

13 8. Je bent nu ingelogd in Outlook en kunt veilig mailen met behulp van de ZIVVERwerkbalk. 13