SSO mit Azure und OpenId Connect

Folgen

Du kannst dein Just ganz einfach mit deinem Azure AD verbinden. Dann können sich deine Nutzer wie gewohnt über Azure in deinem Just Social anmelden. Im Folgenden ist beschrieben, was du dazu in Azure und JUST konfigurieren musst.

 

Setup in Azure

  1. Gehe zum Azure Portal  
  2. Wechsle in die Azure Active Directory Verwaltung
  3. Wechsle in den Menüpunkt "App-Registrierungen"
  4. Klicke oben auf "Neue Registrierung"
  5. Gib hier zuerst einen frei wählbaren Namen ein (z.B. Name deiner JUST Plattform)
  6. Wähle den Unterstützten Kontotypen aus (Standard: "Nur Konten in diesem Organisationsverzeichnis"). Umleitungs-URI zunächst leer lassen

    02_register-new-app.png

  7. Nachdem du nun in die Übersicht der neuen App gekommen bist, gehe in den Menupunkt Zertifikate & Geheimnisse.
    Damit JUST sich gegenüber Azure sicher authentifizieren kann, muss hier ein geheimer Clientschlüssel angelegt werden, der dann in deiner JUST Installation hinterlegt wird.

  8. Gehe in den Reiter Geheime Clientschlüssel und erstelle einen neuen geheimen Clientschlüssel.

  9. Wähle einen beliebigen Namen und setze ein Ablaufdatum für das Geheimnis.
    WICHTIG: Mach dir am besten einen Kalendereintrag wann das Geheimnis abläuft, da nach Ablauf des Geheimnisses der SSO Login in JUST nicht mehr funktionieren wird.
    Daher musst du vorher ein neues Geheimnis in JUST registrieren.

  10. Kopiere dir den generierten Wert des Schlüssels direkt in die Zwischenablage oder eine temporäre Datei, da du ihn später nicht mehr sehen kannst!

copy_client_secret.png

Setup in JUST

Gehe nun in deiner JUST Installation in die Admin App und gehe dort zu "Anbindungen" -> "Single-Sign-On" (https://<HOST>/just/#/admin/sso)

 

Desktop Browser SSO

  1. Klicke auf Login hinzufügen
  2. Wähle einen "Login Provider" Namen (z.B. "Azure Browser Login") und füge deinen geheimen Clientschlüssel von Azure in das "Client Secret" Feld ein
  3. Gib nun die ClientId / AppId ein, diese findest du in Azure auf der Übersichtsseite deiner neu angelegten Appcopy_client_id.png

  4. Gib als Scope "openid,email,profile" ein
  5. Setze bei "Login nutzen mit" den Haken für Desktop
  6. Gib nun im Feld "Issuer URI" folgende URI ein: https://login.microsoftonline.com/<AZURE_MANDANTEN_ID>/v2.0/ wobei du die AZURE_MANDANTEN_ID auf der Übersichtsseite deiner neu angelegten App unter "Verzeichnis-ID (Mandant)" findest.

    ada-filled-popup-desktop.png

  7. Nach dem Speichern siehst du, dass der Login Provider angelegt wurde und aktiv ist.
  8. Wenn du die Informationen des Providers ausklappst siehst du nun eine automatisch generierte URI, die du später in Azure als "Umleitungs-URIs" hinzufügen musst.ada-desktop-redirect-uri.png

 

Setup für Mobile SSO

  1. Wiederhole Schritte 1-3 von oben (client-Secret kannst du in diesem Fall weglassen)
  2. Gib als Scope "api://just.social/access,offline_access,openid" an
  3. Setze bei "Login nutzen mit" nur den Haken für Mobile
  4. Gib nun im Feld "Issuer URI" folgende URI ein:
    https://login.microsoftonline.com/<AZURE_MANDANTEN_ID>/v2.0/
    wobei du die AZURE_MANDANTEN_ID auf der Übersichtsseite deiner neu angelegten App unter "Verzeichnis-ID (Mandant)" findest.
  5. Nach dem Speichern siehst du nun eine Reihe von automatisch generierten URIs, die du in Azure als "Umleitungs-URIs" hinzufügen musstada-mobile-redirect-uris.png

 

Umleitungssetup in Azure

  1. Gehe in Azure in deiner neu erstellten App auf den Menüpunkt "Authentifizierung" und wähle "Plattform hinzufügen"

  2. Wähle "Web" aus und kopiere dir die Redirect URI aus JUST für den Eintrag "Desktop Browser" in das Umleitungs-URI Feld. Die übrigen Felder können leer bleiben.
    Klicke unten auf "Konfigurieren"

  3. Wenn du SSO für Mobilgeräte aktivieren möchtest, klicke noch einmal auf "Plattform hinzufügen" und wähle "Mobilgerät- und Desktopanwendungen"

  4. Füge nun die Redirect URIs für iOS Connect, iOS Social, Android Connect und Android Social, die du in der Admin App deiner JUST Installation siehst, hier ein. (siehe Screenshot)

  5. Vergiss nicht, oben in Azure auf "Speichern" zu drücken um die Änderungen zu übernehmen!azure-all-redirect-uris.png


Access Token für Mobile SSO nutzbar machen

Damit JUST den Access Token von Azure verifizieren kann, müssen noch folgende Schritte gemacht werden:

  1. Gehe in Azure in deiner neu erstellten App auf den Menupunkt "Manifest" und ändere im Manifest den Wert von "accessTokenAcceptedVersion" von "null" auf "2"
    azure_edit_manifest.png
  2. Gehe in Azure auf den Menüpunkt "Eine API verfügbar machen" und klicke auf "Bereich hinzufügen"
  3. Gib den Wert "api://just.social" ein
  4. Wähle nun "Bereich hinzufügen" und gib als Bereichsname "access" an
  5. Fülle die anderen Pflichtfelder frei aus (Beispiel siehe Screenshot)
  6. azure_add_custom_scope.png
  7. Gehe in Azure auf den Menüpunkt "Tokenkonfiguration" und wähle "Optionalen Anspruch hinzufügen"
  8. Wähle hier Tokentyp "Zugriff" und Berechtigungen "email" schließe das Menu indem du unten "Hinzufügen" klickst (stimme im erscheinenden Popup der Anbindung an Graph API zu)
  9. Stelle sicher, dass der erstellte Bereich (api://just.social/access) mit dem Scope übereinstimmt, das du in JUST für Mobile SSO gesetzt hast.

 

 

Azure-Login testen und als Standard-Login setzen

Damit Desktop-Nutzer sich von nun an mit Azure authentifizieren, muss der neue Login noch aktiviert werden. Dazu einfach im 3-Punkte-Menue des Eintrags "Als Standard-Login nutzen" auswählen. Wenn du dich nun aus JUST ausloggst, wirst du automatisch an Azure weitergeleitet, um dich erneut einzuloggen.

ada-set-as-default-login.png

 

0 von 0 fanden dies hilfreich

Kommentare

0 Kommentare

Zu diesem Beitrag können keine Kommentare hinterlassen werden.