Einrichtung von Active Directory Federation Services: Unterschied zwischen den Versionen

[unmarkierte Version][unmarkierte Version]
(Die Seite wurde neu angelegt: „MailStore Server kann so konfiguriert werden, dass die Benutzer gegen Active Directory Federation Services (AD FS) authentifiert werden, wenn entweder Active…“)
 
Zeile 71: Zeile 71:
  
 
=== Optional: sAMAccountName als Benutzername ===
 
=== Optional: sAMAccountName als Benutzername ===
−
The OIDC token issued by AD FS does not include the sAMAccountName property of the users by default. If you have configured MailStore Server to use the sAMAccountName as user user name, then you have to configure the AD FS application group to include that property in the token, otherwise MailStore Server is unable to associate the token with a user and the users are unable to login.
+
Die von den AD FS ausgestellten Token enthalten standardmäßig nicht die sAMAccountName-Eigenschaft der Benutzer. Wenn Sie MailStore Server so konfiguriert haben, dass der sAMAccountName der Benutzername ist, dann muss die AD FS Anwendungsgruppe so konfiguriert werden, dass diese Eigenschaft im Token enthalten ist, andernfalls Kann MailStore Server keine Zuordnung von Token zu Benutzer herstellen und die Benutzer können sich nicht anmelden.
  
−
If you have configured MailStore Server to use the user principal name (UPN) or the local part of the user principal name, then these configuration steps are not required.
+
Wenn Sie MailStore Server so konfiguriert haben, dass der User Principal Name (UPN) oder der lokale Teil des User Principal Names verwendet wird, dann sind diese Schritte nicht notwendig.
  
−
* Right click on the newly created ''Application Group'' and select ''Properties''.
+
* Klicken Sie mit der rechten Maustaste auf die neu erstellte ''Anwendungsgruppe'' und öffnen sie die ''Eigenschaften''.
 
[[File:Adfs_setup_09.png|center|550px]]
 
[[File:Adfs_setup_09.png|center|550px]]
−
* Select the ''Web API'' application and click ''Edit...''.
+
* Wählen Sie die ''Web-API''-Anwendung aus und klicken Sie auf ''Bearbeiten...''.
−
* Open the tab ''Issuance Transform Rule''.
+
* Öffnen Sie den Reiter ''Ausstellungstransformationsregeln''.
 
[[File:Adfs_setup_10.png|center|550px]]
 
[[File:Adfs_setup_10.png|center|550px]]
−
* Click ''Add Rule...''.
+
* Klicken Sie auf ''Regel hinzufügen...''.
−
* Select ''Send LDAP Attribute as Claims'' from the ''Claim rule template'' drop down menu.
+
* Wählen Sie ''LDAP-Attribute als Ansprüche senden'' aus dem ''Anspruchsregelvorlage''-Menü aus.
−
* Click ''Next'' to continue.
+
* Klicken Sie auf ''Weiter''.
 
[[File:Adfs_setup_11.png|center|550px]]
 
[[File:Adfs_setup_11.png|center|550px]]
−
* Enter a ''Claim rule name''.
+
* Vergeben Sie einen ''Anspruchsregelnamen''.
−
* Select ''Active Directory'' from the ''Attribute store'' drop down menu.
+
* Wählen Sie ''Active Directory'' aus dem ''Attributspeicher''-Menü aus.
−
* Select ''SAM-Account-Name'' in the ''LDAP Atrribute'' column of the mapping table.
+
* Wählen Sie ''SAM-Account-Name'' aus der ''LDAP-Attribute''-Spalte der Zuordnungstabelle aus.
−
* Enter ''sAMAccountName'' in the ''Outgoing Claim Type'' column.
+
* Geben Sie ''sAMAccountName'' an der ''Ausgehender Anspruchstype''-Spalte ein.
−
* Click ''Finish''.
+
* Klicken Sie auf ''Fertig stellen''.
 +
* Schließen Sie den Dialog mit ''OK''.
 
[[File:Adfs_setup_12.png|center|550px]]
 
[[File:Adfs_setup_12.png|center|550px]]
−
* Have the ''Client Identifier'' and the ''Redirect URI'' available and return to MailStore Server to proceed with the configuration of the [[Active Directory Integration|Active Directory]] or [[Generic LDAP Integration|LDAP Generic]] directory service connectors.
+
* Notieren Sie sich die ''Client-ID'' und die ''Umleitungs-URI'' und kehren Sie zu MailStore Server zurück um mit der Konfiguration des [[Active Directory-Integration|Active Directory]]- oder [[Generische LDAP-Integration|LDAP Generic]]-Verzeichnisdienstes fortzufahren.
 
<noinclude>
 
<noinclude>
 
[[de:Einrichtung_von_Active_Directory_Federation_Services]]
 
[[de:Einrichtung_von_Active_Directory_Federation_Services]]
 
[[en:Setup_Active_Directory_Federation_Services]]
 
[[en:Setup_Active_Directory_Federation_Services]]
 
</noinclude>
 
</noinclude>

Version vom 22. April 2021, 16:26 Uhr

MailStore Server kann so konfiguriert werden, dass die Benutzer gegen Active Directory Federation Services (AD FS) authentifiert werden, wenn entweder Active Directory oder LDAP Generic als Verzeichnisdienst verwendet wird. Dieses Dokument geht davon aus, dass Sie die Active Directory Federation Services bereits konfiguriert haben und beschreibt nur noch den Teil, der für MailStore Server spezifisch ist.

Dieses Dokument verwendet die Begriffe eines Windows Servers mit deutschen Spracheinstellungen. Wenn Sie die englischen Begriffe bevorzugen, öffnen Sie dieses Dokument in der englischen Version.

Damit MailStore Server Open ID Connect Token von den AD FS anfordern kann, müssen sie in den AD FS eine Anwendungsgruppe erstellen. Diese Anwendungsgruppe muss dann in MailStore Server angegeben werden, um eine Vertrauensstellung zwischen den beiden Systemen herzustellen.

  • Melden Sie sich an Ihrem AD FS Server an.
  • Öffnen Sie die AD FS Verwaltung.
  • Navigieren Sie zu den Anwendungsgruppen.
  • Klicken Sie mit der rechten Maustaste auf Anwendungsgruppen und dann auf Anwendungsgruppe hinzufügen... oder klicken Sie auf Anwendungsgruppe hinzufügen... im Aktionen-Panel.
  • Vergeben Sie einen Name, z.B. MailStore, und wählen Sie die Vorlage Systemeigene Anwendung mit Zugriff auf eine Web-API aus.
Adfs setup 01.png
  • Klicken Sie auf Weiter.
  • DieClient-ID dieser Anwendung wird angezeigt. Kopieren Sie diesen Wert, da er später für die Konfiguration in MailStore Server benötigt wird.
  • Tragen Sie in das Feld Umleitungs-URI eine URI im Format (ohne die Klammern)
    https://<fqdn>[:<port>]/oidc/signin
    aus folgenden Bestandteilen ein:
    https://
    Die Angabe des Protokolls muss verpflichtend https:// lauten. Damit bei der Benutzeranmeldung später keine Zertifikatswarnungen erscheinen, muss dem von MailStore Server verwendeten Zertifikat von den Webbrowsern auf den Client-Geräten vertraut werden.
    FQDN
    Der vollständige DNS-Name, engl. Fully Qualified Domain Name (FQDN), Ihres MailStore Servers, bestehend aus dem Rechnernamen und der DNS-Domäne, z.B. mailstore.example.com. Dieser muss von allen Clients, von denen aus sich Benutzer an MailStore Server anmelden sollen, auflösbar sein.
    Port
    Der TCP-Port des MailStore Web Access (standardmäßig 8462). Dieser muss mit dem in der MailStore Server Dienst-Konfiguration in der Sektion Basiskonfiguration > Netzwerkeinstellungen > Dienste > MailStore Web Access / Outlook Add-in (HTTPS) konfigurierten Port übereinstimmen. Der TCP-Port muss nur angegeben werden, wenn dieser vom Standardport des HTTPS-Protokolls (443) abweicht.
    /oidc/signin
    An diesem Endpunkt erwartet MailStore Server die Authentifizierungsantworten von den AD FS. Dieser Pfad muss exakt so am Ende des Umleitungs-URIs stehen.
Beispiele für gültige Umleitungs-URIs
Produkt Rechnername DNS-Domäne TCP-Port Resultierender Umleitungs-URI
MailStore Server mailstore example.com 8462 https://mailstore.example.com:8462/oidc/signin

Umleitungs-URI mit vollständigem DNS-Namen und MailStore Web Access Standardport
MailStore Server mailstore example.com 443 https://mailstore.example.com/oidc/signin

Wird der HTTPS-Standardport 443 für den MailStore Web Access oder als Quellport einer Firewall-Port-Weiterleitungsregel verwendet, kann die Portangabe im Umleitungs-URI entfallen.
MailStore SPE archive example.com 443 https://archive.example.com/<instanceid>/oidc/signin

Die instanceid der Instanz ist Teil der Umleitungs-URI.
Adfs setup 02.png
  • Kopieren Sie die Umleitungs-URI in die Zwischenablage.
  • Klicken Sie auf Hinzufügen um die Umleitungs-URI in die Liste der erlaubten URIs aufzunehmen.
  • Klicken Sie auf Weiter.
Adfs setup 03.png
  • Fügen Sie die Umleitungs-URI aus der Zwischenablage in das Bezeichner-Feld der Web-API-Konfiguration ein.
  • Klicken Sie auf Hinzufügen.
  • Klicken Sie auf Weiter.
Adfs setup 04.png
  • Wählen Sie eine Zugriffssteuerungsrichtlinie für diese Anwendungsgruppe aus.
  • Klicken Sie auf Weiter.
Adfs setup 05.png
  • Wählen Sie die Bereiche allatclaims, openid und profile aus.
  • Klicken Sie auf Weiter.
Adfs setup 06.png
  • Eine Zusammenfassung der Einstellungen der Anwendungsgruppe wird angezeigt.
  • Klicken Sie auf Weiter um die Anwendungsgruppe zu erstellen.
Adfs setup 08.png
  • Eine Erfolgsmeldung wird angezeigt.
Adfs setup 08b.png
  • Schließen sie den Dialog.

Optional: sAMAccountName als Benutzername

Die von den AD FS ausgestellten Token enthalten standardmäßig nicht die sAMAccountName-Eigenschaft der Benutzer. Wenn Sie MailStore Server so konfiguriert haben, dass der sAMAccountName der Benutzername ist, dann muss die AD FS Anwendungsgruppe so konfiguriert werden, dass diese Eigenschaft im Token enthalten ist, andernfalls Kann MailStore Server keine Zuordnung von Token zu Benutzer herstellen und die Benutzer können sich nicht anmelden.

Wenn Sie MailStore Server so konfiguriert haben, dass der User Principal Name (UPN) oder der lokale Teil des User Principal Names verwendet wird, dann sind diese Schritte nicht notwendig.

  • Klicken Sie mit der rechten Maustaste auf die neu erstellte Anwendungsgruppe und öffnen sie die Eigenschaften.
Adfs setup 09.png
  • Wählen Sie die Web-API-Anwendung aus und klicken Sie auf Bearbeiten....
  • Öffnen Sie den Reiter Ausstellungstransformationsregeln.
Adfs setup 10.png
  • Klicken Sie auf Regel hinzufügen....
  • Wählen Sie LDAP-Attribute als Ansprüche senden aus dem Anspruchsregelvorlage-Menü aus.
  • Klicken Sie auf Weiter.
Adfs setup 11.png
  • Vergeben Sie einen Anspruchsregelnamen.
  • Wählen Sie Active Directory aus dem Attributspeicher-Menü aus.
  • Wählen Sie SAM-Account-Name aus der LDAP-Attribute-Spalte der Zuordnungstabelle aus.
  • Geben Sie sAMAccountName an der Ausgehender Anspruchstype-Spalte ein.
  • Klicken Sie auf Fertig stellen.
  • Schließen Sie den Dialog mit OK.
Adfs setup 12.png
  • Notieren Sie sich die Client-ID und die Umleitungs-URI und kehren Sie zu MailStore Server zurück um mit der Konfiguration des Active Directory- oder LDAP Generic-Verzeichnisdienstes fortzufahren.
Abgerufen von „https://help.mailstore.com/de/server/index.php?title=Einrichtung_von_Active_Directory_Federation_Services&oldid=8559“