OAuth 2 konfigurieren

Das OAuth 2-Plugin ermöglicht es Nutzern, sich mit einem bestehenden Konto für einen anderen Dienst wie ein Microsoft-, Google- oder Facebook-Konto anzumelden.

Authentifizierungsmethode aktivieren

Sie müssen OAuth 2 an zwei Stellen auf Totara aktivieren und konfigurieren (sowohl in den Abschnitten Authentifizierung  verwalten als auch Server):

1. Gehen Sie zu Schnellzugriff > Plugins > Authentifizierung > Authentifizierung verwalten.

2. Klicken Sie auf das Augensymbol ( ) neben OAuth 2, um es zu aktivieren (das Auge wird geöffnet, sobald die Authentifizierungsmethode aktiviert ist).

3. Navigieren Sie zu Schnellzugriffsmenü > Server > OAuth 2-Dienste.

4. Konfigurieren Sie den Dienst, den Sie verwenden möchten (siehe Neuen OAuth 2-Dienst erstellen unten).

Darüber hinaus müssen Dienste auf der Website dieses Dienstes eingerichtet und konfiguriert werden (z. B. in der Google-Entwicklerkonsole). 

Erstellen und Verknüpfen von Konten

Sobald die OAuth 2-Authentifizierung aktiviert wurde, können Sie konfigurieren, wie Konten erstellt und verwaltet werden.

1. Gehen Sie zum Schnellzugriffsmenü > Plugins > Authentifizierung > OAuth 2.

2. Konfigurieren Sie die Einstellungen nach Bedarf. 

3. Klicken Sie auf Änderungen speichern, wenn Sie fertig sind. 

Neben Verhaltenseinstellungen können Sie auch festlegen, ob bestimmte Nutzerdatenfelder gesperrt werden sollen. Dies ist nützlich für Websites, auf denen die Benutzerdaten von den Website-Administratoren verwaltet werden, entweder durch manuelles Bearbeiten von Benutzerdatensätzen oder durch Hochladen von Daten über die Funktion „Benutzer hochladen“. Wenn Sie Felder sperren, die von Totara benötigt werden, stellen Sie sicher, dass Sie diese Daten bei der Erstellung von Nutzerkonten angeben, da die Konten sonst nicht verwendet werden können. Erwägen Sie, den Sperrmodus auf Entsperrt zu setzen, wenn er leer ist, um dieses Problem zu vermeiden.

Jedes Nutzerfeld kann entweder auf Entsperrt, Entsperrt, wenn leer, oder Gesperrt gesetzt werden. Denken Sie daran, auf Änderungen speichern zu klicken, wenn Sie fertig sind.

Neuen OAuth 2-Dienst erstellen

Sobald Sie die OAuth 2-Authentifizierungsmethode aktiviert haben, können Sie jetzt Dienste zur Verwendung als Anmeldemethode einrichten. Zunächst müssen Sie zu diesem Dienst gehen und dort eine Authentifizierung einrichten. Dies funktioniert normalerweise, indem Sie zur Entwicklerkonsole dieses Dienstes gehen, eine neue App erstellen und dann die ID und das Geheimnis kopieren. Anweisungen für einige häufig genutzte Dienste finden Sie unten. 

Sobald Sie die Dienste in Totara eingerichtet haben, befolgen Sie diese Schritte:

1. Gehen Sie zu Schnellzugriffsmenü > Server > OAuth 2- Dienste. 

2. Wählen Sie Neuen Dienst erstellen und wählen Sie die entsprechende Option für den Dienst, den Sie einrichten. 

3. Konfigurieren Sie die Einstellungen. 

4. Klicken Sie auf Änderungen speichern.

Anmeldung über Microsoft-Konto

Hinweis: Microsoft empfiehlt Single-Tenant-Konfigurationen für Unternehmen. Single-Tenant-Setups bieten eine bessere Kontrolle über das Identitätsmanagement, die Durchsetzung von Richtlinien und die Datenisolierung und reduzieren das Risiko der Datenexposition über die Mandanten hinweg.

1. Gehen Sie zum Microsoft Azure-Portal.

2. Gehen Sie zu Microsoft Entra ID.

3. Notieren Sie sich im Bereich Übersicht die Mandanten-ID.

4. Klicken Sie unter Verwalten > App-Registrierungen auf Neue Registrierung.

5. Geben Sie Ihrer App einen Namen, z. B. 'Totara'.

6. Wählen Sie entweder nur Konten in diesem Organisationsverzeichnis ([TENANTNAME]nur - Einzelmandant) (empfohlen) oder Konten in einem beliebigen Organisationsverzeichnis (beliebiges Azure AD-Verzeichnis - Multimandant) für unterstützte Kontotypen.

7. Wählen Sie Web für URI umleiten.

8. Fügen Sie die URL Ihrer Website, die mit /admin/oauth2callback.php angehängt ist, zum Abschnitt Redirect URLs hinzu, z. B. https://totaralearn.com/admin/oauth2callback.php.

9. Klicken Sie auf Registrieren.

10. Notieren Sie sich die Anwendungs-ID (Client-ID).

11. Wählen Sie Authentifizierung aus dem Seitenmenü.

12. Stellen Sie sicher, dass die impliziten Gewährungseinstellungen deaktiviert sind.

13. Wählen Sie API-Berechtigungen aus dem Seitenmenü.

14. Stellen Sie sicher, dass die Berechtigung User.Read unter Microsoft Graph (1) verfügbar ist und fügen Sie sie jetzt hinzu, wenn sie nicht verfügbar ist.

15. Wählen Sie Zertifikate und Geheimnisse aus dem Seitenmenü und klicken Sie auf Neues Client-Geheimnis.

16. Fügen Sie eine Beschreibung hinzu, z. B. Ihren App-Namen (Totara) und wählen Sie, wann das Passwort/Geheimnis ablaufen soll.

17. Kopieren Sie den generierten geheimen Zeichenfolgenwert zur Verwendung in Totara.

18. Gehen Sie in Totara zum Schnellzugriffsmenü > Server > OAuth 2 Verbraucherdetails.

19. Klicken Sie auf Neuen Microsoft-Dienst erstellen.

20. Geben Sie das im Microsoft Azure-Portal generierte Passwort als geheim und die Anwendungs-ID als Client-ID ein.

21. Klicken Sie auf Änderungen speichern.

22. Wenn Sie eine einzelne mandantenfähige Entra-Konfiguration (empfohlen) verwenden, gehen Sie wie folgt vor:

    1. Klicken Sie auf Endpunkte für den von Ihnen erstellten Microsoft-Dienst konfigurieren

    2. Bearbeiten Sie den Wert authorization_endpoint so, https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/authorize dass TENANT_ID die zuvor angegebene Entra-Mandanten-ID ist

    3. Bearbeiten Sie den Wert token_endpoint so, https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token dass TENANT_ID die zuvor angegebene Entra-Mandanten-ID ist

Weitere Anweisungen von Microsoft finden Sie auf deren Website.

Anmeldung über Google-Konto

Wenn Sie die Anmeldung beim Google-Konto aktivieren möchten, müssen Sie das OAuth 2-Plugin auf Ihrer Totara-Website aktivieren und dann zur Google-Entwicklerkonsole gehen, um die Authentifizierung zu konfigurieren. 

1. Gehen Sie zur Google-Entwicklerkonsole.

2. Erstellen Sie ein neues Projekt, indem Sie entweder das Dropdown-Menü Projekt auswählen oben oder die Schaltfläche Erstellen verwenden. 

3. Geben Sie dem Projekt einen Namen, z. B. 'Totara Login'.

4. Klicken Sie auf Erstellen. 

5. Gehen Sie im linken Menü zu Anmeldeinformationen. 

6. Wählen Sie den OAuth-Zustimmungsbildschirm und schließen Sie die Einstellungen ab.

7. Klicken Sie auf Speichern. 

8. Wählen Sie die Registerkarte Anmeldeinformationen und dann OAuth-Client-ID aus dem Dropdown-Menü Anmeldeinformationen erstellen. 

9. Wählen Sie die Option Webanwendung und legen Sie die autorisierten Weiterleitungs-URIs als URL Ihrer Website fest, die mit /admin/oauth2callback.php angehängt ist, z. B. https://totaralearn.com/admin/oauth2callback.php

10. Klicken Sie auf Erstellen. 

11. Notieren Sie sich die Client-ID und das erstellte Geheimnis. 

12. Gehen Sie in Totara zum Schnellzugriffsmenü > Server > OAuth 2-Dienste. 

13. Klicken Sie auf Neuen Google-Dienst erstellen. 

14. Geben Sie die in der Google-Entwicklerkonsole angegebene geheime und Client-ID ein. 

15. Klicken Sie auf Änderungen speichern.  

Weitere Informationen zu Google und OAuth 2 finden Sie auf deren Website. 

Anmeldung über Facebook

Wenn Sie die Facebook-Anmeldung aktivieren möchten, müssen Sie das OAuth 2-Plugin auf Ihrer Totara-Website aktivieren und dann zum Facebook-Entwicklerportal gehen, um die Authentifizierung über ihr Anmeldesystem zu konfigurieren. Der grundlegende Prozess ist:

Details zur Konfiguration der Facebook-Anmeldung finden Sie in der Hilfedokumentation. 

Fehlerbehebung: Verknüpfte OAuth 2-Anmeldungen für gelöschte Nutzerkonten

Wenn ein Nutzer mit einer verknüpften OAuth 2-Anmeldung von Ihrer Website gelöscht wird, kann es Probleme geben, wenn er später ein neues Konto erstellt und versucht, OAuth 2 zur Authentifizierung zu verwenden. Gehen Sie in diesem Fall wie folgt vor, um die verknüpfte Anmeldung zu entfernen:

1. Erstellen Sie einen Bericht über die Berichtsquelle  Verknüpfte Anmeldungen .

2. Speichern Sie den neuen Bericht und zeigen Sie ihn an.

3. Stellen Sie den Filter Benutzerstatus auf Gelöscht ein. Der Bericht zeigt nun alle gelöschten Nutzer an, die eine verknüpfte Anmeldung für OAuth 2.0 haben.

4. Klicken Sie in der Spalte Aktionen auf das Kreuzsymbol ( ) neben dem Benutzerkonto, um die verknüpfte Anmeldung für dieses Konto zu entfernen.

Der Nutzer kann dann OAuth 2 mit seinem aktiven Konto verknüpfen.