Konfigurera SAML SSO

Plugin för SAML 2.0 (SSO)  tillåter användare att logga in på Totara med ett konto från en Identitetsleverantör (IdP). I detta fall är Totara din Serviceleverantör (SP).

Aktivera SAML SSO

Du kan aktivera SAML-autentiseringsmetoden genom att följa dessa steg:

1. Gå till snabbåtkomstmenyn > Plugins > Authentication > Manage authentication .
2. Klicka på ögonikonen () bredvid SAML 2.0 (SSO)  pluginet för att aktivera det (ögat kommer att öppnas när autentiseringsmetoden har aktiverats).

Konfigurera en identitetsleverantör (IdP)

När du har aktiverat SAML 2.0-autentiseringspluginet, behöver du sedan konfigurera en IdP, som kommer att vara tillgänglig som ett inloggningsalternativ för användare. I SAML-protokollet sker kommunikationen mellan en IdP och en SP över specifika slutpunkter. IdP:n tillhandahåller följande slutpunkter för kommunikation:

• SingleSignOnService
• SingleLogoutService

SP:n tillhandahåller följande slutpunkter för kommunikation:

• AssertionConsumerService
• SingleLogoutService

För att konfigurera en IdP med Totara, måste du informera Totara om IdP:ns slutpunkter. Detta görs genom att förse Totara med IdP:ns metadata (en XML-fil som innehåller alla nödvändiga slutpunkter och en offentlig nyckel). Du kan tillhandahålla metadata genom att ange en URL för att hämta metadata från eller genom att ange innehållet i XML-filen direkt i Totara.

Du behöver också informera IdP om Totaras ändpunkter. Hur detta görs varierar för individuella IdP:er. Vi har dokumenterat hur man konfigurerar följande IdP:er med Totara:

• Okta
• Microsoft Azure AD
• Microsoft AD FS

När både IdP och SP har fått varandras ändpunkter kan de kommunicera korrekt. För en lyckad inloggningsförfrågan tillhandahåller IdP en lista med attribut som ska användas för att identifiera användaren. Dessa attribut behöver mappas till Totara-användarfält för att autentisera användaren i din Totara-instans.

Skapa en IdP-anslutning

Följ dessa steg för att skapa en IdP-anslutning:

1. Gå till Snabbåtkomstmeny > Tillägg > Autentisering > SSO SAML > Inställningar.
2. Klicka på Lägg till identitetsleverantör.
3. Ge din IdP ett namn. Detta kommer att vara namnet som visas för användare på inloggningsskärmen.
4. Ange en länk till metadata eller klistra in IdP:ns metadata XML i IdP-metadata fältet.
5. Ange en Användaridentifierare  och det Totara-fält du vill mappa det till. Endast användarnamn, e-post eller id-nummerfält kan användas som identifierare.
6. För att konfigurera ytterligare inställningar och fältmappningar, klicka på Visa avancerade inställningar:
   • På fliken Fältmappning , mappa användarattribut som tillhandahålls av IdP till din Totara-instans användare. Observera att användarattribut kan vara fullständiga URL:er.
   • Fliken Avancerade inställningar  innehåller följande alternativ för att ändra Totara-specifikt beteende vid interaktion med IdP:
     • Nya användare: Välj hur nya användare ska hanteras.
     • Befintliga användare: Välj hur befintliga användare ska hanteras. 
     • NameID-format: Välj det format du vill använda.
     • Entity ID: Åsidosätt enhets-ID som används i SP-metadata.
     • Utloggningsbeteende: Tvinga utloggning på IdP när användaren loggar ut från Totara.
     • Omdirigering efter utloggning: Ange en omdirigerings-URL efter utloggning.
     • Attributavgränsare: Attributavgränsare används för IdP-fältmappningar med flera värden.
     • Signaturer: Dessa inställningar krävs inte för säker drift, men kan vara användbara i vissa fall. Välj bland följande alternativ:
       • Signera metadata
       • Signera autentiseringsförfrågningar
       • Kräv att IdP signerar individuella påståenden
     • Dölj på inloggningssidan: Om aktiverad kommer IdP inte att visas på inloggningssidan.
     • Debugga: Fånga kommunikationer och IdP för felsökningsändamål.
7. Klicka på Spara.
8. Säkerställ att Status omkopplaren är aktiverad för att säkerställa att IdP kommer att vara synlig på inloggningsskärmen.
9. Från Hantera identitetsleverantörer sidan, klicka på ikonen med tre prickar () bredvid IdP och välj Testa för att testa din nya IdP-anslutning.

Migrera användare till SAML 2.0 (SSO)

Användarna måste ha sin autentiseringsmetod inställd på SAML 2.0 (SSO) för att kunna logga in via SAML. När du importerar användare via HR import kan du ställa in Auth alternativet till 'ssosaml'.

Alternativt kan du ställa in Automatiskt länka inställningen för en IdP till Befintliga användare, och valfritt markera Kräv e-postverifiering alternativet. Med dessa inställningar aktiverade kommer befintliga icke-SAML-användare kunna logga in via SAML om de matchar villkoren (och kan fortfarande använda sina befintliga inloggningsmetoder).

Ställ in SAML SSO med Okta

För att ställa in SAML SSO med Okta, följ dessa steg:

1. Logga in på Okta med dina uppgifter.
2. Klicka på Admin.
3. Gå till Applikationer > Applikationer.
4. Klicka på Skapa App-integration, välj sedan SAML 2.0.
5. Ange ett namn och klicka på Nästa.
6. I Totara, gå till Snabbaccessmeny > Plugins > Autentisering > SAML 2.0 (SSO) > Inställningar.
7. Skapa en IdP.
8. Kopiera följande information och ange den i Okta:
   • ACS URL -> Single sign-on URL
   • Entity ID -> Audience URI
9. Utöka Avancerade inställningar, ladda sedan upp certifikatet från Totara.
10. Aktivera Single Logout.
11. Kopiera Single Logout URL från Totara till Okta.
12. Kopiera Entity ID från Totara till SP Issuer fältet i Okta.
13. Fyll i följande attribututtalanden:
    • förnamn -> user.firstName
    • efternamn -> user.lastName
    • e-post -> user.email
14. Klicka Nästa, välj antingen alternativet, klicka sedan Slutför.
15. Kopiera Metadata URL från Okta och klistra in den i Totara.
16. Gå tillbaka till Okta, gå till Tilldelningar fliken, och välj Alla gruppen.
17. I Totara, under Användaridentifierare, ange 'email' som IdP-fältet, och välj E-postadress som Totara-fältet.
18. Under Fältmappningar, lägg till följande mappningar:
    • Förnamn -> förnamn, vid varje inloggning
    • Efternamn -> efternamn, vid varje inloggning
19. Klicka på Spara.
20. Klicka på ikonen med tre punkter () och klicka på Test för att kontrollera att integrationen fungerar.

Ställ in SAML SSO med Microsoft Entra ID

För att ställa in SAML med Microsoft Entra ID (tidigare Microsoft Azure Active Directory), behöver du ett användarkonto med Applikationsadministratör privilegier. Logga in på din Azure-portal och följ dessa steg:

1. I din Totara-instans, gå till Snabbutgångsmeny > Plugins > Autentisering > SAML 2.0 (SSO) > Inställningar och skapa en IdP.
2. I Azure, sök efter och välj Microsoft Entra ID.
3. I sidomenyn, klicka på Enterprise Applications.
4. Klicka på + Ny applikation.
5. Klicka på + Skapa din egen applikation.
6. Ge applikationen ett namn.
7. Välj Integrera alla andra applikationer som du inte hittar i galleriet (Icke-galleri).
8. Klicka på Skapa. Du kommer då att tas till den nyss skapade företagsapplikationen.
9. På den nyss skapade företagsapplikationen, klicka Single sign-on i sidopanelnavigeringen.
10. Klicka SAML.
11. Klicka Redigera på Grundläggande SAML-konfiguration kortet och tillhandahåll följande från din nyss skapade Totara IdP:
    • Identifierare (Entity ID)
    • Svar URL (Assertion Consumer Service URL)
    • Logout URL 
    • Alternativt kan du ladda ner din Totara-metadata och ladda upp den genom att klicka Ladda upp metadatafil
12. Klicka på Spara.
13. På SAML-certifikat kortet, klicka på nedladdningslänken bredvid Federation Metadata XML.
14. Kopiera innehållet i XML-filen till IdP-metadata fältet i din Totara IdP (se till att XML är markerat).
15. Klicka på Användare och grupper i sidnavigationen.
16. Klicka på + Lägg till användare/grupp och tilldela en användare du har tillgång till.
17. Gå till din Totara-sajt, gå till din Totara-instans och testa inställningarna.
18. Kartlägg attributen som tillhandahålls av IdP till din Totara-instans efter behov. Se Skapa en IdP-anslutningför mer information. För att se vilka fältnamn som ska användas:
    1. Navigera till listan över identitetsleverantörer.
    2. Klicka på ikonen med tre punkter () på IdP, välj sedan Testa.
    3. Välj Inloggning (AuthnRequest) och klicka på Testa.
    4. Logga in på IdP.
    5. Se Fältnamn kolumnen på Testsidan för inställningar  för att se vad IdP tillhandahåller:
       
       Kopiera den fullständiga strängen från 'Fältnamn' kolumnen för det fält du vill använda till IdP-fältet textfält.
19. För att testa IdP-initierad inloggning, gå till https://myapplications.microsoft.com/.
20. Sök efter företaget du skapade och klicka på det för att logga in.

Ställ in SAML SSO med Microsoft AD FS

För att ställa in SAML SSO med Microsoft AD FS, följ dessa steg:

1. Installera och konfigurera AD DS och AD FS på en Windows Server-instans.
2. I Totara (se till att du använder https, och har rensat din cache), gå till Snabbåtkomstmeny > Plugins > Autentisering > SAML 2.0 (SSO) > Inställningar och skapa en IdP. Hämta federationsmetadata XML från AD FS. 
3. Lägg till metadata i Totara som XML.
4. Kartlägg 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' till Användar identifierare.
5. Konfigurera följande kartläggningar:
   • E-postadress → http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   • Förnamn → http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
   • Efternamn → http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
6. Klicka på Spara.
7. Ladda ner metadata från Totara.
8. Anslut till AD FS-servern.
9. Öppna verktyget för AD FS-hantering (Serverhanteraren > Verktyg > AD FS).
10. Välj Förlitanstrust för parter i sidofältet till vänster, och välj Lägg till förlitandepartstrygghet.
11. Välj Claims aware.
12. Ladda upp metadata från Totara.
13. Ge det ett namn så det enkelt kan identifieras.
14. Välj Permit everyone.
15. Klicka på Finish.
16. Det kanske inte importerar ACS/SLO-URL:erna, så högerklicka på posten du lade till, och gå sedan till Properties > Endpoints. Om det är tomt, följ dessa steg:
    1. Klicka på Add SAML och välj Assertion consumer.
    2. Kopiera ACS-URL:en från Totara till Trusted URL, sätt bindning till POST och markera Default, klicka sedan på Save.
    3. Gör samma sak för SLO.
    4. Stäng Egenskaper.
17. Högerklicka på posten och klicka på Redigera utfärdande av policy för påståenden.
18. Lägg till en regel och välj Skicka LDAP-attribut som påståenden.
19. Ange ett namn.
20. Välj Active Directory som attributkälla.
21. Kartlägg följande fält (LDAP → Utgående):
    • User-Principal-Name → Name ID (detta är viktigt, eftersom om Name ID inte är kartlagt, kommer AD FS inte skicka SessionIndex)
    • E-Mail-Address → E-Mail Address
    • Given-Name → Given Name
    • Surname → Surname