Einrichtung von Single Sign On Anwendungen

Single Sign On (SSO bzw. Einmalanmeldung) ist ein Authentifizierungsverfahren, in dem Sie ohne die Eingabe von Anmeldedaten sofort mit Ihrem Benutzer im BMD Web angemeldet werden.

Das Ziel von SSO ist demnach, dass sich der Benutzer nur einmalig authentifizieren muss und die Anwendung anschließend diese Aufgabe übernimmt.

Grundsätzlich müssen die SSO Anwendung innerhalb der NTCS sowie die ISP-Anwendung bei Google oder Azure nur einmalig vom Administrator angelegt werden. Anschließend kann man in der Benutzerverwaltung jedem Benutzer eine SSO Anwendung zuordnen und eine E-Mail-Adresse (Google) oder UPN (Azure) zur Erkennung hinterlegen.

Die NTCS Funktion "SSO Anwendungen" kann nur mit vorhandenem Lizenzpaket 495 "Erweiterte Authentifizierung" verwendet werden.

Unter Tools → Administration → Berechtigung → SSO Anwendungen muss zuerst eine neue Anwendung angelegt werden.

Eine neue SSO Anwendung erhält gleich bei der Neuanlage eine neue eindeutige Anwendungs-ID, welche zur Identifizierung innerhalb des BMD Systems dient.

Wird als Identity Service Provider (ISP) Azure oder Google verwendet, so können die URLs zu den ISP-Endpunkten über die Funktionen im Menü übernommen werden. Ansonsten müssen diese Zugangspunkte vom Administrator bereitgestellt werden. Client-ID und Client-Secret werden von der ISP-Anwendung definiert, deren Anlage später noch am Beispiel Azure und Google erläutert wird. Diese können dann zu einem späteren Zeitpunkt nachgetragen werden.

Abschließend muss das Vergleichskriterium email für Google oder UPN für Azure ausgewählt werden.

Die Felder "Login- und Callback-URLs" existieren jeweils für BMD Web und BMD Com. Die Login-URLs dienen zum Aufruf des BMD-SSO-Endpoints und zum Einstieg in BMD Web mittels der ISP-Anmeldung. Die Callback-URLs müssen bei Erstellung der ISP-Anwendung (z. B. Google oder Azure) auf der jeweiligen Plattform hinterlegt werden. Details hierzu finden Sie im Kapitel Anlegen einer ISP-Anwendung.

Zusammengesetzt wird die Callback-URL aus dem Parameter "URL zum eigenen BMD Com-Server" bzw. "URL zum eigenen BMD Webserver" in den Tools-Parametern.

Achtung! 

Nachträgliche Änderungen der SSO Anwendung werden erst nach Neustart des Anwendungspools (App-Pool) am Webserver übernommen!

Hinweis 

Nachfolgende Screenshots dienen als Symbolbilder und können vom aktuellen Erscheinungsbild der Benutzeroberflächen von Azure oder Google abweichen.

Für eine SSO Anmeldung mit Azure muss im Azure Portal eine neue Applikation eingerichtet werden.

Öffnen Sie hierzu das Fenster App registrations im Azure Portal und klicken Sie auf New registration.

Anschließend können Sie den Namen der Applikation vergeben und die Redirect URl hinterlegen.

 

Für die Redirect URl muss die BMD Web Callback URL bzw. BMD Com Callback URL aus dem NTCS Fenster SSO Anwendungen angegeben werden.

Zum Autorisieren von BMD Web bzw. BMD Com für den Zugriff auf diese ISP-Anwendung muss als nächstes die Application (client) ID kopiert werden und anschließend bei der jeweiligen SSO Anwendung in der NTCS im Feld "Client ID" hinterlegt werden.

Als nächstes wechseln Sie zum Fenster Certificates & secrets und klicken Sie auf New client secret.

Das Secret an der markierten Stelle im Screenshot muss anschließend im Feld "Client Secret" in der BMD NTCS hinterlegt werden.

Achtung! 

Nach Verlassen von "Certificates & secrets" kann das Client Secret nicht mehr kopiert werden! Achten Sie bitte darauf, dass Sie das Client Secret gleich hier kopieren und an anderer Stelle sichern.

Hinweis 

Für das Azure Single Login braucht die NTCS keine speziellen API-Permissions.

  Seitenanfang 

Für eine SSO Anmeldung mit Google muss in der Google Cloud Platform oder über den Entwickler Login eine neue ISP-Anwendung eingerichtet werden.

Wechseln Sie anschließend in das Fenster OAuth consent screen und wählen Sie als User Type "External".

Anschließend muss im folgenden Fenster ein Applikationsname eingegeben werden und im Bereich Scopes for Google APIs müssen email, profile und openid freigegeben werden.

Zum Autorisieren von BMD Web/Com für den Zugriff auf diese Anwendung muss eine OAuth client ID angelegt werden. Diese Client ID muss bei der SSO Anwendung in BMD NTCS zusammen mit dem Client Secret hinterlegt werden.

Wechseln Sie hierfür zum Fenster Credentials und erstellen Sie mit Create Credentials eine neue OAuth client ID.

Anschließend wählen Sie Web application und hinterlegen einen Namen. Im Feld "Authorized redirect URls" muss die Callback URL der NTCS hinterlegt werden.

Anschließend erhalten Sie Ihre Client ID und das Client Secret. Diese können Sie nun in der BMD NTCS in den Feldern "Client ID" und "Client Secret" hinterlegen.

 Seitenanfang 

In der Benutzerverwaltung sowie im Fenster "BMD Com-Benutzerverwaltung" finden Sie nun den Reiter SSO Anwendungen. Hier können Sie die zuvor erstellten SSO Anwendungen einem Benutzer zuordnen.

In der Zuordnung der SSO Anwendung muss nun nach Auswahl der korrekten Anwendung nur mehr die Externe Kennung befüllt werden. Am Beispiel Google wäre dies die E-Mail-Adresse des jeweiligen Google Accounts des Anwenders. Verwendet man hingegen Azure kann UPN (User Principal Name) herangezogen werden.

Im Zuge dessen wurde auch das Feld "Zwei-Faktor-Authentifizierung" in der Benutzerverwaltung auf "Erweiterte Authentifizierung" geändert:
Sobald eine SSO Anwendung für den jeweiligen Benutzer angelegt wird, wird der Feldwert automatisch auf "2 - SSO-Authentifizierung" bzw. - wenn bereits eine Zwei-Faktor-Authentifizierung eingestellt war - auf "3 - Zwei-Faktor- und SSO-Authentifizierung" umgestellt.

Sobald nun ein Benutzer mit dem jeweiligen Google- oder Azure-Konto eingeloggt ist und BMD Web oder BMD Com mit der BMD Web Login URL bzw. BMD Com Login URL der zugeordneten SSO Anwendung öffnet, müssen keine Zugangsdaten eingegeben werden.

Hinweis 

Die Login URLs können als Favoriten oder Startseite gespeichert werden. Somit ist garantiert, dass immer der richtige Link aufgerufen wird. Ein automatisches Login funktioniert nur mit den Links der Felder "BMD Web Login URL" für BMD Web und "BMD Com Login URL" für BMD Com.