SICHERHEIT
Warum und wann dieser Vorgang ausgeführt wird
Bei der SAML-Authentifizierung genügt es, wenn sich ein Benutzer einmal bei einem bestimmten Identitäts-Provider (IdP) authentifiziert. Anschließend kann der Benutzer auf jeden Server zugreifen, der Partner des IdPs ist. Die SAML-basierte Authentifizierung kann sowohl von Notes-Client- als auch von Web-Client-Benutzern genutzt werden. Die Authentifizierung ist von signierten XML-Identitäts-Assertions abhängig. Die Vorteile für den Benutzer sind eine transparente Authentifizierung und einmalige Anmeldung. Die Authentifizierung erfolgt dabei einmalig für mehrere Domino-Web-Server und Anwendungen sowie für Anwendungen eines anderen Herstellers, für die ebenfalls eine Partnerschaft mit dem IdP besteht. Der IdP bestimmt die Methode für die einmalige Authentifizierung. Der Benutzer kann zur Eingabe eines Kennworts aufgefordert werden, es kann jedoch auch eine Authentifizierungsmethode ohne Kennwort eingesetzt werden, wie die integrierte Windows™-Authentifizierung (SPNEGO/Kerberos) bei Benutzern in einem Intranet.
Es gibt drei Fälle, in denen eine Organisation die SAML-Authentifizierung verwenden kann. Dabei werden u. U. alle Konfigurationen oder auch nur eine Konfiguration benötigt.
Domino unterstützt SAML 1.1 und SAML 2.0. Welche SAML-Version Sie verwenden, hängt teilweise vom ausgewählten Identitäts-Provider ab. SAML 2.0 wird empfohlen, es sei denn, Ihre Organisation muss aus einem bestimmten Grund SAML 1.1 verwenden. SAML 1.1 wird u. U. für die einmalige Anmeldung bei bestimmten Anwendungen benötigt.
Je nachdem, welche SAML-Ebene für die beteiligten Anwendungen benötigt wird, kommen die folgenden Identitäts-Providers, die SAML unterstützen, als die Föderation infrage, deren Partner Domino ist:
Tabelle 1. Von Identitäts-Providern unterstützte SAML-Versionen
Wichtig: Die SAML-Authentifizierung schließt Zeitmarken ein. Stellen Sie sicher, dass die Systemzeiten des SAML-IdP-Computers und des Computers des Domino-SAML-Service-Providers synchronisiert sind, damit beide dieselbe aktuelle Uhrzeit aufweisen. Weisen die Systemzeiten keine ausreichende Synchronität auf, wird eine SAML-Assertion u. U. zurückgewiesen, weil sie anscheinend eine ungültige Uhrzeit aufweist. Dies ist insbesondere dann problematisch, wenn der IdP-Computer eine spätere Systemzeit aufweist als der Domino-Server, sodass Domino eine Assertion zurückweist, deren Zeitangabe anscheinend in der Zukunft liegt.
Informationen zu NOTES.INI-Einstellungen zur Vermeidung von Zeitabweichungen finden Sie im Notes- und Domino-Wiki und in den IBM Support-Technotes.
Kompatibilität
In der folgenden Tabelle sind Client-Konfigurationen aufgeführt, mit denen SAML nicht oder nur teilweise kompatibel ist.
Tabelle 2. Mit SAML inkompatible Client-Konfigurationen
Prozedur
Führen Sie die folgenden Aufgaben aus.
2. SAML in Domino konfigurieren Dieses Verfahren stellt sicher, dass ein Domino-Web-Server am SAML-basierten SSO (Single Sign-On) teilnehmen kann. Der Standard Security Assertion Markup Language (SAML) stellt sicher, dass ein Domino-Server einer Authentifizierungszusicherung eines festgelegten Identitäts-Providers (IdP) vertrauen kann.
3. Föderierte Anmeldung beim Notes-Client Durch die Authentifizierung mittels föderierter Identität mit dem SAML-Standard (Security Assertion Markup Language (SAML) entfällt für Notes-Client-Benutzer die Eingabe eines Notes-Kennworts über die föderierte Notes-Anmeldung. Die Benutzer-IDs müssen in einer ID-Vault gespeichert werden, deren Domino-Server mit Hostnamen für Identitäts-Provider-Partnerschaften (IdP-Partnerschaften) konfiguriert ist. Der Inhalt der ID-Datei der Notes-Client-Benutzer wird nach dem Download aus der ID-Vault im Speicher auf dem Client abgelegt.