Настройка соединения KUMA с Active Directory Federation Services

Настройка соединения KUMA с Active Directory Federation Services состоит из следующих этапов:

Создание группы подключения

На сервере должна быть уже настроена роль AD FS.

1. В Server Manager в меню Tools выберите ADFS Management.
2. Выберите раздел Application groups и в разделе Actions нажмите Add Application Group.
3. В открывшемся окне в разделе Welcome в поле Name укажите имя новой группы подключения.

   Пример

   new-application-group

4. В поле Template в группе Client-Server applications выберите пункт Native application accessing a web API.
5. Нажмите Next.

   В открывшемся разделе Native application поля Name и Client Identifier заполняются автоматически. Значение поля Client Identifier понадобится указать в KUMA в поле Client Identifier при настройке доменной аутентификации.

6. В поле Redirect URI введите URI для перенаправления из AD FS с обязательным указанием подстроки /sso-callback и нажмите Add.

   Пример

   https://adfs.example.com:7220/sso-callback

7. Нажмите Next.
8. В открывшемся разделе в поле Identifiers добавьте идентификатор доверенной стороны и нажмите Add.

   Значение может быть любым. Пример: test-demo.

   Значение поля Identifier понадобится указать в KUMA в поле Relying party identifiers при настройке доменной аутентификации.

9. Нажмите Next.
10. В открывшемся разделе выберите значение политики Permit everyone.
11. Нажмите Next.

    В открывшемся разделе Configure Application Permissions поле Client application заполняется автоматически.

12. В поле Permitted scopes установите флажок для параметров allatclaims и openid.
13. Нажмите Next.
14. В открывшемся разделе Summary проверьте настройки.
15. Если настройки верны и вы готовы добавить группу, нажмите Next.

Новая группа будет добавлена. Вы можете перейти к настройке правил для созданной группы.

Добавление правил для группы подключения

На сервере должна быть уже настроена роль AD FS.

1. В Server Manager в меню Tools выберите ADFS Management.
2. В AD FS выберите раздел Application groups и в открывшемся окне выберите из списка необходимую группу подключения.

   Пример

   new-application-group

3. В окне Application groups в разделе Actions нажмите Properties.
4. В открывшемся окне new-application-group Properties в разделе Applications выберите двойным нажатием new-application-group - Web API.
5. В открывшемся окне перейдите на вкладку Issuance Transform Rules и нажмите Add rule.
6. В открывшемся окне в разделе Choose Rule Type выберите в раскрывающемся списке Send LDAP Attributes as Claims.
7. Нажмите Next.
8. В разделе Configure Claim Rule в поле Claim rule name укажите имя правила.

   Пример

   rule-name-01

9. В раскрывающемся списке Attribute store выберите Active directory.
10. В поле Mapping of LDAP attributes to outgoing claim types сопоставьте следующие поля:

    LDAP Attribute	Outgoing Claim Type
    User-Principal-Name	userPrincipalName
    Display-Name	displayName
    E-Mail-Addresses	mail
    Is-Member-Of-DL	MemberOf

11. Нажмите Finish.
12. Вернитесь к окну new-application-group – Web API Properties перейдите на вкладку Issuance Transform Rules и нажмите Add rule.
13. В открывшемся окне в разделе Choose Rule Type выберите в раскрывающемся списке Send claims using a custom rule.
14. Нажмите Next.
15. В разделе Configure Claim Rule в поле Claims rule name укажите имя правила.

    Пример

    rule-name-02

16. В поле Custom rule укажите следующие параметры:

    c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]
    => issue(store = "Active Directory", types = ("ObjectGUID"), query = ";ObjectGUID;{0}", param = c.Value);

17. Нажмите Finish.

    Откроется окно new-application-group – Web API Properties со вкладкой Issuance Transform Rules.

18. Чтобы применить правила, на открывшейся вкладке Issuance Transform Rules нажмите Apply или OK.

Настройка групп и правил в AD FS завершена. Вы можете переходить к настройке доменной аутентификации в KUMA.

Настройка доменной аутентификации в KUMA

Вы можете подключиться только к одному домену AD FS.

1. В веб-интерфейсе решения выберите раздел Параметры → Доступ →Доменная аутентификация.
2. В раскрывающемся списке Тип аутентификации выберите AD/ADFS.
3. В блоке параметров Active Directory Federation Services (ADFS) включите переключатель Состояние.
4. В поле Идентификатор клиента скопируйте идентификатор KUMA из поля Client ID в AD FS.
5. В поле Идентификатор доверенной стороны скопируйте идентификатор KUMA из поля Relying party identifiers в AD FS.
6. В поле URI для получения метаданных Connect скопируйте URI из поля Connect Metadata URI. URI состоит из хоста, на котором расположен AD FS (https://adfs.example.com) и параметра настройки конечной точки (/adfs/.well-known/openid-configuration).

   Пример

   https://adfs.example.com/adfs/.well-known/openid-configuration

7. Укажите URL для перенаправления из ADFS из поля Redirect URL в AD FS. Значение поля Redirect URL в AD FS указывается при настройке Application group. В AD FS необходимо указать FQDN KUMA и подстроку </sso-callback>. В KUMA URL необходимо указать без подстроки, например https://kuma-example:7220.

   Для распределенной установки с Ядром KUMA в кластере Raft необходимо настроить балансировщик и затем указать FQDN балансировщика. Например, в параметрах настройки AD FS вам нужно указать https://kuma-load-balancer.com:7220</sso-callback>, а в KUMA в поле URL для перенаправления из ADFS вам нужно указать https://kuma-load-balancer.com:7220.

8. Если вы хотите настроить доменную аутентификацию для пользователя с ролью Главного администратора, в поле Группа главных администраторов укажите DistinguishedName группы FreeIPA, в которой состоит пользователь. Для Главного администратора дополнительные роли активированы автоматически, поэтому их не нужно добавлять отдельно.

   Если для пользователя указано несколько групп в одном тенанте, будет использована роль с наибольшими правами и дополнительные роли, если дополнительные роли были назначены.

   Пример ввода фильтра: CN=KUMA team,OU=Groups,OU=Clients,DC=test,DC=domain

9. Нажмите на кнопку Сохранить.

Соединение с контроллером домена Active Directory Federation Services будет настроено.

После настройки на странице входа в KUMA появится кнопка Вход через ADFS. Кнопка Вход через ADFS будет скрыта на странице входа в KUMA при следующих условиях:

• Если в раскрывающемся списке Тип аутентификации выбран пункт FreeIPA.
• Если в раскрывающемся списке Тип аутентификации выбран пункт AD/ADFS и настройки для AD FS отсутствуют или выключен переключатель Состояние для настроек AD FS.

Если при попытке входа в KUMA через AD FS отображается всплывающее сообщение Access denied или Недостаточно прав, нажмите на кнопку Сбросить сертификат. Новый сертификат будет сформирован автоматически.