KNF:Azure AD Premium - Identity Provider

Deze handleiding bevat een stappenplan om een Azure AD Premium omgeving in te zetten als Identity Provider en aan Entree Federatie te koppelen.

Let op: Deze handleiding is niet geschikt voor de Gratis en Basic edities van Azure AD

Om aan de hand van deze handleiding een koppeling te kunnen realiseren moet aan de volgende voorwaarden worden voldaan:

1. U heeft een werkende Azure AD Premium omgeving
2. U heeft ervaring met het beheren van een Azure AD Premium omgeving
3. U heeft zich als Identity Provider bij Entree Federatie aangemeld. U kunt zich aanmelden door het invullen van het formulier op: https://www.kennisnet.nl/entree-federatie/aanmelden/

Recent is de Azure AD omgeving gewijzigd, voor een handleiding verwijzen wij je naar de documentatie van Microsoft: https://docs.microsoft.com/en-us/azure/active-directory/active-directory-saas-custom-apps#adding-an-unlisted-application

Stap 1: Configuratie van de koppeling

Voor het maken van een koppeling moet een app geconfigureerd worden die via het SAML protocol de communicatie tussen Azure AD en Entree Federatie verzorgt. Een dergelijke app kan alleen met een Azure AD Premium omgeving geconfigureerd worden.

1. Log in via https://portal.office.com.
2. Open de Azure omgeving en ga naar ‘Admin center’
3. Klik op ‘Azure Active directory’ en selecteerde directory die je wilt gebruiken.
4. Klik op ‘App registrations’ en klik bovenaan het scherm op ‘New application registration’ om een nieuwe app aan te maken.
   
   
   
5. Vul in het veld ‘Name’ vervolgens ‘Entree Federatie’ in. Selecteer onder ‘Application type’ de optie ‘Web app / API’.
   
   
   
6. In het volgende veld wordt het endpoint van Entree Federatie geconfigureerd.
   Let op: De endpoints zijn verschillend voor de staging en de productie omgeving van Entree Federatie.
7. Vul bij ‘Sign-on URL’ één van de volgende URL’s in:
   Staging: https://aselect-s.entree.kennisnet.nl/openaselect/profiles/saml/sp/sso/web
   Productie: https://aselect.entree.kennisnet.nl/openaselect/profiles/saml/sp/sso/web
8. Klik vervolgens op ‘Create’.
   • Vul bij ‘Identifier’ één van de volgende waarden in:
     Staging: https://aselect-s.entree.kennisnet.nl
     Productie: https://aselect.entree.kennisnet.nl
   • Klik vervolgens op het pijltje onderaan om naar het volgende scherm te gaan.
     
     
     
9. De app is nu geconfigureerd om met Entree Federatie te communiceren. Echter Kennisnet moet ook Entree Federatie configureren om met de Azure AD omgeving te communiceren. Hiervoor is een metadata bestand nodig die de koppelingsgegevens van de de Azure AD omgeving beschrijft.
   • Klik op ‘Download Metadata (XML)’ en verstuur dit bestand naar Kennisnet.
   • Zet een vinkje bij ‘Confirm that you have configured single sign-on as described above. Checking this will enable the current certificate to start working for this application.’
   • Klik op het pijltje om naar het volgende scherm te gaan.
     
     
     
10. Klik op het vinkje ‘Complete’

De koppeling is nu geconfigureerd, in het volgende deel worden de attributen die worden doorgegeven gedefinieerd.

Stap 2: Attributen definiëren

Entree Federatie maakt onderscheid tussen ‘standaard attributen’ en ‘aanvullende attributen’. De standaard attributen dienen altijd te worden doorgegeven door de Azure AD applicatie. Een overzicht van de attributen is te vinden op Attributen overzicht.

Sommige diensten die zijn aangesloten op Entree Federatie vragen naast de standaard attributen ook nog één of meerdere aanvullende attributen. In deze handleiding gaan we alleen uit van de standaard attributen, maar houd er rekening mee dat er meer attributen gedefinieerd moeten worden.

1. Open de tab ‘Attributes’.
2. Azure AD heeft de volgende attributen gedefinieerd:
   
   
   
3. Pas de attributen aan zodat ze gelijk zijn aan het onderstaande scherm.
   Let op: Er zijn twee waarden die moeten worden aangepast aan de eigen specifieke situatie.
   • nlEduPersonHomeOrganizationId: in het voorbeeld heeft dit veld de vaste waarde ‘SKNS’. Dit moet het BRIN nummer zijn van de school waarvoor de koppeling wordt gemaakt.
   • nlEduPersonHomeOrganization: in het voorbeeld heeft dit veld de vaste waarde ‘Kennisnet kantoor’. Dit moet de naam van de school zijn van de school waarvoor de koppeling wordt gemaakt.
     
     
     

Een volledig overzicht van alle attributen is te vinden op Attributen overzicht Attributen overzicht.

De app is nu geconfigureerd en de attributen zijn gedefinieerd. Nadat Kennisnet de koppeling heeft geconfigureerd op basis van het metadata XML bestand kan de koppeling getest worden.

Stap 3: Testen

Om de koppeling te testen kan gebruik gemaakt worden van de referentie Service Provider van Kennisnet. Na een succesvolle authenticatie via de Azure AD worden de aan de referentie SP doorgegeven attributen getoond.

1. Ga naar de Kennisnet referentie Service Provider.
   Staging: https://referentie-s.entree.kennisnet.nl/referentiesp
   Productie: https://referentie.entree.kennisnet.nl/referentiesp
2. Je wordt nu doorgestuurd naar het WAYF (Where Are You From) scherm van Entree Federatie.
3. Zoek de school waarmee je wilt inloggen.
   
   
   
4. Selecteer de school en klik op ‘Verder’. Je wordt nu doorgestuurd naar de Azure AD omgeving die bij de school hoort.
5. Log in op de Azure AD omgeving.
6. Hierna wordt je teruggestuurd naar de referentie Service Provider en krijg je een overzicht van de attributen die zijn ontvangen.
   
   
   

Mocht er in dit scenario iets fout gaan neem dan contact op met Kennisnet.