KNF:OneLogin configureren als Service Provider

Nederlands

English

Deze handleiding bevat een stappenplan om OneLogin in te zetten als Service Provider Provider en aan Entree Federatie te koppelen.

De OneLogin PHP toolkit ondersteunt geen scoping, er is wel een workaround beschikbaar op https://github.com/onelogin/php-saml/pull/214/files

Stap 1: Installatie

1. Download de PHP toolkit van https://github.com/onelogin/php-saml.
2. Pak de zip uit en kopieer de directory php-saml-master naar de juiste locatie op de webserver.
3. Hernoem de demo1 directory naar de gewenste project naam (bijvoorbeeld entreefederatie).
4. Verwijder het bestand settings_example.php uit de project directory.
5. Kopieer het bestand settings_example.php uit de hoofd directory naar de project directory.
6. Hernoem dit bestand naar settings.php.
7. Hernoem het bestand advanced_settings_example.php in de hoofd directory naar advanced_settings.php.

Stap 2: Certificaat genereren

De berichten die met de Entree Federatie applicatie worden uitgewisseld tijdens een authenticatie worden ondertekend door middel van XML-signing. Hiervoor moet een certificaat gegenereerd worden.

1. In de hoofd directory (php-saml-master) bevindt zich de sub directory certs.
2. Ga naar de directory certs.
3. Voer het onderstaande commando uit om het certificaat te genereren:

   openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out sp.crt -keyout sp.key
   

4. Volg de instructies en vul de juiste certificaat gegevens in.

Stap 3: Aanpassen settings.php

Voor het realiseren van een koppeling met Entree Federatie zijn een aantal aanpassingen in het bestand settings.php in de project directory nodig.
LET OP! De aanpassingen in de voorbeeld code zijn toevoegingen en/of wijzigingen. De php tags zijn niet meegenomen.
De aanpassingen staan beschreven in commentaar.

$settings = array (
    'strict' => false,
    'debug' => false,
    // Vul hier de base URL van de applicatie in (voorbeeld: https://example.com)
    'baseurl' => '',
    // Informatie over de te implementeren Service Provider applicatie
    'sp' => array (
        // Het entityID is de unieke identifier van de applicatie (voorbeeld: https://example.com/projectnaam)
        'entityId' => '',
        // Informatie over het endpoint waar Entree Federatie de responses naar toestuurt
        'assertionConsumerService' => array (
            // De URL van het endpoint (voorbeeld: https://example.com/index.php?acs)
            'url' => '',
             // SAML protocol binding dat gebruikt wordt om de response te versturen
            'binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
        ),
        // Format van de identifier van het onderwerp van authenticatie
        // Voor Entree Federatie is het vereist dat dit 'unspecified' is
        'NameIDFormat' => 'urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified',
        // Informatie van het certificaat dat gegenereerd is in stap 2
        'x509cert' => '...'
        'privateKey' => '...'
    ),
    // Informatie over de Entree Federatie applicatie
    // De informatie staat in de metadata van Entree Federatie
    // Metadata staging omgeving: https://engine.entree-s.kennisnet.nl/authentication/idp/metadata
    // Metadata productie omgeving: https://engine.entree.kennisnet.nl/authentication/idp/metadata
    'idp' => array (
        // De unieke identifier van Entree Federatie
        'entityId' => 'https://engine.entree.kennisnet.nl/authentication/idp/metadata',
        //'entityId' => 'https://engine.entree-s.kennisnet.nl/authentication/idp/metadata',
        // Endpoint van Entree Federatie waar de authenticatie requests naar toegestuurd worden
        'singleSignOnService' => array (
            // De URL van het endpoint
            'url' => 'https://engine.entree.kennisnet.nl/authentication/idp/single-sign-on',
            //'url' => 'https://engine.entree-s.kennisnet.nl/authentication/idp/single-sign-on',
            // SAML protocol binding dat gebruikt wordt om de requests naar Entree Federatie te versturen
            'binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',
        ),
        // De public key in de metadata van Entree Federatie, te vinden in de metadata onder het onderdeel IDPSSODescriptor / X509Certificate.
        'x509cert' => '...'
    ),
);

Stap 4: Aanpassen advanced_settings.php

Aanpassing in het bestand advanced_settings.php in de hoofd directory.
LET OP! De aanpassingen in de voorbeeld code zijn toevoegingen en/of wijzigingen. De php tags zijn niet meegenomen.
De aanpassingen staan beschreven in commentaar.

    // Alle verzonden en ontvangen berichten moeten gesigned zijn
    'authnRequestsSigned' => true,

    // Contact informatie
    'contactPerson' => array (
        'technical' => array (
            'givenName' => '',
            'emailAddress' => ''
        ),
        'support' => array (
            'givenName' => '',
            'emailAddress' => ''
        ),
    ),
    // Organisatie informatie
    'organization' => array (
        'nl-nl' => array(
            'name' => '',
            'displayname' => '',
            'url' => ''
        ),
    ),