Entree Federatie: ADFS-SP

Inleiding

Het is mogelijk om als Service Provider uw ADFS omgeving aan de Kennisnet Federatie te koppelen. Op deze wijze kunnen gebruikers van de Kennisnet Federatie toegang krijgen tot de applicaties (bijvoorbeeld Sharepoint) die u aan uw ADFS omgeving gekoppeldz ijn. In deze handleiding leest u hoe u als Service Provider uw ADFS omgeving aan de Kennisnet Federatie kunt koppelen.

Om op deze wijze aan te sluiten op de Kennisnet Federatie moet u de volgende stappen doorlopen:

Aanmelden bij de Kennisnet Federatie
Een ADFS-server inrichten: Dit bestaat uit o.a. Windows Server 2012 R2 configureren en ADFS component installeren (dit zal niet worden besproken in deze handleiding).
De ADFS-server configureren: voor aansluiting als Service Provider voor de Kennisnet Federatie
Attributen van de Kennisnet Federatie verwerken
Testen van de koppeling

Aanmelden bij Kennisnet Federatie

Voordat u begint met de configuratie van de koppeling van ADFS en de Kennisnet Federatie moet u eerst uw instelling aanmelden. Ga hiervoor naar http://www.kennisnet.nl/diensten/kennisnet-federatie/leveranciers/diensten-aanbieden/.

Nadat uw aanmelding geaccepteerd is, ontvangt u hiervan een bericht. U kunt met onze servicedesk afstemmen of u eerst op onze staging omgeving wilt aansluiten of direct op de productie omgeving.

ADFS-server inrichten

Voor deze stap dient u de documentatie van Microsoft te raadplegen. Dit valt buiten de scope van deze handleiding. De basisinstallatie van de ADFS-server bestaat uit de volgende stappen:

Windows Server 2012 R2 installeren en configureren
De ADFS-software installeren
Basisinstellingen van ADFS configureren

Nadat u deze stap succesvol heeft afgerond kunt u verder met de volgende stap waarin u de ADFS-server configureert om deze te koppelen aan de Kennisnet Federatie.

ADFS-server configureren als Service Provider

Om gebruikers met hun instellingsaccount toegang te kunnen geven tot uw diensten via de Kennisnet Federatie, moet u uw ADFS-server configureren als Service Provider.

Aanmaken van een Claims Provider Trust

In ADFS moet een nieuwe Claims Provider Trust worden aangemaakt om attributen te kunnen ontvangen van een andere locatie dan Active Directory. Hier komt dan ook de daadwerkelijke koppeling met de Kennisnet Federatie.

Kies in de linkerkolom van het overzichtsvenster Trust Relationships > Claims Provider Trusts.
Kies in de rechterkolom van het overzichtsvenster Add Claims Provider Trusts.
Klik vervolgens in de wizard op Start.
Voer in het bovenste invoerveld de metadata url van de Kennisnet Federatie in (https://hub.entree.kennisnet.nl/openaselect/profiles/saml2/)
Wanneer er een melding voorkomt dat de gegevens die zijn ingevoerd niet geheel compatible zijn met ADFS, klik op OK.
Voer een naam in zoals deze in het ADFS systeem geadministreerd dient te worden, bijv. Kennisnet Federatie Productie en klik Next.
U krijgt nu een overzicht van de eigenschappen van de aan te maken koppeling met de Kennisnet Federatie. Klik op Next.
Vink de optie om attributen te configureren uit en klik op Close.
De koppeling is nu aangemaakt en kan Actief of Inactief worden gezet.

SHA1-algoritme inschakelen

In ADFS worden handtekeningen standaard gezet met behulp van het SHA256-algoritme. Dit algoritme werkt niet goed samen met de Kennisnet Federatie. Voor een goede werking moet dit vervangen worden door het SHA1-algoritme.

Kies in de linkerkolom van het overzichtsvenster Trust Relationships > Claims Provider Trusts.
Dubbelklik in de middelste kolom op de Kennisnet Federatie koppeling, kies het Advanced tab en kies in het veld 'Secure hash algorithm' de waarde SHA-1.
Klik op OK om de configuratie voor de Kennisnet Federatie af te ronden.

Attributen van de Kennisnet Federatie verwerken

Attributen zijn gebruikerskenmerken die de ADFS-server na een geslaagde authenticatie van een gebruiker kan ontvangen en doorgeven aan uw eigen applicaties welke aan ADFS zijn gekoppeld. Voorbeelden van attributen die door Kennisnet Federatie kunnen worden aangeleverd zijn bijvoorbeeld de voornaam, achternaam, e-mailadres, geboortedatum en rol van de gebruiker of de naam en de BRIN van een instelling.

De set van gestandaardiseerde attributen die binnen de Kennisnet Federatie kunnen worden gebruikt, vindt u hier:

http://developers.wiki.kennisnet.nl/index.php?title=KNF:AttributenOverzicht

Let erop dat attributen niet allemaal standaard worden doorgegeven in verband met privacy wetgeving. Bij optionele attributen dient de school een schriftelijke goedkeuring aan Kennisnet te verstrekken om de optionele attributen aan u als dienst door te mogen geven.

Door te geven attributen definiëren

De attributen die door Kennisnet Federatie worden doorgestuurd dienen te worden geconfigureerd in ADFS om verder te kunnen verwerken binnen ADFS. Hierna volgt een voorbeeld van een enkel attribuut zoals de implementatie zou kunnen zijn.

Kies in de linkerkolom van het overzichtsvenster Trust Relationships > Claims Provider Trusts.
Rechterklik op de Kennisnet Federatie koppeling en kies Edit Claim Rules
Klik op Add Rule om een nieuw attribuut te verwerken. Kies (voobeeld) voor Transform an Incoming Claim en klik Next.
In dit scherm gaan we het van Kennisnet Federatie ontvangen attribuut uid transformeren naar een attribuut waar uw eigen applicaties iets mee kunnen. Bijvoorbeeld Name ID. Klik op Finish.
In het overzicht staat nu dat het attribuut uid wordt aangepast naar Name ID. Feitelijk veranderd alleen de naam van het attribuut en de waarde blijft hetzelfde. Uw applicatie welke attributen ontvangt uit ADFS zal nu Name ID ontvangen met de waarde van het uid door Kennisnet Federatie opgestuurd. Let op, wanneer men inlogt vanuit uw lokale Active Directory geldt deze regel niet.
Herhaal deze stappen voor alle attributen welke u wilt gebruiken.

Testen van de koppeling

Op de volgende wijze kunt u testen of de aansluiting goed werkt en of de applicatie, die aan uw AFDS gekoppeld is, de attributen juist onvangt.

Ga naar de url van uw applicatie
Kies bij het inloggen voor de Kennisnet Federatie.
Zodra het inlogscherm van de Kennisnet Federatie wordt getoond, kies dan voor de school 'ReferentieELO'.
Pas eventueel de attributen van de gebruiker die wil inloggen aan en klik op 'Naar dienst'

Indien u in plaats daarvan een foutmelding ziet dient u contact op te nemen met onze servicedesk.

KNF:ADFS-SP