KNF:Google Apps for Education - Identity Provider

Deze handleiding bevat een stappenplan om een Google Apps for Education omgeving in te zetten als Identity Provider en aan Entree Federatie te koppelen.

Om aan de hand van deze handleiding een koppeling te kunnen realiseren moet aan de volgende voorwaarden worden voldaan:

1. U heeft een werkende Google Apps for Education omgeving
2. U heeft ervaring met het beheren van een Google Apps for Education omgeving
3. U heeft zich als Identity Provider bij Entree Federatie aangemeld. U kunt zich aanmelden door het invullen van het formulier op: https://forms.kennisnet.nl/entree-instelling.html
4. Voor het geautomatiseerd vullen van attributen voor meerdere gebruikers moet u zelf een script maken dat communiceert met de Google Directory API. In deze handleiding wordt alleen beschreven hoe u dit voor een enkele gebruiker handmatig kunt doen.

Stap 1: Configuratie van de koppeling

De eerste stap is om de koppeling met Entree Federatie te configureren in Google Apps for Education. Op deze manier wordt er een vertrouwde verbinding, ook wel trustrelatie genoemd, opgezet.

1. Log in op de Beheerconsole van de Google Apps omgeving (https://admin.google.com) met een beheerders account.
   
   
   
2. Ga in de Beheerdersconsole naar ‘Meer besturingslementen en klik op ‘Apps’.
   
   
   
3. Klik vervolgens op ‘SAML-apps’.
4. Klik op de link ‘Een service/app toevoegen aan uw domein’.
5. Er verschijnt nu een pop-up scherm ‘SSO inschakelen voor SAML-applicatie’.
   Klik op ‘Mijn eigen aangepaste app instellen’ onderaan dit scherm.
   
   
   
6. In het volgende scherm kunt u een metadata bestand van uw Google Apps for Education downloaden. Kennisnet heeft dit bestand een latere stap nodig om een vertrouwde verbinding te configureren tussen uw Google Apps omgeving en Entree Federatie.
   Klik onder ‘Optie 2’ op de knop ‘Downloaden’.
   
   
   
7. Klik op ‘Volgende’ als het downloaden voltooid is.
8. Vul in het volgende scherm bij ‘Applicatienaam’ ‘Entree Federatie’ in.
9. Indien gewenst kunt u het veld 'Omschrijving' invullen, maar u mag dit veld ook leeg laten.
10. U kunt eventueel onderstaand logo toevoegen (niet verplicht).
    
    
    
11. Als u klaar bent klikt u op ‘Volgende’.
    
    
    
12. In het volgende scherm geeft u de gegevens van Entree Federatie op om de Single Sign On verbinding te configureren.
    Voor een koppeling met de productie omgeving van Entree Federatie gebruikt u:
    ASC-URL: https://aselect.entree.kennisnet.nl/openaselect/profiles/saml2/sp/sso/web
    Entiteits-ID: aselect.entree.kennisnet.nl
    De overige velden hoeven niet te worden ingevuld of gewijzigd.
    Onderstaand voorbeeld is een configuratie voor de productie omgeving van Entree Federatie.
    
    
    
13. Klik vervolgens op ‘Volgende’.
14. Klik in het volgende scherm op ‘Voltooien’
    
    
    
15. Als de koppeling juist geconfigureerd is ziet u de volgende melding:
    
    
    
16. Klik op ‘Ok’

Stap 2: Versturen metadata

In stap 1.6 heeft u een metadata bestand gedownload. Kennisnet heeft dit bestand nodig om de koppeling tussen uw Google Apps for Education omgeving en Entree Federatie te configureren. U kunt dit bestand versturen naar de Servicedesk van Kennisnet. Dit kan door te antwoorden op de mail die u heeft ontvangen na het invullen van het aanmeldformulier of u kunt u gebruik maken van onze Support tool: https://support.kennisnet.org/. Klik vervolgens op ‘Stel een vraag’.

Stap 3: Definiëren van door te geven attributen

Voor een goede werking van Entree Federatie is het nodig om een minimale set aan standaard attributen te versturen (zie voor meer informatie over attributen: Overzicht van Federatieve attributen. Om deze attributen door te geven naar Entree Fedratie moet er in de Google Apps for Education omgeving een apart schema worden gemaakt, waarin deze attributen gedefinieerd worden.

Het aanmaken van een dergelijk schema kan uitsluitend via de Google Directory API, zoals beschreven in de stappen hieronder.

1. Ga naar https://developers.google.com/admin-sdk/directory/v1/reference/schemas/insert#try-it.
2. Als u nog niet bent ingelogd, log dan in met uw Google Apps for Education beheerders account.
3. Vul bij het veld 'customerId' de volgende waarde in: 'my_customer'.
   
   
   
4. Klik in het veld 'Request body' en selecteer in de drop down 'Freeform editor'.
   
   
   
5. Vervang de reeds ingevulde tekst met de onderstaande tekst:

   {
     "fields": 
     [
       {
         "fieldName": "BRIN",
         "fieldType": "STRING"
       },
       {
         "fieldName": "Schoolnaam",
         "fieldType": "STRING"
       },
       {
         "fieldName": "Leerlingnummer",
         "fieldType": "STRING"
       },
       {
         "fieldName": "Rol",
         "fieldType": "STRING"
       }
     ],
     "schemaName": "EntreeFederatie"
   }

   In een later stap zullen we dit schema gebruiken bij het toewijzen van attributen die worden doorgegeven aan Entree Federatie.
6. Klik op ‘Authorize and execute’.
   
   
   
7. Klik in het volgende scherm nogmaals op 'Authorize and Execute'.
   
   
   

Stap 4: Toewijzen van de aan Entree Federatie door te geven attributen

We hebben nu de attributen die niet standaard door Google Apps for Education gedefinieerd in stap 3 door middel van een attributenschema. In deze stap gaan we de attributen die aan Entree Federatie moeten worden doorgegeven configureren.

1. Log in op de admin omgeving van Google Apps (https://admin.google.com) met een beheerders account.
   
   
   
2. In de interface ga naar 'Meer besturingselementen' en klik op 'Apps'.
3. Klik vervolgens op 'SAML-apps'.
   
   
   
4. Klik op de SAML-app 'Entree Federatie'.
   
   
   
5. Klik op 'Attribuuttoewijzing'.
   
   
   
6. Klik op 'Nieuwe toewijzing toevoegen'.
   
   
   
7. Bij ‘Applicatiekenmerk’ vult u de naam van het attribuut zoals Entree Federatie die verwacht. Bij ‘Categorie’ kiest u het attributenschema dat het attribuut bevat dat u wilt doorgeven. Bij ‘Gebruikersveld’ kiest u het attribuut dat u wilt doorgeven. Voeg alle onderstaande regels op deze wijze toe.

Applicatiekenmerk	Categorie	Gebruikersveld
uid	Algemene informatie	Primair emailadres

1. Klik op ‘Opslaan’.