Zusammenfassung

• Seiteneigenschaften (3 geändert, 0 hinzugefügt, 0 gelöscht)

Details

Seiteneigenschaften

Dokument-Autor

...	...	@@ -1,1 +1,1 @@
1		-XWiki.awa
	1	+XWiki.mko

Tags

...	...	@@ -1,0 +1,1 @@
	1	+SSO|Single-Sign-On|Single

Inhalt

...	...	@@ -1,18 +1,18 @@
1	1	{{content/}}
2	2
3	3	{{figure image="single_sign_on_ntlm_de.png" width="600"}}
4		-Nutzeroberfläche für die Einstellungen zu NTLM. Nur verfügbar, wenn die Lizens dies erlaubt.
	4	+Nutzeroberfläche für die Einstellungen zu {{smallcaps}}Ntlm{{/smallcaps}}. Nur verfügbar, wenn die Lizens dies erlaubt.
5	5	{{/figure}}
6	6
7		-NTLM wird für die Authentifizierung von Formularbenutzern verwendet. Ein typisches Einsatzszenario sind Formulare, die intern von Mitarbeitern eines Unternehmens aufgerufen werden. Über NTLM kann das Formular auf die Benutzerdaten des angemeldeten ActiveDirectory zugreifen.
	7	+{{smallcaps}}Ntlm{{/smallcaps}} wird für die Authentifizierung von Formularbenutzern verwendet. Ein typisches Einsatzszenario sind Formulare, die intern von Mitarbeitern eines Unternehmens aufgerufen werden. Über {{smallcaps}}Ntlm{{/smallcaps}} kann das Formular auf die Benutzerdaten des angemeldeten ActiveDirectory zugreifen.
8	8
9	9	{{info}}
10		-NTLM ist nur verfügbar, wenn die Lizenz dies erlaubt.
	10	+{{smallcaps}}Ntlm{{/smallcaps}} ist nur verfügbar, wenn die Lizenz dies erlaubt.
11	11	{{/info}}
12	12
13	13	== NTLM nutzen ==
14	14
15		-Mit diesem Schalter lässt sich die NTLM-Benutzerauthentifizierung für Formulare aktivieren bzw. deaktivieren
	15	+Mit diesem Schalter lässt sich die {{smallcaps}}Ntlm{{/smallcaps}}-Benutzerauthentifizierung für Formulare aktivieren bzw. deaktivieren
16	16
17	17	=== Mit {{fserver/}} synchronisieren ===
18	18
...	...	@@ -20,21 +20,21 @@
20	20
21	21	=== Domain-Controller Host ===
22	22
23		-Host (FQN) des ActiveDirectory Controller für die NTLM-Authentifizierung eines Benutzers und die anschließende Ermittlung dessen Daten über LDAP.
	23	+Host (FQN) des ActiveDirectory Controller für die {{smallcaps}}Ntlm{{/smallcaps}}-Authentifizierung eines Benutzers und die anschließende Ermittlung dessen Daten über {{smallcaps}}Ldap{{/smallcaps}}.
24	24
25		-{{code}}
	25	+{{code language="none"}}
26	26	Beispiel: domain.example.de
27	27	{{/code}}
28	28
29	29	== NTLM-Authentifizierung ==
30	30
31		-Die folgenden Einstellungen sind für die Authentifizierung eines Benutzers mittels NTLM notwendig:
	31	+Die folgenden Einstellungen sind für die Authentifizierung eines Benutzers mittels {{smallcaps}}Ntlm{{/smallcaps}} notwendig:
32	32
33	33	=== Hostname des Domain-Controller Hosts ===
34	34
35	35	Hostname des Active-Directory-Controller.
36	36
37		-{{code}}
	37	+{{code language="none"}}
38	38	Beispiel: domain
39	39	{{/code}}
40	40
...	...	@@ -42,7 +42,7 @@
42	42
43	43	Hier können je nach AD verschiedene Schreibweisen des Domainnamen verwendet werden.
44	44
45		-{{code}}
	45	+{{code language="none"}}
46	46	Beispiel: example.de oder example0
47	47	{{/code}}
48	48
...	...	@@ -62,7 +62,7 @@
62	62	Ein Computer-Account ist am '$'-Zeichen im Domain-Namen erkennbar. z.B. example$@domain.de
63	63	{{/info}}
64	64
65		-Beschreibung für die Vorgehensweise zur Erzeugung eines Computer-Accounts im //Active Directory Server// (externer Link): [[Creating a Computer Account for NTLM Authentication>>url:https://wiki.ca.com/display/GATEWAY83/Creating+a+Computer+Account+for+NTLM+Authentication||rel="__blank" title="Creating a Computer Account for NTLM Authentication"]]
	65	+Beschreibung für die Vorgehensweise zur Erzeugung eines Computer-Accounts im //Active Directory Server// (externer Link): [[Creating a Computer Account for NTLM Authentication>>https://techdocs.broadcom.com/content/broadcom/techdocs/us/en/ca-enterprise-software/layer7-api-management/api-gateway/9-3/policy-assertions/assertion-palette/access-control-assertions/require-ntlm-authentication-credentials-assertion/creating-a-computer-account-for-ntlm-authentication.html||rel="__blank" title="Creating a Computer Account for NTLM Authentication"]]
66	66
67	67	=== Computerkontopasswort ===
68	68
...	...	@@ -70,15 +70,15 @@
70	70
71	71	== LDAP-Benutzersuche ==
72	72
73		-Die folgenden Einstellungen sind für eine Nutzersuche nach erfolgter NTLM-Authentifizierung notwendig:
	73	+Die folgenden Einstellungen sind für eine Nutzersuche nach erfolgter {{smallcaps}}Ntlm{{/smallcaps}}-Authentifizierung notwendig:
74	74
75	75	=== Port ===
76	76
77		-Der zu verwende Port für die Verbindung mit dem LDAP-Server zur Nutzersuche
	77	+Der zu verwende Port für die Verbindung mit dem {{smallcaps}}Ldap{{/smallcaps}}-Server zur Nutzersuche
78	78
79	79	=== SSL-Verbindung ===
80	80
81		-Ermöglich das Aktivierung der SSL-verschlüsselten Kommunikation mit dem LDAP-Server
	81	+Ermöglich das Aktivierung der SSL-verschlüsselten Kommunikation mit dem {{smallcaps}}Ldap{{/smallcaps}}-Server.
82	82
83	83	=== Verweis-Sprünge ===
84	84
...	...	@@ -86,9 +86,9 @@
86	86
87	87	=== Nutzerkonto (mit Domainangabe) ===
88	88
89		-Konto für die Benutzersuche innerhalb des LDAP-Servers. Dieses Konto muss entsprechende Rechte für eine Nutzersuche besitzen.
	89	+Konto für die Benutzersuche innerhalb des {{smallcaps}}Ldap{{/smallcaps}}-Servers. Dieses Konto muss entsprechende Rechte für eine Nutzersuche besitzen.
90	90
91		-{{code}}
	91	+{{code language="none"}}
92	92	Beispiel: ldap@example.de
93	93	{{/code}}
94	94
...	...	@@ -98,15 +98,12 @@
98	98
99	99	=== BaseDN für Suche ===
100	100
101		-LDAP BaseDN unter der die zu authentifizierten Benutzer gesucht werden sollen.
	101	+{{smallcaps}}Ldap{{/smallcaps}} BaseDN unter der die zu authentifizierten Benutzer gesucht werden sollen.
102	102
103		-{{code}}
	103	+{{code language="none"}}
104	104	Beispiel: ou="users", dc="example", dc="de"
105	105	{{/code}}
106	106
107		-
108		-
109		-
110	110	== Einstellungen für Kerberos Authentifizierung ==
111	111
112	112	{{figure image="single_sign_on_kerberos_de.png" width="600"}}
...	...	@@ -129,7 +129,7 @@
129	129	=== Nutzername ===
130	130
131	131	Windows Domain Account, welcher für den Zugriff auf das Key Distribution Center (KDC) benötigt wird, um den nachfolgenden Authentifizierungsprozess einzuleiten.
132		-In den meisten Fällen ist dies ein User-Account aus dem AD, welcher als Service-Account fungiert und nicht zur Anmeldung an einer Workstation gedacht ist.
	129	+In den meisten Fällen ist dies ein User-Account aus dem AD, welcher als Service-Account fungiert und nicht zur Anmeldung an einer Workstation gedacht ist.
133	133
134	134	{{info}}
135	135	Es wird ein Nutzername mit Domainangabe (FQDN) benötigt, wenn in der **krb5.conf** Datei, unter dem Abschnitt //[libdefaults]//, kein **default_realm** definiert ist.
...	...	@@ -136,6 +136,11 @@
136	136	//Beispiel: user@EXCAMPLE.COM //
137	137	{{/info}}
138	138
	136	+{{info}}
	137	+Diesem Benutzer müssen z.B. im Active Directory die zu verwendeten Domians als ServiePrincipalName beginnend mit der Serviceklasse HTTP registriert werden. Mehr dazu finden Sie [[hier>>https://social.technet.microsoft.com/wiki/contents/articles/717.service-principal-names-spn-setspn-syntax.aspx||target="_blank"]] oder [[hier>>https://docs.microsoft.com/en-us/windows-server/networking/sdn/security/kerberos-with-spn||target="_blank"]].
	138	+{{/info}}
	139	+
	140	+(% class="wikigeneratedid" %)
139	139	=== Passwort ===
140	140
141	141	Passwort des oben genannten Service-Accounts
...	...	@@ -243,7 +243,6 @@
243	243	Der Name, welcher in der //login.conf// Datei für die Definition des Servers verwendet wird.
244	244
245	245	{{error}}
246		-
247	247	Sollte es bei aktiviertem Kerberos vereinzelt oder dauerhaft zu Fehlern beim Formular-Aufruf kommen (HTTP-Status 400), so überschreitet das Kerberos-Ticket die standardmäßige Größenlimitierung des HTTP-Headers durch den Anwendungsserver (z.B. Tomcat). Eine Lösung bringt die Erhöhung dieser Limitierung welche [[hier>>doc:Formcycle.SystemSettings.TomcatSettings.LimitHTTPHeader]] beschrieben wird.
248	248	{{/error}}
249	249
...	...	@@ -286,22 +286,22 @@
286	286
287	287	== Ausgelesene LDAP-Nutzerdaten im Designer verarbeiten ==
288	288
289		-Die zum authentifizierten Nutzer ermittelten Eigenschaften aus dem LDAP werden im **XFC_METADATA**-Objekt abgelegt und stehen dadurch im Formular zur Verfügung. Am JSON-Objekt **currentUser** befindet sich die Eigenschaft **ldap**, welche die ermittelten Daten als JSON-Struktur beinhaltet.
	290	+Die zum authentifizierten Nutzer ermittelten Eigenschaften aus dem LDAP werden im **XFC_METADATA**-Objekt abgelegt und stehen dadurch im Formular zur Verfügung. Am JSON-Objekt **user** befindet sich die Eigenschaft **rawData**, welche die ermittelten Daten als JSON-Struktur beinhaltet.
290	290
291	291	{{info}}
292		-Welche Daten die JSON-Struktur unter der **ldap** Eigenschaft beinhaltet, hängt maßgeblich von den Leserechten des LDAP-Accounts ab,
	293	+Welche Daten die JSON-Struktur unter der **rawData **Eigenschaft beinhaltet, hängt maßgeblich von den Leserechten des LDAP-Accounts ab,
293	293	welcher die Nutzersuche im LDAP-System durchführt.
294	294	{{/info}}
295	295
296	296	Das nachfolgende JS-Codeschnipsel zeigt einen Zugriff auf die LDAP-Eigenschaft //userPrincipalName// mittels JS im Designer:
297	297
298		-{{code language="javascript" title=""}}
	299	+{{code language="javascript"}}
299	299	try {
300	300	// Auslesen der Property und Anzeige in einem Label
301	301	var elem = $('[name=txt1]');
302		- var ldap = XFC_METADATA.currentUser.ldap;
	303	+ var ldap = XFC_METADATA.user.rawData;
303	303	if(ldap.hasOwnProperty('userPrincipalName')) {
304		- elem.append(ldap.userPrincipalName);
	305	+ elem.html(ldap.userPrincipalName);
305	305	}
306	306	} catch (err) {}
307	307	{{/code}}