SAML-Konfiguration mit PingFederate

Bevor du Single Sign-On (SSO) für dein Team einrichten kannst, musst du über die folgenden Voraussetzungen verfügen:

1. Ein PingFederate-Konto
2. Ein Canva-Konto mit verifizierter Domain und Admin-/Besitzerzugriff
3. Ein Nutzerverzeichnis, z. B. LDAP Da sich die Konfiguration von solchen Verzeichnissen bei Unternehmen unterscheidet, gehen wir hier nicht näher auf die Einrichtung ein.

Wenn die obigen Anforderungen erfüllt sind, kannst du mit der Einrichtung von SSO für dein Team beginnen.

1. Wenn du es noch nicht getan hast, erstelle einen Datenspeicher, indem du zu System und dann Datenspeicher gehst.
2. Wähle „Neues Verzeichnis erstellen“, wenn deine gewünschte Datenquelle nicht vorhanden ist. Eine solche Datenquelle liefert in der Regel eine Liste von Nutzern mit zugehörigen Angaben wie Name, E-Mail-Adresse usw.

1. Wenn du es noch nicht getan hast, erstelle einen Zugangsdaten-Validierer, indem du zu System, dann zu Zugangsdaten-Validierer und dann zu Neue Instanz erstellen gehst. Wenn du bereits einen Zugangsdaten-Validierer hast, achte darauf, dass er mit deiner Datenquelle kompatibel ist.
2. Der Vertrag mit dem Zugangsdaten-Validierer muss den Nachnamen, Vornamen, Nutzernamen, die ID, UPN und die E-Mail-Adresse des Nutzers enthalten.

1. Erstelle eine neue Verbindung, indem du Anwendungen, dann SP-Verbindungen und anschließend Verbindung erstellen auswählst.

2. Wähle Keine Vorlage verwenden.

3. Wähle unter Verbindungstyp die Option Browser-SSO und dann aus dem Dropdownmenü die Option SAML2.0.

4. Wähle auf der Registerkarte Verbindungsoptionen die Option Browser-SSO.

5. Wähle auf der Registerkarte Metadaten importieren URL und dann Partner-Metadaten-URLs verwalten.

6. Wähle Neue URL hinzufügen.

7. Gib den Namen und die URL https://www.canva.com/_saml/metadata.xml ein. Die Option Metadaten-Signatur validieren darf nicht aktiviert sein.

8. Wähle Metadaten laden. Prüfe, ob die Werte korrekt sind, und wähle dann Speichern.

9. Wähle den von dir festgelegten Namen aus dem Dropdownmenü aus, dann Metadaten laden und anschließend Weiter.

10. Füge allgemeine Informationen hinzu und stelle sicher, dass die Verbindungs-ID der Abbildung entspricht. Gib der Anwendung einen Namen und ändere die Transaktionsprotokollierung nach Bedarf.

1. Wähle in PingFederate die Option Browser SSO und dann Configure Browser SSO.

2. Wähle auf der Registerkarte SAML profiles sowohl IDP-initiated SSO als auch SP-initiated SSO.

3. Ändere auf der Registerkarte Assertion lifetime den Wert nach Bedarf.

4. Wähle unter Assertion Creation die Option Configure Assertion Creation.

5. Wähle Standard aus.

6. Ordne die Attribute wie unten im Screenshot dargestellt zu.

7. Erstelle eine neue Adapter-Instanz oder wähle eine bereits vorhandene Adapter-Instanz aus. Achte bei einer bereits vorhandenen Adapter-Instanz darauf, dass die von Canva benötigten Attribute verfügbar sind.
8. Erweitere den Vertrag wie abgebildet. Beachte, dass die Attribute aus dem Verzeichnis stammen. Aktualisiere dieses Verzeichnis, falls du eine andere Datenquelle verwendest oder die gleichlautenden Attribute nicht vorhanden sind. Denke daran, dass wir die Attribute E-Mail, Vorname und Nachname benötigen.

9. Wähle eine ID als eindeutigen Schlüssel aus. Ändere die Protokollierungsoptionen nach Bedarf.

10. Konfiguriere den Adaptervertrag oder wähle einen vorhandenen Vertrag aus. Wir benötigen die Attribute E-Mail, Vorname und Nachname. Bitte ordne diese entsprechend zu und gib dann den Filterwert ein.

11. Wähle den neu erstellten Adapter oder den vorhandenen Adapter aus dem Dropdownmenü.

12. Wähle Use only adapter contract values in SAML assertion.

13. Passe die Zuordnung wie unten dargestellt an. Falls du Ausstellungskriterien wünschst, füge sie hier hinzu.

14. Wähle unter Protocol settings die Option Configure protocol settings.

15. Prüfe, ob die Endpunkt-URL der abgebildeten URL entspricht.

16. Deaktiviere die Optionen SOAP und Artifact.

17. Wähle Always sign assertion.

18. Wähle auf der Registerkarte Encryption die Option None aus.

19. Prüfe die Werte und wähle dann Save.
20. Wähle auf der Registerkarte Credentials die Option Configure credentials.

21. Erstelle ein neues Zertifikat oder wähle ein vorhandenes aktives Zertifikat aus.

1. Gehe in PingFederate zu Applications und wähle SP connections. Die neu erstellte Verbindung sollte angezeigt werden.
2. Wähle Export metadata aus.

3. Wähle unter certificates das zuvor verwendete Zertifikat aus. Das für die Verbindung verwendete Zertifikat muss mit dem übereinstimmen, das für die Signierung der exportierten Metadaten genutzt wurde.
4. Wähle Export aus und speichere die Datei.

5. Öffne die exportierte Datei und notiere den Wert für den Wert des Zertifikats und für die SSO-POST-Verknüpfung.

6. Gehe zu System, wähle Protocol settings und dann Federation Info. Gib die POST-VERKNÜPFUNGS-URL aus den exportierten Metadaten ein.

1. Melde dich in deinem Canva-Konto an.
2. Wähle auf der Startseite dein Kontoprofil aus, um das Menü zu öffnen.
3. Wähle
   Einstellungen.
4. Klicke im Seitenmenü auf das
   SSO und die Bereitstellung.
5. Gib unter Domainverifizierung die Domain deines Teams ein.
6. Klicke auf Domain übermitteln. Du erhältst einen DNS-Token.
7. Erstellen Sie einen TXT-Eintrag des DNS-Tokens mit Ihrem Domain-Host. Möglicherweise benötigst du dabei die Unterstützung deines IT-Teams.

1. Melde dich in deinem Canva-Konto an.
2. Wähle auf der Startseite dein Kontoprofil aus, um das Menü zu öffnen.
3. Wähle
   Einstellungen.
4. Klicke im Seitenmenü auf das
   SSO und die Bereitstellung.
5. Gib unter SAML die folgenden Informationen aus PingFederate ein:
6. Füge die Single-Sign-on-URL des Identity Provider-Ausstellers in das Feld SAML 2.0-Endpunkt (HTTP) ein. Die ID findest du in den exportierten Metadaten.
7. Kopiere deine Issuer ID in das Feld Identity Provider-Aussteller. Die ID findest du in den exportierten Metadaten.
8. Füge im Feld Öffentliches Zertifikat alle Informationen deines X.509-Zertifikats aus den heruntergeladenen Metadaten ein.

9. Klicke auf Änderungen speichern.

1. Wähle auf der Startseite dein Kontoprofil aus, um das Menü zu öffnen.
2. Wähle
   Einstellungen.
3. Klicke im Seitenmenü auf das
   SSO und die Bereitstellung.
4. Aktiviere unter Auswählen, wer SSO verwenden muss, die Option SSO optional für alle.
5. Melde dich von deinem Canva-Konto ab.
6. Melde dich erneut mittels SSO an. Wähle auf der Anmeldeseite die Option Mit E-Mail-Adresse fortfahren und dann den Link Mit Single Sign-on (SSO) fortfahren aus.

Wenn du zum Konto deines Teams gelangst, hast du die SSO-Funktion erfolgreich konfiguriert!

Hier legst du fest, wie man sich bei deinen Teams mit SSO-Option anmeldet.

1. Wähle auf der Startseite dein Kontoprofil aus, um das Menü zu öffnen.
2. Wähle
   Einstellungen.
3. Klicke im Seitenmenü auf das
   SSO und die Bereitstellung.
4. Wähle eine der Optionen unter Auswählen, wer SSO verwenden muss. Weitere Informationen zu den einzelnen Optionen findest du unter Zugangsdatenkontrolle einrichten.
5. Klicke auf Änderungen speichern.