設定外部 SAML 識別提供者

您可以選擇使用安全性聲明標記語言 (SAML) 2.0 識別提供者執行 Lenovo XClarity Administrator 的鑑別和授權。

開始之前

設定識別提供者前，必須先完成 XClarity Administrator 的起始設定。

識別提供者必須是 Microsoft Active Directory Federated Service (AD FS) 而且能夠連線至管理網路、資料網路或兩者。由於鑑別是透過 Web 瀏覽器進行，您的 Web 瀏覽器必須能夠存取 XClarity Administrator 和 SAML 伺服器。

您可以使用下列 URL 下載 IDP 元資料：https://<ADFS_IP_Address>/federationmetadata/2007-06/federationmetadata.xml，其中 <ADFS_IP_Address> 是 AD FS 的 IP 位址（例如 https://10.192.0.0/federationmetadata/2007-06/federationmetadata.xml）。

您必須建立或重新命名位置鑑別伺服器中的角色群組，以符合外部鑑別伺服器中定義的群組。

若要設定 SAML 識別提供者，您必須以 lxc_admin 或 lxc_supervisor 群組成員的使用者身分登入。

關於此作業

XClarity Administrator 支援使用安全性聲明標記語言 2.0 識別提供者來鑑別和授權使用者。除了輸入使用者名稱和密碼外，您還可以將識別提供者設定為要求額外的條件來驗證使用者的身分，例如輸入 PIN 碼、讀取智慧卡以及使用用戶端憑證進行鑑別。

當 XClarity Administrator 設定為使用識別提供者時，系統會將來自 XClarity Administrator Web 介面的互動登入要求重新導向到識別提供者進行鑑別。等使用者通過鑑別後，再將 Web 瀏覽器重新導向回 XClarity Administrator。

註

如果識別提供者已啟用，您只要開啟 Web 瀏覽器進入 XClarity Administrator 登入頁面（例如 https://<ip_address>/ui/login.htm），就可以略過識別提供者，使用本端或外部 LDAP 鑑別伺服器登入 XClarity Administrator。

當 XClarity Administrator 配置為使用識別提供者 Profile 時，XClarity Administrator Web 介面中的「使用者管理」頁面不會停用。本端使用者帳戶必須直接登入受管理機箱或伺服器（除非該裝置上已啟用 Encapsulation），進行 PowerShell 和 REST API 鑑別。

程序

完成下列步驟，以設定外部 SAML 識別提供者 (AD FS)。

建立當識別提供者無法使用時可用來登入 XClarity Administrator 的回復使用者帳戶（請參閱管理使用者帳戶）。
從識別提供者擷取識別提供者 (IDP) 元資料，並將檔案儲存在 XClarity Administrator 主機。
配置 XClarity Administrator SAML 用戶端。
1. 在 XClarity Administrator 功能表列上，按一下管理 > 安全性。
2. 按一下「使用者和群組」區段下的SAML 設定，以顯示SAML 設定對話框。
3. 填寫「SAML 設定」頁面上的欄位：
  1. 確認實體 ID 與 XClarity Administrator 管理伺服器的 IP 位址相符。
  2. 選擇所產生的元資料是否必須以數位方式簽署。
  3. 選擇鑑別要求是否必須經過簽署。
  4. 選擇鑑別回應是否必須經過簽署。
  5. 選擇傳送至遠端識別提供者的成品解析要求是否必須經過簽署。
  6. 將識別提供者所產生、並且在步驟 3 中擷取的 SAML 識別提供者 (IDP) 元資料貼入 IDP 元資料欄位。
4. 按一下套用套用變更，並更新「SP 元資料」欄位中的文字。
  小心
  此時請不要選取 SAML 已啟用。您將在稍後的步驟中啟用 SAML，以重新啟動 XClarity Administrator。
5. 複製 SP 元資料欄位中的資料並貼入檔案，然後以 .XML 副檔名儲存檔案（例如 sp_metadata.xml）。將這個檔案複製到 AD FS 主機。
配置 AD FS。
1. 開啟 AD FS 管理工具。
2. 按一下 ADFS > 信賴憑證者信任。
3. 用滑鼠右鍵按一下信賴憑證者信任，然後按一下新增信賴憑證者信任以顯示精靈。
4. 按一下開始。
5. 在「選取資料來源」頁面上，選取從檔案匯入信賴憑證者的相關資料，然後選取您在步驟 3e 中儲存的 SP 元資料檔。
6. 輸入顯示名稱。
7. 在所有頁面上按一下下一步以選擇預設值。
8. 按一下完成以顯示宣告規則頁面
9. 將以宣告方式傳送 LDAP 屬性保留預設值，然後按一下下一步。
10. 輸入宣告規則名稱。
11. 選取 Active Directory 做為屬性存放區。
12. 新增對應。在左側選取 SAM-Account-Name，在右側選取名稱 ID 做為輸出宣告類型。
13. 新增另一個對應。在左側選取 Token-Groups-Unqualified Names，在右側選取群組做為輸出宣告類型。
14. 按一下確定。
15. 在信賴憑證者信任清單中尋找您剛建立的信任。
16. 用滑鼠右鍵按一下該信任，然後按一下選取內容。畫面上會顯示信任的「內容」對話框。
17. 按一下進階標籤，然後選取 SHA-1 做為安全雜湊演算法。
儲存來自 AD FS 的伺服器憑證。
1. 按一下 AD FS 主控台 > 服務 > 憑證。
2. 在「權杖簽署」下選取憑證。
3. 用滑鼠右鍵按一下該憑證，然後按一下檢視憑證。
4. 按一下詳細資料標籤。
5. 按一下複製至檔案，並將憑證儲存為 DER 編碼二進位 X.509 (.CER) 檔案。
6. 複製伺服器憑證 .CER 檔案到 XClarity Administrator 主機。
將 AD FS 授信憑證匯入 XClarity Administrator Web 介面。
1. 在 XClarity Administrator 功能表列上，按一下管理 > 安全性。
2. 按一下「憑證管理」區段下的授信憑證。
3. 按一下建立圖示 () 以新增憑證。
4. 選取您在前一個步驟中儲存的伺服器憑證 .CER 檔案。
5. 按一下建立。
按一下「使用者和群組」區段下的 SAML 設定，以顯示「SAML 設定」對話框。
選取 SAML 已啟用以啟用透過外部識別提供者管理使用者帳戶。若選取這個選項，所有使用者帳戶都存在於遠端識別提供者中。
按一下套用套用變更，並重新啟動管理伺服器。
等候幾分鐘，讓 XClarity Administrator 重新啟動。
小心
在這個程序期間，不要手動重新啟動虛擬裝置。
關閉 Web 瀏覽器再重新開啟。
從識別提供者登入 XClarity Administrator Web 介面。

結果

XClarity Administrator 嘗試測試配置以偵測一般錯誤。如果測試失敗，則會顯示錯誤訊息，指出錯誤的來源。

XClarity Administrator 會驗證識別提供者連線。如果驗證通過，當您登入 XClarity Administrator 時，就會在識別提供者上進行使用者鑑別。

提供意見回饋