SevOne SAML Single Sign On 安装指南

• 需要 SevOne NMS 集群引导者的 IP 地址。

1. 登录到 Okta 帐户。
2. 单击右上角的 管理 按钮。
3. 单击 应用程序 下拉列表，然后选择 应用程序。
4. 单击 添加应用程序 按钮。

5. 单击左侧面板中的 创建新应用程序 按钮。

   确保在左上角选择了 经典 UI 选项。

   

6. 选择 SAML 2.0 作为登录方式。
7. 点击创建按钮以启动创建 SAML 集成。
8. 输入 应用程序名称。
9. 您可以选择添加 应用程序徽标。 此字段是可选字段。

10. 点击 “下一步 ”按钮以创建/配置 SAML 应用程序。

    

1. 在您的 SAML 提供商站点中创建一个新的 SAML 应用程序。
2. 添加单点登录 URL。
   注: 示例

   https:// <群组领导 IP 地址>/sso/callback

   注意： 若 SAML 应用程序需要收件人和目标URL，请将上述 URL 同时用于两者。
3. 添加 受众 URI (也称为 SP 实体标识)。
   注: 示例

   https:// <群组领导 IP 地址>/sso/callback

4. 对于 IdP 启动的登录支持， 缺省 RelayState 必须 设置为 NMS 客户机标识 sevonenms。
5. 为 name 添加属性语句，该属性语句具有映射到 SevOne NMS 中的用户登录的值。
6. 您的配置必须如下所示。

   示例

   在此示例中， 10.168.129.48 是集群引导程序 IP 地址。

   

7. 向用户提供使用应用程序的许可权。

在NMS配置中，您需要从 SAML 提供程序获取以下内容：

1. 身份提供商单点URL。
2. 身份提供者签发者。
3. x.509 证书。

1. 将 x.509 证书 /secrets/dex/saml.pem 复制到 SevOne NMS 的群集组长。
   重要： 如果目录 /secrets/dex 不存在，请创建它。
2. 以 support 的身份 SSH 登录群集领导者。

   $ ssh support@<Cluster Leader IP address>

3. 运行 /usr/local/scripts/dex_setup_template.sh 脚本以更新配置模板。

   
   $ sudo su
   
   $ podman exec -it nms-nms-nms /bin/bash
   
   $ bash /usr/local/scripts/dex_setup_template.sh
   

   注意： 运行此命令 dex_setup_template.sh 将生成一个新的 MySQL dex密码以及一个新的 OAuth 密钥。 若因任何原因需重新运行此脚本，请使用新密码和密钥对生成的 /config/dex.yaml 文件进行编辑。 未能执行此操作将导致 所有 活动 dex 连接器发生以下认证错误。

   错误

   Authentication Exception: Invalid client credentials.

4. 使用文本编辑器编辑 /config/dex.yaml 文件。

   vi /config/dex.yaml

   1. 取消注释 SAML 部分（从第- 行id: saml开始），方法是删除每行开头的#符号。
      注: 以 ## 开头的前 3 行应保留为注释。
   2. id -是 dex唯一的标识。 若您没有其他与 SAML ID 相关的连接，可保持现状不变。 这是仅供内部使用，但如果要配置多个连接器，那么必须唯一。
   3. name -设置为合理的值。 当显示了登录选项时，将向用户显示此值。
   4. type -保留为 saml。
   5. 将 config.ssoURL 设置为身份提供商单点登录 URL。
   6. 将 config.ssoIssuer 设置为 身份提供者签发者。
   7. 将 config.ca 值设置为 x.509 证书所在的文件路径。 例如，/secrets/dex/saml.pem.
   8. 根据 Identity Server 配置，您可能需要更改 config.usernameAttr 和 config.emailAttr 的值以与服务器的属性语句的值匹配。
   9. 如果您的身份服务器需要使用GET 认证请求（而非默认的POST 请求），请在 SAML 连接器配置中添加以下行，因为该配置决定了 dex 如何处理 SAML 响应。

      authnRequestBindingType: "HTTP-Redirect"

5. If you used the 域名 for <Cluster Leader IP address> in the previous section, replace all instances of the Cluster Leader IP address with the Domain Name.
6. 如果您已在 SevOne NMS 集群上设置了签名证书，请更新以下内容以验证这些证书。 在 sevone > Connector > config下，
   1. 添加 caCertFile 并将其设置为 CA 的路径。
   2. 将 noVerify 设置为 false 以验证证书。
7. 如果未首先咨询 SevOne 支持人员，请不要在 存储器， Web和 前端 部分中更改任何配置。
8. 您的 dex 配置文件 /config/dex.yaml 必须如下所示。

   包含详细注释的示例

   
   # Note: Dex should only be running on the cluster master / leader
   # the URL here can be the IP or the hostname of the cluster master / leader
   # Cluster master / leader IP that will issue the valid auth tokens. This has to be
   # reachable by DI, the NMS and the IdP
   # If behind a proxy, this should be the proxy address to the cluster master / leader. The same 
   # proxy address for the issuer should be configured for the IdP, DI and the NMS. Everyone 
   # needs to agree on the issuer and it has to be the same
   
   # in all of the login cases in order for SSO to work.
   issuer: https://10.49.8.85/sso
   # Backend storage for authenticated clients
   storage:
     type: mysql
     config:
       host: 127.0.0.1:3307
       database: dex_db
       user: dex
       # This is the MySQL password used to allow access to the dex database
       password: W7Pp9CXMsBCgeRlu0n61oI15705nYMLvhETPTPW9Z2FQ2lL7mD3QR9M6GlUHamDLrcgVt2dd7CJb86D5Su5biEumHJcvOuRPjK0pWWJRDZV48WX96c3q6Gftvchb66Xy
       ssl:
         mode: "false"
   logger:
     level: "debug"
     format: "text"
   
   # The port where dex will run
   web:
     http: 127.0.0.1:5556
   
   # The login page for dex authentication
   frontend:
     dir: /opt/dex/web
     theme: sevone
     issuer: SevOne
     extra:
       heading_logo_url: /images/sevone_rgb_web.png
   
   # The connector for doing local SevOne authentication
   connectors:
   - id: sevone
     name: SevOne auth
     type: sevone
     config:
       restUrl: https://10.49.8.85/api
       resetPassUrl: https://10.49.8.85/doms/login/newPassword.html
       caCertFile: /secrets/nginx/nginx.crt
       noVerify: true
   ## To get a SAML connector working, replace:
   ##   - The ssoURL and ssoIssuer with URLs from the SAML provider
   ##   - redirectURI/entityIssuer addresses need to point to the cluster master hostname or IP
   - id: saml
     name: saml
     type: saml
     config:
       ssoURL: "https://okta.com/app/sevoneapp/sso/saml2"
       ssoIssuer: "http://www.okta.com/abcdefg"
       redirectURI: "https://10.49.8.85/sso/callback"
       ca: /secrets/dex/saml.pem
       usernameAttr: name
       emailAttr: email
   oauth2:
     # skips asking the user to grant permission for login
     skipApprovalScreen: true
   
     # the OpenID Connect flow types to enable. DO NOT EDIT
     responseTypes: ["code","token","id_token"]
   
   # This defines which applications can authenticate using dex. Below is an example 
   # NMS configuration, but other applications (e.g. DI) can be configured here
   staticClients:
   # The client_id. Use this id as the 'Default Relay State' when configuring a SAML
   # Service Provider.
   - id: sevonenms
     # The redirect URIs matter for SP initiated logins (client (NMS) initiated logins).
     # It should contain all the peers in the cluster with both their hostnames and IPs that are
     # allowed to do SP initiated login. Also with HTTP and HTTPS access.
     # The user can be redirected to one of these after a successful login.
     redirectURIs:
     - 'http://10.49.11.236/callback.php'
     - 'https://10.49.11.236/callback.php'
     - 'http://10.49.8.85/callback.php'
     - 'https://10.49.8.85/callback.php'
     name: 'SevOne NMS'
   
     # The client_secret for the NMS client. The NMS will need this to initiate login.
     secret: L0VoyU23I1gUjbjlQPH8JvCc4S2Xv0Kh0Vb6j4Wzt7NX9gSn5duFMxRzAWU74mBZOnd78zAIQPOh815ry0QCB1QEbVwriGKlYBPqkOagkGlR2cfK6IJMXS4KFEy64lds
   
     # samlInitiated is required to enable SAML's IdP initiated flow. If not using
     # SAML, you may omit this section.
     samlInitiated:
       # This is where users will finally be redirected after a SAML IdP initiated login.
       # It can be any peer in the cluster.
       redirectURI: https://10.49.8.85/callback.php
   
   # Let dex keep a list of passwords which can be used to login to dex.
   # We don't allow that so lets keep it disabled.
   enablePasswordDB: false
   

9. 重新启动 SSO 服务。 请参阅 " 重启单点登录服务 "部分。

10. 启用 SSO。 请参阅启用单点登录一节。

• Azure Active Directory (AD) 预订。 如果您没有预订，那么可以获取免费帐户。
• Azure Active Directory (AD) 安全断言标记语言 ( SAML ) 工具包支持单点登录 (SSO) 的订阅服务。
  注： 请参阅 https://docs.microsoft.com/en-us/azure/active-directory/saas-apps/saml-toolkit-tutorial 了解详情。
• 需要 SevOne NMS 集群引导者的 IP 地址。
  重要信息: 升级/安装 SevOne NMS

  要使用单点登录功能， 必须 在 SevOne NMS 5.7.2.15 或更高版本上。

1. 登录到 Azure 门户网站。
   重要信息: 您的帐户必须是 Azure 预订管理员/所有者。
2. 浏览至 Azure Services下的 Azure Active Directory 。
3. 单击 添加 按钮以添加企业应用程序。
4. 单击 创建您自己的应用程序 按钮。
   重要信息: 如果按钮不可用，那么您的帐户可能没有正确的许可权。
   1. 输入应用程序名称。
   2. 选择 集成您在库中找不到的任何其他应用程序。 即，非画廊。
5. 在左侧导航栏中的 管理下，单击 用户和组。
   重要信息: 在此处，您将确定要提供对单点登录的访问权的 Azure 用户。
6. 单击 添加用户/组，然后选择 Azure 用户和组以具有单点登录访问权。
7. 添加用户和组后，单击 分配 。
8. 在左侧导航栏中的 管理下，单击 单点登录。
9. 选择 SAML 作为单点登录方法。
   注意： 您现在位于基于 SAML 的登录页面。

   要返回，请单击左侧导航栏中 管理 下的 单点登录 。

10. 在 “基本 SAML 配置 ”部分中 单击以进行编辑。
    1. 将 标识 (实体标识) 更改为 https://<Cluster Leader IP address>/sso/callback ，其中 <Cluster Leader IP address> 是 SevOne NMS 集群引导者的 IP 地址。
    2. 将 回复 URL (消费者服务 URL ) 改为 https://<集群负责人 IP地址> /sso/回调 ，其中 <集群负责人 IP地址> 是您 SevOne NMS群集负责人的IP地址。
       重要信息: 此字段用于 IDP 启动的 SSO ，因此将不使用此字段，但应用程序设置需要此字段。
11. 单击保存 ，然后单击 关闭。
    重要信息: 如果收到弹出窗口询问是否要测试应用程序，请立即将其拒绝。
12. 单击 " 用户属性和要求 "部分中的 进行编辑。
13. 值 user.mail 的声明名称必须是 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name。
14. 单击 添加新声明。
    1. 输入名称 displayname。
    2. 以 http://schemas.microsoft.com/identity/claims身份输入名称空间。
    3. 输入源属性 user.displayname。
15. 在 SAML 签名证书部分，
    1. 对于 证书 (Base64) > 单击 下载。
       重要信息: 原始证书 不 起作用。
16. 在设置<您的应用程序名称> 部分，您需要URL 才能进行下一步。

1. 将 x.509 证书 /secrets/dex/saml.pem 复制到 SevOne NMS 的群集组长。
   重要： 如果目录 /secrets/dex 不存在，请创建它。
2. 以 support 的身份 SSH 登录群集领导者。

   $ ssh support@<Cluster Leader IP address>

3. 运行 /usr/local/scripts/dex_setup_template.sh 脚本以更新配置模板。

   
   $ sudo su
   
   $ podman exec -it nms-nms-nms /bin/bash
   
   $ bash /usr/local/scripts/dex_setup_template.sh
   

   注意： 运行此命令 dex_setup_template.sh 将生成一个新的 MySQL dex密码以及一个新的 OAuth 密钥。 若因任何原因需重新运行此脚本，请使用新密码和密钥对生成的 /config/dex.yaml 文件进行编辑。 未能执行此操作将导致 所有 活动 dex 连接器发生以下认证错误。

   错误

   Authentication Exception: Invalid client credentials.

4. 使用文本编辑器编辑 /config/dex.yaml 文件。

   vi /config/dex.yaml

   1. 取消注释 SAML 部分（ 从以- id: azure 或- id: okta 开头的行开始），方法是删除每行的#符号。
      注: 以 ## 开头的前 3 行应保留为注释。
   2. id -是 dex唯一的标识。 若您没有其他与 SAML ID 相关的连接，可保持现状不变。
   3. name -将在单点登录页面的用户界面上显示的文本。 如果将字符串括在引号中，那么可能有一个带空格的字符串。
   4. type -保留为 saml。
   5. ssoURL - Azure 上，在单点登录页面第四部分 "设置 <您的应用程序名称>"下，复制登录 URL 并粘贴到此处，用引号包起来。 例如，"SSO 登录 URL "。
   6. ssoIssuer -将此字段的名称更改为 entityIssuer ，并将此字段设置为 "https://<Cluster Leader IP address>/sso/callback"; 必须将其括在引号中。
   7. redirectURI -保留为-is。
   8. ca - 设置字段为 /secrets/dex/saml.pem.
   9. usernameAttr -设置为 "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"; 必须将其括在引号中。 这映射到基于 SAML 的单点登录页面中，" 属性与声明 "部分的第二部分中的"名称"属性。
   10. emailAttr -设置为 "http://schemas.microsoft.com/identity/claims/displayname"; 必须用引号将其括起。 这将映射到 Azure中的 EmailAddress 属性。

   示例

   
   - id: saml
     name: saml
     type: saml
     config:
       ssoURL: "https://login.microsoftonline.com/uuid/saml2"
       entityIssuer: "https://10.49.8.85/sso/callback"
       redirectURI: "https://10.49.8.85/sso/callback"
       ca: /secrets/dex/saml.pem
       usernameAttr: "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
       emailAttr: "http://schemas.microsoft.com/identity/claims/displayname"
   

5. 重新启动 SSO 服务。 请参阅 " 重启单点登录服务 "部分。
6. 启用 SSO。 请参阅启用单点登录一节。

要确定集群引导程序上 dex 的状态，必须执行以下命令。

1. 从主机执行以下命令，检查 dex 状态。

   systemctl status dex

   如果 dex 正在运行，它将返回与下面示例类似的信息。

   示例

   
   dex.service - Dex
      Loaded: loaded (/etc/containers/systemd/dex.container; generated)
      Active: active (running) since Tue 2024-07-09 17:34:59 UTC; 2h 1min ago
     Process: 2365965 ExecStopPost=/usr/bin/podman rm -v -f -i --cidfile=/run/dex.cid (code=exited, status=0/SUCCESS)
     Process: 2365934 ExecStop=/usr/bin/podman rm -v -f -i --cidfile=/run/dex.cid (code=exited, status=0/SUCCESS)
    Main PID: 2366012 (conmon)
       Tasks: 8 (limit: 50216)
      Memory: 36.4M
      CGroup: /system.slice/dex.service
              ├─libpod-payload-8e37a5524368883e88c0110ac49f63b8316f4a4143a23a1a8add5d8b1d4e91a3
              │ └─2366022 /usr/local/bin/dex serve /config/dex.yaml
              └─runtime
                ├─2366009 /usr/bin/fuse-overlayfs -o lowerdir=/var/lib/containers/storage/overlay/l/XOFTFBIRI3IHVUTF7QIIMDMREL:/var/lib/containers/storage/overlay/l/CP>
                └─2366012 /usr/bin/conmon --api-version 1 -c 8e37a5524368883e88c0110ac49f63b8316f4a4143a23a1a8add5d8b1d4e91a3 -u 8e37a5524368883e88c0110ac49f63b8316f4a>
   

   这表明您位于群集领导者上，/config/dex.yaml 文件已存在，并且 dex 正在运行。

   如果dex没有运行，您将看到与下面示例类似的信息。

   示例

   
   dex.service - Dex
      Loaded: loaded (/etc/containers/systemd/dex.container; generated)
      Active: inactive (dead)
   

   在这种情况下，请在 重新启动 dex 之前，确保您是群集领导者，并且 /config/dex.yaml 文件已存在。

   systemctl restart dex

   注意： systemctl status dex 脚本不考虑是否启用了单点登录。

   可以从 SevOne NMS 图形用户界面启用单点登录。 在导航栏中输入集群负责URL ，点击管理菜单 ，选择集群管理器 ，选择集群设置选项卡， 登录子选项卡。 您将在 单点登录 部分下看到 启用单点登录 字段。