Anforderungen

Für die Aktivierung von Single Sign-On (SSO) in Jamf Pro wird Folgendes benötigt:

• Integration in einen Identitätsdienst, der SAML-2.0-Protokolle unterstützt

• Jamf Pro Benutzeraccounts oder Gruppen, die mit Benutzernamen oder Gruppen beim Identitätsdienst übereinstimmen

• Administratorberechtigungen für Jamf Pro und den Identitätsdienst

Verfahren

1. Melden Sie sich bei Jamf Pro an.

2. Klicken Sie in der oberen rechten Ecke der Seite auf Einstellungen .

3. Klicken Sie auf Systemeinstellungen.

4. Klicken Sie auf Single Sign-On.

5. Klicken Sie auf Bearbeiten .

6. Wählen Sie das Markierungsfeld Authentifizierung per Single Sign-On aktivieren aus.

   Hinweis: Kopieren Sie die unter Anmelde-URL für Failover angegebene URL und speichern Sie sie an einem abgesicherten Speicherort.

7. Wählen Sie im Einblendmenü Identitätsdienst Ihren jeweiligen Identitätsdienst aus. Wenn der von Ihnen verwendete Identitätsdienst nicht im Einblendmenü angezeigt wird, wählen Sie „Sonstiges“ aus.

8. Die Informationen unter Entitäts-ID werden von Jamf Pro standardmäßig automatisch eingefügt (z. B. „https://instanzname.jamfcloud.com/saml/metadata“).

   Hinweis: Dieser Wert muss in der Regel mit dem Wert für die Zielgruppen-URI übereinstimmen, die in den Einstellungen Ihres Identitätsdienstes konfiguriert ist.

9. Wählen Sie im Einblendmenü Identity Provider Metadata Source (Quelle der Metadaten des Identitätsdienstes) die Option „Metadaten-URL“ oder „Metadaten-Datei“ aus. Dieser Wert stammt aus den Konfigurationseinstellungen Ihres Identitätsdienstes.

10. Geben Sie in das Feld Ablauf des Tokens einen Wert in Minuten ein. Mit diesem Wert wird der Zeitraum bis zum Ablauf des SAML-Tokens angegeben. Er wird für den von Ihnen verwendeten Identitätsdienst automatisch vorab eingefügt.

    Wichtig: Vergewissern Sie sich, dass dieser Wert mit den Einstellungen für den Ablauf des Tokens übereinstimmt, die möglicherweise in Ihrem Identitätsdienst konfiguriert sind.

11. Konfigurieren Sie die Einstellungen für die Benutzerzuordnung:

    1. Wählen Sie das Attribut aus dem SAML-Token aus, das für die Zuordnung der Jamf Pro Benutzer verwendet werden soll. Standardmäßig wird das Attribut NameID verwendet. Wenn Sie Benutzerdefiniertes Attribut auswählen, können Sie ein benutzerdefiniertes Attribut festlegen, das dem vom Identitätsdienst bereitgestellten SAML-Token hinzugefügt wird.

       Hinweis: Um den Informationsaustausch zwischen Jamf Pro und dem Identitätsdienst zu gewährleisten, muss das vom Identitätsdienst gesendete SAML-Token für beide Optionen das Attribut NameID enthalten.

    2. Wählen Sie Benutzername oder E-Mail aus, um festzulegen, wie im Identitätsdienst hinterlegte Benutzer den Benutzern in Jamf Pro zugeordnet werden sollen. Die Benutzerinformationen werden von Jamf Pro standardmäßig aus dem Identitätsdienst abgerufen und mit in Jamf Pro vorhandenen Benutzeraccounts abgeglichen. Wenn der übermittelte Benutzeraccount in Jamf Pro nicht vorhanden ist, findet ein Abgleich anhand des Gruppennamens statt.

    3. Geben Sie in das Feld Attributname für Identitätsdienst-Gruppe das Attribut im SAML-Token ein, mit dem Benutzer im Identitätsdienst bestimmt werden. Die Gruppennamen werden von Jamf Pro mit den Gruppen in der Jamf Pro Datenbank abgeglichen. Die Benutzer erhalten die Zugriffsrechte aller Gruppen, die auch einem lokalen Jamf Pro Benutzer gewährt würden. AttributeValue-Zeichenfolgen können als mehrere Zeichenfolgen oder als einzelne Zeichenfolge oder als durch Semikolon voneinander getrennte Werte konfiguriert werden.
       

       Beispiel: http://schemas.xmlsoap.org/claims/Group

    4. (Optional) Verwenden Sie die Einstellung RDN-Schlüssel für die LDAP-Gruppe, um den Namen der Gruppe aus Zeichenfolgen zu extrahieren, die im LDAP-Format als definierte Namen (DN) angegeben sind. Die übermittelte Zeichenfolge wird von Jamf Pro mit dem angegebenen Schlüssel nach einem relativen definierten Namen (RDN) durchsucht. Der Wert des RDN-Schlüssels wird als tatsächlicher Name der Gruppe verwendet.

       Hinweis: Wenn die vom LDAP-Verzeichnisdienst übermittelte Zeichenfolge mehrere RDN-Komponenten mit demselben Schlüssel (z. B. „CN=Administrators“, „CN=Users“, „O=YourOrganization“) enthält, werden von Jamf Pro die Gruppennamen aus dem RDN-Schlüssel extrahiert, der links als erstes angegeben ist (in diesem Fall „CN=Administrators“). Wenn das Feld „RDN-Schlüssel für die LDAP-Gruppe“ leer bleibt, wird von Jamf Pro die gesamte Zeichenfolge im LDAP-Format verwendet.

12. (Empfohlen) Wählen Sie unter Jamf Pro Signierungszertifikat eine Option aus, um jegliche SAML-Kommunikation mit einer digitalen Signatur zu schützen. Wenn das Jamf Pro Signierungszertifikat hochgeladen werden soll, müssen Sie einen Signierungszertifikat-Keystore (JKS- oder P12-Datei) mit einem privaten Schlüssel hochladen, um SAML-Tokens zu signieren und zu verschlüsseln. Anschließend geben Sie das Passwort für die Keystore-Datei ein, wählen den Alias des privaten Schlüssels aus und geben dann das Passwort für diesen Schlüssel ein.

13. Konfigurieren Sie für Jamf Pro nach Bedarf eine oder mehrere der folgenden SSO-Optionen:

    • Wählen Sie Allow users to bypass the Single Sign-On authentication (Benutzern erlauben, die Authentifizierung per Single Sign-On zu umgehen), um Benutzern die Anmeldung bei Jamf Pro ohne SSO-Authentifizierung zu erlauben, indem sie die Jamf Pro URL direkt aufrufen. Wenn ein Benutzer versucht, über Ihren Identitätsdienst auf Jamf Pro zuzugreifen, wird er weiterhin vom Identitätsdienst per Single Sign-On authentifiziert und autorisiert.

    • Wählen Sie Enable Single Sign-On for Self Service for macOS (SSO für Self Service für macOS aktivieren) aus, wenn sich die Benutzer auf der Anmeldeseite Ihres Identitätsdienstes bei Self Service anmelden können sollen. Self Service kann auf alle beim Identitätsdienst hinterlegten Benutzernamen zugreifen.
      

      Hinweis:

      • Wenn diese Option ausgewählt ist, wird in den Anmeldeeinstellungen in Self Service für macOS für die Benutzeranmeldung bei Self Service automatisch Single Sign-On konfiguriert.

      • Durch Deaktivieren von Single Sign-On für Self Service werden die Einstellungen für die Benutzeranmeldung in Self Service automatisch zurückgesetzt und so geändert, dass Benutzern die Anmeldung mit einem LDAP-Account oder Jamf Pro Benutzeraccount erlaubt wird, um für sie verfügbare Elemente anzuzeigen.

    • Wählen Sie Enable Single Sign-On for User-Initiated Enrollment (SSO für benutzerinitiierte Registrierung aktivieren) aus, wenn sich die Benutzer auf der Anmeldeseite Ihres Identitätsdienstes bei Jamf Pro anmelden können sollen. Bei Aktivierung dieser Option entspricht der auf der Anmeldeseite des Identitätsdienstes verwendete Benutzername dem Benutzernamen, der von Jamf Pro während der Aktualisierung der Bestandsdaten für einen Computer oder ein Mobilgerät unter „Benutzer und Standort“ in das Feld „Benutzername“ eingefügt wird. Sie können festlegen, ob der Zugriff allen Benutzern beim Identitätsdienst oder nur bestimmten Benutzergruppen gewährt werden soll.

      Hinweis:

      • Wenn in Jamf Pro ein LDAP-Verzeichnisdienst integriert ist, werden die Benutzer- und Standortdaten vollständig aus dem LDAP-Verzeichnis abgerufen und automatisch eingefügt.

      • Ohne einen angebundenen LDAP-Verzeichnisdienst werden dagegen nur die Informationen im Feld „Benutzername“ der Kategorie „Benutzer und Standort“ automatisch eingefügt. Ein Benutzerabgleich ist während der Registrierung nicht möglich.

14. Klicken Sie auf Speichern .
    

15. (Optional) Laden Sie die Jamf Pro Metadaten-Datei herunter.

Der Benutzer wird nun automatisch zur Anmeldeseite Ihres Identitätsdienstes weitergeleitet und kann auf die konfigurierten Jamf Pro Ressourcen zugreifen.

Melden Sie sich zum Testen der Einstellungen für die SSO-Authentifizierung bei Jamf Pro und Ihrem Identitätsdienst ab. Rufen Sie anschließend in Ihrem Webbrowser die Jamf Pro URL auf. Daraufhin sollte die Anmeldeseite Ihres Identitätsdienstes angezeigt werden. Nach erfolgreicher Authentifizierung sollten Sie dann zum Jamf Pro Dashboard weitergeleitet werden.

Informationen zur Behebung häufig auftretender Fehler bei Verwendung von SSO finden Sie in der Informationsdatenbank im Artikel Troubleshooting Single Sign-On in Jamf Pro (Behebung von Fehlern mit Single Sign-On in Jamf Pro).