Verwaltung von Benutzern

Benutzer können sowohl manuell als auch automatisch über SAML 2-Authentifizierung erstellt werden. So starten Sie den Vorgang:

1. Benutzerordner anlegen: Legen Sie zunächst im Modul „Benutzer“ Ordner an, um die Benutzer zu organisieren. Dazu benötigen Sie eine Benutzervorlage mit dem Code „admin“.
2. Benutzer hinzufügen: Wenn die Vorlage vorhanden ist, können Sie mit dem Hinzufügen von Benutzern beginnen:
   1. Öffnen Sie die Ansicht „Berechtigungen“ über die Administrationsoberfläche.
   2. Wählen Sie im Strukturbereich „Benutzer und Rollen“ aus.
   3. Klicken Sie im Anzeigemenü auf „Neuer Ordner“.
   4. Nachdem Sie den Ordner benannt, Berechtigungen zugewiesen und gespeichert haben, wird er im Berechtigungsstrukturbereich angezeigt.
   5. Als nächstes fügen Sie die Admin-Vorlage als erlaubte Vorlage hinzu, geben einen Code für den Ordner ein und speichern erneut.

Manuelles Anlegen von Benutzern

So erstellen Sie manuell einen Benutzer:

1. Navigieren Sie zum entsprechenden Ordner.
2. Wählen Sie „Neuer Benutzer“, um die Ansicht „Efecte-Benutzer“ zu öffnen.
3. Geben Sie dem neuen Benutzer einen Namen.
4. Geben Sie die erforderlichen Informationen ein (falls vorhanden).
5. Klicken Sie auf Speichern.

Die Informationen zum neuen Benutzer werden im ESM-Inhaltsbereich angezeigt, und der Name des neuen Benutzers wird unter dem aktiven Ordner im Berechtigungsstrukturbereich angezeigt.

Automatische Verwaltung von Benutzern

Die automatische Benutzererstellung, -aktualisierung und -löschung kann mithilfe der Efecte Provisioning Engine (EPE) über einen Orchestrierungsknoten innerhalb der Workflows orchestriert werden. Ausführliche Informationen finden Sie in der EPE-Dokumentation.

Benutzerspezifische Einstellungen

Benutzerspezifische Einstellungen ermöglichen die Anpassung von Authentifizierungsmethoden und Schnittstelleneinstellungen, einschließlich Sprache und Zeitzone. Diese Einstellungen sind für jeden Benutzer individuell.

Klicken Sie im Anzeigemenü auf Einstellungen, um die Ansicht Benutzereinstellungen zu öffnen:

Benutzerspezifische Sicherheitseinstellungen

• Authentifizierungsmethode: Wählen Sie zwischen ID/Passwort ( Andere ), LDAP AD -basierter oder SAML 2 -Authentifizierung. Jede Methode hat ihre Besonderheiten hinsichtlich der Benutzer-ID-Zuordnung und Rollenzuweisung.
  • a. Wenn „ Andere Authentifizierungsmethode“ ausgewählt ist, kann der ESM-Benutzer entweder lokal mit der in der Datenbank gespeicherten Benutzer-ID/dem in der Datenbank gespeicherten Passwort oder per NTSM-Authentifizierung mit der in der Datenbank gespeicherten Benutzer-ID oder mit der über die LDAP-Schnittstelle abgerufenen Benutzer-ID authentifiziert werden.
  • Normalerweise wird für die LDAP- Authentifizierung Windows Active Directory verwendet. Sie müssen die LDAP-Einstellungen (normalerweise LDAP-Server) im Abschnitt „Einstellungen für Pluggable Authenticator“ der Plattformeinstellungen angeben (bearbeitbar über „Verwaltung“ > „Wartung“ > „Einstellungen bearbeiten“).
    • HINWEIS! Bei Verwendung der LDAP-Authentifizierung muss die Efecte-Benutzer-ID des Benutzers mit einer vorhandenen Benutzer-ID im LDAP-System übereinstimmen und LDAP muss als erster Wert in der Plattformeinstellung auth.chain hinzugefügt werden. Die benutzerspezifische LDAP-Einstellung in der Ansicht „Benutzerspezifische Sicherheitseinstellungen“ kann mit der Plattformeinstellung auth.chain überschrieben werden.
    • Wenn im auth.chain-Wert vor LDAP andere Authentifizierungsmethoden (z. B. Datenbank oder ntlm) aufgeführt sind, wird die Authentifizierung zuerst mit diesen Methoden versucht, unabhängig von der Einstellung in der Ansicht „Sicherheitseinstellungen“ des Benutzers.
    • Wenn LDAP im auth.chain-Wert fehlt, wird unabhängig von der Einstellung in der Sicherheitseinstellungsansicht des Benutzers nie eine LDAP-Authentifizierung versucht.
  • Wenn SAML 2- Authentifizierung aktiviert ist, werden die Rollen eines ESM-Benutzers entsprechend den in den SAML 2-Nachrichten identifizierten Rollen zugewiesen.
    • Wenn SAML 2-Authentifizierung verwendet wird, ist es nicht möglich, einem Benutzer manuell Rollen in der ESM-Administrations-UI zuzuweisen, sondern nur über die SAML 2-Nachricht.
    • HINWEIS! Externe IDs, die die Rollen identifizieren, müssen in der Rolleneditoransicht ESM-Rollen zugeordnet werden.
• ESM-Benutzer-ID und -Passwort: Geben Sie für die lokale Authentifizierung die Benutzer-ID und das Passwort an.
  • Beachten Sie, dass nur der Root-Benutzer Benutzer-IDs ändern darf.
• ESM-Benutzerebene: Zu den Optionen gehören:
• Normal – Anzeigen, Bearbeiten und Löschen von Vorlagen, Ordnern und Datenkarten gemäß den Berechtigungen der Benutzerrolle.
• Schreibgeschützt – Lesen Sie Datenkarten gemäß den Berechtigungen der Benutzerrolle.
• Root – unbegrenzte Rechte für ESM-Daten und Datenpflege, ohne jegliche Benutzerrollenbeschränkungen.
  • Gehen Sie mit der Root-Benutzerebene vorsichtig um, da sie über außerordentliche Leistung verfügt.

Zeitzoneneinstellungen des Benutzers

Durch die Aktivierung der Unterstützung mehrerer Zeitzonen können Benutzer ihre bevorzugte Zeitzone festlegen und so die globale Benutzerfreundlichkeit von ESM verbessern.

Authentifizierungsmethode

Sie können auswählen, ob die Benutzerauthentifizierung auf Basis von Benutzer-ID/Passwort (Andere), LDAP AD -basierter Authentifizierung (LDAP) oder SAML 2-Authentifizierung ( SAML 2) erfolgen soll.

Automatische Benutzererstellung mit SAML 2

SAML 2-Authentifizierung ermöglicht die automatische Benutzererstellung basierend auf Attributinformationen in SAML 2-Nachrichten und weist Rollen und Benutzerebenen entsprechend zu. Dadurch wird die Benutzerverwaltung (mit Ausnahme von Root-Benutzern) auf den Identitätsanbieter wie Efecte Identity Management (EIM) oder Secure Access ( ESA ) verlagert.

Beachten Sie, dass bei Verwendung SAML 2-basierten Authentifizierung für den Benutzer die gesamte Rollenverwaltung über EIM oder ESA erfolgen muss. Auch wenn die Authentifizierungsmethode manuell auf LDAP geändert und dem Benutzer neue Rollen hinzugefügt werden, wird die Authentifizierung bei der nächsten Anmeldung wieder auf SAML 2.0 umgestellt, falls EIM oder ESA die Benutzerebeneninformationen sendet.

Konfigurieren SAML 2-basierten Authentifizierung

So nutzen Sie SAML 2-basierte Authentifizierung:

1. Passen Sie die Authentifizierungskette in den Plattformeinstellungen an, um SAML 2 einzuschließen.
2. Konfigurieren Sie den Identitätsanbieter so, dass die erforderlichen Attribute per Shibboleth gesendet werden.
   1. §Rollen – Liste der Rollen als Zeichenfolge, getrennt durch das Zeichen „;“.
   2. esm_userLevel – mögliche Werte: Root, Normal, Readonly, NoAccess.
   3. esm_email – Zum Erstellen einer Person erforderlich.
   4. esm_firstName – Zum Erstellen einer Person, optional.
   5. esm_lastName – Zum Erstellen einer Person, optional.
3. Ordnen Sie ESM-Rollen den durch SAML 2 identifizierten Rollen im Rolleneditor zu.

Rollenzuordnung in der Rolleneditoransicht:

Konfigurieren der NTLM-Authentifizierung (vor Ort)

Die NTLM-Authentifizierung ist nur für lokale Installationen anwendbar und ermöglicht Benutzern die Anmeldung mit ihren Windows-Anmeldeinformationen.

Hinweis! Dies gilt nur für lokale ESM-Installationen.

Wenn ESM für die Verwendung der NTLM-HTTP-Authentifizierung konfiguriert ist, können sich Benutzer mit ihren Windows-Anmeldeinformationen bei ESM anmelden, ohne Benutzernamen und Kennwort erneut eingeben zu müssen (sobald sie an ihrer Windows-Workstation angemeldet sind). Die NTLM-HTTP-Authentifizierung ist ein Challenge/Response-Protokoll: Der Server sendet eine Challenge an den Client (d. h. den Browser), und Server und Client antworten über HTTP.

ESM unterstützt sowohl das NTLMv1- als auch das NTLMv2-Protokoll. Die Verwendung des älteren Protokolls v1 wird nicht mehr empfohlen und funktioniert nicht einmal mit den Standardeinstellungen neuerer Windows-Workstations und -Server. ESM unterstützt die ältere Protokollversion aus Gründen der Abwärtskompatibilität.

Mit der Einstellung auth.sso.use.fully.qualified.account.name kann ESM so konfiguriert werden, dass der Windows-Benutzername mit dem ESM-Benutzernamen anhand des vollqualifizierten Kontonamens (DOMAIN\Benutzername) verglichen wird. Diese Konfiguration funktioniert mit allen SSO-Authentifizierungen: NTLMv1, NTLMv2 und Kerberos. Dies erfordert, dass ESM-Benutzer ihre Benutzer-IDs im Format DOMAIN\Benutzername haben.

So verwenden Sie die NTLM-Authentifizierung in ESM:

1. Benutzer müssen in der Windows-Domäne und im ESM denselben Benutzernamen haben.
2. NTLM muss als eine der Authentifizierungsmethoden konfiguriert werden.
   1. Dies kann durch Hinzufügen des Werts „negotiate“ oder „NTLM“ (für NTLMv1) zur Einstellung „auth.chain“ (unter „Administration“ > „Wartung“ > „Einstellungen bearbeiten“ ) erfolgen – zum Beispiel „auth.chain = negotiate, database“. Diese Beispielkonfiguration aktiviert die NTLMv2-Authentifizierung für ESM und macht sie zur ersten Authentifizierungsmethode, die ausprobiert wird.
      

      Notiz:

      Die gängigsten Konfigurationswerte sind „Datenbank“, „LDAP, Datenbank“ und „Negotiate, LDAP, Datenbank“. Wenn sowohl NTLM als auch „Negotiate“ gleichzeitig konfiguriert sind, wird nur „Negotiate“ verwendet.
      Negotiate (oder NTLM) muss die erste Option in der Liste sein, wenn es verwendet werden soll. Andernfalls 1) wird bei erfolgreicher primärer Anmeldemethode auch die NTLM-Authentifizierung durchgeführt, die jedoch nie im ESM verwendet wird, oder 2) wenn die primäre Anmeldemethode fehlschlägt, scheint die Anmeldung mit jedem Kennwort erfolgreich zu sein, da die NTLM-Authentifizierung als Fallback verwendet wird, jedoch keine Benachrichtigung darüber angezeigt wird.
3. Nur für NTLMv1: Domänencontroller müssen konfiguriert werden. Wenn Benutzer beispielsweise zu einer der Domänen SALES und DEVEL gehören könnten, müssen die Domänencontroller für beide Domänen angegeben werden. Dies geschieht durch Hinzufügen der folgenden Zeilen zu den Plattformeinstellungen:
   1. auth.ntlm.SALES.domaincontroller = salesdc.mycompany.com
   2. auth.ntlm.DEVEL.domaincontroller = develdc.mycompany.com
   3. Die allgemeine Form dieser Einstellung ist auth.ntlm.<NetBIOS-Name der Domäne>.domaincontroller.
      1. Bitte beachten Sie, dass der NetBIOS-Name nur ein Teil eines vollqualifizierten Domänennamens ist – beispielsweise ist sales.mycompany.com ein vollqualifizierter Domänenname und SALES ist der NetBIOS-Name der Domäne.) Der Wert der Einstellung ist ein DNS-Name, ein vollqualifizierter Domänenname oder eine IP-Adresse des Domänencontrollers der jeweiligen Domäne.
         

         Notiz:

         Es können auch mehrere Domänencontroller vorhanden sein. In diesem Fall wird der erste Domänencontroller als auth.ntlm.DOMAIN.domaincontroller und die nachfolgenden Domänencontroller als auth.ntlm.DOMAIN.domaincontroller.1 , auth.ntlm.DOMAIN.domaincontroller.2 usw. konfiguriert.

Nur für NTLMv1: Beachten Sie, dass die Einstellung auth.ntlm.defaultdomaincontroller ebenfalls konfiguriert werden sollte (sie befindet sich im Abschnitt „Einstellungen für Pluggable Authenticator“ der Plattformeinstellungen). Der Wert der Einstellung ist ein DNS-Name, ein vollqualifizierter Domänenname oder eine IP-Adresse des Domänencontrollers. Diese Einstellung wird verwendet, wenn der Browser keine Informationen zur Domäne sendet oder die Domäne nicht bekannt ist. Problematisch ist es, wenn ein IE-Benutzer aus einer unbekannten Domäne kommt. Wenn der Standarddomänencontroller nicht konfiguriert ist, denkt der IE, dass die NTLM-Aushandlung nicht abgeschlossen ist, und sendet den Benutzernamen und das Kennwort aus dem Anmeldeformular nicht an den ESM-Server. Das bedeutet, dass die Authentifizierung immer fehlschlägt.

Browserunterstützung für NTLM-HTTP-Authentifizierung

Microsoft Internet Explorer verhandelt die NTLM-HTTP-Authentifizierung transparent. Sobald der IE die NTLM-HTTP-Authentifizierung ausgehandelt hat, verhandelt er die NTLM-Authentifizierung proaktiv für POST-Anfragen für alle mit dem Server verknüpften Inhalte neu. Dies bedeutet, dass der IE jedes Mal neu verhandelt, wenn er POST-Daten an ESM senden muss (z. B. beim Speichern einer Datenkarte). Das Verhalten des IE kann geändert werden, erfordert jedoch eine Bearbeitung der Windows-Registrierung.

Damit die NTLM-Authentifizierung wie vorgesehen funktioniert, müssen die IE-Sicherheitseinstellungen wie folgt konfiguriert werden:

1. Die ESM-URL muss im IE als vertrauenswürdige Site konfiguriert werden (unter Internetoptionen > Sicherheit > Vertrauenswürdige Sites > Sites > Erweitert ).
2. Die Anmeldeoption in den IE-Sicherheitseinstellungen muss entweder auf „ Automatische Anmeldung nur in der Intranetzone “ oder „ Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort “ eingestellt sein (unter Internetoptionen > Sicherheit > Vertrauenswürdige Sites > Stufe anpassen… ).

Internet Explorer-Sicherheitseinstellungen für die NTLM-Authentifizierung :

Mozilla und Mozilla-basierte Browser wie Firefox unterstützen die NTLM-HTTP-Authentifizierung, fordern den Benutzer jedoch immer zur Eingabe seiner Anmeldeinformationen auf. Es ist jedoch möglich, Mozilla-basierte Browser so zu konfigurieren, dass die NTLM-Aushandlung transparent durchgeführt wird:

1. Starten Sie den Browser.
2. Schreiben Sie about:config in die Adressleiste.
3. Bearbeiten Sie die Einstellung network.automatic-ntlm-auth.trusted-uris: Der Wert dieser Einstellung ist eine durch Kommas getrennte Liste von URL-Präfixen oder Domänen. Fügen Sie das URL-Präfix für Ihren ESM-Server hinzu, zum Beispiel http://efecteserver .

Diese Änderung kann zur einfacheren Bereitstellung auch an einer Mozilla-Konfigurationsdatei vorgenommen werden.

Konfigurieren der Kerberos-Authentifizierung (nur vor Ort)

Für größtmögliche Client-Unterstützung und optimale Sicherheit kann die Kerberos-Authentifizierung verwendet werden. Der Nachteil von Kerberos ist, dass es zwar die sicherste Authentifizierungsoption ist, aber auch am schwierigsten zu implementieren ist. In den meisten Fällen, in denen nur Windows-Arbeitsplätze vorhanden sind, sollte NTLMv2 mehr als ausreichend sein und ist deutlich einfacher zu implementieren.

Mit der Einstellung auth.sso.use.fully.qualified.account.name kann ESM so konfiguriert werden, dass der Windows-Benutzername mit dem ESM-Benutzernamen anhand des vollqualifizierten Kontonamens (DOMAIN\Benutzername) verglichen wird. Diese Konfiguration funktioniert mit allen SSO-Authentifizierungen: NTLMv1, NTLMv2 und Kerberos. Dies erfordert, dass ESM-Benutzer ihre Benutzer-IDs im Format DOMAIN\Benutzername haben.

So konfigurieren Sie die Kerberos-Authentifizierung in ESM

1. Benutzer müssen in der Windows-Domäne und im ESM denselben Benutzernamen haben.
2. Negotiate muss als eine der Authentifizierungsmethoden konfiguriert werden. Dies kann durch Hinzufügen des Werts „negotiate“ zur Einstellung „auth.chain“ (unter „Wartung > Einstellungen bearbeiten“) erfolgen – zum Beispiel „auth.chain = negotiate , database“. Diese Beispielkonfiguration aktiviert die Kerberos-Negotiate-Authentifizierung für ESM und macht sie zur ersten Authentifizierungsmethode, die ausprobiert wird.
3. Ändern Sie den Wert der Plattformeinstellung negotiate.protocol in Negotiate. Bitte beachten Sie, dass Änderungen an dieser Einstellung erst nach einem Neustart des ESM-Dienstes wirksam werden.

Wenn Sie den ESM-Dienst mit einem anderen Benutzer als dem lokalen System ausführen möchten, müssen Sie die Kerberos-Vorauthentifizierung für diesen Benutzer in Active Directory deaktivieren und einen Service Principal Name (SPN) erstellen, der dem Server entspricht, auf dem ESM ausgeführt wird. Hier ein Beispiel für einen SPN: HTTP/efecteserver.domain.com.

Die Browserkonfiguration für die Kerberos-Authentifizierung ist dieselbe wie für NTLM im Internet Explorer. In Firefox muss der ESM-Server in der Einstellung network.negotiate-auth.trusted-uris hinzugefügt werden.

LDAP-Authentifizierung mit mehreren Domänen (nur vor Ort)

Die Authentifizierung von mehreren Domänen kann aktiviert werden, indem der Wert der Plattformeinstellung auth.ldap.multidomain.enabled auf „true“ gesetzt wird.

LDAP-URLs müssen mit der Einstellung auth.ldap.host.uri.DOMAIN angegeben werden, wobei DOMAIN durch den tatsächlichen Domänennamen ersetzt werden muss. Diese Einstellung kann mehrere Werte enthalten, die durch Komma getrennt sind. Beispiel: auth.ldap.host.uri.SALES= ldap://dc1:3268,ldap://dc2:3268

Für alle hier verwendeten Domänencontroller muss der Global Catalog (GC) aktiviert sein (Standardport ist 3268). GC ist erforderlich, da für die Domänen keine Basis-DNs definiert sind und nur GC ohne GC Suchvorgänge zulässt. Benutzer, die sich bei ESM anmelden, müssen ihren Benutzernamen im Format DOMÄNE\Benutzername angeben.

Servlet-Authentifikator

Die Servlet-Authentifizierung kann über bestimmte Plattformeinstellungen eingerichtet werden, wodurch eine Anmeldesteuerung basierend auf Active Directory Gruppen und die automatische Erstellung von Benutzerkonten in ESM basierend auf der Servlet-Authentifizierung ermöglicht wird.

• servlet.auth.admin.ad.group – Name der AD -Gruppe, die Administratoren die Anmeldung bei ESM ermöglicht. Mehrere Gruppen werden unterstützt. Die Werte sollten durch Kommas getrennt werden.
• servlet.auth.create.users – Wenn das Benutzerkonto noch nicht existiert, wird es erstellt. Standardwert: „true“.
• servlet.auth.person.groups.attribute.code – Gruppenattributcode auf „Personenvorlage“, der einen Verweis auf die Vorlage „ Active Directory Gruppe“ enthält.
• servlet.auth.person.template.code – Vorlagencode mit persönlichen Informationen.
• uid – Gruppenattributcode auf „Personenvorlage“, der eine Zeichenfolge für die Benutzer-ID in Active Directory enthält.
• servlet.auth.person.user.attribute.code – Gruppenattributcode auf „Personenvorlage“, der einen Verweis auf die Efecte-Benutzervorlage enthält.
• servlet.auth.user.ad.group – Name der AD Gruppe, die normalen Benutzern die Anmeldung bei ESM ermöglicht. Mehrere Gruppen werden unterstützt. Die Werte sollten durch Kommas getrennt werden.
• servlet.auth.user.folder.code – Ordnercode eines Berechtigungsbaumordners, in dem der neue Benutzer erstellt wird.
• servlet.auth.user.name.attribute.code – Gruppenattributcode auf der „Benutzer“-Vorlage, der eine Zeichenfolge für den Benutzernamen enthält.
• servlet.auth.user.person.attribute.code – Gruppenattributcode auf der „Benutzer“-Vorlage, der einen Verweis auf die Personenvorlage enthält.
• servlet.auth.user.readonly.roles – Name der Administratorrolle, der Benutzern zugewiesen wird, die als schreibgeschützte Benutzer erkannt werden.
  • Diese gehören nicht zu "servlet.auth.user.ad.group" oder "servlet.auth.admin.ad.group".
    • Wenn diese Einstellung leer ist, können sich Benutzer, die keiner dieser Rollen angehören, nicht anmelden.
• servlet.auth.user.roles – Name der Administratorrolle, die Benutzern zugewiesen wird, die als normale Benutzer erkannt werden. Siehe „servlet.auth.user.ad.group“.