Administrator KonsoleMelden Sie sich mit SSO an

Microsoft Entra ID SAML Implementierung

Dieser Artikel enthält Azure-spezifische Hilfe zur Konfiguration der Zugangsdaten mit SSO über SAML 2.0. Für Hilfe bei der Konfiguration der Zugangsdaten mit SSO für einen anderen IdP, verweisen Sie auf SAML 2.0 Konfiguration.

Die Konfiguration beinhaltet die gleichzeitige Arbeit mit der Bitwarden-Web-App und dem Azure-Portal. Während Sie fortfahren, empfehlen wir, beides griffbereit zu haben und die Schritte in der Reihenfolge durchzuführen, in der sie dokumentiert sind.

Tipp

Already an SSO expert? Skip the instructions in this article and download screenshots of sample configurations to compare against your own.

Download Sample

Öffnen Sie SSO in der Web-App

Melden Sie sich bei der Bitwarden-Web-App an und öffnen Sie die Administrator-Konsole mit dem Produktumschalter ():

Produktwechsler
Produktwechsler

Öffnen Sie die Einstellungen Ihrer Organisation → Einmaliges Anmelden Bildschirm:

SAML 2.0 Konfiguration
SAML 2.0 Konfiguration

Wenn Sie es noch nicht getan haben, erstellen Sie einen einzigartigen SSO-Identifikator für Ihre Organisation und wählen Sie SAML aus dem Typ-Dropdown aus. Lassen Sie diesen Bildschirm geöffnet, um leicht darauf zugreifen zu können.

Sie können die Option Legen Sie eine eindeutige SP-Entitäts-ID fest in diesem Stadium ausschalten, wenn Sie möchten. Wenn Sie dies tun, wird Ihre Organisations-ID aus Ihrem SP-Entity-ID-Wert entfernt. In fast allen Fällen wird jedoch empfohlen, diese Option aktiviert zu lassen.

Tipp

Es gibt alternative Mitglied Entschlüsselungsoptionen. Erfahren Sie, wie Sie mit SSO auf vertrauenswürdigen Geräten oder mit Key Connector beginnen können.

Erstellen Sie eine Enterprise-Anwendung

Im Azure Portal navigieren Sie zu Microsoft Entra ID und wählen Sie Enterprise-Anwendungen aus dem Navigationsmenü aus:

Enterprise applications
Enterprise applications

Wählen Sie die Neue Anwendung Schaltfläche:

Create new application
Create new application

Auf dem Bildschirm Microsoft Entra ID Galerie durchsuchen, wählen Sie die Schaltfläche Erstellen Sie Ihre eigene Anwendung:

Create your own application
Create your own application

Auf dem Bildschirm "Erstellen Sie Ihre eigene Anwendung" geben Sie der Anwendung einen einzigartigen, Bitwarden-spezifischen Namen und wählen Sie die Option (Nicht-Galerie) aus. Wenn Sie fertig sind, klicken Sie auf die Erstellen Schaltfläche.

Einzelanmeldung aktivieren

Vom Anwendungsübersichtsbildschirm aus wählen Sie Einmaliges Anmelden aus der Navigation:

Configure Single sign-on
Configure Single sign-on

Auf dem Single Sign-On Bildschirm, wählen Sie SAML.

SAML-Einrichtung

Grundlegende SAML-Konfiguration

Wählen Sie die Schaltfläche Bearbeiten und konfigurieren Sie die folgenden Felder:

Feld

Beschreibung

Kennzeichner (Entitäts-ID)

Setzen Sie dieses Feld auf die vorab generierte SP Entity ID.

Dieser automatisch generierte Wert kann von der EinstellungenSingle Sign-On Bildschirm der Organisation kopiert werden und variiert je nach Ihrer Konfiguration.

Antwort-URL (Assertion Consumer Service URL)

Setzen Sie dieses Feld auf die vorab generierte Assertion Consumer Service (ACS) URL.

Dieser automatisch generierte Wert kann von der EinstellungenSingle Sign-On Bildschirm der Organisation kopiert werden und variiert je nach Ihrer Konfiguration.

Anmelden bei URL

Legen Sie dieses Feld auf die Zugangsdaten-URL fest, von der aus Benutzer auf Bitwarden zugreifen werden.

Für Kunden, die in der Cloud gehostet werden, ist dies https://vault.bitwarden.com/#/sso oder https://vault.bitwarden.eu/#/sso. Für selbst gehostete Instanzen wird dies durch Ihre konfigurierte Server-URL bestimmt, zum Beispiel https://ihre-domain.com/#/sso.

Benutzerattribute & Ansprüche

Die standardmäßig von Azure erstellten Ansprüche funktionieren mit den Zugangsdaten mit SSO, jedoch können Sie optional diesen Abschnitt verwenden, um das von Azure in SAML-Antworten verwendete NameID-Format zu konfigurieren.

Wählen Sie die Bearbeiten Schaltfläche und wählen Sie den Eindeutigen Benutzeridentifikator (Name ID) Eintrag, um den NameID Anspruch zu bearbeiten:

Bearbeiten Sie die NameID-Anspruch
Bearbeiten Sie die NameID-Anspruch

Optionen beinhalten Standard, E-Mail-Adresse, Beständig, Unspezifiziert und Windows qualifizierter Domain-Name. Für weitere Informationen, siehe Microsoft Azure Dokumentation.

SAML-Signaturzertifikat

Laden Sie das Base64-Zertifikat für die Verwendung in einem späteren Schritt herunter.

Richten Sie Ihre Anwendung ein

Kopieren Sie oder machen Sie eine Notiz von der URL der Zugangsdaten und dem Microsoft Entra ID Identifier in diesem Abschnitt zur Verwendung in einem späteren Schritt:

Azure URLs
Azure URLs
Hinweis

If you receive any key errors when logging in via SSO, try copying the X509 certificate information from the Federation Metadata XML file instead.

Benutzer und Gruppen

Wählen Sie Benutzer und Gruppen aus der Navigation aus:

Assign users or groups
Assign users or groups

Wählen Sie die Schaltfläche Benutzer/Gruppe hinzufügen, um den Zugangsdaten mit der SSO-Anwendung auf Benutzer- oder Gruppenebene Zugriff zu gewähren.

Zurück zur Web-App

Bis zu diesem Zeitpunkt haben Sie alles, was Sie im Kontext des Azure Portals benötigen, konfiguriert. Kehren Sie zur Bitwarden-Webanwendung zurück, um die Konfiguration abzuschließen.

Der Single-Sign-On-Bildschirm teilt die Konfiguration in zwei Abschnitte auf:

  • Die Konfiguration des SAML-Dienstanbieters bestimmt das Format der SAML-Anfragen.

  • Durch die Konfiguration des SAML-Identitätsanbieters wird das zu erwartende Format für SAML-Antworten bestimmt.

Konfiguration des Dienstanbieters

Konfigurieren Sie die folgenden Felder:

Feld

Beschreibung

Namens-ID-Format

Standardmäßig wird Azure die E-Mail-Adresse verwenden. Wenn Sie diese Einstellung geändert haben, wählen Sie den entsprechenden Wert aus. Andernfalls setzen Sie dieses Feld auf Nicht spezifiziert oder E-Mail-Adresse.

Ausgehendes Signaturalgorithmus

Der Algorithmus, den Bitwarden zur Signierung von SAML-Anfragen verwenden wird.

Unterzeichnungsverhalten

Ob/wann SAML-Anfragen signiert werden.

Mindesteingehendes Signaturalgorithmus

Standardmäßig wird Azure mit RSA SHA-256 signieren. Wählen Sie rsa-sha256 aus dem Dropdown-Menü.

Möchte Behauptungen unterschrieben haben

Ob Bitwarden erwartet, dass SAML-Behauptungen signiert werden.

Zertifikate validieren

Markieren Sie dieses Kästchen, wenn Sie vertrauenswürdige und gültige Zertifikate von Ihrem IdP über eine vertrauenswürdige CA verwenden. Selbstsignierte Zertifikate können fehlschlagen, es sei denn, die richtigen Vertrauensketten sind mit den Bitwarden Zugangsdaten mit SSO Docker-Image konfiguriert.

Wenn Sie mit der Konfiguration des Dienstanbieters fertig sind, speichern Sie Ihre Arbeit.

Konfiguration des Identitätsanbieters

Die Konfiguration des Identitätsanbieters erfordert oft, dass Sie auf das Azure Portal zurückverweisen, um Anwendungswerte abzurufen:

Feld

Beschreibung

Entitäts-ID

Geben Sie Ihre Microsoft Entra ID-Kennung ein, die Sie aus dem Abschnitt Richten Sie Ihre Anwendung ein des Azure-Portals abgerufen haben. Dieses Feld ist Groß- und Kleinschreibungssensitiv.

Bindungsart

Einstellen auf HTTP POST oder Umleitung.

Einmaliges Anmelden Service URL

Geben Sie Ihre Login URL ein, die Sie aus dem Abschnitt Richten Sie Ihre Anwendung ein des Azure Portals abgerufen haben.

URL des Einzelabmeldedienstes

Die Anmeldung mit SSO unterstützt derzeit nicht SLO. Diese Option ist für zukünftige Entwicklungen geplant, jedoch können Sie sie vorab mit Ihrer Abmelde-URL konfigurieren, wenn Sie möchten.

X509 Öffentliches Zertifikat

Fügen Sie das heruntergeladene Zertifikat ein und entfernen Sie es.

-----BEGIN ZERTIFIKAT-----

und

-----ENDE ZERTIFIKAT-----

Der Zertifikatswert ist Groß- und Kleinschreibungssensitiv, zusätzliche Leerzeichen, Zeilenumbrüche und andere überflüssige Zeichen werden dazu führen, dass die Zertifikatsvalidierung fehlschlägt.

Ausgehendes Signaturalgorithmus

Standardmäßig wird Azure mit RSA SHA-256 signieren. Wählen Sie rsa-sha256 aus dem Dropdown-Menü.

Deaktivieren Sie ausgehende Abmeldeanfragen

Die Anmeldung mit SSO unterstützt derzeit nicht SLO. Diese Option ist für zukünftige Entwicklungen geplant.

Möchte Authentifizierungsanfragen signiert haben

Ob Azure erwartet, dass SAML-Anfragen signiert werden.

Hinweis

Bei der Ausstellung des X509-Zertifikats, machen Sie eine Notiz vom Ablaufdatum. Zertifikate müssen erneuert werden, um jegliche Unterbrechungen im Dienst für SSO-Endbenutzer zu verhindern. Wenn ein Zertifikat abgelaufen ist, können sich Administrator- und Eigentümer-Konten immer mit E-Mail-Adresse und Master-Passwort anmelden.

Wenn Sie mit der Konfiguration des Identitätsanbieters fertig sind, speichern Sie Ihre Arbeit.

Tipp

Sie können Benutzer dazu auffordern, sich mit SSO anzumelden, indem Sie die Richtlinie für die Authentifizierung mit Single Sign-On aktivieren. Bitte beachten Sie, dass dies auch die Aktivierung der Einzelorganisation-Richtlinie erfordern wird. Erfahren Sie mehr.

Testen Sie die Konfiguration

Sobald Ihre Konfiguration abgeschlossen ist, testen Sie diese, indem Sie zu https://vault.bitwarden.com navigieren, Ihre E-Mail-Adresse eingeben, Weiter auswählen und den Enterprise Single-On Button auswählen:

Unternehmens Single Sign On und Master-Passwort
Unternehmens Single Sign On und Master-Passwort

Geben Sie die konfigurierte Organisationskennung ein und wählen Sie Anmelden. Wenn Ihre Implementierung erfolgreich konfiguriert ist, werden Sie zum Microsoft Zugangsdaten-Bildschirm weitergeleitet:

Azure login screen
Azure login screen

Nachdem Sie sich mit Ihren Azure-Anmeldeinformationen authentifiziert haben, geben Sie Ihr Bitwarden Master-Passwort ein, um Ihren Tresor zu entschlüsseln!

Hinweis

Bitwarden does not support unsolicited responses, so initiating login from your IdP will result in an error. The SSO login flow must be initiated from Bitwarden. Azure SAML administrators can setup an App Registration for users to be directed to the Bitwarden web vault login page.

  1. Disable the existing Bitwarden button in the All Applications page by navigating to the current Bitwarden Enterprise application and selecting properties and set the Visible to users option to No.

  2. Create the App Registration by navigating to App Registrations and selecting New Registration.

  3. Provide a name for the application such as Bitwarden SSO. No not specify a Redirect URL. Select Register to complete the forum.

  4. Once the app has been created, navigate to Branding & Properties located on the navigation menu.

  5. Add the following settings to the application:

    1. Upload a logo for end user recognition. You can retrieve the Bitwarden logo here.

    2. Set the Home page URL to your Bitwarden client login page such as https://vault.bitwarden.com/#/login or your-self-hostedURL.com.

Once this process has been completed, assigned users will have a Bitwarden application that will link them directly to the Bitwarden web vault login page.

Änderungen an dieser Seite vorschlagen

Wie können wir diese Seite für Sie verbessern?
Bei technischen, Rechnungs- und Produktfragen wenden Sie sich bitte an den Support

Cloud-Status

Status überprüfen

Erweitern Sie Ihr Wissen über Cybersicherheit.

Abonnieren Sie den Newsletter.


© 2024 Bitwarden, Inc. Bedingungen Datenschutz Cookie-Einstellungen Sitemap

Diese Website ist auf Deutsch verfügbar.
Go to EnglishStay Here