Externí přihlašování - Historie editací

Petrm v 20. 11. 2023, 12:14

2023-11-20T12:14:24Z

← Starší verze		Verze z 20. 11. 2023, 14:14
Řádek 1:		Řádek 1:
	Rozšíření aplikace '''Externí přihlašování''' umožňuje využít přihlašování do aplikace prostřednictvím služby třetí strany. Přihlašování je založeno na ~~standartu~~ OAuth 2.0 nebo SAML 2.0. Díky využití přihlašování prostřednictvím OAuth 2.0 nebo SAML 2.0 není nutné mít zřízeno heslo pro přístup do portálu. Je možno se přihlásit prostřednictvím účtu Google, Microsoft, případně vlastního přihlašování, které dokáže komunikovat s aplikací KS Portál prostřednictvím tohoto ~~standartu~~. Případně za využití OpenID protokolu. V těchto službách tak může být nastaveno více-faktorové ověření na základě něhož dojde k předání příslušného uživatelského jména, které je následně spárováno na základě parametru ''ZdrojOsCisla''.		[[Rozšíření aplikace]] '''Externí přihlašování''' umožňuje využít přihlašování do aplikace prostřednictvím služby třetí strany. Přihlašování je založeno na standardu '''OAuth 2.0''' nebo '''SAML 2.0'''. Díky využití přihlašování prostřednictvím OAuth 2.0 nebo SAML 2.0 není nutné mít zřízeno heslo pro přístup do portálu. Je možno se přihlásit prostřednictvím účtu Google, Microsoft, případně vlastního přihlašování, které dokáže komunikovat s aplikací KS Portál prostřednictvím tohoto standardu. Případně za využití OpenID protokolu. V těchto službách tak může být nastaveno více-faktorové ověření, na základě něhož dojde k předání příslušného uživatelského jména, které je následně spárováno na základě parametru ''ZdrojOsCisla''.

	Pro využití je nutno zaregistrovat si aplikaci KS-Portál jako důvěryhodnou a využít tak principů tohoto standardu. Je tak možno dosáhnout vyšší bezpečnosti při autentizaci a autorizaci uživatelů při přihlašování do portálu. Na straně portálu je pak vyžadováno nastavení konektivity s autentizační službou a nastavení uživatelských jmen uživatelům KS Portálu, které budou následně korektně asociována s údaji, které vrátí autentizační služba. Díky využití tohoto rozšíření, nejsou ~~uživatele~~ nuceni zadávat své přihlašovací údaje do portálu a bezpečnostní politika hesel tak zůstává svěřena třetí straně. Komunikace mezi KS Portálem a autentizační službou musí probíhat prostřednictvím zabezpečeného přenosu s využitím šifrování pomocí TLS za využití protokolu HTTPS.		Pro využití je nutno zaregistrovat si aplikaci KS-Portál jako důvěryhodnou a využít tak principů tohoto standardu. Je tak možno dosáhnout vyšší bezpečnosti při autentizaci a autorizaci uživatelů při přihlašování do portálu. Na straně portálu je pak vyžadováno nastavení konektivity s autentizační službou a nastavení uživatelských jmen uživatelům KS Portálu, které budou následně korektně asociována s údaji, které vrátí autentizační služba. Díky využití tohoto rozšíření nejsou uživatelé nuceni zadávat své přihlašovací údaje do portálu a bezpečnostní politika hesel tak zůstává svěřena třetí straně. Komunikace mezi KS Portálem a autentizační službou musí probíhat prostřednictvím zabezpečeného přenosu s využitím šifrování pomocí TLS za využití protokolu HTTPS.

	==Princip činnosti==		==Princip činnosti==
Řádek 151:		Řádek 151:

	pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD		pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD

			== Logování OAUTH/SAML komunikace ==
			Při počátečním nastavování je téměř nutností logovat chyby vrácené externím serverem, např. že chybí oprávnění pro Microsoft Graph.
			* Pro '''SAML''' se '''automaticky''' loguje do %Temp%\SAMLTrace.txt.
			* Logování pro '''OAUTH''' je nutno '''zapnout parametrem ve web.config''':

			<!--Logovani OAUTH komunikace do %ksportal%\Logs\OAUTHTraceLog.txt-->
			<add key="OAuthTempLog" value="a" />
			: <small>hd 69595</small>
			== Odkazy ==
			* [[Portál-ObecnéInformace]]

Jakub: /* Princip činnosti */

2021-07-28T06:03:33Z

Princip činnosti

← Starší verze		Verze z 28. 7. 2021, 08:03
Řádek 5:		Řádek 5:
	==Princip činnosti==		==Princip činnosti==

	Uživatel přistoupí na stránku určenou pro přihlašování do portálu, například : „https://ksprogram.cz/demo/ksportal/Public/ExternalLogin.aspx“ . Uživatel je poté přesměrován na stránku autentizační služby například stránka Googlu, Microsoft, apod. Při tomto přesměrování dojde k odeslání informací, potřebných pro žádost autentizačního serveru. Uživatel následně zadá své přihlašovací údaje do tohoto účtu. Provede veškeré úkony spojené s přihlašováním a je přesměrován zpět na portál. Tato odpověď již obsahuje informace, které slouží KS Portálu pro vytvoření dohody s autentizačním severem, který následně portálu předá přihlašovací jméno. ~~Toto jméno~~ je následně ~~spárováno~~ s uživatelským jménem přiřazeným danému uživateli KS Portálu. Uživatel se ~~tedy~~ ocitne na stránce po přihlášení, například „https://ksprogram.cz/demo/ksportal/Default.aspx“.		Uživatel přistoupí na stránku určenou pro přihlašování do portálu, například : „https://ksprogram.cz/demo/ksportal/Public/ExternalLogin.aspx“ . Uživatel je poté přesměrován na stránku autentizační služby například stránka Googlu, Microsoft, apod. Při tomto přesměrování dojde k odeslání informací, potřebných pro žádost autentizačního serveru. Uživatel následně zadá své přihlašovací údaje do tohoto účtu. Provede veškeré úkony spojené s přihlašováním a je přesměrován zpět na portál. Tato odpověď již obsahuje informace, které slouží KS Portálu pro vytvoření dohody s autentizačním severem, který následně portálu předá přihlašovací jméno. V případě, že je k dispozici více databází, je zobrazena stránka s možností výběru databáze, následným stiskem tlačítka Zvolit, dojde k přihlášení uživatele. Předaný údaj z autentizační služby je následně spárován s uživatelským jménem přiřazeným danému uživateli KS Portálu nebo osobní číslem, dle nastavení. Uživatel se následně ocitne na stránce po přihlášení, například „https://ksprogram.cz/demo/ksportal/Default.aspx“.

	=Konfigurace OAuth 2.0 přihlašování =		=Konfigurace OAuth 2.0 přihlašování =

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-07-28T06:00:11Z

Konfigurace OAuth 2.0 přihlašování

← Starší verze		Verze z 28. 7. 2021, 08:00
Řádek 104:		Řádek 104:
	pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD		pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD

	'''6*.) Instalace certifikátu na pc'''		'''6*.) Instalace certifikátu na stanici'''

	Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"		Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-07-28T05:59:37Z

Konfigurace OAuth 2.0 přihlašování

← Starší verze		Verze z 28. 7. 2021, 07:59
Řádek 87:		Řádek 87:
	</pre>		</pre>

	'''3~~.) Nastavit výchozí databázi''', ke které se portál připojí, na první místo + parametr umístěný pod connection stringem, parametr je nyní zakomentován~~		'''3.) Kontrola nastavení párování loginů'''

	~~<pre>~~
	~~<dataConfiguration defaultDatabase="{nazev_db}"/>~~
	~~</pre>~~

	~~'''4~~.) Kontrola nastavení párování loginů'''
	<pre>		<pre>
	<!--SparovaniUziv povoli volnejsi kontrolu loginu, bez kontroly domeny a velikosti pismen. Hodnoty: BezDomeny, CI, CI-BezDomeny.		<!--SparovaniUziv povoli volnejsi kontrolu loginu, bez kontroly domeny a velikosti pismen. Hodnoty: BezDomeny, CI, CI-BezDomeny.
Řádek 100:		Řádek 94:
	</pre>		</pre>

	'''5.) Nastavení výchozí stránky pro přihlášení'''		'''4.) Nastavení výchozí stránky pro přihlášení'''

	<pre>		<pre>
Řádek 106:		Řádek 100:
	</pre>		</pre>

	'''6.) Důležitý je parametr ZdrojOsCisla'''		'''5.) Důležitý je parametr ZdrojOsCisla'''

	pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD		pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD

	'''7*.) Instalace certifikátu na pc'''		'''6*.) Instalace certifikátu na pc'''

	Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"		Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-07-27T08:40:08Z

Konfigurace OAuth 2.0 přihlašování

← Starší verze		Verze z 27. 7. 2021, 10:40
Řádek 111:		Řádek 111:

	'''7*.) Instalace certifikátu na pc'''		'''7*.) Instalace certifikátu na pc'''

	Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"		Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-07-27T08:39:35Z

Konfigurace OAuth 2.0 přihlašování

← Starší verze		Verze z 27. 7. 2021, 10:39
Řádek 110:		Řádek 110:
	pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD		pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD

	'''7.) Instalace certifikátu na pc'''		'''7*.) Instalace certifikátu na pc'''
	Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"		Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-07-27T08:39:17Z

Konfigurace OAuth 2.0 přihlašování

← Starší verze		Verze z 27. 7. 2021, 10:39
Řádek 109:		Řádek 109:

	pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD		pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD

			'''7.) Instalace certifikátu na pc'''
			Je nutné nainstalovat certifikát na stanici, kde běží IIS server, dále pak je nutné ve správci certifikátů počítačů, nastavit pro tento certifikát práva pro čtení na privátní klíč pro uživatele "IIS AppPool\{název_poolu_KSPortálu}", např. "IIS AppPool\KsAppPool"

	=Konfigurace SAML 2.0 přihlašování =		=Konfigurace SAML 2.0 přihlašování =

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-07-27T08:35:34Z

Konfigurace OAuth 2.0 přihlašování

@@ Řádek 8: / Řádek 8: @@
 =Konfigurace OAuth 2.0 přihlašování =
 '''1.) Zapnutí rozšíření''' '''Externí přihlašování''' prostřednictvím C/S aplikace KS Mzdy PROFi v agendě ''Nápověda - Rozšíření aplikace''
@@ Řádek 21: / Řádek 23: @@
      <!--Client Secret - pokud není vyžadováno, nevyplňuje se-->
      <add key="ClientSecret" value="" />
      <!--Scope, služby, ke kterým žádáte přístup pomocí Oauth2, oddělují se znaménkem + např. " openid+offline_access " -->
      <add key="scope" value="https://graph.microsoft.com/.default" />

Jakub: /* Konfigurace SAML 2.0 přihlašování */

2021-06-15T12:23:10Z

Konfigurace SAML 2.0 přihlašování

← Starší verze		Verze z 15. 6. 2021, 14:23
Řádek 71:		Řádek 71:

	=Konfigurace SAML 2.0 přihlašování =		=Konfigurace SAML 2.0 přihlašování =

			'''1.) Zapnutí rozšíření''' '''Externí přihlašování''' prostřednictvím C/S aplikace KS Mzdy PROFi v agendě ''Nápověda - Rozšíření aplikace''

			'''2.) Upravení web.config'''

			<pre>
			<!--Nazev externi sluzby pro overovani uzivatelu (pokud je vyuzivana)-->
			<add key="ExternalLogin" value="SAML2"/>
			<!--SAML 2 - URL k autentizačnímu serveru např. https://sso3-prod.microsoft.com/adfs/ls/-->
			<add key="SAML2LoginUrl" value=""/>
			<!--SAML 2 - URL k autentizačnímu serveru např. https://demo.ksprogram.cz/KS-portal/Public/ExternalLogin.aspx -->
			<add key="SAML2RedirectURI" value=""/>
			<!--SAML 2 - Entity ID poskytovatele SAML např. https://demo.ksprogram.cz/KS-portal/-->
			<add key="SAML2EntityID" value=""/>
			<!--SAML 2 - Certifikát-->
			<add key="SAML2Cert" value=" -----BEGIN CERTIFICATE-----
			-----END CERTIFICATE-----
			"/>
			</pre>

			'''3.) Nastavit výchozí databázi''', ke které se portál připojí, na první místo + parametr umístěný pod connection stringem, parametr je nyní zakomentován

			<pre>
			<dataConfiguration defaultDatabase="{nazev_db}"/>
			</pre>

			'''4.) Kontrola nastavení párování loginů'''
			<pre>
			<!--SparovaniUziv povoli volnejsi kontrolu loginu, bez kontroly domeny a velikosti pismen. Hodnoty: BezDomeny, CI, CI-BezDomeny.
			(při form. prihlaseni a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB)-->
			<add key="SparovaniUziv" value="CI-BezDomeny"/>
			</pre>

			'''5.) Nastavení výchozí stránky pro přihlášení'''

			<pre>
			<forms name="Ksprtl" loginUrl="~/Public/ExternalLogin.aspx" defaultUrl="~/Default2.aspx" />
			</pre>

			'''6.) Důležitý je parametr ZdrojOsCisla'''

			pokud není vyplněn, berou se osobní čísla z aplikace a tedy je nutné mít naplněnu agendu Uživatelé KS Portálu, kde musí být navedeny Loginy k daným osobním číslům, lze použít například i AD

Jakub: /* Konfigurace OAuth 2.0 přihlašování */

2021-06-15T12:19:43Z

Konfigurace OAuth 2.0 přihlašování

← Starší verze		Verze z 15. 6. 2021, 14:19
Řádek 55:		Řádek 55:
	'''4.) Kontrola nastavení párování loginů'''		'''4.) Kontrola nastavení párování loginů'''
	<pre>		<pre>
	<!--SparovaniUziv povoli volnejsi kontrolu loginu, bez kontroly domeny a velikosti pismen. Hodnoty: BezDomeny, CI, CI-BezDomeny.		<!--SparovaniUziv povoli volnejsi kontrolu loginu, bez kontroly domeny a velikosti pismen. Hodnoty: BezDomeny, CI, CI-BezDomeny.
	(při form. prihlaseni a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB)-->		(při form. prihlaseni a TypOvereni=ad by mělo být CI nebo CI-BezDomeny, neboť AD je case insenstive, tj. domena\jiRI.novAK by se následně nespároval s loginem DOMENA\jiri.novak v DB)-->
	<add key="SparovaniUziv" value="CI-BezDomeny"/>		<add key="SparovaniUziv" value="CI-BezDomeny"/>

	</pre>		</pre>