Einmaliges Anmelden mit ADFS
Du kannst deine Active Directory Federation Services (ADFS)-Instanz integrieren, damit sich das Einmalige Anmelden für deine Team-Mitglieder nahtlos verwalten lässt.
Hinweis: ADFS allein unterstützt derzeit nicht das automatische Entziehen der Zugriffsrechte über die Slack-SCIM-API. Nachdem Mitgliedern in deinem IDP die Zugriffsrechte entzogen wurden, denke daran, sie in Slack manuell zu deaktivieren, wenn du keine SCIM-Bereitstellungslösung außerhalb von ADFS implementiert hast.
Schritt 1: ADFS für Slack einrichten
Erstellung einer neuen Vertrauensstellung der vertrauenden Seite
- Melde dich bei dem Server an, auf dem ADFS installiert ist. Wenn du bei der Bereitstellung von ADFS Hilfe brauchst, findest du in diesem Guide weitere Informationen.
- Öffne die Management-Konsole von ADFS und wähle Vertrauensstellungen. Gehe dann links zu Vertrauensstellungen der vertrauenden Seite.
- Klicke im Aktionsmenü auf der rechten Seite auf Vertrauensstellung der vertrauenden Seite hinzufügen.
-
Schalte im Schritt Datenquelle auswählen die Option Daten über die vertrauende Seite manuell eingeben ein.
- Gib anschließend auf der Registerkarte Anzeigename angeben den Anzeigenamen für deine Anwendung an. Wir empfehlen einen Namen wie Unternehmensname – Slack. Füge alle optionalen Notizen hinzu, die du benötigst.
- Wähle auf der Registerkarte Profil auswählen die Option ADFS-Profil aus.
- Verwende auf der Registerkarte Configure Certificate als Zertifikatseinstellungen die Standardauswahl.
-
Wähle auf dem Tab URL konfigurieren das Kästchen Unterstützung für das SAML 2.0 WebSSO-Protokoll aktivieren und gib den SAML-Dienstendpunkt ein.
• Business+ Plan: https://yourdomain.slack.com/sso/saml
• Enterprise-Pläne: https://yourdomain.enterprise.slack.com/sso/saml - Gib auf dem Tab Bezeichner konfigurieren https://slack.com ein und klicke auf Hinzufügen. Hinweis: Wenn du eine eindeutige Workspace-URL angeben möchtest (https://[workspacename].slack.com), stelle bitte sicher, dass du den gleichen Wert in das Feld Service-Provider-Aussteller in Slack eingibst.
- Füge eine optionale Multi-Faktor-Authentifizierung hinzu.
- Wähle Permit all users to access this relying party aus, klicke dann auf Next und überprüfe deine Einstellungen.
- Stelle sicher, dass du die Option Dialogfeld Anspruchsregeln bearbeiten für diese Vertrauensstellung der vertrauenden Seite öffnen, wenn der Assistent geschlossen wird aktiviert hast und wähle anschließend Schließen.
- Anschließend erstellst du Regeln – oder Anspruchsregeln – für die Vertrauensstellung der vertrauenden Seite (in diesem Fall dein Slack-Workspace oder deine Enterprise-Organisation). Slack empfängt nur abgehende Anspruchstyp-Attribute und ‑Werte, daher kann die Liste mit den Attributen anders aussehen. Denk daran, dass du zwei Ansprüche brauchst: einen für Slack-Attribute und einen für NameID.
-
Klicke auf Regel hinzufügen.
-
Erstelle eine Regel, um LDAP-Attribute als Ansprüche zu senden. Nur der ausgehende Anspruchstyp User.Email ist erforderlich, aber vielleicht möchtest du auch first_name, last_name und User.Username hinzufügen. Denk daran, dass bei ausgehenden Anspruchstypen die Groß- und Kleinschreibung beachtet werden muss.
Hinweis: Der für „User.Username“ gesendete Wert entspricht dem Benutzernamen einer Benutzerin bzw. eines Benutzers. Stelle sicher, dass dieser Wert für jede:n Benutzer:in eindeutig ist und nicht wiederverwendet wird. - Erstelle anschließend eine weitere Regel, um einen eingehenden Anspruch umzuwandeln.
- Öffne die erforderliche NameID-Anspruchsregel und ändere das Format für die ausgehende Namens-ID in Persistent Identifier. Klicke dann auf OK, um die Einstellung zu speichern.
Hinweis: Wenn du dich für die Signierung des AuthnRequest in Slack entscheidest, musst du das generierte Slack-Zertifikat in der Registerkarte Signatur in ADFS hochladen. Du musst auch sicherstellen, dass du den sicheren Hash-Algorithmus SHA-1 in der Registerkarte Advanced ausgewählt hast.
Schritt 2: Slack mit deinem Identitäts-Provider integrieren
Business+ Plan
Enterprise-Pläne
Füge als Nächstes ADFS-Details zu den Authentifizierungseinstellungen deines Slack-Workspace hinzu:
- Klicke auf dem Desktop in der Seitenleiste auf deinen Workspace-Namen.
- Wähle im Menü die Option Tools und Einstellungen aus und klicke dann auf Workspace-Einstellungen.
- Klicke auf den Tab Authentifizierung und anschließend auf Konfigurieren neben der SAML-Authentifizierung (OneLogin, Okta oder deine benutzerdefinierte SAML 2.0-Lösung).
-
Gib deine SAML 2.0-Endpunkt-URL ein (SAML 2.0/W-Federation URL endpoint). Die Standardinstallation ist /adfs/ls/.
-
Gib deinen Identitätsanbieter ein. Wenn du dir nicht sicher bist, welche Endpunkte du nehmen sollst, gib in Powershell auf dem Gerät, wo ADFS installiert ist, PS C:/> Get-AdfsEndpoint ein.
-
Kopiere aus dem Tab „Verschlüsselung“ von ADFS dein gesamtes x.509-Zertifikat zur Token-Signierung und füge es in das Feld Öffentliches Zertifikat ein.
- Wenn du mehr als eine Vertrauensstellung der vertrauenden Seite mit Slack einrichten möchtest, zeige das Menü Erweiterte Optionen an.
- Wähle neben AuthnContextClass Ref PasswordProtectedTransport and windows (use with ADFS for internal/external authentication) aus. Gib dann deinen eindeutig zuzuordnenden Service-Provider-Aussteller ein. Dieser sollte mit deinem Relying Party Identifier in ADFS übereinstimmen.
- Klicke auf Speichern.
Füge als Nächstes ADFS-Details zu den Authentifizierungseinstellungen deiner Enterprise-Organisation hinzu:
- Klicke auf dem Desktop in der Seitenleiste auf deinen Workspace-Namen.
- Wähle im Menü Tools und Einstellungen aus und klicke auf Organisationseinstellungen.
- Klicke in der linken Seitenleiste auf Sicherheit. Wähle dann Einstellungen für einmaliges Anmelden aus.
-
Gib deine SAML 2.0-Endpunkt-URL ein (SAML 2.0/W-Federation URL endpoint). Die Standardinstallation ist /adfs/ls/.
-
Gib deinen Identitätsanbieter ein. Wenn du dir nicht sicher bist, welche Endpunkte du nehmen sollst, gib in Powershell auf dem Gerät, wo ADFS installiert ist, PS C:/> Get-AdfsEndpoint ein.
-
Kopiere dein komplettes x.509-Zertifikat in das Feld Öffentliches Zertifikat.
- Du kannst mehr als eine Vertrauensstellung der vertrauenden Seite mit Slack einrichten. Wähle unter AuthnContextClass Ref PasswordProtectedTransport and windows (use with ADFS for internal/external authentication) aus.
- Gib dann deinen eindeutig zuzuordnenden Service-Provider-Aussteller ein. Dieser sollte mit deinem Relying Party Identifier in ADFS übereinstimmen.
- Klicke auf Änderungen speichern.
Hinweis: Wir helfen dir gern beim Einrichten weiter. Jedoch können wir leider nicht immer garantieren, dass deine Verbindung mit Slack funktioniert. Lies unseren Artikel zur Fehlerbehebung bei SAML-Autorisierungsfehlern oder sende uns eine Nachricht, und wir tun, was wir können!
Wer kann diese Funktion benutzen?
- Workspace-Inhaberinnen und -Inhaber und Organisationsinhaberinnen und -inhaber
- Business+ und Enterprise-Pläne