SAML 身份验证

安全断言标记语言(SAML) 为在线服务中现有的传统登录方法提供了一种更简便的替代方案。用户将不再需要为其访问的每项服务提供特定密码。ServiceDesk Plus application支持 SAML 2.0，可通过 管理 > 用户和权限 > SAML 单点登录进行配置。

所需角色：SDAdmin

• SAML 如何工作
• 在 ServiceDesk Plus 中配置 SAML
• 使用 SAML 登录 ServiceDesk Plus
• 使用 SAML 注销
• 故障排除提示

SAML 如何工作

SAML 在两个实体之间交换身份验证和授权数据，即 身份提供商(IdP)和 服务提供商(SP)。此处 ServiceDesk Plus 作为 SP，在集成后，用户可直接从 IdP 登录到 application，而无需提供任何登录凭据。 

例如，您可以将 Active Directory Federation Service (ADFS) 设置为 IdP，以允许用户使用其 Active Directory 凭据登录 ServiceDesk Plus。

以下屏幕截图显示了用户如何登录到已配置 SAML 的 application。

在 ServiceDesk Plus 中配置 SAML

• 转到 管理 > 用户和权限 > 单点登录 > SAML SSO。

• 在 配置 选项卡下，启用 SAML 单点登录。

• SAML 配置页面包含三个部分：服务提供商详细信息、身份提供商详细信息以及附加声明。

• 您可以使用服务提供商详细信息，将 ServiceDesk Plus 配置为与您的 IdP 配合使用的 SP。

• 服务提供商详细信息

• 在您的 IdP 中将 ServiceDesk Plus 配置为 SP 后，请返回 ServiceDesk Plus 中的 SAML 配置页面，并按如下所述配置身份提供商详细信息和其他声明。

• 身份提供商详细信息

* 必填字段

• 附加声明

附加属性可让您为通过 SAML 登录的动态用户创建详细的用户配置文件。如果启用了动态添加用户，您可以从 IdP 导入附加属性。

导入附加属性，

• 通过启用字段旁边的复选框，选择这些字段（默认字段和用户定义字段）。

• 在所选字段中指定 IdP 中配置的属性名称。 这些详细信息不会用于更新现有用户配置文件。

• 最后，单击保存。

历史记录选项卡列出了在配置选项卡下执行的所有活动。您可以使用预定义筛选器查看与特定属性相关的活动。

使用 SAML 登录 ServiceDesk Plus

启用 SAML 单点登录后的登录页面将如下所示。

用户可以使用本地身份验证（默认启用）登录，也可以单击“登录”按钮下方的链接使用 SAML 登录。 

如果禁用了本地身份验证，系统将显示 IdP 登录页面。

当 IdP 生成的登录名与 ServiceDesk Plus 中某位用户的登录名不匹配时，

• 如果启用了动态用户添加，则系统会使用 IdP 生成的登录名重新添加该用户，并将密码设置为 Active Directory/LDAP 设置中配置的密码。  

• 如果禁用了动态用户添加，则该用户将无法登录 ServiceDesk Plus。

使用 SAML 注销

ServiceDesk Plus 支持 SAML 单点注销服务。借助此功能，您可以选择仅从 ServiceDesk Plus 注销，或从与 IdP 集成的所有服务中注销。 

• 单击 。 

• 如果您已在 IdP 域中配置 SAML 注销，您将看到列出的两个选项。 

• 单击 注销可仅注销 ServiceDesk Plus application。 

• 如果您单击 退出 SAML， 您将退出与该 IdP 集成的所有服务。

故障排除

常见问题：

1. 尽管我拥有有效的登录凭据，为什么在使用 SAML 登录时，我仍会在 ServiceDesk Plus 中被添加为新用户？

当您使用 SAML 登录时，IdP 会在 SAML 响应中提供一个登录名。该登录名是根据 IdP 中配置的 NameID 属性生成的。application不会将其与您的凭据进行匹配，因为您在 ServiceDesk Plus 中的登录名与 SAML 响应中的登录名并不相同。现在有两种可能：

• 如果启用了动态添加用户，您将以 IdP 生成的登录名被添加为新用户，密码则为 Active Directory/LDAP 设置中配置的密码。

• 如果禁用了动态添加用户，则会显示错误消息，并且您将无法登录到 ServiceDesk Plus。

要解决此问题，请通过选择正确的 NameID 属性重新配置您的 IdP 设置。

2. 为什么在将我的 IdP 配置为返回正确的登录名后，我仍然会被添加为单独的用户？

如果该用户属于某个域，则 IdP 应在返回登录名的同时返回该用户的域名。

例如，如果 Peter 是 Zylker 域中的技术人员，登录名为 peter，那么 IdP 应返回 Zylker\peter 作为登录名。

如果上述情况失败，则会创建一个新用户。

请选择合适的 NameID 属性并重新配置 IdP 以解决此问题。

3. 启用 SAML 后，如何修复如下图所示登录页面中的对齐问题？

• 转到 管理 >> 自助服务门户设置。  

• 单击“登录页面自定义”下方的“立即自定义”。

在 HTML 编辑器中，添加截图中所示的类。这些类也可在 <server_home>\custom\login\default.html 中找到

 .sign-line{  

  text-align: center; 

  display: block; 

  border-bottom: 1px solid #ccc; 

  margin:10px 0; 

 } 

 .or-ctr{ 

  background: #fff; 

  position: relative; 

  top: 8px; 

  padding: 0 4px; 

  font-size: 12px; 

  color: #727272; 

 } 

 .sign-saml{ 

  color: #009adb; 

  text-decoration: none; 

 } 

• 单击“保存”，并检查链接现在是否已对齐显示。