ManageEngine Cloud 很高兴地宣布，全面 ITSM 套件 ServiceDesk Plus Cloud 现已支持基于安全断言标记语言（SAML）的单点登录（SSO）。现在，您可以将密码从登录流程中移除，并使用 Active Directory 集成 / LDAP 身份验证 身份，更快且更安全地访问您的application。借此，ServiceDesk Plus Cloud 已迈向一种正在被快速采用的行业标准登录联合方式。SAML 配置现已面向全部三个版本（Standard、Professional 和 Enterprise）的订阅用户开放。
SAML 是 XML 的一种衍生标准。SAML 的目的是为跨多个域的 Web application启用单点登录。SAML 由“结构化信息标准促进组织”（OASIS）下属的安全服务技术委员会开发。
注意：ManageEngine ServiceDesk Plus Cloud 中的用户管理由 Zoho 提供支持。因此，名称“Zoho”/“ManageEngine ServiceDesk Plus Cloud”将交替使用。Zoho 和 ManageEngine 均为 Zoho Corp. 旗下部门。
ServiceDesk Plus Cloud 的 SAML 如何帮助您？
1) 通过 Active Directory 集成 / LDAP 身份验证，帮助用户轻松且安全地访问其IT 服务台
2) 帮助 IT 以集中方式对用户进行身份验证并控制application访问
3) 减少帮助台用户管理中的密码维护工作和安全开销
如何在 ManageEngine ServiceDesk Plus Cloud 中启用 SAML 身份验证？
管理员可以为其组织启用 SAML 身份验证。以下是启用 SAML 身份验证的步骤：
域配置
在“管理员 » 组织详细信息 » 域”中添加并验证您的域
为什么我要添加并验证我的域？
1) 当您将用户从 Active Directory 导入到 Zoho / Servicedesk Plus
Cloud 时，如果导入用户的电子邮件地址属于已验证域名，则不会向其发送邀请邮件。
2) 验证是我们确认您拥有该域所有权所必需的。
子域或域映射
您可以使用自定义域 URL（例如，helpdesk.zylker.com）或指向 sdpondemand.manageengine.com 的子域来访问 ServiceDesk Plus Cloud
要执行 SAML 身份验证，您必须已配置子域或自定义域。配置自定义域时，请确保您添加了一个 CName 别名，并将其指向 customer-sdpondemand.manageengine.com。域映射功能位于 管理员 » 自助服务门户设置
导入用户
您可以使用预配应用将用户从 Active Directory 导入到 ServiceDesk Plus Cloud。详细步骤可在此处查看。
SAML 配置
在您的网络中安装任意符合 SAML 标准的身份提供程序。
所有身份验证请求都将转发到此身份提供程序。身份提供程序可以执行 Active directory /LDAP/自定义身份验证，一旦用户通过身份验证，身份提供程序就会将响应发送到 accounts.zoho.com
我们已经使用 AD FS 2.0 和 AD FS 3.0 < 作为身份提供程序测试了 SAML 身份验证。
安装和配置 AD FS 以与 Zoho / ManageEngine ServiceDesk Plus Cloud 配合使用的步骤可在此处找到：
AD FS 2.0 为 ME ServiceDesk Plus On-Demand 安装和配置 Active Directory FS.pdf
AD FS 3.0 为 ME ServiceDesk Plus On-Demand 安装和配置 Active Directory FS.pdf
如果您正在使用任何其他符合 SAML 2.0 标准的身份提供程序：
从 zoho 发送的身份验证请求可在此处查看
期望的断言响应可在此处查看
SAML 配置
对于 SAML 身份验证，登录和注销请求将被重定向到安装在您网络中的身份提供程序。
您需要指定身份提供程序的登录 URL 和注销 URL，以便请求能够相应地被重定向。
您还需要提供身份提供程序的算法和公钥证书，以便 Zoho / ManageEngine 解密身份提供程序发送的 SAML 响应。假设 idp-w2k8 是安装身份提供程序（例如 AD FS 2.0）的系统，以下是 SAML 配置。
完成以上所有步骤后，当您组织中的用户使用您配置的子域或自定义域（例如，http://helpdesk.zylker.com）访问 ServiceDesk Plus Cloud 时，
他们将被重定向到安装在您网络内部的身份提供程序进行身份验证。身份验证成功后，他们将被重定向回 ServiceDesk Plus Cloud 网站，从而允许用户进入。
注意：配置 SAML 身份验证后，您组织中的用户必须仅通过子域或自定义域访问 ServiceDesk Plus Cloud。
SAML 身份验证请求
假设 zylker.com 是已验证域，且 idp-w2k8 是安装身份提供程序的系统。
<samlp:AuthnRequest xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="_abe4735eceae4bd49afdb3f254dc5ea01359616" Version="2.0" IssueInstant="2013-01-31T07:18:15.281Z" ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" ProviderName="Zoho" IsPassive="false" Destination="https://idp-w2k8/adfs/ls" AssertionConsumerServiceURL="https://accounts.zoho.com/samlresponse/zylker.com" > <saml:Issuer>zoho.com</saml:Issuer> <samlp:NameIDPolicy AllowCreate="true" /> </samlp:AuthnRequest> |
|---|
预期的 SAML 响应
假设 zylker.com 是已验证域
Assertion Consumer Service URL 为：https://accounts.zoho.com/samlresponse/<your_verified_domain>
例如：https://accounts.zoho.com/samlresponse/zylker.com
<?xml version="1.0" encoding="UTF-8"?>
|
|---|