ManageEngine Cloud 很高兴宣布支持基于安全断言标记语言（SAML）的单点登录（SSO），适用于全套 ITSM 套件 ServiceDesk Plus Cloud。您现在可以通过 Active Directory 集成 / LDAP 认证 身份，消除登录过程中的密码，快速且安全地访问您的应用程序。借助此功能，ServiceDesk Plus Cloud 采用了快速普及的行业登录联合标准。SAML 配置现已向 所有三个版本（标准版、专业版和企业版）订阅用户开放。
SAML 是 XML 的一种派生格式。SAML 的目的是实现跨多个域的 Web 应用单点登录。SAML 由“结构化信息标准推进组织”（OASIS）的 安全服务技术委员会 开发。
注意：ManageEngine ServiceDesk Plus Cloud 中的用户管理由 Zoho 提供支持。因此，“Zoho”与“ManageEngine ServiceDesk Plus Cloud”名称可互换使用。Zoho 和 ManageEngine 均为 Zoho Corp. 的部门。
ServiceDesk Plus Cloud 的 SAML 如何帮助您？
1) 通过 Active Directory 集成 / LDAP 认证，方便用户安全访问其 IT 服务台
2) 帮助 IT 集中认证用户并控制应用访问权限
3) 减少密码维护和服务台用户管理的安全负担
如何在 ManageEngine ServiceDesk Plus Cloud 中启用 SAML 认证？
管理员可以为其组织启用 SAML 认证。启用 SAML 认证的步骤如下：
域配置
在 管理 » 组织详情 » 域 中添加并验证您的域
为什么要添加并验证我的域？
1) 当您从 Active Directory 导入用户到 Zoho / ServiceDesk Plus
Cloud 时，导入的用户（其电子邮件地址属于已验证的域名）将不会收到邀请邮件。
2) 验证是我们确认您对该域拥有所有权的必要步骤。
子域或域映射
您可以使用自定义域 URL（例如 helpdesk.zylker.com）或子域访问 ServiceDesk Plus Cloud，映射至 sdpondemand.manageengine.com
要执行 SAML 认证，您必须配置子域或自定义域。配置自定义域时，请确保添加 CName 别名并指向 customer-sdpondemand.manageengine.com。域映射功能位于 管理 » 自助服务门户设置 中。
导入用户
您可以使用 Provisioning App 从 Active Directory 导入用户到 ServiceDesk Plus Cloud。详细步骤请参见 此处。
SAML 配置
在您的网络中安装任何符合 SAML 标准的身份提供者。
所有认证请求将转发至该身份提供者。身份提供者可执行 Active directory / LDAP / 自定义认证，用户认证成功后，身份提供者将响应发送至 accounts.zoho.com
。我们已测试 AD FS 2.0 和 AD FS 3.0 作为身份提供者的 SAML 认证。
安装和配置 AD FS 以配合 Zoho / ManageEngine ServiceDesk Plus Cloud 的步骤请见：
AD FS 2.0 为 ME ServiceDesk Plus On-Demand 安装和配置 Active Directory FS.pdf
AD FS 3.0 为 ME ServiceDesk Plus On-Demand 安装和配置 Active Directory FS.pdf
如果您使用其他任何符合 SAML 2.0 标准的身份提供者：
来自 zoho 的认证请求可见 此处
预期的断言响应可见 此处
SAML 配置
对于 SAML 认证，登录和注销请求将重定向至您网络中安装的身份提供者。
您需要指定身份提供者的登录 URL 和注销 URL，以便请求正确重定向。
您还需提供身份提供者的算法和公钥证书，以便 Zoho / ManageEngine 解密身份提供者发送的 SAML 响应。假设 idp-w2k8 是安装身份提供者（例如 AD FS 2.0）的系统，以下为 SAML 配置。
完成上述所有步骤后，当您的组织用户使用配置的子域或自定义域（例如 http://helpdesk.zylker.com）访问 ServiceDesk Plus Cloud 时，
他们将被重定向至网络内安装的身份提供者进行认证。认证成功后，用户将被重定向回 ServiceDesk Plus Cloud 网站，允许访问。
注意：配置 SAML 认证后，您的组织用户必须通过子域或自定义域访问 ServiceDesk Plus Cloud。
SAML 认证请求
假设 zylker.com 是已验证域，idp-w2k8 是安装身份提供者的系统。
|
<samlp:AuthnRequest xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="_abe4735eceae4bd49afdb3f254dc5ea01359616" Version="2.0" IssueInstant="2013-01-31T07:18:15.281Z" ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" ProviderName="Zoho" IsPassive="false" Destination="https://idp-w2k8/adfs/ls" AssertionConsumerServiceURL="https://accounts.zoho.com/samlresponse/zylker.com" > <saml:Issuer>zoho.com</saml:Issuer> <samlp:NameIDPolicy AllowCreate="true" /> </samlp:AuthnRequest> |
|---|
预期的 SAML 响应
假设 zylker.com 是已验证域
断言消费者服务 URL 为：https://accounts.zoho.com/samlresponse/
例如，https://accounts.zoho.com/samlresponse/zylker.com
|
<?xml version="1.0" encoding="UTF-8"?>
|
|---|