Migrieren von ACS-Namespaces zu Google OpenID Connect

Dieses Thema richtet sich Besitzer von Access Control Service (ACS) 2.0-Namespaces, die derzeit Google als Identitätsanbieter verwenden. ACS bietet diese Funktion mithilfe der OpenID 2.0-Implementierung von Google. Google plant, den OpenID 2.0-Support bis zum 20. April 2015 zu beenden. ACS-Namespaces arbeiten weiterhin mit der OpenID 2.0-Implementierung von Google bis zum 1. Juni 2015 zusammen, soweit Sie die Migration dieser Namespaces abschließen müssen, um die OpenID Verbinden-Implementierung von Google zu verwenden, oder Benutzer können sich nicht mehr mit einem Google-Konto bei Ihrer Anwendung anmelden. Das Migrieren Ihrer ACS-Namespaces zu OpenID Connect verursacht keine Anwendungsausfallzeiten. Mit einer Ausnahme (siehe den nachstehenden Hinweis) ist diese Migration möglich, ohne den Anwendungscode zu ändern. Nach der Migration Ihrer ACS-Namespaces zu OpenID Connect müssen Sie die Benutzer-IDs in Ihrem Back-End zu OpenID Connect-Bezeichnern (IDs) migrieren. Diese Migration muss bis zum 1. Januar 2017 abgeschlossen werden. Es erfordert Codeänderungen in Ihrem Back-End. Siehe den nachstehenden wichtigen Hinweis, der Details zu beiden Phasen der Migration bietet.

Sie können Fragen zur Migration auf Stack Overflow posten und sie mit "acs-google" kennzeichnen. Wir werden so schnell wie möglich antworten.

Weitere Informationen zu Google-Plänen finden Sie im OpenID 2.0-Migrationshandbuch.

Migrationsprüfliste

Die folgende Tabelle enthält eine Checkliste, die die erforderlichen Schritte zum Migrieren des ACS-Namespace zur Verwendung der OpenID Connect-Implementierung von Google zusammengefasst:

Exemplarische Vorgehensweise für die Migration

Führen Sie die folgenden Schritte aus, um Ihren ACS-Namespace zur OpenID Connect-Implementierung von Google zu migrieren:

1. Erstellen einer Google+-Anwendung

   Ausführliche Anweisungen dazu finden Sie im Abschnitt "How to: Create a Google+ application section".

2. Sicherstellen, dass Ihre Anwendung für die Migration bereit ist

   Wenn Sie über die Regel "Alle Ansprüche bestanden" für Google als Identitätsanbieter in einer Regelgruppe verfügen, die Ihrer Anwendung zugeordnet ist, folgen Sie den Anweisungen in der Anleitung: Stellen Sie sicher, dass der Migrationsbereitschaftsbereich einer ACS-Anwendung ihre Anwendung zur Migrationsbereitschaft testen kann. Der Grund ist, dass bei der Migration ein neuer Anspruchstyp (Subject) für ACS von Google verfügbar wird.

   Hinweis

   Eine Regel "Passthrough all claims" ist eine Regel, in der der Eingabeanspruchstyp und der Eingabeanspruchswert auf "Any " festgelegt sind und derAusgabeanspruchswert auf "Pass through first input claim type " und "Pass through input claim value " festgelegt werden. Die Regel wird, wie unten dargestellt, im ACS-Verwaltungsportal so aufgeführt, dass die Spalte Ausganganspruch auf Pass-Through festgelegt ist.

   

   Wenn Sie zuvor Regeln generiert oder Regeln für Google als Identitätsanbieter einer Regelgruppe manuell hinzugefügt haben, die Ihrer Anwendung zugeordnet ist, können Sie diesen Schritt überspringen. Dies liegt daran, dass in diesen Fällen bei der Migration der neue Anspruchstyp Subject nicht an die Anwendung gesendet wird.

   Weitere Informationen zu diesen Optionen finden Sie unter Regelgruppen und Regeln.

3. Umschalten des ACS-Namespace auf die Verwendung der OpenID Connect-Implementierung von Google

   1. Wechseln Sie zum Microsoft Azure-Verwaltungsportal, registrieren Sie sich, und klicken Sie auf Active Directory. Wählen Sie den ACS-Namespace aus, der migriert werden soll, und klicken Sie auf Verwalten, um das ACS-Verwaltungsportal zu öffnen.

   2. Klicken Sie im ACS-Verwaltungsportal in der Struktur auf der linken Seite auf Identitätsanbieter, oder klicken Sie im Abschnitt Erste Schritte auf den Link Identitätsanbieter. Klicken Sie auf Google.

      

   3. Aktivieren Sie auf der Seite Google-Identitätsanbieter bearbeiten das Kontrollkästchen OpenID Connect verwenden.

      

   4. Kopieren Sie in die Felder Client-ID und Client-Geheimnis (jetzt aktiviert) die entsprechenden Werte aus Ihrer Google+-Anwendung.

      

      Hinweis

      Wenn Sie an diesem Punkt auf Speichern klicken, verwenden alle Google-Identitätsanbieteranforderungen aus Ihrem ACS-Namespace automatisch die OpenID Connect-Implementierung von Google. Wenn eine Zurücksetzen nötig ist, deaktivieren Sie OpenID Connect verwenden. Die Client-ID und das Client-Geheimnis bleiben gespeichert und können später erneut verwendet werden.

   5. Klicken Sie auf Speichern.

   6. Versuchen Sie, sich mit einer Google-ID anzumelden, um sicherzustellen, dass das Umschalten auf OpenID Connect erfolgreich war. Wenn Sie Probleme bei der Anmeldung haben, kehren Sie zur Seite Google-Identitätsanbieter bearbeiten zurück, und deaktivieren Sie OpenID Connect verwenden, um zu OpenID 2.0 zurückzukehren. Überprüfen Sie nach dem Zurücksetzen, ob die Client-ID und das Client-Geheimnis, die/das Sie aus der Google-Entwicklerkonsole kopiert haben, ordnungsgemäß für Ihren Namespace eingegeben wurden. Überprüfen Sie z. B. auf Tippfehler.

4. Migrieren der Benutzer-IDs in Ihrem Back-End-System von Open ID 2.0 zu OpenID Connect

   Sie müssen die Bezeichner Ihrer Benutzer in Ihrem Back-End-System aus den vorhandenen Google Open ID 2.0-Bezeichnern zu den neuen Google OpenID-Verbinden-IDs vor dem 1. Januar 2017 migrieren. Dieser Schritt erfordert Codeänderungen. Weitere Informationen finden Sie unter How to: Migrate your users' existing Open ID 2.0 identifiers to new OpenID Verbinden user identifiers

Vorgehensweise: Erstellen einer Google+-Anwendung

Sie benötigen ein Google-Konto, um die folgenden Schritte auszuführen; Wenn Sie keinen haben, können Sie eins bei https://accounts.google.com/SignUp.

1. Navigieren Sie in einem Browserfenster zur Google Developers Console , und melden Sie sich mit Ihren Google-Kontoanmeldeinformationen an.

2. Klicken Sie auf Projekt erstellen, und geben Sie einen Projektname und eine Projekt-ID ein. Aktivieren Sie das Kontrollkästchen für die Nutzungsbedingungen. Klicken Sie dann auf Erstellen. Dadurch wird die Anwendung bei Google registriert.

   

3. Klicken Sie im linken Bereich auf APIs & auth . Klicken Sie dann auf Zugangsdaten. Klicken Sie unter OAuth auf Neue Client-ID erstellen. Wählen Sie Webanwendung aus, und klicken Sie auf Zustimmungsbildschirm konfigurieren. Geben Sie einen Produktnamen ein, und klicken Sie auf Speichern.

   

4. Klicken Sie im linken Bereich auf APIs & auth . Klicken Sie dann auf APIs. Wechseln Sie unter APIs durchsuchen zu Google+ API. Legen Sie den Status auf AN fest.

   

5. Wählen Sie im Dialogfeld Client-ID erstellen für Anwendungstyp den Eintrag Webanwendung aus.

   Geben Sie im Feld "Autorisierte Javascript Origins " die vollqualifizierte Domänenname (FQDN)-URL Ihres Namespaces an, einschließlich der führenden "HTTPS://" und der nachfolgenden Portnummer; Beispiel: https://contoso.accesscontrol.windows.net:443.

   Geben Sie im Feld "Autorisierte Umleitungs-URIs " einen URI an, der die vollqualifizierte Domänenname-URL (FQDN) Ihres Namespace enthält, einschließlich der führenden "HTTPS://" und der nachgestellten Portnummer, gefolgt von "/v2/openid"; Beispiel: https://contoso.accesscontrol.windows.net:443/v2/openid.

   Klicken Sie auf Client-ID erstellen.

   

6. Notieren Sie sich auf der Seite Client-ID für Webanwendungen die Werte von Client-ID und Client-Geheimnis. Sie benötigen diese Angaben zum Konfigurieren der OpenID Connect-Implementierung von Google im ACS-Verwaltungsportal.

   

   Wichtig

   geheime Clientschlüssel ist eine wichtige Sicherheitsanmeldeinformation. Halten Sie es geheim.

Vorgehensweise: Migrieren der vorhandenen Open ID 2.0-Bezeichner Ihrer Benutzer zu neuen OpenID Verbinden Benutzerbezeichnern

Nachdem Sie Ihren ACS-Namespace erfolgreich migriert haben, um die OpenID-Verbinden-Implementierung von Google zu verwenden, haben Sie bis zum 1. Januar 2017 (per Googles OpenID 2.0 Migration Guide) ihre Benutzerbezeichner in Ihrem Back-End-System aus den aktuellen OpenID 2.0-Bezeichnern zu den neuen OpenID-Verbinden-Bezeichnern migrieren.

Die folgende Tabelle enthält Anspruchstypen, die für ACS von Google zur Verfügung gestellt werden, nachdem der ACS-Namespace zur OpenID Connect-Implementierung von Google migriert wurde:

Die Anspruchstypen Name Identifier und Subject können verwendet werden, um eindeutige Bezeichner (IDs) vorhandener Benutzer in Ihrem Back-End nachzuverfolgen und umzuschalten, indem (alte) OpenID 2.0-IDs (neuen) OpenID Connect-IDs zugeordnet werden.

Wenn die Regel Pass-Through für alle Ansprüche für Google als Identitätsanbieter in einer Regelgruppe enthalten ist, die Ihrer Anwendung zugeordnet ist, empfängt Ihre Anwendung automatisch den Anspruchstyp Subject.

Wenn Sie zuvor Regeln generiert oder Regeln für Google als Identitätsanbieter einer Regelgruppe manuell hinzugefügt haben, die Ihrer Anwendung zugeordnet ist, müssen Sie den Anspruchstyp Subject manuell hinzufügen. Weitere Informationen dazu finden Sie unter Regelgruppen und Regeln.

Wenn Sie zuvor Regeln für Google als Identitätsanbieter in einer Regelgruppe generiert haben und dann den neuen Anspruchstyp Subject hinzufügen (siehe oben), ergibt sich Folgendes.

Die Anwendung mit dieser Regelgruppe empfängt neben anderen Anspruchstypen den Anspruchstyp Subject.

Vorgehensweise: Sicherstellen der Migrationsbereitschaft einer ACS-Anwendung

Mit einer Ausnahme ist die Migration des ACS-Namespace zur Verwendung der OpenID Connect-Implementierung von Google möglich, ohne Anwendungscode ändern zu müssen. Wenn die Ausnahme liegt vor, wenn die Regel Pass-Through für alle Ansprüche für Google als Identitätsanbieter in einer Regelgruppe enthalten ist, die Ihrer Anwendung zugeordnet ist. Dies liegt daran, dass in diesem Fall bei der Migration der neue Anspruchstyp (Subject) nicht automatisch an die Anwendung gesendet wird.

In diesem Abschnitt werden die empfohlene Änderung und die Testprozedur beschrieben, die Sie befolgen können, um sicherzustellen, dass jede Anwendung, die von der Migration betroffen ist, den neuen Anspruchstyp verarbeiten kann.

Bei dieser Vorgehensweise wird davon ausgegangen, dass Sie Besitzer des ACS-Namespace ns-Contoso sind und Ihre Anwendung in einer Produktionsumgebung ProdContosoApp genannt wird. Außerdem wird davon ausgegangen, dass diese Anwendung Google als Identitätsanbieter verwendet und die RegelPass-Through für alle Ansprüche für Google aktiviert ist.

Setup

1. Wechseln Sie zum Einstieg zum Microsoft Azure-Verwaltungsportal, registrieren Sie sich, und klicken Sie auf Active Directory. Wählen Sie den ACS-Namespace (ns Contoso) aus, und klicken Sie dann auf Verwalten, um das ACS-Verwaltungsportal zu öffnen.

2. Klicken Sie im ACS-Verwaltungsportal in der Struktur auf der linken Seite auf Anwendungen der vertrauenden Seite, oder klicken Sie im Abschnitt Erste Schritte auf den Link Anwendungen der vertrauenden Seite. Klicken Sie dann auf Ihre Produktionsanwendung (ProdContosoApp).

3. Notieren Sie sich die Eigenschaften von ProdContosoApp, da Sie sie später benötigen.

   

4. Klicken Sie unter Regelgruppen auf Standardregelgruppe für ProdContosoApp, um zu überprüfen, ob die Regel Pass-Through für alle Ansprüche für Google aktiviert ist.

   

Schritt 1: Einrichten einer Testinstanz Ihrer Anwendung in Ihrem Produktions-ACS-Namespace

Richten Sie eine Testinstanz Ihrer Anwendung, TestContosoApp, auf einem anderen Stamm-URI ein; beispiel: https://contoso-test.com:7777/. Sie müssen es als Vertrauensparteianwendung (Vertrauende Parteianwendungen) im ns-contoso-Namespace registrieren.

1. Klicken Sie im ACS-Verwaltungsportal in der Struktur auf der linken Seite auf Anwendungen der vertrauenden Seite, oder klicken Sie im Abschnitt Erste Schritte auf den Link Anwendungen der vertrauenden Seite. Klicken Sie dann auf der Seite Anwendungen der vertrauenden Seite auf Hinzufügen.

2. Führen Sie auf der Seite Anwendung der vertrauenden Seite hinzufügen die folgenden Aktionen aus:

   • Geben Sie unter Name den Namen der Testanwendung ein. In diesem Fall TestContosoApp.

   • Wählen Sie unter Modus die Option Einstellungen manuell eingeben aus.

   • Geben Sie in Bereich den URI der Testanwendung ein. Hier ist https://contoso-test.com:7777/es .

   • Bei dieser Vorgehensweise können Sie Fehler-URL (optional) leer lassen.

   • Verwenden Sie für die Eigenschaften Tokenformat, Tokenverschlüsselungsrichtlinie und Tokengültigkeitsdauer (Sek.) und den Abschnitt Tokensignatureinstellungen die gleichen Werte, die Sie für ProdContosoApp verwendet haben.

   • Stellen Sie sicher, dass Sie Google als Identitätsanbieter ausgewählt haben.

   • Wählen Sie unter Regelgruppen die Option Neue Regelgruppe erstellen aus.

   

3. Klicken Sie unten auf der Seite auf Speichern .

Schritt 2: Erstellen einer Regelgruppe, die das Format des ACS-Token simuliert, das die Anwendung erhalten wird, nachdem der Namespace migriert wurde, um die OpenID-Verbinden Implementierung von Google zu verwenden

1. Klicken Sie im ACS-Verwaltungsportal in der Struktur auf der linken Seite auf Regelgruppen, oder klicken Sie im Abschnitt Erste Schritte auf den Link Regelgruppen. Klicken Sie dann auf der Seite Regelgruppen auf Hinzufügen.

2. Geben Sie auf der Seite Regelgruppe hinzufügen einen Namen für die neue Regelgruppe an, beispielsweise ManuelleGoogleRegelgruppe. Klicken Sie auf „Speichern“.

   

3. Klicken Sie auf der Seite Regelgruppe bearbeiten auf den Link Hinzufügen.

   

4. Stellen Sie auf der Seite Anspruchsregel hinzufügen sicher, dass die folgenden Werte vorhanden sind, und klicken Sie auf Speichern. Dadurch wird eine Regel Pass-Through für alle Ansprüche für Google erstellt.

   • Abschnitt Wenn:

     • Identitätsanbieter ist Google.

     • Die Auswahl für Eingabeanspruchstyp ist Alle.

     • Eingabeanspruchswert ist Alle.

   • Abschnitt Dann:

     • Ausgabeanspruchstyp ist Erster Pass-Through-Anspruchstyp.

     • Ausgabeanspruchswert ist Erster Pass-Through-Eingabeanspruchswert.

   • Abschnitt Regelinformationen:

     • Lassen Sie das Feld Beschreibung (optional) leer.

   

5. Klicken Sie auf der Seite Regelgruppe bearbeiten nochmals auf den Link Hinzufügen.

6. Stellen Sie auf der Seite Anspruchsregel hinzufügen sicher, dass die folgenden Werte vorhanden sind, und klicken Sie auf Speichern. Dadurch wird eine statische Anspruchsregel für Google generiert, die das Hinzufügen des neuen Anspruchstyps Subject simuliert, wobei es sich um den neuen OpenID Connect-Bezeichner handelt, den Google bei der Migration an die Anwendung sendet.

   • Abschnitt Wenn:

     • Identitätsanbieter ist Google.

     • Die Auswahl für Eingabeanspruchstyp ist Alle.

     • Eingabeanspruchswert ist Alle.

   • Abschnitt Dann:

     • Ausgabeanspruchstyp ist Typ eingeben. Geben Sie https://schemas.microsoft.com/identity/claims/subjectim Feld ".

     • Ausgabeanspruchstyp ist Wert eingeben. Geben Sie in das Feld 123456 ein.

   • Abschnitt Regelinformationen:

     • Lassen Sie das Feld Beschreibung (optional) leer.

   

7. Klicken Sie auf der Seite Regelgruppe bearbeiten auf Speichern.

Schritt 3: Zuordnen der neuen Regelgruppe zur Testinstanz der Anwendung

1. Klicken Sie im ACS-Verwaltungsportal in der Struktur auf der linken Seite auf Anwendungen der vertrauenden Seite, oder klicken Sie im Abschnitt Erste Schritte auf den Link Anwendungen der vertrauenden Seite. Klicken Sie dann auf der Seite Anwendungen der vertrauenden Seite auf TestContosoApp.

2. Wählen Sie auf der Seite Vertrauende Seite bearbeiten im Abschnitt Authentifizierungseinstellungen den Eintrag ManuelleGoogleRegelgruppe aus, und klicken Sie auf Speichern.

   

An diesem Punkt enthalten alle Google-Anmeldungsanforderungen an Ihre Testanwendungen den neuen Anspruchstyp.

Schritt 4: Testen Sie, ob Ihre Anwendung die Ergänzung des Betreffanspruchstyps verarbeiten kann.

Testen Sie Ihre Anwendung, um sicherzustellen, dass sie das Vorhandensein des neuen Anspruchstyps (Subject) ordnungsgemäß verarbeiten kann. Normalerweise sollte eine gut geschriebene Anwendung neue Anspruchstypen unterstützen, die dem Token hinzugefügt werden. Suchen und beheben Sie etwaige Probleme. Optional können Sie auch den Vorgehensweisen folgen: Migrieren der vorhandenen Open ID 2.0-Bezeichner Ihrer Benutzer zu neuen OpenID-Verbinden Benutzerbezeichnerabschnitts zum Ausführen der Benutzerbezeichnerzuordnung.

Schritt 5: Migrieren Ihrer Produktionsumgebung

Erstellen Sie Ihre Produktionsanwendung (ProdContosoApp) neu, und stellen Sie sie bereit. Migrieren Sie den Namespace (ns-contoso), um die OpenID-Verbinden-Implementierung von Google zu verwenden, indem Sie die Schritte in der exemplarischen Vorgehensweise für die Migration ausführen. Prüfen Sie, ob ProdContosoApp wie erwartet funktioniert.