Login-Möglichkeit für externe Benutzer in iSign

iSign unterstützt verschiedene Externe Benutzer. Dieser werden durch Identitätsanbieter zur Verfügung gestellt. Im Standard enthalten sind:

• Windows Authentifizierung
• Azure AD

Es ist immer zwischen Authentifizierung (Wer bin ich?) und Authorisierung (Was darf ich?) zu unterscheiden. Es hängt vom Identitätsanbieter ab, welche Funktion verfügbar ist.

Passwort Authentifizierung

Unter Passwort-Authentifizierung wird unter iSign die Authentifizierung mittels eines in iSign vergebenen Passworts bezeichnet. Dies ist die in iSign integrierte Authentifizierung, diese funktioniert ohne externe Komponenten.

Windows Authentifizierung

Die Windows Authentifizierung verwendet Windowskonten zur Anmeldung. Die Windowskonten müssen mit iSign-Usern verknüpft werden. Die Authentifizierung erfolgt durch das Windowskonto. Die Authorisierung durch den iSign-User.

Für die Windows-Authentifizierung ist ein Windows-Server erforderlich. Der Server muss die verwendeten Windowskonten authentifizieren können. Dies ist in der Regel der Fall, wenn der Windows-Server in der gleichen Domäne wie die Windowskonten sind.

Die iSign-User müssen manuell angelegt werden. Dabei werden diese mit Windowskonten verknüpft und Berechtigungen zugewiesen.

Mit einem Windows-Client und einem Edge Browser kann ein Single-Sign-On ermöglicht werden. Dazu muss das Anmeldekonto einem iSign-User zugewiesen werden.

Einrichtung

1. Stellen Sie Sicher, dass Ihr iSign Server auf Windows Server läuft und der Windows Server in einer Domäne ist.
2. Konfigurieren Sie iSign mit Windows-Authentifizierung.
   Am einfachsten geht das indem Sie im “iSign Server Konfigurationsassistent” die Option “Windows Authentifizierung” aktivieren.
   Danach müssen Sie die Konfiguration anwenden.
3. Konfigurieren Sie nun über die iSign Weboberfläche Ihre iSign-User (unter Administration/Benutzer). Beim Bearbeiten oder Hinzufügen eines Benutzers können Sie nun das zu verknüpfenden Windows-Konto unter “Windows-Anmeldung”, “Domäne\Benutzer” eintragen. Achten Sie darauf die Konten immer voll zu qualifizieren, also im Format “Domäne\Benutzer” einzugeben.
   
4. Nun kann die Windows-Authentifizierung bei der Anmeldung am System verwendet werden. Dazu wählen Sie in der Anmeldemaske die Option “Anmelden mit Windows”. Falls nur eine Authentifizierungmethode aktiv ist wird diese automatisch ausgewählt.
   

Azure AD (Zusatzmodul)

Die Azure-AD Authentifizierung verwendet Entra-ID Konten zur Anmeldung. Die Entra-ID-Konten müssen mit iSign-Usern verknüpft werden. Optional werden die iSign-User automatisch für Entra-ID-Konten angelegt. Die Authorisierung erfolgt wahlweise über iSign-User oder über die Gruppenzugehorigkeit der Entra -ID-Konten.

Einrichtung

App Registrierung erstellen

Erstellen Sie ein App Registrierung in Microsoft Entra (https://learn.microsoft.com/de-de/azure/active-directory/develop/web-app-tutorial-01-register-application )

Konfigurieren Sie die App Authorisierung. Legen Sie eine Platform für “Web” an. Verwenden Sie die Parameter:

• Umleitungs-URIs: https://IHREDOMAIN/ID/signin-oidc
• URL für Front-Channel-Abmeldung: https://IHREDOMAIN/ID/siginout-oidc
• Zugriffstoken: JA
• ID-Token: JA

Nach der Registrierung unter Authentifizierung die Platformkonfiguration durchführen

Konfiguration von iSign

Legen sie die Datei “90-azuread.json” im Konfigurationsverzeichnis (Standard: C:\ProgramData\designo\isign-server\instance\default\data\config.d) an. Kopieren Sie folgenden Inhalt in die Datei:

{
  "identity": {
    "loginMethods": [ "azureAd", "forms" ],
    "createAccountWhenExternalUserNotFound": true,
    "copyRolesFromExternalIdentity": true,
    "azureAd": {
      "Instance": "https://login.microsoftonline.com/",
      "TenantId": "TENANT-ID",
      "ClientId": "CLIENT-ID"
    }
  }
}

Ersetzen Sie die Platzhalter “TENANT-ID” und “CLIENT-ID” durch jene aus Ihrer App-Registrierung. Sie finden diese im Überblick als “Verzeichnis-ID” und “Anwendungs-ID”.

iSign Konten erstellen

Jeder Benutzer benötigt ein iSign Konto. Das Konto wir mittels der Object-ID mit Azure AD verknüpft. Sie haben zwei Optionen um diese Verknüpfung herzustellen.

Mit der Option "createAccountWhenExternalUserNotFound": true (siehe oben) kann jeder Benutzer, welcher über Azure AD authentifiziert wurde ein iSign Konto erstellen. Dazu erfolgt bei der ersten Anmeldung einmalig die Afrage ob ein Konto erstellt werden soll. Als Benutzername wird die E-Mail des Benutzers verwendet.

Mit der Option "createAccountWhenExternalUserNotFound": false kann der Benutzer selbst kein Konto anlegen. Stattdessen muss dies administrativ erfolgen. Dazu kann die Azure AD Object-ID in der iSign Benutzerverwaltung eingetragen werden:

Authorisierung

Sie können die Rollenzuweisung in iSign aus Azure AD übernehmen. In der obigen Konfiguration ist dies bereits aktiviert. Dabei werden die Rollen aus Azure AD und iSign zusammengefügt.

Verwenden Sie die Anleitung von Microsoft https://learn.microsoft.com/en-us/azure/active-directory/develop/howto-add-app-roles-in-apps um Rollen hinzuzufügen. Damit die Rollen von iSign erkannt werden muss der Wert (Value) der Rolle exakt übereinstimmen. Sonstige Felder können frei vergeben werden.

Verfügbare Rollen in iSign:

Wert	Beschreibung
admin	Administrator
library	Zugriff auf Bibliothek
program	Zugriff auf Programm
vocatis-control	Allgemeiner Zugriff auf Vocatis
vocatis-supervise	Überwachung von Vocatis
signpost-operator	Bearbeiten von Signpost