Konfigurieren von SSO über Salesforce bei Office 365

Abrufen eines SAML-IdP-Zertifikats

Herunterladen des Metadaten-Dokuments

1. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text Identitätsanbieter ein und wählen Sie dann Identitätsanbieter aus.
2. Klicken Sie auf Metadaten herunterladen.

Konfigurieren von Salesforce Identity-Informationen für die Domäne

1. Starten Sie das Windows Azure Active Directory-Modul der Windows PowerShell.
2. Führen Sie das Cmdlet $cred=Get-Credential aus und geben Sie die Windows Azure AD-Anmeldeinformationen Ihres Administratoraccounts an.

   PS C:\Windows\system32> $cred=Get-Credential
   Cmdlet Get-Credential at command pipeline position 1
   Supply values for the following parameters:
   Credential

3. Führen Sie das Cmdlet Connect-MsolService –Credential $cred aus.

   PS C:\Windows\system32> Connect-MsolService –Credential $cred
   

4. Geben Sie die erforderlichen Parameterwerte an.
   • Ihre Domäne, beispielsweise "$dom = salesidentity.info"
   • POST-Endpunkt-URL des Salesforce-IdPs, beispielsweise $url = https://MyDomainName.my.salesforce.com/idp/endpoint/HttpPost
   • IdP-Aussteller, beispielsweise $uri = https://MyDomainName.my.salesforce.com
   • IdP-Abmelde-URL, beispielsweise $logouturl = https://MyDomainName.my.salesforce.com
   • IdP-Zertifikat, beispielsweise "$cert = <your certificate content>"
   

   Hinweis Geben Sie das Zertifikat in einer einzelnen Zeile ohne Zeilenumbrüche ein.

   PS C:\Windows\system32> $dom = salesidentity.info
   PS C:\Windows\system32> $url = https://MyDomainName.my.salesforce.com/idp/endpoint/HttpPost
   PS C:\Windows\system32> $uri = https://MyDomainName.my.salesforce.com
   PS C:\Windows\system32> $logouturl = https://MyDomainName.my.salesforce.com
   PS C:\Windows\system32> $cert = <your certificate content>
   

5. Führen Sie das Cmdlet Set-MsolDomainAuthentication –DomainName $dom -FederationBrandName $dom -Authentication Federated -PassiveLogOnUri $url -SigningCertificate $cert -IssuerUri $uri -LogOffUri $logouturl -PreferredAuthenticationProtocol SAMLP aus, um eine Vertrauensstellung zu erstellen.

   PS C:\Windows\system32> Set-MsolDomainAuthentication 
   –DomainName $dom -FederationBrandName $dom -Authentication 
   Federated -PassiveLogOnUri $url -SigningCertificate $cert 
   -IssuerUri $uri -LogOffUri $logouturl 
   -PreferredAuthenticationProtocol SAMLP

6. Führen Sie das Cmdlet Get-MsolDomain aus, um zu überprüfen, ob "Get" für "Verbund" angezeigt wird.

   Name							Status	Authentication
   ----							------	--------------
   salesforceidentity.info			Verified	Federated
   sfidentity.mail.onmicrosoft.com		Verified	Managed
   sfidentity.onmicrosoft.com			Verified	Managed

7. Führen Sie das Cmdlet Get-MsolDomainFederationSettings aus, um die Konfiguration zu überprüfen.

Erstellen und Konfigurieren verbundener Anwendungen in Salesforce

1. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text Anwendungen ein. Wenn Sie Lightning Experience verwenden, wählen Sie Verbundene Anwendungen verwalten aus. Wenn Sie Salesforce Classic verwenden, wählen Sie unter "Anwendungen verwalten" die Option Verbundene Anwendungen aus.
2. Unter "Grundlegende Informationen":
   1. Nennen Sie die Anwendung Office 365.
   2. Geben Sie Ihre eigene E-Mail-Adresse ein.
3. Unter "Webanwendungseinstellungen":
   1. Geben Sie für "Start-URL" einen URL ein und fügen Sie Ihrem Domänennamen einen URL hinzu.

      https://login.microsoftonline.com/PostToIDP.srf?msg=AuthnReq&realm=
      MyDomainName.my.salesforce.com&wa=wsignin1.0&wtrealm=urn:federation:MicrosoftOnline&
      wctx=bk%3D1367916313%26LoginOptions%3D3 
      

   2. Wählen Sie SAML aktivieren aus.
   3. Geben Sie urn:federation:MicrosoftOnline für "Einheiten-ID" ein.
   4. Geben Sie https://login.microsoftonline.com/login.srf für "ACS-URL" ein.
   5. Wählen Sie Verbund-ID oder Benutzerdefiniert für "Thematyp" aus.
      

      Hinweis Der Thematyp verwendet die "ObjectGUID" des Benutzerprinzipalnamens.
   6. Behalten Sie für "Format der Namens-ID" die Standardauswahl (nicht angegeben) bei.
   7. Behalten Sie für "Aussteller" den Standardwert (Ihre Unterdomäne) bei.
   8. Behalten Sie für "Anforderungssignaturen überprüfen" die Standardeinstellung bei (nicht ausgewählt).
   9. Behalten Sie für das IdP-Anbieterzertifikat den Standardwert (nicht ausgewählt) bei.
   10. Klicken Sie auf Speichern.
   

   Hinweis Das Erstellen der verbundenen Anwendung in Salesforce kann ein paar Minuten dauern.
4. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text Anwendungen ein. Wenn Sie Lightning Experience verwenden, wählen Sie Verbundene Anwendungen verwalten aus. Wenn Sie Salesforce Classic verwenden, wählen Sie unter "Anwendungen verwalten" die Option Verbundene Anwendungen aus.
   
5. Wählen Sie die verbundene Anwendung Office 365 aus.
6. Klicken Sie auf Profile verwalten oder Berechtigungssätze verwalten und fügen Sie Profile und Berechtigungssätze der Benutzer hinzu, die auf diese Anwendung zugreifen können.
7. Klicken Sie unter Benutzerdefinierte Attribute auf Neu.
   1. Geben Sie IDPEmail als Attributschlüssel und $User.Email als Attributwert ein.
   2. Klicken Sie auf Speichern.
   
8. Führen Sie die verbundene Anwendung als ein Benutzer aus, um zu testen, ob der Zugriff funktioniert.