LSF Authentication Service

Transkript

1 HOCHSCHULKOMMUNIKATION TYPO3-Extension LSF Authentication Service Handbuch TYPO3 Version 4.x Extension-Version: 1.7.9

2 Inhaltsverzeichnis Funktion des LSF Authentication Service... 1 Funktionen im Überblick... 1 Installation... 2 Konfiguration der Schnittstelle in LSF... 2 Zugriffsrechte für die LSF-Schnittstelle... 2 Vorbereitungen in TYPO Wichtig: Lokale Benutzer auf Kompatibilität prüfen... 4 Anlegen eines Benutzer-Ordners und der FE-Benutzergruppen... 4 Installation der Extensions in TYPO Voraussetzungen für die Installation... 6 Installation der TYPO3-Extension... 6 Konfiguration des Authentication Service in TYPO Installation der Extensions newloginbox und dmc_newloginbox... 9 Einrichten der Intranet- und Login-Seiten Konfiguration im TypoScript-Template Optional: Navigationsmenü im Intranet... 12

3 Funktion des LSF Authentication Service Die Extension LSF Authentication Service (dmc_auth_service) bindet einen TYPO3-Service ein, der Benutzern, die in LSF vorhanden sind (Mitarbeiter und Studierende), den Login in das Frontend von TYPO3 erlaubt. Benutzer, die authentifiziert wurden, können dabei automatisch in TYPO3 erzeugt werden. Darüberhinaus kann die Authentifizierung für das Backend über den Service erfolgen, falls die Backend-Benutzer entsprechend in TYPO3 angelegt wurden. Die Passwörter der Benutzer bleiben in beiden Fällen in LSF gespeichert und werden nicht in TYPO3 übertragen. Innerhalb von TYPO3 genügt die Vergabe eines zufälligen Dummy -Passworts. Mit Hilfe der Extensions newloginbox und dmc_newloginbox kann eine Möglichkeit zum Login im Frontend geschaffen werden. Durch die Umleitungsfunktionen in Abhängigkeit der Benutzergruppe lassen sich somit ein gemeinsames Intranet oder separate Intranets für Mitarbeiter und Studierende realisieren. Da die TYPO3-eigenen Login-Funktionen durch die Extensions lediglich abgeändert und ergänzt (jedoch nicht überschrieben) werden, lassen sich daneben lokal in TYPO3 authentifizierte Benutzer und somit beispielsweise weitere Intranets für andere Zielgruppen realisieren. Funktionen im Überblick Authentifizierung mit Hilfe von LSF Benutzer, die in LSF vorhanden sind, werden mit Hilfe der SOAP-Schnittstelle in LSF authentifiziert und in TYPO3 eingeloggt. Automatischer Import und Pflege der Frontend-Benutzer Benutzer werden beim Login im Frontend automatisch in TYPO3 erzeugt. In LSF vorhandene Daten (Name, Benutzername, Rolle) werden automatisch in TYPO3 aktualisiert. Intranet-Zugang in Abhängigkeit der Benutzergruppe Für Mitarbeiter sowie Studierende lassen sich separate Intranets mit zielgruppenspezifischen Inhalten realisieren. Schutz der Intranet-Seiten vor unberechtigtem Zugriff Nicht-eingeloggte Benutzer werden automatisch auf das Login-Formular umgeleitet. Dies gilt für die Startseite und Unterseiten des jeweiligen Intranets. Eingeloggte Benutzer erhalten bei Zugriffsversuch auf das Intranet für eine andere Benutzergruppe eine Fehlermeldung. SingleSignOn in LSF zur Verwendung des LSF-Adapters Beim Login in TYPO3 wird gleichzeitig ein Login in LSF durchgeführt, so dass Funktionen des LSF-Adapters (TYPO3-LSF-Connector) genutzt werden können. Für Mitarbeiter ist dies beispielsweise die Bearbeitung von Einrichtungsdaten wie Publikationen, für Studierende der persönliche Studenplan. 1

4 Installation Die Einrichtung der Extension LSF Authentication Service erfordert Anpassungen auf beiden Seiten, sowohl in TYPO3 als auch in LSF. Auf LSF-Seite müssen Sie dem Webserver Zugriff auf die SOAP-Schnittstelle gewähren und die Schnittstellen-Inhalte konfigurieren. Falls Sie bereits den TYPO3-LSF-Connector eingerichtet und die hierfür notwendigen Einstellungen in LSF vorgenommen haben, können Sie den Schritt Zugriffsrechte für die LSF-Schnittstelle jedoch überspringen, da Sie diesen bereits für den TYPO3- LSF-Connector durchführen mussten. Gehen Sie in diesem Fall weiter zum Schritt Konfiguration für den Single Sign On. In TYPO3 installieren Sie zunächst die Extension, konfigurieren die Verbindungsdaten und Eigenschaften des Service und richten dann die notwendigen Seiten für den Login ein. Konfiguration der Schnittstelle in LSF Die Konfiguration von LSF geschieht mit Hilfe einer Vielzahl von Konfigurationsdateien, die mehrheitlich im XML-Format vorliegen und auf dem LSF-Server im Verzeichnis des Apache Tomcat und dort im Unterverzeichnis qisserver/web-inf/conf gespeichert sind. Die HIS hat Ihrer Universität bzw. Hochschule ein eindeutiges Kürzel zugewiesen, z.b. HISUHO für die Universität Hohenheim. Änderungen in der Konfiguration sollten Sie immer in der Datei mit dem entsprechenden Kürzel als Suffix vornehmen. Sollte eine entsprechende Datei noch nicht vorhanden sein, erstellen Sie diese nach dem folgenden Schema: [KONFIGURATIONSNAME]_[HOCHSCHULKÜRZEL].xml /.txt Zugriffsrechte für die LSF-Schnittstelle Damit der LSF Authentication Service eine Verbindung zu LSF aufbauen kann, muss die IP-Adresse des Webservers bzw. im Falle mehrerer Webserver die IP-Adresse eines jeden Webservers in der Konfiguration von LSF an zwei Stellen für den Zugriff auf die SOAP-Schnittstelle freigegeben werden. Datei: qisserver/web-inf/conf/dbinterface/dbinterface_uho.txt Beispiel für eine IP-Adresse: IPRANGEDATAXML=^192\.168\.1\.52$ Beispiel für mehrere IP-Adressen: IPRANGEDATAXML=^192\.168\.1\.52$ ^192\.168\.1\.53$ Jede IP-Adresse wird von ^ am Anfang und $ am Ende umschlossen. Mehrere IP-Adressen werden mit Hilfe einer Pipe getrennt. Bitte beachten Sie, dass Punkte in der IP-Adresse jeweils mit einem Backslash ( \ ) escapt werden müssen. Datei: qisserver/web-inf/conf/loginconf_uho.xml 2

5 Beispiel für eine IP-Adresse: <login> <global> <soap ueberschreiben="y"> <rights ipranges=" " /> </soap> </global> </login> Beispiel für mehrere IP-Adressen: <login> <global> <soap ueberschreiben="y"> <rights ipranges=" , " /> </soap> </global> </login> Mehrere IP-Adressen werden hier durch Kommata getrennt aufgeführt. Konfiguration für den Single Sign On Damit Benutzer im TYPO3-Frontend über (und gleichzeitig in) LSF authentifiziert werden können, muss ein Shared Secret sowohl in TYPO3 als auch in LSF festgelegt und die Authentifizierungsmethoden in LSF konfiguriert werden. Datei: qisserver/web-inf/conf/dispatcher/singlesignon_hisuho.xml Diese Datei finden Sie vorgefertigt in der ZIP-Datei. Falls bereits eine solche Datei mit Ihrem Hochschulkürzel existiert, kopieren Sie den Teil von (inklusive) <app name="typo3" active="y"> bis </app> aus der gezippten Vorlage in die in Ihrem System exstierende Datei. Andernfalls kopieren Sie die gesamte Datei in das Verzeichnis dispatcher. Ersetzen Sie in der Datei das 32 Zeichen lange shared-secret durch eine zufällige Zeichenfolge. Datei: qisserver/web-inf/conf/loginconf_hisuho.xml Innerhalb dieser Datei sollte dem Tag <global>...</global> ein Tag <auth ueberschreiben="y">...</auth> folgen. Falls nicht, fügen Sie dieses ein. Innerhalb des <auth ueberschreiben= y >...</auth>-tags fügen Sie die Inhalte aus der in der ZIP-Datei mitgelieferten Datei LoginConf.txt ein. Ersetzen Sie auch hier wieder im oberen Bereich das shared-secret. Achten Sie darauf, dass diese Zeichenkette in beiden Dateien identisch ist. In TYPO3 geben Sie in der Konfiguration der Extension dmc_auth_service später ebenfalls dasselbe Shared Secret nach der Installation an.» Im Anschluss an die Änderungen ist ein Neustart des LSF-Servers (Apache Tomcat) notwendig, damit Änderungen der Konfiguration wirksam werden. 3

6 Vorbereitungen in TYPO3 Wichtig: Lokale Benutzer auf Kompatibilität prüfen Die Extension LSF Authentication Service beeinflusst maßgeblich die Loginprozedur auch im Backend, falls sie für die Authentifizierung im Backend aktiviert wurde. Daher müssen lokale Benutzer, insbesondere Ihr Admin-Benutzer, mit dem Sie die Installation durchführen, vorher angepasst werden, so dass der Login weiterhin möglich ist. Vom Authentication Service werden solche Benutzer niemals behandelt, in deren Benutzernamen steht. Diese Benutzer werden weiterhin lokal über TYPO3 authentifiziert. Hingegen werden alle anderen Benutzer nur über LSF authentifiziert. Innerhalb von TYPO3 lokal existierende Benutzer, die nicht im LSF bestehen, müssen also einen Benutzernamen erhalten, der beinhaltet. Ändern Sie vor der Installation der Extension den Admin-Benutzer also entsprechend. Anlegen eines Benutzer-Ordners und der FE-Benutzergruppen Während Benutzer aus LSF beim Login im Frontend automatisch innerhalb von TYPO3 erzeugt und gepflegt werden, müssen die Benutzergruppen in TYPO3 analog zu den LSF-Rollen vorher angelegt werden. Nur falls die Rollen eines Nutzers in LSF eine Entsprechung in TYPO3 finden, wird der Nutzer eingeloggt. Legen Sie zunächst einen zentralen SysOrdner für die FE-Benutzer und innerhalb dieses SysOrdners folgende Benutzergruppen an: AdministratorIn MitarbeiterIn StudierendeR Einen SysOrdner können Sie erzeugen, indem Sie im Seitenbaum eine neue Seite anlegen und als Typ der Seite SysOrdner auswählen. Geben Sie dann einen Namen ein klicken Sie auf Speichern. 4

7 Wählen Sie nun das Modul Web > Liste aus. Innerhalb des SysOrdners legen Sie mit Klick auf das Symbol jeweils einen neuen Datensatz an und wählen in der Liste aus. Auch hier genügt die Eingabe eines Titels. Nach dem Anlegen können Sie die UIDs der Benutzergruppen in Erfahrung bringen, indem Sie bei der jeweiligen Benutzergruppe mit der Maus über das Gruppen-Symbol fahren: 5

8 Installation der Extensions in TYPO3 Voraussetzungen für die Installation Für den Einsatz des LSF Authentication Service sind serverseitig folgende Voraussetzungen notwendig: TYPO3 Version 3.8 bis 4.4 PEAR PEAR-Module SOAP und SOAP_Client Installation der TYPO3-Extension Installieren Sie zunächst die Extension über den Extension Manager von TYPO3. Diesen finden Sie im Backend unter Adminwerkzeuge > Erweiterungen (engl.: Admin Tools > Ext. Manager ). Wählen Sie Erweiterung importieren (engl.: Import extensions ) aus dem Drop-Down-Menü aus. Im unteren Bereich finden Sie ein Upload-Formular (Abb. 2). Wählen Sie die Extension-Datei auf Ihrem Computer aus. Diese Datei hat die Endung t3x und einen Dateinamen in der Form T3X_dmc_auth_service-x_x_x-z-2010xxxxxxxx.t3x Setzen Sie das Häkchen bei Overwrite any existing extension und klicken Sie auf Upload. Abbildung 1: Extension Manager Abbildung 2: Import der TYPO3-Extension Nachdem die Datei hochgeladen wurde, sollten Sie die folgende Ausgabe sehen (Abb. 3). Mit Klick auf Install extension wird die Extension in TYPO3 installiert. 6

9 Abbildung 3: Installation der TYPO3-Extension Im nächsten Schritt werden Sie aufgefordert, die notwendigen Datenbanktabellen und -felder anzulegen (Abb. 4). Bestätigen Sie dies mit Klick auf den Button Make updates. Abbildung 4: Anlegen der Datenbankstruktur im Extension Manager Nachdem der Extension Manager die notwendigen Änderungen an der MySQL-Datenbank vorgenommen hat, werden Sie zur Konfiguration der Extension (s. folgende Seite) weitergeleitet. 7

10 Konfiguration des Authentication Service in TYPO3 Nach der Installation der Extension, konfigurieren Sie die Verbindung zum LSF-Server sowie das Verhalten des Authentication Service und die TYPO3-Benutzergruppen. Abbildung 5: Konfiguration des Service im Extension Manager Frontend / Backend Beide Optionen sollten hier aktiviert sein, so dass der Service für Logins ins Frontend und ins Backend verwendet wird disablefebranchesviats Aktivieren Sie diese Option nur, wenn Sie den LSF-Login in bestimmten Teilen des Seitenbaums ausschalten wollen. Weitere Informationen zu dieser Funktion finden Sie im Kapitel Konfiguration im TypoScript-Template. 8

11 Benutzergruppen Automatisches Update Geben Sie hier die UIDs der zuvor angelegten FE-Benutzergruppen an. Diese Option sollte aktiviert sein. Sie bewirkt, dass LSF-Benutzer, die sich einloggen, automatisch in TYPO3 erzeugt werden. Andernfalls müssen die Benutzer zunächst von Hand in TYPO3 angelegt werden. Server-URL Geben Sie hier die URL des LSF-Servers ( ein, gefolgt von /qisserver/services/authserver Zusätzliche Felder importieren Dieses Feld bleibt im Normalfall unausgefüllt. Hierüber besteht die Möglichkeit Felder aus den LSF-Benutzerdaten automatisch in die TYPO3-Datenbank (fe_users / be_users) zu importieren. FE- und BE-Login synchronisieren Falls sie die Extension dkd_feuser_belogin verwenden, aktivieren Sie diese Option. Tabelle 1: Konfiguration des Authentication Service in TYPO3 Installation der Extensions newloginbox und dmc_newloginbox Im Anschluss an die Konfiguration des Authentication Service installieren Sie analog zu dem oben beschriebenen Vorgehen die folgenden beiden Extensions, die die Darstellung des Login-Formulars und die Weiterleitung auf die entsprechenden Intranet-Seiten vornehmen: Extension newloginbox dmc_newloginbox Datei T3X_newloginbox-x_x_x-z-2010xxxxxxxx.t3x T3X_dmc_newloginbox-x_x_x-z-2010xxxxxxxx.t3x Nach der Installation der Extension dmc_newloginbox können Sie auswählen, ob beim Login und Logout eine sichere Verbindung erzwungen werden soll. Klicken Sie in jedem Fall auf den Button Update, auch wenn Sie die Option nicht aktivieren, um die Installation der Extension abzuschließen. Die Option sollte im Normalfall deaktiviert sein und ist nur für TYPO3-Versionen unter 4.2 relevant. Falls Ihr Webserver(-Pool) sich hinter einem Loadbalancer oder Reverse Proxy befindet, der von Besuchern von außen per HTTPS angesprochen wird, Verbindungen zu den Webservern jedoch 9

12 unverschlüsselt aufbaut, werden absolute Links in TYPO3 mit erzeugt, was beim Login zu einer Warnmeldung im Browser führt. In diesem Fall schafft das Aktivieren der Option Abhilfe. Ab TYPO3 4.2 können Sie dies global im Install Tool von TYPO3 konfigurieren. Einrichten der Intranet- und Login-Seiten Legen Sie nun die gewünschte Seitenstruktur an. Zunächst benötigen Sie eine Login-Seite, die für nicht-eingeloggte Benutzer zugänglich ist, also keine Zugriffsbeschränkung hat. Über das Modul Web > Seite legen Sie auf der neuen Login-Seite dann ein Seiteninhaltselement an und wählen unter Plugins folgende Option aus: Die Konfiguration für das Plugin geschieht in einem späteren Schritt über TypoScript. Sie können also direkt auf Speichern klicken. Als Nächstes legen Sie die Intranet-Einstiegsseite ein. Falls Sie getrennte Intranet-Bereiche für Mitarbeiter und Studierende planen, wiederholen Sie diesen Schritt für beide Gruppen. Erstellen Sie eine neue Seite, vergeben Sie Titel und evtl. weitere Eigenschaften und wählen Sie dann die Registerkarte Zugriff aus (in TYPO3-Versionen unter 4.2 finden Sie den Abschnitt Zugriff ganz unten auf der Seite). Wählen Sie aus der Liste der Benutzergruppen die Gruppe MitarbeiterIn bzw. StudierendeR (oder ggf. beide) aus und aktivieren Sie die Option Inklusive Unterseiten : Nach dem Speichern der Seite, legen Sie hier ebenfalls (an weniger prominenter Stelle, z.b. je nach Layout in der rechten Spalte der Seite) ein Plugin vom Typ Besseres Anmeldeformular wie auf der Login-Seite an. Dieses wird den Benutzern Ihren aktuellen Login-Status sowie einen Button zum Ausloggen anzeigen. Außerdem werden durch das Plugin nicht-eingeloggte Besucher auf die Login-Seite umgeleitet. Legen Sie nun gegebenenfalls Unterseiten für den Intranet-Bereich an. Diese werden automatisch vor dem Zugriff durch nicht-eingeloggte Besucher geschützt. 10

13 Konfiguration im TypoScript-Template Nachdem Sie die Intranet- und Login-Seiten angelegt und die Extensions installiert haben, konfigurieren Sie im TypoScript die Seiten-UIDs, so dass eingeloggte Benutzer korrekt umgeleitet werden können. Verwenden Sie das Backendmodul Web > Template, um ein geeignetes Template im Seitenbaum auszuwählen oder ein neues anzulegen. Beim Anlegen eines neuen Templates beachten Sie, dass dieses ins Haupt-Template inkludiert werden muss. Falls Sie sich nicht sicher sind, welches Template geeignet ist, klicken Sie auf die oberste Seite im Seitenbaum direkt unterhalb der Weltkugel. Falls mehrere Templates zur Auswahl stehen, wählen Sie dort das Haupt-Template aus. Abbildung 6: Auswahl des Haupt-Templates Wählen Sie im oberen Dropdown-Feld den Punkt dann auf den Bleistift zur Bearbeitung des Felds Setup. aus und klicken Sie Geben Sie folgenden TypoScript-Code in das Bearbeitungsfeld ein bzw. fügen Sie diesen am unteren Ende hinzu. Ersetzen Sie dabei die angegebenen UIDs der Seiten und Benutzergruppen durch die in Ihrem Fall gültigen. Nach der Bearbeitung klicken Sie oben auf das Speichern -Symbol. plugin.tx_newloginbox_pi1 { showlsfselector = 1 intranet_main_pid = 18 fe_redirects{ 4 = 7 5 = 8 } storagepid = 19 } Variable Beschreibung showlsfselector Wert: 0 oder 1 Setzen Sie diese Variable auf 1, damit Benutzer mit einer Doppelrolle (Student + Mitarbeiter) eine Auswahl treffen können, welcher Benutzergruppe sie in TYPO3 angehören wollen. Die Auswahl kann durch die Benutzer zu jeder Zeit verändert werden. Die Auswahl einer Gruppenzugehörigkeit ist notwendig für die korrekte Weiterleitung in das Intranet für Mitarbeiter bzw. Studierende. (In TYPO3 sind bei diesen Benutzern zu jeder Zeit beide Benutzergruppen zugeordnet, so dass geschützte Inhalte unabhängig 11

14 von der Rollenauswahl zugänglich sind.) intranet_main_pid fe_redirects Wert: Seiten-UID UID der Seite Login (diese Seite muss für nicht-eingeloggte Benutzer zugänglich sein) Wert: Liste von Gruppen- und Seiten-UIDs Innerhalb der geschweiften Klammer muss in jeder Zeile die UID der FE-Benutzergruppe stehen gefolgt von einem Gleichheitszeichen und der UID der Intranet-Startseite, auf die Benutzer der jeweiligen Benutzergruppe nach erfolgreichem Login umgeleitet werden sollen. Im Besipiel wird die Benutzergruppen 4 (Studierende) auf die Seite mit der UID 7 und die Gruppe 5 (Mitarbeiter) auf die Seite 8 umgeleitet. storagepid Wert: Seiten-UID (oder mehrere durch Kommata separiert) Setzen Sie hier die UID des SysOrdners, in dem Sie die Benutzergruppen angelegt haben. In dem hier angegebenen Ordner werden auch die automatisch erzeugten Benutzer gespeichert. LSF-Authentifizierung für Teilbäume deaktivieren Ist die Option disablefebranchesviats im Extension Manager aktiviert, können Sie die Authentifikation via LSF gezielt ausschalten, indem Sie im Setup-Bereich des TypoScript-Templates (auf der obersten Ebene des Teilbaums) folgendes eintragen: plugin.tx_dmcauthservice_sv1.disable = 1 Soll der LSF-Login nur für einen bestimmten Teil des Seitenbaums aktiviert werden, setzen Sie obige Zeile in das Haupt-Template der gesamten Seite und heben Sie für den Teilbaum, in dem der Login via LSF möglich sein soll, die Einstellung wieder auf: plugin.tx_dmcauthservice_sv1.disable > Optional: Navigationsmenü im Intranet Um den Intranet-Bereich klarer von den öffentlichen Seiten abzugrenzen und die Navigation zu erleichtern, bietet es sich unter Umständen an, innerhalb des Intranets nur Intranet-Unterseiten in der Navigation anzuzeigen. Sollten Sie dies wünschen, legen Sie auf der Intranet-Startseite ein neues Erweiterungs-Template an und geben Sie folgendes TypoScript im Feld Setup ein. Damit verschieben Sie das Einstiegslevel für die Menügenerierung. Bedenken Sie aber, einen Weg zurück zu den öffentlichen Inhalten anzubieten, beispielsweise mit einer weiterhin bestehenden Navigation auf der obersten Ebene. page.10.marks.left_navi.entrylevel = 1 page.10.marks.mid_left_navi.entrylevel = 4 Ersetzen Sie dabei die Marker (LEFT_NAVI und MID_LEFT_NAVI) durch die Marker, die in Ihrer TYPO3-HTML-Vorlagen die Sub-Navigation repräsentieren und passen Sie ggf. das jeweilige Einstiegslevel im Seitenbaum, also die im TypoScript angegebene Zahl an. Dabei steht 0 für die oberste Ebene unterhalb der Wurzel-Seite, 1 für die erste Unterebene usf. 12

15 UNIVERSITÄT HOHENHEIM HOCHSCHULKOMMUNIKATION Webmaster (AH3) Raphael Heilmann Stand: 16. September 2010