SSO per Microsoft Entra

[philipp.schalcher]

Guten Tag,

Wir nutzen OPSI mit einer Enterprise-Lizenz und daher wollte ich die SSO über Microsoft Entra implementieren.
Alles hat geklappt nur scheint die Anmeldung nur für gewisse Accounts zu funktionieren. Wir haben einen dedizierten Admin-Account pro Benutzer,
welcher auch Admin in der ganzen Microsoft Entra Umgebung ist. Mit diesen Benutzern kann ich mich Problemlos an OPSI per SSO anmelden.

Möchte ich nun einen "Nicht-Admin" erlauben sich per SSO an OPSI anzumelden, dann erhalte ich in den Logs die Meldung "SAML login error: Not an admin user". Um einen Benutzer hinzuzufügen, gehe ich nach folgenden Schritten vor:

- Enterprise application öffnen
- Benutzer in er app hinzufügen
- Prüfen ob die Rolle für opsiadmin zugewiesen wurde

Laut Dokumentation müsste dies reichen, um einem Benutzer Zugriff auf OPSI-Configed zu geben. Habe ich etwas vergessen? Wie interpretiere ich die Meldung "not an admin user"?

[j.schneider]

Hallo,

opsi übernimmt die Rollen aus EntraID standardmäßig 1:1 als opsi-Gruppen.
Die Meldung "Not an admin user" bedeutet, dass der authentifizierte Benutzer nicht der Gruppe "opsiadmin" zugeordnet wurde und der Zugriff daher verweigert wird.

Ab Log-Level 6 (info) werden die Rollen und Gruppen im opsiconfd protokolliert.
Die Meldungen sehen dabei etwas so aus:

Code: Alles auswählen

SAML SSO successful for user ... with roles ...
SAML roles mapped to groups ...

Um das Log-Level auf "info" zu erhöhen kann man in der /etc/opsi/opsiconfd.conf setzen:

Code: Alles auswählen

log-level = 6

Danach den opsiconfd veranlassen die Konfiguration neu einzulesen:

Code: Alles auswählen

opsiconfd reload

Die Meldungen kann man sich dann beispielsweise über den opsiconfd logviewer anzeigen lassen:

Code: Alles auswählen

opsiconfd log-viewer -l6

Man kann die Zuordnung von Entra-Rollen zu opsi-Gruppen bei Bedarf auch über die /etc/opsi/opsiconfd.conf konfigurieren:

Code: Alles auswählen

saml-role-group-mappings=["entra-id-role=opsiadmin", "other-role=opsiadmin"]

Wenn alles funktioniert das Log-Level bitte wieder reduzieren.

Grüße
Jan Schneider

[philipp.schalcher]

Super, der Tipp mit dem Loglevel hat massiv weitergeholfen. Anscheinend wurde die Rolle meinem persönlichen Account nicht sauber zugewiesen und daher konnte ich mich nicht anmelden. Meinen Account aus der App in Entra zu entfernen und wieder hinzuzufügen hat das Problem gelöst.

Danke vielmals für die Hilfe.