forum.opsi.org

Guten Tag,

Wir nutzen OPSI mit einer Enterprise-Lizenz und daher wollte ich die SSO über Microsoft Entra implementieren.
Alles hat geklappt nur scheint die Anmeldung nur für gewisse Accounts zu funktionieren. Wir haben einen dedizierten Admin-Account pro Benutzer,
welcher auch Admin in der ganzen Microsoft Entra Umgebung ist. Mit diesen Benutzern kann ich mich Problemlos an OPSI per SSO anmelden.

Möchte ich nun einen "Nicht-Admin" erlauben sich per SSO an OPSI anzumelden, dann erhalte ich in den Logs die Meldung "SAML login error: Not an admin user". Um einen Benutzer hinzuzufügen, gehe ich nach folgenden Schritten vor:

- Enterprise application öffnen
- Benutzer in er app hinzufügen
- Prüfen ob die Rolle für opsiadmin zugewiesen wurde

Laut Dokumentation müsste dies reichen, um einem Benutzer Zugriff auf OPSI-Configed zu geben. Habe ich etwas vergessen? Wie interpretiere ich die Meldung "not an admin user"?

Hallo,

opsi übernimmt die Rollen aus EntraID standardmäßig 1:1 als opsi-Gruppen.
Die Meldung "Not an admin user" bedeutet, dass der authentifizierte Benutzer nicht der Gruppe "opsiadmin" zugeordnet wurde und der Zugriff daher verweigert wird.

Ab Log-Level 6 (info) werden die Rollen und Gruppen im opsiconfd protokolliert.
Die Meldungen sehen dabei etwas so aus: Um das Log-Level auf "info" zu erhöhen kann man in der /etc/opsi/opsiconfd.conf setzen: Danach den opsiconfd veranlassen die Konfiguration neu einzulesen: Die Meldungen kann man sich dann beispielsweise über den opsiconfd logviewer anzeigen lassen: Man kann die Zuordnung von Entra-Rollen zu opsi-Gruppen bei Bedarf auch über die /etc/opsi/opsiconfd.conf konfigurieren:
Wenn alles funktioniert das Log-Level bitte wieder reduzieren.

Grüße
Jan Schneider

Super, der Tipp mit dem Loglevel hat massiv weitergeholfen. Anscheinend wurde die Rolle meinem persönlichen Account nicht sauber zugewiesen und daher konnte ich mich nicht anmelden. Meinen Account aus der App in Entra zu entfernen und wieder hinzuzufügen hat das Problem gelöst.

Danke vielmals für die Hilfe.