Wie konfiguriere ich SAML-basiertes Single Sign-On für den QuWAN QBelt-VPN-Server mit Microsoft Entra ID als Identitätsanbieter?

1. Wechseln Sie zu https://portal.azure.com.
2. Melden Sie sich mit Ihrem Microsoft-Benutzernamen und -Passwort an.
3. Klicken Sie auf dem Microsoft Azure-Banner auf .
4. Klicken Sie auf All services (Alle Dienste).
5. Klicken Sie auf Microsoft Entra ID.
6. Wählen Sie im linken Bereich unter Manage (Verwalten) die Option Enterprise applications (Unternehmensanwendungen).
7. Klicken Sie auf New application (Neue Anwendung).
8. Klicken Sie auf Create your own application (Eigene Anwendung erstellen).
9. Geben Sie unter What's the name of your app? (Wie lautet der Name Ihrer App?) einen Namen für Ihre Anwendung ein.
   Hinweis

   Verwenden Sie einen eindeutigen, beschreibenden Namen für Ihre benutzerdefinierte SAML-App, wie den Namen des Dienstes selbst (z. B. "QuWAN QBelt-VPN-Server").
10. Wählen Sie Integrate any other application you don't find in the gallery (Non-gallery) (Andere Anwendung integrieren, die Sie nicht in der Galerie finden (Nicht-Galerie)).
11. Klicken Sie auf Create (Erstellen).

    Azure fügt die Anwendung hinzu und leitet Sie auf die Seite Overview (Übersicht) der Anwendung weiter.

12. Klicken Sie im Seitenbereich auf Users and groups (Benutzer und Gruppen), um bestimmte Benutzer und Gruppen für den Zugriff auf die Anwendung zu autorisieren.
    Weitere Informationen finden Sie unter Zuweisung von Benutzern und Gruppen zu einer Anwendung verwalten.

Um Microsoft Entra ID (Azure ID)-SSO zu aktivieren, müssen Sie eine Verknüpfung zwischen Microsoft Entra ID-Benutzern und ihren entsprechenden QuWAN QBelt-VPN-SAML-SSO-Benutzergruppen erstellen.

1. Wechseln Sie zu https://quwan.qnap.com.
2. Melden Sie sich mit Ihrem QNAP-Konto-Benutzernamen und -Passwort an.
3. Wählen Sie Ihre Organisation.
4. Wechseln Sie zu VPN-Server-Einstellungen > Berechtigungseinstellungen.
5. Wechseln Sie zu SAML-SSO.
6. Klicken Sie auf SAML-SSO jetzt konfigurieren.
7. Kopieren Sie den Identifikator (Entitäts-ID) und die Antwort-URL in die Zwischenablage.
8. Öffnen Sie das Azure-Portal.
9. Wechseln Sie zu All services (Alle Dienste) > Manage (Verwalten) > Enterprise applications (Unternehmensanwendungen).
10. Suchen und öffnen Sie die Unternehmensanwendung QuWAN QBelt-VPN-Server.
11. Klicken Sie unter Set up single sign on (Single Sign-On einrichten) auf Get started (Erste Schritte).
12. Wählen Sie SAML als Single Sign-On-Methode.
13. Suchen Sie Schritt 1, Basic SAML Configuration (Grundlegende SAML-Konfiguration).
14. Klicken Sie auf Edit (Bearbeiten).
15. Fügen Sie den kopierten Identifikator (Entitäts-ID) und die Antwort-URL in die entsprechenden Felder ein.
16. Klicken Sie auf Save (Speichern).
17. Klicken Sie auf X, um das SAML-Konfigurationsfenster zu schließen.
18. Suchen Sie Schritt 3, SAML Certificates (SAML-Zertifikate).
19. Klicken Sie neben Certificate (Base64) (Zertifikat (Base64)) auf Download (Herunterladen).
20. Suchen Sie Schritt 4, Set up [Application_Name] ([Anwendungsname] einrichten).
21. Kopieren Sie die Anmelde-URL und die Microsoft Entra ID oder Azure AD Identifier in die Zwischenablage.
22. Konfigurieren Sie die Attribute und Ansprüche.
    1. Suchen Sie Schritt 2, Attributes & Claims (Attribute & Ansprüche).
    2. Klicken Sie auf Edit (Bearbeiten).
    3. Klicken Sie auf Add new claim (Neuen Anspruch hinzufügen).
    4. Geben Sie den Anspruchnamen als email ein.
    5. Wählen Sie neben Source attribute (Quellattribut) ein Attribut, das dem Anspruch email entspricht. Wählen Sie beispielsweise user.mail.
    6. Klicken Sie auf Save (Speichern).
    7. Klicken Sie auf Add new claim (Neuen Anspruch hinzufügen).
    8. Geben Sie den Anspruchnamen als groups ein.
    9. Wählen Sie neben Source attribute (Quellattribut) ein Attribut, das dem Anspruch groups entspricht. Wählen Sie beispielsweise user.department.
    10. Klicken Sie auf Save (Speichern).
        Hinweis

        • Um die QuWAN SAML-SSO-Benutzergruppe mit einer bereits in Microsoft Entra ID erstellten Gruppe zu verknüpfen, klicken Sie auf Add group claim (Gruppenanspruch hinzufügen), wählen Sie All groups (Alle Gruppen), und wählen Sie Custom group claim name (Benutzerdefinierter Gruppenanspruchname). Geben Sie den Anspruchnamen als groups ein.
        • Weitere Informationen zum Ändern von Ansprüchen finden Sie unter SAML-Token-Ansprüche anpassen.
23. Öffnen Sie QuWAN Orchestrator.
24. Wählen Sie Ihre Organisation.
25. Wechseln Sie zu VPN-Server-Einstellungen > Berechtigungseinstellungen.
26. Wechseln Sie zu SAML-SSO.
27. Klicken Sie auf SAML-SSO jetzt konfigurieren.
28. Fügen Sie die Single Sign-On-URL und den IdP-Bezeichner ein.
29. Öffnen Sie das heruntergeladene Base64-Zertifikat mit einer Textanwendung.
30. Kopieren Sie den Inhalt der Zertifikatsdatei.
31. Fügen Sie den Inhalt in das Feld Zertifikat (Base64-Format) ein.
32. Klicken Sie auf Speichern.
33. Fügen Sie eine neue SAML-SSO-Benutzergruppe hinzu.
    1. Wechseln Sie in QuWAN Orchestrator zu VPN-Server-Einstellungen > Berechtigungseinstellungen > SAML-SSO.
    2. Klicken Sie neben SAML-SSO-Benutzerregeln auf Hinzufügen.
    3. Aktivieren Sie die Benutzerregel.
    4. Konfigurieren Sie die Einstellungen der Regelgruppe.

       Einstellung	Benutzeraktion
       Regelname	Geben Sie einen Namen für die SAML-SSO-Benutzerregel an.
       Attributwert	Der Wert, der dem in den Gruppenansprüchen von Microsoft Entra ID konfigurierten Quellattribut entspricht. Hinweis Wenn Sie das user.department Attribut unter "Attributes and Claims (Attribute und Ansprüche)" im Microsoft Azure Portal konfiguriert haben, geben Sie den Abteilungsnamen Ihrer Organisation als Attributwert ein. Der Wert für das Quellattribut kann von der QuWAN QBelt-VPN-Server-Anwendung innerhalb des Microsoft Azure Portals abgerufen werden. Wählen Sie beispielsweise Ihr Benutzerprofil aus, wechseln Sie zu Overview (Übersicht) und klicken Sie dann auf Properties (Eigenschaften). Identifizieren Sie den Wert, der dem Feld Department (Abteilung) zugeordnet ist, und kopieren Sie den Wert. Wenn Sie "Add Group Claim (Gruppenanspruch hinzufügen)" wählen, müssen Sie die "Object ID (Objekt-ID)" kopieren. Wählen Sie beispielsweise Ihr Gruppenprofil aus, wechseln Sie zur "Overview (Übersicht)" und kopieren Sie den Wert der "Object ID (Objekt-ID)". Wählen Sie "Regel für alle Benutzer", um den Attributwert auf alle Benutzer anzuwenden.
       Segment	Wählen Sie ein vorkonfiguriertes Segment.
       Zugängliche Hubs	Wählen Sie einen oder mehrere Hubs aus, mit denen Sie eine Verbindung herstellen möchten.

    5. Optional: Aktivieren Sie Gleichzeitige Multigeräte-Verbindungen zulassen.
    6. Klicken Sie auf Speichern.
34. Klicken Sie auf Übernehmen.

QuWAN Orchestrator speichert die SAML-SSO-Einstellungen.

Nach erfolgreicher Konfiguration von QuWAN SAML SSO stellen Sie über QVPN Client eine Verbindung zu QuWAN-QBelt-VPN her.

1. Wechseln Sie zu QNAP-Dienstprogramme.
2. Suchen Sie QVPN Client (früher QVPN-Geräte-Client genannt).
3. Laden Sie das Dienstprogramm auf Ihr Gerät herunter.
4. Installieren Sie das Dienstprogramm auf dem Gerät.
5. Öffnen Sie QVPN Client.
6. Klicken Sie auf Ein QuWAN Profil hinzufügen.
7. Geben Sie die Organisations-ID an.
   Hinweis

   Sie finden die Organisations-ID in QuWAN Orchestrator. Wechseln Sie zu VPN-Server-Einstellungen > Berechtigungseinstellungen > SAML-SSO.
8. Klicken Sie auf Weiter.
   Die Seite Authentifizierungseinstellungen wird angezeigt.
9. Wählen Sie SAML-SSO als Dienst.
10. Klicken Sie auf Weiter.
    QVPN Client fordert Sie auf, die Microsoft Entra ID (Azure AD)-Anmeldedaten einzugeben, sobald er den Standardbrowser öffnet.
11. Klicken Sie auf OK.
12. Geben Sie Ihre Microsoft Entra ID-Anmeldedaten ein und melden Sie sich an.
13. Schließen Sie den Browser und kehren Sie zu QVPN Client zurück.
14. Konfigurieren Sie die Profileinstellungen.
    1. Geben Sie einen Profilnamen an.
    2. Wählen Sie im Dropdown-Menü einen regionalen Hub.
       Sie können entweder das System automatisch den optimalen Hub für Ihre Bedürfnisse auswählen lassen oder Sie können einen bestimmten Hub manuell auswählen und den WAN-Port angeben, zu dem Sie eine Verbindung herstellen möchten.
    3. Optional: Wählen Sie Sofort nach dem Speichern verbinden, wenn Sie sofort nach der Übernahme der Einstellungen eine Verbindung zum QuWAN-Profil herstellen möchten.
15. Suchen Sie das QuWAN-Profil in QVPN Client und klicken Sie dann auf Verbinden.
    QVPN Client öffnet den Standard-Systembrowser für die Benutzerauthentifizierung.
16. Geben Sie Ihre Microsoft Entra ID-Anmeldedaten ein und melden Sie sich an.
    Sie können den Browser nach der Anmeldung bei Microsoft Entra schließen und zu QVPN Client zurückkehren.

QVPN Client stellt die Verbindung zum QuWAN QBelt-VPN-Server über Microsoft Entra ID-SSO her.