ThingWorx Navigate für Single Sign-On einrichten

Auf den Bildschirmen für Single Sign-On geben Sie die Informationen für den Windchill Server und für die Verbindung mit PingFederate ein.

Lassen Sie uns kurz einige Hintergrundinformationen zu PingFederate erläutern. Es wird außerdem empfohlen, das englische Handbuch PTC Single Sign-on Architecture and Configuration Overview Guide zu lesen, bevor Sie beginnen.

Stellen wir zuerst eine Verbindung zu Windchill her. Wir empfehlen die Konfiguration von Windchill für SSL.

◦ Für eine Verbindung mit einem einzelnen Windchill Server: Die URL muss das Format [http oder https]://[windchill-host]:[windchill-port]/[windchill-web-app] aufweisen.

◦ Für Windchill Cluster-Umgebungen: Geben Sie die URL des Lastenausgleichs-Routers ein. Beispiel: [https]://[LB-host]:[port]/[windchill-web-app]

◦ Für Verbindungen mit mehreren Windchill Systemen: Stellen Sie zunächst eine Verbindung mit einem einzelnen Server her. Nachdem Sie die Erstkonfiguration abgeschlossen haben, befolgen Sie die manuellen Schritte in ThingWorx Navigate mit mehreren Windchill Systemen konfigurieren.

2. Geben Sie die Einstellungen für den Autorisierungsserver-Bereich an – Dies ist der Name des Bereichs, der in PingFederate registriert ist. Beispiel: SCOPE NAME = WINDCHILL.

Wenn Sie eine http URL in das Feld Windchill Server-URL eingegeben haben, wechseln Sie zum Abschnitt "ThingWorx Foundation Informationen".

Bevor Sie die Informationen in diesem Bildschirm angeben, erstellen Sie eine ThingWorx TrustStore-Datei mit dem Java-Dienstprogramm keytool, und importieren Sie das Windchill SSL-Zertifikat in die TrustStore-Datei.

Das Thema Voraussetzungen für die Aktivierung von SSL/TLS für ThingWorx Navigate enthält Anweisungen zum Generieren von TrustStore-Dateien mit keytool.

Nachdem Sie die TrustStore-Datei vorbereitet haben, geben Sie die Informationen im Bildschirm SSO: TrustStore-Informationen für ThingWorx ein:

1. Klicken Sie neben TrustStore file auf

, und navigieren Sie anschließend zu Ihrer TrustStore-Datei. Die Datei muss im JKS-Format (*.jks) vorliegen.

3. Geben Sie neben Password das Passwort für die TrustStore-Datei ein.

Geben Sie das ThingWorx Installationsverzeichnis ein, und geben Sie dann die folgenden Anmeldeinformationen für den ThingWorx Foundation Administrator an:

Geben Sie auf diesem Bildschirm das Zugriffs-Token für Ihre Datenbank ein. Speicherort, Port, Benutzername und Datenbankname werden automatisch entsprechend Ihren Installationseinstellungen angezeigt.

◦ Host-Name– Geben Sie den vollständig qualifizierten Host-Namen für den PingFederate Server ein, z.B. <hostname.domain.com>.

◦ Laufzeit-Port – Geben Sie den PingFederate Laufzeit-Port an. Die Standardeinstellung ist 9031.

Informationen für ID-Anbieter (IDP) und Dienstanbieter (SP) eingeben

Geben Sie auf diesem Bildschirm Informationen aus PingFederate an. Überprüfen Sie Ihre Eingabe sorgfältig. Diese Werte werden nicht überprüft, und Sie erhalten keine Fehlermeldung, wenn die Informationen nicht korrekt sind.

1. Geben Sie die IDP- Metadateninformationen für PingFederate an:

◦ IDP-Metadatendatei (*.xml-Datei): Klicken Sie auf

, und navigieren Sie dann zur IDP-Metadatendatei aus PingFederate. Beispiel: sso-idp-metadata.xml.

◦ SAML Assertion UserName AttributeName: Übernehmen Sie den Standardwert uid, oder geben Sie einen neuen Attributnamen ein.

2. Geben Sie die Informationen für die ThingWorx Dienstanbieter-Verbindung ein:

◦ Metadaten-Entitäts-ID – Geben Sie den Wert für metadataEntityId ein. Hierbei handelt es sich um die ThingWorx Dienstanbieter-Verbindungs-ID, welche Sie bei der Konfiguration der Dienstanbieter-Verbindung in PingFederate angegeben haben.

Bevor Sie die Informationen in diesem Bildschirm eingeben, bereiten Sie die richtige Keystore-Datei und das richtige Schlüsselpaar vor:

1. Erstellen Sie eine SSO-Keystore- Datei mit dem Java-Dienstprogramm keytool. Erstellen Sie ein Schlüsselpaar mit den keytool Befehlen in SSL für ThingWorx Navigate verwenden.

Dies ist das ThingWorx Unterzeichnungszertifikat. Dies ist ein Zertifikat der Anwendungsschicht und muss nicht Ihrem ThingWorx Hostnamen entsprechen. Beispiel: ThingWorx.

2. Importieren Sie das PingFederate Unterzeichnungszertifikat in die SSO-Keystore-Datei, die Sie in Schritt 1 erstellt haben.

Diese Ressourcen können nützlich sein:

• Das Thema "Zertifikate in die KeyStore-Datei importieren" in der ThingWorx Hilfe

Nachdem Sie nun die richtigen Dateien und Zertifikate haben, können Sie die Informationen auf dem Bildschirm SSO Key Manager Settings eingeben:

◦ SSO-Keystore-Datei (.jks-Datei): Klicken Sie auf

, und navigieren Sie dann zur JKS-Datei (*.jks).

◦ SSO-Keystore-Passwort: Geben Sie das Passwort ein, das Sie oben beim Erstellen der Keystore-Datei festgelegt haben.

2. Geben Sie die ThingWorx Schlüsselpaarinformationen ein, die Sie oben festgelegt haben.

PingFederate wird als Autorisierungsserver verwendet.

1. Geben Sie die Einstellungen für Ihren PingFederate Server an:

◦ Autorisierungsserver-ID – Wählen Sie einen Wert für die Variable AuthorizationServerId1, z.B. PingFed1. Dieser Wert wird verwendet, um die Verbindungseinstellungen für einen Integrations-Konnektor oder eine Medieneinheit zu konfigurieren.

◦ ThingWorx OAuth Client ID: Die OAuth-Client-ID zur Identifizierung der ThingWorx Anwendung gegenüber PingFederate.

◦ ThingWorx OAuth Client Secret: Das Client-Verschlüsselungswort in PingFederate.

◦ Client Authentication Scheme: Die Standardeinstellung ist form.

2. Übernehmen Sie die Standardeinstellung Verschlüsseln Sie OAuth-Aktualisierungstoken, bevor Sie in der Datenbank gespeichert werden, um die Token zu sichern, bevor sie in der Datenbank persistent gemacht werden. Wir empfehlen diese Einstellung.

Überprüfen Sie die Konfigurationseinstellungen. Wenn Sie bereit sind, klicken Sie auf Configure.

ThingWorx Navigate ist mit Single Sign-On konfiguriert. Wählen Sie die Programme aus, die geöffnet werden sollen:

Klicken Sie anschließend auf Schließen. Sie werden auf die Anmeldeseite des Identitätsanbieters umgeleitet. Verwenden Sie Ihre IdP-Anmeldeinformationen, um sich anzumelden.

ThingWorx Navigate ist jetzt installiert und lizenziert, und die grundlegende Konfiguration ist abgeschlossen. Im nächsten Schritt müssen nicht als Administratoren eingerichteten Benutzern Berechtigungen gewährt werden. Führen Sie die Schritte in ThingWorx Berechtigungen ändern: Benutzer und Gruppen aus.

Sie können auch mit optionalen Konfigurationen wie folgenden weitermachen: