OIDC SSO konfigurieren

Wenn Sie Ihr memoQ TMS als Client eines Identitätsanbieters registrieren, müssen Sie eine Rückruf-URL festlegen. Von hier aus kann der Identitätsanbieter das OIDC-Backend erreichen.

• Um das OIDC-Backend als Windows-Dienst auszuführen, sieht die Callback-URL wie folgt aus:

  

  Das OIDC-Backend benötigt einen Port (3) für die Kommunikation mit den IDPs. Standardmäßig ist dies der Port 5001. Dieser Port sollte für eingehende und ausgehende Kommunikation offen sein. Falls erforderlich, können Sie in der Datei mit den Anwendungseinstellungen einen anderen Port konfigurieren.

• Um das OIDC-Backend als IIS-Webanwendung auszuführen, sieht die Callback-URL wie folgt aus:

  

Sie können den letzten Teil (4) der Rückruf-URL frei wählen, aber:

• Er darf nicht "login", "logout" oder "auth" sein.

• Wenn Sie sich bei mehr als einem Identitätsanbieter registrieren lassen, muss dieser Teil für jeden einzelnen eindeutig sein.

Wenn Sie memoQ TMS als Client beim Identitätsanbieter registrieren, erhält memoQ TMS eine Client-ID und eine Client Secret. Diese benötigen Sie, um Ihren Identitätsanbieter in der OIDC-Backend-Konfiguration einzurichten.

Hinweise zur Registrierung von memoQ TMS in Azure AD:

• Sie benötigen keine Implicit Grant-Optionen (Zugriffstoken oder ID-Token).

• Sie benötigen einen Typ User.Read der delegierten Berechtigung.

• Sie sollten /logout als Standard-URL für die Abmeldung festlegen.

Vergewissern Sie sich, dass Ihre Firewall korrekt eingerichtet ist: Der Identitätsanbieter kann verlangen, dass einige Ports auf der Firewall des Unternehmens geöffnet werden. Weitere Informationen finden Sie in der Dokumentation Ihres Identitätsanbieters.

Das OIDC-Backend muss erfahren, auf welche Hostnamen es reagieren muss.

Richten Sie diese in der Datei %PROGRAMDATA%\MemoQ Server\Oidc Backend\appsettings.User.json ein.

Die Protokollierungsdaten werden in einer separaten Datei gespeichert, und zwar in %PROGRAMFILES%\Kilgray\MemoQ Server\Oidc\appsettings.json.

Hosts, die das OIDC-Backend aufrufen dürfen

In diesem Beispiel steht "*" für einen beliebigen Hostnamen. Wenn Sie den Zugriff beschränken wollen, bearbeiten Sie den Wert des Schlüssels AllowedHosts: Geben Sie eine oder mehrere Domänen (z. B. "*.mycompany.com") oder bestimmte Hostnamen (z. B. "machine1.mycompany.com") ein, getrennt durch ein Semikolon (;). Andernfalls bleibt der Wert AllowedHosts unverändert.

Wenn Sie die Portnummer gegenüber dem Standardwert geändert haben, ändern Sie den Teil nach dem Doppelpunkt (:) im Schlüssel urls:

Andernfalls bleibt der Wert urls unverändert.

Protokollierung

Die Datei %PROGRAMFILES%\Kilgray\MemoQ Server\Oidc\appsettings.json datei definiert die Details der Protokollierung.

Suchen Sie den Schlüssel "Name": "File" unter Serilog.WriteTo. Die Schlüssel unter Args definieren wichtige Parameter:

path: Standardmäßig wird das Protokoll in der Datei %PROGRAMDATA%\MemoQ Server\Oidc Backend\LogFiles\log-.txt gespeichert.

rollingInterval, rollOnFileSizeLimit, fileSizeLimitBytes: Die Protokolle werden in tägliche Dateien geschrieben (ändern Sie dies nicht), aber wenn die Dateigröße das Limit erreicht (standardmäßig 100 MB), wird eine zweite Datei für diesen Tag erstellt.

retainedFileCountLimit: Standardmäßig werden die letzten 31 Protokolldateien auf dem Server gespeichert.

Standardmäßig ist die Protokollierungsebene Information. Wenn Sie mehr Informationen benötigen, ändern Sie den Wert des Schlüssels Serilog.MinimumLevel.Default auf Debug oder Verbose.

Verbose listet alles auf, sogar Namen und geheime Schlüssel – verwenden Sie es nur, wenn es wirklich notwendig ist und mit den Datenschutzrichtlinien Ihres Unternehmens übereinstimmt.

Diese Einstellungen sind nicht dauerhaft: Wenn Sie memoQ TMS aktualisieren, wird der gesamte Ordner unter %PROGRAMFILES% überschrieben. Dies bedeutet, dass alle Einstellungen in der Datei appsettings.json auf ihre Standardwerte zurückgesetzt werden. Wir empfehlen, sie nicht zu ändern – es sei denn, Sie müssen es wirklich tun.

Der MemoQ OIDC Backend Service ist ein separater Windows-Dienst neben dem memoQ Server service. Er wird zusammen mit memoQ TMS installiert, aber damit er funktioniert, müssen Sie ihn konfigurieren (nachdem Sie Ihr memoQ TMS bei einem Identitätsanbieter registriert haben).

1. Stellen Sie sicher, dass Run as Windows service oben ausgewählt ist.

2. Füllen Sie auf der Registerkarte Grundeinstellungen folgende Felder aus:

   • Backend base URL:

     

   • memoQweb URL: Verwenden Sie denselben Wert wie auf der Registerkarte Address im Fenster Configure server.

   • TLS certificate thumbprint: Klicken Sie auf Browse und wählen Sie das Zertifikat aus der Liste aus.

3. Klicken Sie unten auf Anwenden.

4. Auf der Registerkarte Providers:

   1. Klicken Sie auf Add provider.

   2. Wählen Sie im Fenster Add provider einen Anbieter aus der Dropdown-Liste aus.

      Ab Version 12.5 unterstützt memoQ TMS Azure AD (Microsoft Entra), Google, Microsoft, Okta (sowohl Standard als auch benutzerdefiniert) und OneLogin-Instanzen. Wenn Ihr Unternehmen einen anderen OIDC-basierten Identitätsanbieter nutzt, wenden Sie sich an unsere memoQ Business Services, die Ihnen die benötigten Ressourcen zur Verfügung stellen können, wenn Sie Benutzerdefiniert aus dieser Liste auswählen.

   3. Einige Felder sind bereits ausgefüllt. Füllen Sie die leeren Felder aus.

      Allgemeine Einstellungen

      Parameter	Beschreibung
      Name	Der Name des Identitätsanbieters in der memoQ TMS-Datenbank. Bei Bedarf ändern.
      DisplayName	Der Text auf der Schaltfläche des Identitätsanbieters, die Sie auf der Anmeldeseite sehen. Bei Bedarf ändern.
      ClientId	Die Client-ID, die der Identitätsanbieter für Ihr memoQ TMS generiert hat.
      ClientSecret	Der Client-Schlüssel oder der geheime Schlüssel, den Sie bei der Registrierung Ihres memoQ TMS bei diesem Identitätsanbieter erhalten haben.
      CallbackPath	Der letzte Teil der Rückruf-URL, die Sie beim Identitätsanbieter registriert haben. Sie müssen den Standardwert ändern.

      Identitätsanbieter-spezifische Einstellungen

      Parameter	Beschreibung
      Tenant	Ihr Microsoft Azure-Mandant.
      TenantId	Ihr OneLogin-Mandant.
      OktaDomain	Ihre Okta-Domäne.
      AuthServerId	Die ID Ihres Okta-Autorisierungsservers.
      OktaOrg	Die Basis-URL Ihrer Okta-Organisation (ohne http://).

   4. Fügen Sie unten im Fenster den Client-Schlüssel ein, das Sie vom Identitätsanbieter erhalten haben.

   5. Um ein benutzerdefiniertes Symbol für den Identitätsanbieter auf der memoQweb-Anmeldeseite zu verwenden, klicken Sie auf Browse und navigieren Sie zur Symboldatei. Zulässige Formate sind PNG, SVG, JPG und ICO.

   6. Um den Anbieter hinzuzufügen, klicken Sie auf Anwenden.

      Der Anbieter wird in der Liste angezeigt.

   7. Um einen weiteren Anbieter hinzuzufügen, klicken Sie erneut auf Add provider und wiederholen Sie den Vorgang.

      Um die Einstellungen eines Anbieters zu ändern, wählen Sie diesen aus und klicken Sie auf Edit info.

      Um einen Anbieter aus der Liste zu entfernen, klicken Sie auf Suchanbieter entfernen.

5. Auf der Registerkarte Backend service:

   1. Klicken Sie auf Install.

   2. Wählen Sie im Fenster Install OIDC backend service einen Kontotyp aus. Ändern Sie die Standardeinstellung nur, wenn es notwendig ist.

      Hinweis: Das Konto, das Sie für die Ausführung des Dienstes wählen, muss Lese- und Schreibzugriff auf die memoQ TMS-Datenbank und Lesezugriff auf das Zertifikat haben. Dies gilt für alle Kontotypen (LocalSystem, NetworkService, VirtualService oder ServiceUser).

   3. Nachdem der Dienst installiert wurde, klicken Sie auf "Start".

   4. Klicken Sie unten auf Save.

6. An diesem Punkt müssen Sie folgende Dienste neu starten:

   • den memoQ TMS-Dienst,

   • den IIS-Anwendungspool, der das memoQweb ausführt, und

Das OIDC-Backend ist nun in Ihrem memoQ TMS konfiguriert. Der Server akzeptiert:

• Single Sign-On-Anmeldungen: Die Benutzer wählen einen Identitätsanbieter und melden sich mit den Benutzernamen und Kennwörtern an, die sie bei diesem Identitätsanbieter haben.
• Veraltete SSO-Anmeldungen: Die Benutzer melden sich mit den Benutzernamen und Kennwörtern an, die sie im Windows Active Directory des Unternehmens haben. Aus OIDC-Sicht verhalten sich diese Benutzer wie lokale Anmeldungen, und sie können auf OIDC-basiertes SSO umgestellt werden.
• Lokale Anmeldungen: Benutzer, die weder über Identitätsanbieter-Anmeldeinformationen noch über Windows AD-Konten verfügen, können weiterhin ihre memoQ-Benutzernamen und -Kennwörter verwenden.

Sie können nun einem memoQ-Admin-Benutzer mitteilen, dass er mit dem Erstellen oder Aktualisieren von Benutzern auf memoQ TMS beginnen soll (siehe Teil 2 dieses Dokuments).

1. Stellen Sie sicher, dass Host in IIS oben ausgewählt ist.

2. Füllen Sie auf der Registerkarte Grundeinstellungen folgende Felder aus:

   • Backend base URL:

     

   • memoQweb URL: Verwenden Sie denselben Wert wie auf der Registerkarte Address im Fenster Configure server.

3. Klicken Sie unten auf Anwenden.

4. Auf der Registerkarte Providers:

   1. Klicken Sie auf Add provider.

   2. Wählen Sie im Fenster Add provider einen Anbieter aus der Dropdown-Liste aus.

      Ab Version 12.5 unterstützt memoQ TMS Azure AD (Microsoft Entra), Google, Microsoft, Okta (sowohl Standard als auch benutzerdefiniert) und OneLogin-Instanzen. Wenn Ihr Unternehmen einen anderen OIDC-basierten Identitätsanbieter nutzt, wenden Sie sich an unsere memoQ Business Services, die Ihnen die benötigten Ressourcen zur Verfügung stellen können, wenn Sie Benutzerdefiniert aus dieser Liste auswählen.

   3. Einige Felder sind bereits ausgefüllt. Füllen Sie die leeren Felder aus.

      Allgemeine Einstellungen

      Parameter	Beschreibung
      Name	Der Name des Identitätsanbieters in der memoQ TMS-Datenbank. Bei Bedarf ändern.
      DisplayName	Der Text auf der Schaltfläche des Identitätsanbieters, die Sie auf der Anmeldeseite sehen. Bei Bedarf ändern.
      ClientId	Die Client-ID, die der Identitätsanbieter für Ihr memoQ TMS generiert hat.
      ClientSecret	Der Client-Schlüssel oder der geheime Schlüssel, den Sie bei der Registrierung Ihres memoQ TMS bei diesem Identitätsanbieter erhalten haben.
      CallbackPath	Der letzte Teil der Rückruf-URL, die Sie beim Identitätsanbieter registriert haben. Sie müssen den Standardwert ändern.

      Identitätsanbieter-spezifische Einstellungen

      Parameter	Beschreibung
      Tenant	Ihr Microsoft Azure-Mandant.
      TenantId	Ihr OneLogin-Mandant.
      OktaDomain	Ihre Okta-Domäne.
      AuthServerId	Die ID Ihres Okta-Autorisierungsservers.
      OktaOrg	Die Basis-URL Ihrer Okta-Organisation (ohne http://).

   4. Fügen Sie unten im Fenster den Client-Schlüssel ein, das Sie vom Identitätsanbieter erhalten haben.

   5. Um ein benutzerdefiniertes Symbol für den Identitätsanbieter auf der memoQweb-Anmeldeseite zu verwenden, klicken Sie auf Browse und navigieren Sie zur Symboldatei. Zulässige Formate sind PNG, SVG, JPG und ICO.

   6. Um den Anbieter hinzuzufügen, klicken Sie auf Anwenden.

      Der Anbieter wird in der Liste angezeigt.

   7. Um einen weiteren Anbieter hinzuzufügen, klicken Sie erneut auf Add provider und wiederholen Sie den Vorgang.

      Um die Einstellungen eines Anbieters zu ändern, wählen Sie diesen aus und klicken Sie auf Edit info.

      Um einen Anbieter aus der Liste zu entfernen, klicken Sie auf Suchanbieter entfernen.

5. Auf der Registerkarte Backend service:

   1. Füllen Sie die Felder Application name und Application pool aus. Wählen Sie bei Bedarf eine andere Website aus.

   2. Klicken Sie auf Install backend. Das Tool erstellt eine Webanwendung und einen Anwendungspool mit den von Ihnen eingegebenen Namen und erteilt ihnen die erforderlichen Berechtigungen. Außerdem wird der Anwendungspool gestartet.

6. An diesem Punkt müssen Sie folgende Dienste neu starten:

   • den memoQ TMS-Dienst,

   • den IIS-Anwendungspool, der das memoQweb ausführt, und