OpenID Connect #

Die App meldet Personen über einen externen Identitätsanbieter an, der OpenID Connect spricht, zum Beispiel Keycloak, AD FS oder Microsoft Entra ID. Passwörter, Mehr-Faktor-Regeln und Kontosperren verwaltet dann der Anbieter; owncloud.online prüft nur dessen Token. Desktop- und Mobil-Clients können sich ebenfalls über den Anbieter anmelden.

Voraussetzungen #

Richten Sie den Speicher-Cache ein, bevor Sie die App konfigurieren, siehe Sicherheit und Setup-Warnungen.

Installation #

In der Weboberfläche: im App-Menü links oben Markt öffnen, nach „OpenID Connect“ suchen und Installieren klicken.

Auf der Kommandozeile:

sudo -u www-data php8.4 occ market:install openidconnect

market:install lädt die App, installiert sie und schaltet sie ein. Ist die App schon vorhanden und nur abgeschaltet, genügt:

sudo -u www-data php8.4 occ app:enable openidconnect

Beim Identitätsanbieter eintragen #

Legen Sie beim Anbieter einen Client für owncloud.online an und tragen Sie diese Adressen ein (cloud.example.com durch die eigene Adresse ersetzen):

Einrichtung #

Die Werte lassen sich auf zwei Wegen pflegen: im Formular unter Einstellungen → Administration → OpenID Connect oder in config/config.php. Die Beschriftungen des Formulars sind nicht übersetzt. Pflichtfelder tragen ein *.

Gespeicherte Formularwerte landen in der App-Konfiguration und haben Vorrang vor config/config.php. Oben im Formular zeigt Configuration source, welche Quelle gilt: appconfig (Formular), system (config.php) oder empty. Use system config löscht die Formularwerte, danach gilt wieder config/config.php.

Wichtige Felder #

Mit den Vorgaben vergleicht die App den Claim email mit der Benutzerkennung. Das passt nur, wenn die Benutzerkennungen E-Mail-Adressen sind. Sonst stellen Sie Lookup mode auf Email oder wählen einen anderen Claim.

Provisioning claim und Provisioning attribute (provisioning-claim, provisioning-attribute) wirken zusammen als Filter: Ein Konto entsteht nur, wenn der genannte Claim das Attribut enthält.

Beispiel für config.php #

'openid-connect' => [
    'provider-url' => 'https://idp.example.com',
    'client-id' => 'owncloud-online',
    'client-secret' => '…',
    'loginButtonName' => 'Anmeldung mit dem Firmenkonto',
    'mode' => 'userid',
    'search-attribute' => 'preferred_username',
    'auto-provision' => [
        'enabled' => true,
        'groups' => ['oidc-users'],
        'email-claim' => 'email',
        'display-name-claim' => 'name',
        'update' => ['enabled' => true],
    ],
],

Kommandozeile #

Eigene occ-Befehle hat die App nicht. Die Kernbefehle genügen:

# Formularwerte ansehen
sudo -u www-data php8.4 occ config:app:get openidconnect openid-connect

# Formularwerte verwerfen; danach gilt wieder config.php
sudo -u www-data php8.4 occ config:app:delete openidconnect openid-connect

# den Block in config.php prüfen
sudo -u www-data php8.4 occ config:list system

Desktop-Client #

Der Desktop-Client fragt beim Einrichten eines Kontos /.well-known/openid-configuration auf dem Server ab. Bekommt er keine Antwort, meldet er sich stillschweigend über die App OAuth2 an statt über den Anbieter. Der Webserver muss die Adresse deshalb auf /index.php/apps/openidconnect/config umleiten. Die Regeln für Apache und nginx stehen unter Anmeldung über OAuth2 und OpenID Connect.

Nutzung #

Auf der Anmeldeseite erscheint unter der Anmeldemaske ein Knopf mit dem eingestellten Text. Ein Klick führt zum Anbieter; nach der Anmeldung dort ist man in owncloud.online angemeldet. Mit Redirect login page automatically geht es ohne Knopf direkt zum Anbieter. Abmelden in owncloud.online beendet auch die Sitzung beim Anbieter, sofern dieser einen Abmelde-Endpunkt (end_session_endpoint) anbietet.

Grenzen und Hinweise #

• Lokale Anmeldung bei automatischer Weiterleitung: Mit Redirect login page automatically ist die lokale Anmeldemaske nicht mehr erreichbar. Stellen Sie vorher sicher, dass ein Administrator sich über den Anbieter anmelden kann. Zurück geht es auf der Kommandozeile: occ config:app:delete openidconnect openid-connect verwirft die Formularwerte. Steht die Weiterleitung in config/config.php, entfernen Sie dort autoRedirectOnLoginPage.
• Verschlüsselung: Die Anmeldung über den Anbieter liefert kein Kontopasswort. Mit der Verschlüsselung funktioniert deshalb nur der Hauptschlüssel.
• Token anderer Clients: Zugriffstoken müssen für diese Instanz ausgestellt sein (Prüfung token-aud-check, standardmäßig an). Token, die derselbe Anbieter für einen anderen Client ausgestellt hat, lehnt owncloud.online ab.
• Mehrere Server-Knoten: Damit eine Abmeldung durch den Anbieter überall wirkt, müssen alle Knoten denselben verteilten Cache nutzen.
• Zusammen mit OAuth2: Beide Apps können gleichzeitig aktiv sein. Lokale OAuth2-Clients und Anmeldung über den Anbieter laufen dann nebeneinander.

Fehlersuche #

Ausführliche Meldungen der App stehen im Serverprotokoll, siehe Serverprotokoll und Fehlermeldungen.