timeCard: SSO mit Windows Authentifizierung

Im Artikel "timeCard: AD-Anbindung über LDAP" haben wir beschrieben, wie Sie eine Verbindung zwischen der timeCard und einem lokalen Verzeichnisdienst (Active Directory) herstellen.

Haben Sie die Verbindung zur AD hergestellt, können Sie auch ein SSO (Single-Sign-On) über die Windows Authentifizierung einrichten. Heißt, meldet sich der Nutzern an seinem Windows - Rechner an, wird er automatisch auch an der timeCard angemeldet und er hat keine weiteren Anmeldeaktionen hierzu mehr durchzuführen.

Um die Windows Authentifizierung in timeCard nutzen zu können, wird eine weitere Webapplikation (auf dem IIS) benötigt, welche die Windows-Anmeldung weiterverarbeitet. Hierzu wird ab der timeCard Version 23.04.01 die Webapplikation  "LoginWinAuth" auf dem IIS mit installiert.

Damit die Webapplikation "LoginWinAuth" richtig funktioniert, müssen Sie dieser über den IIS einen entsprechenden Port zuordnen. Standardmäßig wird hier der Port "4448" verwendet. Möchten Sie jedoch einen anderen Port verwenden, dann müssen Sie die entsprechenden Bindungen der Webapplikation im IIS ändern und die Portänderung auch in timeCard "Allgemein -> Einstellungen -> Erweiterte Einstellungen" durchführen.

    Achtung:

    Bitte beachten Sie, dass der entsprechende Port natürlich in Ihrer Firewall freigegeben werden muss. 

Bitte beachten Sie ebenfalls, dass bei der Nutzung der Windows - Authentifizierung die  "Webserver URL" unter "Allgemein -> Einstellungen -> Erweiterte Einstellungen" gesetzt ist. Bei aktivierter Windows Authentifizierung dient diese URL als Zieladresse für die Weiterleitung.

Haben Sie diese Punkte eingestellt, müssen Sie sich einmal mittels der Windows Authentifizierung an timeCard anmelden. Dabei wird ein entsprechendes Cookie gesetzt, welches sich Ihre Entscheidung speichert und anhand Ihrer Windows - Authentifizierung überprüft, ob Sie zu timeCard weitergeleitet werden oder nicht. D.h. timeCard bekommt automatisch von Windows bzw. der Domäne gemeldet, ob der Nutzer angemeldet ist oder nicht.

    Bitte beachten Sie:

    Ihre Entscheidung, die Windows - Authentifizierung zu nutzen wird so lange gespeichert, bis Sie sich wieder über das             Logout - Symbol oben rechts in timeCard ausloggen. Erst dann können Sie sich wieder mit einem anderen Nutzer an

    timeCard anmelden.

Zusätzlich zu den Einstellungen in timeCard und auf dem IIS, müssen Ihre Browser auf den Clients noch auf den Einsatz von Windows - Authentifizierung bzw. SSO vorbereitet werden. Der Einfachheit halber zeigen wir Ihnen unterhalb wie die Einstellungen auf den einzelnen Rechnern vorzunehmen sind. Jedoch können diese Einstellungen auch vom Systemadministrator über die Domäne gesetzt werden:

    Achtung:

    Wichtig hierbei ist, dass Ihr timeCard Server in einer vertrauenswürdigen Zone ist und Ihre timeCard Website als

    vertrauenswürdige Seite erkannt wird.

• Google Chrome und Microsoft Edge
  • Öffnen Sie die "Eigenschaften von Internet" und wechseln Sie dort zum Reiter "Sicherheit".
    Die "Eigenschaften von Internet" öffnen Sie, wenn Sie nach "Internetoptionen" suchen.
    
    
    
  • Wechseln Sie dort zu "Stufe anpassen" und es erscheint ein neues Fenster "Sicherheitseinstellungen - Internetzone"
    
    
    
  • Scrollen Sie hier, bis Sie die Option "Benutzerauthentifizierung - Anmeldung" finden und setzen Sie hier die Option "Automatische Anmeldung mit aktuellem Benutzernamen und Kennwort"
    
    
  • Verlassen Sie die beiden Dialoge nun in dem Sie auf "OK" und "Übernehmen" klicken

• Mozilla Firefox
  • Öffnen Sie Mozilla Firefox und geben Sie in die Adressleiste „about:config“ ein
    
    
  • Akzeptieren Sie auf der folgenden Seite alle Risiken
    
    
  • Suchen Sie über die Suchleiste nach der Einstellung „network.automatic-ntlm-auth.trusted-uris“ und verändern Sie dort den Wert des Eintrags (auf den Stift rechts klicken). Als Wert muss der Domainnamen der vertrauenswürdigen timeCard - URL eingeben, bei REINER SCT ist das „timecard.intra.reiner.de“

    

  • Klicken Sie dann rechts auf den Haken um die Änderung zu übernehmen
    
    

Haben Sie diese Optionen angepasst, dann kann die Anmeldung per Single-Sign-On bzw. Windows -                                     Authentifizierung mit Google Chrome, Microsoft Edge und Mozilla Firefox genutzt werden!

Für tiefergehende Fragen oder bei Problemen, wenden Sie sich bitte an den REINER SCT Support "support@reiner-sct.com".