Saltar al contenido

Configuración de Servicios de Federación de Active Directory mediante inicio de sesión único SAML en Jitterbit App Builder

App Builder se puede integrar con Servicios de Federación de Active Directory (AD FS) utilizando el protocolo de Inicio de Sesión Único (SSO) SAML. El protocolo SSO SAML define los siguientes roles operativos:

Actor Rol
App Builder Proveedor de servicios (SP)
AD FS Proveedor de identidad (IdP) / Servicio de token de seguridad (STS)
Usuario Navegador

La configuración implica los siguientes procedimientos:

  1. Crear un proveedor de seguridad de App Builder para AD FS
  2. Crear una confianza de entidad confiable de AD FS para App Builder

Requisitos

Para continuar, necesitarás lo siguiente:

  • Acceso de administrador a AD FS.
  • Acceso de administrador a App Builder.
  • App Builder necesitará conectarse a AD FS a través de HTTPS para recuperar el documento de metadatos. AD FS debe usar un certificado TLS con una raíz de confianza: App Builder no podrá recuperar el documento de metadatos si el certificado no es de confianza o no es válido.
  • App Builder deberá estar disponible a través de HTTPS. Se debe habilitar el proveedor de seguridad Requerir HTTPS (u otras medidas para garantizar que App Builder sea accesible solo a través de HTTPS).
  • Se debe configurar que las máquinas cliente confíen en AD FS. De lo contrario, AD FS solicitará al usuario que inicie sesión.

Las instrucciones a continuación harán referencia a las siguientes propiedades:

Ejemplo Notas
URL de App Builder https://example.com/Vinyl/ App Builder debe ser accesible a través de HTTPS. La URL debe incluir la barra inclinada final. La ruta distingue mayúsculas de minúsculas.
Nombre del proveedor ADFS Cada proveedor de seguridad de App Builder recibe un nombre lógico. Dado que el nombre del proveedor aparecerá en la URL del Servicio de consumidor de aserciones (véase más abajo), evita espacios, puntuación y caracteres especiales.
URL del Servicio de consumidor de aserciones https://example.com/Vinyl/signin-Okta App Builder proporciona automáticamente un punto de conexión del Servicio de consumidor de aserciones (ACS) para proveedores de seguridad de Inicio de Sesión Único (SSO) SAML. AD FS se refiere a la URL de ACS como la "URL del servicio SSO SAML 2.0 de la entidad confiable". Tenga en cuenta que el nombre del proveedor aparece en la URL.
URI de audiencia https://example.com/Vinyl/ Aunque el URI de audiencia es arbitrario, AD FS y App Builder deben utilizar el mismo valor. Considera usar la URL de App Builder.
URL del documento de metadatos de federación https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml Se puede recuperar la URL del documento de metadatos de federación desde AD FS. Para hacerlo, abre la consola de administración de AD FS. Selecciona AD FS → Servicio → Puntos de conexión. Ubica el punto de conexión del tipo Metadatos de federación.

Crear un proveedor de seguridad de App Builder para AD FS

Para crear el proveedor de seguridad, comienza por iniciar sesión en App Builder como administrador:

  1. Navega al IDE
  2. Selecciona el botón Security Providers
  3. Haz clic en el botón + Security Provider

  4. Proporciona lo siguiente:

    • Name: Security Provider Name (ver arriba) Ejemplo: ADFS
    • Type: SAML
    • Enabled: Marca
    • User Provisioning: Marca para habilitar el aprovisionamiento de usuario Just-in-Time (JIT)
    • Supplies Group Membership: Marca si AD FS ha sido configurado para pasar la pertenencia al grupo de usuarios
    • Show On Login Form: Marca

  5. Haz clic en el botón Save

  6. En el panel Properties, haz clic en + Property

  7. Proporciona lo siguiente:

    • Parameter: MetadataEndpoint

    • Value: Federation Metadata Document URL (ver arriba).

      Ejemplo: https://fs.example.com/FederationMetadata/2007-06/FederationMetadata.xml

  8. Haz clic en el icono Save (Marca)

  9. En el panel Properties, haz clic en + Property

  10. Proporciona lo siguiente:

    • Parameter: Audience

    • Value: Audience URI (ver arriba).

      Ejemplo: https://example.com/Vinyl/

  11. Haz clic en el icono Save (Marca)

Además, se deben mapear en App Builder todas las notificaciones mapeadas en AD FS. Por ejemplo, para mapear la notificación de correo electrónico:

  1. En el panel Claim, haz clic en + Claim

  2. Proporciona lo siguiente:

    • Identifier: Nombre del tipo de notificación.

      Ejemplo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    • Usage: Uso del tipo de notificación.

      Ejemplo: Email Address

  3. Haz clic en el icono Save (Marca)

Crear una confianza de usuario de confianza de AD FS para App Builder

Cada instancia de App Builder debe estar registrada dentro de AD FS como una confianza de usuario de confianza. Los detalles completos sobre la creación, configuración y mantenimiento de las confianzas de usuarios de confianza están fuera del alcance de este documento. Para obtener información adicional sobre cómo crear una confianza de usuario de confianza de AD FS, consulta el siguiente artículo de TechNet:

https://technet.microsoft.com/en-ca/library/dd807108.aspx

La creación de una confianza de usuario de confianza requiere la siguiente información:

  • Relying party SAML 2.0 SSO service URL: Corresponde a la Assertion Consumer Service URL.

    Ejemplo: https://example.com/Vinyl/signin-ADFS

  • Relying party trust identifier: Corresponde a la propiedad Audience URI.

    Ejemplo: https://example.com/Vinyl/

También puedes proporcionar asignaciones de notificaciones opcionales. El siguiente artículo de TechNet describe cómo crear reglas de notificaciones de confianza de usuario de confianza de AD FS:

https://technet.microsoft.com/en-us/library/dd807115.aspx

Las notificaciones comúnmente mapeadas incluyen:

  • Email Address - http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
  • Group Membership - http://schemas.xmlsoap.org/claims/Group

Consulta Claims para obtener información adicional sobre notificaciones.

Solución de problemas

Ejecuta el siguiente comando de PowerShell desde el servidor AD FS para imprimir la configuración de la confianza de usuario de confianza:

> Get-ADFSRelyingPartyTrust -Identifier https://example.com/Vinyl/signin-ADFS

El argumento Identifier corresponde a la Assertion Consumer Service URL (como se describió arriba).

Pertenencia al grupo faltante

Por defecto, ADFS no incluye notificaciones de grupo en afirmaciones SAML. Los administradores deben crear una o más reglas de notificaciones para incluir la pertenencia al grupo. Es posible crear una única regla de notificación que incluya toda la pertenencia al grupo. Sin embargo, con la regla de "Group Claim" integrada de ADFS, se requiere una regla separada para cada grupo.

El siguiente artículo describe cómo incluir la pertenencia al grupo que coincida con una expresión regular (p. ej., grupos que comienzan con "App Builder"):

http://social.technet.microsoft.com/wiki/contents/articles/8008.ad-fs-2-0-selectively-send-group-membership-s-as-a-claim.aspx

El siguiente artículo describe cómo usar expresiones regulares en reglas de transformación de notificaciones:

http://social.technet.microsoft.com/wiki/contents/articles/16161.ad-fs-2-0-using-regex-in-the-claims-rule-language.aspx

Error "The AudienceRestrictionCondition was not valid because the specified Audience is not present in AudienceUris."

Este error indica que el URI de audiencia no coincide. Asegúrate de que la propiedad Audience se haya establecido explícitamente. Si no se establece, tomará el valor predeterminado de la URL actual, que puede variar según el usuario. El valor distingue entre mayúsculas y minúsculas.