Saltar al contenido

Guía de configuración de SAML en Google para Jitterbit App Builder

Propósito del documento

Describir los pasos de configuración necesarios para configurar App Builder a fin de usar Google como proveedor de seguridad externo de SAML para gestionar la autenticación de usuarios.

Introducción

SAML utiliza la terminología de IdP (Proveedor de Identidad) y SP (Proveedor de Servicios) para describir los dos sistemas que participan en una configuración de SAML. En este caso, Google Workspace es el IdP y la instancia de App Builder es el SP.

La configuración de la autenticación externa requiere configuración tanto en el IdP como en el SP. En ambos casos, se requieren derechos administrativos.

Importante

Los valores de ejemplo proporcionados en esta guía son representativos, pero ficticios, y no deben utilizarse en configuraciones del mundo real.

Pasos en App Builder

Crear un proveedor de seguridad

  1. Inicia sesión en App Builder como Administrador
  2. Ve a IDE > Security Providers
  3. Haz clic en + Security Provider para agregar un nuevo Proveedor de Seguridad

  4. Completa los siguientes valores:

    • Name: nombre breve y descriptivo del proveedor de seguridad. Idealmente evita espacios. Esta cadena, en su forma exacta, se convierte en parte de la URL de ACS.
    • Type: External Authentication > SAML
    • Priority: acepta la sugerencia predeterminada o actualiza según tu preferencia
    • Enabled: Marca
    • Redirect on Challenge: Marca
    • Show on login form: Marca
    • User Provisioning: Marca
    • Store Claims: Marca. Esta configuración es importante cuando se configura inicialmente y se soluciona, pero puede eliminarse posteriormente si lo deseas.

  5. Haz clic en Save

Pasos en Google Workspace

Nota

Ten en cuenta que debes ser Superadministrador de tu Google Workspace para realizar estos pasos.

Configura tu aplicación SAML personalizada

  1. Inicia sesión en tu consola Google Admin
  2. Desde la página de inicio de la consola de administración, ve a Apps > Web and mobile apps
  3. Haz clic en Add App > Add custom SAML app

  4. En la página App Details:

    1. Ingresa el App Name de la aplicación personalizada. Por ejemplo: App Builder Instance. Típicamente especificarías Dev, QA o Prod, o el propósito de la instancia, si es diferente, como parte del App Name. Este valor se utiliza únicamente como etiqueta dentro de Google Workspace y no se utiliza en otro lugar.
    2. (Opcional) Carga un App icon. Si no cargas un icono, se crea uno usando las primeras dos letras del App Name.

    googleSAMLapp.png

    Ejemplo de configuración de aplicación SAML personalizada

  5. Haz clic en Continue

  6. En la página de detalles del Proveedor de Identidad de Google, toma nota de la información de configuración requerida por el proveedor de servicios. Estos valores son específicos de la cuenta de Google Workspace y no son genéricos:

    • SSO URL: Por ejemplo: https://accounts.google.com/o/saml2/idp?idpid=C01D02E032
    • Entity ID: Por ejemplo: https://accounts.google.com/o/saml2?idpid=C01D02E032
    • Certificate

  7. Haz clic en Continue. Puedes volver a estos valores más tarde haciendo clic en Download Metadata.

  8. En la ventana Service Provider Details, ingresa una ACS URL y Entity ID para tu aplicación personalizada. Ten en cuenta que las porciones de ruta de las siguientes URL son sensibles a mayúsculas y minúsculas (es decir, la parte que sigue al FQDN).

  9. ACS URL: La URL de la raíz de la instancia de App Builder, con lo siguiente adjunto: /signin-<nombre del proveedor de servicios>

    • Por ejemplo: https://example.zudy.com/Vinyl/signin-GoogleSAML
    • Nota: La ACS URL debe comenzar con https://

  10. Entity ID: La raíz de la instancia de App Builder. Esto debe terminar con una barra diagonal. - Por ejemplo: https://example.zudy.com/Vinyl/

  11. Marca la casilla Signed Response
  12. El formato Name ID predeterminado puede dejarse según el predeterminado (correo electrónico principal).
  13. Se puede encontrar información adicional de asignación de Name ID aquí: SAML app catalog. Si es necesario, también puedes crear atributos personalizados, ya sea en la consola de administración o mediante Google Admin SDK APIs, y asignarlos a esos. Los atributos personalizados deben crearse antes de configurar tu aplicación SAML y generalmente no son necesarios para App Builder. Configuración de ejemplo:

customSAML.png

Configuración de aplicación SAML personalizada en Google Workspace

  1. Haz clic en Continuar
  2. En la página Attribute Mapping, nota que se pueden crear asignaciones adicionales si es necesario y haz clic en Finalizar. Si se necesitan asignaciones adicionales, se pueden configurar después. Al configurar asignaciones, los valores de App Attribute deben coincidir con los valores de Identifier especificados en App Builder bajo Claim Types.
  3. Haz clic en Finalizar
  4. En la página Application (bajo Web and mobile apps), haz clic en la flecha hacia abajo en la sección User Access

  5. El acceso se puede configurar para Groups, Organizational Units, o para All Users en la cuenta. Para simplificar, recomendamos activar el acceso para todos. Si solo un número limitado de usuarios debe recibir acceso, consulta la documentación de Google Workspace para crear y configurar Groups y Organizational Units y para asignar el acceso de la aplicación en ese nivel.

    Nota

    Cuando el acceso se configura por primera vez, Google Workspace reporta que puede tardar hasta 24 horas para que este cambio se propague a todos los usuarios. Al hacer pruebas, si se recibe un error indicando que el usuario no tiene acceso a la aplicación o no está habilitado para él, asegúrate de que haya pasado suficiente tiempo después de la configuración antes de reintentar.

  6. Esto completa los pasos en Google Workspace. Para información adicional, consulta: https://support.google.com/a/answer/6087519

Pasos en App Builder

Configura las propiedades del proveedor de seguridad y los tipos de reclamaciones

  1. Regresa a la página de configuración para el Service Provider creado en los pasos 1 a 5 de la configuración de App Builder descrita anteriormente
  2. Bajo la sección Properties, haz clic en + Property y Save con las siguientes propiedades y valores especificados:
    • Audience: la raíz de la instancia de App Builder. Por ejemplo: https://example.zudy.com/Vinyl/
      • Nota: esto coincidirá con el Entity ID configurado en Google Workspace
    • Recipient: Esto coincidirá con la URL de ACS configurada en Google Workspace y consta de la URL raíz de la instancia de App Builder, con lo siguiente agregado: /signin-<nombre del proveedor de servicio>
      • Por ejemplo: https://example.zudy.com/Vinyl/signin-GoogleSAML
    • RequestRedirectEndpoint: Esta es la SSO URL de Google Workspace, consulta el paso 6 de los pasos de configuración de Google. Por ejemplo: https://accounts.google.com/o/saml2/idp?idpid=C01D02E032
    • SigningCertificate: Esta es la larga cadena de texto del paso 6. Al copiar el certificado, asegúrate de excluir BEGIN y END y elimina cualquier salto de línea o espacio inicial o final.

      • Ejemplo del contenido del certificado que debe copiarse:

        MIIDdDCCAlygAwIBAgIGAXy6QtfkMA0GCSqGSIb3DQEBCwUAMHsxFDASBgNVBAoTC0dvb2dsZSBJ bmMuMRYwFAYDVQQHEw1Nb3VudGFpbiBWaWV3MQ8wDQYDVQQDEwZHb29nbGUxGDAWBgNVBAsTD0dv b2dsZSBGb3IgV29yazELMAkGA1UEBhMCVVMxEzARBgNVBAgTCkNhbGlmb3JuaWEwHhcNMjExMDI2 MDE0MTU0WhcNMjYxMDI1MDE0MTU0WjB7MRQwEgYDVQQKEwtHb29nbGUgSW5jLjEWMBQGA1UEBxMN TW91bnRhaW4gVmlIjANBgkqhkiG9w0BAQEFAAOCAQ8A MIIBCgKCAQEAlwzhMrwH3WO1rbv5Ftkkg7USOhE6bBl7xVPyy3o6HCq1Rcnh/T5zsvmNyLQ3n7GL Q7AomWFRTa8sriXQPqz8xT67fVq5tWpl3t0CiJ36XxM8AUd1u9juaxSTdYFDRQf5JCvE/RK1aqR/ qVIqU/keehoozfhMM9jlrxqNfcwKPiKb3583jHGpu6TvSet4Dmg5NzE0y28ZFDaB2NBa0fE9euEq o3Ulf2uqY2RSGw8x92d8YMLX/1qZtp+/xkYmAQaIUNGe0PhHpLoDhjxNN6RVRESiA/Jkcyc6ZCUd Wn+6B5ZNq0X4OZkdfgkjfgdskrTTSRFASSF3333fgfsg/LZNPSDlbwJId2SX48ejzbcNpGBWCPPKNeSwIDAQABMA0GCSqGSIb3DQEBCwUA A4IBAQBzokabj8aD6/DStvpzuUPn0P/EIu4fKEx8MwsDnKzGC0s/3EcWZuiutKmaTdLbWY2BJhZmaj 5mg8Xs+EtGAQqZ2DxFJDeyWruGMKW3S5NMMtZC+w8fj7kdHRByBTVgEqAGfehCoP7zjf7jAQfLe/ wjeehVlc8Q0nNzueNNrPQABgdyAuknS5Syzkjl8Wmd611uUjMXlBsoLY3gBvSuF8WNzqQXYOUQuL OIJXJ2K/o8dBNRQC015ygcRi57nHaBMTh3BL22jMX

Configura los tipos de reclamaciones del proveedor de seguridad (opcional)

  1. Regresa a la página de configuración para el Service Provider o minimiza el panel Properties
  2. Bajo la sección Claims, haz clic en + Claim y Save con el siguiente Claim Type. Esto es opcional, pero garantizará que el atributo Email Address del usuario de App Builder se complete cuando el usuario inicie sesión en App Builder usando el proveedor de autenticación externo.

  3. Haz clic en + Claim y utiliza los siguientes valores:

  4. Identificador: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier

  5. Uso: Dirección de correo electrónico

  6. Nombre: etiqueta descriptiva. Por ejemplo: Dirección de correo electrónico

  7. Haz clic en Guardar

Pruebas

En este punto, la configuración está lista para probar. Se recomienda realizar todas las pruebas desde ventanas de navegador nuevas en modo Incógnito o Privado, o en un navegador diferente.

Pasos de prueba

  1. En Google Workspace, en Aplicaciones web y móviles, haz clic en PROBAR INICIO DE SESIÓN SAML y revisa el resultado

  2. Navega a la página de inicio de sesión de la instancia de App Builder y:

    1. Confirma que el nuevo método de autenticación se muestra correctamente
    2. Intenta iniciar sesión con el nuevo método de autenticación y revisa el resultado. Esto debe hacerse con un inicio de sesión diferente al que se utiliza para administrar App Builder.

  3. Si se informan errores, revisa toda la configuración y confirma que los elementos que deben coincidir sean correctos – con sensibilidad a mayúsculas y con barras finales coincidentes, etc.

  4. Si recibes un error de una página de Google indicando que la aplicación no está habilitada para el usuario, confirma que se completaron los pasos 17 y 18 y que ha pasado tiempo suficiente para que el acceso se propague por Google Workspace.
  5. Si todas las configuraciones están presentes y parecen correctas, pero la autenticación externa aún no funciona, contacta a soporte de Jitterbit.