Inicie sessão da sua equipa com SSO

O que vai construir

No final deste tutorial, terá:

uma ligação SAML entre o seu servidor do Control Center e um fornecedor de identidade (usamos o Okta como exemplo),
um utilizador provisionado automaticamente no primeiro início de sessão e
uma política de pertença a espaços de trabalho que escolheu deliberadamente.

Vai precisar de um servidor que administre (o proprietário do servidor — o operador da instalação) e de uma aplicação de IdP que consiga configurar. Conte com 20 minutos.

1. Abrir as definições de início de sessão único

Inicie sessão no Control Center e depois vá a Definições → Servidor → Início de sessão único. O ecrã permite alternar entre SAML e OpenID Connect, além de apresentar um cartão Provisionamento de utilizadores (SCIM). Mantenha-se em SAML.

Tudo neste ecrã é aplicável a todo o servidor: um único IdP autentica as pessoas de todos os espaços de trabalho, pelo que só o proprietário do servidor o pode editar.

2. Colar os metadados do IdP

No Okta, abra o separador Sign On da sua aplicação e copie o XML dos metadados (ou descarregue-o e cole o conteúdo do ficheiro). De volta ao Control Center, cole-o em XML de metadados do IdP e clique em Testar ligação.

A notificação indica o endpoint de início de sessão do IdP — prova de que os metadados foram analisados, o certificado foi lido e o servidor consegue construir um pedido de início de sessão a partir deles (o teste exercita tudo, exceto a ida e volta pelo navegador). Se falhar, o XML não era um EntityDescriptor completo (o separador SAML do Okta chama-lhe “Metadata URL”; abra o URL e copie o que ele devolve). O mesmo botão em OpenID Connect verifica, em vez disso, o documento de descoberta do seu emissor. Para detetar também um certificado prestes a expirar e ver se o IdP reconhece o Control Center, use o verificador do passo 6.

3. Registar o Control Center no IdP

Clique em Copiar metadados SP e entregue-os a quem configurar o lado do Okta (ou leia os dois valores que lhe pedirem):

URL ACS: https://<your-server>/saml/acs
ID de entidade: https://<your-server>/saml

Os URLs derivam da origem a que chegam os navegadores dos seus utilizadores. Se o servidor estiver atrás de um túnel ou de um proxy inverso, certifique-se de que a origem é estável (Definições → Servidor → Ligação e status → Partilhar este servidor mostra o URL público) — ou fixe o ID de entidade explicitamente no campo ID de entidade do SP.

4. Escolher o que concede um início de sessão

Duas políticas determinam o que faz um primeiro início de sessão:

Adicionar utilizadores a todos os espaços na primeira sessão — deixe-a ativada para uma implementação de equipa única, em que o SSO equivale a confiança. Desative-a quando várias equipas ou clientes partilharem o servidor: cada novo utilizador passa então a precisar de um convite explícito para um espaço de trabalho, que é a predefinição mais segura.
Provisionar utilizadores desconhecidos na primeira sessão — ativada por predefinição; desative-a para rejeitar qualquer pessoa cuja conta ainda não exista.

Opcionalmente, mapeie um atributo que transporte nomes de grupos (no Okta é habitualmente groups) e traduza os grupos em funções com o mapeamento — por exemplo {"platform-leads": "admin"}. O SSO nunca pode conceder a função de proprietário.

5. Ativar e fazer um início de sessão

Ative Usar SAML para entrar, clique em Guardar ligação e depois abra uma janela de navegação privada em https://<your-server>/saml/login. Inicie sessão no Okta e regressa ao cliente web — com sessão iniciada, com a sua conta criada e a respetiva pertença concedida de acordo com a política que escolheu.

O mesmo ponto de entrada aparece no ecrã de ligação web (Entrar com SAML) assim que escrever o endereço do servidor — o formulário adapta-se ao que o servidor oferece (o OpenID Connect mostra Entrar com OpenID Connect). O botão abre o início de sessão num novo separador; quando a ida e volta termina, o separador em espera retoma a sessão automaticamente. O ecrã de configuração do servidor da aplicação para computador faz o mesmo: escreva o URL do servidor, aparece um botão Entrar com SAML que abre o seu navegador, e a aplicação fica com sessão iniciada quando a ida e volta termina.

6. Verificar a partir desta página

Antes de implementar o SSO, ou quando um início de sessão falhar, verifique aqui os vários elementos. O verificador é executado inteiramente no seu navegador: lê os metadados que colar neste separador e aplica as mesmas regras que o servidor. Se lhe indicar o endereço do servidor, também pergunta a esse servidor se o início de sessão SAML está ativado.

Deteta o que Testar ligação na aplicação não consegue ver: um certificado de assinatura prestes a expirar, um IdP que insiste em pedidos assinados e, com o início de sessão de teste, se o IdP reconhece sequer o Control Center.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

Próximos passos

Dê também ao seu IdP o controlo do ciclo de vida: provisionar e desprovisionar utilizadores com SCIM.
O seu IdP fala OpenID Connect em vez de SAML? Ligar um fornecedor OpenID Connect.
Curioso sobre o que a ida e volta pelo navegador verifica realmente? Como funciona o início de sessão único.