OntheHub/ADFS Guía de configuración IDP Versión 1.0

(1)

OntheHub/ADFS

Guía de configuración IDP

2016-12-08

Versión 1.0

(2)

TABLA DE CONTENIDOS

Introducción ... 2

Requisitos previos ... 2

Crear una relación de confianza de usuario autenticado en ADFS... 2

Añadir reglas de notificaciones para e5.onthehub.com ... 4

Actualizar parámetros para e5.OnTheHub.com ... 6

Seleccionar cifrado de firma y seguridad ... 6

(3)

Guía de configuración OnTheHub/ADFS

Kivuto Solutions Inc. | 8 diciembre 2016 | 2

INTRODUCCIÓN

Este documento describe cómo implementar el método de verificación de inicio de sesión único (SSO) del servicio de federación de Active Directory (ADFS) en su tienda web de ELMS.

REQUISITOS PREVIOS

Para llevar a cabo los procedimientos descritos en este documento, se necesitan:

 Una copia de la OntheHub_Shibboleth_MetaData.xml proporcionada por Kivuto Solutions.  Una copia de su ADFS FederationMetadata.xml

CREAR UNA RELACIÓN DE CONFIANZA DE USUARIO AUTENTICADO

EN ADFS

Para crear una relación de confianza de usuario autenticado en ADFS:

1. Seleccione la carpeta “Relación de confianza de usuario autenticado” en ADFS, y luego haga clic en Añadir relación de confianza de usuario autenticado. Se abrirá el asistente de relación de confianza de usuario autenticado.

2. Haga clic en Iniciar para proceder.

3. Seleccione la opción: Importar datos sobre la relación de confianza de usuario

autenticado desde un archivo. Busque el archivo OntheHub_Shibboleth_MetaData.xml (proporcionado por Kivuto Solutions) y luego haga clic Siguiente para continuar.

Nota: Se muestra un mensaje que indica la omisión de parte del contenido. Esto es normal para este tipo de federación. Haga clic en Aceptar para cerrar la ventana y continuar.

(4)

4. En el campo Mostrar nombre, escriba lo siguiente: “e5.onthehub.com,” y luego haga clic en Siguiente.

5. Cuando se le solicite elegir si desea configurar la autenticación de múltiples factores (opcional), seleccione la opción que mejor funcione para su organización y luego haga clic en Siguiente.

6. Seleccione la opción: Permitir que todos los usuarios accedan a la relación de confianza de usuario autenticado y haga clic en Siguiente.

7. Revise la pantalla de resumen y todas las pestañas para las opciones configuradas. Si toda la información es correcta, haga clic en Siguiente.

(5)

8. Asegúrese de seleccionar la opción: Abrir cuadro de diálogo para reglas de notificaciones y luego haga clic en Cerrar.

AÑADIR REGLAS DE NOTIFICACIONES PARA E5.ONTHEHUB.COM

Se pueden añadir reglas personalizadas a la relación de confianza e5.ontheub.com con el fin de que ADFS pueda comunicarse correctamente.

Para añadir reglas de notificación personalizadas a e5.onthehub.com:

1. Haga clic derecho sobre la entrada e5.onthehub.com creada anteriormente y seleccione Editar reglas de notificaciones.

2. Hacer clic Añadir regla situado debajo de la pestaña Reglas de transformación de emisión.

3. Elija la plantilla Enviar notificaciones utilizando regla de notificación.

4. Introduzca el nombre de la regla de notificación y el texto de la regla personalizada tal como se muestra a continuación.

(6)

5. Repita los pasos 2-4 para cada regla mencionada en la siguienteTabla 1.

Tabla 1: Reglas personalizadas

Nombre de la regla Texto de la regla

OntheHubData c:[Type ==

"http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"]

=> issue(store = "Active Directory", types =

("http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn", "http://schemas.xmlsoap.org/claims/Group"), query =

";userPrincipalName,tokenGroups;{0}", param = c.Value); OTH Transform

UPN to epPN

c:[Type == "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.6", Value = c.Value,

Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri");

OTH Transform Group to epSA

c:[Type == "http://schemas.xmlsoap.org/claims/Group", Value == "Domain Users"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.9", Value = "[email protected]", Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri");

Para transferir grupos específicos como estudiantes, profesores, etc. y que correspondan a los grupos de la tienda web, añada y edite otra regla de notificaciones según se muestra a continuación. Solo tiene que cambiar el grupo AD de "Usuarios de dominio" a su grupo AD de estudiantes de cine y añadir el valor de "Students,Film"

(7)

c:[Type == "http://schemas.xmlsoap.org/claims/Group", Value == "Domain Users"] => issue(Type = "urn:oid:1.3.6.1.4.1.5923.1.1.1.7", Value = "Students,Film",

Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/attributename"] = "urn:oasis:names:tc:SAML:2.0:attrname-format:uri");

ACTUALIZAR PARÁMETROS PARA E5.ONTHEHUB.COM

Para actualizar parámetros de e5.onthehub.com:

1. Haga clic derecho sobre la relación de confianza de usuario autenticado e5.onthehub.com y seleccione Propiedades.

2. En la pestaña Parámetros, seleccione cada uno de los parámetros y actualícelos según sea necesario para que coincida con las siguientes entradas.

Parámetros de configuración del cliente SAML:

 PUBLICAR (

https://e5.onthehub.com/WebStore/Security/Shibboleth/onthehub-adfs/Shibboleth.sso/)

 Artefacto (

https://e5.onthehub.com/WebStore/Security/Shibboleth/onthehub-adfs/Shibboleth.sso/)

Parámetros de cierre de sesión SAML:

 Redireccionar (https://e5.onthehub.com/Shibboleth.sso/SLO/Redirect)  PUBLICAR (https://e5.onthehub.com/Shibboleth.sso/SLO/POST)

SELECCIONAR CIFRADO DE FIRMA Y SEGURIDAD

Seleccionar un cifrado de firma y seguridad para la relación de confianza e5.onthehub.com:

1. Haga clic con el botón derecho sobre la relación de confianza de usuario autenticado e5.onthehub.com y seleccione Propiedades

2. En la pestaña Firma, haga clic en Aceptar y seleccione el certificado e5 que se proporciona junto con esta guía.

(8)

3. En la pestaña Avanzado, cambie el valor Algoritmo de hash seguro a SHA-1.

4. Haga clic en Aceptar.

SOLUCIÓN DE PROBLEMAS

(9)

Mensaje de error:

Se debe a que: No se encuentra la regla OTH Transform UPN to epPN

Resolución: Añadir la regla OTH Transform UPN to epPN como se muestra anteriormente.

Mensaje de error:

Se debe a que: Se aplican configuraciones de seguridad incorrectas a la relación de confianza de usuario autenticado de ADFS.

Resolución: Asegurarse de que esté instalado el certificado de suscripción y el nivel correcto de SHA elegido.