Configurazione dell’autenticazione Single Sign-on
Gli amministratori di Enterprise Server possono configurare e abilitare le funzionalità di Single Sign-On (SSO) per il server. Il sistema di configurazione backend consente agli amministratori di impostare, testare, abilitare e disabilitare la funzionalità SSO per gli utenti del server. L'opzione SSO è disponibile durante l'accesso all'interfaccia browser di Enterprise Server. Quando configurato per gli utenti del server, l'SSO offre la comodità di accedere al server utilizzando lo stesso insieme di credenziali impiegato per i sistemi aziendali.
Per ulteriori informazioni sull'accesso all'interfaccia browser di Enterprise Server, fare riferimento alla pagina Exploring the Browser-based Interface.
SAML Single Sign-On
Quando configurato e abilitato in Enterprise Server, il sistema SSO stabilisce identità autorizzate dal provider di identità (IdP) designato dalla tua azienda, ad esempio Okta, OneLogin, ecc., con comunicazioni di asserzione ID basate sullo standard Security Assertion Markup Language (SAML 2.0). L'interfaccia di accesso SSO della tua azienda, se non già presente, è di solito basata su un modello o un esempio fornito dall'IdP: questo avvia gli scambi di asserzione di autenticazione basati su SAML e fornisce accesso ai servizi aziendali.
Quando l'opzione SAML è selezionata nel menu a discesa SSO nella pagina Admin – Settings – Authentication dell'interfaccia browser, la pagina mostra gli URL preconfigurati per il servizio SSO di Enterprise Server (Altium Metadata Configuration) e l'opzione per caricare o inserire manualmente i dati di connessione di autorizzazione del tuo IdP (SAML Identity Provider Configuration).
I metadati di configurazione dell'IdP dovrebbero essere disponibili presso il tuo Identity Provider una volta configurato per l'integrazione con i servizi della tua azienda; vedi gli esempi di integrazione IdP riportati di seguito. Per configurare il sistema SAML SSO in Enterprise Server (se non è già stato fatto), utilizza il pulsante 
per individuare e caricare il file XML di configurazione SAML IdP generato dall'IdP della tua azienda. Un file XML IdP caricato viene analizzato dal sistema per estrarre i principali campi di configurazione (X509 Certificate, URL Identity Provider Issuer e IdP Single Sign-On URL). In alternativa, aggiungi manualmente i singoli elementi della configurazione (certificato di sicurezza e URL) nei campi corrispondenti.
L'SSO non viene abilitato finché non viene eseguito un test di integrazione, avviato dal pulsante 
. Questo verifica il processo di identità SSO e l'accesso SSO della tua azienda. Una volta che la configurazione è stata testata con successo, puoi salvare le impostazioni facendo clic sul pulsante 
(
), applicandole di fatto a Enterprise Server.
Se successivamente l'SSO viene disabilitato, manualmente o in risposta a una modifica della configurazione, il pulsante diventa disponibile affinché il processo di test possa essere ripetuto.
Esempi di integrazione con Identity Provider
Espandi la sezione comprimibile seguente per un esempio passo-passo del processo di integrazione di OneLogin come Identity Provider.
Integration with OneLogin
-
Accedi a OneLogin come amministratore.
-
Seleziona Applications e quindi Add Apps.
-
Cerca 'SAML' e seleziona l'opzione applicazione IdP SAML Test Connector (Advanced).
-
Specifica un nome applicazione (Display Name). È usato solo a scopo di visualizzazione.
-
Fai clic sul pulsante Save.
-
Copia (
) le voci Entity ID e Single Sign-On URL (Assertion Consumer Service) dalla pagina Admin – Settings – Authentication dell'interfaccia browser di Enterprise Server nei campi indicati di seguito.
Nella configurazione dell'applicazione OneLogin:
-
Incolla il valore Entity ID (nome del service provider) sopra indicato come URL Audience (EntityID).
-
Incolla il valore Single Sign-On URL (Assertion Consumer Service) sopra indicato come ACS (Consumer) URL Validator.
-
Incolla inoltre il valore Single Sign-On URL (Assertion Consumer Service) come ACS (Consumer) URL.
-
I campi RelayState, Recipient, Single Logout URL e Login URL possono essere lasciati vuoti.
-
-
Assicurati che l'opzione SAML nameID format sia impostata su Email e che SAML signature element sia impostato su Both. Fai clic sul pulsante Save per confermare le impostazioni.
-
Fai clic sul pulsante More Actions e quindi sull'opzione di menu SAML Metadata per scaricare i metadati SAML dell'Identity Provider come file XML.
-
Questo file di metadati verrà caricato nella pagina Admin – Settings – Authentication dell'interfaccia browser di Enterprise Server per configurare il servizio SSO OneLogin – vedi sotto.
-
Se si preferisce configurare manualmente il servizio SSO OneLogin in Enterprise Server, i parametri richiesti possono essere trovati selezionando l'opzione di menu SSO nell'interfaccia dell'applicazione OneLogin.
-
-
I passaggi successivi saranno aggiungere utenti e assegnare l'applicazione a tali utenti.
Espandi la sezione comprimibile seguente per un esempio passo-passo del processo di integrazione di Okta come Identity Provider.
Integration with Okta
-
Accedi a Okta come amministratore.
-
Fai clic sul collegamento/pulsante Admin e quindi sul pulsante Add Application sotto Applications dell'azienda.
-
Fai clic sul pulsante Create New App.
-
Seleziona SAML 2.0 come Sign-on method.
-
Specifica un App name. È usato solo a scopo di visualizzazione.
-
Prendi nota delle voci Single Sign On URL (Assertion Consumer Service) e Entity ID nella pagina Admin – Settings – Authentication dell'interfaccia browser di Enterprise Server.
-
Copia (
) e incolla la voce Single Sign-On URL di Enterprise Server nel campo Single sign on URL delle impostazioni SAML di Okta.
-
Copia (
) e incolla la voce Entity ID di Enterprise Server nel campo Audience URI delle impostazioni SAML di Okta.
Una voce Default RelayState non è necessaria.
-
Imposta i campi rimanenti come segue:
-
Il Name ID format è
EmailAddress. -
Il Application username è (Okta)
Email. -
Nella sezione ATTRIBUTE STATEMENTS, imposta il campo Name su:
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddresse Value su:user.email
-
-
Fai clic sul pulsante Next e seleziona l'opzione ..Okta customer adding an internal app.
-
Fai clic sul pulsante Finish.
-
Fai clic sul collegamento Identity Provider metadata e salva il file XML dei metadati sul computer, oppure fai clic sul pulsante View Setup Instructions per le opzioni di configurazione manuale.
-
Nella sezione SAML Identity Provider configuration della pagina Admin – Settings – Authentication dell'interfaccia browser di Enterprise Server, carica il file XML dei metadati salvato oppure configura manualmente le singole sezioni – vedi sopra.
-
Espandi la sezione comprimibile seguente per un esempio passo-passo del processo di integrazione di Microsoft Entra ID come Identity Provider.
Integration with Microsoft Entra ID
-
Accedi al Microsoft Entra admin center.
-
Seleziona Identity e quindi l'opzione Enterprise applications.
-
Crea la tua applicazione.
-
Seleziona Users and groups e quindi Add user/group.
-
Seleziona Single sign-on, Step 1 e quindi Edit.
-
Copia (
) Entity ID e Single Sign-On URL dalla pagina Admin – Settings – Authentication dell'interfaccia browser di Enterprise Server. Incolla le stringhe copiate nei campi Entity ID e Assertion Consumer Service URL nell'area SAML Configuration dell'app Microsoft Entra. Assicurati che per questi campi le caselle Default siano selezionate, quindi salva la configurazione.
-
Scarica il Federation Metadata XML creato.
-
Carica il Federation Metadata XML nella pagina Admin – Settings – Authentication dell'interfaccia browser di Enterprise Server e quindi testa la connessione di integrazione SAML – vedi sopra.
Espandi la sezione comprimibile seguente per un esempio passo-passo del processo di integrazione di JumpCloud come Identity Provider.
Integration with JumpCloud
-
Nell'interfaccia di JumpCloud, seleziona SSO dall'albero di navigazione, quindi il pulsante Add New Application nella pagina SSO.
-
Inserisci '
saml' nel campo Search della finestra di configurazione per individuare e quindi installare Custom SAML App.
-
Assegna un nome alla tua istanza di Custom SAML App – in questo esempio, l'etichetta è
Altium.
-
Passa alla scheda SSO nell'interfaccia di configurazione di JumpCloud e inserisci le impostazioni Entity/URL dalla pagina Admin – Settings – Authentication dell'interfaccia browser dell'Enterprise Server, come mostrato.
-
Inserisci l'endpoint JumpCloud IDP URL e abilita l'opzione Declare Redirect Endpoint.
-
Usa l'opzione Export Metadata per scaricare il file XML dei metadati SAML risultante.
-
Carica il file XML dei metadati nella pagina Admin – Settings – Authentication dell'interfaccia browser dell'Enterprise Server, quindi testa la connessione di integrazione SAML – vedi sopra.
Espandi la sezione comprimibile seguente per un esempio passo-passo del processo di integrazione di Microsoft Administrative Domain Federated Services (AD FS) come Identity Provider.
Integration with Microsoft AD FS
-
Apri l'applicazione AD FS Management (di solito Start → Windows Administrative Tools → AD FS Management).
-
Vai a Relying Party Trusts e fai clic sull'opzione Add Relying Party Trust... (1).
-
Nella finestra popup assicurati di selezionare Claims aware (2) e fai clic su Start (3).
-
Nel passaggio Select Data Source seleziona Enter data about the relying party manually (1) e fai clic su Next (2).
-
Fornisci un nome visualizzato per il trust. Questo esempio utilizza
AltiumLivecome nome visualizzato.
-
A seconda della configurazione di sicurezza, puoi specificare un certificato facoltativo di crittografia del token. Ai fini di questa guida non ne useremo uno.
-
Nel passaggio Configure URL assicurati di selezionare l'opzione Enable support for the SAML 2.0 WebSSO protocol (1) e inserisci Single Sign-On URL copiato dalla pagina Admin – Settings – Authentication dell'interfaccia browser dell'Enterprise Server nel campo Relying party SAML 2.0 SSO service URL: (2). Fai clic su Next (3).
-
Nel passaggio Configure Identifiers inserisci un identificatore per questo trust nel campo di input (1). L'identificatore deve essere preso dalla voce Entity ID situata nella regione Altium Metadata Configuration della pagina Admin – Settings – Authentication dell'interfaccia browser dell'Enterprise Server. Assicurati di fare clic sul pulsante Add (2).
Il risultato dovrebbe apparire come segue. Fai clic su Next.
-
A seconda della configurazione di sicurezza, nel passaggio successivo puoi scegliere criteri facoltativi di controllo accessi. Per questo esempio non selezioneremo criteri aggiuntivi e proseguiremo con l'opzione
Permit everyone.
-
Rivedi la configurazione e seleziona Next.
-
Non tutte le impostazioni sono disponibili durante la configurazione del trust. Per consentire l'uso di
SHA-1come algoritmo hash sicuro, fai clic con il pulsante destro sul nome di Relying Party Trust che hai appena aggiunto e seleziona Properties.
-
Nella finestra delle proprietà seleziona la scheda Advanced (1) e imposta
SHA-1come algoritmo hash sicuro (2). Fai clic su OK per salvare le modifiche.
-
Tornato nella finestra AD FS Management, seleziona il Relaying Party Trust che hai aggiunto e scegli l'opzione Edit Claim Issuance Policy....
-
Nella finestra Edit Claim Issuance Policy seleziona Add Rule...
-
Nel passaggio Choose Rule Type della procedura guidata assicurati che Send LDAP Attributes as Claims sia selezionato, quindi fai clic su Next.
-
Fornisci un Claim rule name (1), seleziona
Active Directorycome Attribute store (2) e seleziona un LDAP Attribute (3) dall'ID che contiene il nome utente per l'utente dell'Enterprise Server. Questo attributo deve essere mappato a Name ID in Outgoing Claim Type (3). Fai clic su Finish (4).
Important Note: Per questo esempio, abbiamo mappato Surname o Last name in modo che contenga il valore richiesto. La tua configurazione potrebbe essere diversa.
-
Assicurati che il criterio di emissione delle attestazioni sia salvato facendo clic su OK.
-
Scarica il file
FederationMetadata.xmldal server appropriato. -
Carica il file XML dei metadati nella pagina Admin – Settings – Authentication dell'interfaccia browser dell'Enterprise Server, quindi testa la connessione di integrazione SAML – vedi sopra.
Espandi la sezione comprimibile seguente per un esempio passo-passo del processo di integrazione di AWS IAM Identity Center come Identity Provider:
Integration with AWS IAM Identity Center
-
Vai a IAM Identity Center e aggiungi una Custom SAML 2.0 Application (Add Application).
-
Compila le impostazioni dell'URL dei metadati AWS dalla tua pagina Altium SSO. Conferma le impostazioni con Submit.
-
Scarica il file dei metadati dall'area IAM Identity Center metadata.
-
Vai a Edit attribute mappings.
-
Fornisci un attributo che conterrà il nome utente per l'utente dell'Enterprise Server e seleziona
unspecifiedper Format. -
Crea nuovi utenti in AWS e assegna l'applicazione agli utenti creati o a un gruppo.
-
Assicurati che gli stessi utenti esistano sia lato Altium sia lato IAM.
-
Carica il file XML dei metadati nella pagina Admin – Settings – Authentication dell'interfaccia browser dell'Enterprise Server, quindi testa la connessione di integrazione SAML – vedi sopra.
Single Sign-On OAuth / OIDC
La funzionalità SSO per il tuo Enterprise Server può essere configurata anche usando lo standard OAuth / OIDC. Quando l'opzione OAuth / OIDC è selezionata nel menu a discesa SSO nella pagina Admin – Settings – Authentication dell'interfaccia browser, la pagina consente di inserire i dati forniti dall'IdP scelto.
-
Application Credentials:
-
Client ID – l'ID applicazione dell'IdP.
-
Client Secret – il segreto dell'applicazione dell'IdP.
-
-
Configuration:
-
Scopes to Request – gli scope definiscono il livello di accesso che l'applicazione richiede all'utente.
-
Authentication Endpoint – questo endpoint gestisce l'autenticazione e il consenso dell'utente. L'applicazione reindirizza gli utenti a questo endpoint per effettuare l'accesso e concedere le autorizzazioni.
-
Token Endpoint – questo endpoint viene usato per scambiare un codice di autorizzazione o un token di aggiornamento con un token di accesso. Si tratta di una comunicazione back-channel sicura tra l'applicazione e il server di autorizzazione.
-
User Profile Endpoint – questo endpoint recupera le informazioni del profilo utente (ad esempio, nome, email) usando un token di accesso. I dati restituiti dipendono dagli scope concessi durante l'autorizzazione.
-
-
Mappings – nel campo Mapped Attribute della tabella, inserisci l'attributo che verrà mappato al nome utente dell'utente lato Enterprise Server.
SSO non è abilitato finché non viene eseguito un test di integrazione, avviato dal pulsante . Questo verifica il processo di identità SSO e l'accesso SSO della tua azienda. Una volta che la configurazione è stata testata con successo, puoi salvare le impostazioni facendo clic sul pulsante (), applicandole di fatto all'Enterprise Server.
Se SSO viene successivamente disabilitato, manualmente o in risposta a una modifica della configurazione, il pulsante diventa disponibile in modo che il processo di test possa essere ripetuto.
Localizzato tramite A