Konfigurowanie uwierzytelniania logowania

Integracja SCIM Provisioning z Okta jako IdP

Dodawanie integracji SCIM (System for Cross-domain Identity Management):

1. W Okta Admin Console wybierz kartę General i ustaw SCIM jako metodę provisioningu.

   

2. Wybierz kartę Provisioning i kliknij przycisk Edit.

   

3. W trybie edycji ustawień wybierz wszystkie działania provisioningu (opcje Import.. i Push..) oraz HTTP Header jako tryb Authentication.

   

4. Skopiuj () wpis Base URL z sekcji Provisioning strony Company Dashboard Authentication i wklej go do pola Okta SCIM Connector base URL.

   Skopiuj () wpis API Token z sekcji Provisioning strony Company Dashboard Authentication i wklej go do pola Okta Authorization (w sekcji HTTP HEADER).

   

5. Podaj userName jako Okta Unique identifier field for users.

   

6. Kliknij przycisk Test Connector Configuration (zobacz wyżej) i upewnij się, że połączenie działa. Jeśli test konfiguracji zakończy się powodzeniem, zamknij okno testu, a następnie zapisz konfigurację ().

   

7. Wybierz To App w drzewie nawigacji po lewej stronie, a następnie opcję Edit.

   Włącz opcje Create Users, Update User Attributes i Deactivate Users, a następnie kliknij Save.

   

Provisioning i usuwanie provisioningu użytkowników oraz grup:

1. Wybierz kartę Push Groups, a następnie kliknij przycisk Refresh App Groups.

   

2. Wybierz opcję strony Directory » Groups z menu głównego.

   

   W sekcji Groups powinny być widoczne zarówno grupa aplikacji Groups, jak i Workspaces jako wpisy grup.

   

3. Utwórz „natywne” grupy Okta o takich samych nazwach jak grupy aplikacji/przestrzenie robocze — w tym przykładzie zaimportowane grupy Administrators i Workspace.

   

4. Wybierz utworzoną grupę Okta, a następnie kliknij przycisk Manage Apps. W oknie Assign Applications to <group name> przypisz aplikację SCIM do grupy i po zakończeniu kliknij .

   

5. Wróć do strony Groups i wybierz kartę Push Groups. Wybierz Find groups by name option z menu przycisku Push Groups.

   

6. Wprowadź nazwę grupy (tutaj Group Administrators), a następnie wybierz opcję Link Group, aby połączyć ją z grupą aplikacji. Zapisz konfigurację tego połączenia ().

   

Zarządzanie użytkownikami i grupami

Powinno być teraz możliwe dodawanie członków do istniejących grup aplikacji lub usuwanie ich z tych grup.

1. Utwórz nowego użytkownika Okta (Directory » People, a następnie wybierz Add Person). Upewnij się, że użytkownik ma unikalny adres e-mail, który nie istnieje w AltiumLive.

2. Dodaj nowego użytkownika do grupy Okta przypisanej do aplikacji SCIM (Directory » Groups, wybierz grupę, a następnie użyj Assign People).

3. Sprawdź, czy użytkownik pojawia się w Company Dashboard.

Aby utworzyć nową grupę użytkowników za pośrednictwem aplikacji SCIM, utwórz nową grupę Okta na stronie Groups (), a następnie na karcie Push Groups znajdź nazwę nowej grupy i wybierz opcję Create Group (zamiast „Link Group”).

Skonfigurowana aplikacja SCIM powinna umożliwiać:

• Zmianę imienia / nazwiska oraz adresu e-mail użytkownika.

• Zmianę członkostwa w grupie.

• Zmianę nazwy grupy.

• Tworzenie grupy.

• Usuwanie grupy – odłącz grupę w sekcji Push Groups, używając opcji usunięcia z aplikacji.

• Aktywowanie lub dezaktywowanie użytkownika – aktywowany użytkownik otrzyma e-mail aktywacyjny.

Workspaces wyglądają podobnie do grup użytkowników w Okta, ale obsługują tylko zarządzanie członkostwem. Nie można utworzyć nowego workspace ani zmienić nazwy istniejącego.

Po dodaniu użytkownika do grupy Workspace lub usunięciu go z niej możesz sprawdzić wynik w interfejsie Workspace Altium 365.

• Nowy użytkownik SCIM powinien mieć możliwość logowania przy użyciu SSO

• Nowy użytkownik SCIM powinien zostać automatycznie zaproszony do Workspace.

• Do użytkownika nie zostanie wysłane zaproszenie e-mail.

Integracja z Microsoft Entra ID

Aplikacja SAML:

1. Zaloguj się do Microsoft Entra admin center.

2. Wybierz Identity, a następnie opcję Enterprise applications.

   

3. Utwórz własną aplikację.

   

4. Wybierz Users and groups, a następnie Add user/group.

   

   

   

    

5. Wybierz Single sign-on, Step 1, a następnie Edit.

   

   

    

6. Skopiuj () wpisy Entity ID i Single Sign On URL z sekcji Altium Sign-On Settings na stronie Authentication Company Dashboard. Wklej skopiowane ciągi do pól Entity ID i Assertion Consumer Service URL w obszarze konfiguracji SAML aplikacji Microsoft Entra. Upewnij się, że pola wyboru Default są zaznaczone dla tych pól, a następnie zapisz konfigurację.

   

7. Pobierz utworzony plik Federation Metadata XML.

   

8. Prześlij plik Federation Metadata XML na stronę Authentication Company Dashboard (obszar 2. SAML Identity Provider configuration sekcji Altium Sign-On Settings) i następnie przetestuj połączenie integracji SAML.

Provisioning:

1. Na ekranie zarządzania aplikacją Microsoft Entra wybierz Provisioning w lewym panelu, a następnie przycisk Get started.

2. Ustaw Provision MODE na Automatic.

3. Skopiuj () wpisy Base URL i API Token z sekcji Provisioning na stronie Company Dashboard Authentication i wklej je odpowiednio do pól Tenant URL i Secret Token.

   

4. Kliknij przycisk Microsoft Entra Provisioning Test Connection, a jeśli poświadczenia zostaną pomyślnie autoryzowane, Save konfigurację.

   

5. W sekcji Mappings znajdują się dwa wybieralne zestawy mapowań atrybutów – jeden dla obiektów Group i jeden dla obiektów User.

   

6. Wybierz każde mapowanie, aby sprawdzić atrybuty synchronizowane z Microsoft Entra ID do Twojej aplikacji. Atrybuty wybrane jako Matching properties są używane do dopasowywania użytkowników i grup w Twojej aplikacji podczas operacji aktualizacji. Wybierz Save, aby zatwierdzić wszelkie zmiany.

   

   Możesz opcjonalnie wyłączyć synchronizację obiektów grup, wyłączając mapowanie Groups.

7. W sekcji Settings pole Scope określa, którzy użytkownicy i grupy są synchronizowani. Wybierz Sync only assigned users and groups (zalecane), aby synchronizować tylko użytkowników i grupy przypisane na stronie Users and groups.

   

8. Po zakończeniu konfiguracji ustaw Provisioning Status na On.

   

9. Wybierz Save, aby uruchomić usługę provisioning Microsoft Entra.

Integracja z JumpCloud jako dostawcą tożsamości

1. W interfejsie JumpCloud wybierz SSO z drzewa nawigacji, a następnie przycisk Add New Application na stronie SSO.

   

2. Wprowadź „saml” w polu Search okna konfiguracji, aby znaleźć, a następnie zainstalować Custom SAML App.

   

3. Nazwij swoją instancję Custom SAML App – w tym przykładzie etykieta to „Altium”.

   

4. Przejdź na kartę SSO w interfejsie konfiguracji JumpCloud. Skopiuj () wpisy Entity ID i Single Sign On URL z sekcji Altium Sign-On Settings na stronie Company Dashboard Authentication i wklej je odpowiednio do pól SP Entity ID i Default URL .

   

5. Wprowadź endpoint JumpCloud IDP URL i włącz opcję Declare Redirect Endpoint.

   

6. Przejdź na kartę Identity Management w interfejsie JumpCloud. Skopiuj () wpisy Base URL i API Token z sekcji Provisioning na stronie Company Dashboard Authentication i wklej je odpowiednio do pól Base URL i Token Key. Wprowadź również odpowiedni testowy adres e-mail.

   

7. Wykonaj Test Connection, co spowoduje wyświetlenie komunikatu potwierdzającego w prawym górnym rogu strony (jak pokazano poniżej).

   

8. Wyłącz (odznacz) opcję Group Management, a następnie Activate konfigurację.

   

   Uwaga: Jeśli otrzymasz błąd połączenia, taki jak „There was a problem activating Identity Management” u góry strony lub „Test filter user: unable to get or create user from service” na dole strony, spróbuj wprowadzić inny testowy adres e-mail, a następnie ponownie wybrać Activate.

9. Po powrocie do karty SSO w interfejsie JumpCloud użyj opcji Export Metadata, aby pobrać wynikowy plik SAML metadata XML.

   

10. Na stronie Authentication Company Dashboard zaimportuj pobrany plik metadata XML, a następnie uruchom test integracji przyciskiem Test Sign On. Następnie powinien zostać wyświetlony pomyślny wynik testu integracji. Po potwierdzeniu połączenia możesz włączyć opcję Altium Sign-On Settings, a następnie opcję SSO w sekcji Authentication methods.

Uwierzytelnianie SSO SAML z Microsoft Administrative Domain Federated Services (AD FS)

Wykonaj poniższe kroki, aby skonfigurować logowanie do organizacji Altium 365 z użyciem instancji AD FS do uwierzytelniania SSO.

Wymagania wstępne

• Dostęp administracyjny do firmowego konta organizacji w Altium 365.

• Dostęp administracyjny do instancji AD FS.

Konfiguracja AD FS

1. Otwórz aplikację AD FS Management (zwykle Start → Windows Administrative Tools → AD FS Management).

2. Przejdź do Relying Party Trusts i kliknij opcję Add Relying Party Trust... (1).

3. W wyskakującym oknie upewnij się, że wybrano Claims aware (2), i kliknij Start (3).

   

4. W kroku Select Data Source wybierz Enter data about the relying party manually (1) i kliknij Next (2).

   

5. Podaj nazwę wyświetlaną dla relacji zaufania. W tym przykładzie jako nazwy wyświetlanej użyto AltiumLive. W zależności od konfiguracji zabezpieczeń możesz określić opcjonalny certyfikat szyfrowania tokenów. Na potrzeby tego przewodnika nie będziemy go używać.

   

6. W kroku Configure URL upewnij się, że wybrano opcję Enable support for the SAML 2.0 WebSSO protocol (1), i wprowadź https://identity.live.altium.com/AssertionConsumerService do pola Relying party SAML 2.0 SSO service URL: (2). Kliknij Next (3).

   

7. W kroku Configure Identifiers podaj identyfikator tej relacji zaufania w polu wejściowym (1). Identyfikator należy pobrać z wpisu Entity ID znajdującego się w obszarze SAML Single Sign-On strony Dashboard Authentication. Upewnij się, że klikniesz przycisk Add (2).

   

   Wynik powinien wyglądać następująco. Kliknij Next.

   

8. W zależności od konfiguracji zabezpieczeń w następnym kroku możesz wybrać opcjonalne zasady kontroli dostępu. W tym przykładzie nie będziemy wybierać żadnych dodatkowych zasad i przejdziemy dalej za pomocą opcji Permit everyone.

   

9. Sprawdź konfigurację i wybierz Next.

   

10. Nie wszystkie ustawienia są dostępne podczas konfigurowania relacji zaufania. Aby umożliwić użycie SHA-1 jako bezpiecznego algorytmu skrótu, kliknij prawym przyciskiem nazwę właśnie dodanego Relying Party Trust i wybierz Properties.

    

11. W oknie właściwości wybierz kartę Advanced (1) i ustaw SHA-1 jako bezpieczny algorytm skrótu (2). Kliknij OK, aby zapisać zmiany.

    

12. Po powrocie do okna AD FS Management wybierz dodaną Relaying Party Trust i wybierz opcję Edic Claim Issuance Policy...

    

13. W oknie Edit Claim Issuance Policy wybierz Add Rule...

    

14. W kroku Choose Rule Type kreatora upewnij się, że wybrano Send LDAP Attributes as Claims, a następnie kliknij Next.

    

15. Podaj Claim rule name (1), wybierz Active Directory jako Attribute store (2) i wybierz LDAP Attribute (3) z identyfikatora zawierającego nazwę użytkownika dla konta Altium Account. Ten atrybut musi być zmapowany do Name ID w Outgoing Claim Type (3). Kliknij Finish (4).

    

    Important Note: W tym przykładzie zmapowaliśmy Surname lub Last name, aby zawierały wymaganą wartość. Twoja konfiguracja może się różnić.

    

16. Upewnij się, że zasada wystawiania oświadczeń została zapisana, klikając OK.

    

To kończy konfigurację AD FS.

Konfigurowanie Altium 365

1. Przejdź do strony Authentication Company Dashboard i prześlij plik FederationMetadata.xml pobrany wcześniej (więcej informacji znajdziesz w sekcji Dashboard SSO Configuration poniżej). Konfiguracja powinna zostać zaimportowana, a wartości X509 Certificate, Identity Provider Issuer i IdP Single Sign-On URL powinny być widoczne. Kliknij przycisk Test Sign On, aby przetestować konfigurację.

2. Na ekranie logowania podaj poświadczenia użytkownika zgodnie z wymaganiami swojej organizacji i kliknij Sign in.

   

3. Asercja zostanie odesłana do Altium 365. Jeśli na ekranie pojawi się komunikat Test SAML connection was successful!, oznacza to, że konfiguracja została ukończona poprawnie. Odpowiedź SAML można wyświetlić, klikając przycisk See Response. Kliknij Back to Settings, aby wrócić do strony Authentication.

4. Na stronie Authentication włącz opcje Altium Sign-On Settings i SSO.

To kończy konfigurację. Od tego momentu użytkownicy w Twojej organizacji powinni mieć możliwość logowania do Altium 365 przy użyciu AD FS Twojej organizacji jako dostawcy tożsamości SSO.

Konfiguracja SSO SAML z Amazon Web Services (AWS) Identity Access Management (IAM) Identity Center

1. Przejdź do IAM Identity Center i dodaj niestandardową aplikację SAML 2.0 (Add Application).

   

   

2.  Skopiuj () wpisy Entity ID i Single Sign On URL z sekcji Altium Sign-On Settings na stronie Company Dashboard Authentication i wklej je do ustawień adresu URL metadanych AWS. Potwierdź ustawienia przyciskiem Submit.

   

3. Pobierz plik metadanych z obszaru IAM Identity Center metadata.

   

4. Przejdź do Edit attribute mappings.

   

5. Dodaj ${user:email} i Format jako unspecified.

   

6. Utwórz nowych użytkowników w AWS – nazwy użytkowników powinny mieć format user@domain.com.

   Przypisz aplikację do utworzonych użytkowników lub grupy.

   

7. Opcja Provisioning na stronie Company Dashboard Authentication powinna być wyłączona.

   Obecnie AWS nie obsługuje automatycznego provisioningu wychodzącego przez SCIM.

8. Upewnij się, że ci sami użytkownicy istnieją zarówno po stronie Altium, jak i IAM. Nazwy użytkowników powinny być zgodne z formatem user@domain.com.

   

9. Na stronie Company Dashboard Authentication prześlij plik XML pobrany wcześniej (więcej informacji znajdziesz w sekcji Dashboard SSO Configuration poniżej). Kliknij przycisk Test Sign On, aby przetestować konfigurację.

10. Następnie zostaniesz przekierowany na stronę logowania AWS. Wprowadź poświadczenia użytkownika AWS. Powinieneś zostać przekierowany z powrotem do Dashboard i zobaczyć komunikat Test SAML connection was successful!.

11. Po pomyślnym teście włącz opcje Altium Sign-On Settings i SSO.