Início de sessão SSO/SAML

No Valispace, é possível iniciar sessão com Single Sign-On (SSO) utilizando a versão 2 da Security Assertion Markup Language (SAML v2). Se tiver um Identity Provider (IdP) compatível com SAML v2, pode ligá-lo à sua instância do Valispace, permitindo que os utilizadores iniciem sessão com as suas contas existentes.

Início de sessão SSO

A configuração de SSO para a aplicação Valispace tem especificidades consoante o tipo de implementação.

01. Configuração do lado do servidor:

Depois de a definição de SSO ter sido atualizada, pode ser configurada. As definições abaixo não requerem um
reinício da aplicação.

Step 1: Na implementação, navegue para: https://{your.valispace.deploy}/admin/constance/config/

1. AUTH_SSO_SP_ENTITY_ID
   Substitua o valor predefinido http://127.0.0.1:8000/rest/auth/sso/metadata/ pelo URL da implementação, por exemplo: https://<url/rest/auth/sso/metadata/>

2. AUTH_SSO_SP_ACS
   Substitua o URL pelo URL real, como por exemplo https://<url/rest/auth/sso/acs/>

3. AUTH_SSO_SP_SLS
   Substitua o URL pelo URL real, como por exemplo https://<url/rest/auth/sso/sls/>

4. AUTH_SSO_X509CERT
   Pode ser deixado em branco como definição opcional. Caso sejam necessários certificados x509, pode encontrar ajuda em Altium Support para ativar esta funcionalidade.

5. AUTH_SSO_IDP_XML
   Metadados XML do IdP que ligam ambos. Será explicado mais à frente.

6. AUTH_SSO_NAMEID_FORMAT
   Os IdP suportam diferentes formatos de nameId. Na secção “Authentication SSO Attributes” da página de configuração, tem a opção de definir nomes específicos que o seu Identity Provider (IdP) utiliza para vários campos. Abaixo, fornecemos um exemplo de como poderá nomear estas propriedades:

   1. AUTH_SSO_EMAIL_ATTRIBUTE mail

   2. AUTH_SSO_USERNAME_ATTRIBUTE uid

   3. AUTH_SSO_FIRST_NAME_ATTRIBUTE givenName

   4. AUTH_SSO_LAST_NAME_ATTRIBUTE sn

   Note: Estes nomes devem estar documentados pelo seu IdP, mas se encontrar erros 500 após configurar tanto o IdP como o SP, uma ferramenta útil a utilizar é SAML-tracer. É uma extensão para Chrome ou Firefox que apresenta a informação e os nomes dos campos que o seu IdP envia para o Valispace, para os mapear corretamente.

Note for Azure Configuration: O Valispace apenas tenta localizar os campos AUTH_SSO_*_ATTRIBUTE na secção de atributos da resposta SAML. Se decidir definir tanto o email como o nome de utilizador como “nameId” (email), é também necessário designá-lo na propriedade “emailAddress”.

Quando o Azure está configurado para transmitir o “nameId” no formato “emailAddress”, este não é enviado como atributo. A funcionalidade Claim do Azure tem um atributo conhecido como “namespace”. Este “namespace” deve ser deixado vazio (não está vazio por predefinição) ou corresponder ao definido nas configurações de administração do Valispace.

Por exemplo, no caso do Microsoft Azure, o “namespace” nas claims deve ser deixado vazio. Em alternativa, deve corresponder ao mesmo atributo nas configurações de administração do Valispace.

Inicialmente, se possível, defina o elemento NameIDPolicy no AuthnRequest do Azure como “persistent”. Depois de concluir este passo, ajuste a definição correspondente no Valispace (AUTH_SSO_NAMEID_FORMAT) para ficar alinhada com esta alteração.

Isto garante que cada utilizador recebe um token único que estabelece uma ligação entre o Azure e o Valispace. Este método tem prioridade sobre alterações aos endereços de email.

De seguida, considere rever as seguintes definições no Valispace para corresponderem à configuração abaixo:

AUTH_SSO_EMAIL_ATTRIBUTE: Defina isto como “emailaddress”

AUTH_SSO_USERNAME_ATTRIBUTE: Defina isto como “emailaddress”

Estas definições baseiam-se no pressuposto de que o endereço de email se destina a servir como “username”.

02. Configuração e validação do IdP:

Isto depende inteiramente do IdP específico utilizado na configuração. Este documento fornece algumas das ligações de documentação mais comuns para IdP específicos, como segue:

• Azure AD SAML Azure/active-directory-setup-sso

• Auth0 Auth0 configure-auth0-saml-identity-provider

• Google https://support.google.com/a/answer/6087519?hl=en

• Keycloak https://www.keycloak.org/docs/latest/server_admin/#_saml

Ao adicionar uma nova aplicação/configuração no seu IdP, normalmente ser-lhe-á pedida a seguinte informação sobre a aplicação que pretende adicionar:

1. ENTITY_ID

https://<url/rest/auth/sso/metadata/>

1. ACS (Assertion Consumer Service)

https://<url/rest/auth/sso/acs/>

1. SLS (Single Logout Service)

https://<url/rest/auth/sso/sls/>

Pode também permitir configurar quais os campos do utilizador enviados para a aplicação configurada e os respetivos nomes, que depois podem ser adicionados na secção Authentication SSO Attributes da configuração de administração, conforme indicado na secção anterior.

Agora que o IdP está configurado, precisamos de ligar o nosso SP ao IdP. Para isso, precisamos de obter um ficheiro em formato XML que contenha a informação de ligação do IdP. Isto varia de um IdP para outro, mas há duas formas de o obter.

1. Diretamente disponível como XML a partir do IdP

2. O IdP apresenta a informação de ligação, mas não em formato XML. Neste caso, sugere-se que vá a https://www.samltool.com/idp_metadata.php, que irá criar automaticamente os metadados com a informação fornecida.

Depois de ter o ficheiro XML, copie todo o seu conteúdo e cole-o no campo: AUTH_SSO_IDP_XML que foi introduzido nos passos anteriores.

Deverá ser apresentado um botão de início de sessão SSO na página de login do Valispace, após cada passo concluído, para redirecionar para o ecrã de login do IdP configurado mais recentemente e permitir o início de sessão.

Note: Caso a sua organização ainda tenha utilizadores registados na aplicação Valispace, estes serão validados com base nos valores do campo de email no IdP para serem automaticamente associados, quando houver correspondência.

The SSO Configuration for Valispace is done.

Apenas início de sessão SSO

Assim que o Single Sign-On (SSO) estiver ativado, os utilizadores podem iniciar sessão na implementação utilizando SSO ou o seu nome de utilizador e palavra-passe. Se pretender restringir os utilizadores de iniciarem sessão com o seu nome de utilizador e palavra-passe, pode fazê-lo ativando/desativando uma “Flag” no painel de administração. Esta flag oculta a opção “Username and Password” na página de login. Para ativar esta funcionalidade, o administrador deve iniciar sessão no painel de administração, navegar até “Constants” e depois até “Config”. A partir daí, o administrador pode desmarcar a opção “AUTH_USERNAME_PASSWORD.”

Veja esta demonstração para aprender a fazê-lo de forma rápida e fácil.