ADFS con OpenID SSO

Active Directory Federation Services (ADFS) es el proveedor de identidad local de Microsoft que permite la identidad federada y el inicio de sesión único entre aplicaciones. Con OpenID Connect SSO configurado entre ADFS y Document360, tus usuarios y lectores pueden iniciar sesión en Document360 usando sus credenciales de Active Directory existentes.

Qué puedes hacer con ADFS como tu IDP

Antes de que empieces

• Tienes acceso administrativo tanto a Document360 como a tu servidor ADFS.
• Tienes acceso de Propietario o Administrador en tu proyecto de Document360.
• Abre Document360 y ADFS en dos pestañas separadas antes de empezar.

Cómo configurar ADFS OpenID SSO en Document360

Paso 1: Añadir la solicitud en ADFS

1. Inicia sesión en la consola de gestión de ADFS en tu servidor ADFS.
2. En la consola de gestión de ADFS, navega hasta Fideicomisos de Parte Confiable.
3. Haz clic derecho en Fideicomisos de Parte Confiable y selecciona Añadir Fideicomiso de Parte Confiable.
4. En el Asistente de Confianza de Parte Dependiendo de Añade, elige Conocimiento de Reclamaciones y haz clic en Iniciar.
5. Selecciona Introducir datos sobre la parte de confianza manualmente y haz clic en Siguiente.
6. Proporciona un nombre de visualización (por ejemplo, "Document360 OpenID SSO") y haz clic en Siguiente.
7. En el paso Configurar Certificado , haz clic en Siguiente (puedes saltarte esto si no usas un certificado).

Paso 2: Obtener los parámetros SP de Document360

1. Abre Document360 en una pestaña separada.
2. Navega a Configuración () > Usuarios y permisos > Configuración SSO.
3. Haz clic en Crear SSO.

4. Selecciona ADFS como tu proveedor de identidad para navegar automáticamente a la página Configurar el proveedor de servicios (SP ).

5. En la página Configurar el proveedor de servicios (SP ), seleccione el botón de opción OpenID .
6. Se mostrará un conjunto de parámetros.

Paso 3: Introduce los parámetros de Document360 en ADFS

1. Cambia a la pestaña de la consola de gestión de ADFS e introduce los parámetros de Document360 en los campos correspondientes del paso Configurar URL usando el mapeo que aparece a continuación.

2. Haz clic en Siguiente y completa los pasos restantes del asistente, como configurar la autenticación multifactor si es necesario y permitir que todos los usuarios accedan a la aplicación.
3. Revisa tus ajustes y haz clic en Siguiente para añadir la confianza de la parte confiable.
4. En la última pantalla, marca la casilla Abrir el cuadro de Editar Reglas de Reclamación y haz clic en Cerrar.

Paso 4: Añadir reglas de reclamación en ADFS

1. En el cuadro de Editar Reglas de Reclamación , haz clic en Añadir regla.
2. Selecciona Enviar Atributos LDAP como Reclamaciones como plantilla de regla y haz clic en Siguiente.
3. Proporciona un nombre para la regla de reclamación (por ejemplo, "Enviar atributos LDAP").
4. Configura lo siguiente:
   • Almacenamiento de atributos: Seleccione Active Directory.
   • Mapeo:
     • Atributo LDAP: Nombre-Principal-Usuario | Tipo de reclamación saliente: ID de nombre
     • Atributo LDAP: Direcciones de correo electrónico | Tipo de reclamación saliente: Correo electrónico
     • Atributo LDAP: Nombre de visualización | Tipo de reclamación saliente: Nombre
5. Haz clic en Terminar para añadir la regla.
6. Haz clic en Aplicar para guardar tus cambios y cierra el diálogo.

Paso 5: Configurar el proveedor de identidad en Document360

1. Vuelve a Document360 en la página Configurar el Proveedor de Servicios (SP) y haz clic en Siguiente para navegar a la página Configurar el Proveedor de Identidad (IdP ).
2. Introduce los valores correspondientes de tu configuración ADFS usando el mapeo que aparece a continuación.

3. En el campo Scope (opcional), escribe un valor de scope y haz clic en + para añadirlo como chip. Esto define qué información o permisos de usuario solicita Document360 a ADFS. Puedes sumar hasta 3 miras.

4. Haz clic en Siguiente para acceder a la página de aprovisionamiento SCIM .

Paso 6: Configurar el aprovisionamiento SCIM

La provisión SCIM permite automatizar la gestión del ciclo de vida del usuario y del lector entre ADFS y Document360. Como ADFS no soporta SCIM de forma nativa, esto requiere una herramienta de terceros o una integración personalizada.

Si no necesitas provisionamiento SCIM, salta al paso 7: Configura el nombre del SSO y las opciones de acceso.

1. Activa el interruptor Habilitar provisión SCIM .

2. Aparece un diálogo de confirmación. Revisa los términos, selecciona la casilla y haz clic en Aceptar.
3. A continuación, se mostrarán los parámetros necesarios para completar la configuración SCIM.

4. Introduce los parámetros requeridos desde Document360 en los campos correspondientes de tu aplicación personalizada.

5. En el campo de rol por defecto , el rol está configurado como Contribuyente por defecto. Puedes cambiar esto desde el desplegable si es necesario.
6. En los campos de grupos de usuarios y grupos de lectores , selecciona los grupos que quieres añadir. Se pueden añadir varios grupos, y heredarán el rol predeterminado que seleccionaste antes.
7. Haz clic en Siguiente para navegar a la página de Más ajustes .

Paso 7: Configurar el nombre del SSO y las opciones de inicio de sesión

1. En el campo de nombre de SSO , introduce un nombre para la configuración SSO.
2. En el botón Personalizar inicio de sesión, introduce el texto del botón de inicio de sesión que se muestra a los usuarios.
3. Asignación automática del grupo lector: Esta opción solo está disponible para configuraciones SSO existentes. Para configuraciones SSO recién creadas, este interruptor no se mostrará porque SCIM provisiona automáticamente usuarios y grupos.
4. Activa o desactiva la opción de desactivar la desconexión de usuario SSO inactivo según tus necesidades.
5. Elige si invitas a cuentas de usuarios y lectores existentes a SSO.

6. Haz clic en Crear para completar la configuración de OpenID SSO.

La configuración SSO usando ADFS y el protocolo OpenID Connect está ahora activa en Document360.

Gestión de usuarios en ADFS

Para ver los lectores añadidos a través de tu integración con ADFS:

1. En Document360, navega a Configuración () > Usuarios y permisos > Lectores y grupos.
2. Selecciona al lector para acceder a su perfil.

Los lectores provisionados mediante SCIM mostrarán una insignia SSO-SCIM junto a su nombre.

Gestionar el acceso al contenido de lectores, usuarios y grupos

El rol de contenido predeterminado asignado a cualquier nuevo usuario, lector o grupo se basa en lo que se configuró durante la configuración del aprovisionamiento SCIM. Los permisos se configurarán como Ninguno por defecto, pero pueden actualizarse en cualquier momento.

1. Selecciona el lector deseado y haz clic en Gestionar acceso al contenido.
2. Elige el nivel de acceso deseado en el desplegable y haz clic en Actualizar.

Mejores prácticas

• Verifica que el ID del cliente coincida con el identificador de la parte confiable. El ID del cliente introducido en Document360 debe coincidir exactamente con el Identificador de Parte Confiable configurado en ADFS. Una discrepancia causará fallos en la autenticación.
• Utiliza el tipo correcto de reclamación saliente para el correo electrónico. Para OpenID Connect ADFS, el tipo de reclamación saliente para correo electrónico es Correo electrónico, no Direcciones de correo electrónico como se usa en la configuración SAML. Usar el tipo de reclamación incorrecto causará errores de identidad de usuario.
• Utiliza una herramienta de terceros para SCIM. ADFS no soporta de forma nativa la provisión SCIM. Planifica tu enfoque de aprovisionamiento de usuarios antes de habilitar SCIM en Document360.
• Rota los secretos del cliente antes de que expiren. El secreto del cliente configurado en ADFS tiene una fecha de caducidad. Cuando expire, la autenticación SSO fallará. Controla el caducidad y rota los secretos con antelación.

Preguntas frecuentes