SAML SSO con ADFS

Active Directory Federation Services (ADFS) es el proveedor de identidad local de Microsoft que permite la identidad federada y el inicio de sesión único entre aplicaciones. Con el SSO SAML configurado entre ADFS y Document360, los miembros de tu equipo y lectores pueden iniciar sesión en Document360 usando sus credenciales de Active Directory existentes.

Qué puedes hacer con ADFS como tu IDP

Antes de que empieces

• Tienes acceso administrativo tanto a Document360 como a tu servidor ADFS.
• Tienes acceso de Propietario o Administrador en tu proyecto de Document360.
• Abre Document360 y ADFS en dos pestañas separadas del navegador. Tendrás que cambiar entre ellos varias veces durante la configuración.

Paso 1: Crear un fideicomiso de la parte de confianza en ADFS

Añadir la aplicación en ADFS

1. Inicia sesión en la consola de gestión de ADFS en tu servidor ADFS.
2. En la consola de gestión de ADFS, navega hasta Fideicomisos de Parte Confiable.
3. Haz clic derecho en Fideicomisos de Parte Confiable y selecciona Añadir Fideicomiso de Parte Confiable.
4. En el Asistente de Confianza de Parte Dependiendo de Añade, elige Conocimiento de Reclamaciones y haz clic en Iniciar.
5. Selecciona Introducir datos sobre la parte de confianza manualmente y haz clic en Siguiente.
6. Proporciona un nombre de usuario (por ejemplo, "Document360 SAML SSO") y haz clic en Siguiente.
7. En el paso Configurar Certificado , haz clic en Siguiente (puedes saltarte esto si no usas un certificado).
8. En Configurar URL, seleccione Habilitar soporte para el protocolo SAML 2.0 Web SSO.

Paso 2: Configurar ADFS con los parámetros del proveedor de servicios Document360

Obtén los parámetros SP de Document360

1. Abre Document360 en una pestaña separada.
2. Navega a Configuración () > Usuarios y permisos > Configuración SSO.
3. Haz clic en Crear SSO.

4. Selecciona ADFS como tu Proveedor de Identidad (IdP) para navegar automáticamente a la página Configurar el Proveedor de Servicios (SP ).

5. En la página Configurar el proveedor de servicio (SP ), seleccione el botón de radio SAML como protocolo.
6. Se mostrará un conjunto de parámetros para completar la configuración SAML en ADFS.

Introduce los parámetros de Document360 en ADFS

Introduce los parámetros de Document360 en los campos correspondientes de los pasos Configurar URL e Identificadores en ADFS usando el mapeo que aparece a continuación.

8. Haz clic en Siguiente y completa los pasos restantes del asistente, como configurar la autenticación multifactor si es necesario y permitir que todos los usuarios accedan a la aplicación.
9. Revisa tus ajustes y haz clic en Siguiente para añadir la confianza de la parte confiable.
10. En la última pantalla, marca la casilla Abrir el cuadro de Editar Reglas de Reclamación y haz clic en Cerrar.

Paso 3: Configurar las reglas de reclamaciones en ADFS

Añadir reglas de reclamación

1. En el cuadro de Editar Reglas de Reclamación , haz clic en Añadir regla.
2. Selecciona Enviar Atributos LDAP como Reclamaciones como plantilla de regla y haz clic en Siguiente.
3. Proporciona un nombre para la regla de reclamación (por ejemplo, "Enviar atributos LDAP").
4. Configura lo siguiente:
   • Almacenamiento de atributos: Seleccione Active Directory.
   • Mapeo:
     • Atributo LDAP: Nombre-Principal-Usuario | Tipo de reclamación saliente: ID de nombre
     • Atributo LDAP: Direcciones de correo electrónico | Tipo de reclamación saliente: Direcciones de correo electrónico
     • Atributo LDAP: Nombre de visualización | Tipo de reclamación saliente: Nombre
5. Haz clic en Terminar para añadir la regla.
6. Haz clic en Aplicar para guardar tus cambios y cierra el diálogo.

Paso 4: Completar la configuración SSO en Document360

Configurar el proveedor de identidad en Document360

1. Vuelva a la pestaña Document360 que muestra la página Configurar el Proveedor de Servicios (SP) y haga clic en Siguiente para navegar a la página Configurar el Proveedor de Identidad (IdP ).

2. El campo Configurar una conexión existente te permite heredar una configuración SSO que ya tenga SCIM activado desde un proyecto padre. Al seleccionar esta opción, la configuración actual del SSO se convierte en hija y hereda automáticamente la configuración SCIM del proyecto principal.
3. Introduce los valores correspondientes de tu configuración ADFS usando el mapeo que aparece a continuación.

4. Descarga el Certificado X.509 de ADFS y súbelo al campo Certificado SAML en Document360.

5. Activa o desactiva la opción Permitir inicio de sesión IdP según las necesidades de tu proyecto.
6. Haz clic en Siguiente para acceder a la página de aprovisionamiento SCIM .

Paso 5: Configurar el aprovisionamiento SCIM

La provisión SCIM permite automatizar la gestión del ciclo de vida del usuario y del lector entre ADFS y Document360. Como ADFS no soporta SCIM de forma nativa, esto requiere una herramienta de terceros o una integración personalizada.

Si no necesitas aprovisionamiento SCIM, salta al Paso 6: Más ajustes.

Activar SCIM en Document360

1. Activa el interruptor Habilitar provisión SCIM .

2. Aparece un diálogo de confirmación. Revisa los términos, selecciona la casilla y haz clic en Aceptar.
3. A continuación, se mostrarán los parámetros necesarios para completar la configuración SCIM.

4. Introduce los parámetros requeridos desde Document360 en los campos correspondientes de tu aplicación personalizada.

Asignar roles y grupos por defecto en Document360

1. En el campo de rol por defecto , el rol está configurado como Contribuyente por defecto. Puedes cambiar esto desde el desplegable si es necesario.
2. En los campos de grupos de usuarios y grupos de lectores , selecciona los grupos que quieres añadir. Se pueden añadir varios grupos, y heredarán el rol predeterminado que seleccionaste antes.
3. Haz clic en Siguiente para navegar a la página de Más ajustes .

Paso 6: Más ajustes

Configurar el nombre del SSO y las opciones de inicio de sesión

1. En el campo de nombre de SSO , introduce un nombre para la configuración SSO.
2. En el botón Personalizar inicio de sesión, introduce el texto del botón de inicio de sesión que se muestra a los usuarios.
3. Asignación automática del grupo lector — esta opción solo está disponible para configuraciones SSO existentes. Para configuraciones SSO recién creadas, este interruptor no se mostrará porque SCIM provisiona automáticamente usuarios y grupos. Infártese más sobre el grupo de lectores de asignación automática.
4. Activa la desconexión del usuario SSO inactivo si es necesario, y cambia el programa según tus necesidades.

5. Haz clic en Crear para completar la configuración SAML SSO.

Gestión de usuarios en ADFS

Para ver los lectores añadidos a través de tu integración con ADFS:

1. En Document360, navega a Configuración () > Usuarios y permisos > Lectores y grupos.
2. Selecciona al lector para acceder a su perfil.

Los lectores provisionados mediante SCIM mostrarán una insignia SSO-SCIM junto a su nombre.

Gestionar el acceso al contenido de lectores, usuarios y grupos

El rol de contenido predeterminado asignado a cualquier nuevo usuario, lector o grupo se basa en lo que se configuró durante la configuración del aprovisionamiento SCIM. Los permisos se configurarán como Ninguno por defecto, pero pueden actualizarse en cualquier momento.

1. Selecciona el lector deseado y haz clic en Gestionar acceso al contenido.
2. Elige el nivel de acceso deseado en el desplegable y haz clic en Actualizar.

Mejores prácticas

• Exporta el certificado en Base-64 codificado (. CER). El formato codificado por DER por defecto de ADFS no es compatible con Document360. Siempre selecciona codificación Base-64 al exportar el certificado X.509.
• Utiliza una herramienta de terceros para SCIM. ADFS no soporta de forma nativa la provisión SCIM. Planifica tu enfoque de aprovisionamiento de usuarios antes de habilitar SCIM en Document360.
• Configura cuidadosamente las reglas de reclamación. Asegúrate de que los tres asignados de atributos LDAP (ID de nombre, direcciones de correo electrónico y nombre) estén configurados correctamente. Las reclamaciones faltantes o incorrectas provocarán fallos en la autenticación.
• Prueba primero con un solo usuario. Antes de desplegar SSO a todos los usuarios, prueba la configuración con un solo usuario para verificar que las reglas de reclamación, certificados y URLs funcionan correctamente.

Preguntas frecuentes