ADFS com OpenID SSO

Os Serviços de Federação do Active Directory (ADFS) são o provedor de identidade local da Microsoft que permite identidade federada e login único entre aplicações. Com o OpenID Connect SSO configurado entre ADFS e Document360, seus usuários e leitores podem fazer login no Document360 usando suas credenciais existentes do Active Directory.

O que você pode fazer com o ADFS como seu IDP

Antes de começar

• Você tem acesso administrativo tanto ao Document360 quanto ao seu servidor ADFS.
• Você tem acesso de Proprietário ou Administrador no seu projeto Document360.
• Abra o Document360 e o ADFS em duas abas separadas antes de começar.

Como configurar o SDO do OpenID do ADFS no Document360

Passo 1: Adicionar a aplicação no ADFS

1. Faça login no console de gerenciamento do ADFS no seu servidor ADFS.
2. No console de gerenciamento do ADFS, navegue até Trusts de Partes Confiáveis.
3. Clique com o botão direito em Confianças Parte Confiável e selecione Adicionar Confiança Confiável.
4. No Assistente de Confiança de Parte Confiável, escolha Sinistros conscientes e clique em Iniciar.
5. Selecione Inserir dados sobre a parte confiável manualmente e clique em Próximo.
6. Forneça um nome de exibição (por exemplo, "Document360 OpenID SSO") e clique em Próximo.
7. Na etapa Configurar Certificado , clique em Próximo (você pode pular isso se não estiver usando um certificado).

Passo 2: Obtenha os parâmetros SP do Document360

1. Abra o Document360 em uma aba separada.
2. Navegue até Configurações () > Usuários e permissões > SSO Empresarial.
3. Clique em Criar SSO > OpenID Conectar.

4. Selecione o ADFS como seu provedor de identidade para navegar automaticamente até a etapa Configurar SP .

5. Na etapa Configurar SP , um conjunto de parâmetros será exibido.

Passo 3: Insira os parâmetros do Document360 no ADFS

1. Vá para a aba do console de gerenciamento do ADFS e insira os parâmetros do Document360 nos campos correspondentes na etapa Configurar URL usando o mapeamento abaixo.

2. Clique em Próximo e complete as etapas restantes do assistente, como configurar a autenticação multifator, se necessário, e permitir que todos os usuários acessem o aplicativo.
3. Revise suas configurações e clique em Próximo para adicionar a parte confiável.
4. Na tela final, marque a caixa Abrir o diálogo Editar Regras de Reivindicação e clique em Fechar.

Passo 4: Adicionar regras de reivindicação no ADFS

1. No diálogo Editar Regras de Reivindicação , clique em Adicionar Regra.
2. Selecione Enviar Atributos LDAP como Reivindicações como modelo de regra e clique em Próximo.
3. Forneça um nome para a regra de reivindicação (por exemplo, "Enviar Atributos LDAP").
4. Configure o seguinte:
   • Armazenamento de Atributos: Selecione Active Directory.
   • Mapeamento:
     • Atributo LDAP: Nome Principal do Usuário | Tipo de Reivindicação Saída: ID do Nome
     • Atributo LDAP: Endereços de E-mail | Tipo de Reivindicação de Saída: E-mail
     • Atributo LDAP: Nome de Exibição | Tipo de Reivindicação de Saída: Nome
5. Clique em Finalizar para adicionar a regra.
6. Clique em Aplicar para salvar suas alterações e feche o diálogo.

Passo 5: Configure o Provedor de Identidade no Document360

1. Retorne ao Document360 na etapa Configurar SP e clique em Próximo para navegar até a etapa Configurar IdP .
2. Insira os valores correspondentes da sua configuração ADFS usando o mapeamento abaixo.

3. No campo de escopo adicional (opcional), digite um valor de escopo e clique em + para adicioná-lo como um chip. Isso define quais informações de usuário ou permissões o Document360 solicita do ADFS. Você pode adicionar até 3 escopos.

4. Clique em Próximo para prosseguir para a etapa de provisionamento do SCIM .

Passo 6: Configurar o provisionamento SCIM

O provisionamento SCIM permite automatizar o gerenciamento do ciclo de vida do usuário e do leitor entre o ADFS e o Document360. Como o ADFS não suporta SCIM nativamente, isso requer uma ferramenta de terceiros ou uma integração personalizada.

Se você não precisar de provisionamento SCIM, pule para Configurar as opções de nome e login do SSO abaixo.

1. Ative a opção Ativar provisão SCIM .

2. Os parâmetros necessários para completar a configuração SCIM serão então exibidos.

3. Insira os parâmetros necessários do Document360 nos campos correspondentes do seu aplicativo personalizado.
4. No campo de função padrão , a função está definida como Contribuinte por padrão. Você pode mudar isso a partir do menu suspenso, se necessário.
5. Nos campos de grupos de usuários e grupos de leitores , selecione os grupos que deseja adicionar. Vários grupos podem ser adicionados, e eles herdarão o papel padrão que você selecionou anteriormente.
6. Clique em Próximo para continuar.

Configurar o nome do SSO e as opções de login

Configurar o nome do SSO e as opções de login

1. No campo do nome do SSO , insira um nome para a configuração do SSO.
2. No texto do botão de login, insira o texto para o botão de login exibido aos usuários.
3. Atribuição automática de grupo de leitor: Esta opção está disponível apenas para configurações SSO existentes. Para configurações de SSO recém-criadas, essa opção não será exibida, pois o SCIM automaticamente fornece usuários e grupos.
4. Ative o timeout SSO da sessão ociosa se necessário e defina a duração do tempo limite (HH:MM).
5. Escolha se convida contas de usuários e leitores existentes para o SSO.

6. Clique em Criar para completar a configuração do OpenID SSO.

A configuração SSO usando ADFS e o protocolo OpenID Connect agora está ativa no Document360.

Gerenciando usuários no ADFS

Para ver leitores adicionados pela sua integração ADFS:

1. No Document360, navegue até Configurações () > Usuários e permissões > Leitores e grupos.
2. Selecione o leitor para navegar até o perfil dele.

Leitores provisionados via SCIM exibirão um crachá SSO-SCIM ao lado do nome.

Gerenciar o acesso ao conteúdo de leitores, usuários e grupos

O papel padrão de conteúdo atribuído a qualquer novo usuário, leitor ou grupo é baseado no que foi configurado durante a configuração do provisionamento SCIM. As permissões serão definidas como Nenhuma por padrão, mas podem ser atualizadas a qualquer momento.

1. Selecione o leitor desejado e clique em Gerenciar Acesso ao Conteúdo.
2. Escolha o nível de acesso desejado no menu suspenso e clique em Atualizar.

Melhores práticas

• Verifique se o ID do Cliente corresponde ao Identificador da Parte Confiável. O ID do Cliente inserido no Document360 deve corresponder exatamente ao Identificador da Parte Confiável configurado no ADFS. Uma incompatibilidade causará falhas na autenticação.
• Use o tipo correto de reivindicação de saída para e-mail. Para o OpenID Connect ADFS, o tipo de reivindicação de saída para e-mail é E-mail, não Endereços de E-mail usados na configuração em SAML. Usar o tipo de reivindicação errado causará erros de identidade de usuário.
• Use uma ferramenta de terceiros para SCIM. O ADFS não suporta provisionamento SCIM nativamente. Planeje sua abordagem de provisionamento do usuário antes de ativar o SCIM no Document360.
• Gire os segredos do cliente antes do vencimento. O segredo do cliente configurado no ADFS tem data de expiração. Quando expirar, a autenticação SSO falhará. Monitore o vencimento e rotative os segredos com antecedência.

FAQ