ADFS com SAML SSO

Os Serviços de Federação do Active Directory (ADFS) são o provedor de identidade local da Microsoft que permite identidade federada e login único entre aplicações. Com o SSO SAML configurado entre ADFS e Document360, seus membros de equipe e leitores podem fazer login no Document360 usando suas credenciais existentes do Active Directory.

O que você pode fazer com o ADFS como seu IDP

Antes de começar

• Você tem acesso administrativo tanto ao Document360 quanto ao seu servidor ADFS.
• Você tem acesso de Proprietário ou Administrador no seu projeto Document360.
• Abra o Document360 e o ADFS em duas abas separadas do navegador. Você precisará alternar entre elas várias vezes durante a configuração.

Passo 1: Crie um Trust de Parte Confiável no ADFS

Adicionar a aplicação no ADFS

1. Faça login no console de gerenciamento do ADFS no seu servidor ADFS.
2. No console de gerenciamento do ADFS, navegue até Trusts de Partes Confiáveis.
3. Clique com o botão direito em Confianças Parte Confiável e selecione Adicionar Confiança Confiável.
4. No Assistente de Confiança de Parte Confiável, escolha Sinistros conscientes e clique em Iniciar.
5. Selecione Inserir dados sobre a parte confiável manualmente e clique em Próximo.
6. Forneça um nome de exibição (por exemplo, "Document360 SAML SSO") e clique em Próximo.
7. Na etapa Configurar Certificado , clique em Próximo (você pode pular isso se não estiver usando um certificado).
8. Em Configurar URL, selecione Habilitar suporte ao protocolo SAML 2.0 Web SSO.

Passo 2: Configure o ADFS com os parâmetros do Document360 Service Provider

Obtenha os parâmetros SP no Document360

1. Abra o Document360 em uma aba separada.
2. Navegue até Configurações () > Usuários e permissões > SSO Empresarial.
3. Clique em Criar SSO.

4. Selecione o ADFS como seu Provedor de Identidade (IdP) para navegar automaticamente até a etapa Configurar SP .

5. Na etapa Configurar SP , um conjunto de parâmetros será exibido para completar a configuração SAML no ADFS.

Insira os parâmetros do Document360 no ADFS

Insira os parâmetros do Document360 nos campos correspondentes nas etapas Configurar URL e Identificadores no ADFS usando o mapeamento abaixo.

8. Clique em Próximo e complete as etapas restantes do assistente, como configurar a autenticação multifator, se necessário, e permitir que todos os usuários acessem o aplicativo.
9. Revise suas configurações e clique em Próximo para adicionar a parte confiável.
10. Na tela final, marque a caixa Abrir o diálogo Editar Regras de Reivindicação e clique em Fechar.

Passo 3: Configurar regras de reivindicação no ADFS

Adicionar regras de reivindicação

1. No diálogo Editar Regras de Reivindicação , clique em Adicionar Regra.
2. Selecione Enviar Atributos LDAP como Reivindicações como modelo de regra e clique em Próximo.
3. Forneça um nome para a regra de reivindicação (por exemplo, "Enviar Atributos LDAP").
4. Configure o seguinte:
   • Armazenamento de Atributos: Selecione Active Directory.
   • Mapeamento:
     • Atributo LDAP: Nome Principal do Usuário | Tipo de Reivindicação Saída: ID do Nome
     • Atributo LDAP: Endereços de E-mail | Tipo de Reivindicação de Saída: Endereços de E-mail
     • Atributo LDAP: Nome de Exibição | Tipo de Reivindicação de Saída: Nome
5. Clique em Finalizar para adicionar a regra.
6. Clique em Aplicar para salvar suas alterações e feche o diálogo.

Passo 4: Complete a configuração do SSO no Document360

Configure o Provedor de Identidade no Document360

1. Volte à aba Document360 que exibe a etapa Configurar SP e clique em Próximo para navegar até a etapa Configurar IdP .

2. O campo Configurar uma conexão existente permite que você herde uma configuração SSO que já tenha SCIM ativado de um projeto pai. Ao selecionar essa opção, a configuração atual do SSO se torna o filho e herda automaticamente as configurações SCIM do projeto pai.
3. Insira os valores correspondentes da sua configuração ADFS usando o mapeamento abaixo.

4. Baixe o Certificado X.509 do ADFS e faça o upload no campo Certificado SAML no Document360.

5. Ative ou desative a opção Permitir login iniciado por idP conforme as necessidades do seu projeto.
6. Clique em Próximo para prosseguir para a etapa de provisionamento do SCIM .

Passo 5: Configurar o provisionamento SCIM

O provisionamento SCIM permite automatizar o gerenciamento do ciclo de vida do usuário e do leitor entre o ADFS e o Document360. Como o ADFS não suporta SCIM nativamente, isso requer uma ferramenta de terceiros ou uma integração personalizada.

Se você não precisar de provisionamento SCIM, pule para Configurar as opções de nome e login do SSO abaixo.

Ative o SCIM no Document360

1. Ative a opção Ativar provisão SCIM .

2. Um diálogo de confirmação aparece. Revise os termos, selecione a caixa de seleção e clique em Concordar.
3. Os parâmetros necessários para completar a configuração SCIM serão então exibidos.

4. Insira os parâmetros necessários do Document360 nos campos correspondentes do seu aplicativo personalizado.

Atribuir função padrão e grupos no Document360

1. No campo de função padrão , a função está definida como Contribuinte por padrão. Você pode mudar isso a partir do menu suspenso, se necessário.
2. Nos campos de grupos de usuários e grupos de leitores , selecione os grupos que deseja adicionar. Vários grupos podem ser adicionados, e eles herdarão o papel padrão que você selecionou anteriormente.
3. Clique em Próximo para continuar.

Configurar o nome do SSO e as opções de login

1. No campo do nome do SSO , insira um nome para a configuração do SSO.
2. No texto do botão de login, insira o texto para o botão de login exibido aos usuários.
3. Atribuir automaticamente grupo de leitores — essa opção está disponível apenas para configurações SSO existentes. Para configurações de SSO recém-criadas, essa opção não será exibida, pois o SCIM fornece automaticamente usuários e grupos. Saiba mais sobre o grupo de leitores de atribuição automática.
4. Ative o timeout SSO da sessão ociosa se necessário e defina a duração do tempo limite (HH:MM).

5. Clique em Criar para completar a configuração SAML SSO.

Gerenciando usuários no ADFS

Para ver leitores adicionados pela sua integração ADFS:

1. No Document360, navegue até Configurações () > Usuários e permissões > Leitores & grupos.
2. Selecione o leitor para navegar até o perfil dele.

Leitores provisionados via SCIM exibirão um crachá SSO-SCIM ao lado do nome.

Gerenciar o acesso ao conteúdo de leitores, usuários e grupos

O papel padrão de conteúdo atribuído a qualquer novo usuário, leitor ou grupo é baseado no que foi configurado durante a configuração do provisionamento SCIM. As permissões serão definidas como Nenhuma por padrão, mas podem ser atualizadas a qualquer momento.

1. Selecione o leitor desejado e clique em Gerenciar Acesso ao Conteúdo.
2. Escolha o nível de acesso desejado no menu suspenso e clique em Atualizar.

Melhores práticas

• Exporte o certificado no formato codificado Base-64 (. CER). O formato padrão codificado em DER do ADFS não é suportado pelo Document360. Sempre selecione codificação Base-64 ao exportar o certificado X.509.
• Use uma ferramenta de terceiros para SCIM. O ADFS não suporta provisionamento SCIM nativamente. Planeje sua abordagem de provisionamento do usuário antes de ativar o SCIM no Document360.
• Configure cuidadosamente as regras de reivindicação. Garanta que os três mapeamentos de atributos LDAP (ID do Nome, Endereços de E-mail e Nome) estejam configurados corretamente. Reivindicações ausentes ou incorretas causarão falhas na autenticação.
• Teste primeiro com um único usuário. Antes de implantar o SSO para todos os usuários, teste a configuração com um usuário para verificar se as regras de reivindicação, certificados e URLs estão funcionando corretamente.

FAQ