SSO entre OCI y ADFS
En este tutorial, configure SSO entre OCI IAM y ADFS, utilizando ADFS como proveedor de identidad (IdP).
En este tutorial de 30 minutos se muestra cómo integrar OCI IAM, que actúa como proveedor de servicios (SP), con ADFS, que actúa como IdP. Al configurar la federación entre ADFS y OCI IAM, permite el acceso de los usuarios a los servicios y las aplicaciones de OCI mediante credenciales de usuario que ADFS autentica.
En este tutorial se trata la configuración de ADFS como IdP para OCI IAM.
OCI IAM proporciona integración con SAML 2.0 IdPs. Esta integración:
- Funciona con soluciones de conexión única (SSO) federadas que son compatibles con SAML 2.0 como IdP, como ADFS.
- Permite a los usuarios conectarse a OCI mediante sus credenciales de ADFS.
- Permite a los usuarios conectarse a las aplicaciones finales.
- En primer lugar, descargue los metadatos del dominio de identidad de OCI IAM.
- En los siguientes pasos, creará y configurará una parte de confianza en ADFS.
- En ADFS, configure la conexión única con OCI IAM utilizando los metadatos.
- En ADFS, edite los atributos y las reclamaciones para que el nombre de correo electrónico se utilice como identificador para los usuarios.
- En ADFS, agregue un usuario a la aplicación.
- Para los siguientes pasos, debe volver al dominio de identidad para finalizar la instalación y la configuración. En OCI IAM, actualice la política IdP por defecto para agregar ADFS.
- Pruebe que la autenticación federada funciona entre OCI IAM y ADFS.
Este tutorial es específico de IAM con dominios de identidad.
Para realizar este tutorial, debe tener lo siguiente:
- Una cuenta de pago de Oracle Cloud Infrastructure (OCI) o una cuenta de prueba de OCI. Consulte Cuenta gratuita de Oracle Cloud Infrastructure.
- Rol de administrador de dominio de identidad para el dominio de identidad de OCI IAM. Consulte Understanding Administrator Roles.
- Una instalación de ADFS local. Nota
En este tutorial se describe el uso del software ADFS proporcionado con Microsoft Windows Server 2016 R2. - Además, debe verificar que existe el mismo usuario en OCI y ADFS y que ADFS está funcionando.
Asegúrese de que exista un usuario con la misma dirección de correo electrónico en ambos sistemas.
Para que el inicio de sesión único de SAML funcione entre ADFS y OCI IAM, debe haber un usuario con la misma dirección de correo electrónico tanto en el dominio de Microsoft Active Directory como en el dominio de identidad de OCI IAM. En esta tarea, confirma que ese usuario existe en ambos sistemas.
- Abra la utilidad Usuarios y computadoras de Microsoft Active Directory. En el servidor de Windows 2016, haga clic en Administrador del servidor, a continuación, en Herramientas y, por último, en Usuarios y equipos de Active Directory.
-
En la carpeta Empleados, haga doble clic en el usuario que desea utilizar. Anote la dirección de correo electrónico del usuario.
ADFS USER(adfsuser01@gmail.com)
Nota
Si más de un usuario del dominio de OCI IAM tiene la misma dirección de correo electrónico, el inicio de sesión único de SAML falla porque es imposible determinar qué usuario se va a conectar.
- La dirección de correo electrónico del usuario se utiliza para enlazar el usuario conectado a ADFS con la misma entrada de usuario en OCI IAM.
- Si no tiene un usuario de ADFS para probar la conexión, puede crear uno.
- En un explorador, introduzca la URL de la consola para acceder a la consola de OCI IAM:
- Introduzca su Nombre de cuenta en la nube, también conocido como el nombre de arrendamiento, y haga clic en Siguiente.
- Inicie sesión con su nombre de usuario y contraseña.
- Seleccione el dominio que va a utilizar.
- Haga clic en Usuarios.
- En el campo de búsqueda, introduzca la dirección de correo electrónico que registró desde Microsoft Active Directory.
- En los resultados de búsqueda, confirme que existe un usuario con la misma dirección de correo electrónico que el usuario en Microsoft Active Directory.Nota
Si el usuario no existe en OCI IAM, haga clic en Agregar y cree el usuario con la misma dirección de correo electrónico que en Microsoft Active Directory.
Verifique que ADFS se está ejecutando y que puede comprobar correctamente que el usuario se ha conectado.
- En el explorador, conéctese a ADFS mediante la URL:
dondehttps://adfs.example.com/adfs/ls/IdpInitiatedSignOnPage
adfs.example.com
es el nombre de host de ADFS. - Si es necesario, seleccione Conectar a este sitio. Haga clic en Conectar.
- Introduzca las credenciales de Microsoft Active Directory para un usuario que existe en ADFS y OCI IAM (en este ejemplo,
adfsuser01
) y haga clic en Conectar. - Verá el mensaje
You are signed in
.
- En el explorador, conéctese a ADFS mediante la URL:
dondehttps://adfs.example.com/FederationMetadata/2007-06/FederationMetadata.xml
adfs.example.com
es el nombre de host de ADFS. - Guarde el archivo
FederationMetadata.xml
. Utilizará este archivo para registrar ADFS con OCI IAM. - En la consola de OCI, navegue hasta el dominio en el que desea trabajar. Puede que necesite cambiar el compartimento para buscar el dominio que desee. Haga clic en Seguridad y, a continuación, en Proveedores de identidad.
- Haga clic en Agregar IdP y, a continuación, en Agregar IDP de SAML.
- Introduzca un nombre para el SAML IdP, por ejemplo
ADFS_IdP
. Haga clic en Siguiente. - Haga clic en Introducir metadatos IdP.
- Descargue los metadatos del proveedor de servicios (SP) de OCI IAM haciendo clic en Exportar metadatos de SAML.
- En la página Exportar metadatos de SAML en Metadatos con certificados autofirmados, haga clic en Descargar XML.Nota
Utilice metadatos con certificados autofirmados cuando el proveedor de identidad realice comprobaciones de CRL u OCSP en certificados emitidos por una CA. En este tutorial, ADFS lo hace durante la validación de la ruta de acceso del certificado. - Guarde el archivo en una ubicación adecuada.
- Transfiera el archivo
Metadata.xml
al servidor de Windows donde se gestiona ADFS. Utilizará este archivo para registrar el dominio de OCI IAM con ADFS.
- En la página Exportar metadatos de SAML en Metadatos con certificados autofirmados, haga clic en Descargar XML.
- Cierre la página de exportación de metadatos de SAML.
- Haga clic en Importar metadatos IdP y, a continuación, haga clic en Cargar. Seleccione el archivo
FederationMetadata.xml
que ha guardado anteriormente desde ADFS, haga clic en Abrir y, a continuación, haga clic en Siguiente. - En Asignar identidad de usuario, defina lo siguiente
- En Formato NameID solicitado, seleccione
Email address
. - En Atributo de usuario de proveedor de identidad, seleccione
SAML assertion Name ID
. - En Atributo de usuario de dominio de identidad, seleccione
Primary email address
.
- En Formato NameID solicitado, seleccione
- Haga clic en Siguiente.
- En Review and Create, verifique las configuraciones y haga clic en Create IdP.
- Haga clic en Activar.
- Haga clic en Agregar a IdP Regla de política. La adición de ADFS IdP a una política IdP permite que se muestre en la pantalla de conexión de OCI IAM.
-
Haga clic en Política de proveedor de identidad por defecto para abrirla y, a continuación, haga clic en el de la regla y haga clic en Editar regla IdP.
-
Haga clic en Asignar proveedores de identidad y, a continuación, en ADFS_IdP para agregarlo a la lista.
- Haga clic en Guardar Cambios.
Ahora, ADFS está registrado como proveedor de identidad en OCI IAM.
A continuación, registre OCI IAM como parte de confianza en ADFS.
En primer lugar, registre OCI IAM como parte de confianza con ADFS. A continuación, configure reglas de reclamación para OCI IAM como parte de confianza.
Registrar el usuario de confianza
- Abra la utilidad de gestión de ADFS. Por ejemplo, en la utilidad Server Manager de Windows 2016, haga clic en Herramientas y, a continuación, en Microsoft Active Directory Federation Services Management.
- Haga clic en Acción y, a continuación, en Agregar confianza de parte de confianza.
-
En la ventana del Asistente de Adición de Confianza de Usuario de Confianza, haga clic en Iniciar.
-
Seleccione Importar datos sobre la parte de confianza de un archivo y, a continuación, haga clic en Examinar.
- Seleccione
Metadata.xml
que ha descargado anteriormente de OCI IAM y haga clic en Siguiente. -
Introduzca un nombre mostrado, por ejemplo
OCI IAM
, y, opcionalmente, introduzca una descripción en Notas. Haga clic en Siguiente. -
Continúe con las opciones por defecto hasta que alcance el paso Finalizar y, a continuación, haga clic en Cerrar. Se abre la ventana Editar reglas de reclamación.
Configurar reglas de reclamación
Las reglas de reclamación definen la información sobre un usuario conectado enviado desde ADFS a OCI IAM después de una autenticación correcta. Aquí puede definir dos reglas de reclamación para que OCI IAM actúe como parte de confianza:
- Correo electrónico: esta regla indica que la dirección de correo electrónico del usuario se envía a OCI IAM en la afirmación de SAML.
- ID de nombre: esta regla indica que el resultado de la regla de correo electrónico se envía a OCI IAM en el elemento
NameID
de asunto de la afirmación de SAML.
- En la ventana Editar reglas de notificación, haga clic en Agregar regla.
- Seleccione Transformar una notificación entrante como plantilla de regla de notificación y, a continuación, haga clic en Siguiente.
- En la página Seleccionar tipo de regla, proporcione la siguiente información para la regla de correo electrónico:
- Nombre de regla de reclamación:
Email
- Almacén de atributos:
Active Directory
- Asignación de atributos LDAP a tipos de reclamación salientes:
- Atributo LDAP:
E-Mail-Addresses
- Tipo de reclamación saliente:
E-Mail Address
- Atributo LDAP:
- Nombre de regla de reclamación:
- Haga clic en Terminar.
- En la ventana Editar reglas de notificación, haga clic en Agregar regla para agregar la segunda regla de notificación.
- Seleccione Enviar atributos LDAP como reclamaciones como plantilla de regla de reclamación y, a continuación, haga clic en Siguiente.
- En la página Seleccionar tipo de regla, proporcione la siguiente información para la regla de ID de nombre:
- Nombre de regla de notificación:
Name ID
- Tipo de reclamación entrante:
E-Mail Address
- Tipo de notificación saliente:
Name ID
- Formato de ID de nombre saliente:
Email
- Nombre de regla de notificación:
- Haga clic en Terminar.
- En la ventana Editar reglas de reclamación para Oracle Cloud, compruebe que se han creado las reglas de correo electrónico e ID de nombre.
Ahora, ADFS y OCI IAM tienen suficiente información para establecer SSO y puede probar la integración.
En esta tarea, probará la autenticación entre OCI IAM y ADFS. Si la autenticación se realiza correctamente, active el proveedor de identidad para los usuarios finales.
- Reinicie el explorador e introduzca la URL de la consola para acceder a la consola de OCI IAM:
- Introduzca el Nombre de cuenta en la nube, también conocido como el nombre del arrendamiento, y haga clic en Siguiente.
- Inicie sesión con su nombre de usuario y contraseña.
- Seleccione el dominio para el que ha configurado ADFS IdP.
- Haga clic en Security y, a continuación, en Identity Providers.
- Haga clic en la entrada IdP de ADFS.
- En la página de detalles de IdP, haga clic en Más acciones y, a continuación, en Probar conexión.
- Desplácese hasta la parte inferior y haga clic en Test Login (Probar inicio de sesión).
- En la página de conexión de ADFS, conéctese con un usuario que exista en ADFS y OCI IAM.
- Verá el mensaje de confirmación La conexión se ha realizado correctamente.
¡Enhorabuena! Ha configurado correctamente la conexión única entre ADFS y OCI IAM.
Para obtener más información sobre el desarrollo con productos Oracle, consulte estos sitios: