1. Início
  2. ...
  3. Federated Login
  4. SAML 2.0

SAML 2.0

Estabeleça conexões com SAML 2.0

É possível estabelecer conexão via SAML com um provedor de identidade para que usuários possam logar nos produtos Sensedia utilizando as credenciais desse provedor. É necessário que o provedor escolhido suporte o padrão SAML 2.0.

NOTA
  • Não é possível gerar Client Credentials utilizando logins federados.
  • Cada ambiente permite apenas um provedor de login federado ativo por vez. Caso já exista um provedor com status Active, não será possível ativar ou criar outro provedor. Para configurar um novo provedor, primeiro desative o provedor ativo. Após a alteração do status, a criação ou ativação de outro provedor será permitida.
WARNING

Ao excluir um provedor de login federado:

  • Usuários originalmente locais no Access Control recuperam o acesso via login e senha, após redefinição de senha.
  • Usuários criados exclusivamente via login federado, que nunca foram usuários locais, são permanentemente excluídos, de forma automática e sem aviso prévio. Não é possível recuperar esses dados após a exclusão.
IMPORTANTE

Vinculação de usuários existentes: para evitar a criação de usuários duplicados, recomenda-se que o atributo sub seja enviado na SAML Response e esteja mapeado ao identificador de login do usuário no IdP (por exemplo, o e-mail). A ausência desse atributo pode impedir a correta associação com usuários já existentes na plataforma, resultando na criação de um novo usuário sem os papéis, permissões e relacionamentos previamente configurados.

Configurando uma conexão via SAML 2.0

A configuração de uma conexão com um provedor de identidade envolve os seguintes elementos:

  • Name: nome do seu provedor SAML.
  • Enable IdP sign out flow: Habilitar desconexão do IdP. Se quiser que, ao deslogar, o usuário também seja deslogado do provedor de identidade SAML, selecione esta opção e configure seu IdP com as informações apresentadas nos dois campos que serão exibidos:
    • Logout URL (URL de desconexão da integração) e
    • Signing certificate.
  • Callback URL: a URL para a qual seu provedor de identidade deve retornar o usuário após a autenticação;
  • SP Entity ID: é como o seu provedor vai identificar a sua entidade. Configure seu provedor de identidade com esta URN.
  • Metadata URL: endereço para acesso aos metadados. Verifique a documentação do seu provedor de identidade para localizar a URL de metadados e a informe neste campo.
  • Role: selecione o papel a ser aplicado com este acesso.
NOTA

Se houver papéis configurados do lado do seu provedor de identidade, eles prevalecerão sobre este.

IMPORTANTE

Mapeamento do atributo sub (recomendado): recomenda-se configurar no provedor de identidade (IdP) o mapeamento do atributo sub, vinculando-o ao identificador de login do usuário (por exemplo, o e-mail). Esse atributo deve ser enviado na SAML Response.

Caso esse mapeamento não seja realizado, poderá ocorrer falha na vinculação entre usuários já existentes e usuários autenticados via SAML, resultando na criação de um novo usuário sem os mesmos papéis, permissões e relacionamentos previamente configurados.

Os campos são explicados no vídeo abaixo:

Vídeo explicativo sobre configuração SAML 2.0

Editando ou excluindo uma conexão via SAML 2.0

Enquanto ativa, a conexão com o provedor de identidade pode ser atualizada a qualquer momento. Para isso, clique em qualquer campo que deseja editar, faça as devidas modificações e clique em UPDATE.

Para deletar uma conexão, clique no botão Delete Login.

WARNING
  • Ao clicar em Delete Login, o provedor de login federado é excluído. Usuários originalmente locais no Access Control recuperam o acesso via login e senha após redefinição de senha; usuários criados exclusivamente via login federado são permanentemente excluídos. Veja os detalhes no início desta página.
  • Para restabelecer a conexão, siga novamente os passos acima (Configurando uma conexão via SAML 2.0).
  • Clicar em Delete Login não altera as suas configurações com o seu provedor de identidade.

Login e controle de usuários

Ao contrário do que acontecia com o login pela Plataforma Sensedia, agora o login com usuário e senha continua sendo possível mesmo após a configuração do SAML 2.0.

Um usuário poderá logar nos produtos Sensedia tanto via SAML como separadamente.

Configurando uma aplicação do API Manager em seu provedor de identidade

Para habilitar uma conexão SAML 2.0, é preciso que uma aplicação do API Manager esteja cadastrada no seu provedor de identidade.

Veja abaixo alguns exemplos de configuração usando:

NOTA

Consulte a documentação oficial do seu provedor para obter mais ajuda com as configurações necessárias.

Exemplo de configuração usando Okta

A conexão via SAML 2.0 pode ser feita com o provedor de acesso da sua escolha. Existem diversos provedores, um deles é o Okta. Para configurá-lo, siga os passos listados a seguir.

Crie uma conta no Okta

Se já não possuir, crie uma conta no Okta. Acesse pelo link: https://developer.okta.com/signup/

Crie um app do tipo SAML 2.0

Para isso, clique em Applications > Applications e no botão Create App Integration, como mostra a figura abaixo.

localização do menu Applications dentro de Applications e o botão Create App Integration

Em seguida, na tela modal que se abrirá, selecione a opção SAML 2.0 e clique em Next

localização da opção SAML 2.0

Configure o app

Configure o app, especificando um nome para o login federado, ícone ou logo (opcional) e opções de visibilidade. Em seguida, clique em Next.

Preencha os campos de configuração

Na tela seguinte, preencha os campos:

  • Single sign on URL: URL de callback, que tem como base o endereço do seu API Manager: <MANAGER-URL>/api-manager/api/v3/saml/callback
  • Audience URI (SP Entity ID): o valor informado neste campo será utilizado no API Manager como "application ID"
  • Default RelayState: campo de preenchimento não obrigatório
  • Name ID format: selecione EmailAddress

Configuração SAML no Okta

Mais abaixo, em Attribute Statements, preencha:

  • Name: email

  • Format: Basic

  • Value: user.email

  • Name: name

  • Format: Basic

  • Value: user.firstName

  • Name: sub

  • Format: Basic

  • Value: user.email

Configuração de atributos

IMPORTANTE

Recomenda-se incluir o atributo sub mapeado ao identificador do usuário (como o e-mail) para evitar a duplicação de usuários no Access Control.

Em seguida, clique em NEXT para finalizar o cadastro.

Exporte o metadata

Na tela que aparece ao clicar em NEXT, exporte o metadata clicando em "Identity Provider metadata is available if this application supports dynamic configuration", identificado na imagem a seguir.

(Caso a tela não apareça, entre novamente em Applications > Applications e clique no nome da aplicação que você acabou de criar. Na tela seguinte, clique na aba Sign On. Você deverá ver a tela abaixo)

seta indicando a localização de Identity Provider metadata

A tela que abrir vai mostrar o conteúdo, que pode ser salvo como metadata.xml. Anote a URL. Ela será usada para configurar o API Manager.

Vincule o usuário do Okta ao app criado

Para isso, clique na aba Assignments e, em seguida, clique em Assign > Assign to People, como ilustra a imagem abaixo.

passos para vincular usuário ao app

Na tela que abrir, clique em Assign, ao lado do seu nome e e-mail, como ilustra a imagem abaixo.

localização de Assign

Na tela seguinte, clique no botão Save and Go Back.

NOTA

É necessário que o usuário esteja vinculado ao app criado para que ele consiga fazer o login.

Configure o API Manager

Após ter configurado o Okta, entre no seu API Manager.

Volte ao início desta página para mais detalhes sobre a configuração de uma integração no API Manager. Em resumo, em Access Control > Integrations, preencha os campos:

  • Name: nome que você cadastrou no passo 3
  • SP Entity ID: nome informado como Audience URI no passo 4
  • Metadata URL: coloque a URL que você obteve no passo 5

Clique em CONNECT

Exemplo de configuração usando Azure AD

Para configurar o Azure AD como provedor de identidade, siga estes passos:

Crie um Client

Configure o SAML

Anote a Metadata URL para configurar a sua plataforma Sensedia

1. Crie um Client

Acesse o Microsoft Entra ID

Acesse a sua conta no Microsoft Azure e clique em Microsoft Entra ID.

localização do Microsoft Entra ID

Acesse Aplicativos Empresariais

Clique em Aplicativos Empresariais.

localização do Aplicativos Empresariais

Crie um novo aplicativo

Se você já tiver um aplicativo criado para o API Manager, vá para o passo 2 - Configure o SAML. Caso contrário, clique em Novo aplicativo.

localização do botão Criar seu próprio aplicativo

Crie seu próprio aplicativo

Clique em Criar seu próprio aplicativo.

localização do botão Criar seu próprio aplicativo

Configure o aplicativo

Informe:

  • O nome que você quer dar ao seu aplicativo
  • A finalidade de uso do seu aplicativo: selecione "Integrar qualquer outro aplicativo que você não encontre na galeria"

localização do botão Criar seu próprio aplicativo

Finalize a criação

Clique em Criar.

Você verá as propriedades do seu aplicativo, incluindo seu ID e o ID do objeto.

propriedades do aplicativo, incluindo ID e ID do objeto

2. Configure o SAML

Configure logon único

Após a criação do aplicativo, ainda na tela de Visão geral, clique em Configurar logon único.

localização do botão Configurar logon único

Selecione SAML

Clique em SAML.

localização do botão SAML

Edite a configuração básica de SAML

Se estiver configurando pela primeira vez, a tela Configurar o Logon Único com SAML aparecerá como a imagem abaixo. Clique em Editar na sessão "Configuração Básica de SAML".

localização do botão Editar na sessão Configuração Básica de SAML

Preencha os campos obrigatórios

Preencha os campos:

  • Identificador (ID da Entidade): Informar o SP Entity ID
  • URL de Resposta (URL do Serviço do Consumidor de Declaração): Informar o Callback URL

identificator e url

NOTA

O Identificador e URL de resposta podem ser obtidos em:

  • Access Control Settings > Federated Login

Federated Login

  • Clique em SAML2 e no botão CONFIGURE FEDERATED LOGIN (o botão ficará habilitado quando você clicar em SAML2)

localização do menu SAML2

localização do botão CONFIGURE FEDERATED LOGIN

Salve as configurações

Clique em SAVE para salvar as configurações.

localização do botão Salvar

Edite atributos e declarações

Clique em Editar na seção "Atributos e Declarações".

IMPORTANTE

A Azure pode nomear o atributo de e-mail como emailaddress por padrão. Certifique-se de que o campo Nome desse atributo seja email, que é o nome esperado pela aplicação. Caso contrário, o login federado poderá falhar.

localização do botão Editar na seção Atributos e Declarações

Remova atributos desnecessários

Ao lado de user.givenname e user.surname, clique nos ... e em Excluir para removê-los e, em seguida, clique em OK para confirmar.

remoção de givenname e surname

Após remover user.givenname e user.surname, deverão ficar apenas os campos email, name e Identificador Exclusivo do Usuário.

IMPORTANTE

Recomenda-se garantir que o identificador enviado (ou um atributo adicional sub) represente de forma única o login do usuário (por exemplo, o e-mail). Esse valor será utilizado para a vinculação com usuários já existentes na plataforma.

Limpe os namespaces

O Namespace dos campos que serão mantidos, virá preenchido. Limpe esse campo.

Por exemplo, o Namespace do campo email vem assim:

localização do campo email com o namespace preenchido

e deverá ficar assim:

localização do campo email sem o namespace preenchido

Apague o conteúdo do campo Namespace para os três: email, name e Identificador Exclusivo do Usuário.

3. Anote a Metadata URL

Copie a URL de metadados

Na seção "Certificados SAML", copie o conteúdo do campo URL de metadados de federação de aplicativos.

localização do campo URL de metadados de federação de aplicativos

Configure seu Sensedia Platform

Configure seu Sensedia Platform, seguindo os passos abaixo. Se necessário, volte ao início desta página para mais detalhes sobre a configuração de uma integração no API Manager.

  • Entre em Access Control Settings > Federated Login

Federated Login

  • Clique em SAML2 e no botão CONFIGURE FEDERATED LOGIN (o botão ficará habilitado quando você clicar em SAML2)

localização do menu SAML2

Preencha os campos:

  • Name: informe o mesmo nome dado ao criar um client
  • Metadata URL: coloque a URL que acabamos de copiar de "Certificados SAML"
  • Role: papel padrão que será atribuído aos usuários quando logarem através da integração

localização dos campos

  • Clique em CREATE

Quão satisfeito você está com esta página?

GSuite
Federated Login

Nosso site utiliza cookies para habilitar funcionalidades essenciais de avaliação e notificações. Não utilizamos cookies de rastreamento para publicidade ou análise de terceiros.Saiba mais