Ir a YuJa
  1. Centro de Ayuda de YuJa
  2. Sistema de respuesta de estudiantes Engage
  3. Integraciones de SSO

Integración de Engage con ADFS (SAML)

Avatar
YuJa
  • Actualización

Los administradores pueden configurar una conexión segura entre Engage y ADFS para autenticar a los usuarios que inician sesión en Engage. La configuración de Engage y ADFS permite a los usuarios autenticarse e iniciar sesión de forma segura.

Requisitos para la configuración de ADFS

La configuración de ADFS consta de tres pasos.

  1. Creación de una relación de confianza para usuario de confianza (RPT) con Engage.
  2. Adición de reglas de notificación para la RPT, de modo que las respuestas SAML contengan la información correcta sobre el usuario.
  3. Ajuste del algoritmo hash de la RPT. Esto garantiza que las 3 partes se completen para que la configuración se realice correctamente. 

Creación de una relación de confianza para usuario de confianza

Antes de comenzar, asegúrese de haber recibido de su administrador de cuenta la URL del servicio SSO SAML 2.0 del usuario de confianza. 

  1. En el servidor ADFS, abra la aplicación Administración de ADFS.
  2. En el panel izquierdo, en Relaciones de confianza, haga clic en Relaciones de confianza para usuario de confianza (RPT). 
  3. En la pestaña Acciones, haga clic en Agregar relación de confianza para usuario de confianza. 
    La carpeta Relaciones de confianza para usuario de confianza se muestra en ADFS con la opción Agregar relación de confianza para usuario de confianza resaltada.
  4. En la ventana del Asistente para agregar RPT, haga clic en Iniciar.
    El Asistente para agregar relación de confianza para usuario de confianza solicita al usuario que inicie el proceso completando varios pasos.
  5. Seleccione Escribir manualmente los datos sobre el usuario de confianza. 
  6. Haga clic en Siguiente.
    En el paso Seleccionar origen de datos, la opción Escribir manualmente los datos sobre el usuario de confianza está seleccionada y el botón Siguiente aparece resaltado.
  7. Ingrese un nombre para mostrar para la RPT (p. ej., "YuJa Engage") y haga clic en Siguiente.
    En el paso Especificar nombre para mostrar, se ingresa un nombre para mostrar y el botón Siguiente aparece resaltado.
  8. Seleccione Perfil de ADFS y haga clic en Siguiente.
    En el paso Elegir perfil, el perfil de ADFS está seleccionado y el botón Siguiente aparece resaltado.
  9. Haga clic en Siguiente. No cifre las notificaciones enviadas a YuJa.
    El botón Siguiente aparece resaltado en el paso Configurar certificado.
  10. Active la casilla de verificación Habilitar compatibilidad con el protocolo SAML 2.0 WebSSO.
  11. Ingrese la URL del servicio SSO SAML 2.0 del usuario de confianza que recibió de su administrador de cuenta y haga clic en Siguiente.
    En el paso Configurar URL, está seleccionada la opción Habilitar compatibilidad con el protocolo SAML 2.0 WebSSO y el botón Siguiente aparece resaltado.
  12. En el campo Identificador de relación de confianza, ingrese https://<YOUR_YUJA_ENGAGE_DOMAIN>.engage.yuja.com.
  13. Haga clic en Agregar > Siguiente. 
    En el paso Configurar identificadores, se muestra un identificador de relación de confianza agregado y el botón Siguiente aparece resaltado.
  14. Seleccione No deseo configurar los parámetros de autenticación multifactor para esta relación de confianza para usuario de confianza en este momento y haga clic en Siguiente.
    En el paso Configurar autenticación multifactor ahora, está seleccionada la opción No deseo configurar la autenticación multifactor y el botón Siguiente aparece resaltado.
  15. Seleccione Permitir a todos los usuarios el acceso a este usuario de confianza y haga clic en Siguiente.
    En el paso Elegir reglas de autorización de emisión, está seleccionada la opción Permitir a todos los usuarios el acceso al usuario de confianza y el botón Siguiente aparece resaltado.
  16. Revise la configuración para asegurarse de que todo sea correcto y haga clic en Siguiente.
    En el paso Listo para agregar la relación de confianza, el botón Siguiente aparece resaltado.
  17. Seleccione Abrir el cuadro de diálogo Editar reglas de notificación para esta relación de confianza para usuario de confianza al cerrar el asistente, y haga clic en Cerrar.
    En el paso Finalizar, la opción Abrir el cuadro de diálogo Editar reglas de notificación está marcada y el botón Siguiente aparece resaltado.

Adición de reglas de notificación

  1. Para crear o editar reglas de notificación, haga clic en la RPT. 
  2. En el panel del lado derecho, haga clic en Editar reglas de notificación.
    En la aplicación AD FS, está seleccionada la relación de confianza YuJa Engage.
  3. En la ventana Editar reglas de notificación para YuJa Engage , haga clic en Agregar regla.
    Se muestra la ventana Editar reglas de notificación con el botón Agregar regla resaltado.
  4. Seleccione Enviar atributos LDAP como notificaciones y haga clic en Siguiente.
    Enviar atributos LDAP como notificaciones está seleccionado en el menú desplegable y el botón Siguiente aparece resaltado.
  5. Ingrese un Nombre de regla de notificación (p. ej., YuJa Engage).
  6. Seleccione Active Directory como Almacén de atributos.

  7. Cree cuatro asignaciones de notificaciones como se muestra en la tabla siguiente y luego haga clic en Finalizar.
    Asignación de atributos LDAP a tipos de notificación salientes

    Atributo LDAP Tipo de notificación saliente
    Email-Addresses Dirección de correo electrónico
    Given-Name Nombre de pila
    Surname Apellido
    <Un atributo relacionado con el rol de un usuario (p. ej., ITManager)> Rol

    Los atributos LDAP se muestran en una tabla con los atributos LDAP y su tipo de notificación saliente.

  8. Para crear una segunda regla de notificación, haga clic en Agregar regla.
    La ventana Editar regla de notificación muestra el botón Agregar regla resaltado.
  9. Seleccione Transformar una notificación entrante y haga clic en Siguiente.
    Transformar una notificación entrante está seleccionado como plantilla de regla de notificación y el botón Siguiente aparece resaltado.
  10. Ingrese un nombre para la regla de notificación.
  11. En el campo desplegable Tipo de notificación entrante, seleccione Dirección de correo electrónico (si cada usuario del sistema ADFS tiene una dirección de correo electrónico asociada) o Nombre de pila.
  12. En el campo Tipo de notificación saliente, seleccione Id. de nombre.
  13. En el campo Formato de id. de nombre saliente, seleccione Correo electrónico. 
  14. Haga clic en Finalizar.
    La información de la regla de notificación está completa y el botón Finalizar aparece resaltado.
  15. Haga clic en Aceptar.
    El botón Aceptar aparece resaltado en la ventana Editar regla de notificación.

Ajuste del algoritmo hash 

  1. Haga doble clic en su RPT. 
    La relación de confianza de Engage está seleccionada en la aplicación AD FS.
  2. Seleccione la pestaña Avanzadas.
  3. En el campo desplegable Algoritmo hash seguro, seleccione SHA-1.
  4. Haga clic en Aceptar.
    La pestaña Avanzadas está seleccionada en las propiedades de YuJa Engage y SHA-1 está seleccionado en Algoritmo hash seguro.

Configuración de Engage

Después de ajustar toda la configuración en ADFS, podrá configurar los parámetros dentro de Engage.

  1. Inicie sesión en Engage como administrador de TI.
  2. En la barra de navegación lateral, seleccione Integraciones.
    Integraciones de Engage
  3. En el campo desplegable, seleccione SSO - ADFS [SAML].
    Integración SSO-ADFS de Engage
     

  4. Ingrese la información como se muestra para cada uno de los paneles de la integración: Detalles generales de SSO, Aprovisionamiento de usuarios, Asignación de roles e Integración cruzada con LTI. 
    Información de Engage que se debe ingresar para la integración

    Atributo ¿Obligatorio? Descripción
    Detalles generales de SSO 
    URL de SSO de ADFS  Sí

    La URL utilizada para el SSO. Aquí es donde YuJa Engage enviará los tokens AuthnRequest. Se encuentra en los metadatos del IDP como el atributo "Location". Nota: Para Engage se utiliza un enlace HTTP-Redirect.

    Ejemplo: "https:///adfs/ls/"
    Formato de ID de nombre Sí

    El formato que el SP y el IDP deben usar al comunicarse sobre un sujeto. Se encuentra en los metadatos del IDP como el valor de esa etiqueta. Nota: Si está disponible, se debe priorizar y utilizar la dirección de correo electrónico.

    Ejemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    URL de cierre de sesión remoto Actualmente no es compatible Deje este valor en blanco.
    Huella digital del certificado de firma de ADFS Sí

    La huella digital única del certificado del IDP se utiliza al firmar las respuestas SAML. La huella no se encuentra de forma explícita en los metadatos, pero el certificado se usa para firmar la SAMLResponse o la Assertion. Consulte Cómo obtener la huella digital de un certificado en la sección Herramientas adicionales de este documento para obtener más detalles.

    Ejemplo: 7j2mka9cfe2d09j23eefe01442f6a49d1222391
    URL de cierre de sesión Actualmente no es compatible Deje este valor en blanco.
    Aprovisionamiento de usuarios 
    Atributo de nombre de pila No

    El nombre del atributo de la respuesta SAML que describe el nombre de pila del usuario (es decir, el primer nombre). Se encuentra en los metadatos del IDP. Hay una sección en el archivo XML que debe contener una lista de etiquetas. Ingrese el valor de la clave "Name" correspondiente al nombre de pila.

    El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Atributo de apellido No

    El nombre del atributo de la respuesta SAML que describe el apellido del usuario (es decir, el apellido o los apellidos). Se encuentra en los metadatos del IDP. Hay una sección en el archivo XML que debe contener una lista de etiquetas. Ingrese el valor de la clave "Name" correspondiente al apellido.

    El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Atributo de correo electrónico No

    El nombre del atributo de la respuesta SAML que describe la dirección de correo electrónico del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo XML que debe contener una lista de etiquetas. Ingrese el valor de la clave "Name" correspondiente a la dirección de correo electrónico. 

    El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Atributo de rol No

    El nombre del atributo de la respuesta SAML que describe el rol del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo XML que debe contener una lista de etiquetas. Ingrese el valor de la clave "Name" correspondiente al rol.  

    El valor debe ser: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Asignación de roles
    Administrador de TI No

    Se puede usar una lista de valores separados por comas. Si el valor recibido en el Atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como administrador de TI.

    Ejemplo: IT Manager
    Instructor No 

    Se puede usar una lista de valores separados por comas. Si el valor recibido en el Atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como instructor.

    Ejemplo: Instructor, Teacher o TA
    Integración cruzada con LTI
    Atributo de vinculación No Un atributo único que vincula el SSO con el LMS. Esto permite que un usuario sea reconocido como un único usuario, sin importar si inicia sesión con su SSO o con el LMS (p. ej., atributo: correo electrónico)
  5. Haga clic en Guardar cambios. 
    Engage guardando los cambios de la integración

Herramientas adicionales

Cómo obtener la huella digital de un certificado

La huella digital del certificado del IDP se utiliza con fines de seguridad adicionales cuando el SP verifica una respuesta SAML del IDP. Para obtener la huella digital del certificado, siga las instrucciones a continuación:

  1. En los metadatos del IDP de Google, extraiga el certificado X509. Este debe estar ubicado en: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Una vez que tenga el certificado, vaya al siguiente sitio web: https://www.samltool.com/fingerprint.php.
  3. Pegue el certificado en el cuadro de texto “X509 cert”.
  4. Asegúrese de que “sha1” esté seleccionado como el algoritmo.
  5. Haga clic en “Calculate Fingerprint”.
  6. Copie el valor “FingerPrint” generado. Este es el valor que se utiliza en la base de datos. La huella digital debe ser un arreglo de 20 bytes para “sha1”.

Artículos relacionados

Comuníquese con soporte