Ir a YuJa
  1. Centro de Ayuda de YuJa
  2. Plataforma de accesibilidad LMS Panorama
  3. Plataforma de administración

Integración de Panorama con ADFS (SAML)

Avatar
YuJa
  • Actualización

Los administradores pueden configurar una conexión segura entre Panorama y ADFS para autenticar a los usuarios que inician sesión en Panorama. Para autenticar e iniciar sesión de usuarios de forma segura, asegúrese de que Panorama y ADFS se hayan configurado siguiendo los pasos a continuación.  

Qué se requiere para la configuración de ADFS

La configuración de ADFS requiere que tenga una URL personalizada de Panorama (ejemplo: hudsonu.panorama.yuja.com). Si no tiene una, comuníquese con su gerente de cuenta

Creación de una relación de confianza de usuario autenticado

Este proceso creará una relación de confianza de usuario autenticado con Panorama.

  1. En el servidor ADFS, abra la aplicación Administración de AD FS.
  2. En el panel izquierdo, en Relaciones de confianza, haga clic en Relaciones de confianza de usuario autenticado (RPT). 
  3. En la pestaña Acciones, haga clic en Agregar relación de confianza de usuario autenticado. 
    La carpeta Relaciones de confianza de usuario autenticado se muestra dentro de ADFS con la opción Agregar relación de confianza de usuario autenticado resaltada.
  4. En la ventana Asistente para agregar RPT, haga clic en Iniciar.
    El Asistente para agregar relación de confianza de usuario autenticado solicita al usuario que inicie el proceso completando varios pasos.
  5. Seleccione Especificar manualmente los datos del usuario autenticado, y haga clic en Siguiente.
    En el paso Seleccionar origen de datos, está seleccionada la opción para especificar manualmente los datos del usuario autenticado y se muestra resaltado el botón Siguiente.
  6. Ingrese un nombre para mostrar de la RPT (p. ej., “Panorama”) y haga clic en Siguiente.
    En el paso Especificar nombre para mostrar, se ingresa un nombre para mostrar y se muestra resaltado el botón Siguiente.
  7. Seleccione Perfil de AD FS y haga clic en Siguiente.
    En el paso Elegir perfil, está seleccionado el perfil de AD FS y se muestra resaltado el botón Siguiente.
  8. Cuando esté en el paso Configurar certificado, haga clic en Siguiente. No cifre las notificaciones enviadas a YuJa.
    El botón Siguiente se muestra resaltado en el paso Configurar certificado.
  9. Seleccione Habilitar compatibilidad con el protocolo WebSSO de SAML 2.0.
  10. Ingrese la URL del servicio SSO de SAML 2.0 del usuario autenticado. 
    • URL del servicio: https://YOUR_CUSTOM_PANORAMA_URL/api/sso/samlReceiveResponse
      • Ejemplo: https://hudsonu.panorama.yuja.com/api/sso/samlReceiveResponse
  11. Haga clic en Siguiente.
    En el paso Configurar URL, está seleccionada la opción Habilitar compatibilidad con el protocolo WebSSO de SAML 2.0 y se muestra resaltado el botón Siguiente.
  12. En el campo Identificador de la relación de confianza de usuario autenticado, ingrese su URL personalizada de Panorama.
    • Ejemplo: https://hudsonu.panorama.yuja.com
  13. Haga clic en Agregar, y luego haga clic en Siguiente. 
    En el paso Configurar identificadores, se muestra agregado un identificador de la relación de confianza de usuario autenticado y el botón Siguiente está resaltado.
  14. Seleccione No deseo configurar los valores de autenticación multifactor para esta relación de confianza de usuario autenticado en este momento. Luego haga clic en Siguiente.
    En el paso Configurar la autenticación multifactor ahora, está seleccionada la opción No deseo configurar la autenticación multifactor y se muestra resaltado el botón Siguiente.
  15. Seleccione Permitir a todos los usuarios el acceso a este usuario autenticado. Haga clic en Siguiente.
    En el paso Elegir reglas de autorización de emisión, está seleccionada la opción Permitir a todos los usuarios el acceso al usuario autenticado y el botón Siguiente está resaltado.
  16. Revise la configuración para asegurarse de que todo sea correcto y luego haga clic en Siguiente.
    En el paso Listo para agregar la relación de confianza, el botón Siguiente se muestra resaltado.
  17. Asegúrese de tener seleccionada la opción Abrir el cuadro de diálogo Editar reglas de notificaciones para esta relación de confianza de usuario autenticado al cerrar el asistente, y luego haga clic en Cerrar.
    En el paso final, la opción Abrir Editar reglas de notificaciones está marcada y el botón Cerrar se muestra resaltado.

Cómo agregar reglas de notificaciones

Agregue reglas de notificaciones para la RPT de modo que las respuestas SAML contengan la información correcta del usuario.

  1. Para crear/editar reglas de notificaciones, primero haga clic en la RPT. En el panel del lado derecho, haga clic en Editar reglas de notificaciones.
    En la aplicación AD FS, está seleccionada la relación de confianza de usuario autenticado de Panorama.
  2. Haga clic en Agregar regla.
  3. Seleccione Enviar atributos LDAP como notificaciones y haga clic en Siguiente.
    Se muestra la ventana Editar reglas de notificaciones con el botón Agregar regla resaltado.
  4. Ingrese un Nombre de regla de notificación (p. ej., Panorama).
  5. Seleccione Active Directory como Almacén de atributos.

  6. Cree cuatro asignaciones de notificaciones como se muestra en la tabla a continuación y luego haga clic en Finalizar.
    Asignación de atributos LDAP a tipos de notificación salientes: 

    Atributo LDAP Tipo de notificación saliente
    Email-Addresses Dirección de correo electrónico
    Given-Name Nombre
    Surname Apellido
    <Un atributo relacionado con el rol de un usuario (p. ej., Admin)> Rol

    Los atributos LDAP se muestran en una tabla con los atributos LDAP y su tipo de notificación saliente.

  7. Ahora, cree una segunda regla de notificación. Haga clic en Agregar regla.
    La ventana Editar regla de notificación muestra el botón Agregar regla resaltado.
  8. Seleccione Transformar una notificación entrante. Haga clic en Siguiente.
    Transformar una notificación entrante está seleccionada como plantilla de regla de notificación y el botón Siguiente se muestra resaltado.
  9. Ingrese un Nombre de regla de notificación. En Tipo de notificación entrante, seleccione Dirección de correo electrónico. Importante: Esto supone que cada usuario del sistema ADFS tiene una dirección de correo electrónico asociada. Si no es así, seleccione Given-Name en su lugar.
  10. En Tipo de notificación saliente, seleccione Id. de nombre. En Formato de id. de nombre saliente, seleccione Correo electrónico. 
  11. Haga clic en Finalizar.
    La información de la regla de notificación está completa y el botón Finalizar está resaltado.
  12. Haga clic en Aceptar en la ventana Editar reglas de notificaciones.
    El botón Aceptar se muestra resaltado en la ventana Editar reglas de notificaciones.

Ajuste del algoritmo hash

Esto garantiza que se completen las tres partes para que la configuración se realice correctamente. 

  1. Haga doble clic en su RPT.
    La relación de confianza de usuario autenticado de Engage está seleccionada en la aplicación AD FS.
  2. Seleccione la pestaña Opciones avanzadas .
  3. En la lista desplegable Algoritmo hash seguro, seleccione SHA-1.
  4. Haga clic en Aceptar.
    La pestaña Opciones avanzadas está seleccionada en las propiedades de Panorama y SHA-1 está seleccionado para Algoritmo hash seguro.

Configuración de Panorama

Después de ajustar todos los valores en ADFS, podrá configurar los ajustes dentro de Panorama.

  1. Inicie sesión en su LMS y acceda a Panorama.
  2. Seleccione Configuraciones y luego seleccione Integraciones.
  3. En el menú desplegable Seleccione la integración, seleccione SSO-SAML.
    Integración SSO-SAML con Seleccione la integración marcado con un círculo

  4. Deberá completar la información de cada uno de los paneles de la integración: Detalles Generales de SSO, Aprovisionamiento de usuarios, Asignación de roles e Integración cruzada con LTI 1.3. Siga la tabla a continuación para completar la información.

    Atributo ¿Obligatorio? Descripción
    Detalles Generales de SSO 
    URL de SSO  Sí

    La URL utilizada para el SSO. Aquí es donde Panorama enviará los tokens AuthnRequest. Se encuentra en los metadatos del IDP como el atributo “Location”. Nota: Para Panorama se utiliza un enlace HTTP-Redirect.

    Ejemplo: “https:///adfs/ls/”
    Formato de id. de nombre Sí

    El formato que utilizan el SP y el IDP al comunicarse sobre un sujeto. Se encuentra en los metadatos del IDP como el valor de esa etiqueta. Nota: Si están disponibles, se deben priorizar y utilizar las direcciones de correo electrónico.

    Ejemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Huella digital del certificado de firma de ADFS Sí

    La huella digital única del certificado del IDP se utiliza al firmar las respuestas SAML. La huella digital no se encuentra de forma explícita en los metadatos, pero el certificado se utiliza para firmar la SAMLResponse o la Assertion. Consulte Cómo obtener la huella digital de un certificado en la sección Herramientas adicionales de este documento para obtener más detalles.

    Ejemplo: 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Aprovisionamiento de usuarios 
    Atributo de nombre de pila Sí

    El nombre del atributo en la respuesta SAML que describe el nombre de pila del usuario (es decir, el primer nombre). Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo el nombre de pila correspondiente.

    El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Atributo de apellido Sí

    El nombre del atributo en la respuesta SAML que describe el apellido del usuario (es decir, el apellido paterno). Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo el apellido correspondiente.

    El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Atributo de correo electrónico Sí

    El nombre del atributo en la respuesta SAML que describe la dirección de correo electrónico del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo la dirección de correo electrónico correspondiente. 

    El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Atributo de rol Sí

    El nombre del atributo en la respuesta SAML que describe el rol del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo el rol correspondiente.  

    El valor debe ser: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Asignación de roles
    Asignación de administrador Sí

    Se puede usar una lista de valores separados por comas. Si el valor recibido en el Atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como gerente de TI.

    Ejemplo: Gerente de TI
    Asignación de instructor Sí

    Se puede usar una lista de valores separados por comas. Si el valor recibido en el Atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como instructor.

    Ejemplo: Instructor, Profesor o TA
    Integración cruzada con LTI
    Atributo de vinculación de SSO No Un atributo único que vincula el SSO con el LMS. Esto permite que un usuario sea reconocido como un único usuario sin importar si inicia sesión con su SSO o con su LMS. Deberá ingresar el nombre del atributo de vinculación proporcionado por su SSO.
    Campo personalizado de vinculación de LTI 1.3 No Un atributo único que vincula el SSO con el LMS. Esto permite que un usuario sea reconocido como un único usuario sin importar si inicia sesión con su SSO o con su LMS. Deberá ingresar el nombre del campo personalizado utilizado para configurar el inicio de LTI. 

  5. Una vez que haya ajustado todos los valores necesarios, haga clic en Guardar cambios para completar la integración. Nota: Puede probar su integración de SSO seleccionando Lanzar página de inicio de sesión SSO e iniciando sesión con su integración.
    Integración SSO - SAML con Guardar cambios marcado con un círculo
     

     

Herramientas adicionales  

Cómo obtener la huella digital de un certificado

La huella digital del certificado del IDP se utiliza con fines de seguridad adicionales cuando el SP verifica una respuesta SAML del IDP. Para obtener la huella digital del certificado, siga las instrucciones a continuación:

  1. En los metadatos del IDP de Google, extraiga el certificado X509. Debe estar ubicado en: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Una vez que tenga el certificado, vaya al siguiente sitio web: https://www.samltool.com/fingerprint.php.
  3. Pegue el certificado en el cuadro de texto “X509 cert”.
  4. Asegúrese de que “sha1” esté seleccionado como algoritmo.
  5. Haga clic en “Calculate Fingerprint”.
  6. Copie el valor “FingerPrint” generado. Este es el valor que se utiliza en la base de datos. La huella digital debe ser una matriz de 20 bytes para “sha1”.

Artículos relacionados

Comuníquese con soporte