Integración de Lumina con ADFS (SAML)

1. En el servidor ADFS, abra la aplicación Administración de ADFS.
2. En el panel izquierdo, en la sección Relaciones de confianza, haga clic en Relaciones de confianza para usuario autenticado. 
3. En la pestaña Acciones, haga clic en Agregar relación de confianza para usuario autenticado. 
4. En la ventana Asistente para agregar relaciones de confianza para usuario autenticado, haga clic en Iniciar.
5. Seleccione Escribir manualmente los datos sobre el usuario autenticado. Siga los pasos a continuación para configurar la RPT.
6. Ingrese un nombre para mostrar para la RPT (p. ej., “YuJa”).
7. Haga clic en Siguiente.
8. Seleccione Perfil de ADFS y haga clic en Siguiente.
9. En el paso Configurar certificado, haga clic en Siguiente. No cifre las notificaciones enviadas a YuJa.
10. Seleccione Habilitar compatibilidad con el protocolo WebSSO de SAML 2.0.
11. En el campo URL del servicio SSO de SAML 2.0 del usuario autenticado, ingrese https://<YOUR_YUJA_DOMAIN>.yuja.com/D/SamlReceiveResponse.
12. Haga clic en Siguiente.
13. En el campo Identificador de relación de confianza para usuario autenticado, ingrese https://<YOUR_YUJA_DOMAIN>.yuja.com.
14. Haga clic en Agregar, y luego haga clic en Siguiente. 
15. Seleccione la casilla No quiero configurar los valores de autenticación multifactor para esta relación de confianza para usuario autenticado en este momento y luego haga clic en Siguiente.
16. Seleccione Permitir a todos los usuarios tener acceso a este usuario autenticado y luego haga clic en Siguiente.
17. Revise la configuración y luego haga clic en Siguiente.
18. Seleccione la opción Abrir el cuadro de diálogo Editar reglas de notificación para esta relación de confianza para usuario autenticado al cerrar el asistente y luego haga clic en Cerrar.

1. Haga clic en la RPT. 
2. En el panel derecho, haga clic en Editar reglas de notificación.
3. En la ventana Editar reglas de notificación, haga clic en Agregar regla.
4. Seleccione Enviar atributos LDAP como notificaciones, y luego haga clic en Siguiente.
5. Ingrese un Nombre de regla de notificación.
6. Seleccione Active Directory como Almacén de atributos.

7. Cree cuatro asignaciones de notificaciones. La quinta, yujaUserIDmapping, es opcional y se utiliza para reemplazar el ID de YuJa del usuario con el campo yujaUserIDmapping.  

    

   Atributo LDAP	Tipo de notificación saliente
   E-Mail-Addresses	E-mail Address
   Given-Name	Given Name
   Surname	Surname
   <Un atributo relacionado con el rol de un usuario>	Role
   <Un atributo relacionado con el rol de un usuario>	yujaUserIDmapping

   La notificación Role se utiliza para determinar si los usuarios se aprovisionan como estudiantes (el valor predeterminado) o si se les otorgan privilegios ampliados (Instructor/Administrador de TI). Los valores sugeridos para este campo son IT Manager e Instructor (para los usuarios a quienes desea otorgar privilegios de Administrador de TI o de Instructor, respectivamente), pero puede usar valores existentes o personalizados.

8. Haga clic en Finalizar.
9. Para crear una segunda regla de notificación, haga clic en Agregar regla. 
10. Seleccione Transferir notificación entrante y luego haga clic en Siguiente.
11. Ingrese un Nombre de regla de notificación.
12. En Tipo de notificación entrante, seleccione E-Mail Address si cada usuario del sistema ADFS tiene una dirección de correo electrónico asociada. De lo contrario, seleccione Given Name.
13. En Tipo de notificación saliente, seleccione NameID. 
14. Para el formato de ID de nombre saliente, seleccione Correo electrónico. 
15. Haga clic en Finalizar.
16. Haga clic en Aceptar.

1. Haga doble clic en su RPT.
2. Seleccione la pestaña Opciones avanzadas.
3. En el menú desplegable, seleccione SHA-1.
4. Haga clic en Aceptar.

1. Vaya a su certificado raíz de confianza.
2. Agregue el certificado SAML de YuJa que se encuentra aquí.

Si utiliza Microsoft ADFS como proveedor de SAML, puede acceder al asistente de instalación de certificados desde el panel de configuración de cifrado después de agregar el certificado SAML de YuJa. Obtenga más información sobre cómo instalar el certificado raíz de confianza. 

1. Inicie sesión en Lumina como administrador. 
2. Haga clic en el botón Menú principal > Panel de Administrador.
3. En la barra lateral, seleccione Integraciones.
4. En el campo Seleccione una API para configurar, seleccione SSO - ADFS (SAML). 

5. Ingrese la información:

   Atributo	¿Obligatorio?	Descripción
   URL de SSO de ADFS	Sí	La URL utilizada para SSO. Aquí es donde YuJa enviará los tokens AuthnRequest. Se encuentra en los metadatos del IDP como el atributo “Location”. Tenga en cuenta que, para YuJa, se utiliza un enlace HTTP-Redirect. Por ejemplo: “https:///adfs/ls/”
   Formato de ID de nombre	Sí	El formato que utilizarán el SP y el IDP al comunicarse sobre un sujeto. Se encuentra en los metadatos del IDP como el valor de esa etiqueta. Tenga en cuenta que, si está disponible, se debe priorizar y utilizar emailAddress. Por ejemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
   URL de cierre de sesión remoto	Actualmente no compatible	Deje este valor en blanco
   Huella digital del certificado de firma de ADFS	Sí	La huella digital única del certificado del IDP se utiliza al firmar las respuestas SAML. La huella digital no se encuentra de forma explícita en los metadatos, pero el certificado se utiliza para firmar la SAMLResponse o la Assertion. Consulte Cómo obtener la huella digital de un certificado en la sección Herramientas adicionales de este documento para obtener más detalles. Por ejemplo: 7j2mka9cfe2d09j23eefe21442f6a49d1222391f
   Atributo de nombre de pila	No	El nombre del atributo de la respuesta SAML que describe el nombre de pila del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo la etiqueta correspondiente al nombre de pila. El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
   Atributo de apellido	No	El nombre del atributo de la respuesta SAML que describe el apellido del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo la etiqueta correspondiente al apellido. El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
   Atributo de correo electrónico	No	El nombre del atributo de la respuesta SAML que describe la dirección de correo electrónico del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo la etiqueta correspondiente a la dirección de correo electrónico.  El valor debe ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   Atributo de rol	No	El nombre del atributo de la respuesta SAML que describe el rol del usuario. Se encuentra en los metadatos del IDP. Hay una sección en el archivo .XML que debe contener una lista de etiquetas. Ingrese el valor de la clave “Name”, bajo la etiqueta correspondiente al rol.   El valor debe ser: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
   Administrador de TI	No	Se puede usar una lista de valores separados por comas. Si el valor recibido en el atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como administrador de TI. Por ejemplo: IT Manager
   Instructor	No	Se puede usar una lista de valores separados por comas. Si el valor recibido en el atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como instructor. Por ejemplo: Instructor o, Teacher, TA
   Sincronizar datos automáticamente al iniciar sesión el usuario	No	Si está marcada, cada vez que un usuario inicie sesión mediante ADFS, su información básica se actualizará según los datos recibidos en el token de respuesta SAML

6. Seleccione la casilla Habilitar la firma de la solicitud de autenticación para habilitar la firma de la solicitud de autenticación.
   Nota: Esto requiere agregar el certificado SAML de YuJa a su almacén de certificados raíz de confianza.
7. Haga clic en OK. Si cometió un error, puede actualizar los ajustes de configuración.
8. Haga clic en Guardar para conservar los cambios.
9. Para comprobar si la configuración es correcta, haga clic en Probar inicio de sesión SAML. Esto abrirá una nueva pestaña y navegará a su servidor ADFS, donde se le solicitará iniciar sesión. Ingrese credenciales de inicio de sesión válidas e inicie sesión. Se le redirigirá de vuelta a YuJa, con la sesión iniciada como un nuevo usuario. Iniciar sesión como un nuevo usuario puede cerrar la sesión de la cuenta original. Cierre la sesión de la cuenta recién creada e inicie sesión de nuevo como administrador. Luego vaya a Panel de Administrador > Integraciones > SSO > ADFS (SAML).
10. Para activar el nuevo esquema de autenticación para su organización, haga clic en Activar.

11. Haga clic en OK.

    Importante: Active el nuevo esquema de autenticación solo después de realizar correctamente un inicio de sesión de prueba, cuando esté listo para ponerlo a disposición de todos los usuarios de su organización

1. Configure su LMS para que pase un parámetro LTI personalizado a la herramienta de YuJa llamado lis_person_sourcedid, que contenga el valor de SSO de correspondencia cruzada. Puede ser un correo electrónico, un ID de empleado u otros campos. Es posible que deba consultar la documentación del producto de su LMS para saber cómo establecer parámetros LTI personalizados. Lumina utilizará esta función para vincular los dos métodos de inicio de sesión a la misma cuenta.
2. Obtenga el nombre específico del atributo utilizado en el token de respuesta SAML cuyo valor corresponde al identificador único utilizado por el proveedor de LTI (en el paso 1 anterior). Por ejemplo, si el identificador único es la dirección de correo electrónico del usuario, el atributo de enlace podría ser http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress. Puede encontrar una lista completa de los posibles nombres de atributo en el archivo de metadatos de ADFS, en las etiquetas Attribute. 
3. Ingrese este valor en el campo Atributo de enlace. Este campo de texto solo aparecerá si su organización ha habilitado el acceso LTI.
4. Haga clic en Guardar. Ahora, al iniciar sesión por primera vez mediante ADFS (SAML), Lumina buscará un vínculo con una cuenta de LTI utilizando el valor del atributo de enlace. Si lo encuentra, la cuenta SAML se vinculará a la cuenta existente. De lo contrario, se aprovisionará una nueva cuenta de forma normal. Todos los inicios de sesión posteriores al primero seguirán vinculándose a la cuenta de Lumina creada o encontrada en el primer inicio de sesión.

1. En los metadatos del IDP de ADFS, extraiga el certificado X509. Se encuentra en:
   <IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate>
2. Vaya al sitio web: https://www.samltool.com/fingerprint.php.
3. En el campo X509 cert, pegue el certificado. 
4. Seleccione sha1 como Algorithm.
5. Haga clic en Calculate Fingerprint.
6. Copie el valor generado de Fingerprint. Este es el valor utilizado en la base de datos.
   Nota: La huella digital debe ser un arreglo de 20 bytes para sha1.