Google Apps es un producto que ofrece una solución de identidad federada para conectar a los usuarios con aplicaciones, tanto dentro como fuera de las organizaciones. El marco flexible de proveedor de módulos SSO de la plataforma de video está diseñado para admitir una amplia variedad de soluciones de identidad, lo que permite la integración completa de Google Apps en su infraestructura.
Este documento tiene como objetivo guiar a los usuarios sobre cómo integrar la plataforma de video como proveedor de servicios (SP) usando Google como proveedor de identidad (IDP). Una vez configurado correctamente, los usuarios que intenten acceder a los servicios de la plataforma de video serán redirigidos primero a Google, que les solicitará sus credenciales para iniciar sesión. Una vez autenticados, el navegador los redirigirá de nuevo a la plataforma de video, con la sesión iniciada como usuarios nuevos o existentes.
Configuración
La configuración consiste en crear una nueva aplicación SAML en la consola de administración de Google y luego configurar el lado de la plataforma de video mediante la integración con Google como IDP, la prueba y la activación del SSO de SAML para los usuarios de la institución.
En algunos pasos, <organization> debe reemplazarse por el DNS comodín de la organización asociada con la plataforma de video. Por ejemplo, para “https://hudson.yuja.com”, organization se reemplazaría por “hudson”.
Creación de una nueva aplicación SAML para la plataforma de video en la consola de administración de Google
Siga las instrucciones de las siguientes secciones: Configurar su propia aplicación SAML, Activar SSO para su nueva aplicación SAML y Verificar SSO entre Google Apps y su nueva aplicación SAML, consultando este documento para obtener instrucciones específicas sobre ciertos pasos.
Referencia a la sección: Configurar su propia aplicación SAML
- Descargue los metadatos del IDP. Se usarán para configurar el lado de la plataforma de video.
- Ingrese la siguiente información:
Parámetro Valor URL del ACS https://<organization>.yuja.com/D/SamlReceiveResponse ID de entidad https://<organization>.yuja.com URL de inicio **deje este campo en blanco** ID de nombre Información básica, Correo electrónico principal Formato del ID de nombre Correo electrónico - Marque Respuesta firmada. Esto aumenta la seguridad cuando el SP y el IDP se comunican.
- Cree cuatro asignaciones:
Atributo de la aplicación Categoría Campo de usuario Given Name Información básica Nombre Family Name Información básica Apellido Email Información básica Correo electrónico Role Información laboral Cargo (u otro campo apropiado). Este campo se usa para determinar si los usuarios se aprovisionan como estudiantes (el valor predeterminado) o si se les otorgan privilegios ampliados (instructor/administrador de TI). Los valores sugeridos para este campo son IT Manager e Instructor (para los usuarios a quienes desee otorgar privilegios de administrador de TI o de instructor, respectivamente), pero puede usar valores existentes o personalizados (consulte más abajo una explicación de la asignación de IT Manager e Instructor)
Configuración de SAML en el lado de la plataforma de video
- Vaya a https://<organization>.yuja.com e inicie sesión como administrador de TI de su institución.
- Vaya a la pestaña Panel de Administrador del Menú principal.
- En la barra lateral izquierda, vaya a Integraciones.
- En el menú desplegable Seleccione la integración, seleccione SSO – Google Apps (SAML).
- Ingrese la siguiente información que se indica a continuación:
Atributo ¿Obligatorio? Descripción URL de SSO de Google Sí La URL que se usa para SSO. Es donde la plataforma de video enviará los tokens AuthnRequest.
Se encuentra en los metadatos del IDP de Google en: <IDPSSODescriptor> → <SingleSignOnService>
como el atributo “Location”. Tenga en cuenta que, para la plataforma de video, se utiliza un enlace HTTP-Redirect.Por ejemplo https://accounts.google.com/o/saml2/idp?idpid=B05pakw7
Formato de ID de nombre Sí El formato que usarán el SP y el IDP al comunicarse sobre un sujeto.
Se encuentra en los metadatos del IDP de Google en:
<IDPSSODescriptor> → <NameIDFormat>
como el valor de esa etiqueta. Tenga en cuenta que, si está disponible, se debe priorizar y usar emailAddress.Por ejemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
URL de cierre de sesión remoto Actualmente no se admite Deje este valor en blanco Huella digital del certificado de firma de Google No, pero se recomienda encarecidamente La huella digital única del certificado del IDP se usa al firmar las respuestas SAML.
Consulte la sección titulada Cómo obtener la huella digital de un certificado en este artículo para obtener más detalles.Por ejemplo: 7j2mka9cfe2d09j23eefe01442f6a49d1222391f
Atributo de nombre No (Distingue mayúsculas de minúsculas) Ingrese el siguiente valor: First Name
Este es el valor exacto usado en el campo Atributo de la aplicación al crear las asignaciones de atributos.
Atributo de apellido No (Distingue mayúsculas de minúsculas) Ingrese el siguiente valor: Last Name
Este es el valor exacto usado en el campo Atributo de la aplicación al crear las asignaciones de atributos.
Atributo de correo electrónico No (Distingue mayúsculas de minúsculas) Ingrese el siguiente valor: Email
Este es el valor exacto usado en el campo Atributo de la aplicación al crear las asignaciones de atributos.
Atributo de rol No (Distingue mayúsculas de minúsculas) Ingrese el siguiente valor: Title
Este es el valor exacto usado en el campo Atributo de la aplicación al crear las asignaciones de atributos.
Administrador de TI No Se puede usar una lista de valores separados por comas.
Si el valor recibido en el atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como administrador de TI.
Por ejemplo: IT ManagerInstructor No Se puede usar una lista de valores separados por comas
Si el valor recibido en el atributo de rol coincide con alguno de estos valores, el usuario se aprovisionará como instructor.Por ejemplo: Instructor o Teacher, TA
Sincronizar datos automáticamente al iniciar sesión el usuario No Si está marcado, cada vez que un usuario inicie sesión mediante Google SAML Apps, su información básica se actualizará según los datos recibidos en la respuesta SAML. - Haga clic en Crear. En el cuadro de diálogo de confirmación, haga clic en OK.
- Si es necesario, puede actualizar los ajustes de configuración si cometió un error. Simplemente haga clic en
Guardar para conservar los cambios. - Para comprobar si la configuración se realizó correctamente en ambos lados, haga clic en Probar inicio de sesión SAML. Esto debería abrir una pestaña nueva y dirigirse a Google, donde se le solicitarán credenciales.
- Inicie sesión con una cuenta de Google válida.
- Tras iniciar sesión correctamente, debería ser redirigido de vuelta a la plataforma de video, con la sesión iniciada como un usuario nuevo.
Al iniciar sesión como un usuario nuevo se cerrará la sesión de la cuenta original. Cierre la sesión de la cuenta recién creada y vuelva a iniciar sesión como administrador de TI. Luego regrese a Panel de Administrador → Integraciones → SSO – Google Apps (SAML).
- Una vez que haya verificado que el SSO de Google SAML Apps funciona, puede optar por activar el nuevo esquema de autenticación para su organización. Para ello, haga clic en Activar y luego en OK.
Importante: active el nuevo esquema de autenticación solo después de realizar correctamente un inicio de sesión de prueba y cuando esté listo para ponerlo a disposición de todos los usuarios de su institución.
Integración dual con LTI
Si su organización ha habilitado tanto la integración con el LMS mediante LTI como el acceso SSO, puede optar por vincular las dos integraciones. Por lo general lo recomendamos porque esto significa que, sin importar si sus usuarios inician sesión mediante su LMS o su SSO, se les presentará la misma información de cuenta de la plataforma de video. En cambio, si la integración dual con LTI no está configurada, un usuario que use tanto su LMS como su SSO con la plataforma de video se aprovisionará con dos cuentas independientes, lo que en muchos casos no es lo ideal. Si su proveedor de LTI dentro de su LMS se puede configurar para proporcionar a la plataforma de video un identificador único del usuario en el sistema SAML, es posible vincular las dos cuentas.
- Configure su LMS para que pase un parámetro LTI personalizado a la herramienta de la plataforma de video llamado lis_person_sourcedid, que contiene el valor de SSO de coincidencia cruzada. Puede ser un correo electrónico, un ID de empleado u otro campo. Es posible que deba consultar la documentación del producto de su plataforma LMS sobre cómo establecer parámetros LTI personalizados. La plataforma de video usará esta función para vincular los dos métodos de inicio de sesión a la misma cuenta.
- Obtenga el nombre de atributo específico utilizado en el token de respuesta SAML cuyo valor corresponde al identificador único que usa el proveedor de LTI (en el paso 1 anterior). Por ejemplo, si el identificador único es la dirección de correo electrónico del usuario, el atributo de enlace sería “email”. Los valores posibles que puede usar son específicamente los establecidos en la consola de administración de Google al configurar la aplicación SAML. Son los nombres usados en el paso de asignación de atributos.
- Ingrese este valor en el campo Atributo de enlace. Este cuadro de texto solo aparecerá si su institución ha habilitado el acceso LTI.
- Haga clic en Guardar.
- Ahora, cuando inicie sesión por primera vez mediante ADFS (SAML), el sistema de la plataforma de video buscará un vínculo con una cuenta LTI usando el valor del atributo de enlace. Si lo encuentra, la cuenta de SAML se vinculará con la cuenta existente. De lo contrario, se aprovisionará una cuenta nueva de la forma habitual.
- Todos los inicios de sesión posteriores al primero seguirán vinculándose con la cuenta de la plataforma de video creada o encontrada en el primer inicio de sesión.
Uso
Una vez que ambos lados se hayan configurado y el SSO de SAML se haya activado, es fácil probar y comprobar que todo se hizo correctamente.
- Vaya al dominio de la plataforma de video de la organización (es decir, https://<organization>.yuja.com) y presione Iniciar sesión. Esto debería redirigir al usuario a la página de inicio de sesión del servidor SSO.
- Ingrese credenciales válidas e inicie sesión.
- Una vez autenticado, el usuario debería ser redirigido de vuelta a la plataforma de video y el inicio de sesión habrá sido exitoso.
Cómo obtener la huella digital de un certificado
La huella digital del certificado del IDP se usa con fines de seguridad adicionales cuando el SP verifica una respuesta SAML del IDP. Para obtener la huella digital del certificado, siga las instrucciones a continuación:
- En los metadatos del IDP de Google, extraiga el certificado X509. Debería estar ubicado en:
<IDPSSODescriptor> → <KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> →
<X509Certificate> - Una vez que tenga el certificado, vaya al siguiente sitio web: https://www.samltool.com/fingerprint.php
- Pegue el certificado en el cuadro de texto X509 cert.
- Asegúrese de que sha1 esté seleccionado en el campo Algorithm.
- Haga clic en Calculate Fingerprint.
- Copie el valor Fingerprint generado. Este es el valor que se usa en la base de datos. Nota: la huella digital debe ser un arreglo de 20 bytes para sha1.
Complemento útil de Chrome para depurar tokens SAML
- Si usa Chrome como navegador web, quizá desee instalar un complemento útil de SAML en:
https://chrome.google.com/webstore/detail/saml-chrome-panel/paijfdbeoenhembfhkhllainmocckace?hl=en - Una vez instalado, simplemente abra las herramientas para desarrolladores del navegador (F12) y haga clic en la pestaña SAML. Ahora, al realizar un inicio de sesión iniciado por el SP, los tokens SAML enviados por el navegador se mostrarán en detalle. Esta herramienta puede ser muy útil para depurar solicitudes y respuestas SAML.