Ir para YuJa
  1. Central de Ajuda da YuJa
  2. Sistema de resposta de estudantes Engage
  3. Integrações de SSO

Integrando o Engage ao ADFS (SAML)

Avatar
YuJa
  • Atualizado

Os administradores podem configurar uma conexão segura entre o Engage e o ADFS para autenticar os usuários que fazem login no Engage. Configurar o Engage e o ADFS permite que os usuários se autentiquem e façam login com segurança.

Requisitos para a configuração do ADFS

A configuração do ADFS é composta por três etapas.

  1. Criar uma relação de confiança de terceira parte confiável (RPT) com o Engage.
  2. Adicionar regras de declaração para a RPT, para que as respostas SAML contenham as informações corretas sobre o usuário.
  3. Ajustar o algoritmo de hash da RPT. Isso garante que as 3 partes sejam concluídas para que a configuração seja feita corretamente. 

Criando uma relação de confiança de terceira parte confiável

Antes de começar, verifique se você recebeu do seu gerente de conta a URL do serviço SSO SAML 2.0 da terceira parte confiável. 

  1. No servidor ADFS, abra o aplicativo Gerenciamento do AD FS.
  2. No painel esquerdo, em Relações de Confiança, clique em Relações de Confiança de Terceira Parte Confiável (RPT). 
  3. Na guia Ações, clique em Adicionar Relação de Confiança de Terceira Parte Confiável. 
    A pasta Relações de Confiança de Terceira Parte Confiável é exibida no ADFS com a opção Adicionar Relação de Confiança de Terceira Parte Confiável destacada.
  4. Na janela do Assistente para Adicionar RPT, clique em Iniciar.
    O Assistente para Adicionar Relação de Confiança de Terceira Parte Confiável pede ao usuário que inicie o processo concluindo várias etapas.
  5. Selecione Inserir dados sobre a terceira parte confiável manualmente. 
  6. Clique em Avançar.
    Na etapa Selecionar Fonte de Dados, a opção Inserir dados sobre a terceira parte confiável está selecionada e o botão Avançar é exibido destacado.
  7. Insira um nome de exibição para a RPT (por exemplo, “YuJa Engage”) e clique em Avançar.
    Na etapa Especificar Nome para Exibição, um nome de exibição é inserido e o botão Avançar é exibido destacado.
  8. Selecione Perfil do AD FS e clique em Avançar.
    Na etapa Escolher Perfil, o perfil do AD FS está selecionado e o botão Avançar é exibido destacado.
  9. Clique em Avançar. Não criptografe as declarações enviadas ao YuJa.
    O botão Avançar é exibido destacado na etapa Configurar Certificado.
  10. Marque a caixa de seleção Habilitar suporte para o protocolo WebSSO SAML 2.0.
  11. Insira a URL do serviço SSO SAML 2.0 da terceira parte confiável que você recebeu do seu gerente de conta e clique em Avançar.
    Na etapa Configurar URL, a opção Habilitar suporte para o protocolo WebSSO SAML 2.0 está selecionada e o botão Avançar é exibido destacado.
  12. No campo Identificador de confiança da terceira parte confiável, insira https://<YOUR_YUJA_ENGAGE_DOMAIN>.engage.yuja.com.
  13. Clique em Adicionar > Avançar. 
    Na etapa Configurar Identificadores, um identificador de confiança da terceira parte confiável é exibido como adicionado e o botão Avançar está destacado.
  14. Selecione Não desejo configurar as definições de autenticação multifator para esta relação de confiança de terceira parte confiável neste momento e clique em Avançar.
    Na etapa Configurar Autenticação Multifator Agora, a opção Não desejo configurar a autenticação multifator está selecionada e o botão Avançar é exibido destacado.
  15. Selecione Permitir que todos os usuários acessem esta terceira parte confiável e clique em Avançar.
    Na etapa Escolher Regras de Autorização de Emissão, a opção Permitir que todos os usuários acessem a terceira parte confiável está selecionada e o botão Avançar está destacado.
  16. Revise as configurações para garantir que tudo esteja correto e clique em Avançar.
    Na etapa Pronto para Adicionar Confiança, o botão Avançar é exibido destacado.
  17. Selecione Abrir a caixa de diálogo Editar Regras de Declaração para esta relação de confiança de terceira parte confiável quando o assistente for fechado, e clique em Fechar.
    Na etapa final, a opção Abrir a caixa de diálogo Editar Regras de Declaração está marcada e o botão Fechar é exibido destacado.

Adicionando regras de declaração

  1. Para criar ou editar regras de declaração, clique na RPT. 
  2. No painel do lado direito, clique em Editar Regras de Declaração.
    No aplicativo AD FS, a terceira parte confiável YuJa Engage está selecionada.
  3. Na janela Editar Regras de Declaração para YuJa Engage, clique em Adicionar Regra.
    A janela de edição de regras de declaração é exibida com o botão Adicionar Regra destacado.
  4. Selecione Enviar Atributos LDAP como Declarações e clique em Avançar.
    Enviar atributos LDAP como declarações está selecionado no menu suspenso e o botão Avançar está destacado.
  5. Insira um Nome da regra de declaração (por exemplo, YuJa Engage).
  6. Selecione Active Directory como o Armazenamento de atributos.

  7. Crie quatro mapeamentos de declaração conforme mostrado na tabela abaixo e, em seguida, clique em Concluir.
    Mapeamento de atributos LDAP para tipos de declaração de saída

    Atributo LDAP Tipo de declaração de saída
    Email-Addresses Endereço de e-mail
    Given-Name Nome fornecido
    Surname Sobrenome
    <Um atributo relacionado à função de um usuário (por exemplo, ITManager)> Função

    Os atributos LDAP são exibidos em uma tabela com os atributos LDAP e o respectivo tipo de declaração de saída.

  8. Para criar uma segunda regra de declaração, clique em Adicionar Regra.
    A janela de edição de regras de declaração é exibida com o botão Adicionar Regra destacado.
  9. Selecione Transformar uma Declaração de Entrada e clique em Avançar.
    Transformar uma declaração de entrada está selecionado como modelo de regra de declaração e o botão Avançar é exibido destacado.
  10. Insira um nome para a regra de declaração.
  11. No campo suspenso Tipo de declaração de entrada, selecione Endereço de e-mail (se cada usuário no sistema ADFS tiver um endereço de e-mail associado) ou Nome fornecido.
  12. No campo Tipo de declaração de saída, selecione ID do nome.
  13. No campo Formato da ID do nome de saída, selecione E-mail. 
  14. Clique em Concluir.
    As informações da regra de declaração estão preenchidas e o botão Concluir está destacado.
  15. Clique em OK.
    O botão OK é exibido destacado na janela de edição de regras de declaração.

Ajustando o algoritmo de hash 

  1. Clique duas vezes na sua RPT. 
    A relação de confiança de terceira parte confiável do Engage está selecionada no aplicativo AD FS.
  2. Selecione a guia Avançado.
  3. No campo suspenso Algoritmo de hash seguro, selecione SHA-1.
  4. Clique em OK.
    A guia Avançado está selecionada nas propriedades do YuJa Engage e SHA-1 está selecionado em Algoritmo de hash seguro.

Configurando o Engage

Depois de ajustar todas as configurações no ADFS, você poderá configurar as definições no Engage.

  1. Faça login no Engage como gerente de TI.
  2. Na barra de navegação lateral, selecione Integrações.
    Integrações do Engage
  3. No campo suspenso, selecione SSO - ADFS [SAML].
    Integração SSO-ADFS do Engage
     

  4. Insira as informações conforme mostrado para cada um dos painéis da integração—Detalhes gerais do SSO, Provisionamento de usuários, Mapeamento de funções e Integração cruzada com LTI. 
    Informações do Engage a inserir para a integração

    Atributo Obrigatório? Descrição
    Detalhes gerais do SSO 
    URL de SSO do ADFS  Sim

    A URL usada para o SSO. É para onde o YuJa Engage enviará os tokens AuthnRequest. Encontrada nos metadados do IDP como o atributo “Location”. Observação: Para o Engage, é usada uma associação HTTP-Redirect.

    Exemplo: “https:///adfs/ls/”
    Formato da ID do nome Sim

    O formato a ser usado pelo SP e pelo IDP ao se comunicarem sobre um sujeito. Encontrado nos metadados do IDP como o valor dessa tag. Observação: Se disponível, os endereços de e-mail devem ser priorizados e usados.

    Exemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    URL de logout remoto Atualmente não compatível Deixe este valor em branco.
    Impressão digital do certificado de assinatura do ADFS Sim

    A impressão digital exclusiva do certificado do IDP é usada na assinatura das respostas SAML. A impressão digital (thumbprint) não está localizada explicitamente nos metadados, mas o certificado é usado para assinar o SAMLResponse ou a Assertion. Consulte Como obter a impressão digital de um certificado na seção Ferramentas adicionais deste documento para mais detalhes.

    Exemplo: 7j2mka9cfe2d09j23eefe01442f6a49d1222391
    URL de logout Atualmente não compatível Deixe este valor em branco.
    Provisionamento de usuários 
    Atributo de nome Não

    O nome do atributo na resposta SAML que descreve o nome do usuário (ou seja, o primeiro nome). Encontrado nos metadados do IDP. Há uma seção no arquivo XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob o nome apropriado.

    O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Atributo de sobrenome Não

    O nome do atributo na resposta SAML que descreve o sobrenome do usuário (ou seja, o último nome). Encontrado nos metadados do IDP. Há uma seção no arquivo XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob o sobrenome apropriado.

    O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Atributo de e-mail Não

    O nome do atributo na resposta SAML que descreve o endereço de e-mail do usuário. Encontrado nos metadados do IDP. Há uma seção no arquivo XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob o endereço de e-mail apropriado. 

    O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Atributo de função Não

    O nome do atributo na resposta SAML que descreve a função do usuário. Encontrado nos metadados do IDP. Há uma seção no arquivo XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob a função apropriada.  

    O valor deve ser: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Mapeamento de funções
    Gerente de TI Não

    Pode ser usada uma lista de valores separados por vírgula. Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como gerente de TI.

    Exemplo: IT Manager
    Instrutor Não 

    Pode ser usada uma lista de valores separados por vírgula. Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como instrutor.

    Exemplo: Instructor, Teacher ou TA
    Integração cruzada com LTI
    Atributo de vinculação Não Um atributo exclusivo que vincula o SSO ao LMS. Isso permite que um usuário seja reconhecido como um único usuário, independentemente de fazer login com o SSO ou com o LMS (por exemplo, atributo: e-mail)
  5. Clique em Salvar alterações. 
    Engage salvando as alterações da integração

Ferramentas adicionais

Como obter a impressão digital de um certificado

A impressão digital do certificado do IDP é usada para fins de segurança adicionais quando o SP verifica uma resposta SAML do IDP. Para obter a impressão digital do certificado, siga as instruções abaixo:

  1. Nos metadados do IDP do Google, extraia o certificado X509. Ele deve estar localizado em: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Depois de obter o certificado, acesse o seguinte site: https://www.samltool.com/fingerprint.php.
  3. Cole o certificado na caixa de texto “X509 cert”.
  4. Verifique se “sha1” está selecionado como Algoritmo.
  5. Clique em “Calculate Fingerprint”.
  6. Copie o valor “FingerPrint” gerado. Este é o valor usado no banco de dados. A impressão digital deve ser uma matriz de 20 bytes para “sha1”.

Artigos relacionados

Entrar em contato com o suporte