Ir para YuJa
  1. Central de Ajuda da YuJa
  2. Plataforma de acessibilidade para LMS Panorama
  3. Plataforma de gerenciamento

Integrando o Panorama ao ADFS (SAML)

Avatar
YuJa
  • Atualizado

Os administradores podem configurar uma conexão segura entre o Panorama e o ADFS para autenticar os usuários que fazem login no Panorama. Para autenticar e conectar os usuários com segurança, certifique-se de que o Panorama e o ADFS tenham sido configurados seguindo as etapas abaixo.  

O que é necessário para a configuração do ADFS

A configuração do ADFS exige que você tenha um URL personalizado do Panorama (exemplo: hudsonu.panorama.yuja.com). Se você não tiver um, entre em contato com o seu gerente de conta

Criando uma relação de confiança com a terceira parte confiável

Este processo criará uma relação de confiança com a terceira parte confiável para o Panorama.

  1. No servidor ADFS, abra o aplicativo Gerenciamento do AD FS.
  2. No painel esquerdo, em Relações de confiança, clique em Relações de confiança com a terceira parte confiável (RPT). 
  3. Na guia Ações, clique em Adicionar relação de confiança com a terceira parte confiável. 
    A pasta Relações de confiança com a terceira parte confiável é exibida no ADFS com a opção Adicionar relação de confiança com a terceira parte confiável destacada.
  4. Na janela Assistente para adicionar RPT, clique em Iniciar.
    O Assistente para adicionar relação de confiança com a terceira parte confiável pede ao usuário que inicie o processo concluindo várias etapas.
  5. Selecione Inserir dados sobre a terceira parte confiável manualmente, e clique em Avançar.
    Na etapa Selecionar fonte de dados, a opção Inserir dados sobre a terceira parte confiável está selecionada e o botão Avançar é exibido destacado.
  6. Insira um nome de exibição para a RPT (por exemplo, “Panorama”) e clique em Avançar.
    Na etapa Especificar nome de exibição, um nome de exibição é inserido e o botão Avançar é exibido destacado.
  7. Selecione Perfil do AD FS e clique em Avançar.
    Na etapa Escolher perfil, o perfil do AD FS está selecionado e o botão Avançar é exibido destacado.
  8. Na etapa Configurar certificado, clique em Avançar. Não criptografe as declarações enviadas à YuJa.
    O botão Avançar é exibido destacado na etapa Configurar certificado.
  9. Selecione Habilitar suporte ao protocolo WebSSO SAML 2.0.
  10. Insira o URL do serviço SSO SAML 2.0 da terceira parte confiável. 
    • URL do serviço: https://YOUR_CUSTOM_PANORAMA_URL/api/sso/samlReceiveResponse
      • Exemplo: https://hudsonu.panorama.yuja.com/api/sso/samlReceiveResponse
  11. Clique em Avançar.
    Na etapa Configurar URL, a opção Habilitar suporte ao protocolo SAML 2.0 Web SSO está selecionada e o botão Avançar é exibido destacado.
  12. Em Identificador da relação de confiança com a terceira parte confiável, insira o seu URL personalizado do Panorama.
    • Exemplo: https://hudsonu.panorama.yuja.com
  13. Clique em Adicionar, e depois em Avançar. 
    Na etapa Configurar identificadores, um identificador da relação de confiança com a terceira parte confiável é exibido como adicionado e o botão Avançar está destacado.
  14. Selecione Não desejo configurar as definições de autenticação multifator para esta relação de confiança com a terceira parte confiável neste momento. Em seguida, clique em Avançar.
    Na etapa Configurar autenticação multifator agora, a opção Não desejo configurar a autenticação multifator está selecionada e o botão Avançar é exibido destacado.
  15. Selecione Permitir que todos os usuários acessem esta terceira parte confiável. Clique em Avançar.
    Na etapa Escolher regras de autorização de emissão, a opção Permitir que todos os usuários acessem a terceira parte confiável está selecionada e o botão Avançar está destacado.
  16. Revise as configurações para garantir que tudo esteja correto e clique em Avançar.
    Na etapa Pronto para adicionar relação de confiança, o botão Avançar é exibido destacado.
  17. Verifique se a opção Abrir a caixa de diálogo Editar regras de declaração para esta relação de confiança com a terceira parte confiável quando o assistente for fechado está selecionada e clique em Fechar.
    Na etapa final, a opção Abrir editar regras de declaração está marcada e o botão Avançar é exibido destacado.

Adicionando regras de declaração

Adicione regras de declaração para a RPT para que as respostas SAML contenham as informações corretas do usuário.

  1. Para criar/editar regras de declaração, primeiro clique na RPT. No painel do lado direito, clique em Editar regras de declaração.
    No aplicativo AD FS, a terceira parte confiável Panorama está selecionada.
  2. Clique em Adicionar regra.
  3. Selecione Enviar atributos LDAP como declarações e clique em Avançar.
    A janela Editar regras de declaração é exibida com o botão Adicionar regra destacado.
  4. Insira um Nome da regra de declaração (por exemplo, Panorama).
  5. Selecione Active Directory como o Repositório de atributos.

  6. Crie quatro mapeamentos de declaração conforme mostrado na tabela abaixo e clique em Concluir.
    Mapeamento de atributos LDAP para tipos de declaração de saída: 

    Atributo LDAP Tipo de declaração de saída
    Email-Addresses Endereço de e-mail
    Given-Name Nome
    Surname Sobrenome
    <Um atributo relacionado à função de um usuário (por exemplo, Admin)> Função

    Os atributos LDAP são exibidos em uma tabela com os atributos LDAP e o respectivo tipo de declaração de saída.

  7. Agora, crie uma segunda regra de declaração. Clique em Adicionar regra.
    A janela Editar regras de declaração é exibida com o botão Adicionar regra destacado.
  8. Selecione Transformar uma declaração de entrada. Clique em Avançar.
    Transformar uma declaração de entrada está selecionado como modelo de regra de declaração e o botão Avançar é exibido destacado.
  9. Insira um Nome da regra de declaração. Em Tipo de declaração de entrada, selecione Endereço de e-mail. Importante: Isso pressupõe que cada usuário do sistema ADFS tenha um endereço de e-mail associado. Se não for o caso, selecione Given-Name em vez disso.
  10. Em Tipo de declaração de saída, selecione ID do nome. Em Formato do ID do nome de saída, selecione E-mail. 
  11. Clique em Concluir.
    As informações da regra de declaração estão preenchidas e o botão Concluir está destacado.
  12. Clique em OK na janela Editar regras de declaração. 
    O botão OK é exibido destacado na janela Editar regras de declaração.

Ajustando o algoritmo de hash

Isso garante que as três partes sejam concluídas para que a configuração seja feita corretamente. 

  1. Clique duas vezes na sua RPT.
    A relação de confiança com a terceira parte confiável do Engage está selecionada no aplicativo AD FS.
  2. Selecione a guia Avançado .
  3. Na lista suspensa Algoritmo de hash seguro, selecione SHA-1.
  4. Clique em OK.
    A guia Avançado está selecionada nas propriedades do Panorama e SHA-! está selecionado em Algoritmo de hash seguro.

Configuração do Panorama

Depois de ajustar todas as configurações no ADFS, você poderá configurar as definições no Panorama.

  1. Faça login no seu LMS e acesse o Panorama.
  2. Selecione Configurações e, em seguida, selecione Integrações.
  3. No menu suspenso Selecionar integrações, selecione SSO-SAML.
    Integração SSO-SAML com Selecionar integração circulado

  4. Você precisará preencher as informações de cada um dos painéis da integração: Detalhes gerais do SSO, Provisionamento de usuários, Mapeamento de funções e Integração cruzada com LTI 1.3. Siga a tabela abaixo para preencher as informações.

    Atributo Obrigatório? Descrição
    Detalhes gerais do SSO 
    URL do SSO  Sim

    O URL usado para o SSO. É para onde o Panorama enviará os tokens AuthnRequest. Encontrado nos metadados do IDP como o atributo “Location”. Observação: Para o Panorama, é usado um vínculo HTTP-Redirect.

    Exemplo: “https:///adfs/ls/”
    Formato do ID do nome Sim

    O formato a ser usado pelo SP e pelo IDP ao se comunicarem sobre um assunto. Encontrado nos metadados do IDP como o valor dessa tag. Observação: Se disponíveis, os endereços de e-mail devem ser priorizados e usados.

    Exemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
    Impressão digital do certificado de assinatura do ADFS Sim

    A impressão digital exclusiva do certificado do IDP é usada ao assinar as respostas SAML. A impressão digital não está explicitamente localizada nos metadados, mas o certificado é usado para assinar a SAMLResponse ou a Assertion. Consulte Como obter a impressão digital de um certificado na seção Ferramentas adicionais deste documento para mais detalhes.

    Exemplo: 7j2mka9cfe2d09j23eefe11142f6a49d1222391
    Provisionamento de usuários 
    Atributo de nome Sim

    O nome do atributo na resposta SAML que descreve o nome do usuário (ou seja, o primeiro nome). Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob o nome apropriado.

    O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
    Atributo de sobrenome Sim

    O nome do atributo na resposta SAML que descreve o sobrenome do usuário (ou seja, o último nome). Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob o sobrenome apropriado.

    O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
    Atributo de e-mail Sim

    O nome do atributo na resposta SAML que descreve o endereço de e-mail do usuário. Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob o endereço de e-mail apropriado. 

    O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    Atributo de função Sim

    O nome do atributo na resposta SAML que descreve a função do usuário. Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob a função apropriada.  

    O valor deve ser: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
    Mapeamento de funções
    Mapeamento de administrador Sim

    Pode ser usada uma lista de valores separados por vírgula. Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como gerente de TI.

    Exemplo: IT Manager
    Mapeamento de instrutor Sim

    Pode ser usada uma lista de valores separados por vírgula. Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como instrutor.

    Exemplo: Instructor, Teacher ou TA
    Integração cruzada com LTI
    Atributo de vinculação do SSO Não Um atributo exclusivo que vincula o SSO ao LMS. Isso permite que um usuário seja reconhecido como um único usuário, independentemente de fazer login com o SSO ou com o LMS. Você precisará inserir o nome do atributo de vinculação fornecido pelo seu SSO.
    Campo personalizado de vinculação do LTI 1.3 Não Um atributo exclusivo que vincula o SSO ao LMS. Isso permite que um usuário seja reconhecido como um único usuário, independentemente de fazer login com o SSO ou com o LMS. Você precisará inserir o nome do campo personalizado usado para configurar a inicialização do LTI. 

  5. Depois de ajustar todas as configurações necessárias, clique em Salvar alterações para concluir a integração. Observação: Você pode testar a integração de SSO selecionando Iniciar página de login do SSO e fazendo login com a sua integração.
    Integração SSO - SAML com Salvar alterações circulado
     

     

Ferramentas adicionais  

Como obter a impressão digital de um certificado

A impressão digital do certificado do IDP é usada para fins adicionais de segurança quando o SP verifica uma resposta SAML do IDP. Para obter a impressão digital do certificado, siga as instruções abaixo:

  1. Nos metadados do IDP do Google, extraia o certificado X509. Ele deve estar localizado em: <IDPSSODescriptor> →<KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> → <X509Certificate>
  2. Depois de obter o certificado, acesse o seguinte site: https://www.samltool.com/fingerprint.php.
  3. Cole o certificado na caixa de texto “X509 cert”.
  4. Verifique se “sha1” está selecionado como o Algoritmo.
  5. Clique em “Calculate Fingerprint”.
  6. Copie o valor “FingerPrint” gerado. Esse é o valor usado no banco de dados. A impressão digital deve ser uma matriz de 20 bytes para “sha1”.

Artigos relacionados

Entrar em contato com o suporte