Integrando o Lumina ao ADFS (SAML)

1. No servidor ADFS, abra o aplicativo Gerenciamento do ADFS.
2. No painel esquerdo, vá até a seção Relações de confiança e clique em Relações de confiança de terceira parte confiável. 
3. Na guia Ações, clique em Adicionar relação de confiança de terceira parte confiável. 
4. Na janela Assistente para adicionar relação de confiança de terceira parte confiável, clique em Iniciar.
5. Selecione Inserir dados sobre a terceira parte confiável manualmente. Siga as etapas abaixo para configurar a RPT.
6. Insira um nome de exibição para a RPT (por exemplo, “YuJa”).
7. Clique em Avançar.
8. Selecione Perfil do ADFS e clique em Avançar.
9. Na etapa Configurar certificado, clique em Avançar. Não criptografe as declarações enviadas à YuJa.
10. Selecione Habilitar suporte para o protocolo WebSSO do SAML 2.0.
11. No campo URL do serviço SSO do SAML 2.0 da terceira parte confiável informe o valor https://<YOUR_YUJA_DOMAIN>.yuja.com/D/SamlReceiveResponse.
12. Clique em Avançar.
13. No campo Identificador da relação de confiança da terceira parte confiável informe o valor https://<YOUR_YUJA_DOMAIN>.yuja.com.
14. Clique em Adicionar, e depois clique em Avançar. 
15. Marque a caixa de seleção Não desejo configurar as definições de autenticação multifator para esta relação de confiança de terceira parte confiável neste momento e depois clique em Avançar.
16. Selecione Permitir que todos os usuários acessem esta terceira parte confiável e depois clique em Avançar.
17. Revise as configurações e depois clique em Avançar.
18. Selecione a opção Abrir a caixa de diálogo Editar regras de declaração para esta relação de confiança de terceira parte confiável quando o assistente for fechado e depois clique em Fechar.

1. Clique na RPT. 
2. No painel direito, clique em Editar regras de declaração.
3. Na janela Editar regras de declaração, clique em Adicionar regra.
4. Selecione Enviar atributos LDAP como declarações, e depois clique em Avançar.
5. Insira um nome da regra de declaração.
6. Selecione Active Directory como o repositório de atributos.

7. Crie quatro mapeamentos de declaração. O quinto, yujaUserIDmapping, é opcional e é usado para substituir o ID YuJa do usuário pelo campo yujaUserIDmapping.  

    

   Atributo LDAP	Tipo de declaração de saída
   E-Mail-Addresses	E-mail Address
   Given-Name	Given Name
   Surname	Surname
   <Um atributo relacionado à função de um usuário>	Role
   <Um atributo relacionado à função de um usuário>	yujaUserIDmapping

   A declaração Role é usada para determinar se os usuários são provisionados como estudantes (o padrão) ou recebem privilégios elevados (instrutor/gerente de TI). Os valores sugeridos para esse campo são IT Manager e Instructor (para os usuários que você deseja que tenham privilégios de gerente de TI/instrutor, respectivamente), mas você pode usar valores existentes/personalizados.

8. Clique em Concluir.
9. Para criar uma segunda regra de declaração, clique em Adicionar regra. 
10. Selecione Transferir declaração de entrada e depois clique em Avançar.
11. Insira um nome da regra de declaração.
12. Para Tipo de declaração de entrada, selecione E-Mail Address se cada usuário do sistema ADFS tiver um endereço de e-mail associado. Se esse não for o caso, selecione Given Name.
13. Para Tipo de declaração de saída, selecione NameID. 
14. Para o formato de ID de nome de saída, selecione E-mail. 
15. Clique em Concluir.
16. Clique em OK.

1. Clique duas vezes na sua RPT.
2. Selecione a guia Avançado.
3. No menu suspenso, selecione SHA-1.
4. Clique em OK.

1. Acesse o seu certificado raiz confiável.
2. Adicione o certificado SAML da YuJa disponível aqui.

Se você usa o Microsoft ADFS como provedor SAML, pode acessar o assistente de instalação de certificados no painel de configuração de criptografia depois de adicionar o certificado SAML da YuJa. Saiba mais sobre como instalar o certificado raiz confiável. 

1. Faça login no Lumina como administrador. 
2. Clique no botão Menu principal > Painel de administrador.
3. Na barra lateral, selecione Integrações.
4. No campo Selecione uma API para configurar, selecione SSO - ADFS (SAML). 

5. Insira as informações:

   Atributo	Obrigatório?	Descrição
   URL de SSO do ADFS	Sim	A URL usada para SSO. É para onde a YuJa enviará os tokens AuthnRequest. -Encontrada nos metadados do IDP como o atributo “Location”. Observe que, para a YuJa, é usado um vínculo HTTP-Redirect. Por exemplo: “https:///adfs/ls/”
   Formato do Name ID	Sim	O formato a ser usado pelo SP e pelo IDP ao se comunicarem sobre um sujeito. Encontrado nos metadados do IDP como o valor dessa tag. Observe que, se estiver disponível, emailAddress deve ser priorizado e usado. Por exemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
   URL de logout remoto	Atualmente não compatível	Deixe este valor em branco
   Impressão digital do certificado de assinatura do ADFS	Sim	A impressão digital exclusiva do certificado do IDP é usada na assinatura das respostas SAML. A impressão digital não está explicitamente nos metadados, mas o certificado é usado para assinar a SAMLResponse ou a Assertion. Consulte Como obter a impressão digital de um certificado na seção Ferramentas adicionais deste documento para mais detalhes. Por exemplo: 7j2mka9cfe2d09j23eefe21442f6a49d1222391f
   Atributo de nome	Não	O nome do atributo na resposta SAML que descreve o nome do usuário (ou seja, o primeiro nome). Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob a tag apropriada para o nome. O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
   Atributo de sobrenome	Não	O nome do atributo na resposta SAML que descreve o sobrenome do usuário (ou seja, o último nome). Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob a tag apropriada para o sobrenome. O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
   Atributo de e-mail	Não	O nome do atributo na resposta SAML que descreve o endereço de e-mail do usuário. Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob a tag apropriada para o endereço de e-mail.  O valor deve ser: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   Atributo de função	Não	O nome do atributo na resposta SAML que descreve a função do usuário. Encontrado nos metadados do IDP. Há uma seção no arquivo .XML que deve conter uma lista de tags. Insira o valor da chave “Name”, sob a tag apropriada para a função.   O valor deve ser: http://schemas.microsoft.com/ws/2008/06/identity/claims/role
   Gerente de TI	Não	Pode ser usada uma lista de valores separados por vírgula. Se o valor recebido no atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como gerente de TI. Por exemplo: IT Manager
   Instrutor	Não	Pode ser usada uma lista de valores separados por vírgula. Se o valor recebido no atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como instrutor. Por exemplo: Instructor ou, Teacher, TA
   Sincronizar dados automaticamente no login do usuário	Não	Se estiver marcada, sempre que um usuário fizer login via ADFS, as informações básicas dele serão atualizadas com base nos dados recebidos no token de resposta SAML

6. Marque a caixa de seleção Ativar a assinatura da solicitação de autenticação para habilitar a assinatura da solicitação de autenticação.
   Observação: isso exige adicionar o certificado SAML da YuJa ao seu repositório de certificados raiz confiáveis.
7. Clique em OK. Se você cometeu algum erro, é possível atualizar as definições de configuração.
8. Clique em Salvar para manter as alterações.
9. Para testar se a configuração está correta, clique em Testar login SAML. Isso abrirá uma nova guia e navegará até o seu servidor ADFS, solicitando um login. Insira credenciais de login válidas e faça login. Você será redirecionado de volta à YuJa, conectado como um novo usuário. Fazer login como um novo usuário pode desconectar a conta original. Saia da conta recém-criada e faça login novamente como administrador. Em seguida, acesse Painel de administrador > Integrações > SSO > ADFS (SAML).
10. Para ativar o novo esquema de autenticação da sua organização, clique em Ativar.

11. Clique em OK.

    Importante: ative o novo esquema de autenticação somente depois de realizar com sucesso um login de teste, quando estiver pronto para disponibilizá-lo a todos os usuários da sua organização

1. Configure o seu LMS para passar à ferramenta YuJa um parâmetro LTI personalizado chamado lis_person_sourcedid, que contenha o valor de SSO usado para a correspondência cruzada. Pode ser um e-mail, um ID de funcionário ou outros campos. Talvez seja necessário consultar a documentação do produto do seu LMS para saber como definir parâmetros LTI personalizados. O Lumina usará esse recurso para vincular os dois métodos de login à mesma conta.
2. Obtenha o nome específico do atributo usado no token de resposta SAML cujo valor corresponde ao identificador exclusivo usado pelo provedor LTI (na Etapa 1 acima). Por exemplo, se o identificador exclusivo for o endereço de e-mail do usuário, o atributo de vinculação poderá ser http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress. Uma lista completa dos possíveis nomes de atributos pode ser encontrada no arquivo de metadados do ADFS, nas tags Attribute. 
3. Insira esse valor no campo Atributo de vinculação. Esse campo de texto só aparecerá se a sua organização tiver habilitado o acesso por LTI.
4. Clique em Salvar. Agora, ao fazer login pela primeira vez via ADFS (SAML), o Lumina procurará um vínculo com uma conta LTI usando o valor do atributo de vinculação. Se encontrar, a conta SAML será vinculada à conta existente. Caso contrário, uma nova conta será provisionada normalmente. Todos os logins posteriores ao primeiro continuarão vinculados à conta do Lumina criada ou encontrada no primeiro login.

1. Nos metadados do IDP do ADFS, extraia o certificado X509. Ele fica em:
   <IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate>
2. Acesse o site: https://www.samltool.com/fingerprint.php.
3. No campo X509 cert, cole o certificado. 
4. Selecione sha1 como o Algorithm.
5. Clique em Calculate Fingerprint.
6. Copie o valor de Fingerprint gerado. Este é o valor usado no banco de dados.
   Observação: a impressão digital deve ser um array de 20 bytes para sha1.