Este documento tem como objetivo orientar os usuários sobre como integrar o servidor Dell Cloud
Access Manager (DCAM) de sua instituição como sistema de SSO para fazer login na plataforma de vídeo corporativa
YuJa. Depois de configurado corretamente, o usuário que tentar acessar os serviços da YuJa será redirecionado primeiro
ao IDP com o qual o DCAM está configurado para fazer login e, em seguida, redirecionado de volta à YuJa, onde será verificado
e conectado.
Configuração do DCAM
A configuração envolve criar um novo aplicativo no console do One Identity Cloud Access Manager e, em seguida, integrar o servidor DCAM no lado da YuJa. Depois que os dois lados estiverem configurados corretamente, a finalização envolve um teste de SSO usando o DCAM como IDP e, em seguida, a ativação do novo SSO para que os usuários da sua instituição possam fazer login pelo sistema DCAM.
Observação: Em algumas etapas, <organization> deve ser substituído pelo DNS curinga da organização associada à plataforma de vídeo. Por exemplo, para “https://hudson.yuja.com”, seria substituído por “hudson”.
Adicionar a plataforma de vídeo como aplicativo no console do Cloud Access Manager
- No seu servidor DCAM, acesse: https:///CloudAccessManager/UI/Admin/Go Se necessário, faça login com credenciais válidas.
- Na guia Página inicial, na seção Aplicativos, clique em Adicionar novo.
- Clique em Configurar manualmente.
- Em Métodos de SSO federado, selecione SAML. Clique em Avançar.
- Insira as configurações manualmente:
Parâmetro Valor URLs do Assertion Consumer Service → Recipient https://<organization>.yuja.com/D/samlReceiveResponse Audience / Identidade do SP https://<organization>.yuja.com Logout do aplicativo Informe a URL de logout de sua preferência. Enviar certificado de assinatura A YuJa não assina nem criptografa as solicitações de autenticação, portanto não envie um certificado de assinatura. Enviar certificado de criptografia A YuJa não oferece suporte a respostas de autenticação criptografadas, portanto não envie um certificado de criptografia. - Clique em Avançar.
- Selecione “Usar o nome de usuário (assunto) fornecido por “Seu autenticador”. Clique em Avançar.
- Selecione Não usar proxy para este aplicativo. Clique em Avançar.
- Para cada um de Administrador e Usuários, selecione-o e clique em Permitir acesso à função. Clique em Avançar.
- Insira um Nome do aplicativo, por exemplo “YuJa”. Clique em Avançar.
- Insira as seguintes informações:
a. Modo de SSO - Iniciado pelo SP.
b. URL - “https://.yuja.com/D/SamlAuthentication”.
c. Seção - Aplicativos
d. Título - Descrição
e. Selecione “Adicionar aplicativo à página inicial do portal de aplicativos”.
f. Não selecione “Permitir que os usuários removam o aplicativo da página inicial do portal de aplicativos”. Clique em Concluir. - Na página Aplicativo criado, o certificado é necessário para configurar o lado da YuJa. Não o baixe. Basta salvar o corpo do texto (ou seja, exclua as linhas “-----BEGIN CERTIFICATE-----” e “-----END CERTIFICATE-----”, salvando apenas a parte do meio).
- Na barra lateral esquerda, em Aplicativos, acesse Exibir e editar. Clique duas vezes no novo aplicativo que acabou de criar.
- Na barra lateral esquerda, acesse Configurações de token.
- Para samltoken.name_id, selecione“urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress”. Para samltoken.signature, selecione “AssertionOnly”. Deixe todas as outras configurações com os valores padrão. Clique em Concluir.
Configurar a plataforma de vídeo
- Acesse o domínio da plataforma de vídeo da sua organização (ou seja, https://.yuja.com).
- Faça login como administrador e acesse o Painel de administrador a partir do Menu principal. Escolha a guia Integrações.
- Em Selecione uma API para configurar, escolha SSO – DCAM(SAML).
- Insira os seguintes parâmetros de configuração:
Parâmetro Valor URL de login do IDP A URL de login do IDP do aplicativo que você criou. Ela pode ser encontrada na guia Configurações de federação do aplicativo DCAM. Formato do Name ID urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress URL de logout remoto <deixe este valor em branco> Impressão digital do certificado de assinatura do DCAM Recupere o certificado obtido na configuração do DCAM. Siga as etapas em Como obter a impressão digital a partir de um certificado. Atributo de nome O nome do atributo na resposta SAML** que descreve o nome do usuário (ou seja, o primeiro nome). - Por exemplo: urn:oid:2.5.4.42 Atributo de sobrenome O nome do atributo na resposta SAML** que descreve o sobrenome do usuário (ou seja, o último nome). Por exemplo:urn:oid:2.5.4.4 Atributo de e-mail O nome do atributo na resposta SAML** que descreve o endereço de e-mail do usuário. Por exemplo:urn:mace:dir:attribute-def:mail Atributo de função O nome do atributo na resposta SAML** que descreve a função do usuário. Por exemplo: urn:mace:dir:attribute def:eduPersonScopedAffiliation Gerente de TI Pode ser usada uma lista de valores separados por vírgula -Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como gerente de TI. -Por exemplo: IT Manager Instrutor Pode ser usada uma lista de valores separados por vírgula -Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como instrutor. -Por exemplo: Instructor ou Instructor,Teacher,TA Sincronizar dados automaticamente no login do usuário Se marcado, sempre que um usuário fizer login via ADFS, suas informações básicas serão atualizadas com base nos dados recebidos no token de resposta SAML. - Clique em Criar. Clique em Ok na caixa de diálogo de confirmação.
- Se necessário, você pode atualizar as configurações caso tenha cometido algum erro. Basta clicar em
Salvar para manter as alterações. Para testar se a configuração está correta, clique em Testar login SAML. Isso deve abrir uma nova guia e acessar o IDP com o qual o seu servidor DCAM está configurado, solicitando o login. - Insira credenciais de login válidas e faça login. Você deve ser redirecionado de volta à plataforma de vídeo, conectado como um novo usuário.
- Depois de verificar que o SSO do DCAM funciona, você pode ativar o
novo esquema de autenticação para a sua organização.
Importante: Ative o novo esquema de autenticação somente depois de realizar um login de teste
com sucesso e quando estiver pronto para disponibilizá-lo a todos os usuários da sua instituição.
Integração cruzada com LTI
Se a sua instituição habilitou tanto a integração com o LMS via LTI quanto o acesso por SSO, você pode vincular as duas integrações. Em geral, recomendamos isso porque, independentemente de os usuários fazerem login pelo LMS ou pelo SSO, eles verão as mesmas informações de conta da plataforma de vídeo. Em contrapartida, se a integração cruzada com LTI não estiver configurada, um usuário que usa tanto o LMS quanto o SSO com a YuJa receberá duas contas separadas, o que, em muitos casos, não é o ideal.
- Configure o seu LMS para passar à ferramenta da YuJa um parâmetro LTI personalizado chamado
lis_person_sourcedid, que contém o valor de SSO usado para correspondência. Pode ser um e-mail,
um ID de funcionário ou outro campo. Talvez seja necessário consultar a documentação do produto
da sua plataforma de LMS sobre como definir parâmetros LTI personalizados. A plataforma de vídeo usará esse recurso para vincular os dois métodos de login à mesma conta. - Obtenha o nome específico do atributo usado no token de resposta SAML cujo valor
corresponde ao identificador exclusivo usado pelo provedor de LTI.
a. Por exemplo, se o identificador exclusivo for o endereço de e-mail do usuário, o atributo
de vínculo poderá ser “urn:mace:dir:attribute-def:mail”
b. Uma lista completa dos nomes de atributos possíveis pode ser encontrada no arquivo de metadados
do DCAM, nas tags Attribute. - Insira esse valor no campo Atributo de ligação. Observação: essa caixa de texto só aparecerá se a sua
instituição tiver habilitado o acesso por LTI. - Clique em Salvar.
Como obter a impressão digital de um certificado
A impressão digital do certificado do IDP é usada para fins adicionais de segurança quando o SP verifica uma resposta SAML do IDP. Para obter a impressão digital do certificado, siga as instruções abaixo:
- Nos metadados do IDP do ADFS, extraia o certificado X509. Ele deve estar em:
<IDPSSODescriptor>--<KeyDescriptor use="signing">--<KeyInfo>--<X509Data>--<X509Certificate> - Depois de obter o certificado, acesse o seguinte site: https://www.samltool.com/fingerprint.php
- Cole o certificado na caixa X509 cert de texto.
- Verifique se sha1 está selecionado como Algorithm.
- Clique em Calculate Fingerprint.
- Copie o valor Fingerprint gerado. Esse é o valor usado no banco de dados. Observação: a impressão digital deve ser um array de 20 bytes para sha1.