O Google Apps é um produto que oferece uma solução de identidade federada para conectar usuários a aplicativos, tanto dentro quanto fora das organizações. A estrutura flexível de provedor de módulo de SSO da plataforma de vídeo foi projetada para oferecer suporte a uma ampla variedade de soluções de identidade, permitindo a integração completa do Google Apps à sua infraestrutura.
Este documento tem como objetivo orientar os usuários sobre como integrar a plataforma de vídeo como provedor de serviços (SP), usando o Google como provedor de identidade (IDP). Depois de configurado corretamente, os usuários que tentarem acessar os serviços da plataforma de vídeo serão redirecionados primeiro ao Google, que solicitará as credenciais de login. Depois de autenticado, o navegador redirecionará novamente de volta à plataforma de vídeo, com login como usuário novo ou existente.
Configuração
A configuração envolve criar um novo aplicativo SAML no console de administração do Google e, em seguida, configurar o lado da plataforma de vídeo integrando o Google como IDP, testando e ativando o SSO SAML para os usuários da instituição.
Em algumas etapas, <organization> deve ser substituído pelo DNS curinga da organização associada à plataforma de vídeo. Por exemplo, para “https://hudson.yuja.com”, organization seria substituído por “hudson”.
Criar um novo aplicativo SAML para a plataforma de vídeo no Console de administração do Google
Siga as instruções nas seguintes seções: Set up your own SAML app, Turn on SSO to your new SAML app e Verify SSO between Google Apps and your new SAML app, consultando este documento para obter instruções específicas em determinadas etapas.
Referência à seção: Set up your own SAML app
- Baixe os metadados do IDP. Eles serão usados para configurar o lado da plataforma de vídeo.
- Insira as informações a seguir:
Parâmetro Valor URL do ACS https://<organization>.yuja.com/D/SamlReceiveResponse ID da entidade https://<organization>.yuja.com URL de início **deixe em branco** ID do nome Informações básicas, E-mail principal Formato do ID do nome E-mail - Marque Resposta assinada. Isso aumenta a segurança na comunicação entre o SP e o IDP.
- Crie quatro mapeamentos:
Atributo do aplicativo Categoria Campo do usuário Given Name Informações básicas Nome Family Name Informações básicas Sobrenome Email Informações básicas E-mail Role Detalhes do cargo Cargo (ou outro campo apropriado). Este campo é usado para determinar se os usuários são provisionados como estudantes (o padrão) ou recebem privilégios ampliados (Instrutor/Gerente de TI). Os valores sugeridos para este campo são IT Manager e Instructor (para os usuários aos quais você deseja conceder privilégios de Gerente de TI/Instrutor, respectivamente), mas você pode usar valores existentes ou personalizados (veja abaixo uma discussão sobre o mapeamento de Gerente de TI e Instrutor)
Configuração do SAML no lado da plataforma de vídeo
- Acesse https://<organization>.yuja.com e faça login como Gerente de TI da sua instituição.
- Acesse a guia Painel de administrador no Menu principal.
- Na barra lateral esquerda, acesse Integrações.
- No menu suspenso em Selecione integração, selecione SSO – Google Apps (SAML).
- Insira as informações listadas a seguir:
Atributo Obrigatório? Descrição URL de SSO do Google Sim A URL usada para o SSO. É para onde a plataforma de vídeo enviará os tokens AuthnRequest.
Encontrada nos metadados do IDP do Google em: <IDPSSODescriptor> → <SingleSignOnService>
como o atributo “Location”. Observe que, para a plataforma de vídeo, é usado um binding HTTP-Redirect.Por exemplo https://accounts.google.com/o/saml2/idp?idpid=B05pakw7
Formato do Name ID Sim O formato a ser usado pelo SP e pelo IDP ao se comunicarem sobre um sujeito.
Encontrado nos metadados do IDP do Google em:
<IDPSSODescriptor> → <NameIDFormat>
como o valor dessa tag. Observe que, se disponível, emailAddress deve ser priorizado e usado.Por exemplo: urn:oasis:names:tc:SAML:1.1:nameid- format:emailAddress
URL de logout remoto Atualmente não compatível Deixe em branco Impressão digital do certificado de assinatura do Google Não, mas é fortemente recomendado A impressão digital exclusiva do certificado do IDP é usada na assinatura das respostas SAML.
Consulte a seção intitulada Como obter a impressão digital de um certificado neste artigo para mais detalhes.Por exemplo: 7j2mka9cfe2d09j23eefe01442f6a49d1222391f
Atributo de nome Não (Diferencia maiúsculas de minúsculas) Insira o seguinte valor: First Name
Este é o valor exato usado no campo Atributo do aplicativo ao criar os mapeamentos de atributos.
Atributo de sobrenome Não (Diferencia maiúsculas de minúsculas) Insira o seguinte valor: Last Name
Este é o valor exato usado no campo Atributo do aplicativo ao criar os mapeamentos de atributos.
Atributo de e-mail Não (Diferencia maiúsculas de minúsculas) Insira o seguinte valor: Email
Este é o valor exato usado no campo Atributo do aplicativo ao criar os mapeamentos de atributos.
Atributo de função Não (Diferencia maiúsculas de minúsculas) Insira o seguinte valor: Title
Este é o valor exato usado no campo Atributo do aplicativo ao criar os mapeamentos de atributos.
Gerente de TI Não Pode ser usada uma lista de valores separados por vírgula.
Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como gerente de TI.
Por exemplo: IT ManagerInstrutor Não Pode ser usada uma lista de valores separados por vírgula
Se o valor recebido no Atributo de função corresponder a qualquer um desses valores, o usuário será provisionado como instrutor.Por exemplo: Instructor ou Teacher, TA
Sincronizar dados automaticamente no login do usuário Não Se marcado, sempre que um usuário fizer login via Google SAML Apps, suas informações básicas serão atualizadas com base nos dados recebidos na resposta SAML. - Clique em Criar. Na caixa de diálogo de confirmação, clique em Ok.
- Se necessário, você pode atualizar as configurações caso tenha cometido algum erro. Basta clicar em
Salvar para manter as alterações. - Para testar se a configuração foi feita corretamente nos dois lados, clique em Testar login SAML. Isso deve abrir uma nova guia e acessar o Google, solicitando as credenciais.
- Faça login usando uma conta válida do Google.
- Depois de fazer login com sucesso, você deve ser redirecionado de volta à plataforma de vídeo, conectado como um novo usuário.
Fazer login como um novo usuário desconectará a conta original. Saia da conta recém-criada e faça login novamente como Gerente de TI. Em seguida, volte para Painel de administrador → Integrações → SSO – Google Apps (SAML).
- Depois de verificar que o SSO do Google SAML Apps funciona, você pode ativar o novo esquema de autenticação para a sua organização. Para isso, clique em Ativar e, em seguida, clique em Ok.
Observação importante: Ative o novo esquema de autenticação somente depois de realizar um login de teste com sucesso e quando estiver pronto para disponibilizá-lo a todos os usuários da sua instituição.
Integração dupla com LTI
Se a sua organização habilitou tanto a integração com o LMS via LTI quanto o acesso por SSO, você pode vincular as duas integrações. Em geral, recomendamos isso porque, independentemente de os usuários fazerem login pelo LMS ou pelo SSO, eles verão as mesmas informações de conta da plataforma de vídeo. Em contrapartida, se a integração dupla com LTI não estiver configurada, um usuário que usa tanto o LMS quanto o SSO com a plataforma de vídeo receberá duas contas separadas, o que, em muitos casos, não é o ideal. Se o seu provedor de LTI no LMS puder ser configurado para fornecer à plataforma de vídeo um identificador exclusivo do usuário no sistema SAML, é possível vincular as duas contas.
- Configure o seu LMS para passar à ferramenta da plataforma de vídeo um parâmetro LTI personalizado chamado lis_person_sourcedid, que contém o valor de SSO usado para correspondência. Pode ser um e-mail, um ID de funcionário ou outro campo. Talvez seja necessário consultar a documentação do produto da sua plataforma de LMS sobre como definir parâmetros LTI personalizados. A plataforma de vídeo usará esse recurso para vincular os dois métodos de login à mesma conta.
- Obtenha o nome específico do atributo usado no token de resposta SAML cujo valor corresponde ao identificador exclusivo usado pelo provedor de LTI (na Etapa 1 acima). Por exemplo, se o identificador exclusivo for o endereço de e-mail do usuário, o atributo de vínculo seria “email”. Os valores possíveis são especificamente os definidos no Console de administração do Google ao configurar o aplicativo SAML. São os nomes usados na etapa de mapeamento de atributos.
- Insira esse valor no campo Atributo de ligação. Essa caixa de texto só aparecerá se a sua instituição tiver habilitado o acesso por LTI.
- Clique em Salvar.
- Agora, ao fazer login pela primeira vez via ADFS (SAML), o sistema da plataforma de vídeo procurará um vínculo com uma conta LTI usando o valor do atributo de ligação. Se encontrar, a conta SAML será vinculada à conta existente. Caso contrário, uma nova conta será provisionada normalmente.
- Todos os logins após o primeiro continuarão vinculados à conta da plataforma de vídeo criada ou encontrada no primeiro login.
Uso
Depois que os dois lados forem configurados e o SSO SAML for ativado, é fácil testar e verificar se tudo foi feito corretamente.
- Acesse o domínio da plataforma de vídeo da organização (ou seja, https://<organization>.yuja.com) e pressione Login. Isso deve redirecionar o usuário para a página de login do servidor de SSO.
- Insira credenciais válidas e faça login.
- Depois de autenticado, o usuário deve ser redirecionado de volta à plataforma de vídeo e o login é concluído com sucesso.
Como obter a impressão digital de um certificado
A impressão digital do certificado do IDP é usada para fins adicionais de segurança quando o SP verifica uma resposta SAML do IDP. Para obter a impressão digital do certificado, siga as instruções abaixo:
- Nos metadados do IDP do Google, extraia o certificado X509. Ele deve estar em:
<IDPSSODescriptor> → <KeyDescriptor use=”signing”> → <KeyInfo> → <X509Data> →
<X509Certificate> - Depois de obter o certificado, acesse o seguinte site: https://www.samltool.com/fingerprint.php
- Cole o certificado na caixa de texto X509 cert.
- Verifique se sha1 está selecionado como Algorithm.
- Clique em Calculate Fingerprint.
- Copie o valor Fingerprint gerado. Esse é o valor usado no banco de dados. Observação: a impressão digital deve ser um array de 20 bytes para sha1.
Plug-in útil do Chrome para depuração de token SAML
- Se você usa o Chrome como navegador, talvez queira instalar um plug-in SAML útil em:
https://chrome.google.com/webstore/detail/saml-chrome-panel/paijfdbeoenhembfhkhllainmocckace?hl=en - Depois de instalado, basta abrir as ferramentas do desenvolvedor no navegador (F12) e clicar na guia SAML. Agora, ao fazer um login iniciado pelo SP, os tokens SAML enviados pelo navegador serão exibidos em detalhes. Essa ferramenta pode ser muito útil para depurar solicitações e respostas SAML.