Exemple de configuració SAML amb el component Active Directory Federation Services (ADFS)

Aquesta pàgina de documentació descriu els passos de configuració que permeten activar l’autenticació SAML a Cyberwatch mitjançant un proveïdor d’identitat Microsoft ADFS.

Es tracta d’un exemple simplificat, que permet implementar una configuració mínima per al funcionament del servei SAML.

Requisits previs

El procediment d’exemple suposa els requisits previs següents:

  • un servidor Windows 2019 operatiu
  • una instància d’Active Directory en què l’atribut «email» dels usuaris està definit
  • un certificat SSL per a la configuració de la banda d’ADFS
  • ADFS instal·lat al vostre servidor Windows

Evidentment, aquests requisits es poden adaptar al vostre entorn; el procediment funcionarà, per exemple, de manera similar amb un servidor Windows 2016 en lloc d’un servidor Windows 2019.

Obtenció del certificat de l’IDP

Primer de tot, obteniu el certificat de l’IDP, que s’indicarà a Cyberwatch al pas 5°).

Per fer-ho, baixeu el fitxer XML de metadades de l’IDP des de l’URL: https://[URL_IDP]/federationmetadata/2007-06/federationmetadata.xml

El fitxer obtingut ha de contenir dos certificats dins de camps <X509Certificate>. Extraieu el primer certificat que conté la secció <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> de l’XML.

Conserveu aquest certificat: s’utilitzarà al pas següent per a la configuració SAML a Cyberwatch.

Configuració SAML a la banda de Cyberwatch

Comenceu configurant la part SAML a Cyberwatch, des del menú Administració > Proveïdor d’identitat.

  1. Al camp «Format del nom d’identificació», indiqueu urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
  2. Al camp «Text del botó d’inici de sessió», indiqueu el valor que vulgueu, per exemple Inici de sessió ADFS. Aquest valor s’utilitzarà com a text del botó d’inici de sessió SAML a la pàgina d’autenticació de Cyberwatch
  3. Al camp «SP Entity ID», anomeneu l’identificador de la part de confiança (relying party trust) del vostre IDP, per exemple CYBERWATCH
  4. OPCIONAL Podeu omplir el camp «IDP Entity ID» amb el valor del camp entityID de les metadades de l’IDP, que normalment té la forma http://[URL_IDP]/adfs/services/trust
  5. Al camp «URL de destinació SSO IDP», indiqueu l’URL d’autenticació SSO de l’ADFS. Ha de tenir la forma https://[URL_IDP]/adfs/ls
  6. Per al «Certificat IDP», copieu el certificat exportat al pas anterior
  7. Deseu la configuració

Un cop desada la configuració, la URL de les metadades SP de Cyberwatch està disponible i ofereix un enllaç per baixar el fitxer XML de metadades de l’aplicació Cyberwatch anomenat saml_metadata. Baixeu-lo: s’utilitzarà per automatitzar una part de la configuració a l’ADFS.

OPCIONAL - Configuració dels atributs a Cyberwatch

Mostra els detalls de configuració dels atributs

La configuració dels atributs és opcional i permet gestionar automàticament l’assignació dels rols dels usuaris, dels projectes, de l’adreça electrònica de l’usuari, etc., i d’altres atributs específics de Cyberwatch, com ara l’accés a tots els actius o l’accés a Kibana.

Els elements següents mostren exemples de configuració d’aquests elements en el cas d’un ús d’aquests atributs amb SAML ADFS.

Configuració dels rols

El camp «Atribut dels rols» permet definir un atribut en què es basarà Cyberwatch per assignar automàticament rols als usuaris SAML.

Segons el valor d’aquest atribut, als usuaris se’ls assignarà un rol entre Administrador, Administrador del sistema, Administrador de seguretat o Auditor, en funció del valor de l’atribut definit a la configuració de Cyberwatch per a cadascun d’aquests rols.

En aquest exemple, utilitzarem els grups d’Active Directory dels usuaris per definir-ne els rols a Cyberwatch.

  1. A «Atribut dels rols», indiqueu el valor http://schemas.xmlsoap.org/claims/Group
  2. A «Administrador», indiqueu el valor cbw_admin
  3. A «Administrador del sistema», indiqueu el valor cbw_admin_sys
  4. A «Administrador de seguretat», indiqueu el valor cbw_admin_secu
  5. A «Auditor», indiqueu el valor cbw_audit

Amb aquesta configuració, a un usuari que pertanyi a un dels grups LDAP indicats com a valor se li assignarà el rol associat a aquest valor.

A un usuari LDAP que no pertanyi a cap dels grups especificats se li assignarà el rol Auditor.

A un usuari LDAP que pertanyi a diversos d’aquests grups se li assignarà el rol amb més privilegis.

Configuració dels projectes

El camp «Atribut dels projectes» permet definir l’atribut en què es basarà Cyberwatch per determinar els projectes als quals tindran accés els usuaris SAML.

Al camp «Atribut dels projectes», indiqueu el valor http://schemas.xmlsoap.org/claims/Group.

A continuació, el camp «Correspondència de projectes (format YAML)» permet associar cada grup d’AD als projectes de Cyberwatch corresponents. Per exemple:

groupe_sso_1:
  - projet1
groupe_sso_2:
  - projet1
  - projet2

A un usuari que iniciï la sessió amb SAML se li assignaran automàticament els projectes associats als grups d’AD dels quals forma part.

Cal que els projectes s’hagin creat prèviament a Cyberwatch i que els seus noms siguin idèntics als indicats a la correspondència YAML.

Accés a tots els actius / Accés a Kibana

L’«Accés a tots els actius» i l’«Accés a Kibana» funcionen de la mateixa manera.

Consisteix a definir un atribut en què es basarà Cyberwatch per concedir automàticament l’accés a tots els actius o l’accés a Kibana als usuaris SAML.

Seguint amb l’exemple dels grups LDAP, us podeu basar, per exemple, en l’atribut http://schemas.xmlsoap.org/claims/Group.

Així, podríem tenir:

Nom de l’accésAtributinclòs a
Accés a tots els actiushttp://schemas.xmlsoap.org/claims/Groupcbw_all_assets
Accés a Kibanahttp://schemas.xmlsoap.org/claims/Groupcbw_kibana

Atributs Adreça electrònica, Descripció i Nom complet

Aquests tres atributs funcionen de la mateixa manera. Permeten definir un atribut SAML el valor del qual s’utilitzarà per emplenar, respectivament, l’adreça electrònica, la descripció i el nom complet de l’usuari.

Aquests elements poden requerir configuracions addicionals a les regles de notificació (claim rules) de la banda d’ADFS.

Configuració a la banda d’ADFS

Creació d’una relació de confiança (relying party trust)

Des del servidor ADFS, obriu la consola «AD FS Management».

Afegiu una relació de confiança seguint els passos següents:

  1. Obriu la carpeta «AD FS» al panell de navegació de la consola
  2. Feu clic amb el botó dret a «Relying Party Trusts»
  3. Seleccioneu «Add Relying Party Trust…»; s’obre l’assistent «Add Relying Party Trust Wizard»
  4. Al pas «Welcome» de l’assistent, trieu l’opció «Claims aware»
  5. Al pas «Select Data Source», seleccioneu «Import data about the relying party from a file» i importeu el fitxer saml_metadata generat abans des de Cyberwatch
  6. Al pas «Specify Display Name», indiqueu un nom que permeti identificar fàcilment la relació de confiança: per exemple Cyberwatch SAML
  7. Al pas «Choose Access Control Policy», seleccioneu «Permit everyone» o qualsevol altra opció que vulgueu configurar
  8. El pas «Ready to Add Trust» només permet verificar els elements configurats, si ho voleu
  9. Al pas «Finish», marqueu l’opció «Configure claims issuance policy for this application» i confirmeu

Creació de les regles de notificació

Un cop creada la relació de confiança, en afegir regles de notificació (claim rules) es podrà enviar a Cyberwatch la informació necessària per a l’autenticació.

El nostre exemple proposa crear dues regles, que són suficients perquè l’autenticació SAML funcioni, seguint aquest procediment:

  1. A la relació de confiança Cyberwatch SAML que acabeu de crear, feu clic amb el botó dret a «Edit Claim Issuance Policy…»
  2. S’obre una finestra que permet crear «Issuance Transform Rules»
  3. Feu clic a «Add Rule…»
  4. Al pas «Choose Rule Type», seleccioneu «Send LDAP Attributes as Claims»

  5. Al pas «Configure Claim Rule»:

    • poseu un nom a la regla de notificació
    • seleccioneu el magatzem d’atributs «Active Directory»
    • a la taula «Mapping of LDAP attributes to outgoing claim types», seleccioneu E-Mail-Addresses per a l’atribut LDAP i E-Mail Address per al tipus de notificació de sortida
    • per a la gestió posterior dels permisos a Cyberwatch, seleccioneu, per exemple, una altra entrada Token-Groups - Unqualified Names per a l’atribut LDAP i Group per al tipus de notificació de sortida
    • confirmeu la creació de la regla

  6. Afegiu una regla nova, aquesta vegada seleccionant Transform an Incoming Claim com a plantilla de la regla. Al pas de configuració de la regla:

    • poseu un nom a la regla de notificació
    • seleccioneu E-Mail Address al camp «Incoming claim type»
    • deixeu Unspecified a «Incoming name ID format»
    • seleccioneu Name ID al camp «Outgoing claim type»
    • seleccioneu Email al camp «Outgoing name ID format»
    • seleccioneu l’opció Pass through all claim values
    • confirmeu la regla

Aleshores, la configuració de la banda d’ADFS hauria de ser vàlida.

Verificació del funcionament i resolució de problemes

Obriu una finestra de navegació privada nova i aneu a la pàgina d’autenticació de Cyberwatch.

Hi hauria d’haver disponible un botó blau nou Inici de sessió ADFS (en funció del valor indicat al pas 1°) de la configuració a Cyberwatch).

Feu clic a aquest botó: si les configuracions d’ADFS i de Cyberwatch són vàlides, el navegador us redirigeix a la pàgina d’autenticació d’ADFS.

Introduïu les credencials del vostre compte LDAP per autenticar-vos al servei SAML ADFS. El navegador us redirigeix i us autentica a l’aplicació Cyberwatch amb el vostre usuari.

Comproveu que no tingueu ja a Cyberwatch un compte local o LDAP amb la mateixa adreça electrònica que la que s’utilitza per a l’autenticació SAML; si no, obtindreu un error en intentar iniciar la sessió.

Ajuda per a la resolució de problemes

Pot ser que calgui fer alguns passos de resolució de problemes; es poden fer visualitzant les sol·licituds SAML.

Normalment, aquestes sol·licituds es poden visualitzar amb una extensió de navegador com ara SAML-tracer.

No dubteu a contactar amb nosaltres a l’adreça electrònica support@cyberwatch.com per a qualsevol ajuda tècnica amb la configuració.