Exemple de configuració SAML amb Microsoft Entra ID

Aquesta pàgina descriu els passos per activar l’autenticació SAML a Cyberwatch utilitzant Microsoft Entra ID com a proveïdor d’identitat.

Presenta una configuració mínima perquè el servei SAML funcioni.

Requisits previs

El procediment suposa que disposeu dels elements següents:

  • Un compte d’Azure amb una subscripció activa
  • Accés d’administrador a Microsoft Entra ID i a Cyberwatch

Creació de l’aplicació SAML a Entra ID

  1. Inicieu la sessió al portal d’Azure: https://portal.azure.com
  2. Aneu a Microsoft Entra ID > Enterprise applications
  3. Feu clic a «New application» i cerqueu «Microsoft Entra SAML Toolkit»
  4. Doneu-li un nom (per exemple, Cyberwatch-SAML Toolkit) i feu clic a «Create»
  5. Inicieu la configuració de l’SSO fent clic a «Get started» a «Set up single sign on» i seleccioneu SAML

Configuració del Service Provider i del proveïdor d’identitat a Entra ID i a Cyberwatch

A Entra ID, configureu el Service Provider a «Basic SAML Configuration»:

  • Identifier (Entity ID): ID de Cyberwatch
  • Reply URL (ACS): URL de l’ACS de Cyberwatch
  • Sign on URL: URL d’inici de sessió a Cyberwatch
  • Logout URL (opcional): URL de tancament de sessió únic
  • Deseu la configuració

A Cyberwatch, indiqueu la informació general, el Service Provider i el proveïdor d’identitat:

  1. Format del nom d’identificació: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
  2. Text del botó d’inici de sessió: «Inici de sessió SAML Entra ID»
  3. SP Entity ID: ID de Cyberwatch
  4. URL de les metadades de l’IDP: copieu «App Federation Metadata URL» d’Entra ID
  5. Apliqueu els canvis per obtenir el certificat de l’IDP
  6. IDP Entity ID: copieu «Microsoft Entra Identifier» d’Entra ID
  7. URL de destinació SSO IDP: copieu «Login URL» d’Entra ID
  8. Deseu. Es generarà el certificat de Cyberwatch

Carregueu el certificat generat per Cyberwatch a l’aplicació SAML Toolkit d’Entra ID:

  • Microsoft Entra ID > Enterprise applications > feu clic al nom de l’aplicació SAML Toolkit
  • Single sign-on > SAML Certificates > Verification certificates > Edit
  • Marqueu «Require verification certificates» i pugeu el certificat

Per obtenir més informació sobre la creació de l’aplicació, consulteu la documentació de SAML Toolkit https://learn.microsoft.com/en-us/entra/identity/saas-apps/saml-toolkit-tutorial

Opcional: configuració avançada

Mostra els detalls de la configuració avançada

Per fer algunes accions cal tenir una llicència de pagament d’Entra ID

Per configurar els rols, els projectes i altres atributs a Cyberwatch:

  1. Definiu els rols a Entra ID > App registrations > nom1 de l’aplicació SAML Toolkit > App roles > Create app role
  2. Definiu els grups a Entra ID > Groups > New group

Nota: després, aquests grups d’Entra ID s’han d’associar a projectes existents a Cyberwatch mitjançant el camp «Correspondència de projectes (format YAML)» perquè la correspondència funcioni.

Associeu els grups i els rols:

  • Entra ID > Enterprise applications > nom de l’aplicació
  • Users and groups > marqueu el grup > Edit assignment
  • Seleccioneu el rol > Assign

Vet aquí un exemple que vincula un rol d’administrador a Cyberwatch i que utilitza l’assignació automàtica dels projectes:

  • Els atributs a Cyberwatch es configuren així:

Captura dels atributs dels rols i dels projectes a Cyberwatch

  • Els atributs de les notificacions (claims) que s’utilitzen a Entra ID són:

Captura de les notificacions de rols i de grups a Entra ID

  • L’atribut del rol serà el seu valor a Entra ID:

Captura del rol admin a Entra ID

Amb una configuració com aquesta, els usuaris que tinguin el rol admin seran administradors a Cyberwatch, i a tots els usuaris membres de grups d’Entra ID se’ls assignaran els projectes de Cyberwatch corresponents.

Opcional: configuració de les notificacions

Addició de notificacions de rol i de grup

  • Entra ID > Enterprise applications > nom de l’aplicació SAML Toolkit > Single sign-on > Edit

Per a la notificació de rol:

  • Feu clic a Add new claim
  • Al camp Name, introduïu role
  • A Namespace, introduïu http://schemas.microsoft.com/ws/2008/06/identity/claims
  • A Source Attribute, seleccioneu user.assignedroles
  • Feu clic a Save

Per a la notificació de grup:

  • Feu clic a Add a group claim
  • Seleccioneu Groups assigned to the application
  • A Source Attribute, trieu Cloud-only group display names
  • Feu clic a Save

Per a la notificació de la descripció:

  • Feu clic a Add new claim
  • A Name, introduïu description
  • A Source Attribute, trieu, per exemple, user.jobtitle
  • Feu clic a Save

Observació: la notificació de l’adreça de correu electrònic ja hauria d’estar configurada a l’aplicació SAML Toolkit. Feu les configuracions necessàries a Cyberwatch, a la configuració del proveïdor d’identitat. La connexió s’hauria de fer correctament i obtenir els atributs configurats a Cyberwatch.

Per obtenir més informació sobre la creació dels rols i dels grups, consulteu la documentació d’Entra:

Verificació del funcionament

Obriu una finestra de navegació privada i accediu a la pàgina d’autenticació de Cyberwatch. S’hi hauria de mostrar un botó «Inici de sessió SAML Entra».

Feu-hi clic: si les configuracions són vàlides, el navegador redirigeix a la pàgina d’autenticació d’Entra ID.

Autentiqueu-vos amb les vostres credencials: el navegador us redirigeix i us autentica a Cyberwatch.

Comproveu que no hi hagi cap compte local o LDAP existent a Cyberwatch que utilitzi la mateixa adreça de correu electrònic, per evitar un error en iniciar la sessió.

Resolució de problemes

No dubteu a contactar amb el suport de Cyberwatch per a qualsevol acompanyament tècnic.