Pular para o conteúdo principal

Integração com SAML 2

Login no console​

O login no console com integração SAML 2 é configurado nos app settings. Preencha os campos da seção "Saml2":

  • Enabled: define se a integração está habilitada para o login no console.
  • EntityId: o Entity ID do provedor de identidade (Identity Provider) ao qual você quer se conectar.
  • MetadataUrl: a URL do arquivo de metadados do provedor de identidade ao qual você quer se conectar. No ADFS, normalmente é https://<domain>/federationmetadata/2007-06/federationmetadata.xml.
  • DisplayName: o nome exibido no botão que inicia o login por SAML 2.
  • ADCompatibilityEnabled: define se as permissões do usuário devem ser concedidas com base nos grupos de que ele faz parte. O nome do grupo determina o nível de acesso: <subscription-namespace>-grantid-administrators para administradores e <subscription-namespace>-grantid-managers para gerentes.
  • GroupClaimName (padrão: http://schemas.xmlsoap.org/claims/Group): o nome do claim usado como grupos, se o modo de compatibilidade com AD estiver habilitado.

Depois de configurar a seção Saml2, acesse a URL do AuthServer do GrantID https://<auth-server-url>/Saml2 para baixar o arquivo de metadados do GrantID. Use esse arquivo para configurar uma Relying Party Trust no provedor de identidade escolhido.

Login em aplicações​

Para usar o SAML 2 no login em aplicações, configure-o como um provedor de identidade externo (External Identity Provider), definindo o EntityId e a URL de metadados:

Configurações do provedor externo SAML 2

Você também pode configurar este provedor com a opção de redirecionamento automático (auto redirect), para que o usuário nunca veja a página de login do GrantID. Se escolher essa opção, recomendamos desabilitar o cadastro nas configurações da aplicação e também desabilitar a edição de perfil nas configurações da assinatura.

Depois de configurar o SAML 2, acesse o endpoint SAML 2 da URL da sua assinatura, https://<subscription-url>/Saml2, para baixar o arquivo de metadados do GrantID. Use esse arquivo para configurar uma Relying Party Trust no provedor de identidade escolhido.

Por fim, habilite o provedor nas configurações da aplicação:

Configurações da aplicação para SAML 2

Configuração dos claims​

Qualquer que seja o login escolhido (console ou aplicação), você precisa configurar a Claims Issuance Policy na Relying Party Trust para enviar os seguintes claims:

  • Nome: nome do usuário. O tipo deve ser http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name.
  • E-mail: e-mail do usuário. O tipo deve ser http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress.
  • NameID: ID único do usuário; recomendamos usar o e-mail do usuário. O tipo deve ser http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier.
  • Telefone (opcional): número de celular do usuário. O tipo deve ser http://schemas.xmlsoap.org/ws/2005/05/identity/claims/mobilephone ou simplesmente phone.
  • Grupo (opcional, usado apenas no login no console): lista de grupos do usuário (cada claim deve ter um único valor) (Token-Groups - Unqualified names no AD FS). O tipo é definido pela configuração GroupClaimName.
Ver em Markdown