Pasos: configuración de inicio de sesión único basado en SAML con MS-AD FS 3.0

Requisitos previos

Un equipo que:
Tenga activado Windows Server 2008 R2 o el parámetro RelayState. Consulte
MS AD FS 3.0 RelayState
para obtener más información.
Esté incluido en un dominio.
Una
Adaptive Planning
cuenta con permisos administrativos
Un correo electrónico de confirmación de
Adaptive Planning
indicando que SAML se ha aprovisionado en su instancia
Un certificado de firma de token verificado por una entidad de certificación.

Vaya a
MS AD FS Management Console > Service > Certificates
.
En la lista de certificados, haga clic con el botón derecho en
Token-Signing
y,
a continuación, haga clic en
View Certificate
.
Vaya a la ficha
Details
y haga clic en
Copy to File...
Cuando aparezca
Certificate Export Wizard
, haga clic en
Next.
Seleccione
DER encoded binary X.509 (.cer)
y haga clic en
Next.
Seleccione un directorio para guardar el archivo, asígnele un nombre y haga clic en
Next.
Haga clic en
Finish.

MS AD FS 3.0 RelayState

Para ADFS 3.0, abra el siguiente archivo en el Bloc de notas:
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
En la sección
microsoft.identityServer.web
, añada una línea para
useRelayStateForIdpInitiatedSignOn
de la siguiente manera y guarde el cambio:
<microsoft.identityServer.web>
...
<useRelayStateForIdpInitiatedSignOn enabled="true" />
</microsoft.identityServer.web>
Guarde el archivo.
Reinicie el servicio Active Directory Federation Services (adfssrv).

Configuración

Adaptive Planning

como usuario de confianza

Acceda a la consola de gestión de MS AD FS 3.0.
Haga clic en
MS AD FS 3.0
y expanda
Trust Relationships
.
Haga clic con el botón derecho en
Relying Party Trusts
y haga clic en
Add Relying Party Trust.
En la página Select Data Source, seleccione
Enter data about the relying party manually
y haga clic en
Next.
Especifique cualquier nombre adecuado para el nombre de visualización. Ejemplo: AdaptivePlanning. Introduzca las notas, si las hay, y haga clic en
Next
.
Seleccione
AD FS profile.
Omita el paso Configure Certificate.
Defina la
Adaptive Planning
URL de inicio de sesión único que obtendrá de la pantalla Configuración de SAML en
Adaptive Planning
. Ejemplo:
https://login.adaptiveplanning/samlsso/R0xPQk8==
En la página
Configure Identifiers
, introduzca
la URL de la pantalla Configuración de SAML en
Adaptive Planning
como identificador y haga clic
en Añadir.
En la siguiente página, seleccione
Permit all users access to this relying party
(seleccione
Deny
si desea asignar esta aplicación a usuarios específicos más tarde) y haga clic en
Next.
En la página
Ready to Add Trust
, haga clic en
Next.
En la página
Finish
, desmarque
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
y haga clic en
Close
.

Configuración de reglas de notificación

Regla de notificación de muestra 1

En esta regla de notificación, el valor

Email-Address

de un usuario se enviará como una declaración de atributo en la respuesta SAML. Puede usar cualquier atributo de LDAP en el token de SAML siempre que ese atributo identifique de forma exclusiva a cada usuario. Del mismo modo, para Outgoing Claim Type, elija uno de la lista o escriba el nombre.

Haga clic con el botón derecho en la entrada
AdaptivePlanning
de la lista
Relying Party Trusts
y seleccione
Edit Claim Rules.
Haga clic en
Add Rule
en la ficha
Issuance Transform Rules
.
Seleccione
Send LDAP Attribute as Claims
de la lista desplegable de la plantilla
Claim Rule
.
Haga clic en
Next.
Asigne un nombre a la notificación, como
Email as Claim.
Defina el campo
Attribute Store
como Active Directory,
LDAP Attribute
como Email-Addresses y
Outgoing Claim Type
como Email Address.
Haga clic en
Finish
.
Atributo SAML:
si ha configurado solo una regla de notificación 1, introduzca el valor Outgoing Claim Type de la regla de notificación 1.
Para buscar el valor de Outgoing Claim Type, vaya a la consola de gestión de ADFS.
Haga clic en Service > Claim Descriptions.
Haga clic con el botón derecho en el tipo de notificación que esté utilizando y haga clic en las propiedades.
Copie el valor de
Claim Type
y pegue el nombre del atributo SAML. Podría tener el siguiente aspecto: "
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
" o el nombre corto que haya escrito.

Regla de notificación de muestra 2

En esta regla de notificación, le enviaremos la dirección de correo electrónico configurada en la regla de notificación 1 como

NameID

del asunto.

Haga clic en
Add Rule.
Seleccione
Transform an Incoming Claim
como la plantilla de regla de notificación que va a usar.
Asigne un nombre. En este ejemplo, estamos usando
Email Address to Name ID.
El tipo de notificación de entrada debe ser
E-mail Address
(O debe coincidir con el tipo de notificación de salida utilizado en la regla de notificación de muestra 1).
Defina
Outgoing claim type
como
Name ID
y
Outgoing name ID format
como
Email.
Seleccione
Pass through all claim values.
Haga clic en
Finish.

Esta regla enviará el valor de dirección de correo electrónico de un usuario como NameID del asunto con el formato

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

Configuración de MS AD FS como proveedor de identidad en

Adaptive Planning

Conéctese a su instancia de Adaptive Planning como usuario con permisos de Administrador de usuarios.
Vaya a
Administración > Configuración de inicio de sesión único basado en SAML
.
Introduzca los siguientes parámetros:
Nombre de proveedor de identidad
:
introduzca aquí el nombre del servidor de MS AD FS 3.0.
ID de entidad del proveedor de identidad
:
introduzca el valor que se encuentra en la consola de gestión del servidor FS de MS AD FS 3.0. Para buscarlo, haga clic con el botón derecho en
Service
, haga clic en
Edit Federation Services Properties
y copie el valor del campo
Federation Service Identifier
.
URL de inicio de sesión único de proveedor de identidad:
introduzca una URL similar a (esta es la URL del lado de MS AD FS para iniciar sesión directamente en Adaptive Planning):
https://ADFS_HOST/adfs/ls
URL de cierre de sesión personalizada
: opcional. Introduzca una URL para cargarla cuando el usuario haga clic en
Cerrar sesión
en Adaptive Planning. Si no se especifica una URL, se utiliza la página de inicio de sesión de Adaptive Planning.
Certificado de proveedor de identidad:
seleccione el archivo de certificado que se describe en Requisitos previos.
SAML user ID type
: seleccione el ID de federación del usuario. Si configura su regla de notificación para utilizar la dirección de correo electrónico del usuario y esa dirección es la misma que la del campo de inicio de sesión en el perfil del usuario, puede seleccionar
User's Adaptive Planning user name para el ID de usuario de SAML.
Ubicación de ID de usuario de SAML
:
si solo ha configurado la regla de notificación de muestra n.º 1 en las reglas de notificación del usuario de confianza, seleccione
ID de usuario en Atributo.
Si ha configurado la regla de notificación de muestra 2, seleccione
User ID
para
NameID of Subject.
Atributo SAML
y
Formato de NameID de SAML:
solo tiene que introducir uno de estos valores. Si solo ha configurado la regla de notificación de muestra 1, rellene el campo Atributo SAML con el tipo de notificación de salida de la regla de notificación de muestra 1 y deje el campo de formato
SAML NameID
en blanco. Si ha configurado ambas reglas de notificación de muestra, puede omitir el campo
Atributo SAML
y rellenar el campo
SAML NameID
con el formato de ID de nombre de salida de la regla de notificación de muestra 2 (correo electrónico).
Activar SAML
:
seleccione
No activado
(este es el valor por defecto). Después de probar la configuración, vuelva a esta pantalla y active SAML para otros usuarios.
Haga clic en
Guardar.
Se muestra la información general de administración.
Vuelva a la página
Configuración de inicio de sesión único basado en SAML
para comprobar que la configuración se haya guardado correctamente. Compruebe el emisor y la validez del certificado de proveedor de identidad.
Busque
la URL de inicio de sesión único de
Adaptive Planning en la parte inferior de la página y copie el valor de cadena completo. Guarde este valor, ya que lo necesitará en la siguiente sección.

Finalización de configuración de usuario de confianza MS AD FS

Vuelva a la consola de administración de MS AD FS 3.0.
Haga clic con el botón derecho en
AdaptivePlanning
en la lista
Relying Party Trusts
y seleccione
Properties.
Haga clic en la ficha
Endpoints
y haga clic en
Add.
Defina
Endpoint Type
como
SAML Assertion Consumer
.
Defina
Binding
como
POST.
Pegue el valor de la URL de inicio de sesión único de Adaptive Planning en el campo
URL
. Tenga en cuenta que ha copiado la URL en el paso
Configuración de MS AD FS como proveedor de identidad en Adaptive Planning
.
Haga clic en
OK
y haga clic en
Apply
en el cuadro de diálogo de propiedades.

Prueba de configuración

Seleccione un usuario en el lado de MS AD FS y en el lado de Adaptive Planning. El
Adaptive Planning
el usuario debe tener un permiso de administrador de SAML.
Introduzca la dirección de correo electrónico (o el atributo LDAP seleccionado en la regla de notificación 1) en MS AD FS para ese usuario.
En Adaptive Planning, introduzca la dirección de correo electrónico (posiblemente el mismo valor) en el campo
ID de federación de SAML
del usuario en la página
Admin > Editar usuario
.
Registre a ese usuario de AD FS en un equipo que forme parte del dominio Active Directory.
En un navegador web de ese equipo, visite
https://login.adaptiveplanning.com/app
If your instance uses non-US based, regional authentication, then your authorization URLs and API endpoints vary based on your region. See Reference: Regional Authentication URLs.
Si todo está configurado correctamente, se le redirigirá a la página de bienvenida de Adaptive Planning. Introduzca el nombre de usuario, pero deje el campo de la contraseña en blanco en la página de inicio de sesión. Haga clic en
Enviar
.

SSO Into Excel Interface for Planning and OfficeConnect