Pasos: configuración de inicio de sesión único basado en SAML con MS-AD FS 2.0

Requisitos previos

Un equipo que:
Tenga Windows Server 2008 R2 y AD FS 2.0 instalados.
Tiene instalada la revisión de AD FS 2.0 Rollup 2 y el uso de la
RelayState
parámetro activado. Consulte Revisión de AD FS 2.0 Rollup 2 para obtener más información.
Esté incluido en un dominio.
Una
Adaptive Planning
cuenta con permisos administrativos.
Un correo electrónico de confirmación de
Adaptive Planning
indicando que ha aprovisionado SAML en su
Adaptive Planning
instancia
Un certificado de firma de token verificado por una entidad de certificación.

Vaya a
MS AD FS Management Console > Service > Certificates
.
En la lista
Certificates
, haga clic con el botón derecho en
Token-Signing
y haga clic en
View Certificate
.
Vaya a la ficha
Details
y haga clic en
Copy to File
.
Cuando aparezca
Certificate Export Wizard
, haga clic en
Next
.
Seleccione
DER encoded binary X.509 (.cer)
y haga clic en
Next
.
Seleccione un directorio para guardar el archivo, asígnele un nombre y haga clic en
Next
.
Haga clic en
Finish
.

Revisión de AD FS 2.0 Rollup 2

Si aún no ha instalado la revisión, vaya aquí:

http://support.microsoft.com/kb/2681584

Después de instalar la revisión, active el uso del parámetro RelayState en el inicio de sesión único iniciado por el proveedor de identidad:

Abra la
inetpub\adfs\ls\web.config
archivo en un editor.
Busque la sección que empieza por
<microsoft.identityServer.web>
Añada esta línea a esa sección:
<useRelayStateForIdpInitiatedSignOn enabled="true" />
Guarde el archivo.

Configurar

Adaptive Planning

Como usuario de confianza

Acceda a la consola de gestión de AD FS 2.0.
Haga clic en
AD FS 2.0
y expanda
Trust Relationships
.
Haga clic con el botón derecho en
Relying Party Trusts
y haga clic en
Add Relying Party Trust
.
En la página
Select Data Source
, seleccione
Enter data about the relying party manually
y haga clic en
Next
.
Especifique cualquier nombre adecuado para el nombre de visualización. Ejemplo: AdaptivePlanning. Introduzca las notas, si las hay, y haga clic en
Next
.
Seleccione
AD FS 2.0 Profile
.
Omita el paso Configure Certificate.
Defina la
Adaptive Planning
URL de inicio de sesión único, que obtendrá de la página Configuración de SAML. Ejemplo:
https://login.adaptiveplanning.com:443/samlsso/VkdHUkVFTkNPQURGUoMzNA==
En la página
Configure Identifiers
, introduzca la URL de la página Configuración de SAML en
Adaptive Planning
como identificador y haga clic
en Añadir
.
En la página siguiente, seleccione
Permit all users access to this relying party.
Seleccione
Deny
si desea asignar esta aplicación a usuarios específicos más tarde y haga clic en
Next
.
En la página
Ready to Add Trust
, haga clic en
Next
.
En la página
Finish
, desmarque
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
y haga clic en
Close
.

Configuración de reglas de notificación

Regla de notificación de muestra 1

En esta regla de notificación, el valor de

Email-Address

de un usuario se envía como una declaración de atributo en la respuesta SAML. Puede usar cualquier atributo de LDAP en el token de SAML siempre que ese atributo identifique de forma exclusiva a cada usuario. Del mismo modo, para Outgoing Claim Type, seleccione uno de la lista o escriba el nombre.

Haga clic con el botón derecho en la entrada
AdaptivePlanning
de la lista
Relying Party Trusts
y seleccione
Edit Claim Rules
.
Haga clic en
Add Rule
en la ficha
Issuance Transform Rules
.
Seleccione
Send LDAP Attribute as Claims
de la lista desplegable de la plantilla
Claim Rule
.
Haga clic en
Next
.
Asigne a la notificación un nombre como
Email as Claim
.
Defina el campo
Attribute Store
como
Active Directory
,
LDAP Attribute
como
Email-Addresses
y
Outgoing Claim Type
como
Email Address
.
Haga clic en
Finish
.

Regla de notificación de muestra 2

En esta regla de notificación, le enviaremos la dirección de correo electrónico configurada en la regla de notificación 1 como

NameID

del asunto.

Haga clic en
Add Rule
.
Seleccione
Transform an Incoming Claim
como la plantilla de regla de notificación que va a usar.
Asigne un nombre. En este ejemplo, estamos usando
Email Address to Name ID.
El tipo de notificación de entrada debe ser
E-mail Address
(O debe coincidir con el tipo de notificación de salida utilizado en la regla de notificación de muestra 1).
Defina
Outgoing claim type
como
Name ID
y el formato de
Outgoing name ID
como
Email
.
Seleccione
Pass through all claim values
.
Haga clic en
Finish
.

Esta regla enviará el valor de dirección de correo electrónico de un usuario como NameID del asunto con el formato

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

Configuración de AD FS como proveedor de identidad en

Adaptive Planning

Conéctese a su
Adaptive Planning
instancia como usuario con permisos de Administrador de usuarios.
Vaya a
Administración > Manage SAML SSO Settings
.
Introduzca los siguientes parámetros:
Nombre de proveedor de identidad:
introduzca aquí el nombre del servidor de AD FS 2.0.
ID de entidad del proveedor de identidad:
introduzca el valor que se encuentra en la consola de gestión del servidor FS de AD FS 2.0. Para buscarlo, haga clic con el botón derecho en
Service
, haga clic en
Edit Federation Services Properties
y copie el valor del campo
Federation Service Identifier
.
URL de inicio de sesión único de proveedor de identidad:
introduzca la URL del lado de MS AD FS para iniciar sesión directamente en
Adaptive Planning
similar a:
https://ADFS_HOST/adfs/ls
.
URL de cierre de sesión personalizada
:
opcional. Introduzca una URL para cargar cuando el usuario haga clic en Cerrar sesión de
Adaptive Planning
. Si no especifica un UR, el
Adaptive Planning
se utiliza la página de inicio de sesión.
Certificado de proveedor de identidad:
seleccione el archivo de certificado que se incluye en Requisitos previos.
SAML user ID type
:
seleccione el ID de federación del usuario. Si define la regla de notificación para utilizar la dirección de correo electrónico del usuario y esa dirección es la misma que la del campo de inicio de sesión del perfil de usuario, seleccione
User's
Adaptive Planning
nombre de usuario
para
el ID de usuario de SAML.
ID de ubicación del usuario SAML
: si solo ha configurado la regla de notificación de muestra 1 en las reglas de notificación del usuario de confianza, seleccione ID de usuario en Atributo. Si ha configurado la regla de notificación de muestra 2, seleccione
User ID
para
NameID of Subject.
Atributo SAML
y
Formato de NameID de SAML:
solo tiene que introducir uno de estos valores:
Si solo ha configurado la regla de notificación de muestra 1, rellene el campo
Atributo SAML
con el tipo de notificación de salida de la regla de notificación de muestra 1. Deje el campo de formato de NameID de SAML en blanco.
Si ha configurado ambas reglas de notificación de muestra, omita el campo
Atributo SAML
y rellene el campo
SAML NameID
. Utilice el formato de ID de nombre de salida de la regla de notificación de muestra 2 (correo electrónico).
Activar SAML
: seleccione No activado (este es el valor por defecto). Después de probar la configuración, vuelva a esta página y active SAML para otros usuarios.
Haga clic en
Guardar.
El
Adaptive Planning
Se cargará la página Información general de administrador.
Buscar
Adaptive Planning
URL de inicio de sesión único
en la parte inferior de la página y copie todo el valor de cadena. Guarde este valor ya que lo necesitará en la siguiente sección. Ejemplo:

https://login.adaptiveplanning.com:443/samlsso/VkdHUKVFTkNPQURGU0MzNA--

Finalización de configuración de usuario de confianza de AD FS

Vuelva a la consola de administración de AD FS 2.0.
Haga clic con el botón derecho en
AdaptivePlanning
en la lista
Relying Party Trusts
y seleccione
Properties
.
Haga clic en la ficha
Endpoints
y haga clic en
Add
.
Defina
Endpoint Type
como
SAML Assertion Consumer
.
Defina
Binding
como
POST
.
Pegue el valor de
Adaptive Planning
La URL de inicio de sesión único, que ha copiado en el paso 6 de Configuración de MS AD FS como proveedor de identidad en Adaptive Planning, en el campo
URL
.
Haga clic en
OK
y haga clic en
Apply
en el cuadro de diálogo de propiedades.

Prueba de configuración

Seleccione un usuario en AD FS y en
Adaptive Planning
. El
Adaptive Planning
el usuario debe tener permiso de administrador de SAML.
Introduzca la dirección de correo electrónico (o el atributo de LDAP seleccionado en la regla de notificación 1) en AD FS para ese usuario.
Origen
Adaptive Planning
, introduzca la dirección de correo electrónico en el campo
SAML Federation ID
del usuario en la página
Administración > Usuarios
y haga clic en
Enviar
.
Registre a ese usuario de AD FS en un equipo que forme parte del dominio Active Directory.
En un navegador web de ese equipo, vaya a
https://login.adaptiveplanning.com/app
If your instance uses non-US based, regional authentication, then your authorization URLs and API endpoints vary based on your region. See Reference: Regional Authentication URLs.
Si ha configurado todo correctamente, se le redirigirá a la
Adaptive Planning
página de bienvenida Introduzca el nombre de usuario, pero deje el campo de la contraseña en blanco en la página de conexión. Haga clic en
Enviar
.

SSO Into Excel Interface for Planning and OfficeConnect