Etapas: configurar autenticação única (SSO) SAML usando MS-AD FS 3.0

Pré-requisitos

Um computador que:
Tenha o Windows Server 2008 R2 ou o parâmetro RelayState habilitado. Para obter mais informações, consulte
MS AD FS 3.0 RelayState
.
Faça parte de um domínio
Um
Adaptive Planning
conta com permissões administrativas
Um e-mail de confirmação de
Adaptive Planning
informando que o SAML foi provisionado na sua instância
Um certificado de assinatura por token verificado por uma autoridade de certificação

Acesse
MS AD FS Management Console > Service > Certificates.
Na lista de certificados, clique com o botão direito do mouse em
Token-Signing
e
clique em
View Certificate.
Acesse a guia
Details
e clique em
Copy to File...
Quando o
Certificate Export Wizard
for exibido, clique em
Next.
Selecione
DER encoded binary X.509 (.cer)
e clique em
Next.
Selecione um diretório para salvar o arquivo, insira um nome para ele e clique em
Next.
Clique em
Finish.

MS AD FS 3.0 RelayState

Para o ADFS 3.0, abra o seguinte arquivo no Bloco de Notas:
%systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config
Na seção
microsoft.identityServer.web
, adicione uma linha para
useRelayStateForIdpInitiatedSignOn
da seguinte forma e salve a alteração:
<microsoft.identityServer.web>
...
<useRelayStateForIdpInitiatedSignOn enabled="true" />
</microsoft.identityServer.web>
Salve o arquivo.
Reinicie o serviço Active Directory Federation Services (adfssrv).

Configurando

Adaptive Planning

como terceira parte confiável

Navegue até o Console de gerenciamento do MS AD FS 3.0.
Clique em
MS AD FS 3.0
e expanda
Trust Relationships
.
Clique com o botão direito do mouse em
Relying Party Trusts
e clique em
Add Relying Party Trust.
Na página Select Data Source, selecione
Enter data about the relying party manually
e clique em
Next.
Especifique um nome de exibição adequado. Exemplo: AdaptivePlanning. Insira observações, se houver, e clique em
Next
.
Selecione
AD FS profile.
Ignore a etapa Configure Certificate.
Defina o
Adaptive Planning
URL de SSO que você obterá na tela Configurações do SAML em
Adaptive Planning
. Exemplo:
https://login.adaptiveplanning/samlsso/R0xPQk8==
Na página
Configurar IDs
, insira
o URL na tela Configurações do SAML no
Adaptive Planning
como o identificador e clique em
Adicionar.
Na página seguinte, selecione
Permit all users access to this relying party
(selecione
Deny
se você quer atribuir este aplicativo a usuários específicos posteriormente) e clique em
Next.
Na página
Ready to Add Trust
, clique em
Next.
Na página
Finish
, desmarque
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
e clique em
Close.

Configuração de regras de declaração

Exemplo de regra de declaração 1

Nesta regra de declaração, o valor de

endereço de e-mail

de um usuário é enviado como uma instrução de atributo na resposta do SAML. Você pode usar qualquer atributo LDAP no token do SAML, desde que o atributo identifique cada usuário de forma exclusiva. Da mesma maneira, para o tipo de declaração de saída, escolha uma opção na lista ou digite o nome.

Clique com o botão direito do mouse na entrada
AdaptivePlanning
na lista
Relying Party Trusts
e selecione
Edit Claim Rules.
Clique em
Add Rule
na guia
Issuance Transform Rules
.
Selecione
Send LDAP Attribute as Claims
na lista suspensa de modelos de
Claim Rule
.
Clique em
Next.
Insira um nome para a declaração, por exemplo,
E-mail como declaração.
Defina o campo
Attribute Store
como Active Directory,
LDAP Attribute
como Email-Addresses e
Outgoing Claim Type
como Email Address.
Clique em
Finish
.
Atributo do SAML:
se você configurou somente a Regra de declaração 1, insira o tipo de declaração de saída dessa regra.
Para localizar o tipo de declaração de saída, acesse o Console de gerenciamento do ADFS.
Clique em Service > Claim Descriptions.
Clique com o botão direito do mouse no tipo de declaração que você está usando e clique em propriedades.
Copie o valor em
Claim Type
e cole-o no nome do atributo do SAML. Pode ser semelhante a "
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
" ou o nome curto que você pode ter digitado.

Exemplo de regra de declaração 2

Nesta regra de declaração, enviaremos o endereço de e-mail configurado na Regra de declaração 1 como a

NameID

do objeto.

Clique em
Add Rule.
Selecione
Transform an Incoming Claim
como o modelo de regra de declaração a ser usado.
Insira um nome para ele. Neste exemplo, usamos o
endereço de e-mail como ID de nome.
O tipo de declaração de entrada deve ser
E-mail Address
(OU deve corresponder ao tipo de declaração de saída usado no Exemplo de regra de declaração 1).
Defina o
Outgoing claim type
como
Name ID
e o
Outgoing name ID format
como
Email.
Selecione
Pass through all claim values.
Clique em
Finish.

Essa regra enviará o valor de endereço de e-mail de um usuário como a NameID do objeto no formato

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

Definição do MS AD FS como provedor de identidade no

Adaptive Planning

Conecte-se à sua instância do Adaptive Planning como um usuário com permissões de administrador.
Vá para
Administração > Configurações de SSO SAML.
Insira as seguintes configurações:
Nome do provedor de identidade
:
insira o nome do seu servidor MS AD FS 3.0.
ID da entidade do provedor de identidade
:
insira o valor que consta no Console de gerenciamento do MS AD FS 3.0 do servidor FS. Para encontrar esse valor, clique com o botão direito do mouse em
Service
, clique em
Edit Federation Services Properties
e copie o valor do campo
Federation Service Identifier
.
URL de SSO do provedor de identidade:
insira um URL semelhante a (este é o URL do MS AD FS para conectar-se diretamente ao Adaptive Planning):
https://ADFS_HOST/adfs/ls
URL de logout personalizado
: opcional. Insira um URL para carregar quando o usuário clicar em
Logout
do Adaptive Planning. Se um URL não é especificado, a página de logon do Adaptive Planning é usada.
Certificado do provedor de identidade:
selecione o arquivo de certificado descrito nos Pré-requisitos.
Tipo de ID de usuário do SAML
: selecione o ID de federação do usuário. Se você definir sua regra de declaração para usar o endereço de e-mail do usuário e esse endereço for o mesmo que o campo de logon no perfil do usuário, você pode selecionar
Nome de usuário do Adaptive Planning para a ID de usuário do SAML.
Localização da ID de usuário do SAML
:
se você configurou somente o Exemplo de regra de declaração 1 nas regras de declaração da terceira parte confiável, selecione
ID de usuário em Atributo
. Se você configurou o Exemplo de regra de declaração 2, selecione
ID de usuário
em
NameID de Objeto.
Atributo do SAML
e
Formato de NameID do SAML:
você precisa inserir somente um deles. Se você configurou somente o Exemplo de regra de declaração 1, preencha o campo Atributo do SAML com o tipo de declaração de saída do Exemplo de regra de declaração 1 e deixe o campo
Formato de NameID do SAML
em branco. Se você configurou os dois exemplos de regra de declaração, pode ignorar o campo
Atributo do SAML
e preencher o campo
NameID do SAML
com o formato de ID do nome de saída do Exemplo de regra de declaração 2 (e-mail).
Habilitar SAML
:
selecione
Não habilitado
(esse é o valor por padrão). Depois de testar a configuração, volte para esta tela e habilite o SAML para os demais usuários.
Clique em
Salvar.
A Visão geral de administração é exibida.
Volte à página
Configurações de SSO SAML
para verificar se as configurações foram salvas com êxito. Verifique o emissor e a validade do certificado do provedor de identidade.
Procure
o URL de SSO do
Adaptive Planning na parte inferior da página e copie todo o valor da cadeia de caracteres. Salve esse valor, pois você precisará dele na próxima seção.

Conclusão da configuração da terceira parte confiável do MS AD FS

Volte ao console de administração do MS AD FS 3.0.
Clique com o botão direito do mouse em
AdaptivePlanning
na lista
Relying Party Trusts
e selecione
Properties.
Clique na guia
Endpoints
e em
Add.
Defina o
Endpoint Type
como
SAML Assertion Consumer
.
Defina
Binding
como
POST.
Cole o valor do URL de SSO do Adaptive Planning no campo
URL
. Observe que você copiou o URL na etapa
Definição do MS AD FS como provedor de identidade no Adaptive Planning
.
Clique em
OK
e em
Apply
na caixa de diálogo de propriedades.

Teste da definição

Selecione um usuário no MS AD FS e no Adaptive Planning. O
Adaptive Planning
O usuário deve ter uma permissão de administrador do SAML.
Para esse usuário, insira o endereço de e-mail (ou o atributo LDAP selecionado na Regra de declaração 1) no MS AD FS.
No Adaptive Planning, informe o endereço de e-mail (possivelmente o mesmo valor) no campo
ID de federação SAML
do usuário na página
Administração > Editar usuário
.
Faça logon desse usuário do AD FS em um computador que faça parte do domínio do Active Directory.
Em um navegador da Web nesse computador, acesse
https://login.adaptiveplanning.com/app
If your instance uses non-US based, regional authentication, then your authorization URLs and API endpoints vary based on your region. See Reference: Regional Authentication URLs.
Se tudo foi configurado corretamente, você é redirecionado para a página de boas-vindas do Adaptive Planning. Insira o nome de usuário, mas deixe o campo da senha em branco na página de login. Clique em
Enviar
.

SSO Into Excel Interface for Planning and OfficeConnect