Etapas: configurar autenticação única (SSO) SAML usando MS-AD FS 2.0

Pré-requisitos

Um computador que:
Tem o Windows Server 2008 R2 e o AD FS 2.0 instalados.
Tem o AD FS 2.0 Rollup 2 hotfix instalado e o uso do
RelayState
parâmetro habilitado. Para obter mais informações, consulte AD FS 2.0 Rollup 2 Hotfix.
Faça parte de um domínio.
Um
Adaptive Planning
conta com permissões administrativas.
Um e-mail de confirmação de
Adaptive Planning
informando que você provisionou o SAML no seu
Adaptive Planning
instance.
Um certificado de assinatura por token verificado por uma autoridade de certificação.

Acesse
MS AD FS Management Console > Service > Certificates
.
Na lista
Certificates
, clique com o botão direito do mouse em
Token-Signing
e clique em
View Certificate
.
Acesse a guia
Details
e clique em
Copy to File
.
Quando o
Certificate Export Wizard
é exibido, clique em
Next
.
Selecione
DER encoded binary X.509 (.cer)
e clique em
Next
.
Selecione um diretório para salvar o arquivo, insira um nome para ele e clique em
Next
.
Clique em
Finish
.

AD FS 2.0 Rollup 2 Hotfix

Se você ainda não instalou o hotfix, faça isso aqui:

http://support.microsoft.com/kb/2681584

Após instalar o hotfix, habilite o uso do parâmetro RelayState na SSO iniciada pelo provedor de identidade:

Abrir o
inetpub\adfs\ls\web.config
arquivo em um editor.
Localize a seção que começa com
<microsoft.identityServer.web>
Adicione esta linha a essa seção:
<useRelayStateForIdpInitiatedSignOn enabled="true" />
Salve o arquivo.

Configurar

Adaptive Planning

Como terceira parte confiável

Navegue até o Console de gerenciamento do AD FS 2.0.
Clique em
AD FS 2.0
e expanda
Trust Relationships
.
Clique com o botão direito do mouse em
Relying Party Trusts
e clique em
Add Relying Party Trust
.
Na página
Select Data Source
, selecione
Enter data about the relying party manually
e clique em
Next
.
Especifique um nome de exibição adequado. Exemplo: AdaptivePlanning. Insira observações, se houver, e clique em
Next
.
Selecione
AD FS 2.0 Profile
.
Ignore a etapa Configure Certificate.
Defina o
Adaptive Planning
URL de SSO, que você obterá na página Configurações do SAML. Exemplo:
https://login.adaptiveplanning.com:443/samlsso/VkdHUkVFTkNPQURGUoMzNA==
Na página
Configurar IDs
, insira o URL da página Configurações do SAML no
Adaptive Planning
como o identificador e clique em
Adicionar
.
Na próxima página, selecione
Permit all users access to this relying party.
Se você quer atribuir esse aplicativo a usuários específicos posteriormente, selecione
Deny
e clique em
Next
.
Na página
Ready to Add Trust
, clique em
Next
.
Na página
Finish
, desmarque
Open the Edit Claims Rules dialog for this relying party trust when the wizard closes
e clique em
Close
.

Configuração de regras de declaração

Exemplo de regra de declaração 1

Nesta regra de declaração, o valor de

endereço de e-mail

de um usuário é enviado como uma instrução de atributo na resposta do SAML. Você pode usar qualquer atributo LDAP no token do SAML, desde que o atributo identifique cada usuário de forma exclusiva. Da mesma maneira, para o tipo de declaração de saída, escolha uma opção na lista ou digite o nome.

Clique com o botão direito do mouse na entrada
AdaptivePlanning
na lista
Relying Party Trusts
e selecione
Edit Claim Rules
.
Clique em
Add Rule
na guia
Issuance Transform Rules
.
Selecione
Send LDAP Attribute as Claims
na lista suspensa de modelos de
Claim Rule
.
Clique em
Next
.
Insira um nome para a declaração, por exemplo,
E-mail como declaração
.
Defina o campo
Attribute Store
como
Active Directory
,
LDAP Attribute
como
Email-Addresses
e
Outgoing Claim Type
como
Email Address
.
Clique em
Finish
.

Exemplo de regra de declaração 2

Nesta regra de declaração, enviaremos o endereço de e-mail configurado na Regra de declaração 1 como a

NameID

do objeto.

Clique em
Add Rule
.
Selecione
Transform an Incoming Claim
como o modelo de regra de declaração a ser usado.
Insira um nome para ele. Neste exemplo, usamos o
endereço de e-mail como ID de nome
.
O tipo de declaração de entrada deve ser
E-mail Address
(OU deve corresponder ao tipo de declaração de saída usado no Exemplo de regra de declaração 1).
Defina o
Outgoing claim type
como
Name ID
e o
Outgoing name ID format
como
Email
.
Selecione
Pass through all claim values
.
Clique em
Finish
.

Essa regra enviará o valor de endereço de e-mail de um usuário como a NameID do objeto no formato

urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress

.

Definição do AD FS como provedor de identidade no

Adaptive Planning

Conecte-se ao seu
Adaptive Planning
instância como um usuário com permissões de Administrador de usuários.
Acesse
Administração > Gerenciar configurações de SSO SAML
.
Insira estas configurações:
Nome do provedor de identidade:
insira o nome do seu servidor AD FS 2.0.
ID da entidade do provedor de identidade:
insira o valor que consta no Console de gerenciamento do AD FS 2.0 do servidor FS. Para encontrar esse valor, clique com o botão direito do mouse em
Service
, clique em
Edit Federation Services Properties
e copie o valor do campo
Federation Service Identifier
.
URL de SSO do provedor de identidade:
informe o URL do MS AD FS para conectar-se diretamente ao
Adaptive Planning
semelhante a:
https://ADFS_HOST/adfs/ls
.
URL de logout personalizado
:
opcional. Insira um URL para carregar quando o usuário clicar em Logout do
Adaptive Planning
. Se você não especificar um URL, o
Adaptive Planning
a página de conexão é usada.
Certificado do provedor de identidade:
selecione o arquivo de certificado incluído nos Pré-requisitos.
Tipo de ID de usuário do SAML
:
selecione a ID de federação do usuário. Se você definiu sua regra de declaração para usar o endereço de e-mail do usuário e esse endereço é o mesmo que o campo de logon no perfil do usuário, selecione
Usuário.
Adaptive Planning
nome de usuário
para
a ID de usuário do SAML.
Localização da ID de usuário do SAML
: se você configurou somente o Exemplo de regra de declaração 1 nas regras de declaração da terceira parte confiável, selecione ID de usuário em Atributo. Se você configurou o Exemplo de regra de declaração 2, selecione
ID de usuário
em
NameID de Objeto.
Atributo do SAML
e
Formato de NameID do SAML:
você precisa inserir somente um deles:
Se você configurou somente o Exemplo de regra de declaração 1, preencha o campo
Atributo do SAML
com o tipo de declaração de saída do Exemplo de regra de declaração 1. Deixe o campo Formato de NameID do SAML em branco.
Se você configurou os dois exemplos de regra de declaração, ignore o campo
Atributo do SAML
e preencha o campo
NameID do SAML
. Use o formato de ID do nome de saída do Exemplo de regra de declaração 2 (e-mail).
Habilitar SAML
: selecione Não habilitado (esse é o valor por padrão). Depois de testar a configuração, volte para esta página e habilite o SAML para os demais usuários.
Clique em
Salvar.
O
Adaptive Planning
A página Visão geral do administrador será carregada.
Procurar
Adaptive Planning
URL de SSO
na parte inferior da página e copie todo o valor da cadeia de caracteres. Salve esse valor, pois você precisará dele na próxima seção. Exemplo:

https://login.adaptiveplanning.com:443/samlsso/VkdHUKVFTkNPQURGU0MzNA--

Concluir a configuração da terceira parte confiável do AD FS

Volte ao console de administração do AD FS 2.0.
Clique com o botão direito do mouse em
AdaptivePlanning
na lista
Relying Party Trusts
e selecione
Properties
.
Clique na guia
Endpoints
e em
Add
.
Defina o
Endpoint Type
como
SAML Assertion Consumer
.
Defina
Binding
como
POST
.
Cole o valor de
Adaptive Planning
URL de SSO, que você copiou na Etapa 6 de Como definir o MS AD FS como provedor de identidade no Adaptive Planning, no campo
URL
.
Clique em
OK
e em
Apply
na caixa de diálogo de propriedades.

Testar a definição

Selecione um usuário no AD FS e no
Adaptive Planning
. O
Adaptive Planning
O usuário deve ter permissão de administrador do SAML.
Para esse usuário, insira o endereço de e-mail (ou o atributo LDAP selecionado na Regra de declaração 1) no AD FS.
De
Adaptive Planning
, na página
Administração > Usuários,
insira o endereço de e-mail do usuário no campo
ID de federação SAML
e clique em
Enviar
.
Faça logon desse usuário do AD FS em um computador que faça parte do domínio do Active Directory.
Em um navegador da Web nesse computador, acesse
https://login.adaptiveplanning.com/app
If your instance uses non-US based, regional authentication, then your authorization URLs and API endpoints vary based on your region. See Reference: Regional Authentication URLs.
Se configurou tudo corretamente, você é redirecionado para a página
Adaptive Planning
página de boas-vindas. Insira o nome de usuário, mas deixe o campo da senha em branco na página de login. Clique em
Enviar
.

SSO Into Excel Interface for Planning and OfficeConnect