Passa al contenuto principale
Documentazione
Documentazione
Administrator Guide
Ultimo aggiornamento: 2023-06-23
Completare la configurazione Single Sign-On SAML

Completare la configurazione Single Sign-On SAML

  • Disporre delle seguenti autorizzazioni:
    • sso.saml.settings.edit
    • sso.saml.settings.read
  • I file di metadati completi (in formato .xml) del provider di identità (IdP). Se si utilizza lo stesso IdP per i tenant Test e Production, è necessario un solo file di metadati.
  • Determinare se gli utenti avvieranno il Single Sign-On (SSO) da VNDLY (fornitore di servizi) o dall'IdP.
I file di metadati sono in genere in formato .xml e non sono un certificato. VNDLY utilizza i file di metadati per completare la configurazione SSO. Completare gli step seguenti per i tenant Test e Produzione.
  1. Dall'intestazione, selezionare
    Altre
    impostazioni azienda
    .
  2. Nella sezione
    Sicurezza
     , fare clic su
    Single Sign On SAML
    .
  3. Fare clic
    su Predefinito
    .
  4. La scheda
    Dettagli
     contiene i seguenti elementi:
    Opzione
    Descrizione
    Etichetta
    Immettere un nome per il server.
    Valore sostitutivo ID entità fornitore di servizi
    Immettere un ID entità diverso se si desidera sostituire l'ID entità predefinito del provider di servizi e modificare il modo in cui VNDLY si identifica come provider di servizi SAML.
    Consenti non richiesto
    Selezionare la casella di controllo se il tenant è configurato per utilizzare l'accesso avviato da IdP per consentire agli utenti di avviare un accesso dall'IdP.
    Risposta con firma obbligatoria
    Selezionare l'opzione se l'IdP richiede una risposta firmata e/o un'asserzione firmata. L'opzione consigliata è
    Richiedi risposta firmata
    .
    Sfasamento orario consentito
    Immettere il numero di secondi che VNDLY consente ai timestamp di asserzione di asimmetria oltre il valore limite. Gli orologi tra i sistemi remoti possono spesso differire per quantità significative di tempo e gli sfasamenti possono aiutare a tenere conto delle differenze di orario.
    Esempio: gli orologi dei server spesso non sono sincronizzati tra loro. Se un messaggio di autorizzazione arriva dopo la data/ora di validità, VNDLY lo rifiuta. L'aggiunta di ore con il campo di sfasamento dell'ora consente di avere più tempo per tenere conto delle lievi differenze negli orologi del server e VNDLY accetterà i messaggi che arrivano all'interno dell'intervallo di sfasamento consentito.
    Durata valida dei metadati
    Immettere il numero di ore per contrassegnare i metadati VNDLY come validi.
    Alla scadenza dei metadati VNDLY, l'IdP può ottenere automaticamente un file di metadati VNDLY aggiornato.
    Formati di ID nome consentiti
    Indica i formati di ID nome consentiti da un menu a discesa. Assicurarsi che tutti i valori siano selezionati.
    ORDINE VINCOLANTE SINGLE SIGN-ON PREFERED
    Definisce l'ordine in cui VNDLY cerca i file di metadati IdP quando cercano i binding SSO.
    ORDINE VINCOLANTE PREFERRED SINGLE-SIGN-OUT
    Definisce l'ordine in cui VNDLY esegue la ricerca dei metadati IdP quando cercano i binding di disconnessione singola.
  5. Fare clic su
    Salva
    .
  6. Fare clic sulla scheda
    Provider di identità
     .
  7. Fare clic
    su Single Sign On - SAML
    .
  8. La pagina
    Provider di identità
     contiene i seguenti elementi:
    Opzione
    Descrizione
    Etichetta
    Etichetta per il provider di identità. L'etichetta viene visualizzata come opzione a discesa quando si aggiorna il metodo di autenticazione di un utente.
    ID esterno
    Valore utilizzato quando si fa riferimento all'IdP nelle integrazioni esterne. Indica quale IdP deve essere utilizzato quando si eseguono caricamenti in blocco di account in VNDLY.
    IdP metadata
    Copiare e incollare i metadati SAML dal file di metadati fornito dall'IdP per questo tenant.
    Ignora la convalida dei metadati
    Selezionare la casella di controllo per consentire a VNDLY di ignorare la convalida dei metadati. Alcuni file di metadati possono contenere estensioni SAML che causano errori di convalida anche quando sono validi.
    Formato criteri ID nome
    Selezionare l'identificatore del nome da utilizzare per gli utenti. È possibile ottenere il formato dei criteri dal file di metadati IdP. Se il formato dei criteri dell'ID nome non è presente nei metadati, selezionare
    non specificato
    .
    Algoritmo di firma
    Selezionare l'algoritmo di firma indicato nel file di metadati IdP. È possibile cercare
    la firma
    delle parole chiave nel file di metadati IdP.
    Algoritmo di riepilogo
    Selezionare l'algoritmo di riepilogo indicato nel file di metadati IdP. È possibile cercare il
    riepilogo
    delle parole chiave nel file di metadati IdP.
    URL di disconnessione concatenato
    Immettere un URL personalizzato se si desidera ignorare il processo di disconnessione SAML e reindirizzare l'utente all'URL specificato quando l'utente si disconnette da VNDLY. L'utente viene disconnesso anche da tutte le altre applicazioni dall'IdP dell'utente.
    Se l'URL di disconnessione concatenata è vuoto, un utente potrebbe comunque essere disconnesso da tutte le applicazioni se è stata impostata la disconnessione singola (SLO) nell'IdP.
    Utilizza oggetto come nome utente
    Selezionare la casella di controllo per utilizzare il valore dell'oggetto come opzione del nome utente con la priorità più alta.
    Le asserzioni SAML contengono un campo oggetto e attributi aggiuntivi. In genere, il nome utente deriva dagli attributi. In alcuni casi, l'IdP prevede di utilizzare invece il campo dell'oggetto come nome utente.
    Attributi nome utente
    Aggiungere gli attributi SAML per VNDLY da cercare e utilizzare come nome utente durante l'autenticazione. Gli attributi possono essere personalizzati in base alle esigenze per allinearli alla configurazione dell'IdP.
    Si consiglia di utilizzare l'attributo username per identificare l'utente, in quanto l'attributo username in VNDLY è univoco. Ciò significa che lo stesso nome utente non può essere utilizzato due volte durante la creazione di un utente.
    Esempio di attributo nome utente: test.user
    Attributi consigliati:
    • NameID
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn
    • nickname
    • principalname
    • urn:mace:dir:attribute-def:eduPersonPrincipalName
    • urn:oid:1.3.6.1.4.1.5923.1.1.1.6
    • Nome utente
    Un campione di attributi utente esposti dall'IdP può aiutare a mappare gli attributi utente in VNDLY.
    Attributi e-mail
    Aggiungere attributi SAML per VNDLY da cercare e utilizzare come e-mail durante l'autenticazione. Gli attributi possono essere personalizzati in base alle esigenze.
    Non è consigliabile utilizzare un campo e-mail per identificare l'utente, poiché più account utente in VNDLY possono avere lo stesso indirizzo e-mail.
    Esempio di attributo e-mail: test@email.com
    Attributi consigliati:
    • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
    • urn:mace:dir:attribute-def:mail
    • urn:oid:0.9.2342.19200300.100.1.3
    Per risparmiare tempo, prendere nota del valore utilizzato per l'
    ID esterno
    . Sarà necessario in uno step successivo quando si imposta il metodo di autenticazione per gli utenti.
  9. Fare clic su
    Salva
    .
  10. (Facoltativo) Per configurare un provider di identità aggiuntivo:
    1. Accedere alla scheda
      Provider di identità
       .
    2. Fare clic su
      Crea
      .
    3. Completare gli step 8 e 9 per l'IdP aggiuntivo.
  11. Ripetere i passaggi precedenti per l'altro tenant VNDLY.
    Si consiglia di salvare il file di metadati originale dal provider di identità nel caso in cui sia necessario apportare aggiornamenti o ripristinare una versione precedente.