Microsoft Entra ID

Este artigo descreve como configurar a federação de identidades SAMLv2 entre o Microsoft Entra ID e CyberElements.

Atenção!

A informação apresentada a seguir só é válida para CyberElements.

Configuração de um fornecedor de identidade SAML com o Microsoft Entra ID

Inicie sessão na consola de administração do Azure: Consola de administração do Azure

Uma vez com sessão iniciada, vá às suas Enterprise applications.
A partir daí, crie uma nova:

Escolha criar a sua nova aplicação:

Atribua-lhe um nome, escolha integrar outra aplicação que não conste da galeria e crie-a:

Uma vez criada a sua aplicação empresarial para CyberElements, adicione-lhe utilizadores e grupos de utilizadores:

Vá em seguida ao menu Single sign-on para iniciar a configuração SAML, selecionando-a:

Na parte inferior da página, copie o valor de Microsoft Entra Identifier:

Mantenha o separador aberto e, a partir da consola de administração de CyberElements, abra os fornecedores de identidade:

Adicione em seguida um novo:

1. Selecione o tipo de domínio SAML
2. Atribua um nome ao seu novo domínio
3. Adicione uma descrição opcional
4. Indique o seu domínio local; será utilizado para o mecanismo de SSO quando este estiver ativado
5. Ajuste o prazo de expiração das sessões de utilizador inativas (sessões de utilizador em que não é executada nenhuma aplicação CyberElements)
6. Ajuste o número de sessões simultâneas permitidas a cada utilizador
7. Ative ou desative a eliminação automática da sessão mais antiga se o utilizador iniciar sessão quando já atingiu o número máximo de sessões simultâneas
8. Selecione o fornecedor de identidade Azure
9. Introduza o valor de Microsoft Entra Identifier obtido anteriormente
10. Introduza o valor da variável de grupos seguinte:

    http://schemas.microsoft.com/ws/2005/05/identity/claims/groups
    

11. Deixe o formato da variável de grupos em URI
12. Introduza o valor da variável de login seguinte:

    http://schemas.microsoft.com/ws/2005/05/identity/claims/name
    

13. Deixe o formato da variável de login em URI
14. Adicione ou não o domínio à autenticação em cascata

Confirme a criação do domínio e volte a abri-lo para aceder ao segundo separador.
A partir daí, pode transferir os metadados de configuração destinados ao IDP:

Volte ao separador de configuração da aplicação empresarial do Entra ID e carregue o ficheiro Metadata obtido de CyberElements:

Altere o valor do URL de fim de sessão, substituindo o final /Artifact por /Redirect, e guarde a configuração:

Edite em seguida os atributos e as asserções SAML:

Adicione uma nova asserção de grupos, transmita todos os grupos do utilizador ou apenas os grupos atribuídos à aplicação empresarial, certifique-se de que o que é transmitido é o ID do grupo e valide a criação da nova asserção:

Por último, obtenha o URL dos metadados de federação:

Volte à consola de administração de CyberElements e adicione o URL dos metadados de federação:

Uma vez validado, o seu novo domínio SAML está pronto a ser utilizado.

Adicionar grupos

O novo domínio SAML pode ser utilizado diretamente, mas como o SAMLv2 não prevê trocas diretas entre o fornecedor de identidade (IDP) e o fornecedor de serviços (SP) — que no nosso contexto é CyberElements —, este não pode conhecer os grupos de utilizadores presentes no Entra ID.
Para resolver este problema, os grupos de utilizadores podem ser sincronizados pontualmente ou adicionados manualmente ao produto.

Sincronização pontual

A sincronização pontual dos grupos de utilizadores do Entra ID é possível através da funcionalidade device login do Azure.
Esta funcionalidade sincroniza todos os grupos presentes no Entra ID.

Para efetuar esta sincronização, abra a lista de domínios disponíveis e clique no botão de sincronização :

Abre-se uma janela na qual terá de copiar um código e colá-lo na autenticação do Azure, acessível através da ligação indicada:

Após a autenticação, CyberElements sincroniza todos os grupos para os tornar utilizáveis na solução. Em função do número de grupos a sincronizar, a operação pode levar até 5 minutos (no caso de milhares de grupos a sincronizar).

Manualmente

Abra a gestão dos grupos de utilizadores:

Selecione o seu domínio Entra ID e clique no botão de adição :

Por último, preencha os diversos campos para adicionar um grupo presente no Entra ID:

1. Introduza o nome de visualização do seu grupo de utilizadores em CyberElements (para simplificar a gestão, recomenda-se dar-lhe o mesmo nome que no Entra ID)
2. Indique o ID do objeto de grupo, que pode ser obtido na gestão de grupos do Azure
3. Se assim o desejar, adicione uma descrição ao grupo de utilizadores