Microsoft Entra ID

Este artigo apresenta a configuração da federação de identidades SAMLv2 entre o Microsoft Entra ID e CyberElements.

Configuração de um fornecedor de identidade SAML com o Microsoft Entra ID

Criação da aplicação empresarial

Inicie sessão no centro de administração do Microsoft Entra: Centro de administração do Microsoft Entra

No menu, abra Entra ID > Enterprise apps e, em seguida, crie uma nova aplicação com New application:

Na galeria, selecione Create your own application:

Atribua um nome à aplicação, selecione Integrate any other application you don't find in the gallery (Non-gallery) e crie-a com Create:

Uma vez criada a sua aplicação empresarial para CyberElements, atribua-lhe os utilizadores e os grupos autorizados, a partir de Users and groups > Add user/group:

Atribua grupos à aplicação

A afirmação de grupos configurada mais abaixo só transmite os grupos atribuídos à aplicação dos quais o utilizador é membro. Um utilizador atribuído individualmente à aplicação consegue iniciar sessão, mas sem nenhum grupo: as aplicações que lhe são disponibilizadas através de um grupo não lhe são então propostas.

Em seguida, vá ao menu Single sign-on e selecione o método SAML:

Na parte inferior da página, copie o valor de Microsoft Entra Identifier:

Criação do domínio SAML em CyberElements

Mantenha o separador aberto e, a partir da consola de administração de CyberElements, abra os fornecedores de identidade:

Adicione em seguida um novo:

1. Selecione o tipo de domínio SAML domain
2. Atribua um nome ao seu novo domínio
3. Adicione uma descrição opcional
4. Indique o seu domínio local; será utilizado pelo mecanismo de SSO quando este estiver ativado
5. Ajuste o prazo de expiração das sessões de utilizador inativas (sessões de utilizador em que não é executada nenhuma aplicação CyberElements)
6. Ajuste o número de sessões simultâneas permitidas a cada utilizador
7. Ative ou desative a eliminação automática da sessão mais antiga se o utilizador iniciar sessão quando já atingiu o número máximo de sessões simultâneas
8. Selecione o fornecedor de identidade Azure
9. Introduza o valor de Microsoft Entra Identifier obtido anteriormente
10. Introduza a variável dos nomes de grupos: groups
11. Selecione o formato Unspecified para a variável dos nomes de grupos
12. Introduza a variável de login: name
13. Selecione o formato Basic para a variável de login
14. Adicione ou não o domínio à autenticação em cascata
15. Valide a criação do domínio

Porquê dois formatos diferentes

O Microsoft Entra ID transmite a afirmação name no formato Basic, definido mais abaixo durante a sua configuração. Em contrapartida, transmite a afirmação groups sem qualquer formato: o seu painel de afirmação de grupos não permite escolher um. O formato Unspecified corresponde ao que é efetivamente recebido; com o formato Basic, os grupos não são reconhecidos.

Edite depois novamente o domínio para aceder ao segundo separador, Access service. A partir daí, transfira os metadados de configuração destinados ao IDP com a ligação Metadata to set on the IDP:

Configuração do single sign-on no Microsoft Entra ID

Volte ao separador de configuração da aplicação empresarial e carregue o ficheiro Metadata obtido de CyberElements com Upload metadata file:

O painel Basic SAML Configuration abre-se, pré-preenchido. Altere o valor de Logout Url (Optional) substituindo, no final, /SLO/Artifact por /SLO/Redirect, e guarde a configuração com Save:

Porquê alterar o URL de fim de sessão

Os metadados de CyberElements declaram vários endereços de fim de sessão, e o Microsoft Entra ID mantém o primeiro. Esse endereço utiliza a vinculação HTTP-Artifact, que o Microsoft Entra ID não suporta para o fim de sessão.

Edite em seguida os atributos e as afirmações, a partir de Attributes & Claims > Edit:

Elimine as afirmações emailaddress, givenname e surname, que CyberElements não utiliza, com Delete no respetivo menu …:

Clique na afirmação name e, no painel Manage claim:

1. Limpe o campo Namespace
2. Expanda Choose name format e selecione o formato Basic
3. Guarde com Save

Adicione em seguida uma afirmação de grupos:

1. Clique em Add a group claim
2. Selecione os grupos a transmitir: Groups assigned to the application (recomendado) ou All groups
3. Deixe o atributo de origem definido como Group ID: é transmitido o ID do objeto de grupo
4. Expanda Advanced options, selecione Customize the name of the group claim, introduza o nome groups e deixe o campo Namespace (optional) vazio
5. Guarde com Save

Verifique a lista resultante: além do identificador único do utilizador, só devem permanecer as afirmações groups e name:

Por último, obtenha o URL dos metadados de federação, App Federation Metadata Url:

Volte à consola de administração de CyberElements, separador Access service do domínio, introduza este URL em IDP metadata URL e valide com Validate:

Uma vez validado, o seu novo domínio SAML está pronto a ser utilizado.

Adicionar grupos

O novo domínio SAML pode ser utilizado diretamente, mas como o SAMLv2 não prevê trocas diretas entre o fornecedor de identidade (IDP) e o fornecedor de serviços (SP) — que no nosso contexto é CyberElements —, este não pode conhecer os grupos de utilizadores presentes no Entra ID.
Para resolver este problema, os grupos de utilizadores podem ser sincronizados pontualmente ou adicionados manualmente ao produto.

Sincronização pontual

A sincronização pontual dos grupos de utilizadores do Entra ID é possível através da funcionalidade device login do Azure.
Esta funcionalidade sincroniza todos os grupos presentes no Entra ID.

Para efetuar esta sincronização, abra a lista de domínios disponíveis e clique no botão de sincronização :

Abre-se uma janela na qual terá de copiar um código e colá-lo na autenticação do Azure, acessível através da ligação indicada:

Após a autenticação, CyberElements sincroniza todos os grupos para os tornar utilizáveis na solução. Em função do número de grupos a sincronizar, a operação pode levar até 5 minutos (no caso de milhares de grupos a sincronizar).

Manualmente

Abra a gestão dos grupos de utilizadores:

Selecione o seu domínio Entra ID e clique no botão de adição :

Por último, preencha os diversos campos para adicionar um grupo presente no Entra ID:

1. Introduza o nome de visualização do seu grupo de utilizadores em CyberElements (para simplificar a gestão, recomenda-se dar-lhe o mesmo nome que no Entra ID)
2. Indique o ID do objeto de grupo, que pode ser obtido na gestão de grupos do Azure
3. Se assim o desejar, adicione uma descrição ao grupo de utilizadores