Este tópico descreve como utilizar um provedor de identidade (IdP) corporativo, como Okta, Azure AD ou um sistema desenvolvido internamente, para fazer login no portal do usuário do IDaaS EIAM por meio do protocolo OIDC.
Termos
Após vincular um IdP OIDC, é possível usar contas do Okta, Azure AD ou de um sistema próprio para acessar o IDaaS EIAM.
|
Termo |
Descrição |
|
OIDC |
O protocolo OIDC é uma evolução do protocolo OAuth. Ele cria uma camada de identidade de usuário sobre o OAuth 2.0. Para obter instruções sobre configurações comuns, consulte OIDC SSO configuration. |
|
IdP |
Provedor de Identidade. Neste cenário, o IdP é o Okta ou o Azure AD. Conforme definido no protocolo SAML, um IdP autentica e autoriza usuários e retorna a Resposta SAML ao SP. O termo foi posteriormente generalizado para designar uma plataforma unificada de gerenciamento de identidades. |
|
SP |
Provedor de Service. Neste cenário, o SP é o IDaaS EIAM. Segundo a definição do protocolo SAML, um SP analisa o resultado retornado pelo IdP. Posteriormente, o termo passou a se referir a qualquer aplicativo que se integre a um IdP. |
|
Autenticação federada |
A Autenticação Federada ocorre quando o SP confia e utiliza o resultado de autenticação do IdP. Nesse contexto, o IDaaS EIAM confia nos resultados de autenticação de IdPs como Okta e Azure AD, permitindo o login em contas do IDaaS EIAM. Esse mecanismo é amplamente utilizado para viabilizar o single sign-on (SSO). |
Vincular um IdP OIDC genérico
O IDaaS EIAM implementa a autenticação federada utilizando o fluxo padrão de código de autorização OIDC. Em teoria, se o seu IdP (como Okta, Azure AD ou um sistema interno) oferecer suporte a single sign-on (SSO) com o fluxo de código de autorização OIDC padrão, ele poderá atuar como IdP para o IDaaS EIAM. Dessa forma, os usuários poderão usar as contas desse IdP para fazer login no IDaaS EIAM.
Atualmente, o SSO só pode ser iniciado a partir da página do IDaaS EIAM (iniciado pelo SP). O IdP aparece como uma das opções de login na página de autenticação do IDaaS EIAM. Não há suporte para iniciar o SSO diretamente pelo IdP (iniciado pelo IdP).
Vincular um IdP OIDC genérico consiste essencialmente em estabelecer uma relação de confiança entre o IDaaS e o IdP. É necessário obter e inserir informações de configuração em ambos os lados.
Etapa 1: Inserir configurações básicas
Obter configurações no IDaaS
(1) Acesse sua instância do IDaaS EIAM. No menu IdPs, clique em Other IdPs - OIDC IdP para iniciar o processo de vinculação.
(2) Na parte inferior do formulário, copie a IDaaS Redirect URI. Você deverá insira essa URI no seu IdP na segunda parte deste procedimento. A URI é utilizada para enviar solicitações de autenticação e tokens de ID.
Obter configurações no seu IdP
(1) Crie um aplicativo compatível com o protocolo OIDC no seu IdP. Defina a URI de redirecionamento do aplicativo como a IDaaS Redirect URI copiada na etapa anterior.
(2) Obtenha as informações abaixo e insira-as no formulário do IDaaS EIAM.
Client ID: identificador usado para enviar solicitações ao IDaaS EIAM. Corresponde ao identificador do aplicativo no seu IdP.
Client Secret: segredo utilizado para enviar solicitações ao IDaaS EIAM. Trata-se do segredo do aplicativo no seu IdP.
Issuer: endpoint de descoberta do Issuer OIDC.
(3) No formulário do IDaaS, clique em Parse para preencher automaticamente as informações de endpoint.
(4) Verifique as configurações e clique em Next para avançar à etapa de seleção de cenário.
Etapa 2: Selecionar um cenário
Na etapa Select Scenario, selecione os recursos que deseja utilizar.
Federated Authentication: Ao ative este recurso, os usuários passam a poder usar o método de login OIDC para acessar o IDaaS.
Manual Account Binding: Quando habilitado, permite que o usuário verifique manualmente uma conta do IDaaS usando outro método de login caso a conta OIDC atual não esteja vinculada a uma conta do IDaaS. Após a vinculação bem-sucedida, o acesso via conta OIDC torna-se disponível.
Automatic Account Binding: Este recurso permite a vinculação automática de contas durante o login via OIDC. A associação ocorre quando a conta OIDC ainda não está ligada a uma conta do IDaaS e quando um campo do IDaaS possui o mesmo valor que um campo da conta OIDC. Clique em Select Field para escolha diretamente um campo no
id_tokenou utilize uma expressão para personalizar o campo. Para mais detalhes, consulte Advanced account field expressions. Uma vez vinculada, a conta OIDC poderá ser usada para login no IDaaS.Automatically Create Account: Cria automaticamente uma conta no IDaaS durante o login via OIDC caso não exista vínculo prévio com uma conta OIDC. As informações da conta são atualizadas a cada novo acesso via OIDC.
Specified Organization: Contas do IDaaS sem organização definida são atribuídas automaticamente à organização especificada durante o login via OIDC. Por padrão, este campo aponta para a organização raiz. Pesquise uma organização ou escolha uma na lista suspensa.
Automatically Update Information: Atualize automaticamente as informações da conta do IDaaS com base nos mapeamentos de campos sempre que o usuário fizer login via OIDC.
Se você ative tanto a Manual Account Binding quanto a Automatic Account Binding, a vinculação automática terá prioridade. O recurso de Vinculação Automática de Contas está disponível apenas para instâncias do IDaaS nas edições Trial e Enterprise. Caso precise utilizar essa funcionalidade, faça o upgrade da sua instância do IDaaS antecipadamente.
Revise as configurações e clique em Confirm para crie o IdP OIDC.
Etapa 3: Mapeamento de campos (opcional)
Ao ative a opção Automatically Create Account ou Automatically Update Information, a etapa de Field Mapping será exibida durante o processo de criação.
Contas do IDaaS criadas por sincronização a partir de outro IdP (como DingTalk ou AD) mantêm seus dados baseados nessa origem externa e não podem ser atualizadas automaticamente neste local.
Com o recurso de Criação Automática de Conta ativado, os dados dos campos presentes no id_token podem ser aproveitados como valores para os campos da conta do IDaaS durante o login via OIDC. Isso atualize automaticamente os valores dos campos da conta no IDaaS. Por exemplo, é possível usar o campo id_token do name como nome de exibição da conta do IDaaS.
A prioridade de login da conta segue a ordem: vinculado > vinculação automática > vinculação manual = criação automática.
Caso uma conta OIDC não possua vínculo e não possa ser associada automaticamente, uma caixa de diálogo de seleção aparecerá durante o login. O usuário poderá optar por vincular manualmente uma conta existente ou crie uma nova.
Na página IdPs, é possível exclua um OIDC IdP. Após a exclusão, todas as configurações são removidas imediatamente e não podem ser recuperadas, tornando os recursos relacionados indisponíveis.