Elastic Desktop Service:Exemplo: Configurar SSO entre Azure AD e Elastic Desktop Service

O single sign-on (SSO) é uma tecnologia de comunicação segura que permite acessar vários sistemas de aplicativos confiáveis com eficiência por meio de um único login. O SSO implementa o logon com base na federação de identidade.

Os termos a seguir são frequentes em cenários de SSO:

• Provedor de identidade (IdP): entidade que contém os metadados de um provedor de identidade externo. Um IdP fornece serviços de gerenciamento de identidade, coleta e armazena informações de identidade do usuário, como nomes de usuário e senhas, e verifica as identidades dos usuários durante o logon.

  IdPs comuns:

  • IdPs locais: utilizam arquitetura on-premises, como Microsoft Active Directory Federation Service (AD FS) e Shibboleth.

  • IdP em nuvem: Azure AD, Google Workspace, Okta e OneLogin.

• Provedor de serviços (SP): aplicativo que usa o recurso de gerenciamento de identidade de um IdP para fornecer serviços específicos aos usuários com base em relações de confiança com os IdPs. Em sistemas de identidade específicos que não estão em conformidade com o protocolo Security Assertion Markup Language (SAML), como OpenID Connect (OIDC), o SP é a parte confiável de um IdP.

• SAML 2.0: protocolo padrão para autenticação de identidade de usuário em empresas. Trata-se de uma das implementações técnicas para comunicação entre SPs e IdPs. O SAML é um padrão de fato utilizado por empresas para implementar o SSO.

Etapa 1: Criar contas no Elastic Desktop Service

Antes de adicionar usuários na aba Batch Entry, prepare um arquivo CSV que atenda aos requisitos de formato para contas de conveniência.

1. Baixe um arquivo CSV contendo as informações de usuário do Azure AD.

   1. Faça login no console do Azure AD.

   2. No painel de navegação à esquerda, clique em Users.

   3. Na página All users (Preview), confirme se as informações do usuário atendem aos requisitos.

      Os nomes de usuário do Azure AD devem atender aos requisitos de formato para contas de conveniência do Elastic Desktop Service. Modifique quaisquer nomes de usuário que não estejam em conformidade. Caso contrário, não será possível criar as contas de conveniência correspondentes.

      Os requisitos de formato de nome de usuário para uma conta de conveniência são os seguintes:

      • Deve ter entre 3 e 25 caracteres.

      • Pode conter letras minúsculas, dígitos, hifens (-) e sublinhados (_). Pontos (.) não são suportados.

      • Deve começar com uma letra minúscula ou um dígito.

   4. Na parte superior da página, clique em Bulk operations e selecione Download users.

   5. Siga as instruções na tela para concluir o download.

2. Abra o arquivo CSV baixado com um aplicativo de planilha. Ajuste as informações do usuário para atender aos requisitos de formato de importação de contas de conveniência e salve o arquivo no formato CSV.

   Nota

   Ao ajustar as informações do usuário, observe o seguinte:

   • O formato necessário para o arquivo de importação é o seguinte:

     • Para contas de conveniência ativadas pelo usuário: a primeira coluna é o nome de usuário (obrigatório), a segunda é o endereço de e-mail (obrigatório) e a terceira é o número de telefone (opcional).

     • Para contas de conveniência ativadas pelo administrador: a primeira coluna é o nome de usuário (obrigatório), a segunda é o endereço de e-mail (opcional), a terceira é o número de telefone (opcional) e a quarta é a senha (obrigatória).

   • No arquivo CSV baixado do Azure AD, a coluna userPrincipalName usa o formato username@domain. Extraia o prefixo para usar como nome de usuário da conta de conveniência. Se o userPrincipalName também for o endereço de e-mail real do usuário, utilize esta coluna para o e-mail da conta de conveniência. Se o endereço de e-mail real for diferente, insira-o manualmente.

Após preparar o arquivo CSV, crie as contas de conveniência na aba Batch Entry no console do Elastic Desktop Service. Para mais detalhes, consulte Criar uma conta de conveniência.

Etapa 2: Criar um aplicativo e atribuir usuários

No Azure AD, crie um aplicativo para o Elastic Desktop Service e atribua a ele os usuários do Azure AD que utilizarão o Elastic Desktop Service. Siga estas etapas:

1. No painel de navegação à esquerda do console do Azure AD, clique em Enterprise applications.

2. Na página All applications, clique em New application.

3. Na barra de menu superior, clique em Create your own application.

4. No painel exibido, insira um nome para o aplicativo, selecione Integrate any other application you don't find in the gallery (Non-gallery) e clique em Create.

5. Atualize a página e clique no nome do aplicativo recém-criado.

6. No painel de navegação à esquerda da página de detalhes do aplicativo, clique em Users and groups e, em seguida, clique em Add user/group.

7. Na página Add Assignment exibida, selecione os usuários e clique em Assign.

Etapa 3: Configurar o Elastic Desktop Service como um SP confiável

Envie o arquivo de metadados fornecido pelo Elastic Desktop Service para o Azure AD a fim de configurar o Elastic Desktop Service como um Provedor de Serviços SAML (SP) confiável. As etapas são as seguintes:

1. Obtenha o arquivo de metadados do SP no console do Elastic Desktop Service.

   1. Faça login no console empresarial do EDS.

   2. No painel de navegação à esquerda, escolha Networks & Storage > Office Network.

   3. Na barra de navegação superior, selecione uma região.

   4. Na página da rede de escritório, localize a rede de escritório para a qual deseja habilitar o SSO e clique no ID da rede de escritório.

   5. Na seção More Information na parte inferior da página, localize Application Metadata e clique em Download Application Metadata File.

      O arquivo de metadados é baixado automaticamente para o seu computador.

2. Configure o single sign-on para o aplicativo do Elastic Desktop Service no Azure AD.

   1. No console do Azure AD, abra o aplicativo criado na Etapa 2.

   2. No painel de navegação à esquerda da página de detalhes do aplicativo, clique em Single sign-on e selecione SAML.

   3. Clique em Upload metadata file.

   4. Selecione o arquivo de metadados do SP baixado do console do Elastic Desktop Service e clique em Add.

   5. No painel Basic SAML Configuration, verifique se o identificador e a URL de resposta estão corretos e clique em Save.

      Nota

      Abra o arquivo de metadados do SP salvo localmente para confirmar o identificador e a URL de resposta:

      • Identifier (Entity ID): Corresponde ao valor entityID na tag md:EntityDescriptor.

      • Reply URL (Assertion Consumer Service URL): Corresponde ao valor Location na tag md:AssertionConsumerService.

      Importante

      Se o identificador e a URL de resposta não forem preenchidos automaticamente após o upload do arquivo de metadados do SP, insira-os manualmente.

Etapa 4: Configurar um IdP confiável no Elastic Desktop Service

Envie o arquivo de metadados do Azure AD para o console do Elastic Desktop Service a fim de configurar o Azure AD como um IdP SAML confiável no console do Elastic Desktop Service. As etapas são as seguintes:

1. Obtenha o arquivo de metadados do IdP no Azure AD.

   1. No console do Azure AD, abra o aplicativo criado na Etapa 2.

   2. No painel de navegação à esquerda da página de detalhes do aplicativo, clique em Single sign-on.

   3. Na seção SAML Signing Certificate, clique em Download ao lado de Federation Metadata XML.

   4. Envie o arquivo de metadados do IdP do Azure AD para o console do Elastic Desktop Service.

      1. Faça login no console empresarial do EDS.

      2. No painel de navegação à esquerda, escolha Networks & Storage > Office Network.

      3. Na barra de navegação superior, selecione uma região.

      4. Na página da rede de escritório, localize a rede de escritório para a qual deseja habilitar o SSO e clique no ID da rede de escritório.

      5. Na seção More Information na parte inferior da página, habilite o SSO e envie o arquivo de metadados do IdP.

         • SSO: Ative esta opção para habilitar o SSO.

           Este recurso está desativado por padrão. A configuração de SSO permanece inativa enquanto esta opção estiver desligada.

         • IdP Metadata: Clique em Upload para enviar o arquivo de metadados do IdP.

           Um status "Completed" para IdP Metadata indica que o IdP corporativo foi configurado como um IdP SAML confiável.

   Próximas etapas

   Depois que o Single Sign-On (SSO) estiver configurado, os usuários finais poderão acessar os cloud computers autenticando-se com seu Provedor de Identidade (IdP). Este tópico usa o cliente Windows como exemplo para descrever como se conectar a um cloud computer usando SSO.

   1. Abra o cliente Windows.

   2. Na página da Pro Edition, insira o ID da rede de escritório.

   3. Na página de login do Azure AD, insira suas informações de usuário do Azure AD.

      Após fazer login com sucesso no cliente, localize o cartão do cloud computer desejado na página de exibição de cloud computers e clique em Connect.

   Perguntas frequentes

   • Se o cliente exibir a mensagem "Authentication failed. Contact your administrator to check the SSO settings", verifique se a configuração de SSO está correta.

   • Caso o cliente apresente a mensagem "Internal error. Contact your administrator", confirme se existe uma conta de conveniência no Elastic Desktop Service com um nome de usuário correspondente ao usuário do Azure AD.