Documentation
Table of Contents
11 °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de SAML con Okta
Esta secci¨®n proporciona pautas para configurar para habilitar la autenticaci¨®n SAML 2.0 y aprovisionamiento de usuarios para Áú»¢¶Ä²©.
°ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô Okta
1. Vaya a y reg¨ªstrese/inicie sesi¨®n en su cuenta.
2. En la interfaz web de Okta, navegue hasta Aplicaciones ¡ú Aplicaciones.
3. Haga clic en Crear integraci¨®n de aplicaciones.
Seleccione "SAML 2.0" como m¨¦todo de inicio de sesi¨®n y haga clic en Siguiente.
4. En la configuraci¨®n general, complete el nombre de la aplicaci¨®n y haga clic en Siguiente.
5. En la configuraci¨®n de SAML, ingrese los valores proporcionados a continuaci¨®n, luego haga clic en Siguiente.
- En General agregue:
- Single sign-on URL:
http://<tu-url-zabbix>/zabbix/index_sso.php?acs
Tenga en cuenta el uso de "http" y no "https", para que el par¨¢metroacsno se elimine en la solicitud. La casilla de verificaci¨®n Usar esto para URL del destinatario y URL de destino tambi¨¦n debe estar marcada. - URI de audiencia (ID de entidad SP):
zabbix
Tenga en cuenta que este valor se utilizar¨¢ dentro de la aserci¨®n SAML como un identificador ¨²nico de proveedor de servicios (si no coincide, la operaci¨®n ser¨¢ rechazada). Es posible especificar una URL o cualquier cadena de datos en este campo. - Estado de retransmisi¨®n predeterminado:
Deje este campo en blanco; si se requiere una redirecci¨®n personalizada, puede agregarse en Áú»¢¶Ä²© en la configuraci¨®n Usuarios ¡ú Usuarios. - Rellena otros campos seg¨²n tus preferencias.
- Single sign-on URL:
- En Declaraciones de atributos/Declaraciones de atributos de grupo agregue:
Estas declaraciones de atributos se insertan en las aserciones SAML compartidas con Áú»¢¶Ä²©.
Los nombres de atributos utilizados aqu¨ª son ejemplos arbitrarios. Puede utilizar diferentes nombres de atributos; sin embargo, es necesario que coincidan con el valor del campo respectivo en la configuraci¨®n de Áú»¢¶Ä²© SAML.
Si desea configurar el inicio de sesi¨®n SAML en Áú»¢¶Ä²© sin aprovisionamiento de usuarios JIT, entonces solo se requiere el atributo de correo electr¨®nico.
Si planea utilizar una conexi¨®n cifrada, genere la conexi¨®n privada y certificados de cifrado p¨²blicos, luego cargue el certificado p¨²blico en Okta. El formulario de carga del certificado aparece cuando Asertion Encryption est¨¢ configurado en "Cifrado" (haga clic en Mostrar configuraci¨®n avanzada para encontrar este par¨¢metro).
6. En la siguiente pesta?a, seleccione "Soy un proveedor de software. Me gustar¨ªa integrar mi aplicaci¨®n con Okta" y presionar "Finalizar".
7. Navegue a la pesta?a "Asignaciones" de la aplicaci¨®n reci¨¦n creada. y haga clic en el bot¨®n Asignar, luego seleccione "Asignar a personas" en el men¨² desplegable.
8. En una ventana emergente que aparece, asigne la aplicaci¨®n a las personas que usar¨¢n SAML 2.0 para autenticarse con Áú»¢¶Ä²©, luego haga clic en Guardar y regresar.
9. Navegue a la pesta?a "Iniciar sesi¨®n" y haga clic en el bot¨®n Ver Instrucciones de configuraci¨®n .
Las instrucciones de configuraci¨®n se abrir¨¢n en una nueva pesta?a; mantenga esta pesta?a abierta mientras configura Áú»¢¶Ä²©.
°ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de Áú»¢¶Ä²©
1. En Áú»¢¶Ä²©, vaya a configuraci¨®n de SAML y complete las opciones de configuraci¨®n seg¨²n las instrucciones de configuraci¨®n de Okta:
| Campo Áú»¢¶Ä²© | Campo de configuraci¨®n en Okta | Valor de muestra |
|---|---|---|
| ID de entidad IdP | Emisor del proveedor de identidad | |
| URL del servicio SSO | URL de inicio de sesi¨®n ¨²nico del proveedor de identidad | |
| Atributo de nombre de usuario | Nombre de atributo | usrEmail |
| ID de entidad SP | URI de audiencia | zabbix |
| Atributo de nombre de grupo | Nombre de atributo | grupos |
| Atributo de nombre de usuario | Nombre de atributo | user_name |
| Atributo de apellido de usuario | Nombre de atributo | user_lastname |
Tambi¨¦n es necesario configurar el grupo de usuarios y la asignaci¨®n de medios.
2. Descargue el certificado proporcionado en las instrucciones de configuraci¨®n de Okta SAML en la carpeta ui/conf/certs como idp.crt.
Establezca permisos 644 ejecutando:
3. Si Assertion Encryption se ha configurado en "Cifrado" en Okta, la casilla de verificaci¨®n "Aserciones" del par¨¢metro Encrypt debe estar marcada tambi¨¦n en Áú»¢¶Ä²© .
4. Presione el bot¨®n "Actualizar" para guardar esta configuraci¨®n.
Aprovisionamiento SCIM
1. Para activar el aprovisionamiento SCIM, vaya a "General" -> "°ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de la aplicaci¨®n" de la aplicaci¨®n en Okta.
Marque la casilla de verificaci¨®n Habilitar aprovisionamiento SCIM. Como resultado, aparece una nueva pesta?a Aprovisionamiento.
2. Vaya a la pesta?a "Aprovisionamiento" para configurar una conexi¨®n SCIM:
- En URL base del conector SCIM especifique la ruta a la interfaz de Áú»¢¶Ä²© y a?¨¢dale
api_scim.php, es decir:
https://<tu-url-zabbix>/zabbix/api_scim.php - Campo de identificador ¨²nico para usuarios:
email - Modo de autenticaci¨®n:
Encabezado HTTP - En ´¡³Ü³Ù´Ç°ù¾±³ú²¹³¦¾±¨®²Ô ingrese un token API v¨¢lido con derechos de superadministrador
Si est¨¢ utilizando Apache, es posible que deba cambiar la configuraci¨®n predeterminada de Apache en /etc/apache2/apache2.conf agregando la siguiente l¨ªnea:
De lo contrario, Apache no env¨ªa el encabezado de ´¡³Ü³Ù´Ç°ù¾±³ú²¹³¦¾±¨®²Ô en la solicitud.
3. Haga clic en Probar configuraci¨®n del conector para probar la conexi¨®n. Si todo es correcto se mostrar¨¢ un mensaje de ¨¦xito.
4. En "Aprovisionamiento" -> "A la aplicaci¨®n", aseg¨²rese de marcar las siguientes casillas de verificaci¨®n:
- Crear usuarios
- Actualizar atributos de usuario
- Desactivar usuarios
Esto asegurar¨¢ que estos tipos de solicitudes se env¨ªen a Áú»¢¶Ä²©.
5. Aseg¨²rese de que todos los atributos definidos en SAML est¨¦n definidos en SCIM. Puede acceder al editor de perfiles de su aplicaci¨®n en "Aprovisionamiento" -> "A la aplicaci¨®n", haciendo clic en Ir al editor de perfiles.
Haga clic en Agregar atributo. Complete los valores de Nombre para mostrar, Nombre de variable, Nombre externo con el nombre del atributo SAML, por ejemplo, nombre_usuario.
El espacio de nombres externo debe ser el mismo que el esquema de usuario: urn:ietf:params:scim:schemas:core:2.0:User
6. Vaya a "Aprovisionamiento" -> "A la aplicaci¨®n" -> "Asignaciones de atributos" de su aplicaci¨®n. Haga clic en Mostrar atributos no asignados en la parte inferior. Aparecen los atributos reci¨¦n agregados.
7. Asigne cada atributo agregado.
8. Agregue usuarios en la pesta?a "Asignaciones". Los usuarios previamente deben ser agregados en Directorio -> Personas. Todas estas asignaciones se enviar¨¢n como solicitudes a Áú»¢¶Ä²©.
9. Agregue grupos en la pesta?a "Grupos Push". El patr¨®n de asignaci¨®n de grupos de usuarios en la configuraci¨®n de Áú»¢¶Ä²© SAML debe coincidir con un grupo especificado aqu¨ª. Si no hay coincidencia, el usuario no se puede crear en Áú»¢¶Ä²©.
La informaci¨®n sobre los miembros del grupo se env¨ªa cada vez que se realiza alg¨²n cambio.