Configurar Enterprise Sign-In con AD FS 2.0

Su organización puede administrar fácilmente miles de usuarios y su acceso a los productos y, al mismo tiempo, ofrecer Single Sign-On (SSO). SSO garantiza que los usuarios puedan acceder a sus GoTo productos con el mismo proveedor de identidades que para sus demás aplicaciones y entornos empresariales. Estas prestaciones se denominan Enterprise Sign-In.

Este documento describe la configuración de Active Directory Federation Services (AD FS) para permitir la autenticación single sign-on para GoTo productos.

AD FS 2.0 es una descargable componente para Windows Server 2008 y 2008 R2. Es sencillo de desplegar, pero hay varios pasos de configuración que necesitan cadenas específicas, certificados, URL, etc. AD FS 3. 0 también es compatible con Iniciar sesión en la empresa. AD FS 3.0 tiene varias mejoras, la más grande es que el servidor de servicios de Internet de Microsoft (IIS) se incluye en la implementación en lugar de una instalación independiente.

Nota: Puede omitir Paso n.º 5 (enumeradas a continuación) si ya tiene implementado AD FS 2.0.

Paso n.º 1: Configurar una organización para ADFS 2.0

Configure una “organización” para registrar al menos un dominio de correo electrónico válido con GoTo para verificar su propiedad de dicho dominio. Los dominios de la organización son dominios de correo electrónico de propiedad exclusiva que los administradores pueden comprobar mediante el servicio web o el servidor DNS.

Importante: El usuario que complete la verificación del dominio se convertirá automáticamente en administrador de la organización, pero no es obligatorio que tenga un usuario que tenga GoTo rol de administrador del producto.

Los pasos siguientes se realizan en la GoTo Centro de organización.

Configurar una organización.

Sign in to the GoTo Organization Center at https://organization.logmeininc.com.
The first screen will ask that you verify that you own the domain for the account with which you are logged in currently. You are provided two methods for setting up domain validation, each of which uses a unique verification code to complete the verification. Copy the verification value to your clipboard.

Nota: The verification screen will display until the domain is verified. If it takes you longer than 10 days to verify the domain, the system will automatically generate new verification codes for your domain the next time you visit the Organization Center.
Paste the verification code into the DNS record or a text file for upload to one of the locations, depending on which of the verification methods you choose:
- Method 1: Add a DNS record to your domain zone file. To use the DNS method, you place a DNS record at the level of the email domain within your DNS zone. Typically, users are verifying a “root” or “second level” domain such as “main.com”. In this case, the record would resemble:
  
  @ IN TXT “logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e”
  
  OR
  
  main.com. IN TXT “logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e”
  
  If you require a third-level domain (or subdomain) such as “mail.example.com” the record must be placed at that subdomain, such as:
  
  mail.main.com. IN TXT “logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e”
  
  For more detailed documentation, see Add a TXT DNS record.
- Method 2: Upload a web server file to the specified website.Upload a plain-text file to your web server root containing a verification string. There should not be any whitespace or other characters in the text file besides those given.
  - Location: http://< yourdomain >/logmein-verification-code.txt
  - Contents: logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e
Once you have added the DNS record or text file, return to the domain status screen and click Verify.
Resultado: Ha verificado correctamente su primer dominio, por lo que creó una organización con su cuenta como administrador de la organización. El dominio verificado se mostrará la próxima vez que inicie sesión en el Centro de organización.

Desactive correos de bienvenida para los usuarios (opcional).

Sign in to the GoTo Admin Centro (versión clásica) at https://admin.logmeininc.com.
Seleccione Ajustes de administrador en el menú de navegación de la izquierda.
Localice el panel Organización y seleccione Editar.
Seleccionar Desactivado para la sincronización de usuarios > Guardar.
Resultado: Ha desactivado correos de bienvenida para los usuarios y tendrá que informar a los usuarios sobre los cambios en su cuenta o los productos que se hayan asignado.

Resultados: Ha configurado correctamente una organización y ha configurado los ajustes que desee para los correos de bienvenida.

Paso n.º 2: Certificado de los servicios de federación

Cada implementación de AD FS se identifica con un nombre DNS (por ejemplo, “adfs.midomain.com”). Necesitará contar con un certificado emitido para este nombre de sujeto antes de empezar. Este identificador es un nombre visible externamente, por lo tanto, asegúrese de seleccionar algo adecuado para representar a su empresa ante sus asociados. No use ese nombre como nombre de host también, ya que esto causaría problemas con el registro de nombres principales de servicio (SPN).

Existen varios métodos para generar certificados. La manera más fácil, si dispone de una entidad de certificación en su dominio, es usar la consola de administración de IIS 7:

Abra el complemento de administración de servidor web (IIS).
Seleccione el nodo de servidor en el árbol de navegación y, a continuación, seleccione la opción Certificados de servidor.
Seleccione Crear certificado de dominio.
Introduzca el Nombre del servicio de federación en Nombre común (por ejemplo: adfs.miDominio.com).
Seleccione la entidad de certificación de Active Directory.
Introduzca el nombre simplificado o "nombre para mostrar" del certificado (cualquier identificador vale).

Nota: Si no utilizó la consola de IIS para generar el certificado, asegúrese de que el certificado está vinculado al servicio IIS en los servidores en los que se va a instalar AD FS antes de continuar.

Paso n.º 3: Crear una cuenta de usuario de dominio

Los servidores de AD FS requieren que cree una cuenta de usuario de dominio para ejecutar sus servicios (no es necesario establecer grupos específicos).

Paso n.º 4: Instalar el primer servidor AD FS

Descargue AD FS 2.0 y ejecute el instalador. Asegúrese de ejecutar el instalador como administrador de dominio. Esto creará los nombres SPN y otros contenedores de AD.
En el rol del servidor, seleccione Servidor de federación.
Cheque Inicie el complemento de administración de AD FS 2.0 cuando este asistente se cierre al final del asistente de configuración.
En el complemento de administración de AD FS, seleccione Crear un nuevo servicio de federación.
Seleccione New Federation Server farm (Nueva granja de servidores de federación).
Seleccione el certificado que ha creado en el paso anterior.
Seleccione el usuario de dominio que ha creado en los pasos anteriores.

Paso n.º 5: Configurar su usuario de confianza

En este paso, indica AD FS el tipo de tokens SAML que acepta el sistema.

configure la relación de confianza de la siguiente forma:

En AD FS 2.0 MMC, seleccione Relaciones de confianza> Aplicaciones para usuarios de confianza en el árbol de navegación.
Seleccionar Añadir confianza de usuario de confianza y seleccione Inicio.
En Select Data Source (Seleccionar origen de datos), seleccione Import data about the relying party published online or on a local area network (Importar datos sobre el usuario de confianza publicados en línea o en una red de área local).
In the text box below the selected option, paste the metadata URL: http://identity.goto.com/saml/sp.
Seleccionar Aceptar para saber que no se omitirán los metadatos de AD FS 2.0 que no comprenda.
En la página Especificar nombre visible, escriba LogMeInTrusty seleccionar Siguiente.
En la pantalla Choose Issuance Authorization Rules (Elegir reglas de autorización de emisión), elija Permit all users to access this relying party (Permitir a todos los usuarios acceder a este usuario de confianza) a menos que prefiera otra opción.
Complete el resto de los diálogos para finalizar la configuración de este lado de la relación de confianza.

Añadir 2 reglas de notificación

Seleccione la nueva entrada de punto final y, a continuación, seleccione Editar reglas de notificación en el menú de navegación.
Seleccione la ficha Issuance Transform Rules (Reglas de transformación de emisión) y haga clic en Add Rule (Agregar regla).
Utilice el menú desplegable para seleccionar Enviar atributos LDAP como notificacionesy, a continuación, seleccione Siguiente.
Use la siguiente configuración para la regla:
- Nombre de la regla de notificaciones: correo electrónico de AD
- Almacén de atributos: Active Directory
- Atributo LDAP: direcciones de correo electrónico
- Tipo de notificación saliente: dirección de correo electrónico
Seleccionar Finalizar.
Seleccionar Añadir regla de nuevo.
Utilice el menú desplegable para seleccionar Transformar una notificación entrantey, a continuación, seleccione Siguiente.
Use la siguiente configuración para la regla:
- Nombre de la regla de notificaciones: ID de nombre
- Tipo de notificación entrante: dirección de correo electrónico
- Tipo de notificación saliente: ID de nombre
- Formato de ID de nombre saliente: correo electrónico
Seleccione Pass through all claim values (Paso a través de todos los valores de notificación).
Seleccionar Finalizar.

Finalice la configuración

Para evitar que AD FS envíe aserciones cifradas de forma predeterminada, abra un símbolo de comandos de Windows Power Shell y ejecute el siguiente comando:

set-ADFSRelyingPartyTrust –TargetName"< relyingPartyTrustDisplayName >" –EncryptClaims $False

Paso n.º 6: Configurar confianza

El último paso de configuración consiste en aceptar los tokens SAML generados por su nuevo servicio de ADFS.

Use la sección “Identity Provider” (Identificar proveedor) en el Centro de organización para agregar los detalles necesarios.
Para AD FS 2.0, seleccione “Automatic” Settings (Configuración automática) e introduzca la siguiente URL (sustituya “server”) con el nombre de host accesible externamente del servidor de AD FS https://server/FederationMetadata/2007-06/FederationMetadata.xml

Paso n.º 7: Pruebe la configuración del servidor único

En este punto, debe poder probar la configuración. Debe crear una entrada DNS para la identidad de servicio de ADFS, que haga referencia al servidor ADFS que acaba de configurar, o a un equilibrador de carga de red si está usando uno.

Para probar el inicio de sesión iniciado por el proveedor de identidades, diríjase a su URL personalizada de IdP (ejemplo: https://adfs. < my domain.com > /adfs/ls / < IdP Initiated sign on > = https://adfs.mydomain.com/adfs/ls/IdpInitiatedSignOn.aspx). Si todo es correcto, verá el identificador del usuario de la relación de confianza en un cuadro combinado en "Sign in to one to the following sites" (Iniciar sesión en uno de los siguientes sitios).
Cómo probar el inicio de sesión iniciado por un usuario de confianza, consulte las instrucciones de ¿Cómo puedo iniciar sesión con single sign-on?

Artículo última actualizado: 17 January, 2024