Índice
Índice |
---|
maxLevel | 4 |
---|
outline | true |
---|
exclude | .*ndice |
---|
style | none |
---|
|
Sobre o Desktop SSO
O Desktop SSO é um componente não obrigatório na arquitetura do fluig Identity e que pode ser habilitado pelo administrador do contexto. Ele é responsável pelo Single Sign On (SSO), o que permite aos usuários que já estejam autenticados no Windows da estação de trabalho acessar o fluig Identity sem informar as credenciais (e-mail e senha) manualmente.
A validação das credenciais do Windows no fluig Identity é realizada através de um script ASP, que é gerado pelo próprio fluig Identity e deve ser hospedado em um servidor IIS (Internet Information Service). O script consulta as credenciais no Active Directory, recupera o e-mail associado ao usuário e o valida no fluig Identity.
Se as credenciais forem legítimas, o usuário obterá acesso ao fluig Identity sem a necessidade de informá-las manualmente. Caso as credenciais não sejam válidas, será apresentada ao usuário a página de login do fluig Identity, onde ele deverá informar o e-mail e senha para ter acesso às aplicações.
Para maior segurança, é possível cadastrar intervalos de IPs, que restringem a permissão para utilização do recurso de SSO. Isto permite, por exemplo, que usuários internos da empresa tenham a experiência SSO habilitada, enquanto usuários externos à rede corporativa serão obrigados a entrar com credenciais manualmente para ter acesso ao fluig Identity e seus aplicativos.
Habilitando o Desktop SSO no fluig Identity
Siga os passos abaixo como administrador do contexto para habilitar o Desktop SSO.
Deck of Cards |
---|
effectDuration | 0.5 |
---|
history | false |
---|
id | samples |
---|
effectType | fade |
---|
|
Card |
---|
default | true |
---|
id | 1 |
---|
label | Passo 1 |
---|
|
- Para habilitar o SSO em um contexto do fluig Identity, o administrador deve acessar
(Menu Principal) e selecionar Configuração.
- Acessar a aba Active Directory.
![](/download/attachments/146969084/aba_active_directory.gif?version=1&modificationDate=1518632194000&api=v2)
|
Card |
---|
|
- No final da página, marcar a opção Permitir o acesso via Desktop SSO.
- Acionar o link Configurações do Desktop SSO.
![](/download/attachments/146969084/Image%2011%2013%20003.png?version=1&modificationDate=1510583708000&api=v2)
|
Card |
---|
|
- Nesta página será realizada a definição dos intervalos de endereços IP que serão liberados para executar o SSO.
- Acionar
(Editar).
- É importante que o responsável pela infraestrutura do cliente acompanhe o processo de configuração do Identity, inclusive a configuração do Desktop SSO. Este profissional poderá facilitar algumas configurações como por exemplo, IPs externos, dados de conexão com o Active Directory e usuários para teste.
![](/download/attachments/146969084/Image%2011%2013%20004.png?version=1&modificationDate=1510583750000&api=v2)
|
Card |
---|
|
- Informar um endereço IP externo permitido. Os endereços IP informados na configuração do Desktop SSO devem ser IPs externos para garantir a comunicação com o fluig Identity, que não possui acesso aos IPs internos da rede. Caso não saiba qual o endereço o IP externo, o administrador pode usar sites como http://www.meuip.com.br/ para identifica-los.
- Além de informar um endereço IP específico, é possível informar um intervalo de IPs. Por exemplo: 192.168.4.[0-10]. Essa expressão indica que todos os endereços IP entre 192.168.4.0 e 192.168.4.10 serão permitidos.
Informações |
---|
Os IPs externos não cadastrados serão redirecionados para a página de login, onde os usuários deverão informar manualmente as credenciais para obter acesso ao contexto. É necessário que a empresa possua um IP externo estático garantindo que usuários deste IP utilizem o Desktop SSO e os IPs diferentes do cadastrado possam utilizar suas credenciais pela tela de autenticação. |
- Informar a URL do script de Autenticação, abordado no próximo tópico. Essa URL é o endereço do servidor IIS para acesso ao script de autenticação, por exemplo: https://acme.com/remote_auth.asp. Nesse momento ainda não é necessário ter o script totalmente configurado no IIS, apenas informar o endereço em que o script será hospedado.
![](/download/attachments/146969084/Image%2011%2013%20005.png?version=1&modificationDate=1510583792000&api=v2)
Nota |
---|
Se o administrador cadastrar [0-255]. [0-255]. [0-255]. [0-255] como endereço permitido, o fluig Identity entenderá que todos os endereços de acesso são válidos. Contudo, essa configuração poderá acarretar problemas, pois usuários de fora da rede não terão acesso ao endereço do Desktop SSO e receberão uma mensagem erro. |
|
Card |
---|
|
- A definição dos endereços IPs permitidos é apenas o primeiro passo para configuração do acesso via Single Sign On. O próximo passo é a configuração do script remote_auth.asp no servidor IIS.
- O script remote_auth.asp é único para cada contexto e seu download é habilitado apenas após a definição dos IPs pelo administrador (acionando o botão Salvar).
- Para fazer o download, acionar o botão Baixar, que será ativado na seção Baixar o Script de Autenticação SSO.
Nota |
---|
O Single Sign On só será realizado caso o usuário acesse o fluig Identity através do subdomínio cadastrado para o contexto, por exemplo, [empresa].fluigidentity.com. |
![](/download/attachments/146969084/Image%2011%2013%20006.png?version=1&modificationDate=1510583847000&api=v2)
|
|
Configurar o Desktop SSO no IIS
Para realizar a configuração do Desktop SSO, é necessário possuir um servidor Windows com o recurso IIS (Internet Information Services) habilitado para que o script de autenticação SSO seja hospedado. Nos tutoriais abaixo são demonstradas em um servidor Windows Server 2012 R2 a inclusão dos roles exigidos e a configuração do script no IIS.
Habilitar Roles
Para o correto funcionamento do Single Sign On, é fundamental adicionar os seguintes roles ao servidor Windows:
Deck of Cards |
---|
|
Card |
---|
|
- O role Web Server inclui o IIS (Internet Information Services) e é um pré-requisito para os demais roles exigidos para o SSO.
- No Server Manager do Windows, acionar Manage → Add Roles and Features.
- No wizard apresentado, acionar Next até chegar à pagina Server Roles.
- Marcar a opção Web Server (IIS) e acionar Next.
- Será apresentando um quadro questionando se os recursos (features) necessários para o IIS também devem ser instalados. Acionar Add Features.
- Acionar Next até chegar à página Confirmation e acionar Install para instalar o role Web Server.
![](/download/attachments/146969084/web_server%20355.png?version=1&modificationDate=1519215534000&api=v2)
|
Card |
---|
|
- Por padrão, o IIS executa aplicações ASP .NET (deve ser a versão 4.5), mas também é preciso habilitar aplicações ASP Classic.
- Para isso, após a instalação do IIS, acessar novamente o Server Manager do Windows, acionar Manage → Add Roles and Features.
- Na página Server Roles, expandir Web Server (IIS) → Web Server → Application Development e marcar o role ASP.
- Acionar Next até concluir o wizard.
![](/download/attachments/146969084/Image%2002%2020%20001.png?version=1&modificationDate=1519135618000&api=v2)
|
Card |
---|
label | Windows Authentication |
---|
|
- Outro role que deve ser habilitado no IIS é a autenticação Windows no Desktop SSO. Desta forma, o navegador poderá enviar as credenciais para a aplicação efetuar as validações necessárias no Active Directory.
- Acessar o Server Manager do Windows, acionar Manage → Add Roles and Features.
- Na página Server Roles, expandir Web Server (IIS) → Web Server → Security e marcar o role Windows Authentication.
- Acionar Next até concluir o wizard.
![](/download/attachments/146969084/Image%2002%2020%20002.png?version=1&modificationDate=1519135642000&api=v2)
|
|
Configurar o Script no IIS
Após a habilitação dos roles obrigatórios, o script de autenticação do Desktop SSO deve ser configurado e hospedado no IIS.
Deck of Cards |
---|
effectDuration | 0.5 |
---|
history | false |
---|
id | samples |
---|
effectType | fade |
---|
|
Card |
---|
|
- Abrir o Internet Information Services (IIS) Manager.
![](/download/attachments/146969084/Image%2002%2020%20003.png?version=1&modificationDate=1519217614000&api=v2)
|
Card |
---|
|
- Preencher as informações necessárias para a criação do site e acionar OK.
- No exemplo abaixo, o Site name será "desktopSSO", uma pasta chamada "DSSO" foi criada no diretório padrão "C:\inetpub\wwwroot" e definida como Physical path, e a porta será "81".
![](/download/attachments/146969084/Image%2002%2020%20004.png?version=1&modificationDate=1519217878000&api=v2)
|
Card |
---|
|
- Copiar o script de autenticação do Desktop SSO "remote_auth.asp" para a pasta criada no passo anterior.
Informações |
---|
Para obter o script, seguir as orientações do passo a passo Habilitando o Desktop SSO no fluig Identity. Lembrando que é preciso informar nas configurações do Desktop SSO no fluig Identity o endereço de hospedagem do remote_auth.asp no IIS, por exemplo: http://localhost:81/remote_auth.asp. |
![](/download/attachments/146969084/Image%2002%2020%20005.png?version=1&modificationDate=1519218790000&api=v2)
|
Card |
---|
|
- No Internet Information Services (IIS) Manager, acionar Add Application... para criar uma nova aplicação ASP ao website.
![](/download/attachments/146969084/Image%2002%2020%20006.png?version=1&modificationDate=1519219246000&api=v2)
|
Card |
---|
|
- Preencher os campos necessários para a criação da aplicação e acionar OK.
- No exemplo abaixo, o Alias da aplicação será "dsso" e o Physical path será o mesmo do website.
![](/download/attachments/146969084/Image%2002%2020%20007.png?version=1&modificationDate=1519219661000&api=v2)
|
Card |
---|
|
- Após a criação da aplicação, deve-se configurar as regras de autenticação.
![](/download/attachments/146969084/Image%2002%2020%20008.png?version=1&modificationDate=1519221146000&api=v2)
|
Card |
---|
|
- O status da opção Windows Authentication deve ser definido como Enabled (Habilitado).
- Todas as demais opções disponíveis devem ter os status definidos como Disabled (Desabilitado).
![](/download/attachments/146969084/Image%2002%2020%20009.png?version=1&modificationDate=1519221321000&api=v2)
|
Card |
---|
|
- Clicar com o botão direito do mouse sobre o item Windows Authentication e acionar a opção Providers... para definir os provedores utilizados pela autenticação.
![](/download/attachments/146969084/Image%2002%2020%20010.png?version=1&modificationDate=1519221553000&api=v2)
|
Card |
---|
|
- No quadro Providers, apenas a opção NTLM deve ser mantida. Todos os demais provedores listados (caso existam) devem ser removidos.
- Se este procedimento não for executado, o navegador pode vir a exigir as credenciais de acesso ao usuário através de uma caixa de diálogo.
Dica |
---|
title | Sobre o protocolo NTLM |
---|
| O NTLM é um protocolo de autenticação utilizado em uma rede Windows. São necessárias configurações específicas nos navegadores (Internet Explorer, Google Chrome e Mozilla Firefox) para que eles utilizem este protocolo e também no script remote_auth.asp (Desktop SSO) para utilizar a Autenticação Windows. Os sistemas operacionais Linux e macOS não suportam o protocolo NTLM, portanto não é possível utilizá-los para realizar o SSO. Nestes sistemas é realizado um contorno para que, ao tentar o acesso via SSO, sejam requisitadas as credenciais do usuário. As orientações para configurar este contorno estão disponíveis no item Configuração para Linux e macOS. |
- Ao finalizar esse passo, a configuração do script de autenticação do Desktop SSO no IIS está completa e deve ser testada para confirmar se todos os procedimentos foram realizados corretamente.
![](/download/attachments/146969084/Image%2002%2020%20011.png?version=1&modificationDate=1519221803000&api=v2)
|
|
Verificar a configuração do SSO
Após a configuração do script de autenticação do Desktop SSO no IIS, é possível executá-lo para confirmar se o procedimento foi realizado corretamente.
Deck of Cards |
---|
|
Card |
---|
default | true |
---|
label | Executar script |
---|
|
- No exemplo abaixo, o usuário "usuarioteste9" estava logado diretamente no servidor. A mensagem abaixo mostra que o usuário foi localizado no Active Directory, porém não possuía um e-mail cadastrado, o que é primordial para o fluig Identity.
- Em uma situação como essa, ao tentar acessar o contexto da empresa no fluig Identity, o usuário seria redirecionado para a página de login e uma mensagem de login SSO inválido seria exibida.
![](/download/attachments/146969084/Image%2002%2021%20001.png?version=1&modificationDate=1519232168000&api=v2)
|
Card |
---|
|
- O script de autenticação possui instruções para realizar o debug da aplicação. Este modo exibe dados adicionais para auxiliar na identificação de problemas na configuração do SSO.
- No exemplo abaixo, o usuário não possui e-mail cadastrado no Active Directory, o que é um pré-requisito do fluig Identity.
![](/download/attachments/146969084/Image%2002%2021%20002.png?version=1&modificationDate=1519232641000&api=v2)
|
|
Configurar navegadores
A configuração nos navegadores tem por objetivo direcioná-los para a URL do Desktop SSO para a realização do login com as credenciais do Windows. A configuração realizada no Internet Explorer também é válida para o Google Chrome, enquanto o Mozilla Firefox exige uma configuração específica.
Internet Explorer e Google Chrome
É necessário configurar o navegador do usuário para que ele utilize autenticação Windows (NTLM) com o script remote_auth.asp.
Mesmo que o Desktop SSO tenha sido configurado para utilizar autenticação Windows no IIS, o navegador do cliente precisa enviar as credenciais para que o script possa fazer as validações necessárias no Active Directory e no fluig Identity.
Deck of Cards |
---|
effectDuration | 0.5 |
---|
history | false |
---|
id | samples |
---|
effectType | fade |
---|
|
Card |
---|
default | true |
---|
id | 1 |
---|
label | Passo 1 |
---|
|
- Acessar o menu Opções da Internet.
![](/download/attachments/146969084/Image%2002%2019%20001.png?version=1&modificationDate=1519046067000&api=v2)
|
Card |
---|
default | true |
---|
id | 2 |
---|
label | Passo 2 |
---|
|
- Selecionar a aba Segurança.
- Marcar a zona de segurança Intranet local. Isto garante o envio das credenciais do Windows apenas para a URL do Desktop SSO. Outras aplicações e websites não serão afetados.
- Acionar Sites para adicionar a URL do Desktop SSO.
![](/download/attachments/146969084/Image%2002%2019%20002.png?version=2&modificationDate=1519046309000&api=v2)
|
Card |
---|
default | true |
---|
id | 3 |
---|
label | Passo 3 |
---|
|
- Informar a URL do Desktop SSO e acionar Adicionar.
![](/download/attachments/146969084/Image%2002%2019%20004.png?version=1&modificationDate=1519046417000&api=v2)
|
Card |
---|
default | true |
---|
id | 4 |
---|
label | Passo 4 |
---|
|
- De volta à aba Segurança, com a zona Intranet local selecionada, acionar Nível personalizado....
- Na opção Logon, marcar a opção Login automático com o nome de usuário e senha atuais.
![](/download/attachments/146969084/Image%2002%2019%20003.png?version=1&modificationDate=1519046582000&api=v2)
|
|
Mozilla Firefox
O navegador Mozilla Firefox exige uma configuração específica.
Deck of Cards |
---|
effectDuration | 0.5 |
---|
history | false |
---|
id | samples |
---|
effectType | fade |
---|
|
Card |
---|
default | true |
---|
id | 1 |
---|
label | Passo 1 |
---|
|
- Acessar a URL about:config na barra de endereços do navegador.
![](/download/attachments/146969084/Image%2002%2019%20005.png?version=1&modificationDate=1519046788000&api=v2)
|
Card |
---|
default | true |
---|
id | 2 |
---|
label | Passo 2 |
---|
|
- Será apresentado um alerta de segurança. Acionar Eu aceito o risco!.
![](/download/attachments/146969084/Image%2002%2019%20006.png?version=1&modificationDate=1519046874000&api=v2)
|
Card |
---|
default | true |
---|
id | 3 |
---|
label | Passo 3 |
---|
|
- Na barra de pesquisa Localizar, informar "NTLM".
- Dentre os registros exibidos, localizar network.automatic-ntlm-auth.trusted-urls. Clicar duas vezes sobre essa linha.
- Informar a URL do Desktop SSO.
![](/download/attachments/146969084/Image%2002%2019%20007.png?version=1&modificationDate=1519047108000&api=v2)
|
|
Group Policies para Internet Explorer e Chrome
Caso a empresa possua uma grande quantidade de navegadores e estações de trabalho a serem configuradas, é possível fazer a distribuição das configurações utilizando-se de Group Policies (GPO). Durante o procedimento de autenticação no domínio, pode-se executar uma série de tarefas automáticas como, por exemplo, configurar o Internet Explorer do usuário.
Deck of Cards |
---|
|
Card |
---|
|
- O administrador deverá definir a seguinte configuração de GPO: Computer Configuration → Administrative Templates → Windows Components → Internet Explorer → Internet Control Panel → Security Page.
![](/download/attachments/146969084/group_policies_1.png?version=1&modificationDate=1525889928000&api=v2)
|
Card |
---|
|
- Após habilitar a definição de lista da Zona da Intranet, o cliente deverá definir a URL do Desktop SSO como membro da Zona da Intranet. No nosso exemplo, estamos definindo o site *.fluigidentity.com.
- Desta forma, toda vez que um usuário membro deste domínio efetuar o login, as configurações necessárias serão realizadas. Se executada todos os dias, a GPO também deve evitar que um usuário mais avançado desfaça as configurações necessárias para o Desktop SSO.
![](/download/attachments/146969084/group_policies_2.png?version=1&modificationDate=1525889986000&api=v2)
Nota |
---|
title | Group Policies para Firefox |
---|
| A configuração do navegador Mozilla Firefox a partir de Group Policies não é suportada. |
|
|
Configuração para Linux, macOS e Mobile
O Desktop SSO utiliza o protocolo NTLM para realizar o Single Sign On, porém este é um protocolo utilizado apenas pelo sistema operacional Windows. Para tratar situações onde o cliente possui estações Linux, macOS ou realiza o acesso via dispositivo móvel, é possível instalar um script, executado antes do Desktop SSO, com a finalidade de identificar o sistema operacional que está requisitando a página.
Chamado de check_remote_auth.asp, este script não é distribuído pelo fluig Identity, mas foi construído especificamente para implantações com ecossistemas mais complexos, envolvendo diferentes sistemas operacionais.
Deck of Cards |
---|
|
Card |
---|
|
- Fazer o download do arquivo check_remote_auth.asp nesse link. (É necessário editá-lo e ajustar os parâmetros conforme descrição disponível dentro do próprio script).
- Esse arquivo deve ser hospedado no mesmo IIS em que foi armazenado o script do Desktop SSO.
- Para isso, criar uma pasta dentro do diretório "C:/inetpub/wwwroot", assim como foi feito para o remote_auth.asp.
![](/download/attachments/146969084/Image%2002%2021%20004.png?version=1&modificationDate=1519234338000&api=v2)
|
Card |
---|
|
- No Internet Information Services (IIS) Manager, criar um website e uma aplicação para o check_remote_auth.asp. No exemplo abaixo foi usado o nome "check_dsso".
- É importante que a aplicação seja configurada para usar autenticação Anonymous Authentication, pois a única finalidade dela é redirecionar o usuário para a URL correta.
![](/download/attachments/146969084/Image%2002%2021%20005.png?version=2&modificationDate=1607607757707&api=v2)
|
Card |
---|
|
- Após a configuração do script, acessar as configurações de Desktop SSO no fluig Identity e alterar o campo URL de Autenticação para o endereço do check_remote_auth.asp.
- Se o usuário estiver utilizando Windows, ele será redirecionado para o script Desktop SSO. Caso contrário, será direcionado para uma URL do fluig Identity que solicitará as credenciais de acesso.
![](/download/attachments/146969084/Image%2003%2022%20002.png?version=1&modificationDate=1521727959000&api=v2)
|
|
Opções de arquitetura para alta disponibilidade
O Desktop SSO pode utilizar uma arquitetura baseada em um único servidor. O problema é que neste cenário, se o script estiver offline, o usuário não conseguirá autenticar no fluig Identity.
O administrador deverá desabilitar o Single Sign On do contexto do cliente, no Identity, ou corrigir o que for necessário para que o script fique online.
Existe uma opção onde podemos instalar o Desktop SSO em duas máquinas, o que fornece uma boa redundância do componente. Se um servidor ou uma aplicação estiver indisponível, o outro servidor assume a responsabilidade de manter o serviço de Single Sign On acessível.
Para isso precisamos disponibilizar um Load Balancer que terá a responsabilidade de fazer o redirect, caso um dos dois servidores com Desktop SSO esteja offline. Existem algumas opções para efetuar o Load Balance, como por exemplo, Apache, BIG-IP e Barracuda.
![](/download/attachments/146969084/o7.JPG?version=2&modificationDate=1587414603827&api=v2)
HTML |
---|
<!-- Hotjar Tracking Code for tdn.totvs.com -->
<script>
(function(h,o,t,j,a,r){
h.hj=h.hj||function(){(h.hj.q=h.hj.q||[]).push(arguments)};
h._hjSettings={hjid:577655,hjsv:5};
a=o.getElementsByTagName('head')[0];
r=o.createElement('script');r.async=1;
r.src=t+h._hjSettings.hjid+j+h._hjSettings.hjsv;
a.appendChild(r);
})(window,document,'//static.hotjar.com/c/hotjar-','.js?sv=');
</script>
|