Saltar al contenido principal
Iniciar sesión

Configuración OAuth2 ADFS - Integración con Crehana Campus

  • Actualización

El presente documento tiene como destinatario a los clientes de Crehana que deseen integrarse al Campus a través del uso de un Servidor ADFS. 

Si necesitas compartir esta guía en formato PDF : Acceso directo al documento

Los pasos para integrarse son los siguientes:

Asegurarse de tener una versión de ADFS que soporte el protocolo OAuth2. Dicho protocolo es soportado por las versiones 3.0 o superior. En Crehana Campus únicamente permitimos el Authorization Code Grant.

Paso a Paso ADFS 3.0 Windows Server 2012

Crear un Relying Party Trust:

      1. Abrir el ADFS Management Tool. Ahí se observará una ventana como la siguiente:
        1.PNG
      2. Desplegar Trust Relationships.
      3. Click Derecho sobre Relying Party Trusts.
      4. Click en Add Relying Party Trust
      5. Aparecerá una ventana como la siguiente:
        2.PNG
        Hacer click en Start/Comenzar. 
      6. Seleccionar la tercera opción “Enter data about the relying party manually” como se visualiza en la imagen
        3.PNG
        Hacer click en Next/Siguiente.
      7. Indicar un nombre significativo al Relying Party Trust.

        4.PNG
      8. Hacer click en Next/Siguiente.
      9. Seleccionar la primera opción “AD FS Profile”. Hacer Click en Next/Siguiente.
        5.PNG
      10. Vuelva a hacer click en Next/Siguiente dejando en vacío la configuración de encriptación debido a que OAuth2 no tiene soporte para la misma.
        6.PNG
      11. Hacer click en Next/Siguiente.
        7.PNG
      12. Ingresar el identificador de su Relying Party Identifier. Este identificador tiene que tener formato de URL como por ejemplo: https://crehana.yourcompany.com/WebApi. Asegurarse de que el mismo no coincida con algún dominio/subdominio activo y, además, es aconsejable que utilice el dominio creado en su ADFS Server. Tomar nota del mismo anotándolo como Web Api Resource. Hacer click en siguiente.
      13. Hacer click en Next/Siguiente debido a que no configuraremos una autenticación de doble factor.
        8.PNG
      14. Seleccionar la primera opción “Permit all users to access the relying party”. Luego hacer click en Next/Siguiente.
        9.PNG
      15. Dejar tildada la opción “Open the Edit Claims Rules dialog for this relying party trust when the wizard close”. Luego hacer click en Close.
      16. Visualizará una ventana como la siguiente:
        10.PNG
        1. En la solapa Issuance Transform Rules hacer click en Add Rule.
        2. Seleccionar como Claim Rule Template la opción Send LDAP Attributes as Claims.
          11.PNG
        3. indique los siguientes campos como se puede visualizar en la imagen:
          12.PNG

          Claim Rule Name: Nombre significativo para la regla.
          Attribute Store: Donde almacena la información de sus usuarios. Por lo general es Active Directory, no obstante el mismo puede cambiar dependiendo de su configuración.
          Mapping of LDAP attributes to outgoing claim types: Atributos necesarios para la autenticación por ADFS en Crehana Campus. Indique las mismas reglas que se visualizan en la imagen.
      17. Agregar el cliente ADFS. Este cliente representa a la aplicación de Crehana campus que se integrará a su servidor ADFS. Para ello ejecute el siguiente comando en una consola Powershell sobre su servidor ADFS:

        Add-AdfsClient -RedirectUri "https://campus.crehana.com/ajax/public/ExternalLoginCallback/-1" -ClientId "your-client-id-format-guid" -Name "Some Meaningful Name"

        RedirectUri: URL de redirección a donde deberá retornar el ADFS una vez producida la autenticación sobre el servidor ADFS. La URL indicada varía según el entorno de Crehana Campus al que quieres integrarte:

        Redirect URI Producción: https://campus.crehana.com/ajax/public/ExternalLoginCallback/-1

        Redirect URI Staging: https://campustest.wormholeit.com/ajax/public/ExternalLoginCallback/-1

        En caso de haberse equivocado en este paso puede actualizar los datos utilizando el comando Set-AdfsClient -TargetName “Some Meaningful Name” <propiedad a modificar>. Ejemplo:

        Set-AdfsClient -TargetName "Some Meaningful Name"  -ClientId "other-client-id-format-guid"

        ClientId: Identificador único del cliente. Tiene que tener formato de GUID. Tome nota del mismo como Server Client Id.
        Name: Algún nombre significativo que describa qué se trata del cliente OAuth2 conectado a Crehana Campus.
      18. Habilitar el soporte de JWT sobre el Relying Party Trust a través de la ejecución del siguiente comando en una consola Powershell en su servidor ADFS:

        Set-AdfsRelyingPartyTrust -TargetName "Some Meaningful Name" -EnableJWT $true

        TargetName: Nombre de la aplicación a la que quiere habilitar JWT. Tiene que coincidir con el nombre indicado en el paso anterior.
      19. Habilitar el cliente ADFS mediante el siguiente comando:

        Enable-AdfsClient -TargetName "Some Meaningful Name"

        TargetName: Nombre de la aplicación a la que quiere habilitar el cliente ADFS. Tiene que coincidir con el nombre indicado en el punto p de la presente guía.
      20. Una vez hechos los pasos anteriores, enviar un email a soportecampus@crehana.com para que podamos realizar las configuraciones necesarias. En ese email indicar los siguientes datos:

 

  • Server Client Id
  • Server Client Secret
  • Web Api Resource
  • Número de versión utilizada en el ADFS.

 

    1. Esperar confirmación que su ADFS ha sido configurado en nuestros servidores.
    2. Verificar que puedas loguearte al Campus a través de ADFS. Asegurarse de tener la siguiente información sobre los usuarios del Active Directory:
      1. Email
      2. First Name
      3. Last Name

De lo contrario podrá observar que sus usuarios al intentar ingresar al campus vía ADFS obtendrán un error.

    1. Para asegurarse que tus usuarios tengan la información solicitada puede realizar lo siguiente:
    2. Abrir Active Directory Users And Computers accesible desde las herramientas administrativas de Windows. Verás una ventana como la siguiente:
      13.PNG
    3. Seleccionar tu dominio y luego seleccionar el container Users. Allí podrás visualizar todos los usuarios creados en su Active Directory. Seleccionar al usuario que quieres editar o visualizar su información de perfil.
      14.PNG
    4. Verificar los datos y tener en cuenta que el E-mail indicado no necesariamente corresponde con el utilizado para acceder como usuario en el ADFS.

 

Paso a Paso ADFS 4.0 Windows Server 2016

 

    1. Crear un Application Group sobre el servidor ADFS siguiendo estos pasos:
      1. Abrir el ADFS Management Tool. Ahí se observará una ventana como la siguiente:
        15.PNG
      2. Hacer click en Application Groups. Allí visualizará todos los Application Groups creados previamente.
      3. En el panel de la derecha hacer click en “Add Application Group”. Esto abrirá una nueva ventana como la siguiente:
        16.PNG
      4. Como se visualiza en la imagen anterior, indicar un nombre descriptivo y seleccionar la opción “Server application accessing a web application”. Luego, presionar Next/Siguiente para continuar.
      5. El server application representa a Crehana Campus, que es la aplicación con la que se quiere integrar su ADFS. Indicar un nombre descriptivo para el server application y configurar el CallbackURL hacia Crehana Campus de la siguiente manera:

        17.PNG
        Redirect URI Producción: https://campus.crehana.com/ajax/public/ExternalLoginCallback/-1

        Redirect URI Staging: https://campustest.wormholeit.com/ajax/public/ExternalLoginCallback/-1

        Verás una cadena alfanumérica autogenerada (GUID) en lugar de lo indicado en la imagen. Tomar nota de la misma y anotarla como Server Client Identifier. Luego, hacer click en Next/Siguiente.
      6. La próxima pantalla tendrá el siguiente aspecto:
        18.PNG

        Marcar el tilde haciendo click en “Generate Shared Secret”. Tomar nota del mismo como Server Client Secret ya que luego no será posible visualizarlo (deberás de resetear al mismo a través de las propiedades del Server Application Creado). Hacer click en siguiente. Una vez hecho este paso finaliza la creacion del Server Application.
      7. En el próximo paso verás una pantalla como la siguiente:
        19.PNG
        En la misma comenzaremos con la creación del Web Api que es el endpoint donde retornarán los datos necesarios para la registración y acceso de sus usuarios de Active Directory en Crehana Campus. Especificar un nombre representativo y crear un identificador para el Relying Party Trust (Campo Identifier). Este identificador tiene que tener formato de URL como por ejemplo: https://crehana.yourcompany.com/WebApi. Asegurarse de que el mismo no coincida con algún dominio/subdominio activo y, además, es aconsejable que utilice el dominio creado en su ADFS Server. Tomar nota del mismo anotándolo como Web Api Resource. Hacer click en siguiente.
      8. En este paso verás una ventana que lista los permisos que tendrá el usuario:
        20.PNG
        En nuestro caso daremos acceso a todos los recursos creados sobre recurso. Asegurarse que, además de que el usuario pueda acceder a la información de su perfil (el objetivo de toda esta configuración), esto no infrinja sus políticas de seguridad. Hacer click nuevamente en Next/Siguiente.
      9. Ahora has llegado al ventana de configuración de los permisos de aplicación:
        21.PNG
        Seleccionar los elementos email, openid, profile, allatclaims y user_impersonation y luego hacer click en siguiente.
      10. Finalmente verás una página de la configuración que acabas de generar:
        22.PNG
        Finalmente, hacer click en siguiente para finalizar el proceso.
    2. Configuración de datos de perfil mínimos necesarios.
      1. En el ADFS Management tool seleccionar tu Application Group y hacer doble click. Esta acción abrirá la siguiente ventana:
        23.PNG
      2. Seleccionar tu aplicación de tipo Web Api y hacer click en el botón Edit. Este abrirá una ventana como la siguiente:
        24.PNG
      3. Ir a la solapa Issuance Transform Rules:
        25.PNG
      4. Hacer click en Add Rule
        26.PNG
      5. Seleccionar en el combobox la opción Send LDAP Attributes as Claims y presiona Next/Siguiente.
        27.PNG
      6. Indicar un nombre para la nueva regla. Seleccionar tu Attribute Store y crear tres reglas como las indicadas en la siguiente imagen:
        28.PNG

 

  • Una vez hechos los pasos anteriores, enviar un email a soportecampus@crehana.com para que podamos realizar las configuraciones necesarias. En ese email indicar los siguientes datos:
  • Server Client Id
  • Server Client Secret
  • Web Api Resource
  • Número de versión utilizada en el ADFS.
  • URL de acceso al ADFS. Las URLs de acceso para obtener el código de autorización y el token de acceso deberían seguir la convención establecida por ADFS, por ejemplo:

 

  1. Esperar confirmación que su ADFS ha sido configurado en nuestros servidores.
  2. Verificar que puedas loguearte al Campus a través de ADFS. Asegurarse de tener la siguiente información sobre los usuarios del Active Directory:
    1. Email
    2. First Name
    3. Last Name

De lo contrario podrá observar que sus usuarios al intentar ingresar al campus vía ADFS obtendrán un error.

  1. Para asegurarse que tus usuarios tengan la información solicitada puede realizar lo siguiente:
  2. Abrir Active Directory Users And Computers accesible desde las herramientas administrativas de Windows. Verás una ventana como la siguiente:
    29.PNG
  3. Seleccionar tu dominio y luego seleccionar el container Users. Allí podrás visualizar todos los usuarios creados en su Active Directory. Seleccionar al usuario que quieres editar o visualizar su información de perfil.
    30.PNG
  4. Verificar los datos y tener en cuenta que el E-mail indicado no necesariamente corresponde con el utilizado para acceder como usuario en el ADFS.

 

En caso de algún problema comuníquese con el servicio de soporte de Crehana enviando un mail a soportecampus@crehana.com.

Artículos relacionados

Comentarios

0 comentarios

Inicie sesión para dejar un comentario.