Configurar NetIQ Access Manager

Puede configurar NetIQ Access Manager 3.2 y versiones posteriores como su proveedor de identidad (IDP) para los inicios de sesión corporativos en Portal for ArcGIS. El proceso de configuración consta de dos pasos principales: registrar su IDP corporativo con Portal for ArcGIS y registrar Portal for ArcGIS con su IDP corporativo.

Información requerida

Portal for ArcGIS exige recibir cierta información sobre atributos desde el IDP cuando un usuario se conecta con un inicio de sesión corporativo. NameID es un atributo obligatorio que el IDP debe enviar en la respuesta SAML para que la federación con Portal for ArcGIS funcione. Dado que Portal for ArcGIS utiliza el valor de NameID para identificar de forma única a un usuario nominal, se recomienda utilizar un valor constante que identifique al usuario de forma única. Cuando un usuario de IDP inicia una sesión, Portal for ArcGIS crea un usuario con el nombre de usuario NameID en su almacén de usuarios. Los caracteres permitidos para el valor enviado por NameID son alfanuméricos, _ (guion bajo), . (punto) y @ (arroba). Para los demás caracteres del nombre de usuario creado por Portal for ArcGIS, se agregará un carácter de escape con guion bajo.

Portal for ArcGIS admite el flujo de entrada de los atributos givenName y email address del inicio de sesión corporativo desde el IDP corporativo. Cuando un usuario inicia sesión utilizando un inicio de sesión corporativo y si Portal for ArcGIS recibe atributos con los nombres givenname y email o mail (en cualquier caso), Portal for ArcGIS rellena el nombre completo y la dirección de correo electrónico de la cuenta del usuario con los valores recibidos del IDP. Es recomendable proporcionar la email address del IDP corporativo para que el usuario pueda recibir notificaciones.

Registrar NetIQ Access Manager como IDP corporativo en Portal for ArcGIS

1. Inicie sesión en el sitio web del portal como administrador de su organización y haga clic en Organización > Editar ajustes > Seguridad.
2. En la sección Inicios de sesión corporativos, seleccione la opción Un proveedor de identidad, haga clic en el botón Establecer inicio de sesión corporativo e introduzca el nombre de su organización en la ventana que aparece (por ejemplo, City of Redlands). Cuando los usuarios acceden al sitio web del portal, este texto aparece como parte de la opción de inicio de sesión SAML (por ejemplo, Using your City of Redlands account).

   Nota:

   Solo puede registrar un IDP corporativo o una federación de varios IDP para su portal.

3. Elija si los usuarios podrán unirse a la organización Automáticamente o Después de agregar las cuentas al portal. La primera opción permite a los usuarios iniciar sesión en la organización con su inicio de sesión corporativo sin ninguna intervención de un administrador. Su cuenta se registra con la organización automáticamente la primera vez que inician sesión. La segunda opción requiere que el administrador registre las cuentas necesarias con la organización utilizando una utilidad de línea de comandos o un script de Python de ejemplo. Una vez que las cuentas se hayan registrado, los usuarios podrán iniciar sesión en la organización.

   Sugerencia:

   Se recomienda designar al menos una cuenta corporativa como administrador del portal y degradar o eliminar la cuenta de administrador inicial. También le recomendamos que deshabilite el botón Crear una cuenta y la página de registro (signup.html) en el sitio web del portal para que los usuarios no puedan crear sus propias cuentas. Para obtener instrucciones completas, consulte Configurar un proveedor de identidad compatible con SAML con el portal.

4. Proporcione la información de metadatos del IDP con una de las tres opciones siguientes:
   • URL: elija esta opción si Portal for ArcGIS puede acceder a la dirección URL de los metadatos de la federación de NetIQ Access Manager. La dirección URL suele ser http(s)://<host>:<port>/nidp/saml2/metadata en el equipo en el cual se ejecuta NetIQ Access Manager.

     Nota:

     Si el IDP corporativo incluye un certificado autofirmado, puede producirse un error al intentar especificar la dirección URL HTTPS de los metadatos. Este error se produce porque Portal for ArcGIS no puede verificar el certificado autofirmado del proveedor de identidad. Como alternativa, use HTTP en la dirección URL, una de las otras opciones que aparecen, o configure el IDP con un certificado de confianza.

   • Archivo: si Portal for ArcGIS no puede acceder a la dirección URL, guarde los metadatos obtenidos de la URL anterior como un archivo XML y cárguelo.
   • Parámetros: elija esta opción si no se puede acceder a la URL o al archivo de metadatos de federación. Introduzca manualmente los valores y proporcione los parámetros solicitados: URL de inicio de sesión y certificado, con codificación en formato BASE 64. Póngase en contacto con su administrador de NetIQ Access Manager para obtenerlos.
5. Configure los ajustes avanzados cuando proceda:
   • Cifrar aserción: seleccione esta opción si NetIQ Access Manager se configurará para cifrar las respuestas de la aserción SAML.
   • Habilitar solicitud firmada: seleccione esta opción para que Portal for ArcGIS firme la solicitud de autenticación SAML enviada a NetIQ Access Manager.
   • Propagar cierre de sesión a proveedor de identidad: seleccione esta opción para que Portal for ArcGIS use una URL de cierre de sesión para cerrar la sesión del usuario en Net IQ Access Manager. Introduzca la dirección URL que desee utilizar en la configuración de la Dirección URL de cierre de sesión. Si el IDP requiere que la URL de cierre de sesión esté firmada, será necesario activar la opción Habilitar solicitud firmada.
   • Actualizar perfiles al iniciar sesión: seleccione esta opción para que Portal for ArcGIS actualice los atributos givenName y email address de los usuarios si se modificaron desde la última vez que iniciaron sesión.
   • Habilitar pertenencia a grupos basada en SAML: seleccione esta opción para permitir a los miembros de la organización vincular grupos corporativos basados en SAML especificados con grupos de Portal for ArcGIS durante el proceso de creación de grupos.
   • URL de cierre de sesión: la dirección URL del IDP se usa para cerrar la sesión del usuario conectado. Este valor se rellena automáticamente si se ha definido en el archivo de metadatos del IDP. Puede actualizar esta dirección URL si es necesario.
   • Id. de entidad: actualice este valor para usar un nuevo Id. de entidad para identificar exclusivamente su portal en NetIQ Access Manager.

   Los ajustes de Cifrar aserción y Habilitar solicitud firmada utilizan el certificado samlcert en el almacén de claves del portal. Para utilizar un certificado nuevo, elimine el certificado samlcert, cree un certificado nuevo con el mismo alias (samlcert) siguiendo los pasos que se indican en Importar un certificado en el portal y reinicie el portal.

Registrar Portal for ArcGIS como proveedor de servicios de confianza en NetIQ Access Manager

1. Configurar un conjunto de atributos.

   Siga los pasos que se describen a continuación para crear un nuevo conjunto de atributos que se puedan enviar a Portal for ArcGIS como parte de la declaración SAML después de la autenticación del usuario. Si ya tiene configurado un conjunto de atributos en su NetIQ Access Manager, también puede utilizarlo.

   1. Inicie sesión en la consola de administración de NetIQ Access Manager. Normalmente está disponible en http(s)://<host>:<port>/nps.
   2. Busque su servidor de identidades en la consola de administración de NetIQ y haga clic en la pestaña Configuración compartida. En Conjuntos de atributos, verá los conjuntos de atributos que haya creado. Haga clic en Nuevo y cree un conjunto de atributos. Escriba Portal bajo Nombre de conjunto y haga clic en Siguiente.
   3. Defina las asignaciones de atributos y agréguelas al conjunto de atributos que haya creado en el paso anterior.

      Portal for ArcGIS admite el flujo de entrada de los atributos givenName y email address del inicio de sesión corporativo desde el IDP corporativo. Cuando un usuario inicia sesión utilizando un inicio de sesión corporativo y si Portal for ArcGIS recibe atributos con los nombres givenname y email o mail (en cualquier caso), Portal for ArcGIS rellena el nombre completo y la dirección de correo electrónico del usuario con los valores recibidos del proveedor de identidad.

      Es recomendable transferir la dirección de correo electrónico del IDP corporativo a Portal for ArcGIS. Esto es de utilidad si el usuario se convierte posteriormente en administrador. Disponer de una dirección de correo electrónico en la cuenta permite al usuario recibir notificaciones sobre cualquier actividad administrativa y enviar invitaciones a otros usuarios para que se unan a la organización.

   Haga clic en el vínculo Nuevo y agregue las nuevas asignaciones de atributos. Las siguientes capturas de pantalla muestran cómo agregar asignaciones de atributos para givenName, email address y uid. Puede elegir cualquier atributo a partir de su origen de autenticación en lugar de estos ejemplos.

   

   

   

   Haga clic en Finalizar en el asistente Crear conjunto de atributos. Esto crea un conjunto de atributos denominado Portal.

2. Siga los pasos a continuación para agregar Portal for ArcGIS como un proveedor de identidad corporativa en NetIQ Access Manager.
   1. Inicie una sesión en la consola de administración de NetIQ, elija su servidor de identidad y haga clic en el vínculo Editar.

      

      Se abre la pestaña General.

   2. Haga clic en la pestaña SAML 2.0 y, a continuación, en Nuevo > Proveedor de servicios.

      En la ventana Proveedor de servicios se puede agregar Portal for ArcGIS como proveedor de servicios de confianza en NetIQ Access Manager.

   3. En el asistente Crear proveedor de servicios de confianza, haga clic en Texto de metadatos como el Origen y pegue los metadatos de su organización de Portal for ArcGIS en el cuadro Texto.

      Para obtener los metadatos de su organización de Portal for ArcGIS, inicie una sesión en su organización como administrador, haga clic en el botón Editar ajustes, la pestaña Seguridad y el botón Obtener proveedor de servicios. Guarde los metadatos como un archivo XML.

      Haga clic en Siguiente y, a continuación, haga clic en Finalizar para terminar de agregar el proveedor de servicios de confianza.
3. Siga los pasos a continuación para configurar las propiedades de federación de Portal for ArcGIS y NetIQ Access Manager.
   1. En la pestaña SAML 2.0, haga clic en el vínculo de proveedores de servicios bajo Proveedores de servicios. Se abre la pestaña Configuración. Haga clic en la pestaña Metadatos y verifique si los metadatos de su organización Portal for ArcGIS son correctos.
   2. Haga clic en la pestaña Configuración para volver a la sección De confianza de la configuración. Seleccione la opción Cifrar aserciones si ha elegido la configuración avanzada Cifrar aserción al registrar NetIQ Access Manager como IDP corporativo en Portal for ArcGIS.
   3. Haga clic en la pestaña Atributos.

      En este paso, agregará la asignación de atributos a partir del conjunto que ha creado previamente para que NetIQ Access Manager pueda enviar los atributos a Portal for ArcGIS en la misma aserción SAML.

      Seleccione el conjunto de atributos que haya definido en el paso 2.1 anterior. Una vez que haya seleccionado su conjunto de atributos, los atributos que haya definido en el conjunto aparecerán en el cuadro Disponibles. Traslade sus atributos de givenName y email al cuadro Enviar con autenticación.

   4. Haga clic en la pestaña Respuesta de autenticación en la pestaña Configuración del proveedor de servicios y configure la respuesta de autenticación.

      Haga clic en Publicar en el menú desplegable Vinculación.

      En la columna Identificador de nombre, active la casilla situada junto a No especificado.

      En la columna Predeterminado, seleccione el botón de opción situado junto a No especificado.

      En la columna Valor, seleccione uid de atributos de Ldap.

      Nota:

      Puede configurar cualquier otro atributo único del conjunto de atributos desde su origen de autenticación para que se envíe como NameID. El valor de este parámetro se utilizará como nombre de usuario en la organización.

      Haga clic en Aplicar.

   5. En Configuración, haga clic en la pestaña Opciones y seleccione su contrato de autenticación de usuario, por ejemplo, Formulario de nombre/contraseña y haga clic en Aplicar.
4. Para reiniciar NetIQ Access Manager, busque su servidor de identidades y haga clic en el vínculo Actualizar todo.