Configurar OpenAM

Puede configurar OpenAM 10.1.0 y versiones posteriores como su proveedor de identidad (IDP) para los inicios de sesión corporativos en Portal for ArcGIS. El proceso de configuración consta de dos pasos principales: registrar su IDP corporativo con Portal for ArcGIS y registrar Portal for ArcGIS con su IDP corporativo.

Información requerida

Portal for ArcGIS exige recibir cierta información sobre atributos desde el IDP cuando un usuario se conecta con un inicio de sesión corporativo. NameID es un atributo obligatorio que el IDP debe enviar en la respuesta SAML para que la federación con Portal for ArcGIS funcione. Dado que Portal for ArcGIS utiliza el valor de NameID para identificar de forma única a un usuario nominal, se recomienda utilizar un valor constante que identifique al usuario de forma única. Cuando un usuario de IDP inicia una sesión, Portal for ArcGIS crea un usuario con el nombre de usuario NameID en su almacén de usuarios. Los caracteres permitidos para el valor enviado por NameID son alfanuméricos, _ (guion bajo), . (punto) y @ (arroba). Para los demás caracteres del nombre de usuario creado por Portal for ArcGIS, se agregará un carácter de escape con guion bajo.

Portal for ArcGIS admite el flujo de entrada de los atributos givenName y email address del inicio de sesión corporativo desde el IDP corporativo. Cuando un usuario inicia sesión utilizando un inicio de sesión corporativo y si Portal for ArcGIS recibe atributos con los nombres givenname y email o mail (en cualquier caso), Portal for ArcGIS rellena el nombre completo y la dirección de correo electrónico de la cuenta del usuario con los valores recibidos del IDP. Es recomendable proporcionar la email address del IDP corporativo para que el usuario pueda recibir notificaciones.

Registrar OpenAM como IDP corporativo con Portal for ArcGIS

1. Inicie sesión en el sitio web del portal como administrador de su organización y haga clic en Organización > Editar ajustes > Seguridad.
2. En la sección Inicios de sesión corporativos, seleccione la opción Un proveedor de identidad, haga clic en el botón Establecer inicio de sesión corporativo e introduzca el nombre de su organización en la ventana que aparece (por ejemplo, City of Redlands). Cuando los usuarios acceden al sitio web del portal, este texto aparece como parte de la opción de inicio de sesión SAML (por ejemplo, Using your City of Redlands account).

   Nota:

   Solo puede registrar un IDP corporativo para su portal.

3. Elija si los usuarios podrán unirse a la organización Automáticamente o Después de agregar las cuentas al portal. La primera opción permite a los usuarios iniciar sesión en la organización con su inicio de sesión corporativo sin ninguna intervención de un administrador. Su cuenta se registra con la organización automáticamente la primera vez que inician sesión. La segunda opción requiere que el administrador registre las cuentas necesarias con la organización utilizando una utilidad de línea de comandos o una secuencia de comandos de Python de ejemplo. Una vez que las cuentas se hayan registrado, los usuarios podrán iniciar sesión en la organización.

   Sugerencia:

   Se recomienda designar al menos una cuenta corporativa como administrador del portal y degradar o eliminar la cuenta de administrador inicial. También le recomendamos que deshabilite el botón Crear una cuenta y la página de registro (signup.html) en el sitio web del portal para que los usuarios no puedan crear sus propias cuentas. Para obtener instrucciones completas, consulte Configurar un proveedor de identidad compatible con SAML con el portal.

4. Proporcione la información de metadatos del IDP con una de las tres opciones siguientes:
   • URL: elija esta opción si la dirección URL de los metadatos de la federación OpenAM están accesibles desde Portal for ArcGIS. La URL suele ser http(s)://<host>:<port>/openam/saml2/jsp/exportmetadata.jsp.

     Nota:

     Si el IDP corporativo incluye un certificado autofirmado, puede producirse un error al intentar especificar la dirección URL HTTPS de los metadatos. Este error se produce porque Portal for ArcGIS no puede verificar el certificado autofirmado del IDP. Como alternativa, use HTTP en la dirección URL, una de las otras opciones que aparecen, o configure el IDP con un certificado de confianza.

   • Archivo: si Portal for ArcGIS no puede acceder a la dirección URL, guarde los metadatos obtenidos de la URL anterior como un archivo XML y cárguelo.
   • Parámetros: elija esta opción si no se puede acceder a la URL o al archivo de metadatos de federación. Introduzca manualmente los valores y proporcione los parámetros solicitados: URL de inicio de sesión y certificado, con codificación en formato BASE 64. Póngase en contacto con su administrador de OpenAM para obtenerlos.
5. Configure los ajustes avanzados cuando proceda:
   • Cifrar aserción: seleccione esta opción si OpenAM se configurará para cifrar las respuestas de la aserción SAML.
   • Habilitar solicitud firmada: seleccione esta opción para que Portal for ArcGIS firme la solicitud de autenticación SAML enviada a OpenAM.
   • Id. de entidad: actualice este valor para usar un nuevo Id. de entidad para identificar exclusivamente su portal en OpenAM.
   • Actualizar perfiles al iniciar sesión: seleccione esta opción para que Portal for ArcGIS actualice los atributos givenName y email address de los usuarios si se modificaron desde la última vez que iniciaron sesión.
   • Habilitar pertenencia a grupos basada en SAML: seleccione esta opción para permitir a los miembros de la organización vincular grupos corporativos basados en SAML especificados con grupos de Portal for ArcGIS durante el proceso de creación de grupos.

   Los ajustes de Cifrar aserción y Habilitar solicitud firmada utilizan el certificado samlcert en el almacén de claves del portal. Para utilizar un certificado nuevo, elimine el certificado samlcert, cree un certificado nuevo con el mismo alias (samlcert) siguiendo los pasos que se indican en Importar un certificado en el portal y reinicie el portal.

   Nota:

   Actualmente, las opciones Propagar cierre de sesión a proveedor de identidad y Dirección URL de cierre de sesión no son compatibles.

Registrar Portal for ArcGIS como proveedor de servicios de confianza en OpenAM

1. Configure un IDP alojado en OpenAM.
   1. Inicie sesión en la consola de administración de OpenAM. Normalmente está disponible en http://servername:port/<deploy_uri>/console.
   2. En la pestaña Tareas comunes, haga clic en Crear proveedor de identidades alojadas.
   3. Cree un IDP alojado y agréguelo a un Círculo de confianza. Puede agregarlo a un círculo de confianza existente si ya dispone de uno, o puede crear un círculo de confianza.
   4. De forma predeterminada, el IDP alojado funciona con OpenDJ, el almacén de usuarios integrado que se suministra con OpenAM. Si desea conectar OpenAM con cualquier otro almacén de usuarios como Active Directory, debe crear una nueva fuente de datos en la pestaña Control de acceso de la consola de administración principal de OpenAM.
2. Configure Portal for ArcGIS como un proveedor de servicios de confianza en OpenAM.
   1. Obtenga el archivo de metadatos del portal y guárdelo como un archivo XML.

      Para obtener el archivo de metadatos, inicie sesión como administrador de su organización y abra la página de la organización. Haga clic en el botón Editar ajustes, después haga clic en la pestaña Seguridad y, en la sección Inicios de sesión corporativos, haga clic en el botón Obtener proveedor de servicios.

   2. En la consola de administración de OpenAM bajo Tareas comunes, haga clic en Registrar proveedor de servicios remotos.
   3. Seleccione la opción Archivo para los metadatos y cargue el archivo XML de metadatos guardado en el paso anterior.
   4. Agregue este proveedor de servicios al mismo círculo de confianza al que haya agregado el IDP.
3. Configure el formato y los atributos de NameID que OpenAM debe enviar a Portal for ArcGIS tras autenticar al usuario.
   1. En la consola de administración de OpenAM, haga clic en la pestaña Federación. La pestaña contiene el círculo de confianza que ha agregado previamente, y los proveedores de servicios e IDP.
   2. En Proveedores de identidades, haga clic en su IDP.
   3. En la pestaña Contenido de aserción, debajo de Formato de Id. de nombre, compruebe que urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified figura en primer lugar. Este es el formato de NameID que Portal for ArcGIS pedirá en su solicitud de SAML a OpenAM.
   4. Bajo Mapa de valores de Id. de nombres, asigne un atributo del perfil de usuario, como mail o bien upn, que deberá devolverse como NameID a Portal for ArcGIS tras la autenticación del usuario.

      Ejemplo: urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified =upn

   5. Haga clic en la pestaña Procesando aserciones en el IDP. En Asignador de atributos, configure los atributos a partir del perfil de usuario que desea enviar a Portal for ArcGIS.

      Portal for ArcGIS admite el flujo de entrada de los atributos givenName y email address del inicio de sesión corporativo desde el IDP corporativo. Cuando un usuario inicia sesión utilizando un inicio de sesión corporativo y si Portal for ArcGIS recibe atributos con los nombres givenname y email o mail (en cualquier caso), Portal for ArcGIS rellena el nombre completo y la dirección de correo electrónico de la cuenta del usuario con los valores recibidos del IDP.

      Es recomendable transferir la dirección de correo electrónico del IDP corporativo a Portal for ArcGIS. Esto es de utilidad si el usuario se convierte posteriormente en administrador. Disponer de una dirección de correo electrónico en la cuenta permite al usuario recibir notificaciones sobre cualquier actividad administrativa y enviar invitaciones a otros usuarios para que se unan a la organización.

      Haga clic en Guardar para guardar el formato NameID y los cambios de contenido de los atributos.

   6. En la pestaña Federación de la consola de administración de OpenAM, busque el proveedor de servicios de Portal for ArcGIS en Proveedores de entidades.
   7. En la pestaña Contenido de aserción, en Cifrado, seleccione la opción Aserción si ha elegido la configuración avanzada Cifrar aserción al registrar OpenAM como IDP corporativo en Portal for ArcGIS.
   8. En Formato de Id. de nombre, compruebe si urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified figura en primer lugar. Este es el formato de NameID que Portal for ArcGIS pedirá en su solicitud de SAML a OpenAM..
   9. Haga clic en la pestaña Procesando aserciones en el IDP. En Asignador de atributos, configure los atributos a partir del perfil de usuario que desea enviar a Portal for ArcGIS.
   10. Haga clic en Guardar para guardar los cambios de formato de Id. de nombre y de contenido de los atributos.
4. Reinicie el servidor web donde se ha instalado OpenAM.