Skip To Content

Configurar un proveedor de identidad compatible con SAML en su portal

El lenguaje de marcado para confirmaciones de seguridad (SAML) es un estándar abierto para intercambiar de forma segura datos de autenticación y autorización entre un proveedor de identidad corporativo y un proveedor de servicios (en este caso, Portal for ArcGIS). La fórmula empleada para ello se conoce como SAML Web Single Sign On.

El portal cumple con SAML 2.0 y se integra con proveedores de identidad que admiten SAML 2 Web Single Sign On. La ventaja de configurar SAML es que no es necesario crear credenciales adicionales para que los usuarios accedan a su portal de ArcGIS Enterprise. En lugar de eso, utilizarán las credenciales que ya estén configuradas en un almacén de identidades corporativo. Este proceso se describe en la documentación como "configurar inicios de sesión corporativos".

Si lo desea, puede proporcionar al portal metadatos sobre los grupos corporativos de su almacén de identidad. Esto permite crear grupos en el portal aprovechando los grupos corporativos existentes en el almacén de identidad.

Cuando los miembros inician sesión en el portal, el acceso al contenido, los elementos y los datos se controlan por medio de las reglas de pertenencia definidas en el grupo corporativo. Aunque no proporcione los metadatos necesarios para el grupo corporativo, podrá crear grupos. Sin embargo, las reglas de pertenencia se controlarán por medio de su portal de ArcGIS Enterprise, no por su almacén de identidades.

Hacer coincidir los nombres de usuario de ArcGIS Online en el portal de ArcGIS Enterprise

Si en su organización o portal de ArcGIS Online se utiliza el mismo proveedor de identidad compatible con SAML, los nombres de usuario corporativos se pueden configurar para que coincidan. Todos los nombres de usuario corporativos de ArcGIS Online tienen incorporado el nombre abreviado de la organización al final. Se pueden usar los mismos nombres de usuario corporativos en su portal definiendo la propiedad defaultIDPUsernameSuffix en la configuración de seguridad del portal de ArcGIS Enterprise y configurándola para que coincida con el nombre abreviado de la organización. Esto es necesario si el rastreo del editor está habilitado en un servicio de entidades que han editado los usuarios corporativos desde ArcGIS Online y desde su portal.

Experiencia de inicio de sesión con SAML

Portal for ArcGIS es compatible con los inicios de sesión corporativos iniciados por proveedores de servicios (SP) y con los inicios de sesión corporativos iniciados por proveedores de identidad (IDP). La experiencia de inicio de sesión es diferente en cada caso.

Inicios de sesión iniciados por un proveedor de servicios

Con los inicios de sesión iniciados por proveedores de servicios, los usuarios acceden directamente al portal y se les ofrecen opciones para iniciar sesión con cuentas integradas (administradas por el portal) o con cuentas administradas en un proveedor de identidad compatible con SAML. Si el usuario elige la opción de proveedor de identidad SAML, se le redirige a una página web (conocida como administrador de inicio de sesión corporativo) en la que se le pide que introduzca su nombre de usuario y su contraseña corporativos. Después de verificar los datos de inicio de sesión del usuario, el proveedor de identidad corporativo informa a Portal for ArcGIS de la identidad verificada del usuario que inicia sesión y el usuario se redirige otra vez al sitio web de su portal.

Si el usuario elige la opción de la cuenta integrada, se abre la página de inicio de sesión del sitio web del portal de ArcGIS Enterprise. A continuación, el usuario puede introducir su nombre de usuario y su contraseña integrados para acceder al sitio web. La opción de la cuenta integrada se puede usar como alternativa en caso de que el proveedor de identidad compatible con SAML no esté disponible, siempre que no se haya deshabilitado la opción de iniciar sesión con una cuenta de ArcGIS.

Inicios de sesión iniciados por un proveedor de identidad

Con los inicios de sesión iniciados por un proveedor de identidad, los usuarios acceden directamente al administrador de inicio de sesión corporativo e inician sesión con su cuenta. Cuando el usuario envía la información de su cuenta, el proveedor de identidad envía la respuesta de SAML directamente a Portal for ArcGIS. A continuación, el usuario inicia sesión y se le redirige al sitio web del portal, donde puede acceder inmediatamente a los recursos sin tener que volver a iniciar sesión en la organización.

La opción para iniciar sesión usando las cuentas integradas no está disponible en el administrador de inicios de sesión corporativo. Para iniciar sesión en la organización con una cuenta integrada, los miembros tienen que acceder directamente al sitio web del portal.

Nota:

Si las credenciales de SAML no funcionan debido a problemas con su proveedor de identidad SAML, y ha deshabilitado las opción de cuentas integradas, no podrá acceder a su portal de ArcGIS Enterprise hasta que vuelva a habilitar esta opción. Para obtener instrucciones sobre cómo hacerlo, consulte este tema en Problemas y soluciones comunes.

Proveedores de identidad de SAML

Portal for ArcGIS admite todos los proveedores de identidad compatibles con SAML. Los siguientes tutoriales muestran cómo configurar algunos proveedores de identidad comunes compatibles con SAML con Portal for ArcGIS.

El proceso de obtener los metadatos necesarios de los proveedores de identidad antes indicados se describe en cada vínculo. El proceso para configurar proveedores de identidades con Portal for ArcGIS se describe a continuación. Antes de continuar, es recomendable que se ponga en contacto con el administrador de su proveedor de identidad corporativo para obtener los parámetros necesarios para la configuración. Por ejemplo, si su organización utiliza Microsoft Active Directory, el administrador responsable será el contacto adecuado para configurar o habilitar SAML en el proveedor de identidad corporativo y obtener los parámetros necesarios para configurar el portal.

Información requerida

Portal for ArcGIS exige recibir cierta información sobre atributos desde el IDP cuando un usuario se conecta con un inicio de sesión de SAML. El atributo NameID es obligatorio y su IDP debe enviarlo en la respuesta de SAML para que la federación con Portal for ArcGIS funcione. Dado que Portal for ArcGIS utiliza el valor de NameID para identificar de forma única a un usuario nominal, se recomienda utilizar un valor constante que identifique al usuario de forma única. Cuando un usuario de IDP inicia sesión, Portal for ArcGIS crea un usuario nuevo con el nombre de usuario NameID en su almacén de usuarios. Los caracteres permitidos para el valor enviado por NameID son alfanuméricos, _ (guion bajo), . (punto) y @ (arroba). Para los demás caracteres del nombre de usuario creado por Portal for ArcGIS, se agregará un carácter de escape con guion bajo.

Portal for ArcGIS admite el flujo de entrada de la dirección de correo electrónico, las pertenencias a grupos y el nombre y los apellidos del usuario en el proveedor de identidad SAML.

Configurar el portal con un proveedor de identidad SAML

Puede configurar el portal para que los usuarios puedan iniciar sesión utilizando el mismo nombre de usuario y contraseña que utilizan con los sistemas locales existentes. Antes de configurar Inicios de sesión corporativos, debe configurar un tipo de usuario predeterminado para su organización.

  1. Inicie sesión en el sitio web del portal como administrador de su organización y haga clic en Organización > Configuración > Seguridad.
  2. En la sección Inicios de sesión, en Corporativo, haga clic en el botón Establecer inicio de sesión corporativo y seleccione la opción Un proveedor de identidad. En la página Especificar propiedades, escriba el nombre de su organización (por ejemplo, City of Redlands). Cuando los usuarios acceden al sitio web del portal, este texto aparece como parte de la opción de inicio de sesión SAML (por ejemplo, Using your City of Redlands account).
  3. Elija si los usuarios podrán unirse a la organización Automáticamente o Si reciben una invitación de un administrador. La primera opción permite a los usuarios iniciar sesión en la organización con su inicio de sesión corporativo sin ninguna intervención de un administrador. Su cuenta se registra con la organización automáticamente la primera vez que inician sesión. La segunda opción requiere que el administrador registre las cuentas necesarias con la organización utilizando una utilidad de línea de comandos o un script de comandos de Python de ejemplo. Una vez que las cuentas se hayan registrado, los usuarios podrán iniciar sesión en la organización.
    Sugerencia:

    Se recomienda designar al menos una cuenta corporativa como administrador del portal y degradar o eliminar la cuenta de administrador inicial. También se recomienda deshabilitar el botón Crear una cuenta en el sitio web del portal para que los usuarios no puedan crear sus propias cuentas. Para obtener instrucciones completas, consulte la sección Designar una cuenta corporativa como administrador.

  4. Proporcione la información de metadatos necesaria acerca del proveedor de identidad corporativo compatible con SAML. Hágalo especificando el origen al que accederá el portal para obtener la información de metadatos. Los vínculos de las instrucciones para obtener metadatos de proveedores certificados están disponibles en la sección Proveedores de identidad SAML. Hay tres fuentes posibles de información de metadatos:
    • Una URL: proporcione una dirección URL que devuelva información de metadatos acerca del proveedor de identidad.
      Nota:

      Si el proveedor de identidad corporativo incluye un certificado autofirmado, puede producirse un error al intentar especificar la dirección URL HTTPS de los metadatos. Este error se produce porque Portal for ArcGIS no puede verificar el certificado autofirmado del proveedor de identidad. Como alternativa, use HTTP en la URL, una de las otras opciones que aparecen, o configure su proveedor de identidad con un certificado de confianza.

    • Un archivo: cargue un archivo que contenga información de metadatos acerca del proveedor de identidad.
    • Parámetros especificados aquí: introduzca directamente la información de metadatos sobre el proveedor de identidad indicando los parámetros siguientes:
      • URL de inicio de sesión (redireccionamiento): introduzca la dirección URL del proveedor de identidad (que admite la vinculación de redireccionamiento HTTP) que Portal for ArcGIS debe usar para permitir que un miembro inicie sesión.
      • URL de inicio de sesión (POST): introduzca la dirección URL del proveedor de identidad (que admite la vinculación HTTP POST) que Portal for ArcGIS debe usar para permitir que un miembro inicie sesión.
      • Certificado: proporcione el certificado, codificado con el formato BASE 64, del proveedor de identidad corporativo. Este es el certificado que permite a Portal for ArcGIS verificar la firma digital en las respuestas SAML que le envía el proveedor de identidad corporativo.
    Nota:

    Póngase en contacto con el administrador del proveedor de identidad si necesita ayuda para determinar qué origen de información de metadatos se debe proporcionar.

  5. Para completar el proceso de configuración y establecer la confianza con el proveedor de identidad, registre los metadatos del proveedor de servicios del portal en el proveedor de identidad corporativo. Hay dos formas de obtener los metadatos del portal:
    • En la sección Seguridad de la pestaña Configuración de su organización, haga clic en el botón Descargar metadatos de proveedores de servicios para descargar el archivo de metadatos de su organización.
    • Abra la dirección URL de los metadatos y guárdelos como un archivo XML en su equipo. La dirección URL es https://webadaptorhost.domain.com/webadaptorname/sharing/rest/portals/self/sp/metadata?token=<token>, por ejemplo, https://samltest.domain.com/arcgis/sharing/rest/portals/self/sp/metadata?token=G6943LMReKj_kqdAVrAiPbpRloAfE1fqp0eVAJ-IChQcV-kv3gW-gBAzWztBEdFY. Puede generar un token usando https://webadaptorhost.domain.com/webadaptorname/sharing/rest/generateToken. Al introducir la dirección URL en la página Generar token, especifique el nombre de dominio completo del servidor del proveedor de identidad en el campo URL de aplicación web. Seleccionar cualquier otra opción, como Dirección IP o Dirección IP del origen de esta solicitud, no es compatible y puede generar un token no válido.

    Los vínculos de las instrucciones para registrar los metadatos del proveedor de servicios del portal en los proveedores certificados están disponibles en la sección Proveedores de identidad SAML.

  6. Configure los ajustes avanzados según proceda:
    • Cifrar aserción: habilite esta opción para indicar al proveedor de identidad SAML que Portal for ArcGIS admite respuestas de aserción SAML cifradas. Cuando esta opción está seleccionada, el proveedor de identidad cifrará la sección de aserción de las respuestas SAML. Todo el tráfico de SAML de entrada y salida de Portal for ArcGIS ya está cifrado mediante el uso de HTTPS, pero esta opción agrega otra capa de cifrado.
    • Habilitar solicitud firmada: habilite esta opción para que Portal for ArcGIS firme la solicitud de autenticación SAML enviada al proveedor de identidad. Al firmar la primera solicitud de inicio de sesión Portal for ArcGIS permite al proveedor de identidad verificar que todas las solicitudes de inicio de sesión se originan desde un proveedor de servicios de confianza.
    • Propagar cierre de sesión a proveedor de identidad: habilite esta opción para que Portal for ArcGIS utilice una URL de cierre de sesión para cerrar la sesión del usuario del proveedor de identidad. Introduzca la dirección URL que desee utilizar en la configuración de la Dirección URL de cierre de sesión. Si el proveedor de identidad requiere que la dirección URL de cierre de sesión esté firmada, también será necesario activar la opción Habilitar solicitud firmada. Cuando esta opción está activada, al hacer clic en Cerrar sesión en Portal for ArcGIS se cerrará la sesión del usuario de Portal for ArcGIS, pero no del proveedor de identidad. Si la caché del navegador Web del usuario no se ha borrado, al tratar de volver a iniciar sesión inmediatamente en Portal for ArcGIS usando la opción de inicio de sesión corporativo dará como resultado un inicio de sesión inmediato sin necesidad de proporcionar credenciales de usuario al proveedor de identidad SAML. Esta es una vulnerabilidad de seguridad que se puede explotar cuando se utiliza un equipo que es fácilmente accesible a usuarios no autorizados o al público en general.
    • Actualizar perfiles en el inicio de sesión: habilite esta opción para que Portal for ArcGIS actualice los atributos givenName y email address de los usuarios si se modificaron desde su último inicio de sesión. Está seleccionada de forma predeterminada.
    • Habilitar pertenencia a grupos basada en SAML: habilite esta opción para permitir a los administradores del portal vincular grupos en su proveedor de identidad SAML con grupos creados en su portal de ArcGIS Enterprise. Si está seleccionada, Portal for ArcGIS analizará la respuesta de la aserción SAML para determinar los grupos a los que pertenece un miembro. A continuación, puede especificar uno o varios grupos corporativos proporcionados por su proveedor de identidad en ¿Quién puede unirse a este grupo? cuando crea un grupo nuevo en su portal. Esta característica no está seleccionada de forma predeterminada.
    • URL de cierre de sesión: introduzca la dirección URL del proveedor de identidad a utilizar para cerrar la sesión del usuario conectado. Si esta propiedad está especificada en el archivo de metadatos del proveedor de identidad, se establece automáticamente.
    • Id. de identidad: actualice este valor para usar un nuevo Id. de identidad para identificar de manera única su organización de Portal for ArcGIS en el proveedor de identidad SAML.

Designar una cuenta corporativa como administrador

La forma de designar una cuenta corporativa como administrador del portal dependerá de si los usuarios podrán unirse a la organización Automáticamente o Si reciben una invitación de un administrador.

Unirse a la organización automáticamente

Si ha seleccionado la opción que permite a los usuarios unirse a la organización automáticamente, abra la página de inicio del sitio web del portal después de iniciar sesión en él con la cuenta corporativa que desea usar como administrador del portal.

Cuando una cuenta se agrega por primera vez al portal de forma automática, se le asigna el rol predeterminado configurado para nuevos miembros. Solo un administrador de la organización puede cambiar el rol de una cuenta; por tanto, debe iniciar sesión en el portal utilizando la cuenta de administrador inicial y asignar una cuenta corporativa al rol de administrador.

  1. En el sitio web del portal, haga clic en la opción para iniciar sesión usando un proveedor de identidad SAML e introduzca las credenciales de la cuenta corporativa que desea usar como administrador. Si esta cuenta pertenece a otro usuario, pídale que inicie sesión en el portal para que la cuenta quede registrada en él.
  2. Compruebe que la cuenta se haya agregado al portal y haga clic en Cerrar sesión. Borre la caché y las cookies del navegador.
  3. Abra el sitio web del portal desde el navegador, haga clic en la opción para iniciar sesión usando una cuenta de portal integrada y proporcione las credenciales de la cuenta de administrador inicial creada al configurar Portal for ArcGIS.
  4. Busque la cuenta corporativa que usará para administrar el portal y cambie el rol a Administrador. Haga clic en Cerrar sesión.

La cuenta corporativa que ha seleccionado tiene ahora el rol de administrador en el portal.

Agregar manualmente cuentas corporativas al portal

Si ha seleccionado la opción que solo permite a los usuarios unirse a la organización Si reciben una invitación de un administrador, tendrá que registrar las cuentas necesarias en la organización mediante una utilidad de línea de comandos o un script de Python de muestra. Asegúrese de elegir el rol de Administrador para una cuenta corporativa que se usará para administrar el portal.

Degradar o eliminar la cuenta de administrador inicial

Ahora que tiene una cuenta de administrador del portal alternativa, puede asignar la cuenta de administrador inicial al otro rol o eliminar la cuenta. Consulte Acerca de la cuenta de administrador inicial para obtener más información.

Impedir que los usuarios creen sus propias cuentas.

Puede impedir que los usuarios creen sus propias cuentas integradas mediante la opción deshabilitar la capacidad de los usuarios de crear nuevas cuentas integradas en la configuración de la organización.

Deshabilitar el inicio de sesión con cuentas de ArcGIS

Si desea impedir que los usuarios inicien sesión en el portal con una cuenta de ArcGIS, puede deshabilitar el botón Utilizando su cuenta de ArcGIS en la página de inicio de sesión. Para ello, siga estos pasos.

  1. Inicie sesión en el sitio web del portal como administrador de su organización y haga clic en Organización > Configuración > Seguridad.
  2. En la sección Inicios de sesión, en Opciones de inicio de sesión, deshabilite el botón de alternancia para los inicios de sesión de <Organization name>.

La página de inicio de sesión mostrará el botón para iniciar sesión en el portal con una cuenta de proveedor de identidad y el botón para iniciar sesión Utilizando su cuenta de ArcGIS no estará disponible. Puede volver a habilitar los inicios de sesión de miembros con cuentas de ArcGIS activando los inicios de sesión de <Organization name> en Inicios de sesión > Opciones de inicio de sesión.

Modificar el proveedor de identidad SAML

Cuando haya configurado un proveedor de identidad, puede actualizar su configuración haciendo clic en el botón de más opciones más opciones situado junto a él y haciendo clic en Editar. Actualice su configuración en la ventana Editar inicio de sesión corporativo. Estos botones solo estarán habilitados cuando se haya configurado un proveedor de identidad compatible con SAML.

Para eliminar el proveedor de identidad registrado actualmente, haga clic en el botón de más opciones más opciones situado junto a él y haga clic en Eliminar. Cuando haya eliminado el proveedor de identidad, puede configurar uno nuevo si lo desea.