Configuración de SSO

Configurar SSO es un intercambio de metadatos SAML entre su organización y Deque. Ninguna de las partes necesita acceso a los sistemas de la otra.

Requisitos previos

Antes de comenzar, asegúrese de tener:

• Acceso de administrador a su proveedor de identidad
• La lista de productos Deque en el alcance
• Cada dominio de correo electrónico con el que sus usuarios inician sesión, incluidos los subdominios
• Un usuario de prueba que ya existe en su proveedor de identidad
• Contactos técnicos que puedan configurar SAML y probar la conexión

El proceso de configuración

La configuración se ejecuta en tres fases. Para el inicio de sesión iniciado por IdP, el proceso se repite una vez por cada producto Deque.

Solicitando SSO

Contacte a helpdesk@deque.com o a su representante de Deque con lo siguiente:

• El nombre de su organización
• Cada dominio de correo electrónico en el alcance
• Los productos Deque en el alcance
• Su proveedor de identidad
• Si desea inicio de sesión iniciado por SP o por IdP
• Sus contactos técnicos

Deque luego le envía un ID de entidad del proveedor de servicios y Metadatos SP (XML) para cada producto. Para configuraciones iniciadas por IdP, usted recibe un ID de Entidad por cada producto.

Eligiendo su flujo de inicio de sesión

Deque admite dos flujos de inicio de sesión SSO. Elija según las capacidades del proveedor de identidad de su organización:

Ambos flujos son seguros y cumplen con SAML 2.0. Proceda a la sección que coincide con su elección a continuación.

Configuración de Flujo Iniciado por SP

Para el inicio de sesión iniciado por SP, Deque gestiona la configuración del Proveedor de Servicios. Su función es importar los metadatos de Deque en su proveedor de identidad.

Configuración de SAML para el Inicio de Sesión Iniciado por SP

Solo una configuración de SAML es única para su organización:

Importación de Metadatos

Importe los metadatos SP (archivo XML o URL) que Deque proporcionó:

• Si su proveedor de identidad tiene una opción de "importación de metadatos" o "URL de metadatos", use la URL de metadatos de Deque directamente.
• De lo contrario, descargue el archivo XML y cárguelo en su proveedor de identidad.
• Su IdP poblará automáticamente la mayoría de las configuraciones; no se requiere configuración SAML adicional.

Después de importar los metadatos de Deque, proceda a Pruebas a continuación.

Configuración de Flujo Iniciado por IdP

Para el inicio de sesión iniciado por IdP, debe configurar manualmente una aplicación SAML en su proveedor de identidad utilizando los metadatos de Deque.

Selección del Valor de ID de Entidad

El ID de Entidad es el atributo entityID del elemento md:EntityDescriptor en el archivo de metadatos que Deque proporcionó. Su valor termina con /clients/<client name>. Por ejemplo:

https://auth.deque.com/.../axe.<your-domain>/endpoint/clients/axe-login-idp

Este único valor se utiliza en dos lugares: el ID de Entidad y la URL de Respuesta (o URL de ACS). Ingrese el mismo valor para ambos campos.

Configuración de SAML para el Inicio de Sesión Iniciado por IdP

Estas configuraciones se aplican a cada proveedor de identidad para el inicio de sesión iniciado por IdP:

Mapeo de Atributos

Envíe los siguientes atributos para que el nombre y apellido se importen en el primer inicio de sesión:

El formato del nombre del atributo varía según el proveedor. Okta y Microsoft Entra ID usan Unspecified; PingFederate usa urn:oasis:names:tc:SAML:2.0:attrname-format:uri. Si el formato se establece incorrectamente, los nombres no se importan y se solicita a los usuarios que los ingresen en el primer inicio de sesión.

Asignación de Usuarios

Asigne los usuarios y grupos que deben tener acceso. La mayoría de los proveedores de identidad bloquean el inicio de sesión para los usuarios que no están asignados. La asignación controla quién puede autenticarse; no otorga acceso a los productos de Deque.

Configuración Específica del Proveedor

Siga la guía para su proveedor de identidad:

• Okta
• Microsoft Entra ID
• PingFederate

Cualquier otro proveedor compatible con SAML 2.0 es compatible. Use las configuraciones de SAML anteriores y consulte la documentación de su proveedor para la ubicación de cada campo.

Enviando Sus Metadatos a Deque

Después de configurar su proveedor de identidad, envíe a Deque sus metadatos. Envía ya sea una URL de metadatos o un archivo XML exportado; ambos contienen los valores que Deque requiere:

Solo para inicio de sesión iniciado por IdP: URL de inicio iniciado por IdP

Además de sus metadatos, envíe a Deque su URL de inicio iniciado por IdP. Este valor no está incluido en sus metadatos y debe enviarse por separado:

Luego, Deque importa su URL SSO y certificado, habilita la validación de firma y confirma cuando la conexión está lista para probar. La conexión permanece deshabilitada hasta que esté en vivo, por lo que no puede afectar el inicio de sesión existente de sus usuarios.

Pruebas

Confirme lo siguiente:

1. El usuario llega a su página de inicio de sesión y se autentica, incluida la autenticación multifactor.
2. El usuario regresa a Deque y accede al producto.
3. El nombre y la dirección de correo electrónico del usuario son correctos en su perfil de Deque.
4. Un usuario sin una cuenta existente de Deque se crea correctamente.
5. Un usuario con una cuenta existente de Deque completa correctamente el enlace de cuenta.

Enlace de cuenta

Los usuarios que ya tienen un inicio de sesión de Deque deben confirmar el enlace entre su cuenta de Deque y su proveedor de identidad en su primer inicio de sesión SSO. Deque envía un correo electrónico de confirmación, y el usuario selecciona el enlace para completar el proceso. Esto ocurre una vez por cada usuario.

Puesta en marcha

Una vez que las pruebas sean exitosas y se haya notificado a sus usuarios, informe a Deque cuándo habilitar la conexión de manera permanente. Desde ese momento, cada usuario en el dominio habilitado inicia sesión a través de su proveedor de identidad.

URLs base

Use la URL base para su región o instancia dedicada.