Configurando SSO

Configurar o SSO é uma troca de metadados SAML entre sua organização e a Deque. Nenhuma das partes precisa de acesso aos sistemas da outra.

Pré-requisitos

Antes de começar, certifique-se de que você tem:

• Acesso de administrador ao seu provedor de identidade
• A lista de produtos Deque no escopo
• Todos os domínios de email que seus usuários utilizam para fazer login, incluindo subdomínios
• Um usuário de teste que já existe no seu provedor de identidade
• Contatos técnicos que possam configurar SAML e testar a conexão

O Processo de Configuração

O processo de configuração ocorre em três fases. Para login iniciado pelo IdP, o processo se repete uma vez para cada produto Deque.

Solicitando SSO

Entre em contato com helpdesk@deque.com ou com seu representante Deque com as seguintes informações:

• O nome da sua organização
• Todos os domínios de e-mail no escopo
• Os produtos Deque no escopo
• Seu provedor de identidade
• Se você deseja login iniciado pelo SP ou pelo IdP
• Seus contatos técnicos

A Deque, então, envia para você um ID de Entidade do Provedor de Serviço e Metadados do SP (XML) para cada produto. Para configurações iniciadas pelo IdP, você recebe um ID de Entidade para cada produto.

Escolhendo o Fluxo de Login

A Deque suporta dois fluxos de login SSO. Escolha com base nas capacidades do provedor de identidade da sua organização:

Ambos os fluxos são seguros e estão em conformidade com o SAML 2.0. Siga para a seção correspondente à sua escolha abaixo.

Configuração do Fluxo Iniciado pelo SP

Para login iniciado pelo SP, a Deque gerencia a configuração do Provedor de Serviços. Sua função é importar os metadados da Deque no seu provedor de identidade.

Configurações SAML para Login Iniciado pelo SP

Apenas uma configuração SAML é exclusiva da sua organização:

Importação de Metadados

Importe os metadados do SP (arquivo XML ou URL) que a Deque forneceu:

• Se o seu provedor de identidade tiver uma opção de "importação de metadados" ou "URL de metadados", use diretamente o URL de metadados da Deque.
• Caso contrário, baixe o arquivo XML e faça o upload para o seu provedor de identidade.
• Seu IdP irá preencher automaticamente a maioria das configurações; nenhuma configuração SAML adicional é necessária.

Depois de importar os metadados da Deque, prossiga para Testes abaixo.

Configuração do Fluxo Iniciado pelo IdP

Para login iniciado pelo IdP, você configura manualmente um aplicativo SAML no seu provedor de identidade usando os metadados da Deque.

Selecionando o Valor do Entity ID

O Entity ID é o atributo entityID do elemento md:EntityDescriptor no arquivo de metadados fornecido pela Deque. Seu valor termina com /clients/<client name>. Por exemplo:

https://auth.deque.com/.../axe.<your-domain>/endpoint/clients/axe-login-idp

Este único valor é usado em dois locais: o Entity ID e o URL de Resposta (ou URL ACS). Insira o mesmo valor para ambos os campos.

Configurações SAML para Login Iniciado pelo IdP

Essas configurações se aplicam a todos os provedores de identidade para login iniciado pelo IdP:

Mapeamento de Atributos

Envie os seguintes atributos para que o primeiro e o último nome sejam importados no primeiro login:

O formato do nome do atributo difere conforme o provedor. Okta e Microsoft Entra ID usam Unspecified; PingFederate usa urn:oasis:names:tc:SAML:2.0:attrname-format:uri. Se o formato estiver configurado incorretamente, os nomes não serão importados e os usuários serão solicitados a inseri-los no primeiro login.

Atribuição de Usuários

Atribua os usuários e grupos que devem ter acesso. A maioria dos provedores de identidade bloqueia o login para usuários não atribuídos. A atribuição controla quem pode autenticar; ela não concede acesso aos produtos da Deque.

Configuração Específica do Provedor

Siga o guia para o seu provedor de identidade:

• Okta
• Microsoft Entra ID
• PingFederate

Qualquer outro provedor compatível com SAML 2.0 é suportado. Use as configurações SAML acima e consulte a documentação do seu provedor para a localização de cada campo.

Enviando Seus Metadados para a Deque

Após configurar seu provedor de identidade, envie para a Deque seus metadados. Envie um URL de metadados ou um arquivo XML exportado; ambos contêm os valores que a Deque precisa:

Somente para Login Iniciado pelo IdP: URL de Início Iniciado pelo IdP

Além dos seus metadados, envie para a Deque seu URL de início iniciado pelo IdP. Este valor não está incluído nos seus metadados e deve ser enviado separadamente:

A Deque importa então seu URL SSO e certificado, habilita a validação de assinatura e confirma quando a conexão está pronta para teste. A conexão permanece desativada até que você entre em operação, para que não possa afetar o login existente de seus usuários.

Testes

Confirme o seguinte:

1. O usuário chega à sua página de login e autentica-se, incluindo a autenticação multifatorial.
2. O usuário retorna à Deque e chega no produto.
3. O nome e o endereço de e-mail do usuário estão corretos em seu perfil Deque.
4. Um usuário sem uma conta Deque existente é criado corretamente.
5. Um usuário com uma conta Deque existente completa a vinculação da conta com sucesso.

Vinculação de Conta

Usuários que já têm um login Deque devem confirmar a ligação entre sua conta Deque e seu provedor de identidade no seu primeiro login SSO. A Deque envia um e-mail de confirmação e o usuário seleciona o link para concluir o processo. Isso ocorre uma vez para cada usuário.

Entrando em Operação

Uma vez que os testes tenham sido bem-sucedidos e seus usuários tenham sido notificados, informe à Deque quando habilitar a conexão permanentemente. A partir desse ponto, todos os usuários no domínio habilitado fazem login através do seu provedor de identidade.

URLs Base

Use o URL base para sua região ou instância dedicada.