Configurar Azure Active Directory

Microsoft Azure Active Directory (AD) es un proveedor de identidad (IDP) compatible con SAML (Security Assertion Markup Language). Puede configurarlo como su IDP para inicios de sesión SAML en ArcGIS Enterprise localmente y en la nube. El proceso de configuración conlleva dos pasos principales: registrar Azure AD en su portal de ArcGIS Enterprise y registrar ArcGIS Enterprise en su portal de Azure AD.

Nota:

Para asegurarse de que los inicios de sesión SAML estén configurados de forma segura, revise las prácticas recomendadas de seguridad para SAML.

Para configurar Azure AD con ArcGIS Enterprise, necesita una suscripción Premium a Azure AD.

Información requerida

ArcGIS Enterprise requiere recibir cierta información sobre atributos desde el IDP cuando un usuario se conecta con inicios de sesión SAML. El atributo NameID es obligatorio y su IDP debe enviarlo en la respuesta SAML para que la federación funcione. Dado que ArcGIS Enterprise utiliza el valor de NameID para identificar de forma única un usuario nominal, se recomienda utilizar un valor constante que identifique al usuario de forma única. Cuando un usuario de IDP inicia sesión, la organización de ArcGIS Enterprise crea un nuevo usuario con el nombre de usuario NameID en su almacén de usuarios. Los caracteres permitidos para el valor enviado por NameID son alfanuméricos, _ (guion bajo), . (punto) y @ (arroba). Para los demás caracteres del nombre de usuario creado por ArcGIS Enterprise, se agregará un carácter de escape con guion bajo.

ArcGIS Enterprise admite el flujo de entrada de una dirección de correo electrónico, pertenencias a grupos y un nombre y apellidos determinados de un usuario desde el proveedor de identidad SAML.

Registrar Azure AD como IDP de SAML para su portal

1. Compruebe que haya iniciado sesión como administrador de su organización.
2. En la parte superior del sitio, haga clic en Organización y haga clic en la pestaña Configuración.
3. Haga clic en Seguridad en el lado izquierdo de la página.
4. En la sección Inicios de sesión, haga clic en el botón Nuevo inicio de sesión de SAML y seleccione la opción Un proveedor de identidad. En la página Especificar propiedades, introduzca el nombre de su organización (por ejemplo, City of Redlands). Cuando los usuarios acceden al sitio web del portal, este texto se muestra como parte de la opción de inicio de sesión SAML (por ejemplo, Usar su cuenta de City of Redlands).

   Nota:

   Solo puede registrar un IDP SAML o una federación de varios IDP para su portal.

5. Elija Automáticamente o Después de la invitación de un administrador para especificar cómo pueden unirse los usuarios a la organización. La primera opción permite a los usuarios iniciar sesión en la organización con su inicio de sesión SAML sin que intervenga ningún administrador. Su cuenta se registra con la organización automáticamente la primera vez que inician sesión. La segunda opción requiere que el administrador registre las cuentas necesarias con la organización utilizando una utilidad de línea de comandos. Una vez que las cuentas se hayan registrado, los usuarios pueden iniciar sesión en la organización.

   Sugerencia:

   Es recomendable designar al menos una cuenta SAML como administrador del portal y degradar o eliminar la cuenta de administrador inicial. También se recomienda deshabilitar el botón Crear una cuenta en el sitio web del portal para que los usuarios no puedan crear sus propias cuentas. Para obtener instrucciones completas, consulte Configurar un proveedor de identidad compatible con SAML con el portal.

6. Proporcione la información de metadatos del IDP con una de las opciones siguientes:
   • Archivo:descargue el archivo de metadatos de Azure AD y cargue el archivo en ArcGIS Enterprise mediante la opción Archivo.

     Nota:

     Si es la primera vez que registra un proveedor de servicios con Azure AD, debe obtener el archivo de metadatos después de registrar ArcGIS Enterprise con Azure AD.
   • Parámetros: elija esta opción si no se puede acceder a la URL o al archivo de metadatos de federación. Introduzca manualmente los valores y proporcione los parámetros solicitados: URL de inicio de sesión y certificado, con codificación en formato BASE 64. Póngase en contacto con su administrador de Azure AD para obtenerlos.
7. Configure los siguientes ajustes avanzados cuando proceda:
   • Cifrar aserción: habilite esta opción para cifrar las respuestas de la aserción SAML de Azure AD.
   • Habilitar solicitud firmada: habilite esta opción para que ArcGIS Enterprise firme la solicitud de autenticación SAML enviada a Azure AD.
   • Propagar cierre de sesión a proveedor de identidad: habilite esta opción para que ArcGIS Enterprise utilice una URL de cierre de sesión para cerrar la sesión del usuario de Azure AD. Introduzca la dirección URL que desee utilizar en la configuración de la Dirección URL de cierre de sesión. Si el IDP requiere que la URL de cierre de sesión esté firmada, active Habilitar solicitud firmada.
   • Actualizar perfiles en el inicio de sesión: habilite esta opción para que ArcGIS Enterprise actualice los atributos givenName y email address del usuario si han cambiado desde su último inicio de sesión.
   • Habilitar pertenencia a grupos basada en SAML: habilite esta opción para permitir a los miembros de la organización vincular grupos específicos basados en SAML con grupos de ArcGIS Enterprise durante el proceso de creación de grupos.
   • URL de cierre de sesión: la dirección URL del IDP se usa para cerrar la sesión del usuario conectado.
   • Id. de entidad: actualice este valor para usar un nuevo Id. de entidad para identificar de forma única su portal en Azure AD.

   Los ajustes Cifrar aserción y Habilitar solicitud firmada utilizan el certificado samlcert en el almacén de claves del portal. Para utilizar un certificado nuevo, elimine el certificado samlcert, cree un certificado nuevo con el mismo alias (samlcert) siguiendo los pasos que se indican en Importar un certificado en el portal y reinicie el portal.

8. Cuando haya terminado, haga clic en Actualizar proveedor de identidad.
9. Haga clic en Descargar metadatos de proveedores de servicios para descargar el archivo de metadatos del portal. La información de este archivo se usará para registrar el portal como proveedor de servicios de confianza con Azure AD.

Registrar ArcGIS Enterprise como el proveedor de servicios de confianza con Azure AD

1. Inicie sesión en su portal de Azure como miembro con privilegios administrativos.
2. Tras seguir los pasos de la documentación de Azure, agregue ArcGIS Enterprise como aplicación sin galería a Azure AD y configure el Inicio de sesión único. Deberá proporcionar el archivo Metadata.xml descargado de ArcGIS Enterprise.

   ArcGIS Enterprise aparece en la lista Aplicaciones empresariales en Azure AD.

3. Agregue y asigne usuarios a la aplicación según sea necesario.
4. Si lo desea, configure y personalice reclamaciones SAML entregadas a ArcGIS Enterprise. Los atributos de interés de la respuesta SAML son givenName y emailaddress.