Introducción

Para integrar sus portales en la nube con su Proveedor de Identidad (IdP) corporativo mediante SAML 2.0, complete los pasos de configuración descritos en esta sección. Estos pasos se realizan una sola vez, normalmente por un Administrador del Customer Portal con acceso al IdP.

Una vez completada la configuración, los usuarios inician sesión en los servicios basados en la nube a través del IdP, como se describe en Iniciar sesión en portales y aplicaciones de Bizagi Cloud.

Antes de empezar

Para configurar un IdP que soporta SAML 2.0, debe haber registrado previamente a los usuarios en el Customer Portal.

Al integrar un IdP, debe sincronizar las cuentas autorizadas para que los usuarios puedan acceder a los servicios basados en la nube asociados con su compañía.

Registrar usuarios significa crear o actualizar sus identificadores principales. La dirección de correo electrónico configurada en Bizagi debe coincidir con el atributo NameID incluido en la Aserción SAML enviada por el IdP. El correo electrónico es el identificador más utilizado. Para obtener más información, consulte Crear usuarios en la compañía.

Bizagi no almacena las contraseñas de los usuarios al integrarse con un IdP.

No puede tener varios usuarios con la misma dirección de correo electrónico porque la dirección de correo electrónico forma parte del identificador principal del usuario.

Después de verificar que los usuarios han sido registrados en el Customer Portal, continúe con el proceso de configuración.

Comprender los mensajes SAML

Al configurar la autenticación SAML 2.0, es importante distinguir los diferentes tipos de mensajes utilizados durante la autenticación:

•Aserción SAML: Contiene la información que identifica a un usuario. Es generada por el IdP y validada por Bizagi.

•Solicitud SAML: Solicitud generada por Bizagi y enviada al IdP. Bizagi genera dos tipos de solicitudes: solicitudes de autenticación (AuthnRequest) y solicitudes de cierre de sesión (LogoutRequest).

•Respuesta SAML: Respuesta generada por el IdP después de recibir una solicitud de Bizagi. Una Respuesta SAML puede contener una o más Aserciones SAML.

Comprender estos tipos de mensajes le ayuda a configurar correctamente los certificados de firma y cifrado.

Pasos para configurar su IdP en el Customer Portal

Para configurar un IdP utilizando el protocolo SAML 2.0, complete los siguientes pasos:

1. Generar certificados (obligatorio)

Recomendamos generar los certificados directamente desde el Customer Portal. Como alternativa, puede utilizar certificados generados por una autoridad de certificación (CA) o por otra fuente de confianza.

Si necesita orientación, consulte Certificados para autenticación SAML 2.0.

Antes de continuar, debe contar con:

•Un certificado de firma (obligatorio) en formato P12 o PFX, incluida la contraseña definida cuando exportó las llaves pública y privada.

•Un certificado de cifrado (opcional) en formato P12 o PFX, incluida la contraseña definida cuando exportó las llaves pública y privada.

Usted es responsable de administrar sus certificados, incluido el seguimiento de las fechas de expiración y el mantenimiento de cualquier configuración relacionada del IdP.

2. Configuración inicial en su IdP

Configure el IdP antes de crear el autenticador en el Customer Portal.

Ejemplos:

•Azure AD

•Azure AD B2C

•ADFS

•Okta

3. Agregar y configurar el IdP en el Customer Portal

Acceda al Customer Portal como Administrador de la Compañía, haga clic en el icono Configuraciones, abra el menú Protocolos y seleccione Agregar autenticador.

customerportal_117

Seleccione SAML 2.0 en la lista desplegable Protocolo de autenticación y configure los siguientes parámetros:

•IDP: Nombre del Proveedor de Identidad asociado al protocolo seleccionado.

•Nombre para mostrar: Nombre mostrado para el autenticador en el Customer Portal.

•Descripción: Descripción del autenticador.

customerportal_131

Definir los dominios

Si hay varios autenticadores configurados, puede asociar dominios de correo electrónico a autenticadores específicos. Para obtener más información, consulte Múltiples autenticadores para portales basados en la nube.

Archivo de metadatos

Proporcione la ubicación de los metadatos del IdP.

Recomendamos utilizar Pegar URL siempre que su IdP exponga un endpoint de metadatos. Cuando se utiliza esta opción, Bizagi recupera los metadatos directamente desde el IdP, incluidos los certificados actualizados publicados en los metadatos.

El uso de Pegar URL reduce las tareas de mantenimiento porque no necesita actualizar manualmente la configuración de los metadatos cuando el IdP renueva o reemplaza sus certificados.

Como alternativa, puede utilizar:

•Pegar XML

•Cargar archivo

Cuando utilice Pegar XML o Cargar archivo, usted es responsable de actualizar los metadatos cada vez que cambien los certificados o la configuración del IdP.

customerportal_132

Ejemplos de URL de metadatos:

•Azure AD: https://login.microsoftonline.com/[tenant]/federationmetadata/2007-06/federationmetadata.xml

•ADFS: https://[my_federateserver]/FederationMetadata/2007-06/FederationMetadata.xml

•OKTA: https://[compañía].okta.com/app/[id]/sso/saml/metadata

Certificado de firma

•Certificado de firma: Utilice el botón Examinar para localizar y cargar el certificado digital (formato P12 o PFX) que contiene las llaves pública y privada utilizadas para firmar las Solicitudes SAML generadas por Bizagi, incluidas las solicitudes AuthnRequest y LogoutRequest.

•Contraseña del certificado de firma: Ingrese la contraseña asociada al certificado de firma.

•Algoritmo de firma: Seleccione SHA1 o SHA256.

Certificado de cifrado

Bizagi soporta comunicaciones SAML cifradas entre el IdP y Bizagi.

Los siguientes tipos de mensajes pueden protegerse mediante el certificado de cifrado:

•Aserciones SAML: Generadas por el IdP y enviadas a Bizagi. Estos mensajes contienen atributos del usuario e información de autenticación.

•Solicitudes de cierre de sesión: Generadas por Bizagi y enviadas al IdP.

Verifique que su IdP soporta comunicaciones SAML cifradas antes de configurar certificados de cifrado.

•Certificado de cifrado: Utilice el botón Examinar para localizar y cargar el certificado digital (formato P12 o PFX) que contiene las llaves pública y privada utilizadas para las operaciones de cifrado.

•Contraseña del certificado de cifrado: Ingrese la contraseña asociada al certificado de cifrado.

customerportal_126

Opciones de inicio de sesión

•Binding SSO: Bizagi recomienda utilizar POST porque soporta mensajes más largos. Consulte con su IdP los bindings SSO soportados.

•Forzar autenticación: Establézcalo en Sí para requerir que los usuarios se autentiquen cada vez que accedan a Bizagi.

•Formato de la política NameID de SAML: Define el formato NameID esperado por el IdP. Bizagi recomienda utilizar Dirección de correo electrónico.

Opciones de cierre de sesión

•Binding SLO: Define si las solicitudes de cierre de sesión utilizan el método HTTP POST o REDIRECT (GET). Verifique con su IdP cuál es la opción soportada. Si utiliza Azure AD, seleccione REDIRECT.

•Cifrar mensajes: Bizagi soporta recibir Aserciones SAML cifradas y enviar solicitudes de cierre de sesión cifradas. Ambos tipos de mensajes pueden contener información sensible y pueden cifrarse utilizando el certificado de cifrado configurado.

Si establece esta opción en Sí, tanto la Aserción SAML enviada por el IdP a Bizagi como la solicitud de cierre de sesión (LogoutRequest) enviada por Bizagi al IdP se cifran utilizando el certificado de cifrado configurado.

Asegúrese de que su IdP soporta la emisión de Aserciones SAML cifradas y la recepción de solicitudes de cierre de sesión cifradas.

customerportal_127

Información de la empresa

•Nombre de la organización: Nombre de su compañía incluido en los mensajes SAML generados por Bizagi.

•URL de la organización: URL de su compañía incluida en los mensajes SAML generados por Bizagi.

•Dirección de correo electrónico de contacto técnico: Dirección de correo electrónico de su administrador de plataforma.

customerportal_128

4. Descargar el archivo de metadatos y cargarlo en su IdP

Algunos IdP requieren el archivo de metadatos del Proveedor de Servicios.

Si su IdP requiere importar metadatos, descargue los metadatos generados por Bizagi a partir de la configuración SAML definida en el Customer Portal. Este archivo contiene la información de configuración requerida por el IdP, incluidas las llaves públicas asociadas a los certificados utilizados por Bizagi para firmar Solicitudes SAML y soportar comunicaciones SAML cifradas.

Antes de descargar el archivo de metadatos, asegúrese de que:

•Se haya cargado un certificado de firma.

•Se haya configurado la contraseña del certificado de firma.

Para descargar el archivo de metadatos, utilice:

https://accounts-[compañía].bizagi.com/saml2/metadata

Puede obtener una vista previa o descargar el archivo.

customerportal_129

Después de descargar el archivo, cárguelo en la aplicación correspondiente de su IdP.

Para probar la configuración, cierre todas las sesiones y abra una nueva sesión del navegador utilizando una ventana InPrivate o Incognito. Si la autenticación falla, puede restaurar la configuración anterior del protocolo de autenticación.

Solución de problemas

Si la autenticación falla, consulte:

•Solución de problemas de intercambio de mensajes SAML

•Códigos de error SAML