Inicio de sesión SAML con el directorio de la organización

Su proveedor de identidad solo conecta un servicio que conoce. El recuadro « A declarar en su proveedor de identidad » muestra el identificador de su espacio (entity ID, que es también la dirección del archivo de metadatos) y la URL de retorno. Transmita el archivo de metadatos: lo contiene todo, certificado incluido. Estas direcciones no cambian, aunque modifique la dirección pública de su espacio.

Lo más sencillo: pegue sus metadatos XML, los de su propio proveedor de identidad y no el archivo de toda la federación. SpotBooker extrae de ellos su identificador, su URL de inicio de sesión y su certificado de firma. Si no, rellene estos tres campos a mano; la URL de inicio de sesión debe empezar por https://. Durante una renovación de certificado, pegue los dos certificados uno tras otro: se muestra la fecha de caducidad de cada uno.

SpotBooker necesita la dirección de correo y un identificador que no cambie de un inicio de sesión a otro; nombre, apellidos y grupos son opcionales. Los nombres habituales se reconocen de entrada: eduPersonPrincipalName para el identificador (si no, un NameID persistente), mail, givenName, sn e isMemberOf, además de sus equivalentes ADFS. Rellene la correspondencia de atributos solo si su proveedor de identidad usa otros. Del lado de la organización, hay que autorizar el envío de esos atributos a SpotBooker.

Sepárelos con comas, por ejemplo instituto.es, csic.es. Tienen tres efectos: solo esas direcciones pueden iniciar sesión; sus usuarios encuentran su organización escribiendo su dirección en la página de inicio de sesión; y una cuenta SpotBooker que ya existe con una de esas direcciones se vincula al directorio en lugar de rechazarse. Sin dominio, se acepta cualquier dirección autenticada por su proveedor de identidad, pero se pierden los dos últimos efectos. El descubrimiento desde la página de inicio de sesión, la vinculación de cuentas existentes y la admisión automática solo se aplican una vez probado el dominio (vea «Probar sus dominios» más abajo).

Con la admisión automática, cualquier persona del directorio entra desde su primer inicio de sesión, sin ningún derecho de administración. Desactívela si su directorio incluye también estudiantes o invitados que no deben reservar: cada primer inicio de sesión deja entonces una solicitud de acceso, que usted acepta o rechaza. Estos ajustes son propios de SAML: el inicio de sesión de Microsoft conserva los suyos.

Haga corresponder un valor de grupo enviado por el directorio (por ejemplo una entrada de isMemberOf) con un grupo de SpotBooker creado previamente. En cada inicio de sesión, el usuario se une a los grupos correspondientes y sale de aquellos a los que ya no pertenece. Los grupos que gestiona a mano en SpotBooker nunca se modifican.

Active el inicio de sesión y guarde. La activación se rechaza mientras no estén rellenos el identificador, la URL de inicio de sesión y el certificado. Haga una primera prueba con una cuenta del directorio, en una ventana de navegación privada.

En la página de inicio de sesión, eligen « Iniciar sesión con su organización », escriben su dirección (o solo el dominio) y llegan a la página de inicio de sesión de su organización. También puede darles el enlace de inicio de sesión directo que aparece en los ajustes, por ejemplo en su intranet.

Bajo el campo de dominios, cada dominio guardado muestra su registro: tipo TXT, valor spotbooker-verification=….

Su servicio informático lo añade en el propio dominio (por ejemplo institut.fr) o, si lo prefiere, en _spotbooker.institut.fr. Puede quedarse: SpotBooker lo vuelve a comprobar cada día.

Haga clic en «Verificar ahora». Si no, SpotBooker lo busca solo cada 15 minutos durante 14 días. Un dominio lo verifica un solo espacio: si ya lo está en otro, contacte con el soporte. Si el registro desaparece 7 días seguidos, se retira la verificación y sus administradores reciben un aviso por correo.

Opcional: el campo « URL de cierre de sesión (SLO, enlace Redirect) » espera una dirección en https://, y se rellena solo si los metadatos pegados contienen una. Por su parte, SpotBooker publica su « URL de cierre de sesión (Single Logout Service) » en sus metadatos: si su organización los declaró antes, pídale que los vuelva a cargar. Sin URL de cierre de sesión, cerrar sesión solo cierra la sesión de SpotBooker.

Primero se cierra la sesión de SpotBooker y después sale una solicitud firmada hacia su proveedor de identidad. Si no lo confirma, la persona sigue desconectada de SpotBooker y ve « Ha cerrado la sesión de SpotBooker, pero su organización no ha confirmado el cierre de su sesión en ella. Cierre el navegador para terminarla. »

Cuando su proveedor de identidad envía una solicitud de cierre de sesión firmada, SpotBooker cierra todas las sesiones de la persona, en todos sus dispositivos, y le muestra « Su organización ha cerrado su sesión ». Como para el inicio de sesión, se rechaza una solicitud sin firma, firmada en SHA-1, demasiado antigua o ya recibida.