Guide
Guide
Shibboleth, ADFS, Keycloak, Okta…: os seus utilizadores entram no SpotBooker com as credenciais da organização.
A sua organização não usa Microsoft Entra ID? Quase sempre dispõe de um fornecedor de identidade SAML 2.0: Shibboleth nas instituições da federação RENATER, ADFS, Keycloak, Okta… Depois de ligado ao SpotBooker, cada pessoa inicia sessão com as credenciais habituais, sem mais uma palavra-passe. O início de sessão SAML está incluído na subscrição e disponível durante o teste gratuito. Só os administradores do seu espaço o configuram, normalmente com o serviço informático.
O seu fornecedor de identidade só liga um serviço que conhece. O quadro « A declarar no seu fornecedor de identidade » mostra o identificador do seu espaço (entity ID, que é também o endereço do ficheiro de metadados) e o URL de retorno. Transmita o ficheiro de metadados: contém tudo, certificado incluído. Estes endereços não mudam, mesmo que altere o endereço público do seu espaço.
O mais simples: cole os metadados XML do seu próprio fornecedor de identidade, e não o ficheiro de toda a federação. O SpotBooker retira deles o identificador, o URL de início de sessão e o certificado de assinatura. Caso contrário, preencha estes três campos à mão; o URL de início de sessão deve começar por https://. Durante uma renovação de certificado, cole os dois certificados um a seguir ao outro: a data de expiração de cada um é apresentada.
O SpotBooker precisa do endereço de email e de um identificador que não mude de um início de sessão para o outro; nome próprio, apelido e grupos são opcionais. Os nomes habituais são reconhecidos de imediato: eduPersonPrincipalName para o identificador (na falta dele, um NameID persistente), mail, givenName, sn e isMemberOf, bem como os equivalentes ADFS. Preencha a correspondência de atributos apenas se o seu fornecedor de identidade usar outros. Do lado da organização, é preciso autorizar o envio desses atributos ao SpotBooker.
Separe-os por vírgulas, por exemplo instituto.pt, ulisboa.pt. Têm três efeitos: só esses endereços podem iniciar sessão; os seus utilizadores encontram a sua organização escrevendo o endereço na página de início de sessão; e uma conta SpotBooker que já exista com um desses endereços é ligada ao diretório em vez de ser recusada. Sem domínio, qualquer endereço autenticado pelo seu fornecedor de identidade é aceite, mas perdem-se os dois últimos efeitos. A descoberta a partir da página de início de sessão, a ligação de contas existentes e a admissão automática só se aplicam depois de o domínio estar provado (veja «Provar os seus domínios» mais abaixo).
Com a admissão automática, qualquer pessoa do diretório entra logo no primeiro início de sessão, sem qualquer direito de administração. Desative-a se o seu diretório incluir também estudantes ou convidados que não devem reservar: cada primeiro início de sessão deixa então um pedido de acesso, que aceita ou recusa. Estas definições são próprias do SAML: o início de sessão Microsoft mantém as suas.
Faça corresponder um valor de grupo enviado pelo diretório (por exemplo uma entrada de isMemberOf) a um grupo SpotBooker criado previamente. Em cada início de sessão, o utilizador entra nos grupos correspondentes e sai daqueles a que já não pertence. Os grupos que gere à mão no SpotBooker nunca são alterados.
Ative o início de sessão e guarde. A ativação é recusada enquanto o identificador, o URL de início de sessão e o certificado não estiverem preenchidos. Faça um primeiro teste com uma conta do diretório, numa janela de navegação privada.
Na página de início de sessão, escolhem « Iniciar sessão com a sua organização », escrevem o endereço (ou apenas o domínio) e chegam à página de início de sessão da sua organização. Também lhes pode dar a ligação de início de sessão direto apresentada nas definições, por exemplo na sua intranet.
Um domínio que declara filtra os endereços assim que é guardado. Para que também encontre a sua organização a partir da página de início de sessão, certifique os endereços e admita automaticamente, tem de provar que lhe pertence. Sem essa prova, qualquer espaço poderia reivindicar o seu domínio. A prova vale para o domínio exato: institut.fr não abrange labo.institut.fr, que se declara e se prova à parte.
Sob o campo dos domínios, cada domínio guardado mostra o seu registo: tipo TXT, valor spotbooker-verification=….
O seu serviço informático adiciona-o no próprio domínio (por exemplo institut.fr) ou, se preferir, em _spotbooker.institut.fr. Pode ficar: o SpotBooker volta a verificá-lo todos os dias.
Clique em «Verificar agora». Caso contrário, o SpotBooker procura-o sozinho a cada 15 minutos durante 14 dias. Um domínio é verificado por um único espaço: se já o estiver noutro, contacte o suporte. Se o registo desaparecer 7 dias seguidos, a verificação é retirada e os seus administradores são avisados por e-mail.
Opcional: o campo « URL de fim de sessão (SLO, ligação Redirect) » espera um endereço em https://, e preenche-se sozinho se os metadados colados contiverem um. Por seu lado, o SpotBooker publica o seu « URL de fim de sessão (Single Logout Service) » nos metadados: se a sua organização os declarou antes, peça-lhe que os volte a carregar. Sem URL de fim de sessão, terminar sessão só fecha a sessão SpotBooker.
A sessão SpotBooker é fechada primeiro e depois segue um pedido assinado para o seu fornecedor de identidade. Se ele não confirmar, a pessoa continua desligada do SpotBooker e vê « Terminou a sessão no SpotBooker, mas a sua organização não confirmou o fim da sua sessão nela. Feche o navegador para a terminar. »
Quando o seu fornecedor de identidade envia um pedido de fim de sessão assinado, o SpotBooker fecha todas as sessões da pessoa, em todos os seus dispositivos, e mostra-lhe « A sua organização terminou a sua sessão ». Tal como no início de sessão, é recusado um pedido sem assinatura, assinado em SHA-1, demasiado antigo ou já recebido.
| Recusado | Porquê |
|---|---|
| Uma resposta sem assinatura | É a assinatura do seu fornecedor de identidade que prova que a resposta vem dele. Pode cobrir a resposta ou a asserção: o Shibboleth assina a resposta por predefinição, não há nada a alterar. |
| Uma assinatura em SHA-1 | Este algoritmo já não oferece garantias suficientes, nem em assinatura nem em resumo. Configure o seu fornecedor de identidade em SHA-256. |
| Um início de sessão lançado a partir do portal da organização | O SpotBooker só aceita a resposta a um pedido que acabou de emitir, utilizável uma única vez e durante 10 minutos: uma resposta intercetada não pode ser reutilizada. Por isso o início de sessão tem de partir do SpotBooker. Para um atalho num portal, use a ligação de início de sessão direto. |
| Apenas um identificador transitório | Um NameID transitório muda a cada início de sessão: o SpotBooker não reconheceria a pessoa na vez seguinte. Envie eduPersonPrincipalName ou um NameID persistente. |
| Um endereço fora dos seus domínios | Se declarou domínios, os outros endereços não entram, mesmo autenticados pelo seu fornecedor de identidade. |
| O que vê | O que fazer |
|---|---|
| « Nenhum início de sessão de organização corresponde a este endereço » | O domínio escrito não consta dos seus domínios de email aceites, ou o início de sessão SAML não está ativado. Acrescente o domínio e verifique a ativação. |
| « O início de sessão através da sua organização não está disponível » | O início de sessão está desativado ou incompleto, ou o teste gratuito terminou sem subscrição. As suas definições são mantidas: voltam a aplicar-se logo que subscrever. |
| « O início de sessão através da sua organização falhou » | O seu fornecedor de identidade respondeu, mas a resposta foi recusada. Causas frequentes: certificado renovado na organização mas não no SpotBooker (verifique a data de expiração), assinatura em SHA-1, endereço de email não enviado, início de sessão pendente mais de 10 minutos. Por segurança o detalhe não é apresentado: escreva-nos indicando a hora da tentativa e encontramo-lo. |
| O seu fornecedor de identidade mostra um erro antes de voltar | Ainda não conhece o SpotBooker, ou não com este identificador. Peça que os metadados do passo 1 sejam declarados no seu fornecedor de identidade. |
| « A sua conta não está autorizada a aceder a este espaço » | O endereço não pertence aos seus domínios, já é usado noutro espaço SpotBooker, ou o pedido de acesso desta pessoa foi recusado. Uma pessoa recusada não entra ao voltar a iniciar sessão. |
| « Já existe uma conta com este endereço… » | Já existe uma conta SpotBooker com este endereço, e só é ligada ao diretório se o seu domínio constar dos seus domínios aceites. Acrescente o domínio, ou a pessoa inicia sessão com a sua palavra-passe. |
| « O seu pedido de acesso foi enviado… » ou « A sua conta foi desativada… » | A primeira mensagem é normal sem admissão automática: aceite o pedido. A segunda significa que a pessoa saiu do diretório: veja Sincronizar os utilizadores com SCIM. |