Saltar al contenido principal
Esta página le indica a un operador BYOC qué debe configurar antes de que un administrador active el inicio de sesión único.
Esta página aplica solo a despliegues BYOC. En Lerian Cloud, Lerian opera esta configuración por ti.

​
Define una URL de callback

Define PLUGIN_AUTH_SSO_CALLBACK_URL tanto en el servicio Auth como en Identity. Usa la URL pública exacta del callback de Console:
Auth envía esta URL al proveedor de identidad. Identity la incluye en la configuración de redirecciones permitidas.
Usa la misma URL absoluta en Auth, Identity, Console y la aplicación del proveedor de identidad. Una discrepancia en el esquema, el host o la ruta hace que falle el intercambio del código de autorización.

​
Configura las rutas de Console

Console necesita estas rutas: Define PLUGIN_AUTH_PUBLIC_BASE_PATH con una dirección HTTPS accesible desde el navegador del usuario. El navegador sigue directamente la redirección de la operación de inicio de SSO. Para definir estas variables con el chart de Product Console, consulta el README del chart de Product Console. Las URLs pública y entre servidores de Auth pueden apuntar a la misma dirección. Usa una dirección interna para las llamadas entre servidores y la dirección pública para las redirecciones del navegador.

​
Configura la resolución del tenant

Antes de que empiece SSO, Auth debe saber a qué organización de Caradhras pertenece el usuario. Cada tenant es una organización. Elige una de las dos configuraciones siguientes.

​
Organización fija (recomendado)

Define PLUGIN_AUTH_SSO_STATIC_ORGANIZATION en Auth con el nombre de la organización de Caradhras a la que pertenecen tus usuarios. Normalmente es el valor de AUTHORIZER_ORGANIZATION_NAME, cuyo valor predeterminado es lerian. Auth entonces usa esa organización en cada solicitud SSO y no compara el dominio del correo electrónico con la organización. Esta configuración no requiere cambios en los datos de Caradhras y funciona para usuarios de cualquier dominio de correo electrónico.

​
Sin organización fija

Si no defines PLUGIN_AUTH_SSO_STATIC_ORGANIZATION, SSO usa los campos de la organización:
  • Define domain en la organización con el dominio de correo electrónico de tus usuarios, como example.com. Sin él, Auth rechaza cada inicio de sesión SSO.
  • Define domainHome como true si las personas sin cuenta deben poder iniciar sesión con SSO por primera vez. Sin él, Console ofrece a estas personas solo el inicio de sesión con contraseña.
Una organización guarda un solo domain, así que solo los usuarios de ese dominio de correo electrónico pueden iniciar sesión con SSO. Si tus usuarios tienen más de un dominio de correo electrónico, usa la organización fija en su lugar.

​
Define los campos de la organización

Puedes definir domain y domainHome en la página de edición de la organización en la UI web de Caradhras, o con la operación POST /api/update-organization de la API de Caradhras. Console no tiene un campo de edición para ellos. Para usar la API, envía la solicitud desde un host que llegue a Caradhras en la dirección de AUTHORIZER_ADDRESS, la dirección que usan Auth e Identity. Autentícate con HTTP Basic y con el ID y el secreto de cliente que Access Manager usa para Caradhras, AUTHORIZER_CLIENT_ID y AUTHORIZER_CLIENT_SECRET. Un administrador global de Caradhras también puede hacer la llamada. De forma predeterminada, un administrador de tenant no puede. Este ejemplo convierte la organización acme en la principal del dominio example.com:
Las claves que dejas fuera del cuerpo conservan sus valores guardados. Una clave que envías reemplaza el valor guardado, incluso cuando está vacía o es false. Envía owner y name con los valores actuales de la organización, porque un name distinto cambia el nombre de la organización. Deja fuera domainHome para una organización que no es la principal de su dominio. Para comprobar el resultado, lista las organizaciones de un dominio:

​
Rechaza usuarios de otros dominios (opcional)

Caradhras también puede comparar el dominio del correo electrónico con el domain de la organización cuando crea un usuario, incluido un usuario que inicia sesión con SSO por primera vez, y cuando un administrador cambia el correo electrónico de un usuario. La configuración emailDomainPolicy controla esta verificación: La verificación se aplica solo a las organizaciones que tienen un domain. Para definirla con el chart de Access Manager, consulta el README del chart de Access Manager.

​
Expón Auth al navegador

El navegador debe acceder a la ruta de inicio de SSO de Auth mediante HTTPS. Expón Auth en una dirección pública y permite el origen de Console según la política de orígenes cruzados de tu despliegue. Identity puede permanecer en una ruta entre servidores cuando los administradores lo gestionan solo mediante Console.

​
Configura el proveedor de identidad

En la aplicación del proveedor:
  1. Registra la URL exacta del callback de Console.
  2. Permite los ámbitos de OpenID Connect necesarios para devolver la identidad y el correo electrónico del usuario.
  3. Emite un ID de cliente y un secreto de cliente para el tenant.
  4. Haz que el emisor y los endpoints sean accesibles desde los servicios de Access Manager.
Para un proveedor OpenID Connect personalizado, usa un emisor que publique metadatos de descubrimiento válidos. En su lugar, las integraciones de API pueden proporcionar el conjunto completo de endpoints de autorización, token e información de usuario.

​
Valida el despliegue

1

Abre la pestaña Single Sign-On

Confirma que Console puede leer el estado actual del proveedor desde Identity.
2

Ejecuta la validación previa del proveedor

Prueba la configuración candidata sin guardarla. Corrige cada fallo obligatorio.
3

Registra la URL de callback

Compara carácter por carácter el registro del proveedor con PLUGIN_AUTH_SSO_CALLBACK_URL.
4

Guarda el proveedor

Mantén disponible el inicio de sesión con contraseña durante la primera prueba.
5

Prueba desde una sesión privada del navegador

Ingresa un correo electrónico del tenant, completa el inicio de sesión del proveedor y confirma que el navegador vuelve a Console.
6

Prueba el aislamiento del tenant

Prueba con un correo electrónico que no pertenezca al tenant. Confirma que Auth no completa el inicio de sesión ni revela detalles del tenant.
7

Prueba la continuación con MFA

Inicia sesión con un usuario que tenga MFA activada y confirma que Console abre el paso de verificación MFA después de SSO.

​
Páginas relacionadas

Configura SSO en Console

Prueba y guarda la configuración del proveedor.