Conteúdo

Introdução

Requisitos

Configuração

Verificação

Conclusão

Perguntas Frequentes (QA)

Introdução

O SAML SSO é um padrão aberto baseado em XML para troca de dados de autenticação e autorização entre partes, especificamente entre um provedor de identidade (IdP) e um provedor de serviço (SP). Ele permite que os usuários façam login uma única vez e acessem múltiplos sistemas sem a necessidade de realizar um novo login em cada um deles.

Este artigo explica como configurar o SAML SSO, utilizando o Microsoft Entra e o Omada Network System v6.1.0.100 como exemplo.

Requisitos

• Omada Standard Cloud-Based Controller / Omada Software Controller / OC300 / OC400
• Microsoft Entra / Microsoft Azure

Configuração

As etapas a seguir cobrirão a configuração do provedor de identidade (identity provider).

Passo 1. Criar um novo aplicativo no Microsoft Entra.

Acesse o Microsoft Entra Admin Center: Microsoft Entra admin center. Clique em Enterprise apps.

Clique em New application para navegar pela galeria de aplicativos do Microsoft Entra APP Gallery.

Clique em Create your own application. Digite o nome do aplicativo e clique em Create.

Passo 2. Inicializar o single sign-on e obter o arquivo de metadados do provedor de identidade.

Escolha a opção 2. Set up a single sign-on.

Clique em Edit dentro de Basic SAML Configuration para configurar o Identifier e a Reply URL.

Aqui, inserimos https://www.omadanetworks.com como o valor tanto para o Identifier quanto para a Reply URL. Na verdade, podemos colocar temporariamente qualquer URL aqui, pois iremos reconfigurá-las mais tarde.

Vá em SAML Certificate > Federation Metadata XML e clique em Download para baixar o arquivo de metadados do IdP.

Passo 3. Criar uma nova conexão SAML e um novo grupo de usuários SAML no Omada Controller.

Acesse o Controller para configurar o sistema SP. Vá em Global View > Settings > SAML SSO, e clique em Add New SAML Connection.

Insira um nome em Identity Provider Name, faça o upload do arquivo Metadata.xml que acabamos de baixar e clique em Apply.

Verifique os detalhes (Details) da entrada que acabamos de criar. Aqui podemos ver o Entity ID, Sign-On URL, Omada ID e o Resource ID.

Clique no botão de download para obter o arquivo metadata.xml do provedor de serviço.

Clique em Go To SAML User Group.

Clique em Add New SAML User Group.

Defina o SAML User Group Name, a função (role) e os privilégios relacionados, depois clique em Create.

Passo 4. Continuar configurando o single sign-on no Microsoft Entra.

Na página inicial do Entra, clique em Enterprise apps. Clique no aplicativo que criamos anteriormente.

Em seguida, vá em 2. Set up single sign on.

Clique em Upload metadata file para fazer o upload do arquivo metadata.xml que obtivemos no Passo 3.

Consulte a imagem abaixo e preencha as outras configurações básicas do SAML (Basic SAML Configuration).

• Identifier (Entity ID): Deve ser igual ao Entity ID que visualizamos nos SAML Attributes do Controller.

• Reply URL (Assertion Consumer Service URL): Deve ser igual ao Sign-On URL que visualizamos nos SAML Attributes do Controller.

• Sign On URL (Opcional): Esta barra de texto deve ser deixada em branco. Por favor, não confunda este campo com o Sign-On URL que vimos nos SAML Attributes do Controller.
• Para o campo Relay State, devemos codificar a string “resourceId_omadaId” utilizando Base64. Você pode usar qualquer ferramenta aberta de criptografia Base64 para codificar este texto.

Por exemplo:

Passo 5. Criar uma nova função de aplicativo (App Role).

Volte em App registrations > All applications e clique no aplicativo que criamos anteriormente para continuar a configuração.

Vá em App roles e clique em Create app role.

Configure tanto o Display name quanto o Value para que sejam exatamente iguais ao SAML User Group Name que configuramos no Controller no Passo 3. Selecione o tipo como Users/Groups e insira as descrições necessárias. Em seguida, clique em Apply.

Passo 6. Atribuir a função a usuários específicos.

Volte em Enterprise Apps na página inicial do Entra e clique no aplicativo que criamos anteriormente.

Vá em Users and Groups e clique em Add user/group.

Clique no primeiro campo escrito None Selected e selecione os usuários aos quais você vai atribuir a função, depois clique em Select.

Clique no segundo campo escrito None Selected e selecione a função (role) que criamos anteriormente, depois clique em Select.

Em seguida, clique em Assign.

Concluímos agora a atribuição de funções.

Passo 7. Continuar configurando o single sign-on no Entra.

Volte em Enterprise Apps na página inicial do Entra e clique no aplicativo que criamos anteriormente.

Vá em 2. Set up single sign on.

Clique em Edit na Parte 2 — Attributes & Claims para editar os atributos.

Clique em Add new claim.

Adicione o atributo username como parâmetro. Defina o Name como username e o Source Attribute como user.displayname.

Adicione o atributo usergroup_name como parâmetro. Defina o Name como usergroup_name e o Source Attribute como user.assignedroles.

Verificação

Método 1: Vá para a interface de configurações do login baseado em SAML e clique em Test sign in para testar.

O navegador deverá redirecionar você para o Omada Controller logado.

Método 2: Acesse https://myapplications.microsoft.com. Após fazer o login com seu Microsoft ID, clique no aplicativo que acabamos de configurar para efetuar o login no Omada Controller.

O navegador redirecionará você automaticamente para o Omada Controller.

Conclusão

Configuramos com sucesso o SAML SSO do Omada Controller utilizando o Microsoft Entra / Azure ID.

Para saber mais detalhes de cada função e configuração, por favor acesse a Central de Downloads para baixar o manual do seu produto.

Perguntas Frequentes (QA)

Q1: O que devo fazer se o navegador exibir uma página de erro "White Label Error Page"? Ao verificar a janela de ferramentas de desenvolvedor (dev tools), também é exibido o código de erro "405 Method Not Allowed".

A1: Nas ferramentas de desenvolvedor, podemos ver que o método permitido (Allow method) para os Response Headers é POST, mas geralmente, o Request Method é GET. A incompatibilidade técnica causa essa falha.

Volte para a configuração básica do SAML (Basic SAML Configuration) do aplicativo, escolha a opção Edit para editar a estrutura, verifique atentamente o Identifier, a Reply URL e o Relay State, e lembre-se de manter o campo Sign On URL em branco.

Q2: O que devo fazer se encontrar o código de erro {"errorCode":-1001, "msg": "Invalid request parameters."}?

A2: Volte para a interface de Attributes & Claims e verifique se você definiu os parâmetros username e usergroup_name corretamente.

Q3: O que devo fazer se encontrar o código de erro {"errorCode":-1, "msg": "Something went wrong. Please try again later or contact our technical support."}?

A3: Volte em SAML Certificates. Se houver mais de um certificado listado, por favor exclua os certificados adicionados manualmente.