Carregar metadados SAML do provedor de identidade para o Unified Access Gateway

Para configurar os métodos de autenticação SAML e SAML e Passagem no Horizon, você deve carregar o arquivo XML de metadados do certificado SAML do provedor de identidade para o Unified Access Gateway (UAG). O upload permite que o UAG confie no provedor de identidade verificando a assinatura de uma asserção usando a chave pública do provedor de identidade.

Pré-requisitos

Você deve ter baixado o arquivo XML de metadados SAML do provedor de identidade e salvado esse arquivo em um computador que você pode acessar.

Procedimento

1. Na seção Configurar Manualmente do console de Administração do UAG, clique em Selecionar.

2. Na seção Configurações avançadas > Configurações de ponte de identidade, selecionar o ícone de engrenagem de Carregar metadados do provedor de identidade.

3. Insira a ID da entidade para o provedor de identidade na caixa de texto ID da entidade.

   Se não for inserido um valor na caixa de texto ID da entidade, o nome no provedor de identidade no arquivo de metadados será analisado e usado como a ID da entidade do provedor de identidade.

4. Na seção Metadados IDP, clique em Selecionar e navegue até o local onde você salvou o arquivo de metadados.

5. Se os metadados carregados oferecerem suporte à associação de Artefato HTTP, serão exibidas as URLs ARS do IDP de configurações adicionais, as impressões digitais da URL do IDP e os Certificados Confiáveis.

   • A URL ars do IDP é preenchida automaticamente com base nos metadados carregados e não pode ser editada diretamente.
   • Especifique uma impressão digital somente se o certificado do servidor SSL IDP não for emitido por uma CA confiável. Por exemplo, um certificado autoassinado ou um certificado emitido por uma CA interna. Uma impressão digital tem o formato [alg=]xx:xx… em que algpode ser sha1, sha256 (valor padrão), sha384 e sha512 e xx são dígitos hexadecimais. O algoritmo de hash deve atender aos requisitos especificados para o tamanho mínimo de hash. Por exemplo, sha1=C3 89 A2 19 DC 7A 48 2B 85 1C 81 EC 5E 8F 6A 3C 33 F2 95 C3, sha256=ad:5c:f1:48:47:94:7e:80:82:73:13:6c:83:52:b:e:78:ed:ff:50:23:56:a8:42:8a:d9:30:fc:3a:33:d6:c6:db, sha512=2221B24DC78018A8FAFF81B7AD348722390793DE8C0E5E5AA1D622BCC951D4DA5DBB1C76C79A258A7AFBD1727447151C90E1733E7E83A7D1D46ADF1A31C78496
   • A impressão digital do certificado pode ser configurada para validação do certificado do servidor retornado na comunicação entre o Unified Access Gateway e o IDP.

6. Selecione PEM como o tipo de formato de certificado no menu suspenso Tipo de certificado de criptografia.

   • Para a Chave Privada, clique em Selecionar e navegue até o local em que você salvou a chave privada para o certificado no formato PEM.
   • Para a Cadeia de certificados, clique em Selecionar e navegue até o local em que você salvou a cadeia de certificados no formato PEM.

7. Selecione um tipo de certificado válido para assinar solicitações de autenticação SAML. Se NONE estiver selecionado, as credenciais TLS serão usadas. Se você tiver selecionado PEM, a Chave Privada de Assinatura e o Certificado de Assinatura para Metadados IDP serão obrigatórios.

* Para a **Chave Privada de Assinatura**, clique em **Selecionar** e navegue até o local em que você salvou a chave privada para o certificado no formato PEM usado para assinar solicitações de autenticação SAML.
* Para a **Certificado de Assinatura para Metadados IDP**, clique em **Selecionar** e navegue até o local onde você salvou o certificado de assinatura no formato PEM usado para assinar solicitações de autenticação SAML.

8. Para ativar a opção Permitir asserções SAML não criptografadas, ative a opção. Se a opção estiver desativada, asserções não criptografadas não serão permitidas durante a autenticação SAML.

9. Para ativar a função Sempre forçar a autenticação SAML, ative a opção. Quando a opção está ativada, ela sempre força a página de autenticação SAML a ser apresentada ao usuário quando esse provedor de identidade é usado, desde que o IDP também esteja configurado para forçar a autenticação SAML.
   Se você ativar a função Sempre forçar a autenticação SAML, o SAML ForceAuthn="true" será definido como um atributo para AuthnRequest para o IdP. O IdP é notificado para ignorar qualquer contexto de segurança anterior ao autenticar o usuário.

10. Clique em Salvar.

    A seguinte mensagem é exibida. Configuration is saved successfully.

    O UAG mostra os detalhes do certificado de metadados IDP carregados.

    Todos os metadados do IDP não utilizados podem ser excluídos.

O que fazer depois

Defina as configurações do Horizon no UAG para selecionar o método de autenticação e escolher o provedor de identidade necessário.