product icon

Configurar Enterprise Sign-In con AD FS 2.0

    Su organización puede administrar fácilmente miles de usuarios y su acceso a los productos y, al mismo tiempo, ofrecer Single Sign-On (SSO). SSO garantiza que sus usuarios puedan acceder a sus GoTo productos con el mismo proveedor de identidades que para sus otras aplicaciones y entornos empresariales. Estas prestaciones se denominan Enterprise Sign-In.

    Este documento describe la configuración de Active Directory Federation Services (AD FS) para ofrecer asistencia de inicio de sesión único a GoTo productos.

    AD FS 2.0 es una descargable componente para Windows Server 2008 y 2008 R2. Es sencillo de implementar, pero hay varios pasos de configuración que necesitan cadenas, certificados, direcciones URL, etc. AD FS 3.0 también es compatible con Enterprise Sign-In. AD FS 3.0 tiene varias mejoras, la más grande es que el servidor de servicios de información de Internet (IIS) de Microsoft se incluye en la implementación en lugar de una instalación independiente.

    Nota: Puede omitir Paso n.º 5 (enumeradas a continuación) si ya tiene desplegado AD FS 2.0.

    Paso n.º 1: Configurar una organización para ADFS 2.0

    Configure una “organización” para registrar al menos un dominio de correo electrónico válido con GoTo para verificar su propiedad de dicho dominio. Los dominios de la organización son dominios de correo electrónico de propiedad exclusiva que los administradores pueden comprobar mediante el servicio web o el servidor DNS.

    Importante: El usuario que complete la verificación del dominio se convertirá automáticamente en administrador de la organización, pero no es necesario tener un usuario que tenga GoTo rol de administrador del producto.
    Los pasos siguientes se realizan en la GoTo Centro de organización.
    • Configurar una organización.
      1. Inicie sesión en la GoTo Centro de organización en https://organization.logmeininc.com.
      2. La primera pantalla le pedirá que verifique que es el propietario del dominio de la cuenta con la que ha iniciado sesión. Se le proporcionan dos métodos para configurar la validación del dominio y cada uno utiliza un código de verificación exclusivo para completar la verificación. Copie el valor de verificación en el portapapeles.

        Note: Aparecerá la pantalla de verificación hasta que el dominio se verifique. Si tarda más de 10 días en verificar el dominio, el sistema generará automáticamente nuevos códigos de verificación para su dominio la próxima vez que visite el Centro de organización.

      3. Pegue el código de verificación en el registro DNS o en un archivo de texto para cargarlo en una de las ubicaciones, en función de los métodos de verificación que escoja: 

        • Método 1: Añadir un registro DNS a su archivo de zona de dominio. Para usar el método de DNS, puede colocar un registro DNS en el nivel del dominio de correo dentro de su zona DNS. Por lo general, los usuarios verifican un dominio "raíz" o "de segundo nivel", como, por ejemplo, "principal.com". En este caso, el registro sería similar a:

          @ IN TXT "logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e"

          O BIEN

          main.com. IN TXT "logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e"

          Si necesita un dominio de tercer nivel (o subdominio) como correo.ejemplo.com, el registro se debe colocar en ese subdominio, como, por ejemplo:

          mail.main.com. IN TXT "logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e"

          Para obtener información más detallada, consulte Incorporar un registro TXT a un servidor DNS.

        • Método 2: Cargar un archivo del servidor web en el sitio web específico. Cargue un archivo de texto sin formato que contenga una cadena de verificación en el servidor web raíz. No debe haber ningún espacio en blanco ni otros caracteres en el archivo de texto, excepto los proporcionados.
          • Ubicación: http://< sudominio >/logmein-verification-code.txt
          • Contenidos: logmein-verification-code=668e156b-f5d3-430e-9944-f1d4385d043e
      4. Una vez que haya añadido el registro DNS o el archivo de texto, vuelva a la pantalla de estado del dominio y haga clic en Verificar.

      5. Resultado: Ha verificado correctamente su primer dominio y ha creado una organización con su cuenta como administrador de la organización. Verá el dominio verificado que aparece la próxima vez que inicie sesión en el Centro de organización.

        Centro de organización:pestaña dominios de correo electrónico

    • Desactive los correos de bienvenida para los usuarios (opcional).
      1. Sign in to the GoTo Admin Center (classic) at https://admin.logmeininc.com.
      2. Seleccione Ajustes de administración en el menú de navegación de la izquierda.
      3. Localice el panel Organización y seleccione Editar.

        Desactivar correos de bienvenida en el Centro de administración

      4. Seleccionar Desactivado para la sincronización de usuarios > Guardar.

        Resultado: Ha desactivado los correos de bienvenida para los usuarios y tendrá que informar a los usuarios sobre los cambios en su cuenta o los productos asignados.

    Resultados: Ha configurado correctamente una organización y ha configurado los ajustes que desee para los correos de bienvenida.

    Paso n.º 2: Certificado de los servicios de federación

    Cada implementación de AD FS se identifica con un nombre DNS (por ejemplo, “adfs.mydomain.com”). Necesitará contar con un certificado emitido para este nombre de sujeto antes de empezar. Este identificador es un nombre visible externamente, por lo tanto, asegúrese de seleccionar algo adecuado para representar a su empresa ante sus asociados. No use ese nombre como nombre de host también, ya que esto causaría problemas con el registro de nombres principales de servicio (SPN).

    Existen varios métodos para generar certificados. La manera más fácil, si dispone de una entidad de certificación en su dominio, es usar la consola de administración de IIS 7:
    1. Abra el complemento de administración de servidor web (IIS).
    2. Seleccione el nodo de servidor en el árbol de navegación y, a continuación, seleccione la opción Certificados de servidor.
    3. Seleccione Crear certificado de dominio.
    4. Introduzca el Nombre del servicio de federación en Nombre común (por ejemplo: adfs.miDominio.com).
    5. Seleccione la entidad de certificación de Active Directory.
    6. Introduzca el nombre simplificado o "nombre para mostrar" del certificado (cualquier identificador vale).

      Nota: Si no utilizó la consola de IIS para generar el certificado, asegúrese de que el certificado está vinculado al servicio IIS en los servidores en los que se instalará AD FS antes de continuar.

    Paso n.º 3: Crear una cuenta de usuario de dominio

    Los servidores de AD FS requieren que cree una cuenta de usuario de dominio para ejecutar sus servicios (no es necesario establecer grupos específicos).

    Paso n.º 4: Instale su primer servidor AD FS

    1. Descargue AD FS 2.0 y ejecute el instalador. Asegúrese de ejecutar el instalador como administrador de dominio. Esto creará los nombres SPN y otros contenedores de AD.
    2. En el rol del servidor, seleccione Servidor de federación.
    3. Cheque Inicie el complemento de administración de AD FS 2.0 cuando este asistente se cierre al final del asistente de configuración.
    4. En el complemento de administración de AD FS, haga clic en Crear nuevo servicio de federación.
    5. Seleccione New Federation Server farm (Nueva comunidad de servidores de federación).
    6. Seleccione el certificado que ha creado en el paso anterior.
    7. Seleccione el usuario de dominio que ha creado en los pasos anteriores.

    Paso n.º 5: Configurar el usuario de la relación de confianza

    En este paso, indica AD FS el tipo de tokens SAML que acepta el sistema.

    configure la relación de confianza de la siguiente forma:
    1. En AD FS 2.0 MMC, seleccione Relaciones de confianza> Relación de confianza para usuarios en el árbol de navegación.
    2. Seleccione Añadir veracidad del usuario de confianza y haga clic en Iniciar.
    3. En Seleccionar origen de datos, seleccione Importar los datos sobre el usuario de confianza publicado en línea o en una red local.
    4. En el cuadro de texto debajo de la opción seleccionada, pegue la URL de metadatos: https://authentication.logmeininc.com/saml/sp.
    5. Haga clic en Aceptar para confirmar que se omitirán los metadatos que ADFS 2.0 no comprenda.
    6. En la página Especificar nombre visible, escriba LogMeInTrust y haga clic en Siguiente.
    7. En la pantalla Elegir reglas de autorización de emisión, elija Permitir que todos los usuarios tengan acceso a este usuario de confianza a menos que prefiera otra opción.
    8. Complete el resto de los diálogos para finalizar la configuración de este lado de la relación de confianza.

    Añadir 2 reglas de notificación

    1. Haga clic en la nueva entrada de punto final y, en el menú de navegación de la derecha, haga clic en Editar reglas de notificación.
    2. Seleccione la pestaña Reglas de transformación de emisión y haga clic en Añadir regla.
    3. Utilice el menú desplegable para seleccionar Enviar atributos LDAP como notificaciones y, a continuación, haga clic en Siguiente.
    4. Use la siguiente configuración para la regla:
      • Nombre de la regla de notificaciones: Correo electrónico de AD
      • Almacén de atributos: Active Directory
      • Atributo LDAP: Direcciones de correo electrónico
      • Tipo de notificación saliente: Dirección de correo electrónico
    5. Haga clic en Finalizar.
    6. Haga clic de nuevo en Añadir regla.
    7. Utilice el menú desplegable para seleccionar Transformar una notificación entrante y haga clic en Siguiente.
    8. Use la siguiente configuración para la regla:
      • Nombre de la regla de notificaciones: ID de nombre
      • Tipo de notificación entrante: Dirección de correo electrónico
      • Tipo de notificación saliente: ID de nombre
      • Formato de ID de nombre saliente: Correo electrónico
    9. Seleccione Pasar a través todos los valores de notificaciones.
    10. Haga clic en Finalizar.

    Finalice la configuración

    • Haga clic con el botón secundario en la nueva relación de confianza en la carpeta Veracidades de usuarios de confianza y seleccione Propiedades.
    • En Avanzado, seleccione SHA-1 y haga clic en Aceptar.
    • Para evitar que AD FS envíe aserciones cifradas de forma predeterminada, abra un botón de comandos de Windows Power Shell y ejecute el siguiente comando:
    Set-AdfsRelyingPartyTrust -TargetName " " -EncryptClaims $False

    Paso n.º 6: Configurar la confianza

    El último paso de configuración consiste en aceptar los tokens SAML generados por su nuevo servicio de ADFS.

    • Use la sección "Identity Provider" (Identificar proveedor) en el Centro de organización para agregar los detalles necesarios.
    • Para AD FS 2.0, seleccione “Automatic” Settings (Configuración automática) e introduzca la siguiente URL (sustituya “server” con el nombre de host accesible externamente del servidor de AD FS):https://server/FederationMetadata/2007-06/FederationMetadata.xml

    Paso n.º 7: Comprobar la configuración en un solo servidor

    En este punto, debe poder probar la configuración. Debe crear una entrada DNS para la identidad de servicio de ADFS, que haga referencia al servidor ADFS que acaba de configurar, o a un equilibrador de carga de red si está usando uno.

    • Para comprobar si funcionan los inicios de sesión iniciados por el proveedor de identidades, vaya a su URL de proveedor de identidades personalizada (ejemplo: https://adfs.< my domain.com >/adfs/ls/< IdP Initiated sign on > = https://adfs.mydomain.com/adfs/ls/IdpInitiatedSignOn.aspx). Si todo es correcto, verá el identificador del usuario de la relación de confianza en un cuadro combinado en "Sign in to one to the following sites" (Iniciar sesión en uno de los siguientes sitios).

    • Para probar el inicio de sesión iniciado por un usuario de confianza, consulte las instrucciones de ¿Cómo se inicia sesión con Single Sign-On?