• Inicio
• Iniciar sesión con IDP externo
• Inicio de sesión único en MariaDB

Inicio de sesión único (SSO) para sus aplicaciones mediante MariaDB

---

Iniciar sesión con MariaDB como usuario en la tienda

miniOrange ofrece una solución de inicio de sesión único (SSO) lista para usar mediante MariaDB . Esta solución garantiza que pueda implementar el acceso seguro a cualquiera de sus aplicaciones utilizando credenciales de MariaDB en cuestión de minutos.

¿Dónde se aplica el SSO (inicio de sesión único) con MariaDB?

Diversos sistemas de gestión de usuarios, como CRM, HRM, CMS y LMS, donde se almacenan los usuarios, no admiten de forma nativa el inicio de sesión único ni ningún otro protocolo de autenticación. Aquí es donde entra en juego la solución SSO de miniOrange MariaDB, que proporciona diferentes servicios de inicio de sesión único para este tipo de aplicaciones.

Siga la guía paso a paso que se proporciona a continuación para el inicio de sesión único (SSO) para sus aplicaciones que utilizan la base de datos MariaDB

1. Configurar MariaDB como fuente de autenticación

• Inicia sesión en tu miniOrange Consola de administración y navega a Proveedores de identidad >> Agregar proveedor de identidad.



• En la sección Elija un proveedor de identidad, seleccione Database del menú Todos desplegable.



• Busque MariaDB y selecciónelo de la lista.



• En la sección Configuración de conexión Sección, ingrese los siguientes detalles:





Campo	Mareas Ideales para Lecciones
Identificador de base de datos	Escriba el Identificador de base de datos—El nombre de la base de datos que está agregando. Puede ser cualquier nombre relevante para el almacén de usuarios.
Host de base de datos	La siguiente tabla muestra los valores predeterminados y la sintaxis de los campos en la página de configuración. Tipo de base de datos Host de base de datos Número de puerto predeterminado Algoritmo de hash de contraseña MariaDB jdbc:mysql:thin:@ : : / 3306 PHPASS El Host de base de datos La URL es la URL de conexión. El hostname puede ser localhost o cualquier servidor remoto. El puerto predeterminado para la base de datos MariaDB es 3306. El nombre de la base de datos Es la base de datos que almacena los usuarios para la autenticación.
Nombre de usuario administrador	Para localhost, el nombre de usuario administrador normalmente es 'raíz'Para un host remoto, comuníquese con su administrador.
Contraseña de administrador	Introduzca la contraseña de administrador que corresponde al nombre de usuario de administrador.
Tabla de usuario	El Tabla de usuario Es la tabla de base de datos donde se almacenan los usuarios para su autenticación. Por ejemplo, en WordPress <font dir="auto" style="vertical-align: inherit;">las </font> Tabla de usuario is wp_users.
Columna de nombre de usuario	La columna Nombre de usuario es la columna que almacena los nombres de usuario utilizados para la autenticación. Por ejemplo, en WordPress <font dir="auto" style="vertical-align: inherit;">las </font> Columna de nombre de usuario is user_login.
Columna de contraseña	La columna Contraseña es la columna que almacena las contraseñas de los usuarios. Por ejemplo, en WordPress <font dir="auto" style="vertical-align: inherit;">las </font> Columna de contraseña is user_pass.

• Haga clic en Siguiente para proceder a la Avanzado Configuración para MariaDB.





Consulta activada por el usuario	En el cual podrás ingresar la consulta para verificar si el Usuario está Activo o no. Ejemplo: seleccione user_activated_column de user_tables donde user_name=? y user_activated_column='true';
Agregar cadenas de consulta	Agregue las cadenas de consulta para las columnas que desea importar de la base de datos. Esto puede ser útil para la asignación de atributos: Ejemplo: SELECT '##FIRSTNAME##', FIRSTNAME FROM users WHERE USERNAME=?
Algoritmo de hash de contraseña	El tipo de hash que se utiliza para MariaDB es, PHPASS.
Mapeo de dominio	Introduzca nombres de dominio separados por comas para restringir este IdP a dominios específicos. Para permitir todos los dominios, deje este campo en blanco.
Habilitar para usuarios finales	Habilite esta opción si desea que sus usuarios finales inicien sesión en su Panel de usuario final correspondiente usando credenciales de IDP.
Sincronizar usuarios en miniOrange	Los usuarios se crearán o actualizarán en miniOrange al iniciar sesión en el panel de usuario final. Solo aplica cuando la opción "Habilitar para usuarios finales" está activada.
Autenticación alternativa	Si habilita esta opción, los usuarios presentes en una base de datos externa se autenticarán directamente a través del IdP de miniOrange, sin que se creen en él. Esto resulta útil si la base de datos desde la que se realiza la autenticación contiene información privada o sensible sobre los usuarios.

• Haga clic en Siguiente para pasar al siguiente paso.
• En la sección Sincronización de usuarios pestaña, ingrese las consultas SQL para El usuario existe, crear usuario, Actualizar usuario, y Borrar Usuario operaciones.





Consultas de existencia de usuario	Introduzca la consulta SQL para comprobar si un usuario existe en la base de datos. Ejemplo: SELECT COUNT(*) FROM users WHERE username = ?
Crear consultas de usuario	Introduzca la consulta SQL para crear un nuevo usuario en la base de datos. Ejemplo: INSERT INTO users (username, password) VALUES (?, ?)
Actualizar consultas de usuario	Introduzca la consulta SQL para actualizar la información del usuario en la base de datos. Ejemplo: UPDATE users SET password = ? WHERE username = ?
Eliminar consultas de usuario	Introduzca la consulta SQL para eliminar un usuario de la base de datos. Ejemplo: DELETE FROM users WHERE username = ?

• Vaya a la Atributos pestaña y configure los atributos para la base de datos MariaDB.
• Enviar atributos personalizados, si habilita esta opción, solo se enviarán los atributos configurados a continuación en atributos al momento de iniciar sesión.

  Nota: Agregue una cadena de consulta para cada atributo que desee obtener de la base de datos.

• Haga clic en Añadir atributo para agregar un nuevo atributo.
• Escriba el Nombre del atributo enviado al SP que es el nombre del atributo que se enviará al proveedor de servicios.
• Escriba el Nombre del atributo de la base de datos que es el nombre del atributo que se obtendrá de la base de datos.
• Ejemplo: nombre de pila → ##NOMBRE DE PILA##, apellido → ##APELLIDO##, nombre de usuario → ##NOMBRE DE USUARIO##, o enviar un email. → ##CORREO ELECTRÓNICO##



• Haga clic en Guardar para guardar el atributo.
• Haga clic en Guardar para guardar la configuración.

2. Conexión de prueba

• Para comprobar si se establece o no la conexión con la base de datos, Conexión de prueba Es necesario hacerlo. Vaya a Acciones en la aplicación, haga clic en el ícono de tres puntos y seleccione Conexión de prueba.



• Introduzca las credenciales del usuario, almacenadas en la tabla de usuarios de la base de datos correspondiente, para comprobar si la conexión se ha establecido correctamente. Haga clic en Prueba para comprobar si la conexión fue exitosa o no.
  
  
  
  
• Si la conexión de prueba es exitosa, ¡estarás listo!.
• Si la conexión de prueba no se realiza correctamente, revise su configuración nuevamente o contacte a su administrador. Otra posible razón podría ser que esté ingresando credenciales incorrectas para... Conexión de prueba.

3. Aprovisionamiento de usuarios

• Navegue a Aprovisionamiento .



• Seleccione el elemento Database del menú desplegable.
• Verifique las funciones de aprovisionamiento.



• Para importar los usuarios desde la base de datos, vaya a la Aprovisionamiento de usuarios, Haga clic en el Importar usuarios .
• Seleccione el elemento Database desde el menú desplegable y guarde la configuración.



• Ahora ve al Usuarios >> Lista de usuarios y encontrará todos los usuarios importados de la base de datos.

4. Configura tu aplicación en miniOrange

• Inicie sesión para Consola de administración miniOrange.
• Vaya al Aplicaciones >> Agregar aplicación.

• Aplicación SAML
• Aplicación OAuth
• Aplicación JWT

• En Elegir aplicación, seleccione SAML/WS-FED del menú Todas las Aplicaciones desplegable.



• En el siguiente paso, busque su aplicación en la lista. Si no la encuentra, busque personalizado y puedes configurar tu aplicación a través de Aplicación SAML personalizada. Haga clic en Enviar solicitud de nueva aplicación Si desea enviar una nueva solicitud de SSO.



• En la sección Básico Pestaña, puede configurar los siguientes ajustes.

  Nombre para mostrar (obligatorio)	Escriba el Nombre para mostrar de tu aplicación según su preferencia.
  ID de entidad SP o emisor (obligatorio)	Se utiliza para identificar su aplicación en la solicitud SAML recibida del SP. El ID de entidad o emisor del SP puede estar en formato URL o cadena.
  URL de ACS o URL del servicio de consumidor de aserciones (obligatorio)	Define dónde debe enviarse la aserción SAML después de la autenticación. Asegúrese de que la URL de ACS tenga el formato: https://www.domain-name.com/a/[domain_name]/acs
  URL de audiencia	Como su nombre indica, especifica la audiencia válida para la aserción SAML. Suele ser el mismo que el ID de entidad del SP. Si el SP no especifica la URL de la audiencia por separado, déjela en blanco.
  URL de cierre de sesión único	La URL en la que desea que se consuma la solicitud de cierre de sesión y a la que deben redirigirse sus usuarios después de un solo cierre de sesión en las aplicaciones.
  Subir el logotipo de la aplicación	Sube un logotipo para tu aplicación.




• Haga clic en Siguiente para ir a la Configuración avanzada. Configure los siguientes ajustes.

  Solicitud firmada	Habilite esta opción para firmar la solicitud SAML enviada por el SP. Proporcione el certificado X509 o cárguelo.
  Firmar respuesta	Habilite esta opción si desea que se firme toda la respuesta SAML.
  Afirmación de signo	Habilite esta opción si desea que solo se firme la afirmación dentro de la respuesta SAML.
  Algoritmo de firma	Seleccione el algoritmo que se utilizará para firmar la solicitud/respuesta SAML.
  Cifrar afirmación	Seleccione esto si desea cifrar la aserción en la respuesta SAML y proporcionar el algoritmo y el certificado para el cifrado.
  Estado de retransmisión	Ingrese la URL a la que desea que el usuario sea redirigido después de iniciar sesión en la aplicación.
  Anular el estado del relé	Habilite esto para anular el estado de relé predeterminado del SP.
  Enlace de respuesta de cierre de sesión	Se envía una respuesta de cierre de sesión en respuesta a una solicitud de cierre de sesión del SP. Podría ser enviado por un proveedor de identidad o un proveedor de servicios.
  Vinculación de solicitud de cierre de sesión iniciada por IdP:	Se envía una respuesta de cierre de sesión en respuesta a una solicitud de cierre de sesión desde el panel de IdP. Podría ser enviado por un proveedor de identidad o un proveedor de servicios. Redireccionamiento HTTP: una respuesta de cierre de sesión con su firma HTTP POST: una respuesta de cierre de sesión con la firma incorporada
  Período de validez de la autenticación SAML	El tiempo durante el cual la autenticación debe considerarse válida y el usuario debe poder realizar SSO. Después de eso, el usuario deberá iniciar sesión nuevamente.
  Habilitar identidad compartida	Esta función le permite controlar si un usuario compartido puede acceder o no a una aplicación específica.




• Haga clic en Siguiente para ir a la Opciones de inicio de sesión Pestaña. Aquí puede configurar los siguientes ajustes:

  Proveedor de identidad principal	Seleccione la fuente de identidad desde donde desea que se realice la autenticación. Verá la lista de todas las fuentes configuradas.
  Forzar autenticación	Habilite esto para aplicar la autenticación en cada solicitud de acceso a la aplicación.
  Mostrar en el panel del usuario final	Deshabilite esta opción si no desea que la aplicación sea visible para todos los usuarios en el panel del usuario final.




• Haga clic en Siguiente para ir a la Atributos Pestaña. Aquí puedes agregar y configurar los atributos que se enviarán a la aplicación.

  ID de nombre	NameID es el identificador único del usuario autenticado incluido en la aserción SAML. Permite al proveedor de servicios reconocer al usuario y asignarlo a una cuenta. Generalmente, NameID es un nombre de usuario o una dirección de correo electrónico.
  Formato de ID de nombre	Define el tipo de identificador que se utiliza en el NameID (p. ej., correo electrónico, persistente, transitorio) para que el proveedor de servicios pueda asignar correctamente al usuario. Si el proveedor de servicios no solicita un formato específico, el proveedor de identidades puede dejarlo sin especificar y usar uno predeterminado.
  Agregar formato de nombre	El formato de nombre define cómo se representan los nombres de los atributos en una aserción SAML (p. ej., como cadenas simples o URI). Ayuda al proveedor de servicios a interpretar correctamente los nombres de los atributos y garantiza la coherencia entre el proveedor de identidad (IdP) y el proveedor de servicios.
  Habilitar atributos multivalor	Habilitado: Las comas (,) y el punto y coma (;) se consideran separadores, por lo que el atributo se divide en una lista limpia. Ejemplo: roles = ['admin', 'editor', 'viewer']. Deshabilitado: Las comas y los puntos y comas no se consideran separadores, por lo que el atributo permanece como una sola cadena combinada. Ejemplo: roles = "admin;editor;viewer".
  Asignación de atributos	Puede agregar atributos para enviarlos en la aserción SAML al SP. Estos atributos incluyen los atributos del perfil del usuario, como nombre, apellidos, nombre completo, nombre de usuario, correo electrónico, atributos de perfil personalizados y grupos de usuarios, entre otros.




• Haga clic en Siguiente para ir a la Políticas pestaña. Necesitas Guardar la aplicación Primero, configure la política para la aplicación.



• Después de guardar la aplicación, puede configurar la política para esa aplicación.



• Haga clic en el elemento Asignar grupo botón. Un nuevo Configurar la asignación de grupos Se abrirá la pestaña modal.
  • Asignar grupo: Seleccione los grupos que desea vincular con la aplicación. Puede seleccionar hasta 20 grupos a la vez.
  
  
  
  • Si necesitas crear un nuevo grupo, haz clic en Agregar nuevo grupo .
  • Escriba el Nombre del grupo y haga clic en Crear grupo.
  
  
  
  • Haga clic en Siguiente.
  • Asignar políticas: Agregue las políticas requeridas a los grupos seleccionados. Ingrese los siguientes detalles:
  • Primer factor: Seleccione el método de inicio de sesión en el menú desplegable.
  • Si selecciona Contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) y Autenticación adaptable, si es necesario.
  • Si selecciona Sin contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) si es necesario.



• Haga clic en GuardarSe crearán políticas para todos los grupos seleccionados.
• Verá la política listada una vez que se haya agregado correctamente.



• En la sección metadatos Pestaña, haga clic en cualquiera de las dos pestañas:
• Haga clic en miniOrange como desplazado Si desea utilizar miniOrange como almacén de usuarios, es decir, sus identidades de usuario se almacenarán en miniOrange.
• Haga clic en Fuente externa como IdP Si desea autenticar a sus usuarios a través de cualquier identidad externa Proveedor como Active Directory, Okta, OneLogin, etc. o cualquier otro IDP personalizado.





• Puede Descargar metadatos, descargar certificado, copiar la URL de los metadatos o copiar el certificado basado en sus requisitos.
• De manera similar, puedes obtener los valores de URL de inicio de sesión de SAML, URL de cierre de sesión de SAML, ID de entidad de IDP o emisor, URL de cierre de sesión de IDP, URL de metadatos desde aquí según sus requisitos de metadatos.

• En Elegir aplicación, seleccione OAuth/Identificación abierta del menú Todas las Aplicaciones desplegable.



• Busque su aplicación en la lista. Si no la encuentra, busque juramento y puedes configurar tu aplicación a través de Conexión OAuth2/OpenID.



• En la sección Básico pestaña, ingrese los siguientes detalles:

  Nombre que se ve en la pagina	Escriba el Nombre que se ve en la pagina (es decir, el nombre de esta aplicación).
  URL a redirigir	Escriba el URL a redirigirAsegúrese de que siga este formato: https://<mycompany.domain-name.com>
  ID de cliente	Generado automáticamente. Haz clic en el icono de copia para usarlo en tu aplicación.
  Secreto del cliente	Secreto del cliente Está oculto por defecto. Haz clic en el icono del ojo para revelarlo y usa el icono del portapapeles para copiarlo.
  Asunto (Opcional)	Seleccione un atributo de la lista desplegable.
  Descripción (opcional)	Añade una descripción si es necesario.
  Subir el logotipo de la aplicación (opcional)	Sube el logotipo de la aplicación (opcional). La aplicación se mostrará en el panel del usuario final con el logotipo que configures aquí.

• Haga clic en Guardar.



• Usted será redirigido a la Políticas .



• Haga clic en el elemento Asignar grupo botón. Un nuevo Configurar la asignación de grupos Se abrirá la pestaña modal.
  • Asignar grupo: Seleccione los grupos que desea vincular con la aplicación. Puede seleccionar hasta 20 grupos a la vez.
  
  
  
  • Si necesitas crear un nuevo grupo, haz clic en Agregar nuevo grupo .
  • Escriba el Nombre del grupo y haga clic en Crear grupo.
  
  
  
  • Haga clic en Siguiente.
• Asignar políticas: Agregue las políticas requeridas a los grupos seleccionados. Ingrese los siguientes detalles:
• Primer factor: Seleccione el método de inicio de sesión en el menú desplegable.
• Si selecciona Contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) y Autenticación adaptable, si es necesario.
• Si selecciona Sin contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) si es necesario.



• Haga clic en GuardarSe crearán políticas para todos los grupos seleccionados.
• Verá la política listada una vez que se haya agregado correctamente.



• Usted puede ir a la Avanzado Pestaña para cambiar otras configuraciones, como el tiempo de vencimiento de los tokens de acceso, JWT y actualización.
• Caducidad del token de acceso: Durante cuánto tiempo debe ser válido el token de acceso proporcionado desde su creación. [En horas] Se debe generar un nuevo token de acceso después de su vencimiento.
• Vencimiento del token JWT: Durante cuánto tiempo debe ser válido el token JWT generado. [ En horas ]
• Actualizar vencimiento del token: Durante cuánto tiempo debe ser válido el token de actualización generado. [En Días] Tendrás que generar un nuevo token de actualización después del no mencionado. de dias.
• Habilitar identidad compartida: Esta función le permite controlar si un usuario compartido puede acceder o no a una aplicación específica.



• Cambie a la Opciones de inicio de sesión .

  Proveedor de identidad principal	Seleccione la fuente de ID predeterminada en el menú desplegable de la aplicación. Si no se selecciona, los usuarios verán la pantalla de inicio de sesión predeterminada y podrán elegir su propio proveedor de identidad (IDP). [En este caso, seleccione miniOrange].
  Flujos de SSO	Seleccione el flujo SSO deseado del menú desplegable, como por ejemplo miniOrange como desplazado interno, miniOrange como corredor, o miniOrange como bróker con Discovery Flow.
  Mostrar en el panel del usuario final	Habilite esta opción si desea mostrar esta aplicación en el panel del usuario final.
  Forzar autenticación	Si habilita esta opción, los usuarios tendrán que iniciar sesión cada vez, incluso si su sesión ya existe.
  URI de cierre de sesión permitido	Haga clic en el enlace "URIs de cierre de sesión permitidas" para agregar una lista de URLs de redireccionamiento posteriores al cierre de sesión. Los usuarios serán redirigidos a una de estas URLs tras cerrar sesión correctamente en miniOrange.
  Cierre de sesión único habilitado	Habilite esta opción para enviar solicitudes de cierre de sesión a otras aplicaciones al cerrar sesión en esta aplicación.
  URL de inicio de sesión	Puede incluir atributos de usuario en la URL de inicio de sesión utilizando marcadores de posición como {{username}}, {{primaryEmail}}, {{customAttribute1}}, etc. Estos marcadores de posición se reemplazarán dinámicamente con los valores de usuario reales durante el flujo de SSO iniciado por el IdP. Puedes generar una URL usando los siguientes atributos: username, primaryEmail, alternateEmail, fname, lname, primaryPhone y customAttribute1. La URL podría ser así login.com/{{username}}/?primaryEmail={{primaryEmail}} Formato de parámetro de consulta: https://<sso-url>?username={{username}} https://<sso-url>?username={{username}}&email={{primaryEmail}} Formato del parámetro de ruta: https://<sso-url>/{{customAttribute1}}/{{customAttribute2}}/?username={{username}}




• Cambie a la Atributos .
• Habilitar la opción de atributos multivalor:



• Cuando esta opción está habilitada, tanto las comas (,) como los puntos y comas (;) se consideran delimitadores. Cualquier atributo que contenga estos caracteres se dividirá automáticamente y se convertirá en un atributo multivalor en función de su posicionamiento.
• Esta función garantiza que los atributos con múltiples valores se entreguen en un formato estructurado en lugar de como una única cadena concatenada.
• Por ejemplo: Cuando esta opción está habilitada, los atributos aparecerán como una lista como roles = ['admin', 'editor', 'visor'] en lugar de una sola cadena como roles = "admin;editor;visor".
• Cuando esta opción es discapacitados, los atributos almacenados como una única cadena concatenada con comas (,) y punto y coma (;) se tratan de la misma manera en que se almacenan en lugar de una lista estructurada.
• En este caso, las comas (,) y los puntos y comas (;) no se tratan como separadores, por lo que los valores permanecen combinados en una cadena.
• Obtener los detalles requeridos de la aplicación/Actualizar la información de la aplicación:
• Vaya a la Aplicaciones sección del menú lateral. En la lista de aplicaciones configuradas, localiza la aplicación que creaste. Haz clic en el icono de tres puntos junto a la aplicación y selecciona la Editar .



• Puede editar cualquiera de los detalles mencionados anteriormente en caso de que desee cambiarlos.



• Puntos finales de OAuth:
• Punto final de autorización [ https://<your-company-name>.xecurify.com/moas/idp/openidsso ]
• Este punto final se utiliza para autenticar al usuario final con sus credenciales miniOrange. Esto autentica a los usuarios y devuelve una respuesta a la redirección_url según los parámetros pasados ​​en la solicitud. [Principalmente el código de autorización]
• Este punto final toma los siguientes parámetros:
• ID de cliente: client_id de la aplicación como se configuró en los pasos anteriores
• Redireccionamiento_uri: La URL de devolución de llamada donde desea devolver la respuesta.
• alcance: alcance de autorización o nivel de acceso, puede enviar uno o varios alcances separados por '+'. por ejemplo, “correo electrónico+openid”. Admitimos los siguientes ámbitos:
• Correo electrónico: devuelve la dirección de correo electrónico del usuario en la respuesta
• Perfil: devuelve información del perfil del usuario en la respuesta
• OpenID: devuelve el id_token que contiene los detalles del perfil del usuario.
• Esto devuelve el código de autorización y los parámetros de estado en la respuesta.
• Punto final del token [ https://<your-company-name>.xecurify.com/moas/rest/oauth/token ]
• Este punto final devuelve lo siguiente:
• Identificación del token Contiene atributos de usuario y firmas que debe validar con el certificado público proporcionado.

ISS	https URI que indica el emisor
por debajo	identificador del usuario en el emisor
aud	client_id del cliente solicitante
nuncio apostólico	el valor del parámetro nonce recibido del cliente
exp	tiempo de vencimiento de este token
Yo en	momento en que se emitió este token
tiempo_autenticación	hora en que ocurrió la autenticación
at_hash	la primera mitad de un hash del token de acceso

• Token de acceso: Válido por 1 hora y se puede usar para acceder a la información del usuario u otros puntos finales hasta que caduque.
• Este punto final toma los siguientes parámetros en la solicitud:
• ID de cliente: client_id de la aplicación como se configuró en los pasos anteriores.
• Secreto del cliente: client_secret de la aplicación como se configuró en el paso anterior.
• URL de redireccionamiento: La URL de devolución de llamada donde se debe publicar la respuesta.
• Código: El código de autorización recibido del punto final de autorización.
• Tipo de concesión: La concesión de OAuth que desea utilizar para la solicitud.
• Punto final de información del usuario [ https://<your-domain>.xecurify.com/moas/api/oauth/getuserinfo ] Obligatorio solo en caso de OAuth
• Esta API se puede utilizar para obtener información del perfil del usuario con un token de acceso asignado al usuario. Se envía una solicitud GET al punto final de información del usuario.
• Debe enviar el token de acceso en el encabezado de autorización para recibir los detalles del usuario.
• Punto final de cierre de sesión único de OpenID [ https://<your-domain>.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri ]
• Este punto final elimina la sesión de usuario activa del IDP miniOrange y redirige al usuario a la URL mencionada en el parámetro post_logout_url.

• En Elegir aplicación, seleccione JWT del menú Todas las Aplicaciones desplegable.



• Busque su aplicación en la lista. Si no la encuentra, busque como anteriormente y puedes configurar tu aplicación a través de Aplicación JWT.



• Puede configurar los siguientes detalles en la aplicación:

  Nombre que se ve en la pagina	Escriba el Nombre que se ve en la pagina (es decir, el nombre de esta aplicación)
  URL a redirigir	Escriba el URL a redirigir (es decir, el punto final donde desea enviar/publicar su token JWT). Puede agregar varias URL de redireccionamiento separándolas con un ';'. Por ejemplo, abc.com;xyz.com
  ID de cliente	El ID de cliente Se muestra en el campo de abajo. Haga clic en el icono del portapapeles para copiarlo.
  Secreto del cliente	Secreto del cliente Está oculto por defecto. Haga clic en el icono del ojo para revelarlo y use el icono del portapapeles para copiarlo. Esto se utiliza en el algoritmo de firma HS256 para generar la firma.
  Descripción (opcional)	Añade una descripción si es necesario.
  Subir el logotipo de la aplicación (opcional)	Sube el logotipo de la aplicación (opcional). La aplicación se mostrará en el panel del usuario final con el logotipo que configures aquí.




• Haga clic en Guardar.
• Usted será redirigido a la Políticas .



• Haga clic en el elemento Asignar grupo botón. Un nuevo Configurar la asignación de grupos Se abrirá la pestaña modal.
  • Asignar grupo: Seleccione los grupos que desea vincular con la aplicación. Puede seleccionar hasta 20 grupos a la vez.
  
  
  
  • Si necesitas crear un nuevo grupo, haz clic en Agregar nuevo grupo .
  • Introduzca el nombre del grupo y haga clic en Crear grupo.
  
  
  
  • Haga clic en Siguiente.
  • Asignar políticas: Agregue las políticas requeridas a los grupos seleccionados. Ingrese los siguientes detalles:
  • Primer factor: Seleccione el método de inicio de sesión en el menú desplegable.
  • Si selecciona Contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) y Autenticación adaptable, si es necesario.
  • Si selecciona Sin contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) si es necesario.



• Haga clic en GuardarSe crearán políticas para todos los grupos seleccionados.
• Verá la política listada una vez que se haya agregado correctamente.



• Haga clic en Avanzado .
• Introduzca los siguientes detalles según sea necesario:

  El acceso de emergencia	Ingrese el token de acceso que se enviará a su URL de redireccionamiento después de que un usuario inicie sesión. Este token ayuda a su aplicación a saber que el usuario tiene permiso para acceder a ciertas funciones.
  Vencimiento del token de identificación (en minutos)	Establezca la duración (en minutos) de la validez del token de identificación. Transcurrido este tiempo, el usuario deberá volver a iniciar sesión para obtener un nuevo token.
  Asunto	Elige qué información, como la dirección de correo electrónico del usuario, se usará para identificarlo en el token. Esto ayuda a tu aplicación a saber qué usuario ha iniciado sesión.
  Algoritmo de firma	Seleccione su algoritmo de firma en el menú desplegable.
  La URL de cierre de sesión de su aplicación	Introduzca la dirección web a la que deben dirigirse los usuarios después de cerrar la sesión.
  Habilitar identidad compartida	Esta función le permite controlar si un usuario compartido puede acceder o no a una aplicación específica.




• Algoritmos de firma para JWT

RSA-SHA256

• Asimétrico, utiliza un conjunto de claves públicas y privadas para generar y validar la firma que se incluye en el token JWT.
• La clave privada se utiliza para generar la firma en el lado del IDP.
• La clave pública se utiliza para verificar la firma en el lado del SP.
• Proporcionamos la clave pública para esto.



HS256

• Simétrico, utiliza la misma clave secreta para generar y validar la firma.
• La clave secreta en este caso se puede configurar desde la página de configuración de la aplicación.
• Cambiar a Opciones de inicio de sesión .

  Proveedor de identidad principal	Seleccione la fuente de ID predeterminada en el menú desplegable de la aplicación. Si no se selecciona, los usuarios verán la pantalla de inicio de sesión predeterminada y podrán elegir su propio proveedor de identidad (IDP). [En este caso, seleccione miniOrange].
  Forzar autenticación	Si habilita esta opción, los usuarios tendrán que iniciar sesión cada vez, incluso si su sesión ya existe.
  Habilitar mapeo de usuarios	Habilite esta opción si desea que la aplicación muestre qué usuario ha iniciado sesión cuando responde.
  Mostrar en el panel del usuario final	Habilite esta opción si desea mostrar esta aplicación en el panel del usuario final.




• Cambiar a Atributos .
• Habilitar la opción de atributos multivalor:



• Al activar esta opción, tanto la coma (,) como el punto y coma (;) se consideran delimitadores. Cualquier atributo que contenga estos caracteres se dividirá automáticamente y se convertirá en un atributo multivalor según su posición.
• Esta función garantiza que los atributos con múltiples valores se entreguen en un formato estructurado en lugar de como una única cadena concatenada.
• Por ejemplo: Cuando esta opción está habilitada, los atributos aparecerán como una lista como roles = ['admin', 'editor', 'visor'] en lugar de una sola cadena como roles = "admin;editor;visor".
• Cuando esta opción es discapacitados, los atributos almacenados como una única cadena concatenada con comas (,) y punto y coma (;) se tratan de la misma manera en que se almacenan en lugar de una lista estructurada.
• En este caso, las comas (,) y los puntos y comas (;) no se tratan como separadores, por lo que los valores permanecen combinados en una cadena.
• Navegue a Endpoints y copia los siguientes detalles:



• URL de inicio de sesión único:
  • Esta URL se utiliza para iniciar la autenticación del usuario para obtener el token JWT.
  • Tome redirección_uri como uno de los parámetros de consulta.
  • Después de una autenticación exitosa en el lado del IDP, se crea una sesión de usuario activa en el IDP y el usuario es redirigido a redirigir_uri con el token JWT.
• URL de cierre de sesión única:
  • Esta URL se utiliza para cerrar la sesión del usuario en el IDP eliminando la sesión del usuario activo.
  • Tome redirección_uri como uno de los parámetros de consulta.
  • Después de eliminar la sesión del usuario activo, el IDP redirige al usuario a la redirección_uri.
• URL de respuesta para el cierre de sesión iniciado por el IdP:
  • Esta URL se utiliza para iniciar el cierre de sesión en caso de que el inicio de sesión del usuario JWT haya sido iniciado por IDP [El usuario inició sesión en el panel
    primero y luego inició el inicio de sesión para la aplicación desde el panel.]
  • Después de cerrar la sesión del usuario en el IDP, se redirige al usuario a la página de inicio de sesión del panel de IDP.

Referencias externas

• ¿Qué es la intermediación de identidad?
• Más información sobre SSO