Guía de implementación para el cliente de la verificación del usuario Shibboleth Versión 3.5

Transcripción

1 Guía de implementación para el cliente de la verificación del usuario Shibboleth Versión 3.5

2 TABLA DE CONTENIDOS Introducción... 1 Propósito y destinatarios... 1 Términos utilizados normalmente... 1 Descripción general de la verificación del usuario Shibboleth... 4 Qué es la verificación del usuario?... 4 Qué es Shibboleth?... 4 Shibboleth Federaciones... 5 Cómo funciona Shibboleth?... 6 Diagrama de experiencia del cliente... 7 Implementación Shibboleth de un vistazo... 7 Configure su IdP... 8 Metadatos e identificadores de entidad de Kivuto... 8 Atributos... 8 Configurar Shibboleth en su tienda web ELMS Configuración de Shibboleth como tipo de verificación de tienda web Configuración de la verificación Shibboleth Pestaña Detalles Pestaña Configuración Pestaña de Diagnóstico Procedimientos posteriores a la implementación Comprobación de la integración Comprobación del flujo de trabajo Validación Solución de problemas Restauración de roles administrativos Escenarios de implementación de Shibboleth Caso 1: Tienda web organizativa ELMS para un único miembro de la federación Caso 2: Tienda web departamental ELMS para un único miembro de la federación Caso 3: Tienda web integrada ELMS para un único miembro de la federación Caso 4: Tienda web ELMS para TODOS los miembros de una federación Verificación de usuario Shibboleth Guía de implementación para el cliente

3 Soporte técnico Verificación de usuario Shibboleth Guía de implementación para el cliente

4 Introducción Esta sección cubre las siguientes áreas: Propósito y destinatarios Términos utilizados normalmente PROPÓSITO Y DESTINATARIOS Este documento ofrece instrucciones detalladas para establecer un mecanismo de inicio de sesión único entre un proveedor de identidad Shibboleth de un cliente de Kivuto existente y una tienda web de ELMS de Kivuto. Este documento está dirigido principalmente a los administradores ELMS y al personal técnico que gestionen servicios de identidad para su organización. Lea este documento junto con la ayuda en línea que se encuentra disponible en el sitio web de la administración de e5. TÉRMINOS UTILIZADOS NORMALMENTE Término ELMS/e5 Definición/Descripción Sistema Electrónico de Administración de la Licencia Cliente Comprador Una organización que está utilizando Shibboleth para autenticar a los compradores para utilizar una tienda web ELMS. En el sitio web de administración de ELMS, un cliente se define como una organización. El usuario que está registrándose en una Tienda web de ELMS. Tienda web Tienda web organizacional Un sitio web de comercio en línea de ELMS de Kivuto que proporciona productos para la venta a nombre del cliente. Una tienda web asociada a un acuerdo de distribución de software en toda la organización (por ejemplo DreamSpark estándar). Todos los miembros de una organización son elegibles para solicitar software a través de tiendas web de este tipo. Verificación de usuario Shibboleth Guía de implementación para el cliente

5 Término Tienda web departamental Tienda web integrada Administración de ELMS Shibboleth IdP SP Identificador de entidad Definición/Descripción Una tienda web asociada a un acuerdo de distribución de software departamental (por ejemplo DreamSpark Premium). Solo los miembros de un departamento específico dentro de una organización son elegibles para solicitar software a través de tiendas web de este tipo. Una tienda web ELMS asociada con varios acuerdos de distribución de software, tanto en toda la organización como departamental. Todos los miembros de una organización entera pueden iniciar sesión en tiendas web de este tipo y serán elegibles para solicitar software ofrecido a través del acuerdo o acuerdos de toda la organización. Los miembros de los departamentos elegibles tendrán acceso al software que se ofrece a través del acuerdo o acuerdos de departamento. Módulo de administración segura de ELMS que contiene funciones para administrar una tienda web, así como para configurar la verificación de usuario. Únicamente los usuarios autorizados pueden acceder a este módulo. Desde "El sistema Shibboleth es un paquete de software libre basado en estándares que permite realizar un inicio de sesión único en la Web a través de los límites de la organización o dentro de ellos. Permite a los sitios web tomar decisiones de autorización fundamentadas para el acceso individual a recursos en línea protegidos de forma que se respete la privacidad". "Proveedor de Identidad". Software utilizado por una organización cuyos usuarios desean acceder a un servicio restringido. "Proveedor de servicio" Software que utiliza el proveedor que gestiona el servicio restringido (por ejemplo, Kivuto). Nombre único de una identidad (IdP) o un proveedor de servicios (SP) en una implementación Shibboleth. El valor EntityID de Kivuto es: Metadatos Atributos Código externo de la organización Datos de configuración que utilizan los proveedores de identidad (IdP) y de servicios (SP) para comunicarse entre ellos. Afirmaciones que realiza un proveedor de identidad (IdP) sobre una persona, como una dirección de correo electrónico o un identificador único. Código suministrado por una organización o su organización matriz para identificarlo durante las comunicaciones con un servicio de verificación de inicio de sesión único, como Shibboleth. Para tiendas web departamentales, un atributo que coincida con este código debe ser transmitido para limitar el acceso a los miembros del departamento elegible. Verificación de usuario Shibboleth Guía de implementación para el cliente

6 Término WAYF Definición/Descripción Siglas de los servicios de localización "Where Are You From" ( De dónde es?). Verificación de usuario Shibboleth Guía de implementación para el cliente

7 Descripción general de la verificación del usuario Shibboleth Esta sección cubre las siguientes áreas: Qué es la verificación del usuario? Qué es Shibboleth? Cómo funciona Shibboleth? o Diagrama de experiencia del cliente Implementación Shibboleth de un vistazo QUÉ ES LA VERIFICACIÓN DEL USUARIO? Verificación del usuario es el método por el cual se autentifica la elegibilidad de un usuario de la tienda web para pedir software. Solo los usuarios autenticados pueden solicitar software en su tienda web. El administrador de ELMS debe definir cómo se autentican sus usuarios. Esto se denomina métodos de verificación. Existen numerosos métodos de verificación que pueden utilizarse para autenticar a los usuarios, como el dominio de correo electrónico, la importación de usuarios, la verificación de usuario integrada (IUV) y Shibboleth (desde un programa de federación de identidades). QUÉ ES SHIBBOLETH? Shibboleth es un método de verificación de inicio de sesión única (SSO) que ha logrado ser adoptado de forma generalizada en todo el mundo. Las razones de este éxito varían desde sus orígenes como software libre a su modelo de protección de privacidad que ofrece a los usuarios individuales y organizaciones un gran control sobre la información personal que se muestra a terceros. Las federaciones y los grupos de organizaciones suelen utilizar Shibboleth. Por ejemplo, InCommon es una federación de organizaciones de Estados Unidos. La federación Canadian Access Federation es un grupo que ofrece servicios de Shibboleth a las instituciones educativas canadienses. Para aquellos que necesiten más información sobre Shibboleth, consulte el sitio web del proyecto en Verificación de usuario Shibboleth Guía de implementación para el cliente

8 Encontrará demostraciones paso a paso del proceso de inicio de sesión en SHIBBOLETH FEDERACIONES Los clientes que utilicen Shibboleth con ELMS deben pertenecer a una federación cuyo proveedor de servicios sea Kivuto. Ver Tabla 1 para obtener una lista de las federaciones apoyadas por Kivuto. Tabla 1: Lista de federaciones Federación INTERRUPTOR InCommon Canadian Access Federation (CAF) UK Federation WAYFDK SWAMID Haka Belnet Edugate DFN IDEM RENATER ACO País Suiza Estados Unidos Canadá Reino Unido Dinamarca Suecia Finlandia Bélgica Irlanda Alemania Italia Francia Austria Verificación de usuario Shibboleth Guía de implementación para el cliente

9 Federación GRNET GakuNin AAF País Grecia Japón Australia CÓMO FUNCIONA SHIBBOLETH? A continuación se muestran los pasos más comunes del inicio de sesión Shibboleth en una tienda web de ELMS. El comprador accede a la tienda web de ELMS: Cuando el comprador hace clic en el enlace de inicio de sesión o realiza una acción para la que sea necesaria la autenticación (por ejemplo, añadir un artículo a un carro de la compra), el software proveedor de servicios (SP) de Shibboleth integrado en la tienda web de ELMS redirige al comprador a la página de inicio de sesión del proveedor de identidad Shibboleth o, si es necesario, a un servicio de localización remoto (WAYF). El comprador elige una organización principal: este paso no suele ser necesario, pero está disponible para casos en los que acceda a la misma tienda web de ELMS más de un miembro de una federación. El servicio de localización ofrece al comprador una lista de organizaciones de la que puede elegir su organización principal. A continuación, lo redirige al sitio del cliente. El sitio del cliente autentica al comprador: El sitio del cliente solicita al comprador sus credenciales y autentica al usuario. El software de proveedor de identidad (IdP) Shibboleth del cliente coordina la autenticación. El proveedor de identidad (IdP) crea para el comprador el grupo básico de atributos que solicita Kivuto. A continuación, el sitio vuelve a dirigir al comprador a la tienda web de ELMS. La tienda Web de ELMS autentica al comprador: Los atributos asignados por el IdP del cliente se utilizan para crear un grupo de credenciales en la tienda web de ELMS (cuenta de usuario). De esta forma, se completa el proceso de verificación y se muestra la página original que había solicitado el comprador. Verificación de usuario Shibboleth Guía de implementación para el cliente

10 DIAGRAMA DE EXPERIENCIA DEL CLIENTE ELMS Localizaci ón (WAYF) IdP del cliente El comprador hace clic en el enlace Inicio de sesión ELMS procesa los atributos del comprador El comprador elige la organización principal (si es necesario) El comprador escribe el nombre de usuario y la El comprador comienza a comprar IMPLEMENTACIÓN SHIBBOLETH DE UN VISTAZO + + PRUEBE SU INTEGRACIÓN Configure su IdP. Asigna atributos a los identificadores de entidad de Kivuto Configura ELMS para que se comunique con tu IdP Verificación de usuario Shibboleth Guía de implementación para el cliente

11 Configure su IdP Esta sección cubre las siguientes áreas: Metadatos e identificadores de entidad de Kivuto Atributos METADATOS E IDENTIFICADORES DE ENTIDAD DE KIVUTO Si su organización actúa como proveedor de identidad (IdP) de una federación que utiliza Kivuto como proveedor de servicios, ambas se encontrarán en los metadatos publicados por la federación. El ID de entidad utilizado por Kivuto es: ATRIBUTOS Kivuto solicita, como mínimo, el grupo de afirmaciones de identidad que se muestra a continuación. Un identificador único para el comprador o Esto permite identificar al comprador en varios inicios de sesión. Una lista de afiliaciones a grupos o Esto otorga al comprador acceso a productos que son exclusivos para miembros de determinados grupos de usuarios. Por ejemplo, un producto puede estar solo disponible para los miembros del personal o del profesorado. Se pueden llevar a cabo afirmaciones de identidad adicionales (omitidas durante la integración) para personalizar aún más la tienda web de ELMS para los usuarios. Si desea obtener una lista de atributos, consulte la Tabla 2: Atributos que se muestra a continuación. Nota: Los atributos que se deben transmitir dependen del escenario de implementación. Consulte Escenarios de implementación de Shibboleth para determinar qué atributos son necesarios para su implementación. Verificación de usuario Shibboleth Guía de implementación para el cliente

12 Tabla 2: Atributos Atributo edupersontargetedid urn:mace:dir:attribute-def:edupersontargetedid: urn:oid: Descripción Identificador único de usuario. Si no queda claro, es aconsejable utilizar la opción para ocultar el nombre de usuario (consulte la Tabla 3: Configuración). persistent ID (SAML 2.0) urn:oasis:names:tc:saml:2.0:nameid-format:persistent uid urn:mace:dir:attribute-def:uid urn:oid: SwissEP_UniqueID urn:mace:switch.ch:attribute-def:swissedupersonuniqueid urn:oid: edupersonprincipalname urn:mace:dir:attribute-def:edupersonprincipalname urn:oid: Identificador único de usuario. Identificador único de usuario. Identificador único de usuario (SWITCHaai). Identificador único de usuario. Se puede utilizar junto con otros identificadores únicos, en cuyo caso edupersonprincipalname será el nombre de usuario y el otro identificador se utilizará como el identificador de miembro en la verificación de usuario. edupersonscopedaffiliation urn:mace:dir:attribute-def:edupersonscopedaffiliation urn:oid: Otorga elegibilidad a un usuario a través de la pertenencia a un grupo de usuarios. Los valores de atributo se asignan a los grupos de usuarios de la siguiente forma: Importante: Este atributo y los valores predeterminados disponibles deben ser aprobados por organizaciones académicas. Probablemente, las organizaciones corporativas necesiten aprobar diferentes parámetros para indicar la elegibilidad de sus usuarios. Consulte al administrador de su cuenta para obtener más detalles. student-> Estudiantes faculty -> Profesorado staff -> Personal employee -> Profesorado/Personal member -> Estudiantes/Profesorado/Personal edupersonaffiliation urn:mace:dir:attribute-def:edupersonaffiliation urn:oid: edupersonprimaryaffiliation urn:mace:dir:attribute-def:edupersonprimaryaffiliation urn:oid: Otorga elegibilidad al usuario. La asignación es la misma que la del atributo de ámbito. Otorga elegibilidad al usuario. La asignación es la misma que la del atributo de ámbito. Verificación de usuario Shibboleth Guía de implementación para el cliente

13 Atributo ismemberof urn:mace:dir:attribute-def:ismemberof urn:oid: Descripción Se utiliza para la asignación de organizaciones o grupos de usuarios personalizados. Contiene varios valores. Utilice coma o punto y coma para separarlos. Los valores se pueden calificar, por ejemplo, urn:mace:example.edu:groups:groupcode. La última parte de los valores calificados se utiliza para buscar coincidencias con los códigos del sistema. Para los grupos de usuarios, se buscarán coincidencias de los valores en los campos Código de grupo de usuarios, disponibles en el sitio web de administración de e5, en la sección Usuarios» Grupos de usuarios. Cuando coincide, al usuario se le otorga la membresía en el grupo correspondiente. Para las organizaciones, los valores se comparan con el Código de organización externa (que se puede encontrar en la página de la Organización del sitio web de la Administración ELMS una vez que se haya proporcionado a Kivuto) para la organización con tienda web o cualquiera de sus organizaciones afiliadas. Cuando se encuentre una coincidencia, se creará una verificación de usuario para el usuario que la vincule a la organización con cualquier grupo de usuarios. Este atributo se puede utilizar, por ejemplo, para especificar que un usuario es miembro de un departamento determinado. Nota: Las organizaciones con tiendas web departamentales deben aprobar un atributo utilizado para la asignación de organización que coincida con el Código de organización externa. Verificación de usuario Shibboleth Guía de implementación para el cliente

14 Atributo edupersonentitlement urn:mace:dir:attribute-def:edupersonentitlement SAML2: urn:oid: Descripción Se utiliza para la asignación de organizaciones o grupos de usuarios personalizados. Consulte ismemberof para obtener más detalles sobre cómo se asignan los valores. Los valores son URIs, bien URNs o URLs. Se podrá utilizar cualquier URN válido (por ejemplo, urn:mace:school.edu:exampleresource). Tanto todo el valor URN (urn:mace:school.edu:exampleresource) como la parte de la cadena específica del nombreespacio (exampleresource) se compararán con las asignaciones de la organización y del grupo. Solo se pueden usar URL con la forma Estos no están destinados a ser resolubles. La parte de valor ([code]) se compara con los mapeos de la organización y del grupo. Nota: Las organizaciones con tiendas web departamentales deben aprobar un atributo utilizado para la asignación de organización que coincida con el Código de organización externa. ou urn:mace:dir:attribute-def:ou urn:oid: Se utiliza para la asignación de organizaciones. Contiene varios valores. Se debe utilizar coma o punto y coma para separarlos. Los valores se comparan con el Código de organización externa (que se puede encontrar en la página de la Organización de la página web de la Administración ELMS una vez se haya proporcionado a Kivuto). Cuando se encuentre una coincidencia, se creará una verificación de usuario para el usuario que la vincule a la organización con cualquier grupo de usuarios. Este atributo se puede utilizar, por ejemplo, para especificar que un usuario es miembro de un departamento determinado. Nota: Las organizaciones con tiendas web departamentales deben aprobar un atributo utilizado para la asignación de organización que coincida con el Código de organización externa. Verificación de usuario Shibboleth Guía de implementación para el cliente

15 Atributo edupersonorgunitdn urn:mace:dir:attribute-def:edupersonorgunitdn urn:oid: Descripción Se utiliza para la asignación de organizaciones. Nombres distintivos de las entradas del directorio que representan a la unidad organizativa del usuario. Contiene varios valores. Se debe utilizar el carácter (" ") para separarlos. Los valores deben tener forma de nombre de dominio, por ejemplo, ou=pociones o=hogwarts, dc=hsww, dc=wiz. En el ejemplo, Pociones sería el valor analizado y se buscarían coincidencias en los campos Código externo de la organización (consulte ou). Nota: Las organizaciones con tiendas web departamentales deben aprobar un atributo utilizado para la asignación de organización que coincida con el Código de organización externa. Surname urn:mace:dir:attribute-def:sn urn:oid: Apellido del usuario. givenname urn:mace:dir:attribute-def:givenname urn:oid: Nombre del usuario. mail urn:mace:dir:attribute-def:mail urn:oid: homeorganization urn:mace:switch.ch:attribute-def:swissedupersonhomeorganization urn:oid: homeorganizationtype urn:mace:switch.ch:attributedef:swissedupersonhomeorganizationtype urn:oid: Dirección de correo electrónico del usuario. Organización a la que pertenece el usuario (SWITCHaai). Tipo de organización a la que pertenece el usuario. Es obligatorio especificar un valor de "universidad" o de "uas" para conceder al usuario la elegibilidad académica (SWITCHaai). Verificación de usuario Shibboleth Guía de implementación para el cliente

16 Configurar Shibboleth en su tienda web ELMS Esta sección cubre las siguientes áreas: Configuración de Shibboleth como tipo de verificación de tienda web Configuración de la verificación Shibboleth o Detalles o Configuraciones o Diagnósticos Importante: Todas las tareas que se describen en esta sección deben ser realizadas por un administrador registrado y activo de ELMS mientras se inicie sesión en el sitio de administración ELMS ( Necesitará el número de la cuenta de su organización y un nombre de usuario válido y contraseña para iniciar sesión. CONFIGURACIÓN DE SHIBBOLETH COMO TIPO DE VERIFICACIÓN DE TIENDA WEB Antes de poder configurar Shibboleth para trabajar con su tienda web ELMS debe definir Shibboleth como un tipo de verificación. Para configurar Shibboleth como un tipo de verificación: 1. En el sitio de Administración e5, haga clic en: Tienda web. 2. haga clic en la pestaña Verificación Se abrirá la lista con los tipos de verificación configurados actualmente. Es posible que cuando se implementó su tienda web se configurase de forma predeterminada la verificación de importación de usuarios o de otro tipo. 3. Haga clic en la casilla de verificación al lado de cualquier tipo de verificación que no sea Shibboleth y luego haga clic en el botón Eliminar (o haga clic en el enlace Desactivar en la columna Acciones junto a cualquier tipo de verificación que no sea Shibboleth). 4. Haga clic en el botón Añadir. Se abrirá una ventana nueva. 5. Haga clic en la casilla de verificación junto a Shibboleth. 6. Haga clic en el botón Aceptar para guardar la selección. Verificación de usuario Shibboleth Guía de implementación para el cliente

17 CONFIGURACIÓN DE LA VERIFICACIÓN SHIBBOLETH Una vez se haya definido Shibboleth como tipo de verificación para su organización, deberá configurarlo. Para configurar Shibboleth: 1. En el menú principal, acceda a Tienda web: 2. haga clic en la pestaña Verificación 3. Haga clic en el enlace Shibboleth. Se abrirá una ventana nueva con dos pestañas: Detalles y configuraciones. PESTAÑA DETALLES Generalmente no es necesario, ni aconsejable, cambiar los valores por defecto de los campos de esta pestaña. Tenga cuidado si modifica los valores predeterminados de Sector y de Las verificaciones caducan en. Si se modifican estos valores, se podría anular la implementación, con lo que los usuarios finales no podrían iniciar sesión en la tienda web de ELMS. PESTAÑA CONFIGURACIÓN En la página de configuración se define toda la información del cliente (organización) que requiere Kivuto. Consulte la Tabla 3: Configuración. Nota: La configuración necesaria depende del escenario de implementación. Consulte Escenarios de implementación de Shibboleth para determinar qué configuraciones son necesarias para su implementación. Tabla 3: Configuraciones Información Usuario de confianza Descripción Lista de las federaciones de las que Kivuto es miembro (por ejemplo, InCommon, SWITCHaai). Verificación de usuario Shibboleth Guía de implementación para el cliente

18 Información Identificador de entidad del proveedor de identidad Descripción Los servicios de localización (WAYF) de la federación se pueden omitir si se proporciona un valor para esta configuración. Si la tienda web es específica de un único IdP, este valor se considerará obligatorio. El valor debe ser exactamente igual que el incluido en los metadatos. Por ejemplo: urn:mace:incommon:myorg.edu or Dirección de correo electrónico del Administrador de IUV Ocultar el nombre de usuario Dirección de correo electrónico de la persona (o lista de distribución) que recibirá los mensajes de error de ELMS. Si selecciona esta opción, el identificador único de usuario no aparecerá en varios sitios de la interfaz de usuario de la tienda web. Esto resulta útil cuando no se proporciona un nombre de usuario apropiado para la pantalla (por ejemplo, un identificador único global) como parte del conjunto de atributos asignados por el IdP. URL de redireccionamiento del cierre de sesión URL a la que se redirigirá a un usuario cuando cierre la sesión de la tienda web y del proveedor de servicios de Shibboleth. Si este campo se deja vacío, al cerrar sesión, el usuario permanecerá en la tienda web y aparecerá un mensaje parecido al siguiente: "Se ha cerrado la sesión de este sitio web, pero la sesión del sistema de inicio de sesión único continúa abierta. Si quiere cerrar sesión por completo, DEBE cerrar el navegador. Habilitar modo diagnóstico Cuando está habilitado, los datos de estado del servidor se capturan para cada intento de inicio de sesión, y los más recientes de ellos se pueden ver en la pestaña de Diagnóstico. Consulte la sección Resolución de problemas que se encuentra bajo Comprobación de la integración. Verificación de usuario Shibboleth Guía de implementación para el cliente

19 Información Limitación del alcance de la elegibilidad Descripción Si se selecciona, los atributos de elegibilidad (por ejemplo, edupersonscopedaffiliation) solo se procesarán para usuarios cuyos atributos complementarios contengan información de asignación de la organización (ou, edupersonorgunitdn, ismemberof o edupersonentitlement). Si no se selecciona, los atributos de elegibilidad se procesarán para todos los usuarios. Si aparecen atributos complementarios de asignación de la organización, se concederá a los usuarios la pertenencia a las organizaciones correspondientes. De lo contrario, se les concederá la pertenencia a la organización de la tienda web. Tras iniciar sesión, estos datos se pueden ver si se examinan los registros de verificación de usuario correspondientes (Users» [select user]» Verifications). Nota: Esta opción se debe seleccionar si está configurando Shibboleth para una tienda web puramente departamental para que se otorgue elegibilidad solo a los miembros del departamento correspondiente. Esta es la única vez que se debe seleccionar esta opción. PESTAÑA DE DIAGNÓSTICO La pestaña de Diagnóstico muestra los datos capturados durante los últimos intentos de inicio de sesión. No se mostrará nada a menos que el modo de Diagnóstico esté habilitado a través de la página de Configuración (consulte la Tabla 3: Configuración). Para obtener más detalles sobre lo que se muestra, consulte la sección Solución de problemas bajo Comprobación de la integración. Verificación de usuario Shibboleth Guía de implementación para el cliente

20 Procedimientos posteriores a la implementación En esta sección se describen los pasos que deben realizarse después de que se haya completado la integración. Estos incluyen: Comprobación de la integración Restauración de roles administrativos COMPROBACIÓN DE LA INTEGRACIÓN COMPROBACIÓN DEL FLUJO DE TRABAJO A continuación se presentan los pasos comunes necesarios para probar su aplicación. 1. Configure su IdP. 2. Configure su tienda web de ELMS. 3. Inicie el proceso de autenticación desde su tienda web de ELMS. Si ya ha iniciado sesión en el sitio de administración, deberá cerrar la sesión o utilizar un navegador diferente. Si el tipo de verificación de Shibboleth está en estado de prueba, tendrá que usar la URL de prueba que se encuentra en Tienda web» Verificación que habilita los métodos de verificación de prueba al acceder a su tienda web. 4. Obtenga la autenticación mediante su IdP y asegúrese de haber iniciado sesión correctamente en su tienda web de ELMS. 5. Valide los datos creados para el usuario en su tienda web de ELMS tal como se describe en la siguiente sección. 6. Cuando todo funcione según lo esperado, póngase en contacto con Kivuto para continuar. VALIDACIÓN Después de que la autenticación se haya completado adecuadamente, resulta útil ver un perfil de usuario para asegurarse de que toda la información de personalización y los grupos de elegibilidad esperados se hayan configurado correctamente. Desde la tienda web ELMS: 1. Haga clic en el enlace Su cuenta/pedidos encima del banner de la página. Verificación de usuario Shibboleth Guía de implementación para el cliente

21 2. Haga clic en el enlace Detalles de la cuenta. Aparecerá toda la información de personalización que se haya transferido. 3. Regrese a la página Su cuenta/pedidos y haga clic en el enlace Su elegibilidad para ver los grupos de elegibilidad a los que se ha asignado su cuenta. Desde el sitio de administración ELMS: 1. En el menú principal, acceda a Usuarios: 2. Busque el usuario deseado y haga clic en el nombre de usuario para acceder a la página de detalles. Aparecerá toda la información de personalización que se haya transferido. 3. Haga clic en la pestaña Verificaciones Para cada autenticación que se haya realizado correctamente habrá una entrada que contenga la lista de grupos de elegibilidad esperados. SOLUCIÓN DE PROBLEMAS Si llega a tener problemas durante la autenticación, o si la información de elegibilidad o personalización no fue creado como se espera para los usuarios, entonces puede ser útil habilitar el modo de diagnóstico (consulte Tabla 3). Los datos obtenidos durante los intentos de inicio de sesión recientes, hayan sido realizados correctamente o no, se mostrarán en la pestaña de diagnósticos Shibboleth. Al hacer clic en un intento de inicio de sesión individual llegamos a la página de Detalles con las siguientes secciones: Usuario o Nombre de usuario, nombre y apellidos, dirección de correo electrónico. Vaciar los intentos fallidos. Verificaciones de usuario o Para cada organización el usuario se mapeó a (a través de ou, ismemberof, etc), la verificación de usuario correspondiente, junto con el identificador de miembro único, la fecha de caducidad de la verificación, y los miembros de los grupos de usuarios. Vaciar los intentos fallidos. Variables del servidor Shibboleth o Las variables de servidor IIS que formaban parte de la sesión de Shibboleth activa durante el intento de inicio de sesión. Si los atributos esperados no se muestran aquí, entonces el servidor Shibboleth los ha descartado debido a un formato de valor o mapeo no soportado. Para un desglose de cómo se asignan las entradas en la sección Variables de servidor Shibboleth a los atributos Shibboleth, consulte Tabla 4: Variables Verificación de usuario Shibboleth Guía de implementación para el cliente

22 del servidor Shibboleth. Otras variables del servicio o Otras variables del servidor IIS activo durante el intento de inicio de sesión. Quizás no sea muy útil pero se presenta en caso de que una variable no se haya clasificado correctamente, y se incluye en la sección de Shibboleth arriba. Tabla 4: Variables del servidor Shibboleth Nombre de la variable HTTP_TARGETEDID HTTP_PERSISTENTID HTTP_AFFILIATION HTTP_ISMEMBEROF HTTP_ACADEMICCAREER HTTP_PRINCIPALNAME HTTP_GIVENNAME HTTP_MAIL HTTP_SURNAME HTTP_UID Nombre de atributo(s) edupersontargetedid urn:oid: urn:oasis:names:tc:saml:2.0:nameid-format:persistent urn:mace:dir:attribute-def:edupersonaffiliation urn:oid: urn:mace:dir:attribute-def:edupersonscopedaffiliation urn:oid: urn:mace:dir:attribute-def:edupersonprimaryaffiliation urn:oid: urn:mace:dir:attribute-def:ismemberof urn:oid: urn:mace:dir:attribute-def:academiccareer rn:oid: urn:mace:dir:attribute-def:edupersonprincipalname urn:oid: urn:mace:dir:attribute-def:givenname urn:oid: urn:mace:dir:attribute-def:mail urn:oid: urn:mace:dir:attribute-def:sn urn:oid: urn:mace:dir:attribute-def:uid urn:oid: urn:mace:dir:attribute-def:employeenumber urn:oid: ,3 Verificación de usuario Shibboleth Guía de implementación para el cliente

23 Nombre de la variable HTTP_ENTITLEMENT HTTP_OU HTTP_ORGUNITDN HTTP_UNIQUEID HTTP_HOMEORGANIZATION HTTP_HOMEORGANIZATIONTYPE HTTP_STUDYBRANCH1 HTTP_STUDYBRANCH2 Nombre de atributo(s) urn:mace:dir:attribute-def:edupersonentitlement urn:oid: urn:mace:dir:attribute-def:ou urn:oid: urn:mace:dir:attribute-def:edupersonorgunitdn urn:oid: urn:mace:switch.ch:attribute-def:swissedupersonuniqueid urn:oid: urn:mace:switch.ch:attribute-def:swissedupersonhomeorganization urn:oid: urn:mace:switch.ch:attribute-def:swissedupersonhomeorganizationtype urn:oid: urn:mace:switch.ch:attribute-def:swissedupersonstudybranch1 urn:oid: urn:mace:switch.ch:attribute-def:swissedupersonstudybranch2 1. urn:oid: HTTP_STUDYBRANCH3 HTTP_STUDYLEVEL urn:mace:switch.ch:attribute-def:swissedupersonstudybranch3 urn:oid: urn:mace:switch.ch:attribute-def:swissedupersonstudylevel urn:oid: RESTAURACIÓN DE ROLES ADMINISTRATIVOS La implementación de Shibboleth crea una cuenta nueva para cada usuario de su tienda web. Cuando el nuevo nombre de usuario de un usuario no coincide con su antiguo nombre de usuario, los roles administrativas no se pasan de la antigua cuenta a la nueva. Como resultado, algunos de los administradores de sus tiendas virtuales pueden descubrirque no pueden acceder al sitio de administración ELMS cuando firman con su nueva cuenta de Shibboleth. Los administradores afectados tienen dos opciones si desean seguir actuando con todas sus capacidades administrativas anteriores. Verificación de usuario Shibboleth Guía de implementación para el cliente

24 1. Póngase en contacto con el equipo de asistencia de DreamSpark y solicite que los roles administrativos asociados a su anterior cuenta serán asignados a su nueva cuenta. Nota: En función del rol solicitado, puede que la solicitud tenga que venir del administrador principal de su tienda web (es decir, la persona a cuyo nombre se emite la suscripción DreamSpark de su organización). 2. Prosiga con el inicio de sesión utilizando sus antiguas credenciales de cuenta en lugar de a través de Shibboleth. Esto se puede hacer a través del portal de inicio de sesión del administrador en: e5.onthehub.com/admin. Verificación de usuario Shibboleth Guía de implementación para el cliente

25 Escenarios de implementación de Shibboleth La naturaleza de su organización, tienda web y el acuerdo de distribución de software determinará cuál de los atributos descritos en Tabla 2 son exigidos en Kivuto y cuál de las configuraciones descritas en Tabla 3 se deben configurar con el fin de implementar correctamente la verificación Shibboleth. En esta sección se describen los escenarios de implementación Shibboleth más comunes y resume los requisitos de implementación únicos de cada uno. Caso 1: Tienda web organizativa ELMS para un único miembro de la federación Caso 2: Tienda web departamental ELMS para un único miembro de la federación Caso 3: Tienda web integrada ELMS para un único miembro de la federación Caso 4: Tienda web de ELMS para TODOS los miembros de una federación CASO 1: TIENDA WEB ORGANIZATIVA ELMS PARA UN ÚNICO MIEMBRO DE LA FEDERACIÓN En este caso, se despliega una tienda web ELMS para un único miembro de la federación (organización) en virtud de un acuerdo de toda la organización (por ejemplo DreamSpark Standard). La organización está integrada directamente en la federación sin que los usuarios tengan que elegir su organización a través de la utilización de los servicios de localización (WAYF). Los requisitos de implementación para el caso 1 son los siguientes. Consulte Tabla 2 y Tabla 3 para una descripción de cada atributo y configuración en la lista, y para atributos/configuraciones adicionales. Requisitos de atributos: Identificador único de usuario. Por ejemplo: edupersontargetedid ID persistente UID edupersonprincipalname Identificador de elegibilidad (grupo de usuarios) para un usuario. Por ejemplo: edupersonscopedaffiliation edupersonaffiliation edupersonprimaryaffiliation ismemberof (para grupos de usuarios personalizado) Requisitos de configuración de ELMS: En la página de configuración de la verificación de la tienda web e5: Seleccione su federación en la lista desplegable de confianza. Identifique su proveedor de servicios de descubrimiento en el campo ID de entidad proveedor de identidad. Proporcione una dirección de correo electrónico de administrador IUV. Verificación de usuario Shibboleth Guía de implementación para el cliente

26 edupersonentitlement (para grupos de usuarios personalizado) CASO 2: TIENDA WEB DEPARTAMENTAL ELMS PARA UN ÚNICO MIEMBRO DE LA FEDERACIÓN En este caso, una tienda web ELMS se despliega para un departamento específico de un miembro de la federación (organización) en virtud de un acuerdo de departamento (por ejemplo DreamSpark Premium). Importante: Un parámetro que coincide con el Código de organización externa del departamento debe ser proporcionada en este caso para que se restrinja el acceso a los miembros del departamento elegible. Los requisitos de implementación para el caso 2 son los siguientes. Consulte Tabla 2 y Tabla 3 para una descripción de cada atributo y configuración en la lista, y para atributos/configuraciones adicionales. Requisitos de atributos: Identificador único de usuario. Por ejemplo: edupersontargetedid ID persistente UID edupersonprincipalname Identificador de elegibilidad (grupo de usuarios) para un usuario. Por ejemplo: edupersonscopedaffiliation edupersonaffiliation edupersonprimaryaffiliation ismemberof (para grupos de usuarios personalizado) edupersonentitlement (para grupos de usuarios personalizado) Identificador de organización (departamento) configurado para que coincida con el Código de organización externa apropiado.** Por ejemplo: ismemberof edupersonorgunitdn ou Requisitos de configuración de ELMS: En la página de configuración de la verificación de la tienda web e5: Seleccione su federación en la lista desplegable de confianza. Identifique su proveedor de servicios de descubrimiento en el campo ID de entidad proveedor de identidad. Proporcione una dirección de correo electrónico de administrador IUV. Seleccione la opción Restringir alcance de elegibilidad para restringir la elegibilidad a los miembros del departamento apropiado. (Nota: Este es el único escenario en el que se selecciona esta opción.) Verificación de usuario Shibboleth Guía de implementación para el cliente

27 CASO 3: TIENDA WEB INTEGRADA ELMS PARA UN ÚNICO MIEMBRO DE LA FEDERACIÓN En este escenario, una tienda web ELMS integrada (es decir, una tienda web que combina acuerdos organizativos y departamentales, por lo que algunos usuarios tienen derecho a acceder a todas las ofertas, mientras que otros solo tienen derecho a acceder a algunas ofertas) se despliega para un único miembro de la federación (organización). Los requisitos de implementación para el caso 3 son los siguientes. Consulte Tabla 2 y Tabla 3 para una descripción de cada atributo y configuración en la lista, y para atributos/configuraciones adicionales. Requisitos de atributos: Identificador único de usuario. Por ejemplo: edupersontargetedid ID persistente UID edupersonprincipalname Identificador de elegibilidad (grupo de usuarios) para un usuario. Por ejemplo: edupersonscopedaffiliation edupersonaffiliation edupersonprimaryaffiliation ismemberof (para grupos de usuarios personalizado) edupersonentitlement (para grupos de usuarios personalizado) Identificador de organización (departamento) configurado para que coincida con el Código de organización externa apropiado.** Por ejemplo: ismemberof edupersonorgunitdn ou Requisitos de configuración de ELMS: En la página de configuración de la verificación de la tienda web e5: Seleccione su federación en la lista desplegable de confianza. Identifique su proveedor de servicios de descubrimiento en el campo ID de entidad proveedor de identidad. Proporcione una dirección de correo electrónico de administrador IUV. **Nota: Si no se transmite un valor que coincida con un código de organización externa de un departamento, el usuario seguirá siendo capaz de iniciar sesión, pero solo tendrá acceso a los productos que se ofrecen a través del programa de organización. Verificación de usuario Shibboleth Guía de implementación para el cliente

28 CASO 4: TIENDA WEB ELMS PARA TODOS LOS MIEMBROS DE UNA FEDERACIÓN Este escenario afecta a una tienda web ELMS implantada para TODOS los miembros de una federación. Durante el proceso de inicio de sesión, la tienda web dirige al usuario a un sitio web de servicios de localización (WAYF) donde escogerán la organización a la cual pertenecen. Los requisitos de implementación para el caso 4 son los siguientes. Consulte Tabla 2 y Tabla 3 para una descripción de cada atributo y configuración en la lista, y para atributos/configuraciones adicionales. Requisitos de atributos: Identificador único de usuario. Por ejemplo: edupersontargetedid ID persistente UID edupersonprincipalname Identificador de elegibilidad (grupo de usuarios) para un usuario. Por ejemplo: edupersonscopedaffiliation edupersonaffiliation edupersonprimaryaffiliation ismemberof (para grupos de usuarios personalizado) edupersonentitlement (para grupos de usuarios personalizado) Requisitos de configuración de ELMS: En la página de configuración de la verificación de la tienda web e5: Seleccione su federación en la lista desplegable de confianza. NO introduzca un valor en el campo ID entidad proveedor de identidad (se utilizarán en su lugar los servicios de localización). Proporcione una dirección de correo electrónico de administrador IUV. Verificación de usuario Shibboleth Guía de implementación para el cliente

29 Soporte técnico Si tiene algún problema al configurar Shibboleth para ELMS o necesita asistencia técnica, envíe un correo electrónico a shibboleth_support@kivuto.com. Asegúrese de incluir en el correo electrónico la información que se muestra a continuación: Nombre del cliente Nombre de contacto Correo electrónico de contacto Teléfono de contacto Número de cuenta de ELMS Descripción detallada del problema o solicitud para la información Verificación de usuario Shibboleth Guía de implementación para el cliente