Inicio de sesión único SAML en Joomla utilizando RSA SecurID
Resumen
El complemento SAML SP SSO de miniOrange para Joomla le ayuda a integrar su sitio Joomla con RSA SecurID mediante el protocolo SAML 2.0. Nuestro complemento fácil de usar simplifica el proceso de configuración del inicio de sesión único (SSO) con RSA SecurID en Joomla, lo que garantiza una experiencia de inicio de sesión segura. Esto permite a los usuarios acceder a varios sitios Joomla sin esfuerzo utilizando sus credenciales de IDP RSA SecurID.
Nuestro complemento está diseñado para ser compatible con Joomla 3, 4 y 5 y funciona sin problemas con todos los proveedores de identidad compatibles con SAML 2.0. Para obtener una descripción detallada de las funciones integrales que ofrece el complemento Joomla SAML SP, visite nuestra página aquí. A continuación, proporcionamos una guía paso a paso sobre cómo configurar el inicio de sesión SSO SAML entre su sitio Joomla y RSA SecurID, con RSA SecurID como proveedor de identidad (IDP) y Joomla como proveedor de servicios (SP).
Pasos de configuración
En esta configuración, RSA Secur ID sirve como repositorio para almacenar usuarios, es decir, actuará como IDP mientras Joomla es donde los usuarios iniciarán sesión usando sus credenciales de RSA SecurID donde Complemento de inicio de sesión único (SSO) de Joomla SAML SP será instalado.
Paso 1: Instalar el complemento Joomla SAML SP
- Inicie sesión en su sitio Joomla Administradora consola.
- Desde el menú de alternancia de la izquierda, haga clic en Sistema, luego en la sección Instalar haga clic en Prórrogas de tiempo para presentar declaraciones de impuestos.
- Ahora haga clic en O buscar archivo para localizar e instalar el archivo del complemento descargado anteriormente.
- La instalación del complemento se realizó correctamente. Ahora haga clic en Comenzar!
- Vaya a la Metadatos del proveedor de servicios pestaña, aquí puedes encontrar el URL de metadatos, descargar el archivo XML de metadatos, o puedes copiar el ID de entidad y URL de ACS .
Paso 2: Configurar RSA SecurID como IDP (proveedor de identidad)
- Inicie sesión en RSA SecurID como superadministrador.
- En la Consola de administración, haga clic en Aplicación → Catálogo de aplicaciones.
- Haga clic en Crear desde plantilla botón en la esquina superior derecha.
- Junto a la pestaña SAML directo, haga clic en Seleccionar en la página Elegir plantilla de conector. Aparecerá el asistente Agregar conector.
- Llene la información requerida en el Información básica Página del asistente para agregar conector:
- Nombre: Nombre de la aplicación, por ejemplo, el complemento miniOrange.
- Descripción (opcional): Descripción de su aplicación.
- Deshabilitado [casilla de verificación] (opcional): seleccione esta opción solo si desea que esta aplicación no esté disponible para los usuarios. Cuando está deshabilitada, la aplicación aparece en Mi aplicación, pero no aparece en el portal de aplicaciones de RSA.
- Haga clic en Siguiente Botón de paso.
- Complete la información requerida en la página Perfil de conexión.
Perfil de conexión:
- Sube el archivo de metadatos del complemento miniOrange y haz clic en el botón Importar metadatos. Puedes descargarlo desde la pestaña de información del proveedor de servicios del complemento.
- Verifique las URL configuradas y haga clic en el botón Guardar en la esquina superior derecha de la ventana emergente.
Iniciar flujo de trabajo SAML:
- Seleccionar Iniciado por SP, si desea que el SSO se invoque desde la Aplicación o seleccione Iniciado por IDP, si desea que el usuario primero inicie sesión en RSA y luego acceda a la Aplicación desde su Panel de RSA.
- Configure la URL base de su aplicación o puede dejarla en blanco si se selecciona Iniciada por IDP.
- Seleccione el tipo de enlace: POST y Firmado Comprobado.
Proveedor de identidad SAML (emisor):
- Cargue la clave pública y privada que se utilizará para firmar la respuesta SAML o puede generar un nuevo par de claves haciendo clic en el botón Generar paquete de certificados.
- (Opcional) Active la casilla de verificación para Incluir certificado en la aserción saliente.
Proveedor de servicios:
- La URL del servicio de consumidor de aserciones y la URL de audiencia deben estar preconfiguradas si ha cargado los metadatos del complemento en la sección Perfil de conexión. De lo contrario, puede encontrar las URL necesarias en la pestaña Información del proveedor de servicios del complemento SAML miniOrange y actualizar la URL aquí.
Identidad de usuario:
- Configure la información de NameID que identifica al usuario en cuyo nombre se genera la aserción SAML.
Configuración avanzada: extensión de atributos
- Configure información de usuario adicional que se enviará a la aplicación en la respuesta SAML, por ejemplo, nombre de usuario, correo electrónico, nombre para mostrar, grupos, etc.
Configuración avanzada: respuesta SAML de formato poco común
- Firmar la Afirmación saliente: - Afirmación dentro de la Respuesta.
- Cifrar afirmación (opcional): si está marcada, debe cargar el certificado público del complemento miniOrange y puede descargarlo desde la pestaña Información del proveedor de servicios del complemento.
- Enviar URL codificada sin marcar en la afirmación.
- La opción marcada incluye el formato NameID del emisor y selecciona el formato NameID como Sin especificar.
- Guarde la configuración y pase a la página siguiente, es decir, a la página de Acceso de usuario.
- Defina el acceso a la aplicación en la página Acceso de usuario.
- Configure los ajustes de visualización de la aplicación para los usuarios finales de RSA, como el ícono de la aplicación, etc., y guarde los ajustes.
- Ahora, en la Consola de administración, haga clic en Aplicación -> Mi aplicación.
- Encuentra la aplicación que has configurado y haz clic en Editar -> Exportar metadatosMantenga los metadatos a mano, ya que serán necesarios para configurar el complemento miniOrange.
- Haga clic en Publicar cambios en la esquina superior izquierda de la Consola de administración RSA para publicar esta configuración y activarla inmediatamente.
Paso 3: Configurar Joomla como SP (Proveedor de servicios)
En el plugin SAML de Joomla, vaya a la pestaña Configuración del proveedor de servicios y, a continuación, haga clic en Agregar nuevo IDPExisten 3 formas de configurar el IdP:
A. Al cargar metadatos de IDP:
- En el complemento SAML de Joomla, vaya a Configuración del proveedor de servicios pestaña, aquí haga clic en la Seleccionar archivo botón para seleccionar el archivo de metadatos y, a continuación, haga clic en el Cargar .
B. Por URL de metadatos:
- entrar: URL de metadatos (Copiar de la aplicación IDP) y hacer clic en Obtener metadatos .
C. Configuración manual:
- Copiar ID de entidad SAML, URL de punto final de inicio de sesión único SAML y certificado X.509 del documento de metadatos de la Federación y péguelo en ID de entidad del proveedor de identidad, URL de inicio de sesión único, certificado X.509 campos respectivamente en el complemento.
| ID de entidad del proveedor de identidad | ID de entidad SAML en el documento de metadatos de federación |
| URL de inicio de sesión único | URL del punto final de inicio de sesión único de SAML en el documento de metadatos de federación |
| Valor del certificado X.509 | Certificado X.509 en el documento de Metadatos de Federación |
Paso 4: Configuración de prueba
- Haga clic en Guardar para almacenar su configuración. Una vez guardada, el IDP configurado aparecerá en el Lista de desplazados internosdonde puedes copiar el URL de inicio de sesión único o bien, gestione la configuración editando el IDP configurado o eliminándolo según sea necesario.
- Finalmente, pruebe la configuración haciendo clic en el Prueba Botón. En la ventana de prueba exitosa, verá los atributos recibidos de su IDP, lo que le permitirá verificar que la configuración funciona correctamente.
Paso 5: Asignación de atributos: función premium
- Los atributos son detalles del usuario que se almacenan en su proveedor de identidad.
- El mapeo de atributos le ayuda a obtener atributos de usuario de su proveedor de identidad (IDP) y asignarlos a atributos de usuario de Joomla como nombre, apellido, dirección, teléfono, etc.
- Al registrar automáticamente a los usuarios en su sitio Joomla, estos atributos se asignarán automáticamente a sus detalles de usuario de Joomla.
- Vaya a la pestaña de Mapeo y complete todos los campos. Asignación de atributos .
| Nombre de usuario: | Nombre del atributo de nombre de usuario del IdP (mantener NameID de forma predeterminada) |
| Correo electrónico: | Nombre del atributo de correo electrónico del IdP (mantener NameID de forma predeterminada) |
| Nombre: | Nombre del atributo de nombre del IdP |
- Puede consultar los Resultados de configuración de prueba en la pestaña Configuración del proveedor de servicios para tener una mejor idea de qué valores asignar aquí.
Nota: Puedes ver cómo funciona el mapeo de atributos aquí.
Paso 6: Mapeo de grupos: función premium
- La asignación de grupos/roles le ayuda a asignar roles específicos a los usuarios de un determinado grupo en su proveedor de identidad (IdP).
- Durante el registro automático, a los usuarios se les asignan roles según el grupo al que están asignados.
Nota: Puedes ver cómo funciona el mapeo de grupos/roles aquí.
Paso 7: Redirección y enlaces SSO
- Vaya a la pestaña Configuración de inicio de sesión. Puede agregar una URL de inicio de sesión para realizar el inicio de sesión único SAML en su sitio Joomla siguiendo los pasos a continuación.
- Hay varias funciones disponibles en esta pestaña, como la de redirigir automáticamente al usuario al proveedor de identidad y la de habilitar el inicio de sesión en el backend para superusuarios. Para utilizar estas funciones, haga clic en las casillas de verificación correspondientes.
- Haga clic en la pestaña Actualizar para consultar nuestra lista completa de funciones y los distintos planes de licencia. O puede hacer clic aquí para consultar las funciones y los planes de licencia.
- En caso de que tenga algún problema o tenga alguna pregunta en mente, puede comunicarse con nosotros enviándonos su consulta a través del botón Soporte en el complemento o enviándonos un correo a joomlasupport@xecurify.com.
Preguntas Frecuentes
Más preguntas frecuentes ➔Mi configuración de prueba fue exitosa, pero cuando intento iniciar sesión, estoy atrapado en un bucle de redireccionamiento. 
Hay un par de razones por las que esto puede suceder:
1. El almacenamiento en caché está habilitado en el sitio web.
Cuando la redirección automática está habilitada, el usuario es redirigido a la página de inicio de sesión de IDP y después de iniciar sesión nuevamente al sitio principal, pero como el almacenamiento en caché está habilitado, se redirecciona a la página de inicio de sesión de IDP, por lo tanto, se genera un bucle.
2. Discrepancia HTTP/HTTPS:
Esto sucede cuando no se aplica HTTPS en el sitio, pero se configura en el lado del IDP con una URL HTTPS. Esto se puede solucionar aplicando HTTPS en el sitio mediante la definición de una regla de redireccionamiento en el archivo .htaccess o en el nivel de Apache.
3. Adulteración de cookies:
La cookie creada por el complemento después de que el usuario inicia sesión es alterada por otro complemento que hace que el usuario no inicie sesión en el sitio Joomla, pero la sesión se crea en IDP.
¿Por qué me redirigen al sitio Joomla en lugar de IDP cuando hago clic en Probar configuración?
En el complemento SAML de Joomla, cuando una extensión no está habilitada después de instalar el complemento, después de hacer clic en "Probar configuración", te lleva a tu propio sitio en lugar de redirigirte a IDP. Para resolverlo, debes habilitar todas las extensiones del complemento después de instalarlo.
Siga los pasos a continuación para resolver este problema:
1. En la interfaz de administración de Joomla, vaya a Extensiones -> Administrar -> Administrar.
2. Busca 'miniorange'.
3. Habilite todas las extensiones de los complementos.
Inicié sesión en mi proveedor de identidad y me redirigió al sitio Joomla, pero no inicié sesión.
A continuación se detallan algunos errores frecuentes que pueden ocurrir:
INVALID_ISSUER: Esto significa que NO ha ingresado el valor correcto de ID de emisor o entidad proporcionado por su proveedor de identidad. En el mensaje de error, verá cuál era el valor esperado (que ha configurado) y qué se encontró realmente en la respuesta SAML.
INVALID_AUDIENCE: Esto significa que NO ha configurado correctamente la URL de audiencia en su proveedor de identidad. Debe configurarse en https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/ en su proveedor de identidad.
INVALID_DESTINATION: Esto significa que NO ha configurado correctamente la URL de destino en su proveedor de identidad. Debe configurarse en https://base-url-of-your-joomla-site/plugins/authentication/miniorangesaml/saml2/acs.php en su proveedor de identidad.
INVALID_SIGNATURE: Esto significa que el certificado que proporcionó no coincide con el certificado que se encuentra en la respuesta SAML. Asegúrese de proporcionar el mismo certificado que descargó de su IdP. Si tiene el archivo XML de metadatos de su IdP, asegúrese de proporcionar el certificado incluido en la etiqueta de certificado X509 que tiene un atributo use=' signing'.
CERTIFICADO_INVÁLIDO: Esto significa que el certificado que proporcionó no tiene el formato adecuado. Asegúrese de haber copiado todo el certificado proporcionado por su IdP. Si lo copió del archivo XML de metadatos del IdP, asegúrese de haber copiado el valor completo.
No se puede encontrar un certificado que coincida con la huella digital configurada.
Esto solo es posible cuando un certificado que llega en la respuesta SAML no coincide con el certificado configurado en el complemento. Copie el valor del certificado que se muestra en la ventana Configuración de prueba y péguelo en el campo Certificado X.509 en la pestaña Proveedor de servicios del complemento.
¿Cómo exportar la configuración en Joomla SAML?
Siga los pasos para configurar la exportación:
1) Vaya al complemento miniOrange SAML SP y navegue hasta la pestaña Configuración del proveedor de servicios.
2) Luego haga clic en el botón Importar/Exportar en la parte inferior de la página y luego haga clic en el botón Exportar configuración.
3) Vaya a Sistema >> Administrar y busque miniOrange en la barra de búsqueda. Luego, desinstale todas las extensiones de miniOrange.
Siga los pasos para importar la configuración:
1) Instale el complemento más reciente e inicie sesión con sus credenciales miniOrange en el complemento.
2) Vaya a la pestaña Configuración del proveedor de servicios y haga clic en el botón Importar/Exportar.
3) Cargue el archivo de configuración descargado y luego haga clic en el botón Importar configuración.
¿Por qué recibo un error de tabla faltante al actualizar el complemento SAML de Joomla?
Al actualizar el complemento SAML de Joomla, si no se agrega una tabla o columna a la base de datos, aparecerá un error de tabla faltante. Este problema generalmente surge cuando no se agrega una tabla o columna a la base de datos mientras se actualiza el complemento.
Puede reinstalar el complemento para resolver este problema; siga los pasos a continuación:
Desinstalar el complemento existente (realizar una copia de seguridad del complemento existente antes de desinstalarlo)
– Vaya a Extensiones -> Administrar -> Administrar
– Busca miniOrange
– Seleccione todas las extensiones y haga clic en ‘Desinstalar’.
Ahora instale nuevamente el complemento y configúrelo.
¿Cómo resolver el error fatal: No se puede declarar la clase porque el nombre ya está en uso?
Un sitio Joomla se puede utilizar como proveedor de servicios o como proveedor de identidades mediante el complemento SP o IDP correspondiente. Es probable que te aparezca este error porque hayas instalado ambos complementos en el mismo sitio.
Para resolver este problema, siga los pasos que se mencionan a continuación: Elimine las siguientes carpetas de su directorio Joomla:
1. /bibliotecas/miniorangejoomlaidpplugin
2. /bibliotecas/miniorangesamlplugin
3. /complementos/sistema/samlredirect
Ahora deberías poder iniciar sesión en tu sitio Joomla.
Eliminar las extensiones restantes:
1. En la consola de administrador de su sitio Joomla, vaya a Extensiones -> Administrar -> Administrar.
2. Busca 'miniorange'
3. Seleccione todas las extensiones y haga clic en Desinstalar
¿El inicio de sesión único no funciona? ¿Estás usando las herramientas de administración junto con el complemento SAML SP?
El problema de redirección ocurre al usar el complemento Herramientas de administración para Joomla SAML SSO, donde el complemento Herramientas de administración realiza cambios en el archivo .htaccess y agrega ciertas reglas que evitan la redirección desde el sitio.
Puede resolver el problema anterior siguiendo los pasos que se indican a continuación:
1. Vaya a Herramientas de administración >> Panel de control y luego haga clic en la opción de creación de .htaccess.
2. Luego desactive la opción 'Proteger contra ataques comunes de inyección de archivos'.
Luego borre el caché de su sitio y pruebe el inicio de sesión único.
¿Cómo verificar o descargar una solicitud/respuesta SAML mediante los registros de SAML Tracer?
Registros de seguimiento de SAML:
1. Descargue el complemento de seguimiento SAML: Firefox: [ Enlace
] | Cromo:[ Enlace ] 2. Abra el rastreador SAML desde la barra de herramientas del navegador.
3. Mantenga abierta la ventana del rastreador SAML.
4. Realice la configuración de prueba/SSO y reproduzca el problema.
5. Vaya a la ventana del rastreador SAML.
6. Tendrá la opción de exportar el registro de SAML Tracer en un archivo (en la barra de menú superior). Guarde los registros en un archivo, seleccione "Ninguno" cuando se le solicite y envíenos este archivo.
Veo el error “No pudimos iniciar sesión, comuníquese con su administrador” durante el inicio de sesión.
Parece que su proveedor de identidad está enviando un error en la respuesta SAML. Para solucionar este problema, vaya a la pestaña Configuración del proveedor de servicios del complemento SAML SP. Haga clic en Configuración de prueba y revise la ventana de resultados de la configuración. Asegúrese de que la asignación de atributos se haya realizado correctamente y verifique que el valor del certificado X.509 sea preciso.
