Visão geral

Em qualquer organização onde os funcionários trabalham em diferentes departamentos com diferentes níveis de acesso a dados, manter as permissões precisas é tão importante quanto mantê-las seguras. Quando as funções mudam com frequência e o número de usuários chega às centenas ou milhares, gerenciar manualmente quem pode ver o quê dentro do Joomla não é prático nem seguro.

O plugin miniOrange SAML SSO para Joomla lida com isso automaticamente por meio de seu recurso de Mapeamento de Grupos. Quando um funcionário faz login, o plugin lê sua associação a grupos diretamente da declaração SAML enviada pelo Provedor de Identidade e o atribui ao Grupo de Usuários Joomla correto instantaneamente. Se sua função mudar no IdP, suas permissões no Joomla serão atualizadas no próximo login: sem reatribuição manual, sem acúmulo de tarefas administrativas e sem risco de alguém manter acessos que não deveria mais ter.

Pré-requisitos

Este caso de uso foi implementado sem problemas utilizando o plugin listado abaixo. Para isso, você precisará instalar o seguinte plugin em sua instância do Joomla:

Plugin miniOrange SAML Single Sign-On (SP)

Baixar extensão

Desafio

Uma empresa mantinha um site de recursos em Joomla contendo conteúdo departamental confidencial, políticas internas de RH, documentação de sistemas de TI, materiais de marketing e outros materiais destinados exclusivamente às equipes relevantes. Grupos de funcionários como Equipe de RH, Administradores de TI e Equipe de Marketing já estavam definidas e eram gerenciadas ativamente dentro do Provedor de Identidade central, onde a equipe de TI cuidava de todas as atribuições de funções.

O problema era que nenhuma dessas informações de grupo era transferida automaticamente para o Joomla. Sempre que um novo funcionário entrava na equipe, um administrador do Joomla precisava atribuí-lo manualmente ao Grupo de Usuários correto. Sempre que alguém mudava de departamento ou assumia uma nova função, o mesmo administrador precisava rastrear essa mudança e atualizar o Joomla separadamente. Com uma força de trabalho que transitava frequentemente entre equipes e departamentos, essas atualizações eram fáceis de passar despercebidas e demoravam a ser implementadas.

As consequências de ficar para trás eram graves. Funcionários que haviam deixado um departamento muitas vezes mantinham acesso ao conteúdo confidencial desse departamento simplesmente porque ninguém havia atualizado seu grupo no Joomla a tempo. Novos funcionários às vezes passavam dias sem acesso aos recursos de que realmente precisavam. Não havia uma maneira confiável de garantir que o que o IdP (provedor de identidade) dizia sobre a função de um usuário fosse refletido com precisão no que o Joomla permitia que ele visualizasse e, em uma organização que lida com dados internos sensíveis, essa lacuna representava um risco de segurança real e constante.

Implementação

O plugin miniOrange SAML SSO foi configurado para ler a associação de cada funcionário a um grupo a partir da declaração SAML no momento do login e atribuir automaticamente o Grupo de Usuários Joomla correspondente, garantindo que os direitos de acesso no Joomla sejam sempre regidos pelo registro autorizado mantido no Provedor de Identidade.

Passo 1: Instale e ative o plugin miniOrange SAML Single Sign-On na instância do Joomla e conclua a configuração básica do SAML registrando o Joomla como um provedor de serviços no provedor de identidade corporativo.

Etapa 2: No seu provedor de identidade, confirme se as associações a grupos departamentais, como HR_Team , IT_Admins e Marketing_Staff, estão configuradas para serem incluídas como atributos na declaração SAML enviada ao Joomla a cada login.

Passo 3: No painel de administração do plugin, navegue até a seção Mapeamento de Grupos/Funções e crie regras de mapeamento que vinculem cada grupo do IdP ao Grupo de Usuários do Joomla correspondente. Por exemplo, mapeie HR_Team para o grupo Editor do Joomla, IT_Admins para Super Usuários e Marketing_Staff para Autor.

Passo 4: Habilite a atribuição automática de grupo de usuários ao fazer login para que, sempre que um funcionário se autenticar, o plugin leia seu grupo atual da declaração SAML e o coloque automaticamente no grupo de usuários correto do Joomla, inclusive em seu primeiro login.

Etapa 5: Habilite a Sincronização de Associação de Grupo a Cada Login para garantir que quaisquer alterações feitas no grupo de um usuário no Provedor de Identidade sejam replicadas nas permissões do Joomla no próximo login, sem a necessidade de qualquer atualização manual no Joomla.

Etapa 6: Configure a atribuição de grupo padrão para usuários cuja declaração SAML não inclui um atributo de grupo reconhecido, atribuindo-os a um grupo de acesso restrito por padrão para evitar o acesso não intencional a conteúdo protegido.

Etapa 7: Configure as regras de acesso ao conteúdo do Joomla para cada grupo de usuários usando o sistema de controle de acesso nativo do Joomla, garantindo que cada grupo possa visualizar e interagir apenas com o conteúdo relevante para o seu departamento.

Etapa 8: Teste a configuração fazendo login com contas de cada grupo IdP e confirmando se o Grupo de Usuários Joomla correto está atribuído e se o acesso está restrito apenas ao conteúdo apropriado para cada função.

Conclusão

Com o mapeamento de grupos SAML implementado, as permissões do Joomla da organização tornaram-se um reflexo direto e automático do seu Provedor de Identidade (IdP), a única fonte de verdade já utilizada para gerenciar a função e o nível de acesso de cada funcionário. Novos funcionários recebiam o acesso correto no primeiro login, sem qualquer intervenção manual. Quando alguém mudava de departamento ou de função, suas permissões no Joomla eram atualizadas no login seguinte para corresponder à nova atribuição de grupo no IdP. Ninguém mantinha acesso além da sua função atual e ninguém precisava esperar que um administrador corrigisse manualmente uma alteração que já havia ocorrido no nível do diretório. A equipe de segurança passou a ter a certeza de que o acesso dos funcionários no Joomla era sempre preciso, atualizado e regido pelas mesmas políticas que controlavam o acesso em todas as outras áreas da organização.

Recursos adicionais

1. Login único SAML para Joomla
2. SAML vs OAuth no Joomla: qual você deve escolher?
3. Consulte nossa documentação.