SAML Cisco Duo
Last updated
Last updated
Linux Control Center = 2.12.X ou Superior Provedor de Single Sign-On (SSO) pré configurado (Cisco Duo)
O Linux Control Center permite configurar um provedor de início de sessão único (SSO) para a Console, proporcionando um acesso seguro e prático. O LCC oferece autenticação na Console por meio de LDAP e SAML.
Veja a imagem que representa o fluxo de autenticação.
O objetivo deste documento é apresentar o passo a passo para configurar um provedor de acesso à Console do LCC utilizando um provedor SAML.
Acesse a estrutura do Cisco Duo do seu ambiente e crie um Aplicativo com as seguintes configurações:
Application Type = Generic SAML Service Provider - Single Sign-On
O campo Assertion Consumer Service (ACS) URL deve ser preenchido com o endpoint /api/v2/authentication/saml2/acs/19 com o host do Linux Control Center do seu ambiente.
Exemplo: https://10.17.76.2/api/v2/authentication/saml2/acs/19
Configure os campos NameID format e NameID attribute.
o mapeamento de atributos IdP Attribute, SAML Response Attribute e Attribute Name podem ser configurados conforme a necessidade de seu ambiente.
Exemplo;
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress - email
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname - userid
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name - username
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name - name
Ao utilizar o login via Cisco Duo para acessar o Linux Control Center (LCC), o usuário será automaticamente criado na console do LCC, porém sem nenhuma permissão atribuída. Para garantir o acesso adequado aos recursos, é necessário criar um Grupo na Console do LCC com as regras de acesso desejadas e associar esse grupo na configuração da integração com o Cisco Duo. Dessa forma, os usuários autenticados receberão as permissões conforme definidas no grupo vinculado.
Clique em Config no menu lateral esquerdo.
Clique em User Group.
Clique em Create.
Insira um nome para o Grupo no campo Name
Clique em Configure Permissions e escolha as permissões em que deseja habilitar para os usuários do grupo.
Clique em Save para criar o grupo.
O grupo será listado na tela User Groups.
Clique em Config no menu lateral esquerdo do LCC.
Clique em Provider.
Clique em SAML.
Clique em Create
Acesse o Cisco Duo do seu ambiente e insira os dados do Aplicativo nos campos conforme orientação abaixo:
Name: Este campo será o nome do botão na tela de Login com a logo do Cisco Duo.
Entity ID: Insira o ID da entidade do Aplicativo configurado no Cisco Duo.
IDP Metadata URL: Insira a URL de metadados do seu Provedor de Identidade.
Certificate: Insira o certificado do Aplicativo configurado no Cisco Duo.
LCC Groups: Escolha o Grupo de Permissões que será atribuído aos usuários que acessarem a Console por meio desta integração com o Cisco Duo.
Clique no botão Select an Icon e selecione o ícone Cisco Duo para definir o botão de Login na Console do LCC.
Clique em Next para acessar a as configurações de Attribute Map.
Preencha o campo User Identifier Attribute. Este campo define o usuário do Provedor de Identidade que será responsável por validar a autenticação. É possível definir uma chave para validar a resposta do IDP.
Clique em Next novamente e marque as opções conforme necessidade.
Clique em Salvar para criar o provedor na Console do LCC.
Esta etapa é crucial na configuração de um provedor de identidade, é necessário cadastrar o Endpoint do LCC no seu Provedor de Identidade para que o LCC tenha permissão para realizar as consultas.
Clique no Provedor de Identidade criado e copie os valores dos campos URL Assertion Consumer Service e URL Single Logout Service e registre-os no seu Provedor de Identidade.
Faça logout com o usuário atual e clique no botão do Provedor de Identidade criado e o LCC fará a consulta e a leitura da resposta do SAML para validar o acesso à Console.
Exemplo: NameID attribute
