SAML Cisco Duo

Requisitos

Linux Control Center = 2.12.X ou Superior Provedor de Single Sign-On (SSO) pré configurado (Cisco Duo)

Overview

O Linux Control Center permite configurar um provedor de início de sessão único (SSO) para a Console, proporcionando um acesso seguro e prático. O LCC oferece autenticação na Console por meio de LDAP e SAML.

• Veja a imagem que representa o fluxo de autenticação.

  

Objetivo

O objetivo deste documento é apresentar o passo a passo para configurar um provedor de acesso à Console do LCC utilizando um provedor SAML.

Configuração do Aplicativo no Cisco Duo

1. Acesse a estrutura do Cisco Duo do seu ambiente e crie um Aplicativo com as seguintes configurações:

• Application Type = Generic SAML Service Provider - Single Sign-On

  

Service Provider

1. O campo Assertion Consumer Service (ACS) URL deve ser preenchido com o endpoint do campo URL Assertion Consumer Service. Esta URL é gerada após criar o item SAML no Linux Control Center. Esta é a URL em que o Cisco Duo fará a autenticaçao.

• Exemplo: https://10.17.76.2/api/v2/authentication/saml2/acs/19

  

SAML Response

1. Configure os campos NameID format e NameID attribute.

• Exemplo: NameID attribute http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

  

Map attributes

1. o mapeamento de atributos IdP Attribute, SAML Response Attribute e Attribute Name podem ser configurados conforme a necessidade de seu ambiente.

Exemplo;

• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress - email

• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname - userid

• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name - username

• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name - name

  

Permissionamento de Usuário no LCC

• Ao utilizar o login via Cisco Duo para acessar o Linux Control Center (LCC), o usuário será automaticamente criado na console do LCC, porém sem nenhuma permissão atribuída. Para garantir o acesso adequado aos recursos, é necessário criar um Grupo na Console do LCC com as regras de acesso desejadas e associar esse grupo na configuração da integração com o Cisco Duo. Dessa forma, os usuários autenticados receberão as permissões conforme definidas no grupo vinculado.

1. Clique em Config no menu lateral esquerdo.

   
2. Clique em User Group.

   
3. Clique em Create.

   
4. Insira um nome para o Grupo no campo Name

   
5. Clique em Configure Permissions e escolha as permissões em que deseja habilitar para os usuários do grupo.

   
6. Clique em Save para criar o grupo.

   
7. O grupo será listado na tela User Groups.

   

Configuração do Cisco Duo no LCC

1. Clique em Config no menu lateral esquerdo do LCC.

   
2. Clique em Provider.

   
3. Clique em SAML.

   
4. Clique em Create

   
5. Acesse o Cisco Duo do seu ambiente e insira os dados do Aplicativo nos campos conforme orientação abaixo:

   • Name: Este campo será o nome do botão na tela de Login com a logo do Cisco Duo.

   • Entity ID: Insira o ID da entidade do Aplicativo configurado no Cisco Duo.

   • IDP Metadata URL: Insira a URL de metadados do seu Provedor de Identidade.

   • Certificate: Insira o certificado do Aplicativo configurado no Cisco Duo.

   • LCC Groups: Escolha o Grupo de Permissões que será atribuído aos usuários que acessarem a Console por meio desta integração com o Cisco Duo.

   
6. Clique no botão Select an Icon e selecione o ícone Cisco Duo para definir o botão de Login na Console do LCC.

   

Attribute Map

1. Clique em Next para acessar a as configurações de Attribute Map.

   
2. Preencha o campo User Identifier Attribute. Este campo define o usuário do Provedor de Identidade que será responsável por validar a autenticação. É possível definir uma chave para validar a resposta do IDP.

   
3. Clique em Next novamente e marque as opções conforme necessidade.

   
4. Clique em Salvar para criar o provedor na Console do LCC.

   

Cadastro do Endpoint no IDP

Esta etapa é crucial na configuração de um provedor de identidade, é necessário cadastrar o Endpoint do LCC no seu Provedor de Identidade para que o LCC tenha permissão para realizar as consultas.

1. Clique no Provedor de Identidade criado e copie os valores dos campos URL Assertion Consumer Service e URL Single Logout Service e registre-os no seu Provedor de Identidade.

   

Permissão para o Provedor

1. Clique em Config no menu lateral esquerdo.

   
2. Clique em Authentication

   
3. Clique na Aba Providers, selecione o provedor e mova-o para a tabela do lado direito.

   
4. Clique em Save para definir o Provedor Cisco Duo como um método de autenticação válido.

   

Acesso com Provedor de Identidade

1. Faça logout com o usuário atual e clique no botão do Provedor de Identidade criado e o LCC fará a consulta e a leitura da resposta do SAML para validar o acesso à Console.