SAML Cisco Duo
Requisitos
Linux Control Center = 2.12.X ou Superior Provedor de Single Sign-On (SSO) pré configurado (Cisco Duo)
Overview
O Linux Control Center permite configurar um provedor de início de sessão único (SSO) para a Console, proporcionando um acesso seguro e prático. O LCC oferece autenticação na Console por meio de LDAP e SAML.
Veja a imagem que representa o fluxo de autenticação.
Objetivo
O objetivo deste documento é apresentar o passo a passo para configurar um provedor de acesso à Console do LCC utilizando um provedor SAML.
Configuração do Aplicativo no Cisco Duo
Acesse a estrutura do Cisco Duo do seu ambiente e crie um Aplicativo com as seguintes configurações:
Application Type = Generic SAML Service Provider - Single Sign-On
Service Provider
O campo Assertion Consumer Service (ACS) URL deve ser preenchido com o endpoint do campo URL Assertion Consumer Service. Esta URL é gerada após criar o item SAML no Linux Control Center. Esta é a URL em que o Cisco Duo fará a autenticaçao.
Exemplo: https://10.17.76.2/api/v2/authentication/saml2/acs/19
SAML Response
Configure os campos NameID format e NameID attribute.
Exemplo: NameID attribute http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
Map attributes
o mapeamento de atributos IdP Attribute, SAML Response Attribute e Attribute Name podem ser configurados conforme a necessidade de seu ambiente.
Exemplo;
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress - email
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname - userid
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name - username
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name - name
Permissionamento de Usuário no LCC
Ao utilizar o login via Cisco Duo para acessar o Linux Control Center (LCC), o usuário será automaticamente criado na console do LCC, porém sem nenhuma permissão atribuída. Para garantir o acesso adequado aos recursos, é necessário criar um Grupo na Console do LCC com as regras de acesso desejadas e associar esse grupo na configuração da integração com o Cisco Duo. Dessa forma, os usuários autenticados receberão as permissões conforme definidas no grupo vinculado.
Clique em Config no menu lateral esquerdo.
Clique em User Group.
Clique em Create.
Insira um nome para o Grupo no campo Name
Clique em Configure Permissions e escolha as permissões em que deseja habilitar para os usuários do grupo.
Clique em Save para criar o grupo.
O grupo será listado na tela User Groups.
Configuração do Cisco Duo no LCC
Clique em Config no menu lateral esquerdo do LCC.
Clique em Provider.
Clique em SAML.
Clique em Create
Acesse o Cisco Duo do seu ambiente e insira os dados do Aplicativo nos campos conforme orientação abaixo:
Name: Este campo será o nome do botão na tela de Login com a logo do Cisco Duo.
Entity ID: Insira o ID da entidade do Aplicativo configurado no Cisco Duo.
IDP Metadata URL: Insira a URL de metadados do seu Provedor de Identidade.
Certificate: Insira o certificado do Aplicativo configurado no Cisco Duo.
LCC Groups: Escolha o Grupo de Permissões que será atribuído aos usuários que acessarem a Console por meio desta integração com o Cisco Duo.
Clique no botão Select an Icon e selecione o ícone Cisco Duo para definir o botão de Login na Console do LCC.
Attribute Map
Clique em Next para acessar a as configurações de Attribute Map.
Preencha o campo User Identifier Attribute. Este campo define o usuário do Provedor de Identidade que será responsável por validar a autenticação. É possível definir uma chave para validar a resposta do IDP.
Clique em Next novamente e marque as opções conforme necessidade.
Clique em Salvar para criar o provedor na Console do LCC.
Cadastro do Endpoint no IDP
Esta etapa é crucial na configuração de um provedor de identidade, é necessário cadastrar o Endpoint do LCC no seu Provedor de Identidade para que o LCC tenha permissão para realizar as consultas.
Clique no Provedor de Identidade criado e copie os valores dos campos URL Assertion Consumer Service e URL Single Logout Service e registre-os no seu Provedor de Identidade.
Permissão para o Provedor
Clique em Config no menu lateral esquerdo.
Clique em Authentication
Clique na Aba Providers, selecione o provedor e mova-o para a tabela do lado direito.
Clique em Save para definir o Provedor Cisco Duo como um método de autenticação válido.
Acesso com Provedor de Identidade
Faça logout com o usuário atual e clique no botão do Provedor de Identidade criado e o LCC fará a consulta e a leitura da resposta do SAML para validar o acesso à Console.
Last updated