Manuales SSO

• Manual de Usuario SSO
• Manual para el Desarrollador
• Integración mediante SAML 2 usando simpleSAMLphp
• Integración con Office365

Manual de Usuario SSO

El proveedor de identidad de la UHU es un servicio centralizado y de confianza que publica y mantiene información de identidad electrónica para todos los miembros de la comunidad universitaria onubense. Al hablar de información de identidad electrónica, nos referimos a diversa información personal (nombre, apellidos, dirección de correo electrónico) que puede que sea necesaria suministrar a distintos servicios de la UHU.

Así pues, cuando alguno de estos servicios requiera información de identidad de algún miembro de la UHU, tendrá que hacer uso del proveedor de identidad de la UHU. Éste, antes de enviar la información requerida, tendrá que establecer una relación de confianza con dicho servicio y avisar al interesado sobre la información que se va a mandar. Sólo si el usuario acepta se mandarán los datos solicitados.

Acceso Autentificado

Cuando acceda a cualquier servicio de la UHU que requiera autentificación, éste le remitirá a la siguiente página de identificación:

El sistema de autentificación permite que elijas entre dos opciones de autentificación propias de la UHU:

• Entrar con Certificado Digital: permite el acceso mediante certificados digitales emitidos por la Fábrica Nacional de Moneda y Timbre. Si no lo tiene puede crear uso siguiendo los pasos indicados aquí. Este certificado ha de ser instalado en el navegador oportuno.
• Entrar sin certificado digital: En caso de no poseer certificado pulse sobre esta opción.

  

Le aparecerá un formulario donde deberá introducir su usuario y contraseña de la UHU y pulse Login

Si el proceso de autentificación finalizó adecuadamente, le aparecerá una pantalla similar a la siguiente en la que podrá consultar qué datos personales se mandarán la aplicación que solicitó la autentificación:

Puede marcar la opción de Recordar consentimiento para que el sistema no le vuelva a hacer esta pregunta

Concluidos estos pasos, el acceso al servicio se habrá completado pero si la clave introducida no es la correcta, se le mostrará la siguiente pantalla:

En caso de no acordarse de la clave puede recuperarla, siga los pasos que se indican en el siguiente apartado. Para cualquier otro problema puede consultar nuestra preguntas frecuentes.

Recuperación de la clave

Manual para el Desarrollador

El sistema Single Sign-On de la Universidad de Huelva le permite integrar aplicaciones usando el protocolo: SAML 2.0

Atributos disponibles

Un usuario autenticado en el sistema Single Sign-On de la Universidad de Huelva tiene asociado un conjunto de atributos que componen su identidad. Estos atributos siguen la recomendación irisEduPerson para la aplicación de las tecnologías de directorio en las universidades. Algunos de los atributos más usados son:

Características personales

Contacto/localización

Datos laborales

Identificadores de enlace

Autorización/derechos de acceso

Descripción y uso del servicio

Requisitos técnicos

Para integrar una aplicación en el SSO su aplicación debe cumplir los siguientes requisitos técnicos:

Si no cumple estos requisitos no podrá solicitar la integración de su aplicación en el sistema SSO.

Es fundamental que habilite la comprobación de certificados al usar cualquiera de los protocolos. Tanto el entorno de preproducción como el de producción utilizan certificados expedidos por la Fábrica Nacional de Moneda y Timbre. Puede descargar los certificados raíz para utilizarlos en las validaciones.

Procedimiento de solicitud

Cuando haya decidido que quiere integrar su aplicación en el sistema SSO, debe ponerse en contacto con nosotros. Debe indicarnos la dirección de las que obtener sus metadados así como todos los atributos solicitados para que el acceso se otorgue lo más pronto posible.

Para obtener los metadados de proveedor de identidad de la UHU puede consultar la dirección https://idp3.uhu.es/idp/saml2/idp/metadata.php o usar el servidor de metadatos en https://janus.uhu.es/idp/module.php/janus/metadataexport.php?id=prod_idp

Certificados

El servicio de SSO utilizan certificados firmados por TERENA y validados por la CA AddTrust AB o por la Fábrica Nacional de Moneda y Timbre.

Software

No necesita conocer a fondo los protocolos de integración en el sistema SSO para que su aplicación haga uso de él. Basta con usar alguna biblioteca de las mencionadas a continuación.

Integración mediante SAML 2 usando simpleSAMLphp

La integración de una aplicación PHP en el SSO usando el protocolo SAML 2 se puede realizar mediante el software simpleSAMLphp. Es un software publicado con licencia libre muy usado en el mundo de las federaciones de identidad basadas en SAML 2.

Al contrario que otras bibliotecas de integración, simpleSAMLphp requiere de una instalación básica para conseguir poner en marcha lo que se conoce como un SP (Service Provider).

Instalación

simpleSAMLphp tiene los siguientes requisitos:

Tras haberse asegurado de tenerlas todas, deberá descargar la última versión del software y descomprimirla en un directorio que no sea directamente accesible desde el servidor web. Por ejemplo:

# cd /var
# tar xzf simplesamlphp-1.xxxxx.tar.gz
# mv simplesamlphp-1.xxxxx simplesamlphp

Lo siguiente será indicarle al servidor web que debe servir cierto subdirectorio de simpleSAMLphp en una determina ruta. Por ejemplo, en Apache lo podría hacer añadiendo la siguiente definición a la configuración de un VirtualHost servido mediante SSL:

<VirtualHost *:443>
    # ...
    Alias /simplesaml /var/simplesamlphp/www
    # ...
</VirtualHost>

Nota: Si quiere usar otra ruta distinta de /simplesaml, deberá actualizar también el parámetro baseurlpath del fichero config.php de simpleSAMLphp.

Proceda entonces a editar el fichero config/config.php de simpleSAMLphp y modifique los siguientes parámetros como se indica:

Tras la configuración básica, puede probar a dirigirse a https://su.host/simplesaml/. Si los pasos anteriores se han seguido correctamente, una página le solicitará su contraseña de administración (admin.adminpassword). Revise la pestaña Configuración para confirmar que todas las dependencias necesarias están cubiertas:

Configuración del SP

simpleSAMLphp está funcionando, pero no sabe cuál es su función. Le indicaremos que es un SP editando el fichero config/authsources.php y definiendo los siguientes parámetros para la entrada default-sp:

<?php
// ...
'default-sp' => array(
    'saml:SP',
    'certificate' => 'mi_aplicacion.pem',
    'privatekey' => 'mi_aplicacion.key',
    'entityID' => ' https://su.host/simplesaml/',
    'idp' => 'https://idp.uhu.es/idp',
    'discoURL' => NULL,
    'redirect.sign' => TRUE,
    'redirect.validate' => TRUE,
    'assertion.encryption' => TRUE
),

Con esta configuración, simpleSAMLphp sabe que:

Certificados

El par de claves que usaremos como certificado puede ser autogenerado, no es necesario que esté emitido por ninguna CA de confianza, ni que sea el mismo certificado usado por el servidor web de la aplicación.

Generarlo es bastante sencillo:

# cd cert/
# openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes \
    -out mi_aplicacion.pem -keyout mi_aplicacion.key
Generating a 2048 bit RSA private key
.........+++
..........+++
writing new private key to 'mi_aplicacion.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:ES
State or Province Name (full name) []:Sevilla
Locality Name (eg, city) [Default City]:Sevilla
Organization Name (eg, company) [Default Company Ltd]:Universidad de Sevilla
Organizational Unit Name (eg, section) []:Mi grupo
Common Name (eg, your name or your server's hostname) []:su.host
Email Address []:sucorreo@us.es

Metadatos del SSO (IdP)

Los certificados están listos, pero el SP aún no sabe quién es idp.uhu.es. Para que lo sepa hay que proporcionarle los metadatos del SSO como IdP SAML 2.0. Para ello primero tenemos que activar el módulo de cron:

# cd /var/simplesaml/modules/cron
# touch enable
# cp config-templates/module_cron.php ../../config

En el fichero de configuración /var/simplesamlphp/config/module_cron.php ponemos lo siguiente:

$config = array (
        'key' => 'laclavequesequiera',
        'allowed_tags' => array('daily', 'hourly', 'frequent'),
        'debug_message' => FALSE,
        'sendemail' => FALSE,

);

Si todo ha ido bien podremos acceder a la dirección https://su.host/simplesaml/module.php/cron/croninfo.php en donde se nos indicará lo que tendremos que poner en el cron del sistema. Por lo general bastará ejecutar lo siguiente:

#crontab -e

# Ejecutar cron: [daily]
02 0 * * * curl --silent "https://su.host/simplesaml/module.php/cron/cron.php?key=lkfEp0UwPB&tag=daily" > /dev/null 2>&1
# Ejecutar cron: [hourly]
01 * * * * curl --silent "https://su.host/simplesaml/module.php/cron/cron.php?key=lkfEp0UwPB&tag=hourly" > /dev/null 2>&1
# Ejecutar cron: [frequent]
5,15,25,35,45,55 * * * * curl --silent "https://su.host/simplesaml/module.php/cron/cron.php?key=lkfEp0UwPB&tag=frequent" > /dev/null 2>&1

Si los certificados usados en apache son autofirmados o no se pueden veriticar, añadiremos la opción –insecure al comando curl.

El siguiente módulo a activar es el metarefresh:

# cd /var/simplesaml/modules/metarefresh
# touch enable
# cp config-templates/config-metarefresh.php ../../config

Editamos la configuración de este módulo localizada en /var/simplesamlphp/config/config-metarefresh.php y ponemos:

$config = array(
        'sets' => array(
        'uhu' => array(
                        'cron'          => array('daily'),
                        'sources'       => array(
                                array(
                                        'src' => 'https://janus.uhu.es/idp/module.php/janus/metadataexport.php?id=prod_idp',
                                        'validateFingerprint' => '934877BF983789B34ABA45CE3DD4845AD9F08A83',
                                        'template' =>  array(
                                                'redirect.sign' => true,
                                                'redirect.validate' => true,
                                                'tags' => array('uhu'),
                                                'assertion.encryption' => true,
                                        ),
                                ),
                        ),
                        'expireAfter'           => 60*60*24*2, // Maximum 2 days cache time.
                        'outputDir'     => 'metadata/uhu/',
                        'outputFormat' => 'flatfile',
                ),
         ),
)

Además de esto en el fichero de configuración de simplesamlphp /var/simplesamlphp/config/config.php hay que añadir lo siguiente:

'metadata.sources' => array(
                array('type' => 'flatfile'),
                array('type' => 'flatfile', 'directory' => 'metadata/uhu'),
           ),

Para que funcione correctamente nos tenemos que asegurar que el usuario de apache tiene permisos de escritura en el directorio /var/simplesamlphp/federation.

Solicitud de alta

El siguiente paso consistirá en solicitar el acceso al SSO. Para ello primero tiene que obtener los metadaros de su SP. El recuadro de metadatos que encontrará debajo debe contener los metadatos de su SP. Para obtenerlos, acceda a https://su.host/simplesaml, haga click en la pestaña Federación y busque el siguiente enlace:

Integración de la aplicación

simpleSAMLphp proporciona una interfaz muy simple para que cualquier aplicación en PHP haga uso de su funcionalidad. Puede ver la documentación completa de integración en SP API reference.

Para integrar su aplicación, necesita cargar las bibliotecas de simpleSAMLphp:

<?php
require_once '/var/simplesamlphp/lib/_autoload.php';

$as = new SimpleSAML_Auth_Simple('default-sp');
<code>
\\
Para forzar la autenticación y leer los atributos cuando el usuario ya esté autenticado, puede usar el siguiente esquema:
<code>
<?php
// Carga de biblioteca

$as->requireAuth();

$attributes = $as->getAttributes();

Hay más métodos disponibles. Puede verlos en SP API reference.

Integración con Office365

Azure Active Directory es una solución en la nube global de administración de identidades de Microsoft. Ayuda a proteger el acceso a aplicaciones locales y en la nube, incluidos los servicios en línea como Office 365 | .

La integración de Office 365 |  con el proveedor de identidad de la Universidad de Huelva  se realiza en dos fases:

Federación del dominio en AzureAD

Configurar del Proveedor de Identidad

El proveedor de identidad de la Universidad de Huelva se basa en SimpleSAMLphp. Los pasos que se han dado son:

Provisión de usuarios shadow en AzureAD

Una vez federado el dominio y configurado nuestro Idp, pasamos a crear cuentas en AzureAD para comprobar que todo funciona correctamente.