Conteúdo do Tutorial

1. Como configurar para acessar sistemas distribuídos com a Suíte Gen.te?
2. Premissas
3. Configuração de Autenticação SAML
4. Federar as autorizações utilizando os grupos do Azure AD
   1. Cadastrar Grupos e Membros
5. Configurar o Azure AD para enviar o grupo via atributo SAML
   1. Configurar logon único com SAML
   2. Configurar atributos e declarações
   3. Adicionar declaração de grupo
   4. Adicionar declaração de grupo com nome personalizado
6. Criar Federação SAML
7. Criar Perfil de Acesso
8. Considerações Finais

Como configurar para acessar sistemas distribuídos com a Suíte Gen.te?

A federação e a delegação de autorizações são estratégias essenciais para gerenciamento eficiente de acesso a recursos em sistemas distribuídos.

Através da federação, é possível compartilhar e sincronizar informações de autenticação e autorização entre diferentes sistemas ou domínios, simplificando a administração e garantindo a consistência das políticas de acesso.

Por sua vez, delegação de autorizações permite a transferência temporária ou permanente de direitos de acesso e permissões entre usuários, facilitando a colaboração e a atribuição de responsabilidades em um ambiente corporativo.

Sendo assim, neste tutorial será possível entender e realizar a configuração e criação de federação e perfil de acesso  para gerenciar acesso a recursos em sistemas distribuídos.

Utilizaremos o provedor de identidade Azure AD como exemplo, para mostrar o passo a passo da configuração.

Premissas

Para dar início a realização desta configuração verifique, na funcionalidade Configurar Permissões, se existe o acesso as funcionalidades a seguir:

• Configuração de Autenticação SAML

• Federação SAML

• Perfil de acesso

Configuração de Autenticação SAML

Acesse a funcionalidade Configuração de Autenticação SAML (Caminho pela Suíte Gen.te: Configurações > Acesso e Segurança > Configuração de Autenticação SAML) para definir se as autorizações serão: Por Federação ou Somente com federação.

Na seção Autorizações, marque a opção Por Federação como Sim para que a autorização seja Por Federação, caso deseja que seja autorizado Somente com federação, marque essa opção como Sim para que seja considerado somente os perfis de acesso dos atributos da federação SAML fornecidos pela resposta do SAML.

Se a opção Somente com federação estiver parametrizada como Não, serão considerados os perfis de acesso dos atributos da federação, e também os perfis associados ao operador.

Após realizar a configuração desejada, clique em para gravar a autorização.

Federar as autorizações utilizando os grupos do Azure AD

Cadastrar Grupos e Membros

Para criar o grupo, acesse a gerência do Azure Active Directory:

Em seguida clique em Grupos:

Clique em Novo grupo:

Preencha as informações obrigatórias. No exemplo estamos cadastrando um grupo com o nome Colaboradores, em seguida clique em Criar:

O grupo criado será apresentado na lista de grupos:

Para gerenciar os membros do grupo, clique no grupo cadastrado, em seguida pressione a opção Membros:

Para incluir um membro, clique em Adicionar membros:

Após clicar em Adicionar membros, o formulário para a adição do membro será apresentado:

O membro adicionado será apresentado na lista de membros:

Configurar o Azure AD para enviar o grupo via atributo SAML

Configurar logon único com SAML

Para adicionar os grupos no atributo SAML, é necessário configurar os atributos do logon no aplicativo empresarial escolhido.

Para acessar o aplicativo empresarial, na visão geral do Azure Active Directory, clique em Aplicativos empresariais:

Selecione o aplicativo desejado para visualizar as configurações dele:

Acesse a configuração do logon único com SAML, para isso, clique em Logon único:

A página de configuração do logon único apresentará a sessão Atributos e Declarações, é nela que será adicionado o grupo.

Configurar atributos e declarações

Para iniciar a configuração, clique em Edita na sessão Atributos e Declarações:

A página de Atributos e Declarações exibirá os atributos que são enviados quando o usuário realiza a autenticação com SAML.

Adicionar declaração de grupo

Para adicionar o grupo, clique em Adicionar uma declaração de grupo:

O formulário para adicionar a Declaração de Grupo será exibida. Realize a configuração e clique em Salvar para adicionar o grupo:

Após salvar a declaração do grupo, será exibida na lista de declarações adicionais:

Quando a declaração de grupo é inserida, o botão Adicionar uma declaração de grupo é desativado. Ao acessar a página Atributos e Declarações, caso o botão Adicionar uma declaração de grupo estiver desativado, verifique se já existe uma declaração de grupo adicionada.

Adicionar declaração de grupo com nome personalizado

O nome da declaração de grupo é definido automaticamente pelo Azure. Para adicionar uma declaração de grupo com outro nome, poderá defini-lo nas Opções avançadas no formulário de adição:

Marque a opção para Personalizar o nome da declaração de grupo, assim o campo para informar o nome será habilitado:

Depois de salvar, o nome da declaração será exibido igual ao informado na tela de adição:

Uma vez adicionado, a declaração pode ser cadastrada na Suíte Gen.te como uma Federação SAML para que sejam atribuídas as autorizações.

Criar Federação SAML

Acesse a funcionalidade Federação SAML (Caminho pela Suíte Gen.te: Configurações > Acesso e Segurança > Federação SAML) e clique no botão para dar início ao cadastro da Federação. Em seguida preencha os dados Nome, Atributo e Valor esperado.

No campo Atributo é inserido o nome da declaração cadastrada no Provedor de identidade. E o valor esperado é extraído na visão geral do grupo no campo ID do objeto, conforme a imagem abaixo:

Criar Perfil de Acesso

Acesse a funcionalidade Perfil de acesso (Caminho pela Suíte Gen.te: Configurações > Acesso e Segurança > Perfil de Acesso) e clique em para dar início ao cadastro de Perfil de Acesso.

Informe em o Tipo de perfil Federação SAML, em seguida no campo abaixo representado pela letra defina a Federação SAML que será utilizada no cadastro do perfil. Esse campo irá apresentar todas as federações cadastradas na funcionalidade  Federação SAML.

Em na seção Autorizações é possível parametrizar as Permissões do perfil que está sendo cadastrado, basta marcar o indicador da funcionalidade que deseja permitir o acesso e as operações que serão atribuídas.

 Na seção Atribuir Visibilidade representada pela letra  é possível aplicar a restrição de visibilidade aos dados classificados como Pessoais e Sensíveis, marque as opções Permitir visualizar dados Pessoais e Permitir visualizar dados Sensíveis conforme a necessidade. A restrição de visibilidade funcionará da seguinte maneira:

• Apenas opção Permitir visualizar dados Sensíveis marcada: o operador poderá consultar e manipular apenas os dados classificados como Sensíveis e também os dados não classificados.

• Apenas opção Permitir visualizar dados Pessoais marcada: o operador poderá consultar e manipular apenas os dados classificados como Pessoais e também os dados não classificados.

• Opções Permitir visualizar dados Pessoais e Permitir visualizar dados Sensíveis marcadas: o operador poderá consultar e manipular os dados classificados como Pessoais, Sensíveis e também os dados não classificados.

• Nenhuma das opções marcada: o operador poderá consultar e manipular apenas os dados não classificados.

Selecione a Visibilidade/Restrição que deseja atribuir, ou caso necessário, conceder visibilidade a todos os dados disponíveis nos módulos e funções autorizados ao operador, marque a opção Visibilidade Total.

Considerações Finais

Neste tutorial, ensinamos a você como configurar autorizações para gerenciamento de acesso a recursos em sistemas distribuídos, onde foi mostrada a criação de federação e do perfil de acesso e também a configuração de autenticação SAML na Suíte Gen.te. Além disso, mostramos toda a configuração necessária no provedor de identidade, tais como: configuração de logon único com SAML, configuração de atributos e declarações, ensinamos a incluir uma declaração de de grupo e também a declaração de grupo com nome personalizado. Com isso, é possível compartilhar e sincronizar informações de autenticação e autorização entre diferentes sistemas ou domínios, simplificando a administração e garantindo a consistência das políticas de acesso.