SSO e autenticação remota - SSO para Freshservice usando SAML

Modificado em Ter, 29 Mar, 2022 na (o) 10:17 AM

Você pode configurar o Freshservice para fornecer SAML Single Sign-On para seus usuários. Dessa forma, eles não precisam fornecer credenciais de login separadas para o Freshservice. A autenticação do usuário é feita por qualquer provedor SAML que você configurar do seu lado e os atributos do usuário, como endereço de e-mail, são enviados de volta ao Freshservice.

Uma visão geral do SAML

Security Assertion Markup Language (SAML) é um mecanismo usado para comunicar identidades entre dois aplicativos da web. Ele permite o Single-Sign-On baseado na Web e, portanto, elimina a necessidade de manter várias credenciais para vários aplicativos e reduz o roubo de identidade.

O SAML geralmente envolve três coisas:

Um usúario	A pessoa que solicita o serviço.
Um provedor de serviços	O aplicativo que fornece o serviço ou protege o recurso.
Um provedor de identidade	O serviço/repositório que gerencia as informações do usuário.

Um usuário solicita um SSO SAML para acessar um recurso protegido por um provedor de serviços. O provedor de serviços solicita que o provedor de identidade autentique o usuário. O provedor de identidade verifica a existência do usuário e envia uma declaração ao provedor de serviços que pode ou não incluir as informações do usuário. A comunicação entre a identidade e os provedores de serviços acontece no formato de dados SAML.

Você pode configurar o Freshservice para atuar como um provedor de serviços neste mecanismo. Você pode usar seu próprio servidor SAML para atuar como um provedor de identidade ou pode usar alguns aplicativos de terceiros como OneLogin, Okta etc.

Campos exigidos pelo Freshservice para integração SAML

Você pode usar serviços de terceiros como OneLogin, Okta ou qualquer provedor de identidade para verificar a identidade de seus usuários. Você precisa obter as seguintes informações do seu provedor de identidade para configurar o SAML SSO no Freshservice:

Campos exigidos pelo seu provedor de identidade

O provedor de identidade requer um URL de declaração do consumidor para o qual redireciona o usuário após a autenticação. Você precisa fornecer a URL neste formato: https://<seudomínio>.freshservice.com/login/saml Quando o usuário solicita SAML SSO ao chegar ao Portal Freshservice, a Asserção XML criptografada será enviada para esta URL.

Se você adicionar freshservice como um aplicativo em seu provedor de identidade, o usuário será redirecionado para esta URL quando clicar no botão Freshservice.

Como funciona o SAML SSO no Freshservice?

O usuário deseja fazer login no Freshservice usando SAML SSO.
O Freshservice redireciona o usuário para a URL de login do Provedor de Identidade, por exemplo, OneLogin.
O usuário insere suas credenciais e o provedor de identidade valida o usuário.
O Provedor de Identidade redireciona o usuário para o URL de Asserção do Consumidor do Freshservice e passa uma Asserção SAML criptografada informando ao Freshservice que o usuário é válido.
Atributos do usuário, como endereço de e-mail, nome e sobrenome do usuário, serão enviados junto com a declaração pelo provedor de identidade para o Freshservice.
O Freshservice verifica o certificado SHA256 do provedor de identidade e concede acesso ao usuário.

Habilitando o SSO SAML no Freshservice

Faça login no Freshservice como administrador.
Vá para Admin > Segurança do Helpdesk.
Clique no botão SSO para habilitá-lo.
Clique no botão de opção SAML SSO. Você terá que copiar o URL de login, URL de logout (opcional) e o certificado SHA256 do provedor de identidade e colá-los nessas caixas de texto.
Clique em Salvar para começar a usar o SAML SSO imediatamente.

Para acessar as configurações de segurança da organização:

Faça login na sua conta Freshservice.
Clique no ícone Configurações de administrador.
Clique em Helpdesk Security em General Settings.
Clique no link - Gerenciar Helpdesk Security do Freshworks 360 Security. Isso abre a página Segurança da organização em uma nova guia.

Atributos do usuário reconhecidos pelo Freshservice

O Freshservice reconhece os seguintes atributos do provedor de identidade

Atributos	Nome do atributo	Obrigatório?	Descrição
Endereço de e-mail	NameID	Sim	Email address of the user will act as the user name in Freshservice. When a new user logs in, Freshservice will create an account using this Email address automatically.
Primeiro nome	firstName	Não	Primeiro nome do usúario.
Último nome	lastName	Não	Ultimo nome do usúario.
Cargo	jobTitle	Não	Cargo do usúario.
Telefone	phone	Não	Número de telefone do usúario.
Celular	mobile	Não	Número de celular do usúario.
Departmento	department	Não	Departamento do usuário. Se o departamento não existir no Freshservice, um novo departamento será criado. Os novos valores de departamento são sempre substituídos..
Gerente de relatórios	reportingManager	Não	O endereço de e-mail do gerente ao qual o usuário se reporta. Se o e-mail do gerente de relatórios não existir no Freshservice, um novo solicitante será criado.
Endereço	address	Não	Endereço do usúario.
Fuso Horário	timeZone	Não	Fuso horário do usuário. O valor deve seguir o formato especificado neste artigo.
Idioma	language	Não	Idioma do usuário. O valor deve seguir o formato especificado neste artigo.
Localização	location	Não	A localização do usuário. O valor do local deve existir no Freshservice.
Campos customizados	custom_field_<field_name>	Não	Campos personalizados definidos para usuários. O espaço reservado <field_name> refere-se ao atributo name que é retornado pela operação da API Lista de todos campos de requisição (para todos os campos em que default = false.

O endereço do usuário é o único campo obrigatório que o freshservice precisa. Aqui está um código de exemplo de como o endereço de e-mail é passado:

<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">example@test.freshservice.com</saml:NameID>

Se este código for enviado pelo provedor de identidade, um usuário com o nome de usuário como "exemplo" será criado no Freshservice.

Erros de login

Um usuário será impedido de fazer login no Freshservice devido aos seguintes motivos:

Mensagem de erro	Descrição
Sem impressão digital ou certificado nas configurações	O SSO foi desabilitado ou a impressão digital do certificado não está configurada no Freshservice.
Resposta em branco	Resposta SAML inválida/vazia recebida
A hora atual é anterior à resposta / A hora atual é muito posterior à resposta	Há uma diferença de tempo entre a solicitação e a resposta de validação ao Freshservice. A hora no provedor SAML precisa ser verificada quanto à diferença no relógio.
Login não teve sucesso	Você não está autorizado a acessar o aplicativo. Ou o aplicativo não foi atribuído a você pelo provedor de identidade