Skip to main content
Hay disponible una nueva versión de este producto.
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Configura el inicio de sesión único en StorageGRID

PDF

Puedes seguir el asistente Configurar SSO y entrar en el modo sandbox para configurar y probar el inicio de sesión único (SSO) antes de habilitarlo para todos los usuarios de StorageGRID. Después de habilitar el SSO, puedes volver al modo sandbox cuando lo necesites para cambiar o volver a probar la configuración.

Antes de empezar

  • Has iniciado sesión en Grid Manager mediante un "navegador web compatible".

  • Tienes el "Permiso de acceso raíz".

  • Has configurado la federación de identidades para tu sistema StorageGRID.

  • ${post_edited_translations.segment}

    Tipo de servicio LDAP configurado Opciones para el proveedor de identidad de SSO

    Servicio de federación de Active Directory (AD FS)

    • Active Directory

    • Entra ID

    • PingFederate

    Entra ID

    Entra ID
Acerca de esta tarea

Cuando el SSO está habilitado y un usuario intenta iniciar sesión en un nodo de administración, StorageGRID envía una solicitud de autenticación al proveedor de identidad del SSO. A su vez, el proveedor de identidad del SSO envía una respuesta de autenticación a StorageGRID, indicando si la solicitud de autenticación fue exitosa. Para solicitudes exitosas:

  • La respuesta de Active Directory o PingFederate incluye un identificador único universal (UUID) para el usuario.

  • La respuesta de Entra ID incluye un nombre principal de usuario (UPN).

Para que StorageGRID (el proveedor de servicios) y el proveedor de identidad SSO puedan comunicarse de forma segura sobre las solicitudes de autenticación de los usuarios, deberás realizar estas tareas:

  1. Configura los ajustes en StorageGRID.

  2. Utiliza el software del proveedor de identidad de SSO para crear una confianza de parte confiable (AD FS), una aplicación empresarial (Entra ID) o un proveedor de servicios (PingFederate) para cada Admin Node.

  3. Vuelve a StorageGRID para activar el inicio de sesión único.

El modo sandbox facilita realizar esta configuración iterativa y probar todos los ajustes antes de habilitar SSO. Cuando usas el modo sandbox, los usuarios no pueden iniciar sesión mediante SSO.

Accede al asistente

Pasos

  1. Selecciona Configuración > Control de acceso > Inicio de sesión único. Aparece la página de inicio de sesión único.

    Nota Si el botón «Configurar ajustes de SSO» aparece desactivado, comprueba que hayas configurado el proveedor de identidad como fuente de identidad federada. Consulta "Requisitos y aspectos a tener en cuenta para el inicio de sesión único".

  2. Selecciona Configurar ajustes de SSO. Aparece la página «Proporcionar datos del proveedor de identidad».

Facilita los datos del proveedor de identidad

Pasos

  1. Selecciona el tipo de SSO en la lista desplegable.

  2. Si has seleccionado Active Directory como tipo de SSO, introduce el nombre del servicio de federación del proveedor de identidad, tal y como aparece en el Servicio de federación de Active Directory (AD FS).

    Nota Para localizar el nombre del servicio de federación, ve al Administrador de servidores de Windows Server. Selecciona Herramientas > Administración de AD FS. En el menú Acción, selecciona Editar propiedades del servicio de federación. El nombre del servicio de federación aparece en el segundo campo.

  3. Especifica qué certificado TLS se utilizará para proteger la conexión cuando el proveedor de identidad envíe la información de configuración de inicio de sesión único en respuesta a las solicitudes de StorageGRID.

    • Utilizar el certificado de CA del sistema operativo: Utiliza el certificado de CA predeterminado instalado en el sistema operativo para proteger la conexión.

    • Utilizar un certificado de CA personalizado: Utiliza un certificado de CA personalizado para proteger la conexión.

      Si seleccionas esta opción, copia el texto del certificado personalizado y pégalo en el cuadro de texto Certificado de la CA.

    • No utilices TLS: No utilices un certificado TLS para proteger la conexión.

      Precaución Si cambias el certificado de la CA, "Reinicia el servicio mgmt-api en los nodos de administración" y prueba que el inicio de sesión único en Grid Manager funciona correctamente.

  4. Selecciona Continuar. Aparece la página Proporcionar identificador de la parte confiable.

Proporciona el identificador de la parte que confía

  1. Rellena los campos de la página Proporcionar el identificador de la parte que confía según el tipo de SSO que seleccionaste.

    Active Directory

    1. Especifica el identificador de la parte de confianza para StorageGRID. Este valor controla el nombre que usas para cada relación de confianza con una parte de confianza en AD FS.

      • Por ejemplo, si tu grid solo tiene un Admin Node y no tienes previsto añadir más Admin Nodes en el futuro, introduce SG o StorageGRID.

      • Si tu grid incluye más de un Admin Node, incluye la cadena [HOSTNAME] en el identificador. Por ejemplo, SG-[HOSTNAME]. Incluir esta cadena da como resultado una tabla que muestra el identificador de la relying party para cada Admin Node en el grid, basado en el hostname del nodo.

        Nota Debes crear una relación de confianza de parte confiable para cada Admin Node en tu sistema StorageGRID. Contar con una relación de confianza de parte confiable para cada Admin Node garantiza que los usuarios puedan iniciar sesión y cerrar sesión de forma segura en cualquier Admin Node.

    2. Selecciona Guardar y entrar en modo sandbox.

    Entra ID

    1. En la sección «Aplicación empresarial», especifica el nombre de la aplicación empresarial para StorageGRID. Este valor controla el nombre que usas para cada aplicación empresarial en Entra ID.

      • Por ejemplo, si tu grid solo tiene un Admin Node y no tienes previsto añadir más Admin Nodes en el futuro, introduce SG o StorageGRID.

      • Si tu grid incluye más de un Admin Node, incluye la cadena [HOSTNAME] en el identificador. Por ejemplo, SG-[HOSTNAME]. Incluir esta cadena da como resultado una tabla que muestra un nombre de aplicación empresarial para cada Admin Node en tu sistema, basado en el hostname del nodo.

        Nota Debes crear una aplicación empresarial para cada nodo de administración de tu sistema StorageGRID. Contar con una aplicación empresarial para cada nodo de administración garantiza que los usuarios puedan iniciar sesión y cerrar sesión de forma segura en cualquier nodo de administración.

    2. Sigue los pasos en "Crear aplicaciones empresariales en Entra ID" para crear una aplicación empresarial para cada Admin Node que aparece en la tabla.

    3. En Entra ID, copia la URL de metadatos de federación de cada aplicación empresarial. Luego, pega esta URL en el campo correspondiente Federation metadata URL en StorageGRID.

    4. Una vez que hayas copiado y pegado una URL de metadatos de federación para todos los nodos de administración, selecciona Guardar y entrar en modo sandbox.

    PingFederate

    1. En la sección SP (Proveedor de servicios), especifica el SP connection ID para StorageGRID. Este valor controla el nombre que usas para cada conexión de SP en PingFederate.

      • Por ejemplo, si tu grid solo tiene un Admin Node y no tienes previsto añadir más Admin Nodes en el futuro, introduce SG o StorageGRID.

      • Si tu grid incluye más de un Admin Node, incluye la cadena [HOSTNAME] en el identificador. Por ejemplo, SG-[HOSTNAME]. Incluir esta cadena da como resultado una tabla que muestra el ID de conexión SP de cada Admin Node en tu sistema, según el hostname del nodo.

        Nota Debes crear una conexión SP para cada nodo de administración de tu sistema StorageGRID. Disponer de una conexión SP para cada nodo de administración garantiza que los usuarios puedan iniciar y cerrar sesión de forma segura en cualquier nodo de administración.

    2. Indica la URL de los metadatos de la federación para cada Admin Node en el campo Federation metadata URL.

      Utiliza el siguiente formato:

      https://<Federation Service Name>:<port>/pf/federation_metadata.ping?PartnerSpId=<SP Connection ID>

    3. Selecciona Guardar y entrar en modo sandbox.

Configura relaciones de confianza de terceros, aplicaciones empresariales o conexiones SP

Después de guardar la configuración y entrar en el modo de prueba, puedes completar y probar la configuración para el tipo de SSO que seleccionaste.

StorageGRID puede permanecer en modo «sandbox» todo el tiempo que sea necesario. Sin embargo, solo pueden iniciar sesión los usuarios federados y los usuarios locales.

Active Directory
Pasos

  1. Ve a Servicios de federación de Active Directory (AD FS).

  2. Crea una o varias relaciones de confianza con las partes confiables para StorageGRID, usando cada identificador de parte confiable que aparece en la tabla de la página Configurar SSO.

    Debes crear un trust para cada Admin Node que aparece en la tabla.

    Para obtener instrucciones, visita "Crear relaciones de confianza de terceros en AD FS".

Entra ID
Pasos

  1. En la página de inicio de sesión único del Admin Node en el que has iniciado sesión actualmente, selecciona el botón para descargar y guardar los metadatos SAML.

  2. Luego, para cualquier otro nodo de administración en tu grid, repite estos pasos:

    1. Inicia sesión en el nodo.

    2. Selecciona Configuración > Control de acceso > inicio de sesión único.

    3. Descarga y guarda los metadatos SAML de ese nodo.

  3. Accede al portal de Azure.

  4. Sigue los pasos en "Crear aplicaciones empresariales en Entra ID" para cargar el archivo de metadatos SAML de cada Admin Node en su aplicación empresarial de Entra ID correspondiente.

PingFederate
Pasos

  1. En la página de inicio de sesión único del Admin Node en el que has iniciado sesión actualmente, selecciona el botón para descargar y guardar los metadatos SAML.

  2. Luego, para cualquier otro nodo de administración en tu grid, repite estos pasos:

    1. Inicia sesión en el nodo.

    2. Selecciona Configuración > Control de acceso > inicio de sesión único.

    3. Descarga y guarda los metadatos SAML de ese nodo.

  3. Entra en PingFederate.

  4. "Crea una o varias conexiones de proveedor de servicios (SP) para StorageGRID". Utiliza el ID de conexión SP de cada nodo de administración (que aparece en la tabla de la página Configurar SSO) y los metadatos SAML que descargaste para ese nodo de administración.

    Debes crear una conexión SP para cada nodo de administración que aparece en la tabla.

Configuración de prueba

Antes de aplicar el inicio de sesión único en todo tu sistema StorageGRID, comprueba que el inicio de sesión único y el cierre de sesión único estén correctamente configurados en cada Admin Node.

Active Directory
Pasos

  1. En la página Configurar SSO, busca el enlace en el paso Probar la configuración del asistente.

    La URL se deriva del valor que has introducido en el campo Federation service name.

  2. Selecciona el enlace o copia y pega la URL en un navegador para acceder a la página de inicio de sesión de tu proveedor de identidad.

  3. Para confirmar que puedes utilizar el inicio de sesión único (SSO) para iniciar sesión en StorageGRID, selecciona Sign in to one of the following sites, selecciona el identificador de la parte de confianza correspondiente a tu nodo de administración principal y selecciona Sign in.

  4. Introduce tu nombre de usuario y contraseña federados.

    • Si el inicio de sesión y el cierre de sesión mediante SSO se realizan correctamente, aparece un mensaje de éxito.

    • Si la operación de SSO no se realiza correctamente, aparece un mensaje de error. Soluciona el problema, borra las cookies del navegador e inténtalo de nuevo.

  5. Repite estos pasos para comprobar la conexión de inicio de sesión único (SSO) de cada Admin Node en tu grid.

Entra ID
Pasos

  1. Accede a la página de inicio de sesión único en el portal de Azure.

  2. Selecciona Probar esta aplicación.

  3. Introduce las credenciales de un usuario federado.

    • Si el inicio de sesión y el cierre de sesión mediante SSO se realizan correctamente, aparece un mensaje de éxito.

    • Si la operación de SSO no se realiza correctamente, aparece un mensaje de error. Soluciona el problema, borra las cookies del navegador e inténtalo de nuevo.

  4. Repite estos pasos para comprobar la conexión de inicio de sesión único (SSO) de cada Admin Node en tu grid.

PingFederate
Pasos

  1. En la página Configurar SSO, selecciona el primer enlace en el mensaje de modo Sandbox.

    Selecciona y comprueba un enlace cada vez.

  2. Introduce las credenciales de un usuario federado.

    • Si el inicio de sesión y el cierre de sesión mediante SSO se realizan correctamente, aparece un mensaje de éxito.

    • Si la operación de SSO no se realiza correctamente, aparece un mensaje de error. Soluciona el problema, borra las cookies del navegador e inténtalo de nuevo.

  3. Selecciona el siguiente enlace para verificar la conexión de inicio de sesión único para cada Admin Node en tu grid.

    Si aparece el mensaje «Página caducada», selecciona el botón Atrás de tu navegador y vuelve a introducir tus credenciales.

Habilitar el inicio de sesión único

Cuando hayas comprobado que puedes usar el inicio de sesión único (SSO) para acceder a cada nodo de administración, puedes habilitar el inicio de sesión único para todo tu sistema StorageGRID.

Consejo Cuando el SSO está habilitado, todos los usuarios deben usar el SSO para acceder al Grid Manager, al Tenant Manager, a la Grid Management API y a la Tenant Management API. Los usuarios locales ya no pueden acceder a StorageGRID.
Pasos

  1. En el paso «Configuración de la prueba» del asistente de configuración de SSO, selecciona Enable SSO.

  2. Lee el mensaje de advertencia y selecciona Enable SSO.

    El inicio de sesión único ya está activado. Aparece la página de inicio de sesión único y ahora incluye los detalles del SSO que acabas de configurar.

  3. Para editar la configuración, selecciona Editar.

  4. Para desactivar el inicio de sesión único, selecciona Desactivar SSO.

Consejo Si utilizas el Portal de Azure y accedes a StorageGRID desde el mismo ordenador que usas para acceder a Entra ID, asegúrate de que el usuario del Portal de Azure también sea un usuario autorizado de StorageGRID (un usuario de un grupo federado que se haya importado a StorageGRID) o cierra la sesión del Portal de Azure antes de intentar iniciar sesión en StorageGRID.