Skip to main content
Hay disponible una nueva versión de este producto.
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Crea confianzas de terceros en AD FS para StorageGRID

PDF

Debes utilizar los Servicios de federación de Active Directory (AD FS) para crear una relación de confianza de parte confiable para cada nodo de administración de tu sistema. Puedes crear relaciones de confianza de parte confiable usando comandos de PowerShell, importando metadatos SAML desde StorageGRID o introduciendo los datos manualmente.

Antes de empezar

  • ${post_edited_translations.segment}

  • Tienes "ha entrado en modo sandbox" en Grid Manager.

  • Conoces el nombre de dominio completo (o la dirección IP) y el identificador de la parte de confianza de cada nodo de administración en tu sistema. Puedes encontrar estos valores en la tabla de detalles de los nodos de administración en la página StorageGRID Configure SSO.

    Nota Debes crear una relación de confianza de parte confiable para cada Admin Node en tu sistema StorageGRID. Contar con una relación de confianza de parte confiable para cada Admin Node garantiza que los usuarios puedan iniciar sesión y cerrar sesión de forma segura en cualquier Admin Node.

  • ${post_edited_translations.segment}

  • Estás utilizando el complemento de administración de AD FS y perteneces al grupo Administrators.

  • ${post_edited_translations.segment}

Acerca de esta tarea

Estas instrucciones se aplican a Windows Server 2016 AD FS. Si utilizas una versión diferente de AD FS, notarás ligeras diferencias en el procedimiento. Consulta la documentación de Microsoft AD FS si tienes preguntas.

Crea una relación de confianza de parte confiable usando Windows PowerShell

Puedes usar Windows PowerShell para crear rápidamente una o más relaciones de confianza con la parte de confianza.

Pasos

  1. En el menú de inicio de Windows, haz clic con el botón derecho en el icono de PowerShell y selecciona Ejecutar como administrador.

  2. En el símbolo del sistema de PowerShell, introduce el siguiente comando:

    Add-AdfsRelyingPartyTrust -Name "Admin_Node_Identifer" -MetadataURL "https://Admin_Node_FQDN/api/saml-metadata"

    • Para Admin_Node_Identifier, introduce el identificador de la parte de confianza para el Admin Node, exactamente como aparece en la página de inicio de sesión único. Por ejemplo, SG-DC1-ADM1.

    • Para Admin_Node_FQDN, introduce el nombre de dominio completo para ese mismo nodo de administración. (Si es necesario, puedes usar la dirección IP del nodo en su lugar. Sin embargo, si introduces aquí una dirección IP, ten en cuenta que deberás actualizar o volver a crear esta relación de confianza entre partes si esa dirección IP llega a cambiar.)

  3. En el Administrador de servidores de Windows Server, selecciona Herramientas > Administración de AD FS.

    ${post_edited_translations.segment}

  4. Selecciona AD FS > Relying Party Trusts.

    ${post_edited_translations.segment}

  5. Añade una política de control de acceso a la relación de confianza de parte confiable recién creada:

    1. Busca la confianza de la parte confiable que acabas de crear.

    2. Haz clic con el botón derecho del ratón sobre la confianza y selecciona Editar política de control de acceso.

    3. Selecciona una política de control de acceso.

    4. ${post_edited_translations.segment}

  6. Agrega una directiva de emisión de declaraciones a la nueva relación de confianza de la parte confiable:

    1. Busca la confianza de la parte confiable que acabas de crear.

    2. Haz clic con el botón derecho del ratón sobre la confianza y selecciona Editar política de emisión de reclamaciones.

    3. Selecciona Add rule.

    4. En la página «Seleccionar plantilla de regla», selecciona Enviar atributos LDAP como reclamaciones en la lista y selecciona Siguiente.

    5. En la página Configurar regla, introduce un nombre para mostrar para esta regla.

      Por ejemplo, ObjectGUID a ID de nombre o UPN a ID de nombre.

    6. Para el almacén de atributos, selecciona Active Directory.

    7. En la columna Atributo LDAP de la tabla de asignación, escribe objectGUID o selecciona User-Principal-Name.

    8. En la columna Outgoing Claim Type de la tabla de correspondencias, selecciona Name ID en la lista desplegable.

    9. Selecciona Finalizar y, a continuación, OK.

  7. Comprueba que los metadatos se hayan importado correctamente.

    1. Haz clic con el botón derecho del ratón sobre la confianza de la parte dependiente para abrir sus propiedades.

    2. Comprueba que los campos de las pestañas Puntos finales, Identificadores y Firma estén rellenados.

      ${post_edited_translations.segment}

  8. Repite estos pasos para configurar una relación de confianza de parte confiable para todos los nodos de administración en tu sistema StorageGRID.

  9. Cuando hayas terminado, vuelve a StorageGRID y "${post_edited_translations.segment}" para confirmar que están configurados correctamente.

Crea una relación de confianza con una parte confiable importando metadatos de federación

Puedes importar los valores de cada relación de confianza de la parte que confía accediendo a los metadatos SAML de cada Admin Node.

Pasos

  1. En el Administrador de servidores de Windows Server, selecciona Herramientas y, a continuación, selecciona Administración de AD FS.

  2. En Acciones, selecciona Add Relying Party Trust.

  3. En la página de bienvenida, elige Claims aware y selecciona Start.

  4. ${post_edited_translations.segment}

  5. En Dirección de metadatos de la federación (nombre de host o URL), escribe la ubicación de los metadatos SAML de este nodo de administración:

    https://Admin_Node_FQDN/api/saml-metadata

    Para Admin_Node_FQDN, introduce el nombre de dominio completo para ese mismo nodo de administración. (Si es necesario, puedes usar la dirección IP del nodo en su lugar. Sin embargo, si introduces aquí una dirección IP, ten en cuenta que deberás actualizar o volver a crear esta relación de confianza entre partes si esa dirección IP llega a cambiar.)

  6. ${post_edited_translations.segment}

    Nota Al introducir el nombre para mostrar, utiliza el identificador de la parte de confianza del nodo de administración, exactamente como aparece en la página de inicio de sesión único de Grid Manager. Por ejemplo, SG-DC1-ADM1.

  7. Agrega una regla de reclamación:

    1. Haz clic con el botón derecho del ratón sobre la confianza y selecciona Editar política de emisión de reclamaciones.

    2. Selecciona Add rule:

    3. En la página «Seleccionar plantilla de regla», selecciona Enviar atributos LDAP como reclamaciones en la lista y selecciona Siguiente.

    4. En la página Configurar regla, introduce un nombre para mostrar para esta regla.

      Por ejemplo, ObjectGUID a ID de nombre o UPN a ID de nombre.

    5. Para el almacén de atributos, selecciona Active Directory.

    6. En la columna Atributo LDAP de la tabla de asignación, escribe objectGUID o selecciona User-Principal-Name.

    7. En la columna Outgoing Claim Type de la tabla de correspondencias, selecciona Name ID en la lista desplegable.

    8. Selecciona Finalizar y, a continuación, OK.

  8. Comprueba que los metadatos se hayan importado correctamente.

    1. Haz clic con el botón derecho del ratón sobre la confianza de la parte dependiente para abrir sus propiedades.

    2. Comprueba que los campos de las pestañas Puntos finales, Identificadores y Firma estén rellenados.

      ${post_edited_translations.segment}

  9. Repite estos pasos para configurar una relación de confianza de parte confiable para todos los nodos de administración en tu sistema StorageGRID.

  10. Cuando hayas terminado, vuelve a StorageGRID y "${post_edited_translations.segment}" para comprobar que están configurados correctamente.

Crear una relación de confianza de parte confiable manualmente

${post_edited_translations.segment}

Pasos

  1. En el Administrador de servidores de Windows Server, selecciona Herramientas y, a continuación, selecciona Administración de AD FS.

  2. En Acciones, selecciona Add Relying Party Trust.

  3. En la página de bienvenida, elige Claims aware y selecciona Start.

  4. Selecciona Introducir manualmente los datos de la parte confiable y selecciona Siguiente.

  5. Completa el asistente de confianza de la parte que confía:

    1. ${post_edited_translations.segment}

      Para garantizar la coherencia, utiliza el identificador de la parte de confianza del nodo de administración exactamente como aparece en la página de inicio de sesión único de Grid Manager. Por ejemplo, SG-DC1-ADM1.

    2. ${post_edited_translations.segment}

    3. En la página «Configurar URL», selecciona la casilla Habilitar compatibilidad con el protocolo WebSSO de SAML 2.0.

    4. Escribe la URL del punto final del servicio SAML para el nodo de administración:

      https://Admin_Node_FQDN/api/saml-response

      Para Admin_Node_FQDN, introduce el nombre de dominio completo para el Admin Node. (Si es necesario, puedes usar la dirección IP del nodo en su lugar. Sin embargo, si introduces una dirección IP aquí, ten en cuenta que deberás actualizar o volver a crear esta relying party trust si esa dirección IP cambia en algún momento.)

    5. En la página Configurar identificadores, especifica el Relying Party Identifier para el mismo Admin Node:

      Admin_Node_Identifier

      Para Admin_Node_Identifier, introduce el identificador de la parte de confianza para el Admin Node, exactamente como aparece en la página de inicio de sesión único. Por ejemplo, SG-DC1-ADM1.

    6. ${post_edited_translations.segment}

      Aparece el cuadro de diálogo «Edit Claim Issuance Policy».

    Nota Si no aparece el cuadro de diálogo, haz clic con el botón derecho sobre la relación de confianza y selecciona Editar política de emisión de reclamaciones.

  6. ${post_edited_translations.segment}

    1. En la página «Seleccionar plantilla de regla», selecciona Enviar atributos LDAP como reclamaciones en la lista y selecciona Siguiente.

    2. En la página Configurar regla, introduce un nombre para mostrar para esta regla.

      Por ejemplo, ObjectGUID a ID de nombre o UPN a ID de nombre.

    3. Para el almacén de atributos, selecciona Active Directory.

    4. En la columna Atributo LDAP de la tabla de asignación, escribe objectGUID o selecciona User-Principal-Name.

    5. En la columna Outgoing Claim Type de la tabla de correspondencias, selecciona Name ID en la lista desplegable.

    6. Selecciona Finalizar y, a continuación, OK.

  7. Haz clic con el botón derecho del ratón sobre la confianza de la parte dependiente para abrir sus propiedades.

  8. En la pestaña Puntos finales, configura el punto final para el cierre de sesión único (SLO):

    1. Selecciona Add SAML.

    2. ${post_edited_translations.segment}

    3. Selecciona Binding > Redirect.

    4. En el campo URL de confianza, introduce la URL utilizada para el cierre de sesión único (SLO) desde este Admin Node:

      https://Admin_Node_FQDN/api/saml-logout

    Para Admin_Node_FQDN, introduce el nombre de dominio completo del nodo de administración. (si es necesario, puedes usar la dirección IP del nodo en su lugar. Sin embargo, si introduces una dirección IP aquí, ten en cuenta que deberás actualizar o volver a crear esta relación de confianza entre partes si esa dirección IP cambia en algún momento).

    1. Selecciona Aceptar.

  9. En la pestaña Firma, especifica el certificado de firma para esta relación de confianza de parte confiable:

    1. Agrega el certificado personalizado:

      • Si dispones del certificado de gestión personalizado que has subido a StorageGRID, selecciona ese certificado.

      • Si no tienes el certificado personalizado, inicia sesión en el Admin Node, ve al directorio /var/local/mgmt-api del Admin Node y añade el archivo de certificado custom-server.crt.

        Nota No se recomienda utilizar el certificado predeterminado del nodo de administración (server.crt). Si el nodo de administración falla, el certificado predeterminado se volverá a generar al recuperar el nodo, y será necesario actualizar la confianza de la parte que confía.

    2. Selecciona Aplicar y selecciona Aceptar.

      Se guardan y se cierran las propiedades de la parte que confía.

  10. Repite estos pasos para configurar una relación de confianza de parte confiable para todos los nodos de administración en tu sistema StorageGRID.

  11. Cuando hayas terminado, vuelve a StorageGRID y "${post_edited_translations.segment}" para comprobar que están configurados correctamente.