Skip to main content
Se proporciona el idioma español mediante traducción automática para su comodidad. En caso de alguna inconsistencia, el inglés precede al español.

Crear grupos de aplicaciones en AD FS para OIDC en StorageGRID

Colaboradores netapp-pcarriga
PDF

Debes utilizar Active Directory Federation Services (AD FS) para crear un grupo de aplicaciones para cada Admin Node de OpenID Connect (OIDC) en tu sistema.

Antes de empezar

  • Dispones del nombre de dominio completo (o la dirección IP) y del identificador de la parte que confía para cada Admin Node en tu sistema.

    Nota Cada nodo de administración de tu sistema StorageGRID debe tener un grupo de aplicaciones. Esto garantiza que los usuarios puedan iniciar sesión y cerrar sesión de forma segura en cualquier nodo de administración. Puedes crear un único grupo de aplicaciones para todos los nodos de administración (recomendado) o un grupo de aplicaciones diferente para cada nodo de administración.

  • Tienes experiencia creando grupos de aplicaciones en AD FS o tienes acceso a la documentación de Microsoft AD FS.

  • Está utilizando el complemento Administración de AD FS y pertenece al grupo Administradores.

Acerca de esta tarea

Estas instrucciones se aplican a Windows Server 2022 AD FS. Si utilizas una versión diferente de AD FS, notarás ligeras diferencias en el procedimiento. Consulta la documentación de Microsoft AD FS si tienes preguntas.

Paso 1: Crear un grupo de aplicaciones

Puedes usar Windows PowerShell para crear rápidamente un grupo de aplicaciones.

Pasos

  1. En Windows Server Manager, seleccione Herramientas > Administración de AD FS.

  2. Selecciona Grupos de aplicaciones > Add Application Group

  3. Para Nombre, introduce el identificador de la parte que confía.

  4. En «Plantilla», selecciona Aplicaciones cliente-servidor > Aplicación de servidor que accede a una API web.

  5. Seleccione Siguiente.

  6. Anota el valor del identificador de cliente.

  7. En el campo URI de redirección, introduce el nombre de dominio completo (o la dirección IP) callback y logged-out las URI para el nodo de administración:

    Introduce los URI de cada nodo de administración si utilizas un único grupo de aplicaciones para todos los nodos de administración. Si utilizas un grupo de aplicaciones diferente para cada nodo de administración, introduce únicamente los URI del nodo de administración correspondiente.

  8. Seleccione Agregar.

  9. Selecciona Generar un secreto compartido, anota el valor de Secreto y luego selecciona Siguiente.

  10. Introduce el identificador del cliente para Identificador.

  11. Selecciona Add y luego selecciona Siguiente.

  12. Selecciona Permitir a todo el mundo.

  13. Comprueba que la aplicación de servidor esté seleccionada en Client application (caller).

  14. En «Ámbitos permitidos», comprueba que solo estén seleccionadas las siguientes opciones:

    • allatclaims

    • correo electrónico

    • openid

    • perfil

  15. Selecciona Siguiente > Siguiente.

  16. Selecciona Cerrar.

Paso 2: configura las reglas de transformación de emisión

Configura las reglas de transformación de emisión para cada grupo de aplicaciones.

Pasos

  1. En la página Administración de AD FS, haz clic con el botón derecho en el grupo de aplicaciones y luego selecciona Propiedades.

  2. Selecciona la API web creada anteriormente y luego selecciona Editar.

  3. Selecciona Issuance Transform Rules > Add Rule …​.

  4. En Plantilla de reglas de reclamaciones:, selecciona Enviar atributo LDAP como reclamaciones.

  5. Seleccione Siguiente.

  6. Introduce un nombre para la regla de reclamación.

  7. Selecciona Active Directory para el almacén de atributos.

  8. Agrega las asignaciones de atributos LDAP a los tipos de reclamaciones salientes:

    • E-Mail Addresses - E-Mail Address

    • Token-Groups - Unqualified Names - Group

  9. Seleccione Finalizar.

  10. Selecciona Aplicar > OK > OK.

Qué sigue

Una vez creados los grupos de aplicaciones, "configura el SSO usando OIDC".