Konfiguracja logowania jednokrotnego (SSO) przy użyciu usług federacyjnych w usłudze Active Directory (AD FS)

Jeśli masz konto HubSpot Professional lub Enterprise , możesz skonfigurować logowanie jednokrotne za pomocą usług federacyjnych w usłudze Active Directory (AD FS).

Zrozumienie wymagań

Aby używać AD FS do logowania się na konto HubSpot, musisz spełnić następujące wymagania:

• Wszyscy użytkownicy w instancji Active Directory muszą mieć atrybut adresu e-mail.
• Korzystasz z konta HubSpot Professional lub Enterprise.
• Posiadasz serwer z systemem Windows Server 2008, 2012 lub 2019.

Uwaga: ten proces konfiguracji powinien zostać przeprowadzony przez administratora IT z doświadczeniem w tworzeniu aplikacji na koncie dostawcy tożsamości. Dowiedz się więcej o konfigurowaniu SSO w HubSpot.

Konfiguracja SSO przy użyciu Microsoft AD FS

Zanim zaczniesz, zwróć uwagę na następujące dwie wartości z konta HubSpot, aby skonfigurować SSO przy użyciu Microsoft AD FS:

1. Na koncie HubSpot kliknij settings ikonę ustawień w górnym pasku nawigacyjnym..
2. Na lewym pasku bocznym kliknij Zabezpieczenia.
3. Na karcie Logowanie, w sekcji Konfigurowanie logowania jednokrotnego (SSO ) kliknij przycisk Konfiguruj.
4. W wysuwanym panelu Konfigurowanie logowania jedn okrotnego kliknij kartę Microsoft AD FS .
5. Zwróć uwagę na wartości Audience URI (Service Provider Entity ID) i Sign on URL, ACS, Recipient lub Redirect, ponieważ będziesz musiał dodać je do Microsoft AD FS w procesie konfiguracji.

Dodaj zaufanie strony polegającej (RPT)

Otwórz menedżera Active Directory Federation Services (AD FS):

1. W menedżerze AD FS otwórz folder Relying Party Trusts (RPT) .
2. W menu na prawym pasku bocznym wybierz pozycję Dodaj zaufanie zaufanej strony....
3. W oknie dialogowym Add R elying Party Trust Wizard kliknij przycisk Start , aby dodać nowy RPT.
4. Na ekranie Wybierz źródło danych wybierz opcję Wprowadź dane o stronie ufającej ręcznie. Następnie kliknij przycisk Dalej.
5. W polu Wyświetlana nazwa wprowadź nazwę swojego zaufania - jest to nazwa do celów wewnętrznych, więc upewnij się, że jest łatwo rozpoznawalna. Następnie kliknij przycisk Dalej.
6. Na ekranie Configure Certificate pozostaw ustawienia domyślne, a następnie kliknij Next.
7. Zaznacz pole wyboru Włącz obsługę protokołu SAML 2.0 WebSSO .
8. W polu Relying party SAML 2.0 SSO service URL wprowadź adres URL logowania, ACS, odbiorcy lub przekierowania z konta HubSpot. Następnie kliknij przycisk Dalej.

9. W polu Identyfikator zaufania strony ufającej :
   • Wprowadź wartość Audience URI (Service Provider Entity ID) z konta HubSpot.
   • Wprowadź https://api.hubspot.com, a następnie kliknij Dodaj.
10. Kliknij przycisk Dalej.
11. W oknie Wybierz zasady kontroli dostępu wybierz opcję Zezwalaj wszystkim, a następnie kliknij przycisk Dalej.
12. Przejrzyj ustawienia, a następnie kliknij Dalej.
13. Kliknij Zamknij.

Tworzenie reguł oświadczeń

Przed skonfigurowaniem reguły roszczeń upewnij się, że adresy e-mail użytkowników są zgodne z adresami e-mail użytkowników HubSpot. Możesz użyć innych identyfikatorów, takich jak User Principal Name (UPN), jeśli Twoje UPN mają postać adresu e-mail. Aby logowanie jednokrotne z AD FS działało, identyfikator nameID musi mieć postać adresu e-mail, aby pasował do użytkownika HubSpot.

1. W oknie Claims Rule kliknij przycisk Add Rule.
2. Kliknij menu rozwijane Claim rule template i wybierz opcję Send LDAP Attributes as Claims. Następnie kliknij przycisk Dalej.
3. Na ekranie Konfiguruj regułę roszczenia :
   • W polu Claim rule name wprowadź nazwę reguły.
   • Kliknij menu rozwijane Attribute store i wybierz Active Directory.
   • W tabeli Mapowanie atrybutów LDAP zamapuj następujące elementy:
     • W kolumnie Atrybut LDAP kliknij menu rozwijane i wybierz opcję Adresy e-mail.
     • W kolumnie Outgoing ClaimType kliknij menu rozwijane i wybierz opcję Email Address.
4. Kliknij przycisk Zakończ.

Następnie skonfiguruj regułę Przekształć przychodzące roszczenie:

1. Kliknij przycisk Dodaj regułę.
2. Kliknij menu rozwijane Szablon reguły roszczenia i wybierz opcję Przekształć przychodzące roszczenie. Następnie kliknij przycisk Dalej.
3. Na ekranie Konfiguruj regułę roszczenia :
   • Wprowadź nazwę reguły roszczenia.
   • Kliknij menu rozwijane Typ roszczenia przychodzącego i wybierz Adres e-mail.
   • Kliknij menu rozwijane Outgoing claim type i wybierz Name ID.
   • Kliknij menu rozwijane Format wychodzącego identyfikatora nazwy i wybierz E-mail.
   • Kliknij przycisk Zakończ , aby dodać nową regułę.
4. Kliknij OK , aby dodać obie nowe reguły.

Dostosuj ustawienia zaufania

1. W folderze Zaufania strony odpowiadającej wybierz opcję Właściwości z menu paska bocznego Akcje .
2. Kliknij kartę Zaawansowane i upewnij się, że SHA-256 jest określony jako bezpieczny algorytm skrótu.

Chociaż obsługiwane są zarówno SHA-256, jak i SHA-1, zalecane jest SHA-256.

Zlokalizuj swój certyfikat x509 w formacie PEM

Aby uzyskać dostęp do certyfikatu x509 w formacie PEM:

1. Przejdź do okna zarządzania usługą AD FS . W menu na lewym pasku bocznym przejdź do pozycji Usługi > Certyfikaty.
2. Zlokalizuj certyfikat podpisywania tokenów . Kliknij certyfikat prawym przyciskiem myszy i wybierz opcję Wyświetl certyfikat.

3. W oknie dialogowym kliknij kartę Szczegóły .
4. Kliknij Kopiuj do pliku.
5. W otwartym oknie eksportu certyfikatu kliknij przycisk Dalej.
6. Wybierz opcję Base-64 encoded X.509 (.CER), a następnie kliknij Next.
7. Nadaj nazwę eksportowanemu plikowi, a następnie kliknij Dalej.
8. Kliknij Finish , aby zakończyć eksport.
9. Zlokalizuj wyeksportowany plik i otwórz go za pomocą edytora tekstu, takiego jak Notatnik.
10. Skopiuj zawartość pliku.

Zakończ konfigurację w HubSpot

1. Zaloguj się na swoje konto HubSpot.
2. Na koncie HubSpot kliknij settings ikonę ustawień w górnym pasku nawigacyjnym.
3. Na lewym pasku bocznym kliknij Bezpieczeństwo.
4. Na karcie Logowanie, w sekcji Konfigurowanie logowania jednokrotnego (SSO ) kliknij przycisk Konfiguruj.
5. W wysuwanym panelu Konfigurowanie logowania jednokrotnego kliknij kartę Microsoft AD FS .
6. Wklej zawartość pliku do pola Certyfikat X.509.
7. Wróć do menedżera AD FS.
8. W menu na lewym pasku bocznym wybierz folder Punkty końcowe .
9. Wyszukaj punkt końcowy usługi SSO i adres URL jednostki. Adres URL usługi SSO zwykle kończy się na "adfs/services/ls", a adres URL jednostki kończy się na "adfs/services/trust".
10. Wróć do HubSpot. W polu Identity provider Identifier or Issuer wprowadź adres URL jednostki.
11. W polu Identity Provider Single Sign-On URL wprowadź adres URL usługi SSO.
12. Kliknij przycisk Weryfikuj.

Uwaga: jeśli podczas konfigurowania logowania jednokrotnego w HubSpot wystąpi błąd, sprawdź komunikat o błędzie w dziennikach przeglądarki zdarzeń na urządzeniu. Jeśli nie możesz rozwiązać problemu z komunikatem o błędzie, skontaktuj się z pomocą techniczną HubSpot.