Konfiguracja logowania jednokrotnego (SSO) przy użyciu usług federacyjnych w usłudze Active Directory (AD FS)

Jeśli masz konto HubSpot Professional lub Enterprise , możesz skonfigurować logowanie jednokrotne za pomocą usług federacyjnych w usłudze Active Directory (AD FS).

Przed rozpoczęciem

Aby używać AD FS do logowania się na konto HubSpot, musisz spełnić następujące wymagania:

• Wszyscy użytkownicy w instancji Active Directory muszą mieć atrybut adresu e-mail.
• Korzystasz z konta HubSpot Professional lub Enterprise.
• Posiadasz serwer z systemem Windows Server 2008, 2012 lub 2019.

Uwaga: ten proces konfiguracji powinien zostać przeprowadzony przez administratora IT z doświadczeniem w tworzeniu aplikacji na koncie dostawcy tożsamości. Dowiedz się więcej o konfigurowaniu SSO w HubSpot.

Konfiguracja SSO przy użyciu Microsoft AD FS

1. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
2. W menu na lewym pasku bocznym przejdź do sekcji Bezpieczeństwo.
3. Na karcie Logowanie , jeśli nie skonfigurowano ustawień logowania do portalu, kliknij przycisk Konfiguruj ustawienia logowania do portalu. Lub w sekcji Logowanie jednokrotne (SSO ) kliknij Konfiguruj.
4. W prawym panelu włącz przełącznik I'm using Microsoft AD FS (legacy on-premise) .
5. Skopiuj wartości Audience URI (Service Provider Entity ID) i Sign on URL, ACS, Recipient lub Redirect. Będziesz musiał dodać obie wartości do Microsoft AD FS podczas procesu konfiguracji.

Dodaj zaufanie strony polegającej (RPT)

Otwórz menedżera Active Directory Federation Services (AD FS):

1. W menedżerze AD FS otwórz folder Relying Party Trusts (RPT) .
2. Z menu na prawym pasku bocznym wybierz pozycję Dodaj zaufanie zaufanej strony....
3. W oknie dialogowym Add R elying Party Trust Wizard kliknij przycisk Start , aby dodać nowy RPT.
4. Na ekranie Wybierz źródło danych wybierz opcję Wprowadź dane o stronie ufającej ręcznie. Następnie kliknij przycisk Dalej.
5. W polu Wyświetlana nazwa wprowadź nazwę swojego zaufania - jest to nazwa do celów wewnętrznych, więc upewnij się, że jest łatwo rozpoznawalna. Następnie kliknij przycisk Dalej.
6. Na ekranie Configure Certificate pozostaw ustawienia domyślne, a następnie kliknij Next.
7. Zaznacz pole wyboru Włącz obsługę protokołu SAML 2.0 WebSSO .
8. W polu Relying party SAML 2.0 SSO service URL wprowadź adres URL logowania, ACS, odbiorcy lub przekierowania z konta HubSpot. Następnie kliknij przycisk Dalej.

9. W polu Identyfikator zaufania strony ufającej :
   • Wprowadź wartość Audience URI (Service Provider Entity ID) z konta HubSpot.
   • Wprowadź https://api.hubspot.com, a następnie kliknij Dodaj.
10. Kliknij przycisk Dalej.
11. W oknie Wybierz zasady kontroli dostępu wybierz opcję Zezwalaj wszystkim, a następnie kliknij przycisk Dalej.
12. Przejrzyj ustawienia, a następnie kliknij Dalej.
13. Kliknij Zamknij.

Tworzenie reguł oświadczeń

Przed skonfigurowaniem reguły roszczeń upewnij się, że adresy e-mail użytkowników są zgodne z adresami e-mail użytkowników HubSpot. Możesz użyć innych identyfikatorów, takich jak User Principal Name (UPN), jeśli Twoje UPN mają postać adresu e-mail. Aby logowanie jednokrotne z AD FS działało, identyfikator nameID musi mieć postać adresu e-mail, aby pasował do użytkownika HubSpot.

1. W oknie Claims Rule kliknij przycisk Add Rule.
2. Kliknij menu rozwijane Claim rule template i wybierz Send LDAP Attributes as Claims. Następnie kliknij przycisk Dalej.
3. Na ekranie Konfiguruj regułę roszczenia :
   • W polu Claim rule name wprowadź nazwę reguły.
   • Kliknij menu rozwijane Attribute store i wybierz Active Directory.
   • W tabeli Mapowanie atrybutów LDAP zamapuj następujące elementy:
     • W kolumnie Atrybut LDAP kliknij menu rozwijane i wybierz Adresy e-mail.
     • W kolumnie Outgoing ClaimType kliknij menu rozwijane i wybierz opcję Email Address.
4. Kliknij przycisk Zakończ.

Następnie skonfiguruj regułę Przekształć przychodzące roszczenie:

1. Kliknij przycisk Dodaj regułę.
2. Kliknij menu rozwijane Szablon reguły roszczenia i wybierz opcję Przekształć przychodzące roszczenie. Następnie kliknij przycisk Dalej.
3. Na ekranie Konfiguruj regułę roszczenia :
   • Wprowadź nazwę reguły roszczenia.
   • Kliknij menu rozwijane Typ roszczenia przychodzącego i wybierz Adres e-mail.
   • Kliknij menu rozwijane Outgoing claim type i wybierz Name ID.
   • Kliknij menu rozwijane Format wychodzącego identyfikatora nazwy i wybierz E-mail.
   • Kliknij przycisk Zakończ , aby dodać nową regułę.
4. Kliknij OK , aby dodać obie nowe reguły.

Dostosuj ustawienia zaufania

1. W folderze Zaufania strony odpowiadającej wybierz opcję Właściwości z menu paska bocznego Akcje .
2. Kliknij kartę Zaawansowane i upewnij się, że SHA-256 jest określony jako bezpieczny algorytm skrótu.

Chociaż obsługiwane są zarówno SHA-256, jak i SHA-1, zalecane jest SHA-256.

Zlokalizuj swój certyfikat x509 w formacie PEM

Aby uzyskać dostęp do certyfikatu x509 w formacie PEM:

1. Przejdź do okna zarządzania usługą AD FS . W menu na lewym pasku bocznym przejdź do pozycji Usługi > Certyfikaty.
2. Zlokalizuj certyfikat podpisywania tokenów . Kliknij certyfikat prawym przyciskiem myszy i wybierz opcję Wyświetl certyfikat.

3. W oknie dialogowym kliknij kartę Szczegóły .
4. Kliknij Kopiuj do pliku.
5. W otwartym oknie eksportu certyfikatu kliknij przycisk Dalej.
6. Wybierz opcję Base-64 encoded X.509 (.CER), a następnie kliknij Next.
7. Nadaj nazwę eksportowanemu plikowi, a następnie kliknij Dalej.
8. Kliknij Finish , aby zakończyć eksport.
9. Zlokalizuj wyeksportowany plik i otwórz go za pomocą edytora tekstu, takiego jak Notatnik.
10. Skopiuj zawartość pliku.

Zakończ konfigurację w HubSpot

1. Zaloguj się na swoje konto HubSpot.
2. Na koncie HubSpot kliknij ikonę ustawień w górnym pasku nawigacyjnym.
3. W menu na lewym pasku bocznym przejdź do sekcji Bezpieczeństwo.
4. Na karcie Logowanie w sekcji Logowanie jednokrotne (SSO ) kliknij przycisk Konfiguruj.
5. Wklej zawartość pliku do pola Certyfikat X.509.
6. Wróć do menedżera AD FS.
7. W menu na lewym pasku bocznym wybierz folder Punkty końcowe .
8. Wyszukaj punkt końcowy usługi SSO i adres URL jednostki. Adres URL usługi SSO zwykle kończy się na "adfs/services/ls", a adres URL jednostki kończy się na "adfs/services/trust".
9. Wróć do HubSpot. W polu Identity Provider Identifier lub Issuer URL wprowadź adres URL jednostki.
10. W polu Identity Provider Single Sign-On URL wprowadź adres URL usługi SSO.
11. Kliknij przycisk Weryfikuj.

Uwaga: jeśli podczas konfigurowania logowania jednokrotnego w HubSpot wystąpi błąd, sprawdź komunikat o błędzie w dziennikach przeglądarki zdarzeń na urządzeniu. Jeśli nie możesz rozwiązać problemu z komunikatem o błędzie, skontaktuj się z pomocą techniczną HubSpot.