Configurando OpenID SSO para PingOne

Estas etapas mostram como configurar a funcionalidade de single sign-on (SSO) usando OpenID entre ManageEngine ADSelfService Plus e PingOne.

Pré-requisitos

1. Faça login no ADSelfService Plus como administrador.
2. Vá para Configuration > Password Sync/Single Sign On e clique em Add Application. Selecione PingOne na lista.
Nota: Você também pode usar a barra de pesquisa no canto superior esquerdo da página para buscar o aplicativo.
3. Clique em IdP Details e selecione a aba SSO (OAuth/OpenID Connect).
4. Copie as informações de Client ID, Client Secret, Issuer, Authorization Endpoint URL, Token Endpoint URL e User Endpoint URL.

Etapas de configuração do PingOne (provedor de serviço)

1. Faça login no PingOne com credenciais de administrador.
2. Clique no ícone PingOne for Customers ao lado do ambiente End User Sandbox.



3. Vá para Connections > Identity Providers > Add Provider.



4. Selecione OpenID Connect em Custom. Clique em Next.



5. Em Create IdP Profile, insira um nome e descrição adequados para o ADSelfService Plus. Você também pode personalizar o ícone e o botão de login aqui.
6. Clique em Continue.
7. Na página Configure OpenID Connect Connections, copie a CALLBACK URL, pois será necessária em uma etapa posterior.
8. Preencha os campos obrigatórios com os detalhes copiados em Step 4 of prerequisites:
1. CLIENT ID: Client ID
2. CLIENT SECRET: Client secret
3. ISSUER: Issuer
4. AUTHORIZATION ENDPOINT: Authorization Endpoint URL
5. TOKEN ENDPOINT: Token Endpoint URL
6. USERINFO ENDPOINT: User Endpoint URL
7. JWKS ENDPOINT: Keys Endpoint URL



9. Clique em Save and Continue.
10. Na página Map attributes, clique em Save & Finish.

Etapas de configuração do ADSelfService Plus (provedor de identidade)

1. Volte para a página de configuração do PingOne no ADSelfService Plus.



2. Insira o Application Name e a Description conforme suas preferências.
3. Insira o Domain Name da sua conta PingOne. Por exemplo, se seu nome de usuário PingOne for johnwatts@thinktodaytech.com, então thinktodaytech.com é seu nome de domínio.
4. No campo Assign Policies, selecione as políticas para as quais o SSO deve ser habilitado.
Nota: O ADSelfService Plus permite criar políticas baseadas em OU e grupos para seus domínios AD. Para criar uma política, vá para Configuration > Self-Service > Policy Configuration > Add New Policy.
5. Na aba OAuth/OpenID Connect, selecione Enable OAuth/OpenID Connect.
6. Insira a URL de login do portal PingOne no campo SP Login Initiate URL.
Nota: O PingOne requer que o login comece na página de login deles, conhecido como login iniciado pelo SP. Os usuários são primeiro direcionados para a página de login do PingOne, especificada no campo SP Login Initiate URL, após o que o PingOne os redireciona para o ADSelfService Plus (o IdP) para autenticação.
7. Insira a Call Back URL copiada em Step 7 of configuring PingOne no campo SSO Redirect URL.
8. Usando o menu suspenso Scopes, selecione openid, que é o escopo necessário para autenticação OIDC. Você também pode especificar escopos como profile ou email para incluir informações extras do usuário na solicitação de autorização.
Nota: Os escopos especificam o nível de acesso que o token de acesso possui. Eles são normalmente incluídos na solicitação de autorização. Especifique os escopos para os quais deseja permitir acesso ao seu token de autorização, usando o menu suspenso.
9. Clique em Add Application para salvar a configuração.

A Well-known Configuration URL no pop-up the IdP details contém todos os valores dos endpoints, escopos suportados, modos de resposta, modos de autenticação do cliente e detalhes do cliente. Isso é habilitado somente após você terminar de configurar o aplicativo para SSO no ADSelfService Plus. Você pode fornecer isso ao seu provedor de serviço, se necessário.