Guía de implementación de SSO de Cintoo

Este artículo describe las ventajas y las opciones disponibles para el inicio de sesión único (SSO) y qué información debe proporcionarse a Cintoo para configurar el SSO correctamente.

TABLA DE CONTENIDO

• Descripción general
• Flujo de autenticación
• Aprovisionamiento de usuarios
• Usuarios externos
• Proceso de implementación del SSO
  • Opción 1: OpenID Connect
    • Azure AD con una aplicación personalizada
    • Okta
    • Otros proveedores
  • Opción 2: SAML

Descripción general

Cintoo puede integrarse con la solución de inicio de sesión único (SSO) corporativa de su empresa para cumplir los requisitos de seguridad corporativos y simplificar la gestión de usuarios.

Cintoo admite los protocolos OpenID Connect (OIDC) y SAML, y es compatible con los siguientes proveedores de identidad:

• Azure AD ( proveedor preferido )
• Microsoft ADFS
• Okta / Okta MyID
• Ping Federate

Póngase en contacto con su representante de ventas de Cintoo o con sales@cintoo.com para suscribirse a la opción de SSO para su cuenta de Cintoo.

Flujo de autenticación

La autenticación en Cintoo se realiza en dos pasos:

• Ingrese el nombre de usuario (dirección de correo electrónico)
• Según el nombre de dominio (la segunda parte del correo electrónico, después del carácter @), se redirige a la pantalla de autenticación nativa de Cintoo (es decir, con un nombre de usuario y una contraseña de Cintoo) o a la pantalla de inicio de sesión del SSO corporativo.

Esto significa que, una vez activado el SSO para el dominio @corp.com, cualquier usuario cuyo inicio de sesión tenga la forma user@corp.com es redirigido a la pantalla de inicio de sesión del proveedor de identidad correspondiente, y no hay forma de volver a la autenticación nativa de Cintoo.

Aprovisionamiento de usuarios

El SSO solo se utiliza para la autenticación y no influye en la forma en que se crean los usuarios en una cuenta de Cintoo. Los usuarios siguen debiendo ser invitados por un administrador de la cuenta o por un gestor de proyectos o de BIM.

Cualquier usuario que intente autenticarse mediante SSO sin haber sido invitado previamente a la cuenta no podrá iniciar sesión.

Usuarios externos

Si se invita a sus proyectos a usuarios externos (es decir, con un correo electrónico de un dominio que usted no controla), de forma predeterminada estos usuarios no se autenticarán con su SSO, ya que el SSO se configura por nombre de dominio.

Ejemplo:

• El nombre de dominio de su empresa es corp.com
• Usted invita a user@guest.com a uno de sus proyectos
• Si guest.com también es cliente de Cintoo y ha contratado la opción de SSO, entonces user@guest.com se autenticará a través del SSO de guest.com (no del SSO de corp.com). De lo contrario, este usuario iniciará sesión mediante la autenticación nativa de Cintoo.

Para aumentar el control sobre sus usuarios externos, puede optar por:

• Agregar a todos los usuarios externos como invitados en su propio directorio de usuarios (p. ej., user-guest@corp.com)
• Contratar un dominio de Cintoo personalizado, es decir, https://corp.cintoo.cloud (póngase en contacto con el equipo de ventas de Cintoo para obtener información). De este modo tendrá su propio tenant de Cintoo, y todos sus proyectos solo serán accesibles a través de https://corp.cintoo.cloud.
• Pedir al equipo de TI de Cintoo que vincule su dominio personalizado con su proveedor de SSO. Esto significa que cualquier usuario que intente abrir un proyecto en https://corp.cintoo.cloud será redirigido a su propio SSO, aunque no tenga una dirección de correo electrónico @corp.com.

Proceso de implementación del SSO

La implementación del SSO siempre sigue estos pasos:

• Póngase en contacto con el equipo de ventas de Cintoo para suscribirse a la opción
• Configure su proveedor de identidad con OIDC o SAML y comunique la información necesaria al equipo de TI de Cintoo a través de support@cintoo.com (consulte los detalles más abajo)
• Valide la configuración del SSO con unos pocos usuarios, mediante una URL de inicio de sesión temporal
• Acuerde con el equipo de TI de Cintoo una fecha de transición, a partir de la cual todos los usuarios de su dominio serán redirigidos a la pantalla de inicio de sesión de su SSO

Configuración del proveedor de identidad

Opción 1: OpenID Connect

Azure AD con una aplicación personalizada

Debe crear su propia aplicación en Azure AD.

En Azure AD, seleccione App registrations y luego New registration

Una vez creada la aplicación, edite la configuración de Authentication y habilite la opción ID tokens.

Anote el Application (client) ID y el Directory (tenant) ID de la aplicación y comunique estos valores al equipo de soporte de Cintoo.

A continuación se muestra cómo agregar este claim opcional.

Es obligatorio agregar un permiso de API de Microsoft Graph para leer la dirección de correo electrónico.

Okta

En Administration de Okta, cree una aplicación nueva.

Seleccione Web / OpenID Connect.

Agregue la URL de redirección necesaria.

En la siguiente pantalla, General Settings, haga clic en Edit y agregue el permiso ID Token with implicit grant.

Una vez hecho esto, vaya a la pestaña Sign On y anote los campos Issuer y Audience de la sección OpenID Connect ID Token.

Estos valores deberán comunicarse al equipo de soporte de Cintoo.

Otros proveedores

Esta es la configuración genérica para cualquier otro proveedor de identidad que utilice OpenID Connect:

• Cree una aplicación Cintoo
• Configure el URI de redirección: https:///login/oauthcb, donde domain depende de su instancia de Cintoo (p. ej., us.cintoo.cloud, eu.cintoo.cloud o ca.cintoo.cloud)
• Permita el ID token con implicit grant
• Permita los siguientes scopes: openID email profile
• Comunique la siguiente información al equipo de soporte de Cintoo:

1. Client ID (ID de cliente)
   2. URL de descubrimiento de OpenID Connect (p. ej., https:///.well-known/openid-configuration )
   Nota: Cintoo identifica el nombre de usuario a partir del campo email de la respuesta OAuth. Si no hay campo email, se utiliza en su lugar el campo upn.

Opción 2: SAML

Estos son los metadatos del proveedor de servicios (Service Provider Metadata) que necesitará configurar en su proveedor de identidad SAML.

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="https://<domain>/saml"> 
    <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"> 
        <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat> 
        <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://<domain>/saml" index="1"/> 
    </md:SPSSODescriptor> 
</md:EntityDescriptor>

Deberá comunicar al equipo de soporte de Cintoo la URL o el archivo de metadatos de su IdP, o al menos los siguientes datos:

• IDP entity ID (ID de entidad del IdP)
• Login URL (URL de inicio de sesión)
• Signing certificate(s) (certificado o certificados de firma)