Come configurare il Single sign-on (SSO) tramite provider di identità GakuNin
Cos’è la GakuNin?
L’Academic Access Management Federation in Japan (GakuNin) è una federazione associata al National Institute of Informatics (NII). La GakuNin comprende università e istituti di ricerca che utilizzano e forniscono a loro volta risorse accademiche elettroniche. La politica di fiducia reciproca stipulata dalla GakuNin consente l’accesso federato alle risorse delle organizzazioni che ne fanno parte.
Come attivare l’SSO avviato da provider di identità GakuNin
Per attivare l’SSO avviato da un provider di identità della GakuNin, segui questa procedura.
1. Registrazione a GakuNin ed eduGAIN
La procedura richiede che i provider di identità GakuNin si registrino a eduGAIN. Se necessario, consulta questo link per la registrazione a eduGAIN.
Se non riesci a registrarti a eduGAIN o non fai parte della GakuNin, consulta il link alle procedure generali per l’SSO.
2. Attivazione GakuNin in Dropbox
È necessario attivare le impostazioni per autorizzare il collegamento dalla GakuNin in Dropbox. Per attivare GakuNin per il tuo team Dropbox, contatta il Customer Success Manager. Le seguenti istruzioni per la configurazione della Console amministratore di Dropbox non funzioneranno se questa impostazione non è stata attivata.
3. Configurazione del filtro degli attributi del provider di identità Shibboleth
Completa il passaggio seguente per configurare il filtro per l’invio dell’attributo di posta dal provider di identità a Dropbox.
Aggiungi il codice seguente al file attribute-filter.xml (/opt/shibboleth-idp/conf/attribute-filter.xml) .
<AttributeFilterPolicy id="PolicyforDROPBOX">
<PolicyRequirementRule xsi:type="Requester"
value="https://dropbox.com/sp"/>
<AttributeRule attributeID="mail">
<PermitValueRule xsi:type="ANY"/>
</AttributeRule>
</AttributeFilterPolicy>4. Preparazione delle informazioni necessarie
Per configurare l'SSO nella Console amministratore di Dropbox, ti serviranno due informazioni: l'URL di accesso e il certificato X.509.
Utilizza il valore di IdPSSODescriptor nei metadati del provider di identità per l’URL di accesso. Consulta l’esempio seguente.
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
Location="https://idp.gakunin.nii.ac.jp/idp/profile/SAML2/Redirect/SSO"/>https://idp.gakunin.nii.ac.jp/idp/profile/SAML2/Redirect/SSOÈ possibile utilizzare il file nella cartella del provider di identità per il certificato X.509. Un percorso tipico di file per questo certificato è /opt/shibboleth-idp/credentials/server.crt
5. Configurazione della Console amministratore di Dropbox
- Accedi a dropbox.com con le credenziali di amministratore.
- Fai clic su Console amministratore.
- Fai clic su Impostazioni.
- In Autenticazione, seleziona Single sign-on.
- Attiva l'SSO in modalità opzionale o obbligatoria (la modalità opzionale serve per eseguire test, mentre quella obbligatoria per la produzione).
- Incolla l'URL di accesso (ottenuto in precedenza in questo articolo).
- Carica il certificato X.509 (ottenuto in precedenza in questo articolo).
- In Formato NameID SAML, seleziona ID temporaneo + Asserzione Email e salva. Se GakuNin non è attivato, questo elemento non viene visualizzato.
Domande frequenti
Come posso utilizzare questo framework di SSO con un account personale esistente?
L’SSO può essere utilizzato con Dropbox Advanced, Enterprise ed Education. Per utilizzare l’SSO con un account personale, è necessario unirsi a un team Dropbox o Education che ha attivato l’SSO e diventarne membro.
Se amministri un team Dropbox o Education, puoi attivare il Single sign-on per il team.
Come possono unirmi a un team con un account personale?
L’amministratore del team invita gli account personali a unirsi. Un utente con un account personale che è stato invitato a unirsi a un team ha le seguenti opzioni:
- Accettare l’invito così com’è e unirsi al team con tutti i file.
- Spostare i file personali in un altro ambiente (un altro account Dropbox, un altro servizio cloud, un disco rigido ecc.) e unirsi al team con i file che desidera condividere.
- Sostituire l’indirizzo email personale con uno diverso e unirsi al team come nuovo utente.
Se accetto un invito a un team, i contenuti del mio account personale saranno visibili agli altri utenti?
Quando ti unisci a un team, i tuoi file non saranno visibili agli altri utenti, ma rimarranno accessibili solo a te finché non inviterai altri utenti a una cartella rendendola condivisa o finché non aggiungerai i tuoi file a una cartella gestita dal team. Lo stesso vale per i file e le cartelle sul tuo computer. Tuttavia, gli amministratori possono accedere al team come semplici membri e visualizzare i registri delle operazioni.
Scopri di più su quali file sono accessibili da membri e amministratore del team.
È possibile invitare un account che fa già parte di un altro team?
Gli account non possono far parte di più team. Se ricevi un invito da un team diverso da quello di cui sei già membro, non potrai entrare a farne parte a meno che non abbandoni il team di cui sei membro.
