Como configurar o SSO (logon único) usando um provedor de identidade GakuNin
O que é GakuNin?
A Federação de Gerenciamento de Acesso Acadêmico no Japão (GakuNin) é uma federação associada ao Instituto Nacional de Informática (NII). A GakuNin consiste em universidades e institutos de pesquisa que são usuários de recursos eletrônicos acadêmicos e fornecedores de tais recursos eletrônicos. Através da política de confiança mútua estipulada pela Federação, as organizações pode habilitar o acesso federado entre si.
Como ativar o SSO iniciado por um provedor de identidade GakuNin
Para ativar o SSO iniciado por um provedor de identidade GakuNin, siga as instruções a seguir.
1. Faça parte da GakuNin e do eduGAIN
Esses procedimentos exigem que o provedor de identidade da GakuNin participe do eduGAIN. Se necessário, consulte este link para participar do eduGAIN.
Se você não puder participar do eduGAIN ou não for participante da GakuNin, consulte o link para os procedimentos gerais de SSO.
2. Habilite o uso da GakuNin no Dropbox
A configuração para permitir conexões da GakuNin deve estar habilitada no Dropbox. Para habilitar o uso da GakuNin para sua equipe do Dropbox, entre em contato com seu gerente de sucesso do cliente. As instruções a seguir para configurar a seção de Administração do Dropbox não funcionarão a menos que essa configuração tenha sido habilitada.
3. Configure o filtro de atributos do provedor de identidade Shibboleth
Conclua a etapa a seguir para configurar o filtro para enviar o atributo de e‑mail do provedor de identidade para o Dropbox.
Adicione o código abaixo ao arquivo attribute-filter.xml (/opt/shibboleth-idp/conf/attribute-filter.xml).
<AttributeFilterPolicy id="PolicyforDROPBOX">
<PolicyRequirementRule xsi:type="Requester"
value="https://dropbox.com/sp"/>
<AttributeRule attributeID="mail">
<PermitValueRule xsi:type="ANY"/>
</AttributeRule>
</AttributeFilterPolicy>4. Prepare as informações necessárias
Para configurar o SSO na seção de Administração do Dropbox, você precisará de duas informações: a URL de acesso e o certificado X.509.
Utilize o valor de IdPSSODescriptor nos metadados do provedor de identidade como o URL de acesso à conta. Consulte o exemplo a seguir.
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
Location="https://idp.gakunin.nii.ac.jp/idp/profile/SAML2/Redirect/SSO"/>https://idp.gakunin.nii.ac.jp/idp/profile/SAML2/Redirect/SSOO arquivo na pasta do provedor de identidade pode ser usado para o certificado X.509. Um caminho de arquivo típico para este certificado é /opt/shibboleth-idp/credentials/server.crt
5. Configure a seção de administração do Dropbox
- Acesse sua conta no site dropbox.com usando suas credenciais de administrador.
- Clique na seção de Administração.
- Clique em Configurações.
- Em Autenticação, selecione SSO (Logon único).
- Habilite o SSO no modo Opcional ou Obrigatório. O modo Opcional é para testes e o modo Obrigatório é para produção.
- Cole a URL de acesso (coletada anteriormente neste artigo).
- Carregue o certificado X.509 (coletado anteriormente neste artigo).
- Em SAML NameID Format, selecione Transient ID + Email Assertion e salve. (Se o uso da GakuNin não estiver ativado, esse item não será exibido).
Perguntas frequentes
Como usar essa estrutura de SSO com uma conta pessoal existente?
O SSO pode ser usado com o Dropbox Advanced, Enterprise e Education. Para usar o SSO com uma conta pessoal, você precisará entrar em uma equipe do Dropbox ou equipe do Education habilitada para SSO e se tornar um membro da equipe.
Se você for o administrador de uma equipe do Dropbox ou do Education, poderá habilitar o SSO para sua equipe.
Como entrar em uma equipe com uma conta pessoal?
O administrador da equipe convida contas pessoais para participar. Um usuário com uma conta pessoal que tenha sido convidado a participar de uma equipe tem as seguintes opções:
- Aceitar o convite e entrar para a equipe com todos os arquivos.
- Mover os arquivos pessoais para outro ambiente (outra conta do Dropbox, outro serviço de nuvem, disco rígido, etc.) e entrar na equipe com os arquivos que deseja levar consigo.
- Alterar o e‑mail da sua conta pessoal para outro endereço e entrar na equipe como um novo usuário.
Se eu aceitar um convite para uma equipe, o conteúdo da minha conta pessoal ficará visível para os outros usuários?
Entrar em uma equipe não fará com que seus arquivos fiquem visíveis para outros usuários. Seus arquivos e pastas permanecerão acessíveis somente a você, desde que não convide outros usuários para uma pasta e a torne compartilhada ou coloque seus arquivos em uma pasta de equipe gerenciada pela equipe. O mesmo se aplica a arquivos e pastas em seu computador. No entanto, os administradores de equipe podem usar o recurso Acessar como usuário para fazer login como um membro da equipe e também podem visualizar os registros de operação.
Saiba mais sobre os arquivos aos quais os membros e administradores da sua equipe têm acesso.
Uma conta que já tenha entrado em outra equipe pode ser convidada?
Uma conta não pode participar de várias equipes. Se for convidado para uma equipe diferente daquela na qual você já entrou, não poderá entrar nela a menos que saia da equipe em que está.
