Configurando a autenticação

• Active Directory (NÃO Azure Active Directory )

• Okta

• Onelogin

• Keycloak

Para obter o arquivo ` IdPs ` sem o guia de início rápido, consulte as seções a seguir.

Para ativar o SAML, você deve criar uma aplicação SAML para o Instana no seu IdP e atribuí-la a usuários individuais. Aos usuários criados por meio do SAML é atribuída automaticamente a função padrão.

As instalações auto-hospedadas que não criaram a chave do provedor de serviços anteriormente devem criar essa chave e configurar o provedor de serviços. Para obter mais informações sobre como configurar um provedor de serviços, consulte Configurando um provedor de serviços.

Instana oferece dois métodos para configurar o SAML com o seu IdP:

• Configuração automatizada por meio da troca de arquivos de metadados
• Configuração manual inserindo os valores necessários no arquivo ` IdP `

Você pode configurar esses dois métodos na caixa de diálogo “Configurar autenticação - SAML ” em Instana.

Alguns provedores de identidade ( IdPs ) oferecem suporte à configuração automática do SAML por meio da troca de arquivos de metadados. Para configurar automaticamente a autenticação d SAML :

1. No menu de navegação da interface do usuário do Instana, acesse Configurações > Segurança e acesso > Provedores de identidade > SAML.
2. Insira o endereço de e-mail e o ID da entidade do provedor de serviços (SP) na caixa de diálogo “Configurar autenticação - SAML ”.
3. Selecione **Automático ** se o seu ** IdP ** permitir o envio de metadados do ** Instana **.
4. Clique em “Baixar metadados de Instana ”.
5. Carregue os metadados do ` Instana ` baixados no seu provedor de identidade.
6. Baixe os metadados do ` IdP ` do seu ` IdP `.
7. Clique em “Escolher arquivo” para fazer o upload para Instana e envie seus metadados de IdP para Instana.
8. Abra uma nova guia anônima ou um navegador diferente e tente fazer login em Instana usando suas credenciais do IdP para verificar a configuração.

Você pode usar a configuração manual caso seu provedor de identidade não permita o envio de metadados d Instana. Para a configuração manual, é necessário inserir os valores de metadados do aplicativo " SAML ". Para evitar erros, copie e cole os valores necessários da caixa de diálogo “Configurar autenticação - SAML ” na interface do usuário do Instana.

Para configurar manualmente a autenticação d SAML :

1. No menu de navegação da interface do usuário do Instana, acesse Configurações > Segurança e acesso > Provedores de identidade > SAML.
2. Insira o endereço de e-mail e o ID da entidade do provedor de serviços (SP) na caixa de diálogo “Configurar autenticação - SAML ”.
3. Selecione Manual.
4. No seu IdP,, crie uma aplicação SAML utilizando os valores fornecidos na interface do usuário do Instana. Para obter mais informações sobre os valores, consulte os valores de metadados do Instana,
5. Baixe os metadados do ` IdP ` do seu ` IdP `.
6. Clique em “Escolher arquivo” para fazer o upload para Instana e envie o arquivo de metadados IdP.
7. Abra uma nova guia anônima ou um navegador diferente e tente fazer login em Instana usando suas credenciais do IdP para verificar a configuração.

O nome de usuário é gerado a partir de atributos d SAML, fornecidos pelo IdP durante o login.

A recomendação geral de atributos de X500-style e seus aliases bem conhecidos são seguidos

A lógica a seguir é aplicada para extrair um nome de usuário dos atributos fornecidos:

• Verifique se um nome de exibição foi fornecido como um dos seguintes nomes de atributos: name/displayname/cn/urn:oid:2.5.4.3.
• Verifique se um nome foi fornecido como um dos seguintes nomes de atributos: firstname/givenname/gn/userfirstname/urn:oid:2.5.4.42.
• Verifique se um sobrenome foi fornecido como um dos nomes de atributos a seguir: lastname/sn/userlastname/surname/urn:oid:2.5.4.4

O nome de exibição tem precedência sobre todas as outras opções. Se o nome de exibição não for localizado, mas apenas um nome, um sobrenome ou ambos forem localizados, serão usados nomes localizados. Se nada for encontrado, a cadeia de caracteres antes do @-sign de NameID (que é o user-eMail) será usada para gerar um nome.

As mudanças de nome são refletidas após um usuário ter efetuado logout, pois ele requer uma troca com o IdP.

Para exibir o item " SAML " no painel de navegação, configure core.secret da seguinte forma:

1. Insira mykeypass como keyPassword.

    # SAML configuration
    serviceProviderConfig:
    # Password for the key/cert file
    keyPassword: mykeypass
    

2. Crie a chave executando o seguinte comando:

   openssl genrsa -aes128 -out key.pem 2048
    

3. Crie o certificado executando o seguinte comando:

   openssl req -new -x509 -key key.pem -out cert.pem -days 365
    

4. Combine a chave e o certificado em um único arquivo executando o seguinte comando:

   cat key.pem cert.pem > sp.pem
    

Para acessar o formulário de configuração, no menu de navegação da interface do usuário do Instana, clique em Configurações > Segurança e acesso > Provedores de identidade.

Para configurar a Instana como um provedor de serviços para o seu aplicativo do lado do IdP. Os valores de seu IdP a seguir são necessários.

• ClientID: Esse é o identificador atribuído ao seu aplicativo pelo provedor de identidade.

• Segredo do cliente: trata-se de um token utilizado pelo Instana para verificar a autenticidade da resposta do provedor de identidade. Esse valor é uma chave secreta e é mantido em segurança.

• URL de descoberta: utilize um URL de descoberta da sua configuração OIDC, e o Instana irá buscá-lo automaticamente.

• Conta de administrador / proprietário: um endereço de e-mail de uma conta OIDC deve ser inserido aqui. Os direitos de owner são inicialmente concedidos a esta conta após a comutação para o fluxo OIDC; os direitos default serão designados a todas as outras.

Além disso, os valores a seguir são importantes para a configuração do lado do IdP.

• URL de redirecionamento: O URI de redirecionamento definido no IdP determina para onde as respostas são enviadas a partir de Instana.
• Encerrar sessão URL / Sair URL : Para sair do IdP-initiated.