Configurar el SAML de NinjaOne en Okta

Tema

En este artículo se describe cómo integrar la aplicación Okta con NinjaOne por medio del lenguaje de marcado de aserciones de seguridad (SAML).

Entorno

• Integraciones de NinjaOne
• Okta

Descripción

SAML permite a los técnicos acceder a la aplicación NinjaOne mediante un inicio de sesión único (SSO) con su proveedor preferido. SAML se puede utilizar tanto con la aplicación web estándar de NinjaOne como con la personalizada, que admite múltiples Proveedores de identidad (IDP). Para obtener más información sobre el uso de SAML con NinjaOne, consulta «Gestión de la autenticación de identidad de NinjaOne: Acerca del lenguaje de marcado de aserciones de seguridad (SAML) iniciado por el IDP».

Índice

• Integración de SAML con NinjaOne
  • Requisitos previos
  • Funciones compatibles
• Configurar SSO en NinjaOne
  • Crear una integración SAML de NinjaOne en Okta mediante la plantilla de Okta Integration Network (OIN)
  • Completar la configuración del SSO en NinjaOne
  • Configurar SAML de NinjaOne con una aplicación SAML 2.0 personalizada
• Configurar SSO para usuarios existentes
• Recursos adicionales

Integración SAML de NinjaOne

Requisitos previos

Asegúrate de que, para cada usuario de SSO en NinjaOne, exista un correo electrónico en Okta que coincida.

• Si utiliza una URL de creación de marca, asegúrese de que tanto el nombre de dominio personalizado como los nombres de host nativos estén especificados en la configuración de la integración con Okta. De este modo, se garantizará que ambos estén configurados como URL del Servicio de Consumidor de Aserciones (ACS).
• Si tiene previsto usar la opción de omisión de la autenticación multifactor (MFA) en el inicio de sesión de NinjaOne:
  • Configura tus políticas de autenticación en Okta para que se realice la MFA durante el inicio de sesión en Okta.
  • Deberá configurar una propiedad en su aplicación de Okta que haga referencia a «session.amr» siguiendo las instrucciones de «Pass Dynamic Authentication Context | Okta Classic Engine» (enlace externo). De forma predeterminada, NinjaOne busca un atributo SAML denominado «amr», que debe contener el valor «mfa» cuando el usuario realiza la MFA para la sesión. NinjaOne agrega este atributo de forma predeterminada a la aplicación, que se encuentra en el catálogo de Okta Integration Network (OIN).
  • La omisión de la autenticación multifactorial (MFA) solo se producirá en las cuentas que hayan accedido a Okta mediante autenticación multifactorial. Si Okta no devuelve el atributo «mfa» de la Referencia de métodos de autenticación (AMR), NinjaOne no omitirá la autenticación multifactorial nativa de NinjaOne. Revisa tu política de autenticación en Okta para confirmar que se requiere la autenticación multifactorial para acceder al menos a NinjaOne, accediendo a Políticas de inicio de sesión en aplicaciones | Okta Identity Engine (externo). Okta Verify no devuelve un valor AMR de «mfa» y requiere un método de MFA complementario para omitir la MFA de NinjaOne. 
• Si ya dispone de una configuración de SSO de NinjaOne con Okta y desea añadir la función de SSO iniciado por el proveedor de identidad (IDP), deberá eliminar y volver a crear la aplicación del proveedor de identidad tanto en NinjaOne como en Okta.

Funciones compatibles

Para obtener más información sobre las funciones enumeradas, consulta el Glosario de Okta. 

• SSO iniciado por el SP
• SSO iniciado por el IDP 

Configurar SSO en NinjaOne

Consulte «Seguridad de inicio de sesión: Configurar el inicio de sesión único en NinjaOne» para configurar el SSO para su IDP en NinjaOne. 

• En el campo «¿Qué dominios de correo electrónico se autenticarán mediante esta integración?», agrega los dominios de correo electrónico de los usuarios que se autenticarán con este proveedor de identidad. Si dejas este campo en blanco, cualquier usuario con un dominio que no esté especificado en otro IDP será redirigido a este proveedor de identidad de forma predeterminada.
• En una pestaña separada del navegador, acceda a la consola de administración de Okta para continuar con la configuración. Deje abierta la ventana modal «Configurar SSO» en NinjaOne.

Crea una integración SAML de NinjaOne en Okta mediante la plantilla de Okta Integration Network (OIN)

En la consola de administración de Okta, puede agregar la integración SAML de NinjaOne siguiendo estos pasos:

1. Accede a Aplicaciones → Navegar el catálogo de aplicaciones. Busca «NinjaOne» y haz clic en la aplicación NinjaOne; a continuación, selecciona «Añadir integración».
2. Establece el «Nombre de la pantalla» con el nombre que desees que vean los usuarios.
3. Vuelve a NinjaOne y abre la configuración del IDP. Copia el «Identificador único» y pégalo en el campo «Identificador único del SP » de Okta.

4. Establezca el «Nombre de host principal de NinjaOne» en su sitio con o sin marca (por ejemplo, «mycompany.rmmservice.com» o «app.ninjarmm.com»). Esta será la URL predeterminada que se utilizará para los inicios de sesión iniciados por el IdP.

5. Si lo desea, añada el valor del sitio con o sin marca que no vaya a utilizar al «Nombre de host secundario de NinjaOne» como URL alternativa del sitio. El nombre del host es obligatorio si tiene previsto iniciar sesión en la consola de NinjaOne mediante un flujo de trabajo iniciado por el SP con su URL secundaria. Si la URL sin marca es su URL secundaria, le recomendamos que la añada, ya que los proveedores de identidad utilizan en ocasiones la URL predeterminada como intermediario durante el proceso de inicio de sesión.
6. Configure la «Visibilidad de la aplicación» para mostrar la aplicación como disponible para los usuarios o no, en función de las necesidades de su organización.
7. Haga clic en «Hecho» para crear la aplicación SAML.
8. Permanece en la consola de administración de Okta y ve a la pestaña «Asignaciones» de la aplicación SAML recién creada.
9. Utiliza el menú desplegable «Asignar» para agregar usuarios o grupos de destino para la aplicación.

10. Ve a la pestaña «Iniciar sesión » y copia la URL de metadatos.

Completa la configuración de SSO en NinjaOne

Vuelve al modal «Configurar SSO» en NinjaOne para completar la configuración de SSO.

1. En NinjaOne, pega la URL de metadatos que has copiado de Okta en el formulario «Importar metadatos» utilizando el valor por defecto para el tipo de envío de URL.
2. Activa los interruptores de «Habilitar» según las necesidades de tu organización.

3. Haz clic en «Probar conexión» para completar el proceso de autenticación final necesario para la configuración.

Una vez que la respuesta SAML se haya validado correctamente, aparecerá un mensaje confirmando que «Tu conexión ha sido validada».

4. Haz clic en «Guardar» cuando hayas terminado.

Configurar NinjaOne SAML con una aplicación SAML 2.0 personalizada

Si las funcionalidades incluidas en la plantilla OIN de NinjaOne no cumplen los requisitos de configuración avanzada de la configuración de identidades de su organización, puede configurar NinjaOne SAML con una aplicación SAML 2.0 personalizada.

1. En la consola de administración de Okta, ve a Aplicaciones → Crear integración de aplicación → SAML 2.0.
2. Introduce un identificador único como «Nombre de la aplicación » que te gustaría que vieran los usuarios.
3. Configura los ajustes de «Visibilidad de la aplicación » y «Logotipo de la aplicación » según las necesidades de tu organización y haz clic en «Siguiente».
4. En NinjaOne, copie la URL de respuesta y pégala en el campo «URL de inicio de sesión único» de Okta. Si tiene intención de utilizar el SSO iniciado por el IdP, esta URL se utilizará para redirigir a los usuarios al sitio con o sin marca.
5. En NinjaOne, copie el Identificador SP(ID de la entidad) y péguelo en el campo «URI de audiencia (ID de la entidad del SP) » de Okta
6. Deja el campo «RelayState predeterminado » en blanco y mantén el formato del «ID de nombre » como «No especificado».
7. El campo «Nombre de usuario de la aplicación » para el nombre de usuario de Okta puede, por lo general, dejarse con el valor predeterminado. Sin embargo, debes establecer este atributo en «Correo electrónico» si el nombre de usuario de Okta no es una dirección de correo electrónico. Este valor debe coincidir con la dirección de correo electrónico de NinjaOne.
8. No modifique el campo «Actualizar nombre de usuario de la aplicación ».
9. Opcionalmente, si desea omitir la autenticación multifactorial (MFA) nativa de NinjaOne al iniciar sesión: en la sección «Declaraciones de atributos», cree un atributo con el nombre «amr» y el valor «session.amr». Para obtener más información, consulte los materiales sobre la omisión de la MFA incluidos en la sección «Requisitos previos» anterior de este artículo.
10. Sigue estos pasos para configurar la URL de respuesta nativa (ejemplo: «https://app.ninjarmm.com»), que se puede utilizar para el SSO iniciado por el proveedor de servicios (SP) y la autenticación multifactorial nativa:
    1. Copia el identificador SP (ID de la entidad) de la ventana modal «Configurar SSO» en NinjaOne.
    2. Haga clic en «Mostrar ajustes avanzados » en Okta.  
    3. Pega el identificador SP (ID de la entidad) en el campo «Otras URL de SSO solicitables ».
    4. Establezca el valor de «Índice » en «1».

11. Haz clic en «Siguiente».
12. Deja los campos de la página «Comentarios» en blanco y haz clic en «Terminar».
13. Sigue los pasos 8 a 10 de la sección «Crear una integración SAML de NinjaOne en Okta utilizando la plantilla de Okta Integration Network (OIN)». Los pasos en cuestión son:
    1. Permanece en la consola de administración de Okta y ve a la pestaña «Asignaciones» de la aplicación SAML recién creada.
    2. Utiliza el menú desplegable «Asignar» para añadir usuarios o grupos de destino para la aplicación.
    3. Ve a la pestaña «Iniciar sesión » y copia la URL de metadatos.
14. Completa todos los pasos de la sección «Completar la configuración de SSO en NinjaOne» para terminar el proceso de configuración. 

Test los inicios de sesión iniciados por el SP y por el IdP

Recomendamos probar tanto los flujos de inicio de sesión iniciados por el SP como los iniciados por el IdP con una cuenta de prueba antes de cambiar los tipos de autenticación de todos los usuarios de NinjaOne de «Nativa» a «Inicio de sesión único». Esto evitará posibles problemas de acceso a las cuentas de NinjaOne. 

1. Inicia sesión en NinjaOne con una cuenta de administrador del sistema con la que te sientas cómodo para realizar las pruebas y a la que se le haya asignado acceso a la aplicación del proveedor de identidad Okta.
2. En NinjaOne, haz clic en el icono de tu avatar situado en la esquina superior derecha de la consola y, a continuación, haz clic en tu nombre para abrir la configuración del usuario.
3. Vaya a la pestaña «Seguridad» y seleccione «Inicio de sesión único» en el menú desplegable «Tipo de autenticación ». Guarde los cambios.

Para probar el SSO iniciado por el proveedor de servicios (SP)

Para probar el SSO iniciado por el proveedor de servicios (SP), sigue estos pasos: 

1. En una pestaña privada o de incógnito del navegador, accede al sitio web de NinjaOne, ya sea con la marca o sin ella. La URL del sitio depende de la configuración de los nombres de host primario y secundario en Okta.
2. Introduce tu nombre de usuario de NinjaOne. El campo de la contraseña debería desaparecer; haz clic en «Iniciar sesión con Okta». 

Se te redirigirá a Okta para que introduzcas tus credenciales y, una vez completada la autenticación, se te redirigirá de nuevo a NinjaOne. 

Esto confirma el flujo de SSO iniciado por el proveedor de servicios (SP). Si la omisión de la autenticación multifactorial (MFA) está habilitada y ha completado la MFA a través de Okta, no se le solicitará la MFA nativa de NinjaOne. 

Para realizar pruebas del SSO iniciado por el IdP

Para probar el SSO iniciado por el IdP, sigue estos pasos: 

1. En una pestaña privada o de incógnito del navegador, acceda a su panel de control de usuario final de Okta.
2. Haga clic en el icono de la aplicación NinjaOne situado en la sección «Mis aplicaciones ». Esto debería redirigirle al panel de control de NinjaOne y confirmar el flujo de SSO iniciado por el IdP. 

Si la omisión de la autenticación de dos factores (MFA) está habilitada y ya ha completado la autenticación de dos factores (MFA) a través de Okta, no se le solicitará la autenticación de dos factores (MFA) nativa de NinjaOne. 

Configurar SSO para usuarios existentes

Puede configurar el SSO de Okta para los usuarios actuales de NinjaOne desde la consola de NinjaOne. 

1. Vaya a «Administración» → «Cuentas» → «Todos los usuarios».
2. Selecciona los técnicos o usuarios finales para los que deseas configurar el SSO.
3. Haz clic en «Acciones » y selecciona «Cambiar autenticación».
4. Establezca el tipo de autenticación en Inicio de sesión único (SSO) y haga clic en «Actualizar» para guardar los cambios.

El tipo de autenticación también se puede actualizar para cada usuario en la sección «Seguridad» de la página de configuración de la cuenta.

Recursos adicionales

Para aprender más sobre los servicios de identidad de NinjaOne, consulta «Autenticación y gestión de identidades: Catálogo de recursos».

Para obtener más información sobre cómo habilitar SCIM para Okta, consulta «Configuración de NinjaOne SCIM en Okta».