Requisitos técnicos SSO

Resumen de requisitos técnicos

El inicio de sesión único (SSO) permite a un tercero autenticar a un usuario antes de conceder acceso al sistema Qualtrics. Qualtrics admite cuatro tipos de autenticación SSO: Google OAuth 2.0, Central Authentication Service (CAS), Lightweight Directory Access Protocol (LDAP) y Security Assertion Markup Language (SAML). Cada tipo requiere que el tercero tenga un tipo de servidor específico. Por ejemplo, la autenticación SSO de CAS depende de que el tercero tenga un servidor CAS.

Esta página cubre los requisitos técnicos que debe cumplir. Estos ajustes deben configurarse con su equipo de TI y luego comunicarse al equipo de soporte de SSO de Qualtrics.

OAuth 2.0 de Google

Google OAuth 2.0 es un marco de autorización que se puede utilizar para autenticar a los usuarios en la plataforma de Qualtrics. Para configurar Google OAuth 2.0 para la autenticación de terceros, los usuarios que accederán a la plataforma deben tener una cuenta de Google.

Se deben proporcionar los siguientes parámetros de configuración:

• Dominios de correo electrónico válidos
  • Se requieren dominios de correo electrónico específicos para autenticar las direcciones de correo electrónico de los usuarios en cada intento de inicio de sesión.

Qualtrics solo recibe el correo electrónico asociado con las cuentas de Google de los usuarios cuando se autentica con Google OAuth 2.0. El correo electrónico se utiliza para rellenar los campos Nombre de usuario, Nombre, Apellido y Dirección de correo electrónico de Qualtrics.

Una vez que se proporcionen los Dominios de correo electrónico válidos deseados, Qualtrics puede organizar la configuración de la integración OAuth 2.0 de Google con el tercero.

Protocolo ligero de acceso a directorios (LDAP)

Lightweight Directory Access Protocol (LDAP) es un servicio de directorios con el que un tercero puede autenticarse. Qualtrics se puede configurar para autenticarse automáticamente en un servidor LDAP cuando un usuario intenta iniciar sesión en la plataforma de Qualtrics. Para configurar una integración LDAP, se supone que el tercero tiene un servidor LDAPv3 en funcionamiento.

Se deben proporcionar los siguientes parámetros de configuración:

• Nombre de host del servidor LDAP: Dirección IP o nombre del servidor.
• Puerto del servidor LDAP: el puerto que Qualtrics utilizará para comunicarse con el servidor.
• Base Distinguished Name (DN): Por ejemplo:

  o=organización

• Vincular nombre distinguido: Enlace basado en búsqueda DN o Vincular usuario DN. Esto no es necesario si el servidor LDAP permite búsquedas no autenticadas.
• Vincular contraseña: No es necesario si el servidor LDAP permite búsquedas no autenticadas.
• Parámetros de filtro de autenticación: Por ejemplo:

  uid=%nombredeusuario%

• URL de redireccionamiento de cierre de sesión: Qualtrics requiere una dirección URL de redireccionamiento de cierre de sesión para borrar las sesiones de inicio de sesión de los usuarios al cerrar sesión. Si no se proporciona una URL de redireccionamiento de cierre de sesión, Qualtrics puede redirigir a los usuarios a https://qualtrics.com u otra dirección URL de su elección. Sin embargo, no borrará la sesión de inicio de sesión de los usuarios, y los usuarios podrán volver a iniciar sesión inmediatamente haciendo clic en el botón Atrás o volviendo a la página de inicio de sesión.
• Atributos LDAP
  • Obligatorio:
    • Atributo de campo de dirección de correo electrónico (por ejemplo, correo electrónico)
      Consejo Q: Este atributo debe contener valores en el formato de una dirección de correo electrónico. Por ejemplo, value@email.com.
  • Opcional:
    • Atributo de campo de nombre (por ejemplo, firstname)
    • Atributo de campo de apellido (por ejemplo, sn)
    • Atributo de asignación de tipo de usuario
    • Atributo de asignación de división
    • Atributo de asignación de grupo
    • Atributo(s) de metadatos de Dashboards CX
    • Atributos de inscripción automática a roles de dashboards de CX

Una vez proporcionada la información anterior, Qualtrics puede organizar la configuración de una integración LDAP con el tercero.

Servicio de Autenticación Central (CAS)

El Servicio de Autenticación Central (CAS) proporciona un servicio de inicio de sesión único empresarial y es compatible con JA-SIG CAS. Puede encontrar más información sobre CAS en https://www.apereo.org/projects/cas. El sistema Qualtrics puede actuar como cliente CAS, lo que permite al usuario autenticarse a través de CAS e iniciar sesión en el sistema Qualtrics. Para configurar el SSO de CAS, se supone que el tercero tiene un servidor CAS en funcionamiento utilizando el protocolo CAS 2.0 o posterior.

Se deben proporcionar los siguientes parámetros de configuración:

• Nombre de host del servidor CAS: Nombre del servidor.
• Puerto del servidor CAS: Puerto que Qualtrics utilizará para comunicarse con el servidor.
• URI al sistema CAS en el host
• URL de redireccionamiento de cierre de sesión: Qualtrics requiere una dirección URL de redireccionamiento de cierre de sesión para borrar las sesiones de inicio de sesión de los usuarios al cerrar sesión. Si no se proporciona una URL de redireccionamiento de cierre de sesión, Qualtrics puede redirigir a los usuarios a https://qualtrics.com o a otra dirección URL de su elección. Sin embargo, no borrará la sesión de inicio de sesión de los usuarios y los usuarios podrán volver a iniciar sesión inmediatamente haciendo clic en el botón Atrás o yendo de nuevo a la página de inicio de sesión.

Los siguientes parámetros varían en función de si está usando o no una versión de CAS que admita SAML 1.1.

• Si no se admite SAML 1.1: El nombre de usuario de CAS se utilizará para rellenar los campos de nombre de usuario, dirección de correo electrónico, nombre y apellido de Qualtrics.
• Si se admite SAML 1.1: también se deben proporcionar los siguientes parámetros de configuración:
  • Obligatorio:
    • Atributo de campo de dirección de correo electrónico (por ejemplo, correo electrónico)
      Consejo Q: Este atributo debe contener valores en el formato de una dirección de correo electrónico. Por ejemplo, value@email.com.
  • Opcional:
    • Atributo de campo de nombre (por ejemplo, firstname)
    • Atributo de campo de apellido (por ejemplo, sn)
    • Atributo de asignación de tipo de usuario
    • Atributo de asignación de división
    • Atributo de asignación de grupo
    • Atributo(s) de metadatos de Dashboards CX
    • Atributos de inscripción automática a roles de dashboards de CX

Una vez que se proporcione la información anterior, Qualtrics puede acordar configurar la integración de CAS con el tercero.

Lenguaje de marcado de aserción de seguridad (SAML)

Security Assertion Markup Language (SAML) es un estándar basado en XML para intercambiar datos de autenticación y autorización entre dominios de seguridad, o un proveedor de identidades (un productor de aserciones) y un proveedor de servicios (un consumidor de aserciones). El sistema Qualtrics se puede configurar para autenticarse automáticamente a través de un proveedor de identidades (IdP) externo mediante SAML cuando un usuario inicia sesión en el sistema Qualtrics. Para configurar una integración SAML, se supone que el tercero tiene una implementación SAML 2.0 o Shibboleth 2.0 en funcionamiento y puede admitir inicios de sesión iniciados por el proveedor de servicios (SP).

Qualtrics admite flujos de trabajo iniciados por IdP y SP para inicios de sesión SAML. Lo más común de los dos es un intercambio iniciado por SP, mediante el cual los usuarios comienzan el flujo en https://brandID.datacenter.qualtrics.com, o la URL de Vanity de su organización. El intercambio iniciado por IdP se utiliza principalmente cuando los usuarios se autentican en una red interna, por lo que los usuarios comienzan el flujo en un portal de aplicación interno.

A continuación, se deben proporcionar los siguientes parámetros de configuración:

• Metadatos de proveedor de identidades (IdP) (en formato XML como enlace o anexo)
  • Etiquetas obligatorias:
    • Descriptor de entidad
    • Descriptor clave
    • SingleSignOnService
      • Se admiten las vinculaciones de HTTP Post y Redireccionamiento HTTP dentro del SingleSignOnService. Sin embargo, HTTP Post debe utilizarse si necesita que nuestra AuthnRequest esté firmada.
    • SingleLogoutService
      • Este campo se utiliza para redirigir a los usuarios a una URL que borrará las sesiones de inicio de sesión de los usuarios al cerrar sesión. Si no se proporciona una URL de SingleLogoutService, Qualtrics puede redirigir a los usuarios a https://qualtrics.com u otra dirección URL de su elección. Sin embargo, no borrará la sesión de inicio de sesión de los usuarios y los usuarios podrán volver a iniciar sesión inmediatamente haciendo clic en el botón Atrás o yendo de nuevo a la página de inicio de sesión.
• Atributos SAML
  • Obligatorio:
    • Atributo de campo de nombre de usuario (p.ej. samAccountName)
      • El atributo debe contener valores unívocos, no modificables y no confidenciales.
    • Atributo de campo de dirección de correo electrónico (por ejemplo, correo electrónico)
      Consejo Q: Este atributo debe contener valores en el formato de una dirección de correo electrónico. Por ejemplo, value@email.com.
  • Opcional:
    • • Atributo de campo de nombre (por ejemplo, firstname)
      • Atributo de campo de apellido (por ejemplo, sn)
      • Atributo de asignación de tipo de usuario
      • Atributo de asignación de división
      • Atributo de asignación de grupo
      • Atributo(s) de metadatos de Dashboards CX

Una vez proporcionada la información anterior, Qualtrics puede organizar la configuración de una integración Shibboleth/SAML con el tercero.

Cómo obtener y descifrar una respuesta SAML

El proveedor de identidades envía una respuesta SAML al proveedor de servicios después de una autenticación SAML correcta. La respuesta SAML contiene toda la información transferida desde el proveedor de identidades, como atributos, certificados, vinculaciones, etc. Esta información es valiosa cuando se resuelve cualquier problema con la autorización o durante el proceso de inicio de sesión.

Hay muchas herramientas disponibles para ayudar a obtener una respuesta SAML. A continuación se muestra un método que debería estar disponible en la mayoría de los navegadores, pero no dude en utilizar cualquier método.

1. Abra una nueva pestaña en su navegador.
2. Abra las Herramientas del desarrollador.
   Consejo Q: Estos pueden estar ubicados en diferentes ubicaciones según el navegador que se utilice. Las capturas de pantalla de esta página hacen referencia al aspecto de un navegador Chrome.
3. Seleccione la pestaña Red.
4. Seleccione Conservar registro.
5. Introduzca la URL de inicio de sesión en esta pestaña del navegador e inicie sesión mediante SSO.
6. En Nombre, querrá seleccionar el elemento que dice “default t-sp”.
7. En Encabezados, hacia la parte inferior, debajo de Encabezados de formulario, verá un bloque de caracteres etiquetados como respuesta SAML.
   Consejo Q: Si nuestro equipo de soporte ha solicitado una respuesta SAML, puede detenerse en este paso.
8. La respuesta SAML está codificada actualmente con Base64. Para descodificar la respuesta SAML en un formato legible, puede utilizar cualquier decodificador Base64 que se encuentre en línea.
   Consejo Q: Consulte estas herramientas para codificar base64 y decodificar base64.

Cómo leer una respuesta SAML

Hay algunos datos clave en una respuesta SAML que pueden ayudarle a solucionar problemas.

1. Destino: Corresponde a la URL del servicio de consumidor para aserción del proveedor de servicios y generalmente se encuentra cerca de la parte superior de la respuesta SAML.
   
2. Emisor: Corresponde al ID de entidad del proveedor de identidades y generalmente se encuentra cerca de la parte superior de la respuesta SAML.
   
3. Certificado X509: Corresponde al certificado de firma del proveedor de identidades y generalmente se encuentra en medio de la respuesta SAML.
   
4. Público: Corresponde al ID de entidad del proveedor de servicios y generalmente se encuentra en medio de la respuesta SAML.
   
5. Declaración de atributo: Contiene todos los nombres y valores de atributo enviados por el proveedor de identidades y generalmente se encuentra al final de la respuesta SAML.