--- sourceDocument: Segurança da plataforma Yokohama sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/yokohama/platform-security Release : - yokohama ft:locale : - pt-BR ft:publication_title : - Segurança da plataforma Yokohama ft:clusterId : - psec bundleId : - psec workflow : - Platform --- # Configuração de SAML 2.0 usando SSO de vários provedores # Configuração de SAML 2.0 usando SSO de vários provedores {#ariaid-title1} * Versão de lançamento: Yokohama * * Atualizado 30 de jan. de 2025 * * ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 7 min. de leitura É possível criar ou atualizar uma configuração de SSO do SAML 2.0 no recurso SSO de vários provedores. ## Antes de Iniciar Função necessária: administrador ## Por Que e Quando Desempenhar Esta Tarefa Nota: Novo na versão Jakarta, você deve validar sua configuração usando a funcionalidade Testar conexão antes de ativar sua configuração de IdP. É possível usar a funcionalidade Atualizar para salvar os dados de configuração, mas a configuração não será ativa sem um teste de conexão bem-sucedido. ## Procedimento 1. Navegar até TudoSSO MultiprovedorProvedores de Identidade. 2. Especifique uma das seguintes opções. * Para atualizar uma configuração, clique em um registro de configuração de SSO. * Para criar uma nova configuração, clique em NovoSAML. {#t_CreateASAML2Upd1SSOConfigMultiSSO__choices_o5x_bgd_4z} 3. Digite as informações de IdP usando um dos seguintes métodos. | Opção | Descrição | | Uso de um URL descritor de metadados | Clique na caixa de seleção URL e insira o URL do IdP que estiver usando. | | Uso do arquivo do descritor de metadados XML | Clique na caixa de seleção XML e cole os dados XML gerados a partir do IdP usado. | | Inserção manual de metadados | Feche a janela pop-up e insira manualmente os dados nos campos de propriedade. | |-|-| {#t_CreateASAML2Upd1SSOConfigMultiSSO__choicetable_okg_pdd_4z} Nota: Todos os campos obrigatórios devem ser preenchidos no formulário do provedor de identidade. {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_lf5_c3d_4z__entry__3} | Propriedade | Necessários | Descrição | |-|-|-| | Nome | Sim | Insira o nome do IdP. Este IdP é a ID do sistema de redirecionamento automático. | | Ativo | Sim | Ativo deve ser definido como verdadeiro para o IdP a ser usado para autenticação. Nota: A opção para definir esta propriedade é exibida somente após um teste de conexão bem-sucedido. | | Padrão | Não | A configuração Redirecionar IdP automaticamente, anteriormente conhecida como IdP primário, redireciona os usuários automaticamente para que acessem o URL da instância base. Esta propriedade define esta configuração de IdP como padrão. | | Redirecionar IdP automaticamente | Não | Define esta configuração de IdP como Redirecionar IdP automaticamente. Nota: Se uma nova configuração Redirecionar IdP automaticamente for ativada, o cookie glide_sso_id será atualizado com o novo IdP de redirecionamento automático. A propriedade do sistema glide.authenticate.sso.update.idp.cookie, habilitada automaticamente, controla este recurso. | | URL do provedor de identidade | Sim | Insira o URL do seu IdP. Cada URL de IdP deve ser exclusivo. | | AuthnRequest do provedor de identidade | Sim | Insira o URL para a vinculação HTTP-Redirect obtida do elemento SingleSignOnService. | | SingleLogoutRequest do provedor de identidade | Não | Insira o URL obtido do elemento SingleLogoutService. | | ServiceNow Página inicial | Sim | Insira o URL, incluindo a página de login, da instância para a qual o IdP é autenticado. Por exemplo: https://yourinstance.service-now.com/navpage.do | | ID da entidade/emissor | Sim | Insira o URL base, excluindo a página de login da instância para a qual o IdP faz a autenticação. Por exemplo: https://yourinstance.service-now.com/ | | URI do público | Sim | Insira o URL base, excluindo a página de login da instância para a qual o IdP faz a autenticação. Por exemplo: https://yourinstance.service-now.com/ | | Política NameID | Sim | Insira o valor do elemento NameIDFormat usado pela integração. | | Redirecionamento de logout externo | Não | Insira o URL para onde a integração redireciona os usuários após o logout. | | Redirecionamento de requisito com falha | Não | Insira o URL para redirecionamento de solicitações de autenticação com falha. Por padrão, este é o endpoint do URL de uma página de erro ou página de logout configurada no IdP. É possível preencher este valor no campo glide.authenticate.failed_requirement_redirect. | | Tipo de Cliente | Não | Escolha o tipo de cliente com base no tipo do seu cliente. Opções:Iframe integrado. Nota: Se o campo de tipo de cliente for necessário para sua configuração, você poderá editar o formulário e adicionar o campo. Para saber mais, consulte [Como configurar o tipo de cliente para registros de OAuth e SSO](https://servicenow-prod.fluidtopics.net/6bmw5zctj4rRcWupneeuWQ "Configure o campo Tipo de cliente para configurações relacionadas a registros de OAuth e SSO."). | [Tabela 1. Campos de Single Sign-on de vários provedores] {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_lf5_c3d_4z} 4. **Opcional:** Guia Criptografia e assinatura Nota: * Recomendamos o uso dos seus próprios certificados para criptografia e assinatura. * O modo aprovado FIPS requer certificados diferentes para Criptografia e Assinatura * Ao usar os certificados, certifique-se de atualizar as seguintes propriedades do sistema com o sys_id dos certificados (certificados x.509): * Assinatura (glide.authenticate.sso.saml2.keystore) * Criptografia (glide.authenticate.sso.saml2.encryption.keystore) {#t_CreateASAML2Upd1SSOConfigMultiSSO__ul_nzl_nhv_lcc} * Certifique-se de atualizar o alias e a senha da chave dos armazenamentos de chave de Assinatura e Criptografia no registro do provedor de identidade e gerar os metadados (selecione Gerar metadados). * Carregue os certificados de assinatura e criptografia presentes nos metadados gerados (XML) para o provedor de identidade. {#t_CreateASAML2Upd1SSOConfigMultiSSO__ul_r23_ysc_3cc} {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_vl2_lrd_4z__entry__2} | Propriedade | Descrição | |-|-| | Alias das chaves de assinatura | Insira o alias de assinatura da entrada de chave armazenada no [armazenamento de chaves SAML 2.0 SP](https://servicenow-prod.fluidtopics.net/oVXTLL003ohq0vIGsUwYXg "Crie um armazenamento de chaves Java que contenha os seguintes itens para que sua instância assine solicitações de logout."). | | Senha da chave de assinatura | Insira a senha de assinatura da entrada de chave armazenada no [armazenamento de chaves SAML 2.0 SP](https://servicenow-prod.fluidtopics.net/oVXTLL003ohq0vIGsUwYXg "Crie um armazenamento de chaves Java que contenha os seguintes itens para que sua instância assine solicitações de logout."). | | Alias da chave de criptografia | Insira o alias de criptografia da entrada de chave armazenada no [armazenamento de chaves SAML 2.0 SP](https://servicenow-prod.fluidtopics.net/oVXTLL003ohq0vIGsUwYXg "Crie um armazenamento de chaves Java que contenha os seguintes itens para que sua instância assine solicitações de logout."). | | Senha da chave de criptografia | Insira a senha de criptografia da entrada de chave armazenada no [armazenamento de chaves SAML 2.0 SP](https://servicenow-prod.fluidtopics.net/oVXTLL003ohq0vIGsUwYXg "Crie um armazenamento de chaves Java que contenha os seguintes itens para que sua instância assine solicitações de logout."). | | Estipulação da criptografia | Marque a caixa de seleção para criptografar a estipulação na resposta do SAML. Os metadados gerados para o IDP incorporam o certificado x509, que o IDP usa para criptografar a estipulação na resposta do SAML gerada por ele. | | Algoritmo de assinatura para assinar | Insira o URL que aponta para o consumidor de AuthnRequest do provedor de identidade SAML 2.0 para a autenticação de assinaturas eletrônicas. | | Assinar AuthnRequest | Marque a caixa de seleção para habilitar o serviço de logon único IdP para receber um AuthnRequest assinado. | | Assinar LogoutRequest | Marque a caixa de seleção para habilitar o serviço de logon único IdP para receber um LogoutRequest assinado. | | Assinar resposta de logout | Marque a caixa de seleção para habilitar o serviço de logon único IdP para receber uma Resposta de logout assinada. | [Tabela 2. Campos de Criptografia e assinatura] {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_vl2_lrd_4z} 5. **Opcional:** Guia Provisionamento de usuários {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_bfv_frd_4z__entry__2} | Propriedade | Descrição | |-|-| | Usuário de autoprovisionamento | Habilitar o provisionamento automático de usuários cria os usuários quando o usuário não existir na tabela Usuário da instância com base nas informações fornecidas pelo IdP. | | Atualizar registro do usuário a cada logon | Atualiza as informações do usuário na tabela Usuário da instância com as informações no IdP sempre que o usuário faz login usando SAML. | [Tabela 3. Campos de Provisionamento de usuários] {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_bfv_frd_4z} 6. **Opcional:** Guia Avançado {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_aqk_mnd_4z__entry__2} | Propriedade | Descrição | |-|-| | Campo de Usuário | Insira o campo na tabela Usuário que contém o valor requerido pelo IdP para identificar o usuário. Esta é uma ID exclusiva como parte da resposta. Por exemplo, nome de usuário, ID de funcionário e assim por diante. Na tabela Usuário do sistema, esta ID exclusiva corresponde aos detalhes do usuário. | | Atributo NameID | Deixe este campo em branco, a menos que você configure uma nova política NameID. Se você configurar uma nova política, o sistema exigirá a tabela Usuário ser usada para identificar o usuário que faz o login. O sistema corresponde o token NameID ao nome no campo da tabela Usuário aqui. | | Criar AuthnContextClass | Marque a caixa de seleção para especificar uma classe de contexto específica, como Transporte protegido por senha. Se a caixa de seleção estiver desmarcada, o IdP selecionará a classe de contexto mais apropriada. | | Método AuthnContextClassRef | Insira o URN do mecanismo de login a ser usado pelo IdP para a autenticação de usuários. | | Forçar AuthnRequest | Marque a caixa de seleção para forçar a ocorrência de AuthnRequests. | | A AuthnRequest é passiva? | Marque a caixa de seleção se a AuthnRequest for passiva. | | Script de Single Sign-on | Selecione o script de Single Sign-on O padrão é MultiSSOV2_SAML2_custom. | | Assinar resposta de logout | Insira os detalhes da resposta de logout neste campo. | | Distorção do relógio | Insira o número de segundos entre os dois atributos que compõem o nonce SAMLResponse. O padrão é 60. Um SAMLResponse válido deve estar entre os valores de data e hora notBefore e notOnOrAfter. Consulte a amostra de resposta SAML 2 com os elementos SubjectConfirmation e SubjectConfirmationData e a amostra de resposta SAML 2 com AudienceRestrictions e Audience Elements para obter uma amostra de mensagem SAMLResponse. | | A ligação de protocolo para o SingleLogoutRequest do IDP | Insira um dos valores compatíveis listados no atributo de vinculação do elemento SingleLogoutService. | | URL de metadados dos quais as propriedades do IDP são importadas | As propriedades do IdP são importadas deste URL. Se definido, ele habilitará a importação automática do certificado SAML do IdP se o certificado anterior tiver expirado. Nota: Se você fizer upgrade da atualização 1 do SAML2 para SSO de vários provedores ou se configurar sua conexão SSO manualmente, o URL de metadados do IdP não será preenchido automaticamente. | | Solicitação | Uma ID exclusiva como parte da solicitação. A ID pode ser o nome do usuário, a ID do funcionário e assim por diante. Nota: A vinculação de redirecionamento e publicação é compatível com a solicitação. A opção de definir este campo é exibida somente após um teste de conexão bem-sucedido. Para saber mais, consulte [Teste de conexões IdP](https://servicenow-prod.fluidtopics.net/U6Ss0xqx0KzUn632ew63~Q "Testar a conexão com um IdP valida as configurações antes da habilitação da autenticação externa."). | | Resposta | Uma ID exclusiva como parte da resposta. A ID pode ser o nome do usuário, a ID do funcionário e assim por diante. Nota: A vinculação de redirecionamento e publicação é compatível com a resposta. A opção de definir este campo é exibida somente após um teste de conexão bem-sucedido. Para saber mais, consulte [Teste de conexões IdP](https://servicenow-prod.fluidtopics.net/U6Ss0xqx0KzUn632ew63~Q "Testar a conexão com um IdP valida as configurações antes da habilitação da autenticação externa."). | [Tabela 4. Campos de Avançado] {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_aqk_mnd_4z} 7. **Opcional:** Na guia Autenticação contínua, configure os seguintes campos: Nota: * A guia "Autenticação contínua" só aparece quando você instala o plug-in Zero Trust -- Autenticação contínua (`com.snc.zero_trust_continuous_authentication`), que requer licença. * Se você estiver usando a política de autenticação contínua para proteger o acesso à tabela ou à classe de dados, consulte [Autenticação contínua](https://servicenow-prod.fluidtopics.net/c2V3__fsEl1dfq0hXf05IQ "A autenticação contínua da ServiceNow permite que você verifique novamente e autentique um usuário se ele acessar recursos protegidos por você."). {#t_CreateASAML2Upd1SSOConfigMultiSSO__ul_uvj_d5x_4dc} {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_vvj_d5x_4dc__entry__2} | Campo | Descrição | |-|-| | Autenticação contínua configurada | Marque a caixa de seleção para definir a configuração como ativa. | | URL do consumidor da autenticação contínua | Forneça o URL do consumidor do provedor de identidade. | | Script de autenticação contínua | Selecione o ícone de pesquisa para escolher o script fornecido pela plataforma. Nesta configuração, para SAML: MultiSSOv2_SAML2_ContinuousAuth_custom | [Tabela 5. Autenticação contínua] {#t_CreateASAML2Upd1SSOConfigMultiSSO__table_vvj_d5x_4dc}