Integración SSO de Acumatica Cloud ERP - con especial atención a Microsoft Live ID y Google

En el post de hoy, he pensado en compartir contigo cómo puedes implementar Single Sign-on (SSO) en la plataforma Acumatica Cloud ERP, permitiendo una experiencia de autenticación de usuario más fluida para tus usuarios. Con SSO habilitado, los usuarios pueden iniciar sesión una vez y luego obtener acceso a todos los sistemas que confían en el proveedor de seguridad utilizado para la autenticación, como Google o Microsoft, por ejemplo.

Fuera de la caja, usted puede fácilmente habilitar Active Directory de Microsoft, Azure Active Directory, o Live ID de Microsoft - o OAuth 2.0 IDs de cliente de Google. También puede utilizar otras soluciones^{de terceros} con un poco más de trabajo - como OneLogin como ejemplo. Por hoy, nos centraremos en las soluciones "out-of-the box" y discutiremos estos otros Proveedores de Identidad en otro post en el futuro.

A continuación he habilitado Google y Microsoft como proveedores externos para que los usuarios inicien sesión en mi instancia de Acumatica. Los usuarios que inicien sesión en el sistema verán la siguiente pantalla de inicio de sesión en la figura 1 a continuación.

En el caso anterior, los usuarios podrían utilizar sus credenciales de Acumatica para iniciar sesión, o bien utilizar su cuenta de Google o su cuenta de MicrosoftLiveIDpara iniciar sesión, si un administrador del sistema los ha asociado a cualquiera de estos proveedores externos a través de su perfil de usuario.

Cuando los usuarios eligen uno de los proveedores externos, se les redirige automáticamente a la página de inicio de sesión del proveedor de identidad seleccionado cuando navegan a su instancia de Acumatica ERP (Enterprise Resource Planning). Además, puede mostrar formularios de Acumatica ERP dentro de sus otros sitios web. Por ejemplo, puede incrustar un vínculo al formulario Tareas (EP.40.40.00) dentro de la página de Office 365 de su empresa para ver y acceder a su lista de tareas de Acumatica ERP directamente en Office 365.

Integración con Microsoft Active Directory

Acumatica admite la integración tanto con Microsoft Active Directory (AD) como con Microsoft Azure Active Directory (Azure AD) para proporcionar una gestión centralizada de usuarios y accesos. Una vez que estos productos se han integrado con Acumatica, los usuarios de dominio pueden utilizar sus credenciales de dominio para iniciar sesión en el sistema.

Al integrar Acumatica Cloud ERP y Azure Active Directory (Azure AD), sus usuarios disponen de inicio de sesión único en todas las aplicaciones. Los usuarios pueden acceder a la instancia de Acumatica ERP en función de su cuenta organizativa en Azure AD. Los derechos de acceso de los usuarios en Acumatica ERP se aplican automáticamente, en función de las reglas de asignación predefinidas entre los grupos de Azure AD y los roles de Acumatica ERP.

Además, puede configurar el inicio de sesión silencioso. Con el inicio de sesión silencioso, los usuarios son redirigidos automáticamente a la pantalla de inicio de sesión de Azure cuando intentan acceder a la instancia de Acumatica ERP. Puede configurar la integración con Azure Active Directory cuando implemente Acumatica ERP o en cualquier momento posterior. Cuando un usuario de dominio inicie sesión en Acumatica, se creará automáticamente una cuenta de usuario adecuada dentro de Acumatica con las casillas de nombre de usuario y contraseña no disponibles y con roles de usuario que coincidan con los grupos de dominio de AD.

No entraré aquí en detalles sobre la configuración de Active Directory, ya que deseo centrarme más en los proveedores de identidad externos debido a las limitaciones de espacio y al respeto por el tiempo de mi audiencia.

Activación de Microsoft Live ID SSO

La posibilidad de utilizar un proveedor externo para la autenticación es conveniente tanto para el administrador como para el usuario, ya que permite utilizar un proveedor de confianza para suministrar un método seguro de autenticación. Para habilitar Live ID de Microsoft en Acumatica, primero tiene que registrar su instancia de Acumatica con una cuenta de Microsoft Live ID y obtener credenciales de OAuth 2.0.

El primer paso del proceso es iniciar sesión en el portal de registro de aplicaciones de Microsoft - https://account.live.com/developers/applications y añadir una nueva aplicación. Haga clic en el botón Añadir una app, introduzca un nombre y, a continuación, haga clic en el botón Crear aplicación, como se muestra en la captura de pantalla de la figura 2.

Aparecerá la siguiente pantalla: véase la siguiente captura de pantalla, Figura 3. En primer lugar, deberá generar una nueva contraseña en Secretos de la aplicación (2). Copie/escriba la contraseña y el ID de la aplicación (1), ya que los necesitará más adelante cuando configure las cosas en el lado de Acumatica. En segundo lugar, añade una plataforma (3) y elige Web (móvil es la otra opción) e introduce tu URL de redirección de Acumatica (4), que tendrá la forma de https://app.site.net/instancename/Frames/authdock.ashx. Si tienes una instancia de evaluación, será similar a lo que ves en la captura de pantalla. Si tiene una instancia de licencia de pago, añadirá además un logotipo, la URL de las condiciones del servicio y la URL de la declaración de privacidad; de lo contrario, no es necesario añadir estos elementos.

Guarde sus cambios, después de completar esta información en el Portal de Registro de Aplicaciones de Microsoft y luego pasar a la configuración necesaria en Acumatica que voy a repasar a continuación.

Finalización del proceso de habilitación de Live ID de Acumatica Cloud ERP SSO

Recupere sus credenciales obtenidas y guardadas en los pasos anteriores e inicie sesión en su instancia de Acumatica; necesitará privilegios administrativos. Seleccione la pestaña CONFIGURACIÓN y, a continuación, Seguridad del usuario. En el panel de navegación, haga clic en Preferencias de seguridad en Configurar. Ahora debería aparecer la siguiente pantalla, como se muestra en la Figura 4.

En la tabla Proveedores de identidad externos permitidos, habilite el proveedor MicrosoftAccount seleccionando la casilla de verificación Activo (1). En la columna Realm (2), introduzca la URL completa de su instancia de Acumatica, por ejemplo, http://app.site.net/instancename, similar a la que he introducido anteriormente. En la columna ID de aplicación (3), pegue el ID de aplicación generado por Microsoft, así como la contraseña/secreto en la columna Secreto de aplicación (4). Por último, en la barra de herramientas del formulario, haz clic en el icono del disquete para guardar (5).

Una vez que haya completado estos pasos, estará listo para asociar cuentas de usuario - este es el paso final en la configuración de SSO para cuentas de Live ID.

En la zona de información de la esquina superior derecha de la pantalla, haga clic en su nombre de usuario (ADMIN) y seleccionePerfil de usuario ... (1). A continuación, en la pestaña Identidades externas, seleccione la fila MicrosoftAccount de la tabla (2) y, tras asegurarse de que la casilla Activo está seleccionada, haga clic en USUARIO ASOCIADO (3). Esto abrirá la página de inicio de sesión de Microsoft Account, donde debe introducir el correo electrónico y la contraseña de Microsoft Account -si aún no ha iniciado sesión- y, a continuación, debe aprobar la vinculación de su cuenta Live ID con Acumatica. Después de lo cual, la clave de usuario se insertará automáticamente en la columna Clave de usuario para la entrada del proveedor de MicrosoftAccount que aparece arriba en la captura de pantalla.

Ahora cierre la sesión de Acumatica y vuelva a iniciarla... y en lugar de introducir sus credenciales de inicio de sesión, simplemente haga clic en el pequeño icono azul de Windows (véase más abajo) e inmediatamente se le concederá la entrada en Acumatica sin introducir su nombre de usuario y contraseña, suponiendo que haya iniciado sesión previamente; de lo contrario, se le redirigirá para que introduzca sus credenciales de Microsoft Live ID.

Escurridizo, ¿no crees? Ah, la belleza de SSO. Ahora que lo he habilitado para mi instancia de demostración, me encanta la vida y vivir a lo grande.

Should you wish to enabling silent logon and make it so that your users authenticate themselves with the Microsoft Account identity provider, you enable this by altering the web.config file for the site instance.  You will find the file in %Program Files%\ Acumatica ERP\<instance name>, where <instance name> is the name of the application instance website.

Añada el parámetro silentlogin con el valor LiveID a la sección externalAuth, como se muestra a continuación:

<externalAuth returnUrl=”Main.aspx”
authUrl=”Frames/AuthDock.ashx”
silentLogin=”LiveID”
externalLogout=”true” selfAssociate=”True” instanceKey=”” />

y guardar los cambios en la fie.

Ahora pasemos al proceso de habilitación de Google como proveedor de identidad SSO.

Habilitar Google SSO

Para que tus usuarios puedan iniciar sesión con su cuenta de Google, primero debes registrar tu instancia de Acumatica Cloud ERP con Google y obtener las credenciales de OAuth 2.0.

Para registrar tu aplicación con tu cuenta de Google, accede a Google Developers Console - https://console.developers.google.com/. Esto abre la página de Proyectos de la Consola de Desarrolladores de Google o lo que actualmente se llama Google API Manager, como se muestra en la siguiente captura de pantalla. Junto a las API de Google en la barra de menú superior, seleccione el cuadro desplegable (1) y haga clic en Crear proyecto (2) para crear un nuevo proyecto, o haga clic en el nombre del proyecto para abrir uno existente, como se ve a continuación en la Figura 7.

Si está creando un nuevo proyecto, puede tardar uno o dos minutos... A continuación, en la barra lateral de la izquierda, seleccione Credenciales (3). Cuando aparezca la siguiente pantalla, haz clic en Crear credenciales (1) y selecciona ID de cliente OAuth en el cuadro desplegable (2), como se muestra a continuación en la Figura 8.

A continuación, debe establecer un nombre para el producto: configure la pantalla de consentimiento haciendo clic en el botón azul...

En la pantalla siguiente, introduzca un Nombre de producto (1). Puede rellenar los demás campos como desee, pero en este momento son opcionales. Haga clic en el botón Guardar para guardar (2) su configuración.

Ahora seleccionará el Tipo de aplicación - seleccione Aplicación web (1), introduzca/elija un nombre de cliente (2), introduzca el URI de origen de la aplicación cliente (3), el URI de redirección (4) como hicimos de forma similar para configurar el proveedor externo de Microsoft Live ID. Véase la siguiente captura de pantalla(Figura 11). Cuando termine pulse el botón Crear (5).

Al final del proceso de creación, recibirá sus credenciales necesarias - vea la captura de pantalla a continuación (Figura 12). Puedes copiarlas y guardarlas en un lugar seguro para usarlas más tarde al configurar cosas en el lado de Acumatica, que describiré brevemente ya que el proceso es el mismo que describí anteriormente en el caso de MS Live ID.

Una vez que haga clic en OK - después de copiar sus credenciales, se le dirigirá a la pantalla de abajo.

Los pasos finales en el proceso de habilitación de SSO para Google son los mismos que hemos cubierto en el caso de Microsoft anteriormente. Consulte las capturas de pantalla, según sea necesario desde el ejemplo de Microsoft anterior.

1. Recupere sus credenciales obtenidas y guardadas en los pasos anteriores e inicie sesión en su instancia de Acumatica; necesitará privilegios administrativos. Seleccione la pestaña CONFIGURACIÓN y, a continuación, Seguridad del usuario. En el panel de navegación, haga clic en Preferencias de seguridad en Configurar.
2. En la tabla Proveedores de identidad externos permitidos, habilite el proveedor de Google seleccionando la casilla de verificación Activo. En la columna Dominio, introduzca la URL completa de su instancia de Acumatica, por ejemplo, http://app.site.net/instancename.
3. En la columna ID de aplicación, pegue el ID de aplicación generado por Google, así como el secreto en la columna Secreto de aplicación.
4. Por último, en la barra de herramientas del formulario, haga clic en el icono del disquete para guardar (5).

Una vez que hayas completado estos pasos, estarás listo para asociar cuentas de usuario: este es el paso final en la configuración de SSO para cuentas de Google.

1. En el área de Información, en la esquina superior derecha de la pantalla, haga clic en su nombre de usuario (ADMIN) y seleccione el Perfil de usuario.
2. A continuación, en la pestaña Identidades externas, selecciona la fila Google de la tabla;
3. Después de asegurarte de que la casilla de verificación Activo está seleccionada, haz clic en USUARIO ASOCIADO. Esto abrirá la página de inicio de sesión de la cuenta de Google, donde debe introducir el correo electrónico y la contraseña de su cuenta de Google -si aún no ha iniciado sesión- y, a continuación, debe aprobar la vinculación de su cuenta de Google con Acumatica. Después de lo cual, la clave de usuario se insertará automáticamente en la columna Clave de usuario para la entrada del proveedor de Google.
4. Ahora salga de Acumatica y vuelva a entrar... y en lugar de introducir sus credenciales de inicio de sesión, simplemente haga clic en el pequeño icono de Google (véase abajo - Figura 13) e inmediatamente se le concederá la entrada en Acumatica sin introducir su nombre de usuario y contraseña.

Resumen

A medida que proliferan los sistemas informáticos de apoyo a los procesos empresariales, los usuarios se ven obligados a recordar un número cada vez mayor de credenciales. Los usuarios suelen iniciar sesión en muchos sistemas, cada uno de los cuales implica a menudo diferentes nombres de usuario e información de autenticación. Los administradores se enfrentan a la gestión de cuentas de usuario para cada sistema al que acceden sus usuarios, que deben coordinarse para mantener la integridad de la aplicación de la política de seguridad de una organización.

Estas son algunas de las ventajas que hay que tener en cuenta a la hora de implantar el inicio de sesión único:

1. Mejora de la seguridad gracias a que los usuarios no tienen que recordar varios conjuntos de credenciales.
2. Reducción del tiempo de inicio de sesión en los sistemas a dominios individuales, teniendo en cuenta los fallos de inicio de sesión debidos a lagunas de memoria.
3. Reducción de los costes de TI gracias al menor número de llamadas al servicio de asistencia de TI para restablecer contraseñas.
4. Comodidad para el usuario y usuarios satisfechos

En un futuro post, tengo la intención de abordar la aplicación de otros³ - Parte proveedores personalizados como LoginOne, por ejemplo.