Login único para Freshservice usando SAML

Criada por Aram Gryka, Modificado em Qua, 22 Fev, 2023 na (o) 10:29 AM por Aram Gryka

Você pode configurar o Freshservice para fornecer login único SAML para seus usuários. Dessa forma, eles não precisam fornecer credenciais de login separadas para o Freshservice. A autenticação do usuário é feita por qualquer provedor SAML que você configurar do seu lado e os atributos do usuário, como endereço de e-mail, são enviados de volta ao Freshservice.

Observação: se você se inscreveu no Freshworks Suite of Products a partir de fevereiro de 2020, pode configurar o SAML 2.0 Single Sign-On para Freshservice usando sua conta de organização do Freshworks .

Uma visão geral do SAML

Security Assertion Markup Language (SAML) é um mecanismo usado para comunicar identidades entre dois aplicativos da web. Ele permite o logon único baseado na Web e, portanto, elimina a necessidade de manter várias credenciais para vários aplicativos e reduz o roubo de identidade.

SAML geralmente envolve três coisas:

Um usuário	A pessoa que solicita o serviço.
Um provedor de serviços	O aplicativo que fornece o serviço ou protege o recurso.
Um provedor de identidade	O serviço/repositório que gerencia as informações do usuário.

Um usuário solicita um SAML SSO para acessar um recurso protegido por um provedor de serviços. O provedor de serviços solicita que o provedor de identidade autentique o usuário. O provedor de identidade verifica a existência do usuário e envia de volta uma declaração ao provedor de serviços que pode ou não incluir as informações do usuário. A comunicação entre a identidade e os provedores de serviços ocorre no formato de dados SAML.

Você pode configurar o Freshservice para atuar como um provedor de serviços nesse mecanismo. Você pode usar seu próprio servidor SAML para atuar como um provedor de identidade ou pode usar alguns aplicativos de terceiros como OneLogin, Okta etc.

Campos exigidos pelo Freshservice para integração SAML

Você pode usar serviços de terceiros como OneLogin, Okta ou qualquer provedor de identidade para verificar a identidade de seus usuários. Você precisa obter as seguintes informações do seu provedor de identidade para configurar SAML SSO no Freshservice:

URL de login do SAML	O usuário é redirecionado para essa URL quando solicita SAML SSO no Freshservice.
URL de saída SAML	O usuário é redirecionado para esta URL quando ele sai. Isso é opcional. Se essas informações não forem fornecidas pelo provedor de identidade, o usuário será redirecionado para o portal.
certificado SAML	Certificado SHA256 fornecido pelo provedor de identidade que o Freshservice usa para validar a autenticidade do provedor de identidade.

Campos exigidos pelo seu provedor de identidade

O provedor de identidade requer uma URL de Asserção do Consumidor para a qual redireciona o usuário após a autenticação.

Você precisa fornecer a URL neste formato: https://<seudomínio>.freshservice.com/login/saml

Quando o usuário solicitar SAML SSO chegando ao Portal Freshservice, a Asserção XML criptografada será enviada para esta URL.

Se você adicionar o freshservice como um aplicativo em seu provedor de identidade, o usuário será redirecionado para esse URL quando clicar no botão Freshservice.

Como funciona o SAML SSO no Freshservice?

O usuário deseja fazer login no Freshservice usando SAML SSO.
O Freshservice redireciona o usuário para a URL de login do provedor de identidade, por exemplo, OneLogin.
O usuário insere suas credenciais e o provedor de identidade valida o usuário.
O provedor de identidade redireciona o usuário para a URL de declaração do consumidor do Freshservice e transmite uma declaração SAML criptografada informando ao Freshservice que o usuário é válido.
Atributos do usuário, como endereço de e-mail, nome e sobrenome do usuário, serão enviados junto com a declaração pelo provedor de identidade ao Freshservice.
O Freshservice verifica o certificado SHA256 do provedor de identidade e concede acesso ao usuário.

Ativando o logon único SAML no Freshservice

Faça login no Freshservice como administrador.
Vá para Admin > Segurança do Helpdesk.
Clique no botão SSO para ativá-lo.
Clique no botão de opção SAML SSO . Você terá que copiar o URL de login, o URL de logout (opcional) e o certificado SHA256 do provedor de identidade e colá-los nessas caixas de texto.
Clique em Salvar para começar a usar SAML SSO imediatamente.

Observação: se você estiver usando uma conta de organização do Freshworks para acessar o Freshservice, poderá configurar o SSO SAML 2.0 na página de segurança da organização.

Para acessar as configurações de segurança da organização:

Entre na sua conta do Freshservice.
Clique no ícone Configurações de administrador .
Clique em Segurança do Helpdesk em Configurações Gerais.
Clique no link - Manage Helpdesk Security from Freshworks 360 Security . Isso abre a página Segurança da organização em uma nova guia.

Atributos do usuário reconhecidos pelo Freshservice

O Freshservice reconhece os seguintes atributos do provedor de identidade

Atributo	Nome do Atributo	Obrigatório?	Descrição
Endereço de email	NomeID	Sim	O endereço de e-mail do usuário atuará como o nome de usuário no Freshservice. Quando um novo usuário fizer login, o Freshservice criará uma conta usando esse endereço de e-mail automaticamente.
Primeiro nome	primeiro nome	Não	Primeiro nome do usuário.
Sobrenome	sobrenome	Não	Sobrenome do usuário.
Cargo	cargo	Não	Cargo do usuário.
Telefone	telefone	Não	Número de telefone do usuário.
Móvel	móvel	Não	Número do celular do usuário.
Departamento	departamento	Não	Departamento do usuário. Se o departamento não existir no Freshservice, um novo departamento será criado. Novos valores de departamento são sempre substituídos.
Gerente de relatórios	gerente de relatórios	Não	O endereço de e-mail do gerente a quem o usuário se reporta. Se o e-mail do gerente de relatórios não existir no Freshservice, um novo solicitante será criado.
Endereço	endereço	Não	Endereço do usuário.
Fuso horário	fuso horário	Não	Fuso horário do usuário. O valor deve seguir o formato especificado neste artigo.
Linguagem	linguagem	Não	Idioma do usuário. O valor deve seguir o formato especificado neste artigo.
Localização	localização	Não	A localização do usuário. O valor de localização deve existir no Freshservice.
Os campos personalizados	custom_field_<field_name>	Não	Campos personalizados definidos para usuários. O espaço reservado <field_name> refere-se ao atributo de nome que é retornado pela operação de API List All Requester Fields (para todos os campos nos quais default = false.

O endereço do usuário é o único campo obrigatório que o freshservice precisa. Aqui está um código de amostra de como o endereço de e-mail é passado:

< saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"> exemplo @test.freshservice.com </saml:NameID>

Se esse código for enviado pelo provedor de identidade, um usuário com o nome de usuário como "exemplo" será criado no Freshservice.

Erros de login

Um usuário será impedido de fazer login no Freshservice devido aos seguintes motivos:

Mensagem de erro	Descrição
Nenhuma impressão digital ou certificado nas configurações	O SSO foi desabilitado ou a impressão digital do certificado não está configurada no Freshservice.
Resposta em branco	Resposta SAML inválida/vazia recebida
A hora atual é anterior à resposta / A hora atual é muito posterior à resposta	Há uma diferença de tempo entre a solicitação e a resposta de validação ao Freshservice. A hora no provedor SAML precisa ser verificada quanto à diferença no relógio.
O login não foi bem-sucedido	Você não está autorizado a acessar o aplicativo. Ou o aplicativo não foi atribuído a você pelo provedor de identidade

Nesses casos, o usuário será redirecionado para http://yourcompany.freshservice.com/login/normal com a mensagem de erro exibida. A partir daí, o usuário pode fazer o login normalmente.