Este artículo explica cómo configurar Keycloak como el único proveedor de Inicio de sesión único (SSO) para usuarios de SDP y administradores de la Aplicación de Gestión Cato (CMA).
SSO depende de un token cifrado de Cato y su IdP para validar que el usuario está autenticado y permitido para conectarse a la red. Para obtener más detalles, consulte Autenticación de SSO para Usuarios con Cato.
"Visión general"
Puede configurar Keycloak como el proveedor de SSO para centralizar la autenticación tanto para administradores de CMA como para usuarios remotos que se conectan con el Cliente Cato. Esta integración mejora la seguridad de las cuentas y simplifica la gestión de identidades al imponer el inicio de sesión mediante credenciales de Keycloak.
Asegúrese de que la dirección de correo electrónico de cada usuario y administrador en Cato coincida con el correo electrónico correspondiente en Keycloak.
Una vez habilitado el SSO, los administradores deben autenticarse a través de Keycloak para acceder a la CMA, y tanto administradores como usuarios deben autenticarse a través de Keycloak para conectarse con el Cliente Cato.
Configurando Keycloak como un Proveedor de SSO
Siga estos pasos para configurar Keycloak como un proveedor de SSO:
Agregue Cato como un cliente de Keycloak en su consola de administración de Keycloak
Ingrese los detalles de su Host de Keycloak en la CMA
Paso 1: Agregar Cato como Cliente de Keycloak
En la consola de administración de Keycloak, agregue Cato como cliente. Permita las URIs de Cato como parte de la configuración de Cato como cliente. Necesitará estos valores para la CMA en el paso 2:
Client ID
Client Secret
Este procedimiento se refiere a la consola de Keycloak, que está sujeta a cambios. Para leer la documentación más reciente de Keycloak, consulte Administración de Servidores de Recursos.
Para agregar Cato como un cliente de Keycloak:
En Keycloak, vaya a Clientes > Crear Cliente.
En la pestaña Configuración General, ingrese la configuración básica, incluido un ID de cliente. Necesitará el ID de cliente para integrarse con Cato más tarde.
En la pestaña Configuración de capacidad, asegúrese de que Autenticación de Cliente esté habilitada.
En la pestaña Configuración de inicio de sesión, ingrese las siguientes URIs de Cato en URIs de redirección válidas:
https://sso.via.catonetworks.com/auth_results
https://sso.ias.catonetworks.com/auth_results
https://sso.proxy.catonetworks.com/auth_results
https://169.254.255.254/auth_results
https://auth.catonetworks.com/oauth2/broker/code/keycloak
https://auth.us1.catonetworks.com/oauth2/broker/code/keycloak
https://auth.catonetworks.com/endsession/*
https://auth.us1.catonetworks.com/endsession/*
Haga clic en Guardar para crear el cliente de Keycloak.
Vaya al área de Cliente y haga clic en el cliente que acaba de crear.
Vaya a la pestaña Credenciales y copie el Secreto del Cliente. Necesitará este valor cuando cree el proveedor de SSO en la CMA.
Paso 2: Configurar Keycloak como su Proveedor de SSO
En la CMA, ingrese los detalles de su cliente Keycloak que creó en el paso anterior:
URL de Keycloak
Cliente ID
Client secret
El valor para la URL de Keycloak es el comienzo de la URL hasta el final del nombre del reino, sin HTTPS.
Por ejemplo, si la URL que utiliza para acceder a Keycloak es https://keycloak.example.com/realms/myRealm/.well-known/openid-configuration, ingresaría keycloak.example.com/realms/myRealm como su URL de Keycloak.
Cato admite el uso de múltiples IdP para SSO para su cuenta. Solo el proveedor de SSO predeterminado se utiliza para administradores de CMA, asegúrese de definir Keycloak como el método de autenticación Predeterminado.
Para configurar Keycloak como su proveedor de SSO:
Desde el menú de navegación en el CMA, haga clic en Acceso > Inicio de Sesión Único.
Haz clic en Nuevo.
Desde el Proveedor de Identidad menú desplegable, seleccione Keycloak.
Ingresa un Nombre para identificar esta integración.
Ingrese su URL de Keycloak sin el prefijo del protocolo y solo hasta el nombre de su reino.
Ingrese el Client ID y el Client Secret que fueron creados en el paso 1.
Habilite el cambio Predeterminado para usar Keycloak como el único proveedor de SSO para administradores de CMA.
Haga clic en Aplicar.