Implementación de ADFS SAML

Este artículo contiene ayuda específica de Active Directory Federation Services (AD FS) para configurar el inicio de sesión con SSO a través de SAML 2.0. Para obtener ayuda para configurar el inicio de sesión con SSO para otro IdP, consulte Configuración de SAML 2.0.

La configuración implica trabajar simultáneamente dentro de la aplicación web de Bitwarden y el gestor de servidores AD FS. A medida que avanza, recomendamos tener ambos fácilmente disponibles y completar los pasos en el orden en que están documentados.

Inicia sesión en la aplicación web de Bitwarden y abre la Consola de Administrador utilizando el conmutador de producto ():

Abra la pantalla de Ajustes → Inicio de sesión único de su organización:

Si aún no lo has hecho, crea un identificador SSO único para tu organización y selecciona SAML del menú desplegable de Tipo. Mantén esta pantalla abierta para fácil referencia.

Puedes desactivar la opción Establecer una ID de entidad SP única en esta etapa si lo deseas. Hacerlo eliminará su ID de organización de su valor de ID de entidad SP, sin embargo, en casi todos los casos, se recomienda dejar esta opción activa.

En el Administrador de Servidor AD FS, selecciona Herramientas → Gestión de AD FS → Acción → Agregar Confianza de Parte Dependiente. En el asistente, haga las siguientes selecciones:

1. En la pantalla de bienvenida, seleccione Consciente de reclamaciones.

2. En la pantalla de Selección de Fuente de Datos, seleccione Ingrese datos sobre la parte confiada manualmente.

3. En la pantalla de Especificar Nombre de Visualización, ingrese un nombre de visualización específico de Bitwarden.

4. En la pantalla de Configurar URL, seleccione Habilitar soporte para el protocolo WebSSO SAML 2.0.

   • En la entrada de URL del servicio SSO SAML 2.0 de la parte confiable, ingrese la URL del Servicio de Consumo de Aserciones (ACS). Este valor generado automáticamente se puede copiar desde la pantalla de Ajustes → Inicio de sesión único de la organización y variará según su configuración.

5. En la pantalla de Elegir Política de Control de Acceso, seleccione la política que cumpla con sus estándares de seguridad.

6. En la pantalla de Configurar Identificadores, agregue el ID de la Entidad SP como un identificador de confianza de la parte dependiente. Este valor generado automáticamente se puede copiar desde la pantalla de Ajustes → Inicio de sesión único de la organización y variará según su configuración.

7. En la pantalla de Elegir Política de Control de Acceso, seleccione la política deseada (por defecto, Permitir a Todos).

8. En la pantalla Listo para Agregar Confianza, revise sus selecciones.

Una vez que se crea la confianza de la parte confiada, puedes configurar aún más sus ajustes seleccionando Confianzas de la Parte Confiada desde el navegador de archivos de la mano izquierda y seleccionando el nombre de visualización correcto.

Algoritmo hash

Para cambiar el Algoritmo de hash seguro (por defecto, SHA-256), navega a la pestaña Avanzado:

Vinculación de punto final

Para cambiar el punto final Binding (por defecto, POST), navegue a la pestaña Endpoints y seleccione la URL de ACS configurada:

Construye reglas de emisión de reclamaciones para asegurar que las reclamaciones apropiadas, incluyendo ID de Nombre, se pasen a Bitwarden. Las siguientes pestañas ilustran un conjunto de reglas de muestra:

• Regla 1
• Regla 2
• Regla 3

En el navegador de archivos de la mano izquierda, seleccione AD FS → Servicio → Certificados para abrir la lista de certificados. Seleccione el certificado de firma de token, navegue hasta su pestaña de Detalles, y seleccione el botón de Copiar a Archivo... para exportar el certificado de firma de token codificado en Base-64:

Necesitarás este certificado durante un paso posterior.

En el navegador de archivos de la mano izquierda, selecciona AD FS y desde el menú de opciones de la mano derecha selecciona Editar Propiedades del Servicio de Federación. En la ventana de Propiedades del Servicio de Federación, copia el Identificador del Servicio de Federación:

Necesitarás este identificador durante un paso posterior.

En este punto, has configurado todo lo que necesitas dentro del contexto del Administrador de Servidor AD FS. Regresa a la aplicación web de Bitwarden para completar la configuración.

La pantalla de inicio de sesión único separa la configuración en dos secciones:

• La configuración del proveedor de servicios SAML determinará el formato de las solicitudes SAML.

• La configuración del proveedor de identidad SAML determinará el formato que se esperará de las respuestas SAML.

En la sección de configuración del proveedor de servicios, configure los siguientes campos:

Cuando termines con la configuración del proveedor de servicios, Guarda tu trabajo.

La configuración del proveedor de Identidad a menudo requerirá que te refieras de nuevo al Administrador del Servidor AD FS para recuperar valores:

Cuando termines con la configuración del proveedor de identidad, Guarda tu trabajo.

Una vez que tu configuración esté completa, pruébala navegando a https://vault.bitwarden.com, ingresando tu dirección de correo electrónico, seleccionando Continuar, y seleccionando el botón de Empresa de Inicio de Sesión Único:

Ingrese el identificador de organización configurado y seleccione Iniciar sesión. Si su implementación está configurada con éxito, será redirigido a la pantalla de inicio de sesión de AD FS SSO. ¡Después de autenticarte con tus credenciales de AD FS, ingresa tu contraseña maestra de Bitwarden para descifrar tu caja fuerte!