La autenticación SSO solo se admite en las estaciones web. Al iniciar una estación, los usuarios deben autenticarse. Además de autenticarse con su nombre de usuario y contraseña de ABBYY FlexiCapture, los usuarios también pueden hacerlo a través de un proveedor de identidad externo (por ejemplo, Azure Active Directory integrado con su Active Directory corporativo).
Esto es lo que sucede cuando un usuario se autentica a través de un proveedor de identidad externo.
- El usuario hace clic en el botón Iniciar sesión con [nombre del servidor externo].
- ABBYY FlexiCapture genera un mensaje AuthnRequest, lo coloca en el parámetro SAMLRequest de una solicitud GET a una URL y envía la solicitud al proveedor de identidad. No se admiten las conexiones SAML SSO cifradas.
<samlp:AuthnRequest ID=“id81c79c5cecf44dfbbecdc08ae6c6393f” IssueInstant=“2019-07-17T10:59:19Z”
Version=“2.0” xmlns:samlp=“urn:oasis:names:tc:SAML:2.0:protocol”
xmlns=“urn:oasis:names:tc:SAML:2.0:metadata”>
<Issuer xmlns=“urn:oasis:names:tc:SAML:2.0:assertion”>
https://localhost/FlexiCapture12/Login/ten1/AccessToken/Saml</Issuer>
</samlp:AuthnRequest>
| ENCABEZADOS DE LA SOLICITUD | |
|---|
| Host | abbyy.onelogin.com |
| Connection | keep-alive |
| Upgrade-Insecure-Requests | 1 |
| User-Agent | Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36 |
| Accept | text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/; q=0.8,application/signed-exchange;v=b3 |
| Referer | https://localhost/FlexiCapture12/Login/ten1/ |
| Accept-Encoding | gzip, deflate, br |
| Accept-Language | ru-RU,ru;q=0.9,en-US;q=0.8,en;q=0.7 |
| Cookies de la solicitud | |
| DATOS DE LA RESPUESTA | |
|---|
| Status | 302 |
| StatusText | Found |
| HttpVersion | HTTP/1.1 |
| RedirectURL | https://abbyy.onelogin.com/login |
| HeadersSize | 967 |
| BodySize | 0 |
| _transferSize | 967 |
| _error | undefined |
| ENCABEZADOS DE LA RESPUESTA | |
|---|
| Cache-Control | no-cache |
| Content-Type | text/html; charset=utf-8 |
| Date | Wed, 17 Jul 2019 07:59:19 GMT |
| Location | https://abbyy.onelogin.com/login |
| P3P | CP=“CAO DSP COR CURa ADMa DEVa OUR IND PHY ONL UNI COM NAV INT DEM PRE” |
| Set-Cookie | sub_session_onelogin.com=BAh7CDoWY29ubmVjdGluZ190b19hcHAiCzk1Mjk0MDo OcmV0dXJuX3RvIgG8aHR0cHM6Ly9hYmJ5eS5vbmVsb2dpbi5jb20vdHJ1c3Qvc 2FtbDIvaHR0cC1yZWRpcmVjdC9zc28vOTUyOTQwP3NhbWxfcmVxdWVzdF 9wYXJhbXNfdG9rZW49Zjk3ZmI2ODA0Mi5jZGU0MDRmMjg4YzY4YzM3MmFlNThj OTM5YWM3Y2U2NjZkYmM0YjAyLjBRQVRxUTA4VjR1V3NQT29GWTZ4dFFqRFQx WEF2S1B0VkhjMjBOcFBubkklM0Q6D3Nlc3Npb25faWQiKTRlYzYwMThlLTg0ZWUtNDE 5YS1iZmZmLWYwOTNiMWRhNDJlMA%3D%3D—da357cb50556cc5bec34d8c4ca372130785c6e6f; path=/; HttpOnly |
| Status | 302 Found |
| Strict-Transport-Security | max-age=63072000 |
| X-Content-Type-Options | nosniff |
| X-Frame-Options | DENY |
| X-Request-Id | 5D2ED557-C3D2939B-C3D9-0A090512-01BB-2C6A237-1F57 |
| X-Xss-Protection | 1; mode=block |
| Content-Length | 98 |
| RESPUESTA COOKIES | |
|---|
| Sub_session_ onelogin.com | BAh7CDoWY29ubmVjdGluZ190b19hcHAiCzk1Mjk0MDoOcmV0dXJuX3RvIgG8aHR0c HM6Ly9hYmJ5eS5vbmVsb2dpbi5jb20vdHJ1c3Qvc2FtbDIvaHR0cC1yZWRpcmVjdC 9zc28vOTUyOTQwP3NhbWxfcmVxdWVzdF9wYXJhbXNfdG9rZW49Zjk3ZmI2ODA 0Mi5jZGU0MDRmMjg4YzY4YzM3MmFlNThjOTM5YWM3Y2U2NjZkYmM0YjAyLjBRQ VRxUTA4VjR1V3NQT29GWTZ4dFFqRFQxWEF2S1B0VkhjMjBOcFBubkklM0Q6D3 Nlc3Npb25faWQiKTRlYzYwMThlLTg0ZWUtNDE5YS1iZmZmLWYwOTNiMWRhNDJlMA% 3D%3D—da357cb50556cc5bec34d8c4ca372130785c6e6f |
- El proveedor de identidad autoriza al usuario.
- Si la autenticación se realiza correctamente, el proveedor de identidad genera un mensaje de aserción, lo incluye en el parámetro SAMLResponse de la solicitud y devuelve la solicitud a ABBYY FlexiCapture.
- La solicitud que contiene el mensaje de aserción se envía a ABBYY FlexiCapture Application Server para determinar si el usuario especificado tiene los permisos necesarios para iniciar sesión en la estación especificada.
- Application Server verifica el mensaje de aserción mediante un certificado público obtenido del proveedor de identidad y, a continuación, autoriza al usuario.
- Application Server realiza las operaciones necesarias y emite un ticket de autenticación interno.
- Se concede al usuario acceso a la estación web correspondiente con el ticket de autenticación emitido.
Esta función se ha probado con los siguientes proveedores de identidad: Azure Active Directory, OneLogin y Okta.
Se pueden usar varios proveedores de identidad simultáneamente. Por ejemplo, se pueden usar distintos proveedores de identidad para diferentes tenants. Los nuevos métodos de autenticación se usarán en paralelo con los métodos existentes, incluidos los que se usan de forma predeterminada.
