Cómo funciona Single Sign-On en ABBYY FlexiCapture

Siga el flujo de Single Sign-On para las estaciones web de ABBYY FlexiCapture, desde la AuthnRequest enviada a un proveedor de identidad hasta el ticket que concede acceso.

La autenticación SSO solo se admite en las estaciones web. Los usuarios se autentican al iniciar una estación.

Los usuarios también pueden autenticarse a través de un proveedor de identidad externo, en lugar de hacerlo con un nombre de usuario y contraseña de ABBYY FlexiCapture. Un ejemplo es Azure Active Directory integrado con su Active Directory corporativo.

​

Flujo de autenticación Single Sign-On

1. El usuario inicia sesión

   El usuario hace clic en el botón Iniciar sesión con [nombre del servidor externo].

2. ABBYY FlexiCapture envía una AuthnRequest

   ABBYY FlexiCapture genera un mensaje AuthnRequest, lo coloca en el parámetro SAMLRequest de una solicitud GET a una URL y envía la solicitud al proveedor de identidad. No se admiten las conexiones SAML SSO cifradas.

   La AuthnRequest es similar a esta:

   <samlp:AuthnRequest ID="id81c79c5cecf44dfbbecdc08ae6c6393f"
                       IssueInstant="2019-07-17T10:59:19Z"
                       Version="2.0"
                       xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
                       xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
     <Issuer xmlns="urn:oasis:names:tc:SAML:2.0:assertion">https://localhost/FlexiCapture12/Login/ten1/AccessToken/Saml</Issuer>
   </samlp:AuthnRequest>
   
3. El proveedor de identidad autoriza al usuario

   La autorización se realiza íntegramente del lado del proveedor de identidad.

4. El proveedor de identidad devuelve una aserción

   Si la autenticación se realiza correctamente, el proveedor de identidad genera un mensaje de aserción. Coloca el mensaje en el parámetro SAMLResponse y envía la solicitud de vuelta a ABBYY FlexiCapture.

5. La solicitud llega al Servidor de aplicaciones

   La solicitud que contiene el mensaje de aserción llega al Servidor de aplicaciones de ABBYY FlexiCapture. A continuación, el servidor determina si el usuario puede iniciar sesión en la estación especificada.

6. El Servidor de aplicaciones verifica la aserción

   La verificación se realiza mediante un certificado público obtenido del proveedor de identidad. A continuación, el Servidor de aplicaciones autoriza al usuario.

7. El Servidor de aplicaciones emite un ticket

   Realiza las operaciones necesarias y emite un ticket de autenticación interno.

8. El usuario accede a la estación web

   El ticket de autenticación emitido concede acceso a la estación web correspondiente.

​

Proveedores de identidad compatibles

Esta funcionalidad se ha probado con Azure Active Directory, OneLogin y Okta.

Puede usar varios proveedores de identidad al mismo tiempo; por ejemplo, un proveedor diferente para cada tenant. Los nuevos métodos de autenticación se ejecutan junto con los existentes, incluidos los métodos que se usan de forma predeterminada.

Para obtener más información sobre la autenticación SAML, consulte Authentication using SAML identity providers in ABBYY FlexiCapture 12.