Autenticação Icertis

Esse conector suporta dois tipos de autenticação:

• Código de autorização do OAuth 2.0 (padrão)
• Chave de API

Código de autorização do OAuth 2.0

O código de autorização OAuth 2.0 é o tipo de autenticação padrão para o conector Icertis. Ele é baseado na configuração de um aplicativo OAuth 2.0 no Microsoft Azure.

Pré-requisitos

Para usar a autenticação de código de autorização OAuth 2.0, você precisa:

• Uma licença ou assinatura válida para a Plataforma Icertis Contrato Intelligence (ICI).
• Uma licença ou assinatura válida do Microsoft Azure.

Fluxo de autorização

O método de autenticação do código de autorização do OAuth 2.0 usa o seguinte fluxo de autorização:

1. O aplicativo cliente solicita um token de acesso JWT para a API ICI do servidor de autorização do Azure.
2. O endpoint de emissão de token do Azure valida as credenciais e emite o token de acesso JWT para a API do ICI.
3. No HTTPS, o aplicativo cliente usa o token de acesso JWT retornado para adicionar a string JWT com uma designação Bearer no cabeçalho de Autorização da solicitação para a API ICI.
4. O manipulador de validação de token do ICI valida o token de acesso com o Servidor de autorização do Azure.
5. Se a validação do token for bem-sucedida, o ICI configura o contexto do usuário com base em um valor de tipo de declaração específico mapeado em relação a um usuário no repositório do ICI e retorna o recurso desejado de acordo. Esse usuário pode ser usuário de serviço ou de aplicativo.

Configurando um aplicativo no Microsoft Azure

Execute as seguintes etapas para configurar um aplicativo ICI no Azure.

1. Faça login no portal do Microsoft Azure em https://portal.azure.com. Na página inicial, selecione Registros de aplicativos.
2. Na página Registros de aplicativos , selecione Novo registro.
3. Na janela Registrar um aplicativo , forneça os seguintes detalhes para o novo aplicativo:
   1. Nome: API do ICM, por exemplo.
   2. Tipos de conta compatíveis: selecione Contas apenas neste diretório organizacional (Tenant único).
   3. Forneça o seguinte URI de redirecionamento da Web: {baseURL\\_CallBack\}
   4. Selecione Registrar. O novo aplicativo agora está disponível na guia Registro de aplicativos – Aplicativos proprietários .

4. Selecione seu aplicativo na página Registros de aplicativos . A seção Gerenciar inclui guias como Autenticação, Certificados e segredos, Permissões de API etc. Você pode configurar ainda mais o aplicativo usando essas seções.

5. Na guia Autenticação , você pode adicionar um novo URI de redirecionamento ou editar o existente. Em Concessão implícita, selecione Tokens de acesso. Isso habilita o fluxo de concessão implícito e seleciona o tipo de token que você deseja que seja emitido pelo token de autorização.

6. Em seguida, em Certificados e segredos, selecione Novo segredo do cliente. Na nova janela, adicione a Descrição do segredo do cliente (por exemplo: "Segredo da API do ICM que será usado para Tokens de acesso") e selecione a data de validade (por exemplo, um ano).

   • Selecione Adicionar para criar o novo segredo.
   • Copie o segredo do cliente. Não compartilhe esse segredo publicamente e armazene-o em um local seguro. Você não poderá recuperá-lo novamente mais tarde.

7. Em Expor uma API, selecione o botão Definir ao lado de URI de ID do aplicativo. Um formulário é exibido, com um valor padrão já gerado. Selecione Salvar. O URI de ID do aplicativo usa o seguinte formato: api://{Client ID}.

   

8. Seu aplicativo do Azure agora está configurado com escopos e tipos de concessão padrão. Se você quiser adicionar escopos personalizados, em Expor uma API, selecione Adicionar um escopo. Configure o novo escopo e, em seguida, selecione Adicionar escopo.

   

Envie os detalhes da aplicação para Icertis

Depois de criar seu aplicativo, entre em contato com o administrador do Icertis e forneça os seguintes detalhes para seus ambientes de desenvolvimento e produção:

Detalhes obrigatórios do aplicativo	Detalhes	Comments
ID do aplicativo (cliente)	Dev: [Cliente a fornecer] Produção: [Cliente a fornecer]	ID do aplicativo criado para acessar as APIs ICI
ID do Diretório (tenant)	Dev: [Cliente a fornecer] Produção: [Cliente a fornecer]	ID de tenant para o aplicativo criado para acessar as APIs ICI
ID do Objeto	Dev: [Cliente a fornecer] Produção: [Cliente a fornecer]	ID do objeto para o aplicativo criado para acessar as APIs ICI
Documento de metadados do OpenID Connect	Dev: [Cliente a fornecer] Produção: [Cliente a fornecer]	URL do documento de metadados para o aplicativo criado para acessar as APIs do ICI

Configuração do ICI

Na plataforma ICI, você precisa de uma configuração mínima para começar.

Adicione ou atualize as seguintes chaves no arquivo tenant.json do aplicativo ICI com a ajuda de sua equipe de desenvolvedores do Icertis:

Chave	Valor	Valor JSON
Core.API.OAuth.STSDiscoveryEndpoint	https://login.microsoftonline.com/{Directory (tenant) ID}/v2.0/.well-known/openid-configuration	{ "Id": "1033c3c0-6bf2-4a93-b813-c3ba42a199b3", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089", "Value": "https://login.microsoftonline.com/{Directory (tenant) ID}/v2.0/.well-known/openid-configuration", "Description": "STS Discovery Endpoint URL", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.STSDiscoveryEndpoint" }{ "Id": "1033c3c0-6bf2-4a93-b813-c3ba42a199b3", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089", "Value": "https://login.microsoftonline.com/{Directory (tenant) ID}/v2.0/.well-known/openid-configuration", "Description": "STS Discovery Endpoint URL", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.STSDiscoveryEndpoint" }
Core.API.OAuth.ValidAudiences	api://{Client ID}	{ "Id": "94c37b1b-2fb1-4f4e-a3de-6796279031e6", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089", "Value": " api://{Client ID}", "Description": "Comma separated list of valid audiences", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.ValidAudiences" }{ "Id": "94c37b1b-2fb1-4f4e-a3de-6796279031e6", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089", "Value": " api://{Client ID}", "Description": "Comma separated list of valid audiences", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.ValidAudiences" }
Core.API.OAuth.ValidIssuer	https://sts.windows.net/{Directory (tenant) ID}/	{ "Id": "d469b34c-f89f-42bb-934a-7ee4ef298130", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089", "Value": "https://sts.windows.net/{Directory (tenant) ID}/", "Description": "OAuth Token issuer", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.ValidIssuer" }{ "Id": "d469b34c-f89f-42bb-934a-7ee4ef298130", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089", "Value": "https://sts.windows.net/{Directory (tenant) ID}/", "Description": "OAuth Token issuer", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.ValidIssuer" }
Core.API.OAuth.ExternalUpnClaimUri	http://schemas.microsoft.com/identity/claims/objectidentifier	{ "Id": "1e783a54-b564-4748-a088-c04e8e05ab46", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089”, "Value":"http://schemas.microsoft.com/identity/claims/objectidentifier", "Description": "URL of the Claim to be used to uniquely identify user in ICI", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.ExternalUpnClaimUri" }{ "Id": "1e783a54-b564-4748-a088-c04e8e05ab46", "IsEncrypted": false, "OverrideType": "Overridable", "ValueType": "System.String, mscorlib, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b77a5c561934e089”, "Value":"http://schemas.microsoft.com/identity/claims/objectidentifier", "Description": "URL of the Claim to be used to uniquely identify user in ICI", "DefaultValue": null, "IsReadOnly": false, "ErrorMessageDescription": null, "Name": "Core.API.OAuth.ExternalUpnClaimUri" }

Onde:

• Core.API.OAuth.STSDiscoveryEndpoint é o valor do documento de metadados do OpenID Connect encontrado em Registro de aplicativos > Visão geral > Pontos de extremidade.

• Core.API.OAuth.ValidAudiences é o URI de ID do aplicativo encontrado em Registro de aplicativos > Visão geral.
• Core.API.OAuth.ValidIssuer é o valor padrão obtido da declaração da combinação do iss URL e do ID do diretório (tenant). O iss URL é https://sts.windows.net e o ID do diretório (tenant) está disponível em Registro de aplicativos > Visão geral.

• Core.API.OAuth.ExternalUpnClaimUri é a URL da declaração padrão. A ICI usa o tipo de declaração oid com a seguinte URL: http://schemas.microsoft.com/identity/claims/objectidentifier.

Depois que a configuração estiver pronta no nível do ICI, você poderá testar a API do ICI com o token de acesso recebido do Azure. Observe que o ICI autoriza apenas esses tokens de acesso de usuários provisionados no ICI.

Chave de API

O método de autenticação de chave de API usa um IcMauthToken para criar uma conexão. Use este método de autenticação para validar rapidamente se as APIs estão hospedadas corretamente.

O CIMAuthToken é gerado em relação a um usuário logado da Plataforma Icertis Contrato Intelligence (ICI). Observe que você pode configurar explicitamente uma data de expiração do token para um usuário.

1. Como um usuário do ICI, recupere a chave de API navegando até o seguinte URL: https://{{customerinstance}}.icertis.com/userinformation/GetUserApiToken.
2. Use as ferramentas de desenvolvedor do seu navegador para inspecionar a página e recuperar o UserApiToken.

Adicione a conexão Icertis

1. Selecione Integration Service no menu de navegação esquerdo.
2. Na lista Conectores , selecione Icertis. Você também pode usar a barra de pesquisa para restringir o conector.
3. Selecione o botão Conectar ao Icertis . Você pode escolher entre dois tipos de autenticação: Código de autorização do OAuth 2.0 ou Chave de API.
4. Insira as credenciais necessárias para sua autenticação preferida:
   1. Código de autorização do OAuth 2.0 (padrão): ID do cliente, Segredo do cliente, ID do tenant, Escopo.
   2. Chave de API: chave de API.
5. Select Connect.