Gestionar la federación con Azure

Azure es solo uno de los proveedores de identidades (IdP) externos admitidos que puede usar con NiCE CXone. Esta página lo guía, paso a paso, en la configuración de la autenticación para su sistema NiCE CXone mediante Azure.

Si está realizando la implementación inicial de su NiCE CXone sistema, hay pasos adicionales a considerar. Recomendamos leer las siguientes páginas de la ayuda en línea, que incluyen estas consideraciones:

Antes de comenzar, asegúrese de tener acceso a la consola de administración de ID de Microsoft Azure. Deberá crear una aplicación.

Gestionar la federación con Azure a través de SAML 2.0

Complete cada una de estas tareas en el orden indicado.

Configure el valor de Relay estado

El valor del estado de retransmisión es necesario al configurar la aplicación SAML Okta en la siguiente tarea. Use el valor que corresponda a su entorno.

Valores de estado de Relay por Entorno

The following table lists currently supported environments:

Entorno	Valor del estado de retransmisión
Producción	{"clientId":"0b697ebb-4ea2-4052-b12b-d3cf12a53eca"}
FedRAMP	{"clientId":"0b697ebb-4ea2-4052-b12b-d3cf12a53eca"}
AUSOV1	{"clientId":"0b697ebb-4ea2-4052-b12b-d3cf12a53eca"}
EUSOV1	{"clientId":"0b697ebb-4ea2-4052-b12b-d3cf12a53eca"}
UKSOV1	{"clientId":"0b697ebb-4ea2-4052-b12b-d3cf12a53eca"}
UKSOV2	{"clientId":"0b697ebb-4ea2-4052-b12b-d3cf12a53eca"}

Aunque el valor de Relay State es actualmente el mismo en todos los entornos, cada entorno tiene su propio id de cliente único. Los entornos futuros pueden usar valores diferentes. Siempre use el valor que se indica para su entorno a fin de garantizar la compatibilidad con versiones futuras.

Identifique el entorno que utiliza su organización.
Copie el valor de Relay State correspondiente de la tabla.
Utilice este valor al configurar la aplicación SAML Okta en la siguiente tarea.

Create y Configure una Aplicación de Azure con SAML 2.0

Inicie sesión en su cuenta de gestión de AD de Azure con su cuenta de administrador de AD de Azure.
Create an application:
1. Haga clic en Enterprise applications > New Application.
2. Haga clic en Crear su propia aplicación.
3. Intro un nombre (por ejemplo, NiCE CXone).
4. Seleccione integrar cualquier otra aplicación que no encuentre en la galería (No de galería).
5. Hacer clicCrear.
Asigne usuarios y grupos a la aplicación según corresponda. Vaya a la pestaña Usuarios y grupos y haga clic en Agregar usuario/grupo.
En la página de gestión de la aplicación, ubique la sección de gestión. En Configurar inicio de sesión único, haga clic en Empezar y luego seleccione SAML.
On the Basic SAML Configuration panel, click Edit and configure SAML:
1. Intro un App Name.
2. En Identificador (ID de Entidad), haga clic en Agregar identificador e ingrese https://need_to_change. En un paso posterior, reemplazará el marcador con el ID de Entidad de su NiCE CXone autenticador de inicio de sesión.
3. En Reply URL, haga clic en Add reply URL y en el campo Audience URI, ingrese https://need_to_change. Obtendrá el URI real del Servicio de consumidor de afirmaciones (ACS) desde su autenticador de inicio de sesión NiCE CXone en un paso posterior.
4. En el campo estado de retransmisión de URL de inicio de sesión, ingrese el valor de estado de retransmisión codificado que generó en la tarea anterior.
Haga clic en Guardar y cierre el panel configuración básica de SAML.
En la sección Attributes & Claims, seleccione el Unique User Identifier correcto. El valor que elija será la Identidad externa en NiCE CXone.
Azure AD debería crear automáticamente un certificado de firma SAML. Descargar el certificado llamado Certificado (Base64). Subirá este certificado a su autenticador de inicio de sesión en NiCE CXone en un paso posterior.
On the SAML Signing Certificate panel, click Edit and then:
1. Elija una Opción de firma.
2. Haga clic en Guardar y cierre el panel Certificado de firma SAML. Mantenga este archivo para la configuración de su NiCE CXone en un paso posterior.
Si desea habilitar el inicio de sesión iniciado por SP, complete este paso. En la sección Configurar <nombre de la aplicación>, copie el valor de URL de Inicio de sesión. Guarde esto para su NiCE CXone configuración.
Mantenga su ventana abierta. Realizará cambios en la configuración de la aplicación Azure según los valores que recibirá en la siguiente tarea.

Configurar una Ubicación

Permisos requeridos: Crear Gestión de ubicación

Si desea exigir que los usuarios inicien sesión desde una Dirección IP determinada, cree una ubicación con las Direcciones IP, los rangos de direcciones IP o las subredes de direcciones IP que desea permitir. Cuando se requiere una ubicación configurada para un usuario, ese usuario debe tener tanto las credenciales como la Dirección IP correctas para iniciar sesión. De lo contrario, su intento de inicio de sesión falla y reciben un error. Puede tener hasta 20 ubicaciones a la vez y hasta 10 reglas por ubicación.

Haga clic en el selector de aplicaciones y seleccioneAdmin.
Vaya a Ubicaciones > Definiciones de ubicación.
Haga clic en Nueva ubicación.
Asigne un nombre descriptivo a la ubicación. Si desea agregar más detalles sobre la ubicación, ingrese una Descripción.
Puede seleccionar Establecer como Ubicación predeterminada o Ubicación remota para indicar el tipo de Ubicación. Sólo puede tener una ubicación predeterminada. Estos campos no afectan actualmente a ninguna funcionalidad y su selección es para su propia referencia.
Agregue cualquier otra información que desee utilizando los campos restantes, incluidos la dirección física, el país, las coordenadas GPS, la zona horaria o los grupos asignados. Estos campos actualmente no afectan a nada, y la información ingresada sería sólo para su propia referencia.

Si agrega grupos al campo Grupos asignados los usuarios que pertenezcan a esos Grupos aparecerán en la pestaña Usuarios asignados. Sin embargo, la configuración de ubicación no se aplicará a ellos. Si asigna una ubicación a un autenticador de inicio de sesión, la ubicación se aplica a los Usuarios asignados a ese autenticador de inicio de sesión y restringe su capacidad para iniciar sesión en función de su Dirección IP. Sin embargo, esos usuarios no aparecerán en la pestaña usuarios asignados.
Hacer clicGuardar.
De vuelta en la página Definiciones de ubicación, haga clic en la Ubicación que acaba de crear para abrirla.
Haga clic en la pestaña Reglas de detección automática.
Cree una nueva regla. Para hacerlo:
1. Haga clic en Nueva regla.
2. Asigne un nombre descriptivo a la regla.
3. Seleccione el Tipo de regla entre las siguientes opciones:
  - List: Lista de Direcciones IP específicas permitidas para esta ubicación. Por ejemplo, 100.0.1.100, 100.0.1.101, y 100.0.1.102.
  - Rango: Un rango de direcciones IP permitido para esta ubicación. Por ejemplo, 100.0.1.100-100.0.1.125.
  - Subred: Una subred permitida para esta ubicación. Por ejemplo, 100.0.0.1/32.
4. Especifique la Versión IP como una de las siguientes:
  - IPV4: Una Dirección IP de 32 bits
  - IPV6: Una dirección hexadecimal de 128 bits.
5. Introduzca las Direcciones IP reales, el rango o la subred en el campo Definición de regla, siguiendo los formatos de los ejemplos de los pasos anteriores. Si seleccionó Lista, puede ingresar hasta 100 Direcciones IP. Si seleccionó Rango o Subred, sólo puede ingresar un valor.
6. Haga clic en Confirmar.
Agregue más reglas según sea necesario. Puede tener hasta 10.
Hacer clicGuardar.

Configurar un Autenticador de inicio de sesión con SAML 2.0 en NiCE CXone

Permisos obligatorios: Autenticador de inicio de sesión Crear

Haga clic en el selector de aplicaciones y seleccioneAdmin.
Vaya a Parámetros de seguridad > Autenticador de inicio de sesión.
Hacer clicNuevo Autenticador de inicio de sesión.
Introduzca el nombre y la Descripción del autenticador de inicio de sesión. Para la descripción, use solo texto sin formato. URL o marcado como HTML no se guardarán.
Seleccione SAML como el Tipo de autenticación .
Si desea exigir que los usuarios inicien sesión desde una Dirección IP determinada, seleccione la Ubicación que configuró en la sección anterior.
Haga clic en Elija el archivo y seleccione el certificado de firma pública que descargó Azure en la tarea anterior. Este archivo debe ser un archivo PEM. Será un archivo de texto y la primera línea contendrá BEGIN CERTIFICATE con algún otro texto.
Seleccione la pestaña Usuarios asignados. Seleccione los usuarios que desea asignar al autenticador de inicio de sesión que está creando. También puede asignar usuarios directamente al autenticador de inicio de sesión en su perfil del empleado.
Haga clic en Guardar y activar.
Abra el autenticador de inicio de sesión.
Notará dos campos adicionales de solo lectura que se muestran, el ID de la Entidad y el ACS URL. Tome nota de estos valores. Las necesitará en la tarea agregar valores de NiCE CXone a Azure.

Configurar usuarios de NiCE CXone

Complete this task in NiCE CXone for all NiCE CXone users who require single sign-on with Azure. También puede completar este paso con la plantilla de carga en masa.

En NiCE CXone, haga clic en el selector de aplicaciones y seleccione Admin.
Haga clic enEmpleados.
Seleccione el perfil de empleado que desea modificar y haga clic en Editar.
Si aún no lo ha hecho, vaya a la pestaña Seguridad y seleccione el autenticador de inicio de sesión que creó anteriormente.
Asegúrese de que la Identidad externa esté configurada con el valor correcto. El valor debe coincidir exactamente con el Unique User Identifier en Azure. Si se ha configurado un id de correo electrónico como el id externo, asegúrese de formatearlo correctamente. En Azure, el formato del id de correo electrónico es firstname.lastname@domain.com y distingue mayúsculas y minúsculas.
Guarde sus cambios.

Agregar valores de NiCE CXone a Azure

Vuelva a su aplicación Azure y, en el panel configuración básica de SAML, haga clic en Editar.
Para Identificador (ID de Entidad), ingrese el valor de ID de Entidad de su NiCE CXone autenticador de inicio de sesión.
Para Reply URL, ingrese el valor de URL de ACS de su autenticador de inicio de sesión de NiCE CXone.
Haga clic en Guardar y cierre el panel configuración básica de SAML.

Probar la Integrar de SAML

Antes de asignar el autenticador de inicio de sesión SAML a los usuarios en NiCE CXone, debe probar la integración de SAML. Si la prueba falla, revise sus configuraciones y realice cambios en la configuración.

Inicie un inicio de sesión desde el panel de Azure.
Verifique que el flujo de Autenticación SAML funcione como lo espera.

Verificar el acceso de usuario con inicio de sesión único de Azure

Haga que uno o más usuarios de prueba inicien sesión utilizando el URL de inicio de sesión más reciente. Después de ingresar su nombre de usuario, serán dirigidos a Azure si es necesario.
Cuando esté listo, implemente el inicio de sesión único de Azure para todos los empleados.

Este es el último paso para configurar la federación con SAML 2.0.

Administrar Federación con Azure con OpenID Connect

Complete cada una de estas tareas en el orden indicado.

Configure una Aplicación de Azure con OpenID Connect

Inicie sesión en su cuenta de gestión de Azure.
En Registros de aplicaciones, haga clic en Nuevo registro.
Vaya a Autentificación > Web.
Deberá proporcionar Redirect URIs, los cuales no conoce en este momento. Use https://cxone.niceincontact.com/need_to_change como marcador de posición.
Haga clic en Certificados y secretos.
Seleccione client_secret_basic o client_secret_post como método de autenticación. El método de autenticación, private_key_jwt, no es compatible actualmente con NiCE CXone.
En el campo secretos del cliente, seleccione Nuevo secreto del cliente.
Agregue una descripción y seleccione Caduca.
Copie la Id de cliente y el Secreto del cliente y péguelos en un lugar seguro de su dispositivo. Los necesitará al configurar un autenticador de inicio de sesión en NiCE CXone.
Vaya a Token Configuration > Optional Claims.
Haga clic en Agregar reclamo Opcional.
Seleccione ID como su tipo de token.
Seleccione correo electrónico y agregue su dirección de correo electrónico.
Hacer clicGuardar.

Configurar una Ubicación

Permisos requeridos: Crear Gestión de ubicación

Haga clic en el selector de aplicaciones y seleccioneAdmin.
Vaya a Ubicaciones > Definiciones de ubicación.
Haga clic en Nueva ubicación.
Asigne un nombre descriptivo a la ubicación. Si desea agregar más detalles sobre la ubicación, ingrese una Descripción.
Puede seleccionar Establecer como Ubicación predeterminada o Ubicación remota para indicar el tipo de Ubicación. Sólo puede tener una ubicación predeterminada. Estos campos no afectan actualmente a ninguna funcionalidad y su selección es para su propia referencia.
Agregue cualquier otra información que desee utilizando los campos restantes, incluidos la dirección física, el país, las coordenadas GPS, la zona horaria o los grupos asignados. Estos campos actualmente no afectan a nada, y la información ingresada sería sólo para su propia referencia.

Si agrega grupos al campo Grupos asignados los usuarios que pertenezcan a esos Grupos aparecerán en la pestaña Usuarios asignados. Sin embargo, la configuración de ubicación no se aplicará a ellos. Si asigna una ubicación a un autenticador de inicio de sesión, la ubicación se aplica a los Usuarios asignados a ese autenticador de inicio de sesión y restringe su capacidad para iniciar sesión en función de su Dirección IP. Sin embargo, esos usuarios no aparecerán en la pestaña usuarios asignados.
Hacer clicGuardar.
De vuelta en la página Definiciones de ubicación, haga clic en la Ubicación que acaba de crear para abrirla.
Haga clic en la pestaña Reglas de detección automática.
Cree una nueva regla. Para hacerlo:
1. Haga clic en Nueva regla.
2. Asigne un nombre descriptivo a la regla.
3. Seleccione el Tipo de regla entre las siguientes opciones:
  - List: Lista de Direcciones IP específicas permitidas para esta ubicación. Por ejemplo, 100.0.1.100, 100.0.1.101, y 100.0.1.102.
  - Rango: Un rango de direcciones IP permitido para esta ubicación. Por ejemplo, 100.0.1.100-100.0.1.125.
  - Subred: Una subred permitida para esta ubicación. Por ejemplo, 100.0.0.1/32.
4. Especifique la Versión IP como una de las siguientes:
  - IPV4: Una Dirección IP de 32 bits
  - IPV6: Una dirección hexadecimal de 128 bits.
5. Introduzca las Direcciones IP reales, el rango o la subred en el campo Definición de regla, siguiendo los formatos de los ejemplos de los pasos anteriores. Si seleccionó Lista, puede ingresar hasta 100 Direcciones IP. Si seleccionó Rango o Subred, sólo puede ingresar un valor.
6. Haga clic en Confirmar.
Agregue más reglas según sea necesario. Puede tener hasta 10.
Hacer clicGuardar.

Configurar un Autenticador de inicio de sesión de NiCE CXone con OpenID Connect

Haga clic en el selector de aplicaciones y seleccioneAdmin.
Vaya a Parámetros de seguridad > Autenticador de inicio de sesión.
Haga clic en Nuevo Autenticador de inicio de sesión o seleccione el autenticador de inicio de sesión que desea editar.
Introduzca el nombre y una Descripción para el autenticador de inicio de sesión.
Seleccione OIDC como Tipo de autenticación .
Si desea exigir que los usuarios inicien sesión desde una Dirección IP determinada, seleccione la Ubicación que configuró en la sección anterior.
Si tiene un terminal de descubrimiento de Azure, haga clic en Descubrir Configuración. Ingrese su punto final de descubrimiento y haga clic en Descubrir. El resto de los campos se completan automáticamente para usted. Descubrir Configuración no funciona con los puntos de conexión de descubrimiento de Salesforce.
Entre su Identificador de cliente y Contraseña del cliente. Vuelva a escribir la contraseña en Confirmar contraseña del cliente. El Identificador de cliente es la id de inicio de sesión que Azure asignó a su cuenta.

Si no tiene un terminal de descubrimiento de Azure, ingrese los siguientes datos proporcionados por Azure: Emisor, Terminal jsonwebkeyset, Terminal de autorización, terminal de token, Terminal de información de usuario, Terminal de revocación y Terminal de final de sesión.

Obtenga más información acerca de los campos de este paso

Campo	Detalles
Emisor	URL de Azure sin ningún parámetro.
Terminal jsonwebkeyset	La URL del Conjunto de JWK de Azure.
Terminal de autorización	La URL del Terminal de autorización 2.0 Azure de OAuth.
Terminal de señal	La URL del Terminal de token 2.0 Azure de OAuth.
Terminal de información de usuario	La URL del Terminal de información de usuario de Azure.
Terminal de revocación	La URL del Terminal de revocación de Azure.
Terminal de finalización de sesión	La URL del Terminal de final de sesión de Azure. Este campo le permite crear una experiencia de cierre de sesión único para sus usuarios. Si está configurada, cuando los usuarios cierran su sesión en NiCE CXone, también la cierran en su cuenta de Azure. Para que el cierre de sesión único funcione, debe incluir la URI de redireccionamiento de cierre de sesión de Azure en la lista blanca. Si Salesforce es su IdP, debe configurar una URL de cierre de sesión en Salesforce. Para hacer esto, vaya a Configuración > Seguridad > Session Settings > Configuración de Página de desconectarse. Actualice el campo URL de Desconectarse. Usará esta URL como su Terminal de final de sesión.

Seleccione un Método de autenticación del cliente. El método que seleccione debe coincidir con lo que había configurado en la tarea anterior. Azure debe admitir este método de autenticación.
Puede seleccionar Habilitar Perfil de ficam para activar la configuración específica del gobierno de los Estados Unidos. Este paso es solo para los usuarios de FedRAMP.
Seleccione la pestaña Usuarios asignados. Seleccione los usuarios que desea asignar al autenticador de inicio de sesión que está creando. También puede asignar usuarios directamente al autenticador de inicio de sesión en su perfil del empleado.
Haga clic en Guardar y Activar para validar la información proporcionada y vincular su cuenta de NiCE CXone con su cuenta de Azure.
Abra el autenticador de inicio de sesión.
Tome nota de la URI de redireccionamiento de inicio de sesión y la URI de redireccionamiento de cierre de sesión. Los necesitará cuando actualice su configuración de Azure.
Actualice su configuración de Azure, reemplazando los marcadores de posición utilizados en la tarea anterior con los valores que acaba de anotar.
Verifique que la NiCE CXoneIdentidad externa de para cada usuario que utiliza el autenticador de inicio de sesión tenga definido el valor correcto. A este campo se puede acceder en el sección de seguridad del perfil del empleado.

Azure determina el valor que se debe utilizar. El usuario puede encontrarla en el perfil en Azure. El valor debe coincidir exactamente con lo que puso en el campo Identidad externa en NiCE CXone. El valor de este campo debe tener este formato: claim(email):{correo electrónico configurado por su IdP}. Por ejemplo, si el correo electrónico del usuario en el IdP es nick.carraway@classics.com, debe escribir claim(email):nickcarraway@classics.com.
Haga que el usuario inicie sesión en NiCE CXone. Deben usar la URL de inicio de sesión más reciente. Después de ingresar su nombre de usuario, será redirigido a Azure, si fuera necesario.
Cuando Azure le solicite que autentique su propia cuenta, hágalo como el usuario de Azure que desea asociar con su cuenta de NiCE CXone que tiene una sesión activa en este momento.
Si la configuración de OpenID Connect en NiCE CXone no se muestra como validada, use los registros de Azure para diagnosticar el problema.

Agregue NiCE CXone valores a Azure

Vuelva a su aplicación Azure y, en el panel configuración básica de SAML, haga clic en Editar.
Para Identificador (ID de Entidad), ingrese el valor de ID de Entidad de su NiCE CXone autenticador de inicio de sesión.
Para URL de Responder, ingrese el valor de URL de ACS de su autenticador de inicio de sesión NiCE CXone.
Haga clic en Guardar y cierre el panel configuración básica de SAML.
Asegúrese de que la Identidad externa para cada usuario que utiliza el autenticador de inicio de sesión se establece en el valor correcto.
1. Su proveedor de identidad determina el valor que se debe utilizar. El valor debe coincidir exactamente con el Identificador de usuario único en Azure y la Identidad externa en NiCE CXone.
Pida al usuario que inicie sesión. Deben usar la URL de inicio de sesión más reciente. Después de ingresar su nombre de usuario, serán dirigidos al proveedor de identidad externo, si es necesario.

Verificar el acceso de usuario con inicio de sesión único de Azure

Asegúrese de que la Identidad externa de cada empleado que utiliza el autenticador de inicio de sesión esté configurada con el valor correcto. El valor debe coincidir exactamente con el Identificador de usuario único en Azure y la Identidad externa en NiCE CXone.
Haga que uno o más usuarios de prueba inicien sesión utilizando la URL de inicio de sesión más reciente. Después de ingresar su nombre de usuario, serán dirigidos a Azure si es necesario.
Cuando esté listo, implemente el inicio de sesión único de Azure para todos los empleados.